Veinticinco años después del 11 de septiembre: los poderes de emergencia que nunca volvieron a casa

Hace veinticinco años, un día como hoy, los gobiernos empezaron a construir los sistemas de vigilancia dentro de los que ahora vivimos, y casi todos ellos se anunciaron como temporales. Algunos llevaban fechas de caducidad en el texto. Francia escribió una en la ley: el 31 de diciembre de 2003. El Congreso añadió cláusulas de extinción a las secciones más discutidas de la PATRIOT Act. El argumento en el otoño de 2001, en Washington, en París y en Londres, era que un momento extraordinario exigía poderes extraordinarios, y que el momento pasaría.

No pasó. La forma más clara de ver qué le hizo el 11 de septiembre a la privacidad digital no es releer los discursos de 2001. Es leer las cifras que esos mismos gobiernos han publicado este año.

¿Qué cambió realmente en las semanas posteriores al 11 de septiembre de 2001?

Ocurrieron tres cosas casi al mismo tiempo, y solo una de ellas fue pública entonces.

El 4 de octubre de 2001, el presidente Bush firmó un memorando titulado «Authorization for Specified Electronic Surveillance Activities During a Limited Period to Detect and Prevent Acts of Terrorism Within the United States», es decir, la autorización de determinadas actividades de vigilancia electrónica durante un periodo limitado para detectar e impedir actos de terrorismo dentro de Estados Unidos. Ese programa, conocido después con el nombre en clave de Stellar Wind, autorizaba la captación dentro de Estados Unidos sin las órdenes judiciales que exigía la Foreign Intelligence Surveillance Act. Se reautorizó repetidamente, más o menos cada 30 o 45 días, y no se hizo público hasta más de cuatro años después. Fíjate en la expresión «During a Limited Period», durante un periodo limitado, en el título del propio documento.

El 26 de octubre de 2001 se firmó la USA PATRIOT Act en el Jardín de las Rosas. La Cámara la aprobó por 357 votos contra 66 y el Senado por 98 contra 1, con el senador Russ Feingold como único voto en contra. La sección 215 permitía al FBI exigir la entrega de «cualquier cosa tangible» pertinente para una investigación antiterrorista. La sección 505 amplió las national security letters, requerimientos administrativos que no necesitan juez y que venían acompañados de una orden de silencio que prohibía al destinatario decir que había recibido una.

Y a principios de 2002 el Pentágono creó la Information Awareness Office bajo la dirección de John Poindexter, cuyo programa Total Information Awareness proponía volcar registros financieros, de viajes, médicos y de comunicaciones en un único sistema consultable. Aquello fue demasiado lejos y demasiado a la vista. Una conferencia de apropiaciones entre la Cámara y el Senado votó el 24 de septiembre de 2003 retirarle la financiación. Varios de sus proyectos de investigación se trasladaron a otros puntos de la comunidad de inteligencia y continuaron con otros nombres, que es el patrón que conviene recordar: el programa con el mal nombre murió, la capacidad no.

Europa se movió con el mismo reloj. La loi relative à la sécurité quotidienne francesa, publicada en el Journal Officiel el 16 de noviembre de 2001, obligaba a los operadores de telecomunicaciones a conservar los datos de tráfico durante un plazo de hasta un año para la investigación y persecución de delitos. Su capítulo V, que contiene esa disposición, se adoptó «pour une durée allant jusqu’au 31 décembre 2003», es decir, por un plazo que llegaba hasta el 31 de diciembre de 2003. La Anti-terrorism, Crime and Security Act británica recibió la sanción real el 14 de diciembre de 2001, con una parte 11 que creaba un régimen de conservación de datos de comunicaciones, voluntario al principio, con un poder de reserva para hacerlo obligatorio.

¿Por qué siguen existiendo en 2026 estos poderes «temporales»?

Porque un poder temporal construye una institución a su alrededor, y la institución sobrevive al plazo.

Francia lo muestra con más claridad, porque la fecha de caducidad estaba escrita en la ley y podemos seguir exactamente qué fue de ella. El plazo de 2003 no se derogó de un solo golpe. Se prorrogó hasta finales de 2005, luego se mantuvo con la ley antiterrorista de 2006, y después se amplió otra vez en 2008 hasta 2012, momento en el que ya nadie fingía que el dispositivo fuera provisional. Tres prórrogas sucesivas, cada una de mero trámite, y la obligación de conservación de un año se instaló en el derecho francés como elemento permanente. Cuando el Tribunal de Justicia de la Unión Europea dejó claro que la conservación general e indiferenciada era incompatible con el derecho de la Unión, el Conseil d’État resolvió el 21 de abril de 2021 que «la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale», o sea, que la conservación generalizada que el derecho francés impone hoy a los operadores está justificada por una amenaza para la seguridad nacional. Conviene enunciar el razonamiento sin rodeos: la conservación generalizada es lícita porque existe una amenaza para la seguridad nacional, y el gobierno debe reexaminar periódicamente si la amenaza sigue existiendo. Una emergencia permanente, sujeta a revisión.

La historia a escala europea sigue el mismo curso con más drama judicial. La Directiva de conservación de datos se adoptó el 15 de marzo de 2006, tras los atentados de Madrid y Londres, obligando a los Estados miembros a exigir la conservación de metadatos de comunicaciones. El Tribunal de Justicia la anuló el 8 de abril de 2014 en Digital Rights Ireland, al considerar que suponía una injerencia de gran amplitud y especial gravedad en los derechos fundamentales, no limitada a lo estrictamente necesario. Doce años después, la Comisión está redactando una nueva. Su estrategia ProtectEU de abril de 2025 puso en marcha una evaluación de impacto sobre la conservación de datos por parte de los proveedores de servicios para procedimientos penales, con una propuesta legislativa prevista durante 2026 que abarcaría metadatos como direcciones IP y registros de abonados en un abanico de proveedores más amplio que el de la directiva anulada por el Tribunal.

La versión estadounidense de la permanencia es aún más extraña, y ocurrió hace tres meses.

La sección 702 expiró en junio de 2026. ¿Por qué sigue funcionando?

La sección 702 de la FISA es la autorización que más importa a cualquiera que use un servicio de internet estadounidense. Permite la captación sin orden judicial dirigida a personas no estadounidenses de las que razonablemente se cree que están fuera de Estados Unidos, a partir de proveedores situados en Estados Unidos. Las comunicaciones mantenidas con esos objetivos también se recogen. Así es como las cuentas de personas que nunca fueron objetivo acaban en una base de datos que después puede consultarse.

El Congreso no logró acordar si el FBI debía necesitar una orden judicial antes de consultar esa base en busca de las comunicaciones de un estadounidense. Llegó el plazo y no se aprobó nada. La sección 702 expiró a medianoche del viernes 12 de junio de 2026, tras una serie de prórrogas breves, entre ellas una de diez días en abril.

La captación no se detuvo. Al amparo de las disposiciones transitorias de la FISA Amendments Act, las adquisiciones autorizadas por certificaciones y directivas ya en vigor continúan hasta que esas certificaciones expiren. El Tribunal FISA aprobó las certificaciones actuales en marzo de 2026. El efecto práctico es que una ley que expiró en junio de 2026 autoriza vigilancia hasta marzo de 2027, y el plazo operativo para el Congreso lo fija ahora el calendario de certificaciones de un tribunal, y no la fecha de extinción que el propio Congreso se escribió.

De todo lo que contienen veinticinco años de derecho de la vigilancia, este es el dato que pondría delante de cualquiera que aún crea que el pacto de 2001 traía una salida incorporada. La cláusula de extinción era la salvaguarda. Era la promesa de que los poderes de emergencia se revisarían y podrían terminar de verdad. En junio de 2026 ese mecanismo se puso a prueba en serio. Decayó, y la vigilancia siguió.

¿Es de verdad mayor la vigilancia ahora que en 2001?

Sí, y la fuente es la contabilidad anual de la propia comunidad de inteligencia. La ODNI publicó en abril de 2026 su decimotercer Annual Statistical Transparency Report, referido al año natural 2025.

Las cifras de consultas del FBI se comunican por periodos que van de diciembre a noviembre, no por años naturales.

El número de objetivos es el titular. Ha subido cada año de los recogidos aquí, y la cifra de 2025, 349.823, es la mayor jamás publicada, un aumento de alrededor del 20% en un solo año. La ODNI atribuye las variaciones de un año a otro a las prioridades de captación, los acontecimientos mundiales, las capacidades técnicas y el comportamiento de los objetivos, entre otros factores.

Las cifras de consultas del FBI cuentan una historia más interesante de lo que sugiere la caída bruta. El desplome de 119.383 a 5.518 siguió a las reformas de 2024 de la Reforming Intelligence and Securing America Act, y la ODNI lo atribuye a controles técnicos y a la cautela individual. Pero la cifra de 2025 repuntó hasta 7.413. Más revelador aún, la División de Seguridad Nacional del Departamento de Justicia constató en agosto de 2024 que el FBI usaba una función de filtrado avanzado para buscar comunicaciones de personas estadounidenses que no trataba como consulta y que, por tanto, no contabilizaba. El inspector general del Departamento documentó el episodio en 2025, y la función no se desactivó hasta principios de ese año. Una estadística que depende de la definición que una agencia da a la palabra «consulta» es una cifra más débil de lo que parece.

Las national security letters son el gigante silencioso. En 2025 el FBI emitió 8.865, con 29.203 solicitudes de información distintas. No son resoluciones judiciales. Ningún juez las revisa antes de emitirlas.

¿Y la vigilancia que nadie legisló?

El cambio más significativo desde 2001 no es ninguna ley concreta. Es que el volumen de datos sobre la vida corriente creció más deprisa que cualquier norma que regulara el acceso a ellos.

En 2001, seguir los movimientos de una persona exigía seguir a la persona. Hoy el historial de ubicaciones existe por defecto, generado por un teléfono, conservado por una empresa. En junio de 2023, en respuesta a una solicitud de acceso a la información, la ODNI desclasificó un informe de enero de 2022 sobre la información disponible comercialmente, que reconocía que la comunidad de inteligencia compra datos sobre estadounidenses a intermediarios comerciales y advertía de que esa información «could facilitate blackmail, stalking, harassment, and public shaming», es decir, que podría facilitar el chantaje, el acecho, el acoso y el escarnio público. No interviene ninguna orden judicial. Los datos se compran.

La frontera es el otro lugar donde la arquitectura jurídica de 2001 se encontró con el teléfono inteligente de 2026. El Servicio de Aduanas y Protección Fronteriza informa de 55.318 registros de dispositivos electrónicos en el ejercicio fiscal 2025, un 17,6% más que los 47.047 del año anterior. 50.922 fueron registros básicos, que no requieren sospecha alguna. 13.590 afectaron a ciudadanos estadounidenses. La excepción fronteriza es muy anterior a 2001, pero se escribió para maletas, y un teléfono no es una maleta.

Los aeropuertos muestran hasta qué punto la postura de 2001 se convirtió en la norma. La tecnología de comparación facial de la TSA opera ya en unos 350 aeropuertos de todo el país, y la agencia afirma que los viajeros «may decline the optional photo, without recourse», que pueden rechazar la fotografía, opcional, sin consecuencia alguna. La mayoría de la gente no lo sabe, porque un sistema presentado como rutina rara vez se cuestiona.

¿Cambió algo de esto la forma de comportarse de la gente?

Esta es la parte que suele afirmarse y rara vez se mide. En 2016, Jonathon Penney publicó en el Berkeley Technology Law Journal un estudio que examinaba el tráfico de Wikipedia antes y después de las revelaciones de junio de 2013 sobre los programas de vigilancia de la NSA. Halló que la media mensual de visitas de los cuarenta y ocho artículos relacionados con el terrorismo que siguió cayó alrededor de un 19,5% después de junio de 2013, y un modelo de regresión situaba la caída inmediata en más del 30% del total de visitas.

Nadie fue detenido por leer un artículo de Wikipedia. Ese es exactamente el punto. Un sistema de vigilancia no necesita usarse contra ti para cambiar lo que estás dispuesto a consultar. Basta con saber que existe, y el coste recae sobre personas que no han hecho nada malo.

También explica por qué es tan difícil discutir este pacto con honestidad. Los beneficios de la vigilancia son concretos y fáciles de anunciar. Los costes se reparten de forma difusa entre millones de personas que nunca sabrán qué búsqueda decidieron no hacer. Los tribunales que acabaron examinando el programa construido a partir de la sección 215 no quedaron impresionados por los beneficios. El Segundo Circuito resolvió en ACLU v. Clapper, el 7 de mayo de 2015, que la ley nunca había autorizado la recogida masiva de registros de llamadas. El Noveno Circuito fue más lejos el 2 de septiembre de 2020 en United States v. Moalin, al concluir que la recogida masiva vulneraba la FISA y podía ser inconstitucional. La propia sección 215 decayó el 15 de marzo de 2020. El programa que sirvió para justificarla funcionó catorce años antes de que un tribunal de apelación llegara a la cuestión de si la ley lo permitía.

¿Qué significa todo esto para quien lo está leyendo?

Veinticinco años ofrecen una imagen clara de lo que la acción individual puede y no puede hacer.

No puede deshacer la arquitectura jurídica. Ningún producto de consumo cambia lo que obliga una national security letter, lo que puede inspeccionar un agente de fronteras o lo que autoriza una certificación del Tribunal FISA. Quien comercializa una herramienta como protección frente a un Estado está describiendo un producto que no existe.

Lo que sí alcanzan las decisiones individuales es la capa comercial y cotidiana de recogida de datos que creció junto a la jurídica. Esa capa toca a casi todo el mundo y está regulada por muy poco. El tráfico en una red que no controlas es visible para quien la gestiona, y normas de conservación como la obligación francesa de un año recaen sobre los proveedores de acceso a internet. Cifrar la conexión entre tu dispositivo y un servidor VPN significa que el operador de la red ve un túnel en lugar de una lista de destinos. Ese beneficio es real, y también tiene límites, y las dos mitades de esa frase importan. Le VPN se fundó en París en noviembre de 2010, guarda registros de conexión, no registros de actividad, admite hasta 10 conexiones simultáneas y ofrece una garantía de devolución del dinero de 30 días en la primera compra.

La otra lección tiene que ver con los plazos, y no es alentadora. La fecha de caducidad francesa venció en 2003 y el poder se quedó. La sección 215 llegó hasta 2020, momento en el que el programa que justificaba llevaba ya catorce años en funcionamiento. La sección 702 venció hace tres meses y la captación continúa al amparo de una certificación judicial hasta 2027.

Dos decisiones van a marcar el próximo tramo. El Congreso tiene que volver sobre la sección 702 antes de que esas certificaciones decaigan en marzo de 2027, y la Comisión Europea debe poner sobre la mesa su propuesta de conservación de datos. Ambas merecen seguirse de cerca, porque deciden si la emergencia que empezó un martes por la mañana de septiembre de 2001 se discute por fin en cuanto al fondo, o simplemente se renueva una vez más mientras nadie mira.

Para una visión más amplia de cómo se desarrollaron estas herramientas, consulta nuestra guía de privacidad en línea, cómo funciona el cifrado fuerte y los servidores VPN en Estados Unidos. Nuestro blog cubre la nueva legislación de vigilancia a medida que avanza.