Vigilancia permanente: Cómo Google recopila tus datos sin tu consentimiento (Incluso si crees haberlo desactivado)

 

Una investigación basada en estudios académicos, informes de organismos públicos y periodismo de investigación que revela cómo la industria publicitaria digital ha construido la mayor infraestructura de vigilancia de la historia.

 

Siempre digo a mis clientes que si van a cometer un delito, que dejen el teléfono en casa, usen el coche del abuelo de 2001 y eviten las cámaras de videovigilancia.

 

 

La Ilusión del control

 

Cuando abres los ajustes de tu teléfono Android y desactivas la personalización de anuncios, cuando pausas el historial de ubicaciones, cuando borras tu actividad web, sientes que recuperas el control. Es una sensación reconfortante: has tomado medidas para proteger tu privacidad. La realidad, es radicalmente distinta. Tu teléfono sigue enviando datos. Tus movimientos siguen siendo rastreados. Tu perfil publicitario sigue creciendo. Y no solo Google lo sabe: miles de empresas a las que nunca has dado tu consentimiento también lo saben.

 

Esta no es una afirmación conspirativa ni una hipótesis académica. Es lo que demuestran estudios del Trinity College de Dublín, investigaciones de la Associated Press, informes del Irish Council for Civil Liberties (ICCL) y notas técnicas de la propia Agencia Española de Protección de Datos (AEPD). Las evidencias se acumulan desde hace años y dibujan un panorama que debería preocupar a cualquier ciudadano: la industria publicitaria digital ha construido, bajo la apariencia de anuncios "personalizados", la mayor infraestructura de vigilancia jamás creada por la humanidad.

 

Los números son difíciles de asimilar. Según un informe del ICCL publicado en mayo de 2022, el sistema de Real-Time Bidding (subasta en tiempo real) que alimenta la publicidad programática emite datos sobre los ciudadanos de Estados Unidos y Europa 178 billones de veces al año. (178 trillions en la nomenclatura anglosajona, o 178.000.000.000.000 de emisiones de datos personales cada doce meses). La industria que sustenta este sistema genera más de 117.000 millones de dólares anuales. Y la inmensa mayoría de las personas afectadas no tienen la menor idea de que está ocurriendo.

 

En este artículo, recopilo paso a paso y con fuentes verificables, cómo funciona esta maquinaria: desde los datos que tu teléfono envía a Google sin que puedas evitarlo, pasando por la ilusión del identificador de publicidad, hasta la subasta invisible en la que tu ubicación precisa y tu historial de navegación se venden a miles de empresas en milisegundos. El objetivo es claro: que comprendas la magnitud real de la vigilancia a la que estás sometido y, sobre todo, que entiendas por qué las medidas que crees protectoras no lo son tanto.

 

Tu teléfono Android: Una máquina de vigilancia

 

En marzo de 2021, Douglas J. Leith, investigador de la Escuela de Informática y Estadística del Trinity College de Dublín, publicó un estudio que debió provocar un terremoto regulatorio. Titulado "Mobile Handset Privacy: Measuring The Data iOS and Android Send to Apple and Google", el trabajo analiza con rigor científico qué datos envían los sistemas operativos móviles a sus respectivas empresas matrices. Las conclusiones son demoledoras.

 

Leith configuró un teléfono Google Pixel 2 con Android 10 y un iPhone 8 con iOS 13, ambos recién restaurados de fábrica. En ambos casos, seleccionó deliberadamente todas las opciones de privacidad disponibles: desactivó la telemetría, desactivó los servicios de ubicación, no inició sesión en ninguna cuenta. El objetivo era simular el comportamiento de un usuario consciente de su privacidad pero no técnico. Lo que descubrió es que, a pesar de todas estas precauciones, ambos teléfonos seguían comunicándose con sus servidores corporativos de forma incesante.

 

El dato más impactante es la diferencia de volumen entre ambas plataformas. Durante los primeros 10 minutos tras el arranque, el teléfono Android envió aproximadamente 3,6 megabytes de datos a los servidores de Google. El iPhone, en el mismo periodo, envió unos 42 kilobytes a Apple. Es decir, Android transmitió casi dos órdenes de magnitud más datos que iOS durante el arranque. Cuando los teléfonos se dejaban en reposo, el Pixel enviaba aproximadamente 1 megabyte cada 12 horas, frente a los 52 kilobytes del iPhone. En términos comparativos: Google recolecta unas 20 veces más datos del handset que Apple.

 

Pero el volumen no es lo más preocupante. Es la naturaleza de los datos lo que resulta verdaderamente alarmante. Cuando el teléfono Android arranca, la primera conexión que envía datos identificativos se dirige al endpoint de Google Analytics (app-measurement.com). En ella se transmite un app_instance_id que queda vinculado al RDID (Resettable Device Identifier), también conocido como Advertising ID. Inmediatamente después, el proceso DroidGuard, encargado de la atestación del dispositivo como parte del servicio SafetyNet de Google, envía el número de serie del hardware del dispositivo a www.googleapis.com/androidantiabuse. A continuación, el teléfono realiza una llamada al endpoint android.clients.google.com/checkin que contiene, en formato protobuf, los siguientes datos:

 

• Dirección MAC del adaptador WiFi del teléfono
• Número IMEI del dispositivo (identificador único internacional del equipo móvil)
• Número de serie del hardware del dispositivo
• Clave DroidGuard del dispositivo (un mensaje binario opaco y deliberadamente ofuscado por Google)
• Identificador Android ID (persistente hasta un factory reset)
• Varios tokens de seguridad y cookies

 

Esta única conexión al endpoint /checkin enlaza múltiples identificadores persistentes del dispositivo: el número de serie del hardware, el IMEI, la dirección MAC WiFi, el Android ID y la clave DroidGuard. Además, se le asocia una cookie. Es decir, en los primeros minutos de vida de un teléfono recién comprado, Google ya posee una huella digital completa y permanente del dispositivo, vinculada a una cookie que permitirá rastrearlo en el futuro.

 

La situación empeora cuando insertas una tarjeta SIM. El teléfono Android envía a Google, a través del endpoint android.clients.google.com/fdfe/uploadDynamicConfig, el IMSI de la tarjeta SIM (identificador que permite rastrear de forma única al suscriptor de la red móvil), el nombre del operador, el identificador del grupo móvil y el APN del operador. Todo esto queda vinculado al Android ID del dispositivo. Simultáneamente, la conexión a android.googleapis.com/checkin comparte el IMEI y el IMSI junto con los detalles del operador, enlazándolos con el número de serie, la dirección MAC WiFi y una cookie. Y la conexión a play.googleapis.com/log/batch añade el número de teléfono del usuario al paquete de datos.

 

Doug Leith lo expresa con claridad meridiana en su informe: el teléfono envía datos a Google incluso con la telemetría explícitamente desactivada. En las pruebas, el investigador desmarcó la opción "Enviar datos de uso y diagnóstico" durante la configuración inicial. A pesar de ello, el handset envió aproximadamente 1,2 megabytes de datos de telemetría y registro a los endpoints play.googleapis.com/log/batch y play.googleapis.com/play/log. Google incluye un texto bajo esa opción que dice: "Desactivar esta función no afecta la capacidad de tu dispositivo para enviar la información necesaria para servicios esenciales como actualizaciones del sistema y seguridad". Los datos que Leith observó en la práctica revelan que esa recopilación "esencial" es extensa y probablemente contradice las expectativas razonables de cualquier usuario.

 

La frecuencia de las conexiones es sorprendente. Cuando el teléfono está completamente inactivo, conectado a la corriente pero sin que nadie lo toque, realiza conexiones a los servidores de Google cada 255 segundos de media, es decir, cada 4 minutos y 15 segundos. iOS muestra un comportamiento similar con sus servidores Apple (264 segundos). Esto significa que, simplemente por existir y estar encendido, tu teléfono se comunica con la infraestructura de Google o Apple más de 300 veces al día, revelando en cada conexión su dirección IP, que actúa como un proxy aproximado de tu ubicación.

 

Las aplicaciones preinstaladas también contribuyen al flujo de datos. El estudio detectó que la barra de búsqueda de Google, la aplicación de YouTube, Google Docs, SafetyHub, Google Messaging, la aplicación de Reloj e incluso Chrome realizan conexiones de red periódicas que comparten identificadores del dispositivo, a pesar de que el usuario nunca las haya abierto ni utilizado. En particular, la aplicación de YouTube realiza conexiones a www.googleadservices.com, enviando el RDID, el identificador de dispositivo utilizado para publicidad.

 

El profesor Leith extrapola sus medidas para calcular la magnitud del fenómeno a escala nacional. En 2020, se estimaba que había 129 millones de usuarios de Android solo en Estados Unidos. Si todos tienen Google Play Services activado, la cantidad de datos que Google recopilaría sería de aproximadamente 1,3 terabytes cada 12 horas, frente a los 5,8 gigabytes que Apple recopilaría de los 113 millones de usuarios de iPhone en el mismo periodo. La diferencia es abismal.

 

El estudio también señala que iOS envía a Apple las direcciones MAC de los dispositivos cercanos que comparten la misma red WiFi —otros teléfonos, el router del hogar— junto con la ubicación GPS del dispositivo. Esto permite a Apple construir un grafo social a lo largo del tiempo y el espacio: basta con que un dispositivo etiquete la dirección MAC del router doméstico con su ubicación GPS para que, a partir de ese momento, cualquier otro dispositivo que reporte esa misma dirección MAC revele su posición. No obstante, el foco de este artículo es Google y Android, donde el volumen y la granularidad de la recopilación son significativamente mayores.

 

El Android Advertising ID (AAID): La ilusión del control

 

En 2014, con el lanzamiento de Android KitKat, Google introdujo un nuevo identificador denominado Android Advertising ID (AAID), también conocido como Google Advertising ID (GAID). La medida fue presentada como un avance significativo para la privacidad del usuario. Hasta entonces, las aplicaciones utilizaban identificadores hardware permanentes como el IMEI, la dirección MAC del adaptador WiFi o el número de serie del dispositivo para rastrear a los usuarios. Estos identificadores eran inmutables: no se podían cambiar ni restablecer, lo que permitía un seguimiento permanente e irreversible. El AAID, en teoría, cambiaba esta dinámica al ofrecer un identificador que el usuario podía restablecer en cualquier momento desde los ajustes del dispositivo.

 

La política del programa para desarrolladores de Google Play estableció que, para cualquier finalidad publicitaria, debía utilizarse el ID de publicidad en todas las actualizaciones y aplicaciones nuevas subidas a la tienda, y no otros identificadores de dispositivo. En apariencia, era un paso adelante. La realidad, como ha documentado la propia Agencia Española de Protección de Datos, es muy diferente.

 

Para entender por qué el AAID es una ilusión de control, hay que comprender qué ocurre cuando el usuario desactiva la personalización de anuncios. Al acceder a Ajustes → Google → Anuncios

 

y desactivar la personalización, Android transmite una señal a las entidades publicitarias indicando que el usuario no desea anuncios basados en sus intereses. Esta señal se traduce, en el caso de Facebook, en un parámetro denominado IDFA_FLAG=0 que acompaña al AAID en las peticiones POST a graph.facebook.com. El problema es que el AAID sigue enviándose. La única diferencia es ese flag que indica "no personalices".

 

La AEPD lo documenta con un ejemplo técnico contundente. La aplicación AZ Screen Recorder, que utiliza los servicios de publicidad de Facebook, envía el AAID junto con el nombre de la aplicación y otros datos a los servidores de Facebook cuando se ejecuta con la personalización habilitada. Cuando se desactiva la personalización, la petición POST es prácticamente idéntica: el AAID se sigue enviando, el nombre de la aplicación también, la ubicación ("Europe/Madrid"), el modelo de dispositivo ("Nexus 5") y el idioma ("es_ES") igualmente. La única diferencia es que el parámetro IDFA_FLAG vale 0 en lugar de 1. Es decir, la acción de deshabilitar la personalización simplemente indica a Facebook que no muestre un anuncio basado en los intereses del usuario, pero no impide que Facebook siga recopilando datos y asociándolos al identificador.

 

«La acción de deshabilitar la publicidad basada en gustos e intereses del usuario para las aplicaciones únicamente indica, en este caso a Facebook, que no devuelva un anuncio personalizado, pero no evita que éste pueda seguir recopilando datos del usuario y asociándolos a un identificador de publicidad».

 

Esto significa que Facebook puede continuar elaborando un perfil basado en las aplicaciones que el usuario ejecuta, los momentos en que las usa y la frecuencia de uso, aunque la personalización esté desactivada. Y esto ocurre con una aplicación de grabación de pantalla; la AEPD también documentó el caso de una aplicación de temática sexual que enviaba el AAID a Facebook al simplemente abrirla, independientemente de la configuración de personalización. Las aplicaciones de salud, finanzas, religión y orientación sexual funcionan bajo la misma lógica: el AAID se transmite en todos los casos.

 

Los estudios citados por la AEPD revelan la magnitud del fenómeno. Según un estudio de Privacy International, el 61% de las aplicaciones analizadas enviaban datos a Facebook en el momento en que el usuario las abría. Otro estudio, de Reuben Binns y colegas de la Universidad de Oxford, indicaba que hasta un 42% de las aplicaciones gratuitas del Google Play Store compartían datos con Facebook. Y aquí viene el aspecto más inquietante: Facebook puede realizar este seguimiento incluso de usuarios que no tienen cuenta en su plataforma. No necesitas haber creado un perfil en Facebook, no necesitas haber iniciado sesión, no necesitas haber dado ningún consentimiento. Tu teléfono envía el AAID y la información asociada de todas formas.

 

La AEPD señala otro problema fundamental: la propia existencia y configuración del AAID viola el principio de privacidad por defecto establecido por el Reglamento General de Protección de Datos (RGPD). Tras un reinicio de fábrica, la personalización de anuncios vuelve a estar habilitada por defecto. Es el usuario quien debe realizar una acción explícita para deshabilitarla, navegando por menús que la mayoría desconoce. El RGPD establece claramente que la configuración por defecto debe ser la más protectora con la privacidad. En el caso del AAID, ocurre exactamente lo contrario.

 

Además, Google advierte de que si el usuario borra la caché, la personalización de la publicidad vuelve a activarse. Y no garantiza en ningún caso que los anuncios no estén basados en los intereses del usuario; simplemente dice que "es posible" que no lo estén. Es una advertencia que, en la práctica, vacía de contenido cualquier promesa de control.

 

La conclusión de la AEPD es inequívoca: el sistema actual no proporciona al usuario un control real sobre su identificador de publicidad. La desactivación de la personalización no detiene el envío del identificador a terceros, no impide la construcción de perfiles y no evita que esos datos se utilicen en el futuro cuando la personalización se reactive. En esencia, el AAID es un identificador de rastreo permanente disfrazado de herramienta de privacidad.

 

La ubicación: Rastreada incluso cuando la desactivas

 

Agosto de 2018: la Associated Press publicó una investigación que Confirmó lo que muchos sospechaban: Google registra tu ubicación incluso cuando has desactivado explícitamente el Historial de Ubicaciones. La investigación, verificada por investigadores en informática de la Universidad de Princeton, demostró que la promesa de Google era literalmente falsa.

 

En su página de ayuda, Google afirmaba textualmente: "Puedes desactivar el Historial de Ubicaciones en cualquier momento. Con el Historial de Ubicaciones desactivado, los lugares a los que vas ya no se almacenan". No era cierto. Aunque el usuario pausara el Historial de Ubicaciones, varias aplicaciones de Google seguían almacenando datos de ubicación con sellos de tiempo precisos, sin pedir permiso y sin informar de ello.

 

Los mecanismos eran múltiples. Cuando el usuario abría la aplicación de Google Maps, la app almacenaba una instantánea de su ubicación, independientemente de la configuración del Historial de Ubicaciones. Las actualizaciones meteorológicas automáticas en los teléfonos Android incluían la ubicación aproximada del usuario. Y las búsquedas más mundanas y aparentemente sin relación geográfica —como "galletas de chocolate" o "kits de ciencia para niños"— registraban la latitud y longitud exactas del usuario, con una precisión de metros, y las guardaban en la cuenta de Google asociada al dispositivo.

 

La clave de este comportamiento reside en la diferencia entre dos configuraciones que Google mantiene separadas: el "Historial de Ubicaciones" (Location History) y la "Actividad Web y de Aplicaciones" (Web & App Activity). Cuando el usuario desactiva solo el Historial de Ubicaciones, los datos de localización dejan de alimentar la línea de tiempo visual que Google Maps muestra al usuario, pero siguen almacenándose en otra sección de la cuenta denominada "Mi Actividad". Es decir, Google deja de mostrarte tu historial de movimientos, pero sigue registrándolo. La diferencia no es trivial.

 

Para ilustrar la potencia de estos marcadores de ubicación, la Associated Press creó un mapa visual de los movimientos de un investigador postdoctoral de Princeton, Gunes Acar, que portaba un teléfono Android con el Historial de Ubicaciones desactivado. El mapa incluía sus trayectos en tren durante dos viajes a Nueva York, visitas a The High Line, Chelsea Market, Hell's Kitchen, Central Park y Harlem. Y eso sin incluir el marcador más revelador y frecuente: la dirección de su domicilio.

 

«If you're going to allow users to turn off something called "Location History," then all the places where you maintain location history should be turned off».

 

Sean O'Brien, investigador del Yale Privacy Lab con quien la AP compartió sus hallazgos, fue más directo: "Es deshonesto que Google registre continuamente estas ubicaciones incluso cuando los usuarios desactivan el Historial de Ubicaciones". La investigadora K. Shankari, de la Universidad de California en Berkeley, descubrió el problema cuando su teléfono Android le pidió que valorara una compra en Kohl's, a pesar de tener el Historial de Ubicaciones desactivado. Su reacción resume la experiencia de millones: "¿Cómo sabía Google Maps dónde estaba?"

 

Pero la vigilancia de ubicación va más allá del GPS explícito. Android realiza escaneos de redes WiFi y Bluetooth en segundo plano, incluso cuando el usuario ha desactivado los servicios de ubicación. Esto permite la geolocalización sin GPS activo: las redes WiFi cercanas y las torres de telefonía celular proporcionan suficiente información para inferir la posición del dispositivo con una precisión notable. Cada punto de acceso WiFi tiene una dirección MAC única que puede geolocalizarse; cuando tu teléfono detecta varias de estas direcciones simultáneamente, su posición puede triangularse. Google mantiene una base de datos masiva de ubicaciones de puntos de acceso WiFi construida precisamente a partir de los escaneos que realizan los teléfonos Android de sus usuarios.

 

Google ha comercializado activamente esta capacidad de rastreo. Desde 2014, permite a los anunciantes medir la eficacia de los anuncios online para impulsar visitas físicas a tiendas, una funcionalidad que depende de los historiales de ubicación de los usuarios. En la cumbre Google Marketing Live de julio de 2018, la compañía presentó una herramienta llamada "local campaigns" que utiliza anuncios dinámicos para aumentar las visitas presenciales a tiendas, midiendo la eficacia con datos extraídos de los historiales de ubicación de los usuarios. Los compradores de publicidad pueden dirigir anuncios a ubicaciones específicas —por ejemplo, un radio de una milla alrededor de un monumento— y típicamente pagan más por alcanzar esta audiencia geográficamente restringida. La ubicación no es solo un dato pasivamente recolectado; es un producto activamente vendido.

 

El año anterior a la investigación de la AP, el sitio de noticias Quartz ya había descubierto que Google rastreaba a los usuarios de Android recogiendo las direcciones de las torres de telefonía celular cercanas, incluso con todos los servicios de ubicación desactivados. Google cambió esta práctica tras la publicación del reportaje, aunque insistió en que nunca había registrado esos datos. La confianza en esa afirmación es, como mínimo, cuestionable a la luz de los hallazgos posteriores.

 

Real-Time Bidding: La subasta de tu privacidad

 

Todo lo descrito hasta ahora —la recolección de datos por el sistema operativo, la ilusión del AAID, el rastreo de ubicación pese a la desactivación— constituye la infraestructura de recopilación. Pero estos datos no se quedan en los servidores de Google. Se distribuyen, masiva y sistemáticamente, a miles de empresas a través de un mecanismo que la inmensa mayoría de los usuarios desconoce: el Real-Time Bidding (RTB), o subasta en tiempo real.

 

¿Qué es el Real-Time Bidding?

 

El Real-Time Bidding es el sistema de subastas programáticas que sustenta la publicidad digital moderna. Funciona de la siguiente manera: cada vez que abres una aplicación o visitas una página web que contiene espacio publicitario —y prácticamente todas lo contienen—, se produce una subasta en tiempo real en la que tu perfil de datos se ofrece a cientos de compradores simultáneamente. Todo ocurre en milisegundos, antes de que la página termine de cargar o la aplicación muestre su interfaz completa. El mejor postor gana el derecho a mostrarte su anuncio. Y en cada una de estas subastas, tus datos personales —incluyendo tu ubicación precisa, tu identificador de dispositivo, tu historial de navegación, tus intereses inferidos y tus datos demográficos estimados— se transmiten a todos los participantes.

 

El proceso paso a paso

 

El funcionamiento del RTB puede desglosarse en siete pasos que ocurren en menos de 100 milisegundos:

• El usuario abre una aplicación o página web. En ese instante, el espacio publicitario disponible entra en el mercado de subastas programáticas.
• La plataforma publicitaria recopila datos del dispositivo. Se extrae una cantidad extraordinaria de información: el AAID (en Android) o IDFA (en iOS), la dirección IP exacta, la ubicación GPS con precisión de metros, el tipo y modelo de dispositivo, la versión del sistema operativo, las aplicaciones instaladas, el idioma del usuario, el operador de telefonía, la resolución de pantalla, el nivel de batería, el navegador utilizado, y una larga lista de datos adicionales.
• Los datos se empaquetan en una "bid request" (petición de oferta). Esta petición contiene todo el perfil disponible del usuario, enriquecido con categorías de intereses inferidas a partir de su comportamiento previo, datos demográficos estimados (edad, género, nivel de ingresos estimado), y el historial de navegación cross-device cuando está disponible.
• La bid request se transmite simultáneamente a cientos de plataformas de demanda (Demand-Side Platforms o DSPs). Estas plataformas representan a anunciantes que quieren mostrar sus anuncios a usuarios específicos. Cada DSP recibe el perfil completo del usuario.
• Cada DSP evalúa el perfil y decide si pujar. La decisión se basa en la coincidencia entre el perfil del usuario y los criterios de segmentación del anunciante. Si el perfil coincide —por ejemplo, un hombre de 30-40 años en Madrid que recientemente ha buscado información sobre coches—, la DSP realiza una oferta económica.

• El mejor postor gana el derecho a mostrar su anuncio. La subasta se resuelve en favor de la oferta más alta, y el anuncio del ganador se carga en el espacio disponible.
• Todo el proceso ocurre en menos de 100 milisegundos. El usuario no percibe nada. La página carga normalmente, la aplicación funciona con fluidez, y en ningún momento se le informa de que sus datos acaban de ser transmitidos a cientos de empresas.

 

Los datos transmitidos en cada subasta

 

Es importante entender la granularidad de la información que se distribuye en cada subasta RTB. No se trata de datos agregados o anonimizados. Se trata de datos identificativos y precisos que, en muchos casos, permiten identificar y localizar a un individuo concreto:

 

• Dirección IP exacta — permite geolocalización a nivel de ciudad o barrio
• Ubicación GPS (latitud y longitud) — con precisión de metros en muchos casos
• AAID (Android) o IDFA (iOS) — identificadores únicos de publicidad
• IMEI y IMSI — identificadores permanentes del dispositivo y la tarjeta SIM
• Tipo y modelo exacto de dispositivo
• Sistema operativo y versión específica
• Aplicaciones instaladas en el dispositivo — reveladoras de intereses, hábitos y circunstancias personales
• Idioma del usuario

• Operador de telefonía
• Resolución de pantalla
• Nivel de batería — un dato que sorprende pero que se utiliza para fingerprinting
• Navegador y versión
• Historial de navegación (cross-device tracking)
• Categorías de intereses inferidas — construidas a partir del comportamiento del usuario
• Datos demográficos estimados — edad, género, nivel de ingresos
• Timestamp preciso — fecha y hora exactas de la interacción

 

La escala del fenómeno

 

El informe del ICCL proporciona las cifras que permiten comprender la dimensión real del RTB. Y son cifras que cuesta asimilar:

 

• 4.698 empresas en Estados Unidos están autorizadas por Google para recibir datos de RTB. Es decir, casi cinco mil organizaciones tienen acceso a los datos personales transmitidos en las subastas programáticas.
• 747 exposiciones de datos por día por usuario en Estados Unidos. Cada persona que navega por internet o usa aplicaciones con publicidad tiene sus datos expuestos a terceros una media de 747 veces al día.
• 376 exposiciones de datos por día por usuario en Europa. En el Viejo Continente, donde supuestamente el RGPD protege nuestros datos, la cifra sigue siendo demoledora.
• 19,6 millones de emisiones de datos por minuto solo en Alemania. Google transmite aproximadamente 20 millones de veces por minuto datos sobre el comportamiento online de los usuarios alemanes.
• 178 billones (trillions) de emisiones de datos al año en Estados Unidos y Europa combinados. Es el número más escalofriante del informe: cada año, el sistema RTB emite datos personales casi doscientos billones de veces.

 

La industria que genera esta infraestructura de vigilancia vale más de 117.000 millones de dólares al año. Es un negocio colosal que depende íntimamente de la extracción, procesamiento y venta de datos personales. Y su rentabilidad depende de que los usuarios no comprendan lo que está ocurriendo.

 

Datos europeos en manos de regímenes de vigilancia

 

Uno de los aspectos más preocupantes del RTB es la dimensión internacional de las transferencias de datos. El informe del ICCL documenta que los datos de ciudadanos europeos —protegidos nominalmente por el RGPD— llegan a empresas ubicadas en países con historiales documentados de vigilancia masiva, incluyendo Rusia y China. No hay mecanismo alguno que permita a un ciudadano europeo saber si sus datos han llegado a Moscú o a Beijing, y menos aún controlar qué se hace con ellos una vez allí. Las bid requests se transmiten de forma automática y masiva, y la cadena de intermediarios es tan larga y compleja que rastrear el destino final de un dato concreto es prácticamente imposible.

 

Esto convierte al RTB en lo que el propio ICCL ha denominado "la mayor brecha de datos jamás registrada". No es una brecha de seguridad en el sentido tradicional —no hay hackers que explotan vulnerabilidades— sino un sistema diseñado deliberadamente para transmitir datos personales a escala planetaria, sin que el usuario lo sepa, sin que pueda oponerse y sin que exista un mecanismo efectivo para eliminar esos datos una vez distribuidos.

 

El RGPD violado a escala industrial

 

El Reglamento General de Protección de Datos (RGPD) entró en vigor en mayo de 2018 con la promesa de devolver a los ciudadanos europeos el control sobre sus datos personales. Más de siete años después, la industria del RTB representa probablemente la violación más extensa y sistemática del reglamento, y las autoridades de protección de datos han sido incapaces de detenerla.

 

El problema fundamental es el consentimiento. El RGPD exige que el tratamiento de datos personales se base en una de las seis bases legales establecidas, siendo el consentimiento explícito del interesado la más relevante en el contexto publicitario. Este consentimiento debe ser libre, específico, informado e inequívoco. En la práctica del RTB, ninguno de estos requisitos se cumple. El usuario no sabe que sus datos se subastan. No sabe cuántas empresas los reciben. No sabe qué datos concretos se transmiten. No sabe durante cuánto tiempo se almacenan. Y no tiene mecanismo alguno para retirar un consentimiento que, de hecho, nunca otorgó.

 

Las transferencias internacionales de datos representan otra violación clara. El RGPD prohíbe la transferencia de datos personales a países que no garantizan un nivel de protección adecuado, salvo en circunstancias excepcionales y con salvaguardas específicas. Rusia y China no tienen decisiones de adecuación de la Comisión Europea. Sin embargo, las bid requests generadas por el comportamiento online de ciudadanos europeos llegan a empresas en estas jurisdicciones de forma rutinaria. No existen las salvaguardas requeridas por la ley. No hay cláusulas contractuales tipo que protejan realmente los datos una vez llegan a un ordenamiento jurídico sin protección equiparable. El dato, una vez emitido, escapa a cualquier control.

 

La cadena de responsabilidad en el ecosistema RTB es deliberadamente opaca. Google, como operador del mayor exchange de publicidad digital del mundo, transmite datos a miles de DSPs, que a su vez pueden transmitirlos a otros intermediarios, que pueden compartirlos con sus propios socios. En esta cadena de intermediarios, la responsabilidad se diluye hasta hacerse prácticamente inimputable. Cuando un dato personal llega a una empresa en Rusia, China o EEUU, ¿quién es el responsable del tratamiento? ¿Google, que originó la bid request? ¿El DSP que la recibió y la retransmitió? ¿La empresa rusa, china o americana que finalmente la almacenó? La normativa europea contempla figuras como el responsable del tratamiento y el encargado del tratamiento, pero la arquitectura del RTB está diseñada para que nadie asuma plenamente ninguno de estos roles en relación con la totalidad de los datos transmitidos.

 

La Agencia Española de Protección de Datos ha sido particularmente explícita en su evaluación del AAID. Su nota técnica concluye que la desactivación de la personalización de anuncios no detiene el envío del identificador a terceros, que el reinicio de fábrica reactiva la personalización por defecto, y que el sistema actual no proporciona al usuario un control real sobre su identificador de publicidad. La AEPD señala que los desarrolladores de sistemas operativos deben proporcionar un control real sobre los datos personales, permitiendo no solo cambiar el identificador, sino también impidiendo que aplicaciones y librerías accedan a él si el usuario no da permiso explícito para una finalidad concreta.

 

El AAID viola, según la interpretación de la AEPD, al menos tres principios fundamentales del RGPD:

 

• Privacidad por defecto: la configuración inicial del dispositivo permite la personalización publicitaria y el envío del AAID a terceros sin que el usuario deba dar su consentimiento activo.
• Minimización de datos: se transmiten más datos de los necesarios para la finalidad declarada. El AAID se envía con información contextual (aplicación, ubicación, modelo de dispositivo, idioma) que excede con creces lo estrictamente imprescindible.
• Base legal para el tratamiento: el envío del AAID a terceros constituye una comunicación de datos personales para la que no existe una base legal clara en la mayoría de los casos. El usuario no ha consentido explícitamente que su identificador se transmita a Facebook u otras plataformas, y los legítimos intereses de las empresas receptoras difícilmente pueden prevalecer sobre los derechos fundamentales del usuario.

 

Las empresas europeas que participan en el ecosistema RTB son, en virtud del RGPD, responsables de las transferencias internacionales de datos que realizan. El hecho de que la cadena sea compleja y los intermediarios numerosos no exime de responsabilidad. Sin embargo, la aplicación práctica de este principio es desalentadora: el ICCL lleva años litigando en tribunales de Hamburgo, Dublín y Bruselas contra diversos actores del ecosistema RTB —incluyendo el IAB TechLab, Microsoft Xandr y la propia Google— con resultados limitados hasta la fecha. La maquinaria de la publicidad programática sigue girando, y 376 veces al día los datos de cada europeo siguen siendo expuestos.

 

¿Qué podemos hacer?: Ocho casos concretos

 

Aunque es importante ser honesto desde el principio: no existe una solución completa. Las medidas que se enumeran a continuación reducen significativamente la superficie de intercambio y la cantidad de datos que se recopilan sobre ti, pero no la eliminan. El RTB sigue funcionando, las bid requests siguen emitiéndose y tu ubicación sigue siendo inferible. Te recomendaría usar un teléfono con un sistema operativo como GrapheneOS que no necesita la infraestructura de Google, pero sé que es difícil. No obstante las recomendaciones siguientes reducen la exposición y dificultan la construcción de un perfil completo sobre ti. Son medidas de mitigación, no de solución.

 

1. Eliminar (no restablecer) el ID de publicidad

Accede a Ajustes → Google → Anuncios en tu dispositivo Android. Verás la opción de "Restablecer identificador de publicidad" y "Eliminar identificador de publicidad". No basta con restablecerlo: eso genera un nuevo AAID que las aplicaciones empezarán a asociar con tu actividad. Lo que debes hacer es eliminarlo. Esto no impedirá que algunas aplicaciones sigan intentando enviar identificadores, pero dificultará significativamente el rastreo. Ten en cuenta que, según la AEPD, tras un reinicio de fábrica la personalización vuelve a activarse, por lo que deberás repetir este paso si formateas tu dispositivo.

 

2. Desactivar Actividad Web y de Aplicaciones y borrar el historial

Visita myactivity.google.com y desactiva la "Actividad Web y de Aplicaciones". Esta es la configuración que, según la investigación de la Associated Press, almacena marcadores de ubicación incluso cuando el Historial de Ubicaciones está desactivado. A continuación, borra todo el historial existente. Google te permite configurar la eliminación automática cada 3, 18 o 36 meses; selecciona el periodo más corto. Recuerda que Google seguirá recibiendo datos a través del sistema operativo y la telemetría, como documentó Leith.

 

3. Desactivar el Historial de Ubicaciones y borrar el historial

Accede a la configuración de tu cuenta de Google y desactiva el Historial de Ubicaciones. Luego, borra todo el historial existente. Como hemos visto, esto no detiene toda la recopilación de ubicación —las búsquedas seguirán guardando coordenadas si la Actividad Web está activada—, pero combinado con el paso anterior reduce significativamente la información almacenada en tu cuenta.

 

4. Desactivar la personalización de anuncios

Visita myadcenter.google.com y desactiva la personalización de anuncios. Esto no impedirá el rastreo, como hemos documentado extensamente, pero al menos reduce la utilidad comercial inmediata de los datos recopilados sobre ti.

 

5. Desactivar los datos de diagnóstico

En tu dispositivo Android, ve a Ajustes → Google → Uso y diagnóstico y desactiva esta opción. Aunque, como demostró el estudio de Leith, Google seguirá enviando datos de telemetría incluso con esta opción desactivada, al menos reduces el volumen de datos adicionales que se transmiten.

 

6. Revisar y restringir los permisos de las aplicaciones

Accede a Ajustes → Aplicaciones y revisa los permisos de cada aplicación instalada. Presta especial atención al permiso de ubicación: debe estar configurado como "Solo con la aplicación en uso" o, preferiblemente, denegado para las aplicaciones que no necesitan geolocalización para funcionar. Del mismo modo, revisa los permisos de acceso a la cámara, micrófono, contactos y almacenamiento. Cada permiso concedido es una potencial vía de extracción de datos.

 

7. Desactivar el escaneo WiFi y Bluetooth en segundo plano

En Ajustes → Seguridad y ubicación → Ubicación → Avanzado → Escaneo de WiFi y Escaneo de Bluetooth, desactiva ambas opciones. Esto impide que el dispositivo realice escaneos pasivos cuando el WiFi y el Bluetooth están nominalmente desactivados, reduciendo la capacidad de geolocalización basada en redes WiFi cercanas y dispositivos Bluetooth.

 

8. Configurar DNS privado para bloquear servidores de rastreo

En Ajustes → Red e Internet → DNS privado, introduce un servidor DNS que bloquee dominios de rastreo publicitario, como dns.adguard-dns.com. Esto filtra las conexiones a servidores conocidos de publicidad y rastreo a nivel de DNS, impidiendo que muchas de las peticiones de datos salgan de tu dispositivo. No es infalible —algunas aplicaciones utilizan direcciones IP directas o técnicas de evasión—, pero reduce significativamente el volumen de datos transmitidos a terceros.

 

Importante: Estas medidas son parciales, de mitigación o minimización. Ninguna combinación de ajustes en tu teléfono detiene completamente el Real-Time Bidding ni impide que Google recopile datos a nivel del sistema operativo. La única medida verdaderamente eficaz sería una regulación que prohibiera el RTB tal como existe actualmente, algo que el ICCL y otras organizaciones llevan años reclamando. También usar sistemas operativos que respeten la privacidad como GrapheneOS (lo uso y te lo recomiendo, un android sin Google).

 

Conclusión: La mayor infraestructura de vigilancia de la historia

 

Si has leído hasta aquí, los datos están sobre la mesa. Recapitulemos los más impactantes.

 

Tu teléfono Android envía datos a Google cada cuatro minutos y medio, incluso con la telemetría desactivada. Cuando lo arrancas por primera vez, transmite 3,6 megabytes de datos identificativos, incluyendo el IMEI, el número de serie, la dirección MAC y el identificador publicitario. Cuando insertas una tarjeta SIM, Google recibe tu IMSI, tu número de teléfono y el nombre de tu operador. Todo esto sin que inicies sesión en ninguna cuenta, sin que abras ninguna aplicación, sin que des ningún consentimiento.

 

El identificador publicitario que supuestamente te da control —el AAID— sigue enviándose a terceros cuando desactivas la personalización. Las aplicaciones de temática sensible lo transmiten igualmente. Facebook construye perfiles de usuarios que ni siquiera tienen cuenta en su plataforma. Y tras un reinicio de fábrica, todo vuelve a la configuración de máxima exposición por defecto.

 

Google registra tu ubicación incluso cuando desactivas el Historial de Ubicaciones. Tus búsquedas más inocentes guardan coordenadas exactas. Tu teléfono escanea redes WiFi en segundo plano para posibilitar la geolocalización sin GPS. Y todo esto se comercializa activamente: Google vende a los anunciantes la capacidad de medir visitas físicas a tiendas basándose en los historiales de ubicación de sus usuarios.

 

Pero lo más grave es la escala de la distribución. A través del Real-Time Bidding, tus datos se subastan 376 veces al día en Europa y 747 veces al día en Estados Unidos. Casi cinco mil empresas en EE.UU. reciben estos datos. Los de los ciudadanos europeos llegan a Rusia y China. El sistema genera 178 billones de emisiones de datos anuales. Y todo esto mueve una industria de más de 117.000 millones de dólares.

 

Lo que hace tan eficaz a esta infraestructura de vigilancia es la asimetría radical de información. Google sabe exactamente qué datos recopila, cómo los procesa, a quién los distribuye y con qué fines. El usuario promedio no sabe que su ubicación se subasta 376 veces al día. No sabe que su AAID se envía a Facebook cuando abre una aplicación de salud. No sabe que su teléfono se comunica con Google cada cuatro minutos. No sabe que sus datos viajan a jurisdicciones sin protección. No sabe, en definitiva, la magnitud de la vigilancia a la que está sometido.

 

Esta asimetría no es accidental. La industria publicitaria ha diseñado deliberadamente un sistema opaco, complejo y distribuido donde la responsabilidad se diluye, el consentimiento es una ficción y el control del usuario es una ilusión. Las interfaces de privacidad de Google están diseñadas para dar la sensación de control sin proporcionarlo realmente: desactivas el Historial de Ubicaciones y los datos siguen guardándose en otra sección; desactivas la personalización de anuncios y el identificador sigue transmitiéndose; desactivas la telemetría y el teléfono sigue enviando un megabyte de datos cada doce horas.

 

La industria publicitaria, bajo la apariencia inofensiva de "anuncios personalizados", ha construido la mayor infraestructura de vigilancia jamás creada. No exagera el ICCL cuando la califica de "la mayor brecha de datos de la historia". Porque no es una brecha puntual, un fallo de seguridad corregido tras el incidente. Es un sistema permanente, en funcionamiento continuo, que extrae, procesa y distribuye datos personales a escala planetaria, cada segundo de cada día, con la eficiencia implacable de un mercado financiero pero sin ninguna de sus regulaciones.

 

La pregunta que queda no es técnica sino política y ética: ¿es aceptable que la privacidad de miles de millones de personas sea el combustible de una industria de 117.000 millones de dólares? ¿Es aceptable que un ciudadano europeo tenga sus datos expuestos 376 veces al día sin saberlo? ¿Es aceptable que el consentimiento sea una ficción, que la regulación sea ineficaz y que las empresas responsables operen con impunidad?

 

Las respuestas a estas preguntas determinarán el futuro de la privacidad digital. Y mientras las instituciones tardan en responder, tu teléfono sigue enviando datos. Cada cuatro minutos y medio. Sin parar. Ahora ya lo sabes. ¿Qué quieres hacer?

 

Linkedin: Aquilino García