Veintinueve legisladores europeos piden condicionar la adhesión tras hallarse Pegasus y NoviSpy en teléfonos de activistas estudiantiles serbios
Un grupo de 29 miembros del Parlamento Europeo presentó el viernes una carta formal exigiendo ralentizar el proceso de adhesión de Serbia a la Unión Europea hasta que se complete una investigación sobre el uso de spyware por parte del gobierno de Belgrado. La demanda se basa en un informe publicado esta semana por SHARE Foundation, Amnesty International y The Citizen Lab de la Universidad de Toronto, que documentó infecciones de Pegasus y NoviSpy en dispositivos de activistas estudiantiles serbios. Según los investigadores, la evidencia técnica de las infecciones de NoviSpy apunta directamente a autoridades del gobierno serbio, aunque no asignaron responsabilidad específica por las infecciones de Pegasus.
Cómo el hallazgo técnico escaló a presión diplomática en 48 horas
El informe de SHARE Foundation no es el primer señalamiento de vigilancia digital en los Balcanes, pero su timing coincide con un momento de tensión política preexistente entre Bruselas y Belgrado. La carta de los eurodiputados se suma a otra crisis diplomática desatada días antes: la Comisaria de Ampliación Marta Kos canceló su propia visita a Serbia el viernes por la presunta glorificación de Ratko Mladic, el excomandante del ejército serbobosnio condenado por crímenes de guerra. Los legisladores ahora piden que la Presidenta de la Comisión Europea, Ursula von der Leyen, cancele también una visita planeada a Serbia.
Hannah Neumann, una de las eurodiputadas firmantes, indicó a CyberScoop que el spyware no es el único factor detrás de las demandas, pero funciona como evidencia adicional de un patrón de deterioro democrático que el Parlamento Europeo ya venía cuestionando. La carta describe el uso de spyware como un ataque directo del Estado contra la democracia, no como una falla técnica, y vincula la vigilancia digital con el desmantelamiento sistemático de la oposición política en el contexto de elecciones próximas en Serbia.
Qué distingue a NoviSpy de Pegasus en este caso
Los investigadores de The Citizen Lab y Amnesty International identificaron dos familias de spyware en los dispositivos analizados. Pegasus, desarrollado por la empresa israelí NSO Group, es una herramienta de vigilancia comercial que ha sido vinculada a múltiples gobiernos en casos anteriores, pero en esta ocasión los investigadores no pudieron atribuir la infección a un actor específico. NoviSpy, en cambio, dejó indicadores técnicos que los investigadores consideraron suficientes para apuntar a autoridades del gobierno serbio como operadores probables de la campaña de vigilancia.
La distinción es relevante porque establece una cadena de responsabilidad más clara en el caso de NoviSpy, mientras que Pegasus mantiene su patrón habitual de atribución difusa. Esto refuerza el argumento de los eurodiputados de que existe una política de vigilancia estatal dirigida, no un uso oportunista de herramientas comerciales por actores no estatales.
El precedente que complica la posición de Bruselas
La carta de los 29 legisladores europeos llega en un momento incómodo para la Unión Europea: varios Estados miembros enfrentan sus propias acusaciones de uso de spyware contra periodistas, activistas y opositores políticos. Casos documentados en Polonia, Hungría, España y Grecia han generado presión interna para que la UE implemente las recomendaciones del Comité PEGA del Parlamento Europeo, creado específicamente para investigar abusos de spyware dentro del bloque.
Recientemente se reveló que un miembro del propio Comité PEGA fue objetivo de vigilancia con spyware, lo que reavivó los llamados a endurecer las regulaciones internas. Esta situación genera una tensión evidente: exigir a Serbia estándares de rendición de cuentas que varios Estados miembros aún no cumplen de manera consistente. Los eurodiputados firmantes argumentan que la adhesión de un nuevo miembro debe estar condicionada a mejoras verificables en el estado de derecho, pero el precedente interno debilita la coherencia del mensaje.
Por qué este caso importa más allá de los Balcanes
El uso de spyware comercial por parte de gobiernos en procesos de adhesión a la UE establece un precedente sobre qué nivel de vigilancia digital es tolerable en democracias candidatas. Serbia no es el único país de la región que enfrenta cuestionamientos por prácticas de vigilancia, pero es el primero en el que un grupo significativo de eurodiputados propone explícitamente ralentizar la adhesión como consecuencia directa de un hallazgo técnico de spyware.
Para América Latina, el patrón es familiar: gobiernos de la región han enfrentado revelaciones similares sobre el uso de Pegasus y otras herramientas de vigilancia comercial contra periodistas, defensores de derechos humanos y opositores políticos, sin que exista un marco regional equivalente al proceso de adhesión europeo que funcione como palanca de presión. México, El Salvador y otros países han sido vinculados a campañas de vigilancia digital sin que organismos regionales como la OEA hayan logrado articular respuestas con consecuencias concretas comparables a las que ahora se discuten en el contexto europeo.
Nuestro análisis
Este caso revela una contradicción estructural en cómo la Unión Europea maneja la vigilancia digital: aplica estándares más estrictos a países candidatos que a sus propios miembros. La carta de los 29 eurodiputados exige que Serbia demuestre rendición de cuentas en el uso de spyware como condición para avanzar en su adhesión, pero varios Estados miembros operan bajo marcos legales que permiten vigilancia digital con supervisión judicial limitada. El hallazgo de NoviSpy en dispositivos de activistas estudiantiles serbios es técnicamente sólido según los investigadores de The Citizen Lab, pero la respuesta política depende menos de la evidencia forense que del contexto diplomático preexistente: la crisis por Ratko Mladic ya había generado cancelaciones de visitas antes de que el informe de spyware se hiciera público.
Lo que queda sin resolver es si la UE está dispuesta a aplicar el mismo nivel de escrutinio a sus propios miembros. El Comité PEGA produjo recomendaciones específicas sobre regulación de spyware comercial, pero su implementación sigue siendo voluntaria y desigual entre Estados miembros. Mientras tanto, la revelación de que un miembro del propio comité fue objetivo de vigilancia sugiere que la amenaza no es externa ni exclusiva de países candidatos. ¿Qué pasaría si la UE condicionara fondos estructurales o participación en programas de seguridad a los mismos estándares de rendición de cuentas que ahora exige a Serbia?