Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.
Madrid, abril de 2026.
Laura tiene 34 años, trabaja en recursos humanos y lleva meses intentando quedarse embarazada. Es algo íntimo. Algo que no ha contado en el trabajo. Algo que ni sus padres saben todavía.
Pero una tarde de martes, al abrir Instagram entre reunión y reunión, ve un anuncio de carricoches. Luego otro de clínicas de fertilidad. Luego uno de vitaminas prenatales. Frunce el ceño. Cierra la aplicación. Vuelve a abrirla. Los anuncios siguen ahí.
¿Cómo es posible? Ella no ha buscado nada de esto en Google. No ha dicho una palabra en voz alta. No tiene ninguna aplicación de maternidad instalada. Solo fue, hace tres semanas, a una clínica de fertilidad en el barrio de Salamanca. Entró, salió. No habló con nadie.
Excepto con su teléfono Android. Ese sí estaba prestando atención.
Cuando el teléfono sabe más de ti que tu médico de cabecera
La historia de Laura no es una hipótesis. Es una recreación de un patrón documentado y sancionado en diciembre de 2024 por la Comisión Federal de Comercio de Estados Unidos (FTC), cuando tomó medidas contra Mobilewalla, una empresa de datos con sede en Georgia, por haber recopilado más de 500 millones de identificadores publicitarios vinculados a la ubicación precisa de sus usuarios, incluyendo visitas a clínicas de fertilidad, centros de culto religioso e incluso manifestaciones por la muerte de George Floyd, en cuyo caso llegaron a analizar la raza de los asistentes.
Para entender cómo funciona todo esto, hay que empezar por el principio. Y el principio empieza en un laboratorio de informática en Dublín.
El experimento que lo cambió todo: Trinity College, 2021
El profesor Douglas Leith, catedrático de Sistemas Informáticos en el CONNECT SFI Research Centre de Trinity College Dublín, compró un Google Pixel nuevo a principios de 2021. Lo configuró de forma mínima, sin iniciar sesión en ninguna cuenta, desactivando todas las opciones de compartir datos que ofrece el menú de ajustes. Luego lo dejó quieto sobre su mesa de laboratorio durante doce horas. Sin tocarlo. Sin usarlo.
El resultado le dejó perplejo.
En esas doce horas de completo reposo, el teléfono había enviado aproximadamente 1 megabyte de datos a los servidores de Google. Suena poco, ¿verdad? Pero 1 MB de texto equivale a miles de líneas de registro con información sobre el dispositivo, su ubicación y la identidad de su propietario.
El mismo experimento con un iPhone de Apple, en condiciones idénticas, arrojó 52 kilobytes transmitidos. Es decir, Android envió 20 veces más datos que iOS en reposo absoluto.
Pero lo más llamativo no fue la cantidad, sino la frecuencia: el teléfono enviaba datos a Google cada cuatro minutos y medio, incluso con los servicios de localización desactivados, incluso sin tarjeta SIM.
«Creo que hemos ignorado completamente la recopilación masiva y continua de datos que realizan nuestros teléfonos, para la que no existe ninguna opción de exclusión. Hemos estado demasiado centrados en las cookies web y en aplicaciones mal comportadas.»
— Prof. Douglas Leith, Trinity College Dublín, octubre de 2021.
* Conversación recreada para efectos narrativos basada en declaración pública del Prof. Leith publicada por Trinity College Dublin el 11 de octubre de 2021.
¿Qué datos recoge exactamente tu Android sin que lo sepas?
Déjame enumerar esto con claridad, porque la mayoría de la gente no tiene ni idea de la magnitud de lo que está cediendo cada vez que saca el teléfono del bolsillo.
Todo lo que buscas en Google, todo lo que ves en YouTube, todas las aplicaciones que tienes instaladas, cuánto tiempo las usas, qué compras en Google Play, cómo navegas en Chrome. Si tienes una cuenta de Google activa, toda esa información se almacena y se asocia a tu perfil. Puedes verlo tú mismo entrando en myactivity.google.com. Aviso: lo que encuentres te va a inquietar.
Este es el punto donde casi todo el mundo se lleva la mayor sorpresa. Aunque desactives el GPS, tu teléfono sigue enviando datos de ubicación a través de las redes WiFi cercanas, las torres de telefonía móvil, las balizas Bluetooth de los centros comerciales e incluso tu dirección IP. Google puede saber con bastante precisión en qué barrio estás, aunque hayas desactivado todos los servicios de localización.
En 2018, la agencia Associated Press publicó una investigación que demostraba que Google seguía rastreando la ubicación de los usuarios incluso cuando el historial de ubicaciones estaba desactivado. Esa investigación desencadenó una investigación multiestatal en Estados Unidos que concluyó en noviembre de 2022 con una multa histórica: 391,5 millones de dólares pagados por Google a 40 estados, el mayor acuerdo de privacidad multiestatal en la historia de los Estados Unidos.
El fiscal general de Oregon, Ellen Rosenblum, que codirigió la investigación, lo resumió con una claridad que pocas veces se ve en el lenguaje jurídico: «Durante años, Google ha priorizado el beneficio económico por encima de la privacidad de sus usuarios. Han sido astutos y engañosos.»
Si usas las aplicaciones de Teléfono o Mensajes de Google, que vienen preinstaladas en la inmensa mayoría de teléfonos Android, cada llamada que haces o recibes queda registrada: número, hora, duración. Y los mensajes de texto son aún más reveladores.
Un estudio posterior del mismo equipo de Trinity College, publicado en marzo de 2022, demostró que la app Google Messages envía a los servidores de Google un hash del contenido de los mensajes junto con el número del remitente. Esto significa que, aunque no leen el texto exacto de tus SMS, sí construyen un mapa perfecto de tu red de contactos: con quién hablas, cuándo y con qué frecuencia. Tu grafo social completo.
Y aquí viene lo que, personalmente, encuentro más perturbador. Tu Android envía a Google identificadores de hardware que no puedes eliminar: el IMEI (el número único de tu dispositivo, como el DNI del teléfono), el número de serie, el IMSI (el identificador de tu tarjeta SIM) y la dirección MAC de la WiFi. Estos datos son permanentes. Sobreviven a un restablecimiento de fábrica. Permiten a Google vincular toda tu actividad digital con tu dispositivo físico y, por extensión, con tu identidad real.
Con todo lo anterior, Google construye un retrato detallado de ti: edad estimada, género, intereses, ubicaciones frecuentes, hábitos de compra, si viajas mucho, si tienes hijos, qué deporte practicas, qué ideología política podrías tener. Puedes ver qué perfil te han asignado entrando en adssettings.google.com. Muchos usuarios se han quedado sin palabras al ver lo preciso que es.
La subasta que dura milisegundos: cómo tus datos se venden 747 veces al día
Hasta aquí hemos hablado de lo que Google recopila. Pero lo que ocurre después es donde el problema adquiere una dimensión verdaderamente alarmante.
Para entenderlo, necesitas conocer el concepto de ID de publicidad de Android, o AAID. Es un código único que identifica a tu teléfono y que cualquier aplicación puede leer. Imagina que es la matrícula de tu coche. Cada vez que abres una aplicación gratuita, esa aplicación envía tu matrícula digital junto con tu ubicación, el modelo de tu teléfono, tu dirección IP y más datos a través de un sistema de pujas en tiempo real que se llama Real-Time Bidding, o RTB.
El proceso ocurre en milisegundos. La app dice: tengo un espacio publicitario disponible, y aquí os dejo toda la información sobre el usuario que lo está viendo. Esa información se transmite simultáneamente a cientos o miles de empresas. Todas pujan. La que más paga, gana y muestra su anuncio.
Pero la FTC descubrió algo en 2024 que cambia radicalmente la percepción del sistema: no hace falta ganar la subasta para quedarse con tus datos. Hay empresas que participan deliberadamente en estas subastas, reciben toda tu información, pujan a cero euros y se van con tus datos sin intención alguna de mostrarte publicidad. Solo quieren acumular datos. Y esto, en la mayoría de los países, es perfectamente legal.
El Consejo Irlandés de Libertades Civiles ha calculado que los datos de un ciudadano estadounidense se transmiten 747 veces al día a través de este sistema de subastas. En Europa, la cifra es de 376 veces diarias. Al año, eso se traduce en aproximadamente 178 billones de transmisiones de datos personales solo en Estados Unidos y Europa combinados.
Y la cifra que quizás resulta más elocuente: solo Google permite que más de 4.600 empresas reciban tus datos en estas subastas publicitarias.
«El sistema de subastas publicitarias es una brecha de datos masiva y diaria.» — Electronic Frontier Foundation, enero de 2026.
El caso que debería haberlo cambiado todo: Mobilewalla y la mujer que fue a la clínica
Volvamos a Laura, nuestra protagonista de apertura. Su historia tiene nombre y apellido en el mundo real. En diciembre de 2024, la FTC sancionó a Mobilewalla, una empresa de corretaje de datos con sede en Chamblee, Georgia, por prácticas que son exactamente lo que le ocurrió a Laura.
Según la queja formal presentada por la FTC, Mobilewalla recopiló entre enero de 2018 y junio de 2020 más de 500 millones de identificadores únicos de publicidad vinculados a la ubicación precisa de sus usuarios, sin que estos hubieran dado su consentimiento. La empresa obtenía estos datos participando en las subastas de publicidad en tiempo real, reteniendo la información incluso cuando no ganaba la puja, es decir, exactamente lo que la FTC identificó como una práctica desleal y engañosa.
Con esos datos construía perfiles de audiencia para sus clientes. Por ejemplo: mujeres que habían visitado centros de fertilidad, etiquetadas como «embarazadas potenciales». Personas que habían asistido a servicios religiosos, categorizadas por creencia. Y quizás el uso más perturbador de todos: en junio de 2020, durante las protestas que siguieron a la muerte de George Floyd en Mineápolis, Mobilewalla creó un informe que analizaba a los manifestantes según su raza y su lugar de residencia, cruzando los datos de ubicación con información demográfica.
Lina Khan, presidenta de la FTC en ese momento, fue directa: «Mobilewalla explotó las vulnerabilidades de los mercados de publicidad digital para recopilar estos datos a una escala asombrosa. La FTC está actuando para proteger a los estadounidenses de una vigilancia sin restricciones.»
La sanción prohíbe a Mobilewalla vender datos de localización sensibles y le impide recopilar información de usuarios a través de subastas publicitarias para fines distintos de la propia publicidad. Pero la pregunta que nadie ha respondido del todo es: ¿cuántas otras empresas hacen exactamente lo mismo y aún no han sido sancionadas?
Los cuatro mitos que Google y la industria quieren que sigas creyendo
Mito 1: Si apago la ubicación, nadie sabe dónde estoy
Falso. En 2017, la agencia de noticias Quartz publicó una investigación revelando que los teléfonos Android enviaban datos de ubicación a Google incluso con todos los servicios de localización desactivados y sin tarjeta SIM. Y Google confirmó la práctica. La ubicación se puede inferir mediante redes WiFi cercanas, torres de telefonía, Bluetooth y la propia dirección IP. Desactivar el GPS es solo la punta del iceberg.
Mito 2: Los datos están anonimizados, no pueden identificarme
Falso también. Un estudio del MIT, publicado en la revista Nature, demostró que con tan solo cuatro puntos de ubicación se puede identificar al 95% de las personas en una base de datos de un millón y medio de usuarios. Piensa en tu rutina diaria: casa, trabajo, gimnasio, supermercado. Con esos cuatro puntos, ya eres identificable. El concepto de anonimato en bases de datos de ubicación, tal como lo venden las empresas tecnológicas, es una ilusión.
Mito 3: Google no vende mis datos
Técnicamente cierto. Prácticamente engañoso. Google no vende un archivo con tu nombre y apellido. Lo que hace es transmitir tu ubicación, tu ID de publicidad y tus intereses a miles de empresas en cada subasta publicitaria. El efecto práctico es indistinguible de vender tus datos. La AEPD, la Agencia Española de Protección de Datos, publicó un estudio técnico que lo documentó con detalle: incluso cuando desactivas la personalización de anuncios en Android, tu ID de publicidad se sigue transmitiendo a terceros.
Mito 4: Ya es tarde, Google tiene todo, no puedo hacer nada
Este es el mito más dañino de los cuatro, porque paraliza. No es verdad. Cada ajuste que desactivas reduce la superficie por la que se filtran tus datos. Y existe una acción concreta que tiene un impacto enorme: eliminar tu ID de publicidad. Cuando lo haces, cortas el eslabón más crítico de la cadena de vigilancia. Las aplicaciones recibirán todo ceros cuando intenten identificar tu dispositivo. Sigues usando el teléfono. Pero dejas de ser un perfil rentable.
Ocho pasos reales para recuperar tu privacidad en Android hoy mismo
Lo que sigue no es teoría. Son configuraciones concretas, verificables, que puedes hacer ahora mismo.
- Eliminar el ID de publicidad (el más importante). Ajustes → Seguridad y privacidad → Más ajustes de privacidad → Anuncios → Eliminar ID de publicidad. En Samsung: añade Ajustes → Seguridad → Servicio de personalización → Desactivar. En Xiaomi: Ajustes → Contraseña y seguridad → Autorización y revocación → MSA → Revocar.
- Desactivar la actividad en la web y aplicaciones. Ajustes → Google → Gestionar tu cuenta → Datos y privacidad → Actividad en la web y aplicaciones → Desactivar y borrar historial. Desmarcar también historial de Chrome y actividad de voz.
- Desactivar el historial de ubicaciones. Gestionar cuenta de Google → Datos y privacidad → Historial de ubicaciones → Desactivar y eliminar todo el historial acumulado.
- Desactivar la personalización de anuncios. Acceder a adssettings.google.com con tu cuenta de Google → Desactivar anuncios personalizados → Revisar y eliminar las categorías de intereses asignadas a tu perfil.
- Desactivar el envío de datos de diagnóstico. Aplicación de Google → Tres puntos superiores → Uso y diagnóstico → Desactivar. En Samsung: Ajustes → Seguridad y privacidad → Enviar datos de diagnóstico → Desactivar.
- Auditar los permisos de todas las aplicaciones. Ajustes → Seguridad y privacidad → Todas las aplicaciones. Revisar especialmente ubicación, cámara, micrófono, contactos y SMS. Regla simple: si la app no necesita ese permiso para funcionar, retíraselo.
- Desactivar el escaneo WiFi y Bluetooth en segundo plano. Ajustes → Ubicación → Servicios de ubicación → Desactivar búsqueda de redes WiFi y búsqueda de dispositivos Bluetooth. Aunque tengas WiFi y Bluetooth apagados, Android escanea en segundo plano para inferir tu ubicación.
- Configurar un DNS privado. Ajustes → Red e internet → DNS privado → Nombre de host del proveedor → Escribe: dns.adguard.com (o 1dot1dot1dot1.cloudflare-dns.com). Actúa como un filtro a nivel de sistema que bloquea conexiones a servidores de rastreo incluso de aplicaciones preinstaladas que no puedes desinstalar.
Un modelo de negocio que ha normalizado lo inaceptable
Cuando uno se detiene a pensar en todo esto, resulta difícil no sentir cierta rabia. No una rabia abstracta, sino una muy concreta: llevamos años usando dispositivos que, por defecto, están configurados para transferir nuestra vida privada a un ecosistema de miles de empresas que la monetizan sin que hayamos dado un consentimiento real e informado.
El consentimiento que damos, ese clic apresurado sobre «Aceptar» al configurar un teléfono nuevo, no es consentimiento en ningún sentido ético serio. Nadie explica, en ese momento, que tu teléfono enviará datos cada cuatro minutos y medio aunque no lo uses. Que tu visita a una clínica será etiquetada y vendida. Que miles de empresas recibirán tu «matrícula digital» docenas de veces al día.
La regulación ha tardado y en muchos casos sigue llegando tarde. El Reglamento General de Protección de Datos europeo (RGPD) fue un paso importante, pero las prácticas de RTB que hemos descrito en este artículo siguen operando en un limbo legal. La Agencia Española de Protección de Datos las ha documentado. El Consejo Irlandés de Libertades Civiles lleva años denunciándolas ante las autoridades europeas. El sistema sigue funcionando.
En Estados Unidos, la FTC ha empezado a actuar con más decisión desde 2024, como demuestran los casos de Mobilewalla. Pero las sanciones llegan años después de que el daño esté hecho. Los datos de Laura ya están en algún servidor. Los de los manifestantes de Mineápolis ya fueron analizados. La información ya circuló.
Lo que la industria no quiere que sepas, pero que ya no puede ocultar
La narrativa oficial de la industria tecnológica es que este sistema existe para «mejorar la experiencia del usuario». Que los anuncios personalizados te ofrecen cosas que de verdad te interesan. Que los datos recopilados son «anónimos» y «seguros».
La realidad documentada contradice cada uno de esos puntos. Los estudios de Trinity College demuestran que la recopilación va mucho más allá de lo necesario para mejorar ninguna experiencia. El MIT ha demostrado que el anonimato en bases de datos de ubicación es técnicamente imposible con cuatro puntos de referencia. La FTC ha demostrado que hay empresas cuyo único modelo de negocio es recopilar datos de subastas que no ganan.
Y quizás lo más revelador de todo: cuando Google fue confrontado por los fiscales de 40 estados americanos con las pruebas de que rastreaba ubicaciones incluso cuando el usuario había dicho explícitamente que no quería ser rastreado, no pudo negarlo. Pagó 391,5 millones de dólares y cambió su interfaz para hacerla un poco más transparente.
Un poco. Solo un poco.
Porque el modelo de negocio, en lo fundamental, no ha cambiado. Los datos siguen siendo el petróleo del siglo XXI. Y nuestros teléfonos siguen siendo la bomba de extracción.
La regla de oro: privacidad total no existe, pero sí existe la diferencia
Es importante ser honesto aquí. Si estás leyendo este artículo en un smartphone Android convencional, con aplicaciones populares instaladas y una cuenta de Google activa, la privacidad total es una ilusión. No existe. Los datos ya fluyeron.
Pero eso no significa que sea igual de malo hacer nada que hacer algo. Cada ajuste que desactivas reduce el perímetro por el que se filtran tus datos. Eliminar el ID de publicidad corta el eslabón más crítico del sistema de vigilancia publicitaria. Configurar un DNS privado bloquea conexiones de rastreo incluso en aplicaciones que no puedes desinstalar. Auditar los permisos cierra puertas que muchas aplicaciones dejan abiertas sin ninguna razón legítima.
No es perfecto. Pero la diferencia entre un teléfono configurado por defecto y uno con estos ocho pasos aplicados es enorme. Entre uno que transmite tus datos 747 veces al día y uno que lo hace con una fracción de esa frecuencia.
Y la diferencia entre una Laura que descubre con horror que su secreto más íntimo ya está en una base de datos de publicidad… y una Laura que tomó el control antes de que eso ocurriera.
Tus datos son tuyos. Nadie debería lucrarse con ellos sin un consentimiento real, informado y revocable. Mientras la regulación termina de ponerse a la altura de la tecnología, lo mejor que puedes hacer es entender cómo funciona el sistema que te rodea.
Ahora ya lo sabes.
¡Contáctame hoy mismo y comenza a transformar tus resultados!
Jorge Rivaldo
CEO de Autenticar TuID
- “Cuidamos tu Identidad”
Fuentes Consultadas:
Fuentes consultadas
Leith, D. J. (2021). «Measuring The Data iOS and Android Send to Apple And Google.» Trinity College Dublin / CONNECT SFI Research Centre. https://www.scss.tcd.ie/doug.leith/apple_google.pdf
Trinity College Dublin (2021, oct). «Study reveals scale of data-sharing from Android mobile phones.» https://www.tcd.ie/news_events/articles/study-reveals-scale-of-data-sharing-from-android-mobile-phones/
Trinity College Dublin (2022, mar). «Trinity study raises privacy fears over data collection by Google apps» (Google Dialer & Messages study). https://www.tcd.ie/news_events/articles/trinity-study-raises-privacy-fears-over-data-collection-by-google-apps/
FTC — Federal Trade Commission (2024, dic 3). «FTC Takes Action Against Mobilewalla for Collecting and Selling Sensitive Location Data.» https://www.ftc.gov/news-events/news/press-releases/2024/12/ftc-takes-action-against-mobilewalla-collecting-selling-sensitive-location-data
FTC — Tech at FTC (2024, dic). «Unpacking Real Time Bidding through FTC’s case on Mobilewalla.» https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/12/unpacking-real-time-bidding-through-ftcs-case-mobilewalla
Oregon Attorney General / Coalition of 40 AGs (2022, nov 14). Acuerdo multiestatal Google $391,5 millones — rastreo de ubicación. CNN: https://www.cnn.com/2022/11/14/tech/google-location-tracking-settlement
de Montjoye, Y. et al. (2013). «Unique in the Crowd: The privacy bounds of human mobility.» Scientific Reports / Nature. https://www.nature.com/articles/srep01376
Irish Council for Civil Liberties (ICCL). «RTB Data Free-for-All» — Informe sobre el sistema de subastas publicitarias en tiempo real en Europa y EE.UU. https://www.iccl.ie/digital-data/rtb-data-free-for-all/
Electronic Frontier Foundation (2026, ene). Declaración sobre el sistema RTB como brecha de datos masiva. https://www.eff.org/deeplinks
Agencia Española de Protección de Datos (AEPD). Estudio técnico sobre la transmisión del ID de publicidad y rastreo de terceros en Android. https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/aepd-publica-un-estudio-tecnico-sobre-el-rastreo-a-traves-del-sistema
Notas de transparencia
- La protagonista Laura es un personaje compuesto representativo, basado en el patrón documentado en la queja formal de la FTC contra Mobilewalla (diciembre 2024). No representa a una persona real identificable.
- La cita del Prof. Douglas Leith es una declaración pública real, publicada por Trinity College Dublin el 11 de octubre de 2021.
- Las declaraciones de la FTC y de la fiscal de Oregon provienen de comunicados oficiales públicos citados íntegramente en las fuentes.
- Estadísticas actualizadas a abril de 2026.
- Investigación realizada el 9 de abril de 2026, basada en fuentes verificables disponibles públicamente.
© 2026 · Artículo de investigación periodística · Todos los derechos reservados
