«Conforme al RGPD» no es lo mismo que privado

Journal · 2026-09-15 · R. Klug · Todas las notas

Leer en: English · Deutsch · Français · Italiano

Casi cualquier app de salud puede decirlo con verdad: conforme al RGPD, política de privacidad en regla, tus datos protegidos. Todo eso puede ser exacto — y nada de eso responde la pregunta que realmente tienes. La conformidad describe un proceso: hay una política, hay una base jurídica, hay una vía para solicitar el borrado. No te dice dónde viven físicamente esta noche los datos de tu corazón, cuántas copias existen ni quién será el dueño de la empresa que los guarda el año que viene.

Intenta responder tres preguntas

Elige cualquier wearable conectado a la nube que uses e intenta responder, con precisión:

• ¿Dónde está guardada la noche de ayer, ahora mismo? La respuesta honesta es una cadena: la nube del fabricante, en una región que puede que te digan o no; los subencargados detrás — alojamiento, analítica, herramientas de soporte, distribución de contenido — listados en una página que puede modificarse; copias de seguridad con su propio calendario. Cada eslabón es legítimo. La suma es que el «dónde» no tiene respuesta localizable.
• ¿Quién es dueño de la empresa? La propiedad es un hecho en movimiento. Las startups se compran, las matrices están en otras jurisdicciones, los inversores cambian — y años de tu fisiología se transfieren con los activos, bajo las condiciones que entonces apliquen. Pregunta a cualquiera cuya plataforma de fitness fue comprada por una empresa más grande: los datos no se movieron, pero todo lo que los rodeaba, sí.
• ¿Qué ley aplica? La jurisdicción sigue a los servidores y a la estructura societaria, no a ti. Datos registrados en tu muñeca en Múnich pueden regirse, en la práctica, por la realidad jurídica de dondequiera que estén la infraestructura y la entidad propietaria — y eso puede cambiar sin ningún cambio en tu app.

Nada de esto exige mala intención de nadie. Ese es precisamente el punto: incluso con todas las empresas implicadas actuando de buena fe, no puedes rastrear tus propios datos. Una casilla de consentimiento resume un sistema demasiado complicado para auditarlo desde fuera — y «privado» ha pasado en silencio a significar «tratado conforme a un documento» en lugar de «sabido en un solo lugar».

Qué debería significar «privado»

El criterio que nos exigimos a nosotros mismos: los datos son privados cuando puedes nombrar cada copia. Ni confianza, ni certificación — enumeración. La mayoría de las arquitecturas cloud no pueden cumplir ese criterio — no por mala voluntad, sino porque crean copias más rápido de lo que ningún documento puede registrarlas.

ampulse y Polar: la conexión directa

Por eso ampulse funciona de otra manera, y la descripción cabe en tres frases. Tu sensor Polar se conecta directamente con ampulse en tu iPhone. Tus noches y sesiones se registran ahí y te pertenecen. Ninguna cuenta se interpone entre tú y tu propio latido, y nada se comparte a menos que tú lo compartas.

Esa es toda la promesa, y hace que las tres preguntas tengan respuesta por primera vez: ¿dónde está la noche de ayer? En tu teléfono, y en cualquier exportación que hayas hecho. ¿Quién es dueño de la empresa que la guarda? Para tus datos, la pregunta no se plantea. ¿Qué ley aplica? Sin un tercero que guarde tus noches, no queda jurisdicción lejana que rastrear — la pregunta se reduce al dispositivo en tu mano. Copias enumerables: el criterio, cumplido.

El lado del hardware de la pareja tiene su propio peso: Polar construye instrumentos de frecuencia cardíaca en Finlandia desde 1977, y el Loop y el H10 son sensores, no suscripciones. Sensor, teléfono, tus archivos. Cómo se compara esto en detalle con los wearables en la nube — y todo lo demás sobre el registro está en la sección de privacidad de la página de producto.