Veintiocho palabras
El artículo 5 de la State Immunity Act 1978 británica dice, íntegramente:
"A State is not immune as respects proceedings in respect of— (a) death or personal injury; or (b) damage to or loss of tangible property, caused by an act or omission in the United Kingdom."
— "Un Estado no goza de inmunidad respecto de los procedimientos relativos a: (a) muerte o lesiones personales; o (b) daño o pérdida de bienes tangibles, causados por un acto u omisión en el Reino Unido."
El Parlamento escribió eso pensando en el coche de una embajada y un peatón. El 27 de julio de 2026, en The Kingdom of Bahrain v Shehabi and another [2026] UKSC 25, cinco magistrados decidieron si alcanza también a un implante espía enviado desde un servidor en Baréin a dos portátiles en Londres. Tres dijeron que sí. Dos dijeron que esa respuesta sitúa a Gran Bretaña en incumplimiento del derecho internacional.
Una condición que falta
La ley existe en parte para que Gran Bretaña pudiera ratificar el Convenio Europeo sobre Inmunidad de los Estados (Basilea, 1972), cuya versión de la misma excepción añade una condición: el artículo 11 exige que los hechos hayan ocurrido en el Estado del foro "and that the author of the injury or damage was present in that territory at the time" — y que el autor de la lesión o el daño estuviera presente en ese territorio en aquel momento. El artículo 5 conserva el primer punto de conexión y suprime el segundo.
La mayoría —Lord Lloyd-Jones, Lord Hamblen y Lady Simler— sostuvo que la omisión fue deliberada. La presunción de que una ley debe encajar con su tratado "has no application here because the departure from the treaty scheme is deliberate. In our view, this is determinative of the appeal" —no es de aplicación aquí porque el apartamiento del esquema del tratado es deliberado; a nuestro juicio, ello resuelve el recurso— (párr. 74). Y después la frase que cambia el derecho: "an act includes an act done using mechanical, electrical or other automated or remote means… even if the person responsible… is not physically present at the location where the act takes place" —un acto comprende el realizado por medios mecánicos, eléctricos u otros medios automatizados o remotos… aunque el responsable… no esté físicamente presente en el lugar donde el acto tiene lugar— (párr. 131). Los tribunales suelen leer este tipo de leyes de forma restrictiva, para mantener al Estado fuera de problemas. Este las leyó más ampliamente a propósito, y a continuación se abstuvo de decidir si el derecho internacional consuetudinario lo permitía, apoyándose en "a reasonable basis" —una base razonable— (párr. 79). Una regla dura sobre un cimiento blando.
Lo que se alegó, y cómo llegó a saberse
El doctor Saeed Shehabi dirige el Bahrain Freedom Movement; Moosa Mohammed es un fotógrafo al que se le revocó la ciudadanía bareiní en 2012. Ambos viven en Londres. Desde alrededor de septiembre de 2011, alegan, personas que actuaban por cuenta de Baréin instalaron FinSpy —vendido por Gamma Group— en sus ordenadores, con los operadores sentados en el extranjero y el servidor de control en Baréin. En declaraciones a Index on Censorship el 31 de julio, Shehabi describió el caso como referido a "the feeling that nowhere is safe" —la sensación de que ningún sitio es seguro—; Mohammed dijo que está "chasing accountability" —persiguiendo que alguien rinda cuentas—.
Entre los actos alegados como ocurridos en Inglaterra figuran la sobrescritura del disco duro, la activación de los micrófonos y las cámaras y —memorablemente— el uso de la batería de los dispositivos. Baréin necesitaba que todo ello fuera meramente el efecto de un acto realizado en Manama, distinción que el Tribunal de Apelación ya había calificado de "artificial and unprincipled" —artificial y carente de fundamento—.
Nada de ello resultaba visible para los hombres a quienes les ocurría. Unos correos sospechosos llegaron a Bill Marczak, del Citizen Lab de Toronto, en mayo de 2012: un testigo al que el juez de instancia calificó de "plainly well-qualified" —manifiestamente bien cualificado— aunque parti pris en lo tocante a Baréin. El 25 de julio de 2012 Citizen Lab identificó el servidor de control, 77.69.140.194, dentro del rango de Batelco; esa dirección reaparece en los escritos de demanda ocho años después, y esa es la corroboración que no depende de Marczak. Un archivo filtrado de Gamma publicado en 2014 contenía una lista de objetivos en la que, según los demandantes, figuran sus portátiles. Así se enteraron — y el descubrimiento, no la vigilancia, es el daño por el que demandan, al amparo de una ley de 1997 escrita para los acosadores.
La respuesta de Baréin es estrecha y real: los demandantes "provided no evidence as to how their computers were alleged to have been infected" —no aportaron prueba alguna sobre cómo se alegaba que sus ordenadores habían sido infectados— y los dos ordenadores nunca fueron examinados: ni por Marczak, ni por nadie. Infección en septiembre de 2011, descubrimiento en agosto de 2014, demanda presentada en 2020, sentencia en julio de 2026: catorce años y diez meses, seis de ellos empleados únicamente en establecer que un tribunal puede mirar.
El mejor argumento en contra, en toda su fuerza
La objeción de Lord Leggatt es gramatical: las personas "can only act (or omit to act) where they are spatially located" —solo pueden actuar (u omitir actuar) allí donde se hallan situadas espacialmente— (párr. 198), de modo que los actos del operador "all take place in Bahrain" —tienen lugar todos en Baréin— y lo que ocurre en Londres es su efecto. El artículo 5 tampoco exige que la lesión se produzca aquí (párr. 219), así que el único elemento británico puede ser una máquina.
Y después la frase más dura de la sentencia, sobre si algún Estado ha denegado alguna vez la inmunidad por un ilícito cometido por un agente ausente: "there is a complete absence of any such practice. There is not even a single instance of it" —hay una ausencia total de tal práctica; no existe ni un solo caso de ella— (párr. 315). La mayoría lo admite en el párr. 89, y ninguna de las partes pudo señalar un caso resuelto en ningún lugar que fuera en sentido contrario.
Lord Burrows demuestra que el artículo puede leerse de forma compatible con el artículo 11, y a continuación hace la concesión que vuelve honesta, y no meramente ingeniosa, a la disidencia (párr. 339): léase la ley "divorced from its public international law context" —desgajada de su contexto de derecho internacional público— y en efecto se evitaría tener que distinguir entre un agente en Londres y esa misma vigilancia ejecutada desde un teclado en el extranjero. "But… it is impermissible for this court, and would constitute an undermining of the rule of law, to adopt a statutory interpretation that contradicts public international law unless Parliament has enacted legislation that clearly requires that." — Pero es inadmisible que este tribunal, y supondría socavar el Estado de derecho, adopte una interpretación legal que contradiga el derecho internacional público salvo que el Parlamento haya aprobado una legislación que claramente lo exija. Su remedio es una ley, no la inmunidad.
Leggatt pone además por escrito la parte incómoda: en el párr. 175, las facultades para "target computer equipment abroad" —atacar equipos informáticos en el extranjero— se atribuyen a las propias agencias británicas por las Partes 2 y 5 de la Investigatory Powers Act 2016. Si el acto ocurre allí donde está la máquina, el GCHQ actúa dondequiera que aterricen sus órdenes. Pero compruebe la aritmética antes de llamarlo simetría: sobre las leyes tal como fueron aprobadas —Japón 2009, España 2015, Rusia 2015, China 2023— ninguna podría reflejar la regla británica sin reformar su propio derecho. La exposición corre a favor de Gran Bretaña: una propiedad incómoda para un principio.
Frente a todo lo cual, una única respuesta acotada. La divergencia fue un hábito, no un desliz: el párr. 68 enumera cinco lugares en los que la ley se aparta de sus equivalentes del Convenio. Este texto no afirma que la mayoría acertara en materia de derecho internacional consuetudinario; el tribunal se abstuvo de decidirlo. Afirma solo esto: un requisito de presencia no hace difícil demandar por una intrusión remota, la hace inmune por construcción — todos los implantes, para siempre, en toda jurisdicción que lo adopte. Kidane v Ethiopia (2017) —que este tribunal resume en los párrs. 287–290 y califica de "particularly close" —particularmente próximo— a estos hechos— es el aspecto que eso tiene desde el lado de la víctima: Etiopía envió por correo FinSpy al ordenador de un residente de Maryland, y la exigencia de un ilícito íntegro en suelo estadounidense lo dejó sin nada. Adviértase que la objeción del propio Burrows versa sobre quién actualiza la regla, y va dirigida al Parlamento y no a estos dos hombres.
Lo que desbloquea, y el techo
Gran Bretaña ya ha recorrido este camino hasta el final, en otro caso. Ghanem Al-Masarir, un satírico saudí residente en Londres, alegó que Arabia Saudí había instalado Pegasus en dos iPhones. Demandó en 2019 al amparo del mismo artículo 5 —otro demandante, otro Estado y otra herramienta—, la inmunidad fue rechazada en 2022, y el Estado se marchó entonces, desatendiendo tres condenas en costas. El 26 de enero de 2026 el juez Saini concedió 3.025.662,83 libras, señalando que el KSA "has made a deliberate decision not to participate" —ha tomado la decisión deliberada de no participar— y que la ejecución en otros lugares "will be necessary" —será necesaria—. Porque el artículo 13 de esa misma ley atranca la salida: los bienes de un Estado "shall not be subject to any process for the enforcement of a judgment" —no quedarán sujetos a proceso alguno de ejecución de una sentencia— salvo que consienta por escrito o que los bienes tengan un uso comercial. Esa cifra pone techo a esta historia más que abrirla: la jurisdicción no es el cobro. Se puede ganar, ser creído, ver tasado el daño — y quedarse con un papel.
Ese techo es una decisión de diseño, y un tribunal estadounidense lo ha dicho con todas las letras. El interdicto de la jueza Phyllis J. Hamilton en WhatsApp v. NSO Group se hizo ejecutable el 28 de enero de 2026, cuando un panel del Noveno Circuito se negó a suspenderlo. Léase el párrafo 1: "notwithstanding anything herein, neither Defendants' foreign sovereign customers nor Defendants' outside counsel are Prohibited Parties." — No obstante cualquier disposición del presente, ni los clientes soberanos extranjeros de las demandadas ni sus abogados externos son Partes Prohibidas. El tribunal ordenó a los demandantes excluirlos, porque "are not before the court … of course an injunction in this case cannot apply to them" —no están ante el tribunal… por supuesto que un interdicto en este caso no puede aplicárseles— y nunca fueron parte porque, como decían los escritos de NSO, "cannot be sued due to their sovereign immunity" —no pueden ser demandados por razón de su inmunidad soberana—. La resolución sobre programas espía más trascendente de Estados Unidos prohíbe el código del vendedor y, por construcción, no puede alcanzar a los gobiernos que lo compraron y lo apuntaron. El 27 de julio es la primera grieta en eso.
Lo que sabemos y lo que no
Establecido: el artículo 5 no contiene un requisito de presencia, en Gran Bretaña, desde el 27 de julio de 2026. Sin establecer: si Baréin hizo algo de todo aquello — una resolución sobre jurisdicción dictada sobre hechos supuestos, con dispositivos nunca examinados y sin juicio sobre el fondo señalado. Sin probar: el artículo 5 exige muerte, lesiones personales o daño a bienes tangibles, y Al-Masarir prosperó en parte por intromisión en bienes muebles, de modo que si una demanda funciona para alguien vigilado pero no enfermado nunca se ha discutido frente a un Estado que comparezca para oponerse. Como resultado nulo de nuestra propia búsqueda: no aparece ninguna resolución de ejecución en Find Case Law a fecha de 5 de agosto de 2026, y no pudimos establecer que se haya recuperado nada de los 3,03 millones de libras. Adviértase también la fragilidad: tres demandas inglesas, un solo despacho de abogados, en buena medida un mismo equipo de letrados. No encontramos respuesta bareiní alguna.
Lo que realmente se puede hacer
Conserve un dispositivo sospechoso en lugar de borrarlo, y guarde los mensajes sospechosos con sus cabeceras intactas. Haga que un clínico documente pronto cualquier daño: la lesión es el gancho jurisdiccional, y el elemento que más rápido se deteriora. Envíe muestras a Citizen Lab o al Security Lab de Amnistía, cuyos análisis los tribunales han aceptado, y active la Protección Avanzada de Android o el Modo de Aislamiento de iOS antes de necesitarlos. La palanca es estrecha: Burrows dice que esto debe decidirlo el Parlamento, Gran Bretaña no tiene ningún proyecto de ley, y el artículo 13 sigue en pie hasta que alguien lo reforme — lo que convierte la brecha de ejecución en una elección legislativa, no en una ley de la naturaleza.
La confianza que no hace falta depositar
Los remedios siguen a la atribución, y la atribución es infraestructura: entornos aislados, archivos de muestras, indicadores publicados, investigadores que actúan sin permiso de ningún gobierno y a los que no se puede ordenar que paren. Por eso funcionó también en el tribunal: pruebas que ninguna parte por sí sola podía ser obligada a retirar. La vigilancia alegada no produjo síntoma alguno. El daño empezó únicamente cuando el trabajo forense de otra persona les contó a estos dos hombres lo que había estado en sus portátiles desde 2011. Ningún fiscal lo encontró. Ninguna plataforma se lo dijo.
El límite, dicho sin adornos: nada de eso habría detenido a FinSpy en 2011, y una sentencia vale solo lo que un soberano decida pagar. Pero la secuencia consta. Una labor forense independiente hizo legible el daño; la legibilidad hizo discutible el ilícito; y el argumento, catorce años y diez meses después, se llevó por delante la inmunidad.
Referencias (5 fuentes)
Referencias
- The Kingdom of Bahrain (Appellant) v Shehabi and another (Respondents) [2026] UKSC 25 — sentencia y resumen de prensa, 27 de julio de 2026; ref. UKSC/2024/0152, vista los días 26–27 de noviembre de 2025 (supremecourt.uk). Mayoría: Lord Lloyd-Jones, Lord Hamblen, Lady Simler; votos particulares de Lord Leggatt y Lord Burrows. Citas de los párrs. 68, 74, 79, 89, 131, 175, 198, 219, 287–290, 315, 339. Letrados: Tom Hickman KC (Volterra Fietta) por Baréin; Timothy Otty KC, Ben Silverstone y Philippa Webb (Leigh Day) por los recurridos.
- State Immunity Act 1978, ss.1, 5, 13, 16(2) (legislation.gov.uk); European Convention on State Immunity art. 11; UN Convention on Jurisdictional Immunities 2004 art. 12 — según se citan en [2026] UKSC 25, párrs. 22–25.
- Tribunales de instancia: [2023] EWHC 89 (KB) (Julian Knowles J, 8 feb 2023) y [2024] EWCA Civ 1158; [2025] KB 490 (Carr LCJ, Males y Warby LJJ, 4 oct 2024) — caselaw.nationalarchives.gov.uk.
- El-Khouri v Government of the United States of America [2025] UKSC 3.
- Al-Masarir v Kingdom of Saudi Arabia [2022] EWHC 2199 (QB); [2023] QB 475; y [2026] EWHC 119 (KB) (Saini J, 26 ene 2026; £3,025,662.83; "deliberate decision not to participate").
- Rukundo and Uwamahoro v Republic of Rwanda [2025] EWHC 1675 (KB) (Master Dagnall, 16 abr 2025).
- Kidane v Federal Democratic Republic of Ethiopia, 851 F 3d 7 (D.C. Cir., 14 mar 2017), según el resumen de [2026] UKSC 25, párrs. 287–290.
- WhatsApp Inc. v. NSO Group Technologies Ltd., N.D. Cal. 4:19-cv-07123-PJH (jueza Phyllis J. Hamilton): Dkt. 802 (17 oct 2025, "cannot apply to them" en la pág. 14); Dkt. 809 ¶ 1 (la exclusión de los clientes soberanos extranjeros); Noveno Circuito n.º 25-7380, suspensión denegada el 28 ene 2026.
- Citizen Lab, "From Bahrain With Love: FinFisher's Spy Kit Exposed?", Marquis-Boire y Marczak, 25 de julio de 2012 (servidor de control 77.69.140.194, rango de Batelco).
- Investigatory Powers Act 2016, Partes 2 y 5 (legislation.gov.uk).
- Declaraciones de los demandantes: Index on Censorship, "No more hiding behind borders, Bahrain told", Jemimah Steinfeld, 31 de julio de 2026. La composición de los equipos de letrados se confirmó mediante la nota de caso de Blackstone Chambers, 28 de julio de 2026.