Lo Que el Supremo Decidió Realmente el 27 de Julio
El 27 de julio de 2026, un tribunal de cinco jueces del Tribunal Supremo del Reino Unido se dividió por 3 votos contra 2 en Kingdom of Bahrain v Shehabi and another, citado como [2026] UKSC 25. Lord Lloyd-Jones, Lord Hamblen y Lady Simler formaron la mayoría; Lord Leggatt y Lord Burrows discreparon. El caso había llegado al máximo tribunal del país después de que tanto el High Court como el Tribunal de Apelación, en [2024] EWCA Civ 1158, rechazaran la alegación de inmunidad de Estado de Baréin.
La mayoría del Tribunal Supremo sostuvo que un Estado extranjero no tiene derecho a la inmunidad frente a procedimientos civiles cuando sus agentes instalan un programa espía en un ordenador situado en el Reino Unido y ello causa un daño psiquiátrico, incluso cuando los propios agentes del Estado nunca entraron físicamente en el país. Eso abre paso a un juicio completo ante el High Court, donde se decidirá, sobre la base de los hechos, la implicación real de Baréin y cualquier indemnización.
La Infección con FinSpy Detrás del Caso
El doctor Saeed Shehabi y Moosa Mohammed son activistas prodemocracia bareiníes que llevan años viviendo en Londres. Sostienen que, a partir de septiembre de 2011 aproximadamente, agentes que actuaban en nombre del Reino de Baréin infectaron sus ordenadores con el programa espía FinSpy, una herramienta de vigilancia capaz de recopilar archivos, comunicaciones y pulsaciones de teclado de un dispositivo infectado. Según el resumen del caso elaborado por el Tribunal Supremo, los dos activistas afirman que descubrieron la intrusión hacia agosto de 2014, a raíz de filtraciones vinculadas a WikiLeaks y al grupo de investigación Bahrain Watch, y que descubrir que llevaban años bajo vigilancia les provocó un daño psiquiátrico duradero.
La defensa de Baréin a lo largo de todo el litigio no consistió en negar que el hackeo hubiera ocurrido, sino en sostener que, como Estado soberano, era inmune a ser demandado por ello ante un tribunal británico. Es precisamente ese argumento de inmunidad, y no los hechos subyacentes del hackeo, lo que el Tribunal Supremo acaba de rechazar.
Por Qué la Ubicación Fue Toda la Batalla Legal
La Sección 5 de la State Immunity Act de 1978 retira la inmunidad a un Estado extranjero en procedimientos por lesiones personales causadas por un acto u omisión en el Reino Unido. La cuestión que llegó ante cinco jueces del Tribunal Supremo no era si Shehabi y Mohammed habían sufrido daño, sino si un programa espía operado desde Baréin y dirigido contra ordenadores situados en Londres contaba siquiera como un acto cometido en el Reino Unido.
La mayoría razonó que la conducta jurídicamente relevante es el lugar donde se ejecuta la operación contra su objetivo, de modo que un acto puede ser territorial incluso cuando quien lo dirige nunca cruza una frontera; la sentencia, según se informó, trazó un paralelismo con un ataque de dron o un ataque remoto contra los sistemas del NHS, casos en los que nadie sostendría en serio que el daño se produjo solo donde estaba situada la consola del operador. Lord Leggatt y Lord Burrows discreparon precisamente en este punto, argumentando que un funcionario que maneja un programa espía desde Baréin actúa en Baréin, y que el Reino Unido es simplemente el lugar donde se sintieron las consecuencias, no aquel donde tuvo lugar el acto en sí.
Tesis Original: El Programa Espía Nunca Fue una Importación Extranjera
La mayor parte de la cobertura de esta sentencia se ha centrado en lo que significa para el alcance de la inmunidad de Estado en las operaciones cibernéticas. El detalle que cambia el cálculo para la política británica es de dónde vino realmente FinFisher, comercializado también como FinSpy. Según el litigio que Privacy International interpuso contra las autoridades británicas de exportación y las investigaciones publicadas por Citizen Lab, el programa espía fue desarrollado y vendido por Gamma International, una empresa registrada en Andover, Reino Unido, que opera junto a una filial hermana con sede en Múnich.
Eso significa que no se trata simplemente de un precedente sobre Estados extranjeros que actúan sobre Gran Bretaña desde el exterior. Es un precedente que recae sobre una cadena de suministro comercial con sede en el Reino Unido, una cadena que ya llevaba años bajo un escrutinio aparte sobre si sus licencias de exportación a compradores autoritarios cumplían la legislación británica. Una herramienta construida y comercializada en suelo británico, una vez revendida a un gobierno extranjero, ha dado lugar ahora a una sentencia que expone a ese gobierno a una demanda británica precisamente por el uso que se hizo de la herramienta, lo que eleva el riesgo para cualquier proveedor de vigilancia domiciliado en el Reino Unido que venda a mercados con un historial débil en derechos humanos: la conducta posterior del comprador puede ahora volverse en su contra a través de un tribunal británico, lo que también atrae una atención incómoda sobre el lugar donde se construyó la herramienta.
Qué Sigue Ahora y Qué No Resuelve Esta Sentencia
El Tribunal Supremo no falló que Baréin hubiera autorizado realmente el hackeo, ni fijó ninguna cifra de indemnización. Lo que decidió es más limitado y, en la práctica, más trascendente: Baréin no puede usar la inmunidad de Estado para mantener el caso fuera de un tribunal británico. La demanda regresa ahora al High Court para un juicio completo sobre el fondo, donde Shehabi y Mohammed tendrán que probar la implicación de Baréin y el alcance de su daño psiquiátrico.
Para cualquier gobierno extranjero que esté llevando a cabo, o que se plantee llevar a cabo, una operación de vigilancia contra una persona físicamente presente en el Reino Unido, la inmunidad ha dejado de ser un escudo automático en el momento en que se pide a un tribunal británico que conozca la demanda. Y para cualquier empresa con sede en el Reino Unido que fabrique herramientas que hagan posible ese tipo de operación, esta sentencia es un recordatorio de que la exposición no termina con la licencia de exportación: puede resurgir años después en forma de demanda nacional sobre lo que un cliente extranjero hizo con lo que compró.
Leer a continuación: Un diario de 1947 fija la regla de las VPN en Europa | Una sentencia sobre Meta alcanza a toda plataforma
