Opera VPN vs Proton VPN

La identidad de ese tercero ha cambiado: el anuncio de la auditoría de 2024 dice que los servidores de VPN Pro son "proporcionados en colaboración con Nord", y la explicación de 2026 dice que VPN Pro está "equipada con el protocolo Lightway de última generación", que es de ExpressVPN. Ningún documento dice que el acuerdo haya cambiado.

X02 es el hallazgo fundamental, y ambos documentos que lo respaldan son propios de Opera. El anuncio de 2024 cita la opinión de Deloitte: "la configuración de los sistemas de TI y la gestión de las operaciones de TI de apoyo se diseñaron e implementaron adecuadamente, en todos los aspectos materiales, sobre la base de los criterios descritos en la Declaración de la dirección de Opera, a fecha de 10 de agosto de 2024", y atribuye por separado la frase "No hay ninguna funcionalidad de registro de datos integrada en el servicio VPN, y no se recopilan datos de ningún tipo" a la propia Declaración de la dirección de Opera.

La publicación de 2026 vuelve a contar el mismo encargo como un hallazgo realizado por Deloitte: "dimos al equipo de Deloitte acceso completo a nuestra VPN y a nuestra infraestructura de servidores, y pudieron verificar nuestra afirmación ... De hecho, la función de registro de datos ni siquiera está integrada en la VPN". La misma publicación eleva una ventana que la publicación de 2024 fecha del 18 de junio al 10 de agosto de 2024 a "acceso completo".

Opera está describiendo su propia afirmación como la conclusión de su auditoría. Por eso el bloque VERIFY se divide como lo hace. V01 es yes_verified porque se basa en un informe que realmente se abrió —el propio resumen de gestión publicado por Cure53 sobre su evaluación de marzo de 2022—, no en el anuncio de Deloitte.

El informe de Deloitte en sí no está publicado en ninguna parte, por lo que V02 es press_only, y todo campo que sea un hallazgo de ese informe, y no un hecho sobre el encargo, sigue siendo desconocido: cobertura de la flota (V04), estándar de aseguramiento (V07), lo que el informe afirma que se retiene (V11) y la solidez de la opinión (V15).

Los hechos del encargo —la empresa, su categoría, la fecha y lo que figuraba como evaluado— se toman del anuncio. Un proveedor que ha vuelto a caracterizar esta auditoría de forma demostrable una vez no es una fuente para saber qué concluyó la auditoría. C01 es none_linkable porque esa es la declaración de la declaración de privacidad; V11 es el hallazgo, y no hay ningún hallazgo que leer.

El informe de Cure53 es real y es la razón por la que V14 es yes_verified: siete evaluadores, veinticuatro jornadas-persona, una evaluación de caja blanca en cuatro paquetes de trabajo que cubrían los clientes VPN, la configuración y la infraestructura del servidor, y el protocolo de Opera Mini utilizado para proporcionar la configuración de VPN. Catorce problemas pertinentes para la seguridad, ocho de ellos vulnerabilidades reales, cinco clasificados como de gravedad alta y ninguno crítico.

En marzo de 2022, nueve se habían corregido y las correcciones se habían verificado, uno se había corregido parcialmente, se había aceptado el riesgo de tres, uno era una alerta falsa y uno seguía en curso. El blog de Opera afirma que los siete elementos relacionados directamente con la VPN del navegador fueron «todos resueltos posteriormente», y la tabla lo confirma: el remanente se encuentra en el paquete de trabajo de Opera Mini, no en la propia VPN.

La propiedad está completamente divulgada y termina en un país de mandato, por lo que X03 y C11 apuntan en direcciones opuestas sin contradecirse.

El responsable del tratamiento de datos identificado en la propia declaración de privacidad de Opera es Opera Norway AS, una empresa noruega, y el informe de transparencia se presenta con ese nombre.

La sociedad holding es Opera Limited, una sociedad exenta constituida en las Islas Caimán en marzo de 2018, sin operaciones sustantivas propias. El Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como accionista principal, con un 68,0 %, una filial de Kunlun Tech Co., Ltd. constituida en la PRC, y afirma que Kunlun «es la matriz última de Opera y está controlada por el presidente ejecutivo de Opera».

Por tanto, M06 es NO y C10 es no, mientras que M11 es CN y C11 es yes.

C12 es el vacío más marcado entre la declaración de la VPN y la aplicación en la que está integrada. La sección de la VPN de la declaración de privacidad declara ausencia de registros; otra sección del mismo documento dice que, cuando se instala una aplicación de Opera, «se genera un ID de instalación aleatorio. Recopilamos este identificador, así como Machine ID, las especificaciones del hardware (modelo, fecha de lanzamiento, etc.), el sistema operativo, la configuración del entorno y los datos de uso de funciones», con una retención de hasta tres años.

Un Machine ID se deriva del hardware, por lo que el identificador que conserva el proveedor es persistent_hardware_id y no uno aleatorio con alcance limitado a la aplicación, haga el túnel lo que haga o no haga con los registros.

X12 compara dos documentos que Opera presentó por sí misma. El formulario de seguridad de datos de Play para com.opera.browser declara que Installed apps se recopila para Analytics, y la declaración de privacidad nunca menciona la recopilación de las aplicaciones instaladas en el dispositivo. Installed apps es comportamiento, no un identificador; de ahí undisclosed_behaviour.

El mismo formulario declara que Device or other IDs se comparte con otras empresas para publicidad, lo que sitúa C07a en ads. C07b se basa en algo más limitado y se marca como B por ello: el único host de terceros en el marcado servido para la página del producto es Google Tag Manager, y no se enumeró lo que ese contenedor carga en tiempo de ejecución.

U02 es desconocido por el diseño del producto, no por un fallo de la búsqueda: la VPN gratuita ofrece tres regiones —Opera las denomina America, Asia y Europe— y nunca un país. C09 y C09b se derivan de ello y no pueden resolverse mientras se mantenga esta situación.

X05 es ads_supported en el explicador de Opera, que enumera la publicidad en primer lugar entre tres fuentes de ingresos y describe que Opera Ads recopila un ID de usuario generado aleatoriamente, la ciudad o el país y categorías generales de sitios visitados, con una retención de hasta un año; junto con U05 = unlimited_free, este es exactamente el caso que R15 existe para señalar.

X06 es la afirmación de la publicación de 2026 de que AES-256 «le llevaría a un hacker con incluso el ordenador más rápido más de mil millones de años descifrarlo». X09 es self_disclosed_prompt en dos publicaciones de 2026 en las que Opera publicó vulnerabilidades que investigadores externos le habían comunicado, junto con el análisis y la versión corregida; se trata de vulnerabilidades del navegador, no de incidentes de VPN, y no se conoce ningún incidente de VPN.

C05 es not_sold. La VPN gratuita no tiene ningún paso de pago: ni suscripción ni cuenta; por tanto, no hay nada que pagar de forma anónima ni de otro modo.

Esta ficha se escribió inicialmente como none, lo que se interpreta como «solo se ofrecen métodos de pago identificados» y aquí es falso, porque el vocabulario no tenía ningún token para un servicio que no cobra dinero; unknown habría afirmado que la búsqueda había fallado, lo que también era falso, y entre dos interpretaciones erróneas se registró la que perjudica al proveedor. El token existe ahora y tiene un precio de nada, que es la respuesta honesta: donde no hay pago, no hay identidad de pago que pueda filtrarse.

El informe que cambiaría cuatro campos. El informe de Deloitte es el otro documento que cambiaría varios campos a la vez: V04, V07, V11 y V15 son todos desconocidos únicamente porque no está publicado, y V11, en particular, es el campo en el que se basa toda la afirmación de ausencia de registros.

Lo que no tiene documento. U07 no tiene documento y C13 tampoco lo tiene detrás: Opera menciona AES-256 y un «secure tunnel», pero nunca un protocolo, por lo que el transporte más débil disponible no está establecido. U08, U09 y U12b no están cumplimentados por la misma razón: la tabla de comparación de funciones de la página del producto marca las filas con marcas de verificación que el marcado obtenido no incluye, y leer marcas de verificación de una imagen renderizada no es una fuente.

Servidores descritos, no evidenciados. C02, C06 y C08 no tienen nada que los respalde: Opera afirma que los servidores son físicos y propios, lo que no establece ni el disco, ni el DNS, ni quién es propietario del hardware. C09b no puede responderse mientras U02 sea desconocido.

Una tienda, no dos. Solo se leyó el formulario de seguridad de datos de Google Play; no se leyeron las etiquetas de privacidad de App Store para el navegador de iOS, por lo que X12 se basa en una tienda y no en la peor de las dos.

Dos interpretaciones en lugar de afirmaciones. Linux en U01 se infiere del manual de ayuda de escritorio, que documenta la VPN y cubre Windows, macOS y Linux conjuntamente sin dividir por plataforma; Android e iOS se mencionan explícitamente en el anuncio de la auditoría. U10 es ilimitado porque no hay cuenta ni límite de dispositivos que pueda imponer uno, lo que es una interpretación del producto y no una cifra declarada.

La apelación y lo que no resuelve. La apelación del 22 de octubre de 2021 se cita aquí con una salvedad que conviene expresar claramente: Federal Administrative Court resolvió que los servicios de correo electrónico no son proveedores de telecomunicaciones, y ni la cobertura de la sentencia ni el propio relato de Proton mencionan la VPN.

Lo que realmente establece los dos campos. Lo que establece C10 y C11 es que Suiza no tiene ninguna base de mandato en la propia lista de países del catálogo; la apelación corrobora cómo las autoridades suizas tratan a Proton y no constituye por sí sola una conclusión sobre Proton VPN. Una resolución sobre un servicio hermano es un fundamento más débil de lo que hace parecer la cita.

El único asunto pendiente más importante. Proton ofrece ubicaciones de salida en ocho países que imponen un mandato de registro de datos. No está establecido que haya hardware físicamente en alguno de ellos: Proton retiró los servidores físicos de la India en 2022 y documenta Smart Routing para las ubicaciones a las que presta servicio desde otro lugar, lo que apunta a ubicaciones virtuales, pero eso solo se verificó para la India. Establecer C09b_mandate_hosting es el único asunto pendiente más importante de esta ficha.