El informe analiza el control de exportaciones de tecnologías de cibervigilancia y la aplicación práctica del Reglamento (UE) 2021/821. La cuestión central es determinar qué capacidad técnica se transfiere realmente a un usuario concreto, si esa transferencia está sometida a control y qué circunstancias deben evaluarse cuando una tecnología puede utilizarse para la represión interna o para cometer violaciones graves de los derechos humanos o del derecho internacional humanitario.

El estudio distingue dos vías principales de control. Para los productos incluidos en el anexo I, el punto de partida es una clasificación técnica precisa. En el caso de los productos de cibervigilancia no incluidos en la lista, el artículo 5 establece un mecanismo específico relacionado con determinados usos especialmente sensibles. Por ello, la ausencia de un producto del anexo I no pone fin automáticamente al análisis. Al mismo tiempo, la posibilidad puramente teórica de utilizar cualquier programa informático con fines de vigilancia tampoco crea por sí sola una obligación general de obtener una licencia. Deben examinarse las funciones reales de la versión suministrada, la ruta de transferencia, el usuario final y el uso previsto.

Una parte importante del informe se centra en la diligencia debida respecto del uso final. Se diferencian las funciones del comprador, el receptor, el operador del sistema y la persona u organismo que decide quién será objeto de vigilancia. También se estudian los intermediarios, el acceso remoto y en la nube, las actualizaciones de software, la asistencia técnica y los cambios de usuario o de país después de una autorización inicial. El informe separa cuidadosamente los distintos umbrales del artículo 5 para evitar confundir una notificación de la autoridad competente, el conocimiento por parte del exportador de un uso sensible y las posibles normas nacionales basadas en la existencia de motivos de sospecha.

ARGA propone un modelo práctico basado en una ficha funcional del producto, un expediente estructurado de cada operación, un registro de cuestiones no resueltas, condiciones de licencia precisas, salvaguardias contractuales y técnicas, una revisión posterior a la entrega activada por acontecimientos relevantes y un procedimiento seguro para recibir denuncias de abuso. La calidad de las pruebas ocupa un lugar central: identificar rastros de una herramienta, determinar quién la utilizó y demostrar un uso ilícito son conclusiones distintas que requieren fundamentos diferentes.

La posición de ARGA consiste en aplicar controles específicos capaces de prevenir abusos graves sin convertir automáticamente toda actividad de cibervigilancia, ciberseguridad o investigación en una actividad prohibida. El estándar práctico propuesto se resume en cinco preguntas: qué capacidad se transfirió, a quién, por qué la operación era admisible, qué hechos podrían cambiar esa decisión y cómo podría la organización conocer esos nuevos hechos.