La Comisión Europea anunció esta semana su estrategia ProtectEU. Es una «visión y plan de trabajo» para lo que, en la práctica, son puertas traseras obligatorias en el cifrado, vestidas con el lenguaje eufemístico del «acceso legal y eficaz a los datos para las fuerzas del orden» y de las «soluciones tecnológicas para acceder a datos cifrados».
Léase dos veces. No dice «acceso a datos obtenidos legalmente». Dice acceso a datos cifrados. La diferencia no es semántica.
He leído siete años de documentos de política de la UE. Esta es la declaración más clara que he visto de Bruselas sobre lo que quiere decir sin decir lo que quiere decir. La estrategia promete que «la ciberseguridad y los derechos fundamentales estarán protegidos» mientras se implementa una futura puerta trasera. Eso no es una promesa. Es una pretensión.
Una puerta trasera, por definición, está al alcance de cualquiera que la encuentre. Una vez que la arquitectura existe, una vez que la vulnerabilidad está diseñada en el sistema, los Estados hostiles, los grupos criminales y los actores no estatales tendrán el mismo acceso que las fuerzas del orden dicen querer. La UE lo sabe. Criptógrafos, empresas tecnológicas e investigadores de privacidad se lo han repetido durante dos décadas. No le importa.
Lo que la UE persigue en realidad no es el «acceso a datos cifrados». Eso es imposible. Lo que persigue es la eliminación de los datos verdaderamente cifrados. Quiere sustituir el cifrado de extremo a extremo por sistemas en los que la clave de cifrado la custodie un tercero: una agencia policial, una base de datos gubernamental o un sistema centralizado de gestión de claves. Ese sistema sería «seguro» de la misma manera que una bóveda bancaria es segura: protegido por controles de acceso, registros de auditoría y normas sobre quién puede pedir qué.
Solo que a las bóvedas bancarias las roban. Las bases de datos se ven comprometidas. Y esas normas se cambian a las tres de la madrugada, cuando cambia el clima político.
La estrategia ProtectEU también pide dar a EUROPOL «más poderes» en las investigaciones transfronterizas y convertirla en «una agencia policial verdaderamente operativa», con un intercambio de inteligencia ampliado entre los Estados miembros a través de la Single Intelligence Analysis Capacity. Esto no es una reforma de las fuerzas del orden. Es centralización policial, vendida como seguridad.
Me fijo en el momento elegido. La natalidad europea lleva décadas por debajo del nivel de reemplazo. La población activa se encoge. Los servicios públicos —el SNS en Portugal, el NHS en el Reino Unido, las escuelas de todas partes— se derrumban bajo el peso demográfico. La confianza en las instituciones ya es escasa. Y la respuesta de Bruselas no es arreglar la sanidad, las pensiones o la vivienda. Es construir más infraestructura de vigilancia.
La pretensión es siempre la misma: terrorismo, delincuencia, actores hostiles. Estos problemas son reales. Pero la solución que se está construyendo —una puerta trasera continental para las comunicaciones cifradas, más poderes policiales centralizados, agencias de inteligencia con menos supervisión— no resuelve esos problemas. Resuelve otro: el de un gobierno que no puede cumplir con lo básico y necesita ver lo que dice la gente para saber si está a punto de rebelarse.
La inquietud aquí no es teórica. Es arquitectónica. Una vez que existe la puerta trasera, se queda. Una vez que EUROPOL tiene el poder, lo conserva. No son herramientas que desaparezcan cuando pasa la amenaza. Se convierten en infraestructura permanente, y se usarán contra la disidencia, la protesta y el discurso incómodo con la misma facilidad que contra la delincuencia real.
Bruselas ha dejado de pretender que puede construir una «puerta trasera segura». Ahora simplemente dice que construirá una puerta trasera y asegura a todos que se usará con buenas intenciones. Eso es peor.