Los dispositivos que llevamos encima han dejado de ser simples accesorios. Hoy, un reloj inteligente o una pulsera de actividad convierte al cuerpo en una fuente inagotable de datos personales y biométricos que se recogen de forma casi continua. Ritmo cardíaco, patrones de sueño, pasos, ubicación o niveles de estrés pasan a engrosar bases de datos de fabricantes, desarrolladores de apps, aseguradoras o plataformas tecnológicas.
Esta realidad coloca a los wearables en el centro de un debate jurídico y ético de primer nivel. No solo se trata de si un tratamiento de datos cumple o no el RGPD, sino de cómo garantizar que, en un entorno de monitorización permanente y decisiones automatizadas, la persona siga teniendo el control efectivo sobre su información y no se vea reducida a un simple perfil estadístico.
Qué son los wearables y por qué plantean tantos retos legales
Cuando hablamos de wearables nos referimos a dispositivos electrónicos inteligentes que se integran en la ropa o se llevan sobre el cuerpo: relojes y pulseras deportivas, gafas inteligentes, parches biomédicos, biosensores, anillos conectados o dispositivos para niños y personas mayores, entre otros. Su rasgo común es la presencia de sensores que captan información del usuario y su entorno para enviarla a un móvil, a la nube o a otros sistemas conectados.
Estos equipos se utilizan tanto en la esfera privada como en contextos profesionales. Sirven para sincronizar notificaciones, recibir llamadas, usar GPS, pagar en comercios, monitorizar el ejercicio físico o registrar indicadores de salud (frecuencia cardíaca, oxígeno en sangre, temperatura, ciclos de sueño, etc.). También se emplean como apoyo a personas con diversidad funcional, en el ámbito sanitario o en fuerzas y cuerpos de seguridad.
El problema es que, para ofrecer todas esas funciones, los wearables necesitan recopilar una cantidad ingente de datos, muchos de ellos de la categoría especialmente protegida de datos de salud o biométricos. Además, suelen funcionar de manera silenciosa, automatizada y constante, lo que hace que el usuario medio tenga dificultades para comprender el alcance real del tratamiento.
Desde la perspectiva europea, estos dispositivos se encuadran plenamente en el marco del Reglamento General de Protección de Datos (RGPD) y, en España, también en la LOPDGDD. Además, plantean cuestiones sobre la soberanía de datos en Europa. La protección de datos es un derecho fundamental, y eso obliga a que el diseño, desarrollo y explotación comercial de los wearables respeten principios como la licitud, lealtad y transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación y seguridad.
Sin embargo, la propia lógica de los wearables tensiona esos principios: la recogida es masiva, el almacenamiento suele ser prolongado, las finalidades se acumulan (bienestar, analítica, marketing, personalización, investigación…) y las posibles combinaciones con datos contextuales (ubicación, horarios, movilidad, contactos, dispositivos del hogar inteligente) permiten inferencias muy sofisticadas sobre la vida del usuario.
Tipos de datos que recopilan los wearables y por qué son tan sensibles
Los datos que manejan estos dispositivos van mucho más allá del simple conteo de pasos. Un wearable típico puede procesar información identificativa básica, datos de contacto y credenciales de acceso, además de todo lo necesario para que el servicio funcione (por ejemplo, la cuenta de correo para sincronizar mensajes o credenciales para pagos móviles).
Pero el verdadero salto cualitativo está en los datos biométricos y de salud. Hablamos de frecuencia cardíaca, presión arterial, saturación de oxígeno, temperatura corporal, calidad del sueño, etapas de actividad y descanso, ciclos menstruales, niveles de estrés estimados o, incluso, patrones de movimiento que pueden utilizarse para identificar de manera única a una persona. Todos ellos son datos que el RGPD considera especialmente sensibles.
La información de geolocalización es otro elemento clave. Muchos wearables registran con gran precisión rutas, desplazamientos habituales, horarios de entrada y salida del domicilio o lugar de trabajo, así como puntos frecuentes de parada (gimnasio, colegio, centros médicos, etc.). A partir de ese mosaico es posible reconstruir el estilo de vida de un individuo con un nivel de detalle que, en manos inadecuadas, puede resultar extremadamente intrusivo.
La combinación de datos fisiológicos y contexto genera una potente capacidad de inferencia. Con suficientes registros es posible deducir hábitos, creencias, estado de salud probable o incluso anticipar conductas futuras (por ejemplo, riesgo de enfermedad, probabilidad de absentismo o patrones de consumo). Este tipo de perfiles puede terminar utilizándose en decisiones que afectan de forma muy directa a las personas.
En ámbitos como el empleo, los seguros o la financiación, la tentación de usar las métricas de actividad física, sueño o estrés como indicadores de rendimiento, riesgo o fiabilidad es alta. Eso abre debates jurídicos sobre proporcionalidad, transparencia, no discriminación, límites a la elaboración de perfiles y a la toma de decisiones automatizadas, especialmente cuando la persona no tiene una alternativa razonable para negarse sin sufrir consecuencias.
Riesgos prácticos: de la privacidad individual a la seguridad nacional
Los desafíos de los wearables no son meras hipótesis teóricas. Ya se han visto incidentes sonados que muestran cómo la combinación de datos de geolocalización y hábitos de uso puede comprometer no solo la privacidad individual, sino también la seguridad colectiva. Uno de los casos más comentados fue el de aplicaciones deportivas que permitían visualizar, sobre un mapa de calor público, los recorridos de entrenamiento de militares desplegados en bases presuntamente secretas.
En este tipo de escenarios, un descuido en la configuración de privacidad o la publicación automática de rutas puede desvelar ubicaciones sensibles, rutinas de patrullaje, horarios y puntos críticos. Lo que parece una inofensiva app de running se convierte en una fuente de inteligencia de primer orden, explotable por actores hostiles para planificar ataques o llevar a cabo operaciones de espionaje.
Pero no hace falta llegar a extremos geopolíticos para apreciar la magnitud del problema. Muchos usuarios proporcionan a las aplicaciones de sus wearables datos personales detallados, fotografías, acceso a contactos, micrófono, cámara o ubicación en tiempo real sin revisar las opciones de privacidad. Por eso, los usuarios deben aprender a gestionar metadatos y revisar en detalle las configuraciones para evitar exposiciones innecesarias. Sumado a configuraciones por defecto poco restrictivas, esto puede exponer información frente a otros usuarios de la app, al fabricante o a terceros con los que se compartan datos.
En el entorno corporativo, los wearables pueden convertirse en un vector de riesgo adicional. Dispositivos conectados a redes WiFi de la empresa o vinculados a teléfonos de trabajo pueden ampliar la superficie de ataque; un fallo de seguridad o una mala configuración podría facilitar accesos no autorizados a recursos internos, filtraciones de datos confidenciales o incluso problemas reputacionales si se graba audio o vídeo en contextos delicados sin la debida base jurídica.
Desde el punto de vista legal, también surgen riesgos cuando estos gadgets permiten grabaciones de voz o vídeo en espacios privados, lugares de trabajo, centros educativos o situaciones con menores. Dependiendo de la legislación aplicable, la captación y difusión de estas imágenes o sonidos puede acarrear responsabilidades penales, administrativas o civiles, tanto para el usuario como, en ciertos casos, para la organización que promueve o tolera ese uso.
Marco jurídico europeo: RGPD, LOPDGDD y obligaciones clave
El RGPD y la normativa española de protección de datos imponen un conjunto amplio de obligaciones a quienes diseñan, comercializan y explotan wearables o sus aplicaciones asociadas. Cualquier empresa que determine los fines y medios del tratamiento será considerada responsable del tratamiento, con independencia de que el dispositivo se conecte a través de un móvil, a la WiFi de casa o a una infraestructura en la nube.
Un primer bloque de obligaciones tiene que ver con la información al usuario. Antes de que el interesado empiece a utilizar la app o el dispositivo, el responsable debe explicar de manera clara, accesible y comprensible, al menos: quién es la empresa, cómo contactar con ella y, si existe, con su Delegado de Protección de Datos; qué datos se recogen; con qué finalidades; cuál es la base jurídica que legitima cada tratamiento; durante cuánto tiempo se conservarán los datos; a qué destinatarios se comunicarán y si se prevén transferencias internacionales.
También debe detallarse qué derechos asisten al usuario (acceso, rectificación, supresión, limitación, oposición, portabilidad), así como su derecho a retirar el consentimiento en cualquier momento y a presentar una reclamación ante la autoridad de control competente. Si va a haber decisiones automatizadas con efectos jurídicos o significativos (por ejemplo, perfiles de riesgo que influyan en una póliza de seguro), habrá que explicar la lógica aplicada y las posibles consecuencias de ese tratamiento.
La forma de proporcionar esta información es crucial. Las autoridades europeas recomiendan usar formatos comprensibles y adaptados al dispositivo: textos breves por capas, iconos explicativos, pantallas emergentes en momentos clave, vídeos o recursos visuales, siempre que no oculten ni resten legibilidad al texto. Suele ser buena práctica ofrecer una capa inicial con la información esencial y permitir desplegar detalles adicionales mediante enlaces o menús.
Además, si se pretende realizar un uso posterior de los datos distinto de aquel para el que se recabaron (por ejemplo, pasar de registrar actividad física a usar esos datos para investigación comercial o campañas de marketing), será necesario informar al interesado sobre esa nueva finalidad y, en muchos casos, recabar un nuevo consentimiento, especialmente tratándose de datos de salud o biométricos.
Legitimación del tratamiento y límites del consentimiento
En el ecosistema de las apps y los wearables, una de las bases jurídicas más habituales es la ejecución de un contrato. La lógica es clara: para prestar el servicio prometido (monitorizar actividad, mostrar notificaciones, medir constantes, etc.) es imprescindible procesar determinados datos. Así, por ejemplo, una app de seguimiento deportivo realmente necesita registrar pasos, distancia o frecuencia cardíaca para ofrecer estadísticas al usuario.
No obstante, esa base contractual solo legitima el tratamiento de los datos que sean estrictamente necesarios para la prestación del servicio. Cualquier información adicional (geolocalización continua cuando no es imprescindible, acceso a contactos, historiales de navegación, datos de marketing cruzado, etc.) requerirá otra base jurídica, y en muchos casos será imprescindible recabar un consentimiento específico y separado.
El consentimiento, además, no puede ser una formalidad vacía. Debe ser libre, específico, informado e inequívoco. Eso excluye las casillas premarcadas, los consentimientos “en bloque” que agrupan múltiples finalidades sin posibilidad de granular, o situaciones en las que el usuario se ve obligado a aceptar tratamientos excesivos para poder utilizar una funcionalidad básica del dispositivo.
Las autoridades han subrayado que la acción afirmativa para prestar consentimiento debe ser clara. Puede incluir gestos inusuales debidamente explicados (por ejemplo, realizar un movimiento concreto con el móvil a modo de “aceptar”), siempre que el usuario entienda sin dudas qué implica ese gesto. En cambio, acciones de uso habitual como desplazarse rápidamente por unos términos y condiciones largos no se consideran válidas para demostrar que existe un consentimiento consciente.
Otro aspecto delicado es el uso de wearables por parte de menores. La normativa española fija en 14 años la edad mínima para consentir por sí mismos en servicios de la sociedad de la información. Para usuarios de menor edad será necesario el consentimiento del progenitor o tutor legal, y el responsable deberá realizar esfuerzos razonables para verificar que ese consentimiento es auténtico, aplicando medidas acordes al riesgo y a la tecnología disponible.
Privacidad desde el diseño y por defecto en wearables
El RGPD obliga a incorporar la protección de datos desde el diseño y por defecto en cualquier solución que trate datos personales, incluyendo apps móviles, firmware de wearables, plataformas en la nube y paneles de administración. Esto implica evaluar los riesgos desde las fases iniciales de concepción del producto y adoptar medidas técnicas y organizativas proporcionadas antes, durante y después del desarrollo.
En la práctica, la privacidad desde el diseño supone, por ejemplo, reducir al mínimo los datos que se capturan, limitar la precisión o granularidad cuando no sea necesaria (por ejemplo, almacenar rutas a nivel de zona y no de dirección exacta si no aporta valor añadido real), procesar información localmente en el dispositivo en lugar de enviarla siempre a la nube o aplicar técnicas de seudonimización y cifrado robusto tanto en tránsito como en reposo.
Del lado técnico, los fabricantes pueden proteger las apps mediante un doble enfoque: por un lado, ofuscación del código fuente y uso de técnicas criptográficas para dificultar que terceros lo analicen o modifiquen; por otro, integración de mecanismos de autoprotección en tiempo de ejecución (RASP) capaces de detectar manipulaciones, entornos comprometidos o intentos de ingeniería inversa mientras la aplicación se está ejecutando.
La configuración por defecto es igualmente importante. Las opciones iniciales deberían ser prudentes y respetuosas con la privacidad, dejando al usuario la posibilidad de activar voluntariamente funciones más invasivas si así lo desea. Eso incluye desactivar por defecto la compartición social de rutas, ocultar rankings públicos, limitar la visibilidad del perfil y restringir la recopilación de datos no esenciales hasta que el interesado los active expresamente.
Cuando los tratamientos implican un alto riesgo para los derechos y libertades de las personas, como ocurre a menudo con la monitorización sistemática de datos de salud o biométricos a gran escala, el RGPD exige realizar una Evaluación de Impacto en Protección de Datos (EIPD). Esta evaluación debe identificar riesgos específicos (reidentificación, inferencias sensibles, accesos indebidos, usos secundarios no controlados) y documentar medidas de mitigación y garantías adicionales.
Seguridad técnico: Bluetooth, apps, backend y hogar inteligente
Los wearables no operan de forma aislada; forman parte de un ecosistema complejo que incluye firmware del dispositivo, protocolos de comunicación, aplicaciones móviles, APIs y servidores en la nube. Cualquiera de esos componentes puede convertirse en un punto débil explotable si la seguridad no se ha tenido en cuenta adecuadamente; por ello, herramientas como GlassWire resultan útiles para monitorizar y controlar el tráfico en redes domésticas y corporativas.
En la conexión entre el wearable y el móvil destaca el papel de Bluetooth, especialmente en su versión de bajo consumo (Bluetooth Low Energy, BLE). A lo largo de los años se han identificado vulnerabilidades en el protocolo que permiten, en determinadas condiciones, bloquear dispositivos, interceptar tráfico o manipular datos, sobre todo cuando la implementación concreta no sigue buenas prácticas de autenticación y cifrado.
El propio software del dispositivo también puede contener errores de programación o configuraciones inseguras. Una autenticación débil, una mala gestión de claves criptográficas o la falta de validación de entradas pueden derivar en fugas de información, secuestro del dispositivo, inyección de código o acceso no autorizado a datos almacenados. Incluso el mejor diseño conceptual flaquea si no se acompaña de revisiones de código, pruebas de penetración y actualizaciones de seguridad periódicas.
Las aplicaciones móviles asociadas a los wearables suponen otra vía de ataque frecuente. Apps mal desarrolladas pueden incluir fallos que expongan datos personales o abran la puerta al compromiso del teléfono. A ello se suma el riesgo de que el usuario descargue versiones falsas o maliciosas que imitan a las oficiales, o que conceda permisos excesivos (cámara, micrófono, SMS, contactos) sin evaluar si son realmente necesarios para las funciones que va a utilizar; por eso, conviene reforzar la protección y seguir pautas de privacidad en mensajería y comunicaciones.
En el lado del servidor, las plataformas que almacenan y procesan información procedente de wearables -a menudo ubicadas en infraestructuras en la nube- constituyen un objetivo muy atractivo para cibercriminales. Base de datos repletas de registros de salud, ubicaciones históricas y perfiles de comportamiento pueden ser monetizadas en mercados clandestinos o utilizadas para chantaje, suplantaciones de identidad o campañas de ingeniería social altamente personalizadas.
Cuando los wearables se integran con el hogar inteligente, el riesgo se amplifica. No es raro que un reloj o pulsera se utilice para controlar luces, termostatos, cámaras o incluso cerraduras inteligentes. Si un dispositivo de este tipo se pierde o es robado y no dispone de medidas antirrobo adecuadas (bloqueo por PIN o biometría, borrado remoto, límites de conexión), un tercero podría llegar a interactuar con el entorno doméstico del usuario.
Responsabilidad proactiva, brechas de seguridad y roles de los actores
El principio de responsabilidad proactiva exige que los responsables demuestren, y no solo declaren, su cumplimiento del RGPD. En el ámbito de los wearables esto se traduce en disponer de políticas claras, registros de actividades de tratamiento, contratos adecuados con proveedores y evidencias documentadas de las medidas de seguridad aplicadas, así como de las evaluaciones de impacto realizadas cuando corresponda.
La gestión de brechas de seguridad es un componente esencial. Dado que muchos wearables tratan datos delicados y elaboran perfiles, una intrusión o fuga puede generar perjuicios significativos. Por ello, las organizaciones deben contar con protocolos de respuesta a incidentes, procedimientos de notificación rápida a la autoridad de control y, cuando el riesgo lo exija, a los propios usuarios afectados, explicando de forma transparente qué ha ocurrido y qué medidas se han adoptado.
Cuando el volumen o la naturaleza de los datos lo justifica, la empresa propietaria de la app o del ecosistema wearable deberá nombrar un Delegado de Protección de Datos (DPD) y comunicar sus datos de contacto claramente a los usuarios. El DPD tiene la función de supervisar el cumplimiento, asesorar sobre evaluaciones de impacto, participar en la gestión de incidentes y actuar como punto de contacto con la autoridad y los interesados.
En entornos complejos, es fundamental delimitar bien los roles: quién actúa como responsable, corresponsable o encargado del tratamiento. Un solo wearable puede implicar a fabricantes de hardware, desarrolladores de software, plataformas de analítica, proveedores cloud y terceros que integran funcionalidades adicionales. Sin una definición precisa de responsabilidades, los usuarios se quedan desprotegidos y se dificulta la reclamación ante eventuales incumplimientos.
Por último, la reutilización de datos en contextos como la investigación médica, el marketing segmentado o la tarificación personalizada de seguros obliga a revisar constantemente la coherencia entre las bases jurídicas invocadas, las finalidades declaradas y las expectativas razonables del usuario. La línea entre innovación legítima y uso abusivo de la información personal puede ser tenue, especialmente cuando los incentivos económicos por explotar esos datos son muy elevados.
En este escenario, las personas usuarias y las organizaciones que incorporan wearables a su actividad deben adoptar una actitud más crítica y consciente: analizar si realmente necesitan el dispositivo, valorar alternativas menos invasivas, escoger proveedores con buen historial de seguridad, revisar en detalle la configuración de privacidad, formar al personal que los utilizará y, en definitiva, integrar la dimensión jurídica y de ciberseguridad desde el principio y no como un añadido de última hora.
Todo este conjunto de cuestiones muestra que el gran reto de los wearables no reside tanto en la sofisticación tecnológica como en el encaje jurídico y en la gobernanza del dato: cómo regular flujos de información continuos, cómo garantizar la transparencia en ecosistemas complejos y cómo asegurar que, en una época de cuantificación permanente, la dignidad y la autonomía de la persona siguen prevaleciendo sobre la lógica del dato.
