Proteger tu privacidad cuesta una tarde

Hacienda paga licencias de un programa para analizar los móviles y ordenadores que revisa en sus inspecciones, y no es ningún secreto: está en un contrato público. En 2023 la Agencia Tributaria adjudicó el alquiler de licencias de Cellebrite Pathfinder Enterprise, de la empresa israelí que trabaja para policías de medio mundo, por 269.339 euros sin IVA, unos 326.000 con él. Según la prensa, el programa detecta temas en las comunicaciones, clasifica fotos y documentos y analiza los vínculos entre personas y sociedades.

Se aplica a contribuyentes con un expediente ya abierto, no al azar. Pero un teléfono no guarda solo la vida de su dueño: en sus chats, su agenda y sus fotos están la pareja, la familia y los amigos, aunque nadie los esté investigando. Por eso la frase «yo no tengo nada que esconder» se queda corta: tu privacidad protege también a la gente con la que hablas. No es el escudo del culpable, es el derecho del inocente.

Esto no va de esconderse del Estado, que con un juez delante tiene sus vías. Va de no regalar a nadie más de lo necesario. Casi todo el rastreo diario lo hacen anuncios, aplicaciones y comerciantes de datos, y eso se corta en una tarde con herramientas gratuitas.

Lo que el cifrado no protege

Desde 2015, la Ley de Enjuiciamiento Criminal permite el registro remoto de dispositivos (artículos 588 septies a, b y c). Con autorización de un juez, la policía instala un programa en el teléfono u ordenador y examina su contenido a distancia, sin que el titular lo sepa. Solo cabe para cinco clases de delitos: organización criminal, terrorismo, delitos contra menores o personas con la capacidad modificada judicialmente, delitos contra la Constitución, de traición y relativos a la defensa nacional, y delitos cometidos por medios informáticos. El auto tiene que concretar el dispositivo, el alcance, el programa y los agentes, y la medida dura un mes, prorrogable hasta tres.

Aquí el cifrado de WhatsApp no sirve de nada, y conviene saber por qué. El cifrado de extremo a extremo protege el mensaje mientras viaja. En tu teléfono el mensaje ya está descifrado, igual que las sesiones abiertas de Telegram, Instagram o el correo. La lección vale para cualquiera, no solo para quien tenga un juez detrás: el punto débil es el propio aparato. Un teléfono con bloqueo, actualizado y con pocas aplicaciones es la primera defensa.

El cifrado de extremo a extremo protege el trayecto, no los teléfonos.

Un navegador que no te siga

El navegador es por donde más datos se escapan, y cambiarlo cuesta cinco minutos. Hay tres opciones buenas, de más fácil a más estricta.

• Brave bloquea anuncios y rastreadores sin tocar nada, y funciona como Chrome. Tiene un borrón: en 2020 añadía su código de afiliado a algunas direcciones de criptomonedas que el usuario escribía, y su fundador tuvo que pedir perdón. Conviene apagar las funciones de cripto y de recompensas, que no hacen falta.
• LibreWolf es un Firefox sin la telemetría de Mozilla, con la privacidad ajustada de serie y el bloqueador uBlock Origin ya instalado. Es para ordenador.
• Mullvad Browser lo desarrolla el Tor Project. Hace que todos sus usuarios se parezcan, para que ninguna web pueda reconocerte por las características de tu equipo. No oculta tu dirección IP por sí solo.

El panel de los escudos de Brave: rastreadores, huella digital y cookies de terceros, bloqueados sin instalar nada. Captura de Ranch9613, Wikimedia Commons, CC0.

Un paso más allá está el Tor Browser, el mismo navegador que Mullvad pero conectado a la red Tor: el tráfico se cifra tres veces y pasa por tres servidores de voluntarios, y quien vigila tu conexión solo ve que usas Tor, no qué páginas visitas. Es más lento y algunas webs lo bloquean, así que no es para todos los días, pero es la opción cuando el anonimato importa de verdad.

Queda la VPN, de la que se ha hablado tanto que no hace falta explicarla aquí. Mi recomendación es usarla, con una advertencia: oculta lo que haces a tu operadora y a la wifi del bar o del hotel, y tu dirección real a las webs que visitas, pero todo eso pasa a verlo la empresa de la VPN. Por eso conviene saber de qué vive, porque una VPN gratuita puede estar pagándose con tus datos.

Buscar y moverte sin Google

Google vive de la publicidad, y para venderla necesita saber quién eres, qué buscas y dónde estás. En 2022 pagó 391,5 millones de dólares para cerrar la demanda de 40 estados de Estados Unidos, que le acusaban de seguir guardando la ubicación de usuarios que habían desactivado el historial de ubicaciones. Cuatro cambios reducen mucho lo que sabe de ti:

• El buscador. DuckDuckGo no guarda tu historial de búsquedas, y el buscador de Brave usa su propio índice. Se cambia en los ajustes de cualquier navegador.
• Los mapas. CoMaps y OsmAnd usan los mapas libres de OpenStreetMap, funcionan sin conexión y guían a pie, en bici y en coche sin registrar por dónde vas. CoMaps es la más sencilla; OsmAnd, la más completa.
• YouTube. FreeTube, para ordenador (Windows, Mac y Linux), te deja ver YouTube sin cuenta y guarda en tu propio equipo las suscripciones, las listas y el historial, sin enviarlos a ningún sitio. En Android hace lo mismo NewPipe.
• Si sigues usando Google, entra en myactivity.google.com y apaga la Actividad en la Web y en Aplicaciones, el historial de YouTube y la Cronología, o programa que se borren solos cada tres meses.

Una ruta a pie en Organic Maps, la aplicación de la que nace CoMaps, con los mapas de OpenStreetMap. Captura del proyecto Organic Maps, Wikimedia Commons, CC BY-SA 4.0.

Al apagar el historial notarás que pierdes algo, y está hecho para que se note. Desde agosto de 2023, si desactivas el historial de YouTube, la página de inicio deja de recomendarte vídeos y se queda casi vacía, con un aviso para volver a activarlo. YouTube lo explicó así: se desactivan «las funciones que necesitan el historial de reproducciones para recomendar vídeos». El trato es ese: la comodidad de que alguien recuerde lo que viste, a cambio de que lo sepa él. Con FreeTube o NewPipe tienes la misma comodidad, pero el historial lo guardas tú.

FreeTube: suscripciones, listas e historial, guardados en tu propio equipo. Captura de Wikimedia Commons, CC BY 4.0; el vídeo mostrado tiene licencia Creative Commons.

Mensajería: Signal, y Telegram con cuidado

Signal cifra de extremo a extremo todos los chats, incluidos los de grupo, y guarda tan poco que, cuando un juzgado le pide datos, solo puede entregar dos fechas: cuándo se creó la cuenta y cuándo se conectó por última vez. Pide un número de teléfono para darse de alta, pero desde 2024 no se lo enseña a quien no lo tenga en su agenda y permite chatear con un nombre de usuario. En Ajustes, Privacidad, Número de teléfono, conviene poner también que nadie pueda encontrarte por el número.

Telegram es otra cosa, y mucha gente no lo sabe: sus chats normales, privados o de grupo, no van cifrados de extremo a extremo. Se guardan en sus servidores. Solo los «chats secretos», que se abren desde el perfil de un contacto, tienen ese cifrado, y no existen para grupos. Úsalo para canales y comunidades, y para lo íntimo, Signal.

En Android, Telegram tiene además dos versiones: la de Google Play y la que se descarga directamente de telegram.org/android. La propia Telegram dice que la segunda «tiene menos restricciones» y se actualiza sola. La diferencia se ha notado, por ejemplo, en canales que la versión de Google Play oculta y la otra muestra. Para cambiar, se instala la de la web, se desinstala la de Google Play y se entra con el número de teléfono y el código que llega por SMS: la cuenta, los chats en la nube y los canales siguen ahí. Los chats secretos no, porque viven solo en el aparato.

Un correo cifrado

Proton (proton.me), con sede en Suiza, y Tuta (tuta.com), en Alemania, tienen versión gratuita y guardan el correo de forma que ni ellos pueden leerlo. Entre usuarios del mismo servicio el cifrado es de extremo a extremo; si escribes a una dirección de Gmail, ese correo llega como cualquier otro, salvo que lo protejas con una contraseña. Una diferencia: Proton no cifra el asunto de los mensajes y Tuta sí.

Borrar lo que ya está publicado

Lo que ya está fuera también se puede recoger. JustDeleteMe reúne los enlaces para darse de baja de cientos de servicios y dice lo difícil que es cada uno. Redact borra en bloque publicaciones antiguas de redes sociales. Incogni, de pago, pide por ti a los comerciantes de datos que borren tu ficha, algo que también puedes hacer gratis escribiéndoles uno a uno, con el derecho de supresión del Reglamento General de Protección de Datos.

Y tres hábitos que no cuestan nada: no entrar en tus cuentas desde una wifi pública, revisar qué aplicaciones tienen permiso para usar la ubicación, el micrófono y los contactos, y quitarle a la cámara el permiso de guardar dónde se hizo cada foto.

Todo lo del artículo, en una tabla para guardar.

Por qué importa aunque no tengas nada que esconder

Quien dice que no tiene nada que esconder piensa en las normas de hoy, y seguramente tiene razón: hoy no le pasaría nada. Pero los datos duran más que las normas. Una conversación, una búsqueda o una foto guardada en la nube pueden seguir ahí dentro de diez años, y nadie sabe qué será sancionable entonces ni quién podrá consultarlas. Hasta 2015, por ejemplo, la ley no preveía que la policía entrara a distancia en un teléfono.

Tampoco hace falta que cambie ninguna ley para que tus datos acaben donde no deben. En 2023, un guardia civil destinado en Sevilla sacó de las bases de datos del cuerpo el nombre, el DNI y el domicilio de los titulares de varias matrículas y se los pasó, a cambio de dinero, a su excuñado, que trabajaba para una agencia de detectives. Fue condenado por cohecho. Pero en octubre el Tribunal Superior de Justicia de Andalucía lo absolvió de revelar secretos, porque nadie había demostrado un daño concreto a esas personas. Es decir, que tus datos salgan de una base policial no basta, por sí solo, para castigar la filtración.

Conviene recordarlo cada vez que alguien diga que la privacidad es cosa de quien tiene algo que ocultar: lo que no se recoge no se puede filtrar, ni vender, ni leerse con otros ojos el día de mañana. Yo lo aplico a diario, y empezar cuesta una tarde: cambiar de navegador y de buscador, pasar lo íntimo a Signal y apagar el historial de Google. Y de paso cuidas a todos los que tienes en la agenda.

---

Fuentes

Pathfinder y el registro remoto

Expediente CEA414/2023 de la Agencia Tributaria, arrendamiento de licencias de Cellebrite Pathfinder Enterprise, adjudicado a Syvalue S.L. por 269.339,04 euros (registro de la Plataforma de Contratación del Sector Público, recogido por Infoconcurso):
Ficha del expediente en Infoconcurso

The Objective, 28 de junio de 2026, sobre el uso de Pathfinder en las inspecciones:
https://theobjective.com/economia/2026-06-28/hacienda-inspecciones-ia-israeli-dispositivos-2/

Xataka Móvil, 5 de junio de 2026, sobre las funciones contratadas:
Hacienda ficha a Pathfinder

Ley de Enjuiciamiento Criminal, artículos 588 septies a, b y c, añadidos por la Ley Orgánica 13/2015:
https://www.boe.es/buscar/act.php?id=BOE-A-1882-6036

Poder Judicial, 30 de octubre de 2026: el TSJA rebaja a tres años la condena al guardia civil que facilitó datos de titulares de vehículos a cambio de dinero:
Nota del TSJA sobre el guardia civil de Sevilla

Herramientas

Navegadores:
https://brave.com/
https://librewolf.net/
https://mullvad.net/en/browser
https://www.torproject.org/

Electronic Frontier Foundation, guía para elegir una VPN (qué oculta y qué ve el proveedor):
https://ssd.eff.org/module/choosing-vpn-thats-right-you

El caso de los enlaces de afiliado de Brave, junio de 2020 (Sophos):
https://www.sophos.com/en-us/blog/brave-ceo-apologises-for-adding-affiliate-links-to-urls

Signal, privacidad del número y nombres de usuario (20 de febrero de 2024), y respuestas a requerimientos judiciales:
https://signal.org/blog/phone-number-privacy-usernames/
https://signal.org/bigbrother/

Telegram, preguntas frecuentes sobre el cifrado de los chats, y descarga directa para Android:
https://telegram.org/faq
https://telegram.org/android

Correo cifrado:
https://proton.me/support/proton-mail-encryption-explained
https://tuta.com/encryption

El acuerdo de Google con 40 estados por el rastreo de la ubicación, 14 de noviembre de 2022 (AP, en KSL):
Google pagará 391,5 millones a 40 estados

YouTube desactiva las recomendaciones a quien apaga el historial, 8 de agosto de 2023 (9to5Google y Android Authority):
https://9to5google.com/2023/08/08/youtube-watch-history-changes/
YouTube exige el historial para recomendar

Buscadores y mapas:
https://duckduckgo.com/
https://search.brave.com/
https://www.comaps.app/
https://osmand.net/

YouTube sin cuenta, con el historial en tu equipo:
https://freetubeapp.io/
https://newpipe.net/

Borrado de cuentas y datos:
https://justdeleteme.xyz/
https://redact.dev/
https://incogni.com/

---

El punto de partida fueron dos vídeos difundidos en Telegram, uno de Mundo Beto sobre Pathfinder y otro del abogado penalista Rashid Mohamed sobre el registro remoto, y notas propias sobre herramientas. El contrato se ha comprobado en el registro de la Plataforma de Contratación, la ley en el BOE, la condena en el Poder Judicial y cada herramienta en su propia documentación. La portada, el esquema del cifrado y la tabla final los he hecho yo; las tres capturas son de Wikimedia Commons, con su autor y licencia en cada pie.

---

Este y los demás artículos, en skunk1.blog.