La Online Safety Act británica se vendió como la ley que por fin obligaría a los sitios extranjeros a acatar las reglas del Reino Unido. El 21 de julio de 2026, el regulador encargado de aplicarla admitió que, en su caso más grave hasta la fecha, se ha quedado sin jugadas. Ofcom cerró su expediente contra el operador estadounidense de un foro sobre suicidio y afirmó que un geobloqueo de los visitantes británicos es "lo máximo que puede lograrse bajo la Online Safety Act". La multa de 950.000 libras impuesta en mayo sigue sin pagarse.
Qué dijo realmente Ofcom sobre la Online Safety Act
El caso fue el primero de su tipo bajo esta ley. El foro, que la Molly Rose Foundation vincula a 164 muertes en el Reino Unido y que ha aparecido en varios informes forenses, fue multado en mayo de 2026 por no proteger a los usuarios británicos frente a contenido ilegal. El plazo de pago del 12 de junio venció sin ingreso alguno. Después, la vía de ejecución simplemente se cerró.
- La multa: 950.000 libras, impagadas, sin una vía realista de cobro a un operador extranjero.
- El bloqueo: tras señalar Ofcom las brechas, entre ellas un dominio espejo que seguía accesible, el propio operador reforzó su geobloqueo.
- La trampa: una vez reparado el bloqueo, desapareció la base legal para pedir a un tribunal que ordenara el bloqueo por los proveedores británicos, y el impago de una multa no es por sí solo motivo suficiente.
Ofcom también describió con claridad qué hace y qué no hace el bloqueo. El geobloqueo, dijo, no elimina del todo el riesgo de daño, "especialmente para quienes eligen acceder a los sitios mediante VPN", mientras que la gran mayoría de usuarios británicos que no enmascaran su ubicación ya no alcanza el sitio. Un número muy pequeño de usuarios ya registrados, añadió, sigue entrando desde el Reino Unido por razones técnicas que el regulador no atribuye a la implementación del operador.
Por qué el fracaso de Ofcom es estructural
Quita los detalles y la forma del fracaso resulta familiar. Un regulador con competencias nacionales se topa con un operador sin presencia en el país, sin activos en el país y sin incentivo para pagar. Las multas presuponen a alguien a quien facturar. Las órdenes de restricción de acceso presuponen un objetivo que sigue incumpliendo. Arregla la infracción técnica, ignora la factura, y la ley se queda sin herramientas.
Por eso el desenlace importa mucho más allá de un foro. La disuasión de la ley descansa en el supuesto de que un sitio extranjero incumplidor puede, en última instancia, bloquearse a nivel de red en el Reino Unido. Este caso muestra ese supuesto fallando justo en el escenario para el que se escribió la ley. Ofcom ha abierto en consecuencia una revisión de sus propios poderes de business disruption, y la organización Samaritans calificó el resultado de oportunidad perdida para demostrar que los incumplimientos se castigan.
La pregunta sobre las VPN a la que el Reino Unido siempre vuelve
Esta es la parte que acompañará a la decisión. Un regulador ha dejado por escrito que su remedio más potente es un filtro de ámbito nacional y que ese filtro se deshace con una herramienta que millones de personas usan por motivos corrientes. Todos los debates británicos previos sobre restringir las VPN acabaron con el gobierno dando marcha atrás: en julio decidió no restringir las VPN y las llamó herramientas legítimas de privacidad, tras una consulta sobre verificación de edad para servicios VPN y una etapa en la que los Lores respaldaron prohibir las VPN a menores junto con límites a las redes sociales.
Un fallo de aplicación tan visible es justo el material que reabre esos debates. El argumento se escribe solo: la ley funciona, el filtro funciona, la única grieta es el túnel. Es un mal argumento, porque ese mismo túnel protege a periodistas, a supervivientes de violencia doméstica, a quienes viajan por trabajo y a cualquiera conectado a una red hostil, y porque un país que filtra en la capa VPN termina reconstruyendo la maquinaria que critica fuera. Pavel Durov lleva un año sosteniendo que la protección infantil es el envoltorio de poderes de censura más amplios, y casos como este son los que rellenan ese envoltorio.
La ejecución se desliza hacia la capa de red en todas partes
El Reino Unido no es el único que descubre que lo más difícil de alcanzar es el propio sitio. La ejecución se desliza hacia las partes de internet que están dentro de la jurisdicción nacional: proveedores, resolutores, infraestructura y, cada vez más, las personas que explican cómo funciona todo esto. En Francia un tribunal mantuvo congelados 197.000 euros por publicaciones que explicaban un rodeo mediante DNS. El patrón es constante: cuando el objetivo queda fuera de alcance, la presión se traslada a lo que sí está al alcance.
Conviene formular con precisión un punto técnico, porque de él depende todo el caso. El geobloqueo es una comprobación de ubicación, no un mecanismo de seguridad. Pregunta a qué país parece pertenecer una dirección y responde sí o no, tratando igual a todos los que están detrás de esa dirección, sin importar quiénes son, qué necesitan o por qué están conectados. Un regulador que solo puede exigir una comprobación de ubicación no está regulando el contenido, está regulando una consulta. Esa es la brecha que Ofcom acaba de documentar con sus propias palabras, y ninguna presión sobre las herramientas de conexión convierte una consulta en protección.
