El 4 de agosto de 2026, la Electronic Frontier Foundation (EFF) publicó una investigación que TechCrunch distribuyó ampliamente: cuatro SDKs de publicidad ampliamente usados en apps Android transmiten la ubicación precisa de los usuarios a terceros — incluyendo brokers de datos — por defecto, sin que los desarrolladores de esas apps lo hayan decidido explícitamente ni que los usuarios lo hayan consentido específicamente.
Los cuatro SDKs identificados: BidMachine, InMobi, Verve’s HyBid y Huawei’s Petal Ads. Entre las apps afectadas analizadas por la EFF, dos habían sido descargadas un total combinado de más de 60 millones de veces sin declarar en el Data Safety de Google Play que compartirían datos de ubicación con terceros.
El mecanismo técnico es simple y con implicaciones profundas: cuando un usuario concede permiso de ubicación a una app (para el GPS de una app de navegación, por ejemplo), Android trata a la app y todo su código embebido como un único titular de esos permisos. Los SDKs de publicidad integrados en la app heredan automáticamente ese acceso a la ubicación a menos que el desarrollador lo desactive explícitamente.
Por qué los desarrolladores no lo saben y el riesgo de adónde van los datos
La mayoría de los desarrolladores de apps integran SDKs de publicidad para monetizar su aplicación sin cobrar al usuario — es el modelo estándar de apps gratuitas financiadas por anuncios que permite que miles de apps existan sin precio de compra. El problema es que ese modelo de negocio tiene una cadena de consecuencias de privacidad que la mayoría de los desarrolladores individuales o de startups pequeñas no han revisado en detalle. Integran el SDK, la app funciona, los anuncios generan ingresos, y la pregunta de «¿qué datos están transmitiendo mis usuarios?» queda sin responder. El proceso habitual es añadir el SDK de publicidad siguiendo las instrucciones de integración técnica básica. La documentación de InMobi, según encontró la EFF, dice que los anunciantes pagan más por impresiones con datos de ubicación y recomienda mantener el tracking habilitado. La EFF señala que para el desarrollador, la monetización inmediata supera a la revisión detallada de los datos transmitidos.
La consecuencia de que esos datos vayan a brokers sin que el usuario lo sepa: la ubicación precisa de Android puede resolverse a 50 metros o incluso 10 metros, suficientemente exacta para identificar la dirección del domicilio de una persona. Cuando esa coordenada se incluye en solicitudes de subasta publicitaria en tiempo real (real-time bidding), se transmite a potencialmente miles de anunciantes simultáneamente. Los brokers que «ganan» subastas no por el espacio publicitario sino por los datos pueden venderlos a gobiernos, agencias de inteligencia (el FBI es un comprador conocido de datos de localización de brokers), militares y otros actores.
Bill Budington (EFF): «Estos SDKs afirman llegar a miles de millones de usuarios en decenas de miles de apps.» La recomendación de la EFF a los desarrolladores: revisar explícitamente la configuración de cada SDK de publicidad y desactivar la transmisión de ubicación si la app no la necesita para su función principal.
Las nuevas funciones de Android para privacidad y seguridad incluyen controles de permisos más granulares que Google ha añadido en versiones recientes, pero no resuelven el problema estructural de los SDKs heredando permisos. La regulación del DSA en la UE sobre prácticas de plataformas digitales establece obligaciones de transparencia sobre el uso de datos de usuarios — el comportamiento de estos SDKs probablemente viole las obligaciones de divulgación del DSA en la UE. Los Meta Teen Accounts y la protección de datos de menores son el tipo de protección que existe para las grandes plataformas pero que no existe para el ecosistema de SDKs de terceros que operan dentro de esas apps.
Mi valoración
Lo que más me preocupa de este informe es la escala invisible: no estamos hablando de un hack o una filtración — estamos hablando de decenas de miles de apps enviando datos de ubicación como comportamiento operativo normal, con el consentimiento técnico del usuario pero sin su comprensión real de a dónde van esos datos.
Lo que más me convence de la propuesta de la EFF es la solución técnica que propone: que los SDKs de publicidad requieran opt-in explícito del desarrollador para la recogida de ubicación, en lugar de opt-out. Eso no requiere cambiar los permisos de Android — solo cambiar las políticas por defecto de los SDKs.
Preguntas frecuentes
¿Cómo puedo saber si las apps en mi Android comparten mi ubicación con brokers?
No hay forma directa para un usuario ordinario de saber qué SDKs tiene instalados cada app. Lo que sí puedes hacer: revocar el permiso de ubicación precisa en Ajustes → Privacidad → Permisos de ubicación para apps que no necesitan GPS para su función principal. Si una app necesita tu ubicación para funcionar y la revocar rompe esa función, tienes la confirmación de que la app la usa.
¿Los SDKs identificados por la EFF ya han respondido?
InMobi reconoció que transmite ubicación por defecto y recomienda que los desarrolladores lo mantengan habilitado porque genera más ingresos publicitarios. HyBid (Verve) tiene el tracking habilitado por defecto según su documentación. Petal Ads (Huawei) incluye ubicación en solicitudes de anuncios salvo que los desarrolladores usen un método de opt-out separado. BidMachine fue identificado principalmente a través de análisis de tráfico de red real.
¿Google Play podría resolver esto con sus políticas?
Google ya requiere que los desarrolladores publiquen en la sección Data Safety de Google Play cómo recopilan, usan y comparten datos de usuarios — incluyendo datos de SDKs de terceros. El problema es que dos de las apps identificadas por la EFF no declaraban el compartido de ubicación en esa sección, incumpliendo las políticas de Google Play. Google tiene mecanismos para investigar y retirar apps que violen sus políticas, pero no tiene un sistema de auditoría preventiva de cada SDK.