Cómo protegerte del doxing: señales y datos que puedes retirar

Recurso complementario de la lección “Entender las amenazas en línea y defenderte de ellas” — curso Anonimato online

El doxing casi nunca empieza con un secreto. Suele empezar con detalles corrientes que ya son públicos y que alguien recoge y junta hasta que señalan a una persona. Por eso, saber cómo protegerte del doxing tiene menos que ver con esconderte y más con ver qué detalles unen tu vida en línea con el lugar donde vives y trabajas, para aflojar los vínculos que no necesitas.

A. Por qué importa

En este curso, la privacidad consiste en decidir qué saben otras personas de ti; el anonimato, en poder actuar sin que lo que haces quede vinculado a quién eres. El doxing es ese vínculo hecho a propósito, y normalmente en tu contra: un nombre de usuario, un comentario o un perfil unidos a un nombre real, a una dirección o a una empresa, y después publicados.

Cada detalle que compartes puede ser inofensivo donde lo pusiste. El riesgo nace de la combinación: una foto en un sitio, la lista de socios de un club en otro, un teléfono en un anuncio antiguo. Elaborar un perfil a partir de datos públicos no exige conocimientos especiales, solo tiempo.

Tener presencia en internet, por trabajo o por gusto, es una elección legítima. No se trata de desaparecer, sino de saber qué podría reconstruir alguien ajeno y decidir qué sigue a la vista.

Qué dicen las fuentes

El Instituto Nacional de Ciberseguridad (INCIBE) define el doxing como «la práctica de revelar información personal de una persona en Internet sin su consentimiento», «normalmente con fines de intimidación, acoso o extorsión». En un artículo de febrero de 2026 añade que estas publicaciones «suelen basarse en agregación de datos procedentes de antiguas publicaciones de datos personales».

En una infografía sobre el doxing, INCIBE propone hábitos que reducen la exposición: «Ajustar la configuración de privacidad de tus cuentas y perfiles online», ser más estricto con lo que compartes y «Realizar búsquedas por tus datos personales para localizar posibles contenidos publicados sobre ti».

En cuanto a los derechos, el marco en España es el Reglamento General de Protección de Datos (RGPD). La Agencia Española de Protección de Datos (AEPD), la autoridad española en la materia, explica que el derecho de supresión, conocido como «derecho al olvido», también se puede ejercer ante los buscadores.

B. Conceptos clave

Cinco ideas: cómo funciona el doxing y qué puedes hacer antes y después.

Qué es el doxing, y qué no es

El doxing (también escrito doxxing) consiste en reunir datos privados o identificativos de una persona y publicarlos, normalmente para exponerla, intimidarla o castigarla. Muchas veces esos datos, uno a uno, no son secretos: una empresa, una calle, el horario del gimnasio. Lo que lo convierte en doxing es la combinación, la publicación y la intención.

Si el doxing se trata como delito, y de qué manera, depende de las circunstancias; las normas varían de un país a otro, y este recurso no entra en ellas.

Por qué te importa: Ver el doxing como una forma de unir puntos, y no como un ataque informático, te muestra dónde tienes cierto control: sobre los puntos que se pueden encontrar y sobre los vínculos entre ellos.

Perfiles hechos con datos públicos: cómo se unen los puntos

Un perfil se construye pasando de un dato al siguiente. El mismo nombre de usuario en dos webs las une, y lo mismo hace una foto de perfil repetida. Después, una ubicación etiquetada, la empresa en una biografía o una entrada en un directorio de personas pueden conectar a la persona en línea con un lugar físico.

Por qué te importa: Los vínculos más fuertes suelen ser los que cruzan contextos: el mismo nombre, foto, correo o teléfono usados donde hablas con libertad y donde te conocen por tu nombre. Son los primeros que conviene aflojar.

Las primeras señales

El doxing suele ir precedido de una fase de recogida. Algunas señales que merece la pena notar: un contacto inesperado que usa datos que no le diste, como tu calle, tu empresa o el nombre de un familiar; preguntas de personas desconocidas sobre dónde vives o trabajas; alguien que repasa tus publicaciones antiguas o las fotos en las que te han etiquetado; tus datos en un hilo o en un grupo del que no formas parte.

Por qué te importa: Una señal débil, por sí sola, no prueba que alguien te tenga en el punto de mira. Una señal fuerte, o dos a la vez, son un buen motivo para comprobar qué se encuentra sobre ti y empezar a guardar un registro, con calma.

Pedir que lo retiren: qué cambia y qué no

Puedes pedir a quien gestiona una web, el responsable del tratamiento, que suprima tus datos en los casos que prevé el RGPD; la AEPD enumera esos casos en sus preguntas frecuentes y ofrece un formulario. Según la AEPD, el responsable tiene un mes para responder desde que recibe la solicitud, un plazo que puede ampliarse dos meses más si hace falta, avisándote antes de que termine el primero.

Con los buscadores, la AEPD indica que primero debes dirigirte al propio buscador, y que los principales tienen sus formularios. La retirada no es automática: hace falta una ponderación caso por caso entre tus derechos y el interés del público por esa información. Si no responden o la respuesta no te parece adecuada, puedes presentar una reclamación ante la AEPD. Donde está disponible, la herramienta de Google «Resultados sobre ti» (en inglés, «Results about you») permite pedir que se retiren resultados con tu teléfono, tu dirección o tu correo.

Por qué te importa: Que un enlace desaparezca del buscador hace la página más difícil de encontrar, pero no la borra: retirarla de la web de origen es otra solicitud. Las copias hechas antes pueden quedarse, así que cada retirada reduce la exposición, no la elimina.

Guardar pruebas y dónde pedir ayuda

Si publican tus datos, INCIBE aconseja recopilar evidencias, pedir la retirada del contenido a la plataforma y, si procede, poner los hechos en conocimiento de las Fuerzas y Cuerpos de Seguridad del Estado. Unas capturas con la dirección de la página, la fecha y los comentarios ya son un buen comienzo.

No tienes que afrontarlo en solitario. El 017, la línea de ayuda en ciberseguridad de INCIBE, es gratuita y confidencial y atiende de 8:00 a 23:00 todos los días; INCIBE aclara que no es un canal de denuncia, sino de asesoramiento, y que la denuncia se presenta ante las Fuerzas y Cuerpos de Seguridad o ante la AEPD. Si el acoso forma parte de una situación de violencia contra las mujeres, el 016 es gratuito, confidencial y está disponible las 24 horas. Si sientes que tu seguridad está en riesgo, el número de emergencias es el 112, al que el propio 016 deriva las llamadas urgentes; este recurso no ofrece asesoramiento legal ni psicológico.

Por qué te importa: Un registro convierte un momento que asusta en pruebas con las que plataformas, servicios de ayuda y policía pueden actuar. Pedir ayuda pronto es sensato, no exagerado.

C. Un ejemplo concreto: la semana del congreso de Elena

Elena tiene 35 años y trabaja en marketing en Sevilla. Después de participar en una mesa redonda sobre publicidad y datos, en un foro público se abre un hilo encendido sobre su intervención. Casi todo son desacuerdos normales. Luego, una cuenta que no conoce publica el nombre de la cafetería cercana a su piso donde suele trabajar los sábados por la mañana, y pregunta si «estará también esta semana».

Elena nunca había nombrado esa cafetería en internet. Sintió inquietud, algo comprensible, y no contestó. Hizo capturas de la publicación con la dirección de la página y la fecha, la notificó al foro y por la noche intentó entender cómo la habían encontrado.

Qué cambió cuando Elena rastreó los detalles

Hizo el ejercicio de la sección D, con calma y sin culparse:

• Su nombre de usuario en el foro era el mismo que en una cuenta de fotos, donde una imagen de su café del sábado mostraba el escaparate de la cafetería.
• Su antiguo número de móvil aparecía en un directorio de personas y en un PDF con la lista de socios de un club de corredores que había dejado años atrás.
• Su perfil profesional, que necesita para trabajar, unía su nombre completo con su empresa y su ciudad.

Tomó cuatro decisiones. Puso privada la cuenta de fotos y le cambió el nombre de usuario. Pidió al directorio que suprimiera su entrada y escribió al club para que retirara la lista antigua. Usó «Resultados sobre ti» para pedir que se retiraran los resultados con su número, y mantuvo público su perfil profesional, porque su carrera lo necesita, pero quitó la ciudad.

Anotó todo en un registro breve. El foro retiró la publicación. No pasó nada más, pero ahora Elena sabe qué vínculos unían su voz en línea con sus sábados por la mañana.

D. Pruébalo tú: una búsqueda sobre ti y una solicitud de retirada (15 minutos)

Cuatro pasos breves. No son un examen: sirven para ver qué podría juntar una persona desconocida y quitar una pieza.

Paso 1 — Búscate como lo haría una persona desconocida (5 minutos)

• En una ventana privada, busca tu nombre y apellidos junto con tu ciudad, tu empresa o un nombre de usuario que uses. Prueba dos buscadores, por ejemplo Google y Bing.
• Busca también tu número de teléfono y tu correo, cada uno por separado.
• Anota cada resultado que muestre tu dirección, tu teléfono, tu correo, tu empresa o una foto reciente.

Paso 2 — Encuentra los vínculos entre contextos (3 minutos)

• Junto a cada resultado, apunta qué conecta: un nombre de usuario con un nombre, una foto con un lugar, un teléfono con una dirección.
• Rodea los dos vínculos que van de donde hablas con libertad a donde te conocen por tu nombre, o a donde vives.
• Son tus vínculos más fuertes y los primeros que conviene aflojar.

Paso 3 — Haz una solicitud de retirada (5 minutos)

Elige un resultado, solo uno, y una vía:

• En la fuente: si una web o un directorio muestra tus datos, usa su formulario de contacto o de retirada, o escribe a quien la gestiona pidiendo la supresión. Puedes mencionar tu derecho de supresión según el RGPD; la AEPD indica que el plazo de respuesta es de un mes.
• En los resultados de búsqueda: donde está disponible, «Resultados sobre ti» de Google permite pedir que se retiren resultados con tu teléfono, tu dirección o tu correo. Bing también tiene una vía para notificar un problema, aunque Microsoft advierte que solo retira resultados en un conjunto limitado de circunstancias.
• En tus propias cuentas: borra una publicación antigua, pon privada una cuenta o cambia un nombre de usuario repetido.

Paso 4 — Empieza un registro sencillo (2 minutos)

• Crea una nota breve con la fecha, lo que encontraste, la solicitud que hiciste y dónde.
• Deja una línea para cada respuesta y un recordatorio para repetir la búsqueda dentro de un mes.
• Si alguna vez notas una primera señal, ahí van las capturas y las fechas.

Una solicitud de retirada que de verdad has enviado vale más que una lista de cosas que quizá borres algún día.

Ya tratado en el curso Privacidad en línea

Spear phishing: por qué un mensaje falso sabe tanto de ti
Explica cómo se usan los datos que se encuentran de ti y las filtraciones antiguas para escribir mensajes fraudulentos creíbles, con una comprobación de brechas; este recurso mira cómo esos mismos datos se juntan para exponer o intimidar a una persona, y cómo retirar algunos.

E. Vídeos, artículos y otros recursos

Fuentes españolas, herramientas del ejercicio y servicios de ayuda.

Fuentes institucionales españolas

INCIBE — No, INCIBE no ha sido víctima de un ciberataque. ¿Qué es el doxing y cómo INCIBE se ha visto afectado por esta práctica?
Qué es el doxing, por qué suele basarse en datos antiguos agregados y qué hacer si publican los tuyos. Febrero de 2026.
https://www.incibe.es/ciudadania/blog/no-incibe-no-ha-sido-victima-de-un-ciberataque-que-es-el-doxing-y-como-incibe-se-ha

INCIBE — Doxing (infografía)
Riesgos, hábitos de prevención y tres pasos si te ocurre: guardar, bloquear, denunciar.
https://www.incibe.es/sites/default/files/docs/infografia-doxing-practica-revelar-informacion-terceros.pdf

AEPD — Derecho de supresión («al olvido»): buscadores de internet
Cómo pedir a un buscador que deje de mostrar enlaces con tu nombre, la ponderación caso por caso y la reclamación ante la AEPD.
https://www.aepd.es/areas-de-actuacion/internet-y-redes-sociales/derecho-al-olvido

AEPD — ¿Cuál es el plazo para responder cuando se ejercitan estos derechos?
Un mes desde la solicitud, prorrogable dos meses más en caso necesario.
https://www.aepd.es/es/preguntas-frecuentes/1-tus-derechos/FAQ-0106-cual-es-el-plazo-para-responder-cuando-se-ejercitan-estos-derechos

Herramientas y documentación de las plataformas

Ayuda de Búsqueda de Google — Find and remove personal info in Google Search results
Cómo «Resultados sobre ti» («Results about you») encuentra tu teléfono, dirección o correo en los resultados y permite pedir su retirada. Página mostrada en inglés.
https://support.google.com/websearch/answer/12719076?hl=es

Soporte técnico de Microsoft — How to report a concern or contact Bing
Cómo notificar un resultado a Bing y por qué la página sigue en línea. En inglés.
https://support.microsoft.com/en-gb/topic/how-to-report-a-concern-or-contact-bing-1831f0fe-3c4d-46ae-8e57-16c487715729

Servicios de ayuda

INCIBE — FAQ Tu Ayuda en Ciberseguridad
Qué es el 017, horario, a quién atiende y por qué no es un canal de denuncia.
https://www.incibe.es/index.php/linea-de-ayuda-en-ciberseguridad/faq

La Moncloa (Ministerio de Igualdad) — Teléfono 016: ¿qué es y cómo funciona?
El servicio gratuito y confidencial de atención a la violencia contra las mujeres, disponible las 24 horas. Abril de 2026.
https://www.lamoncloa.gob.es/serviciosdeprensa/notasprensa/igualdad/Paginas/2026/telefono-016-que-es.aspx

Enlaces comprobados en noviembre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se apoya en el pilar Comportamiento Seguro, en el nivel FL2 – Iniciado: convertir lo que sabes de tus datos localizables en unos pocos hábitos tranquilos y repetibles.

Competencias

• Buscarte como lo haría una persona desconocida, en más de un buscador.
• Enviar una solicitud de supresión a una web o de retirada a un buscador.
• Llevar un registro con fechas de lo que encontraste y de lo que pediste.

Conciencia

• Entender el doxing como una unión de puntos públicos, no como un ataque técnico.
• Reconocer las primeras señales, sin tomar una sola como prueba.
• Saber que quitar un resultado del buscador no lo quita de internet.

Comportamiento Seguro

• Mantener el nombre de usuario, la foto y el correo con los que hablas con libertad separados de los que llevan tu nombre.
• Repetir de vez en cuando la búsqueda sobre ti y retirar un dato que ya no necesitas a la vista.
• Guardar pruebas y denunciar pronto, y pedir ayuda en lugar de cargar con todo en solitario.

G. Preguntas para detenerte a pensar

• ¿Qué dato concreto, si lo encontrara una persona desconocida, uniría más directamente tu voz en línea con el lugar donde vives o trabajas?
• ¿Qué datos públicos tuyos mantienes porque los necesitas y cuáles solo porque nunca se retiraron?
• Si le pasara a alguien que conoces, ¿qué querrías que supiera primero: que no es culpa suya o dónde pedir ayuda?

H. Qué hacer ahora: cómo protegerte del doxing en el día a día

Las recomendaciones (R) y las medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican más directamente a este tema.

1. Menos puntos que recoger

• MS12 — Busca tu número de teléfono en internet y pide a las webs que lo muestran que lo retiren: el teléfono es uno de los datos que más directamente unen una identidad en línea con una persona.
• MS6 — Pon privadas las cuentas de redes sociales en las que no necesitas público, para que tus fotos y etiquetas lleguen a quien elegiste.

Compromiso mínimo: esta semana, busca tu número de teléfono y envía una solicitud de retirada para un resultado que no esperabas.

2. Menos vínculos entre los puntos

• R23 — Seguir solo a personas conocidas en redes sociales: tu círculo decide quién te ve, para que lo que compartes con tus contactos no llegue a quien recoge datos sobre ti.
• Usa un nombre de usuario, una foto de perfil y un correo distintos donde quieras hablar con libertad, para que esas cuentas no se unan a tu nombre.

Compromiso mínimo: elige una cuenta en la que hables con libertad y comprueba que su nombre de usuario y su foto no coinciden con los de una cuenta con tu nombre real.

En breve

• Cómo protegerte del doxing empieza por ver tus datos como puntos que una persona desconocida podría unir, no como secretos que esconder.
• Los vínculos más fuertes cruzan contextos: el mismo nombre de usuario, foto, correo o teléfono en partes distintas de tu vida.
• Las solicitudes de supresión en la fuente y de retirada en los buscadores reducen la exposición; no borran todas las copias.
• Si ocurre, guarda pruebas, denuncia y pide ayuda. Nunca es culpa de la persona a la que señalan.

Recursos relacionados en este curso

• Borrar los metadatos de una foto antes de compartirla: guía
• Enviar copia del DNI: manda solo lo que hace falta
• Datos que te identifican en internet: qué compartir y con quién

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.