Ley Chat Control

Este jueves se ha aprobado en el Parlamento Europeo la extensión del Chat Control 1.0, una regulación europea temporal que permite escanear mensajes para detectar contenido de abuso infantil, que está en vigor desde 2021 y había expirado el 3 de abril de este año. Sin embargo, en las redes circulan mensajes afirmando que es una nueva ley «sin precedentes» que atenta contra la privacidad. Otros confunden esta regulación con el Chat Control 2.0, que todavía no se ha sometido a votación en el Parlamento Europeo. Te explicamos qué sabemos del Chat Control 1.0, en qué se diferencia del 2.0 y cuál ha sido el proceso legislativo que ha permitido aprobarlo.

“Chat Control 1.0” es el sobrenombre que se ha dado al Reglamento (UE) 2021/1232, aprobado el 14 de julio de 2021 por el Parlamento Europeo. Se trata de una norma temporal que deroga algunas de las disposiciones de la Directiva 2002/58/CE, conocida como la directiva ePriv, de protección de la privacidad en las comunicaciones digitales, y permite a las plataformas de mensajería, ya sean redes sociales o correos electrónicos, escanear los mensajes para detectar contenido de abuso sexual infantil.

Es decir, la normativa ha estado en vigor entre 2021 y 2026, y la votación actual permitirá extender la fecha de caducidad del Chat Control 1.0 hasta el 3 de abril de 2028 mientras no se apruebe una norma permanente, conocida como Chat Control 2.0.

Chat Control 1.0 autoriza a los proveedores de mensajería en línea a hacer un uso voluntario “de tecnologías para el tratamiento de datos personales y de otra índole en la medida necesaria para detectar el abuso sexual infantil en línea en sus servicios y denunciarlo, así como para eliminar material de abuso sexual infantil en línea de sus servicios” (punto 12 de la introducción del reglamento).

Sobre el tipo de tecnología, el reglamento establece que deben ser lo menos intrusivas posible con la privacidad de los usuarios, pero que las plataformas pueden elegir cuál utilizar y cómo implementarla (punto 16).

Muchos de los mensajes en redes expresan su preocupación por la confidencialidad de sus comunicaciones, ya que el reglamento es una derogación de artículos de una directiva que las protege y da marco legal a las plataformas para acceder a conversaciones privadas. René Serral, experto en ciberseguridad y profesor de la Universidad Politécnica de Cataluña (UPC), afirma que “es una completa y absoluta invasión de la privacidad, y eso genera desconfianza en la sociedad. Rompe la neutralidad y la igualdad con las que se creó internet”. La única manera de poder investigar los mensajes de la población, afirma Serral, “es atentando contra la privacidad, y no hay otra forma”.

Chat Control 1.0 establece tres límites a la recopilación de datos:

• No permite que las tecnologías filtren y escaneen “sistemáticamente” el texto de las comunicaciones, excepto para “detectar patrones que apunten a posibles indicios de abuso sexual infantil” y en ningún caso “deberían ser capaces de deducir el contenido de las comunicaciones”. Según explica Serral, esto significaría que la tecnología de detección buscará palabras clave o construcciones sospechosas, pero que no podrá leer los mensajes completos.
• Dispone que los datos deben suprimirse «inmediatamente y de forma permanente» cuando ya no sean necesarios para una de las finalidades especificadas en la norma y “en cualquier caso, 12 meses después de la fecha de detección de la sospecha de abuso sexual infantil”.
• Aclara que ningún artículo del Reglamento “debe interpretarse como una prohibición o un debilitamiento del cifrado de extremo a extremo”.

Aunque el texto final del Chat Control 2.0 no se conoce, ya que no se ha sometido a votación ni se han podido presentar enmiendas, sí se ha publicado la propuesta del Consejo de la Unión Europea. El principal punto de disputa es la obligatoriedad que tendrán las plataformas (y no la posibilidad, como ocurre con el 1.0) de escanear todos los mensajes. Otros temas de debate son el artículo que obliga a las plataformas a establecer medidas de verificación de edad para identificar a los usuarios menores y poder “mitigar los riesgos” de su presencia en las redes.

Las medidas de protección de datos del Chat Control 2.0 son ligeramente diferentes de las del 1.0: el almacenamiento de datos está permitido bajo algunas disposiciones, sobre todo durante el proceso de investigación, pero también para la mejora de las tecnologías de detección, aunque, en ningún caso, durante más de 12 meses. Este reglamento también indica que las tecnologías «no podrán extraer ninguna otra información de las comunicaciones pertinentes que la información estrictamente necesaria para detectar el abuso infantil en línea», y que «deben ser lo menos intrusivas posible» tanto en la privacidad como en la protección de datos. Al igual que el Chat Control 1.0, se prevé que no afecte a la mensajería cifrada de extremo a extremo.

Durante la votación en el Parlamento Europeo se han aprobado dos enmiendas (la 6 y la 30) al texto del Chat Control 1.0 en las que se especifica que deben quedar excluidas del ámbito de la normativa “las comunicaciones interpersonales a las que se aplique, se haya aplicado o deba aplicarse el cifrado de extremo a extremo”.

Los mensajes cifrados de extremo a extremo garantizan que solo el usuario y la persona o personas con las que conversa puedan ver o escuchar aquello que se envía. Esta privacidad se consigue cuando el dispositivo emisor bloquea el mensaje que se envía, transformando el texto legible en un sistema de código criptográfico, que no se desbloquea hasta que el dispositivo receptor, con un código identificativo, lo recibe. De este modo, ni siquiera las propias plataformas pueden acceder a aquellos mensajes que estén cifrados de extremo a extremo.

Aun así, Serral advierte de que “el escaneo del lado del cliente” (client-side scanning) permitiría a las aplicaciones leer los mensajes mientras todavía están descifrados, es decir, en el teléfono del emisor cuando envía el mensaje. “Esto sortearía el cifrado de extremo a extremo y, por tanto, permitiría a las aplicaciones que lo apliquen escanear mensajes”, explica Serral.

Además, no todas las principales aplicaciones de mensajería y redes sociales utilizan cifrado de extremo a extremo, ni lo aplican de forma universal a todas las conversaciones. Por ejemplo, TikTok, Reddit y, recientemente, Instagram, no permiten cifrar ningún mensaje enviado en sus chats.

En cambio, Signal, WhatsApp y Facebook lo aplican a todas las conversaciones por igual, sin necesidad de utilizar un servicio específico, como ocurre en Telegram, donde solo los llamados chats secretos están cifrados; en X, donde el cifrado es opcional y debe activarse manualmente; o en Gmail, que solo lo ofrece a las cuentas corporativas.

El Parlamento Europeo rechazó el 26 de marzo extender el tiempo de aplicación del Chat Control 1.0, tal como había solicitado la Comisión Europea, con 311 votos en contra, 228 votos a favor y 92 abstenciones.

El 1 de julio, el Partido Popular Europeo pidió tramitar una nueva propuesta legislativa, esta vez del Consejo de la UE, mediante el procedimiento de urgencia. El texto es exactamente igual que el del Chat Control 1.0 que estuvo en vigor entre 2021 y 2026, pero a efectos del procedimiento legislativo cuenta como una propuesta nueva. Además, el procedimiento de urgencia en segunda lectura hace que sea necesario alcanzar la mayoría absoluta del Parlamento, 360 votos, en posición contraria al texto para rechazarlo, en lugar de la mayoría simple que fue suficiente para rechazarlo en marzo.

Así, como la propuesta de rechazar el Chat Control 1.0 hasta 2028 solo ha conseguido 314 votos de apoyo, el texto ha quedado aprobado. Los grupos parlamentarios europeos, por tanto, tienen la siguiente posición respecto al Chat Control:

Fuente: La vanguardia