Un dato de ubicación que entra al ecosistema de una app o de la publicidad digital puede terminar cumpliendo una función muy distinta a aquella para la que imaginamos que fue recogido: señalar dónde estuvo un dispositivo y ayudar a reconstruir por dónde se movió.
El cambio ocurre cuando ese punto deja de estar solo. Una coordenada asociada con una hora dice dónde estuvo un dispositivo en determinado momento. Varias coordenadas vinculadas con el mismo identificador pueden empezar a formar un recorrido. Si ese recorrido se repite, aparecen lugares frecuentes, horarios y patrones.
Así, información que parecía útil para mostrar contenido, medir una campaña, conocer una zona o prestar un servicio puede adquirir otro valor cuando entra en contacto con otros sistemas.
Una coordenada aislada dice poco. Un recorrido repetido puede contar mucho.
Una ubicación empieza a decir más cuando se conecta con otras
Los dispositivos móviles producen diferentes señales de ubicación. Algunas son necesarias para funciones evidentes: encontrar una ruta, pedir transporte, consultar servicios cercanos o utilizar una aplicación que necesita saber en qué zona nos encontramos.
Pero la ubicación también puede incorporarse a sistemas de analítica y publicidad. En algunos casos aparece acompañada por una hora y algún identificador que permite reconocer al mismo dispositivo en distintas ocasiones. Eso cambia su significado. Un punto registrado cerca de una cafetería podría ser casual. Decenas de registros en el mismo lugar, a determinadas horas y durante varias semanas, empiezan a describir una regularidad.
Lo mismo puede ocurrir con una oficina, un centro comercial, una escuela, un aeropuerto o cualquier otro lugar. El cambio puede entenderse mejor al seguir cómo varios registros aislados empiezan a formar un recorrido.
El sistema no necesita saber inicialmente nuestro nombre para empezar a distinguir un recorrido.
La publicidad también genera información que puede viajar
Buena parte de la publicidad digital funciona mediante sistemas que necesitan decidir, en muy poco tiempo, qué anuncio mostrar y cómo medir lo que ocurrió después. Para hacerlo, aplicaciones, sitios y proveedores publicitarios intercambian distintas señales. Algunas pueden proceder de componentes incorporados dentro de las propias apps y otras del proceso mediante el cual se seleccionan anuncios.
Citizen Lab explica que esos ecosistemas pueden incluir datos como identificadores de dispositivos, momento de la actividad, aplicación utilizada y, cuando está disponible, ubicación. Esa información también puede pasar por intermediarios y corredores de datos.
Aquí aparece una diferencia importante: un dato creado dentro de un ecosistema comercial puede continuar circulando fuera del contexto en el que el usuario cree haberlo entregado. Eso es precisamente lo que vuelve tan interesante —y delicada— la ubicación digital.
Cómo un dato de ubicación puede terminar en otros sistemas
Una aplicación puede conocer nuestra ubicación porque la necesita para prestar un servicio o porque tiene permiso para acceder a ella. Dependiendo de cómo esté diseñada, parte de esa información puede utilizarse además para analítica, medición o publicidad mediante servicios incorporados por terceros.
El dato adquiere mayor valor cuando puede relacionarse con alguna señal que permita reconocer que varios registros proceden del mismo dispositivo. Así, ubicaciones obtenidas en momentos distintos dejan de ser puntos independientes y comienzan a formar una secuencia.
A partir de ahí pueden intervenir otros participantes del ecosistema digital. Proveedores de publicidad, empresas de analítica o corredores de datos pueden recibir, combinar o comercializar determinados registros según el servicio, los permisos y las reglas aplicables. Quien accede después a suficientes puntos puede utilizarlos con un propósito muy diferente al que tenía la aplicación donde fueron generados.
En términos sencillos, el proceso empieza cuando una app registra una ubicación. Si varios registros pueden vincularse con el mismo dispositivo, dejan de verse como puntos aislados y empiezan a formar un recorrido. A partir de ahí, ese recorrido puede utilizarse con fines muy distintos.
Lo relevante es que el teléfono no necesita estar enviando permanentemente un mapa con nuestro nombre escrito encima. El valor aparece al relacionar suficientes registros y encontrar continuidad entre ellos.
Cuando los datos comerciales terminan formando un mapa
En abril de 2026, Citizen Lab documentó Webloc, un sistema de geolocalización comercializado por Penlink que utiliza datos procedentes de aplicaciones y del ecosistema de publicidad digital.
De acuerdo con documentos analizados por los investigadores, el sistema ofrece acceso a registros que pueden incluir identificadores de dispositivo y coordenadas de ubicación. Citizen Lab señala que la documentación de Webloc describe acceso a información procedente de hasta 500 millones de dispositivos móviles y la posibilidad de consultar movimientos históricos.
Lo llamativo es que este tipo de seguimiento funciona de manera diferente a la imagen tradicional del espionaje digital. No necesita necesariamente infectar el teléfono ni activar en secreto su micrófono. Puede trabajar con datos que ya existen dentro del ecosistema comercial.
Ahí aparece una categoría que empieza a recibir mayor atención: el uso de información publicitaria para tareas de seguimiento o inteligencia.
Colombia muestra por qué conviene distinguir las tecnologías
El mismo informe de Citizen Lab encontró que la Fiscalía General de la Nación de Colombia había adquirido licencias de Tangles, otra plataforma desarrollada originalmente por Cobwebs Technologies, posteriormente integrada a Penlink.
Los documentos revisados muestran incluso una actualización y soporte para ocho licencias durante 2024. Sin embargo, eso no permite afirmar que la Fiscalía colombiana haya comprado o utilizado Webloc. Citizen Lab distingue entre la evidencia disponible sobre Tangles y lo que todavía no puede demostrarse respecto a la herramienta de geolocalización.
La diferencia importa porque varias tecnologías pueden pertenecer al mismo ecosistema empresarial sin realizar exactamente la misma función. Y ese mismo cuidado sirve para entender lo que ocurre en México.
México: identificar una línea no es lo mismo que rastrear un teléfono
Desde enero de 2026, México inició un proceso para que las líneas móviles estén vinculadas con una persona física o moral. Para personas físicas, el registro relaciona la línea con una identificación oficial y la CURP.
La Comisión Reguladora de Telecomunicaciones señala que la información queda bajo resguardo de las compañías telefónicas y no se concentra en una base de datos única controlada directamente por el gobierno. Para agosto de 2026, la CRT reportaba más de 71 millones de líneas vinculadas.
Ese registro no equivale a un sistema publicitario de geolocalización ni significa por sí mismo que alguien pueda seguir un teléfono sobre un mapa. Pero incorpora otra capa al ecosistema digital: la relación entre una línea y una identidad.
Por separado, la Ley en Materia de Telecomunicaciones y Radiodifusión establece obligaciones para que los operadores colaboren con las autoridades competentes en la localización geográfica en tiempo real en los casos previstos por las leyes. También contempla la conservación de determinados registros de comunicaciones, incluida información de posicionamiento geográfico, y prohíbe utilizar esos datos para fines distintos de los establecidos legalmente.
Son mecanismos distintos a los datos obtenidos mediante publicidad. Precisamente por eso conviene separarlos: una cosa es identificar quién es titular de una línea, otra conservar información de telecomunicaciones y otra obtener datos de ubicación procedentes de aplicaciones o mercados publicitarios.
La preocupación aparece cuando hablamos de la cantidad de capas capaces de describir diferentes partes de nuestra vida digital.
Un mapa puede revelar mucho más que una dirección
La ubicación se vuelve especialmente sensible porque algunos lugares dicen bastante sobre nuestra vida sin necesidad de conocer el contenido de una conversación.
Una secuencia de movimientos puede sugerir dónde vivimos, dónde trabajamos o qué establecimientos frecuentamos. En determinados casos puede revelar visitas a centros médicos, lugares de culto, reuniones políticas u otros espacios especialmente sensibles.
Ese riesgo ya ha llegado a los reguladores. En Estados Unidos, la Federal Trade Commission actuó contra el corredor de datos Mobilewalla por la venta de información sensible de ubicación. La FTC alegó que los datos podían revelar visitas a lugares como establecimientos sanitarios y centros religiosos, y su orden final impuso restricciones a la comercialización y utilización de este tipo de información.
El problema, entonces, deja de ser únicamente qué publicidad aparece en nuestra pantalla. También importa quién puede acceder posteriormente a los datos que ayudaron a construir esa publicidad.
Ucrania muestra hasta dónde puede llegar el mismo fenómeno
El extremo resulta mucho más visible en un conflicto armado. Una investigación de Bayerischer Rundfunk y netzpolitik.org publicada en abril de 2026 examinó datos de ubicación de teléfonos ofrecidos comercialmente. Los periodistas encontraron cientos de miles de puntos procedentes de Ucrania y mostraron que algunos podían ayudar a identificar posiciones cercanas al frente y movimientos vinculados con instalaciones sensibles.
Los reporteros también pudieron reconstruir recorridos relacionados con instalaciones de empresas de defensa en Alemania a partir de datos disponibles comercialmente.
Eso no demuestra que esos registros hayan provocado ataques ni que toda información publicitaria termine utilizándose con fines militares. Demuestra algo distinto y quizá más importante para entender la tecnología: un dato puede adquirir consecuencias completamente nuevas cuando cambia quién lo obtiene y para qué decide utilizarlo.
Pegasus funciona de otra manera
México conoce bien otra conversación sobre vigilancia digital: Pegasus. Pero conviene no colocar todas estas tecnologías en la misma bolsa.
Pegasus es spyware diseñado para comprometer directamente un dispositivo. Una vez infectado, puede acceder a información que se encuentra dentro del teléfono y utilizar capacidades como micrófono, cámara, mensajes o geolocalización. Citizen Lab ha documentado infecciones y ataques con Pegasus contra periodistas y defensores de derechos humanos en México.
La vigilancia basada en datos comerciales sigue otra ruta. En vez de entrar al teléfono para extraer información directamente, aprovecha datos generados o distribuidos por aplicaciones, servicios publicitarios y otros participantes del mercado digital.
Las dos pueden plantear problemas serios de privacidad y control. La tecnología que utilizan, la escala y la manera de obtener la información son diferentes.
El dato cambia cuando cambia su contexto
La ubicación hace posibles experiencias digitales que utilizamos todos los días. Gracias a ella encontramos rutas, recibimos entregas, descubrimos negocios cercanos y utilizamos aplicaciones que dependen de conocer aproximadamente dónde estamos.
El desafío aparece después. Un punto puede convertirse en varios puntos. Los puntos pueden dibujar un recorrido. El recorrido puede mostrar un patrón y ese patrón puede resultar útil para alguien que busca personalizar publicidad, analizar movilidad, realizar una investigación o vigilar movimientos.
La transformación tecnológica más importante quizá no esté en cada dato por separado, sino en la facilidad con la que diferentes datos pueden relacionarse y adquirir usos que no eran evidentes cuando fueron generados.
En internet, saber dónde estamos ya no siempre significa únicamente encontrar nuestra posición en un mapa. A veces significa que el mapa puede empezar a contar una historia sobre nosotros.
▏Desde la investigación
- Citizen Lab (2026) — Uncovering Webloc. Investigación sobre Webloc y el uso de información procedente de aplicaciones y publicidad digital para reconstruir ubicación y movimientos.
- Federal Trade Commission — Mobilewalla. La FTC finalizó en 2025 una orden que restringe la venta y utilización de datos sensibles de ubicación tras alegar prácticas indebidas de recopilación y comercialización.
- Comisión Reguladora de Telecomunicaciones y Ley en Materia de Telecomunicaciones y Radiodifusión, México. Documentan la vinculación de líneas móviles y las obligaciones legales relacionadas con conservación de datos y localización geográfica en determinados supuestos.
- Bayerischer Rundfunk / netzpolitik.org (2026). Investigación sobre datos comerciales de ubicación y su capacidad para reconstruir movimientos de dispositivos, incluidos registros encontrados cerca del frente en Ucrania.
- Citizen Lab — Pegasus en México. Investigación forense que permite distinguir el spyware dirigido contra dispositivos de las tecnologías que reutilizan datos procedentes del ecosistema comercial.