Jurisdicciones, Five Eyes y privacidad
Toda empresa se rige por las leyes del país en el que tiene su sede. Esas leyes determinan qué autoridades pueden exigir datos, qué procedimiento necesitan y si la empresa puede informar a los usuarios. Privacy Ratings muestra la jurisdicción de cada empresa en su página de valoración, en las tablas de categorías y en las páginas de países que aparecen más abajo.
Los acuerdos Eyes
Los Five Eyes nacieron con el Acuerdo UKUSA para compartir inteligencia de señales. Los Nine Eyes y los Fourteen Eyes son acuerdos de intercambio más amplios. Las agencias de inteligencia de estos países comparten datos entre sí, lo que puede permitirles recibir información sobre personas que no podrían recopilar legalmente por sí mismas.
| Acuerdo | Países |
|---|---|
| Five Eyes | Estados Unidos, Reino Unido, Canadá, Australia, Nueva Zelanda |
| Nine Eyes | Five Eyes, más Dinamarca, Francia, los Países Bajos y Noruega |
| Fourteen Eyes | Nine Eyes, más Bélgica, Alemania, Italia, España y Suecia |
Fuentes: Acuerdo UKUSA, documento técnico de Forward Email (sección 9.5).
Cómo tratan la jurisdicción otras guías
- Privacy Guides exige que los proveedores de VPN tengan su sede "en una jurisdicción donde no se les pueda obligar a hacer registros secretos" y prefiere proveedores de correo en "una jurisdicción con leyes sólidas de protección de la privacidad del correo", sin nombrar países. Criterios de VPN, criterios de correo
- That One Privacy Site marcaba en rojo los países de los Five Eyes, en amarillo los de los Nine y Fourteen Eyes, y en verde todos los demás. Fórmulas de la tabla
- Who Has Your Back de la EFF valoraba a las empresas por lo que hacen con las solicitudes gubernamentales: informes de transparencia, aviso a los usuarios y exigencia de órdenes judiciales. Who Has Your Back
Cómo lo trata Privacy Ratings
La jurisdicción se muestra, pero no se puntúa. La ubicación por sí sola es un indicador débil:
- Proton, en Suiza y fuera de todos los acuerdos Eyes, cumplió 8.313 de 9.301 órdenes judiciales en su informe anual más reciente. Fuente
- Proton VPN, de la misma empresa y el mismo país, no cumplió ninguna porque no guarda registros. Fuente
- Mullvad, en Suecia, país de los Fourteen Eyes, ha superado auditorías que confirman que sus servidores VPN no guardan datos de clientes. Fuente
Lo que un proveedor puede entregar depende de los datos que guarda y de quién tiene las claves. Por eso las puntuaciones miden eso: cifrado, registros, auditorías, informes de transparencia y aviso a los usuarios. Cada página sigue mostrando el país, su pertenencia a los Eyes, la cobertura de la UE o del RGPD y si se aplica la CLOUD Act, para que cada lector pueda valorar la jurisdicción por sí mismo.