Borrador de la Iniciativa Ciudadana Europea

Objetivos

¿por qué puedes instalar cualquier software en un ordenador, pero no en el teléfono que has pagado? No tiene por qué ser así.

Las grandes tecnológicas (Big Tech) bloquean los dispositivos y utilizan comprobaciones como Play Integrity para bloquear aplicaciones bancarias y de transporte si utilizas software alternativo.

Exigimos una legislación de la UE mediante una Iniciativa Ciudadana Europea (ICE) oficial para:

1. Garantizar el derecho a desbloquear incondicionalmente el cargador de arranque (bootloader) e instalar cualquier sistema operativo.
2. Evitar que las aplicaciones y los servicios esenciales discriminen a los sistemas alternativos y de código abierto.
3. Hacer cumplir estándares de seguridad abiertos e independientes del fabricante, para que los usuarios sean verdaderos dueños de sus teléfonos.

Anexo

1. Contexto y exposición del problema

Cuando compras un ordenador, es tuyo. Eres el dueño de la máquina y tú eliges qué sistema operativo y qué programas instalar. Pero en los teléfonos móviles, esa regla básica de propiedad se ha roto. Las grandes tecnológicas bloquean el cargador de arranque (bootloader) y utilizan comprobaciones propietarias de integridad para decidir qué software tienes permitido usar en un aparato por el que ya has pagado.

Estos marcos cerrados de integridad actúan como guardianes privados. Cuando la ciudadanía europea opta por sistemas operativos independientes, europeos o de código abierto (p. ej., /e/OS, postmarketOS, GrapheneOS), aplicaciones esenciales deniegan el servicio de forma arbitraria. Herramientas cotidianas críticas, tales como la banca electrónica, el transporte público y los sistemas de identidad digital, tratan a los dispositivos bajo control del usuario como intrínsecamente comprometidos. Estos sistemas operativos no están comprometidos y son tan seguros como los predeterminados. Esto crea una barrera inaceptable para la soberanía digital europea y fuerza a la ciudadanía a una dependencia exclusiva del ecosistema de las grandes tecnológicas extranjeras.

2. Por qué esto importa a toda la ciudadanía europea

Incluso para quienes nunca sustituyen su sistema operativo predeterminado:

• Reducción de residuos electrónicos: La obsolescencia forzada se produce cuando los fabricantes finalizan las actualizaciones de seguridad para un hardware plenamente funcional. Permitir el desbloqueo del bootloader permite a la comunidad de mantenedores prolongar de forma segura la vida útil de los dispositivos, evitando que toneladas de residuos electrónicos tóxicos acaben en vertederos, avanzando en los objetivos del Plan de Acción de Economía Circular de la UE y cumpliendo los objetivos fundamentales de la Directiva sobre el Derecho a Reparar.
• Protección del consumidor y resiliencia del mercado: Los servicios europeos críticos no deben depender de las políticas privadas ni de los servidores propietarios de guardianes de acceso extranjeros. Los estándares abiertos garantizan un acceso continuo y salvaguardan la autonomía estratégica europea.
• Innovación tecnológica europea: Eliminar las barreras arbitrarias de atestación permite a las empresas de software europeas, a las pymes y a las empresas emergentes centradas en la privacidad competir de manera justa en el mercado digital.

3. Medidas legislativas específicas propuestas

A. Libertad obligatoria del cargador de arranque y soberanía del hardware

La Comisión debe proponer normas vinculantes que obliguen a todos los dispositivos informáticos con procesadores de propósito general vendidos en la UE a proporcionar mecanismos accesibles para el usuario para desbloquear el bootloader.

• El desbloqueo no debe depender de cuentas en la nube de terceros, listas blancas del fabricante ni periodos de espera arbitrarios.
• Los módulos de seguridad de hardware (Secure Elements, TPM, StrongBox) deben permitir que los usuarios inscriban claves criptográficas de raíz de confianza personalizadas, haciendo posible el arranque verificado (Verified Boot) en sistemas operativos independientes.
• El desbloqueo del bootloader o la modificación del software no deben anular las garantías legales obligatorias del hardware.

B. Atestación de hardware abierta y directa

Los marcos propietarios de verificación en la nube no deben actuar como guardianes obligatorios para la vida digital.

• La seguridad del dispositivo debe evaluarse mediante APIs de hardware abiertas y estandarizadas (como la atestación de clave nativa) o estándares abiertos WebAuthn/FIDO2, en lugar de canalizar las decisiones de confianza exclusivamente a través de los servicios en la nube de los guardianes de acceso.
• El uso de claves raíz autofirmadas o inscritas por el usuario no debe provocar la inclusión automática en listas negras de servicios digitales. Los servicios deben aceptar pruebas criptográficas de posesión generadas dentro de chips de hardware aislados sin exigir la certificación de un sistema operativo propietario.

C. No discriminación en servicios esenciales

• Los servicios esenciales del sector público y los servicios regulados para el consumidor (p. ej., servicios bancarios regulados por PSD2) deben seguir siendo accesibles para usuarios de sistemas operativos independientes.
• Cuando la atestación nativa en aplicaciones no pueda ser admitida por una compilación personalizada, los servicios deben estar legalmente obligados a ofrecer vías de autenticación basadas en la web o en FIDO2 totalmente funcionales y estandarizadas.

D. Sostenibilidad y disponibilidad de fuentes tras el fin del soporte

Para evitar la obsolescencia artificial, cuando los fabricantes de equipos originales cesen las actualizaciones de software periódicas, deben:

• Publicar los árboles de dispositivos (device trees) y la documentación de interfaz de hardware necesaria para que la comunidad de código abierto pueda mantener las actualizaciones de seguridad.
• Proporcionar un puerto seguro legal (safe harbor) para la redistribución de los componentes de firmware compilados (blobs) necesarios para mantener el hardware en funcionamiento durante toda su vida física útil.

4. Base jurídica en los Tratados de la UE

Esta iniciativa se enmarca estrictamente dentro de las competencias legislativas de la Unión Europea para regular el mercado interior y proteger a las personas consumidoras, en particular en virtud de:

• Artículo 114 del TFUE (Mercado interior): Armonización de los derechos sobre el hardware de los consumidores y eliminación de obstáculos técnicos en el Mercado Único Digital.
• Artículo 169 del TFUE (Protección de los consumidores): Promoción de los intereses económicos y los derechos de las personas consumidoras en relación con los bienes que adquieren.
• Reglamento (UE) 2022/1925 (Ley de Mercados Digitales - DMA): Específicamente en el avance de los principios del Artículo 6(7) sobre interoperabilidad de hardware y acceso a elementos seguros.
• Directiva (UE) 2015/2366 (DSP2): Artículo 98, que exige la neutralidad tecnológica y normas de comunicación abiertas en los servicios financieros.
• Directiva (UE) 2024/1799 (Directiva sobre el Derecho a Reparar): Garantizar que los bloqueos artificiales de software o de hardware no impidan a los consumidores y a los reparadores independientes mantener, actualizar y prolongar la vida útil operativa de dispositivos funcionales.
• Reglamento de Ecodiseño para Productos Sostenibles (ESPR): Establecimiento de requisitos de diseño que impidan la obsolescencia prematura del hardware provocada por el software.