El sistema operativo GrapheneOS, conocido por su enfoque radical en la privacidad, ha saltado a los titulares por un motivo que va más allá de sus características técnicas. Un ciudadano estadounidense, Samuel Tunick, se enfrenta a un proceso penal federal por haber utilizado la función de contraseña de coacción (duress password) de este sistema para borrar por completo su teléfono durante un control fronterizo. Es la primera vez que la justicia estadounidense acusa a alguien por emplear una herramienta de seguridad integrada en un dispositivo, lo que abre un debate sobre los límites entre la protección de datos personales y la obstrucción a la investigación.
El caso, que ya está en manos de un tribunal federal en Atlanta, ha generado una gran expectación entre expertos en ciberseguridad, activistas y defensores de los derechos digitales. La pregunta de fondo es si un usuario puede configurar su teléfono para que se autodestruya ante un acceso forzado sin que eso se considere un delito. La respuesta podría marcar un antes y un después en la forma en que se entiende la privacidad en los puntos de entrada a Estados Unidos y, por extensión, en otros países.
Esta funcionalidad no es nueva: GrapheneOS la introdujo en 2021, y posteriormente tanto Google como Apple incorporaron opciones similares en sus sistemas, aunque con menos flexibilidad. La versión de GrapheneOS permite personalizar el temporizador de borrado automático (desde 10 minutos hasta 72 horas) y también ofrece un cierre de sesión seguro que devuelve los espacios privados a su estado inicial sin reiniciar el terminal. La contraseña de coacción, en concreto, funciona en cualquier pantalla donde se solicite el PIN, como al activar opciones de desarrollador o al confirmar cambios de seguridad, lo que la convierte en una herramienta muy potente para quienes necesitan proteger información sensible.
El caso de Samuel Tunick: la primera acusación federal por usar una función de borrado
Los hechos se remontan al 24 de enero de 2025, cuando Samuel Tunick regresaba a Estados Unidos desde el extranjero y fue interceptado por agentes de la Oficina de Aduanas y Protección Fronteriza (CBP) en el aeropuerto Hartsfield-Jackson de Atlanta. Según la acusación, los agentes lo trasladaron a una inspección secundaria y le exigieron acceso a su teléfono, un Google Pixel con GrapheneOS. Tunick entregó una contraseña que, en lugar de desbloquear el dispositivo, activó el borrado completo de todos sus datos. La pantalla se quedó en blanco, parpadeó y el teléfono se reinició, perdiéndose toda la información.
El Departamento de Justicia presentó cargos contra Tunick por destrucción intencional de bienes para evitar que las autoridades los incautaran, un estatuto federal poco utilizado. La fiscalía sostiene que el acusado sabía que esa clave provocaría el borrado y que lo hizo deliberadamente para impedir el acceso a los datos. Por su parte, la defensa, encabezada por el defensor público Matthew Dodge, argumenta que la detención fue ilegal, que los agentes negaron repetidamente a Tunick el acceso a un abogado y que el verdadero motivo de la inspección no era buscar imágenes de explotación infantil, como alegaron, sino investigar sus vínculos con el movimiento ambientalista Defend the Atlanta Forest, que se opone al megaproyecto de entrenamiento policial conocido como ‘Cop City’.
Los argumentos de la defensa y la polémica legal
La defensa de Tunick ha presentado una moción para suprimir toda la evidencia obtenida durante la detención y la incautación del teléfono. Sostienen que los agentes actuaron sin orden judicial y bajo falsas pretensiones, y que cualquier prueba derivada de ese registro debería quedar fuera del proceso. El gobierno, en cambio, defiende que en los puntos fronterizos no se requiere orden judicial para inspeccionar dispositivos, ya que la persona aún no ha sido admitida formalmente en el país. Esta postura choca con la protección constitucional de la Cuarta Enmienda, que el Tribunal Supremo ha reforzado recientemente en casos como Chatrie v. United States (junio de 2026), donde se estableció que los datos de ubicación están protegidos incluso cuando los obtienen terceros.
Expertos en seguridad digital como Runa Sandvik, directora de la consultora Granitt, y Bill Budington, de la Electronic Frontier Foundation, han señalado que no recuerdan un caso similar. Sandvik advierte que las autoridades pueden argumentar que destruiste datos deliberadamente, por lo que recomienda no transportar información sensible al cruzar ciertas fronteras y, en su lugar, descargarla después de llegar al destino. La EFF mantiene guías específicas para proteger datos en controles fronterizos, un recurso cada vez más necesario ante el aumento de las inspecciones de dispositivos, que crecieron un 17% a mediados de 2025.
Implicaciones para la privacidad digital en fronteras
El caso Tunick no solo afecta a los usuarios de GrapheneOS, sino que plantea preguntas que trascienden a cualquier sistema operativo. ¿Puede una persona configurar su teléfono para que se borre automáticamente ante un acceso no autorizado sin exponerse a cargos penales? La respuesta dependerá de cómo los tribunales interpreten la intención del usuario. Si el juez considera que la configuración preventiva de una función de seguridad es un acto legítimo de protección de datos, el caso podría sentar un precedente favorable para la privacidad. Por el contrario, si equipara el uso de la contraseña de coacción con la destrucción de evidencia, se abriría la puerta a perseguir a cualquier persona que utilice herramientas similares, desde el cifrado completo hasta los temporizadores de borrado de mensajes en aplicaciones como Signal.
En España y la Unión Europea, el marco legal es diferente. El Reglamento General de Protección de Datos (RGPD) otorga derechos de privacidad robustos, y las autoridades generalmente necesitan una orden judicial para acceder a dispositivos cifrados. Sin embargo, el caso estadounidense es relevante porque las decisiones judiciales en EE.UU. suelen influir en la legislación de otros países, especialmente en temas de tecnología. Los viajeros que crucen la frontera estadounidense deben ser conscientes de que, aunque tengan derecho a proteger sus datos, el uso de funciones como la contraseña de coacción puede tener consecuencias legales imprevistas. La recomendación de los expertos es clara: planificar con antelación, no llevar información sensible si no es necesario y, en caso de duda, consultar con un abogado especializado en derechos digitales.
El tribunal federal de Atlanta deberá pronunciarse sobre la moción de supresión de pruebas en los próximos meses. Mientras tanto, el caso de Samuel Tunick se ha convertido en un símbolo de la tensión entre la seguridad personal y el poder del Estado, y su resolución podría redefinir los límites de la privacidad digital en un mundo cada vez más vigilado. La comunidad de seguridad y privacidad sigue de cerca cada paso, consciente de que lo que ocurra en esta sala de justicia tendrá eco mucho más allá de las fronteras de Estados Unidos.