Un nuevo estudio descubre lagunas en la protección de datos en aplicaciones populares de mHealth

Investigadores de la Universidad de Bremen han descubierto importantes discrepancias entre las afirmaciones de protección de datos y el comportamiento real de las aplicaciones móviles de salud (mHealth apps). Muchas aplicaciones transmiten datos personales incluso antes de que los usuarios hayan dado su consentimiento.

El documento que aparece en Apuntes de conferencias en informáticatitulado «Desafíos de transparencia y consentimiento en aplicaciones de mHealth: un estudio interdisciplinario de políticas de privacidad, intercambio de datos y patrones oscuros«, fue publicado por el Dr. Mehrdad Bahrini y otros cinco investigadores de la Universidad de Bremen después de la conferencia del Simposio Europeo sobre Investigación en Seguridad Informática (ESORICS 2025).

Esta es una de las conferencias internacionales líderes en el campo de la seguridad informática, en la que el equipo presentó sus hallazgos. La investigación realizada por científicos de Bremen combina enfoques de seguridad de la información, interacción persona-computadora y leyes de protección de datos, un enfoque clave del Laboratorio de Medios Digitales de la Universidad de Bremen.

El equipo realizó un análisis exhaustivo de veinte aplicaciones populares de mHealth disponibles en Alemania. Este tipo de aplicaciones se han convertido en una parte integral de la vida cotidiana de muchas personas. Ayudan con el entrenamiento físico, el seguimiento del ciclo y la toma de medicamentos y, al hacerlo, procesan datos de salud particularmente sensibles. Pero, ¿qué tan seguras y transparentes son estas aplicaciones a la hora de manejar esta información?

Para averiguarlo, los investigadores utilizaron métodos de análisis estáticos y dinámicos para examinar el comportamiento de las aplicaciones y los flujos de datos. También examinaron en detalle las políticas de privacidad y los diálogos de consentimiento.

«Queríamos comprobar no sólo si se comparten datos, sino también cuándo y dónde se envían, y si los usuarios están siquiera informados», explica el Dr. Mehrdad Bahrini. «Nuestro objetivo era combinar la perspectiva técnica con aspectos legales y centrados en el usuario».

Problemas graves: transferencia de datos sin consentimiento, trucos de manipulación, ambigüedades lingüísticas

El estudio revela varios problemas graves en materia de protección de datos y transparencia. Por ejemplo, varias aplicaciones transmitieron datos personales, como identificadores de publicidad, incluso antes de que los usuarios dieran su consentimiento. Las veinte aplicaciones examinadas también enviaron datos a terceros países, en particular a EE.UU.

Alrededor del 40% se comunicaba además con servidores en Irlanda, que a menudo sirve como centro de datos europeo. También se detectaron conexiones a servidores en Australia, Suecia, China y Singapur, una indicación de la distribución global de los flujos de datos en aplicaciones de mHealth.

Para obtener el consentimiento de los usuarios para la transferencia de datos, todas las aplicaciones contenían al menos un truco de diseño manipulador («patrón oscuro») que inducía a los usuarios a aceptar apresuradamente todos los términos y condiciones.

También hubo problemas de lenguaje y comprensión. En 10 de las 16 aplicaciones con interfaz en alemán, las políticas de privacidad estaban disponibles exclusivamente en inglés. E incluso con las políticas de privacidad alemanas, algunas cosas seguían sin estar claras. Por ejemplo, muchas aplicaciones sólo nombran a los destinatarios de los datos en categorías generales como «socios» o «proveedores de servicios» en lugar de enumerar empresas específicas.

El estudio revela una brecha significativa entre las prácticas de protección de datos declaradas y la conducta real por parte de las aplicaciones. Aunque muchas aplicaciones cumplen formalmente los requisitos del Reglamento General de Protección de Datos (GDPR) de la UE, a menudo existe una falta de transparencia y comprensibilidad genuinas.

«El cumplimiento legal por sí solo no es suficiente si los usuarios no pueden entender lo que sucede con sus datos», enfatiza Bahrini. «La confianza es crucial, especialmente cuando se trata de datos de salud sensibles; es tanto una cuestión de ética como de regulación».

Los resultados resaltan la necesidad de directrices más claras para una información transparente sobre la protección de datos y de estándares de diseño que impidan diálogos manipuladores sobre el consentimiento, especialmente en el campo de las aplicaciones de salud digital.

En proyectos futuros, el equipo planea desarrollar procedimientos automatizados para analizar flujos de datos y detectar patrones oscuros. El objetivo es ayudar a los desarrolladores y a las autoridades reguladoras a evaluar y mejorar las aplicaciones de salud digital.