⏱️ Lectura: 12 min
Una petición electrónica registrada ante la Cámara de los Comunes de Canadá, identificada como e-7416, pide al Parlamento retirar el proyecto de ley C-22, la llamada Ley de acceso legal. El texto obligaría a ciertos proveedores a conservar metadatos de todos los canadienses durante un año y abriría la puerta a instalar puertas traseras en el cifrado de aplicaciones de mensajería, VPN y banca.
📑 En este artículo
El argumento central de los firmantes no es ideológico sino técnico: una puerta trasera no distingue entre un investigador con orden judicial y un atacante extranjero. El ataque Salt Typhoon de 2024 contra las telecos de Estados Unidos es la prueba que citan.
TL;DR
- La petición e-7416 pide al Parlamento de Canadá retirar el proyecto C-22, la Ley de acceso legal presentada en marzo de 2026.
- El C-22 obligaría a los proveedores núcleo a retener metadatos de todos los canadienses hasta por un año, sin sospecha previa.
- La definición de proveedor de servicios electrónicos es tan amplia que abarca mensajería cifrada, VPN, correo, banca y almacenamiento en la nube.
- El ministro de Seguridad Pública podría exigir capacidades de interceptación que debiliten sistemas cifrados, por orden ministerial.
- Los firmantes citan el ataque Salt Typhoon de 2024 contra AT&T, Verizon y T-Mobile como prueba del riesgo de las puertas traseras.
- Signal advirtió que se retiraría de Canadá antes que comprometer su cifrado de extremo a extremo.
- El gobierno prometió enmendar el texto para no tocar el cifrado, pero no cede en la retención de metadatos de un año.
Qué pasó
El 12 de marzo de 2026, el gobierno de Canadá presentó el proyecto de ley C-22, formalmente titulado An Act respecting lawful access (Ley de acceso legal). Llega después de que un intento anterior, el C-2, fuera retirado tras una fuerte ola de críticas. La idea de fondo del gobierno es que las investigaciones criminales dependen cada vez más de evidencia digital, y que los procesos actuales para obtenerla son lentos o poco claros frente al crimen en línea.
En respuesta, ciudadanos y residentes de Canadá impulsaron la petición e-7416 ante la Cámara de los Comunes. El texto reclama tres cosas concretas: retirar el C-22 o votarlo en contra en todas sus etapas; eliminar cualquier requisito de retención masiva de metadatos sin sospecha de futuras leyes de acceso legal; y prohibir de forma explícita que cualquier ley futura obligue a debilitar o romper el cifrado.
El corazón de la disputa está en dos obligaciones del proyecto. La primera: los proveedores núcleo (core providers) tendrían que conservar metadatos —quién se comunica con quién, cuándo y desde dónde— hasta por un año. La segunda: el ministro de Seguridad Pública podría obligar a cualquier proveedor de servicios electrónicos a implementar capacidades de interceptación o medidas de asistencia técnica, con cumplimiento obligatorio. Es ahí donde aparecen las puertas traseras.
Contexto e historia
La pelea entre las fuerzas de seguridad y el cifrado fuerte no es nueva. Se remonta a las llamadas Crypto Wars de los años noventa, cuando Estados Unidos intentó imponer el Clipper Chip, un mecanismo de custodia de claves que dejaba una copia para el gobierno. La idea murió cuando los criptógrafos demostraron que el propio mecanismo de escrow introducía fallos explotables. Treinta años después, el debate vuelve casi idéntico, solo que ahora el escenario es la mensajería de extremo a extremo y las VPN.
El problema de la definición es central en las objeciones al C-22. El concepto de proveedor de servicios electrónicos está redactado de forma tan amplia que, según los peticionarios, abarca prácticamente cualquier servicio en línea: aplicaciones de mensajería cifrada, VPN, proveedores de correo, aplicaciones bancarias y servicios de almacenamiento en la nube. No es una lista cerrada de telecos: es casi todo el software que un canadiense usa a diario.
A esto se suma un detalle que preocupa incluso a quienes confían en las salvaguardas actuales: el gobierno conserva un amplio poder regulatorio para redefinir términos clave, incluidos “cifrado” y “vulnerabilidad sistémica”, sin volver a pasar por el Parlamento. En la práctica, eso significa que las promesas de proteger la privacidad escritas hoy podrían quedar vacías mañana con un simple cambio de reglamento.
💭 Clave: Una salvaguarda que el Ejecutivo puede redefinir por reglamento no es una salvaguarda: es una promesa con fecha de caducidad indefinida.
Por qué las puertas traseras no se pueden limitar
El argumento técnico de la petición es el más sólido y el que más debería interesar a cualquier desarrollador. Una puerta trasera de acceso legal es, en términos de ingeniería, un punto de acceso adicional al sistema. No existe forma matemática de construir un acceso que solo funcione para “los buenos con orden judicial” y que sea invisible o inaccesible para todos los demás. Si el mecanismo existe, es una superficie de ataque más.
El ejemplo que cita la propia petición es contundente. En 2024, el grupo Salt Typhoon, vinculado al Estado chino, comprometió a las principales telecos de Estados Unidos —AT&T, Verizon y T-Mobile— y accedió precisamente a los sistemas de interceptación legal que esas empresas mantenían por mandato regulatorio. Es decir: la infraestructura construida para que la policía pudiera escuchar con orden judicial fue la misma puerta que usó un actor hostil para escuchar sin ninguna.
El siguiente diagrama resume dónde se inserta el riesgo en el flujo que propone el C-22:
graph LR
U["Usuario"] --> P["Proveedor (core provider)"]
P --> M["Retencion de metadatos: 1 ano"]
P --> B["Capacidad de interceptacion obligatoria"]
B --> W["Acceso con orden judicial"]
B --> A["Nueva superficie de ataque"]
A --> H["Atacante externo (Salt Typhoon)"]El otro frente es la retención de metadatos. Mucha gente subestima los metadatos porque “no es el contenido del mensaje”. Pero los metadatos son, a menudo, más reveladores que el contenido. Veamos un registro hipotético de una sola llamada, sin una palabra de su contenido:
{
"origen": "+1-613-XXX-XXXX",
"destino": "Clinica Oncologica de Toronto",
"inicio": "2026-06-11T02:14:00Z",
"duracion": 372,
"celda": "Toronto-Centro",
"servicio": "app-cifrada"
}Sin leer un solo mensaje, ese registro sugiere una llamada de seis minutos a una clínica oncológica a las dos de la madrugada. Multiplicado por toda una población y conservado durante un año, el conjunto de metadatos dibuja patrones de movimiento, asociación, actividad médica, participación religiosa y actividad política. Por eso la petición sostiene que la retención masiva e indiscriminada, sin que nadie esté bajo sospecha, plantea problemas serios bajo la Carta Canadiense de Derechos y Libertades, que protege contra registros e incautaciones irrazonables.
⚠️ Ojo: “Son solo metadatos” es un mito. Los metadatos revelan con quién hablás, cuándo y desde dónde. El contenido se puede cifrar; el patrón de conexión, casi nunca.
Datos y cifras
Vale la pena ordenar los números que enmarcan este debate. El proyecto contempla una retención de metadatos de hasta un año para los proveedores núcleo. La obligación no requiere que la persona esté bajo investigación ni bajo sospecha individual: es, por diseño, indiscriminada. El ataque Salt Typhoon de 2024 alcanzó al menos a las tres mayores operadoras de Estados Unidos y se considera una de las intrusiones más graves contra infraestructura de telecomunicaciones occidental de la última década.
En el plano político, el C-22 es el segundo intento del gobierno: reemplaza al proyecto C-2, retirado tras las críticas. Frente a la presión, los liberales anunciaron que enmendarían el texto para dejar claro que el cifrado no se vería comprometido, pero confirmaron que no cederán en el requisito de retención de metadatos de un año. Empresas como Signal fueron tajantes: su vicepresidencia de estrategia advirtió que preferirían retirarse del país antes que romper las promesas de privacidad hechas a sus usuarios.
El detalle que más inquieta a los técnicos es el del poder regulatorio. Aunque el texto final prometa no tocar el cifrado, la capacidad del Ejecutivo de redefinir “cifrado” y “vulnerabilidad sistémica” por reglamento significa que ninguna garantía escrita en la ley es realmente estable. Es el equivalente legislativo de una variable global mutable: cualquier parte del sistema puede cambiar su valor más tarde.
Impacto y análisis para LATAM
¿Por qué debería importarle esto a un desarrollador en San Salvador, Bogotá o Buenos Aires? Por varias razones concretas. La primera es que las decisiones regulatorias de países del G7 marcan plantilla. Cuando Canadá o Australia aprueban un marco de acceso legal, ese texto se cita después en otros parlamentos como precedente “de una democracia avanzada”. Lo que se normaliza en Ottawa puede aparecer, traducido, en una iniciativa legislativa latinoamericana en pocos años.
La segunda es operativa. Si trabajás en un producto con usuarios en Canadá —una app de mensajería, un SaaS, una billetera, un proveedor de correo— una eventual obligación de interceptación o de retención de metadatos te afecta de forma directa en arquitectura y costos. Conviene diseñar pensando en minimización de datos desde hoy: si no guardás un metadato, no podés ser obligado a entregarlo ni te lo pueden robar.
La tercera es de diseño defensivo. El caso Salt Typhoon es un recordatorio de que toda capacidad de acceso que agregás “para casos legítimos” se convierte en deuda de seguridad permanente. Un patrón sano para cualquier sistema es preferir el cifrado de extremo a extremo cuando sea posible, reducir la ventana de retención de logs al mínimo necesario y tratar cualquier acceso privilegiado como una superficie que tarde o temprano será atacada.
💡 Tip: Aplicá minimización de datos como principio de arquitectura: define la retención más corta posible para cada log y borra por defecto. El dato que no existe no se filtra, no se subpoena y no se vende.
Qué sigue
El C-22 sigue su trámite parlamentario en comisión, donde organizaciones de derechos digitales, criptógrafos y empresas tecnológicas presionan por enmiendas. El punto de quiebre será si las enmiendas tocan solo el lenguaje sobre cifrado o también la retención de metadatos y el poder de redefinición por reglamento. Para los críticos, mientras esos dos elementos sigan en pie, las garantías sobre el cifrado son frágiles.
La petición e-7416 seguirá recogiendo firmas hasta su cierre; al alcanzar el umbral requerido, obliga a una respuesta formal del gobierno. No frena la ley por sí sola, pero deja constancia pública del rechazo técnico y ciudadano. Para quien quiera profundizar, lo más útil es leer el texto del proyecto en LEGISinfo y contrastarlo con el análisis del propio Departamento de Justicia.
📖 Resumen en Telegram: Ver resumen
Preguntas frecuentes
¿Qué es el proyecto de ley C-22 de Canadá?
Es la Ley de acceso legal, presentada en marzo de 2026, que crea nuevas herramientas para que la policía obtenga información digital con orden judicial e impone obligaciones a proveedores de servicios electrónicos, incluidas la retención de metadatos y posibles capacidades de interceptación.
¿Qué pide exactamente la petición e-7416?
Pide tres cosas: retirar el C-22 o votarlo en contra, eliminar la retención masiva de metadatos sin sospecha de cualquier ley futura, y prohibir explícitamente que se obligue a debilitar o romper el cifrado.
¿El C-22 obliga a poner puertas traseras en el cifrado?
El proyecto faculta al ministro de Seguridad Pública a exigir capacidades de interceptación o asistencia técnica que podrían debilitar sistemas cifrados. El gobierno prometió enmendar el texto para no comprometer el cifrado, pero conserva el poder de redefinir el término por reglamento.
¿Por qué los metadatos son tan sensibles si no son el contenido?
Porque revelan patrones: con quién te comunicás, cuándo, desde dónde y con qué frecuencia. Conservados durante un año, esos datos exponen movimientos, asociaciones, actividad médica, religiosa y política sin necesidad de leer un solo mensaje.
¿Qué tiene que ver Salt Typhoon con esto?
Salt Typhoon fue un ataque de 2024 en el que hackers vinculados a China comprometieron telecos de EE. UU. y accedieron a sus sistemas de interceptación legal. Demuestra que una puerta trasera creada para la policía puede ser usada por un atacante hostil.
¿Esto afecta a desarrolladores fuera de Canadá?
Sí, de forma indirecta. Las leyes del G7 marcan precedente y pueden inspirar iniciativas en LATAM. Además, cualquier producto con usuarios canadienses podría quedar sujeto a obligaciones de retención o interceptación, lo que hace prudente adoptar minimización de datos desde el diseño.
Referencias
- Petición e-7416 — texto oficial de la petición ante la Cámara de los Comunes de Canadá.
- LEGISinfo — Bill C-22 (45-1) — ficha legislativa oficial del proyecto y su estado de trámite.
- Departamento de Justicia de Canadá — Bill C-22 — explicación gubernamental de los cambios propuestos.
- Salt Typhoon (Wikipedia) — resumen del ataque de 2024 contra telecos de Estados Unidos.
- CBC News — comité estudia el C-22 — cobertura del debate sobre cifrado y privacidad en comisión.
📱 ¿Te gusta este contenido? Únete a nuestro canal de Telegram @programacion donde publicamos a diario lo más relevante de tecnología, IA y desarrollo. Resúmenes rápidos, contenido fresco todos los días.
0 Comentarios