La lista que nadie sabía que existía
En 2019, después de que la sentencia de conformidad obtenida por Lambda Legal en Foster v. Andersen obligara a Kansas a permitir que sus residentes trans corrigieran el marcador de género de su partida de nacimiento, el estado cumplió. Cientos de personas actualizaron sus documentos. Miles más actualizaron su permiso de conducir en la División de Vehículos.
Lo que ninguna de ellas sabía es que la Oficina de Estadísticas Vitales de Kansas empezó discretamente a marcar internamente cada una de esas modificaciones con una etiqueta distinta de la de las correcciones administrativas rutinarias, y que la División de Vehículos creó un marcador interno paralelo llamado "gender reclassification" —reclasificación de género—. Ninguno de los dos se hizo público. Ninguno tenía finalidad declarada más allá de la llevanza administrativa de registros. Durante siete años, la lista se quedó ahí, sin más.
El 28 de enero de 2026, la legislatura de Kansas aprobó la SB 244 mediante una sustitución del tipo "gut-and-go" —vaciar un proyecto y rellenarlo con otro texto— impulsada por el senador Mike Thompson. La ley redefinió el «género» como el sexo asignado al nacer, ordenó al estado invalidar y reexpedir los permisos de conducir, ordenó a la Oficina de Estadísticas Vitales invalidar partidas de nacimiento, prohibió el uso de aseos que no correspondieran al sexo de nacimiento y —el rasgo operativo— creó una acción privada de 1.000 dólares que cualquier ciudadano podía ejercer contra cualquier presunto infractor. La gobernadora Laura Kelly la vetó el 13 de febrero. La legislatura levantó el veto los días 17 y 18 de febrero, con una votación en la Cámara de 87–37. La ley entró en vigor el 26 de febrero.
En cuestión de días, aproximadamente 1.700 kansanos trans recibieron cartas por correo en las que se les notificaba que su permiso de conducir había quedado anulado. El mecanismo solo fue viable porque el estado ya tenía la lista. El registro —construido años antes con una finalidad administrativa completamente distinta— era la infraestructura de selección de objetivos.
La historia no la destapó The New York Times, sino Prism Reports y ScheerPost los días 2 y 5 de abril, a partir del trabajo de la periodista independiente Aleksandra Vaca en el Substack Transitics. La frase de Vaca es la tesis de este artículo: «Lo característico de la vigilancia es que funciona mientras la gente no se dé cuenta. Solo cuando Kansas revocó los documentos de identidad la gente preguntó cómo».
El abogado principal de Lambda Legal, Omar Gonzalez-Pagan, calificó la SB 244 de «régimen de cazarrecompensas». La ACLU presentó Doe v. Kansas ante el Tribunal de Distrito del condado de Douglas; la orden de restricción temporal fue denegada el 10 de marzo. La vista probatoria sobre la medida cautelar está señalada para el 29 de septiembre de 2026. Mientras tanto, esas 1.700 personas tienen que seguir viviendo.
Y Kansas no está sola. Documentos internos obtenidos por Lauren McGaughy, de Texas Public Radio, muestran que el Departamento de Seguridad Pública de Texas recopiló los nombres y números de permiso de 110 tejanos trans entre agosto de 2024 y agosto de 2025: los funcionarios de expedición escaneaban los documentos y los remitían a una cuenta de correo interna creada al efecto. El Departamento se negó a dar explicaciones. La HB 0754/SB 0676 de Tennessee fue aprobada por la Cámara estatal en marzo; obliga a las clínicas de género a comunicar al Departamento de Salud estatal, en un plazo de 15 días, la edad, el condado, el sexo asignado al nacer, el diagnóstico, la medicación, los procedimientos, el proveedor y los datos de salud mental de cada paciente, con la obligación del Departamento de publicar los datos anualmente a partir del 31 de diciembre de 2026. En Indiana, el fiscal general Todd Rokita ha intervenido en siete procedimientos pendientes de cambio de género ordenado judicialmente, calificando las partidas modificadas de "falsified records" —registros falsificados—. Nueve estados prohíben ya de plano el cambio de marcador de género en el permiso de conducir.
El patrón no es que los estados hayan empezado de repente a construir listas. El patrón es que las listas se construyen siempre, como subproducto rutinario de la administración. El momento político decide para qué se usan.
La filtración de la que nadie habla
El 21 de octubre de 2024, el grupo de ransomware SafePay entró en la red de Conduent Business Solutions, una contratista de tecnología pública cuya división "Government Solutions" gestiona la determinación de derecho a Medicaid, la tramitación de prestaciones del SNAP, los sistemas de pensiones de alimentos, el seguro de desempleo y los centros de atención telefónica de salud pública por cuenta de 46 estados de Estados Unidos. Conduent tramita aproximadamente 85.000 millones de dólares en desembolsos públicos y 500 millones de reclamaciones de Medicaid al año. El intruso permaneció dentro de la red 84 días —3,5 veces la mediana de permanencia del sector en 2024— antes de que Conduent detectara la intrusión el 13 de enero de 2025.
Conduent empezó a notificar a los afectados nueve meses después, en octubre de 2025. La cifra arrancó en 4 millones. Subió a 10 millones. Después, a través de una cascada de comunicaciones HIPAA estado por estado, hasta 25 millones y subiendo: Texas: 15,4 millones. Oregón: 10,5 millones. Washington: 76.000. Carolina del Sur: 48.000. Nuevo Hampshire: 10.000. Maine: 378. Las comunicaciones de Massachusetts y California están pendientes. La cifra final seguirá subiendo.
Los datos robados son catastróficos: nombres, direcciones, fechas de nacimiento, números de la Seguridad Social, información médica y de tratamientos, datos de reclamaciones al seguro de salud e información bancaria. El volumen exfiltrado fue de aproximadamente 8 terabytes.
El 12 de febrero de 2026, el fiscal general de Texas, Ken Paxton, emitió Requerimientos Civiles de Investigación contra Blue Cross Blue Shield of Texas y Conduent. Su declaración: «La filtración de datos de Conduent fue probablemente la mayor de la historia de Estados Unidos. Si algún gigante asegurador ha recortado por lo sano o dispone de información que pueda ayudarnos a evitar filtraciones como esta en el futuro, trabajaré para sacarla a la luz». Que Paxton tenga razón depende de dónde acabe finalmente el recuento. Como candidata a la peor exposición de datos sanitarios jamás registrada, Conduent aún queda muy por debajo de la filtración de Change Healthcare de 2024 (192 millones), pero el recuento final de Conduent sigue subiendo.
La población que hay dentro de ese conjunto de datos no es una muestra aleatoria del país. Está abrumadoramente escorada hacia familias de renta baja, con discapacidad, mayores e inmigrantes: precisamente las personas inscritas en Medicaid y el SNAP. Son los estadounidenses menos capaces de costearse vigilancia de crédito, abogados especializados en suplantación de identidad o alternativas de banca privada. El coste real de la filtración se medirá en sus vidas enteras.
El caso se ha acumulado como In re: Conduent Data Security Litigation ante el Tribunal de Distrito de Estados Unidos para el Distrito de Nueva Jersey, con el juez Michael A. Hammer, y un Comité Rector de Demandantes de 8 abogados entre los que figura Corban Rhodes, socio de DiCello Levitt. Treinta y cinco demandas, y subiendo.
Y Conduent no es el único fallo de un proveedor. El 26 de marzo de 2026, NYC Health + Hospitals comunicó un compromiso de red de 11 semanas que se prolongó desde el 25 de noviembre de 2025 hasta el 11 de febrero de 2026. NYC H+H es el mayor sistema sanitario público de red de seguridad del país: 11 hospitales de agudos, 45.000 empleados, más de 1 millón de pacientes al año, un 84 % con Medicaid o Medicare, más de 190 idiomas atendidos. El vector de entrada, según la notificación oficial, fue un proveedor externo cuya identidad no se ha hecho pública. Entre los datos expuestos había nombres, números de la Seguridad Social, historiales médicos, números de permiso de conducir, datos de seguro, información de pago y datos biométricos: huellas dactilares y huellas palmares.
Las huellas dactilares y palmares no se pueden cambiar. Una credencial vitalicia es ahora un pasivo vitalicio.
La tubería de Medicaid
En julio de 2025, los Centros de Servicios de Medicare y Medicaid firmaron un Acuerdo de Intercambio de Información con el ICE. Al amparo de ese acuerdo, el ICE obtuvo acceso a nombres, direcciones, fechas de nacimiento, etnia y números de la Seguridad Social de aproximadamente 79 millones de inscritos en Medicaid. Un tribunal federal bloqueó la transferencia en 20 estados demandantes en agosto de 2025; una resolución posterior permitió reanudar el intercambio de datos «básicos» de Medicaid.
Lo que nadie había admitido públicamente, hasta el caso M-J-M-A v. Wamsley, era qué pasaba después con los datos.
En diciembre de 2025, en una vista probatoria de esa demanda colectiva federal contra las redadas del ICE en Woodburn (Oregón), un agente de la Unidad de Operaciones contra Fugitivos del ICE prestó declaración bajo juramento. Al pedírsele que describiera la herramienta de Palantir que usaba para elegir objetivos, declaró que genera un mapa poblado de chinchetas —cada chincheta, un objetivo potencial— con una puntuación de confianza sobre 100 que predice qué probabilidad hay de que la persona viva ahí. El agente explicó el flujo de trabajo:
"It's kind of like Google Maps. You're going to go to a more dense population rather than, like, if there's one pin at a house and the likelihood of them actually living there is like 10 percent, you're not going to go there."
En castellano: «Es algo así como Google Maps. Vas a ir a una zona con más densidad de población antes que, o sea, si hay una sola chincheta en una casa y la probabilidad de que esa persona viva ahí de verdad es como de un 10 por ciento, no vas a ir».
La herramienta se llama ELITE — Enhanced Leads Identification & Targeting for Enforcement, identificación mejorada de pistas y selección de objetivos para la ejecución. Ingiere datos de inscripción en Medicaid del HHS, registros del IRS, datos de la SSA, del DMV y registros migratorios del DHS/USCIS, datos comerciales de LexisNexis y Thomson Reuters, registros de suministros y avisos remitidos a la línea de denuncias del ICE. Los agentes del ICE pueden pulsar sobre una sola chincheta o dibujar una forma alrededor de una zona para seleccionar a todas las personas que hay dentro con fines de ejecución. El agente de la declaración de Oregón dijo que tenía órdenes de ocho detenciones por equipo y día. Un juez resolvió después que las redadas de Woodburn habían sido "violent and brutal" —violentas y brutales— e inconstitucionales, pero la resolución no desactivó la herramienta.
La Electronic Frontier Foundation, en su informe del 15 de enero de 2026, lo resumió con nitidez: «El ICE está usando una herramienta de Palantir que se sirve de datos de Medicaid y de otros datos públicos para acechar a personas y detenerlas».
Los contratos de Palantir dan la medida de la escala. En abril de 2025 el ICE firmó un contrato de 30 millones de dólares por ImmigrationOS, con un gasto asociado en Investigative Case Management que se disparó hasta los 145 millones de dólares. La propia ELITE corre por una partida aparte de unos 29,9 millones de dólares. En febrero de 2026, el DHS firmó un acuerdo marco de compra a cinco años por 1.000 millones de dólares que da a todos los componentes del DHS —CBP, ICE, FEMA, CISA, TSA, Servicio Secreto, Guardia Costera— acceso simplificado a Gotham y Foundry sin necesidad de licitación aparte. El total de contratos federales de Palantir en 2025 casi se duplicó interanualmente, hasta los 970,5 millones de dólares. Su acción sube un 130 % y cotiza a unas 80 veces ventas. El Gobierno federal es el principal motor de crecimiento de Palantir, y está comprando lo que constitucionalmente no puede incautar.
Las partes a las que no te apuntaste
En cuanto empiezas a buscar el patrón, está por todas partes.
La cámara del colegio es una herramienta de deportación. Una investigación de The 74 encontró que en un solo mes (de diciembre de 2025 a principios de enero de 2026) más de 3.100 cuerpos policiales realizaron más de 733.000 consultas de datos de cámaras de distritos escolares a través de la red nacional de Flock Safety. De esas, 620 consultas tenían que ver con inmigración, hechas por 30 organismos de Florida, Georgia, Indiana y Tennessee. Las consultas de inmigración civil superaron a las de inmigración penal en proporción de dos a uno. Los padres dieron el visto bueno a las cámaras de Flock como infraestructura de "lockdown safety", seguridad ante confinamientos de emergencia. Lo que compraron fue una tubería hacia el ICE con factura de distrito escolar. El 26 de febrero de 2026, conductores de California presentaron una demanda colectiva en la que alegan que la función "national lookup" —consulta nacional— de Flock dio a organismos de otros estados acceso a la base de datos de cámaras del SFPD 1,6 millones de veces en siete meses. Una auditoría halló 364.000 consultas no autorizadas contra cámaras del condado de Ventura que supuestamente estaban configuradas para uso exclusivo en California. Mountain View, Ithaca, Syracuse, Berkeley, Santa Cruz, Lynnwood, Flagstaff, Bend, South Pasadena, Oxnard, Denver, Dunwoody y más de otras veinte ciudades han suspendido o cancelado ya sus contratos con Flock. Pero eso solo protege a las ciudades que actúan.
El aviso anónimo escolar es un cebo para el doxxing. El 18 de marzo de 2026, un hacker que usa el alias "Internet Yiff Machine" publicó 93 gigabytes con 8,3 millones de registros de P3 Global Intel, la plataforma de «línea de avisos anónimos» de Navigate360 que usan más de 30.000 centros escolares de K-12, entre ellos los distritos públicos de Miami-Dade, Filadelfia, Portland y Denver. Los datos abarcaban desde febrero de 1987 hasta noviembre de 2025. Incluían nombres, correos electrónicos, números de teléfono, fechas de nacimiento, domicilios, números de la Seguridad Social, matrículas de vehículos, antecedentes penales y registros de conversación entre quienes daban el aviso y los organismos: tanto de los avisadores como de las personas denunciadas. Muchos de los avisos se referían a alumnos en crisis: autolesiones, amenazas de suicidio, acoso, posible violencia. El hacker dejó una nota: "Don't do the dirty work for the pigs." —no hagáis el trabajo sucio para la pasma—. El marketing decía "anonymous", anónimo. La ingeniería decía otra cosa. Se la ha bautizado como "BlueLeaks 2.0", por el volcado de datos policiales de 2020.
El escriba de IA se inventa su propio consentimiento. En una demanda presentada el 26 de noviembre de 2025 ante el Tribunal Superior de California del condado de San Diego (Saucedo v. Sharp HealthCare), el demandante Jose Saucedo alega que, durante una revisión rutinaria en una clínica de Sharp Rees-Stealy en julio de 2025, el escriba de IA ambiental de Sharp, impulsado por Abridge, grabó la visita entera sin informarle ni pedirle consentimiento. Cuando Saucedo revisó después las notas de su portal del paciente, contenían una frase estandarizada, generada por IA, que afirmaba que había sido "advised" —informado— del registro y que había "consented" —consentido— a él. No lo había hecho. La IA no se limitó a no obtener el consentimiento: al parecer, fabricó el rastro documental que acreditaba que se había obtenido. La demanda cubre una clase propuesta de más de 100.000 pacientes de California. Abridge está desplegado en más de 150 sistemas sanitarios, entre ellos los 24.000 médicos de Kaiser Permanente repartidos por 40 hospitales, el mayor despliegue de IA generativa de la historia de la sanidad, además de Mayo Clinic, Johns Hopkins, UPMC, Yale New Haven, Memorial Sloan Kettering y Duke. Abridge cerró una ronda de serie E de 300 millones de dólares en junio de 2025 con una valoración de 5.300 millones de dólares.
La pista del reconocimiento facial es una orden de detención. El 14 de julio de 2025, Angela Lipps, abuela de 50 años de Carter County (Tennessee) —que contó a la CNN que «nunca se había subido a un avión, y mucho menos ido a Dakota del Norte»—, fue detenida en su casa en virtud de una orden de busca y captura de Dakota del Norte. La policía de West Fargo había usado Clearview AI para cotejar la foto de un carné militar falso empleado en un fraude bancario en Fargo, y Clearview había devuelto una coincidencia probable con Lipps. Los detectives «supusieron, equivocadamente» que la foto del carné falso era una imagen de vigilancia del verdadero sospechoso. Nadie lo comprobó. Nadie la entrevistó. Pasó 108 días en una celda de Tennessee, fue extraditada a Dakota del Norte el 30 de octubre, fue entrevistada por primera vez por un detective de Fargo el 19 de diciembre y vio archivados todos los cargos el 23 de diciembre, después de que su abogado, Jay Greenwood, aportara extractos bancarios y registros de la Seguridad Social que probaban que estaba a 1.200 millas de allí comprando tabaco e ingresando cheques cuando se produjeron las retiradas de dinero en Fargo. Fue puesta en libertad en Nochebuena, sin dinero, sin abrigo y sin manera de volver a casa. Perdió su casa. Perdió su coche. Perdió a su perro. Fargo no tuvo una política formal de reconocimiento facial hasta el 25 de marzo de 2026, días antes de que se publicara el reportaje de la CNN. Clearview afirma tener ya más de 50.000 millones de imágenes faciales extraídas de la red. El estudio del NIST de 2019 concluyó que los algoritmos tienen entre 10 y 100 veces más probabilidades de identificar erróneamente rostros negros o del este de Asia; de las ocho detenciones injustas por reconocimiento facial documentadas públicamente, siete de las ocho víctimas son negras. Lipps fue la octava.
El tránsito por el aeropuerto es ahora una zona de extracción de contraseñas. El 23 de marzo de 2026, Hong Kong publicó en la gaceta oficial una enmienda a las Normas de Aplicación del artículo 43 de la Ley de Seguridad Nacional. Negarse a facilitar una contraseña o asistencia para el descifrado en el marco de una investigación de seguridad nacional se castiga ahora con hasta un año de cárcel y una multa de 100.000 dólares de Hong Kong. Facilitar información falsa: hasta tres años y 500.000 dólares de Hong Kong. La norma se aplica a cualquiera: residentes, visitantes y pasajeros en tránsito por el aeropuerto. El Aeropuerto Internacional de Hong Kong movió 61 millones de pasajeros en 2025 y su tráfico de conexiones creció un 50,2 % interanual. El Consulado General de Estados Unidos en Hong Kong emitió una alerta de seguridad formal dirigida a los ciudadanos estadounidenses. Deloitte y KPMG dan ya instrucciones a sus directivos que vuelan con escala en HKG de llevar teléfonos desechables. Jimmy Lai, fundador de Apple Daily de 77 años y ciudadano británico, fue condenado a 20 años el 9 de febrero de 2026; seis redactores de Apple Daily recibieron penas que suman más de 50 años. El 26 de febrero, el padre de 69 años de la activista Anna Kwok, residente en Estados Unidos, fue condenado a 8 meses de cárcel por intentar cancelar la póliza de seguros infantil de su hija: la primera vez que se procesa a un familiar por los actos de una activista en el extranjero.
La huella dactilar del asilo es una orden de deportación. El 12 de junio de 2026 —dentro de 62 días—, el Reglamento (UE) 2024/1358 transforma la base de datos EURODAC: de ser una herramienta de comparación de huellas dactilares de 20 años de antigüedad para la tramitación de asilo del sistema de Dublín, pasa a ser una base de datos integral de "asylum and migration management" —gestión del asilo y la migración— con almacenamiento central de imágenes faciales, documentos de identidad, nacionalidades y expedientes de solicitud. La edad mínima para la toma de huellas baja de 14 a 6 años. La Agencia de los Derechos Fundamentales de la UE, ante la posibilidad de emplear la fuerza con menores para obtener las huellas, afirmó en un dictamen formal que es «difícil imaginar una situación en la que estuviera justificado el uso de fuerza física o psicológica para obtener huellas dactilares para Eurodac». UNICEF, la OIM y ACNUR emitieron una declaración conjunta instando a la UE a «eximir a todos los niños, sea cual sea su edad, de toda forma de coacción». La UE aprobó el reglamento de todos modos. EURODAC será interoperable con el SIS, el VIS, el EES, ETIAS y ECRIS-TCN a través del Repositorio Común de Identidades, lo que significa que un niño de seis años al que se tomen las huellas en un centro de recepción de una isla griega tendrá un registro de identidad vitalicio y válido en toda la UE vinculado a la "irregular entry" —entrada irregular—, consultable con fines de ejecución de retornos. Los actuales beneficiarios ucranianos de protección temporal quedan excluidos hasta 2029. Los demás niños del mundo, no.
El cifrado funciona. La caché tiene fugas. El 9 de abril de 2026, en un juicio federal en el Distrito Norte de Texas, el agente especial del FBI Clark Wiethorn declaró (prueba 158, jornada 12 del juicio) que los peritos habían extraído mensajes de Signal de un iPhone incautado a través de la caché de notificaciones push de iOS, en concreto de los artefactos DeliveredNotifications.plist y KnowledgeC.db que iOS mantiene para poder mostrar las vistas previas en la pantalla de bloqueo y en el Centro de Notificaciones. Los mensajes se habían borrado. Los mensajes temporales estaban activados. La aplicación de Signal se había desinstalado. El texto de la vista previa seguía en la caché de iOS, detectable forensemente, semanas después. El cifrado de Signal no se rompió en ningún momento. La fuga era el teléfono. La única mitigación fiable —el ajuste "Notification Content: No Name or Content" de Signal, contenido de las notificaciones sin nombre ni contenido— no viene activado por defecto, y casi nadie lo activa.
El patrón
Ocho historias. La misma arquitectura.
En todos los casos, un conjunto de datos recogido con una finalidad declarada —la gestión de partidas de nacimiento, el derecho a Medicaid, la seguridad escolar, la autenticación hospitalaria, los avisos anónimos, el registro de asilo, las notificaciones de entrega, la expedición de permisos de conducir— ha sido reutilizado para algo completamente distinto por una entidad que tenía poder sobre él. A veces la reutilización era legal dentro del marco existente (la SB 244 de Kansas, ELITE de Palantir tras las resoluciones judiciales). A veces era un delito de verdad (el ataque de SafePay a Conduent). A veces era un fallo (el interruptor de "national lookup" de Flock). A veces estaba diseñada así (la ampliación de EURODAC 2.0 a la ejecución de retornos). Da igual de qué sabor sea. Todas son idénticas vistas desde el otro extremo de la tubería.
Lo que comparten es esto: las personas cuyos datos se recogieron no pueden recuperarlos. No hay ningún botón en un panel de política de privacidad que deshaga retroactivamente un registro trans de Texas, ni que expulse al ICE de una tabla de inscripciones de Medicaid, ni que descachee un mensaje de Signal de iOS. La decisión se tomó por ellas, al por mayor, por defecto, años antes de que llegaran las consecuencias políticas.
Y las consecuencias están llegando deprisa. Las notificaciones de Conduent siguen saliendo. EURODAC se enciende dentro de 62 días. El caso de la ACLU en Kansas está en suspenso hasta el 29 de septiembre. La publicación de datos de clínicas de género de Tennessee arranca el 31 de diciembre. La Sección 702 de FISA expira dentro de nueve días, y 98 miembros del Congressional Progressive Caucus se han comprometido formalmente a oponerse a cualquier renovación que no incluya la exigencia de orden judicial, mientras la Government Surveillance Reform Act de los senadores Wyden y Lee intenta cerrar el resquicio de los corredores de datos que permite al ICE comprar lo que, según Carpenter, requeriría una orden judicial para incautar. Nadie sabe si saldrá adelante.
Hay un paralelo histórico en el que merece la pena detenerse. En 1943, la resistencia neerlandesa bombardeó la oficina del registro civil de Ámsterdam para destruir el índice que la ocupación nazi estaba usando para localizar judíos. Hans de Zwart escribió, años después: "During World War II, we did have something to hide" —durante la Segunda Guerra Mundial sí que teníamos algo que ocultar—. El arquitecto de aquel índice no era un nazi. Era un funcionario neerlandés llamado J.L. Lentz que había construido el sistema antes de la guerra como una mejora administrativa. Las tarjetas perforadas de IBM que clasificaban los datos las fabricaba Dehomag, la filial alemana de IBM, y funcionaban sobre infraestructura censal neutra. La lección no es que las bases de datos provoquen genocidios. La lección es que la existencia de una base de datos es una decisión, tomada por quien la construye, sobre a qué poder acabará sirviendo. Quien tiene la base de datos en cada momento decide qué es esa base de datos.
Qué tiene que significar un dato sin permisos
La respuesta de ingeniería no es «mejor política de privacidad». La política de privacidad es lo que ha producido este patrón. La limitación de finalidad, el consentimiento expreso, los compromisos de minimización de datos y las evaluaciones de impacto sobre la privacidad fueron la arquitectura que permitió que todos y cada uno de estos conjuntos de datos existieran, para empezar. Y son también lo que permitió que todos y cada uno de ellos se reutilizaran. La política no falló por ser demasiado débil, sino por ser el tipo equivocado de defensa. Es una promesa. Las promesas las revoca quien tiene las llaves.
La defensa que sobrevive a un cambio de administración tiene cuatro propiedades:
- No recojas lo que no puedas proteger de una reutilización futura. Si el segundo uso de un conjunto de datos sería catastrófico para las personas que hay dentro, ese conjunto de datos no debería existir en una forma que haga posible ese segundo uso. Un sistema de estadísticas vitales de Kansas no debería tener un campo de esquema que codifique «marcador de género modificado, valor anterior en archivo». Un sistema de derecho a Medicaid no debería tener una API que otro organismo pueda consultar. Una cámara escolar no debería federarse en una red policial nacional. La decisión de ingeniería de construir estos sistemas de forma centralizada, consultable y rica en esquema se tomó sin considerar quién acabaría teniendo las llaves.
- Si tienes que recogerlo, no lo centralices. Toda filtración a escala Conduent es un argumento a favor de repartir los datos entre operadores y programas independientes. No hay ninguna razón para que una sola contratista privada tramite Medicaid para 46 estados. No hay ninguna razón para que exista una única red nacional de lectores de matrículas. El marcador del DMV de Kansas y el marcador de la Oficina de Estadísticas Vitales de Kansas nunca deberían haber estado en el mismo sistema consultable. El almacenamiento distribuido encarece drásticamente una consulta del tipo «dibuja una forma alrededor del barrio».
- Las garantías criptográficas ganan a las garantías de política. Las únicas protecciones que sobreviven a un cambio de administración son las que se hacen cumplir en el código. Cifrado en el cliente con claves que el servicio no tiene. Datos que se borran no solo de un índice, sino de todas las copias de seguridad de todos los proveedores. Infraestructura operada por pares en la que el operador no posee físicamente los datos que tendría que entregar. Canarios de órdenes judiciales y compilaciones reproducibles que hacen detectable un compromiso silencioso.
- El operador tiene que ser estructuralmente incapaz de producir lo que no recoge. La política de privacidad pide a los operadores que no vendan datos. El objetivo correcto es que los operadores no puedan vender datos, porque los datos no se acumulan de su lado en primer lugar. Este es el principio de diseño de las redes operadas por pares, de la mensajería cifrada de extremo a extremo sin retención de metadatos y de los sistemas de credenciales de conocimiento cero. Es lo contrario del principio de diseño de Conduent, de ELITE de Palantir, de Flock Safety, de P3 de Navigate360 y de los almacenes biométricos centralizados de NYC Health + Hospitals.
URnetwork frente al patrón de la centralización
URnetwork se diseñó sobre el principio n.º 4. No es un mensajero, ni una base de datos, ni un servicio de identidad: es el sustrato de red que hay debajo de todos ellos. Pero, por ser una superposición operada por pares en lugar de un servicio operado por un proveedor, no acumula datos de usuario que ninguno de los mecanismos anteriores pueda consumir después.
Sin base de datos central de usuarios. Cada salto de la ruta de encaminamiento de URnetwork es un dispositivo de consumo real que pertenece a un participante real que opera la red a cambio de una parte de sus ingresos. No hay ninguna entidad única que guarde una lista de usuarios, un registro de tráfico o un perfil de abonado. El canario de órdenes judiciales se compromete públicamente a que no se han entregado claves, no se ha instalado equipo de interceptación y no se ha debilitado el cifrado. Cuando el canario deje de actualizarse, los usuarios lo sabrán.
Sin identidad de abonado. El nivel gratuito ofrece 50 GiB al mes sin cuenta, sin correo electrónico y sin identidad. UR Pro cuesta 5 dólares al mes o 40 al año, sin KYC. Los pagos a los proveedores salen en USDC sobre Polygon o Solana: los propios raíles de pago no pueden ser requeridos judicialmente para obtener una lista de abonados, porque no hay lista de abonados.
Transporte indistinguible de la web. El protocolo lleva tres transportes —QUIC/TLS, TCP/TLS y WebRTC/dTLS—, todos ellos hablados también por los navegadores web corrientes. Un gobierno o un ISP no pueden reconocer la huella del tráfico sin bloquear la web abierta. Esta es la propiedad que mantiene a URnetwork operativa en los lugares donde falla el resto de la infraestructura.
Encaminamiento distribuido y visibilidad nula del lado del servidor. El encaminamiento multisalto subastado por rendimiento fragmenta el tráfico entre varios proveedores simultáneamente. El registro de auditoría cifrado está diseñado para que los proveedores tiren sus claves después de cada ciclo de pago: las claves solo son derivables a partir de un hash SHA-256 de un TLS client random suministrado por la contraparte, lo que hace computacionalmente intratable la extracción masiva. «Sin visibilidad central del tráfico de los usuarios» no es un eslogan de marketing: es el invariante de ingeniería que el operador se ha impuesto a sí mismo.
Código abierto, compilado de forma reproducible. El cliente está listado en F-Droid con compilaciones reproducidas de forma independiente a partir del código fuente por los mantenedores de F-Droid y verificadas bit a bit contra los artefactos publicados. Un gobierno que ordenara a URnetwork insertar una puerta trasera tendría que cambiar el código fuente de una manera que cualquiera que auditara la compilación podría detectar. La propiedad de compilación reproducible convierte a toda la comunidad en un cable trampa.
Más de 350.000 personas, más de 100 países. La red funciona porque sus participantes la operan. Eso no es un argumento retórico: es una propiedad estructural que hace a la red fundamentalmente distinta de un servicio alojado por un proveedor. A BringYour (la empresa que está detrás de URnetwork) se la puede demandar, requerir judicialmente o sancionar, y la red sigue encaminando tráfico, porque la red son los participantes, no la empresa.
La salvedad honesta
La infraestructura operada por pares no arregla los conjuntos de datos que ya existen. No borra retroactivamente 25 millones de registros de Conduent, ni saca a 1.700 kansanos de un registro, ni retira los datos de Medicaid de ELITE de Palantir. Esos conjuntos de datos existen y seguirán existiendo hasta que se obligue a borrarlos, cosa que, para muchos de ellos, no ocurrirá nunca. El argumento a favor de la infraestructura sin permisos no es retroactivo. Es prospectivo. Va de los conjuntos de datos que se están diseñando y desplegando ahora mismo.
Cada sistema médico que elige una nueva historia clínica electrónica. Cada ciudad que elige un nuevo proveedor de cámaras. Cada Estado miembro de la UE que implanta EURODAC 2.0. Cada estado que construye un nuevo sistema de determinación del derecho a prestaciones. Cada distrito escolar que firma un nuevo contrato de línea de avisos. Cada proveedor de escribas de IA que redacta una nueva plantilla de «fórmula de consentimiento generada por IA en la historia clínica». Cada una de esas decisiones es un futuro registro de Kansas, a menos que alguien tome ahora una decisión distinta.
Las personas a las que está perjudicando el patrón actual son las personas a las que siempre les iba a tocar primero: kansanos trans, inscritos en Medicaid de renta baja, solicitantes de asilo, abuelas negras emparejadas con desconocidos por una base de datos de rostros extraídos de la red, trabajadores humanitarios palestinos cuyos empleadores recibieron la orden de entregar los datos biográficos de su personal, padres y madres indocumentados cuyas cámaras escolares alimentan un panel del ICE, periodistas de Hong Kong que cruzan un aeropuerto con un teléfono encima. El daño está siempre aguas abajo de las decisiones de diseño en cuya sala no estuvieron.
Qué puedes hacer
Levanta un nodo de URnetwork. Descarga la aplicación. Lee el protocolo. Verifica la compilación. Activa el modo proveedor para que alguien en Irán o en Hong Kong tenga un relé residencial más en el conjunto de rutas por las que puede encaminar. Compra un URnode si quieres un aparato para toda la casa que haga funcionar la red por ti. Cada una de estas cosas es una acción pequeña contra un patrón muy grande, y las acciones pequeñas son la forma en que caen los patrones grandes.
Pero la petición de fondo es esta: cuando diseñes un sistema que toca los datos de otras personas, da por hecho que no serás la última persona que tenga las llaves. Da por hecho que la próxima administración será la peor administración posible. Da por hecho que el próximo consejero delegado será el peor consejero delegado posible. Da por hecho que la próxima filtración ocurrirá en la peor semana posible. Y entonces diseña para eso. No para el conjunto de datos que quieres construir. Para el conjunto de datos que te negarás a recoger, porque la segunda vida sería peor que la primera.
Kansas llevaba una lista desde 2019. No era más que un sistema administrativo. Hasta que dejó de serlo.
Referencias (71 fuentes)
Referencias
La SB 244 de Kansas y los registros de personas trans
- Kansas Senate Bill 244 — resumen en Wikipedia
- ACLU of Kansas — Understanding SB 244
- NBC News — Kansas revokes licenses of 1,700 transgender residents
- NPR — Kansas revokes transgender licenses
- Transitics / Aleksandra Vaca — Kansas secretly built a list
- Prism Reports — Red states are making lists of trans people
- ScheerPost — "Kansas Was Going To Be The First Domino That Fell"
- KUT — Texas DPS collecting data on transgender drivers
- Tennessee HB 0754 — Gender clinic data publication bill
- Indiana Capital Chronicle — AG Rokita intervenes in gender-change cases
- ACLU of Kansas — página del caso Doe v. Kansas
- Lawrence Times — TRO denied March 10
La filtración de Conduent
- HIPAA Journal — Texas AG investigates 25M+ Conduent breach
- Malwarebytes — The Conduent breach: from 10M to 25M and counting
- Nota de prensa de la Fiscalía General de Texas — demands info from BCBS and Conduent
- TechCrunch — Conduent data breach grows to 25M
- State of Surveillance — Conduent 25M largest in US history
La filtración de NYC Health + Hospitals
- NYC Health + Hospitals — Notice of Data Breach (oficial)
- HIPAA Journal — NYC H+H discloses 11-week network compromise
- Investigación de acción colectiva de Edelson Lechtzin
Palantir ELITE
- EFF — ICE using Palantir tool that feeds on Medicaid data
- State of Surveillance — ELITE "kind of like Google Maps" deposition testimony
- Fortune — ICE alleged to use Palantir ELITE tracking Medicaid data
- 404 Media — ELITE: The Palantir app ICE uses to find neighborhoods to raid
- Racket — Palantir's freaky ELITE app
- SiliconANGLE — DHS awards Palantir up to $1B
- KFF — CMS-ICE Medicaid data sharing implications
Vigilancia escolar, Flock Safety y Navigate360
- The 74 — ICE taps into school security cameras via Flock
- State of Surveillance — Flock Safety class action lawsuit
- Courthouse News — California drivers accuse Flock Safety
- Education Week — Navigate360 P3 breach
- The Breach — BlueLeaks 2.0 P3 Global Navigate360 breach
- DDoSecrets — BlueLeaks 2.0 archive
- NPR — Cities canceling Flock contracts
La demanda por el escriba de IA de Sharp HealthCare
- KPBS — Sharp HealthCare secretly recorded exam room conversations
- MobiHealthNews — Sharp HealthCare ambient AI lawsuit
- Medscape — Sharp HealthCare sued over AI scribe consent
- TechCrunch — Abridge $300M Series E at $5.3B
- Kaiser Permanente — 24,000-doctor Abridge rollout
Angela Lipps y Clearview
- CNN — Tennessee grandmother jailed 5 months after AI facial recognition
- Reason — Fargo refuses to apologize for jailing Tennessee grandma
- State of Surveillance — Grandmother jailed 108 days after facial recognition
- NIST — estudio sobre los efectos demográficos en el reconocimiento facial
La enmienda sobre contraseñas de la Ley de Seguridad Nacional de Hong Kong
- Gaceta oficial de Hong Kong — 2026 Implementation Rules for Article 43
- Consulado de Estados Unidos en Hong Kong — Security alert 2026032601
- HKFP — New offence requiring suspects to hand over passwords
- Al Jazeera — Hong Kong grants police power to demand phone and computer passwords
- HKFP — 8 months jail for father of wanted activist Anna Kwok
- Human Rights Watch — Jimmy Lai sentenced to 20 years
EURODAC 2.0
- EUR-Lex — texto íntegro del Reglamento (UE) 2024/1358
- Parlamento Europeo — Recast Eurodac Regulation
- EDRi — Warnings against mass surveillance in Eurodac
- Declaración conjunta de UNICEF y la OIM sobre la coacción a menores
- Dictamen de la FRA sobre Eurodac
La caché de notificaciones push de Signal y el FBI
- 404 Media — FBI extracts deleted Signal messages from iPhone notification database
- 9to5Mac — FBI used iPhone notification data to retrieve deleted Signal messages
- Tech Times — Deleted doesn't mean gone
La expiración de la Sección 702 de FISA
- Congress.gov — S.4082 Government Surveillance Reform Act of 2026
- Nota de prensa de Wyden — Government Surveillance Reform Act
- Congressional Progressive Caucus — 98 Democrats oppose reauthorization
- EFF — Our privacy cannot afford a clean extension of Section 702
El registro del FBI a Hannah Natanson
- CPJ — FBI searches Washington Post reporter Hannah Natanson's home
- CNN — Judge bars DOJ from searching Natanson devices
- RCFP — Judge rejects DOJ request to search reporter's devices
- Privacy Protection Updates Act — Wyden/Balint
Paralelo histórico
- 1943 bombing of the Amsterdam civil registry office — Wikipedia
- IBM and the Holocaust — Wikipedia
- Hans de Zwart — "During World War II, we did have something to hide"
URnetwork
- URnetwork — inicio
- URnetwork — protocolo
- URnetwork — descarga de la aplicación
- URnetwork — URnode (reserva por 145 dólares)
- URnetwork — quiénes somos
- URnetwork — ficha en F-Droid (2026.1.7)
- URnetwork — compilación en GitHub (reproducible)