Una berlina gris pasa bajo un pórtico de autopista a 110 km/h. La cámara fijada al mástil lee la matrícula, la fecha, la registra. Nada nuevo: este dispositivo existe desde hace veinte años, desplegado por decenas de miles de unidades tanto en Norteamérica como en Europa.
Pero si ese pórtico ha recibido el módulo que el grupo italiano Leonardo comercializa desde junio de 2026, acaba de registrar algo más. El iPhone del conductor. Los auriculares inalámbricos de la pasajera. El reloj conectado sobre el salpicadero. La radio del coche. El llavero conectado en la guantera. Los sensores de presión de los cuatro neumáticos. La tarjeta de acceso olvidada en una chaqueta. Y, si un perro duerme detrás, su chip de identificación.
Una decena de identificadores, una matrícula, una posición, una hora. Repítalo en cada pórtico de la red y ya no está siguiendo un coche: está siguiendo a personas, y sabe con quién se desplazan.
Lo que hace realmente el dispositivo
El producto se llama SignalTrace. Vendido por Leonardo US Cyber and Security Solutions, completa la gama ELSAG, una de las líneas de lectores automáticos de matrículas más extendidas del mercado estadounidense. Su existencia fue revelada el 8 de junio de 2026 por Joseph Cox en 404 Media , a partir de una ficha de producto del fabricante.
El punto decisivo cabe en una frase: no se trata de cámaras nuevas. SignalTrace es un sensor de radio añadido a los lectores de matrículas ya instalados. El mástil no cambia, el emplazamiento no cambia, la silueta del equipo al borde de la carretera no cambia. Lo que cambia es lo que ese equipo escucha.
El sensor registra los identificadores difundidos en claro por los protocolos Bluetooth, Wi-Fi y RFID de los aparatos presentes en el vehículo. Punto técnico a menudo mal entendido: no se piratea ningún aparato ni se explota ninguna vulnerabilidad. Un dispositivo Bluetooth o Wi-Fi emite permanentemente tramas de descubrimiento, porque estos protocolos fueron concebidos así. Sus auriculares anuncian su presencia para que su teléfono los encuentre, y ese teléfono interroga a su vez el aire circundante en busca de las redes que conoce. Estas emisiones son públicas por construcción, y cualquier receptor al alcance las oye.
Leonardo precisa además que el sistema funciona con o sin lector de matrículas , incluso en interiores, y reconoce un vehículo cuya matrícula esté tapada o retirada.
La adaptación sobre lo existente es el verdadero asunto político. Instalar una nueva red de cámaras desencadena una votación, una deliberación, a veces un litigio. Añadir una tarjeta electrónica dentro de una carcasa ya validada no desencadena nada. La capacidad de vigilancia cambia de naturaleza sin debate público, porque materialmente no hay nada nuevo que ver.
Del vehículo a la persona, y de la persona al grupo
Un lector de matrículas responde a una pregunta: dónde estaba este vehículo. SignalTrace añade dos: quién iba dentro, y con quién.
Leonardo no lo oculta, es el argumento de venta. El sistema constituye lo que la documentación llama una huella electrónica, un conjunto de identificadores «emitidos frecuentemente juntos». El ejemplo del fabricante es explícito: en una ciudad entera, un solo vehículo asociará un iPhone 13rev2, una radio Audi, unos auriculares Bose, un reloj Garmin, un localizador de llaves y la matrícula ABC-1234.
El producto no se limita a seguir vehículos. Produce automáticamente un grafo de relaciones entre personas, sin que nadie haya tenido que formular la menor sospecha.
Ahí se produce el salto cualitativo. Al correlacionar los aparatos que viajan juntos con regularidad, el sistema construye mecánicamente un grafo social. Dos teléfonos que se encuentran cada mañana en el mismo coche son un viaje compartido, o una relación que ninguno de los dos desea hacer pública. Cincuenta aparatos captados en el mismo lugar a la misma hora son una concentración: una manifestación, un oficio religioso, una reunión sindical o una cola ante una clínica.
Ninguna de estas conclusiones exige acceder al contenido de una comunicación. Se deduce de una tabla de proximidad, por defecto, sobre toda la población que circula y no sobre objetivos designados. Es culpabilidad por asociación, producida industrialmente, antes de cualquier investigación. Tom Bowman, jurista del Center for Democracy & Technology , resume el problema en TechNewsWorld : lo que hace útil la herramienta para seguir a un sospechoso real la hace igualmente capaz de seguir a todos los demás automovilistas, ninguno de los cuales ha consentido en que se registren sus aparatos.
Leonardo opone dos argumentos: el sistema no descifra ni lee el contenido de las comunicaciones, y no identifica a las personas por sí mismo. Ambas afirmaciones son exactas, y ambas son ajenas al problema. La información buscada nunca fue el contenido, está en el metadato de posición, más revelador que un mensaje. En cuanto a la identificación, el propio fabricante reconoce que un investigador puede vincular una firma electrónica a una matrícula y remontarse luego al titular mediante los registros de matriculación.
Un derecho estadounidense escrito para otra cosa
En Estados Unidos existen leyes estatales que regulan los lectores de matrículas, y algunas son exigentes en cuanto a plazos de conservación y finalidades de acceso. Pero todas se redactaron en torno a un objeto preciso: la imagen de una placa de matrícula. Ninguna anticipa la captación de identificadores de aparatos personales por el mismo equipo.
Este desfase no crea una ilegalidad sino una zona gris, más cómoda para el vendedor. Un cuerpo policial puede sostener, sin mentir, que su programa de lectores de matrículas está autorizado y es conforme, mientras recoge ya bajo el mismo régimen datos de naturaleza completamente distinta. Leonardo dispone además de contratos federales, con el Special Operations Command y la General Services Administration, es decir, una vía de compra que elude en gran medida las validaciones locales.
El debate constitucional, por su parte, acaba de moverse, y conviene ser preciso porque el estado del derecho ha cambiado este verano. En enero de 2026, un tribunal federal de Virginia juzgó, en el asunto Schmidt v. City of Norfolk, que la red de cámaras Flock de la ciudad no constituía un registro en el sentido de la cuarta enmienda, al no cubrir la totalidad de los desplazamientos de los habitantes. La decisión está en apelación ante el Cuarto Circuito, donde ha intervenido la ACLU .
Después, el 29 de junio de 2026, el Tribunal Supremo dictó Chatrie v. United States . Por cinco votos contra cuatro, con ponencia de la jueza Kagan, resolvió que la obtención por la policía de los datos de localización de un teléfono constituía un registro, ya que una persona conserva una expectativa razonable de privacidad sobre esos datos incluso en manos de un tercero y durante un periodo corto. La sentencia prolonga Carpenter v. United States de 2018 y debilita la doctrina del tercero depositario, como ha señalado el CDT .
El alcance exacto de Chatrie sobre SignalTrace no está resuelto, y sería imprudente afirmar lo contrario: la sentencia versa sobre datos reclamados a Google, no sobre una captación directa por un sensor policial en el espacio público. Pero instala el razonamiento que importa, a saber, que la sensibilidad de un dato de localización no depende de quién lo posea.
La cuestión europea, que es la cuestión de verdad
Aquí es donde el expediente se vuelve incómodo para Europa. Leonardo no es un proveedor estadounidense, sino un grupo italiano cotizado en Milán cuyo primer accionista es el Ministerio italiano de Economía y Finanzas, con alrededor del 30 % del capital y el poder de designar la mayoría del consejo de administración. El Estado italiano no es un accionista pasivo de este producto.
El punto técnico, primero
En derecho europeo, un identificador de aparato es un dato de carácter personal. No es una opinión doctrinal, sino la posición constante de las autoridades. La CNIL trata explícitamente la dirección MAC como tal en su doctrina sobre los dispositivos de medición de afluencia , y solo admite su recogida en el espacio público bajo condiciones estrictas: anonimización en unos minutos con una alta tasa de colisión entre individuos, o seudonimización fiable seguida de destrucción en veinticuatro horas, a falta de lo cual el consentimiento pasa a ser obligatorio. La misma doctrina precisa que invitar a la gente a apagar su Wi-Fi no es una modalidad de oposición aceptable.
El Tribunal de Justicia de la Unión Europea precisó el 4 de septiembre de 2025, en el asunto SEPD contra JUR (C-413/23 P), que el carácter personal de un dato seudonimizado se aprecia a la luz de los medios de reidentificación razonablemente utilizables. Ahora bien, aquí el poseedor es una autoridad policial, que dispone de los registros de matriculación. Los medios de reidentificación no son hipotéticos, están en el despacho de al lado.
El matiz que lo cambia todo
Sería falso escribir que SignalTrace «sería ilegal en Europa», y un lector jurista lo señalaría de inmediato. Un tratamiento realizado por una autoridad competente con fines de prevención y represión penal no está sujeto al RGPD. Está sujeto a la Directiva (UE) 2016/680 , llamada Directiva de protección de datos penales, transpuesta por separado por cada Estado miembro, en Francia en el título III de la ley de protección de datos. La CNIL recuerda que este régimen es autónomo, con sus propias bases de licitud y sus propios derechos.
La buena pregunta no es, por tanto, la de la legalidad abstracta, sino la de las condiciones. Bajo este régimen, tal dispositivo supondría una base legal nacional expresa, finalidades determinadas, una necesidad demostrada, un plazo de conservación acotado, una evaluación de impacto y un control independiente. En Francia, los lectores de matrículas están regulados así: los artículos L233-1 y L233-1-1 del código de seguridad interior fijan una lista limitativa de infracciones que abren derecho a su uso, y la conservación sigue siendo de las más cortas de la Unión, quince días en principio, aunque una proposición de ley del Senado busque alargarla.
Esa es la diferencia de fondo con la situación estadounidense. En Estados Unidos, la ley regula un objeto, la matrícula, y el silencio sobre los identificadores de aparatos equivale a permiso. En Europa, la ley regula finalidades y categorías de datos, y ese silencio equivale más bien a prohibición, a falta de base legal expresa. El vacío constatado al otro lado del Atlántico no existe aquí de la misma forma. No porque Europa sea más virtuosa: su técnica jurídica es la inversa.
Cuánto vale entonces la protección
Queda la pregunta que motiva este artículo. ¿Cuánto vale una protección reguladora europea cuando una empresa europea, controlada por un Estado miembro, vende fuera de Europa una capacidad que no podría desplegar en casa sin una ley nueva?
Las objeciones merecen tomarse en serio. Un industrial no es responsable del marco legal de su cliente: corresponde a las autoridades estadounidenses decidir qué autorizan en su casa. El producto no se vende a una dictadura sino a un Estado de derecho dotado de un tribunal supremo activo, como acaba de recordar Chatrie. Y el argumento de soberanía industrial es legítimo: si los grupos europeos se prohíben esos mercados, los tomarán proveedores israelíes, estadounidenses o chinos, sin que la vigilancia retroceda un metro, y Europa perderá su base tecnológica.
Estos argumentos son admisibles. No responden al problema.
Primero porque la Unión ya ha reconocido que la exportación de medios de vigilancia no es un comercio como otro cualquiera. El Reglamento (UE) 2021/821 sobre productos de doble uso introdujo en su artículo 5 una cláusula general que cubre los productos de cibervigilancia, porque el legislador admitió que una herramienta legal de fabricar puede ser ilegítima en destino. Su límite es instructivo: se activa ante un riesgo de represión interna o de violaciones graves de los derechos humanos, categorías pensadas para regímenes autoritarios. Una venta a una policía municipal estadounidense no entra ahí. La rejilla europea examina la moralidad del cliente, nunca la naturaleza de la capacidad vendida.
Después porque un producto así no es un stock que se liquida, sino una capacidad que se mantiene: financia investigación, forma ingenieros, acumula saber hacer y crea una base instalada. El día en que un atentado grave empuje a un Estado miembro a reclamar esa capacidad, el debate ya no versará sobre la conveniencia de construirla. Existirá, será europea, será madura, y su proveedor será parcialmente público. El argumento del «solo seguimos el mercado» se vuelve entonces circular, puesto que el mercado doméstico habrá sido preparado por la exportación.
Eso es lo que vale una protección reguladora en este escenario: protege a los europeos frente a los usos, no frente a la existencia de los medios. Resuelve la cuestión de quién tiene derecho a apretar el botón, y deja a la industria construirlo, venderlo, mejorarlo y luego esperar.
Lo que se puede hacer, sin contarse historias
La primera respuesta que se menciona es siempre la aleatorización de la dirección MAC. Merece un examen honesto, ni promoción ni desprecio. Es real y funciona.
Android desde la versión 10 e iOS desde la versión 14 aleatorizan por defecto la dirección MAC utilizada en Wi-Fi, con una dirección distinta por red. En Bluetooth Low Energy, los aparatos modernos difunden direcciones privadas resolubles, que cambian periódicamente y solo pueden vincularse al aparato real por un interlocutor que posea la clave de resolución.
Sus límites son igual de reales.
- El emparejamiento vuelve a abrir la puerta. La clave de resolución se transmite durante el emparejamiento. Un aparato ya emparejado, o aprobado explícitamente, recupera la identidad estable tras la dirección rotatoria. El mecanismo está concebido para eso.
- Muchos objetos no aleatorizan nada. Sensores de presión de neumáticos, tarjetas RFID, chips de identificación animal, radios de coche y periféricos baratos emiten identificadores fijos. La ficha de producto de Leonardo menciona exactamente esas categorías, lo que no es casualidad.
- La aleatorización se desactiva. Se corta red por red, y a menudo lo está por comodidad, para un filtrado MAC en un router doméstico o por política de empresa.
- El grupo sobrevive a la rotación de los identificadores. Es el punto menos intuitivo y el más importante. SignalTrace no busca un identificador, busca un conjunto de aparatos que viajan juntos. Si un solo miembro del grupo emite un identificador estable, el conjunto sigue siendo vinculable, sea cual sea la disciplina de los demás.
La medida más eficaz sigue siendo la más aburrida: no emitir. Eso supone desactivar Bluetooth y Wi-Fi a nivel del sistema, en los ajustes, y no desde el panel de accesos rápidos. La distinción no es cosmética, la habíamos detallado en nuestro artículo sobre la geolocalización permanente del teléfono : en la mayoría de los sistemas de consumo, el botón del panel rápido corta el emparejamiento visible pero deja viva la pila de software, y los análisis de proximidad continúan. Aquel artículo describía el barrido Bluetooth como un vector teórico. SignalTrace es su producto comercial, catalogado y entregable.
Hay que ser honesto con el resultado: estas medidas reducen la superficie de exposición, no la anulan. Un vehículo sigue siendo una matrícula, y una matrícula sigue siendo legible. La única manera de no emitir nada es no llevar nada, lo que no es una política pública.
Lo que esto dice de nuestras decisiones de diseño
En Arpokrat, es este razonamiento el que nos llevó a tratar el Bluetooth en el Core de ArpokratOS y no en los ajustes. Un interruptor en una interfaz es una preferencia de usuario: una actualización, una aplicación del sistema o un servicio de localización pueden eludirla o reactivarla, sin que el usuario lo sepa. Una pila ausente no se reactiva.
Frente a una captación como la de SignalTrace, esto evidentemente no vuelve indetectable un aparato, y no lo pretendemos: un teléfono sigue en una red móvil, y los demás objetos de un vehículo emiten por su cuenta. Lo que garantiza es que un vector de emisión concreto está ausente por construcción en lugar de desactivado por confianza. Es la tesis que defendíamos a propósito de la 5G y el error de objetivo del derecho : la protección jurídica se concentra en el acceso a los datos cuando debería recaer sobre la existencia misma de la infraestructura que los produce. SignalTrace es su ilustración, salvo que esta infraestructura se construye en Europa.
Conclusión
Lo más llamativo de este expediente no es la capacidad técnica, que los investigadores describían desde hace años. Es el método de despliegue.
No habrá una nueva red de cámaras que inaugurar, ninguna deliberación municipal que impugnar, ningún contrato público identificable como un cambio de naturaleza. Habrá módulos añadidos a mástiles existentes, bajo contratos existentes, en programas ya autorizados. El día en que se abra el debate público, la infraestructura estará instalada, amortizada e integrada en los procedimientos de investigación. El debate versará entonces sobre las condiciones de acceso a una base que existe, nunca sobre la conveniencia de haberla constituido.
Es el orden habitual de las cosas en materia de vigilancia, y no es accidental. Queda por saber si Europa considera que tiene algo que decir cuando sus propios industriales, respaldados por sus propios Estados, construyen esta infraestructura para otros. El derecho europeo ha organizado cuidadosamente la respuesta a la pregunta de quién puede consultar estos datos en casa. Nunca ha planteado la de quién tiene derecho a fabricar la máquina.