El debate europeo sobre el llamado Chat Control ha vuelto a situar la privacidad de las comunicaciones en el centro de la conversación. La finalidad oficial es combatir el abuso sexual infantil online, un objetivo necesario y socialmente incuestionable. Pero el debate también abre una pregunta incómoda: cómo perseguir delitos graves en internet sin debilitar de forma desproporcionada la privacidad legítima de ciudadanos, empresas y profesionales.
Y mientras Europa discute ese equilibrio, en el día a día ocurre algo mucho más simple: seguimos enviando contraseñas, accesos, datos fiscales, información bancaria o documentación confidencial por WhatsApp, Telegram, email o chats internos.
Muchas brechas de seguridad no empiezan con un ataque sofisticado. Empiezan con un mensaje enviado con prisa.
Qué está pasando ahora con el llamado Chat Control
El término Chat Control se utiliza habitualmente para referirse al debate europeo sobre medidas de detección, notificación y retirada de material de abuso sexual infantil online. Para evitar confusiones, conviene actualizar bien el contexto: no estamos ante una norma genérica sobre privacidad, sino ante un expediente muy concreto relacionado con la derogación temporal de ciertas reglas de confidencialidad de las comunicaciones electrónicas para permitir actividades voluntarias de detección de abuso sexual infantil online.
A fecha de esta revisión, el expediente relevante es el procedimiento 2025/0429(COD), sobre la modificación del Reglamento (UE) 2021/1232. Ese reglamento había permitido, de forma temporal y limitada, que determinados proveedores de comunicaciones interpersonales independientes de numeración pudieran utilizar tecnologías específicas para detectar, notificar y retirar material de abuso sexual infantil online.
El régimen anterior expiró el 3 de abril de 2026. Después, el Consejo de la Unión Europea adoptó el 2 de julio de 2026 su posición para reactivar una medida transitoria hasta el 3 de abril de 2028, mientras sigue negociándose el marco permanente. La actualización clave es que, en la lista oficial de votaciones del Parlamento Europeo para el jueves 9 de julio de 2026, aparece el punto “Amending Regulation (EU) 2021/1232 as regards the extension of its period of application” (C10-0178). Es decir, no hablamos ya solo de una votación anterior ni de la posición del Consejo: a 9 de julio, el asunto está expresamente en la agenda de votación del Parlamento Europeo.
Por eso, la lectura actual debe centrarse en este momento del expediente: el intento de reactivar el régimen temporal en un contexto de urgencia política y jurídica. El objetivo declarado es proteger a menores y evitar un vacío legal prolongado, pero el debate sigue exigiendo garantías suficientes para la privacidad, la proporcionalidad y la protección de datos.
| Concepto | Qué significa |
| Reglamento (UE) 2021/1232 | Régimen temporal relacionado con el uso de tecnologías por determinados proveedores para combatir el abuso sexual infantil online, mediante una derogación limitada de reglas de ePrivacy. |
| Procedimiento 2025/0429(COD) | Expediente legislativo para modificar el Reglamento 2021/1232 y extender o reactivar su aplicación mientras se negocia el marco permanente. |
| Estado a 9 de julio de 2026 | El Consejo adoptó su posición el 2 de julio de 2026. En la lista oficial de votaciones del Parlamento Europeo figura el punto para el jueves 9 de julio de 2026. |
| Debate de fondo | Cómo perseguir delitos graves sin normalizar sistemas de escaneo generalizado ni afectar de forma excesiva a comunicaciones privadas legítimas. |
La lucha contra el abuso sexual infantil online es una finalidad legítima, necesaria y socialmente incuestionable. La cuestión jurídica y técnica no es si deben perseguirse estos delitos, sino cómo hacerlo sin afectar de forma desproporcionada a comunicaciones privadas legítimas.
Seguridad pública y privacidad no deberían enfrentarse
Este debate no debería plantearse como una guerra entre seguridad y privacidad. Una sociedad digital madura necesita ambas cosas: herramientas eficaces para perseguir delitos graves y garantías sólidas para proteger comunicaciones legítimas.
El Supervisor Europeo de Protección de Datos ha advertido, en relación con la extensión del Reglamento 2021/1232, que las normas temporales para combatir el material de abuso sexual infantil online deben corregir carencias y evitar el escaneo indiscriminado. Ese matiz es importante.
La privacidad no es opacidad. El cifrado no es una conducta sospechosa. En muchos casos, es simplemente una medida básica de seguridad.
Una empresa que protege datos fiscales de clientes. Un despacho que intercambia documentación confidencial. Un profesional que comparte accesos temporales. Una asesoría que recibe información personal. Todos estos casos tienen algo en común: manejan datos que no deberían circular como texto abierto.
El riesgo diario: enviar datos sensibles como si fueran mensajes normales
El problema no está solo en las grandes normas europeas. Está también en una práctica cotidiana que todos hemos visto alguna vez.
Un cliente envía una contraseña por WhatsApp. Un proveedor comparte un acceso por Telegram. Un empleado reenvía información personal por email. Una empresa manda datos fiscales en texto abierto porque “es más rápido”.
El mensaje sale, se queda guardado, puede sincronizarse en otros dispositivos, reenviarse, capturarse en pantalla o quedar expuesto si una cuenta se ve comprometida. Después, cuando aparece el problema, la pregunta suele ser la misma: “¿Cómo han accedido a mis datos?”.
A veces no ha habido un hackeo complejo. Ha habido una mala práctica previa: compartir información sensible sin una capa suficiente de protección.
| Información que se envía por comodidad | Riesgo habitual | Práctica más prudente |
| Contraseñas o claves temporales | Quedan guardadas, reenviadas o visibles en una cuenta comprometida. | Gestor de contraseñas, enlace temporal o mensaje cifrado. |
| Datos fiscales o contables | Exposición de información personal o empresarial. | Canal documental seguro y cifrado cuando proceda. |
| Accesos a plataformas | Uso indebido o pérdida de control sobre la cuenta. | Accesos individuales, MFA y rotación de claves. |
| Información bancaria | Riesgo de fraude, suplantación o ingeniería social. | Verificación por canal separado y mínima exposición. |
| Datos personales de clientes | Incumplimiento de protocolos internos de protección de datos. | Minimización, permisos y medidas técnicas adecuadas. |
La comodidad es comprensible. Nadie quiere complicar una gestión sencilla. Pero en ciberseguridad, lo rápido puede salir caro cuando hablamos de contraseñas, accesos, datos fiscales o información empresarial.
Por qué Advixy incorpora Layergram a sus protocolos
En Advixy trabajamos a diario con información sensible de empresas, profesionales y clientes: documentación fiscal, datos societarios, accesos, información empresarial, comunicaciones internas y datos personales.
Por eso, la ciberseguridad no puede limitarse a grandes sistemas corporativos. También debe aplicarse a gestos cotidianos: cómo se envía una contraseña, cómo se comparte una instrucción de acceso o cómo se transmite un dato que no debería quedar visible en una conversación ordinaria.
En este contexto, estamos incorporando Layergram dentro de nuestros protocolos internos de seguridad.
Layergram no es una herramienta propiedad de Advixy ni se presenta como producto propio: es un proyecto independiente de código abierto, creado por uno de los socios de Advixy. Su versión básica es gratuita; existe además un nivel opcional de pago con funciones adicionales, que no es necesario para el uso que describimos aquí. La conocemos de cerca y la estamos utilizando para reforzar una parte muy concreta de la operativa diaria: el envío de información sensible por canales habituales.
Su función es sencilla: añadir una capa de cifrado local antes de enviar determinados mensajes por WhatsApp, Telegram, Signal, iMessage, email u otros canales. Layergram no pretende sustituir las aplicaciones de mensajería existentes, sino funcionar como una capa de cifrado independiente del canal de transporte.
Cómo funciona Layergram en la práctica
Layergram parte de una idea muy clara: no siempre puedes cambiar el canal que usa un cliente, un proveedor o un equipo. Pero sí puedes evitar que un dato sensible viaje como texto abierto.
El funcionamiento práctico es sencillo:
- Escribes en Layergram el contenido sensible que quieres proteger.
- La herramienta lo cifra localmente en el dispositivo.
- Copias el mensaje cifrado.
- Lo envías por el canal habitual: WhatsApp, Telegram, Signal, iMessage, email u otro.
- El destinatario lo descifra con Layergram si dispone de las claves correspondientes.
Layergram permite mantener las apps habituales (WhatsApp, Telegram, Signal, iMessage, email o redes sociales) y el mensaje se cifra localmente con criptografía moderna.
Esto es importante porque el objetivo no es que el cliente abandone su app de mensajería habitual ni tenga que registrarse en una red nueva. El objetivo es reducir la exposición de mensajes sensibles cuando la comunicación ya está ocurriendo por canales ordinarios.
¿Significa esto que hay que cifrar todos los mensajes?
No. Y esta distinción es importante.
No todos los mensajes necesitan una capa adicional de cifrado. Una confirmación de reunión, un saludo o una conversación general no tienen el mismo nivel de riesgo que una contraseña, un dato fiscal, una instrucción de acceso o información confidencial de un cliente.
La clave está en saber distinguir.
En una consultora, una asesoría, un despacho profesional o una empresa que maneja información sensible, esa distinción debería formar parte de la cultura interna de seguridad. No basta con tener políticas de protección de datos si después, por comodidad, se comparten accesos por WhatsApp sin ningún tipo de protección adicional.
Layergram no convierte una mala práctica en una práctica perfecta. Pero sí ayuda a corregir uno de los hábitos más frecuentes: enviar datos delicados como si fueran mensajes ordinarios.
Enviar contraseñas por WhatsApp: una práctica que debería dejar de normalizarse
Como regla general, una contraseña no debería enviarse por mensajería ordinaria.
Lo más prudente es utilizar gestores de contraseñas, accesos individuales, enlaces temporales, autenticación multifactor y rotación de claves. Sin embargo, la realidad de muchas empresas es otra: por urgencia, desconocimiento o comodidad, las contraseñas siguen circulando por WhatsApp, Telegram o email.
Cuando eso ocurre, el riesgo no está solo en que alguien lea el mensaje en ese momento. El riesgo está en que esa información quede almacenada, sincronizada, copiada, reenviada o accesible desde un dispositivo comprometido.
Por eso, si excepcionalmente se comparte una contraseña o un dato de acceso, lo razonable es evitar que viaje como texto abierto, limitar su vigencia y cambiarlo después.
La seguridad no depende de una sola herramienta. Depende de una forma de trabajar.
Cifrado, RGPD y buenas prácticas de protección de datos
El RGPD no exige una herramienta concreta para proteger datos personales. Lo que exige es adoptar medidas técnicas y organizativas adecuadas al riesgo.
El artículo 25 recoge el principio de protección de datos desde el diseño y por defecto. El artículo 32 habla de seguridad del tratamiento e incluye, cuando proceda, medidas como la seudonimización y el cifrado de datos personales, además de la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas.
Esto no significa que usar una herramienta de cifrado sea suficiente para cumplir el RGPD. No lo es. La protección de datos requiere políticas internas, control de accesos, formación, minimización de datos, autenticación multifactor, revisión de permisos y canales documentales adecuados.
Pero el cifrado sí puede formar parte de una estrategia razonable de seguridad, especialmente cuando se comparte información sensible en comunicaciones del día a día.
El cifrado no es una forma de ocultarse: es una forma de proteger
Uno de los errores más frecuentes en este debate es asociar el cifrado con ocultación. En realidad, para empresas y profesionales, el cifrado es una medida básica de protección.
Una asesoría no cifra información porque quiera ocultarla de forma irregular. La cifra porque tiene obligación de protegerla.
Un despacho no protege un documento confidencial porque sea sospechoso. Lo protege porque afecta a un cliente.
Una empresa no debería enviar accesos internos en abierto porque esos accesos pueden comprometer sistemas, datos y responsabilidades.
El debate no debería ser si cifrar es bueno o malo. La pregunta correcta es otra: qué información no debería circular nunca como texto abierto.
La lección práctica para empresas y profesionales
El debate europeo sobre Chat Control recuerda que la privacidad de las comunicaciones seguirá siendo uno de los grandes temas regulatorios de los próximos años. Pero la protección de datos no empieza solo en Bruselas, ni en una directiva, ni en un reglamento.
Empieza en cada mensaje que enviamos.
Proteger a los menores frente a delitos graves online es necesario. Proteger la privacidad legítima y los datos sensibles de ciudadanos, empresas y profesionales también lo es. La cuestión no es elegir entre una cosa u otra, sino construir soluciones proporcionadas, seguras y responsables.
Para Advixy, incorporar Layergram a sus protocolos internos responde a una decisión práctica: reducir la exposición de información sensible en comunicaciones cotidianas.
No se trata de ocultar información. Se trata de proteger datos que nunca deberían circular desprotegidos.
