En 2011, la policía de Detroit pidió a un operador móvil el historial de conexión a antenas del teléfono de Timothy Carpenter. Obtuvo 12 898 puntos de localización repartidos a lo largo de 127 días, alrededor de cien al día. Siete años después, el Tribunal Supremo de los Estados Unidos declaró que esa solicitud constituía un registro y exigía una orden judicial.
Esos 12 898 puntos procedían de antenas de cuarta generación, cada una de las cuales cubría un radio de varios kilómetros. La misma petición, dirigida hoy a una red 5G urbana, no devolvería cien puntos al día con un margen de varios kilómetros. Devolvería un volumen muy superior, con un margen de unas decenas de metros.
La tecnología ha cambiado de escala. El razonamiento jurídico, en cambio, sigue en el mismo punto de la cadena.
Un bien jurídico que los jueces reconocen a ambos lados del Atlántico
Existe un interés que casi todo el mundo admite y que casi ningún texto protege de forma eficaz: el derecho a estar en algún sitio sin que ese hecho quede registrado.
La jurisprudencia europea lo estableció sin ambigüedad. En Digital Rights Ireland (asuntos acumulados C-293/12 y C-594/12, 8 de abril de 2014), y después en Tele2 Sverige y Watson (asuntos acumulados C-203/15 y C-698/15, Gran Sala, 21 de diciembre de 2016), el Tribunal de Justicia de la Unión Europea declaró que esos datos, considerados en su conjunto, permiten extraer conclusiones muy precisas sobre la vida privada de las personas: hábitos cotidianos, lugares de residencia, desplazamientos, actividades realizadas y relaciones sociales.
El Tribunal Supremo de los Estados Unidos llegó a una conclusión cercana en Carpenter v. United States , 585 U.S. 296 (2018). Insistió en un punto que la doctrina estadounidense ha comentado mucho: el carácter inevitable y automático de esa recogida. Nadie consiente en quedar conectado a una antena: lo está porque tiene un teléfono encendido.
El bien jurídico existe, pues, y lo reconocen los dos tribunales que cuentan en la materia. El problema está en otra parte.
Lo que el 5G cambió realmente
Una confusión frecuente consiste en tratar la localización como un dato que el teléfono transmite, igual que un mensaje o una foto. No es así. La localización es una consecuencia física del funcionamiento de la red. El operador sabe a qué antena está conectado el aparato porque necesita saberlo para encaminar una llamada. No existe ninguna clave que permita cifrar esa información, puesto que no es un contenido sino una propiedad de la propia conexión.
Eso es precisamente lo que hace que el 5G sea relevante en el plano jurídico, y no en el técnico.
Las arquitecturas anteriores se basaban en celdas amplias. Una antena 4G suele cubrir un radio de varios kilómetros, y la posición deducida de la mera conexión se contaba en centenares de metros en ciudad y a veces en decenas de kilómetros en zona rural. El 5G se apoya en una densificación masiva: las celdas urbanas cubren normalmente unos cientos de metros, y la literatura de ingeniería maneja densidades del orden de cuarenta a cincuenta estaciones base por kilómetro cuadrado, frente a cuatro o cinco en la época del 3G.
La consecuencia es mecánica. Según el informe técnico de Ericsson sobre el posicionamiento 5G , la infraestructura desplegada solo para la conectividad alcanza una precisión de veinte a cincuenta metros en exteriores y de uno a tres metros en interiores, y baja del metro en condiciones urbanas favorables. No se trata de una función de localización activada en algún sitio, sino de lo que la red sabe por construcción, sin que haya ninguna aplicación instalada ni ningún permiso concedido. Hemos detallado todos estos mecanismos, así como las contramedidas que funcionan de verdad, en nuestro artículo sobre la geolocalización permanente del teléfono .
La intrusión ha aumentado, por tanto, en varios órdenes de magnitud. El marco jurídico aplicable sigue siendo el pensado para el 2G y el 3G. Ninguna adaptación normativa ha acompañado ese cambio de escala.
El derecho protege el acceso, no la generación
El derecho europeo regula con cuidado quién puede acceder a los datos de localización, en qué condiciones y bajo qué control. La Directiva 2002/58/CE establece el principio de confidencialidad de las comunicaciones, y el Tribunal de Justicia declaró, en La Quadrature du Net (asuntos acumulados C-511/18, C-512/18 y C-520/18, Gran Sala, 6 de octubre de 2020), que el artículo 15, apartado 1, de esa directiva, interpretado a la luz de los artículos 7, 8, 11 y 52, apartado 1, de la Carta, se opone a una conservación generalizada e indiferenciada de los datos de tráfico y de localización con carácter preventivo. El Tribunal admitió, no obstante, excepciones acotadas cuando un Estado miembro se enfrenta a una amenaza grave para la seguridad nacional que resulte real y actual o previsible, siempre que exista un control efectivo.
Son protecciones reales, y sería absurdo minimizarlas. Pero todas intervienen a posteriori. Presuponen que el dato existe, que se conserva, y organizan después las condiciones de su explotación.
Ahora bien, si la localización es un subproducto inevitable del funcionamiento de la red, el punto de intervención pertinente no es la confidencialidad. Es la persistencia.
Una posición instantánea, necesaria para encaminar una comunicación y borrada acto seguido, no es un instrumento de vigilancia. Un historial de posiciones conservado durante meses sí lo es, sean cuales sean las garantías de acceso que lo rodeen.
La diferencia entre ambas no es jurídica, es arquitectónica. Y el calendario europeo convierte la cuestión en urgente más que en teórica. La Comisión retiró la propuesta de Reglamento ePrivacy en 2025, a falta de acuerdo entre colegisladores. Desde entonces trabaja en un instrumento distinto sobre la conservación de datos con fines penales, anunciado para 2026 y destinado a armonizar unos regímenes nacionales que se han vuelto dispares desde la anulación de la directiva de 2006. Dicho de otro modo, el texto que fijará durante una década el régimen de los metadatos de localización se está escribiendo ahora mismo, sobre la base de un razonamiento concebido en la época de las celdas kilométricas.
El precedente que el propio 5G creó
Lo más interesante del asunto es que la respuesta correcta ya figura en la norma técnica, pero aplicada a otro objeto.
Hasta el 4G, el identificador permanente del abonado, el IMSI, circulaba en claro por la interfaz radio durante la conexión. Eso es lo que hizo posibles los IMSI catchers, esas falsas estaciones base que, según la descripción de referencia de la Electronic Frontier Foundation , emiten con más potencia que las antenas legítimas para atraer a los terminales y capturar su identificador.
Desde la Release 15 de las especificaciones 3GPP, publicada en 2019, el 5G aporta una respuesta elegante. El identificador permanente, ahora llamado SUPI, puede sustituirse en la interfaz radio por el SUCI, un identificador ocultado que se obtiene cifrando la parte propia del abonado mediante criptografía de curva elíptica, con la clave pública del operador de origen. Solo la red de origen, que posee la clave privada correspondiente, puede descifrarlo. El resultado es único en cada cálculo, lo que impide correlacionar una sesión con otra.
La lógica adoptada merece subrayarse, porque es exactamente la que debería guiar al legislador: no se cifra la posición, lo que sería técnicamente imposible, se cifra la identidad. Una posición sin identidad atribuible tiene un valor muy limitado a efectos de vigilancia individualizada.
La falla: una protección facultativa
Existe, sin embargo, una reserva considerable, y es a nuestro juicio el punto de intervención más concreto de todo el expediente.
El informe NIST CSWP 36A , publicado en marzo de 2026 por el National Institute of Standards and Technology, lo dice sin rodeos. Los terminales y las funciones de red conformes con la Release 15 o posterior están obligados a admitir el SUCI, pero su activación sigue siendo facultativa para el operador. Deben darse tres condiciones: el fabricante del equipo debe soportarlo, el operador debe activarlo en su red y la tarjeta SIM debe llevar los elementos necesarios para el cálculo.
A eso se añade una trampa de configuración. La norma prevé un esquema de protección nulo, en el que el formato SUCI se emplea formalmente pero sin cifrado efectivo, de modo que el identificador circula en claro. El NIST escribe que es necesario que el operador configure su red con un esquema de protección no nulo, y recuerda que un informe del CSRIC, el órgano consultivo de la Federal Communications Commission, recomendaba ya en 2021 reservar el esquema nulo únicamente a las llamadas de emergencia realizadas por un terminal desconocido para la red.
Vale la pena dejar la formulación tal cual. La mejor protección disponible contra el seguimiento de terminales móviles existe en la norma técnica desde 2019. Depende de una opción de configuración dejada a discreción del operador. Una agencia federal estadounidense considera útil publicar un documento en 2026 para recordar que habría que activarla. Y ningún instrumento jurídico europeo la impone.
Hay que añadir que el SUCI no cierra el tema. Los trabajos presentados bajo el título 5G SUCI-catchers: still catching them all? documentan ataques de enlazado que permiten volver a correlacionar sesiones pese al cifrado, y la protección cae por completo si el atacante fuerza al terminal a pasar a una generación anterior. Una obligación jurídica no lo resolvería todo, por tanto. Suprimiría en cambio una brecha que no tiene justificación defendible: la que separa lo que la norma permite de lo que hacen las redes comerciales.
Tres intervenciones coherentes
Si se toma en serio la idea de que la localización debe minimizarse desde el diseño en lugar de protegerse a posteriori, se imponen lógicamente tres medidas.
- Hacer obligatorio el ocultamiento efectivo del identificador. Imponer la activación del SUCI y prohibir los esquemas de protección nulos en las redes comerciales, salvo el caso residual de las llamadas de emergencia. No se trata de prescribir una tecnología nueva ni de financiar un despliegue, sino de exigir la activación de una función normalizada desde hace siete años y ya presente en los equipos.
- Tratar la conservación como la excepción, no como el valor por defecto. La posición necesaria para encaminar una comunicación debería borrarse en cuanto esa función se haya cumplido. La constitución de un historial debería requerir una justificación específica. Es la diferencia entre una red que sabe dónde está usted y una red que recuerda dónde ha estado.
- Convertir la custodia de la clave en el criterio de vinculación pertinente. La ubicación de los servidores en la Unión no significa gran cosa si las claves que permiten hacer inteligibles los datos se encuentran en otro sitio. El criterio jurídicamente significativo debería ser el control efectivo de los medios de descifrado, cuestión que examinamos en detalle a propósito del conflicto entre el Data Act y la CLOUD Act .
El enfoque que sigue Arpokrat
Este razonamiento no es propio del derecho de las telecomunicaciones. Es el que aplicamos a nuestras propias decisiones de arquitectura, y cabe en una frase: lo que no se ha producido no necesita protección.
Por eso ArpokratOS retira el GPS, el Bluetooth y el NFC a nivel del núcleo en lugar de desactivarlos en un menú. Un interruptor es una política: puede ser eludido por un componente privilegiado, reactivado por una actualización, ignorado por un sistema comprometido. Retirar la ruta de código elimina la cuestión. Es la trasposición, a escala de un dispositivo, del mismo desplazamiento que reclamamos a escala del derecho: intervenir sobre la generación en vez de sobre el acceso.
Hay que decir de inmediato lo que eso no hace. Ningún sistema operativo sustrae un terminal a la geometría de la red. Mientras haya una tarjeta SIM activa, el operador conoce la celda de conexión, y encaminar todo el tráfico por Tor no cambia nada, puesto que protege el contenido y el destino, no la capa radio. Precisamente por eso el asunto es jurídico. Hay una categoría de riesgos que ninguna configuración individual reduce, y para la cual la única variable disponible es la norma aplicable al operador.
La misma preocupación gobierna el resto de nuestro trabajo. Un dato que no existe no puede ser requisado, ni revendido, ni exfiltrado, ni descifrado dentro de diez años por una máquina de la que hoy nadie dispone, cuestión que hemos tratado desde el ángulo del cifrado cosechado ahora y roto después .
Conclusión
El debate público sobre la vigilancia móvil se concentra casi exclusivamente en el acceso: quién puede consultar los datos, con qué fundamento, con qué autorización. Ese debate es legítimo, y las resoluciones dictadas desde 2014 por el Tribunal de Justicia han producido efectos tangibles. Pero llega demasiado tarde en la cadena.
La cuestión anterior, y más determinante, es saber si el historial debe existir. Una base constituida hoy por un motivo legítimo sigue disponible mañana para otro, y las garantías que la rodean dependen de decisiones políticas posteriores que nadie controla en el momento de la recogida. Es una apuesta sobre la estabilidad de las instituciones, formulada por una duración que nadie fija.
El 5G ha multiplicado la resolución de esa información sin que interviniera ninguna adaptación normativa. Al mismo tiempo ha demostrado, mediante el mecanismo del SUCI, que la vía practicable consiste en disociar la posición de la identidad en lugar de intentar cifrar una propiedad física de la red. La norma técnica dio la respuesta siete años antes de que el derecho formulara la pregunta.
El texto europeo sobre conservación de datos se está escribiendo ahora. Versará sobre los metadatos, es decir, sobre la localización, es decir, sobre lo que el 5G produce hoy con una finura que sus redactores no conocieron. Saber si se conformará con organizar el acceso a un historial dado por supuesto, o si se atreverá a interrogar la necesidad de ese historial, es probablemente la cuestión de privacidad más importante de los próximos años en Europa. Y es una cuestión que el sector técnico, por una vez, ya ha zanjado en el buen sentido.
Fuentes
- Tribunal de Justicia de la Unión Europea, Digital Rights Ireland , asuntos acumulados C-293/12 y C-594/12, 8 de abril de 2014
- Tribunal de Justicia de la Unión Europea, Tele2 Sverige y Watson , asuntos acumulados C-203/15 y C-698/15, Gran Sala, 21 de diciembre de 2016
- Tribunal de Justicia de la Unión Europea, La Quadrature du Net y otros , asuntos acumulados C-511/18, C-512/18 y C-520/18, Gran Sala, 6 de octubre de 2020
- Supreme Court of the United States, Carpenter v. United States , 585 U.S. 296, 2018
- National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, marzo de 2026
- Ericsson, 5G positioning: Locating devices anywhere
- Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
- Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
- European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
- heise online, Data Retention: Commission to present proposal by mid-2026