Cuando los legisladores estatales intentan reescribir el funcionamiento de internet, los usuarios confían en que los tribunales reconozcan que las leyes no pueden convertir en realidad lo técnicamente imposible. Por eso nos alegró ver que un tribunal haya bloqueado el intento de Utah de proscribir las protecciones de privacidad de las redes privadas virtuales (VPN).
En una victoria para los derechos digitales, un juez federal dictó una medida cautelar preliminar que bloquea la SB 73 de Utah, la draconiana ley de verificación de edad contra las VPN de ese estado. La decisión llega cuando la EFF presentó sus comentarios al Departamento de Comercio de Utah, en los que detalla cómo obligar a las plataformas a detectar y bloquear herramientas que protegen la privacidad socava la privacidad y la seguridad de los usuarios en todo el mundo, además de exigir lo imposible.
Qué hace la SB 73
Firmada a principios de este año, la SB 73 intentó regular los sitios web para adultos al exigirles que bloquearan a los usuarios de VPN o que identificaran la ubicación física de los visitantes que usan estas herramientas u otras similares que ocultan su tráfico de red. Incluso llegó al extremo de prohibir que los sitios web ofrecieran instrucciones sobre cómo usar una VPN para eludir estos controles. Esto convirtió a Utah, hasta donde la EFF sabe, en el primer estado del país en apuntar contra el uso de VPN para evitar las barreras de verificación de edad exigidas por ley.
El tribunal federal de Utah suspendió la aplicación de las disposiciones sobre VPN de la ley la semana pasada, dictaminando que es probable que la ley infrinja la prohibición de la Constitución de EE. UU. de aprobar leyes que impongan cargas significativas a empresas y personas fuera de las fronteras de Utah.
La SB 73 afecta los derechos de todos los usuarios de internet fuera de Utah porque obliga a los sitios web para adultos a conocer la ubicación física de cada usuario que los visita y bloquear a quienes estén en Utah, o a verificar la edad de todos los visitantes por si acaso se encuentran en Utah. La “disposición sobre ubicación real exige, en la práctica, que una entidad preste servicios de verificación de edad a todos los usuarios que visiten su sitio desde cualquier lugar, porque la entidad infringiría la ley si tan solo uno de ellos estuviera ocultando su ubicación”, escribió el tribunal. En esencia, el tribunal dictaminó que Utah dispone de formas menos gravosas de evitar que los menores de Utah accedan a sitios web para adultos que exigir a todos los usuarios del mundo que cumplan con la SB 73.
La demanda de Aylo no impugna la disposición de la SB 73 que prohíbe a los sitios web cubiertos por la ley compartir información sobre las VPN.
El desafío legal
Esta orden judicial llega tras meses de maniobras legales.
Prevista inicialmente para entrar en vigor en mayo de 2026, la SB 73 provocó un desafío constitucional inmediato por parte de Aylo, la empresa matriz de importantes plataformas en línea para adultos como Pornhub. En respuesta a la demanda, Utah y Aylo acordaron inicialmente que el estado suspendería la aplicación de la ley mientras el tribunal examinaba la solicitud de medida cautelar preliminar o hasta que se finalizaran las normas administrativas que fijan los términos específicos de cumplimiento. Esas normas de cumplimiento propuestas (R152-78B; véase el Boletín del Estado de Utah, página 6) fueron publicadas por la División de Protección al Consumidor del Departamento de Comercio de Utah el 1 de septiembre, y la EFF presentó comentarios formales al Departamento en oposición. Según el aviso, las normas propuestas podrían entrar en vigor ya el 8 de octubre de 2026. No obstante, la decisión del juez Barlow significa que no podrán aplicarse a la espera de nuevas actuaciones del tribunal.
El fallo
La EFF celebra el fallo del juez Barlow, que reconoce la desconexión fundamental entre la legislación estatal sobre internet y el funcionamiento de la tecnología. En su fallo, el juez Barlow señaló que la ley exige una imposibilidad técnica bajo pena de responsabilidad legal. “Aylo tiene razón en que la ley, tal como fue modificada, impone ahora, en esencia, responsabilidad objetiva a entidades como ella en cuanto a determinar la ubicación de los usuarios de sus sitios web”.
El tribunal reconoció que el problema es que la SB 73 “exige a entidades como Aylo geolocalizar a los usuarios de su sitio web a la perfección para evitar responsabilidad”. Pero, al mismo tiempo, el tribunal admitió “que, por ahora, la perfección en la geolocalización no es posible”.
La EFF explicó esta imposibilidad técnica en nuestro comentario al Departamento de Comercio. Las VPN protegen la privacidad de los usuarios al canalizar el tráfico web a través de servidores intermedios. Como los sitios web de destino solo ven la dirección IP del servidor VPN, no tienen ningún mecanismo fiable para saber si una conexión proviene de Salt Lake City, Seattle o Shanghái. Así, bajo el marco legal vigente de Utah, las plataformas se ven ante una elección imposible: bloquear por completo todo el tráfico de VPN en todo el país o retirar el acceso a Utah por completo. El juez Barlow coincidió, y afirmó:
Dado que la ley exige perfección en ausencia de herramientas de geolocalización perfectas, Aylo tendría que verificar a esos 28 millones de usuarios, ya sea que se encuentren en Salt Lake City, Boston, Nueva Orleans, Anchorage u Honolulu, para garantizar el cumplimiento y evitar responsabilidad.
La elaboración de normas
Las normas administrativas redactadas por el estado obligaban a las entidades comerciales a implementar "sistemas comercialmente razonables de detección de ocultamiento de geolocalización", una directiva que, según sostenemos, exige una imposibilidad técnica.
En su presentación ante el Departamento de Comercio de Utah, la EFF también detalló cómo estas normas imponen un régimen invasivo de recopilación de datos a los usuarios de internet de todo el mundo. Así, como respuesta a los usuarios que intentan evitar la recopilación invasiva de datos que exigen los requisitos de verificación de edad, la SB 73 exige una vigilancia aún mayor de las actividades en línea de los usuarios. Las heurísticas de detección que sugiere el Departamento (como monitorear la latencia de la conexión o las zonas horarias de los dispositivos) son notoriamente poco fiables y se distorsionan con facilidad por las condiciones normales de la red. Esta vigilancia activa conduce inevitablemente a una clasificación errónea generalizada, a bloqueos de acceso injustificados y a graves repercusiones para la privacidad de los usuarios mucho más allá de las fronteras de Utah.
Puedes leer los comentarios completos de la EFF al Departamento de Comercio aquí.
¿Y ahora qué?
Como hemos dicho una y otra vez: internet siempre encontrará la manera de sortear la censura.
Imponer un rastreo invasivo y castigar el uso de herramientas de seguridad esenciales convierte las preocupaciones genuinas sobre la privacidad en un mero teatro de cumplimiento y exige más vigilancia estatal de los usuarios de internet que dependen de las VPN. Como ocurre en las regiones con fuerte censura, los servicios de VPN y las herramientas de ocultamiento simplemente se adaptarán, lo que hace que este marco sea fundamentalmente insostenible.
Como hemos dicho una y otra vez: internet siempre encontrará la manera de sortear la censura.
Aunque los legisladores de Utah han indicado que podrían intentar revisar la ley durante la próxima sesión legislativa, la medida cautelar preliminar del tribunal sienta un precedente importante: los legisladores estatales no deben instrumentalizar la verificación de edad para imponer un rastreo masivo ni para socavar herramientas de seguridad esenciales.
Mientras otros estados consideran propuestas similares contra las VPN, la EFF seguirá oponiéndose a estos mandatos técnicamente imposibles y defendiendo la privacidad y el anonimato de los usuarios. Por eso, instamos a legisladores y reguladores a rechazar las normas contrarias a la privacidad, a priorizar la seguridad real de los usuarios y a salvaguardar las protecciones constitucionales de todos.
