Utah declara la guerra a las VPN

Utah se ha convertido en el primer estado de Estados Unidos que vincula directamente el uso de VPN con el sistema de verificación de edad en las páginas para adultos. La ley Senate Bill 73 (SB 73), denominada oficialmente Online Age Verification Amendments, entró en vigor el 3 de septiembre tras varios meses de disputas judiciales.

En un principio, la norma debía entrar en vigor en mayo, pero un tribunal bloqueó temporalmente su aplicación. La suspensión ha expirado, aunque el proceso judicial sigue abierto. Por eso, la fecha del 3 de septiembre no implica necesariamente que la ley vaya a aplicarse de forma efectiva: el tribunal podría volver a suspenderla.

La SB 73 obliga a las páginas comerciales con contenido para adultos a verificar la edad de sus usuarios. El principal problema para la privacidad reside en cómo define la ley la ubicación de una persona. A efectos legales, quien vive en Utah sigue siendo usuario de Utah, con independencia de la dirección IP que muestre a la página.

Por ejemplo, si alguien en Salt Lake City se conecta a un servidor VPN en Alemania, la ley sigue considerándolo residente de Utah. Así que la página está obligada a verificar su edad. Cada infracción puede acarrear una multa de hasta 2.500 dólares para el operador.

Para evitar infringir la ley, las páginas podrían empezar a recurrir a métodos de seguimiento más intrusivos o bloquear por completo el tráfico VPN sospechoso. Además, las páginas para adultos no pueden publicar instrucciones para utilizar una VPN con el fin de eludir las restricciones de edad.

Los defensores de los derechos digitales ya habían calificado este sistema de «imposible por diseño» y de un despilfarro inútil. En su opinión, convierte internet en un interminable juego del gato y el ratón tecnológico: aparecen restricciones, los usuarios buscan cómo sortearlas y las páginas tratan de cerrar nuevas brechas. En otros países, incluidos los de la Unión Europea, también se debate un enfoque parecido respecto a las VPN, cada vez más consideradas herramientas para eludir restricciones.

Los principales proveedores de VPN no tienen previsto cambiar el funcionamiento de sus servicios para los residentes de Utah. Laura Tyrylyte, portavoz de privacidad de NordVPN, afirmó que la ley no impone obligaciones directamente a las empresas de VPN. Según explicó, los requisitos se dirigen a las páginas que alojan contenido que las autoridades consideran perjudicial para los menores. NordVPN no planea restringir a sus usuarios, pero considera preocupante la tendencia a aprobar deprisa normas prácticamente imposibles de cumplir.

AdGuard VPN mantiene la misma postura. Denis Vyazovoy, responsable de producto de la empresa, señaló que la SB 73 no impone obligaciones directas a los proveedores de VPN, por lo que el servicio no cambiará para los usuarios de Utah. Advirtió de que presentar las VPN como una «vía de escape» es peligroso: son herramientas universales para proteger los datos, y limitarlas perjudicará a los usuarios corrientes sin resolver el problema de la verificación de edad.

Surfshark también criticó la ley. Gytis Malinauskas, responsable jurídico de la empresa, considera que, en la práctica, la SB 73 obliga a las páginas a bloquear las VPN. Según él, esto convierte una herramienta básica de ciberseguridad en sospechosa por defecto y reduce la privacidad de millones de estadounidenses que utilizan VPN para proteger sus datos.

Por ahora, el cifrado convencional sigue siendo totalmente legal en Utah. Pero el principal riesgo jurídico recae en las páginas, no en los proveedores de VPN. Por eso, los usuarios podrían encontrarse con verificaciones de identidad más intrusivas o bloqueos masivos de VPN, simplemente porque las empresas intentarán adivinar cómo cumplir una ley que ya ha conseguido confundir a todos los implicados.