La privacidad digital se ha convertido en uno de los grandes campos de batalla de la tecnología contemporánea. En medio de la inteligencia artificial, el big data y la publicidad personalizada, una industria casi invisible acumula enormes cantidades de información personal: los data brokers.
Aunque su actividad no es nueva, en 2025 ha alcanzado un nivel de sofisticación y relevancia que los sitúa en el centro de debates sobre ciberseguridad, regulación internacional y la economía de los datos.
Los data brokers son empresas que recopilan, procesan y venden datos personales de diversas fuentes, como registros públicos, transacciones comerciales, historiales de navegación, redes sociales y aplicaciones móviles. Se estima que en EE. UU. operan más de 4.000 intermediarios de datos, y los principales —como Acxiom, CoreLogic o Experian— generan miles de millones de dólares anuales. En Europa, las cifras son menores debido al Reglamento General de Protección de Datos (RGPD), aunque los actores globales continúan presentes.
Lo preocupante es la amplitud de los perfiles que generan: desde direcciones, teléfonos y correos electrónicos hasta patrones de movilidad, historial de crédito, afiliaciones políticas, hábitos de consumo o incluso predicciones de riesgo sanitario basadas en datos agregados.
En teoría, el objetivo de esta industria es “legítimo”: optimizar campañas publicitarias, prever tendencias de consumo o reducir fraudes financieros. Sin embargo, en la práctica, los usos pueden derivar en discriminación, manipulación política o exposición a ciberataques. Las webs de búsqueda de personas, como BeenVerified, Spokeo o Whitepages, permiten el acceso a información sensible, sirviendo como caldo de cultivo para phishing, acoso o robo de identidad. Además, muchas bases de datos terminan filtradas en la dark web, alimentando tanto algoritmos de publicidad como campañas de malware.
Los data brokers no dependen solo de fuentes públicas. Utilizan SDKs en apps móviles, programas de fidelización, cookies y técnicas avanzadas de rastreo en la web. La IA generativa abre otro frente, alimentando modelos con información raspada de internet sin consentimiento.
El RGPD europeo proporciona un sólido marco legal, pero su aplicación es limitada contra grandes data brokers que operan fuera de Europa. En EE. UU., el panorama es más fragmentado. La California Consumer Privacy Act (CCPA) ha implementado normas que obligan a los data brokers a registrarse y permitir exclusiones. Sin embargo, la ausencia de una ley federal deja a la industria con escasa supervisión.
Para los usuarios, limitar la exposición de datos es crucial. Tres enfoques destacan: el opt-out manual, servicios automatizados de supresión de datos y el método de supresión frente a la eliminación, que impide la redistribución y reventa.
En ciberseguridad, la industria de los data brokers presenta retos importantes: una superficie ampliada de ataque, ataques personalizados basados en IA y filtraciones internas invisibles. Los expertos recomiendan auditorías periódicas, uso de alias de correo, políticas robustas de privacidad y servicios de supresión de datos.
El mercado de datos no se limita a anunciantes. Entidades financieras, aseguradoras, partidos políticos, empresas de adtech y actores maliciosos figuran entre los principales compradores, embarrando aún más la línea entre uso legítimo y abuso.
El futuro de los data brokers se mueve entre la regulación y la fragmentación. Regular en exceso podría frenar la innovación, mientras la falta de regulación incrementa la desconfianza y los riesgos. Europa parece liderar en protección de datos, pero su aplicación real es limitada frente a gigantes globales. Estados Unidos mantiene un mosaico estatal. El resultado es un escenario global fragmentado donde cada bloque económico define sus propias reglas, obligando a empresas y usuarios a adaptarse simultáneamente a múltiples marcos.
