El plan de la Unión Europea de ‘Going Dark’ o ‘ProtectEU’ es un intento de Chat Control 3.0 para acceder a datos cifrados

• Tras fracasar en impulsar Chat Control 2.0 para acceder a datos cifrados de extremo a extremo, la Comisión Europea prepara un nuevo intento llamado ‘Going Dark’ (ProtectEU) para el verano de 2026
• El plan busca permitir que las fuerzas del orden accedan “legalmente” a datos cifrados, y algunos Estados miembros quieren incluir incluso a los servicios de VPN
• En un ‘Presidency outcome paper’ separado, los Estados miembros están debatiendo normas de conservación de metadatos, con una amplia cobertura de retención que incluiría sitios web visitados, interlocutores de comunicación y frecuencia, entre otros
• Mullvad VPN se ha opuesto a Chat Control 2.0 durante los últimos tres años y declara que nunca vigilará a sus clientes, incluso si se incluye a las VPN
• El debate emerge como un punto clave sobre los límites de la protección legal de la privacidad digital y del cifrado en Europa

---

El fracaso de Chat Control 2.0 y el nuevo intento ‘Going Dark’

• La Comisión Europea perdió su intento de impulsar Chat Control 2.0 para asegurar acceso a datos cifrados de extremo a extremo
  • Mullvad VPN lo expresó diciendo que “la Comisión Europea perdió la batalla de Chat Control 2.0”
• La Comisión planea impulsar hasta el verano de 2026 un nuevo plan llamado ‘Going Dark’ o ‘ProtectEU’
  • El objetivo es “permitir que las fuerzas del orden accedan legalmente a datos cifrados”
  • Mullvad VPN lo define como un “intento de Chat Control 3.0”

Posible inclusión de las VPN y debate sobre la conservación de datos

• Algunos Estados miembros de la UE han expresado su intención de incluir también a los servicios de VPN dentro del alcance regulatorio
• En un nuevo ‘Presidency outcome paper’ se debate la revisión de las reglas de conservación de datos (data retention)
  • Entre los datos a conservar se incluyen metadatos como sitios web visitados, con quién se comunica una persona, momento y frecuencia
  • Según el documento, se busca “el alcance de aplicación más amplio posible”

La postura de Mullvad VPN

• Mullvad VPN ha mantenido durante los últimos tres años una campaña de oposición a Chat Control 2.0
  • Sostuvo su postura en contra aunque esa legislación podía haber beneficiado positivamente a su negocio
• La empresa afirma explícitamente que nunca vigilará a sus clientes, incluso si se aprueba la ley Going Dark
  • Declaró: “Ya sea que las VPN estén incluidas o no, lucharemos con todas nuestras fuerzas contra Going Dark”

Reacción de la comunidad de Mastodon

• Varios usuarios expresaron cansancio y críticas ante los repetidos intentos de vigilancia de la UE
  • Aparecieron reacciones sarcásticas como “¿en 2030 tendremos que pelear contra Chat Control 8.0?”
  • También surgió la crítica de que “decir que será legalmente accesible significa que ahora es ilegal”
• Algunos mencionaron la tendencia a la centralización en la UE y la preocupación por la erosión de las libertades individuales
  • Entre las opiniones estuvo que “solo una descentralización extrema puede detener esta distorsión”

Continúa el debate sobre privacidad y cifrado

• En varios comentarios se expresó preocupación por el fortalecimiento de la vigilancia estatal y los intentos de debilitar las tecnologías de cifrado
  • Surgieron críticas como “el gobierno teme más a la libertad de la gente que a la propia gente” y “exigen lo imposible sin entender las matemáticas del cifrado”
• Mullvad VPN mantiene la protección de la privacidad como valor central y subraya una estructura que no permite rastrear la identidad de sus clientes incluso bajo presión legal
• Este debate es considerado un asunto que podría influir de forma significativa en la dirección futura de los derechos digitales, el cifrado y las políticas de conservación de datos dentro de la UE

[GN⁺]

Comentarios de Hacker News

• La forma de detener esto es crear una ley exactamente opuesta. Es decir, las comunicaciones cifradas siempre deben estar protegidas, y debe prohibirse cualquier legislación que debilite esas garantías técnicas. Así se requeriría un proceso de dos pasos: derogar la prohibición existente e introducir una nueva ley
• Sigue repitiéndose un ciclo desgastante de volver a proponer el mismo proyecto de vigilancia cambiándole solo el nombre. Chat Control, ProtectEU, Going Dark: cambian los nombres, pero en esencia son la misma propuesta invasiva. En particular, preocupa el alcance de la retención de metadatos, ya que incluiría los sitios web visitados, con quién se comunica una persona, en qué momentos y con qué frecuencia, e incluso se busca aplicarlo a servicios de VPN. Esto ya no se trata de proteger a la niñez o prevenir el terrorismo, sino de la normalización de la vigilancia masiva. La única solución es consagrar el derecho a la privacidad en la constitución y establecer sanciones por violaciones repetidas
• No pude encontrar la fuente del “Presidency outcome paper” que mencionó Mullvad, así que la busqué por mi cuenta. En realidad, la mayor parte del contenido citado aparece en el documento de ProtectEU enviado por la Comisión Europea el 1 de abril. Además, existe un informe adicional de definición del problema: HLG background document. Ese documento describe el acceso a datos por parte de las fuerzas del orden sujeto a autorización judicial, y especifica que debe cumplirse con la protección de datos y la jurisprudencia del CJEU
  • Probablemente se refieran a este documento. Como el número de documento no está publicado, parece ser un documento filtrado. Otro material relacionado es este, y el primero parece ser el resultado del segundo
• Mientras la gente no haga presión para que el derecho a la privacidad quede garantizado a nivel constitucional por ley, este problema seguirá repitiéndose. No basta con frenar una sola mala ley
  • Ese tipo de derecho debe quedar plasmado en la ley, y hace falta una regla de enfriamiento para impedir que se vuelva a presentar un proyecto con la misma intención dentro de cierto plazo. Es absurdo que hayan impulsado la misma ley una y otra vez durante los últimos 4 años
  • Incluso la constitución italiana establece que la libertad y el secreto de las comunicaciones no deben ser vulnerados, pero si el gobierno no tiene voluntad de hacerla cumplir, la ley no sirve de nada
  • La UE y Alemania ya tienen muchas leyes de protección de datos personales. Por ejemplo, el tribunal constitucional alemán dictaminó que el registro masivo de solicitudes DNS es “muy probablemente ilegal”
  • Hay que resolver el problema que esta propuesta intenta abordar. De lo contrario, van a seguir apareciendo propuestas iguales. El abuso sexual infantil es un problema real y, si no te gusta esta ley, entonces hay que presentar una alternativa mejor
• En la antigua Grecia, en Locri, cuando alguien proponía una nueva ley lo hacía con una cuerda al cuello, y si la propuesta era rechazada, lo ahorcaban. Es una historia que da para pensar
  • La legislación en EE. UU. tiene una estructura unilateral en la que es mucho más fácil crear una ley nueva que derogar una existente. Esto podría resolverse si todas las leyes tuvieran una fecha de vencimiento predeterminada
  • Zaleuco (Zaleucus) de Locri creó el primer sistema legal en el siglo VII a. C. Hoy, Locri está en Calabria, Italia, e irónicamente es conocida por la mafia (enlace de Wikipedia)
  • Pero si hoy vivimos en un mundo donde la mayoría de la gente ya elegiría ahorcarse por sí sola, no parece que ese sistema pudiera funcionar bien
  • Viendo los casos de la pandemia, en los que ciudadanos azuzados por desinformación rechazaron medidas de seguridad pública y reaccionaron con violencia, ese sistema podría incluso terminar favoreciendo a los extremistas
  • Como cuando se dice “esta comida está podrida”, hace falta una propuesta mejor
• Ojalá este proyecto también sea rechazado, como los anteriores. Incluso si se aprueba, es probable que en algunos Estados miembros no se aplique o termine siendo derogado. Aun así, el hecho de que este debate ocurra en público es mejor que en China, Rusia o el Patriot Act de EE. UU.
  • Pero queda la duda de si estas discusiones realmente significan algo. El objetivo de los acuerdos internacionales es mover los datos fuera de la jurisdicción para esquivar la supervisión, y es muy probable que la UE ya esté haciendo análisis de metadatos. Mullvad dice “no vamos a vigilar a nuestros clientes”, pero si la ley se aprueba, al final tendrá que guardar registros o irse de la UE
• Una VPN al final es una cuestión de confianza. Mullvad quizá no sea la mejor, pero tampoco es la peor
  • Aunque ya no admite port forwarding, y la calidad de sus IP es baja, por lo que con frecuencia aparecen marcadas como cuentas sospechosas
• Amo internet. Al convertirme en adulto, vi cómo internet cambiaba el mundo, y detesto los intentos de controlarlo. Antes, la guerra de la información era una actividad más directa, pero internet les dio a los Estados un nuevo medio para ejercer influencia en el extranjero. Entiendo el deseo de los Estados de vigilar, pero creo que la forma actual es equivocada. Hace falta un equilibrio entre un internet libre y el control de la influencia extranjera
  • Es aún más importante decidir “la influencia de quién” se va a controlar. Hay que evitar que un sistema así se use indebidamente como herramienta para conservar el poder. Si todo se hace en privado, la UE no sería distinta de Rusia o China
• La Comisión Europea y algunos Estados miembros están discutiendo nuevas reglas de retención de datos. El “Presidency outcome paper” incluye retención de metadatos como los sitios web visitados, con quién se comunica una persona y la frecuencia, y hay movimientos para aplicarlo incluso a servicios de VPN
• Aunque lo deroguen por tercera vez, lo volverán a intentar. Hace falta una forma de bloquear esto de manera repetida
  • A menos que la UE se mueva drásticamente hacia la izquierda, lo veo difícil de frenar en la práctica
  • Hace falta algún tipo de medida punitiva frente al fracaso. Los métodos violentos no son socialmente aceptables y son peligrosos, como muestran los casos de “política de asesinatos” en Japón. En cambio, podría existir una respuesta pacífica como el ostracismo social (shunning al estilo Amish). Aun así, con algo como Chat Control parece difícil que surja una reacción tan extrema; probablemente solo sería posible con temas como la abolición del sistema de pensiones