La batalla contra el Proyecto de Ley C-22: los gigantes tecnológicos advierten sobre puertas traseras de cifrado

Retención obligatoria de metadatos. Los "proveedores principales" —una categoría lo suficientemente amplia como para incluir a las operadoras de telecomunicaciones, los proveedores de internet (ISP), las aplicaciones de mensajería y los servicios de VPN— estarían obligados a registrar y conservar los metadatos de los usuarios, incluyendo registros de IP, marcas de tiempo de conexión y datos de enrutamiento, durante un año entero .

Umbrales de acceso más bajos. La policía ya no necesitaría "motivos razonables para creer" para obtener la información de un suscriptor. El proyecto de ley reduce el estándar a "motivos razonables para sospechar", ampliando significativamente el acceso policial a datos identificativos sin una orden judicial .

Órdenes de vigilancia anticipatoria. Los jueces podrían autorizar órdenes para obtener "datos de rastreo o de transmisión" relacionados con elementos "desconocidos en el momento de emitirse la orden", lo que permite una vigilancia expansiva sobre objetivos aún no identificados .

Poderes de confirmación del CSIS. El Servicio de Inteligencia de Seguridad Canadiense (CSIS, por sus siglas en inglés) obtendría la autoridad para emitir "solicitudes de confirmación de servicio" que obligarían a los proveedores de telecomunicaciones a confirmar rápidamente si poseen información sobre un suscriptor en particular .

Las empresas tecnológicas trazan una línea roja

La respuesta de las principales plataformas ha sido inusualmente directa y pública.

Apple emitió un comunicado a través de Reuters calificando el proyecto de ley como una amenaza directa a su modelo de seguridad. "En un momento de amenazas crecientes y generalizadas por parte de actores maliciosos que buscan acceder a la información de los usuarios, el Proyecto de Ley C-22, tal como está redactado, socavaría nuestra capacidad de ofrecer las potentes funciones de privacidad y seguridad que los usuarios esperan de Apple", declaró la compañía. Apple advirtió explícitamente que la legislación "podría permitir al gobierno canadiense forzar a las empresas a romper el cifrado insertando puertas traseras en sus productos, algo que nunca haremos" .

Meta se unió a Apple en su oposición pública y testificó en las audiencias parlamentarias del 7 de mayo de 2026. La empresa advirtió que los amplios poderes del proyecto de ley y su limitada supervisión podrían transformar sus plataformas en "herramientas de espionaje gubernamental" . Meta instó al Parlamento a enmendar el proyecto de ley para eliminar las disposiciones que podrían obligar a las empresas tecnológicas a construir capacidades de vigilancia de terceros en sus sistemas .

Signal adoptó la postura más firme. Su Vicepresidente de Estrategia y Asuntos Globales, Udbhav Tiwari, declaró que el servicio de mensajería cifrada "preferiría retirarse por completo del mercado canadiense" antes que cumplir con los requisitos de retención de metadatos, fundamentalmente incompatibles con su arquitectura de cero registros (no-logs) .

Google forma parte de la amplia coalición industrial que se opone al proyecto de ley, aunque ha sido menos vocal públicamente que Apple y Meta en las declaraciones disponibles.

Los proveedores de VPN se preparan para irse

Las disposiciones del proyecto de ley sobre retención de metadatos y órdenes de capacidad han provocado una reacción sin precedentes en la industria de las VPN. Dado que la arquitectura de cero registros es fundamental para el funcionamiento de estos servicios, los proveedores afirman que el C-22 les obligaría a elegir entre su promesa central a los usuarios y el mercado canadiense, y están optando por marcharse.

NordVPN advirtió que se retiraría de Canadá si el proyecto de ley se aprueba tal como está. "Si estamos sujetos a obligaciones obligatorias, no hay ningún escenario en el que comprometamos nuestra arquitectura de cero registros o nuestras protecciones de cifrado", declaró la empresa. "Para evitarlo, consideraremos todas las opciones viables, incluyendo limitar o, si es necesario, eliminar nuestra presencia de la jurisdicción canadiense" .

Windscribe, con sede en Toronto, declaró que está buscando activamente reubicarse fuera de Canadá. Su CEO, Yegor Sak, declaró al Globe and Mail que la empresa se trasladaría antes que acatar la ley .

ExpressVPN criticó formalmente la legislación, calificando su "arquitectura de cero registros y su cifrado como no negociables" .

Proton se sumó a la oposición, afirmando que "no existe ningún universo" en el que abandonara su política de cero registros .

Legisladores de EE. UU. advierten sobre riesgos transfronterizos

El 7 de mayo de 2026, el presidente del Comité Judicial de la Cámara de Representantes, Jim Jordan (republicano por Ohio), y el presidente del Comité de Asuntos Exteriores de la Cámara, Brian Mast (republicano por Florida), enviaron una carta de advertencia oficial al Ministro de Seguridad Pública, Gary Anandasangaree .

La carta expresaba su preocupación por que el Proyecto de Ley C-22 "podría suponer riesgos para la privacidad y la seguridad de los estadounidenses" al presionar a las empresas tecnológicas de EE. UU. para que debiliten el cifrado. Los legisladores advirtieron específicamente que los proveedores de cifrado de extremo a extremo "se enfrentarán inevitablemente a directivas para crear puertas traseras en sus productos" bajo el marco de la ley .

"El Proyecto de Ley C-22 de Canadá, actualmente en estudio en el Parlamento, ampliaría drásticamente los poderes de vigilancia y acceso a datos de Canadá de manera que crean importantes riesgos transfronterizos para la seguridad y la privacidad de los datos de los estadounidenses", escribieron los legisladores .

La carta del Congreso también señaló que las disposiciones del proyecto de ley sobre el intercambio transfronterizo de datos y su alcance extraterritorial podrían exponer la información de los ciudadanos estadounidenses a las normas canadienses de retención e intercambio sin las garantías adecuadas .

Los defensores de la privacidad dan la voz de alarma

La Electronic Frontier Foundation (EFF) calificó el Proyecto de Ley C-22 como "una versión reciclada de la pesadilla de vigilancia del año pasado", advirtiendo que las órdenes de capacidad secretas equivalen a "puertas traseras de vigilancia generalizada", mientras que la retención obligatoria de metadatos erosiona la privacidad de millones de canadienses .

El académico canadiense especializado en privacidad Michael Geist ha documentado lo que él llama la "brecha de vulnerabilidad sistémica" del proyecto de ley. En su blog, Geist explicó que la Parte 2 obliga a los proveedores de servicios electrónicos a diseñar arquitecturas de cumplimiento que podrían introducir debilidades que afecten a todos los usuarios, no solo a los objetivos de una investigación . En un análisis posterior, advirtió que la perspectiva de un éxodo tecnológico de Canadá está impulsada por "riesgos de privacidad y seguridad claros que no se aplican en Estados Unidos o Europa" .

La respuesta del gobierno

El gobierno canadiense ha rechazado las críticas. Los funcionarios han acusado a las empresas tecnológicas de "poner excusas" y han insistido en que el proyecto de ley solo se dirige a delitos graves, como la explotación sexual infantil, la trata de personas y el crimen organizado . Los documentos informativos del gobierno enfatizan que la Parte 2 no crea nuevas autoridades legales para interceptar comunicaciones, sino solo para garantizar que los proveedores puedan cumplir con las órdenes legales existentes .

Pero estas garantías han hecho poco para frenar la oposición. El Proyecto de Ley C-22 superó la segunda lectura en abril de 2026 con la mayoría liberal, y las audiencias del comité comenzaron en mayo. Más de una docena de grandes empresas han expresado ya su preocupación, y varias han amenazado con retirar sus servicios de Canadá por completo .

El gobierno ha insinuado desde entonces que podría modificar el proyecto de ley, aunque el alcance de cualquier cambio sigue sin estar claro .