Zuckerberg y el rastreo de Meta en Android: qué se sabe

El PSOE ha pedido que Mark Zuckerberg comparezca en el Congreso de los Diputados para dar explicaciones sobre una investigación que atribuye a Meta el rastreo de la navegación de usuarios de Android mediante Facebook e Instagram. La petición también incluye a Javier Oliván, jefe de operaciones de la compañía, y a José Luis Zimmermann, responsable de Asuntos Públicos para España y Portugal. La comparecencia es una solicitud política, no una declaración ya celebrada ni una conclusión judicial sobre la conducta de la empresa.

El estudio citado por los socialistas sostiene que Meta habría utilizado durante casi un año un mecanismo oculto para recoger información sobre las páginas visitadas y asociarla a perfiles de sus plataformas, incluso en situaciones en las que el usuario recurría al modo incógnito o a una VPN. La compañía dijo estar dispuesta a colaborar con las autoridades, pero los datos disponibles no detallan públicamente cómo funcionaba el mecanismo ni acreditan por sí solos que se haya producido una infracción. La diferencia entre una práctica investigada y un hecho probado es central para entender el caso.

Qué ha pedido el PSOE en el Congreso

La iniciativa socialista reclama la presencia de Zuckerberg, fundador y máximo ejecutivo de Meta, junto con Oliván y Zimmermann. El grupo también ha solicitado que expertos comparezcan ante la Comisión de Economía, Comercio y Transformación Digital. La petición busca que el debate no se limite a la versión de la empresa y permita examinar tanto el funcionamiento técnico descrito por los investigadores como sus posibles efectos sobre la privacidad. Por ahora, lo anunciado es una petición parlamentaria: la información de referencia no confirma que el Congreso haya fijado una fecha ni que los responsables hayan comparecido.

El presidente del Gobierno, Pedro Sánchez, había avanzado que los socialistas llevarían el asunto a la Cámara después de intervenir en el foro Metafuturo, organizado por Atresmedia. La respuesta política se produjo tras conocerse resultados de una investigación europea sobre la actividad de Meta en dispositivos Android. La comparecencia solicitada pretende trasladar al ámbito parlamentario una cuestión que combina tecnología, protección de datos y poder empresarial. Que se convoque a una persona no equivale a que el Parlamento haya determinado su responsabilidad; sirve para pedir explicaciones y someter las versiones disponibles a preguntas públicas.

El caso afecta a Meta, empresa propietaria de Facebook, Instagram y WhatsApp, aunque el mecanismo descrito en la investigación se habría relacionado específicamente con las dos primeras aplicaciones. Esa precisión importa: no se debe extender automáticamente la acusación a todos los servicios de la compañía ni a todos los teléfonos. Los investigadores se centraron en usuarios de dispositivos Android y en una práctica concreta de seguimiento de páginas web. El alcance atribuido al sistema debe leerse dentro de esos límites, mientras se aclaran el número de personas afectadas, las condiciones en que operó y la información que llegó a recopilarse.

Qué detectaron los investigadores europeos

El trabajo fue realizado por IMDEA Networks, en España; la Universidad Católica de Lovaina, en Bélgica, y la Universidad de Radboud, en Países Bajos. Según la descripción difundida, sus investigadores identificaron un mecanismo que habría permitido a Meta seguir la actividad web de usuarios de Android a través de Facebook e Instagram. La información recogida podía incluir las páginas visitadas y vincularse con perfiles personales de las plataformas. La relevancia del hallazgo está en el posible cruce entre navegación externa e identidad en una red social, no solo en que una aplicación registre actividad dentro de su propio servicio.

Los datos publicados en la información de referencia indican que el mecanismo habría estado activo durante casi un año. También señalan que la actividad podía registrarse aunque el usuario navegara en modo incógnito o utilizara una VPN. Sin embargo, no explican con detalle qué componente técnico iniciaba el seguimiento, qué páginas se podían detectar en cada caso ni qué excepciones había. Tampoco se ofrecen cifras verificadas sobre el volumen de registros o la proporción de usuarios alcanzados. Esos límites impiden convertir la descripción general en una explicación técnica completa o afirmar que todos los usuarios de Android estuvieron expuestos de la misma manera.

Los socialistas calificaron la práctica denunciada como una recopilación sin consentimiento explícito. Esa es la interpretación política de los hechos descritos, mientras que determinar qué avisos recibieron los usuarios, qué permisos se concedieron y si el consentimiento fue válido requiere examinar pruebas y normas aplicables. La palabra espionaje, utilizada en el debate público, expresa la gravedad que se atribuye al seguimiento, pero no sustituye una resolución administrativa o judicial. La cuestión de fondo es si una persona podía conocer y controlar ese flujo de datos, no solo si existía una política de privacidad disponible en algún lugar.

Por qué el modo incógnito y una VPN no cierran todas las puertas

El modo incógnito suele limitar la información que el navegador conserva en el dispositivo, como parte del historial local, pero no convierte automáticamente la navegación en invisible para los servicios con los que el usuario interactúa. Una aplicación, una página web y el navegador pueden intervenir en momentos distintos de una misma actividad. Por eso, que una navegación no aparezca luego en el historial del teléfono no demuestra que ningún servicio haya podido observarla. La privacidad local del historial y la privacidad frente a terceros son cuestiones distintas, aunque a menudo se confundan.

Una VPN, por su parte, puede cambiar la ruta por la que circula la conexión y ocultar ciertos datos frente a algunos intermediarios de red, pero no garantiza anonimato frente a una aplicación que el usuario mantiene activa o a la que se identifica con una cuenta. La investigación citada afirma que el seguimiento podía continuar incluso con una VPN, aunque la información disponible no precisa las condiciones técnicas de esa observación. No basta con activar una herramienta de privacidad para concluir que todo el rastro digital desaparece; su alcance depende de qué actor recoge los datos y en qué punto de la conexión se produce el registro.

Esto no significa que el modo privado o una VPN carezcan de utilidad. Significa que protegen frente a determinados tipos de seguimiento, no necesariamente frente a todos. El hallazgo atribuido a los centros europeos apunta precisamente a una diferencia poco intuitiva: una persona puede ocultar parte de su actividad al navegador o a la red y, a la vez, dejar señales accesibles para una aplicación instalada y vinculada a su perfil. La identidad asociada a una cuenta puede convertir fragmentos de navegación en información personal, si se confirma que esos datos se recogieron y se asociaron de la forma descrita.

Qué está probado y qué sigue bajo investigación

La información difundida permite afirmar que varios centros europeos llevaron a cabo una investigación y que sus resultados motivaron una petición de comparecencia política. También permite explicar la práctica que atribuyen a Meta y las herramientas que, según ese relato, no habrían impedido el seguimiento. Pero no aporta una resolución de una autoridad de protección de datos, una sentencia ni una respuesta técnica pormenorizada de la empresa sobre cada elemento del estudio. El caso está en una fase en la que las acusaciones deben contrastarse, y presentar la sospecha como una infracción ya establecida sería ir más allá de los datos disponibles.

Quedan por aclarar aspectos decisivos: cómo se activaba el mecanismo, qué información concreta se recogía, durante cuánto tiempo se conservaba y qué controles podían ejercer los usuarios. También hace falta conocer la posición completa de Meta y la valoración de las autoridades competentes. La solicitud del PSOE no responde por sí misma a esas preguntas; puede abrir un espacio para que se formulen ante responsables de la compañía y especialistas. La transparencia del proceso dependerá de que las explicaciones puedan cotejarse con evidencia técnica y no se queden en declaraciones generales sobre la protección de datos.

El recuerdo de la comparecencia de 2018 en Estados Unidos

La petición española puede confundirse con una comparecencia anterior de Zuckerberg ante el Congreso de Estados Unidos, celebrada en 2018, cuando Facebook afrontaba el escándalo de Cambridge Analytica. En aquella ocasión, el ejecutivo declaró en dos sesiones que sumaron más de 10 horas. Los legisladores le preguntaron por el uso de datos, la privacidad y el modelo de negocio de la red social. Aquel episodio sí fue una comparecencia efectiva, pero trataba otro caso y ocurrió en otro país; no debe presentarse como una respuesta parlamentaria a la investigación actual sobre Android.

La audiencia estadounidense dejó intercambios que mostraron la distancia entre el lenguaje cotidiano de los usuarios y el funcionamiento de una gran plataforma. Un senador preguntó por qué aparecían anuncios de chocolate después de expresar interés por ese producto, y otro quiso saber cómo podía ser gratuito el servicio; Zuckerberg respondió que Facebook publicaba anuncios. También hubo preguntas sobre si la red escuchaba el micrófono de los teléfonos, sobre los datos personales del propio ejecutivo y sobre Facemash, el proyecto que creó antes de Facebook. Esas escenas ilustran la dificultad de interrogar sobre sistemas complejos, pero no prueban que la compañía escuchara conversaciones ni que el mecanismo actual funcionara igual.

En la misma audiencia, legisladores plantearon preocupaciones distintas: desde supuestos sesgos en la moderación de contenidos hasta el acceso a datos personales y la difusión de información política. Algunos senadores hablaron de sus propias familias o de su experiencia en Facebook; otros intentaron precisar qué podía conocer la plataforma sobre sus usuarios. El debate tuvo momentos teatrales, pero también puso sobre la mesa una cuestión persistente: quién entiende realmente las reglas de una plataforma y quién puede exigir cuentas cuando maneja datos a gran escala. La comparación histórica aporta contexto, no una equivalencia entre los dos expedientes.

Las normas que podrían entrar en el debate

El PSOE sostiene que, si se confirmaran los hechos descritos, podrían entrar en juego varias normas europeas: el Reglamento General de Protección de Datos, la Directiva ePrivacy, la Ley de Mercados Digitales y la Ley de Servicios Digitales. Cada instrumento aborda aspectos diferentes de la actividad digital, por lo que mencionar sus nombres no determina automáticamente cuál se habría vulnerado ni qué consecuencia correspondería. La aplicación de una norma depende de los hechos acreditados y de la valoración de las autoridades, no solo de que una práctica suscite preocupación pública.

En materia de protección de datos, la cuestión no es únicamente si una empresa recoge información, sino también con qué base lo hace, para qué finalidad, durante cuánto tiempo y con qué grado de transparencia. La investigación descrita plantea dudas sobre la relación entre navegación, aplicaciones y perfiles personales, pero la referencia no detalla los avisos que aparecían en cada dispositivo ni las opciones disponibles para los usuarios. Sin ese contexto no se puede concluir desde fuera si existió un consentimiento válido o si la información se trató de una forma incompatible con las obligaciones aplicables.

La información de referencia añade que Meta afronta demandas colectivas en Alemania, Estados Unidos y Canadá por hechos similares. La existencia de litigios puede mostrar que el debate sobre el tratamiento de datos se extiende más allá de España, pero no demuestra que todos se refieran al mismo mecanismo ni que hayan terminado con una decisión contra la empresa. Una demanda contiene alegaciones que deben tramitarse y probarse; no equivale a una sentencia. Para conocer el alcance jurídico del caso español hará falta distinguir los procedimientos y las pruebas de cada jurisdicción.

La respuesta de Meta y el peso de una comparecencia

Tras conocerse la iniciativa, Meta manifestó que estaba dispuesta a colaborar de forma constructiva con las autoridades. Esa declaración expresa voluntad de cooperación, pero la información disponible no incluye una explicación técnica detallada que responda punto por punto al trabajo de IMDEA Networks y las universidades europeas. Tampoco confirma que Zuckerberg, Oliván o Zimmermann hayan aceptado comparecer. La disposición a colaborar y la aclaración efectiva de los hechos son planos distintos: la primera es una señal institucional; la segunda requiere información verificable y respuestas concretas.

Una comparecencia parlamentaria puede aportar visibilidad y obligar a ordenar las explicaciones, aunque no reemplaza una investigación técnica ni una decisión judicial. Los expertos convocados podrían ayudar a traducir cómo se habría producido el seguimiento y qué límites tienen herramientas como el modo incógnito o las redes privadas virtuales. Aun así, la Cámara no determina por sí sola si hubo una infracción de la normativa de datos. Su función en este caso sería pedir rendición de cuentas y exponer discrepancias, mientras las autoridades con competencias específicas valoran las pruebas y el marco legal.

La presencia de responsables de alto nivel también plantea una cuestión práctica: hasta qué punto una explicación de dirección puede aclarar detalles de ingeniería que quizá dependan de equipos técnicos y decisiones internas. Por eso, la petición de expertos resulta relevante junto a la de los ejecutivos. Las respuestas sobre finalidad, consentimiento y alcance necesitan conectar la política empresarial con el funcionamiento real de las aplicaciones. Sin esa conexión, el debate corre el riesgo de quedarse entre promesas de privacidad y acusaciones difíciles de comprobar, sin que el público pueda entender qué sucedió en el teléfono.

La privacidad digital depende de poder entender el recorrido de los datos

El interés del caso no se limita a Meta ni a una aplicación concreta. La discusión revela lo difícil que resulta para un usuario reconstruir qué ocurre entre abrir una página, utilizar una aplicación y mantener una sesión asociada a una cuenta. Las herramientas de privacidad tienen alcances distintos, y la palabra incógnito puede sugerir una protección más amplia de la que ofrece en realidad. La pregunta decisiva es qué datos circulan, quién puede vincularlos con una identidad y qué información recibe la persona antes de que eso ocurra.

Por ahora, la investigación descrita ha llevado al PSOE a reclamar explicaciones en el Congreso, mientras Meta ha expresado que colaborará con las autoridades. Lo que falta es conocer las respuestas técnicas, la evaluación oficial y, en su caso, las conclusiones de los procedimientos correspondientes. La diferencia entre sospecha, investigación y responsabilidad probada no resta importancia al asunto: permite entenderlo con rigor y evita que el debate se cierre antes de que aparezcan las pruebas. La confianza en los servicios digitales depende, en buena medida, de que el usuario pueda saber qué se registra y por qué.