I. Introducción¹

Desde el inicio de la declaración mundial de la pandemia por Covid-19 en febrero de 2020, se multiplicaron de manera inquietante los ciberataques dirigidos contra la infraestructura hospitalaria de varios países (República Checa, Reino Unido y Estados Unidos), y contra las instalaciones cibernéticas pertenecientes a la Organización Mundial de la Salud (^{Mačák et al., 2020}), entre otros.

La preocupación frente a estas situaciones reavivó los debates internacionales sobre la fortaleza del derecho internacional de los derechos humanos (DI-DDHH) y del derecho internacional humanitario (DI humanitario) en la protección del derecho a la salud y de los sistemas de asistencia de salud en el ciberespacio. La inquietud se mantuvo aún varios meses después, pues según varios expertos, en septiembre de 2020, tuvo lugar la primera muerte conocida de un paciente en un hospital que haya sido provocada directamente por un ciberataque (^{Howell, 2020}).

En las condiciones de vulnerabilidad actuales -derivadas de la pandemia global por Covid-19- es pertinente explorar el contorno normativo de la aplicación del DI-DDHH y del DI humanitario, respectivamente, para fortalecer la protección cibernética del derecho a la salud y, consiguientemente, de los sistemas de asistencia de salud. Este análisis adquiere aún más relevancia, pues el impulso humanitario del Derecho internacional, especialmente en las dos ramas mencionadas, permite diagnosticar la manera en que las crisis revelan los límites y oportunidades de las normas orientadas a mitigar el sufrimiento humano en condiciones extremas (^{Sarat & Lezaun, 2009}, pp. 10-19).

Bajo esta óptica, el presente artículo reflexiona acerca de los retos en la construcción y aplicación del DI-DDHH y DI humanitario aplicable a operaciones cibernéticas con relación al derecho a la salud y a los sistemas de asistencia de salud en un país que vivió una crisis nacional que obligó, como en otros, a emitir una declaratoria de emergencia sanitaria y un estado de excepción (Presidencia de la República de Ecuador, 2020; ^{Zibel, 2019}). En este sentido, el objetivo del artículo es explorar la oportunidad que presenta esta crisis en Ecuador para interpretar el DI-DDHH y el DI humanitario de manera favorable a proteger el derecho a la salud y los sistemas de asistencia salud en el ciberespacio, a la luz de los debates inter-estatales sobre la materia.

Para ello, y a fin de ponderar adecuadamente -desde un punto de vista jurídico- el impacto del Covid-19 en Ecuador (^{Zibel, 2020}), cabe preguntarse estructuradamente sobre el grado de aplicabilidad del DI-DDHH y el DI humanitario, en lo que se refiere a las zonas grises del Derecho internacional en el ciberespacio identificadas por Michael Schmitt (Schmitt, 2017a, p. 17), como una manera de fortalecer la protección de las facilidades sanitarias y el derecho a la salud.

Para enriquecer el análisis jurídico que se deriva de esta problemática, el presente artículo se estructura en tres apartados. En primer lugar, se sintetizan los principales debates internacionales sobre el alcance de la protección del derecho a la salud al amparo del DI-DDHH frente a amenazas cibernéticas. Para ello, se analizan los estándares establecidos en los sistemas interamericano y universal, incluido su nivel de recepción en el Ecuador a través de análisis jurisprudencia, estudios doctrinales y de actores de la sociedad civil, así como el posicionamiento público de los Estados con relación a las obligaciones de Derecho internacional.

En segundo lugar, se estudia la protección que brinda el DI humanitario a los ciudadanos y a los sistemas de asistencia de salud. El estudio se enfoca en la posición de los organismos internacionales con componentes deliberativos intergubernamentales como el Comité Internacional de la Cruz Roja (CICR) y Naciones Unidas, la de los Estados, así como los aportes doctrinales. En estos espacios, se proponen interpretaciones consistentes con la necesidad de fortalecer la protección de los sistemas de asistencia de salud, así como soluciones alternativas respecto a la indefinición de la aplicación del DI humanitario en el espacio cibernético.

En tercer lugar, el artículo examina la situación concreta del Ecuador, como un país que mantiene internacionalmente una determinada posición en materia de derechos humanos, DI humanitario y ciberseguridad, pero que se enfrenta a varios retos en la aplicación nacional de las políticas necesarias para asegurar la protección del derecho a la salud y los sistemas de asistencia de salud.

II. Notas conceptuales sobre di humanitario y di-ddhh en relación con la protección de la salud en el ciberespacio

En este estudio se adopta una perspectiva de investigación descriptiva desde el punto de vista metodológico. Según ^{Cerda (2002}), este tipo de investigación busca «describir las partes, categorías o clases que componen un objeto de estudio, o en su defecto, describir las relaciones que se dan entre el objeto de estudio con otros objetos» (p. 74). Por ello, desde el punto de vista jurídico resulta necesario primeramente conceptualizar el derecho a la salud, así sea de manera instrumental para avanzar en la exposición.

Al respecto, a pesar de la existencia de una multitud de definiciones (^{de Currea-Lugo, 2005}, p. 29), se puede afirmar que el derecho humano a la salud no significa que implique una facultad de poder exigir individualmente un «derecho a estar sano», sino que más bien conlleva la idea prestacional de accesibilidad (^{Müller, 2014}, pp. 39-40). Ello, a su vez, implica un derecho a disfrutar de «un sistema de salud eficaz e integrado, que abarque la atención de la salud y los determinantes subyacentes de la salud, y que responda a las prioridades nacionales y locales y sea accesible para todos» (^{Hunt & Backman, 2008}).

Concordantemente con esta definición, el marco legal del DI-DDHH ha desarrollado obligaciones a nivel global y regional sobre el contenido del derecho a la salud. En particular, destaca el art. 12 del Pacto Internacional de Derechos Económicos, Sociales y Culturales (PIDESC) sobre el derecho al más alto nivel posible de salud (Pacto Internacional de Derechos Económicos, Sociales y Culturales, 1976). Por ello, es relevante la Observación General No. 14 del Comité de Derechos Económicos, Sociales y Culturales (2000), que desarrolla el contenido de dicho artículo. Asimismo, el art. 10 sobre el derecho a la salud del Protocolo Adicional a la Convención Americana sobre Derechos Humanos en materia de Derechos Económicos, Sociales y Culturales (Protocolo de San Salvador) también constituye un elemento que será analizado desde su amplitud normativa (Protocolo adicional a la Convención Americana sobre Derechos Humanos en Materia de Derechos Económicos, Sociales y Culturales “Protocolo de San Salvador”, 1988).

Por su parte, la protección jurídica -desde el DI humanitario- de las facilidades y personal sanitarios, incluidos medios de transporte de heridos y de enfermos o de material sanitario, se deriva de la aplicación de los cuatro Convenios de Ginebra de 1949 sobre DI humanitario y sus tres Protocolos Adicionales. En este sentido, en el presente artículo, la expresión «sistemas de asistencia de salud» se circunscribe en general a las unidades o instalaciones médicas u hospitalarias, incluyendo cualquier establecimiento, en su aspecto físico y digital, destinado a fines sanitarios, así como al personal médico, en el sentido enunciado en las definiciones del art. 8 del Protocolo Adicional I a los Convenios de Ginebra.

Esta referencia al DI humanitario no se efectúa como un todo indivisible, sino que se refiere en Ecuador, en particular, a los artículos 38 a 44, 53 y 54 del Convenio de Ginebra I (1950); los artículos 41 a 45 del Convenio de Ginebra II (1950); y los artículos 18 a 22 del Convenio de Ginebra IV (1950). Las unidades sanitarias deben ser «respetadas y protegidas en todo momento» (Protocolo adicional II a los Convenios de Ginebra de 1949, 1978) y no pueden ser objeto de ataques al gozar un estatus civil, conforme al art. 12 del Protocolo Adicional I a los Convenios de Ginebra. El art. 54 del mismo Protocolo I, basado en el principio de distinción, restringe los métodos o medios de guerra que no puedan ser dirigidos a un objetivo militar o cuyos efectos no puedan ser legalmente limitados sobre la población civil (Protocolo adicional I a los Convenios de Ginebra de 1949, 1978). Extensivamente, el CICR aboga por la aplicación del DI humanitario, incluido el principio de distinción, al ciberespacio, basándose en el art. 36 del Protocolo I respecto a nuevas armas desarrolladas en el futuro (^{Christory, 2019}, p. 4).

En este contexto, la protección cibernética con relación al derecho a la salud se refiere al resguardo que se brinda sobre los referidos sistemas de asistencia de salud que se realiza través de medios informáticos, y particularmente a la integridad en la utilización de sistemas informáticos interconectados, con especial atención a la utilización de Internet. Una definición más refinada conceptualmente de la noción de seguridad cibernética vinculada con derechos humanos y paz corresponde a la construcción de una red de regímenes multiniveles que promuevan una ciberseguridad sostenible, aclarando las reglas de actuación para los países y ayudar a reducir las amenazas de ciberconflictos, el cibercrimen y el ciberespionaje a niveles comparables a otros riesgos cinéticos (^{Shackelford, 2017}, p. 13).

III. Di-ddhh y protección del derecho a la salud en el ciberespacio

IV. Desafíos del di humanitario en la protección de los sistemas de asistencia de salud en el ciberespacio

En general, la exposición del sector salud a ataques directos o incidentales se incrementa por la interconectividad y progresiva digitalización a nivel global, sin distinción entre países. Esta nueva y compleja realidad compleja requiere debatir el alcance y la aplicación del DI humanitario en la protección de los sistemas de asistencia de salud en el ciberespacio (^{Ruhl, 2020}). Sin embargo, desde el punto de vista jurídico, no es clara la manera de implementación del DI humanitario, pues aún ni siquiera existe un consenso internacional sobre el alcance de dicha implementación para guiar las acciones de los Estados.

Esta falta de claridad se refleja en el marco del trabajo que despliega el CICR con los Estados, en el ámbito de los foros multilaterales del sistema universal de Naciones Unidas, así como en la falta de éxito de declaraciones políticas recientes como el Llamado de París (Foro para la Gobernanza de Internet, 2018). Por consiguiente, varios autores han tratado de reordenar la interpretación de esta problemática actual a través de diversos acercamientos doctrinales.

Sobre la posición del CICR, cabe recordar que este organismo, en su análisis de noviembre de 2019 respecto a los principales retos contemporáneos del DI humanitario, ya había identificado al sector de la salud como uno de los más vulnerables. Además, un reconocido estudio del CICR sobre el DI humanitario consuetudinario (^{Henckaerts et al., 2005}, pp. 79-88), si bien puede ser cuestionado por su visión de lege ferenda, contempla la protección de los sistemas de asistencia de salud en cualquier conflicto armado con el rango de DI humanitario consuetudinario en las reglas 25 y 26. Para el CICR (2007, pp. 26-27), dicho sector de los sistemas de asistencia de salud se concibe como infraestructura civil crítica tomando en consideración el costo potencial de las operaciones cibernéticas.

Al respecto, la solución interpretativa que propone el CICR sobre esta nueva realidad de protección en el espacio cibernético parte del siguiente principio: el DI humanitario debe aplicarse por analogía a operaciones cibernéticas como a cualquier arma, medio o método de guerra, con un énfasis en el riesgo particular de ataques a los sistemas de asistencia de salud (^{Christory, 2019}). Esta interpretación, que concuerda con su visión de reafirmar el respeto y vigencia del DI humanitario de manera general, fue planteada por el CICR en el marco de su declaración de diciembre de 2019 en el marco de la reunión del GGE.

No obstante, esta declaración realizada por el CICR generó fricciones entre los Estados, pues aún no se ha consolidado un consenso interestatal que permita afirmar que el DI humanitario es aplicable de manera directa al plano cibernético, entre otras razones por las dudas que existen sobre las implicaciones de que dicho reconocimiento podría proyectar en otras áreas del Derecho internacional (^{Sukumar, 2020}). Por ejemplo, en las intervenciones de los Estados, estas reticencias se expresaron en la necesidad de evitar que la normativa del DI humanitario pueda expandirse al ejercicio del derecho a la legítima defensa consagrado en la Carta de las Naciones Unidas o en el plano de la retaliación a ataques cibernéticos con medios físicos (^{Ruhl et al., 2020}). En general, los Estados hasta el momento han evitado adoptar una visión específica o concreta que pudiera conducir en el futuro a una revitalización de la aplicación del DI humanitario al ciberespacio, ni mucho menos han previsto nuevas reglas que protejan claramente la infraestructura civil cibernética.

La doctrina iusinternacionalista, ante este panorama de falta de definiciones jurídicas, no ha encontrado tampoco aún un consenso sobre la posición que deba adoptarse. Para algunos autores, en medio de la incertidumbre sobre el alcance del DI humanitario en el espacio cibernético, se sostiene que una maleable interpretación del Derecho internacional podría incluso generar incentivos contraintuitivos al permitir o incluso exigir la realización de operaciones cibernéticas. Por ejemplo, Noam Lubell (2012, p. 10), de manera alternativa a la visión del CICR, argumenta que si las operaciones cibernéticas no pueden ser calificadas como ataques bajo el DI humanitario, entonces no debería aplicarse el principio de distinción, por lo que se podría dirigir abiertamente agresiones contra elementos de infraestructura civil.

En este sentido, otros autores como Duncan Hollis (2014, pp. 30-32) argumentan que, de manera paradójica, al favorecerse una aplicación por analogía del DI humanitario caso por caso a conflictos cibernéticos, existiría un vínculo entre la extensión de los límites del DI humanitario y la existencia de un deber de hackear: de acuerdo con esta visión, los Estados estarían llamados a preferir el uso de operaciones cibernéticas cuando éste sea el medio menos gravoso para alcanzar un objetivo militar como extensión del principio de precaución. En contraste con esta postura, otra parte de la doctrina, como es el caso de Yoram Dinstein (2013, p. 283), cuestiona la visión de Hollis al considerar que su planteamiento no constituye un razonamiento analógico sino simplemente una aplicación de principios generales del DI humanitario a otro escenario diferente.

De la misma forma, en el plano doctrinal, y ante la falta de consensos y frente al subdesarrollo de un Derecho internacional que controle las operaciones cibernéticas, han surgido algunas iniciativas orientadas a regular el comportamiento de los Estados y a proteger ciertas facilidades civiles. Entre estas iniciativas académicas se destacan las dos versiones del Manual de Tallinn sobre el Derecho internacional aplicable a conflictos cibernéticos, desarrollado a título privado por un grupo de expertos y que constituye una referencia en la materia. En la primera versión del Manual se discuten las prohibiciones a ataques objetos civiles en el DI humanitario al amparo del art. 52 del Protocolo Adicional I a los Convenios de Ginebra (^{Schmitt, 2013}, pp. 106-110). Sin embargo, inclusive dicho Manual, basándose en los comentarios de interpretación de los Protocolos Adicionales a los Convenios de Ginebra, expone las deficiencias, dificultades y debilidades a las que se enfrenta hoy en día la interpretación del Derecho aplicable a la protección de facilidades médicas en el ciberespacio como se analizará a continuación.

En este plano doctrinal, se exploran al menos cuatro problemáticas: el estatus de los datos digitales pertenecientes a infraestructuras civiles; la posible pérdida de protección por el carácter mixto de las facilidades que incluyen información virtual; y el momento a partir del cual se debe considerar aplicable el DI humanitario a en el espacio cibernético para la protección de los sistemas de asistencia de salud.

En primer lugar, en el análisis del costo potencial de las operaciones cibernéticas por parte del CICR existe una alta preocupación sobre la protección de datos civiles esenciales, tales como aquellos vinculados con unidades o facilidades médicas, y que se encuentran sujetos a múltiples amenazas en la actualidad (^{Gisel, 2018}, p. 60). Este escenario se torna más complejo ante las amenazas cibernéticas enmarcadas en la respuesta a la pandemia por Covid-19. Al respecto, en su regla 30, el Manual de Tallinn concluye que los datos son intangibles y, por lo tanto, no pueden ser considerados como un objeto, por lo cual ciertos componentes de los sistemas de asistencia de salud podrían no ser considerados con la calidad de objetivo militar. Siguiendo este razonamiento, la destrucción de datos digitales almacenados o constituyentes de una infraestructura civil no estaría cubierta por el principio de distinción y, por tanto, no podrían constituir un objeto de ataque (^{Schmitt, 2013}, p. 106). Esta perspectiva fue corregida parcialmente en la segunda versión del Manual de Tallinn, pues la regla 132 de esa versión contempla, al menos, que los sistemas de computación y los datos esenciales para el funcionamiento de las unidades médicas no podrían ser objeto de ataque (Schmitt, 2017b, p. 168).

En todo caso, como se señala en el informe de Duncan Hollis (2019, pp. 2-3), publicado en enero de 2019, sobre Derecho internacional y operaciones cibernéticas estatales de los miembros de la Organización de los Estados Americanos (OEA), debe advertirse la escasa aplicación práctica del Manual de Tallinn, en su primera y segunda versión. De la misma forma, la falta de pronunciamientos o práctica de los Estados sobre la aplicabilidad del Derecho internacional a operaciones cibernéticas es un problema común en la actualidad. Hollis reconoce, incluso, que los Estados que aceptan la importancia de aplicar ciertos elementos de Derecho internacional, mantienen aún amplias divergencias sobre su interpretación (Hollis, 2019, p. 4). De esta forma, la falta de consenso internacional sobre el alcance del concepto de objeto de ataque genera una importante brecha en la protección de los servicios de asistencia de salud a través de la exclusión de los datos esenciales civiles del ámbito de protección de objetos civiles en el DI humanitario, para este caso concreto (Hollis, 2019, p. 8).

En un segundo lugar, además de la disyuntiva mencionada sobre el estatus jurídico de los datos al amparo del DI humanitario en el ciberespacio, las redes civiles y militares pueden encontrarse interconectadas, razón por la cual una infraestructura en un principio civil puede llegar a perder la protección que en principio otorga el DI humanitario (^{Gisel & Rodenhäuser, 2020}). En efecto, como argumenta Karinne Bannelier-Christakis en su interpretación del Manual de Tallinn, la civilinización de la guerra debido a conflictos asimétricos, el empleo de empresa militares y de nuevas tecnologías ha logrado que el concepto de uso dual aumente los tipos de ataques autorizados contra objetos civiles (Bannelier-Christakis, 2015, p. 359).

De esta manera, la ambigüedad que suponen el ámbito de las operaciones cibernéticas, que pueden incluir ataques a facilidades que apoyan el esfuerzo de la guerra de manera indirecta, genera incertidumbre respecto a los umbrales de aplicación del principio de distinción sobre los objetos civiles, incluidos los sistemas de asistencia de salud (^{Bannelier-Christakis, 2015}, p. 362). Este fenómeno se acentúa, además, con el actual proceso de securitización de la agenda de implementación de las políticas de protección de la salud ante la urgencia de respuestas inmediatas frente al Covid-19 (^{Walton, 2020}). A esto, se suma la interconectividad de las redes informáticas y los debates sobre la soberanía con relación a los datos que transitan por otros países.

En tercer lugar, otro debate jurídico que surge es el siguiente: no es claro a partir de qué momento el DI humanitario debería ser aplicable en el espacio cibernético. Podría considerarse que si un ciberataque se realiza posteriormente a que tengan lugar operaciones cinéticas previas, el DI humanitario sí debe aplicarse. Bajo esta premisa, las operaciones cibernéticas serían una extensión o consecuencia de las otras (las cinéticas). Sin embargo, para llegar a esta conclusión, se requiere definir con anticipación si un ataque cibernético, como primer o único acto hostil, que no se encuentre vinculado a una acción física, puede considerarse por sí solo como el detonante para que el DI humanitario entre en aplicación (^{DeLuca, 2013}, p. 304).

En este sentido, mayor complejidad aún reviste la atribución de responsabilidad internacional por la realización de operaciones cibernéticas con relación a actores no estatales. Máxime si se tiene en cuenta que tales operaciones podrían variar en una gama que iría desde la ignorancia de la conducción de operaciones desde su territorio, pasando por la instigación o, incluso, llegando a la situación en la que se produzca la dirección del ataque. Estas alternativas se basan en el proyecto de artículos sobre responsabilidad internacional de los Estados elaborados presentados ante la Asamblea General de Naciones Unidas por parte de la Comisión de Derecho Internacional (^{Iasiello, 2014}, p. 58).

En cuarto lugar, los compromisos internacionales en derechos humanos podrían regular parcialmente la conducta de los Estados en la cibernética de los sistemas de asistencia de salud en el ciberespacio. Varios instrumentos internacionales han desarrollado el contenido del derecho humano a la salud cuyo contenido esencial lo caracteriza como un bien público que obliga al Estado a generar condiciones para asegurar la prestación de servicios médicos (Pacto Internacional de Derechos Económicos, Sociales y Culturales, 1976, art. 12; Protocolo adicional a la Convención Americana sobre Derechos Humanos en Materia de Derechos Económicos, Sociales y Culturales “Protocolo de San Salvador”, 1988, art. 10). En ese sentido, según la Asamblea General de Naciones Unidas (2014), la garantía y protección del derecho humano a disfrutar del derecho a la salud aplicaría en las mismas condiciones en el plano cibernético.

Sin embargo, el desarrollo interpretativo de los órganos de tratados del sistema universal de derechos humanos, o los parámetros de medición de avances en el cumplimiento del derecho a la salud en el sistema interamericano, no han contemplado la especificidad de la protección de facilidades médicas en el contexto de conflictos, menos aún en el ciberespacio (Grupo de Trabajo para el análisis de los informes nacionales del Protocolo de San Salvador, 2011; Comité de Derechos Económicos, Sociales y Culturales, 2000).

En suma, las visiones divergentes sobre la aplicabilidad del DI humanitario a operaciones cibernéticas, y la falta de consensos internacionales sobre las fronteras de aplicabilidad del DI humanitario a infraestructuras civiles generan vulnerabilidades e incertidumbres en la protección de los sistemas de asistencia de salud. Por ejemplo, los llamamientos internacionales a negociar y elaborar un instrumento internacional jurídicamente vinculante relativo a los sistemas de información en conflictos armados y operaciones cibernéticas, que incluya a Estados y actores no estatales, no han recibido un apoyo mayoritario hasta el momento (^{DeLuca, 2013}, pp. 313-314).

Sin duda, la persistente indefinición sobre ciertos aspectos de la aplicación del DI humanitario al ciberespacio genera, por sí, un riesgo para los Estados en virtud de la falta de especificidad sobre las reglas que pueden aplicar en el caso de recibir un ataque y cuáles son los medios de respuesta idóneos. En ese sentido, debe recordarse que una correcta definición del DI humanitario produce un efecto potencial para afectar la concepción de las obligaciones de los Estados en tiempos de paz. A continuación, se analizará de qué manera estos debates son manejados desde la política exterior ecuatoriana con relación a la construcción del DI-DDHH y DI humanitario de manera contrastada con la visión de la protección de los sistemas de asistencia de salud a nivel interno.

V. Disonancia discursiva en la política exterior ecuatoriana sobre la protección del derecho a la salud en el ciberespacio

La emergencia generada en 2020 por el Covid-19 renueva la necesidad de esclarecer el alcance y aplicabilidad de las normas de protección frente a operaciones cibernéticas para proteger los sistemas de asistencia de salud, especialmente en países pequeños o periféricos como Ecuador. En efecto, entre otras razones, la falta de claridad en la aplicación del DI-DDHH y DI humanitario para la protección del derecho a la salud y la infraestructura civil en el ciberespacio convierte al Ecuador en un país especialmente vulnerable ante la pandemia global del Covid-19.

Lejos de contribuir a despejar incertidumbres, los debates internacionales reseñados -la mayor parte de ellos aún sin una respuesta categórica- nublan aún más el ámbito de aplicación de la normativa para Estados que, como Ecuador, requieren proteger de manera efectiva sus sistemas de asistencia de salud, especialmente en situaciones de crisis o emergencia. Como consecuencia, parece estar produciéndose en Ecuador una disonancia discursiva entre la política exterior y la nacional con relación a la protección de los sistemas de asistencia de salud en el ciberespacio.

Como antecedente, debe recordarse que la posición ecuatoriana en materia de ciberseguridad se ha convertido en una prioridad nacional desde la segunda mitad de 2019. A la luz de los ataques cibernéticos supuestamente atribuidos a una reacción por el retiro, el 11 de abril de 2019, del asilo político reconocido al ciudadano Julian Assange en la Embajada en Londres, el Ecuador fortaleció las alianzas con organismos internacionales e incrementó la cooperación bilateral en esta materia. Esto significó una revitalización de su inserción en los debates multilaterales en materia de gobernanza en Internet y ciberseguridad (Frankz et al, 2019, p. 3).

Bajo este contexto, la posición que sostiene Ecuador en el ámbito multilateral que los procesos del GGE y del OEWG en el ámbito de Naciones Unidas no son excluyentes entre sí, sino complementarios, lo que ha significado el apoyo al trabajo en ambos espacios como una forma de asegurar y fortalecer la seguridad en el espacio cibernético (Avances en la esfera de la información y las telecomunicaciones en el contexto de la seguridad internacional, 2018, p. 4). En sus respectivas intervenciones en el OEWG, en septiembre de 2019 y febrero de 2020, Ecuador reconoció la importancia de la aplicación del Derecho internacional -incluidos el DI humanitario y el DI-DDHH- en el ciberespacio, desde el punto de vista de la generación de un marco normativo para el uso pacífico de este espacio (^{Gavrilovic & Stadnik, 2020}).

Asimismo, en el marco de la OEA, solo Ecuador y Guyana enfatizaron la necesidad de contar un nuevo Derecho internacional en el contexto cibernético a inicios de 2020. En particular, Ecuador manifestó una posición favorable a establecer regulaciones sobre «los ataques a objetivos militares y/o civiles que afecten masivamente a la población, como es el caso de la infraestructura crítica, los hospitales (…) y otra infraestructura que afecte a la seguridad del Estado» (^{Hollis, 2020}, p. 24).

Esta declaración muestra la conciencia de Ecuador de que es necesario proteger los sistemas de asistencia de salud de ataques cibernético. Sin embargo, también resalta la disonancia entre los pronunciamientos de política exterior y la normativa interna como se analiza a continuación. A la vez, estos pronunciamientos aislados resaltan la falta de consenso sobre la forma de avanzar en este proceso por parte de los Estados, a través de la aplicación de principios de Derecho internacional, incluido el DI humanitario y el DI-DDHH, o si es necesario un nuevo arreglo normativo.

No obstante, si bien las declaraciones ecuatorianas en los foros de Naciones Unidas y en el sistema Interamericano ratifican su voluntad de aplicar el DI humanitario y el DI-DDHH a operaciones cibernéticas (Oficina de Asuntos de Desarme de las Naciones Unidas, 2020), el manual de DI humanitario de las Fuerzas Armadas del Ecuador (2016, p. 30-35) no menciona el ámbito de aplicación de este régimen legal a operaciones cibernéticas, ni mucho menos su aplicabilidad con relación a infraestructura civil crítica tales como los sistemas de asistencia de salud

Esta disonancia discursiva sobre la aplicabilidad del DI humanitario y el DI-DDHH para el Ecuador genera incertidumbre respecto al marco legal de los sistemas de asistencia de salud en el espacio cibernético al no contar con un consenso sobre la interpretación de cómo se aplican estas normas entre Estados. Además, Ecuador aún no consta entre los países que respaldan el Llamamiento de París para la confianza y la seguridad en el ciberespacio de 2018 (Foro para la Gobernanza de Internet, 2018), lo que contraría la visión expresada en el CGE. Esta señal podría ser interpretada internacionalmente como un espacio de ambigüedad respecto a su posicionamiento sobre la aplicabilidad del DI humanitario y DI-DDHH a la protección del derecho a la salud y de la infraestructura crítica civil en el ciberespacio.

Para encontrar respuestas sobre la visión del Ecuador respecto a la aplicabilidad del DI humanitario a la protección de los sistemas de asistencia de salud en el ciberespacio, es necesario, por tanto, acudir a otros materiales. Por ejemplo, en su más reciente informe para la OEA, de marzo de 2020, Duncan Hollis (2020) compiló las respuestas de los Estados con relación a la aplicabilidad del Derecho internacional -incluidos el DI humanitario y el DI-DDHH- a las operaciones cibernéticas y, por derivación, a la protección de la infraestructura de los sistemas de asistencia de salud. Este documento refleja la posición del Ecuador sobre este tema y permite a la vez reafirmar las complicaciones de aplicar normas originadas a inicios del siglo XX para la protección de bienes y personas civiles, a los desafíos de las nuevas tecnologías en el siglo XXI.

En efecto, sobre la definición de una operación cibernética bajo normas de DI humanitario, el Ecuador sostiene que la misma es operativa «en caso de dejar sin funcionalidad la infraestructura crítica del Estado» (^{Hollis, 2020}, p. 17). Sin embargo, esta definición reafirma las debilidades identificadas en la falta de calificación de datos como objetos sin afectación a la funcionalidad de sistemas informáticos. Adicionalmente, ni Ecuador ni ningún otro Estado de la región apoyan la idea de aplicar el principio de distinción a datos civiles (Hollis, 2020, p. 18), lo cual constituye un punto primordial para la protección de los sistemas de asistencia de salud (^{Gisel, 2018}, p. 19), reconocido como tal en la regla 132 del Manual de Tallinn 2.0 (^{Schmitt, 2017b}, p. 168). Asimismo, el marco normativo ecuatoriano no contempla aspectos para la catalogación y defensa de infraestructuras críticas cibernéticas nacionales pues «no existe un claro registro de la infraestructura crítica y, peor aún, de una definición de la información estratégica» (^{Vargas et al., 2017}, p. 38).

Sobre este marco legal, la Política de la Defensa Nacional de 2018, actualmente vigente, muestra varias deficiencias conceptuales con relación a la definición de amenazas y objetivos medibles para una política de planificación (^{Rivera, 2019}). Además, su proyección de trabajo con miras al 2030, únicamente contempla la generación de una «capacidad considerable para defender la infraestructura crítica digital de las Fuerzas Armadas» (Ministerio de Defensa Nacional del Ecuador, 2019, p. 60). Esta concepción limitada se contrapone a la visión de la Agenda Política de la Defensa 2014-2017, que incluía como recursos estratégicos la información electrónica e infraestructura que afecta la seguridad integral del Estado y de los ciudadanos, incluido el ámbito sanitario (Ministerio de Defensa Nacional del Ecuador, 2014 pp. 55, 90-94).

En definitiva, el Ecuador se enfrenta a varios desafíos derivados, principalmente, de sostener internacionalmente una postura que no se ve inmediatamente reflejada en el plano doméstico. A ello se suma el hecho de que las dificultades conceptuales para incorporar normas difusas y tradicionales de DI humanitario que regulen las operaciones cibernéticas a nivel estatal, son exacerbadas por las lagunas internas respecto a la definición de infraestructura crítica, lo cual parece reducirse a objetivos militares. De esta manera, la ambigüedad de los parámetros para la protección de infraestructura civil en el espacio cibernético, incluidos los sistemas de asistencia de salud, reitera la necesidad de clarificar el marco normativo sobre el Derecho internacional aplicable pues las falencias internas afectan la coherencia del discurso del Ecuador respecto a las normas de DI humanitario y DI-DDHH aplicables en el ciberespacio.

VI. Consideraciones finales

1. La protección jurídica del derecho a la salud y de los sistemas de asistencia de salud en el marco de la emergencia sanitaria por el Covid-19, permite reflexionar acerca de la extensión de la aplicación del DI-DDHH y DI humanitario desde una visión tradicional hacia el ciberespacio. Desde este punto de vista, cada vez es más evidente que el derecho a la salud genera una obligación jurídica del Estado de proteger a todos los ciudadanos en su territorio, que se extiende a la necesidad de adoptar medidas para evitar que terceros actores interfieran mediante ciberataques en el goce de dicho derecho.

2. La aplicación del principio de progresividad al derecho a la salud, entendido como un bien público, permitiría extender la protección jurídica no sólo a las instalaciones físicas, sino también a toda eventual amenaza digital. De conformidad con los estándares establecidos por mecanismos internacionales de derechos humanos del sistema universal e interamericano, la obligación de evitar ataques cibernéticos permite garantizar la calidad y continuidad de los servicios de salud. Sin embargo, el sistema de mecanismos de supervisión y vigilancia del cumplimiento de los tratados internacionales no se ha pronunciado de manera sistemática o específica sobre la protección del derecho a la salud en el ciberespacio.

3. Varias iniciativas de soft law han impulsado una interpretación de lege ferenda para proteger el derecho a la salud a partir de una obligación de cooperación internacional entre los Estados. De acuerdo a esta concepción, los Estados tendrían una responsabilidad compartida para proteger el derecho a la salud y protegerlo frente a cualquier ataque cibernético, en particular aquellos que se originen desde sus propios Estados hacia terceros mediante una obligación extraterritorial. Por ejemplo, a nivel nacional, la Corte Constitucional del Ecuador ha aceptado que estándares emitidos por los Comités de Derechos Humanos del sistema universal y estándares interamericanos, que reconocen a la accesibilidad y a la calidad como elementos esenciales del derecho a la salud, generan un marco legal que por extensión amplía la protección este derecho al ciberespacio. Desde este punto, sería posible detectar la existencia de obligaciones directas a cargo de las instituciones públicas ecuatorianas.

4. Sin embargo, esa visión carece aún de un sustento legal, de una práctica consolidada y de un apoyo generalizado por parte de los Estados, tomando en consideración la falta de ratificación de ciertos instrumentos de derechos humanos y del reconcomiendo del valor del soft law como jurídicamente vinculante. De la misma forma, la protección del derecho a la salud derivada de una obligación extraterritorial de respeto del derecho a la vida en especial cibernético solo cubriría los casos más extremos.

5. Como alternativa, cabría pensar que un enfoque de seguridad interna y tipificación penal podría generar respuestas de responsabilidad penal originada en el deber de garantía del DI-DDHH. Sin embargo, las obligaciones contenidas en el Código Orgánico Integral Penal se aplican de manera territorial y no contemplan las conductas que sean cometidas desde el exterior por medios cibernéticos en contra de la salud en el Ecuador.

6. Adicionalmente, los actores criminales operan en el ciberespacio desde diferentes ubicaciones y su infraestructura está desconcentrada, sujeta a cambios constantes, lo que implica que cualquier enfoque puramente nacional esté destinado al fracaso. En este sentido, los esfuerzos de abordar la protección del derecho a la salud desde el ciberespacio a través de tratados internacionales de cooperación penal tampoco cubren las lagunas para una efectiva protección que defina claramente las obligaciones estatales.

7. Por su parte, desde la esfera de aplicación del DI-DDHH, incluso tomando en consideración varias propuestas normativas recientes, no ha logrado tampoco establecer en el plano normativo una forma de protección aceptada y efectiva por los Estados en el espacio cibernético tanto a las personas como a los sistemas de asistencia de salud.

8. Por analogía o por una aplicación de principios del Derecho internacional, varios autores y Estados alegan la obligación de aplicar sus disposiciones vigentes para operaciones cinéticas a aquellas en el ciberespacio. Sin embargo, esta visión está sujeta a constantes cuestionamientos en los debates inter-estatales sobre el alcance de las obligaciones de protección de los sistemas de asistencia de salud en el ciberespacio. Mientras estos debates se desarrollan, los vacíos en la protección de la salud se mantienen en el ciberespacio.

9. En este contexto, la falta de una visión colectiva, la ausencia de un consenso mínimo sobre la definición de obligaciones para la protección del derecho a la salud y los sistemas de asistencia de salud, así como la carencia de avances tangibles en el desarrollo del Derecho internacional en foros multilaterales no permiten clarificar el comportamiento responsable que deberían adoptar los Estados en el ciberespacio. El DI-DDHH y el DI humanitario están sujetos a constantes debates que no permiten esclarecer las obligaciones de los Estados en la protección del derecho a la salud y los sistemas de asistencia de salud.

10. En el ciberespacio, es poco probable que el DI humanitario tenga fuerza normativa para constreñir las acciones de los Estados frente a la protección de la salud. No parece existir un compromiso robusto por el respeto de estas normas internacionales. Desde el ámbito jurídico, no existe una clara definición sobre el grado de aplicabilidad del DI humanitario al ciberespacio para guiar las acciones de los Estados. Las soluciones interpretativas del CICR de extender el DI humanitario tradicional ciberespacio no han ganado tracción con los Estados. En los foros multilaterales, en particular Naciones Unidas, los Estados han mostrado reticencia frente a esta interpretación. Desde el ámbito doctrinal, iniciativas como el Manual de Tallinn, han generado avances sobre el DI humanitario aplicable a operaciones cibernéticas, pero mantiene ciertas falencias interpretativas.

11. Varias dificultades persisten respecto a la protección y estatus de los datos digitales de infraestructura crítica, como en el caso de los sistemas de asistencia de salud. De la misma forma, surgen dificultades para definir el inicio de la aplicación del DI humanitario, generando incertidumbre sobre el momento en el cual los sistemas de asistencia de salud están protegidos por esa normativa. Ni siquiera existe un consenso sobre la forma de abordar y continuar con los debates, ya sea a través de una interpretación de tratados vigentes, una renovación de los compromisos, la emisión de declaraciones políticas o la generación de nuevos tratados de derecho internacional aplicables al ciberespacio. La falta de soluciones o teorías unificadores genera confusión a los Estados y, sobre todo, una falta de responsabilidad en la protección de la salud de sus ciudadanos.

12. A nivel nacional, las disonancias discursivas y normativas sobre la protección del derecho a la salud y los sistemas de asistencia de salud, desde el DI humanitario y el DI-DDHH, dificultan la comprensión del ámbito de aplicación al espacio cibernético, tanto a nivel interno, como en la posición del Ecuador sobre este tema en espacios multilaterales, en particular con relación a los foros del GGE y OEWG de Naciones Unidas, así como en la OEA. Lejos de contribuir a despejar incertidumbres, los debates internacionales reseñados -la mayor parte de ellos aún sin una respuesta categórica- nublan aún más el ámbito de aplicación de la normativa para Estados como el Ecuador. El Ecuador se enfrenta a varios desafíos derivados, principalmente, de sostener internacionalmente una postura que no se ve inmediatamente reflejada en el plano doméstico respecto al ámbito de protección del derecho a la salud y de los sistemas de asistencia de salud.

13. La falta de consensos internacionales sobre el marco legal aplicable genera brechas a nivel de Estados -como Ecuador- en la regulación de la protección del derecho a la salud y los sistemas de asistencia de salud en el ciberespacio. La pandemia por Covid-19 no muestra señales de poder ser resuelta a corto plazo para los países en desarrollo. La presión operativa sobre los sistemas de salud podría tener un carácter sostenido. La protección del derecho a la salud y a los sistemas de asistencia de salud es esencial ante las implicaciones catastróficas que los ataques cibernéticos pueden tener para los Estados. Este tiempo de crisis podría ser una oportunidad: los Estados podrían aprovechar este momento para reafirmar y esclarecer sus compromisos sobre el Derecho internacional aplicable al ciberespacio. En este sentido, resulta oportuno repensar a la ciberseguridad como un asunto central de derechos humanos, esencial para proteger la salud.

14. Finalmente, en situaciones críticas, como la actual, la orientación de las decisiones institucionales que se adoptan en el presente tienen un impacto en el futuro, de manera que en un Estado puede tener lugar un agravamiento de los riesgos actuales al derecho a la salud y a los sistemas de protección de la salud, o una mejora de las condiciones de seguridad y salud de las personas más vulnerables (^{Klein, 2020}).