← La máquina de atención

Publicidad y vigilancia

Las plataformas son gratis. El producto eres tú, en un sentido más concreto del que la frase suele sugerir.

Cómo leer esta página. Toca cualquier palabra subrayada para ver el término académico preciso y una definición breve. Abre cualquier recuadro “Más a fondo” para ver la evidencia y los puntos en disputa. El texto principal se sostiene solo: puedes saltarte las dos cosas y aun así entender todo el argumento.

Cómo empezó

DoubleClick se fundó en 1996 y empezó a rastrear a los usuarios de un sitio web a otro mediante cookies: el primer perfilado conductual a gran escala de usuarios de internet con fines comerciales. En 1999 compró Abacus Direct, un data broker (empresa que compra y vende datos personales) que operaba fuera de línea, con registros de compras reales de consumidores. Los defensores de la privacidad dieron la alarma de inmediato: combinar la navegación anónima en línea con un historial de compras que permitía identificar a las personas crearía algo cualitativamente nuevo. La FTC investigó y cerró el expediente en 2001 sin tomar ninguna medida, aunque aclaró que cerrarlo no equivalía a concluir que se había cumplido la ley.

Google anunció la compra de DoubleClick en 2007 y la completó en 2008. En 2009 lanzó la publicidad basada en intereses, que perfilaba cada navegador según los sitios que visitaba. Durante siete años, Google mantuvo ese historial de navegación separado de los nombres de las cuentas de sus usuarios; en 2016 abandonó discretamente esa promesa: justo la combinación de comportamiento en línea e identidad sobre la que los defensores habían advertido en 1999. La preocupación quedó documentada, se investigó y luego se dejó de lado. La industria creció.

Real-time bidding: la subasta que nunca ves

Cuando visitas un sitio web, se realiza una subasta en lo que tarda en cargar la página: normalmente 100 milisegundos. Tu perfil de comportamiento se transmite a decenas de empresas de publicidad al mismo tiempo. Esas empresas pujan por el derecho a mostrarte un anuncio. Aparece el anuncio de la que gana. La subasta termina antes de que acabes de leer el titular.

Este sistema se llama real-time bidding (puja en tiempo real, RTB). Según una investigación del Consejo Irlandés para las Libertades Civiles (ICCL), los datos del usuario promedio de internet en la UE se transmiten a anunciantes, según sus estimaciones, 376 veces al día. En Estados Unidos, la estimación es de 747 veces al día. No solo a quien gana la puja. A todos los que pujan: cualquier empresa que recibe la transmisión puede guardar una copia de los datos de tu perfil, gane o no la subasta, y nada en el sistema se lo impide.

En 2022, la Autoridad de Protección de Datos de Bélgica concluyó que el propio marco de consentimiento de la industria publicitaria para el RTB infringe el Reglamento general de protección de datos (RGPD; GDPR), y en 2024 el Tribunal de Justicia de la Unión Europea, a partir de cuestiones planteadas por un tribunal belga, confirmó partes clave de ese razonamiento. El sistema sigue funcionando.

Qué contiene el perfil

Los datos que se transmiten en una subasta de RTB suelen incluir tu ubicación aproximada, el dispositivo que usas, la hora y la fecha, el sitio que visitas y, sobre todo, tus características inferidas. No son hechos sobre ti. Son inferencias sacadas de tu comportamiento en miles de sitios a lo largo de meses y años: tu probable nivel de ingresos, tus preocupaciones de salud, tus inclinaciones políticas, tu situación sentimental, tus ansiedades.

Shoshana Zuboff, en The Age of Surveillance Capitalism (2019), lo describe como una reorientación fundamental de la lógica económica de internet: la experiencia humana es materia prima, que se procesa para convertirla en productos de predicción del comportamiento y se vende a quien pague. El producto no es la plataforma. El producto eres tú; más exactamente, el modelo que predice lo que harás a continuación.

Device fingerprinting: la vigilancia que sobrevive

Casi todo el mundo conoce las cookies, y las borra o acepta los avisos de cookies. El device fingerprinting (huella digital del dispositivo) es distinto. Identifica tu dispositivo combinando decenas de características técnicas —la versión de tu navegador, la resolución de la pantalla, las fuentes instaladas, el comportamiento de la tarjeta gráfica, la zona horaria, la configuración de idioma— en un identificador único que no necesita guardar nada en tu dispositivo.

El fingerprinting se basa en señales que no puedes eliminar con facilidad, así que borrar las cookies no lo detiene, y a los navegadores les cuesta más bloquearlo. Persiste de una sesión a otra y, combinado con otros identificadores, puede vincular entre sí los rastros de tu navegación.

En 2024, Google abandonó su plan, anunciado desde hacía tiempo, de eliminar poco a poco las cookies de terceros en Chrome, el mecanismo de rastreo que llevaba años bajo presión del público y de los reguladores. Por otra parte, desde febrero de 2025 dejó de prohibir el fingerprinting a las empresas que usan sus productos publicitarios, un cambio que el regulador de datos del Reino Unido calificó de “irresponsable”. La respuesta de la industria a la presión para retirar un mecanismo de vigilancia fue conservarlo y permitir otro más potente a su lado.

Cambridge Analytica: lo que esto hace posible

En 2014 y 2015, los datos de hasta 87 millones de perfiles de Facebook se recolectaron sin consentimiento a través de una aplicación de cuestionarios y se entregaron a Cambridge Analytica, que los usó en su trabajo para campañas políticas de Estados Unidos durante el ciclo electoral de 2016. La recolección y la entrega son hechos confirmados, documentados en la propia comunicación de Facebook y en el testimonio ante el Congreso (2018), en la orden de la Comisión Federal de Comercio de EE. UU. contra Cambridge Analytica (2019) y en la investigación del Comisionado de Información del Reino Unido. Si los datos sirvieron para la elección presidencial de 2016 es menos seguro: la carta del Comisionado dice que se entiende que parte de ellos se usó en campañas políticas, “incluida (se sospecha) la elección presidencial de 2016 en EE. UU.”, pero que, con la evidencia examinada, “no ha sido posible determinar” qué datos se usaron en una parte concreta de una campaña.

El referéndum del Brexit es una historia aparte y más limitada. La Oficina del Comisionado de Información del Reino Unido (ICO) investigó y concluyó en octubre de 2020 que Cambridge Analytica no participó en el referéndum más allá de unas consultas iniciales, y que los datos de Facebook recolectados, que correspondían a votantes registrados en Estados Unidos, no pudieron haberse usado en él. Lo señalamos precisamente porque la credibilidad de este sitio depende de no exagerar ni siquiera una afirmación que nos convenga.

El efecto de esa segmentación en los resultados electorales está genuinamente en disputa entre los politólogos: la afirmación de que Cambridge Analytica decidió los resultados no está bien respaldada. Lo que no está en disputa es que la infraestructura existía y se usó, y que las reglas vigentes entonces hicieron poco por impedirlo: el regulador británico multó después a Facebook con £500,000, el máximo que permitía la ley anterior al RGPD, y el acuerdo de 5 mil millones de dólares de la FTC con Facebook llegó en 2019. El marco de protección de datos más sólido vino después.

Qué puedes hacer

Ninguna acción individual derrota al sistema de RTB: funciona en el nivel de la infraestructura, y la respuesta que está a la altura de su escala es estructural. Las defensas parciales que sí ayudan están reunidas en un solo lugar, para que sigan al día: Qué hacer para las acciones, Herramientas y sitios para las herramientas concretas. Y para ver lo que tu navegador revela ahora mismo, la demo de Tracking & Targeting te lo muestra en vivo.

Cómo lo sabemos: las cifras del RTB, las resoluciones sobre el RGPD (GDPR) y lo que está en disputa sobre Cambridge Analytica +

Las cifras diarias de 376 (UE) y 747 (EE. UU.) provienen del análisis del ICCL sobre datos de la industria acerca de cuántas veces se transmite el perfil de un usuario típico en subastas de RTB. Miden la frecuencia de transmisión, no un mal uso comprobado; pero el argumento se sostiene: cualquier participante que recibe una transmisión puede guardar una copia, gane o no, así que los datos se extienden mucho más allá de una sola transacción.

La situación legal. La Autoridad de Protección de Datos de Bélgica concluyó que el Transparency and Consent Framework de IAB Europe —la capa de consentimiento en la que se apoya buena parte del RTB— infringía el RGPD (Decisión 21/2022). Tras la remisión del caso, el Tribunal de Justicia de la UE (asunto C-604/22, 2024) confirmó partes clave de ese razonamiento, entre ellas que un “TC String” puede ser un dato personal. Aun así, el sistema sigue funcionando mientras se rehace el marco.

Cambridge Analytica: sin ir más allá de lo comprobado. Confirmado: la recolección de hasta 87 millones de perfiles, su entrega a Cambridge Analytica y el uso que esta les dio en su trabajo político en Estados Unidos, y la debilidad de las reglas vigentes entonces. En disputa: si la segmentación cambió los resultados electorales; los politólogos dudan de que la microsegmentación (micro-targeting) tenga el poder de persuasión decisivo que a menudo se le atribuye. Refutado: la afirmación común de que Cambridge Analytica inclinó el Brexit; la investigación de la ICO del Reino Unido concluyó que los datos recolectados de votantes estadounidenses no pudieron haberse usado en el referéndum. Mantenemos separadas estas tres categorías a propósito.

Míralo en vivo: demo de Tracking & Targeting →
Míralo en vivo: Combinación de datos →
Leyes y regulación: RGPD →
Digital Services Act →