La Electronic Frontier Foundation ha publicado una advertencia para desarrolladores de Android: algunos SDK publicitarios pueden recopilar y compartir ubicación por defecto cuando están integrados en una aplicación que ya tiene permiso para acceder a la ubicación del usuario. TechCrunch recogió la investigación, que apunta a un problema especialmente delicado porque el desarrollador puede creer que solo usa la ubicación para una función legítima, como meteorología, movilidad o deporte.
El punto crítico está en las librerías de terceros. Una app puede pedir permiso para mostrar el tiempo local o registrar una ruta de entrenamiento, pero si incorpora un SDK de anuncios con ajustes agresivos, esa misma señal puede fluir hacia anunciantes o intermediarios. El usuario concede permiso a una aplicación concreta, pero la cadena real de datos puede incluir empresas que nunca vio ni eligió.
La EFF subraya que los ajustes por defecto importan. Muchos equipos integran herramientas de monetización, analítica o publicidad bajo presión de tiempo y no revisan cada configuración con detalle. En startups pequeñas o apps mantenidas por pocos desarrolladores, esa omisión puede convertirse en una fuga sistemática de datos sensibles. La ubicación precisa revela rutinas, domicilio, trabajo, visitas médicas, lugares de culto o reuniones políticas.
El problema no se limita a una cuestión de privacidad individual. También afecta a responsabilidad empresarial. Si una aplicación europea comparte ubicación con terceros sin base legal clara, consentimiento informado o control contractual adecuado, puede exponerse a riesgos bajo el RGPD. Además, la reputación de una marca puede sufrir aunque la recopilación proceda de un proveedor externo.
Para los desarrolladores, la conclusión práctica es dura: integrar un SDK equivale a incorporar comportamiento de otra empresa dentro de tu producto. No basta con confiar en que una librería sea popular o tenga buena documentación. Hay que revisar permisos, opciones de desactivación, flujos de datos, contratos y cambios de versión.
La industria publicitaria móvil lleva años usando identificadores, señales de dispositivo y datos contextuales para mejorar segmentación. Las restricciones de Apple y Android han limitado parte de esa capacidad, pero la ubicación sigue siendo una señal valiosa. Por eso cualquier permiso concedido por el usuario puede convertirse en incentivo para capturar más información, salvo que la app lo bloquee explícitamente.
Para empresas españolas con aplicaciones móviles, la revisión debería empezar por un inventario técnico. Qué SDK están instalados, qué permisos heredan, qué datos envían, a qué dominios se conectan y qué documentación contractual respalda ese intercambio. Después conviene probar la app en condiciones reales, no solo leer políticas. Herramientas de análisis de tráfico pueden revelar comportamientos inesperados.
La privacidad móvil ya no puede depender de textos legales escritos después de integrar la tecnología. Debe entrar en el ciclo de desarrollo, igual que las pruebas de rendimiento o seguridad. Si una librería cambia sus condiciones, el equipo necesita enterarse antes de publicar una nueva versión.
La advertencia de la EFF llega en un momento en el que la regulación europea exige mayor transparencia y minimización de datos. También coincide con un mercado publicitario que busca señales alternativas para mantener ingresos. La tensión seguirá. La diferencia entre una app responsable y una expuesta estará en la disciplina técnica: pedir menos permisos, configurar mejor los proveedores y no dar por invisible una cadena de datos que cada vez interesa más a reguladores y usuarios.
