¿Qué es el Chat Control?

Chat Control - UE

Estos días habréis oído hablar de Chat Control, una iniciativa de la UE para escanear comunicaciones digitales en busca de abuso infantil que ha encendido un intenso debate sobre el equilibrio entre la seguridad y la privacidad en la era digital (Reglamento (UE) 2021/1232; Comisión Europea, COM(2022) 209 final; EDPB-EDPS, Joint Opinion 4/2022).

Pero ¿qué es Chat Control? El Chat Control no es un software ni una aplicación, sino una controvertida excepción legal aprobada por la UE que permite a ciertas plataformas escanear voluntariamente comunicaciones privadas para detectar material de abuso sexual infantil o CSAM (child sexual abuse material) (Reglamento (UE) 2021/1232, arts. 1 y 3).

La reciente prórroga del régimen conocido como Chat Control 1.0 mantiene vigente hasta 2028 la derogación temporal de la confidencialidad de las comunicaciones electrónicas para permitir el escaneo automatizado y voluntario de CSAM en plataformas no cifradas, tras una tramitación parlamentaria especialmente controvertida en 2026 (Reglamento (UE) 2021/1232; expediente legislativo del Parlamento Europeo sobre la lucha contra el abuso sexual infantil en línea; cobertura de prensa de julio de 2026).

Analicemos con algo más de profundidad esta iniciativa, su alcance y sus consecuencias jurídicas.

1. Marco normativo y antecedentes

1.1 Norma base de protección

La situación ordinaria está regida por la Directiva 2002/58/CE sobre privacidad y comunicaciones electrónicas (Directiva ePrivacy), que protege la confidencialidad del tráfico y del contenido de las comunicaciones electrónicas y constituye el punto de partida del secreto de las comunicaciones en el entorno digital (Directiva 2002/58/CE; Reglamento (UE) 2021/1232, considerando 1)

Esta Directiva se integra con el RGPD, esto es, el Reglamento (UE) 2016/679, especialmente en lo relativo al tratamiento de datos personales, las bases de legitimación, la minimización y la proporcionalidad del tratamiento (RGPD; EDPB-EDPS, Joint Opinion 4/2022).

1.2 Reglamento temporal: Chat Control 1.0

El llamado Chat Control 1.0 se identifica jurídicamente con el Reglamento (UE) 2021/1232 del Parlamento Europeo y del Consejo, de 14 de julio de 2021, relativo a una derogación temporal de determinadas disposiciones de la Directiva 2002/58/CE en lo que respecta a la detección, la denuncia y la eliminación de material de abuso sexual infantil en servicios de comunicaciones electrónicas independientes de la numeración (Reglamento (UE) 2021/1232).

Ese reglamento introdujo una derogación temporal de la Directiva ePrivacy para permitir a determinados proveedores detectar y reportar voluntariamente material de abuso sexual infantil en comunicaciones privadas, mientras se preparaba un marco normativo más amplio y permanente (Reglamento (UE) 2021/1232, arts. 1, 3 y 6; Comisión Europea, COM(2022) 209 final).

1.3 Evolución de la derogación y prórrogas

La derogación nació como una medida temporal, pero ha sido objeto de sucesivas discusiones y prórrogas por las instituciones europeas debido al bloqueo político del reglamento permanente y a la fuerte división entre protección de la infancia y salvaguarda de derechos fundamentales (expediente legislativo del Parlamento Europeo; Joint Opinion 4/2022; cobertura especializada de 2026).

Hubo un momento clave en 2026: la base temporal expiró por falta de acuerdo pleno entre Parlamento y Consejo, y posteriormente fue reactivada mediante una nueva prórroga aprobada en julio de 2026 por una vía parlamentaria muy discutida y es que se utilizó un procedimiento de urgencia para su aprobación justo antes del receso de verano.

1.4 Reglamento permanente en negociación (Chat Control 2.0)

Paralelamente, sigue en negociación la propuesta de Reglamento por el que se establecen normas para prevenir y combatir el abuso sexual de los menores, presentada por la Comisión Europea como COM(2022) 209 final, que en sus versiones iniciales contemplaba obligaciones de detección, reporte y retirada mucho más amplias que el régimen temporal de 2021 (Comisión Europea, COM(2022) 209 final).

Esa propuesta ha sido objeto de una contestación jurídica muy intensa por el riesgo de instaurar formas estructurales de vigilancia de las comunicaciones, especialmente si afectaran al cifrado o al escaneo en dispositivo del usuario (EDPB-EDPS, Joint Opinion 4/2022; expediente legislativo del Parlamento Europeo).

2. Ámbito material y subjetivo de aplicación

2.1 Ámbito material

El reglamento temporal se circunscribe formalmente a la detección, denuncia y retirada de material de abuso sexual infantil en comunicaciones privadas, incluidas imágenes, vídeos y, en ciertos supuestos, interacciones o patrones vinculados al acercamiento a menores (grooming), dentro de los servicios contemplados por la norma (Reglamento (UE) 2021/1232, arts. 3 y 5).

No se configura como una autorización general e ilimitada de lectura de todas las conversaciones, sino como una habilitación específica para emplear herramientas automatizadas orientadas a detectar CSAM conocido o sospechoso, aunque su aplicación práctica puede aproximarse a formas de vigilancia masiva cuando afecta a grandes volúmenes de comunicaciones no sospechosas (Reglamento (UE) 2021/1232; Joint Opinion 4/2022).

2.2 Ámbito subjetivo

Afecta a proveedores de servicios de comunicaciones electrónicas y otros grandes operadores digitales que prestan servicios en la UE y que pueden aplicar escaneo automatizado sobre comunicaciones no cifradas de extremo a extremo, como determinados servicios de correo, mensajería o almacenamiento en nube (Reglamento (UE) 2021/1232; análisis periodísticos y jurídicos sobre las plataformas afectadas).

La exclusión del cifrado de extremo a extremo se ha presentado políticamente como una salvaguarda importante, pero no agota el debate, porque la propuesta COM(2022) 209 final reabrió la discusión sobre técnicas como el client-side scanning y porque el problema jurídico no es solo romper el cifrado, sino legitimar un modelo de control preventivo del contenido de las comunicaciones (COM(2022) 209 final; Joint Opinion 4/2022).

2.3 Territorialidad

El reglamento es aplicable en toda la Unión Europea y alcanza a proveedores que operan en el mercado europeo aunque no tengan su sede en un Estado miembro, siempre que presten servicios a usuarios en la Unión y entren en el ámbito funcional de la norma (Reglamento (UE) 2021/1232).

En España, su aplicación debe leerse conjuntamente con la Constitución, en particular el artículo 18 sobre secreto de las comunicaciones, así como con la LOPDGDD y la normativa sectorial de telecomunicaciones, sin perjuicio de la primacía y aplicabilidad directa del reglamento europeo (Reglamento (UE) 2021/1232; Joint Opinion 4/2022).

3. Competencias y procedimiento legislativo

3.1 Competencia de la UE

La UE actúa aquí sobre la base de sus competencias en mercado interior, regulación de servicios digitales, protección de datos y cooperación frente a delitos graves contra menores, utilizando un reglamento armonizador para permitir una excepción temporal a la confidencialidad de las comunicaciones (Reglamento (UE) 2021/1232; COM(2022) 209 final).

3.2 Procedimiento legislativo ordinario

Tanto el régimen temporal como la propuesta permanente se encuadran en el procedimiento legislativo ordinario: iniciativa de la Comisión, posición del Parlamento, intervención del Consejo y, en su caso, negociación interinstitucional en trílogos (expediente legislativo del Parlamento Europeo; COM(2022) 209 final).

En 2026, la prórroga temporal estuvo marcada por un desacuerdo institucional y por el uso de fórmulas procedimentales aceleradas o indirectas en el Parlamento Europeo, lo que provocó fuertes críticas sobre la calidad democrática del proceso y sobre la forma en que una medida tan sensible para los derechos fundamentales fue reactivada.

3.3 Consejo y Estados miembros

El Consejo de la Unión Europea ha desempeñado un papel central en el sostenimiento de la prórroga y en la negociación del futuro reglamento, reflejando la posición de Estados miembros que consideran estas herramientas necesarias para la persecución de delitos de abuso sexual infantil.

4. Contenido jurídico del régimen de escaneo

4.1 Escaneo voluntario y reporte

Las plataformas pueden, pero no están obligadas en el régimen temporal, a implementar sistemas automatizados de detección, clasificación y reporte de CSAM, y a comunicar los resultados a autoridades competentes o entidades designadas para la recepción de estos reportes (Reglamento (UE) 2021/1232, arts. 3 a 5).

El escaneo se presenta jurídicamente como una medida de protección de menores y de cooperación en la persecución de delitos especialmente graves, que justifica temporalmente una excepción a la regla de confidencialidad establecida por la Directiva ePrivacy (Reglamento (UE) 2021/1232; COM(2022) 209 final).

4.2 Limitaciones y salvaguardas formales

El legislador europeo ha tratado de introducir límites formales referidos a necesidad, proporcionalidad, minimización, fiabilidad tecnológica y supervisión, pero precisamente la crítica institucional del EDPB y del EDPS parte de que esas salvaguardas son insuficientes frente a la intensidad de la injerencia en los derechos fundamentales (EDPB-EDPS, Joint Opinion 4/2022).

4.3 Naturaleza de la derogación

Desde una perspectiva estrictamente jurídica, Chat Control 1.0 es una excepción temporal a un régimen general de confidencialidad de las comunicaciones; no crea una obligación universal de escaneo, pero sí legitima prácticas de vigilancia automatizada que, sin esa cobertura normativa, podrían resultar incompatibles con la Carta y con la jurisprudencia del TJUE sobre vigilancia general e indiscriminada (Reglamento (UE) 2021/1232; Digital Rights Ireland; Tele2 Sverige; La Quadrature du Net).

5. Conflicto entre derechos y principios

5.1 Privacidad y secreto de las comunicaciones

El núcleo del conflicto reside en los artículos 7 y 8 de la Carta de Derechos Fundamentales de la Unión Europea, que protegen respectivamente la vida privada y la protección de datos personales, y en su proyección interna a través del artículo 18 de la Constitución española sobre secreto de las comunicaciones (Digital Rights Ireland; Joint Opinion 4/2022).

El escaneo automatizado de comunicaciones privadas sin sospecha individualizada y sin control judicial previo plantea una injerencia especialmente intensa en ese núcleo, por cuanto afecta no solo a datos de tráfico o metadatos, sino potencialmente al propio contenido de la comunicación (Digital Rights Ireland; Privacy International; Joint Opinion 4/2022).

5.2 Protección de menores y persecución de delitos

Frente a ello, la Unión y los Estados invocan la obligación positiva de proteger a los menores frente al abuso sexual y de dotarse de instrumentos eficaces para perseguir delitos especialmente graves cometidos en línea, lo que conecta también con la dignidad humana y la integridad de las víctimas (COM(2022) 209 final; Reglamento (UE) 2021/1232).

5.3 Necesidad y proporcionalidad

La doctrina del TJUE ha insistido de forma constante en que las medidas de vigilancia y retención de datos deben ser estrictamente necesarias, proporcionadas y vinculadas a amenazas concretas, sin permitir una vigilancia general e indiscriminada de toda la población (TJUE, Sentencia de 8 de abril de 2014, Digital Rights Ireland Ltd y Seitlinger y otros, asuntos acumulados C-293/12 y C-594/12, EU:C:2014:238; TJUE, Sentencia de 21 de diciembre de 2016, Tele2 Sverige AB y Secretary of State for the Home Department, asuntos acumulados C-203/15 y C-698/15, EU:C:2016:970; TJUE, Sentencia de 6 de octubre de 2020, La Quadrature du Net y otros, asuntos acumulados C-511/18, C-512/18 y C-520/18, EU:C:2020:791).

A la luz de esa línea jurisprudencial, Chat Control 1.0 se mueve en una zona jurídicamente muy vulnerable, porque habilita un escaneo preventivo a gran escala de comunicaciones privadas sin individualización previa del riesgo y sin las garantías propias de una injerencia singularizada acordada por autoridad judicial (Digital Rights Ireland; Tele2 Sverige; La Quadrature du Net; Joint Opinion 4/2022).

5.4 Libertad de expresión y secreto profesional

El problema no afecta solo a la intimidad, sino también a la libertad de expresión y de información del artículo 11 de la Carta, así como a la confidencialidad reforzada de comunicaciones de periodistas, abogados, médicos u otros profesionales sometidos a secreto (Privacy International; Joint Opinion 4/2022).

La posibilidad de que toda comunicación sea potencialmente escaneada genera un efecto disuasorio o chilling effect sobre el ejercicio de derechos, un riesgo ya destacado por la doctrina y por autoridades de protección de datos en el contexto de la vigilancia masiva (Digital Rights Ireland; Privacy International; EDPB-EDPS, Joint Opinion 4/2022).

6. Jurisprudencia clave del TJUE

6.1 Digital Rights Ireland

La sentencia fundamental es la del TJUE de 8 de abril de 2014, Digital Rights Ireland Ltd y Seitlinger y otros, asuntos acumulados C-293/12 y C-594/12, EU:C:2014:238, que anuló la Directiva 2006/24/CE por imponer una conservación general e indiferenciada de datos de tráfico y localización incompatible con los artículos 7 y 8 de la Carta (Digital Rights Ireland).

De esa sentencia se desprenden tres ideas cardinales: rechazo de la vigilancia masiva generalizada, exigencia de vínculo con la persecución de delitos graves y necesidad de límites temporales y garantías robustas de acceso y control (Digital Rights Ireland).

6.2 Tele2 Sverige

La doctrina se consolidó con la sentencia del TJUE de 21 de diciembre de 2016, Tele2 Sverige AB y Secretary of State for the Home Department, asuntos acumulados C-203/15 y C-698/15, EU:C:2016:970, que reafirmó la incompatibilidad de los regímenes nacionales de conservación generalizada e indiscriminada de datos con el Derecho de la Unión (Tele2 Sverige).

Tele2 Sverige es especialmente relevante porque exige relación con amenazas graves concretas, delimitación estricta del alcance de la medida y control previo por órgano judicial o autoridad independiente, lo que dificulta justificar esquemas preventivos indiscriminados como los que puede propiciar el escaneo masivo de comunicaciones (Tele2 Sverige).

6.3 La Quadrature du Net

La sentencia del TJUE de 6 de octubre de 2020, La Quadrature du Net y otros, asuntos acumulados C-511/18, C-512/18 y C-520/18, EU:C:2020:791, es decisiva porque matiza que no toda medida intensa de vigilancia está prohibida, pero solo admite excepciones muy tasadas, fundamentalmente ligadas a amenazas graves para la seguridad nacional y sujetas a límites temporales y controles estrictos (La Quadrature du Net).

Esta sentencia es útil para evitar una simplificación excesiva: la jurisprudencia del TJUE no prohíbe cualquier injerencia, sino las injerencias indiscriminadas que no superan el juicio de necesidad y proporcionalidad (La Quadrature du Net; Privacy International).

6.4 Privacy International

En la misma fecha, el TJUE dictó la sentencia Privacy International, asunto C-623/17, EU:C:2020:790, en la que volvió a subrayar que el acceso generalizado a datos de comunicaciones por parte de autoridades o bajo marcos normativos amplios exige un escrutinio especialmente severo a la luz de la Carta (Privacy International).

6.5 Aplicación analógica a Chat Control

Aunque estas sentencias se refieren principalmente a conservación y acceso a datos y no exactamente al escaneo automatizado de contenido, su lógica protectora es plenamente relevante para valorar Chat Control, porque el problema de fondo es el mismo: si puede someterse a control preventivo y generalizado a toda la población sin sospecha previa (Digital Rights Ireland; Tele2 Sverige; La Quadrature du Net; Privacy International).

7. Implicaciones, riesgos y críticas

7.1 Falsos positivos y errores

Los sistemas automatizados de detección pueden generar falsos positivos con consecuencias muy graves para usuarios inocentes, incluidas denuncias erróneas, suspensión de cuentas o apertura de investigaciones basadas en inferencias algorítmicas de fiabilidad imperfecta (Joint Opinion 4/2022; análisis doctrinales y periodísticos sobre el funcionamiento de estas herramientas).

7.2 Opacidad tecnológica y function creep

El uso de herramientas de IA, hashes y sistemas automatizados de clasificación plantea problemas de transparencia, auditabilidad y control, y además crea el riesgo clásico de function creep: una vez normalizada la infraestructura de escaneo, puede ampliarse a otros contenidos o finalidades ajenas al abuso sexual infantil (Joint Opinion 4/2022; COM(2022) 209 final; análisis críticos de derechos digitales).

7.3 Críticas institucionales y democráticas

El EDPB y el EDPS advirtieron expresamente de que la propuesta de reglamento para combatir el abuso sexual infantil en línea presenta riesgos serios para los derechos fundamentales, y reclamaron una revisión profunda del modelo de detección planteado (EDPB-EDPS, Joint Opinion 4/2022; nota institucional del EDPS de 29 de julio de 2022).

A ello se suma la crítica democrática derivada de la prórroga de 2026, aprobada por una vía parlamentaria percibida por muchos observadores como una maniobra procedimental para reactivar una medida muy controvertida pese a no contar con un respaldo político nítido en votación directa.

7.4 Impacto real sobre ciudadanos y profesionales

El riesgo no es abstracto: afecta a ciudadanos corrientes, a pequeños prestadores de servicios digitales y a profesionales que dependen de la confidencialidad para ejercer su trabajo, como abogados, médicos o periodistas, de modo que la injerencia puede proyectarse también sobre la presunción de inocencia, la confianza en los servicios digitales y el ejercicio libre de profesiones con secreto reforzado (Privacy International; Joint Opinion 4/2022).

7.5 Impacto en España y para administradores web

En España, cualquier operador que gestione servicios potencialmente comprendidos en el ámbito del reglamento debe valorar si entra o no dentro de la categoría de proveedor afectado, revisar sus políticas de privacidad y términos de uso, y tener presente que una eventual cooperación en sistemas de escaneo no elimina las exigencias derivadas del principio de proporcionalidad y del artículo 18 de la Constitución (Reglamento (UE) 2021/1232; Joint Opinion 4/2022).

Para administradores web y responsables de servicios digitales, el principal problema práctico es doble: por un lado, el coste reputacional y jurídico de introducir sistemas intrusivos de escaneo; por otro, el riesgo de que una falsa sensación de cobertura legal lleve a infravalorar obligaciones de transparencia, minimización y protección de datos frente a los usuarios (Reglamento (UE) 2021/1232; Joint Opinion 4/2022).

8. Alcance temporal y escenarios futuros

8.1 Duración de la prórroga

La situación actual es que el régimen temporal de Chat Control 1.0 ha sido prolongado de nuevo mientras continúa bloqueado el acuerdo definitivo sobre el reglamento permanente, lo que mantiene viva la controversia jurídica y política sobre su compatibilidad con la Carta.

8.2 Escenario contencioso

Es razonable prever impugnaciones futuras ante el TJUE, ya sea mediante recursos directos o, con mayor probabilidad, a través de cuestiones prejudiciales planteadas por tribunales nacionales, si la aplicación concreta del reglamento genera litigios sobre privacidad, secreto de las comunicaciones o validez del marco europeo a la luz de la Carta (Digital Rights Ireland; Tele2 Sverige; La Quadrature du Net; Privacy International).

8.3 El futuro de Chat Control 2.0

La futura suerte de la propuesta COM(2022) 209 final determinará si la Unión Europea consolida un modelo de vigilancia estructural de comunicaciones o si opta por soluciones más selectivas, centradas en casos concretos, con garantías reforzadas y control judicial real, en línea con la jurisprudencia del TJUE (COM(2022) 209 final; Joint Opinion 4/2022; expediente legislativo del Parlamento Europeo).

Normativa y documentos oficiales de la UE

Dictámenes institucionales

Jurisprudencia del TJUE

 

Formación relacionada: https://campus-stellae.com/areas/ntic/

Etiqueta:,

Instituto Europeo Campus Stellae

    También te puede interesar