¿En qué consiste el “localhost tracking”?

A continuación, una explicación simplificada de un proceso muy técnico que se explica de una forma rigurosa en la web montada por los investigadores que han descubierto la última gran patada de Meta al RGPD en particular y otras normativas en general, como veremos..

Hay que reconocer que son ingeniosos. Ingeniosos rollo romper (otra vez) el record de sanción en materia de privacidad, pero ¡OYE!… ingeniosos.

Este es el proceso a través del cual Meta (Facebook/Instagram) lograba vincular lo que haces en tu navegador (por ejemplo, visitar un periódico o una tienda online) con tu identidad real (tu cuenta de Facebook o Instagram), aunque nunca hayas iniciado sesión en el navegador con tu cuenta ni nada por el estilo.

Meta lo consigue a través de dos canales que tú no ves y que se intercambian información:

(i) La app de Facebook o Instagram que funciona en segundo plano en tu teléfono aunque no la estés utilizando.

(ii) Los scripts de rastreo de Meta (la ideaca ilegal descubierta la semana pasada y retirada inmediatamente por Meta), que operan dentro del navegador web en tu móvil.

Sólo para ingenieros de teleco: a continuación el resumen riguroso de los grandes seres humanos que han revelado este escándalo: Tim Vlummens, Narseo Vallina-Rodriguez, Nipuna Weerasekara, Gunes Acar y Aniketh Girish.

Resto del mundo, saltad al siguiente titular, en el que iré explicando paso a paso.

“El usuario abre la aplicación nativa de Facebook o Instagram, que eventualmente se envía al segundo plano y crea un servicio en segundo plano para escuchar tráfico entrante en un puerto TCP (12387 o 12388) y un puerto UDP (el primer puerto libre entre 12580 y 12585). Los usuarios deben haber iniciado sesión con sus credenciales en las aplicaciones.

El usuario abre su navegador y visita un sitio web que integra el píxel de Meta.

En esta etapa, los sitios web pueden solicitar consentimiento dependiendo de la ubicación del sitio web y del visitante.

El script del píxel de Meta envía la cookie _fbp a la aplicación nativa de Instagram o Facebook a través de WebRTC (STUN) mediante modificación del SDP (SDP Munging).

El script del píxel de Meta también envía el valor de _fbp en una solicitud a https://www.facebook.com/tr junto con otros parámetros como la URL de la página (dl), los metadatos del sitio web y del navegador, y el tipo de evento (ev) (por ejemplo, PageView, AddToCart, Donate, Purchase).

Las aplicaciones de Facebook o Instagram reciben la cookie _fbp del JavaScript del píxel de Meta que se ejecuta en el navegador. Las aplicaciones transmiten _fbp como una mutación GraphQL a (https://graph[.]facebook[.]com/graphql) junto con otros identificadores persistentes del usuario, vinculando la ID fbp del usuario (visita web) con su cuenta de Facebook o Instagram.”

Te lo explico paso a paso, como si fueras Denzel Washington en Philadelphia

Si lo he entendido yo, tú también puedes, créeme.

1: La app instala un “interfono” oculto

«El usuario abre la aplicación nativa de Facebook o Instagram, que eventualmente se envía al segundo plano y crea un servicio en segundo plano para escuchar tráfico entrante en un puerto TCP (12387 o 12388) y un puerto UDP (el primer puerto libre entre 12580 y 12585). Los usuarios deben haber iniciado sesión con sus credenciales en las aplicaciones.”

Traducción

Abres la app de Facebook o Instagram normalmente.

Luego te vas a hacer otra cosa en el teléfono (la app queda en segundo plano).

Sin avisarte, la app sigue funcionando en segundo plano y “escucha” tráfico como si te hubieran puesto un micro escuchando llamadas internas.

Técnicamente, lo hace abriendo “puertos” de red locales (como pequeñas puertas internas en tu teléfono) en los que puede recibir mensajes.

Es importante matizar que esto sólo pasa si ya has iniciado sesión en esas apps con tu cuenta.

2: Piensas, “uhm, se ha quedado buen día para ver mi *guilty pleasure web* en modo anónimo”.

(Inserta aquí tu mierda ultraprivada favorita: vamos a decir que la mía son los vídeos de sexadores de pollos haciendo lo suyo. Es un decir).

» El usuario abre su navegador y visita un sitio web que integra el píxel de Meta.»

Abres Chrome, Firefox o cualquier navegador en el mismo teléfono.

Activas VPN y modo anónimo y, confiado como un gilipollas, te metes derecho en esa web, que casualmente, tiene incrustado un “Meta Pixel”.

Este pixel, con tu consentimiento, recoge información de tus acciones (visitas, clics, compras…) y la envía a Meta.

Lo que se ha demostrado es que, antes de que tuvieras siquiera la ocasión de consentir, el pixel inicia este proceso de localhost tracking que estamos explicando.

Teóricamente esto tendría que ir explicado al pedirte el consentimiento a cookies. Obviamente no se explicaba porque era manifiestamente ilegal.

Quicir, aunque hubieras clickado el botón de consent en la web de sexadores de pollos, ese consentimiento no puede cubrir aquello de lo que no te han informado (ten en cuenta que esta mierda ha sorprendido hasta a Google).

3: El pixel de la web habla con la app de Facebook/Instagram usando WebRTC

» El script del píxel de Meta envía la cookie _fbp a la aplicación nativa de Instagram o Facebook a través de WebRTC (STUN) mediante modificación del SDP (SDP Munging)”

Perdón… ¿Cuálo?

El script del Pixel desde el navegador, intenta enviar información a la app de Facebook / Instagram que está “escuchando” en segundo plano.

Usa una técnica llamada WebRTC, que normalmente se usa para llamadas de voz o vídeo (como Zoom o Google Meet), pero que aquí se está utilizando para enviar datos de forma encubierta entre el navegador y la app.

Además, un truquito técnico llamado “SDP Munging” le permite al navegador escribir datos (como el identificador de la cookie _fbp) dentro del «mensaje de inicio» de WebRTC.

Así, el _fbp (una cookie temporal que se anuncia como efímera, específica de tu sesión de navegación en la web) llega directamente a la app nativa que está a la escucha. En otras palabras, la web que no quieres que nadie sepa que has visitado, le acaba de pasar a tu app de Facebook / Instagram tu cookie de identificación. Esto es todavía un chorizo alfanumérico.

Pero ese chorizo alfanumérico, chavalín, eres tú.

El sistema Android tiene un montón de cosas criticables, pero -en lo que ahora interesa- está específicamente diseñado para que las apps no puedan hacer esto, para que no puedan escuchar puertos locales como localhost.

4: El mismo pixel de tu web favorito, ni corto ni perezoso, envía tu chorizo alfanumérico por internet a los servidores de Meta

» El script del píxel de Meta también envía el valor de _fbp en una solicitud a https://www.facebook.com/tr junto con otros parámetros como la URL de la página (dl), los metadatos del sitio web y del navegador, y el tipo de evento (ev) (por ejemplo, PageView, AddToCart, Donate, Purchase)”

¿GUAT?

Al mismo tiempo, el pixel envía la misma información (la cookie _fbp) a los servidores de Meta por internet, junto con:

• La URL que estás visitando
• Tu navegador y sistema operativo
• El tipo de evento realizado (ej. “página vista”, “añadir al carrito” o, en el caso de lo de los sexadores, mejor no saber, creedme).

Es como si el Pixel enviara la misma carta por dos caminos: (a) Al servidor de Facebook directamente y (b) a la app de Facebook dentro de tu teléfono.

5: La app recibe el mensaje y lo une con tu identidad real

«Las aplicaciones de Facebook o Instagram reciben la cookie _fbp del JavaScript del píxel de Meta que se ejecuta en el navegador. Las aplicaciones transmiten _fbp como una mutación GraphQL a (https://graph[.]facebook[.]com/graphql) junto con otros identificadores persistentes del usuario, vinculando la ID fbp del usuario (visita web) con su cuenta de Facebook o Instagram.»

En cristiano

La app, al recibir ese identificador _fbp, lo empaqueta con tu cuenta real (la que tienes abierta en la app).

Luego, también envían todo junto a los servidores de Meta, donde ahora ya pueden decir:

“Ajajá, este identificador _fbp (de la discutible web que acabas de visitar) pertenece a Jorge García Herrero, usuario de Instagram.”

¿Sexadores de pollos? ¿Seriously Calvo?”

Y así vinculan tu actividad web (navegador) con tu identidad real (cuenta) aunque nunca hayas iniciado sesión en el navegador ni les hayas dado tu consentimiento explícito para ello.

¿Por qué es tan grave?

Meta ha utilizado una vía técnica que los sistemas de protección de privacidad no anticipaban, y que de hecho, estaban pensados para evitar.

Meta conseguía hacer esto incluso cuando:

• No utilizas la app (pero la has dejado abierto con la sesión iniciada).
• No has iniciado sesión en el navegador.
• Estás navegando en modo incógnito.
• Usas VPN.
• Borras cookies al terminar cada sesión.

Meta, una vez más, se ha pasado por el arco del triunfo la necesidad de obtener un consentimiento informado de sus usuarios para recabar y combinar su información personal obtenida de distintas fuentes.

La escala es masiva

El 22% de las webs más visitadas del mundo están afectadas. En Estados Unidos, 17,223 sitios con Meta Pixel y 1,312 con Yandex Metrica inician este tracking **sin consentimiento del usuario**. Durante 8 años (Yandex) y al menos 9 meses (Meta), miles de millones de usuarios fueron rastreados sin su conocimiento.

Los datos capturados incluyen:

– Historial completo de navegación con URLs específicas

– Productos añadidos al carrito y compras realizadas

– Registros en sitios web y formularios completados

– Patrones de comportamiento temporal a través de distintas webs y apps.

– Vinculación directa con identidades reales de redes sociales

No estás afectado:

• Si accedes a Facebook e Instagram via web, sin tener instalada las apps en tu móvil.
• En tu navegación a través de ordenadores o iOS (iPhones).
• Si usabas (siempre en el móvil) el navegador Brave o el buscador DuckduckGo.

Las infracciones

Como hemos dicho al principio, Meta afronta responsabilidad simultánea en virtud de las siguientes normas, de menos a más (no incluyo la Directiva ePrivacy porque me da la risa):

.- De acuerdo con el RGPD necesita el consentimiento para tratar datos personales con la finalidad de personalizar publicidad. Además, ha incumplido el principio de minimización y el de privacidad desde el diseño. (Hasta 4% de facturación anual global).

.- El art 26 DSA prohíbe explícitamente la publicidad personalizada de acuerdo con perfiles basados en categorías especiales de datos personales (p. ej: orientación sexual, opiniones políticas, o datos de salud).

Si de las interacciones del usuario en webs y aplicaciones podían inferirse este tipo de datos (y eso se puede asegurar, dada la escala de la infracción que alcanza al 25% de las webs más visitadas a nivel mundial), la hostiaca podría alcanzar el 10% de su facturación.

El TJUE ha dejado pocas dudas sobre esto: (“Fondas” C-184/20 y Bundeskartellamt).

META fue declarada VLOP en febrero de 2024 y ya estaba siendo investigada por otras infracciones en materia de transparencia en moderación de contenido, protección de menores, y gestión de riesgo para la integridad de procesos electorales.

.- La más jugosa: El art 5.2 de la DMA prohíbe específicamente combinar datos personales entre servicios principales de la plataforma sin obtener un consentimiento explícito del usuario de acuerdo con los requisitos del RGPD.

El localhost tracking combina datos entre, como mínimo, Facebook, Instagram y podría hacerlo también con WhatsApp, y Messenger.

La DMA presenta el mayor riesgo financiero con multas de hasta 10% de facturación global (€16.4 mil millones), escalando hasta un estupendísimo 20% para infracciones repetidas.

Meta fue designada gatekeeper en septiembre del 2023, y ya recibió su primera multa por infringir la DMA en abril 2025: 200 millones de floros por su modelo «pagar o consentir».

Meta dirá, sin ninguna duda, que ya tenía el consentimiento del usuario para hacer esto, pero… ¿saben qué? Lo cierto es que necesitaba obtener tres consentimientos específicos para tratar datos (RGPD), acceder al dispositivo (ePrivacy) y combinar perfiles entre servicios (DMA) y sólo pidió uno y encima con una alternativa que obligaba al usuario a pagar (“pay or okay”).

Lamentablemente, la última gran sanción de Meta ha sido precisamente por su “pay or okay”.

Las sanciones

RGPD, DMA y DSA protegen bienes jurídicos diferentes, así que las sanciones previstas en cada una se pueden imponer de forma conjunta.

El riesgo teórico máximo combinado alcanza aproximadamente 32 mil millones (4% + 6% + 10% de la facturación global anual de Meta, que supera los 164 mil millones).

Nunca se han aplicado antes multas máximas simultaneas, pero alguien podría decir que estos bastardos se lo merecen.

Varios factores juegan a favor de sentar ese precedente: el histórico de infracciones (Meta tiene el récord de multas RGPD en Europa), la falta de cooperación con las investigaciones de las autoridades, el impacto sistémico de la ideaca dado su dominio del mercado, y la intencionalidad de saltarse cualquier protección técnica y/o legal dispuesta a favor de sus usuarios.

Jorge García Herrero

Delegado de Protección de Datos

La entrada El “localhost tracking” puede costar a Meta 32 mil millones. Te lo explicamos se publicó primero en Citizen8.

Below is a simplified explanation of a very technical process, rigorously detailed on the website set up by the researchers who uncovered Meta’s latest major blow to the GDPR specifically, and to other regulations more broadly, as we’ll see.

Credit where it’s due — it’s ingenious. Ingenious in the sense of breaking (yet again) the record for a privacy-related fine, but hey!… ingenious.

This is the process through which Meta (Facebook/Instagram) managed to link what you do in your browser (for example, visiting a news site or an online store) with your real identity (your Facebook or Instagram account), even if you never logged into your account through the browser or anything like that.

Meta accomplishes this through two invisible channels that exchange information:

(i) The Facebook or Instagram app running in the background on your phone, even when you’re not using it.

(ii) Meta’s tracking scripts (the now-pulled illegal brainchild uncovered last week), which operate inside your mobile web browser.

Thanks to the outstanding human beings who revealed this scandal: Tim Vlummens, Narseo Vallina-Rodriguez, Nipuna Weerasekara, Gunes Acar, and Aniketh Girish.

The entire flow of the _fbp cookie from web to native and the server is as follows:

1. The user opens the native Facebook or Instagram app, which eventually is sent to the background and creates a background service to listen for incoming traffic on a TCP port (12387 or 12388) and a UDP port (the first unoccupied port in 12580-12585). Users must be logged-in with their credentials on the apps.
2. The user opens their browser and visits a website integrating the Meta Pixel.
3. At this stage, websites may ask for consent depending on the website’s and visitor’s locations.
4. The Meta Pixel script sends the _fbp cookie to the native Instagram or Facebook app via WebRTC (STUN) SDP Munging.
5. The Meta Pixel script also sends the _fbp value in a request to https://www.facebook.com/tr along with other parameters such as page URL (dl), website and browser metadata, and the event type (ev) (e.g., PageView, AddToCart, Donate, Purchase).
6. The Facebook or Instagram apps receive the _fbp cookie from the Meta Pixel JavaScript running on the browser. The apps transmit _fbp as a GraphQL mutation to (https://graph[.]facebook[.]com/graphql) along with other persistent user identifiers, linking users’ fbp ID (web visit) with their Facebook or Instagram account.

I’ll explain it step by step, like you’re Denzel Washington in Philadelphia

If I understood it, you can too — trust me.

Step 1: The app installs a hidden «intercom»

“The user opens the native Facebook or Instagram app, which eventually goes into the background and creates a background service to listen for incoming traffic on a TCP port (12387 or 12388) and a UDP port (the first free port between 12580 and 12585). Users must have logged in with their credentials in the apps.”

Translation:

You open the Facebook or Instagram app like normal.

Then you go do something else on your phone (the app remains running in the background).

Without telling you, the app keeps running and “listens” for traffic — like having a hidden microphone eavesdropping on internal calls.

Technically, it does this by opening local network “ports” (like little internal doors in your phone) through which it can receive messages.

It’s important to clarify that this only happens if you’ve already logged into those apps with your account.

Step 2: You think, “hmm, nice day to check out my guilty pleasure website in incognito mode.”

(Insert your favorite ultra-private vice here — let’s say mine is watching chick sexers doing their thing. Just saying.)

“The user opens their browser and visits a website that integrates Meta’s Pixel.”

You open Chrome, Firefox, or any browser on the same phone.

You turn on VPN and incognito mode and, confidently like a fool, head straight to that website — which, by coincidence, has a Meta Pixel embedded.

This pixel, with your consent, collects data about your actions (visits, clicks, purchases…) and sends it to Meta.

What has now been proven is that, before you even had the chance to give consent, the pixel starts the localhost tracking process we’re explaining here.

Theoretically, this should have been explained when asking for cookie consent. Obviously, it wasn’t — because it was blatantly illegal.

I mean, even if you had clicked the “consent” button on the chick sexer website, that consent can’t cover something you were never informed about (note that this trick even caught Google off guard).

Step 3: The web pixel talks to the Facebook/Instagram app using WebRTC

“The Meta Pixel script sends the _fbp cookie to the native Instagram or Facebook app via WebRTC (STUN) using SDP modification (SDP Munging).”

Excuse me… what now?

The Pixel script in your browser tries to send information to the Facebook/Instagram app that’s “listening” in the background.

It uses a technique called WebRTC, normally used for voice or video calls (like Zoom or Google Meet), but here it’s being used to secretly transmit data between the browser and the app.

Additionally, a technical trick called “SDP Munging” allows the browser to insert data (like the _fbp cookie identifier) into the WebRTC “initial handshake” message.

In this way, the _fbp (a temporary cookie supposedly limited to your current web session) is sent directly to the native app that’s listening. In other words, the website you didn’t want anyone to know you visited just passed your identification cookie to your Facebook/Instagram app. It’s still just an alphanumeric string at this point.

But that alphanumeric sausage, my friend — is you.

Android has many flaws, but in the relevant part here, it’s specifically designed to prevent apps from doing this — from listening to local ports like localhost.

Step 4: The same pixel on your favorite website, without hesitation, sends your alphanumeric sausage over the internet to Meta’s servers

“The Meta Pixel script also sends the _fbp value in a request to https://www.facebook.com/tr along with other parameters such as the page URL (dl), website and browser metadata, and the event type (ev) (e.g., PageView, AddToCart, Donate, Purchase).”

WHAT?

At the same time, the Pixel sends the same information (the _fbp cookie) to Meta’s servers over the internet, along with:

• The URL you’re visiting
• Your browser and operating system
• The type of event performed (e.g., “page view,” “add to cart” or, in the case of chick sexer videos… better not know, trust me)

It’s like the Pixel is sending the same letter through two routes:
(a) directly to Facebook’s servers, and
(b) to the Facebook app inside your phone.

Step 5: The app receives the message and links it to your real identity

“The Facebook or Instagram apps receive the _fbp cookie from the Meta Pixel JavaScript running in the browser. The apps transmit _fbp as a GraphQL mutation to (https://graph[.]facebook[.]com/graphql) along with other persistent user identifiers, linking the user’s fbp ID (web visit) with their Facebook or Instagram account.”

In plain English:

The app, upon receiving the _fbp identifier, bundles it together with your real account (the one you’re logged into in the app).

Then, it sends it all to Meta’s servers, where they can now say:

“Aha! This _fbp identifier (from that questionable website you just visited) belongs to Jorge García Herrero, Instagram user.”

“Chick sexers? Seriously, bald guy?”

And just like that, they link your web activity (browser) to your real identity (account) — even if you never logged into your account in that browser or gave any explicit consent for it.

Why this localhost tracking is so serious?

Meta has used a technical loophole that privacy protection systems didn’t anticipate — in fact, they were specifically designed to prevent it.

Meta managed to do this even when:

• You aren’t using the app (but have a session open in the background).
• You haven’t logged into your account in the browser.
• You’re browsing in incognito mode.
• You’re using a VPN.
• You delete cookies at the end of every session.

Once again, Meta has blatantly disregarded the requirement to obtain informed user consent before collecting and combining personal information from different sources.

The scale is massive

22% of the most visited websites in the world are affected. In the U.S., 17,223 sites with the Meta Pixel and 1,312 with Yandex Metrica initiated this tracking without user consent. Over 8 years (Yandex) and at least 9 months (Meta), billions of users were tracked without their knowledge.

The captured data includes:

• Complete browsing history with specific URLs
• Products added to cart and purchases made
• Registrations on websites and completed forms
• Temporal behavioral patterns across websites and apps
• Direct linking to real identities on social networks

You’re not affected if (and only if)

• You access Facebook and Instagram via the web, without having the apps installed on your phone
• You browse on desktop computers or use iOS (iPhones)
• You always used the Brave browser or the DuckDuckGo search engine on mobile

The Infringements

As stated at the beginning, Meta faces simultaneous liability under the following regulations, ranked from lesser to greater severity (not including the ePrivacy Directive — it’s a joke at this point):

• GDPR: Requires consent to process personal data for ad personalization. Meta also violated the principles of data minimization and privacy by design. (Up to 4% of global annual turnover)
• DSA (Art. 26): Explicitly prohibits personalized advertising based on profiles created from special categories of personal data (e.g., sexual orientation, political views, health data).

If such data could be inferred from users’ interactions on websites and apps (which is almost certain, given the scale of the violation — reaching 25% of the world’s most visited sites), the penalty could reach 10% of turnover.

CJEU has been clear about this one (“Fondas” C-184/20 and Bundeskartellamt).

Meta was declared a VLOP (Very Large Online Platform) in February 2024 and was already under investigation for violations involving content moderation transparency, child protection, and election integrity.

• DMA (Art. 5.2): The most damaging one: it specifically prohibits combining personal data between core platform services without the user’s explicit consent, as defined by GDPR. The localhost tracking technique combines data across at least Facebook and Instagram, and potentially WhatsApp and Messenger as well.

The DMA carries the highest financial risk — fines up to 10% of global turnover (€16.4 billion), increasing to 20% for repeat offenses.

Meta was designated a gatekeeper in September 2023 and received its first DMA fine in April 2025: €200 million for its “pay or consent” model.

Meta will undoubtedly claim it already had user consent to do this, but here’s the truth: it needed three specific consents to process the data (GDPR), access the device (ePrivacy), and combine profiles across services (DMA). It only requested one — and even that with a coercive “pay or okay” alternative.

Unfortunately, Meta’s most recent fine was precisely over its “pay or okay” approach.

The Penalties

GDPR, DMA, and DSA protect different legal rights, so the penalties under each can be imposed cumulatively.

The combined theoretical maximum risk amounts to approximately €32 billion (4% + 6% + 10% of Meta’s global annual revenue, which exceeds €164 billion).

Maximum fines have never before been applied simultaneously, but one could argue these guys have earned it.

Several factors favor setting that precedent: Meta’s long record of violations (it holds the record for GDPR fines in Europe), its lack of cooperation with regulatory investigations, the systemic impact of this scheme given its market dominance, and the clear intent to bypass all technical and legal protections established for users.

Jorge García Herrero

Data Protection Officer

La entrada “Localhost tracking” explained. It could cost Meta 32 billion. se publicó primero en Citizen8.

Do you want to object to Meta’s AI training in two clicks? We got you covered!

Meta has informed Facebook and Instagram users that, starting June 26, it will use their (your) personal data to train its artificial intelligence models.

Meta has established a deliberately cumbersome, long, and costly procedure for you to object to these processings.

In reality, you can object by sending an email to any of their contact addresses. The interpretation of the Brussels authorities supports this.

That’s why we have drafted a sample objection email, which you can send in two clicks.

It will literally take you five seconds to do it.

We are Citizen8

We are Citizen8: a group of specialists interested in empowering you, the citizen, in the defense of your rights, starting with your privacy.

Until now, through this website, we have published informational texts.

Today, we offer you what Meta should have offered you: a very simple and free way to exercise your right to object to their processings based on legitimate interest.

How does it work?

We do not access any of your personal data: everything happens on your device.

a) If you are on your computer

When you click any of the links below, your email program (Outlook, Thunderbird, Gmail, whatever) will open with a pre-drafted email ready to send.

The email contains the text we consider legally sufficient to exercise your right to object.

b) If you view this website from your mobile

Depending on the type and configuration of your mobile, the process may vary, but normally when you click the link, it will offer you several webmail services to choose from, and you will need to select and log in with your username and password for yours.

If you want it easier than that, simply open a new email on your mobile in the way you prefer and copy and paste into it (i) the text of the email we have prepared – it’s here – and (ii) the email addresses of Facebook or Instagram and that of eGarante if you want to obtain certification of the email, and send it.

Voilà !!

You need to click one of the following links. Select yours:

YO! Make sure the email is sent from the email address you are registered with on Facebook or Instagram

Generate Email to Facebook

Generate Email to Instagram

Comments:

Make sure the email is sent from the email address you are registered with on Facebook or Instagram. If your program generates the email from another address, you may need to copy and paste the recipients and text where necessary to ensure the email is sent from your correct address.

The email addresses for Facebook and Instagram are inserted by default.

Read the email and, if you agree with it, just click «send.»

What you can edit:

We have included the email address of eGarante (a certification and authentication services provider), which will send you another email minutes after sending yours, containing a copy (a PDF) of it, certifying the sending of your objection email, along with its date and time. eGarante will then delete your data: they are lovely.

Keep that PDF safe: it certifies that you have sent your objection in a timely manner. It can be useful for reporting or claiming damages against Meta if they do not respond or satisfy your objection.

Terms of the free eGarante service here.

If you do not want eGarante to provide this service, simply delete their email address from the «cc» or «Carbon Copy» field.

If you do not feel some of the listed reasons as yours, or do not understand them, delete them. In fact, to object, it is enough to leave the first two paragraphs (the ones starting with «When I decided to share my content…» and «It is obvious…»).

The email is generated within your device by interaction between your browser and your email client: we do not have access to your personal data.

eGarante will have access to your email address (to send you the certification of the sending) but you can avoid this by deleting their email address in the carbon copy (cc) field.

Do it yourself

Recipient

Email address for Facebook: support@fb.com

Email address for Instagram: support@instagram.com

CC (it is important that it is in the visible copy field – not hidden – otherwise, the eGarante service will not work). mailsigned@egarante.com

Subject: Exercise of the right to object under Article 21 GDPR

Email body

«Dear Meta Sirs:

It has been communicated to me that, if I do not exercise my right to object, Meta will process my personal data for the training of its artificial intelligence models. The data processed would be «the information you shared on Meta’s products and services. For example, posts or photos with their descriptions.» The purpose of the processing is to «train our AI models» and «develop and improve Meta’s AI.»

Therefore, in accordance with Article 21 of the General Data Protection Regulation, I hereby formally notify you of the exercise of my right to object to such processing of my personal data, for reasons related to my particular situation.

These reasons are as follows:

When I decided to share my content and information (which includes personal data of myself and third parties and may include both content subject to my intellectual property rights, as well as content related to children) in no way could I imagine that they would end up being used to train artificial intelligence models.

It is obvious, then, that such processing exceeds my reasonable expectations regarding the processing of my data and that, consequently, such processing, if accepted by me (which I am refusing), could only cover my future data and in no case my content dated prior to this communication.

The AIs that Meta trains can have multiple purposes, both positive and negative.

The information provided by Meta does not allow me to be certain that the AI models thus trained will not be used for purposes incompatible with my ethical and moral principles and values, nor if they will have any negative impact on me. Nor have I been informed of the final applications or functionalities – commercial or otherwise – of the models that Meta will train.

Consequently, I do not have enough information to decide if the processing and its purpose are acceptable to me. It seems appropriate to assume the contrary, considering the numerous occasions on which Meta has failed to meet its legal obligations in the past.

It is unacceptable to think that my personal data may contribute to the next scandal involving Meta.

This platform has a direct contractual relationship with me: nothing prevents, and in fact, it would be most appropriate – both from a legal standpoint and for the quality of the service – that my consent be directly requested for this processing of my data.

In summary, this initiative, as it is proposed, appears to be a new attempt to abuse my rights by this platform.

In light of the above, I hereby notify you of the exercise of my right to your support email address (since you do not even offer a dedicated email address for privacy issues, only a complicated objection procedure on your website, full of friction elements).

I do so under the provisions of the EDPB in its Guidelines 1/2022 (paragraph 53 and the corresponding footnote 28). I ask you to make your best efforts to ensure that this notification reaches the appropriate department at Meta so that my right is promptly satisfied.

I remind you that the regulations require you to notify me in writing within one month from the date of this notification either (i) the confirmation that my personal data has been removed from the training datasets of your AIs or (ii) the confirmation that it has not been done (and in this case, with a fulfilled justification).

Kind regards.»

<<<End of mail>>>

Now paste all that in your favourite email client and press «Send».

You´re done.

And you are welcome.

Jorge García Herrero

DPO. GDPR Evangelist

La entrada How to object to Meta’s AI training in two clicks se publicó primero en Citizen8.

Meta ha informado a los usuarios de Facebook e Instagram que, desde el próximo 26 de junio, utilizará sus (tus) datos personales para entrenar sus modelos de inteligencia artificial.

Meta ha dispuesto un procedimiento deliberadamente farragoso, largo y costoso para que puedas oponerte a esos tratamientos.

En realidad, puedes oponerte enviando un correo electrónico a cualquiera de sus direcciones de contacto. La interpretación de las autoridades de Bruselas así lo avalan.

Por eso hemos redactado un email tipo de oposición, que puedes enviar en dos clicks.

Tardarás literalmente cinco segundos en hacerlo.

Somos Citizen8

Somos Citizen8: un grupo de especialistas interesados en empoderarte a ti, ciudadano, en la defensa de tus derechos, empezando por tu privacidad.

Hasta ahora, a través de esta web hemos publicado textos divulgativos.

Hoy te ofrecemos lo que Meta debería haberte ofrecido: una forma sencillísima y gratuita para el ejercicio de tu derecho de oposición contras sus tratamientos basados en interés legítimo.

¿Cómo funciona?

No accedemos a ningún dato personal tuyo: todo sucede en tu dispositivo.

a) Si estás en tu ordenador

Cuando pinches cualquiera de los enlaces de ahí abajo, se abrirá tu programa de correo (Outlook, Thunderbird, Gmail el que sea) ofreciéndote un email ya redactado y listo para enviar.

El correo contiene el texto que consideramos jurídicamente suficiente para ejercer tu derecho de oposición.

b) Si ves esta web desde tu móvil

Dependiendo del tipo y configuración de tu móvil la cosa puede cambiar, pero lo normal es que al pinchar el enlace, te dé a elegir varios servicios web de correo, y tengas que seleccionar y loguearte con tu usuario y contraseña en el tuyo.

Si lo quieres más fácil que eso, simplemente abre tú mismo un correo electrónico nuevo en tu móvil del modo que prefieras y copia y pega en él (i) el texto del correo que hemos preparado -está aquí- y (ii) las direcciones de email de Facebook o Instagram y la de eGarante si quieres obtener la certificación del correo, y envíalo.

Voilà !!

¡¡OJO!! Asegúrate de que el correo se envíe desde la dirección de correo electrónico con la que estés registrado en Facebook o Instagram.

Generar Email para FACEBOOK

Generar Email para INSTAGRAM

Comentarios:

Asegúrate de que el correo se envíe desde la dirección de correo electrónico con la que estés registrado en Facebook o Instagram. Si tu programa genera el correo desde otra dirección, quizá tengas que copiar y pegar los destinatarios y textos donde sea necesario para que el correo sea remitido desde tu dirección correcta.

La dirección de correo de Facebook y la de Instagram salen insertadas por defecto.

Lee el email y, si te parece bien, sólo tienes que pulsar “enviar”.

Cosas que puedes cambiar:

• Hemos introducido la dirección de email de un tercero de confianza, eGarante, que te remitirá gratuitamente, minutos después del envío de tu correo, otro mail que incluirá una copia (un pdf) acreditativo del envío de tu correo de oposición, y de la fecha y hora del envío. eGarante te remite –por la patilla- la copia certificada de tu propio correo y después borra tus datos: son un amor.

Guarda bien ese pdf: da fe de que has remitido tu oposición en tiempo y forma, y puede ser útil para denunciar o reclamar daños y perjuicios a Meta si no atiende el ejercicio de tu derecho.

Condiciones del servicio gratuito de eGarante aquí.

Si no quieres que eGarante te preste este servicio, simplemente borra su dirección de email del campo “cc” o “Copia visible”.

• Si no sientes como tuyo alguno de los motivos enumerados, o no los entiendes, bórralo. En rigor y para oponerte, es suficiente con que dejes los dos primeros párrafos (los que empiezan por “Cuando decidí compartir mis contenidos…” y “Resulta obvio…”.

• El correo se genera dentro de tu dispositivo por interacción entre tu navegador y tu cliente de correo: no tenemos acceso tus datos personales. Egarante sí tendrá acceso a tu dirección de correo (para enviarte la certificación del envío) pero puedes evitarlo borrando su dirección de email en el campo de copia visible (cc).

Hazlo con tus manitas

Prepara un correo electrónico tú mismo copiando y pegando estas direcciones y textos:

Destinatario

Dirección de envío para Facebook: support@fb.com

Dirección de envío para Instagram: support@instagram.com

CC (es importante que esté en copia visible -no oculta- si no, no funcionará el servicio de eGarante).

mailsigned@egarante.com

Asunto: Ejercicio de derecho de oposición del art. 21 RGPD

Cuerpo del correo

«Estimados señores de Meta:

Se me ha comunicado que, de no ejercer mi derecho de oposición, Meta tratará mis datos personales para el entrenamiento de sus modelos de inteligencia artificial. Los datos tratados serían “la información que compartiste en los productos y servicios de Meta. Por ejemplo, publicaciones o fotos con sus descripciones”). La finalidad del tratamiento es la de “entrenar nuestros modelos de IA” y “desarrollar y mejorar la IA de Meta”.

Pues bien, de acuerdo con el art. 21 del Reglamento General de Protección de Datos, les notifico por la presente el ejercicio formal de mi derecho de oposición a tales tratamientos de mis datos personales, por motivos relacionados con mi situación particular.

Estos motivos son los siguientes:

• Cuando decidí compartir mis contenidos y mi información (que incluyen datos personales propios y de terceros y que pueden incluir tanto contenidos sujetos a mis derechos de propiedad intelectual, como contenido relativo a niños) en modo alguno podía imaginar que acabarían siendo utilizados para entrenar modelos de inteligencia artificial.

Resulta obvio, pues, que dicho tratamiento excede mis expectativas razonables sobre el tratamiento de mis datos y que, en consecuencia, dicho tratamiento, de ser aceptado por mi parte (cosa a la que me estoy negando) sólo podría comprender mis datos futuros y en ningún caso mis contenidos de fecha anterior a su comunicación.

• Las IAs que Meta entrena pueden tener múltiples finalidades, positivas y negativas.

La información suministrada por Meta no me permite tener la certeza de que los modelos de IA así entrenados no serán utilizados para finalidades incompatibles con mis principios y valores éticos y morales, ni si van a tener algún tipo de impacto negativo sobre mi persona.  Tampoco se me ha informado de las aplicaciones o funcionalidades finales -comerciales o no- de los modelos que Meta entrenará.

En consecuencia, no tengo información suficiente como para decidir si el tratamiento y su finalidad son aceptables para mí. Parece adecuado asumir lo contrario, teniendo en cuenta las numerosas ocasiones en las que Meta ha incumplido sus obligaciones legales en el pasado.

Es inaceptable pensar que mis datos personales pueden contribuir al próximo escándalo protagonizado por Meta.

• Esta plataforma tiene una relación contractual directa conmigo: nada impide, y de hecho sería lo más adecuado -tanto desde el punto de vista legal como de la calidad del servicio-, que se me solicitara directamente mi consentimiento a este tratamiento de mis datos.

En resumen, esta iniciativa, tal como está planteada, parece un nuevo intento de abuso de mis derechos por parte de esta plataforma.

De acuerdo con lo anterior, les notifico el ejercicio de mi derecho a su dirección de email de soporte (ya que ni siquiera ofrecen una dirección de email dedicada para temas de privacidad, sólo un complicado procedimiento de oposición en su web, lleno de elementos de fricción).

Y lo hago al amparo de lo dispuesto por el EDPB en sus Directrices 1/2022 (apartado 53 y la concordante nota a pie de página 28). Les ruego que realicen  sus mejores esfuerzos para asegurarse de que esta notificación llegue al departamento adecuado de Meta para que mi derecho sea puntualmente satisfecho.

Les recuerdo que la normativa les obliga a notificarme por escrito en el plazo de un mes desde la fecha de esta notificación o bien (i) la confirmación de haber extraído mis datos personales de los data sets de entrenamiento de sus IAs o bien (ii) la confirmación de no haberlo hecho (y en este caso, cumplida justificación).

Reciban un cordial saludo.»

Ahora pega todo eso en tu cliente de correo electrónico favorito (Outlook, gmail o el que sea). Pulsa «Enviar».

Yastá hecho.

De nada.

Jorge García Herrero

Abogado y Delegado de Protección de datos

La entrada Cómo oponerte a lo de Meta con dos clicks se publicó primero en Citizen8.

La Opinión 4/2024 va dirigida al corazón de la autoridad irlandesa

Como sabemos las principales plataformas BigTech (salvo Amazon) han ubicado sus “establecimientos principales” en Irlanda.

Casualmente.

O no tan casualmente: a la fiscalidad del verde paraíso se une la bochornosa parálisis de su autoridad de control en materia de protección de datos.

La autoridad irlandesa se mueve menos que los ojos de Espinete, y ha sido sistemáticamente cuestionada y corregida por sus homólogas europeas y por el EDPB a raíz de sus complacientes resoluciones contra las plataformas extracomunitarias más conocidas.

¿Por qué es importante el concepto de “establecimiento principal” en la UE?

Recordemos en qué consiste lo de la ventanilla única o “One stop shop”: la autoridad competente en el estado miembro donde se haya ubicado el “establecimiento principal” del responsable extracomunitario se erige en autoridad “lideresa”, asumiendo la gestión del expediente sancionador, acumulando todas las denuncias homogéneas contra él, coordinando a las demás en la tramitación, dictando la resolución, y ¡ay! peor aún: ejecutándola y defendiéndola ante su jurisdicción nacional, en caso de recurso.

Esos belicosos galos

La CNIL ya había sacudido a Google, Microsoft y Apple por incumplimientos limítrofes con la protección de datos (normalmente, uso de cookies) alegando que por razón de la materia objetiva no aplicaba el mecanismo de la ventanilla única…

Francia fue, pues, la pionera en adelantar a Irlanda por la derecha.

Ahora, ha requerido una Opinión formal del EDPB sobre la propia noción de “establecimiento principal” a efectos de la aplicación de dicho mecanismo.

La respuesta (enlace al doc) les sorprenderá.

La Opinión 4/2024 del EDPB

El EDPB en su Opinión clarifica que el “establecimiento principal” en la Unión para serlo de verdad, debe cumplir cumulativamente dos requisitos:

• Que exista capacidad efectiva para tomar decisiones sobre finalidad y medios de los tratamientos de datos relevantes de la organización representada.
• Que tenga la capacidad para implementar o ejecutar efectivamente tales decisiones.

Consecuencias prácticas inmediatas para el “One Stop Shop”:

1. Si el “establecimiento principal” formalmente designado por la organización extracomunitaria no cumple estos dos requisitos y existe otro “establecimiento” en otro estado miembro, se debe verificar si ese otro es el “establecimiento principal”. Pero sobre todo:
2. Si ningún “establecimiento” en territorio comunitario cumple estos dos requisitos, no existe “establecimiento principal”. No aplica, por tanto, el procedimiento de ventanilla única. Y entonces todas las autoridades de control comunitarias son competentes para conocer de las denuncias contra la organización extracomunitaria, conforme a las reglas generales.

Más cositas:

• La responsabilidad de acreditar la efectiva existencia de su establecimiento principal en la UE recae en la organización extracomunitaria responsable de tratamiento.
• Las autoridades de control tienen la potestad y responsabilidad de verificar la exactitud de lo acreditado en este sentido.
• Las autoridades deben consensuar el grado de detalle de la valoración sobre este particular, dependiendo del caso.
• Cuando una autoridad determine que el alegado establecimiento principal no cumple estos requisitos, lo compartirá con el resto para alcanzar un “early agreement” (art 60 RGPD) sobre el caso. Este sería la primera ventana de oportunidad para encargar las palomitas.
• De no alcanzarse consenso se elevará la cuestión al pleno del EDPB (art 63 RGPD). (Segunda ventana palomitera).

Esta batalla (si tu “establecimiento principal” es un hueco decorado ocupado por directivos de segunda que pasan exactamente 181 días al año en él, o unos headquarters con chicha real), se lleva luchando décadas en el ámbito fiscal y hay criterios judiciales perfectamente consolidados.

Está por ver si el TJUE admitirá su extrapolación pura en el contexto del RGPD. A buen seguro la BigTech luchará esta batalla.

Pero, hasta entonces, parece inevitable que asistamos a la apertura de expedientes sancionadores “nacionalistas” por parte de las autoridades más belicosas contra los sospechosos habituales.

Porque desde luego esa es la intención. 

¡No se vayan todavÍA, aún hay más!

Esta interpretación restrictiva del concepto de “establecimiento permanente” impacta de lleno en la interpretación del art. 3 RGPD… ¿Recuerdan? El que regula la eficacia extraterritorial del Reglamento.

Recordemos que el art. 3 RGPD (En la interpretación del EDPB en sus Directrices 3/2018 relativas al ámbito territorial del RGPD (artículo 3) Versión 2.1 de 12 de noviembre de 2019) establece dos criterios de interpretación del ámbito territorial, que se refieren, no a las organizaciones sino a tratamientos concretos de las mismas. De este modo, una organización extracomunitaria puede ver cómo el Reglamento aplica sólo a algunos de sus tratamientos, y a otros no.

El art 3 del RGPD prevé su aplicación a los tratamientos de una organización (como responsable o como encargada) en función de dos criterios:

• Criterio del establecimiento
• Criterio de la selección de destinatarios

Lógicamente, la aplicación sistemática del concepto de establecimiento permanente con el nuevo dibujo propuesto por el EDPB, recorta las alas del primero de esos criterios, con efectos tan insospechados como significativos en ámbitos tan de moda como el de la IA.

“Pero esa es otra historia que será contada en otra ocasión”.

Jorge García Herrero

Abogado y Delegado de protección de datos

La entrada Opinión 4/2024 del EDPB: Café irlandés para todos se publicó primero en Citizen8.

Este verano he leído como un perro, y hay cosas que me han gustado.

Ah, la playa, los viajes están muy bien, pero a mí lo que me más me gusta del verano es depositar a mi familia en un lugar potito y a la vez lejano, atornillarme a las manos mi Kindle (libros) o mi Surface (pdfs) y pasarme toda la tarde tumbadazo leyendo.

No tomen lo que sigue como “recomendaciones”: me limito a compartir con la comunidad lo que a mí personalmente más me ha gustado, y cada uno es cada uno. 

He leído cosas valiosas, pero tan profundamente coñazas, que dejarlas por aquí just for the hype sería más una faena que otra cosa.

He leído libros súper-recomendados que me han dejado frío y, por último, en la lista hay dos cosas que ni siquiera he leído (¡!), pero que tienen todas las garantías.

1.- “Prediction Machines” de Ajay Agrawal y otros. Un libro publicado antes de la explosión actual de la IA, pero tan presciente que cualquiera diría que lo han sacado el mes pasado. Imprescindible. 

2.- “The prediction society”. Uno de los mejores papers sobre el reverso oscuro de la IA. Repitiendo muchas veces lo importante, los autores saben que el storytelling es tan importante como el fondo, y te lo cuentan con humor, historias y momentos de profundidad que una película Marvel. No en vano uno de los autores es el mítico Dr. Daniel J. Solove, junto con Hideyuki Matsumi.

3.- Si Cristiana Santos no existiera, habría que inventarla: hace años cerró sus mandíbulas sobre el tema de los dark patterns y desde entonces no ha parado de escribir papers sobre el tema. Solamente este año:

(i) ha promovido un intento de conseguir una nomenclatura unificada (porque combatir eficazmente un problema requiere ponerse previamente de acuerdo sobre cómo llamamos a cada cosa) “Towards a Preliminary Ontology of Dark Patterns Knowledge”;

(ii) ha publicado un estudio sobre el uso de dark patterns en la legitimación fraudulenta de tratamientos de datos en la web via interés legítimo “Investigating Deceptive Design in GDPR’s Legitimate Interest” y hace nada,

(iii) otro sobre las primeras apariciones de los dark patterns en la “jurisprudencia menor” de las autoridades de cumplimiento. “The emergence of dark patterns as a legal concept in case law”. 

Nota de última hora: la AEPD ha puesto su granito de arena en este tema aquí.

4.- Creo que el sentido del humor es una de las formas más sencillas y obvias de detectar vida inteligente. Si encima el ajeno encaja con el propio, más vale añadirle a alguna lista. A Federico Marengo le queremos por sus playlists de episodios descacharrantes del John Oliver show relacionados con la privacidad.

Pero –por supuesto- hay más: su newsletter es un cañón, y se llama igual que su tesis, que ha publicado a finales de agosto: Privacy & AI (pdf, en inglés). 

Tras una primera parte más académica y expositiva, la segunda es lo que cualquier homo privatus espera y desea: un recorrido por las principales obligaciones aplicables en la materia, con reflexiones y propuestas de cumplimiento prácticas, practicables y aterrizadas del soldado que se bate el cobre en el día a día de la empresa. 

5.- Crossover 3.0 entre el RGPD y la LOPDgdd. No lo he leido porque acaba de salir y porque no es algo que uno se tenga que leer: es un recurso que hay que tener a mano para consultar. Francisco Javier Sempere viene a ser algo así como la Enciclopedia Británica de las resoluciones de la AEPD y sus crossover ponen al alcance las yemas de tus dátiles las resoluciones, informes (AEPD) y guidelines (EDPB) más relevantes relacionadas con cada artículo del RGPD y de la normativa española. 

La leyenda dice que si pinchas el “Achtung baby” de U2 mientras revisas el Crossover de Sempere en cualquiera de sus encarnaciones, aumentan exponencialmente las posibilidades de una nueva versión actualizada.

6.- Lukasz Olejnik ha publicado este martes su libro “Philosophy of Cybersecurity” (que por supuesto no he leido aún) pero por el que apostaría todo al rojo.

Olejnik exhibe un conocimiento profundo de los intríngulis técnicos de elementos como la ciberseguridad, ciberguerras, publicidad programática, la criptografía post-quantum y nuevas iniciativas que suenan guai pero no llegan a chachis como el Privacy Sandbox de Google. 

Last but not least, hace nada le ha emplumado a Open AI una denuncia que tiene muy buena pinta.

Jorge García Herrero

Abogado y Delegado de Protección de datos

Septiembre 2023

La entrada Este verano he leído cosas se publicó primero en Citizen8.