Google contra las cuerdas: España lidera la batalla por la privacidad en Android

La demanda histórica que busca proteger a 37 millones de usuarios ante el mayor caso de «espionaje digital» en nuestro país

En un movimiento que podría marcar un antes y un después en la protección de datos en Europa, la Asociación de Usuarios de la Comunicación (AUC) ha iniciado acciones judiciales contra Google Ireland Ltd. y Google Spain S.L. por lo que califica como la mayor vulneración masiva de la privacidad digital conocida en España. La asociación, representada por su secretario general, Bernardo Hernández Bataller, acusa a Google de recopilar datos sensibles de hasta 37 millones de usuarios de Android –cifra que representa alrededor del 76-80% de los usuarios de móviles en el país– sin un consentimiento válido, libre e informado, en clara contravención del Reglamento General de Protección de Datos (RGPD).

El caso, que ha sido admitido a trámite por juzgados de Primera Instancia de Madrid mediante diligencias preliminares, busca en una primera fase obtener el listado de usuarios afectados para informarles y preparar demandas colectivas posteriores. Si prospera, podría derivar en indemnizaciones millonarias y obligar a Google a modificar radicalmente sus prácticas en el sistema operativo más utilizado del mundo.

El marco legal que lo hace posible: La Directiva de Acciones de Representación

Este caso no nace de la nada. Se ampara directamente en la Directiva (UE) 2020/1828 relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, una normativa europea que ha cambiado las reglas del juego en materia de demandas masivas. Antes de su entrada en vigor, era extremadamente difícil que una asociación como la AUC pudiera demandar en nombre de millones de personas por daños morales o vulneraciones de privacidad, ya que cada afectado debía personarse individualmente o las acciones colectivas se limitaban mayoritariamente a peticiones de cese.

Con esta directiva –cuya transposición plena en España ha sido algo tardía, pero cuyos principios ya se aplican en los tribunales–, las asociaciones cualificadas pueden reclamar no solo el fin de las prácticas ilegales, sino también indemnizaciones económicas directas en nombre de todos los perjudicados. Esto abre la puerta a compensaciones millonarias sin que los 37 millones de usuarios españoles tengan que comparecer uno a uno.

El origen: De una queja individual a una investigación sistémica

Todo comenzó con una denuncia aislada: un socio de la AUC se quejó de recibir anuncios excesivamente personalizados en su dispositivo Android. Esta alerta llevó a la asociación a encargar un informe pericial independiente al profesor Doug Leith, catedrático de Sistemas Informáticos en el Trinity College de Dublín y uno de los mayores expertos mundiales en privacidad móvil.

Leith, cuya trayectoria en este campo se remonta a más de una década, publicó en febrero de 2025 su estudio más reciente: «Cookies, Identifiers and Other Data That Google Silently Stores on Android Handsets«. En él, concluye que Google almacena de forma «silenciosa» cookies de seguimiento e identificadores permanentes (como el Android ID, cookies NID/DSID, identificador publicitario y cabeceras de autenticación) en los dispositivos Android sin pedir consentimiento explícito ni ofrecer una opción real de desactivación.

Según el informe, estas prácticas permiten a Google acceder a información altamente sensible:

• Detalles de llamadas y mensajes (números contactados, horarios y duración).
• Localización precisa (que revela domicilios, lugares de trabajo, visitas a centros médicos o rutinas diarias).
• Uso de aplicaciones y actividad física.

Un elemento técnico clave que denuncia Leith es el device fingerprinting: incluso si el usuario resetea o borra su ID de publicidad, Google puede seguir identificando el dispositivo de forma única combinando múltiples datos de hardware y software (IMEI, dirección MAC Wi-Fi, resolución de pantalla, versión del sistema, nivel de batería, etc.). Esto hace prácticamente imposible que el usuario «escape» del rastreo, ni siquiera reiniciando todos los ajustes de privacidad.

Antes de acudir a los tribunales, la AUC envió una carta a Google exponiendo los hallazgos y solicitando el cese de las prácticas, así como los datos de los afectados. La respuesta de la compañía fue insatisfactoria, lo que precipitó la vía judicial.

La trayectoria de Doug Leith: Un historial de alertas ignoradas

Doug Leith no es nuevo en estas lides. Sus investigaciones han destapado sistemáticamente las debilidades de privacidad en Android desde hace años:

• 2021: En su estudio comparativo entre Android e iOS, reveló que un dispositivo Android envía hasta 20 veces más datos a Google que un iPhone a Apple, incluso en configuraciones mínimas o sin cuenta logueada.
• 2021-2022: Analizó variantes de Android de fabricantes como Samsung, Xiaomi, Huawei y Realme, encontrando que envían cantidades masivas de datos a sus servidores.
• 2022: Examinó apps preinstaladas como Google Messages y Dialer, concluyendo que recopilan hashes de números de teléfono y registros de llamadas.

Sus trabajos han sido citados en medios como The Register, Forbes y Ars Technica, e influyen en debates regulatorios europeos. «Es hora de que reguladores y políticos actúen para dar control real a los usuarios», ha repetido Leith.

La respuesta de Google: La paradoja de los «servicios esenciales»

Google ha reaccionado con firmeza. Un portavoz declaró: «Las alegaciones sobre el funcionamiento de Android son incorrectas. Esta demanda pretende erróneamente proteger la privacidad de los usuarios mientras exige los datos personales de millones de personas sin su consentimiento para preparar acciones colectivas especulativas».

La compañía defiende que gran parte de la telemetría recopilada es estrictamente necesaria para el correcto funcionamiento del dispositivo: notificaciones push, precisión del GPS y parches de seguridad críticos. El verdadero debate, según los críticos, es si Google aprovecha esos mismos datos con fines comerciales –principalmente publicidad– sin un consentimiento explícito y separado.

Privacy Sandbox: ¿Solución o lavado de cara?

Mientras enfrenta esta demanda, Google ha estado impulsando el proyecto Privacy Sandbox, cuyo objetivo declarado es eliminar progresivamente las cookies de terceros y sustituirlas por mecanismos que categoricen al usuario directamente en el navegador (Chrome) o en el sistema operativo (Android). Sin embargo, muchos expertos ven este cambio como un «lavado de cara»: en lugar de reducir el rastreo, simplemente traslada el control absoluto a Google.

Impacto en otros fabricantes (OEM): ¿Responsabilidad compartida?

Android no es solo Google. El núcleo del sistema es open-source, pero los servicios esenciales (GMS) vienen preinstalados de forma obligatoria en la inmensa mayoría de dispositivos vendidos en Europa (Samsung, Xiaomi, Oppo, etc.). La demanda plantea la pregunta de si los fabricantes comparten responsabilidad por integrar estas herramientas de rastreo de manera no desactivable.

Un frente europeo y futuro para el usuario

España no está sola. Asociaciones de consumidores en Países Bajos y Portugal han iniciado procedimientos similares. Con Android dominando el mercado nacional, la AUC ha habilitado en su web auc.es una sección dedicada para seguir el caso. Aunque el proceso podría tardar meses, abre la puerta a una transparencia real.

Como resume Bernardo Hernández Bataller: «Ha primado la tecnología sobre la intimidad. Necesitamos participación activa para defender nuestros derechos». La respuesta judicial que está por venir podría cambiar las reglas del juego para siempre.

Bibliografía y fuentes de interés

• Estudio Pericial: Cookies, Identifiers and Other Data That Google Silently Stores on Android Handsets – Prof. Doug Leith (Trinity College Dublin, 2025).
• Marco Jurídico: Directiva (UE) 2020/1828 relativa a las acciones de representación (Diario Oficial de la Unión Europea).
• Referencia Histórica: Decisión de la Comisión Europea sobre el caso Android (2018).
• Portal del Afectado: Asociación de Usuarios de la Comunicación (auc.es).