Unión Europea quiere la inclusión de backdoors en las VPN para permitir el acceso de las autoridades
Cuando se trata de la privacidad, la Unión Europea suele ser elogiada como una líder que sirve de ejemplo para el resto del mundo. Con la promulgación de la histórica legislación de privacidad GDPR en 2018 —considerada un estándar para la protección de datos personales—, esos elogios no son del todo infundados.
Sin embargo, en los últimos años, diversos grupos dentro de la UE han propuesto iniciativas que amenazan con debilitar otro derecho digital fundamental, estrechamente ligado a la protección de los datos personales: el derecho a la privacidad. Hasta hace poco, la mayor amenaza era la llamada propuesta de “control de chats”, que podría obligar a las apps de mensajería con cifrado de extremo a extremo a escanear todas las fotos, videos y enlaces que compartes con otras personas. Esa propuesta no ha avanzado (aún), tras enfrentar resistencia de países preocupados por sus posibles implicaciones para la privacidad de las personas.
Las VPN como un “gran desafío” para las autoridades
Esta vez, la amenaza proviene de un informe recién publicado por el High-Level Group (HLG). El grupo fue encargado de “explorar los desafíos” que enfrentan las autoridades en la UE respecto al “acceso a los datos y posibles soluciones para superarlos” en junio de 2023. En marzo de 2025, el grupo publicó la versión final de su informe, en la cual señala a las VPN como uno de los principales desafíos que enfrentan las autoridades en el cumplimiento de sus funciones.
Dispositivos y aplicaciones cifradas, nuevos operadores de comunicación, Redes Privadas Virtuales (VPN), etc., están diseñados para proteger la privacidad de los usuarios legítimos. Pero también brindan a los criminales medios eficaces para ocultar su identidad, comercializar productos y servicios ilegales, canalizar pagos y encubrir sus actividades y comunicaciones, evitando eficazmente la detección, investigación y enjuiciamiento.
Es la primera vez que las VPN son identificadas explícitamente como un obstáculo para las operaciones de las autoridades por parte de la UE. Esta designación es preocupante, ya que considerar algo como un desafío implica el deseo de superarlo, ¿cierto?
Para ser justos, a lo largo del informe el grupo menciona que la necesidad de acceso a la información debe equilibrarse con los derechos a la privacidad y la seguridad. El informe cita a “algunos expertos en aplicación de la ley” que “indicaron” que en ciertos casos, la tecnología de cifrado ha sido diseñada de forma que equilibra tanto la seguridad como la necesidad de escaneo de contenido.
Sin embargo, nosotros no lo vemos así. Aunque los autores del informe intentan mostrarse cautelosos y hablan de encontrar un compromiso entre la privacidad y el acceso por parte de las autoridades, la verdad es que esas dos cosas simplemente no pueden coexistir. Dar acceso a las autoridades solo debilita el cifrado y la privacidad, los cuales son fundamentales para mantener segura la información personal.
Con la Comisión Europea lanzando una nueva iniciativa llamada ProtectEU, una versión renovada de la Estrategia de Seguridad Interna de Europa, crece la preocupación de que los derechos digitales puedan quedar relegados a favor de otorgar mayores poderes a las autoridades. Uno de los pilares centrales de esta estrategia es dotar a las autoridades de “las herramientas adecuadas para ser eficaces”, lo cual incluye específicamente el “acceso legal a los datos”. Al analizar los detalles, la Comisión menciona planes para desarrollar una hoja de ruta sobre cifrado y realizar una evaluación de impacto con el fin de actualizar las reglas de retención de datos de la UE. Aunque todo suena bastante neutral, hay buenas razones para creer que se trata de un lenguaje cuidadosamente redactado para allanar el camino hacia la implementación obligatoria de puertas traseras en los sistemas de cifrado.
No hay punto medio en este debate
El enfoque reciente de la Unión Europea en los servicios de VPN, junto con las apps de mensajería con cifrado de extremo a extremo, pone en evidencia un tema importante: la presión por acceder a más datos viene a costa de las libertades personales. Si bien es comprensible que las autoridades necesiten herramientas para investigar delitos, en este debate no hay punto medio, y debe tomarse una decisión crítica. O se opta por la seguridad y el anonimato, o se acepta la creación de mecanismos que permitan recolectar datos de los usuarios. Y una vez que se permite esa recolección, se entra en un terreno resbaladizo, con riesgo de erosión de los derechos de privacidad de millones de personas inocentes.
El HLG ha puesto a los servicios de VPN en el centro de este debate, clasificándolos como un “gran desafío” para las investigaciones. Las VPN anonimizan las actividades en línea de los usuarios al ocultar sus direcciones IP, lo cual dificulta a las autoridades recopilar metadatos que podrían ayudar a identificar sospechosos. Esto se considera un obstáculo para las investigaciones, especialmente teniendo en cuenta que los metadatos —información como quién se comunica, cuándo y desde dónde— pueden ser tan valiosos como el contenido en sí. Lo más preocupante es que las recomendaciones del informe sugieren que todos los servicios estarán obligados a retener y proporcionar metadatos a las autoridades bajo amenaza de sanciones.
Muchos servicios de VPN, especialmente aquellos que siguen una política de no guardar registros, están diseñados para priorizar el anonimato y la seguridad de los datos del usuario. Esto significa que, a menos que se realicen cambios fundamentales en su diseño, no pueden proporcionar la información que las autoridades solicitan. Y no se trata solo de que no quieran hacerlo, sino de que no la tienen. Un marco legal que obligue a las VPN a retener los metadatos de los usuarios —posiblemente por largos períodos— podría hacer que estos servicios sean inviables, provocando la retirada de proveedores de VPN de la UE. No sería la primera vez; algo similar ocurrió en India en 2022, cuando una ley exigía que los proveedores de VPN conservaran amplios datos de usuarios, incluidos nombres, durante largos períodos, lo que provocó un éxodo de VPNs del país.
También podemos recordar el caso de Telegram, que enfrentó una gran presión después de que las autoridades francesas arrestaran al fundador de la plataforma, Pavel Durov. Telegram, que antes era un bastión de la privacidad, comenzó a entregar más datos de usuarios —como direcciones IP y números de teléfono— después del incidente.
Si la UE exige que las VPN recolecten y compartan datos, estará alejando a los servicios enfocados en la privacidad y debilitando los derechos digitales de las personas. Las preguntas son: ¿Realmente vale la pena comprometer la privacidad de decenas de millones de personas por la posibilidad de atrapar a unos pocos criminales? ¿Es necesario llegar a este nivel de vigilancia? Creemos que no debemos perder de vista el panorama general: preservar la privacidad en el mundo digital.
