¿Los mensajes encriptados seguirán siendo privados en Europa?

BRUSELAS. En los últimos años, organizaciones de la sociedad civil y actores de la industria han aunado fuerzas para proteger los mensajes encriptados de la intrusión de los gobiernos. En la era de la vigilancia, observa el excomisionado de Derechos Humanos del Consejo de Europa, la encriptación es “una herramienta vital de derechos humanos”. En mi propio trabajo sobre seguridad y asuntos exteriores como miembro del Parlamento Europeo, he visto de primera mano por qué esto es así. Activistas, periodistas, defensores de los derechos humanos y ciudadanos comunes confían en el derecho a la privacidad, y lo ven como un valor europeo fundamental que sustenta la libertad de expresión y la propia democracia.

La encriptación es una de las tecnologías más importantes para la privacidad en el mundo de hoy y, por eso, la mayoría de los servicios en línea esenciales –aplicaciones de mensajería, llamadas, correos electrónicos, intercambio de archivos, pagos– dependen de ella. La forma más eficaz, la encriptación de extremo a extremo, garantiza que solo las partes que intervienen en la comunicación puedan descifrar y ver el contenido de sus mensajes, lo que imposibilita el acceso no autorizado (como ocurre con Signal o WhatsApp).

Pero los gobiernos y las fuerzas de seguridad están cada vez más ansiosos por acceder a las comunicaciones encriptadas, aunque ello suponga socavar la confianza pública en la protección de la intimidad. En los estados miembro de la UE, varios gobiernos quieren debilitar las tecnologías de encriptación con el pretexto de combatir el terrorismo y otros delitos.

El mensaje es claro: muchos gobiernos y autoridades no ven la encriptación como una salvaguarda de los derechos humanos, sino como un obstáculo. La Comisión Europea ha creado un grupo de trabajo de alto nivel sobre “el acceso a datos para una aplicación eficaz de la ley”. El grupo, compuesto por representantes de las fuerzas de seguridad, ha recomendado un “acceso legal por designio” a los datos “en claro”, lo que significa que se les exigiría a los servicios de comunicaciones instalar “puertas traseras” que permitieran a los investigadores criminales acceder a datos no encriptados.

La presión para debilitar la encriptación alcanzó un punto álgido en 2022 con la propuesta del Reglamento sobre el Abuso Sexual Infantil (CSAR, por su sigla en inglés) de la Comisión Europea, apodado Control del Chat. Este reglamento facultaría a las autoridades a ordenar el escaneo indiscriminado de mensajes privados, incluidos los de servicios encriptados de extremo a extremo, para detectar material de abuso sexual infantil.

Aunque se las adoptara con la mejor de las intenciones, estas medidas, inevitablemente, crearían vulnerabilidades que podrían ser explotadas por actores malintencionados. Los profesionales de TI han afirmado que es imposible romper la encriptación de forma segura; las puertas traseras siempre crean brechas de seguridad explotables. Hace apenas unas semanas, se difundió la noticia de que importantes proveedores de servicios de internet en Estados Unidos habían sido pirateados por agentes chinos a través de canales de datos de acceso legal.

Las agencias de inteligencia (inclusive en los Países Bajos) advierten con razón que socavar la encriptación supone un riesgo inmanejable para la ciberseguridad. De hecho, los debates en curso en el Consejo de la UE han descartado el escaneo de cuentas consideradas críticas para la seguridad nacional, lo que revela un doble rasero flagrante.

La ciberseguridad no es el único problema. El reglamento también suscitaría un desafío jurídico. La Carta de los Derechos Fundamentales de la UE protege explícitamente la privacidad de las comunicaciones personales, y el Tribunal de Justicia de la UE ha dejado en claro que el escaneo indiscriminado y exhaustivo de las comunicaciones privadas constituye una violación desproporcionada de este derecho. Tanto el Consejo de la UE como el Parlamento Europeo han llegado a conclusiones similares en análisis internos independientes, mientras que el Consejo Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos han manifestado su preocupación tanto por la privacidad como por la eficacia de la ley propuesta. Después de todo, los delincuentes podrían eludir fácilmente la detección.

La Comisión Europea tampoco ha abordado las implicancias más generales de interceptar mensajes encriptados con el pretexto de combatir el abuso sexual infantil. Impulsadas por un apetito casi ilimitado de datos, las fuerzas del orden probablemente presionarían para ampliar el régimen de vigilancia a otros ámbitos. Europol, la agencia policial de la UE, ya lo ha recomendado. Y, en contra de lo que asegura la comisión, persisten dudas significativas sobre la fiabilidad, eficacia y viabilidad de los programas informáticos para detectar los abusos a menores.

Por todas estas razones, el Parlamento Europeo se ha decantado por un enfoque más equilibrado, descartando el escaneo de los servicios encriptados y limitando la vigilancia a sospechosos o grupos de sospechosos concretos.

Por su parte, el Consejo de la UE está debatiendo un enfoque conocido como “escaneo del lado del cliente”, por el que los mensajes se interceptan antes de ser enviados. Pero si bien este método se ha presentado como un compromiso entre privacidad, seguridad y protección infantil, lo que en realidad hace es comprometer la integridad de la encriptación y, en última instancia, plantea las mismas preocupaciones en torno a la privacidad y la ciberseguridad.

La aceptación de este planteo no sería un buen augurio para la protección de la privacidad en Europa. Sin embargo, el nuevo comisionado europeo para Asuntos de Interior y Migración, Magnus Brunner, ha dicho que “está convencido de la necesidad y urgencia de adoptar el Reglamento propuesto”. Durante sus audiencias ante el Parlamento Europeo, se negó a comprometerse a proteger la encriptación y evitó responder preguntas sobre el uso de programas espía por parte de los gobiernos de la UE, otra manera profundamente invasiva de eludir la encriptación.

La encriptación no es solo una salvaguarda técnica; es una piedra angular de nuestros derechos digitales y libertades democráticas. Mientras prosiguen los debates sobre la propuesta del CSAR, debemos permanecer vigilantes contra las políticas que socavan estos valores bajo el pretexto de la seguridad. Debilitar la encriptación no solo pone en peligro la privacidad individual, sino también el ecosistema digital en general.

En lugar de erosionar la encriptación, la UE debe defender una protección sólida de la privacidad que equilibre las necesidades de seguridad con los derechos fundamentales. Con esto en mente, he firmado un compromiso para proteger la encriptación. No se trata solo de defender la tecnología; se trata de defender los principios que nos definen como sociedad.

La autora

Markéta Gregorová es miembro del Parlamento Europeo.