4 Wearables, 6 Riesgos de Datos: Auditoría de Privacidad de Fitbit a Oura

Tu muñeca sabe que estás estresado antes que tú. Variabilidad de la frecuencia cardíaca a las 3 de la madrugada, caídas de oxígeno en sangre, desglose de fases del sueño, seguimiento del ciclo menstrual — los wearables capturan ahora señales de salud que hace una década requerían visitas clínicas. El problema: estos datos no se quedan en tu dispositivo. Van a servidores de la empresa, proveedores de análisis de terceros, socios de investigación y, en algunos casos, anunciantes. La mayoría de la gente pulsa "aceptar" durante la configuración y no vuelve a mirar. Esta guía audita exactamente qué comparten Fitbit, Garmin, Whoop, Oura y Strava con el exterior, y te da los ajustes concretos para protegerlos.

Lo Que Tu Wearable Realmente Recoge (No Son Solo Pasos)

La frecuencia cardíaca es lo obvio. Pero los wearables modernos van mucho más lejos, y ahí es donde el cálculo de privacidad se complica de verdad.

Los dispositivos de alta gama de Garmin registran frecuencia cardíaca continua, puntuaciones de estrés derivadas de la VFC, lecturas de oxígeno en sangre, datos del ciclo menstrual, puntuaciones de Body Battery, fases del sueño y rutas GPS. Whoop, con el hardware 6.0 lanzado en mayo de 2024, añade temperatura cutánea, frecuencia respiratoria y oxígeno en sangre durante el sueño. El Oura Ring Generación 4 (lanzado en octubre de 2024) registra la desviación de temperatura, la VFC, las puntuaciones de preparación y — con su membresía de 6 $/mes — análisis del ciclo vinculados a patrones de temperatura corporal basal.

Esa última categoría importa legalmente. Los datos de salud menstrual y reproductiva están clasificados como sensibles en el Artículo 9 del GDPR y en la CCPA de California según la enmienda de la Proposición 24 de noviembre de 2020. Antes de la decisión Dobbs v. Jackson de junio de 2022, muy pocas políticas de privacidad de wearables abordaban cómo se trataría estos datos ante una citación judicial. Algunas plataformas actualizaron sus políticas tras el fallo. Otras no, y esa brecha sigue valiendo la pena comprobar.

Fitbit y Google: La Fusión Que Lo Cambió Todo

Fitbit fue adquirida por Google en enero de 2021 por 2.100 millones de dólares. Las implicaciones para la privacidad son más profundas de lo que sugirió la cobertura mediática.

Google se comprometió en su política de privacidad de Fitbit a no usar los datos de Fitbit para publicidad dirigida — un compromiso hecho para obtener la aprobación antimonopolio de la UE para la adquisición. Ese compromiso es real y jurídicamente vinculante. Pero los datos de Fitbit siguen fluyendo hacia cuentas de Google. Cuando inicias sesión en la app de Fitbit con una cuenta de Google (el método principal de acceso desde mediados de 2023), tus datos de salud quedan asociados a tu perfil de Google y quedan sujetos a la política de datos de cuenta general de Google, no solo a la excepción específica de Fitbit. Son documentos distintos con condiciones distintas.

Los valores predeterminados de intercambio de datos de Fitbit son generosos. Por defecto, las aplicaciones de terceros que autorizas mediante la API de Fitbit obtienen acceso a datos de actividad, sueño, frecuencia cardíaca y cuerpo. El flujo de consentimiento muestra lo que se solicita, pero entierra los detalles del alcance en una lista desplazable que la mayoría de usuarios omite. Revisé mi propia pantalla de "Gestionar aplicaciones" de Fitbit en marzo de 2025 y encontré cuatro aplicaciones que había autorizado en dos años sin recordar haberlas conectado. Dos eran plataformas de fitness que había probado una vez. Entre las dos, habían tenido acceso de lectura continuo a mi frecuencia cardíaca y datos de sueño desde la autorización — en silencio, en segundo plano.

Para los usuarios ya preocupados por las prácticas de datos más amplias de Google — y si has leído nuestro artículo sobre el modelo de IA oculto de Chrome y lo que realmente recoge, sabrás que el apetito de datos de Google va mucho más allá de la búsqueda — la solución práctica es crear una cuenta de Google dedicada y usada exclusivamente para Fitbit, sin ningún otro servicio de Google vinculado a ella.

Garmin: Mejor de lo Esperado, Con una Advertencia Real

Garmin tiene reputación entre los usuarios más entusiastas de ser más respetuoso con la privacidad que sus competidores. Esa reputación está mayormente ganada. Pero viene con un asterisco del tamaño de un ataque de ransomware.

En julio de 2020, Garmin sufrió un devastador ataque de ransomware atribuido al grupo Evil Corp, que dejó Garmin Connect fuera de servicio durante varios días. La empresa supuestamente pagó un rescate de 10 millones de dólares canalizado a través de un negociador externo para evitar sanciones de la OFAC. Tus datos históricos de entrenamiento y salud están en los servidores de Garmin. Ese es un hecho estructural que vale la pena considerar en cualquier modelo de amenaza.

En cuanto al intercambio de datos específicamente, los valores predeterminados de Garmin Connect no activan publicidad de terceros. La política de privacidad de Garmin (actualizada en diciembre de 2023) contempla la mejora de productos, el llamado a revisiones de seguridad y el cumplimiento legal — lenguaje estándar — pero Garmin no es una empresa adyacente a Google que monetice la atención. Venden hardware. Ese es un incentivo estructuralmente diferente, y se nota en la política.

Lo que Garmin comparte por defecto:

• Datos de actividad y salud sincronizados con los servidores de Garmin Connect
• Datos agregados y anonimizados para la mejora de productos de Garmin (opción de exclusión disponible)
• Datos con aplicaciones de terceros que autorizas explícitamente mediante Connect IQ o la API de Garmin Health
• Rutas GPS almacenadas en el servidor como parte del historial de actividades

El ecosistema Connect IQ es la principal superficie de riesgo. Las aplicaciones creadas por desarrolladores externos se instalan en el reloj y pueden solicitar acceso a datos. Garmin no publica una auditoría exhaustiva de lo que cada aplicación de Connect IQ recoge del dispositivo. Antes de instalar cualquier aplicación de Garmin de terceros, revisa la política de privacidad del desarrollador — en el caso de desarrolladores pequeños, a menudo no existe.

Whoop y Oura: Las Suscripciones Crean Incentivos Diferentes

Aquí va una perspectiva contraintuitiva: el modelo de negocio por suscripción podría ser bueno para la privacidad de tus datos biométricos. Aguanta.

Tanto Whoop (30 $/mes desde enero de 2025) como Oura (5,99 $/mes desde octubre de 2024) generan ingresos de las membresías, no de la monetización de datos. Tienen menos incentivo estructural para vender tus biométricos que una aplicación gratuita. El principal riesgo de datos aquí no es la publicidad — son las asociaciones de investigación y la licencia de datos agregados.

Asociaciones de Investigación de Whoop

Whoop ha publicado más de 40 estudios revisados por pares usando datos de miembros. Su política de privacidad permite explícitamente compartir "datos anonimizados y agregados" con socios de investigación. La palabra "anonimizados" tiene un peso considerable. Un artículo de 2019 en Nature demostró que los conjuntos de datos de rastreadores de fitness con tan solo cuatro puntos de datos — pasos, frecuencia cardíaca, ubicación, marcas de tiempo — pueden reidentificar a individuos con un 95 % de precisión. Anonimizado no significa inidentificable.

Whoop no vende datos individuales de usuarios a aseguradoras ni empleadores. Su política lo prohíbe expresamente. Pero el intercambio genérico de datos de investigación con una opción de exclusión enterrada en Configuración > Privacidad > Participación en Investigación es algo que la mayoría de usuarios nunca ha tocado.

Oura Ring e Integraciones de Terceros

La API de Oura es una de las más abiertas del sector wearable. A partir de abril de 2025, más de 70 aplicaciones de terceros tienen integración con Oura. Cada integración que activas comparte los tipos de datos que autorizas — puntuaciones de preparación, datos de sueño, VFC, desviación de temperatura. La aplicación de Oura enumera las integraciones conectadas en Configuración > Aplicaciones, pero a diferencia de Fitbit, no muestra las fechas de último acceso ni el alcance de datos por integración en una sola vista. Hay que revisar cada aplicación individualmente.

La página de privacidad de Oura (actualizada en febrero de 2025) también indica que si usas el skill de Amazon Alexa de Oura, tus datos fluyen a través de la infraestructura de Amazon bajo la política de privacidad separada de Amazon. Muchos usuarios activan integraciones de voz sin pensar en absoluto en esa vía de datos.

Strava: Tu Ruta de Entrenamiento Es Pública por Defecto

Strava merece su propia sección porque el modo de fallo es diferente. La amenaza aquí no es una empresa vendiendo tus datos — es tu propio mapa de actividades públicas contando a desconocidos exactamente dónde vives, dónde trabajas y a qué hora corres los martes por la mañana.

En enero de 2018, un mapa de calor global de Strava reveló la ubicación de bases militares clasificadas al agregar las rutas de entrenamiento de soldados. Ese incidente impulsó cambios reales en las políticas. Los valores predeterminados siguen siendo ante todo sociales. Las nuevas cuentas tienen por defecto perfiles públicos, feeds de actividades públicos y contribución al mapa de calor activada.

Los riesgos individuales concretos que conviene conocer:

1. Seguimiento Flyby — La función Flyby de Strava permite que cualquiera que cruzara tu ruta GPS vea tu actividad y los detalles de tu perfil. Este era un vector de acoso documentado hasta que Strava cambió el valor predeterminado a "Nadie" en abril de 2020 tras la presión de investigadores de seguridad. Si tu cuenta es anterior a ese cambio, revisa tu configuración ahora.
2. Clasificaciones de segmentos — Aparecer en cualquier segmento público revela tu nombre, foto y la ruta exacta que corres o pedaleas con regularidad. Así es como los patrones se vuelven predecibles.
3. Exposición del punto de inicio/fin — Strava tiene una función "Ocultar inicio y final de actividades" que crea un radio de obfuscación GPS alrededor de tu domicilio. No está activada por defecto.

Para una visión más amplia de cómo las aplicaciones de fitness gestionan la configuración de privacidad entre plataformas, la guía de cinco ajustes que todo usuario de rastreador de fitness debe cambiar cubre las ubicaciones concretas de los interruptores en Strava, Garmin y Oura en un solo lugar.

Apple Health: La Excepción en Privacidad (y Dónde Sigue Fallando)

Apple Health es estructuralmente diferente de todas las plataformas tratadas anteriormente. Vale la pena ser preciso sobre por qué — y dónde la comparación se rompe de verdad.

Los datos de salud en iOS se almacenan en el dispositivo y se cifran con el código del dispositivo usando AES-256. Cuando la sincronización de Salud con iCloud está activada con Protección Avanzada de Datos (introducida en diciembre de 2022), los datos están cifrados de extremo a extremo — Apple no puede leerlos. Esto no es texto de marketing. Es una decisión arquitectónica que obligó a Apple a rediseñar su infraestructura de iCloud, con implicaciones reales en las solicitudes de datos de las fuerzas del orden, que los informes de transparencia de Apple confirman que no pueden cumplir para las categorías cifradas E2E.

Apple no vende datos de salud. Su modelo de negocio es el hardware y los servicios, y la privacidad de la salud funciona como un diferenciador de producto genuino en el que han invertido estructuralmente, no solo proclamado.

Dónde falla:

El modelo de permisos de HealthKit es sólido, pero crea una falsa sensación de protección total. Cuando concedes a una aplicación de terceros acceso a los datos de HealthKit, esos datos salen del ecosistema de Apple y quedan sujetos a la propia política de privacidad de esa aplicación. Una aplicación de meditación con integración de Apple Health que lee tu VFC y tu frecuencia cardíaca en reposo puede compartir legalmente esos datos con intermediarios. Las protecciones de Apple no viajan con los datos una vez en manos de terceros.

A partir de iOS 17, puedes auditar qué aplicaciones han accedido a tipos específicos de datos de salud yendo a Salud > Explorar > [tipo de dato] > Fuentes y acceso > Mostrar todas las fuentes. Esto te dice qué se ha accedido — no qué se ha compartido posteriormente. Son cosas distintas, y confundirlas es un error frecuente. He visto a personas asumir que sus datos de salud estaban seguros simplemente porque vivían en Apple Health. No lo están, una vez que una aplicación de terceros los toca.

Esta es la misma dinámica que se aplica cuando una plataforma de confianza actúa como puerta de entrada para aplicaciones de terceros. Antes de conceder acceso a la salud a cualquier aplicación, verificar la legitimidad y el historial de privacidad de la aplicación es un paso que la mayoría de la gente omite por completo.

Comparativa de Privacidad por Plataforma

Algunas aclaraciones sobre esta tabla. "Parcial" en almacenamiento en dispositivo significa que los datos brutos del sensor se procesan localmente pero se sincronizan con servidores — ninguna plataforma wearable importante excepto Apple ofrece una opción real de uso sin conexión. Que "Sincronización E2E Cifrada" sea "No" para Garmin, Whoop y Oura significa que sus servidores pueden técnicamente leer tus datos de salud almacenados. Y las opciones de exclusión para "Compartición para Investigación" existen en la mayoría de plataformas pero rara vez se muestran de forma prominente durante la incorporación.

Tus Derechos GDPR Que Realmente Funcionan

Si estás en la UE — o en California, Colorado, Connecticut, Virginia, o cualquiera de los estados de EE. UU. adicionales que aprobaron leyes de privacidad integrales antes de enero de 2025 — tienes derechos legales reales sobre tus datos biométricos. El reto es saber cuáles ejercer y cómo.

Derecho de Acceso (Artículo 15): Puedes solicitar una exportación completa de todos los datos que una empresa tiene sobre ti. Garmin, Oura, Fitbit y Whoop tienen herramientas de exportación de datos en la configuración de la cuenta. Úsalas. Solicité la mía a Whoop en febrero de 2025 y recibí 11 archivos CSV con cada punto de datos registrado desde la creación de la cuenta — valores brutos del sensor que no sabía que se estaban almacenando con esa resolución.

Derecho al Olvido (Artículo 17): La eliminación de la cuenta activa una ventana de borrado de datos de 30 a 90 días en la mayoría de plataformas. Garmin documenta explícitamente que se eliminan los datos GPS, las métricas de salud y la información personal. Los flujos de eliminación de Fitbit pasan por la herramienta "Eliminar cuenta" de Google — verifica que recibes un correo electrónico de confirmación de eliminación y guarda una copia.

Derecho de Oposición al Tratamiento (Artículo 21): Este es el menos utilizado. Puedes oponerte a que tus datos se usen para investigación o elaboración de perfiles sin eliminar tu cuenta. Busca las opciones de exclusión de "Participación en investigación" específicamente en la configuración de Whoop y Oura.

La seguridad de la cuenta también importa aquí — una solicitud de eliminación no sirve de nada si un actor malicioso conserva acceso a tu cuenta. Usar una contraseña única y fuerte para cada plataforma wearable no es negociable. Un gestor de contraseñas lo hace sin esfuerzo. Si estás decidiendo entre opciones, la comparativa cabeza a cabeza de 1Password y Bitwarden para usuarios de iPhone cubre las diferencias prácticas entre las dos opciones líderes.

Lista Rápida: 12 Ajustes Que Cambiar Esta Semana

Ordenados por impacto. Los primeros cuatro llevan menos de cinco minutos en total.

1. Fitbit: Ve a fitbit.com/settings/applications → revoca cada aplicación que no uses activamente.
2. Fitbit: Configuración > Gestionar datos > desactiva "Contribuir a la investigación de Fitbit".
3. Garmin Connect: Perfil > Configuración > Privacidad > Visibilidad de actividades → configúrala en "Solo yo" o "Seguidores".
4. Strava: Configuración > Controles de privacidad → Actividades en "Solo seguidores"; activa "Ocultar inicio y final de actividades"; Flyby en "Nadie".
5. Whoop: Perfil > Configuración > Privacidad > Participación en Investigación → desactívalo.
6. Oura: Configuración > Aplicaciones → revisa cada integración conectada y revoca las que no uses.
7. Oura: Configuración > Privacidad → desactiva "Ayudar a mejorar Oura" para el intercambio de datos de investigación.
8. Apple Health: Ajustes > Privacidad y seguridad > Salud → audita el nivel de acceso de lectura/escritura de cada aplicación.
9. Apple Health: Activa la Protección Avanzada de Datos en la configuración de iCloud para la sincronización de salud cifrada de extremo a extremo.
10. Strava: Configura tu perfil como privado y audita qué clasificaciones de segmentos muestran tu nombre públicamente.
11. Todas las plataformas: Activa la autenticación de dos factores. Todas las plataformas aquí la admiten. Ninguna la exige por defecto.
12. Todas las plataformas: Solicita la exportación de tus datos anualmente — conoce exactamente qué está almacenado antes de necesitar saberlo.

Fuentes y Lecturas Adicionales

• Electronic Frontier Foundation (EFF) — Guías de Autodefensa Digital que cubren datos wearables, acceso de fuerzas del orden a registros de salud y prácticas de intermediarios de datos biométricos. Actualizadas con regularidad.

• Consejo de Consumidores Noruego (Forbrukerrådet) — Publicó Every Step You Take (2023), una de las auditorías independientes más exhaustivas del intercambio de datos de aplicaciones de fitness en Europa, incluyendo análisis de cómo los flujos de consentimiento están diseñados para maximizar las tasas de aceptación.

• Privacy International — Investigaciones en curso sobre el intercambio de datos de aplicaciones de salud con redes publicitarias, incluyendo SDKs de rastreo integrados en aplicaciones complementarias de wearables. Cubre el ecosistema de intermediarios de datos downstream de las plataformas de fitness.

• IAPP (International Association of Privacy Professionals) — Mantiene un rastreador de los avances legislativos en privacidad biométrica y de salud en los estados de EE. UU., actualizado mensualmente. Útil para seguir qué enmiendas de la CCPA/CPRA se aplican a las categorías de datos wearables.

• Guía de Seguridad de la Plataforma Apple — Documentación técnica de Apple sobre la arquitectura de cifrado de HealthKit, la implementación de Protección Avanzada de Datos y el procesamiento en dispositivo para datos de salud. Lectura árida, pero de referencia para verificar las afirmaciones de marketing de las plataformas frente al diseño técnico real.