Suiza construyó su reputación como refugio de la privacidad - un país que proveedores de correo cifrado y de VPN eligieron precisamente porque su legislación no los obligaba a registrar ni identificar a los usuarios. Una propuesta de reforma de la vigilancia amenaza ahora justo eso, y ya ha empujado al mayor nombre de la privacidad suiza, Proton, a empezar a trasladar su infraestructura al extranjero. El fundador de la empresa llegó a afirmar que la única ley comparable en Europa es la de Rusia.
Qué exigiría la reforma propuesta
El asunto en cuestión es una revisión de la VÜPF, la ordenanza suiza sobre la vigilancia del tráfico postal y de telecomunicaciones. Y algo clave: el Gobierno la impulsa como una modificación de una ordenanza - un cambio que el Consejo Federal y el departamento de justicia pueden realizar sin una ley plena del parlamento. Según el borrador, cualquier servicio de correo, mensajería o VPN con tan solo 5.000 usuarios tendría que:
- Verificar la identidad: recopilar un documento de identidad oficial al registrarse, lo que haría prácticamente imposibles las cuentas anónimas.
- Conservar metadatos: guardar direcciones IP, nombres, números de teléfono y datos de conexión relacionados durante seis meses.
- Entregar datos legibles: ser técnicamente capaz de facilitar los datos de un usuario a las autoridades en texto plano cuando lo soliciten - en la práctica, eliminando el cifrado a nivel de transporte -, aunque los mensajes genuinamente cifrados de extremo a extremo intercambiados entre usuarios quedan exentos.
Los críticos señalan que las autoridades podrían acceder a buena parte de estos datos conservados mediante una simple solicitud en lugar de una orden judicial. La consulta pública ya se cerró con un fuerte rechazo por parte de empresas de privacidad, grupos de la sociedad civil y partidos políticos, y por ahora el Consejo Federal no ha finalizado el texto - de modo que se trata de una propuesta viva, aún no de una ley.
Por qué Proton se marcha ahora
Proton, que opera Proton Mail y Proton VPN, no espera a averiguarlo. Ha empezado a reubicar su infraestructura informática fuera de Suiza, colocando los servidores de sus productos más recientes en Alemania y desarrollando presencia en Noruega, respaldada por una inversión prevista de más de 100 millones de euros en la UE. El fundador, Andy Yen, planteó lo que está en juego sin rodeos: "El único país de Europa con una ley aproximadamente equivalente es Rusia", y añadió que la empresa no tendría "más opción que marcharse" si la modificación sale adelante. Otras firmas suizas de privacidad, incluido el proyecto de privacidad de red Nym, se han sumado a la oposición.
Por qué esto importa a los usuarios de VPN
Todo el atractivo de una VPN con sede en Suiza era el terreno legal que la sostenía: una jurisdicción que no obligaba a registrar datos hacía que la promesa de "sin registros" tuviera fuerza real. Una norma que exige verificación de identidad y seis meses de metadatos conservados invierte eso - convierte a un proveedor de privacidad en un punto de retención de datos. Esa es la verdad incómoda detrás de toda promesa de "sin registros": solo es tan sólida como la ley del país al que responde el proveedor.
Y además es un patrón, no un caso aislado. Vimos la primera etapa de esta historia cuando Proton anunció por primera vez que trasladaba servidores fuera de Suiza, y un choque similar surgió en torno a la Ley C-26 de Canadá y los servicios cifrados que sopesan una salida por ella. La comparación de Yen con Rusia es incisiva precisamente porque el descifrado forzoso y las verificaciones de identidad obligatorias son el sello distintivo de las leyes de puertas traseras que hemos seguido en Rusia, el Reino Unido, Canadá y Australia - y se suponía que Suiza era el contraejemplo.
Para cualquiera que elija una VPN, la conclusión no es "evitar Suiza" - es mirar más allá del marketing y fijarse en la ley. El lugar donde un proveedor es legalmente alcanzable determina lo que se le puede obligar a recopilar y revelar sobre usted, por muy sólida que sea su imagen de privacidad. Esa cuestión de la jurisdicción se ha convertido discretamente en una de las cosas más importantes que comprobar antes de confiar su tráfico a cualquier proveedor.
