Difumine las caras y elimine los metadatos EXIF antes de compartir una foto
Cada foto que comparte conlleva dos riesgos, uno que se ve y otro que no: las caras y los identificadores del encuadre, y los metadatos invisibles grabados en el archivo. Ocuparse de uno solo lo deja expuesto, y la solución habitual para la mitad visible, un difuminado, a menudo se puede revertir. Esta guía muestra cómo ocultar una foto como es debido, en su propio ordenador, para que no se suba nada.
Los dos riesgos ocultos de toda foto
Hay dos problemas independientes, y cubrir uno no hace nada por el otro. El primero es visible: caras, matrículas, credenciales, números de portal, pantallas y documentos en la imagen. El segundo es invisible: los metadatos que su cámara escribe en el archivo —dónde y cuándo se tomó la foto, y con qué dispositivo—. Tiene que ocuparse de ambos, y con la técnica adecuada para cada uno.
Qué filtran realmente los metadatos EXIF
Los teléfonos y las cámaras adjuntan a cada imagen un bloque de datos llamado EXIF. Suele registrar la fecha y hora en que se tomó la foto, la marca, el modelo y los ajustes de la cámara, la ubicación GPS si los servicios de localización estaban activados, la orientación, el software de edición empleado y, en algunos casos, el número de serie de la cámara. Los ingenieros de privacidad de Proton advierten de que estos «metadatos invisibles pueden usarse para rastrear tu ubicación, reconstruir tus rutinas diarias o hacerte un dox a ti o a tus seres queridos». (Fuente: Proton.) Nada de esto aparece en pantalla, y sobrevive a las ediciones corrientes como recortar o ajustar el brillo, y por eso eliminarlo tiene que ser un paso deliberado.
Casos reales en los que los metadatos de una foto delataron una ubicación
Esto no es teórico. Una sola foto sin depurar ha bastado para localizar a personas que no querían en absoluto ser encontradas:
| Caso | Qué delató la foto |
|---|---|
| John McAfee, diciembre de 2012 | Mientras estaba fugado, McAfee posó para una foto que un periodista publicó con la geoetiqueta GPS del iPhone todavía incrustada en el archivo. Las coordenadas incrustadas lo situaron en un punto de Guatemala cerca de la frontera con Belice; al día siguiente admitió su ubicación. No hizo falta ningún ataque informático: cualquiera que descargara la imagen podía leer las coordenadas. |
| La detención de «w0rmer», 2012 | Un hacker publicó en Twitter una foto que llevaba datos EXIF de GPS que la situaban en una casa de Wantirna South, Australia. La ubicación —junto con los datos de la cámara guardados en el archivo— ayudó al FBI a identificarlo y detenerlo. |
El caso McAfee es el de manual: como lo expresó Scientific American, «las cámaras de los smartphones escriben la ubicación, la fecha, la hora y los ajustes de la cámara en el archivo de imagen digital», de modo que una sola foto compartida puede delatar una ubicación precisa, sin necesidad de ningún ataque informático. (Fuente: Scientific American; PetaPixel.)
Una cara es dato personal, y dato biométrico en cuanto identifica a alguien
Una cara reconocible no es un detalle accesorio: es dato personal por derecho propio. Según el RGPD, una imagen facial se convierte en dato biométrico de categoría especial «solo cuando se procesa a través de un tratamiento técnico específico que permita la identificación o autenticación unívoca de una persona física»; por ejemplo, aplicándole reconocimiento facial. (Fuente: Considerando 51 del RGPD.) La ICO del Reino Unido traza la misma línea: una fotografía corriente es dato personal, pero «no es automáticamente dato biométrico aunque la use con fines de identificación»; se convierte en biométrico solo cuando un algoritmo extrae y transforma los rasgos faciales en una plantilla. (Fuente: ICO.) En cualquier caso, publicar la cara de un transeúnte o de una fuente es una decisión de privacidad real, y por eso taparla tiene que funcionar de verdad.
Por qué difuminar o pixelar una cara no es una ocultación segura
Aquí está la parte contraintuitiva que la mayoría de las herramientas de «difuminado» hace mal: la ofuscación débil es reversible. El difuminado y la pixelación no eliminan el detalle identificativo, sino que lo revuelven de una forma predecible y matemáticamente recuperable. El investigador de seguridad Dan Petro, de Bishop Fox, creó una herramienta, Unredacter, que recupera el texto original a partir de ocultaciones pixeladas, porque la pixelación carece de la «difusión» que la haría irrecuperable. Su regla es inequívoca: use barras sólidas y «nunca use nada más. Nada de pixelación, nada de difuminado, nada de emborronado, nada de remolinos». (Fuente: Bishop Fox.)
Las pruebas de que el difuminado y la pixelación se pueden revertir
Esto no es la opinión de un solo investigador: es un resultado bien documentado, tanto en texto como en caras:
- El texto pixelado se puede volver a leer. Depix es una prueba de concepto pública que recupera el texto en claro —originalmente una contraseña de administrador pixelada— a partir de una captura de pantalla difuminada con un filtro de caja lineal. (Fuente: Depix.) El reto público Unredacter de Bishop Fox se ganó después sobre una cadena pixelada real, lo que demuestra que el ataque funciona fuera del laboratorio. (Fuente: Bishop Fox.)
- Las caras difuminadas y con mosaico se pueden volver a identificar. En un estudio revisado por pares, una red neuronal identificó caras con mosaico de 16×16 con una precisión del 96,25 % y caras difuminadas por YouTube con una precisión del 57,75 %, y concluyó que ofuscar una imagen «puede que ya no sea suficiente para la privacidad». (Fuente: McPherson, Shokri & Shmatikov.)
- La mayoría de los métodos de anonimización son al menos parcialmente reversibles. El estudio «Fantômas» de 2024 halló que 11 de 15 métodos de anonimización facial probados —incluidos el difuminado gaussiano y la pixelación— podían revertirse al menos en parte, porque solo ocultan la información identificativa en lugar de eliminarla. (Fuente: Fantômas, PoPETS 2024.) Un método de 2025 va más lejos y usa un modelo de difusión para restaurar caras con difuminado gaussiano conservando la identidad. (Fuente: arXiv 2506.12344.)
Ocultación irreversible: recuadros sólidos para la imagen, eliminación total para los metadatos
La solución se deduce directamente del problema. Para la mitad visible, cubra las caras y los identificadores con un recuadro sólido y opaco para que los píxeles que hay debajo simplemente desaparezcan de la copia que comparte: nada que reconstruir. Para la mitad invisible, elimine de verdad los metadatos en lugar de confiar en que una plataforma lo haga por usted. Haga ambas cosas, y verifique.
Por qué hacerlo en su propio ordenador, y no en un difuminador o eliminador de EXIF en línea
Es tentador pegar una foto en una herramienta web de «difuminar caras» o «eliminar EXIF». Pero piense en lo que eso significa: para proteger una foto sensible, acaba de subir el original —caras, GPS y todo— al servidor de otra persona. Eso es lo contrario de la privacidad. Occlira hace ambas cosas —cubrir las caras con un recuadro sólido y eliminar el EXIF— en local, sin subir nada. Hacerlo en su propia máquina mantiene el archivo original en local, sin cuenta y sin subir nada, la misma razón por la que el procesamiento en el dispositivo es la opción segura por defecto también para documentos y audio. Puede leer exactamente qué se queda en su dispositivo en nuestra página de Prácticas de datos y privacidad.
Cómo difuminar caras y eliminar el EXIF antes de compartir, paso a paso
- Detecte las caras en su propio ordenador. Abra la foto en una herramienta que ejecute la detección de caras localmente, de modo que la imagen sensible nunca se suba a un servicio web. Deje que localice y marque automáticamente cada cara como primera pasada.
- Cubra cada cara e identificador con un recuadro opaco. No un difuminado ni un mosaico, sino un recuadro sólido. Tape cada cara y también los identificadores más discretos que un detector no señalará: matrículas, credenciales y cordones identificativos, números de portal, pantallas de ordenador, documentos sobre una mesa y reflejos en ventanas o gafas.
- Confirme que la ocultación es irreversible. La razón de ser del recuadro es que los píxeles que hay debajo desaparecen de la copia que comparte, no que sea un filtro que se pueda retirar. Si su herramienta aplica un difuminado reversible, cámbielo por una máscara sólida para todo lo que vaya a publicar.
- Elimine la ubicación y los metadatos EXIF. Quitar la cara visible no hace nada por los metadatos invisibles. Como paso aparte, borre las coordenadas GPS, la marca, el modelo y el número de serie de la cámara, las marcas de tiempo y el historial de edición grabados en el archivo.
- Verifique la copia exportada. Vuelva a abrir el archivo limpio y compruebe dos cosas: que no se pueda recuperar ninguna cara y que un visor de EXIF muestre que los metadatos están vacíos. No lo dé por hecho: confírmelo.
- Mantenga privado el original. Comparta solo la copia exportada. Conserve el original intacto —con sus caras y sus metadatos— en su propia máquina.
Lista de comprobación previa a compartir
- Cada cara cubierta con un recuadro opaco, no con un difuminado o mosaico reversible.
- Matrículas, credenciales, pantallas, documentos y reflejos también tapados con un recuadro.
- Datos de GPS y ubicación eliminados.
- Marca, modelo, número de serie y marca de tiempo de la cámara eliminados.
- Vuelto a comprobar el archivo exportado en un visor de EXIF: los metadatos están vacíos.
- El original guardado en privado; solo se comparte la copia limpia.
Hágalo en el dispositivo con Occlira
Occlira resuelve las dos mitades del riesgo fotográfico en una sola pasada en el dispositivo. Detecta las caras localmente y ofrece tres estilos de enmascarado —difuminado, mosaico o un recuadro sólido— y le permite dibujar un recuadro sobre cualquier cosa que el detector haya pasado por alto. Como el difuminado y el mosaico se pueden revertir, elija el recuadro sólido para todo lo que publique. En el mismo paso elimina los metadatos GPS y EXIF —ubicación, marca y modelo de la cámara y marcas de tiempo— y deja su archivo original intacto, exportando una copia limpia para compartir. Nada se sube, y no hay cuenta.
Es una parte de un conjunto de herramientas en el dispositivo más amplio que también oculta datos en Word, PDF y Excel y silencia los nombres en el audio, todo localmente. Una nota honesta, la misma que usamos en otros sitios: el modo de anonimización reversible de Occlira para el texto es seudonimización, así que ese resultado sigue siendo dato personal. Pero un recuadro opaco en una foto y un bloque EXIF eliminado son irreversibles por diseño, que es exactamente lo que quiere para una imagen que está a punto de publicar. Occlira le ayuda a hacer esto bien; no es una garantía, y usted revisa cada resultado.
Preguntas frecuentes
A menudo, sí. El difuminado y la pixelación solo ocultan el detalle identificativo en lugar de eliminarlo, de modo que puede recuperarse. Los investigadores han creado herramientas públicas que revierten la pixelación (Unredacter, de Bishop Fox, y Depix), y las redes neuronales han vuelto a identificar caras con mosaico y difuminadas con tasas altas. Un método de 2025 llega incluso a restaurar caras con difuminado gaussiano lo bastante bien como para volver a identificar a las personas. Trate el difuminado como algo cosmético, no como una ocultación.
No de forma fiable. Como el difuminado es reversible, la opción segura para todo lo que publique es un recuadro sólido y opaco sobre la cara: los píxeles que hay debajo se eliminan de la copia compartida, así que no queda nada que reconstruir.
Un recuadro sólido. El investigador de seguridad Dan Petro, que creó una herramienta para revertir la pixelación, lo dice sin rodeos: use barras negras y «nada de pixelación, nada de difuminado, nada de emborronado, nada de remolinos». El difuminado y el mosaico parecen anonimizados para una persona, pero un programa informático puede deshacerlos.
Una cara reconocible es siempre dato personal. Solo se convierte en dato biométrico de categoría especial cuando se procesa «a través de un tratamiento técnico específico que permita la identificación unívoca» de una persona; por ejemplo, aplicándole reconocimiento facial (Considerando 51 del RGPD). La ICO plantea el mismo matiz para el RGPD del Reino Unido. En cualquier caso, una cara es genuinamente sensible.
Sí. Las coordenadas GPS son uno de los campos EXIF, así que eliminar los metadatos EXIF retira la ubicación junto con la marca, el modelo y el número de serie de la cámara y las marcas de tiempo. Es un paso distinto de cubrir las caras: hay que hacer ambos.
La mayoría de las grandes plataformas eliminan el EXIF al subir la foto, pero es algo inconsistente, fuera de su control y que no hace nada por las caras visibles en la imagen; y, además, ya tuvo que subir el original a sus servidores. Si una foto es sensible, elimine usted mismo los metadatos, en su propia máquina, antes de que salga a ningún sitio.
Una captura de pantalla sí descarta el EXIF del archivo original, porque captura píxeles en lugar de copiar el archivo. Pero es un apaño con pérdidas: reduce la calidad, puede añadir sus propios metadatos y —lo más importante— no hace nada por ocultar las caras o los identificadores que siguen siendo visibles en el encuadre.
Sí, y debería hacerlo. Subir una foto sensible a un «difuminador» o «eliminador de EXIF» en línea es lo contrario de la privacidad. Occlira hace ambas cosas en su propio ordenador: detecta y cubre las caras (elija un recuadro sólido para todo lo que publique) y elimina los metadatos GPS/EXIF, dejando su original intacto y sin subir nada.
Oculte una foto de la forma correcta
Cubra las caras con un recuadro de verdad y elimine los metadatos, en su propio ordenador. Gratis durante 14 días en Windows y macOS.
Más: ocultación local frente a en la nube · para periodistas · cómo se tratan sus datos