Por qué el nuevo carnet digital del Gobierno para ver porno es un "absoluto sinsentido"

Identificarte con tu DNI electrónico justo antes de ver un vídeo porno en internet. En 2024. Es el nuevo plan del Gobierno presentado ayer por el ministro de Transformación Digital, José Luis Escrivá, que ha descolocado no solo a los ciudadanos, también a muchos especialistas en cifrado, privacidad y gestión de identidad online. El proyecto, aun en fase de desarrollo, estará "disponible para todos los ciudadanos antes del final del verano", aseguró Escrivá. El objetivo es evitar que menores de 18 años accedan a contenido pornográfico en internet, para lo cual se hace necesario establecer un mecanismo de verificación de edad. Sin embargo, el método escogido por el Gobierno adolece, según diversos expertos, de fallos técnicos y de planteamiento tan básicos que harán el sistema totalmente inefectivo.

Imagina la situación. Dentro de unos meses, la próxima vez que accedas a una página web porno, es probable que aparezca un mensaje en la pantalla que te pida verificar tu edad. Tendrás que escanear un código QR usando una aplicación previamente configurada para verificar que eres quien dices ser y, sobre todo, que tienes la edad que aseguras tener. Será algo parecido a identificarse para presentar la Renta o realizar cualquier otra gestión con la administración, pero ahora para ver vídeos porno. La iniciativa ha suscitado todo tipo de dudas éticas, técnicas y legales.

El ministro Escrivá ha justificado el plan, que arrancará como un anteproyecto de ley, por la necesidad de atajar el problema del acceso al porno entre menores. "Los datos que vemos sobre el acceso de menores a contenidos para adultos y sus posibles consecuencias son los que nos han llevado a desarrollar esta herramienta con la máxima celeridad", dijo. Según los datos del Ministerio del Interior y del Ministerio de Juventud e Infancia, 7 de cada 10 adolescentes consumen pornografía de forma regular y el primer acceso se produce entre los 9 y los 11 años. Son datos "preocupantes", señaló Escrivá. "Las consecuencias de este acceso a contenidos para adultos son muy graves y nos implican a todos".

Para intentar limitar este acceso, el ministerio de Transformación Digital ha ideado una aplicación llamada Cartera Digital (de momento en fase de prueba, o beta) que almacena la verificación de tu mayoría de edad. Tendrás que descargarla y configurarla de forma previa usando tu DNI electrónico, certificado electrónico o el sistema Cl@ve para demostrar que eres mayor de edad. Cuando entres a una página porno, esta automáticamente te mostrará un código QR. Lo escanearás con la app Cartera Digital, el sistema verificará que, efectivamente, eres mayor de edad, y te dejará entrar. Esa es la teoría. En la práctica, las tripas del sistema destapan muchos recelos.

El primero de ellos es muy básico. El Ejecutivo asegura que, de momento, solo afectará a páginas web porno radicadas en España. Circunvalar este sistema es tan sencillo como ubicar tu sede central en otro país. "Te puedes ir Gibraltar si quieres. Da igual. Cambiar tu sede va a ser mucho más sencillo para las empresas de contenidos porno que cumplir con esta obligación de verificar edad. Muchas de ellas ya usan solo infraestructura en la nube, les da igual radicarse aquí o más allá", explica a El Confidencial Ramón Medrano, especialista en privacidad y seguridad online en una 'big tech'. "Piensa en el usuario, tendrá dos opciones, entrar en una web porno que le pide verificar edad, y en otra que no. ¿Cuál va a usar? Está claro. Ninguna página tendrá incentivo para cumplir".

Otros especialistas en proyectos tecnológicos gubernamentales advierten del mismo problema básico de planteamiento. "La idea de tener una cartera digital donde puedas almacenar documentos oficiales es muy útil. Es un servicio. Nada que objetar. Pero si hablamos de verificar tu edad para acceder o no a sitios porno, empiezan los problemas", explica Jaime Gómez-Obregón, ingeniero especializado en administración pública. "Hablamos de un Estado lanzándose a resolver un problema que, primero, no va a poder resolver y que, además, va a generar nuevos problemas por el camino", explica.

Gómez-Obregón alude a la forma en la que el Gobierno quiere atajar este asunto: creando listas blancas de páginas porno que han implantado sistemas de verificación de edad. Si cumplen con la ley, el Gobierno las incluiría en una especia de listado de confianza. Si no, a la lista negra. "Hablamos de listas blancas y negras de empresas gestionadas por organismos gubernamentales. Esto es inquietante, distópico y muy ineficiente. Hay formas mucho más sencillas y efectivas de atajar este problema", apunta.

Puerta abierta al perfilado de usuarios

Además del planteamiento de base erróneo (el eterno problema de 'poner puertas al campo'), los especialistas consultados señalan varios problemas tras analizar las especificaciones técnicas.

"El Gobierno asegura que el móvil genera una clave privada que nunca sale del dispositivo. Pero hay un servidor central externo de la administración que es el que verifica y notariza tu mayoría de edad. No hay información de cómo hace esa notarización, ni qué datos almacena. Además, se generan lotes de 30 credenciales durante 30 días, pero el proveedor de contenidos para adultos solo ve un identificador único por usuario. Y, por si fuera poco, ese identificador no está cifrado, va en texto plano. Dicho de otra forma: no hay nada que impida a las páginas web porno crear bases de datos con perfiles de usuarios. Cuando alguien hackee esos sistemas, y va a ocurrir, siempre ocurre, tendrás un grave problema de privacidad, se podrá unir DNI, con nombres, direcciones y hábitos de consumo de porno online".

En la información técnica compartida, hay otro aspecto que dispara las alarmas: el uso de un protocolo llamado OID4VP (OpenID for Verifiable Presentations, en sus siglas en inglés). "OpenID se emplea, por ejemplo, para entrar en páginas web o aplicaciones usando tu correo de Gmail sin tener que teclear contraseñas. Pero, mal implementado, da unos problemas enormes de ciberseguridad y privacidad, como secuestro de sistemas, spam... El escándalo de Cambridge Analytica de Facebook en 2018 se basó en este protocolo. Dependiendo de cómo lo integres, puede ser una buena opción o no. Pero si lo vas a añadir a un castillo de naipes como el carnet digital, es un absoluto sinsentido", dice Medrano. Y pone otro ejemplo, el tiempo de validez de las credenciales, 30 días. "En otras implementaciones de OpenID, como mucho se deja una validez de 5 minutos".

Además del planteamiento base y el desarrollo técnico, hay un frente legal y ético que también plantea dudas. "Partimos del supuesto de que cualquier persona está de acuerdo en que hay que impedir el acceso al porno a los menores con la facilidad que tienen hoy en día", argumenta Samuel Parra, abogado especializado en privacidad en internet. "La cuestión es que esa cartera virtual se puede aplicar en el futuro a muchas más cosas y eso puede acabar traduciéndose en un mayor control de los ciudadanos, sin que estos sean del todo conscientes porque se ha hecho en un inicio con un fin lícito". Esas "muchas más cosas" a las que alude Parra ya tienen nombre: el propio Gobierno reconoce que en un futuro quiere que aplicaciones de mensajería como WhatsApp o Telegram, redes sociales como TikTok o Facebook y navegadores como Chrome usen este mismo sistema.

El revuelo que ha generado la iniciativa del Gobierno en las últimas horas ha sido tal que han surgido extraños argumentos a favor y en contra del plan. Uno de estos argumentos a favor es que, en teoría, los operadores de telecomunicaciones ya podrían saber si nos conectamos o no a páginas porno. No hay nada nuevo, dicen.

"Es cierto que un teleoperador va a saber a qué web se conecta una línea, pero no puede saber cuál de todos los miembros de la casa se ha conectado al sitio pornográfico. Además, no almacena los datos. Lo que propone el Gobierno es un salto cualitativo en el control de la actividad de los usuarios en la red”, apunta el letrado. Sobre el uso de VPN, una alternativa muy comentada en las últimas horas, este experto también lanza un aviso. “Hay que tener mucha precaución, especialmente con las gratuitas. Hay que pensar que les está dando información muy valiosa al llevar el tráfico a través de estos canales y, una vez estás dentro, es difícil saber qué ocurre con tus datos”, añade.

¿Se puede verificar la edad con garantía?

Especialistas como Medrano, Gómez-Obregón o Parra coinciden en que solo hay dos formas efectivas de que un sistema como el planteado por el Gobierno funcione: exigirlo a todas las páginas web y apps, sean porno o no, algo casi imposible de lograr, o intervenir el tráfico a nivel operador, algo ilegal sin autorización judicial. "En lugar de tener a un Estado ocupándose de estas cosas, lo más lógico y sencillo es concienciar a los padres de usar el modo parental en los dispositivos que usen sus hijos. Son funciones disponibles en todos los aparatos que te permiten que los menores solo accedan a un número limitado de apps", explica Medrano.

"En lugar de tener a un Estado ocupándose de estas cosas, lo más lógico es concienciar a los padres de usar el modo parental en los dispositivos que usen sus hijos".

"Si el Gobierno dificulta el acceso a la pornografía, lo que va a ocurrir al día siguiente es que se abrirá una nueva vía para compartirla, a través de WhatsApp, Telegram, por email... No sirve de nada dificultar el acceso si no dificultas también la difusión. La educación a los menores de la propia familia, y no del Estado, es sin duda lo más eficaz en este asunto", dice Gómez-Obregón. El Ejecutivo ha explicado que el proyecto de Cartera Digital es en el fondo el primer paso para traer a España la nueva ley de la UE, llamada eIDAS (Electronic Identification and Trust Services) que, entre otras cosas, obliga a proteger a los menores en internet. Numerosos especialistas de cifrado en Europa, sin embargo, ya han advertido que el protocolo europeo eIDAS no es lo suficientemente seguro ni privado.

El ministro José Luis Escrivá está convencido de que al final del verano el carnet digital para consumir porno, o 'pajaporte', como ya lo han bautizado en broma en redes sociales (canción incluida), entrará en funcionamiento. Fuera del ministerio hay muchas más dudas. "Esto va a pasar igual que con la app radar covid. ¿Te acuerdas?", dice Medrano. "Lo venden como revolución y acabará olvidado en una esquina".