Google rompió su promesa y ahora ICE tiene mis datos

• Los datos de la cuenta de Google de la estudiante internacional en EE. UU. Amandla Thomas-Johnson fueron entregados al gobierno mediante una citación administrativa de ICE, y se incumplió la política de notificación previa de Google
• La EFF pidió a los fiscales generales estatales que investiguen como práctica comercial engañosa que Google cooperara con las fuerzas del orden sin avisar al usuario
• Los datos entregados incluían direcciones IP, dirección física, tiempo de sesión y otra información de identificación personal, evaluados como suficientes para crear un perfil de vigilancia
• La notificación de Google fue enviada solo después de que los datos ya habían sido entregados al Departamento de Seguridad Nacional, por lo que el usuario perdió la oportunidad de impugnarlo
• El caso muestra cómo la combinación del poder estatal y los datos de las empresas tecnológicas puede amenazar la privacidad individual y la libertad de expresión

---

Google rompe su promesa y ICE obtiene los datos

• En septiembre de 2024, Amandla Thomas-Johnson, quien estudiaba en Estados Unidos, participó brevemente en una protesta pro-Palestina y, en abril de 2025, el Servicio de Inmigración y Control de Aduanas de Estados Unidos (ICE) emitió a Google una citación administrativa exigiendo sus datos
  • Al mes siguiente, Google entregó los datos a ICE sin notificar al usuario
  • Este es un caso en el que Google incumplió su política declarada de notificar al usuario antes de entregar datos
• La Electronic Frontier Foundation (EFF) presentó una queja formal ante los fiscales generales de California y Nueva York solicitando que se investigue la conducta de Google como una práctica comercial engañosa
  • La EFF sostiene que Google rompió su promesa de notificar a los usuarios y colaboró con una investigación selectiva del gobierno

Choque con las autoridades migratorias de EE. UU.

• Thomas-Johnson salió hacia Canadá pensando que el asunto había terminado, pero después se dio cuenta de que seguía sin escapar de la influencia del gobierno estadounidense
  • Durante la administración Trump, el endurecimiento del control sobre la actividad política de estudiantes extranjeros lo obligó a vivir ocultándose durante tres meses
  • Agentes federales registraron su casa y una persona cercana fue interrogada en el aeropuerto sobre su paradero
• Es un ciudadano con doble nacionalidad británica y de Trinidad y Tobago sin cargos criminales, que pasó a ser objeto de vigilancia solo por participar en una protesta política

El correo de notificación de Google

• Mientras se encontraba en Ginebra, Suiza, recibió de Google un correo electrónico informando que sus datos ya habían sido entregados al Departamento de Seguridad Nacional (DHS)
  • En otros casos anteriores, Google y Facebook notificaron previamente y las autoridades retiraron la solicitud
  • Pero en esta ocasión, el correo era una notificación final que decía que “Google ya proporcionó la información en respuesta a una solicitud de las fuerzas del orden”
  • Confirmó que sus datos fueron entregados sin que se le diera ninguna oportunidad de impugnarlo

El incumplimiento de la promesa de Google

• En su política oficial, Google indica que notificará previamente al usuario cuando exista una solicitud legal, incluidas citaciones administrativas
  • Esa notificación funciona como una salvaguarda para que el usuario pueda responder legalmente
  • Sin embargo, en el caso de Thomas-Johnson, ese procedimiento fue omitido y los datos se entregaron igualmente
• La citación obtenida por la EFF incluía información de suscriptor como direcciones IP, dirección física y tiempo de sesión
  • La combinación de esos datos permite construir un perfil de vigilancia capaz de rastrear ubicación y analizar patrones de actividad
  • Incluso sin el contenido de los mensajes, el nivel de detalle basta para comprender minuciosamente la vida y la red de relaciones de una persona

La combinación del poder estatal y los datos privados

• Este caso muestra que las agencias de seguridad pueden tomar a cualquiera como objetivo y que los enormes volúmenes de datos de las empresas tecnológicas lo hacen posible
  • Cuando se combinan el poder estatal, los datos corporativos y la inferencia basada en algoritmos, el alcance de la vigilancia se expande de forma invisible
  • Esta estructura hace que a la persona vigilada le resulte difícil incluso darse cuenta o responder
• Thomas-Johnson dejó Estados Unidos, pero afirmó que aún siente que sigue dentro del radio de vigilancia del gobierno estadounidense
  • Expresó su inquietud sobre si fue “clasificado como una persona objetivo”, si “su actividad periodística corre riesgo de ser vigilada” y si “puede desplazarse con seguridad para ver a su familia”
  • Por último, señaló que ni siquiera está claro quién puede ser considerado responsable

Temas relacionados

• Privacidad (Privacy), libertad de expresión (Free Speech), anonimato (Anonymity)

  • El caso revela cómo la expresión política individual y la privacidad digital pueden verse amenazadas dentro de una estructura de vigilancia gubernamental y cooperación corporativa

[GN⁺]

Comentarios de Hacker News

• En la política de Google aparece la frase: “no notificamos cuando está legalmente prohibido”
  Se dice que un abogado revisó la citación, pero no se mencionó si había una orden de silencio (gag order). Ese punto es clave para sostener que Google rompió su propia política

  • Según la carta abierta de la EFF, esa citación no incluía una orden de silencio
  • Según un documento de la ACLU, una orden de silencio incluida en una citación administrativa no tiene fuerza legal, y se puede notificar al afectado o hacerla pública. Además, no existe obligación de cumplir la citación sin una orden judicial
  • En la práctica, una citación administrativa tiene poca fuerza vinculante, y aunque un agente de ICE diga “no lo reveles”, eso no tiene efecto legal
  • Este tipo de demandas y cobertura mediática buscan en gran medida reforzar una narrativa activista. Si lees la política de Google, queda bastante claro, y hay poca base para culpar a Google

• A raíz de este caso, borré por completo mi cuenta de Google, que había usado durante casi 20 años
  Eliminé 10 años de Google Photos y hasta mi suscripción a Google One, y me cambié a Proton Mail y al self-hosting. No voy a confiar mis datos a una empresa que los entrega solo con una orden administrativa

  • La verdadera solución es guardar tus datos tú mismo en estado cifrado. La idea de que todo tiene que subirse a la nube es lo que termina concentrando el poder
  • No hace falta migrar todos los servicios de una sola vez. Yo me fui cambiando a Fastmail durante varios años, y cada vez que Google hacía algo que no me gustaba, movía una cuenta más. Fue molesto, pero se sintió liberador
  • Recomiendo Immich. Es una solución self-hosted que reemplaza Google Photos casi a la perfección
  • Me pregunto si existe algún servicio de hosting que no responda a solicitudes de datos sin orden judicial. El self-hosting es lo ideal, pero el tiempo es un límite
  • Me gustaría saber qué workflow usó la gente para cambiar todos los sitios donde usaban su dirección de Gmail a Proton Mail. Aunque me tome años, yo también quiero empezar

• Mucha gente se enfoca solo en los problemas de privacidad de Google, pero el verdadero problema es que el gobierno esté apuntando a personas que residen legalmente
  Más que intentar esquivar la vigilancia del gobierno, deberíamos indignarnos por por qué esto siquiera es posible

  • Pero prohibir que extranjeros hagan actividad política es una condición de visa legal en muchos países. Esas restricciones existen por una razón

• No entiendo cómo ICE llegó a tener este nivel de poder. Actúa casi como un ejército privado

  • Al final, fueron los votantes quienes le dieron ese poder. En los 25 años posteriores al 11-S hubo oportunidades para cambiar eso, pero nadie se movió
  • Fue el Congreso quien le dio esas facultades, y su actuación solo estaba contenida por la voluntad presidencial. Ahora ese freno desapareció
  • Google pudo haber rechazado la citación o avisado al afectado siguiendo la guía de la ACLU, pero el punto clave es que cooperó voluntariamente
  • Creer que el poder se “otorga” es una ilusión. Las agencias del gobierno de EE. UU. muchas veces simplemente actúan, y si ningún otro poder las frena, siguen adelante. Ahora la administración Trump está ignorando esos frenos
  • Al final, Trump y el Partido Republicano respaldaron este tipo de poder

• ICE pidió que no hubiera notificación sin una orden judicial, y Google aparentemente obedeció esa solicitud
  Pero entonces, ¿por qué la parte que emitió la citación administrativa no notifica directamente al afectado? ¿Por qué Google tendría que cargar con esa responsabilidad?

  • En general sí se notifica, pero hay excepciones si la persona no es ciudadana, ya salió de EE. UU., o si se trata de una investigación de seguridad nacional
  • Aun así, al menos Google terminó notificando, y eso fue lo correcto

• Me intriga cómo identificaron a Amandla. ¿Habrán rastreado los teléfonos en la protesta con equipo Stingray? ¿Fue reconocimiento facial? ¿Información de visa? En cualquier caso, da miedo

  • De hecho, las telecoms venden datos de ubicación de zonas específicas. Por las leyes KYC, el nombre y el correo ya están registrados, y el gobierno puede acceder a eso sin avisarle al cliente

• Lo interesante es que el autor interpretó el documento de políticas de Google como una “promesa”
  Pero eso no es un contrato, sino simplemente una descripción de política. No es una promesa legalmente vinculante
  Es muy difícil probar el funcionamiento interno de Google o demostrar intención. En la práctica, no pasa de ser una “representación”
  Las empresas de Silicon Valley casi nunca hacen promesas legales a sus usuarios. Si lo hicieran, no podrían sostenerlo

  • Al final, lo que importa no es la promesa, sino la capacidad (capability)

• Yo asumo que cualquier dato que sale de mi casa queda rastreado y almacenado por el gobierno
  El celular, los movimientos del auto, todo queda registrado. A los manifestantes del J6 también los rastrearon por datos de sus teléfonos

  • Algunos alborotadores dejaron evidencia tomándose selfies dentro del Capitolio
  • No hay que olvidar la lección de que “la nube es al final la computadora de otra persona”. Lo mismo aplica para Gmail, iCloud, AWS, Facebook, WhatsApp e iMessage
  • Pero esa forma de pensar también puede llevar a una desconfianza totalitaria. Una sociedad donde todos sospechan que todos son espías es peligrosa
  • Snowden ya expuso esta estructura de vigilancia. Después hubo algo de freno, pero siguen apareciendo nuevos programas de vigilancia
  • Esa actitud resignada no sirve de nada. Hay mucho que una persona puede hacer: VPN, DNS cifrado, evitar la nube, educación en seguridad

• Privacidad, tecnología y libertad están profundamente conectadas
  Es importante que este tipo de casos aparezcan en HN, porque la gente que diseña las políticas internas y la tecnología de Google lee HN
  Casos así hacen que fundadores y tomadores de decisiones vuelvan a preguntarse si realmente se puede confiar en Google

  • No hay garantía de que dentro de Google no exista un equipo secreto de filtración de datos. La verdadera solución es una estructura de código abierto, cifrado E2E y gestión de claves por parte del usuario
  • Mientras haya tecnología involucrada, este debate encaja perfectamente en HN. Que el gobierno use tecnología para reforzar la vigilancia es un problema gravísimo
  • Es irónico que quienes decían defender la libertad y la expresión ignoren estos temas. Incluso hay testimonios de estudiantes manifestantes arrestados o forzados a esconderse por presión del gobierno
  • También hay quien opina que, si Google solo cumplió la ley, es difícil culparlo. Las empresas no deberían actuar como activistas, sino como sujetos legales

• Me acordé del viejo eslogan de Google: “Don’t be evil”

  • Esa frase ya fue descartada hace como 10 años. Es irónico que “no ser malvados” terminara siendo un obstáculo para el crecimiento corporativo
  • Ahora ni siquiera logran cumplir con “no sean escalofriantes”. No hay soporte al cliente y el ambiente interno es competitivo, así que prefiero evitar Google para cualquier cosa importante
  • En realidad, ese eslogan siempre fue una hipocresía casi de chiste. Cuanto más malvada es una empresa, más le gusta decir ese tipo de cosas