La muñeca que delata: relojes, móviles, gafas y otros wearables

 

No soy fan de la tecnología de control. De hecho, me compraron un reloj huawei de los que te controlan hasta cuantas veces de despiertas por la mañana y nunca lo conecté al fabricante. Sé lo que pasa y quién está interesado en esos datos. Veamos:

 

A las seis de la madrugada, la muñeca vibra y resume tu noche en una puntuación: cuánto dormiste, cuántas veces te despertaste, cómo está tu «recuperación». Por la mañana, la misma pantalla suma pasos, mide la frecuencia cardíaca en reposo, detecta el estrés y guarda la ruta exacta de tu carrera. Lo que parecía un accesorio de fitness es, en realidad, uno de los sensores de datos más íntimos que jamás hayamos aceptado llevar pegado a la piel. Y lo hemos pagado, bueno, lo habéis pagado que yo, no llevo.

 

 

La cuestión no es nueva, pero en 2026 se ha puesto sobre la mesa con una crudeza inédita. Los wearables y las aplicaciones de salud recopilan mucho más de lo que el usuario espera —y, desde luego, más de lo que consentiría si leyera la letra pequeña—: ciclos menstruales, medicación, horarios de sueño, ubicaciones, incluso el momento exacto en que el corazón se acelera. Sentimientos, nerviosismo, desazón, alegría, estrés, sexo (sí, si no te lo quitas para empujar). Son datos biométricos, sensibles por definición, que además se cruzan con la geolocalización. Y este año hemos visto con claridad quién los quiere y para qué.

 

Tres episodios

 

Primero: Samsung exigió en julio a sus usuarios ceder sus datos de salud para entrenar inteligencia artificial bajo la amenaza de borrarlos.

 

Segundo: Un oficial francés localizó sin querer un portaaviones nuclear con una carrera de 35 minutos subida a Strava.

 

Tercero: Y, en el extremo opuesto, un puñado de proyectos de código abierto demuestra que la muñeca también sabe callar.

 

Este artículo recorre los tres casos y termina con las preguntas que deberíamos hacernos antes de aceptar que un dispositivo mida nuestros latidos.

 

Samsung Health: cuando tus datos de salud son la mercancía

 

Usé esta aplicación, y otras de actividad física, por la obsesión de medirlo todo que tenemos los humanos. Dejé de usarla en el anterior escándalo. Ahora, en julio de 2026, millones de usuarios de Samsung Health abrieron la aplicación y se encontraron con una ventana inesperada. El mensaje pedía consentimiento para utilizar sus datos de salud —sueño, pasos, medicación, registros de ciclo menstrual— con un fin muy concreto: entrenar los modelos de inteligencia artificial de la compañía. Hasta ahí, el aviso podía parecer rutinario; la letra pequeña de cualquier app moderna. Lo que ocurrió después no lo era.

 

Quienes pulsaban «no» no podían simplemente seguir usando la aplicación. Samsung Health les advertía de que, sin ese consentimiento, sus datos de salud serían eliminados y, según recogió La Vanguardia el 14 de julio, la nueva cláusula impediría además sincronizar la información personal en la nube. Traducción: o cedes tu historial de salud al entrenamiento de la IA, o pierdes años de registros. Un ultimátum, no una petición.

 

El término técnico para esto es patrón oscuro (dark pattern): un diseño de interfaz que empuja a la persona a tomar la decisión que interesa a la empresa, no la que tomaría libremente. El consentimiento obtenido bajo la amenaza de borrar datos no es consentimiento, y en el marco del GDPR europeo —que exige que el consentimiento sea libre, específico e informado— resulta difícilmente defendible.

 

La reacción no se hizo esperar. Las redes se llenaron de capturas y de usuarios indignados, y la prensa especializada recogió el caso. A las pocas horas, Malwarebytes titulaba: «Samsung da marcha atrás en su amenaza de borrar datos de salud» (julio de 2026). La compañía rectificó el planteamiento. Pero el episodio dejó dos hechos incómodos sobre la mesa.

 

Primero: el intento existió, y solo retrocedió por la presión pública.

 

Segundo: la apetencia por esos datos no ha desaparecido, solo ha cambiado de canal.

 

 

 

En el mismo julio de 2026, Samsung actualizó su Privacy Notice, y en varios países se han presentado demandas colectivas contra la compañía por esta política de consentimiento forzado.

 

A todo ello se suma un recordatorio de que los datos «privados» de la aplicación tampoco estaban tan a salvo como parecía. La vulnerabilidad CVE-2026-21076, documentada en el registro oficial de CVE y con una severidad CVSS de 6,9 (entre grave y muy grave), describe una autorización incorrecta en Samsung Health anterior a la versión 7.0.0: un atacante con acceso local podía acceder a información sensible de la aplicación. No es un fallo remoto ni espectacular, pero es sintomático: el mismo archivo que guarda tu sueño y tus constantes puede ser leído por cualquiera que tenga el teléfono en las manos —o que consiga ejecutar código en él.

 

El conflicto de fondo es estructural, no un accidente. En la economía de la IA, los datos de salud son materia prima de altísimo valor: conjuntos limpios y etiquetados de ritmo cardíaco, sueño y actividad son el combustible de los modelos que las grandes tecnológicas compiten por construir. El usuario paga el dispositivo, paga la suscripción y, además, se le pide que pague con lo más íntimo que tiene. La pregunta ya no es si la industria quiere tus datos: es si te va a preguntar, y qué pasa si dices que no.

 

StravaLeaks: el portaaviones que se localizó solo

 

La mañana del 13 de marzo de 2026, un oficial de la Marina francesa —a quien Le Monde identificó solo como «Arthur»— salió a correr. Nada llamativo, salvo el circuito: 7 kilómetros en 35 minutos, dando vueltas sobre la cubierta de vuelo del portaaviones nuclear Charles de Gaulle, en plena travesía por el Mediterráneo oriental. Su smartwatch registró el entrenamiento y, como tenía configurado, lo subió automáticamente a Strava. El perfil, como el de la inmensa mayoría, era público.

 

Seis días después, el 19 de marzo, el periódico francés Le Monde destapó el caso con un nombre que ya forma parte de la historia reciente: StravaLeaks. Gracias a esa carrera y a las actividades posteriores de la tripulación, el diario reconstruyó en tiempo casi real la posición del portaaviones y de su escolta: al noroeste de Chipre, a unos 100 kilómetros de la costa turca, con imágenes por satélite que confirmaban los datos. El buque insignia de la disuasión francesa, localizado por una aplicación de correr.

 

El contexto multiplicaba la gravedad. Días antes, Emmanuel Macron había anunciado el despliegue del grupo aéreo naval hacia Oriente Medio, en plena escalada de la guerra entre Israel, Estados Unidos e Irán. Un portaaviones en tránsito hacia una zona de conflicto es, por definición, un activo cuya posición debe permanecer opaca el mayor tiempo posible. La reacción oficial del Ministerio de las Fuerzas Armadas fue lacónica: el gesto del oficial «no se ajusta a las directrices vigentes» sobre el uso de redes sociales. Directrices que, evidentemente, no se cumplieron.

 

Lo más inquietante es que no era un caso aislado, sino un patrón. En 2018, el mapa de calor global de Strava ya había revelado la localización de bases militares en Afganistán, Irak y Siria, porque los soldados corrían alrededor de instalaciones que debían ser secretas. En 2024, Le Monde volvió a hacerlo: siguió los desplazamientos de Macron a través de las cuentas Strava de sus guardaespaldas. Y en 2026, la historia se repitió con un portaaviones nuclear.

 

¿La causa? Un ajuste, no una conspiración. Strava es pública por defecto: si no cambias la configuración, tu recorrido —con hora, ritmo y trazado exacto— queda visible para cualquiera, incluidos los periodistas que saben leer mapas (no todos eso sí). El problema de fondo es que la seguridad operacional de un Estado no puede depender de que un oficial recuerde desmarcar una casilla en una app de fitness. Pero también es un aviso para el resto de nosotros: lo que tu muñeca sube en silencio no lo decides tú en el momento de hacerlo, sino el día en que configuraste la cuenta.

 

La alternativa: cuando tu muñeca calla

 

Frente a este panorama existe un camino distinto, y no requiere renunciar al smartwatch. Gadgetbridge es una aplicación Android libre y de código abierto (licencia AGPLv3) que permite usar 529 dispositivos de 74 fabricantes sin instalar la aplicación del fabricante, sin crear cuentas y sin enviar datos a ningún servidor. Soporta notificaciones, registro de salud —sueño, pasos, frecuencia cardíaca—, GPS, control de música e incluso integración con Home Assistant. Se distribuye a través de F-Droid, la tienda de software libre para Android.

 

 

La filosofía es la antítesis de la industria: sin servidor en la nube, sin registro, sin recopilación. Los datos se quedan en tu teléfono, que es exactamente donde deberían estar. No es magia: hay funciones que se pierden —los análisis «inteligentes» del fabricante, la sincronización en la nube, la comodidad de que todo funcione solo—. Pero para quien prioriza la privacidad, el equilibrio cambia por completo: el dispositivo pasa de ser un sensor para la empresa a ser un sensor para ti.

 

Hay más opciones en ese espectro. Bangle.js es un reloj de hardware totalmente abierto: firmware libre, sin nube y con los datos almacenados localmente, diseñado para quien quiere saber exactamente qué hay dentro de su muñeca. Y en el terreno de los sistemas operativos, distribuciones centradas en la privacidad como GrapheneOS o /e/OS, o instalaciones de LineageOS sin los servicios de Google, permiten ejecutar aplicaciones de salud sin que los datos salgan del dispositivo. No hace falta ser un experto en seguridad para dar el paso, pero sí hace falta saber que la opción existe.

 

Porque el verdadero problema no es técnico, es de percepción: asumimos que «gratis» o «cómodo» significa que el precio se paga en datos, y dejamos de preguntarnos si hay otra forma de hacer las cosas. La hay, y funciona con dispositivos que ya están en el mercado.

 

• • •

 

Conclusión: tres preguntas antes de mirarte la muñeca

 

El dilema del usuario moderno se resume en una palabra: comodidad. Queremos saber cuánto dormimos, cuánto corremos, cómo está nuestro corazón —y queremos que un dispositivo lo mida por nosotros, sin esfuerzo—. La industria lo sabe, y ha construido todo su modelo de negocio sobre esa inercia. Pero los tres episodios de este artículo dibujan el arco completo de lo que está en juego: una empresa que amenaza con borrarte el historial de salud si no se lo cedes a su IA, un Estado cuyo buque insignia se localiza por una carrera de 35 minutos, y un ecosistema libre que demuestra que medir el pulso no exige entregar el resto de tu vida.

 

Antes de ponerte en la muñeca un dispositivo que mide tus latidos, valdría la pena hacerse tres preguntas:

 

• ¿Quién más ve estos datos, y para qué? ¿La empresa, sus modelos de IA, terceros anunciantes, aseguradoras? ¿Qué dice la letra pequeña —y qué ha hecho esa empresa con los datos de salud en el pasado?

• ¿Funciona sin nube, sin cuenta y sin enviar nada? Si el dispositivo exige una cuenta y una sincronización en la nube para funcionar, el «sí» lo estás firmando al encenderlo, no al leer el contrato.

• ¿Qué pasará con mis datos mañana? Si la empresa cambia sus condiciones —como hizo Samsung en julio—, si cierra, si la venden: ¿puedo llevarme mis datos, o se quedan ellos con la historia de mi cuerpo?

 

La tecnología que mide tu corazón no tiene por qué quedarse con él. La pregunta es si aceptas la comodidad a cualquier precio, o si prefieres una muñeca que, de vez en cuando, sepa callar.

 

Linkedin: Aquilino García