Sobre la privacidad digital se afirma mucho y se demuestra poco. Unos venden pánico, otros venden productos, y ambos trabajan con cifras que nadie comprueba. Este artículo intenta lo contrario: demostrar qué envía de verdad un dispositivo, qué cambia un sistema operativo reforzado, qué no cambia, de forma expresa, y qué te cuesta en el día a día.
Por delante, el resultado incómodo: la mayor ganancia no está en el sistema operativo. Está en dos o tres decisiones que no cuestan nada y que la mayoría nunca toma.
Lo que se midió
El estudio más citado es de Douglas Leith, del Trinity College de Dublín, publicado en 2021 y revisado por pares en la conferencia SecureComm. Registró el tráfico de datos de un dispositivo Android y de un iPhone, con la telemetría desactivada y sin ninguna cuenta iniciada.
El resultado en reposo: Android envió unos 1 MB en doce horas, iOS unos 52 KB. Ambos dispositivos contactaban de media cada cuatro minutos y medio. En las dos plataformas se transmitían, entre otros datos, el IMEI, el número de serie del hardware, el número de serie de la SIM y el número de teléfono.
La honestidad exige recoger la otra parte. Google rebatió la cantidad: el investigador habría calculado mal la sobrecarga de TCP/IP, y la desviación sería de un orden de magnitud. Leith respondió que él contaba datos útiles y Google contaba también las cabeceras del protocolo. Lo decisivo es lo que en esa disputa nunca se negó: que esos datos se envían. Se discutió la cantidad, no el hecho. Apple nunca respondió a las repetidas consultas; quien afirma que Apple rechazó el estudio no tiene fuente para ello.
La objeción habitual es que la medición es de 2021. Para Android, la objeción está resuelta: Leith volvió a medir en 2025 en un Pixel 7 con Android 14, publicado en la revista Computers & Security. Resultado: cookies publicitarias, identificadores de seguimiento de clics e identificadores de dispositivo ligados a la publicidad se guardan en el dispositivo y se vuelven a enviar, con la configuración de fábrica, en reposo, sin haber abierto nunca una app de Google, sin consentimiento y sin opción de rechazo. Para iOS no hay una medición igual de reciente, porque los iPhone modernos ya no se dejan abrir para ello. Quien afirma en presente que "Android envía veinte veces más que iOS" fuerza la fuente.
Llama la atención que Google documente él mismo una parte de esto. La descripción del servicio de configuración de dispositivos Android enumera la recogida del IMEI, el número de serie, las direcciones MAC, los datos de la SIM y del operador, la dirección IP y el identificador de abonado abreviado. No prevé ninguna opción de rechazo.
La contradicción que mejor lo describe
No hace falta dramatismo, solo dos documentos uno al lado del otro.
La propia política de Google Play dispone que el ID de publicidad no puede vincularse con datos personales ni con identificadores permanentes del dispositivo como el número de serie, la dirección MAC o el IMEI. Precisamente por eso se puede restablecer.
Un estudio revisado por pares de 2023, publicado en PLOS ONE, midió en Samsung, Xiaomi, Realme y Google que un identificador de hardware de larga duración viaja en la misma conexión que el ID de publicidad restablecible. Los autores formulan la consecuencia con sobriedad: eso socava el propósito de los identificadores restablecibles. Quien restablece el ID de publicidad corta un hilo que tiene otro justo al lado.
Encaja con ello una exigencia alemana que casi nadie conoce. La oficina federal alemana de seguridad de la información (BSI) exige expresamente, en sus requisitos para fabricantes de smartphones, que si el usuario lo rechaza no se recoja, procese ni transmita ningún dato de telemetría. Lo medido fue otra cosa.
Adónde van los datos
La mayor parte de la recogida no nace en el sistema operativo, sino en las apps, y con independencia del sistema que esté instalado. Una app ejecuta código de terceros en su propio proceso, con sus permisos. Una web no lo hace.
Cuánto se genera no hay que estimarlo. En un estudio de más de 86.000 apps de la Play Store alemana, publicado en USENIX Security 2021, el 34,3 % enviaba datos personales a proveedores de publicidad antes de que hubiera consentimiento. La autoridad bávara de protección de datos examinó en 2024 apps en busca de operaciones previas a la interacción con el aviso de consentimiento y encontró operaciones sujetas a consentimiento en casi todas las apps revisadas, aunque solo revisó quince, lo que es poco para una estadística.
La reventa también está documentada, y mejor que en ningún otro sitio para Alemania. Investigaciones de netzpolitik.org y de la radiotelevisión pública bávara obtuvieron en un mercado de datos un conjunto con 3.600 millones de puntos de ubicación de 11 millones de IDs de publicidad en Alemania, como muestra gratuita. Ni hackeado ni filtrado: como muestra comercial.
El mecanismo técnico que hay detrás puede consultarse abiertamente, porque la especificación de las subastas publicitarias en tiempo real es pública. En una solicitud de puja figuran, entre otros, el ID de publicidad en claro, la latitud y la longitud con su grado de precisión, la dirección IP, el modelo del dispositivo, el operador y el identificador de la app en la que aparece el anuncio. Cada participante de la subasta ve esos datos, aunque no gane la puja.
Sobre la supervisión en Estados Unidos hay una salvedad que rara vez se menciona: los procedimientos conocidos contra comerciantes de datos de ubicación terminaron todos en acuerdos sin multa y sin reconocimiento de culpa. Son acusaciones de una autoridad, no hechos probados. Y los acuerdos contienen una excepción expresa para fines de seguridad nacional.
GrapheneOS: qué es
GrapheneOS es un sistema Android de código abierto, orientado a la seguridad, sostenido por un proyecto sin ánimo de lucro con unas quince personas a tiempo completo y financiado íntegramente con donaciones. Hoy funciona solo en dispositivos Google Pixel, y el motivo es técnico: solo en ellos el gestor de arranque puede volver a bloquearse tras la instalación, guardando una clave de firma propia en el elemento seguro. Solo así funciona por completo el arranque verificado. Un gestor de arranque desbloqueado es para el proyecto, expresamente, una instalación incompleta.
Dos cosas que dejan atrás la descripción habitual:
El vínculo con Pixel se acaba. En marzo de 2026 el proyecto anunció una colaboración a largo plazo con Motorola Mobility; los primeros dispositivos se esperan para 2027. No es exclusiva, y GrapheneOS no recibe dinero por ella.
La ventaja en actualizaciones se ha reducido. Desde junio de 2025, el reglamento europeo de diseño ecológico exige para todos los smartphones comercializados al menos cinco años de actualizaciones de seguridad. La ventaja del Pixel es, por tanto, de siete frente a cinco años, ya no de siete frente a dos.
Un contrapunto honesto también va aquí: para la información clasificada de la administración federal alemana, la BSI ha homologado soluciones basadas en iOS y en Samsung Knox. GrapheneOS no figura en ninguna lista de homologación de la BSI. Es otro modelo de amenaza, pero ninguna autoridad alemana recomienda GrapheneOS.
Lo que GrapheneOS resuelve de verdad
Google Play sin privilegios. En el Android normal, los servicios de Play están privilegiados y forman la base de funciones del sistema. En GrapheneOS funcionan, si los instalas, como una app corriente en el entorno aislado, según el proyecto sin ningún acceso especial y limitados al perfil en el que los instalas. El sistema nunca los usa como base propia.
Ubicación sin Google. Las solicitudes se desvían a una implementación propia, la posición se calcula en el dispositivo y solo se transmite un identificador de red.
Permisos que Android no tiene. El acceso a la red y a los sensores puede retirarse por app; las apps reciben entonces valores nulos en lugar de datos de sensores. A ello se suman ámbitos de almacenamiento y de contactos, un asignador de memoria reforzado y perfiles separados con claves propias.
Menos Google en segundo plano. Para la comprobación de conectividad, la sincronización horaria, el almanaque GNSS y la asistencia de ubicación en la red móvil, GrapheneOS usa servidores propios, e impide la transmisión del identificador de abonado y del número de teléfono.
Extracción de datos de dispositivos bloqueados. Aquí está el efecto demostrable más fuerte: intentos de PIN limitados, limitación de ritmo en el elemento seguro, reinicio automático tras un tiempo de inactividad. Según documentos filtrados de un proveedor forense, los dispositivos bloqueados con una versión actual de GrapheneOS se consideran no extraíbles. La procedencia de esos documentos es débil: sirven como indicio, no como prueba.
Lo que GrapheneOS no resuelve, de forma expresa
Esta sección falta en casi todas las descripciones, y el proyecto es en ella notablemente abierto.
La red móvil. La documentación dice literalmente que conectarse a la red del operador exige forzosamente identificarse ante él, y que el modo avión es la única forma de evitar la localización a través de la red móvil. Las llamadas y los SMS clásicos deberían evitarse, porque confían en el operador.
Lo mismo desde la pluma de un tribunal, como pura descripción técnica: en la sentencia Carpenter, el Tribunal Supremo de Estados Unidos constata que un teléfono genera datos de celda por el mero hecho de funcionar, sin ninguna acción del usuario salvo encenderlo, y que no hay forma de evitar ese rastro salvo desconectar el dispositivo de la red.
Solo LTE no protege frente a los IMSI catchers. El proyecto aclara expresamente que la función sirve solo para reducir la superficie de ataque y no debe entenderse como una forma de confiar en la red móvil. Quien la vende de otro modo va más allá de lo que dice el fabricante.
El DNS cifrado aporta poco por ahora. También es información del propio proyecto: como la dirección de destino y el nombre del servidor siguen siendo visibles, el DNS cifrado "todavía no vale mucho" y no sustituye a una VPN ni a Tor. Además, por el comportamiento del filtrado puede reconocerse que se filtra, lo que en sí mismo sirve para reidentificar.
Las fugas de VPN no están resueltas del todo. Literalmente: por ahora no se considera una función completa.
La reidentificación sigue siendo posible. Las medidas contra los identificadores de dispositivo serían un extra secundario; quedan canales laterales de sobra para reconocer dispositivos de una app a otra.
No se promete anonimato. El proyecto no lo reivindica en ningún sitio; lo que dice sobre el modo avión es de hecho una renuncia a ello. Quien busca anonimato busca otra cosa que un sistema operativo.
La eSIM sigue necesitando componentes propietarios de Google. Su gestión viene desactivada por defecto y puede activarse, pero necesita componentes sin modificar del firmware del Pixel. La afirmación de que GrapheneOS tiene una implementación propia de eSIM es falsa; solo ha desaparecido la dependencia de Google Play.
Y no elude las comprobaciones de hardware. Expresamente no, porque sería frágil y se rompería constantemente. Es honesto y lleva directamente a la siguiente sección.
El precio honesto: las apps bancarias
Google gestiona una interfaz a través de la cual las apps comprueban el estado del dispositivo. Tiene varios niveles. El intermedio exige, en palabras de la propia Google, una imagen de fabricante certificada; un gestor de arranque bloqueado no basta por sí solo. GrapheneOS supera el nivel básico, no los dos superiores, no por falta de seguridad, sino por falta de licencia.
Hay una vía técnicamente superior que el propio Android ofrece: la atestación de hardware estandarizada. Con ella, una app comprueba el estado de arranque directamente por criptografía y puede admitir las claves de sistemas alternativos, sin pasar por un servicio de Google. GrapheneOS publica sus claves firmadas y en formato legible por máquina, para que los proveedores puedan hacer exactamente eso.
La situación en cifras, según la información del propio proyecto de finales de julio de 2026: alrededor del diez por ciento de las apps bancarias comprueba la integridad del dispositivo; alrededor del noventa por ciento funciona. Y la evolución no sería ni claramente mejor ni peor: más proveedores usan la comprobación de Google y, al mismo tiempo, más proveedores admiten la atestación de hardware como alternativa.
Qué apps concretas funcionan en cada país lo recoge una lista mantenida por la comunidad, enlazada desde GrapheneOS. Esa lista la generan los usuarios; GrapheneOS no ofrece por ella ninguna garantía expresa. Sirve como orientación, no como compromiso.
El pago sin contacto con Google Pay no funciona. En Europa duele menos que en otros sitios, porque muchos bancos europeos tienen sus propias apps de pago NFC y además funcionan Curve Pay y PayPal. Fuera de Europa, el proyecto no conoce solución.
La situación se mueve, y en ambas direcciones: a principios de agosto de 2026, un gran proveedor de pagos excluyó de nuevo GrapheneOS, mientras que varios bancos tradicionales lo admitieron expresamente. Quien depende de una app concreta lo comprueba antes del cambio y, en caso de duda, conserva un segundo dispositivo.
Tres afirmaciones extendidas que no son ciertas
"Android Auto solo funciona con cable." Falso. Se admiten ambas opciones; la inalámbrica solo exige más permisos.
"La cámara es peor." Medio cierto, y justo ahí está el error. La misma app ofrece la misma calidad que en el sistema original, y la app de cámara del Pixel funciona sin que haga falta instalar Google Play. La cámara de GrapheneOS que viene incluida es deliberadamente más ligera: menos fotogramas para HDR, y el panorama, la astrofotografía o las fotos en movimiento no están expresamente en la hoja de ruta.
"Desbloquear el gestor de arranque anula la garantía." No existe ninguna declaración de Google al respecto. Las condiciones de garantía para el Espacio Económico Europeo establecen que la garantía voluntaria del fabricante no afecta a los derechos legales de garantía; se excluyen los daños causados por modificaciones. GrapheneOS declara que los Pixel siguen cubiertos, pero no hay una confirmación de Google al respecto. Trátalo como una cuestión abierta, no resuelta.
Lo que aporta más que cualquier sistema operativo
Ordenado por efecto en relación con el esfuerzo.
1. Signal para todo lo sensible. Los dos grandes servicios de mensajería cifran el contenido. La diferencia está en los metadatos, y es comprobable, porque Signal publica las órdenes judiciales y sus propias respuestas. En todos los casos documentados de 2016 a marzo de 2026, Signal solo pudo entregar dos cosas: la fecha de registro y la última conexión. En el caso más reciente se pidieron datos de 37 números de teléfono; siete cuentas no existían y de 24 no había datos. A modo de comparación, WhatsApp enumera él mismo en su política de privacidad europea lo que se recoge: cómo interactúas con otros, el momento, la frecuencia y la duración de tus actividades, además del modelo del dispositivo, el nivel de batería, la intensidad de la señal, la red móvil y la dirección IP. Quien no guarda nada no puede entregar nada. Es el único punto de esta lista del que hay prueba en forma de actuaciones judiciales.
2. Menos apps, más navegador. El paso estructuralmente más eficaz, y casi nadie lo da. Un componente de terceros integrado hereda todos los permisos que concedes a la app; Apple admite en sus propias normas que eso constituye seguimiento aunque el desarrollador no use el componente para ello. Una app borrada es la única medida con un efecto del cien por cien.
3. Doble factor resistente al phishing. Las llaves de seguridad físicas y las passkeys están vinculadas al dominio; una página de inicio de sesión imitada no puede generar una confirmación válida. Es criptografía, no una heurística de detección. Google informa, a partir de su propio estudio, de que ni un solo usuario que usara exclusivamente llaves de seguridad cayó en un phishing dirigido. Para un patrimonio importante, el escenario catastrófico realista es el robo de la cuenta, no la publicidad personalizada. De paso: el estudio de Google de 2019 tan citado, con sus cifras del cien por cien, probaba confirmaciones por teléfono, no llaves de seguridad; ambas pruebas se mezclan con frecuencia.
4. Permisos de ubicación y apps sin usar. Ubicación aproximada en lugar de precisa, "solo mientras se usa la app", permisos de una sola vez. Android retira automáticamente los permisos a las apps que llevan meses sin usarse y borra su caché. Dada la precisión con la que se comercia con datos de ubicación, la opción aproximada es el ajuste aislado más eficaz.
5. Borrar el ID de publicidad: eficaz, pero limitado. En Android, cada acceso devuelve después una cadena de ceros; en iOS ocurre lo mismo sin permiso de seguimiento concedido. Eficacia medible: tras la introducción de la pregunta, la transmisión del identificador publicitario de iOS bajó de una cuarta parte de las apps a cero. Pero: el número de componentes de seguimiento se mantuvo prácticamente igual, y el identificador de hardware descrito más arriba sigue viajando con los datos. Dos minutos de esfuerzo, valorados con honestidad. En iOS compensa además el interruptor aparte para la publicidad personalizada propia de Apple, que la pregunta de seguimiento no abarca.
6. Higiene de cuentas. El borrado automático de los datos de actividad reduce lo almacenado por el mayor recopilador individual. Con la precisión debida: Google dice que aspira a eliminar los datos de la vista, y se reserva expresamente una conservación más larga por motivos legales.
7. La elección del navegador. Safari bloquea por completo las cookies de terceros y borra a los siete días sin interacción el almacenamiento creado por scripts; Firefox separa las cookies por sitio web. Ninguno de los dos ayuda frente al proveedor en el que tienes la sesión iniciada.
8. El DNS cifrado, el punto más sobrevalorado. Útil para filtrar, pero no oculta las direcciones de destino ni anonimiza. GrapheneOS lo dice de su propia función con más claridad de lo que lo harían la mayoría de los proveedores.
9. El nivel de la red móvil. Aquí no hay solución en el dispositivo, y no es una medida, sino un límite. El modo avión corta de verdad la conexión de radio, al precio de no estar localizable.
Una palabra sobre la situación jurídica en España: la Ley 25/2007 obliga a los operadores a conservar durante doce meses los datos de tráfico y de localización de las comunicaciones, así como los datos que identifican al abonado. Solo pueden cederse con autorización judicial, para investigar delitos graves, y el contenido de las comunicaciones queda excluido. Y aun donde no existe esa obligación, los operadores generan esos datos de todos modos para sus propios fines de funcionamiento.
Qué tiene que ver esto con la protección patrimonial
La privacidad digital no es protección patrimonial, y sería poco serio afirmarlo. Reduce dos riesgos concretos: el robo de cuentas y la reunión de información en un perfil que otros explotan. El primero es un riesgo financiero real; el segundo, más bien una cuestión de soberanía.
Lo que la privacidad digital no logra, de forma expresa: no protege ningún patrimonio frente al acceso jurídico. Lo que los organismos públicos saben de tu patrimonio depende de obligaciones de información y de registro, no de tu teléfono; hasta dónde llega eso hoy lo documentamos en la página sobre el registro europeo de activos. Y si un patrimonio es atacable llegado el caso lo decide la estructura en la que se mantiene: de eso trata la protección patrimonial, las estructuras de protección y las inversiones en el extranjero.
Quien confunde ambas cosas invierte el esfuerzo en el sitio equivocado. Un teléfono reforzado con un patrimonio sin proteger es una combinación claramente peor que la inversa.
Hasta qué punto es alcanzable tu patrimonio lo aclara la consulta personal. La consulta se realiza en inglés.
Preguntas frecuentes
¿Funcionan las apps bancarias en GrapheneOS?
En su mayoría, sí. El propio proyecto cifra en torno al diez por ciento la proporción de apps bancarias que no funcionan y considera que la evolución es estable en conjunto. Qué apps concretas funcionan en cada país lo recoge una lista mantenida por la comunidad, sin garantía. Google Pay no funciona; el pago sin contacto funciona con las apps de muchos bancos europeos y con Curve Pay y PayPal.
¿Me hace anónimo GrapheneOS?
No, y el proyecto tampoco lo afirma. Dificulta la creación de perfiles por parte de la plataforma y de las apps. No cambia nada de lo que ve tu operador móvil: según el propio proyecto, el modo avión es la única forma de evitar la localización a través de la red móvil. Y no cambia nada de las cuentas que están a tu nombre.
¿Por qué solo dispositivos Google Pixel?
Porque solo en ellos el gestor de arranque puede volver a bloquearse tras la instalación con una clave propia, lo que es requisito para un arranque verificado completo. Eso cambia: desde marzo de 2026 existe una colaboración con Motorola Mobility, y los primeros dispositivos se esperan para 2027.
¿Se pierde la garantía si desbloqueo el gestor de arranque?
No existe ninguna declaración de Google al respecto. Las condiciones de garantía para el EEE establecen que la garantía voluntaria del fabricante no afecta a los derechos legales de garantía; se excluyen los daños causados por modificaciones. GrapheneOS declara que los Pixel siguen cubiertos, pero no hay confirmación de Google.
¿Protege mi patrimonio un teléfono seguro?
No. Reduce el riesgo de robo de cuentas y la creación de perfiles. Lo que las autoridades saben de tu patrimonio depende de obligaciones de información y de registro, y si un patrimonio es atacable depende de la estructura en la que se mantiene. Ningún sistema operativo influye en ninguna de las dos cosas.