Políticas de registros de las VPN: en qué debes fijarte

Los datos que puede registrar una VPN se dividen en tres grandes categorías: registros de actividad, registros de conexión y registros agregados. Saber qué datos pertenecen a cada una es clave para proteger tu privacidad.

1. Registros de actividad

Recopilar datos de actividad es el tipo de registro más invasivo. Anula cualquier ventaja de privacidad o anonimato que pueda ofrecer una VPN.

También se conocen como «registros de uso» e incluyen cualquier dato vinculado explícitamente a tu actividad en internet.

La política de privacidad de Hola VPN es un buen ejemplo de registro de actividad:

Las VPN gratuitas como Hola VPN son las que más suelen hacerlo. A menudo comparten o venden estos datos a terceros con fines publicitarios, lo que en la práctica financia el coste de una suscripción «gratuita».

Eso sí, no todos los registros de actividad son igual de perjudiciales. Algunos servicios VPN de pago «sin registros» solo supervisan la actividad de un usuario si sospechan de él o si están obligados por ley. Otros registran la actividad en tiempo real y la borran en cuanto termina la sesión.

Por ejemplo, cuando analicé SkyVPN, comprobé que registra información de identificación personal, como tu dirección IP de origen y tu ubicación, pero solo la conserva mientras la sesión está activa.

Los datos de actividad que se borran en cuanto te desconectas son mucho menos peligrosos que los que se almacenan, sencillamente porque el margen para que alguien los solicite, los filtre o los incaute es mucho menor. No es algo que yo elegiría, pero está a años luz de un proveedor que crea un registro permanente de los sitios que visitas.

Otros proveedores dificultan mucho el registro de actividad desde el propio diseño de su red. Los mejores ejemplos usan servidores de solo RAM (sin disco), que se borran con cada reinicio, así que no queda ningún registro a largo plazo que alguien pueda incautar.

No es una garantía absoluta, ya que un hardware que no puede almacenar datos de forma permanente sí puede procesarlos en el momento. Aun así, como medida de protección a nivel de infraestructura, es la mejor que existe y una de las primeras cosas que busco.

Ni que decir tiene que debes evitar a toda costa cualquier VPN que almacene datos completos de actividad. Si esto te preocupa, echa un vistazo a las VPN populares que registran datos de actividad.

2. Registros de conexión

Este tipo de datos suele consistir en metadatos sobre tus sesiones de VPN, no en un registro de lo que haces durante ellas.

Los registros de conexión pueden recopilarse a nivel de servidor (por ejemplo, el uso total de ancho de banda del servidor) o a nivel de usuario (por ejemplo, tu dirección IP de origen).

Normalmente, estos datos se usan para optimizar el rendimiento de la red y resolver consultas de soporte.

Los registros de conexión a nivel de servidor son un buen ejemplo de por qué no todos los registros son un problema.

Es prácticamente imposible gestionar una red VPN sin registrar ningún dato. De hecho, guardar los datos adecuados, que no permiten identificarte, ayuda a que disfrutes de la mejor experiencia posible.

En cambio, guardar los registros de conexión equivocados podría permitir a una VPN relacionarte con tu actividad e identificarte personalmente.

Esto supone un problema grave para los usuarios que se preocupan por su privacidad. Sigue leyendo para saber exactamente qué registros son aceptables y cuáles no.

Abundan las afirmaciones de que estos datos detallados solo se usan para «ofrecer la mejor experiencia posible» o «mejorar la atención al cliente».

Pero después de años probando estos servicios, sé que el nivel de detalle que muestra la política de privacidad de Avira Phantom VPN no es necesario para gestionar una red VPN con buen rendimiento. Algunas de las VPN más rápidas que he probado están también entre las que menos datos recopilan.

Y no se trata de un caso aislado. Muchas marcas de seguridad de confianza guardan más datos de conexión de los que cabría esperar. FREEDOME VPN, de F-Secure, por ejemplo, no registra los sitios web que visitas, pero sí conserva datos de conexión que permiten identificarte: tu dirección IP de origen, un identificador del dispositivo, las marcas de tiempo de conexión, la duración de la sesión y el volumen de datos transferidos. Sus registros de aprovisionamiento, que incluyen tu dirección IP y el identificador del dispositivo, se conservan durante un año entero.

Esto es importante porque cualquier registro que exista puede entregarse o incautarse. En enero de 2019, la Oficina Nacional de Investigación de Finlandia incautó los registros de conexión de FREEDOME a petición de la policía alemana.

Más tarde, un tribunal ordenó destruirlos, pero la lección es sencilla: una VPN solo puede entregar los datos que decide guardar.

3. Registros agregados

Algunas de las VPN más populares recopilan registros agregados. Es decir, reúnen información que, en teoría, está anonimizada y no se puede vincular a un usuario concreto.

Una VPN puede recopilar los sitios web que visitas, el ancho de banda que usas o tus horas de conexión, eliminar después cualquier dato identificativo y añadirlo a una base de datos más amplia.

Ten en cuenta que algunas VPN dicen no guardar registros cuando en realidad guardan registros agregados. La política de privacidad de Hotspot Shield que ves arriba es un buen ejemplo de lo que debes vigilar.

En definitiva, los datos agregados y anonimizados no son siempre la solución mágica que prometen los equipos de marketing.

Que este tipo de registro sea aceptable o no depende de qué datos se agregan exactamente y de lo sólida que sea la anonimización. Tienes que confiar en que tu servicio VPN anonimiza los datos de forma eficaz.

Si no te sientes cómodo dando ese salto de fe, es mejor que elijas un servicio VPN que de verdad no guarde registros.

¿Qué es una VPN sin registros?

Un servicio VPN que de verdad no guarda registros no recopila ni almacena ningún dato de actividad o de conexión que pueda servir para identificarte. Y lo más importante: no conserva absolutamente ninguna información que se transmita a través del túnel VPN.

Así, ningún usuario puede vincularse a una actividad o conexión concreta dentro de la red. Cada usuario mantiene su privacidad y su anonimato, y ni siquiera el proveedor de la VPN sabe quién es.

En la mayoría de las VPN sin registros, los únicos datos identificativos que se guardan son tu dirección de correo electrónico (para crear la cuenta) y tus datos de facturación (por si pides un reembolso). Algunas van más allá y recopilan todavía menos.

Una VPN que de verdad no guarda registros no puede entregar tus datos de actividad o de conexión a las autoridades ni a terceros, por la sencilla razón de que nunca los ha tenido.

Así es como una buena política de registros compensa el riesgo de una jurisdicción VPN poco segura, aunque, como explico más abajo, no lo elimina del todo.

Conviene aclarar que «sin registros» no significa que no se guarde absolutamente ningún dato. Un «registro cero» real es prácticamente imposible si se quiere mantener una red sólida o aplicar límites de dispositivos.

La mayoría de las VPN sin registros guardan datos muy básicos, como la carga agregada de los servidores (el número de usuarios o el ancho de banda por servidor). Estos datos no incluyen ninguna información identificativa, así que la VPN se sigue considerando sin registros.

Los mejores proveedores lo refuerzan con servidores de solo RAM y auditorías independientes públicas.

Las VPN son, ante todo, herramientas de privacidad, así que hay datos que nunca deberían recopilarse. Pero no todos los registros son peligrosos. En la siguiente tabla puedes ver la diferencia de un vistazo.

† Un fragmento de tu dirección IP. Puede identificar a tu ISP, pero no a ti personalmente.

* Estos datos solo son peligrosos si se registran junto con otros datos de conexión detallados.

La regla general: cualquier dato que pueda vincularse a ti como persona es inaceptable. Los datos que solo describen la red en su conjunto no suponen un problema y, a menudo, son necesarios para que el servicio funcione bien.

Los siguientes servicios VPN registran tu actividad de navegación. Es la forma más grave de registro y debes evitarla a toda costa.

Esta lista no es exhaustiva, y estas políticas cambian más a menudo de lo que crees. Yo las leo completas en lugar de fiarme de resúmenes, y te recomiendo que revises personalmente la política de tu proveedor antes de confiarle tus datos.

Las políticas de registros vagas, falsas o deliberadamente confusas, pensadas para crear una ilusión de privacidad, engañan con frecuencia a los usuarios desprevenidos.

Si no sabes en qué fijarte, podrías acabar usando un servicio VPN que te pone en riesgo.

Si estás revisando una política de privacidad o vas a contratar una suscripción, presta atención a estos problemas habituales. ¿Ya los conoces? Pasa directamente a cómo protegerte.

1. Publicidad engañosa

Salvo que haya una auditoría independiente, es casi imposible verificar de verdad la política de registros de una VPN hasta que ya es demasiado tarde.

A continuación tienes dos ejemplos de VPN supuestamente «privadas» o «sin registros» que, más tarde, resultaron haber compartido registros detallados con las autoridades.

En 2011, el servicio VPN HideMyAss (HMA), con sede en Londres, tuvo un papel clave en la detención de Cody Kretsinger, un joven de 23 años miembro del colectivo hacker LulzSec.

HMA se presentaba como un servicio centrado en la privacidad. Sin embargo, cuando el FBI rastreó la actividad de Kretsinger hasta una dirección IP de HMA y un tribunal británico exigió los registros, HMA accedió y entregó los datos de conexión que permitieron identificarlo.

Captura de pantalla de una versión archivada de la página de inicio de HideMyAss, 18 de julio de 2011.

Vender un producto que promete explícitamente proteger la identidad del usuario y después hacer justo lo contrario es, sin duda, engañoso. Y HMA no es un caso aislado.

En 2016, IPVanish colaboró con el FBI en una investigación criminal y facilitó datos de conexión detallados, a pesar de que su política de privacidad prometía explícitamente no guardar ningún registro.

Captura de pantalla de una versión archivada de la política de privacidad de IPVanish, 13 de marzo de 2016.

Conviene aclarar que, por aquel entonces, IPVanish tenía otros propietarios y otra dirección (puedes leer más en el análisis completo de IPVanish). Pero la lección sigue siendo válida: investiga el historial de tu proveedor antes de confiar en él.

2. Ambigüedad deliberada

En un mundo ideal, todas las políticas de registros explicarían con claridad qué datos se guardan durante una sesión y después de ella. En realidad, muchos proveedores recurren a la ambigüedad para crear una falsa sensación de seguridad.

La mayoría de los usuarios no saben que expresiones genéricas como «sin registros» no siempre son lo que parecen. Como en el sector no existe una definición estándar de «registros», los proveedores pueden evitar aclarar a qué tipo de datos se refiere realmente su promesa.

Un proveedor puede anunciar legítimamente que no guarda registros de datos de actividad y, aun así, seguir registrando datos de conexión que permiten identificar a una persona.

También es habitual que el marketing contradiga abiertamente la política de privacidad: una llamativa promesa de «cero registros» en la página de inicio y los datos que realmente se guardan, enterrados en los términos y condiciones.

Encontré un ejemplo perfecto en la ficha de ThunderVPN en Google Play. Por suerte, pude capturar una prueba de esta práctica engañosa antes de que el proveedor la retirara.

La «estricta política de cero registros» que anunciaba chocaba de lleno con su política de privacidad de aquel momento.

Si una VPN hace afirmaciones contradictorias o engañosas como esta sobre sus registros, piénsatelo dos veces antes de confiarle tus datos.

3. Falta de detalle

Es sorprendentemente habitual que las VPN menos populares funcionen sin ninguna política de privacidad. Si el sitio web del proveedor no ofrece detalles sobre la recopilación de datos, no deberías confiar en esa VPN.

Desconfía también de las políticas inusualmente breves. Muchas se limitan a decir algo como «no registramos tu actividad mientras estás conectado», lo que no explica nada sobre otras formas en que podrían recopilarse tus datos.

Incluso marcas de seguridad muy conocidas pueden tener políticas vergonzosamente escuetas. Cuando busqué las condiciones de la VPN de McAfee, descubrí que la empresa solo le dedica una frase en su política de privacidad.

Algunos servicios tampoco dejan claro cómo aplican sus condiciones. Decenas de ellos presumen de «no guardar registros» y, en la misma frase, advierten de que «investigarán comportamientos sospechosos» o «bloquearán a los usuarios que cometan abusos».

La pregunta es obvia: si una VPN no registra tu dirección IP ni tu actividad, ¿cómo puede investigar un comportamiento sospechoso?

Si una política de registros es breve o vaga, pide detalles al equipo de soporte del proveedor. Yo lo hago a menudo, y la calidad de la respuesta dice casi tanto como la propia política. No uses un producto que no se tome la molestia de explicar con claridad sus prácticas.

4. Jurisdicción

Las políticas de registros y las jurisdicciones están estrechamente relacionadas. Las jurisdicciones poco conocidas pueden ser excelentes para la privacidad, pero también pueden dificultar que se pidan cuentas a una empresa si engaña a sus clientes.

Y, lo que es más importante, la jurisdicción de un proveedor determina su obligación legal de registrar datos y compartirlos con las autoridades.

En los últimos años, las leyes de vigilancia se han endurecido mucho: la recopilación de datos sin orden judicial al amparo de la Sección 702 de la FISA en Estados Unidos, la conservación obligatoria de los registros de conexión a internet que exige la Ley de Poderes de Investigación del Reino Unido y las obligaciones de retención de datos en Australia y la India, entre otras.

Estas jurisdicciones invasivas importan mucho menos si una VPN de verdad no guarda registros, porque no hay nada que entregar. Pero elegir un servicio con sede fuera de ellas puede añadir otra capa de protección.

Si quieres conocer en detalle las leyes de vigilancia que hacen que esto sea importante, consulta mi guía sobre las jurisdicciones de las VPN.

No tienes por qué fiarte de la palabra de ningún proveedor. Esta es la jerarquía de pruebas que uso para evaluar si una VPN de verdad no guarda registros, de la más sólida a la más débil:

• Una prueba en el mundo real. ¿Alguna vez una orden judicial, una citación o una incautación policial ha obligado al proveedor a entregar datos, y no tenía nada que entregar? Es la prueba más fiable. Todas las VPN sin registros que recomiendo la han superado.
• Una auditoría independiente. Una firma de prestigio (Deloitte, KPMG, Cure53) inspecciona los servidores y la política. Es una prueba sólida, pero una auditoría refleja un momento concreto; no es una garantía permanente.
• Servidores de solo RAM (sin disco). Un hardware que se borra con cada reinicio no puede conservar registros a largo plazo, aunque alguien quisiera. Es una salvaguarda técnica, no una promesa.
• Una política de privacidad clara en una buena jurisdicción. Lee qué datos dice recopilar y comprueba si su país obliga a conservar datos. Por sí sola, es la prueba más débil, porque no son más que palabras.

Y estas son las señales de alarma que deberían hacerte dudar:

• Frases vagas como «podemos recopilar algunos datos».
• Una política que registra a la vez tu dirección IP de origen y las marcas de tiempo.
• Propietarios que no puedes vincular con una empresa real e identificable.
• Una VPN «gratuita» sin una forma clara de ganar dinero.

En resumen: si un servicio no puede decirte con claridad qué datos guarda, da por hecho que guarda demasiados.

Si te preocupa que tu VPN no proteja del todo tu privacidad, puedes tomar varias medidas para mantener tus datos a salvo.

1. Elige una VPN sin registros verificada

Unos pocos proveedores han demostrado en casos reales que no guardan registros y, además, han superado auditorías independientes. Son los que me merecen más confianza:

• Private Internet Access: no pudo aportar ningún dato útil en un caso judicial en Estados Unidos en 2016, y ese mismo año las autoridades rusas incautaron uno de sus servidores sin encontrar nada. Red de solo RAM auditada por Deloitte.
• ExpressVPN: en 2017, las autoridades turcas incautaron uno de sus servidores y no encontraron ningún registro. Toda su red funciona en RAM (TrustedServer) y cuenta con una auditoría de KPMG y más de 20 auditorías de seguridad.
• Mullvad: la policía sueca registró su oficina en 2023 en busca de datos de usuarios, pero se fue con las manos vacías. Ni siquiera pide un correo electrónico.
• NordVPN: en un caso judicial de 2024, solo pudo aportar los datos de pago y la confirmación de que un correo electrónico estaba vinculado a una cuenta. Tiene sede en Panamá, usa servidores de solo RAM y Deloitte la audita con regularidad.
• Proton VPN: en 2019, un tribunal suizo le ordenó entregar datos de usuarios, pero no tenía ninguno. Jurisdicción suiza y auditorías públicas anuales.

Si te preocupan los registros de las VPN, un servicio con un historial probado en el mundo real siempre es la opción más segura.

2. Prioriza proveedores auditados con servidores de solo RAM

No todos los proveedores fiables han pasado por un tribunal, y no deberías descartar uno solo por eso.

A falta de una prueba judicial, los servidores de solo RAM (sin disco) y una auditoría independiente reciente son las dos señales técnicas más sólidas de que una VPN cumple su promesa de no guardar registros.

Elige proveedores que tengan ambas cosas y que publiquen la auditoría completa, en lugar de limitarse a mencionarla.

3. Date de alta y paga de forma anónima

Cuanto menos sepa una VPN de ti, menos podrá registrar.

Siempre que puedas, date de alta con una dirección de correo electrónico desechable y paga con un método anónimo, como criptomonedas o, en el caso de Mullvad, en efectivo.

Así limitas la utilidad que podrían tener los datos de tu cuenta.

4. Usa multi-hop en lugar de un solo servidor

Enrutar tu tráfico a través de dos servidores VPN (lo que se suele llamar multi-hop o Double VPN) añade una capa de separación entre tu dirección IP real y tu destino.

Proveedores como NordVPN lo incluyen de serie, y es una opción más limpia y fiable que intentar usar dos aplicaciones VPN distintas a la vez, algo que rara vez funciona bien, si es que funciona.

5. Combina una VPN con Tor

Si lo haces correctamente, usar una VPN junto con el navegador Tor te acerca un paso más al anonimato.

Eso sí, Tor es lento incluso en las mejores condiciones. Cada vez que lo he combinado con una VPN, la velocidad ha bajado tanto que cualquier cosa más allá de la navegación básica resulta realmente frustrante.

6. Elige una jurisdicción que respete la privacidad

La opción más segura es contratar una VPN con sede fuera de las principales alianzas de intercambio de inteligencia.

Ten en cuenta que una jurisdicción favorable no garantiza por sí sola que el proveedor sea de fiar.

Un proveedor podría seguir colaborando con autoridades extranjeras o registrar tus datos si quisiera. Combina siempre la jurisdicción con pruebas reales.