La Comisión Europea ha abierto un nuevo frente con Alphabet, matriz de Google, al plantear medidas que obligarían a la compañía a compartir una parte muy amplia de los datos generados por Google Search con otros motores de búsqueda que operen en la Unión Europea y el Espacio Económico Europeo. El objetivo declarado es reducir la ventaja competitiva acumulada por Google gracias al volumen de consultas, clics y señales de uso que recibe cada día. El coste potencial de esa apertura, sin embargo, toca una zona muy sensible: la privacidad de las búsquedas de millones de usuarios.

El expediente DMA.100209, todavía en fase preliminar, se apoya en el artículo 6(11) del Digital Markets Act. Esta norma obliga a los grandes guardianes de acceso que gestionan motores de búsqueda a compartir datos anonimizados de ranking, consulta, clic y visualización con terceros bajo condiciones justas, razonables y no discriminatorias. En la práctica, Bruselas quiere que otros buscadores puedan acceder a señales que Google utiliza para mejorar su propio servicio, siempre con medidas técnicas y contractuales destinadas a reducir el riesgo de identificación de personas.

Qué quiere abrir la Comisión Europea

La propuesta va bastante más allá de una simple lista de resultados. Según el resumen del caso, Alphabet tendría que compartir todos los datos de consulta, visualización, clic y ranking que recopila para mejorar sus servicios de búsqueda, siempre sujetos a anonimización. Dentro de ese perímetro entran las búsquedas introducidas por los usuarios, las modificaciones aplicadas por el usuario o por Google, las URLs mostradas, la posición de los resultados y los datos de interacción con la página de resultados.

El documento de medidas preliminares detalla que Google tendría que compartir la consulta inicial y la consulta modificada, incluidas las alteraciones derivadas de autocompletado, sugerencias, autocorrección, filtros avanzados, chips de consulta o funciones similares. También se incluyen metadatos como marca temporal, ubicación, idioma, tipo de dispositivo, punto de acceso a Google Search y método de entrada, ya sea texto, voz o imagen.

Ese punto es relevante porque Google Search ya no se limita a la página clásica del buscador. La Comisión menciona accesos desde la barra del navegador, la web de Google, la app de búsqueda, el widget, Google Assistant, Gemini, Google Lens, Circle to Search y búsquedas de texto en Android. En otras palabras, la obligación cubriría buena parte de las formas en las que un usuario europeo interactúa con la búsqueda de Google.

La propuesta también alcanza los datos de visualización: URLs, contenidos visuales, resultados orgánicos, resultados de pago, pestañas de imágenes, vídeos, noticias, foros, libros y otros módulos presentes en la página. Además, exige datos de ranking, como la posición exacta o relativa de cada resultado en la pantalla del usuario. Para un competidor, esa información puede ayudar a entrenar o mejorar sistemas de búsqueda. Para el usuario, revela una parte muy precisa de lo que vio cuando hizo una consulta.

Clics, desplazamientos y ausencia de interacción

La parte más delicada está en los datos de comportamiento. La Comisión no solo plantea compartir qué se buscó o qué se mostró, sino también cómo se interactuó con los resultados. El texto incluye clics, clics de vuelta, duración, orden de acciones, ausencia de clics, desplazamientos, swipes, hovers y expansiones dentro de la página de resultados.

Esta información tiene un valor enorme para mejorar un motor de búsqueda. Saber que un resultado aparece arriba, recibe clic, provoca una vuelta rápida a la página de resultados o genera más tiempo de permanencia permite ajustar algoritmos, detectar resultados poco útiles y mejorar la relevancia. Google lleva años beneficiándose de ese aprendizaje a escala. La Comisión entiende que esa ventaja puede bloquear la competencia si nadie más accede a señales comparables.

Pero no todos los datos de búsqueda son iguales. Una consulta puede contener síntomas médicos, problemas legales, dudas financieras, preocupaciones familiares, intenciones políticas o información personal muy concreta. Incluso si se eliminan nombres, IPs e identificadores directos, ciertas combinaciones de términos, ubicación aproximada, idioma, dispositivo y comportamiento pueden hacer que algunos registros sean más sensibles de lo que parecen.

La Comisión intenta abordar ese riesgo con un esquema de anonimización en varias capas. Alphabet tendría que eliminar identificadores de cuenta, direcciones IP, identificadores de dispositivo y marcas temporales precisas. También tendría que suprimir consultas largas o raras, generalizar metadatos como ubicación y dispositivo, y limitar los datos de sesión a refinamientos de búsquedas anteriores.

El documento prevé además que los datos se compartan a diario y a nivel de registro. No sería una entrega agregada una vez al año ni un informe estadístico. La obligación se articularía mediante una API que permitiría a los terceros acceder a nuevos datos sin descargar todo el conjunto actualizado cada vez.

Más competencia, más superficie de riesgo

Bruselas intenta equilibrar dos prioridades difíciles de compatibilizar. Por un lado, quiere abrir un mercado dominado por Google durante años. Por otro, debe evitar que esa apertura convierta los datos de búsqueda en un activo demasiado expuesto. La propuesta incluye prohibiciones expresas para impedir que los terceros intenten reidentificar usuarios, enlacen el conjunto con otras bases de datos, reconstruyan atributos eliminados o usen los datos para fines distintos de mejorar servicios de búsqueda.

Los beneficiarios tendrían que aplicar cifrado en reposo y en tránsito, controles de acceso basados en mínimo privilegio, autenticación multifactor resistente al phishing, separación frente a bases de datos publicitarias o analíticas, registro de accesos, auditorías independientes y borrado seguro tras un máximo de 13 meses.

Estas medidas muestran que la Comisión no ignora el riesgo. Al contrario, lo reconoce de forma práctica al exigir controles propios de datos especialmente sensibles. El problema es que cada nuevo receptor autorizado se convierte en una nueva superficie de ataque. Una filtración, un error de configuración, una mala práctica interna o un cruce indebido con otros datos podría comprometer la promesa de anonimización.

La propuesta contempla incluso la posibilidad de suspender o terminar de forma acelerada el acceso en circunstancias excepcionales si existe un riesgo urgente de daño grave e irreparable para la anonimización de los datos personales de los usuarios. Ese punto resulta revelador: si hace falta una vía de emergencia, es porque el escenario de daño no es puramente teórico.

También hay una cuestión de alcance. Los terceros elegibles no serían solo buscadores tradicionales. La Comisión indica que las empresas que ofrezcan chatbots de inteligencia artificial con funciones de motor de búsqueda podrían recibir los datos si cumplen la definición aplicable. Esto abre la puerta a que una parte de las señales de Google Search alimente nuevos sistemas de búsqueda conversacional o servicios de IA conectados a la web.

Para Google, la medida toca el centro de su negocio. Para los competidores, puede ser una oportunidad poco frecuente de acceder a datos que hasta ahora estaban fuera de su alcance. Para los usuarios, el debate es menos cómodo: sus interacciones con el buscador podrían formar parte de un flujo de datos compartido, aunque se apliquen medidas de anonimización.

El procedimiento todavía no ha terminado. La Comisión ha publicado medidas preliminares y ha abierto la puerta a comentarios de terceros y de Alphabet antes de adoptar una decisión final. El caso, aun así, ya deja una pregunta de fondo para la política digital europea: hasta dónde se puede abrir una plataforma dominante para favorecer la competencia sin trasladar nuevos riesgos a la privacidad de quienes la usan a diario.

Preguntas frecuentes

¿La Comisión Europea ya ha aprobado esta obligación para Google?
No. Se trata de medidas preliminares dentro del caso DMA.100209. La Comisión puede ajustar la propuesta tras recibir comentarios de Alphabet y de terceros.

¿Qué tipo de datos de Google Search podrían compartirse?
Consultas, modificaciones de búsqueda, URLs mostradas, datos de ranking, clics, ausencia de clics, desplazamientos, idioma, dispositivo, punto de acceso y ubicación generalizada.

¿Los datos estarían anonimizados?
Sí, la propuesta exige medidas técnicas y contractuales de anonimización. Aun así, el propio documento incorpora controles para reducir el riesgo de reidentificación y prevé suspensión urgente si aparece un riesgo grave.

¿Podrían recibir estos datos servicios de inteligencia artificial?
Sí, si ofrecen funcionalidades de motor de búsqueda online y cumplen la definición legal aplicable, los chatbots de IA podrían entrar entre los beneficiarios.

vía: SEOcretos