El 9 de julio de 2026, el Parlamento Europeo intentó tumbar las reglas temporales de Chat Control y se quedó a las puertas por un tecnicismo. No por falta de apoyo: 314 eurodiputados votaron para bloquear la prórroga, solo 276 en contra. El problema es que el procedimiento exigía 360 votos para salir adelante. Así que la prórroga pasó igual, por defecto, y ahora corre hasta el 3 de abril de 2028.
Qué pasó en Estrasburgo
Chat Control 1.0 es el apodo del reglamento provisional de la UE que permite a los proveedores de mensajería y correo escanear voluntariamente las comunicaciones privadas en busca de material de abuso sexual infantil (CSAM). Lleva funcionando desde 2021 a base de prórrogas cortas. Esta votación era la oportunidad del Parlamento para dejarlo caer.
No funcionó, pero no por falta de votos. Según The Register, la moción para bloquear la prórroga necesitaba un umbral concreto según el procedimiento aplicable, y 314 votos no bastaron, aunque superaban con comodidad los 276 votos en contra. Euronews lo describió como una norma que “pasó por la puerta de atrás”, ya que la prórroga sobrevive solo porque el rechazo se quedó corto, no porque una mayoría la respaldara.
El resultado práctico: el régimen voluntario de escaneo de CSAM que existe desde 2021 sigue igual, y ahora queda fijado hasta abril de 2028.
Un repaso rápido de cómo llegamos aquí
Esta pelea no empezó el 9 de julio. La Comisión Europea propuso por primera vez una versión permanente y obligatoria de Chat Control en 2022, y desde entonces el texto se ha reescrito, retrasado y reintroducido bajo varias presidencias del Consejo. Cada versión choca con el mismo muro: no se puede obligar a las plataformas a escanear el contenido de los mensajes, incluidos los cifrados de extremo a extremo, sin romper el cifrado o construir una puerta trasera que, tarde o temprano, encontrará y usará cualquiera, no solo los investigadores de casos de abuso infantil.
El Parlamento ha rechazado la versión obligatoria varias veces, por eso la UE ha recurrido desde 2021 a este marco voluntario “temporal”, prorrogado cada uno o dos años en lugar de dejarlo caducar o forzar la ley permanente. El 9 de julio debía ser el momento en que ese parche temporal terminara por fin. En vez de eso, ganó 21 meses más de margen, y la pelea de fondo simplemente se trasladó a la siguiente ronda.
La excepción del cifrado, y por qué apenas cambia algo
Hay una victoria real escondida en esta votación. Los eurodiputados lograron una mayoría para excluir formalmente a las plataformas cifradas de extremo a extremo (E2EE), como WhatsApp, Signal o iMessage, de las disposiciones de escaneo de esta norma provisional.
Suena importante. En la práctica cambia casi nada, porque los proveedores nunca escaneaban el contenido de los mensajes E2EE bajo el marco voluntario actual. No se puede escanear lo que no se puede leer, y el cifrado de extremo a extremo, por diseño, deja incluso a la propia plataforma sin acceso al texto en claro. Los grupos de defensa de la privacidad han sido bastante directos: esta excepción formaliza una realidad técnica que ya existía, no cierra ninguna puerta abierta. La verdadera pelea nunca fue realmente sobre las reglas provisionales. Es sobre lo que viene después.
Lo que realmente se juega en septiembre
La prórroga provisional siempre fue la historia menor. La legislación permanente de Chat Control, la que sustituiría este parche voluntario por una ley vinculante en toda la UE, es donde está lo importante de verdad, y las negociaciones sobre eso se reanudan en septiembre de 2026.
Varias propuestas sobre la mesa incluyen el escaneo del lado del cliente (client-side scanning): software instalado en tu teléfono u ordenador que revisa el contenido de un mensaje antes de que se aplique el cifrado, y avisa si hay coincidencias con una base de datos. El argumento de quienes lo defienden es que esto deja el cifrado de extremo a extremo “técnicamente intacto”, porque el mensaje sigue cifrado en tránsito. Los críticos, incluida la mayoría de la comunidad de criptografía y seguridad, consideran ese argumento engañoso. Si cada mensaje se inspecciona en el dispositivo antes de enviarse, la garantía de privacidad que hacía valioso el cifrado de extremo a extremo desaparece en la práctica, aunque las matemáticas sigan siendo correctas sobre el papel.
Es la misma pelea que lleva corriendo desde que Chat Control apareció por primera vez en 2022, y conecta directamente con el impulso de vigilancia más amplio de la UE que cubrimos en nuestro artículo sobre Going Dark y ProtectEU. Otro vehículo legislativo, pero el mismo objetivo de fondo: construir para la UE una arquitectura que haga legibles las comunicaciones que se supone deben ser privadas.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Por qué esto importa a los usuarios de VPN, sin adornarlo
Esta es la parte que no vamos a exagerar. Una VPN es una herramienta de privacidad genuinamente útil, pero no hace lo que mucha gente asume en este caso concreto.
Una VPN cifra el tráfico entre tu dispositivo y el servidor VPN, y oculta tu dirección IP y tu ubicación frente a tu proveedor de internet y frente a los sitios y aplicaciones a los que te conectas. Eso es protección real, y por eso la jurisdicción y la política de no registros importan tanto al elegir un proveedor.
Lo que una VPN no puede hacer es proteger el contenido de un mensaje frente al escaneo del lado del cliente. Si el escaneo ocurre en el propio dispositivo, antes de que el cifrado de tu VPN entre siquiera en juego, el túnel VPN es irrelevante frente a esa amenaza concreta. El escaneo ya ocurrió. Tu VPN ve tráfico cifrado saliendo de tu dispositivo en ambos casos; no tiene visibilidad sobre lo que una app en ese mismo dispositivo revisó antes de enviarlo, ni forma de impedirlo. Es una superficie de ataque distinta de aquella para la que se diseña una VPN, y ninguna capa de cifrado del túnel cambia eso.
Para resumirlo en pocas palabras: una VPN protege la tubería. El escaneo del lado del cliente ocurre antes de la tubería. Quien te venda una VPN como solución a ese problema concreto te está vendiendo algo que no puede hacer.
Qué vigilar y qué hacer de verdad
Las reglas provisionales no cambian antes de abril de 2028, así que nada de tu mensajería diaria cambia hoy. Lo que merece la pena seguir es la ronda de negociación de septiembre de 2026 sobre la legislación permanente, porque ahí es donde el escaneo del lado del cliente terminará en el derecho de la UE o volverá a frenarse, como pasó con el escaneo masivo en la primera ofensiva de Chat Control.
Para la privacidad de la mensajería en concreto, la palanca que sí importa es elegir aplicaciones que recojan y guarden lo mínimo, y vigilar cómo reaccionan los proveedores si avanzan mandatos de escaneo del lado del cliente. Signal ya ha dicho públicamente que preferiría abandonar el mercado europeo antes que integrar ese escaneo en su app. Para la navegación y la privacidad de la conexión en general, una buena VPN sin registros como ProtonVPN, con sede en Suiza y con voz activa en asuntos de derechos digitales de la UE, sigue siendo una opción sólida. Solo hay que entender qué cubre y qué no.
Nada de esto significa que el cifrado y las VPN dejen de importar. Una VPN sigue ocultando a qué sitios y servicios te conectas frente a tu proveedor de internet, sigue protegiéndote en el wifi público y sigue escondiendo tu ubicación real de cada servidor que contactas. Son problemas reales que una VPN resuelve bien. El escaneo del lado del cliente es otro problema real, distinto, que no resuelve en absoluto. Mantener ambas ideas separadas es justo el sentido de contar esta historia con honestidad, en lugar de convertir cada titular europeo sobre privacidad en un argumento de venta.
Nuestra guía sobre Five Eyes, Nine Eyes y Fourteen Eyes cubre el ángulo de las alianzas de vigilancia si quieres el panorama completo de quién puede pedir legalmente qué datos, y a quién.
Esta votación es un casi-triunfo disfrazado de compromiso. Las reglas provisionales sobreviven por un tecnicismo, no por un mandato claro, y la excepción de cifrado que ganó el Parlamento sigue siendo sobre todo simbólica, porque las apps E2EE nunca estuvieron dentro del alcance del texto. La cita que de verdad importa es septiembre de 2026, cuando la legislación permanente vuelva con propuestas de escaneo del lado del cliente sobre la mesa. Una VPN sigue siendo esencial para ocultar tu tráfico y tu ubicación, pero seamos claros: no es una defensa frente a un escaneo que ocurre en tu dispositivo antes de que tu VPN intervenga siquiera. Vale la pena seguir este asunto de cerca.