ChatGPT, Gemini, Claude, Grok, Perplexity e incluso la europea Mistral. Todas estas inteligencias artificiales filtran datos del contenido de las conversaciones que los usuarios mantienen con ellas a redes publicitarias y plataformas de analítica de terceros, según han podido demostrar investigadores del Instituto IMDEA Networks y la Universidad Carlos III de Madrid. Otros tres sistemas analizados, como DeepSeek, Microsoft Copilot o Meta AI, envían información sobre el dispositivo y los metadatos de los chats a esas empresas de compraventa de datos personales.

La investigación, a la que ha tenido acceso elDiario.es, ha sido puesta en conocimiento de la Agencia Española de Protección de Datos, que ha elevado el caso al Comité Europeo de Protección de Datos para estudiar si estas transferencias vulneran la normativa comunitaria. Este último organismo mantiene abierta una investigación desde hace más de tres años sobre el tratamiento de datos de ChatGPT, cuya resolución podría tener un profundo impacto en el uso de chatbots de IA en el continente.

El estudio finalizado ahora por los investigadores españoles ha sido aceptado en PETS (Privacy Enhancing Technologies Symposium), una de las principales conferencias académicas internacionales sobre privacidad y tecnologías de protección de datos. Su principal conclusión es que los chatbots de inteligencia artificial utilizan métodos de extracción de datos personales muy similares a los que se utilizan en las páginas web y servicios digitales tradicionales para hacer publicidad ultradirigida.

“Nuestros resultados desafían la percepción de los servicios de IA conversacional como intercambios confidenciales entre los usuarios y los proveedores de IA”, avisan en el estudio: “La IA conversacional ha heredado la infraestructura publicitaria y de analítica de las plataformas web y móviles, introduciendo los datos de las conversaciones directamente en las redes de rastreo existentes”.

Una conclusión que contrasta con las menores precauciones que toman muchos usuarios a la hora de volcar datos personales en los chats de inteligencia artificial, en busca de mejores consejos o valoraciones. La realidad que evidencian ahora los especialistas de IMDEA Networks y la Carlos III es que ChatGPT, Gemini o Claude no solo envían datos de las conversaciones a las empresas que los desarrollan, como avisan antes de comenzar cada conversación, sino también a las bases de datos de los anunciantes.

“Nueva superficie de ataque a la privacidad”

El estudio analizó tanto las aplicaciones móviles como las versiones web de los nueve asistentes de IA citados. Los investigadores entablaron conversaciones con los chatbots con consultas sanitarias, subiendo como apoyo documentos con resultados de pruebas médicas. A continuación, rastrearon lo que ocurría con esos datos utilizando distintas configuraciones de privacidad.

Los resultados fueron claros. Seis de las nueve versiones web (ChatGPT, Gemini, Claude, Grok, Perplexity y Mistral) y tres aplicaciones móviles (ChatGPT, Claude y Perplexity) filtran datos directos de la conversación a través de rastreadores publicitarios. Los títulos de las charlas (como “Síntomas iniciales de Parkinson”), las preguntas formuladas, los documentos subidos al chat o incluso capturas de pantalla se comparten con empresas de mercadeo de datos personales.

“Demostramos que los servicios de IA conversacional introducen una nueva superficie de ataque a la privacidad en la que los artefactos conversacionales generados por el proveedor quedan expuestos al rastreo y a la exposición pública”, avisan los investigadores. En algunas ocasiones, incluso los enlaces públicos de los chats (como los que se utilizan para compartirlos con otras personas) quedaron expuestos a los rastreadores, lo que permite que su contenido pueda ser incorporado a las bases de datos para personalizar anuncios.

Demostramos que los servicios de IA conversacional introducen una nueva superficie de ataque a la privacidad

Además, su análisis reveló que rechazar las cookies, navegar en modo incógnito u otros métodos de protección de la privacidad que pueden activar los usuarios tienen muy poco impacto a la hora de proteger esa información. Hasta un 80,8% de los rastreadores de terceros permanecen activos incluso con esas configuraciones de protección.

Con todo, los especialistas de IMDEA Networks y la Carlos III destacan que el mayor peligro no es la propia filtración de los datos, sino el hecho de que esta información viaje acompañada de los indicadores personales que la vinculan a cada usuario. Se trata de los códigos que las empresas de la publicidad online utilizan para crear una ficha de consumidor de cada persona y registrar sus intereses, motivaciones y datos personales. Esta es la práctica que luego “permite a terceros asociar esas interacciones con usuarios individuales o perfiles de comportamiento a largo plazo y multiplataforma”, avisan.

Grok, el caso más grave

Grok, el asistente desarrollado por xAI, el laboratorio fundado por Elon Musk, lleva a cabo las prácticas más invasivas de todos los asistentes analizados. En su versión web, las conversaciones son accesibles públicamente por defecto mediante direcciones URL que se transmiten automáticamente a siete redes publicitarias y de analítica externas, entre ellas Meta, TikTok, Google Ads y Twitter Analytics.

Junto con la dirección del chat y el título generado por la herramienta, estos servicios reciben cookies de seguimiento e identificadores de usuario. Además, al generar un enlace para compartir el chat, la plataforma reenvía a Meta y TikTok el texto de la última pregunta introducida y, en el caso de TikTok, una captura de pantalla del propio chat. En las pruebas posteriores con esos enlaces, los investigadores registraron que las conversaciones con Grok recibieron hasta 70 accesos automáticos de rastreadores externos procedentes de 14 países.

elDiario.es se ha puesto en contacto con xAI, la empresa desarrolladora de Grok y también propiedad de Elon Musk, pero no ha recibido respuesta. Esta redacción también se ha puesto en contacto con las compañías detrás de los ocho chatbots restantes. Solo Google, OpenAI y Microsoft han respondido a la solicitud de información.

Este informe malinterpreta cómo funcionan nuestros productos. No tenemos anuncios en Gemini

Google

“Este informe malinterpreta cómo funcionan nuestros productos. No tenemos anuncios en Gemini y utilizamos herramientas como Google Analytics para supervisar el rendimiento técnico, detectar interrupciones del servicio y mantener la fiabilidad de nuestra aplicación web de Gemini”, ha explicado una portavoz de Google. “Cumplimos con las normativas europeas de privacidad y ofrecemos a los usuarios controles transparentes sobre sus datos”, añade.

OpenAI, por su parte, ha indicado que utiliza esas herramientas de análisis de datos para comprender el tráfico de ChatGPT, diagnosticar errores y supervisar su rendimiento. En un comunicado que ha pedido que no sea citado literalmente, la compañía asegura que esa información no se usa con propósitos publicitarios, ni se vende o comparte con anunciantes.

“Tras examinar las acusaciones, no hemos encontrado ninguna infracción de la legislación aplicable ni de la Declaración de privacidad de Microsoft”, ha contestado esta multinacional, que afirma que “la privacidad de los usuarios es una prioridad”, para ella, “incluido Copilot”.

“Prácticas intencionadas”

Con todo, los propios investigadores avisan en su estudio que las prácticas detectadas no son producto de errores o descuidos. “Durante nuestro análisis de riesgos, determinamos que la mayoría de los problemas reportados en este estudio reflejan prácticas intencionadas a nivel de producto en lugar de vulnerabilidades de seguridad explotables”, recalcan los investigadores.

Grok fue, de hecho, el único servicio para el que identificamos un problema de seguridad que podría ser explotado por ciberdelincuentes, “debido a los débiles controles de acceso en los recursos de conversación”. Por ello, avisaron directamente a la plataforma propiedad de Musk el 17 de abril, aunque la compañía no emitió ninguna respuesta oficial ni corrigió la privacidad por defecto de sus enlaces. El 15 de agosto OpenAI actualizó la política de privacidad de ChatGPT para mencionar explícitamente el uso de rastreadores de terceros, aunque los autores aclaran que no pueden confirmar si la medida fue consecuencia directa de su estudio.

Meta ha acordado el pago de un máximo de 18.000 millones de dólares para resolver una macrodemanda judicial presentada por los fiscales generales de 29 estados de EEUU, según ha informado la agencia Reuters. El pacto extrajudicial, alcanzado en mitad del juicio por el que sus máximos dirigentes están testificando en California, cierra el proceso que acusaba a la matriz de Facebook e Instagram de diseñar deliberadamente sus aplicaciones para generar adicción en menores, engañar a las familias sobre sus riesgos y recopilar datos infantiles de manera irregular.

Junto al desembolso económico, la compañía dirigida por Mark Zuckerberg se ha comprometido a incorporar nuevas restricciones de uso para adolescentes en todo el país, entre las que figuran límites de tiempo diario y bloqueos de las aplicaciones durante las horas nocturnas. Meta ha negado cualquier conducta ilícita al suscribir el acuerdo.

“El marco que hemos negociado permitirá a los padres gestionar fácilmente cómo sus hijos acceden a nuestras plataformas”, ha declarado tras el acuerdo CJ Mahoney, director jurídico de Meta, en declaraciones recogidas por el Financial Times. Según recoge el citado medio, unos 5.300 millones de dólares del acuerdo solo se pagarían si YouTube y TikTok aceptan pagar la misma cantidad en sus respectivos litigios, además de implementar algunos de los mismos límites de uso y medidas de verificación de edad.

“Dado que los adolescentes utilizan con fluidez decenas de aplicaciones, necesitamos una solución que abarque a todo el sector”, manifiesta Mahoney. Meta adelanta que los pagos de la indemnización se distribuirán anualmente durante 10 años y que incurrirán en gastos legales por valor de 10.000 millones de dólares relacionados con el acuerdo.

Tras conocerse los términos, las acciones del grupo registran una subida del 1% en Wall Street. La cuantía total de la indemnización acordada por la multinacional equivale a menos de un 10% de lo que se ha comprometido a gastar en inteligencia artificial y centros de datos solo en 2026, una partida que podría alcanzar los 135.000 millones de dólares según sus últimas cuentas. Su beneficio neto en el ejercicio de 2025 fue de 60.000 millones de dólares.

El procedimiento ha estado liderado por los fiscales generales de California, Colorado, Kentucky y Nueva Jersey, que acusaron a Meta de violar múltiples normativas estatales de protección al consumidor y las leyes federales de privacidad infantil. Los fiscales han sostenido que recabó de forma sistemática información de usuarios que sabía que eran menores de edad, sin avisar ni obtener el consentimiento de sus tutores legales, y que empleó esos datos personales para el entrenamiento de sistemas de aprendizaje automático y modelos de inteligencia artificial.

La acusación pedía 1,4 billones

Antes de suspenderse el juicio, las autoridades estatales demandantes exigían medidas cautelares que impedían la apertura de perfiles a menores y barajaban sanciones económicas que se situaban en el entorno de los 200.000 millones de dólares, tras haber llegado a estimar un tope teórico de 1,4 billones en penalizaciones, unas 80 veces más que la indemnización finalmente pactada.

Frente a estos cargos, Meta ha defendido que contaba con herramientas de seguridad suficientes, alegando que no había incurrido en engaño sobre el potencial lesivo de sus redes al no ser la “adicción a las redes sociales” una patología psiquiátrica oficialmente reconocida.

El pacto desactiva uno de los mayores litigios civiles a los que se enfrentaba la compañía, aunque la presión judicial sobre la industria tecnológica continúa abierta. Meta, Google (YouTube), Snap (Snapchat) y ByteDance (TikTok) acumulan miles de denuncias presentadas por familias, administraciones locales y distritos escolares que las responsabilizan de propiciar una crisis de salud mental en la juventud. Las cuatro plataformas alcanzaron recientemente un pacto conjunto de 27 millones de dólares con un distrito escolar de Kentucky para evitar otro proceso en la vía federal.

El acuerdo de este miércoles llega precedido por varios fallos adversos contra la multinacional. En marzo, un jurado de Los Ángeles declaró responsables a Meta y Google por el cuadro de depresión y ansiedad desarrollado por una usuaria, fijando indemnizaciones de seis millones de dólares. Ese mismo mes, Meta fue condenada en Nuevo México a pagar 375 millones por falsear la seguridad de sus productos, a los que la justicia sumó a principios de agosto otros 567 millones de dólares por constituir una alteración del orden público.

La Comisión Europea ha acusado a la red social china TikTok de incumplir las normas de seguridad para menores de edad exigidas por la Ley de Servicios Digitales (DSA, por sus siglas en inglés). La institución comunitaria considera la configuración de las cuentas de esta red social expone en exceso las cuentas y los contenidos de los menores, cuando las plataformas accesibles para menores “deben garantizar un alto nivel de privacidad, seguridad y protección en sus servicios”.

Bruselas advierte de que en TikTok, si los menores optan por configurar su cuenta como “pública” significa que “cualquier usuario, incluidos quienes no tienen una cuenta de TikTok, puede acceder al contenido publicado por los menores”. Con esta exposición se podrían dar “contactos no deseados por parte de posibles agresores y al riesgo de que el contenido se utilice para el ciberacoso. Esta funcionalidad ofrece potencialmente a desconocidos una ventana a la vida de un menor”.

La Comisión Europea recuerda que “dado que lo que los menores publican puede permanecer en internet para siempre y acompañarlos hasta la edad adulta, esta función conlleva el riesgo de tener consecuencias potencialmente permanentes”.

Además, los técnicos de a institución europea subrayan que “incluso cuando los menores eligen cuentas privadas, estas pueden localizarse fácilmente a través de las listas de 'seguidos' y 'seguidores' de otros usuarios y sus fotos de perfil siguen siendo accesibles para cualquier persona, incluidos quienes no tienen una cuenta de TikTok. Así, la configuración de las cuentas sigue exponiéndolos a riesgos como contactos no deseados, ciberacoso o comportamientos depredadores”.

Ante estas posiciones que parte de una investigación de la Comisión que empezó en febrero de 2024, Bruselas señala que TikTok “debería modificar la configuración predeterminada de las cuentas públicas de los menores para que, por defecto, su contenido solo sea visible para los usuarios de TikTok que el menor haya aceptado. Aunque los menores de mayor edad puedan tener la posibilidad de compartir sus contenidos con una audiencia más amplia dentro de TikTok, esos contenidos no deberían ser accesibles en ningún caso para una audiencia global fuera de la plataforma” y la red social “debería abstenerse de recomendar el contenido de los menores a otros usuarios”.

Un portavoz de la red social china respondió que “en TikTok las cuentas de adolescentes tienen más de 50 medidas de privacidad y seguridad integradas de forma predeterminada, diseñadas con el asesoramiento de expertos, desde el momento en que se crea la cuenta. Las cuentas de menores de 18 años son privadas por defecto y somos una de las pocas plataformas donde los adolescentes más jóvenes no pueden utilizar la mensajería directa, ni que su contenido sea elegible para aparecer en el feed Para ti. Proteger a los menores en Internet es un objetivo que compartimos, y estamos comprometidos a seguir avanzando sobre la base de nuestro sólido historial de mejora continua. Analizaremos estas conclusiones preliminares mientras seguimos colaborando de forma constructiva con la Comisión”.

Si tras este aviso, TikTok mantiene su política con los menores, la Comisión puede imponer una multa del del 6% del volumen de negocios anual mundial. Según Bloomberg, ByteDance, la empresa china propietaria de TikTok, registró una facturación estimada de 186.000 millones de dólares en 2025.

No es la única investigación que sigue abierta de la institución comunitaria contra la plataforma china. También acusa a TikTok de infringir la Ley de Servicios Digitales (DSA) por el diseño adictivo de sus funcionalidades. Entre las acciones marcadas por la institución europea que la red social china tendría que cambiar están el desplazamiento infinito, la reproducción automática, las notificaciones push y su sistema de recomendación altamente personalizado.

Las acusaciones por incumplir las leyes europeas siguen ahogando a Facebook e Instagram. La Comisión Europea ha anunciado este viernes que ambas redes sociales de Meta tienen “un diseño adictivo” con lo que incumplirían la Ley de Servicios Digitales (DSA).

Bruselas señala a la compañía de Mark Zuckerberg porque “no ha evaluado adecuadamente los riesgos que plantea el diseño adictivo de sus plataformas para el bienestar físico y mental de los usuarios, incluidos los menores de edad y los adultos vulnerables”.

Según la Comisión, características de diseño como “las recomendaciones altamente personalizadas, la reproducción automática y el desplazamiento infinito, que muestran constantemente nuevos contenidos a los usuarios alimentan el impulso de seguir desplazándose por la pantalla y hacen que el cerebro entre en un 'modo piloto automático', contribuyendo a desarrollar hábitos poco saludables y un uso compulsivo de las plataformas”.

Por otro lado, también se acusa a Facebook e Instagram de “ignorar la información disponible sobre el tiempo que los menores pasan en Instagram o Facebook durante la noche y sobre cómo la optimización de formatos como los reels y las stories puede favorecer un uso excesivo o compulsivo de estos servicios”.

Medidas “claramente insuficientes” de las redes sociales

Tanto Facebook como Instagram han puesto en marcha algunas medidas para mitigar los riesgos, que la Comisión advierte que son “claramente insuficientes”. Por ejemplo, explican los técnicos de la institución europea, las herramientas de gestión del tiempo de uso de Instagram y Facebook, incluidas las que están activadas por defecto para los adolescentes, “pueden desactivarse fácilmente y no consiguen reducir ni controlar de manera significativa el tiempo que los usuarios pasan en estas plataformas”.

Por otro lado, los controles parentales de Meta “solo son realmente eficaces si los padres o tutores poseen conocimientos técnicos suficientes y dedican tiempo y esfuerzo a comprender su funcionamiento”, lo que reduce su eficacia. Además, iniciativas de sensibilización de Meta, como los consejos sobre salud mental disponibles en la página independiente 'Centro de Seguridad' “no rebaja el riesgo asociado al diseño adictivo de Facebook e Instagram”.

Facebook e Instagram están bajo varias investigaciones

Esta acusación es la segunda en pocos meses a la que se tiene que enfrentar el gigante tecnológico estadounidense, ya que Bruselas también imputó a ambas redes sociales por infringir la DSA al “no identificar, evaluar y mitigar el acceso a sus servicios por parte de menores de 13 años”.

Ambas acusaciones son graves y pueden acabar con una multa de hasta el 6% del volumen mundial de negocio de las redes sociales. Meta facturó 168.016 millones de euros en 2025, de los que el grueso, 164.010 millones de euros, fueron gracias a la publicidad que gestionan sus redes sociales.

En caso de que la tecnológica estadounidense no quiera que el proceso siga adelante y acabar con una multa multimillonaria, la Comisión le indica que debe introducir cambios en el diseño tanto de Instagram como de Facebook: “Desactivar por defecto funciones especialmente adictivas como la reproducción automática (autoplay) y el desplazamiento infinito (infinite scroll), implantar pausas efectivas para limitar el tiempo de pantalla (screen time breaks) y modificar el sistema de recomendaciones para que esté menos orientado a maximizar la interacción de los usuarios”.

Las acusaciones que ha anunciado la Comisión este viernes forman parte de una investigación que se inició en mayo de 2024. Además de la causa por permitir el acceso a los menores de 13 años, Bruselas también investiga a Facebook e Instagram por los denominados efectos de «agujero de conejo» (rabbit hole effects), generados por el diseño de los sistemas de recomendación de Facebook e Instagram, que podrían explotar la vulnerabilidad y la falta de experiencia de los menores.

La organización de consumidores Facua ha señalado a Vito Quiles por “su nuevo seudomedio a nombre de una sociedad que no existe”. Según explican, Quiles pide donaciones para su empresa Combativos SL —que se presenta como “la comunidad políticamente incorrecta más influyente del país”— para la “producción de contenido libre y becas para jóvenes”, pero ese dinero no va directamente a una cuenta bancaria asociada al negocio de Quiles, señala Facua.

Desde Facua afirman que el negocio del agitador ultra (Combativos.com) es propiedad de una empresa que no está dada de alta en el Registro Mercantil. Además, en la web omiten el domicilio y el NIF de su propietario, con lo que vulnera “las leyes de servicios digitales y protección de datos”. Por ello, Facua afirma que ha denunciado a Quiles ante la Secretaría de Estado de Digitalización del Ministerio para la Transformación Digital y la Agencia Española de Protección de Datos.

Según detalla la organización, como no se facilita la identidad real del propietario, su domicilio ni su NIF, Vito Quiles estaría vulnerando el artículo 10 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico y el artículo 11 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Además, dentro de la información del negocio que aparece en su página web, se indica que Combativos SL tiene como actividad principal el “comercio electrónico de productos relacionados con deportes de combate y artes marciales”. En el momento en que un usuario quiere realizar una donación desde la web del agitador ultra e introduce sus datos, la política de privacidad a la que se remite indica que el dinero va a la supuesta sociedad limitada de Quiles, pero la cuenta bancaria en la que después se invita a realizar el ingreso está a nombre del influencer y agitador.

El propio Rubén Sánchez, secretario general de Facua, ha comunicado la denuncia de la organización en la red social X. Sánchez ya emprendió acciones legales contra Vito Quiles el pasado mes de abril, cuando reclamó nueve años de cárcel, 24.000 euros de multa y 60.000 euros de indemnización, acusándole de tres delitos continuados de calumnias con agravantes de odio ideológico en concurso con dos de injurias graves con publicidad. Rubén Sánchez señalaba a Quiles por acusarle de pederasta, proxeneta y líder mafioso.

Agentes de la Policía Nacional detuvieron el pasado martes en la provincia de Granada a una persona por su presunta autoría de un delito de revelación de secretos. El arrestado publicaba en diversos portales de internet datos de carácter personal relativos a integrantes de diferentes instituciones sensibles del Estado, entre ellas el INCIBE, el Ministerio Fiscal, el Consejo de Seguridad Nacional, así como de miembros de la Policía Nacional, la Guardia Civil, la Fiscalía General del Estado, el Ministerio de Hacienda y la Agencia Tributaria.

Tras la localización del presunto autor, se procedió al registro de su domicilio, donde los agentes intervinieron diverso material informático y tecnológico que ya está siendo analizado por los especialistas policiales.

La investigación, dirigida por el Juzgado de Instrucción número 22 de Madrid, se inició tras detectar la difusión masiva de estos datos, lo que generaba un riesgo inmediato para la seguridad e integridad de los afectados y de las propias instituciones. Ante la gravedad de los hechos, se activó de forma urgente un dispositivo de localización y detención que culminó el pasado miércoles 27 de mayo con la detención del autor y el registro de su domicilio.

Esta investigación ha puesto el foco en el creciente riesgo que representan las campañas de exposición masiva de datos personales en Internet, especialmente cuando afectan a miembros de instituciones estratégicas del Estado. Este tipo de prácticas, conocidas en el ámbito cibernético como doxing, pueden facilitar amenazas, extorsiones o acciones coordinadas contra funcionarios públicos y organismos sensibles.

Es especialmente relevante la rapidez con la que se activó el dispositivo policial, dada la naturaleza de la información difundida y el potencial impacto sobre la seguridad operativa de las instituciones afectadas. La operación continúa abierta con el objetivo de esclarecer la posible implicación de otras personas y desarticular, de forma completa, la red de perfiles implicados en esta campaña de señalamiento y amenazas.

La inmensa mayoría de la ciudadanía española apoya el establecimiento de una “identificación obligatoria” para participar en redes sociales o foros de Internet, según un estudio publicado este viernes elaborado por la Universitat de Barcelona a partir de una encuesta a una muestra representativa de 2.500 personas y un análisis cualitativo a partir de sus respuestas.

La investigación muestra que la defensa del anonimato digital ha quedado reducido a una posición minoritaria en la sociedad española. “Solo uno de cada cuatro ciudadanos defiende la participación anónima”, explica el estudio, que avisa que “existe cierta polarización en la posición frente al anonimato: mientras unos lo defienden como un derecho básico que garantiza la libertad de expresión, otros lo identifican como una fuente de inmunidad para difundir información falsa y discursos de odio”.

La rotundidad de las cifras en este sentido ha sorprendido a los propios autores. “Lo que observamos, y que nos han sorprendido bastante al equipo de investigación, es la demanda de regulación de contenidos en las redes, como los discursos de odio, a través de medidas como la identificación obligatoria para participar públicamente en redes y foros de Internet”, ha confesado el investigador principal, Jordi Muñoz.

Una sorpresa quizá motivada porque estos hallazgos coinciden con un momento de creciente alerta por el avance del análisis masivo de información a través de la inteligencia artificial. Empresas que se han colocado en el foco público, como Palantir, se han especializado en cruzar datos personales y estructurales para identificar a personas y objetivos militares. Su plataforma es utilizada por organismos como el ICE para localizar, arrestar y deportar a inmigrantes irregulares en EEUU. La encuesta, de hecho, destaca que el principal derecho que la ciudadanía pide para Internet es la privacidad y la protección de datos (96%).

Muñoz, profesor asociado de Ciencias Políticas de la Universidad de Barcelona, ha sido el encargado de presentar los resultados durante el primer Encuentro Internacional por los Derechos Digitales que ha arrancado este miércoles en Barcelona. La iniciativa ha reunido a más de un centenar de académicos y representantes de la sociedad civil especializados en este área en unas jornadas de debates y conferencias que concluirán mañana.

La desinformación y el acoso, principales problemas

Muñoz ha destacado que la identificación obligatoria surge como respuesta a los principales problemas que la ciudadanía identifica en Internet. El 88% de los encuestados identifica las redes sociales y los medios digitales de forma general como el entorno más propicio para la difusión de noticias falsas, mientras que un 77% opina lo mismo sobre los discursos de odio.

Como vía de solución, el 65% de los ciudadanos se muestra a favor de regular la difusión de información en estas plataformas. A la hora de definir quién debe asumir el freno a la información falsa en Internet, la sociedad apunta hacia los poderes públicos.

El 48% de la población considera que los gobiernos tienen la responsabilidad principal de garantizar que no se publiquen este tipo de noticias en la red. Las plataformas tecnológicas ocupan la segunda posición, señaladas por el 39% de los encuestados, seguidas de los propios medios de comunicación con un 35% Un 14% de las personas encuestadas traslada la tarea de control y actuación a la Unión Europea.

Otra de las cifras más rotundas del estudio es el 95% de ciudadanos que piensa que los niños deberían estar más protegidos en la red. “En consecuencia, se detecta un fuerte consenso social en torno a la necesidad de implementar medidas de protección como el control parental (96%), la edad mínima para el uso de smartphones (91%) y la regulación de la publicidad dirigida a menores (96%)”, señala el estudio.

“A pesar de que existe una clara demanda de regulación dirigida a las autoridades, el 80% identifica a las propias familias como una de las principales entidades responsables de la protección de los menores en redes”, continúan los investigadores.

En este sentido, el Gobierno ha anunciado que ya tiene lista una aplicación de identificación digital para evitar que los menores por debajo de la edad recomendada accedan a las redes sociales. Se trata de Cartera Digital Beta, que emplea un mecanismo, asegura el Ejecutivo, que no recaba datos sobre la navegación de quienes la utilizan y hace imposible su identificación posterior.

Actualmente, la edad legal para el acceso a redes está fijada en los 14 años, pero el Gobierno espera aprobar una nueva ley que la eleve a 16 y habilite el empleo de sistemas como Cartera Digital Beta para asegurar su cumplimiento. Países como Australia han impuesto recientemente prohibiciones similares, pero su aplicación está dejando algunas incógnitas sobre su efectividad real.

Este viernes 8 de mayo, Instagram deja de ofrecer cifrado de extremo a extremo en sus mensajes privados. En la práctica, esto permite a Meta acceder libremente a los chats de los 2.500 millones de usuarios de esta red social.

La compañía asegura que el cambio se debe al bajo uso del cifrado, que debe ser activado por los usuarios. Sin embargo, la decisión coincide con la entrada en vigor de una ley estadounidense que presiona para que las compañías eliminen este protocolo de seguridad, el más eficaz para proteger las comunicaciones digitales. También con la mejora de las capacidades de análisis de datos masivos de la inteligencia artificial.

Las organizaciones de derechos digitales y privacidad han criticado la decisión de Meta, propietaria también de Facebook y WhatsApp. “Este cambio de rumbo expondrá a millones de usuarios a riesgos graves y concretos”, avisa la Global Encryption Coalition, en la que participan la Fundación Mozilla, el Centro para la Democracia y la Tecnología o la Internet Society.

Protección básica

El cifrado de los mensajes digitales es un proceso que convierte su contenido en un código ilegible, excepto para quien tiene la clave adecuada (el destinatario original). “Muchos usuarios de Instagram utilizan los mensajes directos para tratar asuntos personales, políticos o profesionales delicados”, destaca la Coalición. Abandonar el cifrado “aumentará el riesgo de que estos usuarios sean vigilados e interceptados por agentes malintencionados, gobiernos y otros que intenten acceder a sus comunicaciones privadas”, alertan.

Los críticos recuerdan, además, que incluso el director ejecutivo de Meta, Mark Zuckerberg, ha defendido el valor de esta protección digital básica. “Creo que el futuro de la comunicación se orientará cada vez más hacia servicios privados y cifrados, donde las personas puedan tener la seguridad de que lo que se dicen entre sí permanece protegido y sus mensajes y contenido no se almacenarán indefinidamente. Este es el futuro que espero que podamos ayudar a construir”, declaró en 2023.

Entonces, ¿a qué se debe el cambio? “Muy pocas personas optaban por el cifrado de extremo a extremo en los mensajes directos, por lo que eliminaremos esta opción de Instagram en los próximos meses. A partir del 8 de mayo de 2026, dejaremos de proporcionar cifrado de extremo a extremo en los mensajes directos”, comunicó la compañía en marzo, invitando a los usuarios a usar WhatsApp, que seguirá manteniendo esta protección.

Aunque Meta no ha llegado a dar una cifra oficial, algunos analistas hablan de porcentajes de uso en torno al 2%. Esto implicaría que 50 millones de personas en todo el mundo habían cifrado sus mensajes de Instagram, una cifra considerable teniendo en cuenta que debía activarse voluntariamente. “Es una función que está escondida, poco promocionada, es complicada, que la gente no conoce y que no está por defecto; no porque la gente decida que prefiere no estar protegida”, destaca Elena Gil, abogada especialista en nuevas tecnologías.

Conversaciones al descubierto

Contactada por elDiario.es, una portavoz de Meta ha compartido una publicación de 2023 de su blog oficial en la que afirma que no utilizará los mensajes privados para entrenar a su IA. Sin embargo, esto no aparece claramente definido en su política de privacidad, que es el único documento vinculante a nivel legal sobre el uso de datos personales de la compañía, avisa Elena Gil.

Al contrario, tras repasar estas claúsulas legales de 140 páginas, la abogada expica que Meta hace un uso extensivo y poco definido de un concepto legal denominado “interés legítimo”. Se trata de una fórmula que permite a las compañías utilizar los datos de los usuarios sin necesidad de pedirles permiso explícitamente.

“Es la figura que más se utiliza en el mundo digital para el entrenamiento de sistemas de inteligencia artificial o sistemas automatizados”, recuerda Gil, cuya investigación sobre cómo las empresas usan resortes legales como el “interés legítimo” para analizar datos de sus usuarios fue premiada por la Agencia Española de Protección de Datos. “Con muchos matices, básicamente quiere decir que no necesitan pedir consentimiento si las consecuencias de lo que hacen son leves”, detalla.

Además, no utilizar los datos de los mensajes para el entrenamiento de la IA, como asegura Meta, implica que estos no se añadirán a sus bases de datos. No que no pueda analizarlos. Uno de los usos de los que habla específicamente su política de privacidad es la inferencia: “La inferencia es la deducción de más información sobre ti. Esta información inferida es como el Santo Grial de la economía digital: aparte de recoger muchos datos sobre ti, intentan adelantarse y adivinar datos que tú nunca has llegado a dar”, continúa la jurista.

Esta información inferida es como el Santo Grial de la economía digital: aparte de recoger muchos datos sobre ti, intentan adelantarse y adivinar datos que tú nunca has llegado a dar

Elena Gil — abogada especialista en nuevas tecnologías

Al retirar la protección de extremo a extremo, la plataforma tiene vía libre para acceder a todos los mensajes de sus usuarios. “Imagínate que el cartero, que es Meta, pudiese parar a leer todas las cartas que tú escribes”, ejemplifica: “Si hablas de tus finanzas, de enfermedades, de a quién votas, de detalles que revelan tu condición sexual incluso en un país donde eso pueda estar perseguido, de lo que ganas, lo que te pasa. Si estás teniendo una relación extramatrimonial. De tus logros, de tus alegrías. Imagina que todo eso en vez de ser secreto, como se legisló hace décadas, ahora se pudiera leer”.

Gil aclara que esto no implica que sean personas quienes lo lean. Es “un algoritmo que siempre está aprendiendo de todo lo que tú haces dentro y fuera de los mensajes privados” el que podrá encargarse de ello.

“Todo esto es el caldo de cultivo de la manipulación masiva, entrenamiento de nuevos sistemas de IA, creación de sistemas que cada vez parezcan más humanos, etc. Y todo con la excusa de que se está informando de manera transparente en un texto que ya te digo que tiene más de 140 páginas, sabiendo que nadie se entera, porque ni siquiera una persona experta es capaz de enterarse de lo que ahí pone”, asevera la abogada sobre la política de privacidad de la red social.

Una ley contra el cifrado en 11 días

Existe otro telón de fondo tras la retirada de esta protección digital de los mensajes. El fin del cifrado en Instagram llega justo 11 días antes de que entre en vigor la llamada Take It Down Act, la primera ley estadounidense que ilegaliza la difusión no consentida de imágenes íntimas, incluyendo aquellas generadas con inteligencia artificial.

La Take It Down Act fue ratificada por Donald Trump en mayo de 2025 como reacción a los primeros escándalos de creación de imágenes sexualizadas con IA, en el que se vieron afectadas desde personalidades como Taylor Swift hasta políticas, así como profesoras y alumnas de colegios e institutos.

Además de castigar a los que difundan estos contenidos, la ley también estipula un período de 48 horas para que las plataformas retiren este tipo de contenidos. Instagram es uno de los principales espacios donde se dan este tipo de ataques, y el cifrado de los mensajes dificultaba a Meta su cumplimiento. Su retirada permitirá a la red social analizar los mensajes privados en busca de este y otros tipos de contenidos.

Se trata de una de las consecuencias perniciosas de este tipo de leyes, como alertan múltiples organizaciones de derechos digitales y expertos por todo el mundo. “Las plataformas podrían responder abandonando por completo el cifrado para poder monitorear el contenido, convirtiendo así las conversaciones privadas en espacios vigilados”, avisó durante la negociación de la Take It Down Act la Electronic Frontier Foundation (EFF), una de las organizaciones de referencia en este ámbito.

Pese a ello, la tendencia de imponer la posibilidad de revisar los mensajes cifrados de los usuarios se extiende a nivel internacional. En este momento, la UE está negociando una ley contra la difusión de pornografía infantil cuyos críticos avisan que podría tener el mismo efecto que la Take It Down Act. La Comisión Europea asegura que el texto no dificultará el cifrado, pero cientos de tecnólogos enviaron una carta a Bruselas para discrepar: “Es una amenaza enorme”.

Reino Unido o la India están impulsando legislaciones similares. Es por ello que la decisión de Instagram “es un precedente peligroso”, denuncia la Global Encryption Coalition: “En un momento en que los gobiernos de todo el mundo están considerando activamente medidas que debilitarían o eludirían el cifrado, el sector privado debe priorizar la privacidad y la seguridad en el diseño de sus productos”.

Los principales chatbots de inteligencia artificial comparten datos de las conversaciones de los usuarios con las multinacionales de la publicidad online, que los utilizan para elaborar perfiles personalizados y vender anuncios hipersegmentados. Es la principal conclusión de un nuevo estudio que ha encontrado evidencias de estas filtraciones en ChatGPT, Claude, Grok y Perplexity, que mandan la información a las bases de datos para anuncios de Meta, Google, TikTok y otras compañías dedicadas al rastreo digital y la analítica web.

La filtración se produce a través de los enlaces permanentes de los chats, también conocidos como permalinks. Las plataformas envían estas direcciones web a los rastreadores junto con identificadores de usuario, como correos electrónicos cifrados o cookies, lo que permite asociar los datos de sus conversaciones a los perfiles publicitarios que elaboran terceras empresas sin el conocimiento del usuario.

“Este es el riesgo central: filtrar una URL no es solo metadatos, puede ser equivalente a filtrar la conversación en sí”, avisa el estudio, coordinado por el centro de investigación IMDEA Networks y liderado por el investigador español Narseo Vallina. “Las prácticas observadas también sugieren que los modelos de negocio basados en datos de la web tradicional (como la publicidad o la analítica) se están replicando en los ecosistemas de modelos de lenguaje, con una supervisión limitada”.

Las compañías son conscientes de que estas prácticas podrían contravenir las regulaciones de protección de datos. Perplexity, por ejemplo, retiró el rastreador de Meta de su web el 3 de abril de 2026, tras una demanda colectiva en Estados Unidos relacionada con la privacidad de sus usuarios. Esto detuvo el envío de enlaces y cookies a la red social y eliminó el acceso público a las conversaciones creadas por los usuarios que no habían iniciado sesión.

La misma práctica, solo que aún activa, es la que se da en Grok (el asistente desarrollado por xAI, propiedad de Elon Musk). “Es lo más grave que hemos encontrado”, destaca Vallina: “Las URLs y las conversaciones son accesibles de forma pública. Los rastreadores podrían potencialmente acceder a esa conversación, palabra a palabra. No tenemos evidencias de que lo estén leyendo, pero sabemos que el riesgo existe”.

Fuga de datos

Perplexity, pese a desactivar la posibilidad de que las conversaciones sean leídas por terceros, mantiene activos otros sistemas de rastreo. El estudio desglosa que cada vez que una persona utiliza el asistente, la empresa envía de forma automática su dirección de correo electrónico sin cifrar, el enlace exacto de la conversación y los detalles técnicos de su dispositivo a Datadog, una plataforma de monitorización de sistemas; y a Singular, una firma especializada en analítica y marketing.

Según las evidencias halladas, OpenAI envía los títulos de los chats y las direcciones de las conversaciones de los usuarios de la versión gratuita de ChatGPT a Google Analytics. Por su parte, Claude, de la empresa Anthropic, envía directamente los datos del usuario a plataformas como LinkedIn, TikTok, Google y otras ocho redes publicitarias distintas desde sus propios servidores, una técnica que las evita que las herramientas de bloqueo de anuncios de los navegadores puedan interceptar el tráfico de datos.

elDiario.es ha contactado con OpenAI, Anthropic, xAI (desarrolladora de Grok) y Perplexity para incluir su posicionamiento en esta información, pero no ha recibido respuesta. Los autores han denunciado los hechos a las agencias europeas de protección de datos, adelanta Vallina. Su estudio aún no ha sido revisado por otros investigadores independientes, pero han considerado que debían hacerlo público para alertar a los usuarios.

“Las conversaciones de los usuarios contienen con frecuencia información sensible, ya que estos suelen percibir a los modelos de lenguaje como asistentes de confianza”, avisa el estudio: “Esta percepción aumenta la probabilidad de que compartan más información sensible de la necesaria”. Otras investigaciones han detectado que los usuarios tienden a revelar detalles sobre sus preferencias sexuales, condiciones de salud o apoyo psicológico incluso cuando no son necesarios en el contexto de la conversación.

“Cuando los datos de las conversaciones se comparten con terceros como Meta y Google, junto con cookies y otros identificadores de usuario”, explican los investigadores de IMDEA Networks, “surge un nuevo escenario de riesgo”.

El estudio señala que la IA de Meta, Google Gemini y Microsoft Copilot han quedado fuera de este primer análisis debido a que estas empresas son tanto desarrolladores de chatbots y como rastreadores publicitarios. Al estar en los dos lados del negocio (recopilan los datos en su propio servicio y también controlan las redes de rastreo), los investigadores creen que estos asistentes entrañan un “modelo de amenaza diferente” al de ChatGPT, Claude, Grok o Perplexity. No obstante, avanzan que tienen previsto ampliar el alcance de su investigación para incluir los asistentes de Google, Meta y Microsoft en las próximas semanas.

La presidenta de la Comisión Europea, Ursula Von der Leyen, ha anunciado este miércoles que “la aplicación europea de verificación de edad está técnicamente lista y pronto estará disponible para los ciudadanos”. Von der Leyen ha asegurado que “la aplicación permitirá a los usuarios tener que demostrar su edad al acceder a plataformas digitales, del mismo modo que las tiendas solicitan una prueba de edad para comprar bebidas alcohólicas”.

“Europa ofrece una solución gratuita y fácil de usar que puede proteger a nuestros niños de contenidos dañinos e ilegales. Ya hay varios Estados miembros están avanzando rápidamente: Francia, Dinamarca, Grecia, Italia, España, Chipre e Irlanda están a la vanguardia y planean integrar la aplicación en sus carteras digitales nacionales. Espero que más Estados miembros y el sector privado se sumen, para que muy pronto todos los ciudadanos puedan utilizarla”, ha comentado Von der Leyen.

La Unión Europea está manteniendo un duro pulso con las plataformas digitales por sus incumplimientos de la Ley europea de Servicios Digitales (DSA), que ha llegado a convertirse en un problema diplomático ya que la mayoría de los gigantes tecnológicos son estadounidenses o chinos y cuentan con el respaldo de sus respectivos gobiernos.

La aplicación de verificación de edad era una propuesta largamente esperada para frenar el acceso de menores a las redes sociales y plataformas digitales, que no han terminado de ofrecer soluciones que permitan una verificación real de la edad de los usuarios.

La presidenta de la Comisión ha detallado que la aplicación europea de verificación de edad se caracteriza porque “es fácil de usar”. Hay que descargar la aplicación, “se configura con el pasaporte o el documento de identidad y luego se demuestra la edad al acceder a servicios en línea”. Von der Leyen asegura que la aplicación “respeta los estándares de privacidad más altos del mundo, de manera que los usuarios podrán demostrar su edad sin revelar ninguna otra información personal, Es completamente anónima para que los usuarios no pueden ser rastreados”.

Un aspecto relevante que ha destacado la presidenta de la institución europea es que la aplicación se ha construido completamente sobre código abierto. “Esto significa que cualquier país podrá utilizarla y lo más importante: las plataformas digitales podrán apoyarse fácilmente en esta aplicación de verificación de edad, por lo que ya no habrá excusas”.

Reunión para la prohibición de redes sociales a menores

El anuncio coincide con la videoconferencia organizada por el presidente francés, Emmanuel Macron, que tendrá lugar este jueves con vistas a una mayor coordinación entre los países europeos que trabajan en la prohibición de las redes sociales a menores. Moncloa ha confirmado que participará el presidente del Gobierno, Pedro Sánchez.

La cita también contará con la participación de otros mandatarios como el primer ministro irlandés, Micheal Martin, y el primer ministro neerlandés, Rob Jetten, según el Elíseo. Asimismo, Bruselas también ha confirmado la participación de la presidenta de la Comisión Europea. El objetivo de la videoconferencia es fraguar una mejor coordinación de los esfuerzos que están acometiendo algunos Estados miembro para restringir el acceso de los menores a las redes sociales.

La Oficina Antifrau de Catalunya (OAC) ha abierto un procedimiento sancionador contra un directivo de TMB, la empresa pública que gestiona el metro y el bus en Barcelona, por la exposición de datos confidenciales de empleados en la intranet de la compañía que desveló elDiario.es en febrero de 2025.

La propuesta de sanción, todavía por determinar, podría alcanzar un máximo de 300.000 euros porque Antifraude considera “muy grave” la presunta infracción cometida, al haber vulnerado las garantías de confidencialidad y anonimato de una persona informante de la propia OAC.

Son varios los empleados de TMB que, durante los últimos años, han pedido amparo a Antifraude para obtener su protección como informantes de presuntos casos de corrupción. Algunos de ellos lo hicieron tras alertar de la propia brecha de seguridad en la intranet, otros tras denunciar o investigar a altos directivos por presunto acoso laboral.

La posible multa se dirige contra el director del área jurídica y de buen gobierno, también imputado en un juzgado penal junto al consejero delegado y otra directiva por presunto acoso laboral a la jefa que investigaba irregularidades internas.

La propuesta de sanción se suma a la cuantiosa multa que la Autoridad Catalana de Protección de Datos (APDCat) pretende imponer a la compañía por los mismos hechos. En el caso de la APDCat, la sanción podría llegar a 15 millones de euros. 

Desde TMB señalan que el afectado presentará alegaciones ante la Oficina Antifraude, recuerdan que la brecha ocurrió hace más de un año, aseguran que lo pusieron en contacto de las autoridades, y achacan el fallo a un “error” del “proveedor externo” que se encargaba de la gestión del sistema informático.

Datos sensibles a la vista

Tal y como desveló este periódico hace un año, un error en la configuración de la intranet de TMB permitió que cualquiera de los casi 9.000 empleados de la compañía pudiera acceder, y descargar, cientos de gigas de información sensible de algunos de sus compañeros.

La información accesible, en algunos supuestos, era altamente confidencial e incluía expedientes de la propia Oficina Antifraude, denuncias al Canal Ético de la empresa, actas del Consejo de Administración, expedientes de Fiscalía, demandas laborales, informes de riesgos psicosociales, correos electrónicos…

También estaba expuesta otra información comprometedora del departamento de recursos humanos y del de compliance como por ejemplo grabaciones de testigos entrevistados durante la instrucción de un caso de acoso laboral.

Los empleados de TMB también podían consultar datos de familiares de los demás empleados, contratos de trabajo, solicitudes de baja, informes y diagnósticos médicos, denuncias policiales, sentencias judiciales, actas de conciliación en despidos o incluso convenios reguladores de regímenes de separación conyugal.

La propuesta de sanción de Antifraude supone un elemento más en la crisis de reputación que vive TMB: a los problemas derivados de la brecha de seguridad se le suma la imputación de hasta cinco altos directivos en juzgados penales por dos presuntos delitos de acoso laboral.

En las dos querellas por presunto acoso laboral que han presentado contra estos cinco directivos también se ha incluido la mencionada brecha de seguridad, ya que los datos de las dos denunciantes y toda la documentación de las investigaciones internas de sus casos estuvieron al descubierto durante meses.

El uso de servicios digitales forma ya parte de nuestro día a día. El correo electrónico, la mensajería instantánea o el almacenamiento en la nube se han convertido en herramientas básicas que se utilizan de forma casi automática, muchas veces sin pararnos a pensar qué ocurre con los datos que vamos generando. Plataformas como Gmail, WhatsApp o Google Drive han crecido precisamente por lo sencillo que resulta usarlas, aunque al mismo tiempo han puesto sobre la mesa el debate sobre la privacidad.

Más allá del aspecto técnico, la cuestión también tiene un componente legal importante. No solo influye dónde se guardan los datos, sino también las leyes que afectan a la empresa que ofrece el servicio. En algunos casos, aunque la información esté almacenada en servidores situados dentro de la Unión Europea, si la compañía es de origen estadounidense puede estar sujeta a normas como la CLOUD Act, que permite a las autoridades de Estados Unidos solicitar acceso a determinados datos gestionados por sus empresas, incluso aunque estén fuera del país.

Esto choca directamente con el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que establece límites más estrictos sobre cómo se puede tratar la información personal. En la práctica, esto significa que dependiendo del servicio que se utilice, el nivel de control real sobre los datos puede variar. En respuesta a esta situación, han ido apareciendo alternativas europeas que funcionan bajo la legislación comunitaria o en países con marcos de privacidad más exigentes, con la idea de reforzar la protección de la información de los usuarios.

ProtonMail, Tutanota y Soverin como alternativas europeas al correo electrónico

El correo electrónico sigue siendo uno de los servicios más delicados dentro del uso diario de internet, ya que es la puerta de entrada a cuentas personales, registros y distintas plataformas. Gmail se integra dentro de un ecosistema que puede analizar información asociada a los mensajes, como los metadatos, con distintos objetivos relacionados con el servicio.

En este contexto, una de las alternativas europeas más conocidas es ProtonMail, con sede en Suiza. Este servicio utiliza cifrado de extremo a extremo de manera automática, lo que hace que solo emisor y receptor puedan leer el contenido de los correos. La propia empresa no tiene acceso a los mensajes, ya que no dispone de las claves necesarias para descifrarlos. Además, opera bajo la legislación suiza, que es especialmente estricta en materia de privacidad.

Otra opción es Tutanota, desarrollada en Alemania. Su enfoque también se basa en el cifrado, pero amplía la protección a elementos que en otros servicios suelen quedar fuera, como el asunto del correo o la lista de contactos. Con esto se reduce la cantidad de información que puede utilizarse para crear perfiles basados en los hábitos de uso de los internautas.

Dentro de este mismo grupo aparece Soverin, una alternativa de origen neerlandés pensada para quienes buscan una identidad digital más independiente. Permite usar dominios personalizados y establece de forma contractual que no se realiza ningún tipo de explotación de datos. A diferencia de los servicios gratuitos, funciona mediante suscripción, lo que elimina la necesidad de financiarse a través de publicidad o análisis de información personal.

Threema, una alternativa a la mensajería instantánea

La mensajería instantánea es uno de los servicios que más información genera en el día a día. WhatsApp es la aplicación más extendida en todo el mundo, pero su integración dentro de un gran grupo tecnológico como Meta, también propietaria de Facebook e Instagram, implica la gestión de metadatos relacionados con el uso de la plataforma.

Como alternativa, Threema, desarrollada en Suiza, propone un modelo distinto. Para empezar, no pide vincular la cuenta a un número de teléfono ni a un correo electrónico. En su lugar, asigna un identificador aleatorio, lo que permite chatear sin necesidad de compartir datos personales básicos.

Además, todos los mensajes están protegidos con cifrado de extremo a extremo y sus servidores se encuentran en Suiza. Funciona con un pago único, así que no depende de recopilar información para financiarse. Aunque no tiene el mismo nivel de uso que otras aplicaciones, su planteamiento está pensado para generar la menor cantidad posible de datos durante las conversaciones.

Nextcloud como opción europea para el almacenamiento en la nube

El almacenamiento en la nube es otra de esas piezas clave cuando se habla de datos personales. Plataformas como Google Drive permiten guardar documentos y archivos sin ocupar espacio en el dispositivo, pero a cambio suponen dejar esa información en manos de terceros.

Frente a esto, una de las opciones europeas más conocidas es Nextcloud, desarrollada en Alemania. No es solo un servicio para guardar archivos, sino que también permite trabajar con ellos y compartirlos. Su principal diferencia está en que el usuario puede decidir dónde se almacenan los datos: desde proveedores dentro de Europa hasta servidores propios. Esto hace que sea más fácil saber dónde está la información y quién puede acceder a ella.

Estas alternativas muestran que poco a poco está cambiando la forma en la que se entienden los servicios digitales. Ya no se trata solo de que funcionen bien o sean cómodos, sino también de qué pasa con la información que utilizan y bajo qué leyes se protege. Aunque todavía no tienen el mismo uso que las plataformas más populares, cada vez hay más interés en este tipo de herramientas por parte de quienes quieren tener un mayor control sobre sus datos.

La Comisión Europea ha concluido este jueves una investigación en la que señala que las webs pornográficas Pornhub, Stripchat, XNXX y XVideos vulneran la Ley de Servicios Digitales (DSA) al no proteger a los menores frente a sus contenidos. Aunque en sus Términos de Servicio afirman que son plataformas son solo para adultos, los cuatro sitios permiten que los menores accedan simplemente haciendo clic en un punto de confirmación de que tienen 18 años o más. la investigación de la Comisión contra XVideos, XNXX, Pornhub y Stripchat se puso en marcha el 27 de mayo de 2025.

En este sentido, la Comisión considera que la “autodeclaración” no es una medida eficaz y señala que otras medidas de mitigación adicionales, como el desenfoque de páginas, advertencias de contenido y etiquetas de “Restringido a adultos”, tampoco previenen efectivamente que los menores accedan a contenido perjudicial.

Las conclusiones de Bruselas añaden que “Pornhub, Stripchat, XNXX y XVideos no identificaron ni evaluaron con la debida diligencia los riesgos que sus plataformas suponen para los menores”. Pero hay más, Bruselas apunta a que “incluso cuando se identificaron riesgos, no realizaron una evaluación exhaustiva, pues no emplearon metodologías objetivas ni completas”. Ahora bien, la Comisión apunta que las webs pornográficas pusieron “un énfasis desproporcionado en aspectos centrados en el negocio, como el daño reputacional, en lugar de centrarse en los riesgos sociales para los menores, tal como exige la DSA”.

Además, la Comisión resalta que en sus evaluaciones de riesgo, “Stripchat, XVideos y XNXX tergiversaron o no tuvieron en cuenta sus reuniones con organizaciones de la sociedad civil especializadas en derechos de la infancia y herramientas de verificación de edad”. En esta fase, la Comisión considera que Pornhub, Stripchat, XNXX y XVideos deben implementar sistemas de verificación de edad que respeten la privacidad para proteger a los menores frente a contenidos nocivos.

Si las conclusiones de la Comisión se confirman se podría poner una multa proporcional a la infracción, que en ningún caso excederá el 6% del volumen de negocios anual mundial del proveedor. La Comisión también puede imponer pagos periódicos coercitivos para obligar a las plataformas a cumplir. Las páginas web porno no publicitan normalmente sus datos de facturación, pero en 2024 el sector del entretenimiento para adultos informó que tenía una valoración de 97.000 millones de dólares.

Apertura de investigación contra Snapchat

Por otro lado, la Comisión Europea ha abierto una investigación contra la aplicación de mensajería Snapchat por el incumplimiento de las normas de protección infantil en virtud de la Ley de Servicios Digitales (DSA). La apertura de la investigación se basa en los informes de evaluación de riesgos de Snapchat en 2023, 2024 y 2025. En las peticiones a la empresa de tecnología se pedían detalles sobre el sistema de verificación de edad, así como sobre las medidas adoptadas para impedir que los usuarios accedan a productos ilegales, como drogas, o que los menores accedan a productos con restricción de edad, como los vapeadores. Según la propia aplicación de mensajería contaría con cuatro millones de usuarios en España y aproximadamente 93,7 millones de usuarios activos mensuales en la Unión Europea, según datos de 2024.

Bruselas asegura que Snapchat podría haber vulnerado la DSA “al exponer a menores a intentos de captación con fines de explotación (”grooming“), a reclutamiento para actividades delictivas, así como a información sobre la venta de bienes ilegales, como drogas, o productos con restricción de edad, como vapeadores y alcohol”.

“Desde la captación y la exposición a productos ilegales hasta las configuraciones de cuenta que ponen en riesgo la seguridad de los menores, Snapchat parece haber pasado por alto que la Ley de Servicios Digitales exige altos estándares de seguridad para todos los usuarios. Con esta investigación, examinaremos de cerca su cumplimiento con nuestra legislación”, ha explicado Henna Virkkunen, Vicepresidenta Ejecutiva de Soberanía Tecnológica, Seguridad y Democracia.

Hasta en cinco puntos la Comisión acusa a la aplicación de mensajería de incumplir las norma europea sobre servicios digitales. Según los propios términos de Snapchat, los usuarios deben tener al menos 13 años para utilizar la plataforma, pero la Comisión sospecha Snapchat sunicona con una autodeclaración “insuficiente” como mecanismo de verificación de edad, lo que “no impide que menores de 13 años accedan al servicio, ni permite evaluar adecuadamente si los usuarios son menores de 17 años”, necesario para garantizar una experiencia adaptada a la edad. Además, Además, la Comisión sospecha que la herramienta para que los usuarios informen a Snapchat de la presencia de menores de 13 años en el servicio “no está disponible dentro de la aplicación”.

La Comisión también acusa a Snapchat de “no proteger adecuadamente a los menores frente al contacto con usuarios con intenciones dañinas, como la explotación sexual o el reclutamiento para actividades delictivas”.

Por otro lado, Snapchat “no ofrece niveles suficientes de privacidad, seguridad y protección para los menores”, ya que “niños y adolescentes son recomendados automáticamente a otros usuarios mediante el sistema 'Find Friends', y al crear una cuenta, los usuarios no reciben orientaciones adecuadas sobre las funciones de privacidad y seguridad, ni explicaciones claras sobre cómo ajustar la configuración de la cuenta.

Según la ley europea, las plataformas digitales “deben mitigar los riesgos sistémicos derivados de su servicio. La Comisión apunta que Snapchat incumple esta obligación”. Por ejemplo, sus herramientas de moderación de contenidos “no parecen ser eficaces para impedir la difusión de información que dirige a los usuarios hacia la compra de productos ilegales, como drogas, o productos con restricción de edad, como vapeadores y alcohol”. Asimismo, la plataforma no parece impedir de manera eficaz que los usuarios, incluidos niños y adolescentes, accedan a este tipo de contenidos.

Finalmente, la Comisión sospecha que los “mecanismos actuales para notificar contenidos ilícitos no son ni fácilmente accesibles ni fáciles de usar y que podrían emplear los llamados «patrones oscuros» en su diseño. A lo que hay que añadir que Snapchat ”no informa adecuadamente a los usuarios sobre las posibilidades de recurso, incluido el sistema interno de tramitación de reclamaciones de la propia plataforma“. Con esta investigación, Bruselas podrá adoptar medidas coercitivas contra la aplicación.

Tomar la decisión de abandonar una red social, no solo va de reducir el tiempo de pantalla, también es un paso hacia una mayor privacidad digital. Sin embargo, es pertinente plantearse qué pasa con todo el contenido que hemos compartido a lo largo de los años.

Al solicitar la eliminación permanente de tu cuenta de Instagram o Facebook, ambas redes pertenecientes al gigante Meta, tus fotos y vídeos no se borran inmediatamente: hay un primer plazo de 30 días, aunque el contenido no es público, por si decides cancelar la solicitud y recuperar tu perfil.

“El proceso de eliminación puede tardar hasta 90 días desde su comienzo”, informa la empresa, que también advierte en su web que ese contenido puede permanecer almacenado durante ese periodo “para poder recuperarlo en caso de una catástrofe, un error de software u otros posibles acontecimientos que causen una pérdida de datos”.

“Y nos tenemos que fiar de que las borren pasado ese tiempo”, apunta Borja Adsuara, abogado especializado en derecho digital, en referencia a esa información que, aunque ya no sea pública, se mantiene almacenada.

Además, existe un riesgo que escapa al control personal o de la plataforma: si otros usuarios descargaron tus fotos antes de que cerraras la cuenta o las republican, el rastro digital persiste.

“Se puede reclamar a la propia red social, o incluso a la Agencia Española de Protección de Datos, si son imágenes sensibles, alegando que no se ha autorizado la redifusión de esos contenidos, que ya han sido eliminados”, indica Adsuara. “Pero en la práctica, si un usuario se las ha descargado, es muy difícil impedir que las vuelva a publicar y puede eludir su responsabilidad haciéndolo desde cuentas anónimas”, advierte.

Ante el adiós definitivo

Para poder llevar a cabo la eliminación de una cuenta es imprescindible haber iniciado sesión. Si hay imágenes o contenidos que no queremos que estén presentes en la plataforma, lo más fácil es que los eliminemos nosotros mismos si están en nuestro propio perfil.

Si no es el caso, el abogado explica que la mejor opción es “reclamar directamente a Meta a través de los procedimientos de reclamación internos, pero te pondrán en la cola de las reclamaciones y, si no es un contenido sensible, tardarán en darte una respuesta, porque tienen que hacer una revisión humana”.

Antes de la eliminación, también existe la posibilidad de descargar una copia de tus fotos y publicaciones, ya que una vez que se elimine perderás el acceso a esta herramienta de exportación.

Si quieres tomarte un tiempo, pero no estás seguro de querer borrar tu cuenta por completo, también puedes optar por desactivarla temporalmente. En ese caso toda tu información permanecerá simplemente oculta hasta que decidas reactivarla iniciando sesión de nuevo.

Adsuara es tajante sobre la mejor forma de proteger nuestras imágenes en redes: “No publicarlas, porque, una vez que las publicas, pierdes el control sobre ellas”. El experto subraya que incluso ni las cuentas privadas están completamente a salvo. “Publicar con la configuración privada no impide que uno de tus seguidores las descargue y las redifunda fuera de ese círculo. Es lo que pasa muchas veces con las fotos en grupos de WhatsApp privados”, incide.

Era un secreto a voces en el sector, aunque no por anticipado deja de ser un cambio potencialmente trascendental para el futuro de los servicios de inteligencia artificial. OpenAI, desarrolladora de ChatGPT, ha anunciado que su popular herramienta incluirá anuncios próximamente y ha publicado las directrices en las que se basará esta publicidad. Afectará tanto al modelo gratuito como a la suscripción “Go”, que en España cuesta 9,99 euros al mes. Las pruebas comenzarán “en las próximas semanas” en Estados Unidos.

“Al principio, probaremos los anuncios al final de las respuestas en ChatGPT, cuando haya un producto o servicio patrocinado relevante según la conversación. Los anuncios estarán claramente etiquetados y separados de las respuestas orgánicas”, ha explicado la empresa en un comunicado.

OpenAI, que en octubre reestructuró su matriz para dejar de depender de la organización sin ánimo de lucro que la fundó, asegura que los patrocinadores no influirán en las respuestas de la inteligencia artificial. “Puedes confiar en que las respuestas de ChatGPT se basan en lo que es objetivamente útil y nunca en la publicidad”, afirma en su comunicado.

Esta posible dependencia era el motivo por el que Sam Altman, cofundador y director ejecutivo de OpenAI, siempre se mostró contrario a que la publicidad fuera un modelo de negocio viable para los servicios de inteligencia artificial. “La combinación de anuncios con IA me resulta especialmente inquietante”, afirmaba en mayo de 2024, asegurando que la publicidad sería “el último recurso” para ChatGPT. “Odio los anuncios”, insistía.

El peligro de la manipulación

El uso de los datos personales para orientar el comportamiento o mantener la atención de los usuarios de redes sociales ha sido uno de los campos más estudiados de la sociedad digital en los últimos años. Un área en la que los especialistas temen que ahora haya que incluir también a la IA, el mismo motivo por el que Altman la definía como “inquietante”.

“Como expertos en seguridad y científicos de datos, vemos estos ejemplos como presagios de un futuro en el que las empresas de IA obtengan beneficios manipulando el comportamiento de sus usuarios en favor de anunciantes e inversores”, destacan en un informe publicado en The Conversation Bruce Schneier y Nathan Sanders, de la Universidad de Harvard.

“También es un recordatorio de que el tiempo para reconducir el desarrollo de la IA, alejándolo de la explotación privada y orientándolo al beneficio público, se agota rápidamente”, añaden.

Quizá consciente de las preocupaciones que generaría sobre la posibilidad de manipulación, OpenAI destaca en su comunicado que no llevarán a cabo este tipo de prácticas. “No optimizamos el tiempo que pasas en ChatGPT. Priorizamos la confianza del usuario y la experiencia de uso por encima de los ingresos”, afirman.

Los científicos, no obstante, avisan que se debe tener en cuenta que el potencial de la IA en este sentido es mucho mayor que el de las plataformas tradicionales. “Tiene el potencial de influir en tu forma de pensar, en tus patrones de gasto e incluso en tus creencias personales de maneras mucho más sutiles”, resumen Schneier y Sanders. Un chatbot no se limita a “filtrar contenido estático”, sino que puede abordar “preguntas, preocupaciones e ideas específicas”, por lo que “su potencial de influencia es mucho mayor”.

“El problema no es la tecnología en sí”, remarcan los autores, sino “las prioridades de las corporaciones que poseen estas plataformas y en cuyo beneficio operan. Hay que ser conscientes de que no tienes control sobre qué datos se introducen en la IA, con quién se comparten ni cómo se utilizan. Conviene tenerlo presente cuando conectas dispositivos y servicios a plataformas de IA, les haces preguntas o consideras comprar o hacer las cosas que te sugieren”, concluyen.

Dudas de privacidad

“También es importante que sepas que tus datos y conversaciones están protegidos y no se venden a los anunciantes”, reza el comunicado de OpenAI. La privacidad y la protección de datos es el principal ángulo de preocupación de los expertos sobre el anuncio, puesto que los chats de IA tienen un potencial mucho mayor de extracción de datos que las redes sociales.

“Observando lo que están haciendo, todo apunta a que de lo que estamos hablando aquí es de reproducir todo lo que hicimos mal con las redes sociales”, avisaba Enrique Dans, profesor de Innovación y Tecnología en IE Business School en un reportaje de elDiario.es sobre la posibilidad de que ChatGPT incluyera publicidad: “¿Qué son las redes sociales en realidad? Son máquinas de capturar datos para luego venderlos al mejor postor. ¿Qué pasa si en lugar de simplemente dar me gusta o poner un comentario, lo que haces es estar todo el día hablando con esa máquina? Pues que le das todos los datos del mundo”.

En los últimos meses, OpenAI ya había llevado a cabo movimientos que parecían destinados a aumentar la cantidad de datos que extrae de sus usuarios. El último, de este enero, fue la activación de una herramienta para dar consejos de salud a través de ChatGPT. La compañía anima a los clientes a compartir con ella sus documentos médicos así como los datos recogidos por otras apps de salud, como las propias de relojes electrónicos.

Sobre esta cuestión, OpenAI afirma que este tipo de información sensible quedará fuera del análisis publicitario en un primer momento. “Durante la prueba, no mostraremos anuncios en cuentas donde el usuario nos indique que no los desea o cuando estimemos que tiene menos de 18 años, y evitaremos que aparezcan cerca de temas sensibles o regulados, como la salud, la salud mental o la política”, expone.

Las agencias de protección de datos de la Unión Europea llevan más de dos años y medio investigando el uso de datos personales por parte de ChatGPT. En un expediente conjunto lanzado en abril de 2023, los reguladores están analizando si la absorción de información pública para su entrenamiento, entre la que había datos personales, así como el tratamiento de las conversaciones, se ajusta a las leyes comunitarias.

1,2 billones comprometidos

La decisión llega en un momento crítico del desarrollo. En el último año, OpenAI se ha lanzado a la construcción de centros de datos hiperescala y la contratación a terceros de una gran potencia de cómputo para poder seguir mejorando ChatGPT. Sus compromisos de gasto se han elevado hasta los 1,2 billones de euros (1,4 trillones de dólares en la medida anglosajona) hasta 2033. Un plan que contrasta con el hecho de que la empresa no ha tenido nunca beneficios y no espera contar con ellos hasta, al menos, 2030.

La inmensa hipoteca que cae sobre OpenAI llevó a su directiva financiera a afirmar que el Gobierno de EEUU debería actuar como “respaldo” de su deuda, ya que esa capacidad de cómputo se podría considerar una infraestructura crítica del país en su carrera con China por dominar la IA. Las declaraciones provocaron un escándalo, con políticos tanto republicanos como demócratas criticando que la compañía privada intentara dictar la política de gasto nacional, comprometiendo cifras similares al PIB de muchos países, y luego pidiera la seguridad federal para mitigar el riesgo para sus inversores.

La polémica obligó a Altman a corregir a su directora financiera y asegurar que OpenAI “debería quebrar” si no puede asumir sus deudas. Con todo, la situación evidencia el momento de incertidumbre que atraviesa la compañía, especialmente en lo referente a su negocio corporativo.

Actualmente, existen dudas de que la inteligencia artificial generativa actual pueda llevar a cabo automatizaciones amplias del empleo. El premio Nobel de Economía de 2024, Daron Acemoglu, estima que menos del 5% de las tareas laborales de los países desarrollados se verán afectadas por esta tecnología. Los primeros estudios sobre proyectos que la han desplegado en empresas afirman que más del 90% no están ofreciendo retornos claros de la inversión.

El Gobierno quiere incluir la generación de imágenes o vídeos falsos de otras personas con inteligencia artificial en el catálogo de delitos contra el honor. Estos contenidos, conocidos como deepfakes, están suscitando una considerable alarma social y protestas de las personas afectadas. Según los datos que maneja Naciones Unidas, “hasta el 95% de los deepfakes son imágenes pornográficas no consentidas, y el 99% de las víctimas son mujeres”. El Consejo de Ministros aprobará este martes en primera vuelta el anteproyecto de ley con el que pretende poner coto a esta actividad.

La Agencia Española de Protección de Datos (AEPD) ha enviado un aviso este martes: manipular la imagen de otras personas con IA, especialmente si implica “desnudez añadida” o “contenido íntimo sintético”, ya puede acarrear multas por violar las leyes de privacidad o incluso delitos recogidos en el Código Penal.

Así lo ha expresado en un documento que detalla los riesgos “visibles e invisibles” de los deepfakes. La Agencia recuerda que cualquier imagen, vídeo o audio que permita identificar a una persona, ya sea por su rostro, voz, tatuajes o entorno, constituye un dato personal. Por tanto, su tratamiento mediante IA está sujeto a la normativa de protección de datos con independencia del realismo del resultado.

El regulador de la privacidad, de hecho, ya ha dictado resoluciones sancionatorias por este tipo de actividades. Fue en noviembre cuando la Agencia impuso la primera sanción en este sentido. En aquel caso, la resolución condenó a los padres de un menor que había creado imágenes de sus compañeras de instituto desnudas con IA a pagar 2.000 euros por violación de su privacidad. Se trataba de una sanción derivada del escándalo de Almendralejo, en el que se compartieron fotografías falsificadas de niñas menores de edad en grupos de mensajería, y que salió a la luz en septiembre de 2023.

Con todo, esta actividad ha vuelto a disparar la indignación en estos primeros días de 2026 debido a la inteligencia artificial de Elon Musk. El magnate permitió que Grok, como se llama su modelo generativo, creara este tipo de contenidos falsificados (en este caso, mostrando a las mujeres en bikini o lencería) y los publicara en abierto en X, su red social. Múltiples países europeos y la propia UE ya investigan lo sucedido. “Es ilegal, espantoso y repugnante”, declaró un portavoz comunitario.

Sexualización y humillación

En su guía de riesgos, la AEPD advierte de que el daño para la víctima de un deepfake “puede ser equivalente y en algunos casos mayor que en el caso de una imagen o un vídeo real”. Especialmente, cuando se producen situaciones de sexualización, humillación o la atribución de hechos falsos que resultan socialmente creíbles.

Además de lo que otros pueden ver al difundirse el contenido, el regulador de privacidad pone el foco en los peligros ocultos para la privacidad de los deepfakes, como “la pérdida efectiva de control” sobre su propia imagen, que puede distribuirse fácilmente en redes donde los usuarios no conocen el contexto de si es real o no. Además, una vez que la imagen se sube a una de estas plataformas, se crea un archivo que se guardará en sus bases de datos y unos metadatos (información sobre esas imágenes, como autor, fecha, formato, ubicación, etc.) que podrían llevar a la identificación de la persona que aparece en el deepfake.

“Es cierto que muchas plataformas de IA generativa incorporan mecanismos técnicos para limitar la generación de contenidos claramente lesivos”, reconoce la AEPD. “Estas medidas hacen que muchos contenidos notoriamente dañinos no lleguen a generarse, pero no garantizan que desaparezcan todos los riesgos”, añade en la guía. Fuentes del organismo aseguran que este lleva semanas trabajando en el documento y que sus recomendaciones van más allá de lo sucedido con la IA de Elon Musk en X.

Ante esta realidad, la AEPD recomienda extremar la prudencia y recalca que el uso irreflexivo de estas herramientas para “usos considerados banales o lúdicos” (como filtros o animaciones) puede dejar de considerarse una actividad “estrictamente doméstica” si el contenido se difunde de forma masiva o impacta gravemente en la vida profesional o personal del afectado, lo que puede acarrear sanciones. En los casos más graves, pueden existir “indicios de delito” que hagan que el organismo derive el caso ante autoridades policiales y judiciales.

Finalmente, la Agencia subraya que el uso de esta tecnología es especialmente peligroso cuando se trata la imagen de menores de edad o personas vulnerables. En los supuestos en los que se produzca una pérdida de control o un daño reputacional intenso, el organismo insta a los afectados a presentar una reclamación ante la Agencia, que cuenta con herramientas como el Canal Prioritario, una vía de urgencia que permite la retirada de determinados contenidos sexuales, violentos o vejatorios en 24 horas.

La tecnológica OpenAI ha lanzado un apartado específico de salud en ChatGPT y ha animado a los usuarios a compartir sus documentos médicos y datos de aplicaciones como Apple Health. ChatGPT Health, que aparece como una pestaña en la barra del menú del 'chatbot', solo está disponible para un pequeño grupo de usuarios en Estados Unidos y otros países no europeos, pero OpenAI planea ofrecerlo en el sistema operativo iOS y su web en las “próximas semanas”.

Según un comunicado de la empresa de inteligencia artificial (IA), la salud es uno de los principales temas de consulta en ChatGPT y este servicio, que ha creado en colaboración con médicos, tendrá “protecciones adicionales y por capas diseñadas específicamente” para este ámbito por cuestión de privacidad. El servicio “está diseñado para apoyar, no reemplazar, a los servicios médicos” y “no está pensado para hacer diagnósticos o tratamientos”, destaca la empresa, que pretende “ayudar” a los usuarios con sus preguntas de salud para que estén más “informados y preparados”.

En ese sentido, invita a los usuarios a compartir los historiales médicos y aplicaciones de salud como Apple Health, Function o MyFitnessPal, para “entender resultados de pruebas”, preparar visitas médicas, obtener consejos de dieta o ejercicio, o comparar seguros según “patrones” de salud. La empresa señaló que la información compartida en Health y sus “recuerdos” nunca pasarán a los chats generales de ChatGPT, y de manera similar, estos chats generales no pueden acceder al contenido dentro del apartado de salud.

También se pueden ver y “eliminar” esos “recuerdos” de salud, especifica. Según OpenAI, 230 millones de personas en todo el mundo hacen preguntas de salud y bienestar a ChatGPT cada semana.

La decisión llega en un momento estratégico para la empresa, que está valorando utilizar los datos personales de los usuarios para incluir anuncios segmentados en sus servicios. “Probablemente exista algún producto publicitario interesante que podamos desarrollar y que sea beneficioso para el usuario”, declaró a finales de 2025 Sam Altman, director ejecutivo de la compañía.

Recoger la documentación bancaria y el DNI en el domicilio del cliente, perderlos por el camino y no darse cuenta hasta que el usuario protesta. Y cuando protesta, pasarse medio año preguntando a la empresa de mensajería equivocada. La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 500.000 euros a ING tras confirmar que la entidad carecía de medidas básicas para rastrear la documentación sensible que mueve fuera de sus oficinas.

Todo comenzó con una solicitud para darse de alta como cotitular en la cuenta de su pareja. Siguiendo instrucciones del banco, una empresa de mensajería recogió en el domicilio de un cliente un sobre con los datos para llevar a cabo el trámite. La documentación nunca llegó a los sistemas de ING.

En el paquete se encontraban copias del DNI por ambas caras, datos financieros como el número de cuenta bancaria, su domicilio, dirección de correo electrónico, número de teléfono móvil, información sobre su vida laboral, así como su firma original.

Datos que aunque ING argumentó que no son “sensibles” (categoría en la que entran aquellos referentes a la ideología, creencias religiosas u orientación sexual), la AEPD recalca que el hecho de perderlos todos juntos lo convierte en “especialmente” peligroso. Contar con esa información permite a un delincuente “construir un perfil completo y detallado” de la víctima para cometer abusos, ya que “conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor”, recalca en su resolución.

Con todo, lo que ha motivado la contundencia de la sanción no es el extravío en sí, sino el caos administrativo que lo siguió. A pesar de que el cliente alertó de la situación al banco hasta en cuatro ocasiones durante el mes siguiente a enviar la documentación, ING se limitó a abrir incidencias internas sin investigar a fondo qué había sucedido con sus datos, instándole a que la enviara de nuevo.

Según consta en la resolución, los avisos del afectado provocaron que el banco se pusiera en contacto repetidamente con su proveedor logístico habitual, la empresa Sending, para localizar el envío. El problema es que, para ese porte específico, se había contratado a otra compañía distinta, Dynamic. Fue el propio cliente el que avisó de ello en sus alertas al banco, suministrando tanto el nombre de la empresa que había recogido el paquete como incluso el del mensajero que se lo había llevado.

Pese a los avisos del afectado, ING no contactó a la empresa correcta durante más de siete meses. Tampoco lo consideró como una posible brecha de seguridad que podría causar daños al cliente. Cuando lo hizo, fue debido a que la AEPD ya se había puesto en contacto con la entidad para recabar información sobre lo sucedido después de que el cliente presentara una reclamación oficial.

“Error humano” frente a fallo sistémico

En sus alegaciones ante el regulador, la entidad intentó justificar el incidente como una anécdota estadística. ING expuso que el extravío afectaba a un porcentaje insignificante de su operativa (un “0,0029% del total de recogidas y envíos”), por lo que atribuyó lo sucedido a un “error humano puntual” de la empresa de transporte, defendiendo que el banco no podía ser responsable de un fallo del mensajero.

La AEPD no ha aceptado esta versión. El regulador de la privacidad subraya que el banco, como responsable de los datos cedidos por el cliente, debe vigilar en todo momento qué ocurre con ellos. Si en el proceso de tratamiento subcontrata a un tercero, debe vigilar qué hace esa empresa con la información en todos los pasos del proceso. “Al responsable le corresponde verificar que las medidas implementadas por el encargado siguiendo sus instrucciones funcionan, aun cuando ING asegure que los protocolos y procedimientos definidos por la red de mensajería son 'responsabilidad exclusiva' de dichas empresas”, zanja.

Más grave aún para el organismo regulador es la ausencia de mecanismos de alerta. El contrato firmado entre el banco y la paquetera no incluía herramientas para localizar un envío en un momento dado. “ING carecía de mecanismos de alerta temprana que permitieran detectar posibles brechas de datos personales”, destaca la resolución, señalando que el banco solo tuvo conocimiento del fallo “a través del propio afectado” y “no supo identificar al encargado al que encomendó la recogida de la documentación”.

Si el sobre está cerrado

En sus últimas alegaciones, ING argumentó que “la documentación se encontraba en un sobre cerrado”. Por ello, justifica que no hay constancia de que su contenido haya caído en manos de terceros y, por tanto, confirmación de la existencia de la brecha de seguridad.

Este argumento tampoco ha servido para esquivar la sanción. La AEPD recuerda que la pérdida de control sobre datos críticos como una fotocopia completa del DNI junto a un número de cuenta bancaria genera un riesgo severo para el ciudadano, independientemente de si se confirma o no el acceso indebido. “La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo”, recuerda el regulador.

Estos motivos han derivado en una infracción grave de las leyes de privacidad por falta de medidas de seguridad adecuadas. La sanción original de medio millón de euros se ha visto reducida finalmente a 400.000 euros, dado que ING ha optado por reconocer su responsabilidad y abonar la multa voluntariamente, renunciando a litigar en los tribunales, lo que le permite acogerse a una reducción del 20%.

“Respetamos y acatamos la resolución de la AEPD, con quien colaboramos activamente en línea con nuestros compromisos con la protección de los datos de nuestros clientes”, ha expresado una portavoz de la entidad en un comunicado enviado a elDiario.es. “Se trató de un caso puntual y excepcional derivado de la pérdida de documentación por parte de una empresa de mensajería. No obstante, hemos revisado y reforzado nuestros procesos con este tipo de proveedores para garantizar el cumplimiento de los más altos estándares de seguridad y privacidad”, concluye.

TikTok ha reanudado las transferencias de datos personales de sus usuarios europeos hacia China. Así lo ha alertado la Agencia Española de Protección de Datos (AEPD) este lunes, que destaca que la red social continúa transfiriendo información a terceros países, incluido el gigante asiático, a pesar de que estas prácticas “ya fueron analizadas por parte de las autoridades europeas, que concluyeron que no cumplían con el Reglamento General de Protección de Datos (RGPD)”, lo que le valió una multa de 530 millones de euros.

El origen de esta situación se remonta a abril de este año, cuando la Comisión de Protección de Datos de Irlanda (DPC), la autoridad principal que vigila a la plataforma al estar su sede europea en Dublín, impuso dicha sanción y ordenó detener los envíos de información tras una investigación coordinada con el resto de agencias europeas. Sin embargo, la compañía recurrió la decisión ante la justicia irlandesa, que el pasado noviembre acordó levantar temporalmente la prohibición de transferir los datos a la espera de dictar una sentencia definitiva.

Este permiso provisional concedido por el tribunal está condicionado a que la tecnológica cumpla con unas obligaciones específicas de transparencia. Por ello, TikTok ha comenzado a informar a los usuarios europeos sobre cómo se tratan sus datos personales y sobre la existencia del procedimiento judicial en curso. TikTok tiene más de 200 millones de usuarios en Europa, unos 23,5 millones de ellos en España, según datos oficiales de la plataforma.

La AEPD aclara que, aunque el bloqueo de las transferencias se encuentre en suspenso de forma cautelar, la valoración legal de los reguladores “sigue vigente”. Las autoridades europeas insisten en que enviar esta información a China incumple la normativa comunitaria, por lo que la legalidad de la operativa de la red social continúa estando cuestionada.

Desde TikTok recalcan que están “en total desacuerdo” con la resolución emitida por la autoridad irlandesa, por lo que celebra la decisión del tribunal y ha reactivado el envío de datos. “TikTok se toma muy en serio la protección de datos y la privacidad de los usuarios”, asegura la red social, indicando que ha realidado una “inversión de 12.000 millones de euros en la seguridad de los datos europeos”. “En nuestra opinión, ofrece garantías inigualables para los datos de los usuarios europeos”, asegura.

“Valorar si desean continuar”

Ante este escenario, el organismo español considera “esencial” que los ciudadanos, y especialmente los más jóvenes, dispongan de información clara sobre el destino de su información. Entre sus recomendaciones, la Agencia aconseja “revisar la configuración de privacidad de las aplicaciones y comprobar los permisos concedidos, como el acceso a la cámara, el micrófono, los contactos o la ubicación”, o “actuar con prudencia respecto a la información que se comparte a través de aplicaciones y redes sociales, evitando la difusión de datos sensibles”.

Además, el regulador de la privacidad español va un poco más allá y sugiere a los usuarios que abandonen la plataforma. De esta forma, la AEPD recomienda “valorar si desean continuar utilizando un servicio cuando existen transferencias de datos a países que no ofrecen un nivel de protección equivalente al europeo”.

Con esta advertencia, el organismo recuerda que cuando la información personal se almacena en bases de datos de terceros países fuera del bloque comunitario, pasa a quedar bajo la jurisdicción local. En el caso de China, esto puede implicar el acceso total a esa información por parte del Gobierno o el Ejército Popular de Liberación, puesto que la ley les permite reclamar a las compañías tecnológicas cualquier activo que tengan a su disposición en base a los intereses del Estado. Aunque no existen pruebas de que se hayan producido acceso a las bases de datos de TikTok, el marco legal chino lo permite.

Este tipo de accesos no contemplados en la regulación europea fueron los que motivaron al Tribunal de Justicia de la UE a invalidar por dos veces el tratado de transferencias de datos que la Comisión Europea había establecido con Estados Unidos. El actual también está siendo analizado por los magistrados tras una denuncia del mismo abogado que consiguió la anulación de los dos anteriores.

¿Por qué un grupo de personas muy ricas y poderosas consiguen que millones les obedezcan? Hoy en día, una minoría oligárquica gobierna porque posee una riqueza extrema. El Laboratorio de la Desigualdad Mundial elabora cada año un informe global en el que señalan que en torno al 10% más rico se lleva más de la mitad de todos los ingresos del mundo, mientras que la mitad más pobre de la población obtiene menos del 10%. Sí, has leído bien.

¿Y por qué nadie se rebela? ¿No es asombroso? El filósofo escocés David Hume lo veía así, decía: “Nada parece más sorprendente para quienes consideran los asuntos humanos con ojo filosófico que la facilidad con la cual los muchos son gobernados por los pocos; y la sumisión con la cual los hombres entregan sus propios sentimientos y pasiones a los de sus gobernantes”. Dicho de otro modo, ¿por qué si los privados de riqueza son muchos más, aceptan su dominación? Más de 250 años después, ya no solo entregamos sentimientos y pasiones, sino sobre todo nuestros datos y nuestra privacidad.

Por suerte hay escritoras que siguen observando con ojo filosófico, el porqué de este comportamiento humano. Una de las más destacadas es Belén Gopegui, con quien hablamos en este episodio. 

Puedes escuchar La trama en tu plataforma de audio favorita. Suscríbete gratis para escuchar un nuevo episodio cada mes: