Qué oculta una VPN y qué no: confianza y cómo elegir proveedor

Recurso complementario de la lección “Introducción a las VPN: proteger la privacidad y la seguridad en línea” — curso Privacidad online

¿Qué oculta una VPN? Menos de lo que sugiere la publicidad, aunque no es poco. Puede mantener tu navegación fuera de la vista de la red a la que te conectas y de tu operador de internet, pero entrega esa vista a la empresa que gestiona la VPN (en inglés, virtual private network, es decir, «red privada virtual»). Este recurso te ayuda a decidir si te hace falta una y en quién confiarías.

A. Por qué importa

A una VPN se la presenta a menudo como un interruptor único de la privacidad: lo activas y desapareces. En la práctica, te protege frente a unos observadores y no frente a otros, y añade uno nuevo: la empresa que la gestiona. Por eso conviene mirarla con una pregunta precisa y no con una promesa.

En este curso, privacidad significa tres preguntas: qué se sabe de ti, quién lo sabe y qué decides dar a conocer. Una VPN cambia el «quién», no la cantidad de cosas que se saben. Entender qué oculta una VPN, y a quién, la convierte de un producto que te venden en una herramienta que eliges.

Qué dicen las fuentes

INCIBE, en su sección para la ciudadanía, advierte de que las redes wifi públicas suelen carecer de medidas de seguridad suficientes y aconseja: «Utiliza una red privada virtual (VPN) para así forzar el cifrado de tu conexión y proteger tus datos.» En un artículo de diciembre de 2022, la OCU coincide en recomendarla en esas redes y explica el mecanismo: la VPN cifra las comunicaciones entre tu dispositivo y su servidor, de modo que tu operador de internet ve que usas una VPN, pero no a qué páginas accedes.

Estas fuentes también ponen límites. Según la OCU, una VPN no impide que las webs usen rastreadores y cookies para mostrar anuncios ni te protege del phishing (mensajes falsos que intentan engañarte para que entregues tus datos), y quien la usa se queda con una decisión de confianza: «lo que has hecho es confiar la seguridad de tu conexión a una empresa propietaria de la VPN». El artículo de INCIBE sobre VPN gratuitas y de pago añade que algunas se financian recopilando y vendiendo datos de sus usuarios, y recomienda leer su política de privacidad.

Maldita.es, un medio especializado en verificación, coincide en que el proveedor, al actuar de intermediario, puede guardar información sobre tu navegación, y aconseja investigar quién ofrece la VPN, cuáles son sus condiciones y qué permisos pide. Por último, la Agencia Española de Protección de Datos (AEPD) recuerda que quien trata tus datos debe informarte de quién es, para qué los usa, durante cuánto tiempo los conserva y a quién los comunica: es la información que conviene buscar en el proveedor de una VPN.

B. Conceptos clave

Cinco ideas que responden a una pregunta: qué oculta una VPN y a quién.

El túnel cifrado: qué oculta y a quién

Una VPN crea una conexión cifrada entre tu dispositivo y un servidor del proveedor del servicio. Tu tráfico pasa primero por ahí y después llega a las webs que usas, que ven la dirección IP del servidor (la «matrícula» con la que tu conexión se presenta en internet) en lugar de la tuya. La red local, como el wifi de un hotel o de una cafetería, y tu operador de internet dejan de ver con detalle adónde vas y pasan a ver, sobre todo, una conexión hacia ese servidor.

Por qué te importa: El túnel cubre un solo tramo: el que va de tu dispositivo al servidor de la VPN. Si te preocupa la red que te rodea o tu operador, la VPN responde a eso de forma directa; por eso conviene ponerle nombre antes a tu preocupación.

Lo que no oculta

Una VPN no te oculta ante los servicios en los que inicias sesión. Tu correo, tu red social y tu buscador saben que eres tú, aparezca la dirección IP que aparezca, porque has entrado con tu cuenta. Maldita.es lo resume señalando que iniciar sesión en redes sociales o tiendas en línea deja rastro. Tampoco frena las cookies, que una web guarda en tu dispositivo para reconocerte, ni el fingerprinting, que la AEPD describe como «técnicas de toma de la huella digital del dispositivo»: el reconocimiento de tu navegador por su combinación de ajustes.

Por qué te importa: Buena parte de lo que se sabe de ti en internet lo saben los servicios que usas, no la red desde la que los usas. La VPN no cambia esa capa.

Confianza trasladada, no eliminada

Quien gestiona el servidor de la VPN puede ver a qué webs te conectas y cuándo, en lugar de la red local y de tu operador: tu tráfico tiene que pasar por ahí para llegar a su destino. La información no desaparece, cambia de manos. Cuánto puede conservar el proveedor depende del servicio y de lo que declare.

Por qué te importa: Estás eligiendo qué empresa tiene la vista sobre tu navegación, así que pesa más cómo se comporta el proveedor que lo rápida que sea la conexión.

Cómo se paga una VPN «gratuita»

Un servicio gratuito se financia de algún modo. Según INCIBE, las VPN gratuitas dependen de la publicidad y de los datos de sus usuarios, y la OCU recuerda que traen limitaciones de países, de datos y de funciones. En el móvil, además, la app puede pedir permisos, como los contactos o la ubicación, y Maldita.es aconseja fijarse en ellos. Como criterio de este curso, si no hacen falta para transportar tu tráfico, es razonable preguntarse por qué los pide.

Por qué te importa: Una app de VPN pagada con tus datos puede ver más que la red de la que querías esconderte. «¿Quién paga por este servicio y para qué quiere este permiso?» son preguntas de privacidad.

Promesas sobre registros, auditorías y jurisdicción

Un registro, o «log», es el historial que un proveedor guarda de tus conexiones o de tu actividad. INCIBE incluye entre los criterios para elegir que la VPN no almacene registros de tu actividad. Ahora bien, «no guardamos registros» es una declaración, no una garantía: lo prudente es buscarla por escrito en sus documentos. Las fuentes consultadas no detallan otros criterios; como orientación de este curso, también puedes mirar si hay una auditoría, es decir, una revisión por una empresa independiente (mejor si su informe es público y reciente), y en qué país tiene su sede la empresa, porque las leyes de ese país pueden alcanzarla. Maldita.es sugiere, por ejemplo, fijarse en que los servidores estén en Europa por las garantías de protección de datos de la UE.

Por qué te importa: Lo que declara el proveedor, si alguien lo ha comprobado y qué leyes le afectan se revisa en sus propios documentos. Si no encuentras respuesta, esa falta ya es una información.

C. Un ejemplo concreto: el wifi del hotel de Luca

Luca, un personaje inventado, tiene 36 años, vive en Madrid y viaja a menudo. En un hotel en el extranjero, la página de acceso al wifi le dio mala espina, así que instaló la primera VPN gratuita que encontró en la tienda de aplicaciones de su móvil, cuya descripción prometía «anonimato total». La app le pidió acceso a los contactos y a la ubicación y tocó «Permitir»: al fin y al cabo era una app de privacidad. Esa noche consultó su banca en línea, publicó una foto y buscó restaurante, con la sensación de ser invisible.

Nada de lo que hizo Luca era descabellado, pero «invisible» no era del todo cierto. Su banco, su red social y su buscador sabían que era él, porque había iniciado sesión. La red del hotel ya no veía qué webs visitaba, pero la empresa de la VPN sí podía verlas. Y Luca no sabía quién era esa empresa, cómo ganaba dinero ni para qué quería sus contactos.

Qué cambió cuando Luca volvió a mirar

De vuelta en casa, Luca hizo el ejercicio de la sección D, con curiosidad y sin dramatismo:

• Escribió qué quería de verdad: que su navegación no pasara por las redes de hoteles y aeropuertos, no que quedara oculta ante su banco.
• La política de privacidad de la app gratuita permitía compartir datos de uso con socios y no descartaba guardar registros; no encontró ninguna auditoría independiente.
• Retiró los permisos y desinstaló la app.

Tomó una decisión: antes del próximo viaje compararía dos o tres proveedores con las mismas cinco preguntas y, mientras tanto, para las gestiones delicadas fuera de casa usaría los datos móviles. Ni una VPN por costumbre ni el rechazo a las VPN por principio, sino una elección que sabe explicar.

D. Pruébalo tú: revisa una VPN antes de elegirla (15 minutos)

Cuatro pasos breves. No necesitas una VPN para hacerlos: «no me hace falta» es un resultado válido.

Paso 1 — Pon nombre a lo que quieres ocultar y a quién (3 minutos)

• Escribe una frase: «Quiero que ___ no llegue a ___».
• Si el segundo hueco es la red local o tu operador de internet, una VPN puede ayudar. Si son los servicios en los que inicias sesión o los anunciantes, mira mejor los ajustes de tu cuenta y de tu navegador.
• Si no consigues completar la frase, quizá no te haga falta una VPN.

Paso 2 — Mira qué hay ya en tu móvil (3 minutos)

• En Android, lo habitual es poder buscar «VPN» en la app Ajustes; en el iPhone, el buscador de Ajustes suele servir también. El nombre exacto de los menús varía según el fabricante y la versión.
• Busca apps o perfiles de VPN que ya no uses o que no reconozcas.
• En cada app de VPN que conserves, comprueba si cada permiso tiene sentido para una herramienta que solo debe transportar tu tráfico.

Paso 3 — Hazle cinco preguntas a un proveedor (6 minutos)

Para saber cómo elegir una VPN, toma la que usas o la que estás valorando, abre su política de privacidad y su web, y busca las respuestas. Son preguntas de este curso, no una lista oficial:

1. ¿Qué dice que registra de tus conexiones y de tu actividad? ¿Descarta por escrito guardar registros?
2. ¿Una empresa independiente ha auditado el servicio? ¿El informe es público? ¿Cuándo se hizo?
3. ¿En qué país tiene su sede la empresa y dónde opera?
4. ¿Cómo se financia: con suscripción, con un plan gratuito limitado o con publicidad y datos?
5. ¿Comparte datos con «socios» o con terceros? ¿Para qué?

Donde no encuentres nada, escribe «no encontrado». También es una respuesta.

Paso 4 — Toma una decisión (3 minutos)

• Conservarla: el proveedor ha respondido lo bastante bien y cubre la preocupación del paso 1.
• Sustituirla: la preocupación es real, pero este proveedor no te ha convencido.
• Eliminarla: no necesitas una VPN para tu preocupación, o ya no usas esta.

Una decisión que sabes explicar vale más que una VPN activada por costumbre.

Ya tratado en el curso Seguridad en línea

Una VPN en el router de casa: qué hace y qué no
Trata la VPN en el router para los dispositivos de casa y ya plantea las preguntas de confianza, de qué ve tu operador y de lo que una VPN no frena; este recurso añade las apps de VPN en el móvil, sus permisos y la revisión de un proveedor concreto.

E. Vídeos, artículos y otros recursos

Fuentes institucionales y de consumo, y una fuente periodística. Todas en español.

Fuentes institucionales españolas

INCIBE — ¿Gratis o de pago? Todo lo que debes saber sobre las VPN
Qué hace una VPN, cómo se financian las gratuitas y qué mirar al elegir una (22/10/2025).
https://www.incibe.es/ciudadania/blog/gratis-o-de-pago-todo-lo-que-debes-saber-sobre-las-vpn

INCIBE — Redes Wi-Fi públicas o abiertas
Por qué las redes abiertas suelen estar poco protegidas y qué papel tiene una VPN.
https://www.incibe.es/node/506666

AEPD — Derecho de información
Qué debe contarte quien trata tus datos: quién es, para qué, cuánto tiempo, a quién los comunica; dónde buscarlo en una política de privacidad.
https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-informacion

AEPD — Guía sobre el uso de las cookies
Qué son las cookies y el fingerprinting, rastreos que una VPN no cambia (edición de mayo de 2024).
https://www.aepd.es/guias/guia-cookies.pdf

Consumo y periodismo

OCU — VPN: qué es y para qué sirve
Qué oculta una VPN a tu operador, qué no impide y qué implica confiar en su empresa (9/12/2022).
https://www.ocu.org/tecnologia/routers/informe/vpn-funcionamiento

Maldita.es — Cómo funcionan las VPN y qué debes tener en cuenta antes de instalar una para mejorar tu privacidad en internet
Qué oculta una VPN, qué rastro dejan las cuentas en las que entras y qué investigar del proveedor (actualizado el 21/7/2023).
https://maldita.es/malditatecnologia/20230721/funcionan-vpn-tener-en-cuenta-instalar-mejorar-privacidad-internet/

Enlaces comprobados en octubre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se apoya en el pilar Competencias, en el nivel FL2 – Iniciado: juzgar una herramienta por lo que hace y no por lo que promete.

Competencias

• Saber quién puede ver tu tráfico en una red determinada, con VPN y sin ella.
• Leer la política de privacidad de un proveedor buscando registros, cesión de datos y financiación.
• Localizar los ajustes de VPN y los permisos de las apps de VPN en tu móvil.

Conciencia

• Entender que una VPN cambia quién puede ver tu tráfico, no que lo oculte ante todo el mundo.
• Saber que una VPN no te oculta ante los servicios en los que inicias sesión, ni ante las cookies y el fingerprinting.
• Reconocer que una VPN «gratuita» se financia de algún modo, y que la respuesta importa.

Comportamiento Seguro

• Usar una VPN por un motivo que sepas nombrar, no por costumbre.
• Elegir un proveedor cuyas declaraciones hayas comprobado; eliminar las apps de VPN que no uses.
• Reservar las gestiones delicadas para conexiones de confianza, con HTTPS, con VPN o sin ella.

G. Preguntas para detenerte a pensar

• ¿A quién confiarías con más gusto la lista de webs que visitas: a tu operador de internet, a la red de un hotel o a una empresa de VPN?
• ¿Qué debería mostrarte un proveedor de VPN para que confiaras en él?
• De las cosas que más quieres mantener privadas, ¿cuáles conocen ya los servicios en los que inicias sesión, donde una VPN no cambia nada?

H. Qué hacer ahora

Las recomendaciones (R) y medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican más directamente a este tema.

1. Antes de buscar una VPN

• R9 — Conectarse solo con HTTPS: el sobre cerrado de la web: protege lo que envías a una web en cualquier red, con VPN o sin ella.
• R13 — Revisar los permisos de las aplicaciones: quién puede hacer qué: una app de VPN ya puede ver tu tráfico, así que conviene revisar con cuidado el resto de sus permisos.
• R22 — Eliminar las apps que no usas: menos puertas abiertas en tu móvil, incluidas las apps de VPN instaladas para un solo viaje.

Compromiso mínimo: hoy, completa la frase del paso 1: «Quiero que ___ no llegue a ___».

2. Si decides que una VPN es para ti

• R11 — VPN para el tráfico confidencial: cuándo sirve de verdad, en las redes en las que no confías y con un proveedor revisado con las cinco preguntas del paso 3.
• MS10 — Una VPN en el router: cubre a la vez los dispositivos de casa, pero es un paso más avanzado, para cuando ya tengas un proveedor de confianza (consulta el recurso de Seguridad en línea de más arriba).

Compromiso mínimo: antes de instalar o renovar una VPN, comprueba una cosa en su política de privacidad: si descarta por escrito guardar registros.

En breve

• ¿Qué oculta una VPN? Tu navegación, a la red local y a tu operador de internet, y tu dirección IP a las webs que visitas.
• No te oculta ante los servicios en los que inicias sesión, ni ante las cookies y el fingerprinting, y no garantiza el anonimato.
• Una VPN traslada la confianza al proveedor: sus registros, auditorías, financiación y jurisdicción son lo que eliges de verdad.
• «No me hace falta» puede ser una respuesta informada. «Esta, por este motivo» también.

Recursos relacionados en este curso

• Privacidad en el wifi público: qué sabe de ti una red abierta
• Wifi público con contraseña: qué protege de verdad
• ¿Qué es HTTPS? Lo que te dice el candado y lo que no
• ¿Qué puede ver mi proveedor de internet? Privacidad en casa

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.