Hasta ahora ha habido varias demandas y acciones legales importantes tanto contra NSO Group como vinculadas al uso de Pegasus, aunque muchas no han logrado llegar a una sentencia definitiva de responsabilidad penal o estatal. Las más conocidas han sido:
La demanda de Meta / WhatsApp acusando a NSO Group de violar leyes contra el fraude y el acceso no autorizado a sistemas al usar una vulnerabilidad de esa app para distribuir Pegasus en más de 1.400 dispositivos alrededor del mundo. En 2025, un jurado de California resolvió que NSO Group debe pagar unos 167 millones de dólares en daños y perjuicios a Meta. Este fallo es uno de los precedentes judiciales más importantes para responsabilizar a la empresa por el uso de su software, aunque es principalmente civil y comercial, no penal.
Periodistas de El Faro (El Salvador) alegaron que Pegasus fue usado para espiarles repetidamente (más de 200 infecciones documentadas). Ese caso ha tenido apoyo de organizaciones de prensa y derechos humanos y sigue en proceso legal (no ha finalizado con sentencia firme).
Un activista tailandés interpuso una demanda civil por el uso de Pegasus para espiar a personas de movimientos en favor de la democracia. Hubo audiencias públicas y debate legal, aunque en algunos casos los tribunales han desestimado o complicado el proceso por falta de pruebas técnicas introducidas por la parte demandante.
El caso español. En 2022, el entonces presidente de la Generalitat de Cataluña, Pere Aragonès, presentó una querella en España contra la exdirectora del CNI y contra NSO Group por delitos relacionados con espionaje y violación de derechos fundamentales. Esta acción se ha entrelazado con la investigación judicial en España sobre el uso de Pegasus en el país. Parte de esos procedimientos incluyen imputaciones recientes que mencionan a responsables de las empresas proveedoras del software.
En países como Hungría y otros Estados europeos hubo iniciativas de activistas o demandas ante el Tribunal Europeo de Derechos Humanos, buscando responsabilizar tanto a sus Gobiernos como indirectamente a NSO por facilitar abusos.
Esos procesos no han prosperado en ciertos casos por cuestiones de jurisdicción, inmunidad estatal o requisitos de prueba. Por eso, hasta ahora no ha habido una condena penal firme contra NSO Group ni contra un Estado usuario de Pegasus por espionaje ante un tribunal internacional (como la Corte Penal Internacional). Los expertos coinciden en que, debido al secretismo sobre contratos, exportaciones, licencias de inteligencia y evidencias forenses, identificar causas, responsables y pruebas técnicas claras es extremadamente difícil en tribunales.
¿Por qué es tan difícil que prosperen las demandas?
Según indican los propios demandantes, se debe principalmente a obstáculos jurídicos. Primero porque NSO Group opera desde Israel, vende a Estados extranjeros (ejemplo Marruecos), afecta a víctimas en terceros países (ejemplo Gobierno español). ¿Qué tribunal es competente? ¿Dónde se produjo el daño? ¿Dónde se ejecutó el acto ilícito? Muchos tribunales archivan por falta de competencia territorial.
Después, porque la defensa típica de NSO es la separación artificial “fabricante vs usuario”: “Nosotros solo vendemos la herramienta; el uso lo controla el Estado cliente”. Esto crea un vacío de responsabilidad cuando el fabricante dice que no ejecuta, y el Estado (por ejemplo, Marruecos ) afirma que no es demandable. Solo casos excepcionales (como WhatsApp/Meta) se ha roto esta barrera, porque NSO interactuó directamente con los servidores de WhatsApp y hubo acceso no autorizado a sistemas informáticos privados, no solo espionaje estatal.
Además, los contratos de Pegasus están cubiertos por licencias de exportación militar del Estado israelí y clasificadas como secreto de seguridad nacional. NSO aduce imposibilidad legal de revelar clientes y muchos tribunales aceptan a menudo esta limitación. Sin cliente identificado, no hay nexo causal completo.
Los obstáculos en las demandas contra Estados
La inmunidad soberana es un principio central del derecho internacional: un Estado (Marruecos) no puede ser juzgado por tribunales de otro Estado (España) por actos soberanos (acta jure imperii). Y no debe olvidarse que el espionaje se considera acto soberano, incluso si es ilegal.
Además, las demandas civiles, acciones penales e incluso embargos o sanciones judiciales directas pueden ser bloqueadas. Y si se acude a tribunales internacionales, existen infinidad de límites reales. Por ejemplo, el Tribunal Europeo de Derechos Humanos solo juzga a Estados miembros del Consejo de Europa y no a empresas. Además, sus sentencias son declarativas y no penales.
La Corte Penal Internacional solo juzga personas físicas, no Estados ni empresas, y requiere crímenes internacionales graves (lesa humanidad, guerra). El espionaje solo entraría en contextos extremos (represión masiva sistemática).
En la práctica, Pegasus queda fuera del alcance penal internacional. Y aunque España (por ejemplo) tenga pruebas de quién espió, está clasificada (SIGINT, contrainteligencia), y no puede aportarse sin revelar fuentes, y comprometer la seguridad nacional. Resultado: prueba existente pero jurídicamente inutilizable.
Deja una respuesta