La iniciativa de seguridad infantil de la UE se estanca cuando expira la derogación de la privacidad electrónica, se piratea la aplicación de verificación de edad y se estanca la regulación CSA

Resumen: Los esfuerzos de Europa para proteger a los niños en línea han chocado con su propia arquitectura de privacidad. El escaneo CSAM voluntario de abuso de privacidad electrónica expiró el 3 de abril cuando el Parlamento votó 311-228 para rechazar su extensión, la nueva aplicación de verificación de edad de la UE anunciada el 15 de abril fue pirateada en dos minutos y la regulación CSA (“control de chat”) tiene una fecha límite de julio. El TEDH dice que las puertas traseras de cifrado violan los derechos fundamentales, mientras que GDPR, DSA y la regulación CSA propuesta exigen que todos sepan si un usuario es un niño, lo que les exige recopilar información sobre sí mismos que las leyes de privacidad dicen que no se puede recopilar sobre niños.

El 3 de abril, el Parlamento Europeo votó 311 a 228 para expirar su derogación temporal de privacidad electrónica. La afrenta permitió a plataformas como Meta, Google y Microsoft escanear voluntariamente mensajes privados en busca de contenido de abuso sexual infantil sin violar las leyes de privacidad de la UE. Cuando termina, la base legal para esos escaneos desaparece. Doce días después, la Comisión Europea anunció una nueva aplicación de verificación de edad que preserva la privacidad y está diseñada para proteger a los niños en línea. Los investigadores lo piratearon en dos minutos. Entre leyes obsoletas y aplicaciones fallidas se encuentra todo el problema: Europa quiere proteger a los niños de la explotación en línea, pero cada herramienta que crea para hacerlo funciona dentro de la arquitectura de privacidad que tardó una década en construir. El resultado es un sistema regulatorio en guerra consigo mismo, donde los procesos necesarios para encontrar niños abusados ​​deben recopilar los mismos datos que la legislación de la UE dice que no se pueden recopilar sobre niños.

brecha de escaneo

La Derogación de la Privacidad Electrónica se introdujo en 2021 como medida provisional. La Comisión Europea propuso el Reglamento sobre abuso sexual infantil, conocido formalmente como Reglamento CSA e informalmente como Control de chat, que exigiría que las plataformas detecten e informen sobre CSAM en mensajes privados, incluidos aquellos que están cifrados de extremo a extremo. Se suponía que el reglamento sustituiría al marco voluntario en un plazo de tres años. No sucedió. Las conversaciones tripartitas entre el Parlamento, el Consejo y la Comisión se prolongan desde 2022, con la próxima reunión prevista para el 4 de mayo y con el objetivo de alcanzar un acuerdo político en julio. Mientras tanto, el período de desacato ha expirado. El Centro Nacional de Estados Unidos para Niños Desaparecidos y Explotados, que procesa la mayoría de los informes globales de CSAM, advirtió que el error provocaría una caída mensurable en las referencias de plataformas europeas. Meta ha confirmado que ha suspendido voluntariamente el escaneo en la UE. La posición del Parlamento es que el desacato es incompatible con el derecho fundamental a la privacidad de las comunicaciones. La posición de las agencias de protección infantil es que el Parlamento sólo legalizó que las plataformas ignoren el material de abuso que se encuentra en sus sistemas.

El reglamento CSA propuesto por la Comisión requeriría que las plataformas utilicen órdenes de detección emitidas por un nuevo centro de la UE para escanear mensajes en busca de CSAM conocido, nuevo CSAM y comportamiento de acoso. El Parlamento excluyó los elementos más controvertidos: rechazó el escaneo de extremo a extremo de mensajes cifrados, limitó la detección a elementos conocidos utilizando tecnología de coincidencia de hash y eliminó las comunicaciones en tiempo real. El consejo, dirigido por una presidencia rotatoria que ha dificultado el acceso de las fuerzas del orden, quiere mayores poderes de escaneo, incluidos materiales y decoraciones desconocidos. La distancia entre las dos ubicaciones no se discutirá en detalle. Este es un desacuerdo fundamental sobre si las comunicaciones privadas pueden monitorearse sistemáticamente para proteger a los niños, y el Tribunal Europeo de Derechos Humanos ya ha indicado cuál es su posición.

Muro de cifrado

En febrero, el TEDH dictaminó en Podchasov contra Rusia que las plataformas que requieren un cifrado de extremo a extremo débil o de puerta trasera violan el artículo 8 del Convenio Europeo de Derechos Humanos, el derecho al respeto de la vida privada y la correspondencia. El fallo estaba dirigido a una ley rusa que obliga a los servicios de mensajería a proporcionar claves de descifrado al FSB, pero su fundamento se aplica directamente a las órdenes de identificación propuestas por la regulación CSA. Si una plataforma no puede escanear mensajes cifrados sin debilitar el cifrado y viola derechos fundamentales al debilitar el cifrado, entonces la regulación no puede dictar lo que sus autores pretendían imponer. La presidenta de Signal, Meredith Whittaker, dijo que la compañía abandonaría la UE en lugar de cumplir con cualquier ley que le obligue a comprometer sus protocolos de cifrado. Apple desactivó su función de protección de datos mejorada para los usuarios del Reino Unido después de que el gobierno británico emitiera un aviso de poder técnico bajo la Ley de Poderes de Investigación alegando acceso por puerta trasera a los datos de iCloud. El debate sobre el cifrado ya no es teórico. Las empresas ya están tomando decisiones jurisdiccionales cuando los gobiernos exigen acceso a las comunicaciones personales.

Tanto el Consejo Europeo de Protección de Datos como el Supervisor Europeo de Protección de Datos han emitido dictámenes advirtiendo que el reglamento CSA redactado por la Comisión sería inconsistente e incompatible con los derechos fundamentales de la UE. El SEPD señaló específicamente que el escaneo del lado del cliente, una técnica propuesta como alternativa a romper el cifrado escaneando el contenido del dispositivo antes de cifrarlo, todavía constituye una vigilancia exhaustiva porque procesa cada mensaje para detectar los no válidos. La distinción entre escaneo antes del cifrado y escaneo después del cifrado es técnicamente significativa pero legalmente absurda si el resultado es que cada mensaje privado es analizado por un sistema automatizado. La posición negociadora del Parlamento refleja este análisis. El Consejo no lo hace.

La paradoja de la verificación de edad

Si bien la regulación CSA se ha estancado, los estados miembros individuales han avanzado con restricciones basadas en la edad. Francia ha prohibido que los niños menores de 15 años accedan a las redes sociales sin el consentimiento de sus padres. España fijó el umbral en 16. Grecia prohibirá las redes sociales a los menores de 15 años A partir de 2027. El umbral en Austria es 14. Noruega planea prohibir las redes sociales para menores de 16 años Y está desarrollando un sistema nacional de verificación de edad para implementarlo El impulso acelerado de Europa para imponer límites de edad en las redes sociales Creó un mosaico de leyes nacionales sin un mecanismo de aplicación común, que se suponía que abordaría la aplicación de verificación de edad de la UE.

La aplicación de la comisión, anunciada el 15 de abril, está diseñada para verificar la edad de un usuario sin revelar su identidad en la plataforma, un sistema de prueba de conocimiento cero que confirmará que alguien está por encima de un cierto límite de edad sin transmitir su fecha de nacimiento, nombre o cualquier otro dato personal. Se presentó como una solución técnica a la paradoja de la verificación de la edad sin recopilar información sobre la edad. Los investigadores de seguridad demostraron a los dos minutos del lanzamiento que el proceso de verificación de la aplicación se podía eludir, socavando la credibilidad de una herramienta que la comisión citó como evidencia de que implementar una protección infantil que preservara la privacidad era técnicamente posible. D La nueva aplicación de verificación de edad de la UE que preserva la privacidad El objetivo era demostrar que las compensaciones entre la protección infantil y la minimización de datos se pueden resolver mediante ingeniería. Su fracaso inmediato mostró el panorama opuesto.

Conflicto legal

La Ley de Servicios Digitales, que entrará en plena aplicación en 2024, exige que las plataformas, en virtud del artículo 28, evalúen y mitiguen los riesgos sistémicos para los menores, incluida la exposición a contenidos nocivos, la manipulación a través del diseño de interfaces y el procesamiento de datos personales en formas que exploten las vulnerabilidades de los niños. Las pautas de la DSA instruyen a las plataformas a implementar salvaguardias apropiadas para la edad, pero no especifican cómo las plataformas deben determinar la edad de un usuario. El RGPD establece la edad de consentimiento digital en 16 años, permite a los estados miembros reducirla a 13 años y requiere el consentimiento de los padres para procesar datos de niños por debajo de ese umbral. Las multas del RGPD se dirigen cada vez más a las violaciones de datos de niños, y los reguladores de toda Europa tratan la privacidad de los niños como una prioridad de aplicación. Pero para implementar protecciones específicas por edad, las plataformas primero deben determinar quién es un niño, y determinar quién es un niño recopilando o infiriendo información personal de cada usuario, incluidos los adultos que tienen derecho a que no se verifique su edad.

La circularidad está en el centro del marco de protección infantil de Europa. El RGPD establece que no se pueden procesar datos de niños sin una mayor protección. La DSA dice que se debe proteger a los niños del contenido dañino. Las regulaciones de la CSA establecen que debe identificar material abusivo en mensajes privados. Cada obligación exige saber si un determinado usuario es un niño. El tratamiento de sus datos personales es necesario para determinar si un determinado usuario es un niño. El procesamiento de sus datos personales para determinar su edad puede violar los principios de minimización de datos protegidos por el RGPD. Se suponía que las aplicaciones de verificación de edad cortarían este nudo. Estaba roto al llegar. Se suponía que las violaciones de la privacidad electrónica ganarían tiempo para la regulación de la CSA. Ha caducado sin reemplazo. Se suponía que el reglamento CSA crearía un marco armonizado. Está atrapado entre un parlamento que no aceptará una vigilancia masiva y un consejo que no adoptará una regulación sin poderes de escaneo.

objetivo de julio

Los negociadores del diálogo tripartito han fijado como fecha límite en julio para alcanzar un acuerdo político sobre el reglamento CSA. Las propuestas de compromiso circuladas en Bruselas limitarían la identificación obligatoria a plataformas no cifradas que utilicen hash-matching y CSAM conocido, con una cláusula de revisión que podría ampliar el alcance si la tecnología mejora. Las plataformas cifradas enfrentarán obligaciones de presentación de informes cuando se detecte CSAM a través de informes de usuarios o análisis de metadatos, pero no a través del escaneo de contenido. El Centro de la UE para la Prevención del Abuso Sexual Infantil coordinará las derivaciones transfronterizas y mantendrá una base de datos hash. No está claro si este compromiso podrá mantenerse. Los organismos encargados de hacer cumplir la ley en toda Europa han presionado intensamente para lograr un escaneo generalizado, argumentando que los mensajes cifrados son el principal canal de distribución de material abusivo y que su exclusión hace que la regulación sea en gran medida simbólica. Los defensores de la privacidad argumentan que cualquier infraestructura de escaneo obligatoria, una vez construida, inevitablemente se expandirá a otras categorías de contenido ilegal, una pendiente resbaladiza que el fallo del TEDH de Podchasov fue diseñado para evitar.

La evaluación honesta es que Europa no ha resuelto la tensión entre la seguridad y la privacidad de los niños porque la tensión no puede resolverse únicamente mediante la regulación. Las herramientas que protegen a los niños, escanean mensajes en busca de contenido abusivo, verifican la edad antes de otorgar acceso, monitorean las interacciones para detectar patrones de captación, todas requieren capacidades de vigilancia que la legislación de la UE pretende prevenir. Los Estados miembros que han adoptado medidas unilaterales con restricciones de edad lo han hecho sin mecanismos de aplicación creíbles. La tecnología de verificación de edad de la comisión falló en su primera prueba pública. El Parlamento eliminó un instrumento legal que permitía el escaneo voluntario. Y la norma que debía sustituirla sigue siendo, después de cuatro años de negociaciones, un documento sobre el que nadie puede ponerse de acuerdo porque las dos cosas que intenta proteger, la protección de los niños y la privacidad de todos, exigen cosas opuestas de la misma infraestructura.