El GDPR no sirvió de nada: la privacidad en la UE llega a su fin con la vigilancia de chats

• Aunque se introdujo el GDPR, no tuvo un efecto real en la protección de la privacidad dentro de la UE
• A través de la política de chat control, se está implementando la vigilancia de las comunicaciones en línea en Europa
• Junto con el debilitamiento de la privacidad, la adopción de tecnologías de vigilancia avanza rápidamente
• La prioridad está cambiando de proteger los datos de los usuarios a dar preferencia al control de internet por parte del gobierno
• Como resultado, crece la preocupación por el deterioro de la privacidad en la industria tecnológica y las startups europeas

---

Los límites del GDPR y la adopción de la política de vigilancia de chats

• La UE puso en marcha el GDPR (ley de protección de datos personales) prometiendo proteger la privacidad, pero en la práctica su efecto para resguardar la privacidad en línea ha sido limitado
• Recientemente se ha impulsado una política conocida como chat control, que amplía la vigilancia a nivel gubernamental sobre los principales servicios en línea y el contenido de conversaciones en mensajería dentro de Europa
• Aunque esta política se promovió con fines de interés público, como la protección infantil, ha derivado en una vigilancia masiva de la información, incluido el escaneo de mensajes de todos los usuarios

Mayor vigilancia e impacto en la privacidad

• Bajo la política de chat control, se aplican soluciones de vigilancia y filtrado automático basado en IA, por lo que incluso los mensajes privados entre personas pasan a ser objeto de análisis
• A diferencia del marco legal original orientado a la protección de datos, se observa un debilitamiento de la protección de la privacidad personal bajo la justificación de la seguridad pública
• Como consecuencia, también se exige a empresas privadas y startups modificar la estructura de sus servicios y cumplir con la normativa legal

Preocupaciones en la industria tecnológica y de startups en Europa

• La invasión de la privacidad en línea y el fortalecimiento de la vigilancia también afectan a largo plazo el entorno de innovación y la competitividad del ecosistema de startups en Europa
• Muchas empresas enfrentan una caída en la confianza de los clientes y un aumento en la carga de gestión de datos
• En última instancia, el debate sobre el equilibrio entre la protección de datos personales y el control gubernamental emerge como un tema central para la industria de TI

[GN⁺]

Opinión en Hacker News

• Si alguien dice que usa Signal porque no tiene nada que ocultar en privado, siempre le pido que desbloquee su teléfono y me lo entregue. Incluso haciendo esta broma, mucha gente no la entiende bien. (artículo relacionado)

  • Esa lógica es errónea. La gente confía de forma distinta en el gobierno y en los demás. Hay una razón por la que el voto es secreto. Si el gobierno pudiera predecir en más de un 80% la tendencia de voto de la población solo con chats y redes sociales, supiera de antemano la formación de nuevos partidos, conociera incluso los secretos de tus amistades para filtrarlos a la prensa o procesarte con cargos ambiguos, perderíamos la oportunidad de cambiar de verdad al gobierno. El conocimiento es poder. Pregúntate si de verdad sientes que hoy el equilibrio de poder está demasiado inclinado a favor del individuo
  • Yo incluso salgo por completo de lo personal y les pido que imaginen que el poder que más temen puede conocer de antemano toda coordinación secreta. Yo casi no tengo nada que ocultar, pero deseo con todas mis fuerzas que otras personas sí puedan tener secretos. Solo así podemos resistir mejor los abusos de poder
  • Si de verdad te entregaran el teléfono, me pregunto qué harías después. ¿Revisar fotos o conversaciones con su pareja para burlarte de algo que encuentres? No me queda claro cómo seguiría eso en la vida real

• Para implementar una política así, primero deberían probarla durante 5 años con todos los políticos y funcionarios, sus familias e incluso sus hijos. Habría que permitir a investigadores de seguridad hackear libremente el sistema, sin sanciones penales. Todos los accesos a los datos deberían registrarse con seudónimos en una blockchain pública. Después de 5 años, deberían publicar estadísticas e informes, junto con logs detallados de cuánto bajó el crimen y quién fue castigado y por qué, y al final dejar que la población vote si quiere implementar el sistema o no

  • El problema de esa propuesta es que los políticos no cambiarían su comportamiento. El político óptimo tendría que ser un realista absoluto sin moral, y en una democracia federal no le queda de otra para tener éxito. Hay que saber quiénes son los grupos de lobby que impulsan activamente Chat Control. La prensa debería investigar su corrupción y difundirla ampliamente
  • No creo que eso sea un trato justo para nadie. Esa vigilancia total terminaría exponiendo todos los secretos, legales e ilegales, y causaría daños graves. En el momento en que permites que el Estado vigile a la ciudadanía, ese Estado se transforma en algo que uno desearía que no existiera. No puede salir nada bueno de un Estado de vigilancia
  • Es irónico pensar que, si hubiera existido un sistema así, también podríamos haber visto los SMS entre Ursula von der Leyen y Pfizer
  • El verdadero problema es que la meta misma de impedir o resolver todos los delitos es el peor escenario posible para la libertad. Como la resistencia en sí se vuelve imposible, la probabilidad de terminar en abuso de poder y dictadura no es 0%. Si pensamos en cuántas revoluciones, cuánta historia sangrienta de resistencia a dictaduras y cuántas transiciones a la democracia implicaron violencia, amenazas y sacrificios, entonces necesitamos el derecho a resistir en cualquier momento, e incluso espacios para hablar de forma organizada sobre violencia y odio. Esa libertad también puede ser usada por malas personas, pero es un costo que tenemos que asumir

• Creo que deberían quitar la palabra "Chat" y dejar solo "Control". La ley ChatControl que se discute ahora es tan ambigua que podría aplicarse a cualquier servicio en línea que permita compartir o sincronizar algo. Chats, correo electrónico, intercambio de archivos, listas de tareas, todo entraría ahí

  • Siento que ChatControl es el resultado de que la UE fracasó en construir un sistema encubierto de vigilancia masiva al estilo NSA/Echelon de EE. UU. Fallaron igual que con los buscadores europeos o la nube, y al final quieren imponerlo abiertamente por ley. Ojalá su implementación sea ineficaz en la práctica. No vivimos en 1984 ni en Brave New World, sino en una distopía tipo Brazil, versión "UE 1985"
  • Si nos vamos al significado literal, existe wiretap, pero ahora deberíamos empezar a decir "wireless tap"

• Me pregunto cómo toma esto la gente en las democracias occidentales. Yo viví en un país casi dictatorial, así que este tipo de control me ha parecido normal. Pero pensaba que la UE y EE. UU. eran distintos. No entiendo cómo siguen apareciendo noticias así y aun así casi no hay reacción

  • Sí hay una oposición bastante fuerte por parte de organizaciones civiles, grupos de privacidad, tribunales, el Parlamento Europeo, etc. Ejemplo de críticas
  • Vivo en EE. UU. y a mí también me parece absurdo. Antes las comunidades de internet reaccionaban con mucha más fuerza incluso ante regulaciones mucho menos distópicas, pero hoy, por peor que se ponga todo, nadie parece inmutarse. Cada vez hay menos gente dispuesta a actuar activamente en algo que implique sacrificios, y ni yo mismo sé qué habría que hacer. No hace tanto todos estaban furiosos hablando de SOPA, y ahora de verdad siento que todos se han vuelto insensibles
  • En Occidente suelen empujar mucho la opinión pública con el argumento de "hay que proteger a los niños". La estrategia consiste en llevar a los medios casos horribles de pedofilia, drogas, suicidio, autolesiones o ciberacoso para silenciar las opiniones en contra
  • La UE y EE. UU. claramente son distintos. La privacidad suele protegerse mediante cumplimiento normativo y demandas civiles. Incluso en aquel caso de filtración de datos de 300 millones de personas, la multa fue de algo así como 0.25 dólares por caso. En cambio, la UE impone multas mucho más altas por violaciones de políticas corporativas, por ejemplo. Un ejemplo es que la DPC de Irlanda multó a Facebook con 1,200 millones de euros (unos 1.3 mil millones de dólares) por transferencias de datos UE-EE. UU. en violación de las normas. Enlace relacionado
  • Mi país salió del comunismo hace apenas 35 años. Todas las personas que conozco se oponen a esa política. Los países grandes han intentado varias veces imponer decisiones por mayoría, pero todavía se mantiene el "principio de unanimidad", según el cual todos los países deben estar de acuerdo. Si un solo país se opone, es difícil implementarlo

• Hace poco probé I2P y me impresionó muchísimo su diseño y calidad técnica. Es un software excelente que tiene casi todo lo necesario para una red distribuida. Lo que más le falta en la práctica es comunidad, por el efecto de red. Cuantos más routers estables haya, más rápida y confiable será la red, pero ahora mismo sigue siendo lenta. Aun así, lo recomiendo al menos para probarlo una vez, y aunque no te interese la seguridad o el anonimato, tiene cosas muy interesantes como hole punching o asignación de direcciones globales mediante clave pública. También ofrece la interfaz SAM y bibliotecas para aplicarlo en otras apps

  • Sitio oficial de I2P
  • Llevo más de 20 años oyendo que I2P es buenísimo, pero me pregunto si al usarlo existe el riesgo de que, como con un nodo Tor, otra persona entre a un sitio raro y luego el problema me salpique a mí
  • Gracias a este comentario, yo también empecé a usar I2P. Mi router con Raspberry Pi y varios servidores ahora son nodos floodfill de I2P
  • Me gustaría saber específicamente de qué estás hablando; ¿podrías compartir enlaces relacionados?

• Me preguntaba si sería posible crear una app de mensajería cifrada sin servidor central. Algo como los enlaces magnet de BitTorrent, donde todo el mundo comparte el ancho de banda para retransmitir mensajes, pero cada quien solo puede ver los mensajes que le corresponden. Con conocimientos básicos me parecía viable y como una posible solución futura orientada a la privacidad. Buscando, vi que de hecho ya existe algo llamado Briar

  • El Skype antiguo era así. Tenía un servidor central (supernodo) solo para descubrimiento, y luego las personas se conectaban directamente entre sí para hablar. Los clientes que llevaban mucho tiempo encendidos y tenían suficientes recursos también podían convertirse en supernodos
  • Delta Chat no tiene versión web, pero me parece la mejor opción entre las apps que no requieren instalación. Chatiwi parece ser el único servicio de chat cifrado e2e que no requiere instalación (es JavaScript puro, así que puedes revisar el código fuente y la red), mientras que Briar y Tox sí requieren instalar una app y no funcionan en iOS. Parece que Briar fue descontinuado
  • Existen soluciones con varios grados de descentralización. Briar es completamente p2p. Matrix tiene servidores, pero funciona con un modelo federado en el que cada servidor se administra por separado
  • Sí se puede hacer un mensajero cifrado p2p sin nodo central, pero lograr que sea fácil para usuarios comunes y además popular es casi imposible. Agregar amistades, sincronizar varios dispositivos y tener notificaciones push es muy difícil. En cambio, correr algo como Matrix o Jabber en un servidor propio y controlar el acceso con Wireguard es mucho más realista. Incluso hay apps con configuración automatizada (ver Amnezia Proxy). Como esos servidores no se exponen públicamente, la gente común no puede entrar; pero para grupos pequeños, como familia o proyectos, es suficiente. Sin embargo, algo del tamaño de Facebook o Twitter es imposible por la fricción en la experiencia de usuario
  • Si intentas resolver un problema político solo con una solución técnica, ya perdiste

• En la UE permiten recolectar datos personales para rastrear a usuarios, pero almacenar datos anónimos en cookies locales, que la propia persona puede borrar o modificar, está sujeto a restricciones todavía más estrictas. Y encima siempre ponen advertencias molestas

  • La UE ya llevaba tiempo impulsando la vigilancia de internet, y parece que por fin el entorno político maduró. Viendo cuánto tiempo han sostenido estas excusas y justificaciones, yo apostaría a que hubo una estructura organizada detrás durante décadas. Reducirlo simplemente a "la UE es incompetente" me parece ingenuo
  • La lógica de la UE es "solo el gobierno puede rastrear datos personales", y la lógica de EE. UU. es "solo las grandes empresas deben rastrear datos personales". Personalmente prefiero que lo haga el gobierno. De todos modos el gobierno va a comprar los datos a las grandes empresas, y esas empresas van a ganar todavía más dinero por las exigencias
  • En realidad, la UE sí permite cookies totalmente anónimas, sin información como identificadores únicos. Muchas veces eso que llaman "datos anonimizados" en realidad no lo está
  • El GDPR no es la ley que regula datos anonimizados almacenados en cookies locales

• En mi país (donde el primer ministro actual es una figura muy favorecida por la UE) esa política jamás va a aprobarse. Es un gobierno minoritario, y tanto el presidente como la población se oponen. Creo que esta vez no pasará y volverán a discutirlo dentro de 2 años. Pero no entiendo cómo en Dinamarca no hay protestas masivas ante algo así

  • La razón es seguir el dinero. El reciente aumento de la censura en internet también ocurrió porque empresas de IA hicieron lobby para vender nuevos productos

• Me pregunto quién está realmente detrás de la iniciativa ChatControl. Recuerdo que el nombre estaba tachado en negro

  • La persona que empujó con fuerza la DSA fue el muy controvertido Thierry Breton. Ex-CEO de Atos, comisario europeo de Mercado Interior y ahora asesor de Bank of America. Atos es la empresa más beneficiada de construir infraestructura de seguridad europea. Pero en la práctica también salió adelante con un apoyo amplio en el Parlamento Europeo: democristianos, socialistas, liberales, verdes, etc. Ver votación
  • Dinamarca y Suecia van a la cabeza
  • La gente dice que Suecia lleva la iniciativa, pero en realidad una organización benéfica llamada Thorn, operada por la NSA, lleva haciendo lobby desde 2012
  • Información oficial de Thorn

• Me pregunto si existe la posibilidad de que el ECJ (Tribunal de Justicia de la Unión Europea) anule una ley como ChatControl mediante una acción de nulidad. Incluso si se aprobara, una persona privada afectada en la práctica podría pedir al tribunal que la invalidara, independientemente de si la estructura del gobierno se opone o no. Así que todavía podría terminar en tribunales

  • Me pregunto si el ECJ ya ha tomado antes una decisión así