Cae una tercera ley belga, por un motivo nuevo
El 3 de septiembre de 2026, el abogado general Maciej Szpunar presentó su dictamen en el asunto C-661/24, recomendando al Tribunal de Justicia de la UE anular la ley belga de retención de datos de 2022. Es la tercera ley belga de retención de datos consecutiva que fracasa ante el TJUE: la directiva de retención de datos de toda la UE cayó en 2014, una segunda ley belga cayó tras la sentencia La Quadrature du Net de 2020, y este reemplazo de 2022 afronta ahora el mismo destino.
La ley de 2022 obligaba a los proveedores de comunicaciones a almacenar metadatos de identificación, tráfico y localización de cada usuario, con el objetivo de combatir el ciberdelito, las brechas de seguridad de red y el fraude en línea. Szpunar consideró que abarca un conjunto de datos particularmente amplio sin imponer métodos de almacenamiento que mantengan las distintas categorías realmente separadas, lo que a su juicio hace que la injerencia en los derechos de privacidad sea desproporcionada.
La prueba que realmente importa: separación hermética
La razón por la que este dictamen va más allá de una anulación rutinaria es el criterio que Szpunar propone para lo que superaría el examen. Argumenta que los Estados pueden retener de forma indiscriminada una gama más amplia de datos de tráfico y localización, no solo direcciones IP, siempre que controles técnicos mantengan las categorías separadas hasta que exista una base legal para combinarlas, y llama a esa separación la condición de la proporcionalidad, no el volumen de datos recogidos.
Lo plantea en parte como respuesta a cómo funciona realmente el ciberdelito: los delitos facilitados por internet necesitan el rastro de metadatos para su enjuiciamiento, argumenta, por lo que las prohibiciones generales de recogida arriesgan una impunidad sistémica para una categoría creciente de delito.
De dónde viene realmente esta prueba
Szpunar no inventa la prueba de separación de la nada. En 2024, el TJUE resolvió en un asunto La Quadrature du Net distinto, este impugnando el régimen francés de aplicación del derecho de autor, que la recogida y almacenamiento indiscriminados de direcciones IP y datos de identidad del cliente son aceptables, incluso para combatir delitos por debajo del umbral de delito grave, siempre que las distintas categorías de metadatos se mantengan separadas hasta que alguien establezca una base legal para combinarlas.
El dictamen de Szpunar pide al tribunal que extienda esa misma lógica de las direcciones IP en concreto al conjunto más amplio de tipos de datos de tráfico y localización que cubre la ley belga. Un profesor de derecho de Dublín y presidente de larga data de Digital Rights Ireland lo calificó de dictamen potencialmente muy importante, uno que invita al TJUE a reconsiderar la base de toda su jurisprudencia sobre retención de datos en torno a los controles de almacenamiento y acceso, y no a la recogida en sí.
No todos lo leen como un avance
Los grupos de derechos digitales organizados bajo European Digital Rights ya han señalado que combatirán cualquier marco construido sobre este razonamiento, argumentando que la retención indiscriminada crea su propio riesgo de seguridad: los metadatos que un Estado retiene para la aplicación de la ley son también metadatos vulnerables a la próxima brecha. También cuestionan la premisa de que la retención indiscriminada reduzca realmente el delito, alegando que no existe un vínculo científicamente probado entre ambas cosas.
El dictamen de Szpunar es solo consultivo. El TJUE puede fallar de otro modo, aunque sigue los dictámenes de sus abogados generales en la mayoría de los casos, según observadores jurídicos que siguen el asunto.
Qué viene después, y la tabla que muestra el patrón
La Comisión Europea prepara discretamente nuevas normas para toda la UE que sustituyan a la ya extinta directiva de retención de datos, tras realizar una evaluación de impacto y una consulta pública, y ha prometido explorar medidas para la interceptación legal transfronteriza de aquí a 2027. Una sentencia del TJUE que siga el dictamen de Szpunar daría a ese proceso de redacción una luz verde para una retención más amplia que antes no tenía con claridad. Cualquier empresa que trate metadatos de comunicaciones bajo un mandato de retención de la UE debería tratar este dictamen como la primera señal de hacia dónde se dirige ese marco, meses antes de que exista una sentencia definitiva o una propuesta de la Comisión.
| Año | Sentencia o dictamen | Efecto |
|---|---|---|
| 2014 | Directiva de retención de datos de la UE anulada | La retención general de metadatos de seis a 24 meses se declaró vigilancia masiva |
| 2020 | La Quadrature du Net (Bélgica) | Retención permitida solo si está focalizada, con salvaguardas de acceso reales |
| 2022 | Tercera ley belga de retención | Se aprueba una amplia ley de retención de metadatos, ahora impugnada |
| 2024 | La Quadrature du Net (Francia, derecho de autor) | Retención indiscriminada de direcciones IP permitida si las categorías se mantienen separadas |
| 2026 | Dictamen de Szpunar, asunto C-661/24 | Propone ampliar la prueba de separación a tipos más amplios de metadatos |
Servola Journal
Hacemos esto para todos los que intentan mantenerse al día con lo que la tecnología le hace a nuestras vidas. Las personas que la construyen, y las personas a las que les ocurre. El Servola Journal existe para que lo que aprendemos les pertenezca a todos ellos.
Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién puede pagarlo.
Si esto le dio algo hoy, díganos que sigamos adelante siguiéndonos. Síganos, dejen un me gusta o escriban un comentario positivo. Los leemos todos, y son lo que nos mantiene en marcha.
Leer a continuación: Una multa del RGPD por historiales dejados pudrirse en un baño | El modo local de IA de Perplexity no es un atajo del RGPD
