El Consejo de la Unión Europea adoptó el pasado 13 de octubre la Decisión (UE) 2025/2307, por la que se autoriza la firma, en nombre de la Unión, de la Convención de las Naciones Unidas contra la Ciberdelincuencia, un tratado internacional que marca un hito en la cooperación global para combatir los delitos cometidos mediante sistemas de tecnología de la información y las comunicaciones.
La decisión, firmada en Luxemburgo por el ministro danés de Justicia Peter Hummelgaard, en representación de la Presidencia rotatoria del Consejo Europeo, permite a la Comisión Europea y a los Estados miembros firmar este instrumento jurídicamente vinculante que establece el primer marco universal para investigar y enjuiciar delitos cibernéticos.
Un tratado histórico tras cinco años de negociaciones
La Convención fue adoptada el 24 de diciembre de 2024 mediante la Resolución 79/243 de la Asamblea General de las Naciones Unidas, tras cinco años de intensas negociaciones entre Estados miembros, con la participación de expertos, sociedad civil, el mundo académico y el sector privado. El texto quedó abierto a la firma durante una ceremonia oficial celebrada en Hanói, Vietnam, los días 25 y 26 de octubre de 2025, en la que 65 países estamparon su rúbrica en este tratado histórico.
El secretario general de la ONU, António Guterres, calificó la Convención como «un instrumento poderoso y jurídicamente vinculante para reforzar nuestras defensas colectivas contra la ciberdelincuencia» y «un testimonio del poder continuo del multilateralismo para ofrecer soluciones». El tratado permanecerá abierto a la firma en la Sede de las Naciones Unidas en Nueva York hasta el 31 de diciembre de 2026, y entrará en vigor 90 días después del depósito de su cuadragésima ratificación.
Alcance y contenido del tratado
La Convención establece un marco jurídico integral para la lucha contra la ciberdelincuencia a escala global, con disposiciones que abarcan diversos aspectos fundamentales:
Tipificación de delitos: el tratado armoniza un conjunto limitado de delitos claramente definidos, permitiendo la flexibilidad necesaria para que los Estados parte eviten la criminalización excesiva de conductas legítimas. Entre los delitos tipificados se incluyen el fraude informático, el acceso ilícito a sistemas, los actos relacionados con material de abuso sexual infantil en línea, la captación de menores y la difusión no consentida de imágenes íntimas.
Intercambio de pruebas electrónicas: la Convención facilita el intercambio transfronterizo de pruebas en forma electrónica relativas a delitos graves —aquellos punibles con una privación de libertad máxima de al menos cuatro años o una pena más severa—, estableciendo una red de cooperación entre Estados disponible las 24 horas del día, los 7 días de la semana.
Cooperación internacional reforzada: El instrumento crea mecanismos de asistencia mutua en investigaciones, enjuiciamientos, recuperación de activos y procedimientos judiciales transfronterizos, superando las barreras jurisdiccionales que tradicionalmente han dificultado la persecución de delitos cibernéticos.
Salvaguardias de derechos humanos y protección de datos
Una de las características distintivas de la Convención es su robusto sistema de salvaguardias de derechos humanos y protección de datos personales, diseñado para garantizar que la cooperación internacional no se realice a costa de libertades fundamentales.
El tratado excluye cualquier interpretación que conduzca a la supresión de los derechos humanos o las libertades fundamentales, en particular las libertades de expresión, conciencia, opinión, religión o creencia, reunión pacífica y asociación. Las salvaguardias también garantizan que se pueda denegar la cooperación internacional si fuera contraria al Derecho interno de los Estados parte o si resultara necesaria para evitar cualquier forma de discriminación.
En materia de protección de datos, la Convención se ajusta plenamente a los objetivos de la Unión Europea, de conformidad con el artículo 16 del Tratado de Funcionamiento de la Unión Europea (TFUE) y la Carta de los Derechos Fundamentales. El texto incluye una disposición específica que garantiza la aplicación de principios fundamentales como la limitación de la finalidad, la minimización de datos, la proporcionalidad y la necesidad antes de facilitar datos personales a otro Estado parte.
Además, la Convención establece condiciones y salvaguardias horizontales que incluyen la revisión judicial u otra forma de examen independiente, el derecho a un recurso efectivo, la justificación de la aplicación de medidas y la limitación del alcance y duración de tales facultades o procedimientos. Los Estados parte deben incorporar el principio de proporcionalidad a su Derecho interno.
Implicaciones para la Unión Europea
La participación de la UE en este tratado resulta estratégica por múltiples razones:
Complementariedad con el Convenio de Budapest: la Convención de la ONU refuerza la capacidad de la UE para combatir la ciberdelincuencia y facilita la cooperación internacional con los 115 Estados miembros de las Naciones Unidas que no son parte del Convenio de Budapest sobre la Ciberdelincuencia, cubriendo una importante laguna en la lucha contra delitos de alcance global.
Competencias compartidas: la Unión y sus Estados miembros tienen competencias en los ámbitos cubiertos por la Convención. En el ámbito de las competencias compartidas, los Estados miembros conservan su competencia en la medida en que la Convención no afecte a normas comunes ni altere su ámbito de aplicación.
Voz relevante en la implementación: la pronta firma garantiza que la UE tenga una voz relevante en las primeras fases de la aplicación de este nuevo marco mundial para la lucha contra la ciberdelincuencia.
Coherencia normativa: la Comisión Europea garantizó durante las negociaciones la compatibilidad de la Convención con las normas pertinentes de la Unión. Se han previsto una serie de reservas y notificaciones para asegurar la compatibilidad con el Derecho y las políticas de la UE, así como la aplicación uniforme del tratado por los Estados miembros en sus relaciones con partes no pertenecientes a la UE.
Excepciones dentro de la UE
No todos los Estados miembros de la Unión participan en esta decisión. De conformidad con el Protocolo n.º 21 sobre la posición del Reino Unido y de Irlanda respecto del espacio de libertad, seguridad y justicia, Irlanda no participa en la adopción de esta decisión y no queda vinculada por ella ni sujeta a su aplicación. Asimismo, según el Protocolo n.º 22, Dinamarca tampoco participa en la adopción de la decisión ni queda vinculada por ella.
El desafío de la ciberdelincuencia
La adopción de este tratado responde a una amenaza creciente que no conoce fronteras. Según expertos del sector citados por Naciones Unidas, se prevé que los costes globales de la ciberdelincuencia alcancen los 10,5 billones de dólares anuales en 2025. El ministro danés Peter Hummelgaard advirtió sobre el aumento de los fraudes informáticos, los ciberataques masivos y el abuso sexual infantil en línea, destacando que la adopción del Convenio de la ONU contra la Ciberdelincuencia es un avance clave en la lucha global contra este fenómeno.
En 2023, el 67,4% de la población mundial utilizaba Internet, lo que significa que más de dos tercios de la humanidad están en riesgo de convertirse en objetivos de la ciberdelincuencia, incluyendo extorsión, robo de activos, datos y otra información valiosa.
Próximos pasos
La Presidencia del Consejo Europeo priorizará los trámites para que la UE y sus Estados miembros firmen y ratifiquen el tratado antes de su envío al Parlamento Europeo para su aprobación. El Supervisor Europeo de Protección de Datos, consultado de conformidad con el Reglamento (UE) 2018/1725, ya emitió su dictamen favorable el 4 de septiembre de 2025.
La Decisión (UE) 2025/2307 entró en vigor al día siguiente de su adopción, el 14 de octubre de 2025, marcando el inicio de un nuevo capítulo en la cooperación global para garantizar un ciberespacio más seguro y proteger los derechos de los ciudadanos en el entorno digital.
