Alternativas a WhatsApp y Gmail: más seguridad, menos EEUU

Salir de WhatsApp y Gmail no va de espías: metadatos, leyes y soberanía digital en la UE. Alternativas europeas como Olvid, Proton o Matrix.

Donald Trump volvió a la Casa Blanca el 20 de enero de 2025 y, con ese gesto —mano en alto, Capitolio helado, el país mirando—, regresó también una idea que en Europa nunca se fue del todo: que la tecnología no es neutral, que tiene bandera, leyes propias y un interruptor político que se toca desde Washington. Cambiar WhatsApp y Gmail por alternativas europeas no es una obligación ni una cura milagrosa, pero sí se ha convertido en una decisión con sentido para quien quiere depender menos de empresas sujetas a la jurisdicción estadounidense y de sus cambios de humor institucionales.

La respuesta práctica, la que sirve para no vender humo: WhatsApp sigue siendo, en lo esencial, un sistema de cifrado de extremo a extremo para mensajes y llamadas, y Gmail dejó hace años de escanear el contenido de los correos para afinar anuncios. El “riesgo” que se discute ahora va por otra vía, más seca y más seria: metadatos, transferencias internacionales, marcos legales que nacen y se impugnan, y la capacidad de un Estado para pedir información a proveedores sometidos a su ley aunque los servidores estén lejos. En ese terreno, Europa ha ido construyendo un pequeño arsenal propio y, de repente, ya no suena a frikada: Olvid, Threema, Matrix/Element, Nextcloud Talk para mensajería; Proton, Tuta, mailbox.org, Posteo o Infomaniak para correo. Ninguno es perfecto, pero el mapa existe, y es más amplio de lo que mucha gente imagina.

Cuando Washington cambia, Europa se pone nerviosa

El debate se disparó con Trump por un motivo que no tiene nada de literario: la jurisdicción. Estados Unidos no necesita “hackear” nada para tener palancas; le basta con su capacidad legal de requerir datos a empresas bajo su paraguas, y con acuerdos internacionales que facilitan cooperación. De ahí la insistencia europea en hablar de soberanía digital, una expresión que suena a eslogan de cumbre, pero que en la vida real se traduce en preguntas muy concretas: dónde están los datos, qué juez manda, qué autoridades pueden pedirlos, qué margen hay para recurrir, qué transparencia existe.

Europa lleva una década metida en una montaña rusa con los flujos de datos hacia EE. UU. Primero cayó Safe Harbor, después cayó Privacy Shield, y por el medio la palabra “Schrems” dejó de sonar a apellido y empezó a sonar a precedente. En julio de 2023, la Comisión Europea aprobó el EU-U.S. Data Privacy Framework, el marco que hoy sostiene una parte grande de las transferencias transatlánticas; en septiembre de 2025, el Tribunal General de la Unión Europea rechazó una demanda que buscaba tumbarlo y, de paso, dio oxígeno a empresas e instituciones que necesitaban una base legal clara para seguir enviando datos al otro lado. En enero de 2026, el Comité Europeo de Protección de Datos (EDPB) actualizó su documento de preguntas y respuestas para ciudadanos, precisamente porque la duda ya no era de nicho: estaba en la calle y en las empresas, en despachos de abogados y en la mesa de IT.

¿Y qué pinta Trump aquí, más allá del titular fácil? Pinta el factor confianza. Un marco legal puede estar vigente y, aun así, vivir rodeado de incertidumbre política. Si cambia la orientación del Gobierno de EE. UU. en materias como vigilancia, cooperación internacional, presión comercial o enfoque regulatorio, lo que parecía una autopista puede convertirse en una carretera con obras. Europa, en paralelo, empuja su propio relato: apuesta por ecosistemas digitales de código abierto, por proveedores locales, por infraestructuras menos dependientes de hiperescaladores estadounidenses. No es romanticismo; es gestión del riesgo, de ese que no se arregla con un ajuste en “Privacidad y seguridad”.

En España, además, el asunto toca una fibra especial porque WhatsApp es casi un servicio público de facto: grupos de trabajo, familias, comunidades de vecinos, AMPA, la logística diaria del país. Hablar de abandonarlo suena a hablar de mudarse a un barrio sin metro. Por eso el debate se ha vuelto más fino: no es “borrar y huir”, es separar usos, mover piezas, reducir exposición sin romper la vida cotidiana.

WhatsApp: cifrado, pero no invisible

Lo primero, por higiene informativa: WhatsApp cifra por defecto mensajes y llamadas con cifrado de extremo a extremo. Eso significa que el contenido viaja de un dispositivo a otro sin que WhatsApp pueda leerlo en tránsito. Este dato importa, porque en la conversación pública se mezclan rumores con realidades y se acaba en un “todo es inseguro” que no ayuda a nadie. El contenido está protegido… pero la protección del contenido no borra el contexto.

El contexto es lo que realmente se mira cuando alguien plantea “dejar WhatsApp”. Con quién se habla, a qué horas, desde qué dispositivo, con qué frecuencia, qué foto de perfil se cambia, qué números se guardan, qué grupos se comparten, qué patrón de uso se repite. Todo eso no es el mensaje; es el sobre, el sello, el horario del cartero, la lista de direcciones. Y ese sobre, en manos de una empresa que vive del ecosistema Meta, tiene valor. No hace falta decirlo con dramatismo: simplemente es así.

El sobre del mensaje: metadatos, copias y funciones que se estiran

WhatsApp no funciona en el vacío. Para que un servicio de mensajería aguante a escala planetaria necesita gestionar identificadores, sincronización, seguridad antifraude, detección de spam, compatibilidad de dispositivos. Y ahí aparecen los metadatos, una categoría que suena técnica pero es de andar por casa: quién, cuándo, cuánto, desde dónde, con qué aparato. Con suficientes metadatos se pueden dibujar redes sociales más precisas que muchas biografías, aunque no se lea una sola palabra del contenido.

Hay otra esquina que suele olvidarse: las copias de seguridad. WhatsApp permite backups en la nube, y durante años ese fue el agujero más típico del que tiraban los expertos: el chat puede estar cifrado en tránsito, pero si se guarda en un servicio externo sin cifrado equivalente, la película cambia. WhatsApp incorporó la opción de copias de seguridad cifradas de extremo a extremo, un avance importante, pero no siempre está activada y, en la práctica, mucha gente prioriza la comodidad por encima de la configuración fina. Un cambio de móvil, una cuenta restaurada a medias, un dispositivo vinculado… y el “cifrado” deja de ser ese escudo perfecto que se imagina.

En abril de 2025, WhatsApp añadió una capa más con “Advanced Chat Privacy”, una función pensada para frenar lo más humano de todo: que un participante exporte el chat, que se guarde automáticamente el material multimedia o que ciertas funciones alimenten herramientas de IA dentro del entorno Meta. Es útil, sí, pero también revela algo: WhatsApp ya no es aquella app minimalista de “envía mensajes y ya”. Es un ecosistema que se expande, y cada expansión añade superficie.

Aquí entra otro giro reciente que a Europa le interesa por partida doble: la publicidad y la monetización indirecta. Aunque el contenido siga cifrado, el negocio necesita datos para segmentar y medir. Y cuando se habla de “alternativa europea”, muchas veces lo que se busca no es solo seguridad criptográfica; se busca un modelo de negocio distinto, menos apoyado en el rastreo y más apoyado en la suscripción o el pago directo. Es una diferencia cultural y, también, un freno a ciertos incentivos.

Interoperabilidad por ley: el DMA abre una rendija (y complica otra)

Europa ha decidido pelear la batalla de la dependencia también con regulación. La Digital Markets Act (DMA) obliga a ciertos servicios “guardianes de acceso” a abrir puertas a la interoperabilidad. Meta explicó en septiembre de 2024 cómo estaba construyendo en WhatsApp y Messenger la compatibilidad con chats de terceros en Europa, con despliegue gradual y con un calendario que, en su propio diseño, va incorporando funciones poco a poco. En noviembre de 2025 ya se hablaba abiertamente de integración de chats de terceros, con mensajes que podrían aparecer en una carpeta separada o integrados en una bandeja combinada, según elección.

Esto tiene dos efectos a la vez, y conviene no contarlo como cuento de hadas. Por un lado, reduce el chantaje invisible del “no me puedo ir porque está todo el mundo aquí”; si los mensajes de otras apps pueden llegar, la salida deja de ser una ruptura total. Por otro lado, interoperar significa más actores, más rutas, más formas de gestionar datos. Si el cifrado extremo a extremo de WhatsApp es una autopista controlada, la interoperabilidad añade rotondas con señales distintas. Europa quiere competencia; la seguridad exige que esas nuevas conexiones no sean un coladero. Es el precio de abrir el jardín vallado.

Gmail: el correo que no se lee, pero sí se puede pedir

Gmail carga con un mito que sigue circulando: que Google “lee” el contenido para vender anuncios. En 2017, Google anunció que dejaría de escanear correos de cuentas personales para personalización publicitaria, un cambio que buscaba precisamente despejar sospechas y reforzar la confianza, sobre todo en el mundo empresarial. Desde entonces, Gmail mantiene análisis automatizados para cosas que nadie discute demasiado porque las damos por buenas: filtrar spam, bloquear phishing, detectar malware, organizar bandejas, sugerir respuestas. No es lo mismo venderte un anuncio de zapatillas porque escribiste “running” que bloquear un correo infectado.

Entonces, ¿por qué entra Gmail en el mismo saco que WhatsApp cuando se habla de “cambiar a Europa”? Por el punto que incomoda más que la publicidad: las solicitudes legales de datos. Google explica públicamente que recibe peticiones de gobiernos y que revisa cada solicitud para que cumpla la ley aplicable, que intenta acotar lo que sea excesivo y que, cuando procede, se opone. También publica estadísticas a través de su Transparency Report, una herramienta que aporta visibilidad, aunque no siempre consuela: muestra volumen, tendencias, tipos de requerimientos. Transparencia no es inmunidad; es, como mucho, luz sobre el proceso.

Aquí entra un concepto clave para entender la inquietud europea: la extraterritorialidad. El CLOUD Act, aprobado en 2018 y firmado por el propio Trump en su primer mandato, refuerza la capacidad de las autoridades de EE. UU. para obligar a proveedores bajo jurisdicción estadounidense a entregar datos, aunque estén almacenados fuera. Hay garantías, hay jueces, hay requisitos; no es una barra libre. Pero el punto político para Europa es nítido: el poder legal no se queda dentro de las fronteras físicas. Y cuando el clima político se endurece, ese tipo de leyes se vuelven más visibles, más citadas, más temidas.

La historia del caso “Microsoft Ireland”, anterior al CLOUD Act, ya había puesto sobre la mesa el choque entre un mandato judicial estadounidense y datos almacenados en Europa. El CLOUD Act apareció, en parte, para resolver ese tipo de conflictos que el derecho tradicional estaba dejando en tierra de nadie. Para un editor europeo de riesgos, esto se traduce en una frase fría: “Proveedor estadounidense, riesgo jurídico estadounidense”. Es así de simple, y por eso el debate no muere aunque el producto sea técnicamente sólido.

Gmail, además, se ha convertido en infraestructura de identidad. No es solo el buzón; es la llave de acceso a cientos de servicios, la cuenta con la que se inicia sesión, la que guarda el historial de compras, reservas, documentos, fotos. Cambiar el correo no es cambiar un icono en el móvil: es tocar una pieza central del puzle. De ahí que el movimiento más frecuente no sea la ruptura total, sino la convivencia durante años, casi de forma silenciosa.

El mapa europeo de la mensajería: de Olvid a Matrix

Si se busca un símbolo de este giro europeo, Francia lo regaló en bandeja. A finales de 2023, la primera ministra Élisabeth Borne envió una circular pidiendo a ministros y altos cargos que dejaran de usar aplicaciones de mensajería generalistas como WhatsApp, Signal o Telegram en móviles profesionales y se pasaran a Olvid, una app desarrollada en París. No era un capricho patriótico; era una decisión de seguridad de Estado, o al menos presentada como tal, en un momento en que las filtraciones, el espionaje y la presión geopolítica han convertido la mensajería en un punto débil evidente.

Olvid tiene un perfil particular: busca controlar no solo el contenido, también parte del contexto, y presume de validaciones de seguridad por organismos franceses. Ese tipo de producto suele gustar a administraciones porque ofrece soporte, trazabilidad, contratos, y un relato de confianza “doméstico”. No es, en general, la app que se instala alguien para hablar con amigos; es la que se instala un Gobierno para que la conversación no dependa de una empresa extranjera.

En el mercado más cotidiano aparece Threema, suiza, de pago, veterana. Su ventaja es, precisamente, no parecer un experimento: lleva tiempo, tiene comunidad y una idea simple que en Europa pesa más de lo que se admite en voz alta: “si pago, no soy el producto”. Threema ha destacado su crecimiento en momentos de crisis reputacional de WhatsApp, y su condición suiza seduce a quienes asocian Suiza con discreción, aunque la realidad suiza también vive su propio debate sobre vigilancia y retención de datos. Nada es un refugio eterno; los países cambian leyes, también en los Alpes.

Luego está el mundo Matrix, con Element como cara más visible para el gran público. Matrix no es solo una app, es un protocolo y una red federada, una idea más parecida al correo electrónico: proveedores distintos, servidores distintos, capacidad de alojar en casa o en un proveedor europeo, y la posibilidad de hablar entre servicios sin que todo pase por una sola empresa. En Alemania, incluso el sector público ha impulsado proyectos basados en Matrix, como el BundesMessenger, una señal clara de hacia dónde mira parte de Europa cuando piensa en mensajería: estándares abiertos y control institucional.

Para organizaciones que ya trabajan con nubes privadas o con infraestructuras propias, el combo Nextcloud Talk resulta casi natural. Nextcloud, con ADN europeo, juega en el terreno de la colaboración: chat, llamadas, archivos, calendario, integración con entornos corporativos. Es la alternativa que no se vende como “la app más cool”, sino como “la herramienta que se despliega en tu entorno y se gobierna con tus reglas”. En tiempos de soberanía digital, ese mensaje tiene mercado.

En este punto aparece una tentación habitual: meter a Signal como recomendación central. Signal es excelente en seguridad y reputación técnica, pero no es una alternativa europea estricta: es una organización estadounidense sin ánimo de lucro, con un modelo muy distinto al de Meta, pero bajo jurisdicción de EE. UU. Si el objetivo del debate es “menos dependencia legal de Estados Unidos”, Signal no encaja como sustituto ideológico, aunque sí como opción pragmática para quienes priorizan cifrado y minimización de datos por encima del pasaporte corporativo.

Otra advertencia necesaria, porque el ruido lo ha maquillado: Telegram no es equivalente a WhatsApp en cifrado por defecto. Tiene sus usos, su éxito, su estética, pero el cifrado extremo a extremo no está activado en los chats normales y, en grupos, el panorama es distinto. Quien se vaya de WhatsApp buscando privacidad y salte a Telegram creyendo que es “más seguro”, puede estar cambiando de problema sin darse cuenta.

Con todo esto sobre la mesa, la pregunta deja de ser “qué app es la mejor” y se convierte en “qué riesgo se quiere reducir”. Mensajería gubernamental no es mensajería doméstica. Conversaciones sensibles no son memes. Y ahí las alternativas europeas juegan bien: ofrecen variedad de modelos, desde el producto institucional hasta el protocolo federado.

Correo europeo: salir de Gmail sin romperlo todo

El correo es más ingrato que el chat porque está lleno de hilos viejos, de cuentas vinculadas, de recibos, de facturas, de “confirmar dirección”, de contraseñas olvidadas que solo se recuperan desde ese buzón. Aun así, Europa tiene un mercado de correo y servicios asociados mucho más amplio de lo que parecía hace cinco años.

Proton, con base en Suiza, se ha convertido en la marca más conocida del mundo “privacy-first”, no solo por Proton Mail, también por Proton VPN, almacenamiento y calendario. Su narrativa encaja con la idea de refugio europeo, aunque la propia Suiza ha vivido un debate fuerte sobre propuestas de endurecimiento en vigilancia y retención de datos para ciertos servicios, un recordatorio de que la geografía ayuda pero no es un blindaje absoluto. Proton publica informes de transparencia con cifras agregadas de órdenes legales recibidas, un gesto que no elimina la discusión, pero muestra una línea: decir cuántas veces llaman a la puerta.

En Alemania, Tuta (antes Tutanota) ofrece correo y calendario con enfoque de cifrado y una marca muy europea, con discurso combativo en defensa del cifrado y críticas a propuestas que, en su opinión, podrían abrir puertas traseras. El cambio de nombre de Tutanota a Tuta en 2024 fue más que cosmética: buscaba una identidad más amplia, un ecosistema, un “no somos solo un buzón”.

mailbox.org juega otra carta: servidores en Alemania, cumplimiento RGPD como bandera, un paquete que mezcla correo, nube, herramientas de oficina y videollamadas. Es la alternativa que se parece más a una suite completa, y por eso suele entrar en conversaciones de empresas y administraciones que quieren un entorno funcional sin caer en la dependencia total de Google o Microsoft. No vende épica; vende estabilidad, y a veces eso es lo que falta cuando todo el mundo habla de soberanía.

Posteo, también alemán, es un caso más minimalista: barato, con reputación de privacidad, sin fuegos artificiales. Se asocia a un estilo de servicio casi clásico: correo bien servido, sin anuncios, sin obsesión por capturar datos, sin convertir cada clic en una métrica. Esa sobriedad, que a algunos les parece anticuada, es exactamente lo que otros buscan.

En Suiza aparece Infomaniak, que lleva años empujando el concepto de “nube soberana” desde Ginebra y Zúrich, con promesas explícitas sobre alojamiento exclusivo en Suiza y uso de software abierto o desarrollado internamente. Infomaniak ofrece correo y suite, y su posicionamiento es casi una réplica europea de la idea “todo en uno” sin pasar por California. También ha participado, desde su esquina, en debates suizos sobre vigilancia, privacidad y anonimato, un recordatorio de que incluso dentro de Europa hay tensiones entre seguridad y derechos digitales.

La elección del correo europeo, en la práctica, suele depender de tres cosas que no suenan a titulares pero mandan mucho: modelo de negocio (pago directo frente a publicidad), ubicación y ley aplicable (UE, Suiza, otros países europeos) y ecosistema (solo correo o correo más nube, calendario, ofimática). Gmail es tan pegajoso porque no es solo un buzón: es una identidad global. Las alternativas europeas pueden igualar o superar en privacidad, pero no siempre igualan en integración automática con la vida digital que ya está montada.

Por eso lo más habitual no es “cerrar Gmail y quemar el puente”, sino construir una convivencia larga, casi quirúrgica. Un correo europeo para lo importante, para lo sensible, para registros que conviene guardar bajo normas europeas; Gmail como buzón de arrastre para cuentas antiguas, suscripciones, servicios que no merece la pena migrar de golpe. La idea no es dramatizar; es reducir dependencia sin romper el ecosistema de un día para otro. En empresas, además, aparece otra variable: la capacidad de alojar, de auditar, de firmar contratos con proveedores europeos, de cumplir requisitos de protección de datos sin vivir siempre al borde del susto.

Cuando el plan B deja de ser capricho

El debate sobre abandonar WhatsApp y Gmail “por Trump” se entiende mejor si se cambia el marco mental: no va de castigar a una app, va de reconocer que la infraestructura digital tiene geopolítica. El regreso de Trump en 2025 ha funcionado como recordatorio, como foco que ilumina lo que ya estaba ahí: leyes como el CLOUD Act, marcos de transferencia de datos que se defienden en tribunales europeos, y una Europa que, al mismo tiempo, empuja su propia agenda de soberanía tecnológica y de ecosistemas abiertos.

En mensajería, WhatsApp sigue siendo fuerte por el efecto red y por su cifrado de extremo a extremo; lo que se discute no es tanto el contenido, sino el perímetro: metadatos, integración con el universo Meta, expansión de funciones, interoperabilidad impuesta por el DMA que abre puertas y, a la vez, añade complejidad. Las alternativas europeas no aparecen como reemplazo universal, sino como piezas con sentido: Olvid como ejemplo institucional, Threema como opción estable de pago y con cultura suiza, Matrix/Element y Nextcloud como apuesta por estándares abiertos y control de infraestructura.

En correo, Gmail ya no es aquel caricaturesco “Google te lee”, pero sigue siendo un nodo enorme sometido a la ley estadounidense y a un volumen de solicitudes gubernamentales que se gestiona con procesos y transparencia, sí, pero dentro de su marco legal. Europa tiene alternativas serias con modelos distintos: Proton como ecosistema de privacidad con foco suizo, Tuta como opción alemana de cifrado y simplicidad, mailbox.org como suite de trabajo y soberanía alemana, Posteo como minimalismo privado, Infomaniak como nube suiza que presume de alojar y procesar datos bajo reglas propias.

La clave, la que ordena el ruido sin necesidad de discursos grandilocuentes, es que ya no hace falta elegir entre “todo estadounidense” o “todo europeo”. El movimiento realista es modular: mantener lo que funciona donde el coste de cambiar es brutal, y desplazar lo crítico a servicios europeos donde el control legal y el modelo de negocio encajan mejor. No es una revolución, es una migración lenta, a veces desordenada, con pequeñas contradicciones —se usa WhatsApp y se paga por Threema, se conserva Gmail y se adopta Proton—, pero con una lógica clara: en un mundo de tensiones, depender de una sola estación central deja de ser comodidad y empieza a parecer un riesgo evitable.