Un polémico reglamento de la UE extiende el escaneo de mensajes privados

El Parlamento Europeo ha votado la prórroga de la normativa conocida como “Chat Control 1.0”, una regulación temporal que permite a las plataformas de mensajería y redes sociales escanear contenido para la detección de abuso sexual infantil. Esta decisión prolonga la vigencia de la norma, que había expirado el pasado 3 de abril, hasta el año 2028.

La extensión del reglamento, en vigor desde 2021, se produce en medio de una ola de desinformación en redes sociales. Muchos usuarios afirman que se trata de una nueva ley que obligará a escanear todas las conversaciones privadas, confundiendo la normativa actual con una propuesta futura, el “Chat Control 2.0”.

El “Chat Control 1.0” es el nombre coloquial del Reglamento (UE) 2021/1232, aprobado el 14 de julio de 2021. Esta norma derogó temporalmente algunas disposiciones de la Directiva 2002/58/CE, conocida como la directiva ePriv, diseñada para proteger la privacidad en las comunicaciones digitales.

La regulación autoriza a los proveedores de servicios en línea, incluyendo redes sociales y correos electrónicos, a utilizar tecnologías para el tratamiento de datos personales. El objetivo principal es detectar y denunciar material de abuso sexual infantil, así como eliminarlo de sus servicios, según el punto 12 de la introducción del reglamento.

Expertos en ciberseguridad han expresado su preocupación por las implicancias de esta normativa. René Serral, profesor de la Universidad Politécnica de Cataluña (UPC), afirmó que “es una completa y absoluta invasión de la privacidad, y eso genera desconfianza en la sociedad”. Serral remarcó que investigar mensajes de la población “es atentando contra la privacidad, y no hay otra forma”.

Sin embargo, el “Chat Control 1.0” establece tres límites claros a la recopilación de datos. No permite que las tecnologías filtren o escaneen “sistemáticamente” el texto de las comunicaciones, salvo para detectar patrones que apunten a posibles indicios de abuso sexual infantil, y en ningún caso pueden deducir el contenido íntegro de los mensajes.

Además, la norma dispone que los datos deben suprimirse “inmediatamente y de forma permanente” cuando dejen de ser necesarios, con un plazo máximo de 12 meses desde la detección de la sospecha. También aclara que ningún artículo del reglamento debe interpretarse como una prohibición o un debilitamiento del cifrado de extremo a extremo.

La propuesta del “Chat Control 2.0”, aún no votada, se diferencia principalmente en su carácter obligatorio para las plataformas, a diferencia del 1.0 que es voluntario. También plantea medidas de verificación de edad y un almacenamiento de datos más flexible, aunque con límites temporales de hasta 12 meses.

Durante la reciente votación, se aprobaron las enmiendas 6 y 30 al texto del “Chat Control 1.0”, que excluyen explícitamente del ámbito de la normativa a “las comunicaciones interpersonales a las que se aplique, se haya aplicado o deba aplicarse el cifrado de extremo a extremo”.

A pesar de esta protección, el profesor Serral advierte sobre el “escaneo del lado del cliente” (client-side scanning). Esta tecnología permitiría a las aplicaciones leer los mensajes mientras están descifrados en el dispositivo del emisor, antes de ser cifrados y enviados, sorteando así el cifrado de extremo a extremo.

No todas las aplicaciones de mensajería utilizan cifrado de extremo a extremo de forma universal. Plataformas como TikTok, Reddit e Instagram no ofrecen esta protección en sus chats. En contraste, Signal, WhatsApp y Facebook lo aplican a todas las conversaciones de manera predeterminada.

Otras aplicaciones como Telegram solo lo ofrecen en sus “chats secretos”, mientras que en X (ex Twitter) es opcional y debe activarse manualmente. Gmail, por su parte, restringe el cifrado de extremo a extremo a las cuentas corporativas, mostrando un panorama desigual en la protección de la privacidad digital.