¿La ley británica obliga a tu VPN a guardar registros de navegación?

«Con sede en el Reino Unido, así que deben guardarlo todo» es una simplificación habitual, y entiende mal el mecanismo. La parte 4 de la Investigatory Powers Act funciona mediante avisos de retención notificados a operadores de telecomunicaciones, y el código de prácticas del Home Office para ese régimen expone la posición con claridad: un operador no está obligado a conservar datos de comunicaciones salvo que se le haya notificado un aviso. Si tu proveedor tiene uno es un hecho sobre ese proveedor, no sobre el país de su pie de página.

Esa única frase también reformula la pregunta. En lugar de preguntar qué exige la ley británica en general, pregunta qué operador, qué categoría de datos y qué instrumento. Esas tres respuestas deciden casi todo lo demás. Todo lo anterior es un eslogan.

Un aviso se notifica, no se supone

Según el marco que describe el código, el secretario de Estado notifica un aviso de retención, y el código establece cómo se consideran la necesidad y la proporcionalidad junto con la aprobación de un comisario judicial. El aviso puede especificar los datos, los servicios y las modalidades de retención que cubre. Es un instrumento con un alcance, no una obligación de fondo adherida a una categoría empresarial.

Por eso, la declaración pública de un proveedor de que no ha recibido ningún aviso es una afirmación significativa, y el silencio de un proveedor no es prueba en ninguna dirección. El código también restringe revelar la existencia o el contenido de un aviso, lo que significa que un operador bien informado puede no ser capaz de darte la respuesta limpia que quieres. Esa restricción no es un resquicio; forma parte del diseño del régimen. Pondera la respuesta en consecuencia.

Lee la declaración por lo que es. Un informe de transparencia publicado que describe solicitudes recibidas es un documento distinto de un aviso de retención, y ninguno de los dos es un inventario completo de los datos que una empresa guarda para sus propios fines.

Qué cuenta como operador de telecomunicaciones

El código trata el concepto de forma amplia y dependiente de los hechos, y no excluye todos los servicios superpuestos que casualmente corren sobre la red de otro. Cobrar una suscripción no resuelve la clasificación, ni alojarlo todo en otro país. Es una cuestión sobre las conexiones del servicio con el Reino Unido, y debe evaluarla alguien cualificado para hacerlo.

Lo que puedes hacer sin formación jurídica es dejar de tratar una frase de marketing como una especificación. «Sin registros» describe una política. No describe una posición legal, y ambas cosas pueden ser ciertas a la vez para un proveedor que no conserva nada voluntariamente y no ha recibido nada de forma obligatoria.

Los metadatos no son el contenido del mensaje

El régimen de avisos se refiere a los datos de comunicaciones, es decir, quién, cuándo y cómo, no a lo que se dijo. El contenido está bajo poderes completamente distintos, con otra autorización. Juntar ambos en «registros completos» produce debates irresolubles, porque las dos categorías tienen vías legales separadas y a menudo periodos de retención separados.

Esta distinción es también la práctica para una VPN. Un proveedor puede no guardar casi nada sobre lo que enviaste y, sin embargo, guardar registros de cuenta, datos de pago, marcas de tiempo de conexión o mensajes de soporte. Son registros comerciales ordinarios, regidos por la política del propio proveedor y por la ley de protección de datos, no por un aviso de retención.

Por eso una afirmación sobre un aviso no puede responder a una pregunta sobre los datos de la cuenta. Dos instrumentos distintos, dos conjuntos de límites distintos.

Lleva dos registros, porque existen dos preguntas

Para el uso diario, anota las categorías que tu proveedor dice que trata, la finalidad, quién puede acceder a ellas y cuánto duran. Incluye las poco vistosas: registros de facturación, tiques de soporte, señales de fraude, informes de fallos. Una declaración sobre el tráfico del túnel no debería sustituir al resto.

Ante una exigencia formal, conserva el documento y envíalo a quien gestione los procesos legales, con la fecha en que llegó. Pregunta qué entidad y qué servicio se nombran, qué acción se requiere, cuáles son los plazos y qué revisión o apelación existe. Comprueba las condiciones de confidencialidad antes de responder a las preguntas de cualquiera sobre ello, incluidas las de un periodista.

Esos dos registros responden a públicos distintos. Uno dice al usuario qué esperar; el otro dice al abogado qué hacer esta semana.

Cómo comparar dos proveedores sin engañarte

Pide una política pública precisa con un alcance, una fecha y una descripción de las categorías que cubre. Luego comprueba si la política distingue el contenido de los metadatos, la retención voluntaria de la forzada y la empresa operadora de su matriz. Las garantías vagas superan el escrutinio precisamente porque nunca nombran una categoría.

Trata la información que falta como ausente y no como favorable. Las restricciones de divulgación del régimen hacen que «no hemos recibido nada» y «no podemos decirlo» puedan parecer idénticos desde fuera, y una comparación que puntúa el silencio como una victoria mide tu propio optimismo.

El código de prácticas del Home Office para el régimen de avisos es el documento que hay que leer antes de repetir cualquier afirmación sobre lo que exige la parte 4. Es más largo que una entrada de blog y bastante más cuidadoso.