Vigilancia masiva: quién recoge tus datos y cómo lo hace

Recurso complementario de la lección “Vigilancia masiva: actores, métodos e implicaciones” — curso Anonimato online

La vigilancia masiva suena a película de espías, pero casi toda se construye con registros corrientes: los rastros que móviles, redes, apps y cámaras generan de todos modos, reunidos en bloque por organizaciones con las que quizá nunca has tratado. Este recurso explica con calma quién recoge datos a gran escala, con qué métodos y dentro de qué límites legales, para que puedas valorar cuánto anonimato necesita tu vida.

A. Por qué importa

En este curso, la privacidad es decidir qué saben los demás de ti, y el anonimato es poder actuar sin que lo que haces se vincule con quién eres. Una investigación dirigida parte de una persona y busca sus datos. La recogida masiva funciona al revés: reúne datos de muchas personas, casi todas sin sospecha alguna, y los consulta después.

Por eso el tema encaja en este curso: los datos recogidos en bloque se vuelven reveladores cuando se pueden vincular, como un número de teléfono con un nombre o una cara con un perfil. Conocer a los actores te muestra qué vínculos existen en tu vida.

Nada de esto significa que alguien te esté observando. Mucha recogida es lícita y supervisada; otra no lo es, y los tribunales lo han dicho. El objetivo es cambiar una inquietud difusa por una imagen clara.

Qué dicen las fuentes

Una ficha en inglés de la Secretaría del Tribunal Europeo de Derechos Humanos (TEDH) y de la Agencia de los Derechos Fundamentales de la UE (FRA), que resume la jurisprudencia sin vincular al Tribunal, describe la vigilancia masiva como los sistemas que recogen a gran escala información de las comunicaciones electrónicas. Al resumir al Tribunal de Justicia de la UE (TJUE), recuerda que los datos de tráfico y de localización, en conjunto, pueden permitir conclusiones muy precisas sobre la vida privada.

La Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos, en un informe de 2022, advierte de que «es probable que la vigilancia indiscriminada tenga un importante efecto disuasorio en la libertad de expresión». También describe a gobiernos que obtienen datos «adquiriendo información de corredores de datos y otras empresas que recogen y venden datos personales», y añade: «Tales prácticas pueden eludir restricciones y salvaguardias procesales cruciales».

Las autoridades también han actuado sobre el mercado de datos. En 2021, la Agencia Española de Protección de Datos (AEPD) multó a una empresa de información sobre solvencia que había incorporado a un fichero datos de presuntas deudas «publicados a través de boletines o diarios oficiales» para notificar resoluciones, y le prohibió seguir tratándolos. En Estados Unidos, la Comisión Federal de Comercio (FTC) acusó a dos empresas de usar datos de localización sin un consentimiento verificable, también para usos gubernamentales.

B. Conceptos clave

Seis ideas: quién recoge, cómo y qué pide la ley a cambio.

Recogida masiva y vigilancia dirigida

La vigilancia dirigida afecta a una persona o a una línea concreta, normalmente con un motivo previo y una autorización. La recogida masiva reúne flujos enteros de datos, como las comunicaciones que cruzan un cable, y los filtra después.

Por qué te importa: En la recogida masiva no te seleccionan por algo que hayas hecho. Lo que decide cuánto dicen de ti esos datos es la facilidad con que se vinculan a tu identidad.

Tres tipos de actores

El primero es el Estado, origen de la vigilancia gubernamental: servicios de inteligencia y policía, conforme a las leyes nacionales. El segundo son las empresas cuyos servicios usas, que registran la actividad para hacerlos funcionar y financiarlos; a este modelo de negocio se le llama a veces capitalismo de la vigilancia. El tercero son los corredores de datos (en inglés, data brokers), empresas que no sueles conocer y que compran, combinan y revenden datos personales.

Por qué te importa: Los tres se solapan: unos datos recogidos por una empresa pueden pasar a un corredor y, más tarde, a un organismo público. Por eso «¿quién tiene mis datos?» rara vez tiene una sola respuesta.

Metadatos en bloque

El contenido es lo que dices o escribes. Los metadatos, que el Tribunal de Justicia llama datos de tráfico y de localización, son el registro que lo rodea: quién contactó con quién, cuándo, desde dónde. Según la ficha del TEDH, en la sentencia Big Brother Watch de 2021 el Tribunal consideró que estos datos pueden trazar un retrato íntimo de una persona.

Por qué te importa: Los metadatos se recogen y se consultan a gran escala con más facilidad que el contenido, y un patrón de llamadas, lugares y horas puede decir más que cualquier mensaje.

Corredores de datos y datos comprados

Los corredores reúnen datos de apps, webs y otros proveedores: a menudo la ubicación de los móviles y, a veces, datos publicados con otro fin, como en el caso de la AEPD. Según la FTC, su orden definitiva de enero de 2025 prohíbe a las dos empresas vender, revelar o usar datos de localización sensibles, salvo en casos limitados de seguridad nacional o aplicación de la ley.

Por qué te importa: Un permiso que diste a una app del tiempo puede alimentar un mercado que no elegiste. Es el actor sobre el que más influyes, con los permisos que concedes.

Cámaras y reconocimiento facial

Una cámara graba una imagen; el reconocimiento facial puede vincularla con un nombre. Que te vean entre la multitud no es lo mismo que te identifiquen en ella.

A noviembre de 2026, el Reglamento europeo de inteligencia artificial prohíbe crear o ampliar bases de datos de reconocimiento facial mediante «la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión». Además, limita a casos muy acotados la identificación biométrica remota «en tiempo real» en espacios de acceso público con fines policiales. Estas prohibiciones se aplican desde el 2 de febrero de 2025.

Por qué te importa: Las normas sobre cómo puede asociarse una cara a una identidad cambian de un país a otro y siguen evolucionando. El recurso de esta sección sobre las protestas trata el reconocimiento en tiempo real.

Necesidad, proporcionalidad y control

En Europa, el derecho a la privacidad se apoya en el Convenio Europeo de Derechos Humanos (artículo 8) y en la Carta de los Derechos Fundamentales de la UE (artículos 7 y 8). En 2022, el TJUE reiteró que «el Derecho de la Unión se opone a una conservación generalizada e indiferenciada de los datos de tráfico y de localización», con excepciones acotadas, como una amenaza grave para la seguridad nacional «real y actual o previsible», por un tiempo limitado y bajo control independiente. En 2021, el TEDH exigió garantías de principio a fin en la interceptación masiva y concluyó que el régimen británico de entonces no tenía suficientes.

En España, a noviembre de 2026, la Constitución garantiza «el secreto de las comunicaciones» salvo resolución judicial (artículo 18.3). La Ley de Enjuiciamiento Criminal permite acordar medidas de investigación tecnológica «siempre que medie autorización judicial», sujeta a los principios de «especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad». Y los datos que conservan las operadoras «solo podrán ser cedidos para su incorporación al proceso con autorización judicial».

Un caso llegado de España muestra el peso de los vínculos. En la sentencia Ministerio Fiscal (2018), sobre el robo de una cartera y un móvil, el TJUE consideró que acceder solo a los datos que identificaban a quienes eran titulares de las tarjetas SIM usadas en ese móvil no era una injerencia grave: por sí solos, no permitían conclusiones precisas sobre su vida privada.

Por qué te importa: El derecho europeo no prohíbe toda vigilancia; pregunta si cada medida es necesaria, proporcionada y supervisada por un juez o un organismo independiente. Es un criterio útil para cualquier medida.

C. Un ejemplo concreto: el día de Luca en Barcelona

Luca tiene 36 años, vive en Madrid y viaja a menudo por trabajo. Un martes coge un tren temprano a Barcelona para una reunión y a medianoche ya está en casa. Se pregunta, entre curioso y escéptico, cuántas organizaciones podrían contar la historia de ese día, que no tiene nada de secreto.

Compra el billete en la app de la compañía ferroviaria, con su nombre. Durante el viaje, el móvil se conecta a una antena tras otra de su operadora, y una app del tiempo instalada hace meses accede a su ubicación aunque no la use. Paga la comida con tarjeta, pasa por dos estaciones con cámaras y por la noche manda a sus amigos una foto del puerto.

Qué cambió cuando Luca dibujó el mapa de los actores

Hizo el ejercicio de la sección D en el tren de vuelta:

• Encontró más de una docena de posibles poseedores de datos, en tres grupos: empresas que eligió (tren, banco, mensajería), empresas que no eligió (quien recibe datos de la app del tiempo) y organismos públicos que pueden pedir registros conforme a la ley.

• Notó que las redes guardan sobre todo metadatos, durante plazos que fijan las normas nacionales dentro de los límites que marcan los tribunales europeos; en España, la Ley 25/2007.
• Vio que la app del tiempo era el vínculo que podía cambiar en el momento, y le dejó usar la ubicación solo mientras la tiene abierta.

Se quedó con la app del tren y con la tarjeta, que forman parte de un servicio que quiere. En su modelo de amenazas personal anotó una línea: le preocupan los rastros comerciales, no una investigación, así que los permisos de las apps le importan más que herramientas pesadas.

D. Pruébalo tú: dibuja quién podría tener datos de tu día (15 minutos)

Cuatro pasos breves, en papel o en una nota. Elige un día corriente, como ayer, y apunta funciones, no secretos: «mi banco», no tu número de cuenta.

Paso 1 — Haz la lista de momentos (4 minutos)

• Apunta los momentos en que un dispositivo, un servicio o una cámara pudieron registrar algo: desplazamientos, pagos, mensajes, búsquedas, apps en segundo plano.
• Con diez o quince momentos basta.

Paso 2 — Pon nombre a los posibles poseedores (5 minutos)

Junto a cada momento, escribe quién podría tener un registro, con tres letras:

• E para una empresa que elegiste: tu banco, tu operadora, la app que abriste.
• T para un tercero que no elegiste: una red publicitaria, un corredor de datos, un socio citado en una política de privacidad.
• P para un organismo público que podría pedir o recibir ese registro según la ley de tu país.

Paso 3 — Marca contenido y metadatos (4 minutos)

• Subraya los momentos en que lo que se guarda son metadatos (hora, lugar, con quién) y no contenido.
• Rodea los momentos en que dos registros se podrían vincular con facilidad, por ejemplo con tu número de teléfono, tu tarjeta o un identificador publicitario.
• Fíjate en qué letra, E, T o P, aparece más. Es una foto, no una nota.

Paso 4 — Elige un vínculo y una pregunta (2 minutos)

• Elige un vínculo T que puedas aflojar esta semana, como el permiso de una app que ya no necesitas.
• Escribe una pregunta para tu modelo de amenazas personal: ¿a cuáles de estos actores querrías mantener a distancia, y por qué?

Ya tratado en el curso Privacidad en línea

¿Qué puede ver mi proveedor de internet? Privacidad en casa
Explica qué ve tu proveedor de tu conexión en casa, qué datos de conexión conserva por ley y qué cambia con el DNS cifrado; este recurso amplía la mirada a quién recoge datos a gran escala, con qué métodos y dentro de qué límites legales.

E. Vídeos, artículos y otros recursos

Fuentes españolas, internacionales y europeas, y un regulador estadounidense. Todo en español, salvo la ficha del TEDH y la FTC.

Fuentes españolas

AEPD — Formulario «Ejercicio del derecho de acceso»
El modelo para pedir a una empresa una copia de tus datos, para qué los usa, a quién los comunica, cuánto tiempo los guarda y de dónde los obtuvo.
https://aepd.es/media/formularios/formulario-derecho-de-acceso.pdf

AEPD — Resolución de archivo de actuaciones, expediente E/10244/2020
Recoge la sanción de 2021 a Equifax Ibérica por incorporar a un fichero de solvencia datos de deudas tomados de boletines oficiales.
https://www.aepd.es/documento/e-10244-2020.pdf

BOE — Real Decreto de 14 de septiembre de 1882 por el que se aprueba la Ley de Enjuiciamiento Criminal (texto consolidado)
Los principios y la autorización judicial que exigen las medidas de investigación tecnológica (artículos 588 bis a y 588 ter j).
https://www.boe.es/eli/es/rd/1882/09/14/(1)/con

Instituciones internacionales y europeas

Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos — El derecho a la privacidad en la era digital (A/HRC/51/17, 2022)
El informe de la ONU sobre vigilancia, cifrado y compra de datos a corredores por parte de los gobiernos.
https://digitallibrary.un.org/record/3985679/files/A_HRC_51_17-ES.pdf

Tribunal Europeo de Derechos Humanos y FRA — Joint Factsheet: Mass surveillance
Resumen, actualizado periódicamente, de las principales sentencias europeas sobre interceptación masiva y conservación de datos, incluido el caso español Ministerio Fiscal (en inglés).
https://ks.echr.coe.int/documents/d/echr-ks/mass-surveillance

Tribunal de Justicia de la Unión Europea — Comunicado de prensa n.º 156/22, asuntos acumulados C-793/19 y C-794/19 (SpaceNet y Telekom Deutschland)
Por qué el Derecho de la Unión se opone a la conservación generalizada de datos de tráfico y de localización, y qué excepciones admite.
https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-09/cp220156es.pdf

Comisión Europea, AI Act Service Desk — Artículo 5: Prácticas de IA prohibidas
El texto en español de las prácticas prohibidas, entre ellas la extracción no selectiva de imágenes faciales y la identificación biométrica remota en tiempo real.
https://ai-act-service-desk.ec.europa.eu/es/ai-act/article-5

Un regulador fuera de la UE

FTC (Estados Unidos) — FTC Finalizes Order Prohibiting Gravy Analytics, Venntel from Selling Sensitive Location Data
La orden definitiva de enero de 2025 sobre dos corredores de datos de localización y lo que prohíbe (en inglés).
https://www.ftc.gov/news-events/news/press-releases/2025/01/ftc-finalizes-order-prohibiting-gravy-analytics-venntel-selling-sensitive-location-data

Enlaces comprobados en noviembre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se apoya en el pilar Conciencia, en el nivel FL2 – Iniciado: entender quién recoge datos a gran escala antes de decidir qué vínculos aflojar.

Competencias

• Distinguir la recogida masiva de la vigilancia dirigida.
• Clasificar a quienes pueden tener tus datos en empresas elegidas, terceros y organismos públicos.
• Reconocer los metadatos de tu día y los identificadores que los vinculan contigo.

Conciencia

• Entender que unos datos recogidos para un fin pueden llegar a actores que no elegiste.
• Saber que el derecho europeo y el español piden medidas necesarias, proporcionadas y controladas por un juez o un organismo independiente.
• Ver la vigilancia como contexto para tus decisiones, no como motivo de miedo.

Comportamiento Seguro

• Conceder la ubicación y otros permisos solo a las apps que los necesitan.
• Convertir este contexto en decisiones dentro de tu modelo de amenazas personal.
• Revisar de vez en cuando tu mapa, a medida que cambian apps, hábitos y normas.

G. Preguntas para detenerte a pensar

• ¿Qué actor de tu mapa te gustaría conocer mejor, y qué le preguntarías?
• ¿Dónde cambias datos por un servicio que valoras, y dónde ya no tienes claro que el intercambio sea justo?
• Si mañana pudieras cortar un solo vínculo entre tus datos y tu nombre, ¿cuál cambiaría más las cosas para ti?

H. Qué hacer ahora

Las recomendaciones (R) y medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican más directamente aquí.

1. Lo que aportas a los flujos de datos comerciales

• R13 — Revisar los permisos de las aplicaciones: quién puede hacer qué: el permiso de ubicación de una app es una de las vías por las que los datos llegan a corredores que no elegiste.
• R12 — Desactivar el Bluetooth y la ubicación cuando no los necesitas, para que tu móvil genere menos registros de ubicación.

Compromiso mínimo: hoy, limita al tiempo de uso, o retira del todo, el acceso a la ubicación de una app que no tenga un motivo claro para conocerla.

2. Conocer las normas que te afectan

• El RGPD, el reglamento europeo de protección de datos, te reconoce el derecho de acceso. Con el formulario de la AEPD puedes pedir a una empresa de tu mapa una copia de tus datos y, si no los obtuvo de ti, «la información disponible sobre su origen»: una forma de seguir el rastro hasta un posible corredor. El modelo pide respuesta «en el plazo de un mes».
• Cuando oigas hablar de una nueva medida de vigilancia, hazte las tres preguntas europeas: ¿es necesaria?, ¿es proporcionada? y ¿quién la supervisa? Las normas varían de un país a otro y cambian con el tiempo.

Compromiso mínimo: este mes, lee la política de privacidad de una empresa marcada con E o T en tu mapa y busca con quién comparte los datos.

En breve

• La vigilancia masiva primero recoge datos de muchas personas y después selecciona; cuánto revela depende de lo fácil que sea vincular esos datos contigo.
• Los actores principales son los Estados, las empresas cuyos servicios usas y los corredores de datos, y los datos pueden pasar de unos a otros.
• En Europa, los tribunales exigen límites estrictos a la conservación generalizada de datos; en España, las medidas de investigación tecnológica requieren autorización judicial.
• Entender a los actores es el contexto de tu modelo de amenazas personal; los permisos que concedes son el vínculo que controlas más directamente.

Recursos relacionados en este curso

• Vigilancia en manifestaciones: tus derechos y tu móvil
• Censura en internet: cómo funcionan los bloqueos de webs
• Verificación de edad y anonimato: separar quién eres de dónde vas
• ¿Cuánto anonimato necesitas? Tu plan en una sola hoja

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.