Hay una pregunta que hace unos años habría sonado bastante extraña:
¿Quién sabe dónde estás ahora mismo?
Probablemente el teléfono, también tu operador, quizá alguna aplicación, el navegador puede saber qué estás consultando, una red social puede saber qué contenido estás viendo, un servicio de mapas puede saber dónde has estado y alguna tienda online puede saber qué producto llevas diez minutos mirando sin decidirte a comprar.
Lo curioso es que la respuesta probablemente no sea «alguien».
Son muchos, y lo más curioso todavía es que, en la mayoría de los casos, nosotros mismos hemos aceptado que sea así.
No ha hecho falta que nadie entre en nuestro ordenador, instale malware o rompa una contraseña, hemos pulsado «Aceptar», y quizá ahí empieza una de las historias más interesantes de la ciberseguridad: la diferencia entre que alguien pueda acceder a nuestra información y que nosotros decidamos, conscientemente o no, que puede utilizarla.
Cuando la vigilancia era cosa de las películas
En 1998 se estrenaba Enemigo público, con Will Smith y Gene Hackman, vista hoy, algunas de sus escenas tienen ese punto casi entrañable de la ciencia ficción tecnológica de finales de los noventa: satélites, cámaras, teléfonos, sistemas capaces de localizar personas y una enorme sala llena de gente mirando pantallas.
Pero la idea central sigue siendo sorprendentemente actual. El protagonista descubre que alguien puede observarlo y seguir sus movimientos mediante una combinación de tecnologías que, individualmente, parecen bastante normales.
Una cámara por aquí, una llamada por allí, una imagen captada en otro lugar, una comunicación…. El verdadero poder no está necesariamente en cada pieza, está en juntarlas.
Y esta es una idea que merece la pena conservar durante todo el artículo, porque quizá el problema de la privacidad no sea que alguien sepa una cosa sobre nosotros, quizá sea que alguien pueda saber demasiadas cosas que, por separado, nunca nos parecieron importantes, por ejemplo, Facebook, Instagram, Whatsapp, Threads,… pertenecen a la misma matriz, ¿comparten información?
Minority Report y el anuncio que sabe quién eres
Cuatro años después de Enemigo público, Minority Report llevó la idea a otro nivel, Tom Cruise entra en una tienda y las pantallas comienzan a dirigirse a él personalmente, no es publicidad genérica, sabe quién es. ¿Te sientes identificado?
El sistema identifica al protagonista mediante el escaneo del iris y utiliza esa identidad para ofrecerle publicidad personalizada. La película imaginaba un futuro en el que las vallas publicitarias reconocían a las personas y adaptaban el mensaje a su perfil.
En 2002 aquello parecía ciencia ficción, lo interesante es que la parte más importante de la idea no necesitaba esperar a 2054, no necesitamos escanear el iris de alguien para personalizar un anuncio, podemos utilizar su historial de navegación, sus búsquedas, los productos que ha consultado, las páginas que visita…. Y, sobre todo, la correlación de todas esas señales.
El anuncio de Minority Report dice:
«Sé quién eres.»
La publicidad digital moderna puede acercarse a algo más sutil:
«Sé qué probablemente te interesa.»
Y la segunda frase quizá sea incluso más inquietante, porque ya no estamos hablando únicamente de identificarte, estamos hablando de inferir cosas sobre ti.
El dato que nunca dijiste
Imaginemos que nunca has indicado en ninguna aplicación que te gusta correr, pero ocurre esto:
- Buscas zapatillas para correr.
- Lees un par de comparativas.
- Miras un reloj deportivo.
- Consultas una ruta.
- Instalas una aplicación de entrenamiento.
- Buscas una carrera popular.
Y durante los siguientes días empiezan a aparecer anuncios relacionados con running.
¿Alguien sabe que eres corredor? Quizá no exista ningún campo en ninguna base de datos que diga:
aficionado_al_running = true
Y, sin embargo, la conclusión puede ser bastante razonable, eso es lo interesante de la privacidad moderna.
No todo lo que se sabe de nosotros tiene que haber sido proporcionado directamente por nosotros.
Puede ser inferido, y varias de esas cosas juntas pueden construir un perfil mucho más preciso que cualquiera de ellas por separado.
El navegador sabe más de lo que parece
Aquí entra una de las piezas fundamentales de esta historia: el navegador.
Una cookie, en su forma más sencilla, no tiene nada de misterioso. Es un pequeño dato que un servidor envía al navegador para que este lo conserve y lo devuelva posteriormente. Sirve, por ejemplo, para mantener una sesión iniciada o recordar determinadas preferencias.
El problema aparece cuando pensamos en seguimiento.
Una página puede incorporar recursos procedentes de otros dominios: publicidad, analítica, contenido embebido, etc. Esos terceros pueden utilizar mecanismos de almacenamiento y seguimiento para reconocer determinados patrones de navegación.
Las cookies de terceros son un ejemplo clásico. Un tercero presente en diferentes sitios puede utilizar información procedente de esos contextos para construir un perfil de hábitos e intereses. Y esto ha provocado precisamente una evolución importante de los navegadores.
Firefox, Safari y otros navegadores incorporan diferentes mecanismos para limitar el seguimiento entre sitios, mientras que la web está desarrollando alternativas a las cookies de terceros para usos legítimos que no requieran identificar y seguir individualmente al usuario. Es decir, la batalla por la privacidad no ha terminado. Simplemente ha cambiado de sitio.
«Aceptar todas las cookies»
Y entonces aparece ese botón.
Aceptar todas.
Probablemente sea uno de los elementos de interfaz más potentes de la privacidad moderna, no porque tenga poderes especiales, sino porque consigue convertir una decisión técnica compleja en un gesto trivial.
Una persona puede estar autorizando distintos tipos de almacenamiento, personalización, analítica o seguimiento sin tener una visión clara de qué implica cada uno, y aquí tenemos un problema de diseño bastante curioso, nos hemos acostumbrado a pensar que una decisión de privacidad consiste en:
Aceptar / Rechazar
cuando en realidad puede haber muchas preguntas diferentes:
- ¿Qué datos se recopilan?
- ¿Durante cuánto tiempo?
- ¿Para qué se utilizan?
- ¿Se comparten con terceros?
- ¿Se utilizan para publicidad?
- ¿Se combinan con información obtenida de otras fuentes?
- ¿Puedo retirarlo después?
- ¿Puedo eliminar los datos?
- ¿Qué ocurre si digo que no?
La ventana de cookies puede tener dos botones, la realidad que hay detrás puede tener veinte preguntas.
El móvil lleva la situación un paso más allá
Si el navegador sabe cosas sobre nosotros, el teléfono puede saber muchas más, porque el teléfono no es solamente un navegador, tiene GPS, cámara, micrófono, contactos, calendario….
Y, sobre todo, nos acompaña prácticamente a todas partes.
Los propios sistemas operativos son conscientes de la sensibilidad de esa información y las aplicaciones tienen que solicitar permisos para acceder a determinados datos y funciones, entre ellos localización, contactos, fotos, Bluetooth, micrófono o cámara. También podemos revisar y modificar posteriormente esos permisos.
Pero aquí vuelve a aparecer la misma pregunta:
¿Cuántas veces concedemos un permiso sin pensar demasiado en lo que significa?
Una aplicación de mapas necesita nuestra ubicación, tiene sentido y una aplicación de transporte necesita nuestra ubicación, también.
Pero cuando una aplicación aparentemente sencilla empieza a solicitar acceso a múltiples recursos, quizá deberíamos detenernos un segundo, no porque necesariamente esté haciendo algo mal, sino porque un permiso es una capacidad, y una capacidad concedida siempre merece preguntarse para qué se necesita.
«Permitir mientras se usa» no es lo mismo que «siempre»
Esta diferencia es un buen ejemplo de cómo la privacidad se ha vuelto más granular.
Una aplicación puede solicitar acceso a la ubicación mientras está en uso o pedir acceso en segundo plano. El usuario puede revisar posteriormente qué aplicaciones tienen acceso y modificar esos permisos.
Parece un detalle. No lo es. Porque «sé dónde estás ahora» y «puedo conocer tus desplazamientos a lo largo del día» son dos cosas muy diferentes, la primera es un dato, la segunda puede convertirse en un patrón, y los patrones son mucho más interesantes.
Si sé dónde estás todos los días entre las 8:00 y las 17:00, probablemente pueda hacer una estimación bastante buena de dónde trabajas, si sé dónde estás por la noche, quizá pueda estimar dónde vives, hay muchas aplicaciones que por ejemplo revisan los horarios de cuando escribes un post en X, de esta manera se puede inferir si estás en casa o no.
Si además conozco dónde compras, qué aplicaciones utilizas y qué servicios consultas, el perfil empieza a ser considerablemente más completo, no he necesitado preguntarte nada simplemente he observado suficientes señales.
Y entonces aparece Fast & Furious 7
Aquí es donde Fast & Furious 7 introduce una idea que, aunque llevada al terreno de la ficción, resulta muy útil.
En la película aparece el famoso God’s Eye, un sistema capaz de utilizar dispositivos y cámaras conectadas para localizar a una persona, es exagerado, mucho, pero la idea que hay debajo resulta interesante:
No necesitas una única fuente de información perfecta si puedes combinar muchas fuentes imperfectas.
- Una cámara no sabe quién eres necesariamente.
- Un teléfono puede saber dónde está un dispositivo.
- Una matrícula puede identificar un vehículo.
- Una cuenta puede identificar a una persona.
- Una dirección IP puede proporcionar contexto.
- Una fotografía puede aportar ubicación o información temporal.
- Un registro de acceso puede decir cuándo ocurrió algo.
Por separado, cada pieza tiene limitaciones. Juntas pueden ser extraordinariamente útiles.
El problema de privacidad, por tanto, no consiste únicamente en preguntar:
«¿Qué sabe esta aplicación sobre mí?»
También deberíamos preguntar:
«¿Qué puede deducirse sobre mí cuando esa información se combina con otra?»
El problema no son solo las cookies
A veces hablamos de privacidad web como si todo dependiera de las cookies.
No es así.
El seguimiento puede utilizar otros mecanismos y combinar distintas señales. La documentación de MDN describe, por ejemplo, técnicas relacionadas con parámetros añadidos a URLs, redirecciones, información del navegador y del dispositivo, además de cookies. Incluso características aparentemente inocentes del navegador o del dispositivo pueden contribuir a identificar o distinguir usuarios.
Esto introduce un concepto especialmente interesante:
Fingerprinting. (¿os suena este término?)
En lugar de guardar necesariamente una cookie que diga «este es Juan», podemos intentar distinguir un navegador mediante una combinación de características.
Es como reconocer a alguien no por su cara, sino por la combinación de su ropa, su forma de caminar, la mochila que lleva y el lugar por el que suele pasar, no necesitas una única característica perfecta, necesitas suficientes.
Y aquí volvemos a Security Theater
Hay una conexión bastante natural con el artículo anterior sobre Security Theater.
En aquel artículo hablábamos de cómo una cámara puede hacernos sentir vigilados aunque no sepamos exactamente qué está viendo ni qué ocurre con las imágenes, con la privacidad ocurre algo parecido, pero al revés.
Podemos sentir que tenemos privacidad simplemente porque no vemos a nadie observándonos, y, sin embargo, existen sistemas registrando diferentes partes de nuestra actividad.
La diferencia fundamental es que la vigilancia digital puede ser tremendamente silenciosa, no necesitas sentir que alguien te está mirando, los datos pueden almacenarse, analizarse, correlacionarse y utilizarse más adelante.
El problema de «yo no tengo nada que ocultar»
Esta frase aparece prácticamente siempre que se habla de privacidad:
«A mí no me preocupa. No tengo nada que ocultar.»
Pero la privacidad nunca ha consistido únicamente en esconder cosas malas, cerrar la puerta de casa no significa que estés haciendo algo ilegal. La privacidad tiene que ver con controlar quién puede saber qué sobre nosotros y en qué contexto.
Probablemente no te importe que una aplicación de mapas sepa dónde estás cuando estás buscando una dirección, quizá sí te importe que una empresa pueda reconstruir tus desplazamientos de los últimos seis meses.
Probablemente no te importe que una tienda sepa qué producto estás comprando, quizá sí te importe que pueda combinar esa información con otras compras, tus búsquedas y tu ubicación.
La diferencia está en el contexto.
La privacidad, por tanto, no se pierde necesariamente cuando alguien obtiene un gran secreto, a veces se pierde milímetro a milímetro.
Y quizá por eso Minority Report sigue resultando incómoda
La parte realmente inquietante de Minority Report no es que una pantalla sepa tu nombre.
Es que la pantalla sabe qué ofrecerte. Porque ahí se produce un salto.
Primero:
«Sé quién eres.»
Después:
«Sé lo que has hecho.»
Después:
«Sé lo que probablemente quieres.»
Y finalmente:
«Voy a utilizarlo para influir en lo que haces.»
Ese último paso conecta incluso con el artículo que escribimos sobre Focus.
En Focus hablábamos de controlar la atención: conseguir que una persona mire exactamente hacia donde interesa. En el mundo digital, la personalización puede hacer algo parecido de una forma mucho más sofisticada.
No hace falta obligarte a mirar. Podemos intentar mostrarte aquello que probablemente quieras mirar. Y eso es bastante diferente.
¿Estamos viviendo ya en Minority Report?
No, no tenemos vallas publicitarias omniscientes que escanean el iris de todo el mundo y conocen automáticamente toda su vida.
Pero algunas de las ideas que parecían ciencia ficción ya tienen equivalentes mucho más modestos.
Publicidad personalizada, recomendaciones, seguimiento de navegación, identificadores….
La diferencia es que normalmente no vemos el mecanismo, solo vemos el resultado, ni siquiera buscas algo y aparece.
Llegas a una ciudad y el teléfono empieza a sugerirte lugares, ¿realmente comes o visitas lo que tu quieres o lo que alguien quiere?
Una aplicación te recomienda algo que parece saber exactamente lo que querías, no hace falta imaginar una conspiración.
La tecnología necesaria para construir perfiles a partir de señales digitales ya existe, los propios navegadores están desarrollando mecanismos para reducir el seguimiento entre sitios precisamente porque el problema es suficientemente importante como para afectar a la arquitectura de la web.
Entonces, ¿qué hacemos?
La respuesta tampoco debería ser «deja de utilizar Internet», ni tirar el teléfono por la ventana (aunque a veces…)
La cuestión es mucho más sencilla:
ser conscientes de qué estamos entregando.
Revisar permisos, preguntarnos por qué una aplicación necesita acceso a algo, no aceptar automáticamente todas las opciones de cookies y utilizar las herramientas de privacidad del navegador.
Y, sobre todo, entender que gratis no significa necesariamente sin coste.
A veces el precio no está en euros, está en datos.
Al final, la pregunta era otra
Volvamos a la pregunta inicial.
¿Quién sabe dónde estás?
Probablemente más gente —o más sistemas— de lo que pensamos, pero quizá esa ni siquiera sea la pregunta más interesante.
La verdadera pregunta es:
¿Qué pueden averiguar sobre ti sabiendo dónde estás?
Porque saber que estás en un lugar concreto es un dato, saber que estás allí todos los martes es un patrón, saber que después vas siempre a otro lugar es una relación y saber con quién te reúnes allí es otra.
Y saber qué buscas después en Internet puede convertir todo eso en una historia. Una historia sobre ti. Y quizá ese sea el verdadero problema de la privacidad digital. No es una fotografía, una ubicación o una cookie, sino que hemos creado, casi sin darnos cuenta, un registro digital de nuestras vidas compuesto por miles de pequeñas piezas que, cuando se juntan, cuentan una historia bastante completa.
En Enemigo público, alguien tenía que perseguirte para saber dónde estabas.
En Minority Report, bastaba con que una máquina reconociera quién eras.
En Fast & Furious 7, la ficción imaginaba un sistema capaz de unir cámaras y dispositivos hasta encontrarte.
En 2026 no vivimos exactamente en ninguno de esos mundos, pero quizá la pregunta que dejan las tres películas sí sigue siendo perfectamente válida:
¿Cuánto de nuestra vida estamos dejando registrado y quién tiene la capacidad de unir todas esas piezas?
