Un informe de la Electronic Frontier Foundation (EFF) revela que las bibliotecas de software publicitario integradas en aplicaciones móviles recolectan y filtran datos de ubicación de los usuarios, en muchos casos sin que los propios desarrolladores de esas apps sean conscientes de ello. El negocio de datos de localización mueve miles de millones de dólares al año y el mecanismo de fuga opera de forma silenciosa, embebido en el código que los developers incorporan para monetizar sus productos.
Las ad libraries —bibliotecas de código de terceros que los desarrolladores insertan para mostrar publicidad— son el vector central del problema documentado por la EFF. Cuando un desarrollador integra una de estas bibliotecas, no siempre recibe documentación completa sobre qué datos recopila el SDK ni a qué servidores los envía. El resultado es que la app puede estar transmitiendo coordenadas GPS, identificadores de dispositivo y patrones de movimiento del usuario hacia redes publicitarias, sin que el equipo que construyó la aplicación haya tomado esa decisión de forma explícita.
Por qué la ubicación es el dato más sensible del ecosistema publicitario
La dirección de un hogar, los horarios de trabajo, las visitas a clínicas o lugares de culto, las rutas habituales: todo eso puede inferirse a partir de un historial de coordenadas. La EFF señala que la ubicación no es simplemente “un punto en un mapa”, sino una fuente de información íntima sobre la vida de una persona. Esta densidad informativa es exactamente lo que convierte al sector de datos de localización en un mercado multimillonario, donde brokers de datos compran, procesan y revenden trayectorias sin que el titular del dato haya prestado un consentimiento informado real.
El reporte de la EFF también aborda las reformas recientemente anunciadas por Flock, empresa conocida por sus sistemas de reconocimiento de patentes vehiculares, y analiza legislación en el Senado de Estados Unidos que, según la organización, introduciría riesgos adicionales de privacidad bajo la sigla KOSA (Kids Online Safety Act). Aunque el foco geográfico del informe es el mercado estadounidense, los mecanismos técnicos descriptos operan en cualquier jurisdicción donde esas apps estén disponibles, lo que hace el hallazgo directamente relevante para usuarios latinoamericanos.
Cuándo aplica esta vulnerabilidad y cuándo no
El problema aplica cuando una aplicación móvil —independientemente de su categoría: juegos, utilidades, comercio electrónico— incorpora SDKs publicitarios de terceros sin auditar el comportamiento de recolección de datos de esos componentes. No aplica, en cambio, cuando el desarrollador construye su propio sistema de monetización sin dependencias externas, o cuando el SDK ha sido auditado y contractualmente limitado en su alcance de recolección. La distinción importa porque desplaza la responsabilidad: no es siempre una decisión deliberada del desarrollador, sino una consecuencia de integrar código de terceros sin due diligence de privacidad.
El marco legal en América Latina frente a la recolección encubierta por SDKs
En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que el tratamiento de datos personales —incluida la ubicación— cuente con una base legal válida y que el titular haya recibido información clara sobre los fines del tratamiento. La recolección silenciosa a través de una biblioteca de anuncios sin divulgación adecuada en la política de privacidad de la app constituiría, en principio, una violación a los artículos 7 y 9 de la ley, que regulan las hipótesis de tratamiento y la transparencia. La Autoridade Nacional de Proteção de Dados (ANPD) tiene competencia para investigar tanto al desarrollador de la app como, potencialmente, al operador del SDK como agente de tratamiento.
En Argentina, la Ley 25.326 de Protección de los Datos Personales impone obligaciones de consentimiento informado y finalidad determinada. La Agencia de Acceso a la Información Pública (AAIP) ha avanzado en los últimos años en la regulación de aplicaciones móviles, aunque la capacidad de fiscalización sobre SDKs de origen extranjero sigue siendo un desafío práctico. México, a través del INAI y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), tiene un esquema similar: el responsable del tratamiento —en este caso el desarrollador de la app— responde por los datos que su producto recopila, incluso si la recolección la ejecuta un tercero integrado en el código.
Qué implica esto para desarrolladores y equipos de compliance
El hallazgo de la EFF refuerza una obligación que el marco regulatorio latinoamericano ya impone pero que pocas organizaciones implementan con rigor: el inventario y la auditoría de componentes de terceros antes de publicar una aplicación. Un desarrollador que integra una ad library sin revisar su política de datos no puede escudarse en el desconocimiento como eximente; la responsabilidad por el tratamiento de datos personales de los usuarios de su app recae sobre él como responsable ante la ley. Esto aplica con especial fuerza cuando la app tiene usuarios en jurisdicciones con regulación activa, como Brasil o Colombia —que cuenta con su propia Ley 1581 de 2012 y la Superintendencia de Industria y Comercio como autoridad de control.
El informe completo de la EFF sobre bibliotecas de anuncios móviles está disponible en eff.org/deeplinks/2026/07/developers-beware-ad-libraries-betray-your-users-location-privacy y detalla los SDKs analizados y los mecanismos técnicos de exfiltración de ubicación identificados por el equipo de investigación de la organización.
Que el código que filtra datos de ubicación sea invisible para el propio desarrollador no es un argumento legal en ninguna regulación de la región: la cadena de responsabilidad empieza en quien publica la app, no en quien escribió el SDK.
