Una lectura jurídica sobre el uso de Telegram para difundir propaganda política no solicitada a millones de usuarios españoles

El 4 de febrero de 2026, millones de usuarios de Telegram en España recibieron un mensaje en el canal que habitualmente utiliza la aplicación para enviar códigos de verificación y alertas de seguridad. El remitente no era un contacto personal ni una notificación de servicio. Era Pavel Durov, fundador y CEO de la plataforma, que había decidido utilizar esa infraestructura para dirigirse directamente, en español y sin ningún tipo de solicitud previa, a toda la base de usuarios españoles de su aplicación. El contenido era político: una crítica detallada al paquete de medidas anunciado el día anterior por el presidente Pedro Sánchez en la World Government Summit de Dubái, que incluía la prohibición de acceso a las redes sociales para menores de 16 años, la responsabilidad penal de los directivos de las plataformas y la criminalización de ciertas formas de amplificación algorítmica. El mensaje concluía invitando a los destinatarios a compartirlo masivamente.

El debate político, como era previsible, consumió la mayor parte de la atención mediática. Lo que ha quedado en un segundo plano es la pregunta que más interesa desde el punto de vista jurídico: ¿era legal lo que hizo Durov?

La respuesta no es sencilla, y merece más análisis del que ha recibido hasta ahora.

El canal de soporte como vector de comunicación política

Para entender la especificidad del problema, conviene detenerse en el mecanismo técnico empleado. Telegram cuenta con un canal oficial denominado habitualmente «Telegram» o «Service Notifications», identificable por su icono azul con el logotipo de la plataforma. Este canal es el que envía los códigos de verificación cuando un usuario inicia sesión en un dispositivo nuevo, así como los avisos de seguridad relacionados con el acceso a la cuenta. Es, en la percepción del usuario, un canal de comunicación operativa: el equivalente funcional a los SMS de verificación de dos factores que envían los bancos o cualquier otro servicio digital.

El mensaje de Durov llegó a través de ese mismo canal, presentado como un reenvío desde su canal personal @durov. La elección no fue accidental. Cualquier usuario que recibiera la notificación en su teléfono vería un aviso procedente del bot oficial de la plataforma, lo que confería al mensaje una apariencia de comunicación institucional que difería radicalmente de su naturaleza real. No se trató de una publicación en un canal de noticias al que el usuario hubiera decidido suscribirse. No hubo opt-in ni posibilidad de declinarlo sin renunciar simultáneamente a recibir los códigos de verificación necesarios para usar el servicio.

Esta arquitectura de distribución es, precisamente, el núcleo del problema jurídico.

La fractura con el RGPD: finalidad y legitimación

El análisis bajo el Reglamento General de Protección de Datos (Reglamento UE 2016/679) arranca de una constatación elemental: el envío de un mensaje segmentado geográficamente a los usuarios españoles de Telegram implica necesariamente un tratamiento de datos personales. Telegram identificó a esos usuarios como residentes en España o como titulares de números de teléfono españoles a través de algún criterio de segmentación —probablemente el prefijo telefónico, metadatos de red o geolocalización—, y utilizó esa información para dirigirles una comunicación específica. Eso es tratamiento de datos personales en el sentido del artículo 4.2 RGPD, sin que quepa discusión razonable al respecto.

La pregunta relevante es, entonces, sobre qué base jurídica se sustentaba ese tratamiento. El artículo 6 RGPD exige que todo tratamiento cuente con una de las bases de legitimación que enumera. La más plausible que podría invocar Telegram sería el artículo 6.1.b), esto es, la necesidad del tratamiento para la ejecución del contrato de prestación de servicios. El problema es que esta base de legitimación tiene un límite inherente: ampara los tratamientos estrictamente necesarios para cumplir con la obligación contractual, pero no autoriza a extender el uso de los datos a finalidades ajenas al objeto del contrato. Enviar a un usuario su código de verificación es ejecución del contrato. Enviarle un argumentario político del CEO es algo radicalmente distinto.

El principio de limitación de la finalidad, consagrado en el artículo 5.1.b) RGPD, establece que los datos recogidos para una finalidad determinada no pueden ser tratados ulteriormente de forma incompatible con ella. El Tribunal de Justicia de la Unión Europea ha precisado en diversas ocasiones que la incompatibilidad debe evaluarse atendiendo a las expectativas razonables del interesado, la naturaleza de los datos, las consecuencias del tratamiento y la existencia de garantías adecuadas. Ningún usuario que facilita su número de teléfono para recibir mensajes de verificación alberga expectativa razonable alguna de recibir, a través del mismo canal, comunicaciones políticas del fundador de la plataforma. La incompatibilidad de finalidades es manifiesta.

Podría explorarse también la base del interés legítimo del responsable, recogida en el artículo 6.1.f) RGPD. Esta base exige superar el denominado test tripartito: que el interés perseguido sea legítimo, que el tratamiento sea necesario para alcanzarlo y que el interés del responsable prevalezca sobre los derechos del interesado. El Comité Europeo de Protección de Datos, en sus Directrices 06/2021 sobre interés legítimo, ha subrayado que la necesidad del tratamiento debe interpretarse de forma estricta, exigiendo que no existan medios alternativos menos intrusivos para alcanzar la misma finalidad. Aquí es donde la tesis de Telegram se derrumba con más facilidad: Durov contaba con múltiples vías para expresar su posición política —su canal personal en la propia aplicación con más de cien millones de suscriptores, sus cuentas en otras redes, medios de comunicación— que no requerían el uso de datos personales de millones de usuarios para la segmentación geográfica. La necesidad del tratamiento no se sostiene cuando existen alternativas evidentes y menos invasivas.

La ausencia de consentimiento específico e informado —que exigiría el artículo 7 RGPD en su interpretación reforzada por la jurisprudencia del TJUE, entre otras, en la sentencia Planet49 de 2019— cierra el cuadro. Las condiciones generales de uso de Telegram, por amplias que sean sus cláusulas sobre «comunicaciones», no constituyen un consentimiento válido para el envío de propaganda política. El consentimiento debe ser específico para la finalidad concreta, y ninguna cláusula general puede cubrir un uso tan alejado del objeto principal del servicio.

La LSSI-CE y la comunicación electrónica no solicitada

La Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico, añade una perspectiva complementaria. Su artículo 21 prohíbe el envío de comunicaciones publicitarias o promocionales por correo electrónico u «otro medio de comunicación electrónica equivalente» sin que el destinatario hubiera solicitado o autorizado expresamente su recepción. La cuestión es si el mensaje de Durov encaja en el concepto de «comunicación publicitaria o promocional».

En sentido estricto, el mensaje no ofrecía un producto ni solicitaba una compra. Pero la jurisprudencia española y la doctrina de la AEPD han interpretado este concepto de forma funcional, atendiendo a la finalidad objetiva de la comunicación antes que a su forma exterior. En este sentido, la comunicación de Durov tenía un componente promocional difícilmente negable: posicionaba a Telegram como garante de la privacidad y la libertad frente a un gobierno regulador, utilizando el propio mensaje como vehículo de branding corporativo. La frase con la que el mensaje describía a la plataforma —»cifrado fuerte, sin puertas traseras y resistencia al exceso»— es exactamente el tipo de argumento que una empresa tecnológica utilizaría en una campaña de marketing para diferenciarse de competidores. La llamada final a compartir el mensaje «antes de que sea tarde» refuerza su carácter difusivo y su función como instrumento de posicionamiento de marca.

Hay otro argumento que no requiere entrar en la calificación comercial: incluso si se desestimara el componente publicitario en sentido estricto, el artículo 21 LSSI-CE recoge una prohibición general de comunicaciones electrónicas no solicitadas dirigidas a destinatarios determinados. El hecho de que los usuarios de Telegram no hubieran pedido recibir comunicaciones políticas del CEO, por ninguna vía, resulta incontrovertible.

El Reglamento de Servicios Digitales y la manipulación de la interfaz

El Reglamento (UE) 2022/2065, de Servicios Digitales —DSA—, aplicable en su integridad desde febrero de 2024, aporta un tercer ángulo de análisis. El artículo 25 DSA prohíbe que las plataformas en línea diseñen, organicen o gestionen sus interfaces de modo que engañen o manipulen a los destinatarios del servicio —los denominados dark patterns o patrones oscuros—, impidiendo o dificultando que tomen decisiones libres e informadas. La manipulación puede ser de naturaleza visual, estructural o de contexto, y el legislador europeo ha querido que la prohibición sea suficientemente amplia para capturar nuevas formas de desinformación por diseño.

Utilizar el canal de notificaciones operativas —el que el usuario identifica inequívocamente con comunicaciones de seguridad de la cuenta— para insertar un mensaje político es, en términos de DSA, una forma de manipulación de la interfaz. El usuario abre la notificación esperando un código o una alerta técnica y se encuentra con un texto de naturaleza ideológica. La confusión deliberada entre canal operativo y canal de comunicación política constituye exactamente el tipo de engaño por diseño que el artículo 25 DSA pretende prohibir.

El artículo 26 DSA establece que toda forma de publicidad que aparezca en las plataformas en línea debe ser claramente identificable como tal. Si el mensaje de Durov tiene los componentes promocionales que se han señalado, habría debido identificarse como publicidad de la plataforma, lo que obviamente no ocurrió. Y el artículo 35 DSA, aplicable a las plataformas de muy gran tamaño —aquellas con más de 45 millones de usuarios activos mensuales en la Unión Europea, umbral que Telegram supera con holgura—, impone la obligación de identificar, analizar y mitigar los riesgos sistémicos derivados del servicio, incluyendo los efectos negativos sobre el discurso cívico y los procesos de participación democrática. Un envío masivo no solicitado de contenido político segmentado por país es exactamente el tipo de riesgo sistémico que la DSA pretende controlar.

La Ley de Competencia Desleal y el consumidor desorientado

La Ley 3/1991, de Competencia Desleal, cierra el perímetro normativo con una perspectiva adicional. Su artículo 5 tipifica como acto desleal la acción engañosa que induce a error a los destinatarios sobre la naturaleza o las características del servicio recibido. Su artículo 7 sanciona las omisiones engañosas cuando se oculta información que el destinatario necesita para tomar una decisión informada. Hay un tercer precepto relevante: el artículo 28, que tipifica específicamente las comunicaciones comerciales agresivas.

Las condiciones de servicio de Telegram describen el canal de notificaciones como un medio de comunicación operativa. Cuando Durov lo utiliza para enviar un manifiesto político sin advertencia previa, está generando en el consumidor un error sobre la naturaleza de lo que está recibiendo. Es una práctica comercial desleal por acción engañosa, porque el receptor tiene expectativas legítimas formadas por el uso ordinario del canal que no se corresponden con el contenido recibido. La ironía objetiva que esta conducta entraña —Telegram presenta el mensaje como defensa de la privacidad mientras utiliza los datos de localización de sus usuarios para segmentarlos sin su conocimiento— no hace sino agravar la incongruencia.

La dimensión jurisdiccional: por qué EAU no es un escudo

Un argumento recurrente cuando se analiza la responsabilidad de Telegram desde el punto de vista del derecho europeo es su sede en Emiratos Árabes Unidos. Es un argumento que, en este contexto, no tiene la solidez que a veces se le atribuye. Tanto el RGPD, en su artículo 3.2, como la DSA, en su artículo 2.1, aplican el principio de extraterritorialidad: ambos instrumentos son aplicables a los prestadores de servicios establecidos fuera de la Unión Europea cuando dirigen sus servicios a personas que se encuentran en el territorio comunitario o cuando el comportamiento produce efectos en ese territorio.

Telegram no solo dirige sus servicios a usuarios europeos, sino que en el caso que nos ocupa segmentó expresamente a los usuarios españoles para el envío del mensaje. La conducta se produjo en el territorio español, los afectados son residentes en España y el tratamiento de datos personales involucró información de personas protegidas por el RGPD. La AEPD tiene competencia para investigar estos hechos al amparo del artículo 55 RGPD, y la Comisión Europea tiene habilitación para actuar en el marco del DSA respecto de las plataformas de muy gran tamaño, independientemente del lugar de establecimiento de la matriz.

La libertad de expresión de Durov: un derecho que nadie discute

Conviene ser preciso sobre lo que este análisis no pretende. Durov tiene pleno derecho a criticar las políticas del Gobierno español. La libertad de expresión, como cualquier derecho fundamental, protege también las opiniones incómodas y los discursos polémicos, máxime cuando se refieren a asuntos de interés público como la regulación de las plataformas digitales. El fundador de Telegram puede publicar en su canal personal —que cuenta con audiencia masiva—, conceder entrevistas, aparecer en medios de comunicación o financiar campañas publicitarias conforme a las reglas ordinarias.

El problema no es lo que dijo, sino cómo eligió decirlo. La cuestión jurídica relevante no es si Durov tenía derecho a expresar su opinión —que lo tenía—, sino si tenía derecho a utilizar la infraestructura de comunicaciones electrónicas privadas, alimentada por los datos personales de millones de personas, para inyectar esa opinión en sus dispositivos sin consentimiento, a través de un canal diseñado para otro propósito, aprovechando la imposibilidad práctica de los usuarios de rechazar el mensaje sin renunciar simultáneamente a notificaciones esenciales del servicio. Son preguntas distintas con respuestas distintas.

Esta asimetría es la que convierte el episodio en algo más que una anécdota del momento político. Un periódico que publica un editorial crítico con el Gobierno puede hacerlo porque el lector elige comprar ese periódico. Una empresa que envía publicidad por correo electrónico puede hacerlo si el destinatario lo ha consentido. Pero aquí nos encontramos con algo diferente: el propietario de una infraestructura de comunicaciones que accede directamente a los dispositivos de personas que no han pedido ese contacto, utilizando datos que le fueron entregados para una finalidad completamente distinta.

El poder de plataforma como categoría jurídica emergente

El caso revela una tensión que el marco normativo vigente apenas ha comenzado a abordar. Las grandes plataformas digitales han adquirido un tipo de poder que no encaja bien en las categorías jurídicas tradicionales. No son poderes públicos sometidos al control democrático. No son medios de comunicación en el sentido clásico, donde el receptor elige la exposición. Son algo diferente: infraestructuras de comunicación que se han convertido en parte del tejido cotidiano de la vida social y profesional de millones de personas, hasta el punto de que el coste de abandono —perder contactos, historiales, comunidades— disuade a la mayoría de usuarios de ejercer la que sería, en abstracto, su libertad de marcharse.

Cuando el propietario de esa infraestructura la utiliza para difundir su posición política a una audiencia cautiva, está ejerciendo una forma de influencia que no tiene equivalente en el mundo analógico. No es comparable a Correos enviando octavillas políticas con las cartas, porque Correos es un operador neutral. No es comparable a un periódico publicando un editorial, porque el lector del periódico ha elegido leerlo. Y no es comparable a un tweet de Durov en su canal personal, porque allí el usuario decide seguirle o no.

El DSA ha dado un paso importante al regular los riesgos sistémicos de las plataformas de muy gran tamaño y al exigir mecanismos de transparencia y rendición de cuentas. Pero la regulación de las comunicaciones masivas con contenido político que los operadores de plataformas dirigen a sus usuarios sin consentimiento sigue siendo un espacio normativo insuficientemente cubierto, que el episodio del 4 de febrero convierte en urgente.

Qué podría hacer la AEPD

Desde el punto de vista procesal, la AEPD tiene habilitación para abrir una investigación de oficio sobre esta conducta, conforme al artículo 57.1.h) RGPD y al artículo 9.2.a) de la Ley Orgánica 3/2018 (LOPDGDD). No necesita denuncia de un particular para iniciar actuaciones. La infracción del principio de limitación de la finalidad tipificada en el artículo 83.5 RGPD puede sancionarse con multas de hasta 20 millones de euros o el 4% del volumen de negocio anual global de la empresa, la cifra que resulte más elevada. En el caso de Telegram, con una valoración estimada en decenas de miles de millones de dólares, ese porcentaje podría alcanzar cantidades muy significativas.

La coordinación con otras autoridades europeas de protección de datos —el mecanismo de ventanilla única del RGPD— sería necesaria si se determinara que Irlanda, donde algunas plataformas tienen su establecimiento principal en la UE, debe actuar como autoridad de control principal. Telegram, con sede en Dubái, presenta la particularidad de no tener un establecimiento principal en la Unión, lo que puede abrir la competencia a las autoridades nacionales de los países donde los usuarios afectados residen.

La paradoja final

Hay una ironía que conviene señalar antes de concluir, porque dice algo sobre la naturaleza del debate que este episodio ha generado. El argumento central de Durov en su mensaje era que las medidas del Gobierno español vulnerarían la privacidad de los usuarios y convertirían a España en un Estado de vigilancia. El mecanismo que eligió para transmitir ese argumento fue el tratamiento sin consentimiento de los datos personales de millones de ciudadanos para segmentarles geográficamente y dirigirles una comunicación que no habían pedido a través de un canal que no podían rechazar sin renunciar a funcionalidades esenciales del servicio.

Es difícil encontrar mejor ilustración de por qué la regulación de las plataformas digitales, con todos sus riesgos y complejidades técnicas, responde a problemas reales y no a impulsos autoritarios. No significa que cualquier regulación sea adecuada, ni que las propuestas específicas del Gobierno español estén exentas de crítica legítima. Pero sí significa que la conducta de Durov —precisamente al pretender negarla— demostró empíricamente la existencia del problema que esa regulación intenta resolver.