# Cuarenta y cinco minutos que nadie pudo ver

**Deck:** Una niña de 13 años murió durante una transmisión de vídeo en directo en cuyo interior Discord no podía ver. La autoridad brasileña de protección de datos ordenó apagar esa función para todos los usuarios del país y definió lo que prohibía en parte por el hecho de que está cifrado. En la página ocho del expediente que su propia orden adopta como razonamiento —una página publicada como imagen, con una barra negra en la parte superior— la agencia dice que el cifrado no fue lo que falló.

**By:** Redacción de URnetwork
**Dateline:** San Francisco — 15 de agosto de 2026
**Category:** Noticias / Análisis

---

El 22 de julio, en una casa de Naviraí, en el estado brasileño de Mato Grosso do Sul, una niña de 13 años
se quitó la vida durante una transmisión de vídeo en directo que duró unos cuarenta y cinco minutos.

Quienes la miraban llevaban semanas preparándola para ello. El laboratorio federal de ciberoperaciones de
Brasil contó después a la prensa que el grupo había abierto una cuenta PIX —una clave de transferencia
bancaria instantánea— a nombre de la niña sin que su madre lo supiera, y le había enviado dinero para
comprar hojas de afeitar.

La Polícia Civil de Mato Grosso do Sul puso su nombre a la investigación. La **Operação Lívia** se presentó
en Brasilia el 4 de agosto: cinco adolescentes de entre 13 y 17 años detenidos y un presunto cabecilla que
es un niño de 14. La policía dijo además que había localizado a un segundo menor, en otro estado, cuya
propia muerte retransmitida en directo ya estaba programada, y que lo había impedido.

El Gobierno dijo también qué creía que había hecho mal la plataforma. Victor Fernandes, secretario nacional
de derechos digitales del ministerio de Justicia, enumeró tres fallos: Discord no cortó la transmisión, no
retiró el contenido de inmediato y no avisó a las autoridades. Anunció una remisión a la **ANPD**, la
autoridad brasileña de protección de datos, que también hace cumplir el **ECA Digital**, la ley de
protección de la infancia en internet que entró en vigor en marzo.

Discord dice que eliminó el canal y suspendió las cuentas implicadas en menos de veinticinco minutos. Lo
que nadie discute es qué puso en marcha ese reloj: un aviso de la policía.

La remisión llegó el 7 de agosto. Cinco días después había una orden.

## El paréntesis

A las 10:21 de la mañana del 12 de agosto, Fabrício Guimarães Madruga Lopes, superintendente de
Fiscalización de la ANPD, firmó tres páginas tituladas *Despacho Decisório nº 3/2026/SFI*. El despacho
suspende, para todos los usuarios de Brasil, la función **Go Live** de Discord: el botón que emite la
pantalla o la cámara del usuario dentro de un canal de voz. Suspende también cualquier otra función de
vídeo y de compartición funcionalmente equivalente
*"(**com criptografia de ponta a ponta** e supervisionados por mecanismos equivalentes aos adotados no
âmbito da funcionalidade 'Go Live')"*: con cifrado de extremo a extremo y supervisadas por mecanismos
equivalentes a los adoptados para Go Live.

Go Live queda prohibida por su nombre. El paréntesis es la vía por la que la orden va más allá de ella, y
pide dos cosas a la vez: que una función esté cifrada y que esté supervisada por mecanismos equivalentes a
los adoptados para Go Live. Ambas condiciones —pero una de ellas es una propiedad criptográfica, y eso es
nuevo. El razonamiento público de la agencia
concuerda con él: Discord no tiene acceso al contenido de las transmisiones de vídeo mientras se están
produciendo y, por tanto, no puede detectar una infracción en tiempo real.

La cláusula siguiente rebasa el botón y llega a la fontanería. Se detienen la retransmisión, el espejado y
la compartición de pantalla, ya sea mediante funciones nativas o mediante bots, webhooks, API y
automatizaciones. Discord debe además implantar medidas técnicamente eficaces contra la elusión: por
cambio de nombre de la función, por dominios intermedios, por códigos de invitación, por redirecciones. Se
prohíbe el cambio de nombre antes de que nadie lo haya propuesto.

La suspensión dura hasta que la empresa demuestre que las medidas funcionan y obtenga, además, la
autorización previa y expresa de la agencia para volver a encender la función.

## Está cifrado de verdad

Desde septiembre de 2024, Discord viene migrando la voz y el vídeo a un protocolo que llama **DAVE**,
construido sobre Messaging Layer Security y revisado por la empresa de seguridad Trail of Bits. Su propia
descripción del alcance incluye las **transmisiones de Go Live**.

Ese es el relato que la empresa hace de su propio producto, y el expediente del regulador lo acepta. La
nota técnica de la ANPD fija la fecha en que el protocolo llegó al vídeo en directo: el 2 de marzo de 2026,
después de que se aprobara el ECA Digital y quince días antes de que entrara en vigor. La agencia no llega
a decir que Discord cifrara Go Live para adelantarse a la ley. Coloca las dos fechas una al lado de la
otra.

## Las páginas que son imágenes

La orden de tres páginas decide, pero no argumenta. Sus motivos están tomados en bloque de una nota técnica
de dieciocho páginas firmada esa misma mañana a las 10:06 y refrendada a las 10:11 —diez minutos antes de
la orden—, que la agencia publicó en una versión pública con las páginas siete y ocho aplanadas en
imágenes, porque esas páginas llevan rectángulos negros sobre lo que Discord contó al regulador acerca de
cómo funcionan sus sistemas de seguridad. Si se le piden esas dos páginas a un extractor de texto, no
devuelve absolutamente nada. Esta redacción las rasterizó y las leyó como imágenes.

Los sistemas proactivos de Discord, consigna la nota, no analizan el contenido de la voz y el vídeo
privados, porque esas funciones van cifradas de extremo a extremo. La empresa puntúa en su lugar servidores
y cuentas por su comportamiento, y la nota concluye que esa puntuación no estuvo ni cerca de marcar este
servidor.

Y entonces llega la frase que desestabiliza toda la orden:

> *"Não se trata, portanto, de mera delimitação técnica decorrente do uso da criptografia, mas de falha no
> próprio modelo de detecção baseado nos sinais comportamentais, que não foi capaz de identificar como
> prioritário um ambiente que já reunia indícios de risco alto."*

No se trata, por tanto, de un mero límite técnico derivado del uso del cifrado, sino de un fallo del propio
modelo de detección, que no fue capaz de identificar como prioritario un entorno que ya presentaba indicios
de riesgo alto.

El regulador consideró el argumento de que el problema era el cifrado y lo rechazó: en la página ocho, bajo
una barra negra, en el documento que su propia orden adopta como motivación. Diez minutos más tarde, en la
propia orden, el texto dispositivo alcanza otros productos preguntando, en parte, si están cifrados.

![Dos documentos de la ANPD de la mañana del 12 de agosto de 2026: la nota técnica, refrendada a las 10:11, cuyo párrafo 5.14 dice que el fallo no fue el cifrado, sino el modelo de detección por comportamiento, y la orden de las 10:21, que suspende cualquier función de vídeo equivalente que esté cifrada de extremo a extremo.](https://ur.io/blog/2026-08-15-01/figure-ten-minutes.png)

## La seguridad que funciona a base de denuncias necesita un testigo

Nada de esto hace débil a la orden, y el caso que hay detrás es sólido.

Un mecanismo de denuncia necesita a alguien presente que no esté implicado, que pueda actuar, que sepa que
el mecanismo existe y que confíe en que la empresa lo usará a tiempo. En un servidor privado montado para
este fin, esa persona no existe. La respuesta de Discord a un umbral de alerta más bajo fue que produciría
más falsos positivos; la réplica de la agencia es que, cuando el riesgo es una lesión grave o la muerte de
un menor, el coste de un falso negativo es incomparablemente mayor que el de mandar un servidor más a
revisión humana.

Y la ANPD no sacó a Discord del aire, que es lo que Janja da Silva, primera dama de Brasil, había exigido
en público días antes. Suspendió una función, dejó todo lo demás funcionando y escribió el camino de vuelta
dentro de la propia orden.

## El lunes

La orden da a Discord tres días hábiles para presentar una declaración, firmada por un representante legal
*y* por un responsable técnico, que acredite que la suspensión es completa en todo Brasil y que indique la
fecha, la hora, los sistemas y las versiones implicadas.

El reloj no empieza a correr con la firma. Ambos plazos —los tres días y los diez días hábiles para
recurrir— arrancan con la notificación formal, y esta redacción no ha establecido cuándo se practicó. Contados desde el miércoles 12 de agosto,
tres días hábiles caen en el lunes 17, que es la fecha que dan las propias partes.

La nota técnica, diez minutos antes, había propuesto algo más suave: que Discord apagara Go Live *en el
plazo de* tres días hábiles. El superintendente conservó los tres días y los desplazó. Ahora son el tiempo
concedido para acreditar un apagado que ya debería haberse producido.

El viernes por la noche la empresa respondió que no puede hacerse. Diseñar, probar y desplegar un apagado
limitado a un país en los clientes de escritorio, móvil y consola, con las pruebas de verificación que
exige la decisión, *"não são materialmente executáveis, com integridade, no prazo fixado"*: no son
materialmente ejecutables, con integridad, en el plazo fijado. Lo difícil no es el interruptor, sino la
cláusula sobre los códigos de invitación. Pidió que se revocara la orden y, en su defecto, quince días
hábiles. Hasta la noche del sábado 15 de agosto, no se había informado de ninguna respuesta de la agencia.

El resto del escrito echa mano del mismo hecho que la orden y tira de él en sentido contrario. Fue el
cifrado, dice Discord, lo que le impidió bloquear el contenido. Y que un servidor salga mal no es un
sistema roto: la empresa invoca la excepción que la ley prevé para un *"falha isolada ou residual, inerente
ao estado da técnica"*: un fallo aislado o residual, inherente al estado de la técnica. Cada parte defiende
la posición que cabría haber esperado de la otra.

Alguien en Brasilia tiene que decidir el lunes.

Lo que decida es estrecho. Lo que la orden deja escrito no lo es: que una función de vídeo puede existir si
quien la opera puede mirarla, y no si no puede. Una niña de 13 años murió porque nadie estaba mirando, y
esa es una razón real para querer esa regla. Sigue siendo una regla sobre todo producto cifrado, alcanzada
en un caso sobre uno solo.

## Referencias

- **Despacho Decisório nº 3/2026/SFI**, ANPD Superintendência de Fiscalização, Processo SEI
  00261.004804/2026-54, documento 0321226 — firmado el 12 de agosto de 2026 a las 10:21, hora de Brasilia,
  por Fabrício Guimarães Madruga Lopes. `https://www.gov.br/anpd/pt-br/centrais-de-conteudo/documentos-tecnicos-orientativos/despacho_decisorio_3_discord-inc.pdf/@@display-file/file`
  — recuperado el 16 de agosto de 2026 a las 04:2xZ, HTTP 200, 49,863 bytes, 3 páginas. Base legal indicada
  en el propio documento: art. 6º, incisos II y III de la Lei nº 15.211/2025, junto con el art. 30 del
  Regulamento de Fiscalização.
- **Nota Técnica nº 1/2026/CGF/SFI/ANPD**, versión pública, documento 0321183, mismo proceso — 18 páginas
  más portada. `https://www.gov.br/anpd/pt-br/centrais-de-conteudo/documentos-tecnicos-orientativos/nota_tecnica_1_versao_publica_discord-inc.pdf/@@display-file/file`
  — recuperado el 16 de agosto de 2026 a las 04:2xZ, HTTP 200, 734,819 bytes. **Las páginas 7 y 8 devuelven
  cero caracteres a `pdftotext`**; todas las demás devuelven entre 1,366 y 2,600. Esas dos páginas se
  rasterizaron a 150 dpi y se leyeron como imágenes. La cita del §5.14 y el razonamiento de los §5.15 y
  §5.16 que aquí se resume se leyeron en ese rasterizado y se contrastaron con él una segunda vez.
- Discord, "Meet DAVE: E2EE for audio & video" — `https://discord.com/blog/meet-dave-e2ee-for-audio-video`
  — la declaración de alcance de la propia empresa, que incluye las transmisiones de Go Live; el whitepaper
  y las revisiones de Trail of Bits están enlazados desde ahí.
- La respuesta de Discord del viernes 14 de agosto, informada por **G1** y el **Jornal de Brasília**, 15 de
  agosto de 2026, con la expresión literal *"não são materialmente executáveis"* y el argumento de la
  excepción por *"falha isolada ou residual"*. `https://g1.globo.com/politica/noticia/2026/08/15/discord-pede-revogacao-da-suspensao-de-lives-e-diz-nao-conseguir-cumprir-prazo-da-anpd.ghtml`
- La **Operação Lívia** y la rueda de prensa del 4 de agosto en Brasilia, incluidos los tres fallos que
  enumeró Victor Fernandes — Diário de Pernambuco y otros medios brasileños, 11 de agosto de 2026. La
  cuenta PIX y las hojas de afeitar se atribuyen en el cuerpo del artículo a lo que el laboratorio federal
  de ciberoperaciones contó a la prensa; son material de rueda de prensa, no documentos primarios,
  y aquí no se han verificado de forma independiente.
- ECA Digital: Lei nº 15.211/2025, sancionada el 17 de septiembre de 2025, en vigor desde el 17 de marzo de
  2026.

**Un límite de recuperación en el momento de publicar.** Los dos documentos de la ANPD citados arriba se
recuperaron correctamente a las 04:2xZ del 16 de agosto. Un último sondeo del canal de noticias de la
agencia a las **04:47:49Z** devolvió HTTP 200 con el mensaje `Estamos em manutenção` —una página de
mantenimiento, no contenido y tampoco un 404—. **Eso es un límite de la última comprobación de esta
redacción, no una prueba de que la agencia no haya publicado nada**, y la frase sobre la noche del sábado
se apoya en lo informado por la prensa y no en ese sondeo.

**No establecido, y no afirmado.** Si Go Live está hoy efectivamente apagada en Brasil. La fecha en que se
practicó la *intimação*. Si la ANPD diría que el §5.14 y el paréntesis dispositivo son coherentes: esta
redacción no solicitó una declaración y, si la posición de la agencia es que el cifrado no es el ilícito,
sino la razón por la que no puede verificarse una solución, entonces los dos textos son conciliables y lo
único que aquí se constata es que dicen lo que dicen.