El Chat Control de la UE llega a su fase final con medidas de vigilancia preocupantes

Después de una batalla de años, el plan «Chat Control» de la Comisión Europea, que mandaría el escaneo masivo y otras medidas que romperían el cifrado, finalmente ha logrado un acuerdo de posición dentro del Consejo de la UE, que representa a los Estados miembros. La buena noticia es que la parte más controvertida, el requisito forzoso de escanear mensajes cifrados, ha sido eliminada. La mala noticia es que hay mucho más que eso.

Una victoria parcial tras años de resistencia

Chat Control ha pasado por varias iteraciones desde que fue introducido por primera vez, con el Parlamento Europeo respaldando una posición que protege los derechos fundamentales, mientras que el Consejo de la UE pasó muchos meses persiguiendo un enfoque intrusivo centrado en el cumplimiento de la ley.

Muchas propuestas anteriores este año requerían el escaneo y detección de contenido ilícito en todos los servicios, incluyendo aplicaciones de mensajería privada como WhatsApp y Signal. Este requisito habría roto fundamentalmente el cifrado de extremo a extremo.

Gracias a los esfuerzos incansables de grupos de derechos digitales, incluyendo European Digital Rights (EDRi), logramos una mejora significativa: el Consejo acordó su posición, que eliminó el requisito que forzaba a los proveedores a escanear mensajes en sus servicios. También viene con un lenguaje fuerte para proteger el cifrado, lo cual es una buena noticia para los usuarios.

Los nuevos peligros: escaneo «voluntario» y verificación de edad

Pero aquí viene el problema: primero, la posición del Consejo permite la detección «voluntaria», donde las plataformas tecnológicas pueden escanear mensajes personales que no están cifrados de extremo a extremo. A diferencia de Estados Unidos, donde no hay una ley federal integral de privacidad, el escaneo voluntario técnicamente no es legal en la UE, aunque ha sido posible a través de una derogación que expirará en 2026.

No está claro cómo se desarrollará esto con el tiempo, aunque les preocupa que este enfoque al escaneo voluntario llevará al escaneo masivo privado de servicios no cifrados y podría limitar los tipos de servicios de comunicación y almacenamiento seguros que ofrecen los grandes proveedores.

El sistema de mitigación de riesgos

Con las órdenes de detección obligatorias fuera de la mesa, el Consejo ha adoptado otro sistema preocupante para proteger a los niños en línea: la mitigación de riesgos. Los proveedores tendrán que tomar «todas las medidas de mitigación razonables» para reducir los riesgos en sus servicios. Esto incluye medidas de verificación de edad y evaluación de edad.

Si plataformas de mensajería segura como Signal o WhatsApp son requeridas para implementar métodos de verificación de edad, remodelaría fundamentalmente lo que significa usar estos servicios de forma privada. Las herramientas de comunicación cifrada deberían estar disponibles para todos, en todas partes, de todas las edades, libre y sin el requisito de probar su identidad.

Contradicciones peligrosas en el texto

La posición del Consejo lista «actividades voluntarias» como una medida potencial de mitigación de riesgos. Si analizas esto a fondo, te quedas con una postura contradictoria, porque una actividad ya no es voluntaria si forma parte de una obligación formal de gestión de riesgos.

Aunque los tribunales podrían interpretar su mención en una evaluación de riesgos como una medida opcional disponible para proveedores que no usan canales de comunicación cifrados, esta lectura está lejos de ser cierta, y el lenguaje actual, como mínimo, empujará a servicios no cifrados a realizar escaneo voluntario si no quieren invertir en opciones alternativas de mitigación de riesgos.

La necesidad de mayor claridad

Por la misma razón, se necesita un lenguaje claro e inequívoco para prevenir que las autoridades tomen una visión hostil de lo que significa «permitir el cifrado» si eso significa entonces esperar que los proveedores de servicios implementen escaneo del lado del cliente.

Aunque se agradece la clara garantía en el texto de que el cifrado no puede ser debilitado o eludido, incluyendo a través de cualquier requisito para conceder acceso a datos protegidos, una mayor claridad vendría de una declaración explícita de que el escaneo del lado del cliente no puede coexistir con el cifrado.

El momento decisivo

Mientras nos acercamos a las negociaciones finales de «trílogo» de esta regulación, se insta a los legisladores de la UE a trabajar en un texto final que proteja completamente el derecho de los usuarios a la comunicación privada y evite mandatos intrusivos de verificación de edad y sistemas de referencia de riesgo que lleven a vigilancia en la práctica.

El Chat Control ha sido una de las propuestas más controvertidas en la historia reciente de la regulación digital europea. Aunque la eliminación del escaneo obligatorio de mensajes cifrados representa una victoria importante para los derechos digitales, el diablo está en los detalles de las medidas de mitigación de riesgos y verificación de edad que podrían socavar la privacidad por otros medios.

La comunidad de derechos digitales mantiene su vigilancia mientras esta propuesta se acerca a su forma final, consciente de que la protección efectiva de la privacidad digital requiere un texto que no deje espacio para interpretaciones que puedan socavar el cifrado de extremo a extremo.