El youtuber español Carles Tamayo ha vuelto a tocar la fibra sensible con su habitual estilo informal, divertido y mordaz. En el episodio final de Se nos ha ido de las manos («It’s gotten out of hand»), una serie documental que se estrenó en la televisión pública española en abril de 2026, analiza cómo las empresas compran y venden datos personales.

El episodio, titulado El activo eres tú («You’re the asset»), pone sobre la mesa una pregunta incómoda: ¿quién tiene nuestros datos y qué se hace con ellos? ¿Y a qué estamos dispuestos a renunciar a cambio de la promesa de algo gratis? Tras recibir llamadas de spam de empresas que sabían demasiado sobre él, Tamayo convirtió su propia productora en un corredor de datos para ver desde dentro cómo se recopilan y comercian los datos personales.

Así funciona el negocio de los corredores de datos y estos son los derechos que le otorga el GDPR (Reglamento General de Protección de Datos).

Qué es un corredor de datos y cómo gana dinero

Un corredor de datos es una empresa que recopila, analiza y vende información sobre personas y organizaciones. Lo que hace que esa información sea valiosa para los compradores es la forma en que se puede combinar y analizar. Los hábitos, los intereses, los datos de ubicación y otras señales se pueden entretejer, cada vez más con la ayuda de la IA, hasta convertirse en algo utilizable. Los corredores de datos venden la materia prima que permite crear un perfil de casi cualquier persona.

En el reportaje de Tamayo, por ejemplo, un corredor de datos le ofrece información sobre personas que han tenido un bebé recientemente. Esos nuevos padres habían entregado sus datos en el hospital a cambio de participar en un sorteo de productos para recién nacidos.

Los corredores de datos suelen recopilar direcciones de correo electrónico, direcciones IP(nueva ventana), ubicación aproximada, compras en línea, búsquedas en internet, intereses seleccionados dentro de una aplicación y los dispositivos que alguien usa.

¿Alguna vez ha recibido una llamada de una compañía telefónica (o de cualquier empresa) y se ha preguntado de dónde sacaron su número? Es más sencillo de lo que cree. Las cookies, las aplicaciones móviles y los formularios en línea pueden recopilar su información y pasarla a los corredores de datos. También las fuentes sin conexión, como las tarjetas de fidelidad, los sorteos y los registros públicos.

Qué son las cookies y para qué sirven

Los ha visto en cada sitio web que visita: un pequeño elemento emergente que le pide aceptar o rechazar las cookies. Probablemente lo lee por encima, acepta las cookies(nueva ventana) y sigue adelante, sin preguntarse nunca qué son realmente las cookies(nueva ventana) ni a qué acaba de aceptar que las empresas hagan con sus datos.

Las cookies son pequeños archivos que un sitio web almacena en su navegador para recordar información sobre su visita. Las que les interesan a los corredores de datos son las cookies publicitarias, diseñadas para crear perfiles de comportamiento y mostrar anuncios personalizados.

Pero ahora se le puede rastrear con métodos que van mucho más allá de las cookies. La huella digital del navegador, por ejemplo, crea una firma única a partir de las características de su dispositivo, mientras que el seguimiento entre sitios sigue su actividad a medida que pasa de un sitio web a otro. En el móvil, los identificadores de publicidad hacen algo similar al vincular su comportamiento a un identificador persistente.

Rechazar las cookies mejora su privacidad, pero no la garantiza por completo. Y cuando empieza a preguntarse a dónde van sus datos, quién los tiene y cómo se usan, inevitablemente se topa con la cuestión de si comerciar con sus datos es legal o no.

Cómo le protege el GDPR

El GDPR es la normativa de la Unión Europea que regula cómo las organizaciones y las empresas recopilan, usan, comparten y almacenan los datos personales de cualquier persona en la UE. También se aplica a las empresas con sede fuera de la UE que se dirigen a personas de allí. En España, el cumplimiento lo supervisa la Agencia Española de Protección de Datos (AEPD), que también gestiona las reclamaciones cuando una empresa vulnera estos derechos.

El GDPR establece varios derechos fundamentales:

Derecho de acceso: Averigüe qué datos personales tiene una empresa sobre usted, para qué los usa, con quién los ha compartido y de dónde los obtuvo. También puede solicitar una copia.

Derecho de rectificación: Corregir la información incorrecta o desactualizada.

Derecho de supresión: Conocido como el «derecho al olvido», le permite solicitar que se eliminen sus datos cuando la empresa ya no los necesite, cuando retire su consentimiento o se oponga a su uso, o cuando se hayan tratado de forma ilícita.

Derecho de oposición: Rechazar ciertos tipos de tratamiento, como el uso de sus datos para publicidad. Para el marketing directo, este derecho es absoluto: una vez que se oponga, la empresa debe detenerse.

Derecho a la portabilidad de los datos: Recibir los datos personales que le dio a una empresa en un formato estructurado, de uso común y legible por máquina, para que pueda transferirlos a otro proveedor de servicios. Esto se aplica cuando la empresa trata sus datos con base en su consentimiento o en un contrato, por medios automatizados.

El GDPR otorga a las personas derechos exigibles, respaldados por multas, pero muchas no se dan cuenta de que pueden ejercerlos de forma gratuita. Una empresa solo puede cobrar una tarifa o negarse cuando una solicitud es manifiestamente infundada o excesiva.

Como muestra el reportaje de Tamayo, hay una gran brecha entre las garantías que ofrece la ley y lo que el ciudadano promedio sabe sobre cómo proteger su información personal. Esa brecha dificulta que las personas usen las herramientas legales de las que disponen y recuperen el control de sus datos.

Cómo usar sus derechos del GDPR contra los corredores de datos

Los derechos anteriores solo funcionan si se usan. Ninguno requiere un abogado ni un formulario especial: basta con un correo electrónico al contacto de privacidad de la empresa.

Pregunte de dónde provienen sus datos. Si una empresa se comunica con usted y nunca le dio sus datos, pregúntele cuál es su fuente. Según el derecho de acceso, debe decírselo, y esa respuesta a menudo lleva directamente a un corredor de datos.

Envíe una solicitud de acceso. Pregunte a la empresa o al corredor qué datos tiene sobre usted, para qué los usa y con quién los ha compartido, y solicite una copia. La solicitud es gratuita y la empresa debe responder en un plazo de un mes. Puede ampliarlo dos meses más para solicitudes complejas, pero debe informárselo.

Opóngase y solicite la supresión. En el mismo correo electrónico, puede oponerse a que sus datos se usen para marketing y pedir que se eliminen. La empresa también debe trasladar la eliminación a cualquiera con quien haya compartido sus datos, salvo que sea imposible o suponga un esfuerzo desproporcionado.

Regístrese en la Lista Robinson. En España, las empresas que envían marketing directo deben consultar esta lista de exclusión publicitaria antes de contactarle. El registro es gratuito.

Presente una reclamación ante la AEPD. Si una empresa le ignora, se niega sin una razón válida o no cumple el plazo, puede presentar una reclamación gratuita ante la Agencia Española de Protección de Datos.

Limite lo que los corredores de datos pueden recopilar desde el principio

Sus derechos del GDPR limpian lo que ya está ahí fuera. Unos cuantos hábitos sencillos reducen la cantidad de datos nuevos que llegan a los corredores.

Revise los permisos de sus aplicaciones y desactive cualquier acceso que una aplicación no necesite para funcionar, especialmente los que tienen acceso a su ubicación, contactos o fotos.

Rechace las cookies no esenciales. En los sitios web de la UE, rechazarlas debería ser tan fácil como aceptarlas, y así se bloquean las cookies publicitarias que alimentan los perfiles de comportamiento.

Manténgase sin iniciar sesión en los sitios web y servicios cuando solo esté navegando. Cuando inicia sesión en Google, YouTube, Amazon o un sitio de noticias, todo lo que busca, ve, lee o compra queda vinculado a su cuenta. Navegar sin iniciar sesión les da a las empresas menos elementos para vincularle.

Use un navegador centrado en la privacidad, como Firefox o Brave, que bloquean muchos rastreadores de forma predeterminada. También puede explorar navegadores web europeos alternativos centrados en la privacidad.

Cambie a Proton Mail, nuestro servicio de correo electrónico privado y seguro que no puede leer sus correos y no escanea su bandeja de entrada en busca de anuncios, seguimiento ni vigilancia. También bloquea los píxeles de seguimiento, que los especialistas en marketing suelen usar para ver cuándo abre un mensaje (además de otros indicadores).

Use una VPN(nueva ventana) para ocultar su dirección IP de los sitios web, las aplicaciones y las redes publicitarias, de modo que no puedan usarla para estimar su ubicación ni vincular su actividad entre sitios web. Proton VPN también tiene una función llamada NetShield, que bloquea anuncios y rastreadores antes de que se carguen. Cuenta con una política de cero registros auditada de forma independiente(nueva ventana), así que no guarda un registro de lo que hace en línea.

Use un gestor de contraseñas cifrado para crear contraseñas seguras y únicas, de modo que una cuenta comprometida no exponga las demás. Proton Pass también le ofrece alias de correo hide-my-email para boletines, sorteos y tiendas en línea. Si uno empieza a recibir spam, puede ver quién pudo haberlo compartido o filtrado, y luego desactivar el alias.

Como deja claro el reportaje de Tamayo, los corredores de datos forman parte de un modelo de negocio construido sobre nuestros datos. Pero el GDPR y las herramientas que protegen nuestra privacidad nos dan formas de recuperar el control. El objetivo no es desaparecer de internet, sino decidir de forma consciente quién puede acceder a nuestros datos y con qué motivo.