¿El equilibrio entre privacidad y seguridad es posible? Los "Fourteen Eyes" frente a los actuales desafíos

Informe Ciberseguridad - Inteligencia

Análisis crítico de las alianzas de inteligencia Five, Nine y Fourteen Eyes: origen histórico, marco jurídico (FISA, RGPD, Schrems), efectos democráticos y herramientas de protección como cifrado y Tor. Un texto riguroso, sin alarmismo, sobre vigilancia masiva, metadatos y soberanía digital.

Incluye informe descargable en PDF

 INTRODUCCIÓN

El comienzo de 2026 ha supuesto un auténtico terremoto en las alianzas occidentales que han marcado la geopolítica desde el final de la II Guerra Mundial. De la noche a la mañana la Casa Blanca ha provocado un tsunami que arrasa sobre la confianza en acuerdos y tratados en los que sustentábamos la tranquilidad para defender nuestros intereses desde hacía más de medio siglo.

La intención manifestada de reconsiderar prioridades desde el otro lado del Atlántico y el deseo de poseer una autonomía defensiva a este, chocan con un complejo entramado de vigilancia donde es muy difícil tener claro exactamente a que intereses podría servir con los actuales sucesos y por tanto plantea una gran incertidumbre sobre que camino deberá tomar.

Los estados han generado una interdependencia bajo el paraguas de EEUU en el último medio siglo y ahora se generan preguntas incómodas ¿Puede transformarse en una red que se vuelva contra nuestra propia privacidad y seguridad en vez de protegernos de amenazas externas? ¿O quizás debemos más que nunca intentar buscar una manera de mantenerla y potenciarla?

Ahora más que nunca es el momento de analizar y entender una estructura y alianza que podría actuar en cualquier dirección dependiendo de los acontecimientos, generando dudas y preguntas incómodas sobre el estado actual de los Fourteen Eyes, máxime cuando Dinamarca afronta como una perspectiva real la pérdida forzada de Groenlandia pese a ser un miembro destacado

No somos ingenuos, sabemos que nuestros propias agencias de seguridad y las de nuestros aliados obtienen información sobre nosotros como parte lógica de un proceso de inferencia de patrones que permita captar anomalías. Igualmente aceptamos confiadamente la cesión de datos a empresas extranjeras y grandes corporaciones a sabiendas del uso que les van a dar. Este texto no trata sobre lo que obviamente marca nuestra realidad sino de los límites difusos entre lo posible, lo legal o lo aceptable en un estado de derecho dentro de un marco internacional inestable.


1. HISTORIA Y CONTEXTO

De la cooperación en la captura de señales a la vigilancia global: los “Ojos” que redefinen el equilibrio entre seguridad y privacidad

Las alianzas de inteligencia conocidas hoy como Five Eyes, Nine Eyes y Fourteen Eyes no nacen de una lógica de vigilancia masiva sobre individuos, sino de la cooperación en inteligencia de señales (signals intelligence, SIGINT) durante y después de la Segunda Guerra Mundial. Su origen formal suele situarse en el Acuerdo UKUSA de 1946, un tratado secreto entre Estados Unidos y el Reino Unido que institucionalizó la interceptación y el análisis de comunicaciones militares y diplomáticas, inicialmente centradas en la Unión Soviética y el bloque socialista.

Es importante subrayar que el diseño original de este entramado se orientaba a la captura de señales —tráfico de radio, comunicaciones diplomáticas, más tarde enlaces satelitales y cables submarinos— y no a la vigilancia sistemática de poblaciones enteras. El foco estaba en objetivos estatales y estratégicos: embajadas, fuerzas armadas, infraestructuras críticas y, con el tiempo, organizaciones consideradas amenazas a la seguridad nacional. Sólo mucho después, con la expansión de Internet y de las comunicaciones digitales, el perímetro de lo técnicamente posible empezó a desbordar los marcos legales y políticos tradicionales.

La existencia y el alcance contemporáneo de estos programas permanecieron durante décadas fuera del debate público. El punto de inflexión llegó en 2013, cuando Edward Snowden —entonces contratista de la NSA— filtró documentación clasificada que describía programas de vigilancia a gran escala, como PRISM, así como mecanismos de interceptación “upstream” de tráfico que circula por las grandes infraestructuras de telecomunicaciones. Más que inaugurar el problema, las revelaciones de Snowden actuaron como confirmación documental de prácticas que hasta entonces se movían en el terreno de las sospechas y los informes especializados.

Dentro de este ecosistema, los distintos “ojos” representan niveles de cooperación y confianza diferenciados. El núcleo duro lo forman los Five Eyes (Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda), que comparten inteligencia de señales con un grado de integración muy elevado, incluyendo en muchos casos el intercambio de datos relativamente “en bruto” entre sus servicios. Alrededor de este núcleo se articula un segundo círculo, los Nine Eyes, que añade a Dinamarca, Francia, Países Bajos y Noruega, y un tercer nivel, los Fourteen Eyes, que incorpora además a Alemania, Bélgica, Italia, España y Suecia en el marco conocido como SIGINT Seniors Europe (SSEUR), donde Estados Unidos actúa de facto como “decimocuarto ojo”

Más que una estructura monolítica, este entramado constituye una arquitectura escalonada de cooperación jurídica, técnica y política, en la que cada país conserva formalmente su soberanía pero acepta distintos grados de interdependencia en materia de seguridad. Entender ese origen histórico y esa lógica de SIGINT —y no de “gran conspiración global” al uso— es clave para abordar el debate actual: qué margen real tienen los Estados para protegerse, qué contrapesos legales existen ante la ampliación tecnológica de la vigilancia y cómo se negocia, en la práctica, el equilibrio entre seguridad, privacidad y autonomía democrática dentro de estas alianzas.


Los Cinco Ojos (FVEY): el núcleo de la alianza

El núcleo histórico de este sistema de cooperación lo conforman los llamados Five Eyes (FVEY): Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda. Su colaboración se formaliza en el Acuerdo UKUSA de 1946, que establece un reparto de tareas y una integración muy profunda en materia de inteligencia de señales.

Entre estos cinco países opera lo que suele describirse como un no-spy agreement: un entendimiento según el cual no se espían sistemáticamente entre sí y, en teoría, se abstienen de tomar como objetivo directo a ciudadanos o instituciones del resto del grupo. Más que un tratado único y explícito, se trata de un conjunto de prácticas, protocolos y excepciones; las filtraciones de Snowden mostraron, precisamente, hasta qué punto estas fronteras pueden volverse porosas cuando entran en juego intereses compartidos o la tentación de “externalizar” ciertas vigilancias hacia el socio que tiene menos restricciones internas.

En términos de capacidades, los Cinco Ojos combinan acceso a infraestructuras globales de comunicaciones (cables de fibra óptica, estaciones de satélite, nodos de Internet) con acuerdos con grandes empresas tecnológicas y de telecomunicaciones. Programas como PRISM o XKEYSCORE, documentados a partir de 2013, ilustran esta intersección entre capacidad técnica y cooperación privada: una parte sustancial del tráfico digital mundial es, al menos en teoría, susceptible de ser captado, filtrado y analizado.

El ejemplo emblemático de este entramado es el proyecto ECHELON, un sistema global de interceptación y análisis automatizado de comunicaciones que se consolida durante la Guerra Fría y que fue objeto de investigaciones parlamentarias en Europa a finales de los años noventa. ECHELON suele presentarse como el antecedente directo de las formas contemporáneas de vigilancia basada en palabras clave, patrones de tráfico y data mining. En este contexto, los Cinco Ojos se configuran no sólo como una alianza, sino como una especie de “espacio común de inteligencia” con normas, lenguajes técnicos y herramientas compartidas.


Expansión a los Nueve Ojos: el círculo intermedio

A partir de este núcleo anglosajón se articula un segundo círculo de cooperación, conocido como Nine Eyes. A los cinco miembros originales se añaden Dinamarca, Francia, Países Bajos y Noruega. Esta ampliación responde a razones tanto geográficas como políticas: permite cubrir espacios adicionales (escandinavos, Atlántico Norte, Europa continental) y aprovechar capacidades lingüísticas, técnicas y de acceso a infraestructuras que los Cinco Ojos, por sí solos, no tienen en la misma medida.

Sin embargo, este círculo intermedio no se sitúa en pie de igualdad con el núcleo FVEY. La documentación desclasificada y los materiales filtrados apuntan a que los nuevos socios reciben menos acceso a datos “en bruto” y participan en esquemas de intercambio más acotados. Mientras que entre los Cinco Ojos existe un flujo relativamente automático de productos de inteligencia y, en algunos casos, de datos sin procesar, los acuerdos con terceros países suelen estar más condicionados por intereses específicos, por el tipo de amenaza y por limitaciones legales nacionales.

En la práctica, buena parte de la agenda de los Nueve Ojos se orienta hacia inteligencia táctica, especialmente en ámbitos como el contraterrorismo, la seguridad de infraestructuras críticas o el seguimiento de conflictos regionales. El resultado es una arquitectura en la que el núcleo FVEY concentra la capacidad de decisión estratégica y de diseño de herramientas, mientras que el círculo de los Nueve Ojos opera como socio operativo preferente: aporta información, acceso territorial y recursos, pero tiene menos capacidad para fijar las reglas del juego.


Los Catorce Ojos: la red extendida

Más allá de los Nueve Ojos se encuentra un tercer nivel de cooperación, habitualmente identificado como Fourteen Eyes y vinculado al grupo SIGINT Seniors Europe (SSEUR). A los miembros de los Nueve Ojos se suman Alemania, Bélgica, Italia, España y Suecia.

El estatuto de este grupo es deliberadamente más ambiguo. No existe un equivalente al UKUSA Agreement que lo articule como una alianza cerrada, y muchos de los detalles son, a día de hoy, opacos. Lo que sí se conoce a través de documentos y estudios es que su función declarada es coordinar el intercambio de inteligencia de señales de carácter principalmente militar y de seguridad entre sus miembros, con un foco importante en terrorismo, conflictos regionales y operaciones en el exterior.

En este nivel, el intercambio suele describirse como más limitado y estandarizado: se comparten productos de inteligencia y, con frecuencia, metadatos sobre comunicaciones (quién se comunica con quién, cuándo, desde dónde), mientras que el acceso directo a contenidos y a las herramientas más intrusivas permanece mayoritariamente en manos del núcleo FVEY. Conviene subrayar que el grado exacto de acceso y las asimetrías entre Estados son difíciles de documentar y forman parte del debate académico y político actual.

Otra característica relevante es el reparto funcional: distintos países actúan como recolectores regionales o especialistas en determinadas áreas geográficas o temáticas. Algunos trabajos académicos han señalado, por ejemplo, el papel destacado de determinados servicios europeos en el norte de África o en Oriente Medio dentro de SSEUR, en función de sus antiguas esferas de influencia o de sus despliegues militares. El diseño de esta red extendida permite ampliar enormemente el alcance geográfico y temático de la vigilancia sin que ello implique abrir el núcleo de toma de decisiones o compartir las capacidades técnicas más sensibles.

Desde esta perspectiva, puede decirse —simplificando— que los Cinco Ojos operan como una “élite cerrada” de inteligencia altamente integrada, mientras que los Catorce Ojos funcionan como una “red logística” y operativa que expande el campo de visión y de acción de la alianza a costa de aceptar una posición de menor influencia. La tensión entre quienes controlan la infraestructura y fijan las reglas, y quienes fundamentalmente aportan acceso y datos, es uno de los elementos que alimentan el debate sobre soberanía, dependencia estratégica y control democrático dentro de estas alianzas de vigilancia.


2. ASPECTO JURÍDICO Y DEMOCRÁTICO

Desde el punto de vista jurídico y democrático, el entramado de alianzas de inteligencia tipo Five/Nine/Fourteen Eyes se mueve, en buena medida, en una zona gris: no es un “vacío legal” en sentido estricto, pero sí un espacio donde las lagunas, las excepciones y la asimetría entre marcos normativos se convierten en herramientas de gobierno. La tensión central es conocida: los Estados se han dotado de constituciones, cartas de derechos y leyes de protección de datos que limitan el espionaje sobre sus propios ciudadanos, pero al mismo tiempo han desarrollado capacidades técnicas que hacen posible una vigilancia de alcance global, difícil de encajar en los moldes tradicionales del Estado de derecho.


El “vacío legal” deliberado y el juego del “espía extranjero”

La mayoría de ordenamientos distinguen entre vigilancia interior y vigilancia exterior. En Estados Unidos, por ejemplo, la protección constitucional frente a registros y captaciones sin orden judicial es más robusta para los U.S. persons que para el resto del mundo; la vigilancia con fines de “inteligencia extranjera” se somete a regímenes más permisivos, como ciertas secciones de la FISA y las prácticas amparadas en la Orden Ejecutiva 12333. Algo similar ocurre en otros países: el control judicial y parlamentario tiende a ser más intenso cuando se trata de ciudadanos propios, y más laxo cuando la vigilancia se justifica como “seguridad nacional” o “inteligencia exterior”.


En este contexto, la cooperación entre servicios abre la puerta a un mecanismo jurídicamente elegante pero democráticamente problemático: si la agencia A tiene prohibido, o fuertemente restringido, vigilar de forma masiva a sus propios ciudadanos, siempre puede recabar información sobre ellos a través de la agencia B, situada en otra jurisdicción, y recibir luego el “producto de inteligencia” ya procesado. Técnicamente, el ciudadano X nunca ha sido “objetivo” directo de la agencia de su propio país; en la práctica, su derecho a la privacidad se ve erosionado por un juego de manos transnacional. La metáfora del “hoy no es mi cumpleaños” encaja bien: cada Estado puede alegar que, estrictamente hablando, no ha vulnerado su propia norma interna, aunque el resultado agregado se parezca mucho a un sistema de vigilancia sin fronteras.

Esta arquitectura se apoya, además, en categorías jurídicas muy amplias —“seguridad nacional”, “inteligencia extranjera”, “amenazas graves”— que dejan un margen de discrecionalidad considerable a los ejecutivos y a las agencias. La combinación de acuerdos secretos, supervisión limitada y fuertes asimetrías de poder entre socios hace que el ciudadano, incluso en democracias consolidadas, tenga dificultades para saber quién está procesando sus datos, bajo qué reglas y con qué posibilidades reales de reparación.


Schrems I y II: cuando la vigilancia llega al Tribunal de Justicia

En el ámbito europeo, el conflicto entre vigilancia masiva y derechos fundamentales se ha plasmado con especial fuerza en la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) a propósito de las transferencias de datos a Estados Unidos.

En el asunto Schrems I (C-362/14), resuelto en 2015, el TJUE declaró inválida la Decisión “Safe Harbor”, que desde el año 2000 permitía a empresas estadounidenses recibir datos personales desde la UE bajo un régimen de autocertificación. El Tribunal concluyó que el ordenamiento estadounidense no ofrecía un nivel de protección sustancialmente equivalente al europeo, entre otras cosas por la amplitud de los programas de vigilancia de la NSA y la ausencia de vías de recurso efectivas para los ciudadanos de la UE.

Cinco años más tarde, en Schrems II (C-311/18), el TJUE invalidó también el marco sucesor, el “Privacy Shield”, al considerar que los cambios introducidos no bastaban para neutralizar el impacto de la vigilancia masiva estadounidense sobre los derechos de los europeos. Aunque el Tribunal mantuvo la validez, bajo condiciones estrictas, de las cláusulas contractuales tipo (Standard Contractual Clauses), dejó claro que la existencia de programas de acceso generalizado a datos por parte de servicios de inteligencia, sin garantías equivalentes a las exigidas por la Carta de Derechos Fundamentales de la UE, es incompatible con un nivel de protección adecuado.

Estos casos no se refieren directamente a los “Five” o “Fourteen Eyes” como alianzas militares o de inteligencia, pero sí a uno de sus subproductos: la disponibilidad, para las agencias de seguridad, de grandes volúmenes de datos personales que circulan a través de empresas tecnológicas transatlánticas. El mensaje implícito del TJUE es relevante para tu artículo: los acuerdos políticos y de seguridad no pueden situarse por encima del estándar de protección de datos y de derechos fundamentales que la propia UE se ha impuesto.


Un marco en evolución: del Privacy Shield al Data Privacy Framework

Tras Schrems II, la UE y Estados Unidos negociaron un nuevo marco, el EU–US Data Privacy Framework (DPF), respecto del cual la Comisión Europea adoptó una decisión de adecuación en julio de 2023. El DPF introduce mecanismos adicionales de control y una instancia específica —el Data Protection Review Court— para canalizar reclamaciones sobre acceso a datos con fines de inteligencia. En septiembre de 2025, el Tribunal General de la UE avaló la legalidad de este nuevo marco frente a un recurso que cuestionaba, precisamente, la suficiencia de esas salvaguardas frente a la vigilancia estadounidense.

Desde una perspectiva académica, sin embargo, el debate está lejos de cerrarse. Organizaciones de la sociedad civil y juristas críticos sostienen que, mientras sigan existiendo regímenes de vigilancia masiva que discriminan de facto entre nacionales y no nacionales, habrá una tensión estructural entre las promesas de “equivalencia” y la realidad de los programas de inteligencia. Otros subrayan que el DPF y las decisiones judiciales recientes dotan al menos de cierta transparencia y de canales de reclamación a una materia que tradicionalmente se sustraía casi por completo al control judicial.


3. IMPACTO EN LA VIDA COTIDIANA

Las alianzas de inteligencia como los Five/Nine/Fourteen Eyes pueden parecer, a primera vista, algo remoto, propio de despachos gubernamentales y operaciones secretas. Sin embargo, sus efectos se filtran, de manera más sutil, en prácticas tan ordinarias como lo que buscamos en Internet, cómo pagamos o cómo viajamos. Dos conceptos ayudan a entender este aterrizaje: el efecto gélido (chilling effect) y la creciente vigilancia financiera y de movimientos transfronterizos.


El “efecto gélido”: cuando la sensación de vigilancia enfría la libertad

En sociología y en derecho de los derechos humanos, se habla de chilling effect para describir el fenómeno por el cual las personas modifican su conducta —se autocensuran, se retraen, se silencian— no porque exista una prohibición explícita, sino por la mera percepción de estar siendo observadas. En el contexto de la vigilancia digital, diversos estudios empíricos han mostrado que, cuando los usuarios son conscientes de programas de vigilancia masiva, tienden a evitar determinadas búsquedas, a moderar el tono de sus opiniones políticas en línea o a limitar su participación en foros y redes sobre temas sensibles (religión, sexualidad, migración, seguridad, etc.).

Este efecto gélido es especialmente problemático desde una perspectiva democrática, porque no opera por la vía clásica de la censura, sino por la de la internalización del control: el individuo aprende a vigilarse a sí mismo. En la práctica, ello puede traducirse en:

- evitar leer materiales sobre ideologías o movimientos políticamente estigmatizados;

- no buscar información técnica sobre cifrado, privacidad o activismo por miedo a “aparecer en una lista”;

- renunciar a participar en asociaciones, campañas o protestas que percibe como “monitorizadas”.

Cuando los ciudadanos sienten que cada clic, búsqueda o interacción deja un rastro potencialmente interpretable por un entramado de agencias y alianzas transnacionales, el resultado no es sólo una pérdida de intimidad, sino una reducción silenciosa del pluralismo: se desincentiva el disenso antes de que llegue siquiera a formularse. En esa clave, los Fourteen Eyes no son simplemente un problema técnico de protección de datos, sino un vector que incide sobre la calidad del espacio público y la vitalidad de la deliberación democrática.


Vigilancia financiera y de viajes: el cuerpo y la cartera como fuentes de datos

Más allá de la esfera simbólica, la vigilancia se materializa también en la forma en que se analizan de manera masiva nuestros movimientos financieros y nuestros desplazamientos físicos. Aquí entran en juego dos grandes ámbitos: la lucha contra el blanqueo de capitales y la financiación del terrorismo, y los sistemas de perfilado de pasajeros.

En el sistema financiero, las entidades bancarias y otras instituciones están obligadas a aplicar regímenes estrictos de conoce a tu cliente (KYC) y de monitorización de transacciones. En la práctica, esto implica el uso de técnicas de análisis de grandes volúmenes de datos para detectar patrones sospechosos, relaciones entre cuentas, movimientos inusuales o estructuras complejas que puedan indicar blanqueo o financiación ilícita.

En los últimos años, estos sistemas han incorporado algoritmos de aprendizaje automático y modelos predictivos, capaces de generar “alertas” a partir de correlaciones que escapan a los métodos tradicionales. A ello se suma el interés de bancos y fintech por explotar los datos de sus clientes para diseñar productos personalizados o incluso para monetizar datos agregados y anonimizados, lo que ha suscitado polémicas públicas sobre el alcance de esa reutilización de información financiera.

Desde la perspectiva del ciudadano, esto se traduce en que sus hábitos de consumo, sus ingresos, sus deudas o sus relaciones económicas pueden ser objeto de perfiles de riesgo que escapan por completo a su control, y que pueden tener consecuencias en el acceso a crédito, en el escrutinio por parte de autoridades fiscales o en investigaciones automáticas basadas en perfiles probabilísticos. En un entorno de cooperación entre servicios de inteligencia, parte de esa información financiera puede ser compartida, por ejemplo, en el marco de programas como el Terrorist Finance Tracking Program (TFTP), que implica el acceso a datos de mensajería financiera de la red SWIFT por parte de autoridades estadounidenses con participación y supervisión europea.

Algo similar ocurre con los desplazamientos internacionales. Tras los atentados del 11-S, proliferaron los sistemas basados en Passenger Name Records (PNR) y datos de viajeros (Advance Passenger Information, API), mediante los cuales las aerolíneas transmiten a las autoridades información detallada sobre cada pasajero: itinerarios, formas de pago, acompañantes, preferencias de asiento, datos de contacto, etc. Estos datos se analizan para clasificar riesgos, seleccionar personas para controles adicionales y detectar patrones vinculados a terrorismo o delincuencia grave.

La tendencia actual avanza hacia sistemas de vigilancia de viajes de carácter predictivo, que combinan PNR, bases de datos policiales y herramientas de inteligencia artificial para señalar a individuos como “sospechosos” en función de perfiles de riesgo y correlaciones opacas. Diversos casos documentados muestran cómo estos sistemas pueden basarse en datos erróneos o descontextualizados, generando falsos positivos, estigmatización y medidas intrusivas sobre viajeros sin antecedentes ni indicios específicos, más allá de su encaje en un patrón algorítmico.

Cuando se colocan estas piezas en el mapa geopolítico que forman los Fourteen Eyes, la vida cotidiana aparece inserta en un entramado amplio de intercambio de datos financieros y de viajes entre múltiples jurisdicciones. La tarjeta bancaria y el billete de avión se convierten, así, en vectores de información que pueden recorrer un circuito complejo de agencias, acuerdos y bases de datos compartidas. De nuevo, el dilema no es sólo técnico: se trata de preguntarse qué margen real tiene el individuo para comprender, cuestionar o limitar estos flujos, y hasta qué punto los objetivos legítimos de seguridad pueden justificarlos sin vaciar de contenido el derecho a la privacidad, a la libertad de movimiento y a la no discriminación.


4. COMPARACIÓN INTERNACIONAL

Las alianzas de inteligencia tipo Five/Nine/Fourteen Eyes no operan en el vacío: chocan, se rozan o se entrelazan con marcos jurídicos muy distintos. En ese paisaje, el Reglamento General de Protección de Datos (RGPD) de la Unión Europea se ha convertido en algo muy distinto a una simple “ley de cookies”: es, de facto, uno de los principales contrapesos normativos frente a la lógica de la vigilancia masiva. Al mismo tiempo, otros Estados —dentro y fuera de los 14 Ojos— impulsan modelos de soberanía digital y localización de datos que contribuyen a una fragmentación creciente de la red global.


El RGPD como “muro de contención” frente a la vigilancia masiva

El RGPD articula una concepción de la protección de datos como derecho fundamental, ligada a principios como la limitación de finalidad, la minimización de datos, la transparencia y la rendición de cuentas de los responsables del tratamiento. Aunque el Reglamento está dirigido principalmente a actores privados (empresas, plataformas, proveedores de servicios), su lógica choca frontalmente con los esquemas de interceptación masiva e indiscriminada de comunicaciones en los que se apoyan muchas prácticas de inteligencia contemporáneas.

El Tribunal de Justicia de la Unión Europea (TJUE) y el Tribunal Europeo de Derechos Humanos (TEDH) han sido claves en esta tensión. Desde la anulación de la Directiva de Retención de Datos en 2014, la jurisprudencia europea ha ido acotando de forma muy estricta la posibilidad de conservar de manera generalizada y preventiva los metadatos de comunicaciones de toda la población, exigiendo que las medidas se limiten a lo estrictamente necesario y estén focalizadas en amenazas concretas a la seguridad nacional.

Más recientemente, decisiones del TJUE han dejado claro que la transmisión de datos personales a autoridades públicas, incluidas las de seguridad nacional, está sujeta a las garantías de la normativa de protección de datos (ePrivacy y RGPD leídos conjuntamente). Esto significa, en teoría, que incluso los programas de acceso masivo a datos de tráfico o a información conservada por proveedores deben someterse a principios de proporcionalidad, control independiente y vías de recurso.

En la práctica, sin embargo, el panorama es más ambiguo. Por un lado, la UE se presenta como el bloque que más lejos ha llevado la idea de un “muro jurídico” contra la vigilancia desproporcionada, tanto frente a empresas como frente a terceros países (como se vio en Schrems I y II y en el escrutinio de los marcos transatlánticos de transferencia de datos). Por otro, varios Estados miembros —incluyendo países que forman parte de los Fourteen Eyes— han impulsado leyes nacionales que buscan mantener amplias capacidades de interceptación y retención, generando tensiones entre sus servicios de inteligencia y las exigencias del TJUE y del TEDH.

El resultado es paradójico: el RGPD funciona como campo de batalla central donde se dirime hasta qué punto es aceptable la vigilancia masiva en democracias europeas, pero ese mismo proceso revela una fragmentación interna entre Estados que reclaman más margen para la seguridad y tribunales que insisten en la primacía de los derechos fundamentales.


Países fuera de los 14 Ojos y la fragmentación (“splinternet”)

Más allá del mundo anglosajón y del perímetro de los Fourteen Eyes, numerosos países están impulsando agendas de soberanía digital que afectan directamente al flujo global de datos. Un eje central de estas políticas son las leyes de localización de datos, que exigen que determinada información sobre los ciudadanos se almacene y procese dentro de las fronteras nacionales.

China, por ejemplo, combina un sistema de control estricto de contenidos —el llamado “Gran Cortafuegos”— con un denso entramado de normas como la Ley de Ciberseguridad, la Ley de Seguridad de Datos y la Ley de Protección de Información Personal, que imponen requisitos severos al traslado de datos al extranjero. Rusia obliga a que los datos personales de sus ciudadanos se almacenen en servidores localizados en su territorio, mientras que Brasil, con su Ley General de Protección de Datos (LGPD), y la India, con la Digital Personal Data Protection Act y su reglamentación de 2025, avanzan hacia modelos que, aun inspirados parcialmente en el RGPD, refuerzan la idea de que el Estado debe tener un control significativo sobre dónde y cómo se tratan los datos de su población

Este giro hacia la “soberanía de datos” tiene una doble cara. Por un lado, puede leerse como una reacción legítima frente a la concentración de poder en manos de grandes plataformas globales y frente a la extraterritorialidad de regímenes de vigilancia como el estadounidense: si los datos se quedan dentro, es más difícil que acaben en manos de servicios de inteligencia extranjeros sin control. Por otro, también puede servir para reforzar capacidades de vigilancia interna, facilitar el acceso de las propias autoridades a la información y limitar la circulación de contenidos y servicios, especialmente en contextos autoritarios.

De forma más amplia, esta proliferación de regímenes de datos y de políticas de control de contenidos alimenta lo que se ha denominado la “splinternet”: una Internet que deja de ser un espacio relativamente unificado para fragmentarse en varios “internets” regionales o nacionales, cada uno con sus propias reglas, filtros y estándares técnicos. La divergencia entre modelos —un RGPD que aspira a proteger derechos individuales frente a empresas y Estados, regímenes autoritarios que priorizan el control político, países que se centran en la competitividad económica y la seguridad nacional— se traduce en una creciente incompatibilidad regulatoria.


Y es que esta comparación permite formular una pregunta incómoda pero productiva:

¿Estamos ante una fragmentación que protege mejor a los ciudadanos —al dificultar la consolidación de una vigilancia global sin frenos—, o ante un mosaico donde cada Estado construye su propio panóptico digital bajo la bandera de la “soberanía”?


En ese escenario, los Fourteen Eyes dejan de ser sólo una alianza de inteligencia para convertirse en uno de los nodos de un ecosistema global de vigilancia y regulación de datos en el que Europa intenta levantar un muro de garantías (RGPD), otros países levantan muros de control (firewalls, localización obligatoria) y las grandes plataformas tecnológicas se mueven entre ambos, adaptando sus servicios a un mundo de internets cada vez menos interoperables


5. TECNOLOGÍA Y TRANSPARENCIA

El recorrido por las alianzas de inteligencia y sus implicaciones democráticas podría dejar la sensación de que el ciudadano está condenado a una exposición total. Sin embargo, sería incompleto —y algo injusto— cerrar el análisis sin mencionar dos dimensiones que abren espacios de agencia y corrección: la tecnología como defensa y los mecanismos institucionales de control. Ninguna de las dos es una solución mágica, pero ambas introducen fricciones importantes en la lógica de la vigilancia masiva.


Criptografía y herramientas de privacidad: defensas cotidianas

En paralelo al desarrollo de capacidades estatales de vigilancia, las últimas décadas han visto un auge notable de tecnologías diseñadas para proteger la confidencialidad y la integridad de las comunicaciones. La más visible en la vida diaria es el cifrado de extremo a extremo (end-to-end, E2E): un modelo en el que sólo el emisor y el receptor pueden leer el contenido del mensaje, porque se cifra en el dispositivo de origen y sólo se descifra en el de destino. Ni la plataforma intermediaria ni terceros que intercepten el tráfico deberían poder acceder al contenido en claro.

Aplicaciones como Signal y WhatsApp usan protocolos de cifrado extremo a extremo en sus comunicaciones personales; en el caso de WhatsApp, la integración del protocolo desarrollado por Signal se completó en 2016, de manera que los mensajes y llamadas entre usuarios actuales se transmiten cifrados por defecto. El objetivo no es “facilitar el delito”, sino garantizar que la conversación privada —un elemento básico de cualquier sociedad libre— no dependa de la buena voluntad de gobiernos o empresas, sino de garantías técnicas difíciles de vulnerar sin dejar rastro

A estas herramientas se suman las VPN (Virtual Private Networks), que encapsulan el tráfico en un túnel cifrado entre el dispositivo del usuario y un servidor intermedio. Desde la perspectiva de un observador externo (por ejemplo, el proveedor de acceso local), el tráfico aparece como un flujo cifrado hacia ese servidor, lo que dificulta la inspección o el bloqueo selectivo de contenidos. Las VPN no son un escudo absoluto —el servidor intermediario sí ve el tráfico, y existen múltiples vectores de huella digital—, pero se han convertido en un instrumento habitual tanto para reforzar la privacidad como para sortear formas de censura o filtrado geográfico.

Un tercer elemento lo constituyen herramientas de anonimato de red como el proyecto Tor, que enruta las conexiones a través de una cadena de nodos voluntarios, de forma que el servidor de destino no ve la IP real del usuario y cada nodo sólo conoce el eslabón anterior y el siguiente. Tor se describe explícitamente como un esfuerzo por “defender la privacidad y los derechos humanos mediante software libre y redes abiertas”; su arquitectura ha permitido a periodistas, activistas y ciudadanos en contextos represivos acceder a información y comunicarse con menor riesgo. Al mismo tiempo, esa misma infraestructura ha sido explotada para actividades gravemente delictivas, lo que alimenta un debate recurrente sobre cómo compatibilizar anonimato y responsabilidad.

En el trasfondo de estas herramientas late una disputa política de fondo: distintos gobiernos han promovido propuestas para debilitar o rodear el cifrado —mediante puertas traseras obligatorias, sistemas de escaneo del lado del cliente o iniciativas como el llamado “chat control” en la UE, que plantea el análisis automatizado incluso de comunicaciones cifradas en nombre de la lucha contra ciertos delitos. Organizaciones técnicas y de derechos digitales replican que introducir vulnerabilidades “sólo para los buenos” es, en la práctica, imposible: cualquier puerta trasera crea un punto de ataque reutilizable por actores maliciosos.


La criptografía y las herramientas de privacidad no son un refugio para una minoría conspirativa, sino una forma de nivelar parcialmente la asimetría entre el ciudadano común y los grandes recolectores de datos —estatales o privados—. Su existencia obliga, además, a que el debate sobre vigilancia no se plantee sólo en términos jurídicos, sino también de diseño tecnológico.


Control parlamentario y supervisión judicial: poner ojos sobre los “ojos”

La otra cara de una respuesta democrática a la vigilancia es institucional: ¿quién vigila a los vigilantes? La experiencia comparada muestra modelos imperfectos, pero relevantes, de supervisión parlamentaria y judicial de los servicios de inteligencia.

En Alemania, por ejemplo, la arquitectura de control sobre los servicios federales (BND, BfV, MAD) combina varios órganos:

- la Comisión Parlamentaria de Control (Parlamentarisches Kontrollgremium, PKGr), integrada por miembros del Bundestag, con derecho a acceder a expedientes, pedir documentación y visitar las sedes de los servicios

- la Comisión G10, que autoriza y supervisa medidas intrusivas que afectan al secreto de las telecomunicaciones en el marco de la llamada “legislación G10”;

- y, tras reformas recientes, un Consejo Independiente de Supervisión (Unabhängiger Kontrollrat), configurado como autoridad federal con competencias específicas para supervisar la vigilancia estratégica de telecomunicaciones y la cooperación internacional del BND.

Estas estructuras surgieron, en parte, como respuesta a decisiones del Tribunal Constitucional Federal que declararon inconstitucionales aspectos de la vigilancia externa sin suficientes garantías, y hoy representan un ejemplo de cómo la presión judicial puede forzar a reforzar los mecanismos de control sobre los servicios.

En Estados Unidos, el entramado es diferente, pero persigue en teoría objetivos similares. La Foreign Intelligence Surveillance Court (FISC) autoriza ciertos programas y medidas de vigilancia amparados en la FISA, como las operaciones bajo la Sección 702, que permiten la interceptación de comunicaciones de no-estadounidenses en el extranjero a través de infraestructuras situadas en EE. UU. Sobre el papel, la FISC actúa como un filtro judicial, aunque su carácter secreto y la naturaleza programática de muchas autorizaciones han sido objeto de fuerte crítica.

En el plano político, el control recae en los comités de inteligencia del Congreso —el Senate Select Committee on Intelligence y el House Permanent Select Committee on Intelligence—, que reciben informes clasificados sobre los programas, aprueban presupuestos y celebran audiencias (a menudo parcialmente públicas) sobre abusos o reformas legales. Complementariamente, el Privacy and Civil Liberties Oversight Board (PCLOB) es un organismo independiente del poder ejecutivo encargado de evaluar si los programas antiterroristas, incluidos los de vigilancia de señales, respetan adecuadamente la privacidad y las libertades civiles; sus informes recientes sobre la Sección 702 detallan tanto logros como incumplimientos y han sido citados en el debate legislativo sobre su reforma.

La evaluación académica de estos mecanismos es ambivalente. Por un lado, muestran que no existe un poder de vigilancia completamente “sin dueño”: hay órganos, procedimientos y tribunales que, al menos en teoría, pueden poner límites, exigir explicaciones y ordenar correcciones. Por otro, la combinación de secreto, complejidad técnica y asimetría informativa hace que estos controles operen a menudo con margen reducido y con dificultades para representar plenamente las preocupaciones de la ciudadanía.


El campo de disputa

Cifrado de extremo a extremo, VPNs, redes de anonimato, comisiones parlamentarias, tribunales especializados y organismos de supervisión no eliminan, por sí solos, los riesgos asociados a alianzas como los Fourteen Eyes. Pero sí introducen una idea crucial la vigilancia no es un destino inevitable, sino un campo de disputa.

- En el plano técnico, la generalización de la criptografía y de herramientas de privacidad muestra que es posible diseñar sistemas que reduzcan la exposición por defecto del ciudadano.

- En el plano institucional, la experiencia alemana, estadounidense y europea evidencia que los servicios de inteligencia pueden —y deben— someterse a marcos de control y a escrutinio público, aunque sea parcial.

Cerrarlo en estos términos permite que tu artículo no se lea como una denuncia desesperanzada, sino como una invitación a pensar la vigilancia como un equilibrio inestable entre capacidades de seguridad, derechos fundamentales y diseño tecnológico. Ese equilibrio no se resuelve sólo en los tratados secretos ni en el código fuente de las plataformas, sino también en la presión social, en la jurisprudencia y en las decisiones cotidianas de millones de usuarios que eligen, o no, proteger su comunicación.


6. GRANDES TECNOLÓGICAS ¿Agentes autónomos dentro de los Fourteen Eyes"?

El marco jurídico europeo (RGPD, jurisprudencia del TJUE) ha establecido un estándar global de protección y ha generado cambios significativos, pero no ha logrado "frenar en gran medida" la captación masiva de datos por parte de las tecnológicas. Su impacto es más de regulación, transparencia y reequilibrio de poder que de reducción cuantitativa del volumen de datos recogidos.

Los gigantes tecnológicos consolidados tienen recursos para adaptarse y mantener sus modelos de negocio basados en datos. A nivel más general la mayoría de las empresas no ha reportado un impacto negativo y la mayoría destaca la privacidad (real o no) al generar confianza del cliente . Es decir, el RGPD se ha normalizado como un costo de operación y el cumplimiento a menudo se centra en documentos (políticas de privacidad, banners de cookies), no en reducir la recolección en sí.

La jurisprudencia (Schrems I/II) invalida mecanismos que no garanticen protección equivalente, forzando nuevos acuerdos (Privacy Shield, EU-U.S. DPF) así que finalmente, los acuerdos subsisten bajo críticas. Los datos europeos siguen fluyendo a EEUU, un país con programas de vigilancia masiva y un marco de protección fragmentado. Con todo los ciudadanos tienen herramientas para acceder, rectificar, oponerse y solicitar la eliminación de sus datos. Pero ejercer estos derechos requiere iniciativa y conocimiento, sin estos, algo común en la mayor parte de los ciudadanos desdibuja la utilidad real y no limitan la recolección proactiva y generalizada por defecto.


El modelo de negocio sigue intacto

La limitación fundamental es que el RGPD regula el procesamiento de datos, pero no prohíbe el modelo de negocio basado en su recolección masiva. Los principios de "limitación de la finalidad" y "minimización de datos" chocan con la lógica de la economía de datos, donde el valor está en acumular y analizar grandes volúmenes para publicidad dirigida o desarrollo de IA.

Mientras el valor económico de los datos personales siga siendo alto, el incentivo para recogerlos maximizando los huecos legales (como el consentimiento forzado o la opacidad) persistirá.


Marco transatlántico

Entender la efectividad del marco europeo requiere mirar a Estados Unidos, el destino principal de muchos datos y sede de las mayores tecnológicas:

• Marco fragmentado: Carece de una ley federal integral. Regulaciones como CCPA (California) son más débiles y se basan en el "opt-out" .
• Vigilancia masiva y reutilización de datos: Programas gubernamentales y acuerdos con empresas permiten una vigilancia a gran escala. Un informe de 2025 detalla cómo agencias como el DHS reutilizan datos fiscales o de beneficios sociales para vigilancia, a menudo a través de contratistas privados como Palantir .
• Abusos documentados: Casos como el del Departamento de Policía de Nueva York, que usó reconocimiento facial de forma discriminatoria contra comunidades de color y disidentes , muestran los riesgos de esta falta de límites.

Este contraste subraya el valor del enfoque europeo basado en derechos, pero también explica por qué es tan complejo y polémico regular las transferencias de datos a EEUU 


El RGPD y la jurisprudencia del TJUE han sido fundamentales para frenar los excesos más flagrantes, empoderar teóricamente a los ciudadanos y forzar a las empresas a ser más transparentes. Sin embargo, no han detenido la lógica de la captación masiva. Han transformado un "salvaje oeste" digital en un "parque regulatorio infinito" donde la recolección sigue, pero con más normas, riesgos legales y conciencia pública.

Ante una dependencia masiva de las grandes tecnológicas ¿puede o quiere la sociedad regular un modelo que, aunque invasivo, sustenta gran parte de la economía digital actual?. Por un lado los expertos en seguridad tienen una respuesta clara, las herramientas legales sobre la mesa, pero se contradicen con el comportamiento en el día a día de un ciudadano reticente a adoptar soluciones digitales autónomas pese a existir, un caso claro es la baja adopción de sistemas de mensajería obviamente mucho más seguros y con garantías de privacidad como Signal o Proton Mail frente a Gmail o Whatsapp.


¿Los datos en manos de una gran tecnológica se filtran a otros intereses?

La ley estadounidense otorga al gobierno federal acceso amplio a los datos de las grandes tecnológicas principalmente a través de dos marcos: la CLOUD Act, para datos en investigaciones penales, y la Foreign Intelligence Surveillance Act (FISA), para vigilancia de seguridad nacional. Este acceso es extensivo y va en aumento, aunque encuentra límites técnicos, como el cifrado de extremo a extremo.

La aplicación de estas leyes se traduce en un acceso gubernamental masivo y creciente: Las autoridades estadounidenses son las que más datos solicitan en el mundo a las grandes tecnológicas. Para que nos hagamos una idea, entre los datos disponibles se calcula que 2013 y 2022 solicitaron datos de casi 3.3 millones de cuentas.

Pese a este marco amplio para acceder a la información, existen limitaciones importantes que dificultan el cumplimiento de los deseos federales. El primero y más obvio es el cicifrado como barrera técnica: Leyes como la CLOUD Act pueden obligar a una empresa a entregar datos, solo si esta tiene la capacidad técnica para acceder a ellos. Si los datos están protegidos con cifrado de extremo a extremo (como en iMessage o Signal), y la empresa no tiene la clave, no puede cumplir la orden.

Han llegado a ocurrir incluso situaciones paradójicas como cuando la resistencia corporativa y política han ido de la mano en casos extremos, como cuando el Reino Unido exigió a Apple debilitar el cifrado, el gobierno estadounidense salió en defensa de sus empresas, argumentando que las leyes extranjeras no deben comprometer la seguridad de los productos usados por ciudadanos estadounidenses.

A esto se una la falta de una ley federal de privacidad: A diferencia de la UE, EE.UU. carece de una ley federal integral que regule la recolección y venta de datos personales por parte del sector privado. La protección se basa en un mosaico de leyes sectoriales y estatales (como la CCPA en California), que no restringen directamente el acceso gubernamental.

Resumiendo, el marco legal estadounidense está diseñado para facilitar, antes que restringir, el acceso gubernamental a los datos de las tecnológicas, especialmente para seguridad nacional. Aunque el cifrado ofrece una protección técnica real, existen pocas herramientas realmente accesibles y útiles que conozcan los usuarios y la tendencia es hacia un aumento de las solicitudes y la cooperación empresarial.


7. MITOS Y REALIDADES

El entramado de los Five/Nine/Fourteen Eyes se ha convertido en un imán para narrativas maximalistas: desde la idea de una conspiración total hasta la defensa acrítica de que “si no has hecho nada, no tienes nada que temer”. Desmontar esos extremos y sustituirlos por matices técnicos y jurídicos es clave para un análisis serio.


Mito 1: «Los 14 Ojos son una sociedad secreta que graba y lee todas tus conversaciones»

Realidad: la vigilancia no es omnipresente ni funciona como una sala llena de personas escuchando cada llamada. El núcleo de estas alianzas es la inteligencia de señales (SIGINT): interceptan grandes volúmenes de tráfico (cables submarinos, enlaces satelitales, datos entregados por proveedores) y luego aplican selectores y filtros para encontrar lo que consideran relevante. Programas como PRISM o XKEYSCORE ilustran bien este modelo: primero hay una captación masiva y después una fase de selección mediante palabras clave, identificadores técnicos, patrones de comportamiento, etc.

Esto no significa que “no pase nada” mientras no seas objetivo. El hecho de que el filtrado se apoye en algoritmos y grandes bases de datos implica que una parte del contenido y, sobre todo, de los metadatos (quién habla con quién, desde dónde y cuándo) pueda almacenarse y reconsultarse. Pero es importante desmontar la idea de una omnisciencia absoluta: hay límites técnicos, presupuestarios y humanos, y el verdadero poder del sistema reside menos en “leerlo todo en tiempo real” que en poder buscar selectivamente en enormes archivos cuando alguien se convierte en persona de interés.


Mito 2: «Solo vigilan a terroristas y criminales peligrosos; el ciudadano común no tiene nada que ocultar»

Realidad: la lógica de la vigilancia masiva consiste precisamente en recolectar datos de manera muy amplia —incluyendo a personas sin sospecha previa— para después buscar patrones. Por diseño, el ciudadano común también queda atrapado en esa red.

Esto tiene, como ya has explicado en otro bloque, un impacto directo en forma de efecto gélido: saber (o intuir) que tus comunicaciones pueden ser objeto de análisis desincentiva lecturas, búsquedas o asociaciones perfectamente legítimas, reduciendo de facto el espacio de disenso sin necesidad de censura explícita.

Además, los algoritmos y las bases de datos no son infalibles. Diversos informes sobre la aplicación de la Sección 702 de la FISA muestran abusos y errores sistemáticos en las búsquedas internas sobre datos previamente captados, hasta el punto de que tribunales estadounidenses han declarado inconstitucionales ciertos usos de estas “búsquedas de puerta trasera” sobre ciudadanos. Un usuario puede ser marcado por la combinación de palabras, contactos o ubicaciones que, en contexto, son inocuas, pero que el sistema interpreta como anómalas.

El argumento “no tengo nada que ocultar” minimiza el valor de los metadatos. La literatura académica y los informes institucionales han subrayado cómo, incluso sin contenido, los metadatos permiten reconstruir redes de amistades, afiliaciones políticas o religiosas, problemas de salud, rutinas laborales y familiares, con un nivel de detalle que hubiera sido impensable en generaciones anteriores.


Mito 3: «Estas alianzas operan en un vacío legal total y son completamente ilegales»

Realidad: más que un vacío, se mueven en un terreno gris legal. La mayoría de programas de vigilancia de los países de los 14 Ojos se apoyan en marcos jurídicos domésticos amplios y a menudo poco visibles para el público: en Estados Unidos, la FISA y en particular su Sección 702; en el Reino Unido, la Investigatory Powers Act, que regula la interceptación, la retención de datos y las capacidades de “bulk powers”, entre otras.


El problema no es tanto la ausencia de ley como:

- La opacidad: muchas de estas normas se complementan con directivas secretas, órdenes ejecutivas y decisiones de tribunales especializados cuyos detalles sólo se conocen parcialmente. La Foreign Intelligence Surveillance Court (FISC), por ejemplo, ha sido criticada por funcionar como un foro unilateral, donde el gobierno expone sus argumentos sin contradicción plena, y por autorizar programas de alcance muy amplio que después se aplican con prácticas que han vulnerado derechos constitucionales.

- Los tribunales especiales y la ausencia de contradicción: aunque existen reformas destinadas a introducir amici curiae o cierta transparencia, una buena parte de la jurisprudencia relevante sigue siendo secreta y, por tanto, difícil de escrutar democráticamente.

- El intercambio entre aliados: como explicabas en el bloque jurídico, la cooperación permite que unos Estados obtengan datos sobre ciudadanos de otros y los compartan, sorteando parcialmente las restricciones internas. Los estudios sobre los 14 Ojos (SSEUR) y los informes del Parlamento Europeo sobre vigilancia nacional subrayan precisamente esta dimensión transnacional.

Hablar de “vacío total” es, por tanto, inexacto; hablar de leyes expansivas, poca transparencia y controles limitados es más fiel al panorama actual.

Mito 4: «Usar una VPN te protege completamente de esta vigilancia»

Realidad: una VPN es una buena herramienta de privacidad, pero no un escudo absoluto, y menos frente a servicios de inteligencia con capacidades técnicas y legales avanzadas. Lo que hace una VPN es cifrar el tramo entre tu dispositivo y el servidor VPN, ocultando tu tráfico de tu proveedor de acceso local y de observadores intermedios; a partir de ahí, el tráfico sale hacia Internet desde el servidor VPN.


Esto deja varios flancos abiertos:

- El punto final (la web o servicio al que te conectas) sigue viendo tu actividad. Si ese servicio está sujeto a órdenes de vigilancia, a obligaciones de conservación de datos o a intrusiones técnicas, la VPN no modifica ese hecho.

- La jurisdicción importa, pero no de forma binaria. Un proveedor con sede en un país de los 14 Ojos puede recibir órdenes legales para entregar registros o implementar medidas técnicas; pero también proveedores fuera de esas alianzas pueden ser presionados, hackeados o sometidos a acuerdos de cooperación.

- Existen precedentes de compromisos de servidores, ataques a la infraestructura de VPN y errores de configuración que filtraban datos de usuarios, lo que muestra que la seguridad real depende tanto del diseño técnico y las prácticas del proveedor como de la jurisdicción en sí.

Una VPN eleva el coste de la vigilancia para actores comerciales, delincuentes o Estados con capacidades limitadas, pero no convierte al usuario en invisible frente a una alianza de inteligencia con acceso a grandes proveedores y a técnicas de explotación más sofisticadas.


Mito 5: «Solo los países miembros de los 14 Ojos practican este tipo de vigilancia»

Realidad: la vigilancia masiva es un fenómeno global, no un monopolio de las democracias occidentales.

China ha desarrollado un entramado de censura y vigilancia conocido como Gran Cortafuegos, enmarcado en proyectos más amplios (Golden Shield) y en una industria de tecnologías de control que combina filtrado de contenidos, inspección profunda de paquetes, reconocimiento facial y análisis de datos a gran escala. En regiones como Xinjiang, diversos informes documentan un entorno de monitorización intensiva que incluye aplicaciones obligatorias, cámaras inteligentes y puntos de control físicos.

Rusia opera sistemas como SORM, que permiten a los servicios de seguridad acceder directamente al tráfico de operadores de telecomunicaciones; Irán y Corea del Norte combinan filtrado de contenidos, control de infraestructuras y represión física para mantener un estricto control informacional. Estos modelos suelen funcionar con menos salvaguardas, menor independencia judicial y menor transparencia que los de las democracias liberales.

La diferencia crucial, como señalas, no es tanto “quién vigila más”, sino el marco normativo y político en el que esa vigilancia tiene lugar. Los países de los 14 Ojos se autodefinen como democracias constitucionales, sujetas a cartas de derechos y tratados internacionales que reconocen explícitamente la privacidad y la libertad de expresión. Eso crea una tensión estructural: cuando adoptan prácticas de vigilancia masiva, lo hacen en conflicto con principios que ellos mismos afirman defender.

En regímenes autoritarios, en cambio, la ley suele estar al servicio de la vigilancia y del control político, y la ausencia de controles independientes hace que la frontera entre “seguridad nacional” y represión del disenso se difumine aún más. Señalar este contraste no exime de responsabilidad a los 14 Ojos; al contrario, subraya la incoherencia entre sus valores declarados y ciertas prácticas de inteligencia.


8. UN FUTURO DE TENSIONES PERO SIN RUPTURAS

La alianza Five Eyes, y por extensión los círculos de cooperación más amplios de Nine y Fourteen Eyes, se enfrentan a la crisis de confianza más profunda en décadas debido a las políticas actuales de Estados Unidos. Sin embargo, su colapso o disolución no es el escenario más probable. La situación se caracteriza por una tensión extrema que no llega a la ruptura, sostenida por una dependencia mutua demasiado crucial como para abandonarla.

La presión más grave proviene de una erosión de la confianza, que es el fundamento mismo de esta alianza de inteligencia. Las percepciones de un Estados Unidos impredecible o que actúa de forma unilateral han llevado a sus socios a cuestionar su fiabilidad como compañero de inteligencia. Esto se materializa en gestos concretos, como el aumento de la clasificación de información como NOFORN (No para Extranjeros), que restringe el flujo incluso a los aliados más cercanos, y en desacuerdos estratégicos abiertos, como la presión de EE.UU. para que sus socios excluyan a la empresa china Huawei de sus redes 5G, una directriz que no todos siguieron de igual manera.


A pesar de estas grietas, la alianza demuestra una resiliencia formidable. Esta se basa en varios pilares irremplazables. El primero es la dependencia operativa mutua y profundamente arraigada. La inteligencia de señales (SIGINT), la cibernética y otras formas de datos que se comparten no son un favor, sino una necesidad de seguridad nacional para todos los miembros. Estados Unidos, aun siendo el socio mayor, depende críticamente de las capacidades geográficas y técnicas únicas del Reino Unido, Canadá, Australia y Nueva Zelanda.


En segundo lugar, existe una infraestructura e inversión conjunta de décadas que es casi imposible de replicar. Los lazos no son solo entre gobiernos, sino entre las agencias de inteligencia técnicas, que han construido sistemas y estándares comunes. Proyectos estratégicos de largo alcance, como el pacto AUKUS para proveer submarinos nucleares a Australia, subrayan un compromiso a futuro que va más allá de los ciclos políticos.


Finalmente, la percepción de amenazas comunes actúa como un poderoso cemento. Ante el desafío estratégico de potencias como China y Rusia, y frente a amenazas transnacionales como el cibercrimen (donde la cooperación Five Eyes ha sido clave en operaciones como la contra la red LockBit), la necesidad de un frente coordinado pesa más que los desacuerdos internos.

En cuanto a los círculos externos de Nine Eyes y Fourteen Eyes, su situación es diferente. Al no ser un pacto formal con el mismo nivel de integración que el núcleo Five Eyes, sino marcos de cooperación más amplios, estos países europeos tienen una relación más flexible. Una fractura grave en Five Eyes los afectaría, pero también podría impulsarlos a fortalecer sus propios mecanismos de inteligencia dentro de la Unión Europea.


Sin duda Fourteen Eyes está sometida a un estrés sin precedentes que reduce su cohesión y eficiencia, pero su valor práctico, interdependencia y la inercia institucional hacen que una ruptura total sea muy improbable a corto plazo. El escenario más factible es una adaptación pragmática: una cooperación más transaccional y compartimentada, donde la confianza ya no se da por sentada pero la necesidad imperiosa de colaborar prevalece y va a continuar durante años probablemente.

Asistiremos eso sí, a una mutación gradual a grupos más desconfiados e independientes con nuevas alianzas, donde las líneas poco a poco marcadas se difuminarán creando otras nuevas, es posible que la actual política americana haya alcanzado un punto sin retorno en el marco de la seguridad y la vigilancia, pero tardaremos en ver las consecuencias, de lo contrario el frágil equilibrio en el que vivimos podría tambalearse de un modo que prácticamente a nadie convendría.  

Descarga desde aquí una copia del informe en PDF:
​

14_ojos_-feb_2026_-_jp_castillo.pdf
File Size:	359 kb
File Type:	pdf

Descargar archivo

---

Autor: Juan Pablo Castillo Cubillo
Edición: Manuela González
Informe propiedad de los autores y ACUDESIC-Quantum Babylon. Las imágenes presentes en los artículos e informes de películas, series, videojuegos u otras temáticas son propiedad de las productoras, distribuidoras o estudios correspondientes. Excepto allí donde se establezcan otros términos, el contenido de esta página es propiedad de los autores, las imágenes sin autoría de estos son bajo licencia, están libres de derechos o están autorizadas bajo la licencia Creative Commons correspondiente, cualquier obra de terceros con variantes de esta licencia debe respetar dichas condiciones, en cada caso particular, donde se especifique o como consta en la información adicional. La publicación de cualquier imagen o contenido de 3eros en esta web no alterará de ningún modo su licencia original. Si usted considera que algún contenido vulnera los derechos de autor compruebe la página de reconocimientos y póngase en contacto con nosotros para su rectificación o retirada de acuerdo a la legislación vigente