Hace veinticinco años, los atentados del 11 de septiembre desencadenaron una reacción en cadena en las leyes y políticas estadounidenses que redefinió silenciosamente lo que significa la vigilancia. Como argumentaron recientemente el investigador de seguridad Bruce Schneier y Cindy Cohn, de la EFF, en un ensayo publicado por primera vez en Lawfare, el enfoque del gobierno pasó de la vigilancia selectiva, como las escuchas telefónicas individuales o las órdenes de registro de llamadas dirigidas a sospechosos concretos, a una recopilación masiva de datos que afecta a casi todas las personas. Un cuarto de siglo después, ese cambio sigue dando forma al debate sobre la vigilancia masiva y las VPN, y a por qué tantas personas consideran ahora el cifrado y las herramientas de privacidad como higiene digital básica en lugar de preocupaciones técnicas de nicho.

Cómo el 11-S convirtió la vigilancia selectiva en recopilación masiva de datos

Antes de 2001, la ley de vigilancia estadounidense generalmente exigía a los investigadores identificar un objetivo específico y demostrar causa antes de recopilar las comunicaciones de esa persona. El ensayo de Schneier y Cohn traza cómo la respuesta legal e institucional posterior al 11-S abandonó ese modelo en favor de la recopilación masiva: reunir datos primero, a gran escala, y determinar su relevancia después. No fue una sola ley ni un solo momento. Fue una reorientación gradual en todo el gobierno que trató a poblaciones enteras, no solo a individuos sospechosos, como fuentes de datos.

La justificación en aquel momento era la urgencia y la detección de amenazas. Pero la infraestructura construida con ese propósito no desapareció una vez superada la crisis inmediata. En cambio, se normalizó. Las agencias construyeron sistemas diseñados para recopilar primero y filtrar después, y esos sistemas han persistido y se han expandido durante los últimos 25 años, sobreviviendo en gran medida a las circunstancias específicas que justificaron su creación.

Qué recopilan realmente hoy los programas de vigilancia masiva

El efecto práctico de este cambio es que las comunicaciones y los metadatos ordinarios, registros de quién contactó con quién, cuándo y a menudo dónde, acaban en los sistemas gubernamentales incluso cuando no se sospecha de ningún individuo. Solo los metadatos pueden revelar una cantidad enorme de información: patrones de asociación, rutinas diarias, relaciones y comportamiento. El argumento central del ensayo es que, después de 25 años, la justificación para mantener este nivel de recopilación masiva no se ha sostenido. Los programas creados en nombre de la lucha contra el terrorismo se han expandido mucho más allá de ese ámbito original, y los mecanismos de rendición de cuentas destinados a controlarlos no han seguido el ritmo de la escala de la recopilación.

Este es el telón de fondo sobre el que suelen desarrollarse las conversaciones sobre VPN y vigilancia. Conviene ser claros al respecto: una VPN cifra y redirige tu tráfico de internet, lo que puede proteger la actividad de navegación de tu proveedor de servicios de internet y de observadores casuales en una red. No es una herramienta diseñada para derrotar programas de recopilación masiva a nivel de Estado-nación, y ninguna herramienta de privacidad debería comercializarse ni entenderse de ese modo. Pero eso no hace que las herramientas de cifrado sean irrelevantes. Solo significa que entender lo que realmente hacen, y lo que no hacen, importa más que nunca.

Por qué el cifrado y las VPN se convirtieron en parte de la narrativa de resistencia

A medida que los programas de vigilancia masiva se expandieron durante las últimas dos décadas, el cifrado se convirtió en una de las pocas contramedidas concretas y controlables individualmente disponibles para la gente común. Donde la reforma legal y legislativa avanza lentamente, y a menudo no avanza en absoluto, cifrar tu propio tráfico es algo que puedes hacer hoy, sin esperar al Congreso ni a los tribunales.

Eso explica en gran parte por qué las VPN, las aplicaciones de mensajería cifrada y los navegadores seguros se han convertido en elementos fijos de la defensa de la privacidad durante los últimos 25 años. No resuelven el problema estructural que describe el ensayo de Schneier y Cohn, que es un problema legal e institucional que requiere soluciones legales e institucionales. Pero sí otorgan a los individuos un grado significativo de control sobre sus propios rastros de datos a nivel de red. Una VPN puede impedir que tu ISP local registre cada sitio que visitas. La mensajería cifrada puede impedir que el contenido de un mensaje sea legible en tránsito. Estas son protecciones reales y tangibles, aunque operen en una capa diferente a la de los programas de recopilación masiva que critica el ensayo.

Qué pueden seguir controlando las personas en una era de vigilancia masiva

Dado que la reforma a gran escala de la ley de vigilancia masiva es un proceso político lento, vale la pena centrarse en lo que las personas pueden gestionar realmente en su día a día. Reducir tu huella digital tiene menos que ver con lograr un anonimato perfecto y más con cerrar las formas más fáciles y casuales de recopilación de datos: el registro por parte del ISP, la navegación sin cifrar y las comprobaciones de identidad innecesarias en línea.

Un ámbito donde esto se manifiesta constantemente es la verificación de edad, que se ha vuelto común en muchas plataformas y a menudo exige a los usuarios entregar documentos de identidad o datos biométricos solo para acceder a contenido ordinario. Entender cómo funciona la verificación de edad en línea es un punto de partida útil para ver cómo las comprobaciones de identidad y la recopilación de datos se cruzan cada vez más con la navegación cotidiana, y dónde todavía tienes opciones sobre qué información compartes y con quién.

Qué significa esto para ti

El debate sobre la vigilancia masiva es, en última instancia, una cuestión política y legal, que requiere supervisión legislativa y presión pública para resolverse. Ninguna herramienta individual, ya sea una VPN u otra, puede sustituir ese tipo de rendición de cuentas estructural. Pero eso no significa que no tengas poder mientras tanto. Usar herramientas cifradas, ser selectivo sobre qué información de identidad compartes con las plataformas y entender la diferencia entre lo que protege una VPN y lo que no son pasos prácticos que reducen la exposición innecesaria. El objetivo no es el anonimato total; es minimizar la cantidad de recopilación de datos casual y de bajo esfuerzo que ocurre simplemente porque no pensaste en prevenirla.

Puntos clave

25 años después de que el 11-S reconfigurara la ley de vigilancia, la recopilación masiva de datos sigue siendo un debate político vivo, no resuelto. La vigilancia masiva y las VPN se discuten a menudo juntas, pero es importante entender el alcance real y limitado de una VPN: protege tu tráfico de observadores locales y proveedores de servicios de internet, no de programas de recopilación masiva a nivel de Estado-nación. Reducir tu propia huella de datos, ya sea mediante la navegación cifrada o siendo reflexivo sobre las solicitudes de verificación de identidad, sigue siendo una de las pocas palancas que las personas pueden accionar directamente. Mantenerse informado sobre cómo funcionan estos sistemas, y dónde residen sus límites reales, es la forma más práctica de protección de la privacidad disponible en este momento.