314 eurodiputados votaron en contra de Chat Control. Sobrevivió igualmente.

El 9 de julio de 2026, 314 eurodiputados votaron a favor de rechazar la posición del Consejo sobre restablecer Chat Control, 276 votaron en contra de rechazarla y 17 se abstuvieron. Una clara mayoría de los que votaron estaba en contra. Pero rechazar en segunda lectura exige mayoría absoluta de los miembros del Parlamento, ahora mismo 360, así que a la moción le faltaron 46 votos y el texto del Consejo sobrevivió. 1

Eso no es lo mismo que la ley esté en vigor, y la diferencia se está contando con descuido. El reglamento provisional anterior expiró el 3 de abril de 2026, después de que el Parlamento rechazara en marzo la prórroga propuesta por la Comisión, con 228 votos a favor y 311 en contra. 2 Lo que pasó el 9 de julio es que el Parlamento no logró bloquear el restablecimiento y a continuación lo enmendó. El texto enmendado va ahora al Consejo, que tiene tres meses para aceptar o rechazar esas enmiendas; si no las acepta todas, ambas instituciones van a conciliación. 1

El resultado práctico, si el Consejo acepta, es que el escaneo voluntario de CSAM por parte de proveedores como Google, Microsoft y Meta vuelve y se mantiene hasta 2028. 3 A día de hoy va camino de ello, pero no está hecho.

Pienses lo que pienses de la norma, al mecanismo conviene prestarle atención. La mayoría de los que votaron se opuso al texto y el texto sobrevivió, porque el umbral de mayoría absoluta se mide sobre el pleno del Parlamento y no sobre quienes están en la sala. Abstenciones y ausencias no cuentan como apoyo; simplemente hacen el umbral más difícil de alcanzar, que en una votación de rechazo viene a ser lo mismo. Es un procedimiento legítimo. Y es también la forma en que competencias de vigilancia importantes avanzan sin que nadie tenga que defenderlas en una votación que llegue a los titulares.

Qué cubre y qué no

Aquí la precisión importa, porque se está exagerando tanto la alarma como el alivio.

Es voluntario, no obligatorio. Permite a los proveedores escanear; no les obliga.

No es una prohibición del cifrado de extremo a extremo. Las enmiendas del Parlamento excluyen del ámbito de la ley «las comunicaciones a las que se aplica, se ha aplicado o se aplicará cifrado de extremo a extremo». 1 Fíjate de quién son esas enmiendas: del Parlamento, y el Consejo todavía no las ha aprobado. Más allá del texto legal, servicios como WhatsApp y Signal cifran con claves que solo tienen emisor y receptor, lo que hace que escanear del lado del servidor sea técnicamente imposible, no meramente ilegal. Eso no dice nada sobre escanear en el dispositivo antes de cifrar, que es otra batalla y esta votación no la resuelve.

Y una VPN no ayuda en nada de esto. Una VPN oculta tu ubicación y tu tráfico de red. No puede impedir que una plataforma escanee un mensaje dentro de su propia aplicación. El contenido lo protege el cifrado; la VPN protege el camino.

Queremos ser explícitos con este último punto, porque vendemos una VPN y nos vendría bien comercialmente ser ambiguos. También sería mentira. Quien te venda una VPN como defensa frente a Chat Control te está vendiendo la herramienta equivocada.

Lo que sí se deduce

La lección duradera no va de aplicaciones de mensajería. Va de dónde viven tus datos y a quién se puede obligar, o permitir, mirarlos.

El escaneo ocurre donde los datos son legibles. En un servicio alojado, ese punto es el operador del servicio. Las defensas estructurales son las aburridas.

Aloja tú mismo lo que importa: los datos en infraestructura que controlas no los puede escanear una plataforma que nunca los recibe.

Cifra en reposo con claves que tengas tú, para que, si tu proveedor no puede descifrar, el permiso para escanear sea puramente teórico.

Elige jurisdicción a conciencia. UE, fuera de la UE y qué fuera de la UE son respuestas regulatorias distintas, y esto se decide carga por carga, no una vez para toda la empresa.

Minimiza lo que existe, porque la protección más sólida para un registro es que nunca se haya creado.

Nuestra huella, dicha claramente

Somos un proveedor europeo con poca huella de datos de clientes, y esta es justo la semana para repetirlo en concreto.

No recogemos documentos de identidad para venderte un servidor, así que no tenemos ninguno. Aceptamos criptomonedas, así que no estás obligado a pasar tu identidad por una red de tarjetas para contratar hosting. No monitorizamos tu tráfico más allá de lo que exige operar el servicio, y las direcciones IP de los visitantes las procesan al vuelo nuestros sistemas antiabuso sin guardarlas: lo que no se registra no se puede entregar, ni escanear, ni filtrar. La única excepción es una captura de paquetes mientras absorbemos un DDoS, y eso va de mantener la red en pie, no de mirarte.

Operamos además cuatro jurisdicciones elegibles máquina por máquina: Tirana, Skopie, Ámsterdam y Dublín. Dos están en la UE y dos fuera, lo que te compra otro conjunto de exposiciones legales, no una huida de todas. Y es una elección en el momento del despliegue, no un ticket de soporte.

También tenemos una VPN WireGuard, y la describiremos con exactitud. Protege tu tráfico en tránsito y tu ubicación de red aparente. No protege el contenido de un mensaje que entregas a una plataforma de terceros. Son problemas distintos y necesitan herramientas distintas.

Para alojar tú mismo aquello que preferirías que nadie escaneara —tu correo, tu servidor Matrix o XMPP, tu almacenamiento de archivos—, basta con un VPS de 5 €/mes con KVM completo y acceso root. No es cómodo como lo es una plataforma gestionada. Pero es el único montaje en el que la pregunta «quién puede escanear esto» tiene como respuesta «nadie», porque nadie más lo tiene.

Esto vuelve antes de 2028

Si el Consejo da su visto bueno, el régimen restablecido llega hasta 2028, lo que significa que este debate vuelve. Volverá en un ciclo informativo más tranquilo, y lo decidirá cuánta gente aparezca.

Mientras tanto, la posición técnica no ha cambiado y no es complicada. El cifrado protege el contenido, la jurisdicción protege los registros, y alojar tú mismo elimina al intermediario al que se le puede pedir algo. Nada de esto es nuevo. Este mes es sencillamente un buen recordatorio para comprobar en cuál de esas tres cosas te estás apoyando de verdad.

Fuentes

1. Combating child sexual abuse: support for a more limited ePrivacy derogation, Parlamento Europeo, 9 de julio de 2026
2. Child sexual abuse online: voluntary detection measures will not be extended, Parlamento Europeo, 26 de marzo de 2026
3. Europe revives law allowing big tech to scan for CSAM, The Record, 10 de julio de 2026