Yoti y GrapheneOS: La Verificación de Edad que Señala a Usuarios "Sospechosos"

El revuelo en comunidades de privacidad y medios tecnológicos no se hizo esperar . La idea de ser señalado por elegir un sistema operativo más seguro tocó una fibra sensible.

¿Cómo Respondió Yoti?

La respuesta oficial fue, cuanto menos, ambigua.

• Comunicación directa al usuario: El equipo de soporte de Yoti confirmó por escrito la política de marcado automático para GrapheneOS y la notificación a "las autoridades", aunque sin especificar a qué cuerpo policial o si se trataba de una notificación interna mal expresada .
• La reacción del proyecto GrapheneOS: Desde la propia comunidad de GrapheneOS se señaló que las aplicaciones pueden detectar este sistema operativo usando la API de Atestación de Hardware de Android . También se sugirió que la amenaza de reportar a la policía podría ser una táctica de un agente de soporte para cerrar el caso, aunque la capacidad técnica de detección es real .
• Silencio corporativo: En los informes disponibles no consta una aclaración pública de Yoti que distinga si "reportado a las autoridades" significó una denuncia real ante la policía o una alerta interna de seguridad .

Verificación de Edad vs. Privacidad: Una Tormenta Perfecta

Este incidente no es un caso aislado. Es la punta del iceberg de una tensión regulatoria y tecnológica global.

La Delgada Línea de la Huella Digital

Las aplicaciones de verificación no solo comprueban tu cara o tu DNI; también analizan tu dispositivo. La API de Atestación de Hardware permite verificar la integridad del sistema operativo, lo que abre la puerta a discriminar a usuarios de sistemas como GrapheneOS, tratándolos como potenciales delincuentes solo por usar herramientas de privacidad .

El Expediente de Yoti en España

Meses antes del caso GrapheneOS, Yoti ya estaba en el punto de mira de los reguladores europeos, y con razón.

En noviembre de 2025, la Agencia Española de Protección de Datos (AEPD) impuso una multa total de 950.000 € a Yoti Ltd por violar el Reglamento General de Protección de Datos (RGPD) de la Unión Europea . Las infracciones fueron graves:

• 500.000 € por el tratamiento ilícito de datos biométricos, al crear modelos faciales sin una base legal válida (artículo 9 del RGPD).
• 200.000 € por obtener el consentimiento de los usuarios mediante casillas premarcadas, una práctica no válida (artículo 7 del RGPD).
• 250.000 € por conservar datos biométricos y de geolocalización durante cinco años, mucho más de lo necesario (artículo 5 del RGPD) .

La gravedad del caso llevó incluso a que se presentara una pregunta parlamentaria europea (E-001251/2026), citando este expediente y recordando que Yoti es utilizado por gigantes como Meta, TikTok y sitios para adultos como Pornhub .

Yoti, por su parte, ha declarado que "rechaza firmemente" la decisión de la AEPD y que la ha recurrido ante la Audiencia Nacional, asegurando que la multa se refiere solo a su aplicación de ID Digital, no a sus servicios como procesador para otras empresas .

La Paradoja de la Era Digital

El contexto lo explica todo:

• Los gobiernos impulsan cada vez más sistemas de verificación de edad para proteger a los menores en internet .
• Estos sistemas demandan datos sensibles (biometría, documentos, geolocalización), creando un conflicto directo con el anonimato y la privacidad del usuario .
• El incidente con el usuario de GrapheneOS demuestra que el foco puede pasar de verificar la edad a vigilar el dispositivo y el sistema operativo, entrando en un terreno de control y discriminación tecnológica .

Preguntas que Quedan en el Aire

El episodio deja más sombras que certezas:

• ¿Transmitió Yoti los datos del usuario a un cuerpo policial real o fue una expresión interna mal calibrada? Las fuentes disponibles no lo aclaran .
• Si un sistema operativo seguro es motivo de sospecha, ¿cuál es el futuro de la privacidad en servicios que usan atestación de hardware? La tecnología ya existe y se está expandiendo .
• El antecedente de la multa en España pone en duda la fiabilidad de Yoti en el manejo de datos masivos. ¿Puede un verificador condenado por tratar datos sin consentimiento ser el guardián de nuestra identidad digital? .