La vigilancia de viajeros sube en EE. UU. y Europa: 5 años de redes y biometría

Estados Unidos quiere que quien viaje sin visa entregue más datos personales. Todavía no es una obligación vigente.

El 10 de diciembre de 2025, la Oficina de Aduanas y Protección Fronteriza (CBP) publicó una propuesta para modificar el ESTA, el permiso electrónico que usa quien entra por el Visa Waiver Program. El período de comentarios cerró el 9 de febrero de 2026. A fines de septiembre de 2026, el formulario oficial todavía marca las redes sociales como opcionales (Optional). La exigencia de cinco años sigue siendo una propuesta, no la regla que se ve hoy en el formulario.

La propuesta, sin embargo, es concreta. CBP quiere que informar las redes sociales de los últimos cinco años deje de ser voluntario. Y suma, cuando sea factible, otra lista: teléfonos usados en cinco años, correos de los últimos diez, direcciones IP y metadatos de las fotos enviadas por vía electrónica, nombres de padres, cónyuge, hermanos e hijos, sus teléfonos, fechas y lugares de nacimiento y residencias. También aparecen biometrías: rostro, huellas digitales, ADN e iris.

No es un trámite de un solo país. El Visa Waiver Program incluye a Australia y a varios Estados europeos. CBP estimó unas 14,48 millones de solicitudes anuales para su aplicación móvil y un promedio de 22 minutos para completar el proceso proyectado.

Lo que circula en redes no es exactamente lo que dice el papel. CBP no escribió que vaya a recibir el contenido completo de cinco años de publicaciones privadas. El texto pide proporcionar social media de los últimos cinco años. Quienes analizaron la propuesta interpretan que se trata sobre todo de identificadores de cuentas, como el sistema que ya se usaba. El expediente debería dejar ese punto cerrado antes de volverse una exigencia definitiva.

El argumento de CBP es seguridad y control fronterizo. La agencia vincula la reforma con la orden ejecutiva 14161 del 20 de enero de 2025: mejorar el análisis de identidad, detectar fraude y determinar posibles amenazas. La misma propuesta contempla pasar las solicitudes nuevas a una aplicación móvil como plataforma exclusiva.

Ese dato choca con otra discusión que Washington mantiene con Europa y con Australia. La administración Trump ha dicho, varias veces, que las reglas europeas sobre internet, sobre todo la Ley de Servicios Digitales (DSA), amenazan la libertad de expresión.

El 22 de septiembre de 2026, la Embajada de Estados Unidos en Canberra respondió a la consulta del proyecto australiano Online Safety Amendment (Digital Duty of Care) Bill 2026. El texto dice que si Australia obliga a las plataformas a filtrar el contenido de los feeds algorítmicos por un mandato estatal, y ese filtro alcanza a discurso protegido, el efecto sobre el alcance de un emisor no sería distinto de sacarlo. El gobierno estadounidense, escribió, probablemente consideraría esa medida como facilitar la censura.

Nota relacionada: Cuando la IA busca otra puerta

Cuando se mira el tratamiento estatal de los datos personales, la frontera entre esos modelos es menos nítida.

Europa también armó, en pocos años, una infraestructura grande de vigilancia y análisis de viajeros. El Entry/Exit System (EES) de Schengen registra, para determinados viajeros extracomunitarios, entradas y salidas. Puede guardar imagen facial y huellas digitales, más información personal cruzada con otros sistemas europeos. Quedó completamente operativo en los países participantes el 10 de abril de 2026.

El ETIAS, a su vez, pide a ciertos viajeros exentos de visa datos que van más allá del pasaporte: domicilio, nombres de los padres, correo y teléfono, nivel educativo, ocupación, destino y estadía prevista, condenas penales, viajes a zonas de guerra o conflicto y ciertas decisiones migratorias previas.

Y el Passenger Name Record (PNR) europeo permite a las autoridades procesar lo que se carga al reservar un vuelo. Puede incluir itinerario completo, dirección y teléfono, pago, asiento, equipaje, agencia, otros pasajeros de la misma reserva y el historial de cambios. La ley europea fija una conservación de hasta cinco años, con despersonalización a los seis meses (se quitan los datos que identifican a la persona) y otras restricciones de uso y transferencia.

La diferencia de fondo está en las garantías jurídicas, no en la ausencia de vigilancia. La Unión Europea tiene el RGPD: considera a las IP datos personales y fija derechos de acceso, corrección y eliminación, con finalidad limitada. El Convenio Europeo de Derechos Humanos protege la vida privada, las comunicaciones y la libertad de expresión.

Hay límites específicos sobre vigilancia digital. El Consejo de Europa sostiene que la vigilancia o interceptación generalizada no está permitida salvo casos excepcionales previstos por la ley. La DSA, a su vez, prohíbe imponer a las plataformas una obligación general de monitoreo.

Eso no apaga la controversia europea. La DSA da a autoridades nacionales y a la Comisión facultades de investigación y permite exigir a las grandes plataformas medidas frente a contenidos ilegales y a ciertos riesgos sistémicos. Estados Unidos dice que algunas de esas facultades pueden afectar la libertad de expresión. La ley europea responde que las medidas deben ser necesarias y proporcionales, y que las decisiones están sujetas a control judicial.

Lo llamativo es el doble movimiento. Washington critica la libertad en Europa y, al mismo tiempo, propone ampliar cuánta información personal puede exigir un Estado a un extranjero solo para autorizar un viaje. No son el mismo mecanismo: la DSA regula sobre todo plataformas; la propuesta estadounidense es control migratorio y fronterizo. Los dos muestran una tendencia común: los Estados occidentales están aumentando su capacidad de recopilar, cruzar y analizar información digital de las personas.

Nota relacionada: Un tribunal de EE. UU. confirmó el veto del Pentágono a Claude

En Estados Unidos la expansión no empezó con este expediente. Las redes sociales entraron al ESTA como campo voluntario en 2016. En 2022 CBP intentó hacerlas obligatorias; la Oficina de Administración y Presupuesto (OMB) sacó ese requisito en la revisión. En 2023 volvió a quedar opcional. La propuesta de 2025 insiste: obligatorio, y con un universo de datos mucho más amplio.

Por eso la discusión real no es Estados Unidos libre versus Europa sin libertad. Los papeles muestran otra cosa, más incómoda: Estados Unidos y Europa tienen concepciones jurídicas distintas sobre expresión, privacidad y poder estatal, y los dos están armando sistemas cada vez más capaces de identificar y analizar digitalmente a las personas. La diferencia está en qué datos se piden, para qué, durante cuánto tiempo, quién puede verlos y qué recurso tiene una persona para cuestionar ese tratamiento.

Si la propuesta de CBP se aprueba tal como está, un viajero del Visa Waiver Program que quiera pasar unas vacaciones en Estados Unidos podría tener que entregar cinco años de cuentas de redes, una década de correos, teléfonos, datos de la familia, IP y metadatos de fotos. Al cierre de esta nota, esa ampliación sigue siendo una propuesta: el formulario oficial de ESTA todavía marca las redes sociales como opcionales.