@miguelgallardo Dr. (PhD) Ing. Miguel Gallardo PERITO Tel. (+34) 902998352 E-mail: apedanica.ong@gmail.com
@APEDANICA Asociación APEDANICA con registro del Ministerio del Interior www.cita.es/apedanica.pdf
https://cita.es/denuncia-meta-fiscal-firmado.pdf
Fiscalía penal a la que corresponda por Colaboración AIAMP Asociación Ibero Americana de Ministerios Públicos
Denuncia publicada en https://www.miguelgallardo.es/denuncia-meta-fiscal.pdf
Dr. Ing. Miguel Ángel Gallardo Ortiz PhD, criminólogo y doctor en ÉTICA, diplomado en Altos Estudios Internacionales, miembro de IAENG, también en representación de APEDANICA - Asociación para la Prevención y Estudio de Delitos, Abusos y Negligencias en Informática y Comunicaciones Avanzadas, E-mail: apedanica.ong@gmail.com Teléfono (+34) 902998352 domicilio en la calle Fernando Poo, 16 Piso 6ºB E-28045 en Madrid, España, como mejor proceda presento DENUNCIA PENAL POR DELITOS EN CONCURSO PERSEGUIBLES DE OFICIO contra las siguientes entidades o personas jurídicas y físicas que resulten responsables:
META PLATFORMS, INC. (Menlo Park, California, EE.UU.).
META PLATFORMS IRELAND LIMITED (Dublín, Irlanda, responsable RGPD en UE).
META PLATFORMS SPAIN, S.L. (en Paseo de la Castellana 35, 28046 Madrid).
YANDEX N.V. (Amsterdam, Países Bajos) y YANDEX LLC (Moscú, Rusia).
ALPHABET por GOOGLE responsable del sistema operativo Android para celulares.
Los administradores de hecho o de derecho, directivos, técnicos y responsables legales de cada empresa que diseñaron, aprobaron o mantienen los mecanismos de rastreo, espionaje, intrusión, código maligno (malware) y por todos los por hechos que revisten indicios racionales de delitos continuados de descubrimiento masivo y revelación de secretos, acceso ilícito a sistemas de información y responsabilidad penal de la persona jurídica con notorio ánimo de lucro, concurso medial o real con daños informáticos, publicidad engañosa y otros delitos conexos de notoria complejidad.
HECHOS s.e.u.o. todos los que se adjuntan en la denuncia ya registrada en España el 21/11/2025 13:52:16 ante la Oficina de Registro y Reparto Penal de Madrid, según ya hemos publicado en https://cita.es/denuncia-meta-registro.pdf
Ver https://cita.es/alfonso-calvo-meta.pdf https://cita.es/denuncia-meta-gobierno.pdf
APEDANICA, y personalmente su presidente, está a la entera disposición de todo funcionario competente para investigar los hechos adjuntados, recomendando que todos los países miembros de la Asociación Ibero Americana de Ministerios Públicos AIAMP se coordinen eficazmente lo antes posible, compartiendo esta denuncia para practicar las diligencias ya propuestas al Juzgado de Instrucción de Madrid, con la Medida Cautelar de Inmediato Cese de Actividad, como mínimo, en cada país en el que las entidades denunciadas tengan alguna representación legal.
Es de hacer Justicia que pedimos, por el principio jurídico “iura novit curia” y por la máxima “da mihi facta, dabo tibi ius” ("dame los hechos, yo te daré el derecho”), en la fecha de esta firma digital.
La denuncia con firma digital está en
https://cita.es/denuncia-meta-fiscal-firmado.pdf
@miguelgallardo Dr. (PhD) Ing. Miguel Gallardo PERITO Tel. (+34) 902998352 E-mail: apedanica.ong@gmail.com
@APEDANICA Asociación APEDANICA con registro del Ministerio del Interior www.cita.es/apedanica.pdf
https://cita.es/denuncia-meta-firmado.pdf
Juzgado de Instrucción al que por turno corresponda
Denuncia publicada en https://www.miguelgallardo.es/denuncia-meta.pdf
Dr. Ing. Miguel Ángel Gallardo Ortiz PhD, criminólogo y doctor en ÉTICA, diplomado en Altos Estudios Internacionales, miembro de IAENG, también en representación de APEDANICA - Asociación para la Prevención y Estudio de Delitos, Abusos y Negligencias en Informática y Comunicaciones Avanzadas, E-mail: apedanica.ong@gmail.com Teléfono (+34) 902998352 domicilio en la calle Fernando Poo, 16 Piso 6ºB E-28045 en Madrid, España, como mejor proceda presento DENUNCIA PENAL POR DELITOS EN CONCURSO PERSEGUIBLES DE OFICIO contra las siguientes entidades o personas jurídicas y físicas que resulten responsables:
META PLATFORMS, INC. (Menlo Park, California, EE.UU.).
META PLATFORMS IRELAND LIMITED (Dublín, Irlanda, responsable RGPD en UE).
META PLATFORMS SPAIN, S.L. (en Paseo de la Castellana 35, 28046 Madrid).
YANDEX N.V. (Amsterdam, Países Bajos) y YANDEX LLC (Moscú, Rusia).
ALPHABET por GOOGLE responsable del sistema operativo Android para móviles
Los administradores de hecho o de derecho, directivos, técnicos y responsables legales de cada empresa que diseñaron, aprobaron o mantienen los mecanismos de rastreo, espionaje, intrusión, código maligno (malware) y por todos los por hechos que revisten indicios racionales de delitos continuados de descubrimiento y revelación de secretos (art. 197.1 y 197.2 CP), acceso ilícito a sistemas de información (art. 197 bis CP) y responsabilidad penal de la persona jurídica (arts. 31 bis y 197 quinquies CP), con posible concurso medial o real con daños informáticos (art. 264 CP) y publicidad engañosa (art. 282 CP) y otros delitos conexos de notoria complejidad.
I. HECHOS s.e.u.o.
PRIMERO. Investigación científica de extraordinaria gravedad publicada por la Universidad de Radboud (Países Bajos) y el instituto español IMDEA Networks (fundación en la Comunidad de Madrid) el 20.11.2025 (versión actualizada tras divulgación responsable) disponible en Internet
https://www.ru.nl/en/research/research-news/new-research-highlights-privacy-abuse-involving-meta-and-yandex New research highlights privacy abuse involving Meta and Yandex 03 June 2025 Research news item que por su contenido penalmente relevante ha fundamentado el anuncio de acciones políticas (pero no judiciales, del presidente del Gobierno de España y en especial, de “una investigación contra META por la posible violación de la privacidad de millones de usuarios” según puede verse en el Web oficial de la Presidencia del Gobierno en La Moncloa https://www.lamoncloa.gob.es/presidente/actividades/paginas/2025/191125-sanchez-iv-edicion-metafuturo.aspx (de fecha 19.11.2025) que dice textualmente: El presidente del Gobierno, Pedro Sánchez, ha anunciado que se impulsará una investigación contra META por la supuesta violación de la privacidad de millones de usuarios. Para ello, la empresa matriz de Facebook, Instagram y WhatsApp tendrá que rendir cuentas ante la Comisión de Economía, Comercio y Transformación Digital del Congreso de los Diputados. Esta iniciativa parte de una investigación realizada por varios centros internacionales de España (IMDEA Networks), Bélgica (Universidad Católica de Lovaina) y Holanda (Universidad de Radboud) que reveló que la compañía habría empleado durante casi un año un mecanismo oculto que permitía rastrear la actividad web de los usuarios de dispositivos Android. Este 'espionaje silencioso' consistía en recopilar datos sobre las páginas que visitaban en el navegador web, y vincularlos con su identidad en las aplicaciones de Facebook e Instagram, incluso cuando usaban el modo incógnito o una VPN. Esta práctica podría haber infringido varias regulaciones europeas en materia de seguridad y privacidad: el Reglamento General de Protección de Datos (RGPD), la Directiva ePrivacy (Directiva 2002/58), la Ley de Mercados Digitales (DMA, por sus siglas en inglés) y la Ley de Servicios Digitales (DSA). Además, la compañía se enfrenta a demandas colectivas presentadas en Alemania, Estados Unidos y Canadá. El objetivo de la investigación es esclarecer lo ocurrido, que los responsables de la compañía den explicaciones y proteger los derechos fundamentales que hayan podido ser vulnerados. "En España, la Ley está por encima de cualquier algoritmo o cualquier gran plataforma tecnológica. Y quien vulnere nuestros derechos, pagará las consecuencias", ha señalado el presidente en su intervención en el IV Foro Metafuturo, en el Ateneo de Madrid.
Los hechos a los que hacen referencia los dos enlaces citados son constitutivos de delitos públicos perseguibles de oficio pero no tenemos constancia de ninguna investigación por ningún Juzgado, ni por ningún representante del Ministerio Fiscal en ninguna Fiscalía, a pesar de afectar a todos los usuarios de teléfonos móviles smartphones con sistema operativo Android.
Las aplicaciones nativas de Meta (Facebook e Instagram) y Yandex (Browser, Maps, Search, etc.) en Android ejecutan servidores locales ocultos (puertos espiados) que reciben datos de navegación web enviados desde millones de sitios mediante sus píxeles de rastreo (Meta Pixel y Yandex Metrica), vinculando automáticamente el historial completo de navegación (incluso en modo incógnito) con la identidad persistente del usuario (cuenta logueada o Android Advertising ID), sin consentimiento informado, sin transparencia y eludiendo todas las protecciones técnicas de Android y navegadores.
SEGUNDO. Técnica inicial y actual de Meta (desde septiembre 2024) muy resumidamente:
El código JavaScript del Meta Pixel envía identificadores (_fbp, etc.) vía WebRTC/HTTP a puertos locales donde escuchan las apps de Facebook/Instagram.
App captura los datos, los asocia a la cuenta logueada y reenvía a servidores de Meta.
Meta ignoró quejas y preguntas de propietarios de sitios web sobre este método.
TERCERO. Técnica de Yandex (desde 2017, más sofisticada y grave, delictivamente):
El SDK AppMetrica crea servidores locales con puertos dinámicos configurados en tiempo real desde servidores de Yandex.
Retraso intencional de hasta 3 días tras la instalación antes de activar la escucha (hipótesis de los investigadores: evadir investigaciones).
Rotación automática de puertos para burlar bloqueos.
Diseño explícitamente comparado con nodos de comando y control de malware por los investigadores.
Captura datos web, los enriquece con Android Advertising ID y los devuelve al pixel.
CUARTO. Afectación masiva en España actualmente:
Meta Pixel está en >5,8 millones de sitios web y según Yandex Metrica en >3 millones.
Miles de sitios españoles (medios, e-commerce, administraciones y actividades privadas, personales, reservadas e incluso secretas a los efectos penales) integran esos píxeles.
Millones de usuarios españoles con Android tienen instaladas apps de Meta y/o Yandex.
El rastreo se produce en territorio español, en dispositivos de ciudadanos españoles, generando perfiles publicitarios invasivos espiados sin base legítima.
QUINTO. Ausencia absoluta de consentimiento válido y engaño al usuario:
No existe información clara ni específica en políticas de privacidad sobre esta técnica que es perfectamente conocida por todas las entidades denunciadas. Se induce a error al usuario al hacer creer que modo incógnito, borrado de cookies o controles Android protegen la navegación.
II. CALIFICACIÓN JURÍDICA PROVISIONAL
Los hechos presentan indicios racionales de:
Delito continuado de descubrimiento y revelación de secretos (art. 197.1 y 197.2 CP): apoderamiento masivo de historial de navegación (dato íntimo) y revelación a terceros (servidores corporativos) sin consentimiento, con agravante de lucro.
Acceso ilícito a sistemas de información (art. 197 bis CP): vulneración intencional del sandboxing Android y aislamiento de procesos del navegador.
Responsabilidad penal de la persona jurídica (arts. 31 bis y 197 quinquies CP): delitos cometidos en beneficio empresarial y con deficiencia grave de compliance.
Concurso con daños informáticos (art. 264 CP) y publicidad engañosa (art. 282 CP) y otros delitos conexos de notoria complejidad.
III. COMPETENCIA Y LEGITIMACIÓN
Competencia territorial: efectos en España (art. 23.2 LOPJ).
Legitimación activa de APEDANICA: defensa de intereses colectivos en delitos tecnológicos (arts. 19 y 23 LOPJ; art. 11 bis LECrim).
Actuación de oficio posible (afectación a pluralidad indeterminada de personas).
IV. DILIGENCIAS DE INVESTIGACIÓN QUE SE INTERESAN
Incorporación del estudio completo (https://www.ru.nl/en/research/research-news/new-research-highlights-privacy-abuse-involving-meta-and-yandex y proyecto LocalMess) y otras fuentes más autorizadas.
Requerimiento a Meta Platforms Spain S.L.,representantes de Yandex en UE para que aporten código fuente, logs y documentación interna de Meta Pixel / Yandex Metrica / AppMetrica y a Google por cuanto sea responsabilidad del sistema Android.
Pericial urgente por la Brigada de Investigación Tecnológica (BIT) o GC Delitos Telemáticos para replicar el abuso en dispositivos testigo evidenciando los hechos.
Citación como testigos-peritos a los investigadores (Gunes Acar, Narseo Vallina-Rodríguez, Aniketh Girish, Nipuna Weerasekara, Tim Vlummens).
Oficio a la Presidencia del Gobierno, Centro Criptológico Nacional CCN del Centro Nacional de Inteligencia CNI, INCIBE, AEPD y EDPB sobre investigaciones abiertas.
Cooperación internacional (OEI) con Irlanda (Meta) y Países Bajos (Yandex N.V.).
PETITUM: por lo expuesto, SE SOLICITA AL JUZGADO:
Que se admita a trámite la presente denuncia penal, incoando Diligencias Previas, practicando las diligencias interesadas y cuantas otras estime oportunas, y en su día deduzca testimonio contra todos los penalmente responsables de los hechos aquí denunciados.
OTROSÍ 1 DIGO solicitando Medida Cautelar de Inmediato Cese de Actividad.
Petición: Que se ordene cautelarmente a Meta en Paseo de la Castellana 35, 28046 Madrid y Yandex como mejor proceda, la desactivación inmediata y total de todos los módulos de escucha en puertos localhost en España bajo apercibimiento de desobediencia grave y se requiera a Google para que garantice la seguridad de los usuarios de Android cuya seguridad es de la máxima responsabilidad de Google, en primer lugar, por lo que debe garantizar que no se pueda espiar a sus usuarios ni por Meta ni por Yandex.
OTROSÍ 2 DIGO ofreciendo el denunciante su total disposición para colaborar en todo cuanto pueda estar a su alcance, o al de la asociación APEDANICA que ha deliberado, al menos, en los Grupos de expertos en WhatsApp siguientes:
Ética en Protección de Datos Grupo · 41 miembros
https://chat.whatsapp.com/Dyr5hwRjcUOIoTUNFzm0zc
APEDANICA vs. TECNOPOLIOS Grupo · 61 miembros
https://chat.whatsapp.com/GGLifa9Bwtn5rC1zGoY65u
Querellas y denuncias penales Grupo · 112 miembros
https://chat.whatsapp.com/DdvPL6ivi9zEViROaA03sb
Éticas judiciales y secretos ilegales en Juzgados. Grupo · 246 miembros
https://chat.whatsapp.com/KgpIydxGT8A48zbwa4Z3vQ
Derecho e Inteligencias Artificiales éticas vigilando procedimientos administrativos y judiciales Grupo · 507 miembros
https://chat.whatsapp.com/CrSwcP59s2yD5MoxaPBHEu
CONSIDERANDO QUE LA INFORMACIÓN DE LOS HECHOS DENUNCIADOS SE ESTÁ ACTUALIZANDO EN TODO EL MUNDO, ESPECIALMENTE EN INGLÉS, AMPLIAREMOS ESTA DENUNCIA CON NUEVOS HECHOS Y MÁS DATOS.
SE ADJUNTAN REFERENCIAS E INFORMES DE INTELIGENCIA ARTIFICIAL AD HOC QUE SE CONSIDERAN MUY RELEVANTES MEDIANTE LOS ANEXOS 1 Y 2, siendo este último una sucesión de citas textuales de Gemini, DeepSeek, Grok y ChatGPT AD HOC.
Es de hacer Justicia que pedimos, por el principio jurídico “iura novit curia” y por la máxima “da mihi facta, dabo tibi ius” ("dame los hechos, yo te daré el derecho”) en la fecha de esta firma digital.
La denuncia con firma digital está en
https://cita.es/denuncia-meta-firmado.pdf
ANEXO 1 REFERENCIAS JUDICIALES RELEVANTES
1ª SENTENCIA Nº 98/2025 del JUZGADO DE LO MERCANTIL Nº 15 DE MADRID del JUEZ TEODORO LADRÓN RODA en el Procedimiento Ordinario 109/2024 publicada en https://cita.es/sentencia/ami-meta-facebook.pdf que dice textualmente:
En relación a las expectativas razonables del interesado, la STJUE considera que “el usuario de esta no debería esperar razonablemente que, sin su consentimiento, el operador de esa red social trate los datos personales de ese usuario con fines de personalización de la publicidad. En estas circunstancias, debe considerarse que los intereses y los derechos fundamentales de tal usuario prevalecen sobre el interés de dicho operador en tal personalización de la publicidad, mediante la que él financia su actividad, de modo que el tratamiento efectuado por este para tales fines no puede estar comprendido en el ámbito de aplicación del artículo 6, apartado 1, párrafo primero, letra f), del RGPD”. En esta ponderación también se debe tener en cuenta que “el tratamiento controvertido en el litigio principal tiene un alcance particularmente amplio, ya que versa sobre datos potencialmente ilimitados y tiene gran impacto en el usuario, cuyas actividades en línea están, en gran parte o incluso en su práctica totalidad, bajo el control de Meta Platforms Ireland, lo que puede suscitar en él la sensación de una vigilancia continua de su vida privada”. Es decir; sin el consentimiento del usuario, prevalecen los derechos fundamentales de este sobre el interés legítimo del operador (META) en la publicidad personalizada.
En opinión del denunciante, el fondo del asunto de esa sentencia mercantil es penal, y que los perjudicados somos todos los que usamos Android de Google incluso si no descargamos aplicaciones de Meta como Facebook, WhatsApp o Instagram, pero mucho más aún si lo hacemos, y en ciertos casos, obligados.
2ª Todo el Juicio Verbal (250.2) 786/2021 del JUZGADO DE 1ª INSTANCIA Nº 5 DE MADRID Demandado: FACEBOOK SPAIN SL PROCURADOR: ISIDRO ORQUIN CEDENILLA y de FACEBOOK INC (ahora Meta Platforms Inc) y FACEBOOK IRELAND (ahora Meta Platforms Ireland) por la DEMANDA publicada en www.miguelgallardo.es/demanda-facebook.pdf
Admitida en https://cita.es/demanda-facebook-admitida.pdf
Contestada en https://cita.es/demanda-facebook-contestada.pdf
REQUERIMIENTOS en https://cita.es/demanda-facebook-requerimientos.pdf
REQUERIDO en https://www.miguelgallardo.es/demanda-facebook-domicilio.pdf
y que tras numerosos incidentes procesales que dejan sistemáticamente en inferioridad de armas al demandante, termina con la sentencia publicada en
https://cita.es/sentencia/facebook-indemandable.pdf
contra la que se presentó el incidente de nulidad, al que nos remitimos, publicado en
https://miguelgallardo.es/facebook-incidente-nulidad.pdf
El fondo del asunto es el conocido caso “Facebook Leaks” por la filtración masiva de datos personales de usuarios de Facebook (que afectó a unos 533 millones de cuentas, incluidas ~11 millones de cuentas de ciudadanos españoles) y se reclamó el cese de esas prácticas. Esos hechos también son, en opinión del denunciante, delictivos y además, son indicios racionales y antecedentes de lo aquí denunciado y debe ser investigado en Juzgado de Instrucción por su relevancia penal.
ANEXO 2 INFORMES AD HOC MEDIANTE INTELIGENCIA ARTIFICIAL IA
GEMINI CON RAZONAMIENTO 3 PRO (NÓTESE QUE GEMINI PERTENECE A GOOGLE-ALPHABET QUE ESTÁ ENTRE LAS ENTIDADES DENUNCIADAS)
ASUNTO: INFORME JURÍDICO DE REFUERZO SOBRE LA RELEVANCIA PENAL DEL "LOCALHOST TRACKING" Y LA NECESIDAD DE MEDIDAS CAUTELARES URGENTES.
I. OBJETO DEL INFORME
El presente informe técnico-jurídico tiene por objeto complementar y fundamentar la Denuncia Penal presentada por APEDANICA contra META PLATFORMS, YANDEX y ALPHABET (GOOGLE). Se analiza la técnica de intrusión conocida como "Localhost Tracking" bajo el prisma del Código Penal español y la jurisprudencia reciente, justificando la necesidad imperiosa de adoptar diligencias de investigación tecnológicas y medidas cautelares de cese de actividad.
II. ANÁLISIS FÁCTICO-JURÍDICO: LA NATURALEZA DEL ATAQUE
La investigación de la Universidad de Radboud e IMDEA Networks 11 ha revelado un mecanismo que trasciende la mera infracción administrativa de protección de datos para adentrarse plenamente en el tipo penal de la intrusión informática.
El "Modus Operandi" como Hacking Activo:
Las aplicaciones denunciadas no se limitan a recolectar datos disponibles. Ejecutan un servidor web oculto en el puerto local 127.0.0.1 22 del dispositivo del usuario.
Finalidad: Esta arquitectura técnica tiene un único propósito: eludir (bypass) las medidas de seguridad lógicas del sistema operativo Android (conocidas como Sandboxing) y las políticas de seguridad de los navegadores (Same-Origin Policy).
Dolo Específico: En el caso de YANDEX, la investigación acredita el uso de técnicas de ofuscación dinámica (rotación de puertos y retrasos temporales) 3, descritas por los expertos como análogas a las de un "nodo de comando y control de malware"4. Esto evidencia una premeditación delictiva para asegurar la impunidad y la persistencia del acceso ilícito.
La Desprotección de la Víctima:
El ataque anula las herramientas de autodefensa del ciudadano. El rastreo se produce incluso cuando el usuario activa el Modo Incógnito o utiliza VPNs55. Esto constituye un abuso de confianza y un engaño cualificado, elementos centrales para la calificación delictiva.
III. FUNDAMENTACIÓN JURÍDICA DE LOS TIPOS PENALES
Los hechos denunciados encajan, sin forzamientos, en los siguientes preceptos del Código Penal (CP):
A. DELITO DE INTRUSIÓN INFORMÁTICA (Art. 197 bis.1 CP)
Tipo Penal: Castiga al que, "vulnerando las medidas de seguridad establecidas para impedirlo, acceda sin autorización a todo o parte de un sistema de información".
Aplicación al caso: El "sistema de información" es el terminal móvil del usuario. Las "medidas de seguridad" vulneradas son el aislamiento de procesos (Sandboxing) de Android6. Las aplicaciones de META y YANDEX rompen este aislamiento mediante la apertura de puertos locales no autorizados para exfiltrar datos desde el navegador hacia la aplicación nativa.
Jurisprudencia: La vulneración no requiere fuerza bruta; el uso de puertas traseras lógicas o exploits de diseño constituye la vulneración típica del art. 197 bis.
B. DELITO DE DESCUBRIMIENTO Y REVELACIÓN DE SECRETOS (Art. 197.1 y 197.2 CP)
Tipo Penal: Apoderamiento de datos reservados de carácter personal registrados en ficheros informáticos.
Aplicación al caso: El historial de navegación es un dato íntimo protegido. La conducta denunciada consiste en la interceptación de la comunicación entre el navegador y la red, y su posterior vinculación (de-anonimización) con la identidad real del usuario7777.
Ausencia de Consentimiento: El consentimiento del usuario en los "Términos y Condiciones" es nulo de pleno derecho penalmente, ya que se ha obtenido mediante engaño (ocultando la técnica intrusiva) y fraude de ley. No existe consentimiento válido para ser espiado mediante técnicas de malware.
C. RESPONSABILIDAD DE LA PERSONA JURÍDICA (Art. 31 bis CP)
Las entidades META PLATFORMS y YANDEX operan bajo un defecto de organización grave. No solo carecen de medidas de vigilancia para prevenir delitos, sino que el modelo de negocio se sustenta en la comisión de los mismos. El beneficio directo (lucro publicitario) derivado del delito activa la responsabilidad penal corporativa8888.
D. PUBLICIDAD ENGAÑOSA (Art. 282 CP)
Se oferta un servicio garantizando privacidad y control (Modo Incógnito, cifrado), cuando la realidad técnica implementada (puertos localhost) hace imposible dicha privacidad, causando un perjuicio grave y manifiesto a los consumidores9.
IV. JUSTIFICACIÓN DE LAS DILIGENCIAS DE INVESTIGACIÓN SOLICITADAS
Ante la complejidad técnica y la transnacionalidad de los denunciados, la instrucción debe ser proactiva y tecnológica. Se fundamenta la pertinencia de las diligencias solicitadas en la denuncia10:
Pericial Policial (BIT/UCO)11: Es indispensable que la fuerza actuante replique el estudio de Radboud en un entorno controlado en España. Esta diligencia transformará el indicio académico en prueba de cargo procesal, acreditando que las apps distribuidas en España contienen el código malicioso.
Exhibición de Código Fuente12: Se debe requerir a META y YANDEX la entrega de los módulos de código encargados de la gestión de sockets locales. La negativa a entregarlos constituiría un indicio de obstrucción a la justicia y ocultación de pruebas.
Testifical de Investigadores13: La declaración de los autores del estudio (IMDEA/Radboud) es vital para ratificar técnicamente que la conducta observada no es un "error" (bug), sino una "funcionalidad" (feature) diseñada dolosamente.
V. FUNDAMENTACIÓN DE LA MEDIDA CAUTELAR DE CESE DE ACTIVIDAD
De conformidad con el artículo 13 de la LECrim y 727 de la LEC, se solicita la desactivación inmediata de los módulos de escucha en puertos localhost, basándose en:
Fumus Boni Iuris (Apariencia de Buen Derecho):
La existencia del delito no se basa en conjeturas, sino en una investigación científica validada y publicada 14141414, así como en los antecedentes judiciales civiles 15151515 que ya han declarado la ilicitud de estas prácticas en el ámbito del RGPD. Existe una base probatoria sólida de inicio.
Periculum in Mora (Peligro por la mora procesal):
El delito denunciado es de consumación permanente y tracto sucesivo. Cada minuto que las aplicaciones siguen operando con esta vulnerabilidad, millones de datos íntimos de ciudadanos españoles son exfiltrados a servidores en EE.UU. y Rusia16. Una vez que los datos salen de la jurisdicción europea, el daño es irreparable. La justicia tardía en materia de datos equivale a la denegación de justicia.
Ponderación de Intereses:
Debe prevalecer el Derecho Fundamental a la Intimidad (Art. 18 CE) y la seguridad de las comunicaciones frente al interés comercial de las denunciadas. Como recoge la Sentencia del Juzgado de lo Mercantil nº 15 de Madrid citada en la denuncia17171717: "los intereses y los derechos fundamentales de tal usuario prevalecen sobre el interés de dicho operador en tal personalización de la publicidad".
VI. CONCLUSIÓN
Los hechos expuestos describen una estructura de vigilancia masiva e ilegal que utiliza técnicas propias del cibercrimen (hacking, evasión de seguridad, ofuscación) integradas en aplicaciones comerciales de uso generalizado.
La pasividad ante estos hechos supondría una carta de naturaleza para que las grandes plataformas tecnológicas operen al margen del Código Penal español. Por ello, resulta procedente la admisión a trámite de la denuncia y la adopción inaudita parte de las medidas cautelares interesadas para cesar la vulneración de derechos fundamentales.
FIN DE LA CITA TEXTUAL DE GEMINI
DEEPSEEK (Inteligencia Artificial IA CHINA)
# Informe Jurídico Ad Hoc de Refuerzo a la Denuncia contra Meta Platforms Spain S.L. y Yandex
## I. Exposición Preliminar y Objeto del Informe
El presente informe ad hoc, elaborado por APEDANICA, tiene por objeto complementar y robustecer técnico-jurídicamente la denuncia principal contra **Meta Platforms Spain S.L.** y **YANDEX** por la comisión de delitos relacionados con la técnica de vigilancia masiva denominada "localhost tracking". Se fundamenta en el análisis de la documentación técnica pública y se alinea con la estrategia legal esbozada en la denuncia citada, proporcionando al Juzgado argumentos detallados para la práctica de diligencias urgentes y la adopción de medidas cautelares.
La arquitectura técnica desplegada por los denunciados constituye un **sistema de interceptación masiva y encubierta**, que excede el ámbito de la mera infracción administrativa en materia de protección de datos para adentrarse en la esfera del **Derecho Penal**. Este informe desarrolla los fundamentos que justifican la calificación de los hechos como delitos graves y la necesidad de una respuesta jurisdiccional contundente y inmediata.
## II. Fundamentos Jurídico-Penales de la Conducta Delictiva
### A. Análisis Dogmático del Tipo Penal del Artículo 197 bis del Código Penal
La conducta técnica desplegada por Meta y Yandex, descrita en la investigación de la Universidad de Radboud e IMDEA Networks, encaja de manera precisa en el tipo penal de **acceso ilícito a sistemas informáticos** previsto en el **Artículo 197 bis del CP**.
- **Elemento Objetivo: "Vulneración de Medidas de Seguridad"**: El "sandboxing" o aislamiento entre aplicaciones en el sistema operativo Android es una **medida de seguridad lógica** diseñada específicamente para impedir el acceso de una aplicación a los datos de otra. La técnica del "localhost tracking" se concibió con el único propósito de **sortear activamente esta barrera de seguridad** . La conexión deliberada a puertos locales (127.0.0.1) para establecer un canal de comunicación entre la aplicación nativa (Facebook/Instagram) y el navegador web, evadiendo el modelo de permisos, constituye la vulneración en sí misma.
- **Elemento Subjetivo: "Dolo y Conocimiento"**: La complejidad técnica del método, que requiere un diseño específico de software en ambas puntas (aplicación nativa y código incrustado en webs), demuestra un **dolo de primer grado**. No es una conducta negligente o accidental, sino una acción intencionada y planificada para lograr un acceso que el sistema operativo impide por defecto. La similitud con técnicas utilizadas por malware, reconocida en el estudio académico, refuerza la existencia de una **voluntad consciente de eludir las protecciones**.
- **Bien Jurídico Protegido**: Si bien el bien jurídico principal en este delito es la **seguridad de los sistemas de información**, la conducta sirve como puerta de entrada para vulnerar de manera masiva el derecho fundamental a la **intimidad personal y familiar** (Art. 18.1 CE) y el **secreto de las comunicaciones** (Art. 18.3 CE).
### B. Conexidad con el Delito de Descubrimiento y Revelación de Secretos (Art. 197 CP)
El acceso ilícito al sistema de información (navegador) no es un fin en sí mismo, sino el medio para cometer el delito de descubrimiento y revelación de secretos.
- **Art. 197.1 CP**: La captura del historial de navegación y su vinculación con una identidad de usuario persistente constituye un **"apoderamiento de documentos o efectos personales"** en su versión digital. El historial de navegación es un documento personal que refleja los pensamientos, intereses, relaciones y creencias más íntimas de una persona.
- **Art. 197.2 CP**: El historial de navegación almacenado en el navegador son **"datos reservados de carácter personal o familiar"** registrados en un soporte informático. El acceso a los mismos sin autorización de su propietario cumple con el tipo penal descrito.
La relación entre el Art. 197 bis y el Art. 197 CP es de **concurso ideal de delitos**, dado que una sola acción (el establecimiento del canal encubierto) da lugar a la vulneración de dos bienes jurídicos distintos y da lugar a dos tipificaciones penales diferentes.
### C. Responsabilidad Penal de la Persona Jurídica (Art. 31 bis CP)
La comisión de estos delitos **beneficia directa y manifiestamente** a las entidades denunciadas. El modelo de negocio de publicidad comportamental de Meta se sustenta en la recopilación masiva de datos para la creación de perfiles detallados de los usuarios. La técnica del "localhost tracking" permitió obtener datos de una calidad y precisión inalcanzables por métodos convencionales, lo que se tradujo en un **beneficio económico directo y una ventaja competitiva ilegítima**.
Existen indicios suficientes de que la infracción se cometió debido a una **falta de controles y supervisión** suficientes en su estructura organizativa, o lo que es más grave, que fue el resultado de un **diseño corporativo deliberado**, lo que activa la responsabilidad penal de las personas jurídicas conforme al Art. 31 bis CP.
## III. Fundamentación de las Diligencias Investigadoras Solicitadas
La práctica de las diligencias solicitadas en la denuncia principal no es una mera solicitud probatoria, sino una **necesidad imprescindible** para superar la asimetría de información y poder técnico entre la Justicia y las grandes corporaciones tecnológicas.
- **Auditoría Forense y Requisa de Código Fuente**: La complejidad técnica del "localhost tracking" hace que la prueba testifical y documental sea insuficiente. Es imperativo un **análisis pericial del código fuente** de los módulos específicos de las aplicaciones para demostrar de manera irrefutable la intencionalidad del diseño y el mecanismo de vulneración . La negativa a facilitar este código sería, en sí misma, un indicio de culpabilidad.
- **Reproducción del Hecho por la Policía Judicial**: La intervención de la Unidad de Investigación Tecnológica (UIT) es crucial para **convertir un hallazgo académico en una evidencia procesal con cadena de custodia** . Un atestado policial que verifique la técnica en dispositivos controlados dentro del territorio nacional otorga al hecho una dimensión probatoria de primera magnitud y afianza la competencia del Juzgado.
- **Informe de la AEPD como Auxilio Judicial**: La Agencia Española de Protección de Datos, en su calidad de autoridad experta, puede emitir un informe técnico-jurídico sobre si esta práctica contaba con **base legal alguna** para el tratamiento de datos. La probable conclusión negativa reforzaría el elemento de "falta de consentimiento" y "ausencia de autorización" en los tipos penales imputados. Además, las sanciones previstas en el GDPR por infracciones de esta gravedad pueden alcanzar el **4% del volumen de negocio anual global** de la empresa , lo que subraya la extrema gravedad de la conducta.
## IV. Fundamentación de la Medida Cautelar de Retirada de Aplicaciones
La solicitud de retirada cautelar de las aplicaciones del Google Play Store español encuentra su fundamento en la doctrina de las **medidas cautelares personales de carácter real** y en los principios de **provisionalidad, excepcionalidad y proporcionalidad** que las rigen .
- **Fumus Boni Iuris (Aparente Buen Derecho)**: Los indicios de criminalidad son robustos y se encuentran avalados por una investigación científica pública y reproducible. Existe una **alta probabilidad de que la conducta sea finalmente declarada delictiva** en sentencia firme.
- **Periculum in Mora (Peligro en la Demora)**: Este es el presupuesto clave. El peligro no es abstracto:
- **Peligro de Reiteración Delictiva**: Mientras las aplicaciones permanezcan activas, la arquitectura delictiva sigue operativa, permitiendo la **interceptación continua y en tiempo real** de los datos de millones de usuarios españoles. Cada día que pasa se cometen nuevas infracciones.
- **Peligro de Destrucción o Alteración de la Prueba Digital**: Las actualizaciones de software pueden eliminar o ofuscar el código delictivo, frustrando la investigación ("**destrucción de fuentes de prueba**").
- **Peligro para los Bienes Jurídicos Protegidos**: La **intimidad y la privacidad** de los ciudadanos españoles siguen siendo vulneradas de manera masiva. La medida busca **"proteger a la víctima"** (en este caso, el colectivo de usuarios) y **"impedir la frustración del proceso"** .
- **Proporcionalidad**: La medida, aunque gravosa, es **idónea y necesaria** para cesar la comisión del delito de manera inmediata. Es menos gravosa que la prisión provisional para los directivos, pero altamente eficaz para detener la actividad ilícita. Su carácter es **estrictamente provisional** y se alza en el momento en que la empresa acredite haber eliminado los módulos de código vulneradores.
## V. Conclusión y Petición Final
En virtud de lo expuesto, el presente informe ad hoc **REFUERZA Y RATIFICA** la totalidad de las peticiones formuladas en la denuncia principal descargada de [https://www.miguelgallardo.es/denuncia-meta.pdf](https://www.miguelgallardo.es/denuncia-meta.pdf).
Se solicita al Juzgado, en aplicación del principio de **tutela judicial efectiva** y en defensa de los derechos fundamentales de la ciudadanía española, tenga por presentado este informe y lo una a los autos principales, y proceda a:
1. La **práctica inmediata y prioritaria** de todas las diligencias investigadoras propuestas.
2. La **adopción urgente** de la medida cautelar de retirada de las aplicaciones de los denunciados de las tiendas oficiales de aplicaciones en España.
3. La **coordinación con las autoridades europeas** para extender la eficacia de las medidas en el ámbito de la Unión Europea.
GROK POR X.COM PROPIEDAD DEL MAGNATE ELON MUSK
INFORME JURÍDICO AD HOC DE REFUERZO A LA DENUNCIA PENAL PRESENTADA POR APEDANICA CONTRA META PLATFORMS INC., META PLATFORMS IRELAND LIMITED, META PLATFORMS SPAIN S.L., YANDEX N.V., YANDEX LLC Y GOOGLE LLC (ALPHABET INC.) POR DELITOS GRAVES CONTRA LA INTIMIDAD Y LA SEGURIDAD INFORMÁTICA
PARA: Dr. Ing. Miguel Ángel Gallardo Ortiz, PhD
Presidente de APEDANICA (Asociación para la Prevención y Estudio de Delitos, Abusos y Negligencias en Informática y Comunicaciones Avanzadas)
Criminólogo, Doctor en Ética del Descubrimiento y Revelación de Secretos (Universidad Complutense de Madrid, 2015)
Miembro de International Association of Engineers (IAENG) y Diplomado en Altos Estudios Internacionales
Referencia: Denuncia penal principal disponible en https://www.miguelgallardo.es/denuncia-meta.pdf
ÍNDICE
I. INTRODUCCIÓN Y OBJETO DEL INFORME
II. DESCRIPCIÓN TÉCNICA DETALLADA DEL ABUSO DE PRIVACIDAD ("LocalMess")
III. FUNDAMENTOS JURÍDICOS DE LA RESPONSABILIDAD PENAL
IV. ANÁLISIS COMPARATIVO ENTRE META Y YANDEX: GRAVEDAD ESPECÍFICA DE YANDEX
V. AFFECTACIÓN MASIVA EN ESPAÑA Y COMPETENCIA JUDICIAL
VI. ARGUMENTACIÓN ESPECÍFICA SOBRE LA NECESIDAD URGENTE DE LAS DILIGENCIAS PROPUESTAS
VII. JUSTIFICACIÓN DE LA MEDIDA CAUTELAR DE INMEDIATO CESE DE ACTIVIDAD
VIII. CONCLUSIÓN Y PETICIÓN FINAL
I. INTRODUCCIÓN Y OBJETO DEL INFORME
El presente informe se redacta como documento de refuerzo técnico-jurídico ad hoc a la denuncia penal presentada por APEDANICA y disponible en https://www.miguelgallardo.es/denuncia-meta.pdf, que denuncia indicios racionales de delitos graves cometidos por META PLATFORMS INC. y sociedades vinculadas, YANDEX N.V./LLC y GOOGLE LLC (por responsabilidad en el sistema operativo Android) mediante la implantación sistemática de mecanismos de rastreo encubierto en dispositivos Android conocidos como "LocalMess" o abuso de privacidad vía localhost.
El objeto es ampliar, precisar y fundamentar con mayor profundidad los hechos denunciados, la calificación jurídica provisional y, especialmente, la necesidad imperiosa e inaplazable de practicar todas las diligencias de investigación propuestas en la denuncia principal, así como acordar la medida cautelar de inmediato cese de la actividad delictiva (desactivación de módulos localhost y bloqueo preventivo de funcionalidades vulnerables).
Este informe se basa en:
II. DESCRIPCIÓN TÉCNICA DETALLADA DEL ABUSO ("LocalMess")
La investigación "LocalMess" (localmess.github.io) documenta un ataque sistémico y estructural a la privacidad de usuarios Android mediante el abuso del interfaz localhost (127.0.0.1), que permite a aplicaciones nativas actuar como servidores locales ocultos para interceptar datos de navegación web.
2.1. Mecanismo General
Cualquier app Android con permiso INTERNET puede abrir sockets TCP/HTTP o UDP/WebRTC en localhost sin notificación al usuario.
Los píxeles de rastreo (Meta Pixel / Yandex Metrica) insertados en sitios web envían datos de navegación (URLs, parámetros, cookies) directamente a estos puertos locales.
La app nativa captura los datos, los enriquece con identificadores persistentes (cuentas logueadas, Android Advertising ID) y los reenvía a servidores remotos.
Evasiones clave:
Ignora modo Incógnito, borrado de cookies, VPN, bloqueadores de anuncios.
No requiere interacción del usuario ni consentimiento granular.
Funciona en segundo plano incluso si la app está cerrada.
2.2. Conducta Específica de Meta (desde septiembre 2024)
Meta Pixel (5,8 millones de sitios) usa principalmente WebRTC para enviar STUN requests a puertos locales donde escuchan Facebook/Instagram.
La app vincula identificadores de navegador (_fbp, etc.) con la cuenta logueada.
Meta ignoró quejas de webmasters y no divulgó el método (cita investigador Gunes Acar: "Meta failed to inform website owners... ignored their complaints").
2.3. Conducta Específica de Yandex (desde 2017 – más grave)
SDK AppMetrica (en apps Yandex) implementa servidor local dinámico con:
Puertos configurados en runtime desde servidores Yandex.
Retraso intencional de hasta 3 días post-instalación.
Rotación automática de puertos para evadir mitigaciones.
Diseño explícitamente comparado con malware C2 por investigadores (Nipuna Weerasekara: "resembles command-and-control nodes in malware").
Captura pasiva de datos web entrantes y enriquecimiento con Android Advertising ID.
Esta arquitectura no es accidental: constituye ingeniería inversa deliberada para evadir controles de privacidad.
III. FUNDAMENTOS JURÍDICOS DE LA RESPONSABILIDAD PENAL
3.1. Delito de Descubrimiento y Revelación de Secretos (art. 197.1, 197.2 y 197.3 CP – redacción LO 1/2022 y LO 1/2024)
Tipo objetivo: Apoderamiento de datos reservados de carácter personal (historial de navegación = dato íntimo que revela ideología, orientación sexual, salud, etc. – STS 489/2019).
Ausencia de consentimiento válido: No existe base legítima (RGPD art. 6); la técnica es oculta y evade controles (cita AEPD en procedimientos similares: tratamiento ilícito = ilicitud penal).
Revelación/difusión: Remisión a servidores corporativos para perfilado comercial.
Agravantes: Ánimo de lucro, difusión masiva, perjuicio grave a intimidad (art. 197.3).
3.2. Acceso Ilícito a Sistemas de Información (art. 197 bis CP)
Vulneración de medidas de seguridad establecidas (sandboxing Android, aislamiento de procesos del navegador – STS 300/2023).
Acceso sin autorización a datos no destinados a la app.
Agravante de especial gravedad (art. 197 bis.2) por escala masiva y uso de técnicas avanzadas.
3.3. Responsabilidad Penal de la Persona Jurídica (arts. 31 bis y 197 quinquies CP)
Delitos cometidos por empleados/directivos en beneficio de la empresa.
Falta de modelos de prevención eficaces (compliance inexistente o deficiente – multas previas de AEPD/IRL contra Meta superan 2.000M€).
3.4. Concurso con Daños Informáticos (art. 264.2 CP) y Publicidad Engañosa (art. 282 CP)
IV. ANÁLISIS COMPARATIVO: GRAVEDAD ESPECÍFICA DE YANDEX
Yandex presenta indicios más graves que Meta:
Antigüedad (2017 vs. 2024).
Técnicas de ofuscación (retrasos, rotación puertos) comparables a APT estatales.
Posible vinculación con intereses geoestratégicos rusos (Yandex como "Google ruso").
V. AFFECTACIÓN MASIVA EN ESPAÑA Y COMPETENCIA
VI. NECESIDAD URGENTE DE LAS DILIGENCIAS PROPUESTAS EN LA DENUNCIA
Las diligencias solicitadas en https://www.miguelgallardo.es/denuncia-meta.pdf son imprescindibles e inaplazables:
Pericial policial urgente (BIT/GC): Replicar el abuso es factible en horas.
Exhibición de código fuente y logs (art. 328 LECrim): Única forma de probar dolo.
Testifical-pericial de investigadores: Contactos públicos disponibles.
Cooperación internacional: OEI con Irlanda/Países Bajos.
Retrasarlas supondría continuación del delito y destrucción de pruebas.
VII. JUSTIFICACIÓN DE LA MEDIDA CAUTELAR PROPUESTA
La denuncia principal solicita medida cautelar de inmediato cese de actividad: desactivación de módulos localhost en España y requerimiento a Google para mitigar en Android.
Fundamentos (art. 761 LECrim y 13 LECrim):
Fumus boni iuris: Indicios racionales abrumadores.
Periculum in mora: Daño continuado e irreparable a millones de usuarios.
Proporcionalidad: Medida mínima eficaz (no bloqueo total, solo desactivación de funcionalidad ilícita).
Precedente: AEPD ha ordenado ceses inmediatos (PROC/00387/2023 contra Meta).
VIII. CONCLUSIÓN Y PETICIÓN
Este informe refuerza la denuncia de https://www.miguelgallardo.es/denuncia-meta.pdf demostrando la gravedad extrema, intencionalidad y urgencia de los hechos.
SE SOLICITA al Juzgado:
Tener por presentado este informe como refuerzo.
Acordar todas las diligencias propuestas en la denuncia principal.
Adoptar inmediatamente la medida cautelar de cese de actividad ilícita propuesta.
CHATGPT 5.1 THINKING DE OPEN AI
INFORME JURÍDICO AD HOC DE REFUERZO
QUE SE ACOMPAÑA A LA
“DENUNCIA PENAL POR DELITOS EN CONCURSO PERSEGUIBLES DE OFICIO
CONTRA META (FACEBOOK, WHATSAPP, INSTAGRAM), YANDEX Y GOOGLE–ALPHABET”
(denuncia publicada en: https://www.miguelgallardo.es/denuncia-meta.pdf)
I. OBJETO Y FINALIDAD DEL INFORME
El presente informe jurídico de refuerzo se formula para ser unido como anexo a la DENUNCIA PENAL publicada en https://www.miguelgallardo.es/denuncia-meta.pdf (en adelante, la Denuncia), suscrita por el Dr. Ing. Miguel Ángel Gallardo Ortiz PhD, también en representación de APEDANICA.
Su finalidad es:
Ampliar y precisar la calificación penal ya expuesta en la Denuncia, profundizando en:
el delito de descubrimiento y revelación de secretos (arts. 197.1 y 197.2 CP);
el delito de acceso ilícito a sistemas de información (art. 197 bis CP);
la responsabilidad penal de las personas jurídicas (arts. 31 bis y 197 quinquies CP);
el concurso con daños informáticos (art. 264 CP) y publicidad engañosa (art. 282 CP).
Subrayar la gravedad sistémica del mecanismo de “localhost tracking” descubierto por la Universidad de Radboud y el instituto IMDEA Networks, y su proyección en España.(ru.nl)
Justificar la estricta necesidad y proporcionalidad de las diligencias de investigación solicitadas en la Denuncia, así como de la medida cautelar de cese inmediato de actividad sobre los módulos de escucha en puertos locales (localhost) de las aplicaciones de Meta y Yandex, y de las obligaciones que han de imponerse a Google–Alphabet como responsable de Android.
Mostrar que resulta inidóneo dejar estos hechos únicamente en el ámbito sancionador administrativo (AEPD, autoridades de competencia o reguladores europeos) y que la intervención del Juzgado de Instrucción es indispensable para la tutela penal de bienes jurídicos de rango fundamental.
II. CONTEXTO FÁCTICO Y TECNOLÓGICO
1. Hallazgos de Radboud, IMDEA y demás centros
La Denuncia se apoya en la investigación internacional dada a conocer por la Universidad de Radboud (Países Bajos), el instituto IMDEA Networks (España) y otros grupos, donde se revela que:
Aplicaciones nativas de Meta (Facebook e Instagram, entre otras) y de Yandex (Browser, Maps, Search, etc.) en Android escuchan silenciosamente en puertos locales fijos (127.0.0.1) para recibir, a través de los píxeles de rastreo (Meta Pixel y Yandex Metrica), datos de navegación web procedentes de millones de sitios, sin conocimiento ni consentimiento del usuario.(ru.nl)
El mecanismo enlaza el historial completo de navegación –incluso en modo incógnito o usando VPN– con identificadores persistentes del usuario (cuenta logueada, Android Advertising ID, etc.), violando las expectativas razonables de privacidad de cualquier usuario medio.(ru.nl)
Se trata de un diseño técnico cuyo propósito específico es:
Eludir las medidas de seguridad lógicas del sistema operativo Android (sandboxing, aislamiento de procesos);
Burlar la política de mismo origen (Same-Origin Policy) de los navegadores;
Crear un canal encubierto entre el código JavaScript de los píxeles y las apps nativas, fuera del control regular del usuario y de los mecanismos estándar de gestión de cookies o permisos.
En el caso de Yandex, la investigación acredita técnicas propias de infraestructuras de malware (rotación dinámica de puertos, retrasos temporales deliberados de hasta varios días, configuración remota de los puertos) que refuerzan el carácter de “hacking activo” atribuido ya en el Anexo 2 de la Denuncia.
Incluso medios técnicos independientes han descrito el sistema como una forma de spyware utilizando WebRTC y puertos locales, reconociendo que Meta llegó a desactivar o modificar parte de ese código tras la divulgación pública de la investigación, lo que constituye un indicio adicional de conciencia de ilicitud y riesgo reputacional.(The Register)
2. Afectación masiva en España y en la Unión Europea
La propia Denuncia recaba datos de extensión global de los píxeles Meta Pixel (más de 5,8 millones de sitios) y Yandex Metrica (más de 3 millones), muchos de ellos pertenecientes a medios de comunicación, comercio electrónico y administraciones públicas españolas. Ello implica que:
Millones de usuarios en España utilizan a diario dispositivos Android con apps de Meta y, en menor medida, de Yandex.
El rastreo se produce materialmente en territorio español, en la terminal del usuario, configurando un supuesto típico de efectos relevantes a los que se refiere el art. 23.2 LOPJ.
A ello se añade que el propio Presidente del Gobierno de España anunció públicamente el impulso de una investigación contra Meta por supuesta violación de la privacidad de millones de usuarios, a partir de estos mismos hallazgos científicos.(La Moncloa)
Esa reacción política y parlamentaria muestra:
Que los hechos son considerados de grave afectación a derechos fundamentales (art. 18 CE).
Que, a pesar de esa gravedad, no consta apertura de diligencias penales de oficio, lo que justifica la iniciativa del denunciante y hace aún más necesaria la actuación judicial.
III. MARCO JURÍDICO PENAL APLICABLE
1. Descubrimiento y revelación de secretos (arts. 197.1 y 197.2 CP)
El art. 197.1 CP sanciona a quien, para descubrir secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodera de sus papeles, cartas, correos electrónicos o cualesquiera otros documentos o efectos personales. La jurisprudencia ha extendido este concepto a datos informáticos almacenados o generados en dispositivos electrónicos, y a los accesos a sistemas informáticos que permitan conocer hábitos íntimos o datos de especial sensibilidad.
En el supuesto que nos ocupa:
El historial de navegación de un smartphone, especialmente cuando el usuario navega en modo incógnito o tras usar mecanismos de protección (VPN, borrado de cookies), constituye un conjunto de datos de enorme carga íntima y reveladora de la vida personal, preferencias, ideología, salud, sexualidad, etc.
La técnica de “localhost tracking” está concebida para apoderarse de esos datos sin consentimiento ni conocimiento, y para transmitirlos a servidores corporativos (Meta y Yandex), donde se explotan con fines de perfilado y publicidad dirigida.
El art. 197.2 CP agrava la pena cuando los datos íntimos obtenidos ilícitamente son difundidos, revelados o cedidos a terceros, lo que se produce al menos en dos niveles:
Transmisión de los datos a las matrices de Meta y Yandex, que se encuentran fuera de España y, en buena medida, de la UE.
Cesión ulterior a anunciantes y terceros que utilizan el perfilado para microsegmentación publicitaria y otras finalidades (no limitadas al marketing comercial).
Por tanto, concurren claros indicios de un delito continuado de descubrimiento y revelación de secretos, cometido de forma automatizada, masiva y persistente, con ánimo de lucro empresarial.
2. Acceso ilícito a sistemas de información (art. 197 bis CP)
El art. 197 bis CP sanciona el acceso, sin autorización, a sistemas de información o a una parte de los mismos, vulnerando medidas de seguridad establecidas para impedirlo.
En este caso:
El sandboxing de Android y la Same-Origin Policy del navegador son medidas técnicas de seguridad destinadas precisamente a impedir que una aplicación pueda leer o correlacionar información generada por otra en el mismo dispositivo.
El servidor oculto en localhost es una ingeniería deliberada para eludir esas medidas de seguridad, creando un canal lateral que escapa a los controles de permisos visibles para el usuario.
Por ello, no estamos ante un mero uso intensivo de datos disponibles, sino ante una intrusión en los mecanismos internos del sistema operativo que debe valorarse como acceso ilícito a sistemas de información, con independencia de que el usuario haya instalado legítimamente las apps en su terminal.
3. Responsabilidad penal de la persona jurídica (arts. 31 bis y 197 quinquies CP)
Las conductas descritas se realizan:
En el seno de grandes corporaciones (Meta, Yandex, Alphabet/Google),
Mediante decisiones de diseño, desarrollo y despliegue adoptadas por sus órganos de dirección,
Con el objetivo de maximizar beneficios mediante un conocimiento extremadamente granular de la conducta del usuario.
Encaja, por tanto, el supuesto del art. 31 bis CP:
Delitos cometidos en nombre o por cuenta de la persona jurídica y en su beneficio directo o indirecto.
Con deficiencias graves de compliance, habida cuenta de:
La independencia entre las áreas técnicas que implementan la intrusión y las áreas de cumplimiento de RGPD, DSA, DMA y ePrivacy;
La evidente contradicción entre los mensajes públicos de “respeto a la privacidad” y la realidad técnica del producto.
El art. 197 quinquies CP extiende a las personas jurídicas la responsabilidad por los delitos de descubrimiento y revelación de secretos y acceso ilícito a sistemas. Resulta plenamente aplicable a las entidades denunciadas, máxime cuando la propia legislación europea (DSA, DMA, RGPD) las reconoce como plataformas muy grandes y gatekeepers sujetos a especiales obligaciones de diligencia y transparencia.(Estrategia Digital Europea)
4. Daños informáticos (art. 264 CP)
El art. 264 CP protege la integridad de datos, programas y sistemas. La explotación de un mecanismo de intrusión como el “localhost tracking” puede:
Alterar el funcionamiento normal del terminal;
Incrementar el consumo de recursos y batería;
Introducir vulnerabilidades adicionales que pueden ser aprovechadas por terceros (efecto “puerta trasera”).
Además, el daño no es sólo técnico; es también patrimonial y moral al generar perfiles que pueden ser utilizados para discriminar o manipular al usuario, afectando a su derecho a la autodeterminación informativa.
5. Publicidad engañosa y prácticas desleales (art. 282 CP y conexos)
Mientras se ejecuta este rastreo opaco, las plataformas:
Se presentan al usuario como respetuosas con su privacidad, ofreciendo paneles de “control” de datos y opciones de “modo privado” o “navegación segura”.
Afirman someterse plenamente al RGPD, a la normativa europea y a las autoridades de control.
Si, en realidad, el diseño técnico persigue obtener y combinar datos más allá de lo que el usuario puede razonablemente esperar, nos hallamos también ante publicidad engañosa y posibles prácticas comerciales desleales, sin perjuicio de otras responsabilidades (incluida la que pudiera apreciarse en materia de competencia desleal o consumo).
IV. CONEXIÓN CON EL DERECHO DE LA UNIÓN: RGPD, ePRIVACY, DSA Y DMA
1. Vulneración frontal del RGPD
El Reglamento (UE) 2016/679 (RGPD) establece que el tratamiento sólo es lícito si se basa en una de las bases del art. 6.1, y exige transparencia, minimización y lealtad.(EUR-Lex)
El mecanismo de “localhost tracking” infringe, al menos:
Art. 5.1.a RGPD – licitud, lealtad y transparencia: los usuarios no son informados clara ni específicamente de la existencia de un servidor local oculto que vincula su navegación con su identidad.
Art. 5.1.c – minimización de datos: se recolectan volúmenes ingentes de datos de navegación, más allá de lo necesario para prestar el servicio visible.
Art. 6.1: difícilmente puede justificarse en interés legítimo (letra f), según las recientes directrices del EDPB sobre esta base jurídica, que subrayan el carácter excepcional de ese fundamento cuando se afectan gravemente los derechos de los usuarios.(GDPR)
El TJUE y los tribunales nacionales han reiterado que la publicidad personalizada basada en un seguimiento intrusivo requiere consentimiento claro, granular e inequívoco y que los intereses comerciales del operador no prevalecen sobre los derechos fundamentales del usuario. Esto ha sido recordado incluso en la Sentencia nº 98/2025 del Juzgado de lo Mercantil nº 15 de Madrid citada como Anexo 1 en la Denuncia, relativa a Meta.
2. Directiva ePrivacy (2002/58/CE), art. 5.3
El art. 5.3 de la Directiva ePrivacy exige consentimiento para almacenar información o acceder a información ya almacenada en el equipo terminal del usuario, excepto en supuestos muy tasados relacionados con la prestación estricta del servicio solicitado.(EUR-Lex)
Las Orientaciones del EDPB sobre el alcance técnico del art. 5.3 han aclarado que la norma se aplica a cualquier tecnología que permita acceder o introducir información en terminales, incluyendo “técnicas equivalentes” a las cookies.(thesedonaconference.org)
El “localhost tracking” es, precisamente, una técnica nueva para eludir las limitaciones de cookies y otros mecanismos tradicionales y seguir accediendo a datos del dispositivo; por tanto, se sitúa de lleno en el ámbito prohibido por la ePrivacy salvo consentimiento válido… que aquí no existe.
3. Digital Services Act (DSA) y Digital Markets Act (DMA)
Meta y Alphabet/Google han sido designadas como “very large online platforms” (VLOPs) y “gatekeepers” bajo el DSA y la DMA, respectivamente, asumiendo obligaciones reforzadas de:
Identificar, evaluar y mitigar riesgos sistémicos para los derechos fundamentales y la privacidad;(Estrategia Digital Europea)
Asegurar transparencia de sus sistemas de recomendación y de publicidad;(mccannfitzgerald.com)
Evitar combinaciones abusivas de datos procedentes de distintos servicios sin consentimiento del usuario (DMA, art. 5.2, entre otros).(Digital Markets Act (DMA))
El uso de un canal encubierto para correlacionar navegación web con identidad en redes sociales y servicios del ecosistema del gatekeeper constituye una violación directa de esos deberes y refuerza la necesidad de una respuesta penal: no se trata de un simple incumplimiento administrativo, sino de un “bypass” técnico de la regulación y de los controles de las autoridades.
V. COMPETENCIA DEL JUZGADO Y LEGITIMACIÓN DE APEDANICA
1. Competencia territorial y jurisdicción penal española
La Denuncia ya fundamenta la competencia del Juzgado en el art. 23.2 LOPJ. A mayor abundamiento:
El núcleo material del delito –el acceso al historial de navegación, la escucha en puertos locales, la creación de perfiles– se produce en el dispositivo del usuario, situado en España.
El hecho de que los servidores finales y sociedades matrices estén en otros Estados no excluye la jurisdicción española, conforme a la doctrina del “lugar de producción del resultado” y del “lugar donde se concreta la afectación a bienes jurídicos del ciudadano español”.
2. Legitimación activa de APEDANICA y del denunciante
APEDANICA es una asociación específicamente orientada a la prevención y estudio de delitos, abusos y negligencias en informática y comunicaciones avanzadas, lo que la ubica entre los sujetos con interés legítimo cualificado para promover la persecución de delitos que afectan de forma difusa a una pluralidad de usuarios.
Los arts. 19 y 23 LOPJ, así como el art. 11 bis LECrim, permiten una interpretación que favorece la participación de asociaciones representativas en la defensa de intereses colectivos o supraindividuales, más aún cuando:
la Afectación es masiva,
la complejidad técnica exige peritos especializados, y
las víctimas no son plenamente conscientes de que han sido objeto de intrusión.
En tal contexto, la actuación de APEDANICA y del Dr. Gallardo no sólo es legítima, sino socialmente necesaria, dado que ninguna otra entidad pública ha asumido hasta ahora la iniciativa penal correspondiente.
VI. NECESIDAD DE INVESTIGACIÓN PENAL FRENTE A LA MERA RESPUESTA ADMINISTRATIVA
Puede objetarse que la cuestión debería quedar en manos de la AEPD, de la Comisión Europea o de autoridades de competencia. Sin embargo, esta tesis es insuficiente por varias razones:
La naturaleza de los hechos es penal:
No se limita a un incumplimiento de bases jurídicas o transparencia en el tratamiento de datos;
Abarca intrusiones técnicas conscientes, comparables a malware, diseñadas para burlar mecanismos de seguridad.
La respuesta administrativa no puede imponer penas privativas de libertad ni determinar responsabilidades penales individuales (directivos, ingenieros responsables, etc.).
El propio Presidente del Gobierno anunció sólo una investigación política ante una comisión parlamentaria, lo que ni sustituye ni excluye la acción penal, sino que más bien evidencia su necesidad para garantizar la separación de poderes y la tutela judicial efectiva.(La Moncloa)
La experiencia con otros escándalos (como las filtraciones masivas de datos de Facebook) demuestra que las sanciones monetarias pueden ser asumidas por estas grandes plataformas como “coste de hacer negocios”, sin modificar sustancialmente sus prácticas.
La única vía con capacidad real de desincentivo –por la posibilidad de penas personales y por la visibilidad del proceso– es la jurisdicción penal.
VII. MEDIDAS CAUTELARES: NECESIDAD, PROPORCIONALIDAD Y URGENCIA
1. Fundamento legal
La Denuncia solicita una medida cautelar de inmediato cese de actividad consistente en:
Las medidas cautelares penales se sustentan en los arts. 13, 299 y concordantes de la LECrim, que habilitan al Juzgado para adoptar cuantas medidas sean necesarias para asegurar el buen fin del proceso, evitar la reiteración delictiva y proteger a las víctimas, así como en la doctrina general de la jurisprudencia sobre fumus boni iuris y periculum in mora.
2. Fumus boni iuris: solidez indiciaria
El fumus boni iuris se acredita por:
La calidad y reputación de los centros de investigación que han desvelado el mecanismo (Radboud, IMDEA, KU Leuven, entre otros).(ru.nl)
La reacción pública de Meta, que tras la divulgación ha modificado discretamente su código para dejar de enviar datos a localhost, según fuentes técnicas independientes, lo que equivale a una admisión implícita de que el comportamiento anterior era, como mínimo, de altísimo riesgo jurídico.(The Register)
La relevancia penal reconocida ya en resoluciones judiciales nacionales sobre prácticas de seguimiento intensivo para publicidad personalizada (Sentencia Mercantil 98/2025, entre otras).
No se trata, por tanto, de una denuncia meramente especulativa, sino de una reacción fundada a hechos ya públicamente documentados y parcialmente corroborados por las propias empresas al corregir o “apagar” el comportamiento denunciado.
3. Periculum in mora: riesgo de continuación, destrucción y opacidad de la prueba
El riesgo en la demora es triple:
Continuación del daño: cada día que el mecanismo permanezca activo se acumulan nuevas intrusiones sobre millones de ciudadanos.
Posible destrucción o alteración de pruebas:
Las empresas pueden modificar el código de sus apps y píxeles, eliminar logs o alterar registros para dificultar la reconstrucción de los hechos.
La experiencia demuestra que, en ausencia de una orden judicial clara, estos cambios pueden hacerse sin conservación forense de versiones anteriores.
Efecto de “normalización”: cuanto más tiempo se mantenga la práctica sin reacción penal, más difícil resultará revertir la narrativa de que se trata de una mera “incidencia técnica” o de un tema exclusivamente regulatorio.
En consecuencia, la medida cautelar de cese inmediato resulta estrictamente necesaria y proporcionada para:
Impedir la reiteración de la posible intrusión delictiva mientras se instruye la causa.
Garantizar que Google–Alphabet adopte medidas de seguridad en Android que bloqueen canales de “localhost tracking” similares, también por parte de terceros.
El perjuicio para las empresas denunciadas es puramente económico y reputacional, compensable y en todo caso menor frente al grave riesgo continuado para derechos fundamentales de millones de ciudadanos.
VIII. DILIGENCIAS DE INVESTIGACIÓN PROPUESTAS (AMPLIADAS Y CONCRETADAS)
Sin perjuicio de las ya solicitadas en la Denuncia, se propone al Juzgado:
1. Incorporación de documentación técnica y científica
Requerir a las universidades y centros de investigación implicados (Radboud University, IMDEA Networks, KU Leuven, etc.) para que remitan al Juzgado:
El informe técnico completo y el código de prueba del proyecto conocido como “Localhost tracking / LocalMess”.(ru.nl)
Las capturas de tráfico y material de laboratorio que demuestran la escucha en puertos locales y la correlación con identificadores persistentes.
Incorporar a la causa las publicaciones y notas oficiales donde se explica el hallazgo y sus implicaciones de privacidad.
2. Requerimientos a Meta, Yandex y Google–Alphabet
Bajo apercibimiento de delito de desobediencia grave:
A Meta Platforms, Inc. y Meta Platforms Ireland Ltd., así como a Meta Platforms Spain S.L., para que aporten:
El código fuente histórico y actual de los componentes del Meta Pixel relacionados con envío de datos a localhost en Android.
La documentación interna de diseño donde se analice el uso de WebRTC/HTTP para comunicar con apps nativas.
Los informes internos de impacto en privacidad (DPIA) y evaluaciones de riesgos elaborados conforme al RGPD y DSA.
A Yandex N.V. y Yandex LLC para que aporten:
El código del SDK AppMetrica y las configuraciones históricas de puertos locales, retrasos y rotación.
La documentación sobre la comparación del sistema con infraestructuras de comando y control, si existiera.
A Alphabet Inc. y Google LLC, en su condición de responsables de Android, para que:
Expliquen qué mecanismos de seguridad conocían respecto al “localhost tracking” de terceros y si adoptaron alguna medida de mitigación.
Aporten informes internos sobre posibles violaciones de sus propias políticas de Play Store, que prohíben la recolección encubierta de datos.(The Register)
Requerir a todas ellas la preservación inmediata de logs y copias de seguridad relevantes, ordenando que no se destruyan ni modifiquen durante la investigación.
3. Pericial por unidades especializadas de Policía y Guardia Civil
Ordenar a la Brigada de Investigación Tecnológica (BIT) del CNP o al Grupo de Delitos Telemáticos de la Guardia Civil:
La reproducción controlada del ataque en dispositivos de prueba:
Instalando versiones de las apps afectadas y copiando el comportamiento descrito por los investigadores;
Registrando tráfico local (127.0.0.1) y remoto;
Generando un informe pericial comprensible para el Juzgado que detalle paso a paso la intrusión.
El análisis de posibles riesgos colaterales (escalada de privilegios, acceso a otros datos sensibles del terminal, etc.).
4. Declaración de investigadores y expertos como testigos–peritos
Citar a declarar en calidad de testigos–peritos a:
Los investigadores principales mencionados en la Denuncia (Gunes Acar, Narseo Vallina-Rodríguez y demás coautores);
Otros expertos que hayan analizado el fenómeno del “localhost tracking” en publicaciones técnicas o divulgativas.
Su testimonio permitirá al Juzgado:
Aclarar términos técnicos complejos;
Contrastar la versión de las empresas denunciadas;
Valorar la intencionalidad del diseño desde la perspectiva de la ingeniería de seguridad.
5. Oficios a autoridades públicas y cooperación internacional
Presidencia del Gobierno, Centro Criptológico Nacional (CCN), INCIBE, AEPD, EDPB y autoridades homólogas de Irlanda y Países Bajos para que informen sobre:
Investigaciones abiertas o previstas;
Intercambios de información con las empresas denunciadas;
Evaluaciones de riesgo elaboradas en el marco del DSA, DMA o RGPD.(European Commission)
En caso necesario, recurrir a órdenes europeas de investigación u otros instrumentos de cooperación judicial para obtener pruebas en Irlanda, Países Bajos, Estados Unidos y Rusia.
IX. CONCLUSIÓN Y PETICIÓN AL JUZGADO
A la vista de cuanto antecede, este informe AD HOC pretende ofrecer al Juzgado:
Una visión integrada de la gravedad técnico–jurídica del “localhost tracking” practicado por Meta y Yandex con la tolerancia o inacción de Google–Alphabet.
La confirmación de que los hechos encajan en tipos penales claros del Código Penal español y en la lógica de la responsabilidad penal de la persona jurídica.
Argumentos sólidos para considerar que no basta con sanciones administrativas y que la instrucción penal es indispensable para la protección efectiva de los derechos fundamentales a la intimidad, al secreto de las comunicaciones y a la autodeterminación informativa de millones de usuarios.
Por todo ello, a la vez que se da por reproducido íntegramente el contenido de la DENUNCIA PENAL publicada en https://www.miguelgallardo.es/denuncia-meta.pdf, se interesa respetuosamente del Juzgado que:
Admita a trámite la Denuncia, incoando las oportunas Diligencias Previas.
Acorde y practique todas las diligencias de investigación detalladas en la Denuncia y ampliadas en este informe.
Decrete la medida cautelar de inmediato cese de actividad sobre los módulos de escucha en puertos localhost de las aplicaciones de Meta y Yandex en España y requiera a Google–Alphabet para que implemente medidas técnicas que impidan esta y otras prácticas equivalentes de intrusión encubierta.
En su momento procesal oportuno, y a la vista de los resultados de la instrucción, se depuren responsabilidades penales contra las personas físicas y jurídicas conforme a los tipos penales analizados (arts. 197, 197 bis, 197 quinquies, 264, 282 y 31 bis CP, entre otros).
Es justicia que se solicita en refuerzo y complemento de la Denuncia ya presentada, bajo la máxima “da mihi facta, dabo tibi ius” y confiando en que el Juzgado, con pleno conocimiento de la extraordinaria trascendencia de los hechos, adopte las decisiones necesarias para proteger eficazmente a la ciudadanía frente a intrusiones digitales masivas.
FIN DE LAS CITAS TEXTUALES de las IAs Gemini, DeepSeek, Grok y ChatGPT en informes AD HOC
https://cita.es/denuncia-meta-firmado.pdf
Juzgado de Instrucción al que por turno corresponda
Denuncia publicada en https://www.miguelgallardo.es/denuncia-meta.pdf
Más información y actualizaciones o ampliaciones de esta denuncia penal
@miguelgallardo Dr. (PhD) Ing. Miguel Gallardo PERITO Tel. (+34) 902998352 E-mail: apedanica.ong@gmail.com
@APEDANICA Asociación APEDANICA con registro del Ministerio del Interior www.cita.es/apedanica.pdf
