Bloatware Samsung y Android: apps preinstaladas que te rastrean

Tu celular Samsung o Xiaomi nuevo viene con decenas de apps que nunca pediste, varias de las cuales empiezan a enviar datos a servidores del fabricante antes de que abras una sola app de tu elección. La investigación de Trinity College Dublin, publicada en 2021, encontró que los celulares Samsung transmiten telemetría del dispositivo a servidores de Samsung cada cinco minutos aunque el usuario haya seleccionado todas las opciones de exclusión disponibles. Esta es recolección de datos a nivel de fabricante, no spyware de terceros, lo que la coloca en una zona gris legal que las acciones del RGPD europeo y las quejas bajo la LFPDPPP mexicana apenas empiezan a poner a prueba.

Puntos clave

• El estudio de Trinity College Dublin de 2021 encontró que Samsung envía datos del dispositivo a sus servidores cada cinco minutos, incluso con todas las exclusiones activadas (Douglas Leith, tcprivacy.net, 2021)
• El paquete MIUI Analytics de Xiaomi (com.miui.analytics) y el navegador Mi Browser por defecto registraban URLs HTTPS incluyendo sesiones de navegación privada, según la investigación de Forbes de 2020
• Las apps preinstaladas se pueden desactivar de forma segura desde Ajustes, Aplicaciones, Desactivar, o eliminarse para el usuario actual con ADB sin rootear: pm uninstall --user 0 <paquete>
• El RGPD europeo exige una base legal documentada para procesar datos personales; la mayoría de las apps de fabricante se amparan en el “interés legítimo”, que las autoridades de protección de datos de la UE han cuestionado
• Un Samsung Galaxy desbloqueado incluye entre 60 y 80 paquetes preinstalados; menos de 20 son necesarios para la función básica del celular
• El desbloateo con ADB tarda unos 20 minutos, no anula la garantía y no requiere root

Cómo funciona el rastreo de ubicación del celular

¿Qué es bloatware y qué es una app de sistema?

La línea entre bloatware y software de sistema requerido es real, y cruzarla al debloatear puede dejar el celular sin arrancar. Una app de sistema es cualquier paquete del que depende el framework de Android para enrutar llamadas, renderizar la interfaz, gestionar los drivers de hardware o ejecutar la capa de Google Mobile Services. Eliminar com.android.phone o com.google.android.gms manda el celular a un boot loop.

Bloatware, en cambio, es software que el fabricante o la operadora instaló sin que el usuario lo pidiera, y que puede eliminarse sin afectar la función básica. Samsung incluye entre 60 y 80 paquetes más allá de la base AOSP de Android. Unos 20 gestionan funciones exclusivas de Samsung (Knox, Smart Switch, Samsung Pay). Los 40 a 60 restantes incluyen Bixby, Galaxy Store, Samsung Free, Samsung Push Service y apps de socios regionales, ninguna de las cuales es necesaria para que el celular haga llamadas, se conecte a Wi-Fi o corra apps de Play Store.

La distinción importa porque la telemetría viene de ambas capas. La telemetría de Google fluye a través de Google Mobile Services (GMS), una capa presente en todos los celulares Android certificados, incluido el Pixel. Samsung, Xiaomi y OPPO añaden una segunda capa de fabricante encima. Los usuarios que desactivan el análisis de Samsung siguen teniendo la telemetría base de Google corriendo por debajo. No es razón para rendirse, es razón para entender las capas por separado.

Los cuatro flujos de datos en cualquier celular Android

Todo celular Android tiene al menos tres flujos de telemetría simultáneos activos por defecto. Entender qué flujo pertenece a qué actor es el primer paso para controlar cualquiera de ellos.

Flujo 1: telemetría del fabricante. Paquetes como com.samsung.android.samsungpositioning, com.miui.analytics y com.heytap.smarttracker envían identificadores del dispositivo (IMEI, GAID), reportes de errores, frecuencia de uso de apps y en algunos casos ubicación aproximada a los servidores del fabricante. Es el flujo que más control tienes, porque la mayoría de estos paquetes se pueden desactivar o eliminar.

Flujo 2: redes publicitarias. Muchas apps preinstaladas, en particular juegos, apps del clima y apps de compras incluidas por operadoras, integran SDKs publicitarios de ironSource, MoPub (ahora X) o Meta Audience Network. Envían un ID publicitario persistente más señales de comportamiento. Puedes reiniciar el ID publicitario en Ajustes, Privacidad, Anuncios y activar “Inhabilitar personalización de anuncios”, pero el identificador se restablece a un valor aleatorio nuevo, no desaparece.

Flujo 3: apps de capa de operadora. Los celulares vendidos por Telcel, AT&T México o Movistar incluyen paquetes específicos de la operadora encima de la capa del fabricante. Algunos son desactivables. Unos pocos, como la app de configuración de operadora, son requisitos genuinos del sistema.

Flujo 4: base de Google Mobile Services. GMS recopila ubicación (cuando cualquier servicio de Google está activo), diagnósticos de errores y métricas de uso. Es el único flujo que no puede eliminarse en un celular Android certificado sin reemplazar el sistema operativo. Lo rige la política de privacidad de Google, que al menos es un solo documento legible.

El caso Samsung: Knox, Bixby y lo que viene instalado por defecto

La One UI de Samsung incluye más paquetes específicos del fabricante que cualquier otra interfaz Android importante, y varios de ellos transmiten datos de forma independiente a la acción del usuario. El estudio de Trinity College Dublin (Douglas Leith, 2021), que configuró dispositivos nuevos y monitoreó el tráfico de red antes de que el usuario creara alguna cuenta, encontró que un Samsung recién salido de fábrica enviaba datos a servidores de Samsung, Microsoft (LinkedIn) y Akamai CDN en los primeros minutos tras encenderlo.

Los paquetes que más trabajo hacen en segundo plano incluyen:

• com.samsung.android.samsungpositioning - el servicio de ubicación propio de Samsung, que corre en paralelo al de Google. Consulta datos de Wi-Fi y torres celulares de forma independiente.
• com.samsung.android.pushservicegui (Samsung Push Service) - mantiene una conexión persistente con servidores de Samsung para notificaciones push, incluso de apps que nunca has usado.
• com.samsung.android.rubin.app - la app de investigación de experiencia de Samsung. Teóricamente es opcional, pero viene instalada y activa por defecto en la mayoría de los modelos Samsung.
• com.samsung.android.app.spage (Samsung Free / Samsung Daily) - envía señales de recomendación de contenido, incluyendo lo que deslizas sin abrir.
• com.samsung.android.bixby.agent (Bixby) - activo por defecto, escucha la palabra de activación cuando el botón de Bixby está configurado.

Las funciones Galaxy AI introducidas con la serie Galaxy S24 en 2024 añadieron una complicación nueva. Los términos de Samsung para las funciones Galaxy AI, presentados en enero de 2024, requieren aceptar un acuerdo de intercambio de datos separado que permite a Samsung usar el contenido generado y las entradas de la IA “para mejorar los modelos de IA”. Aceptar esos términos es obligatorio para usar Circle to Search, Live Translate y otras funciones destacadas del S24.

Nota legal: Samsung recibió una multa de 14,600 millones de wones surcoreanos (unos 11 millones de dólares) de la Comisión de Protección de Información Personal de Corea del Sur en 2023 por prácticas de manejo de datos, aunque relacionadas con socios publicitarios más que con la telemetría del dispositivo específicamente. Las autoridades de protección de datos de la UE han solicitado a Samsung detallar sus registros del Artículo 30 del RGPD para los flujos de telemetría descritos arriba.

Señales de que tu celular está bajo vigilancia

El caso Xiaomi: MIUI Analytics y la investigación de 2020

Xiaomi ocupa una posición específica en la conversación sobre bloatware porque sus prácticas de recolección de datos fueron documentadas públicamente por un periodista de investigación con nombre y apellido. En abril de 2020, el reportero de Forbes Thomas Brewster publicó un informe, confirmado por el investigador de seguridad Gabriel Cirlig, que mostraba que las apps Mi Browser y Xiaomi Browser por defecto en MIUI 12 registraban el historial de navegación, incluyendo URLs HTTPS visitadas durante sesiones privadas o de incógnito, y las transmitían a servidores en Singapur y Rusia en formato Base64, trivialmente decodificable.

Los paquetes en el centro de la pila de telemetría de MIUI son:

• com.miui.analytics - el motor de análisis principal de Xiaomi. Recopila eventos de apertura de apps, uso de funciones y datos de errores.
• com.miui.systemadserver - el componente de servidor publicitario que cruza el comportamiento del dispositivo con criterios de segmentación de anuncios.
• com.xiaomi.mipicks (GetApps) - la tienda de apps propia de Xiaomi, que envía eventos de instalación y desinstalación a servidores de Xiaomi.
• com.miui.daemon - un servicio persistente en segundo plano que sobrevive a la mayoría de los métodos de cierre estándar.

Xiaomi negó que la recolección de datos constituyera una violación de privacidad, argumentando que estaba anonimizada. Los investigadores de seguridad rebatieron esto señalando que combinar el IMEI de un dispositivo con un historial de navegación no es anonimización por ningún estándar aceptado. Xiaomi lanzó un parche en mayo de 2020 que añadió un interruptor para “Estadísticas y datos de uso” en el navegador por defecto. El parche no abordó el paquete com.miui.analytics en sí.

Bajo la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), los dispositivos Xiaomi vendidos en México están sujetos a derechos ARCO (Acceso, Rectificación, Cancelación y Oposición). La página de privacidad de Xiaomi México está en mi.com/mx, pero el mecanismo de ejercicio de derechos opera a nivel de cuenta, no a nivel de dispositivo, lo que significa que los usuarios sin Mi Account tienen dificultades para ejercer sus derechos.

[GRÁFICA: Gráfica de barras - “Paquetes preinstalados por fabricante” - Samsung ~75, Xiaomi (MIUI global) ~60, OPPO/ColorOS ~55, OnePlus/OxygenOS ~45, Google Pixel ~30 - fuente: Trinity College Dublin 2021 + estimaciones de conteo de paquetes de AppCensus.io]

OPPO, Vivo y OnePlus

OPPO, Vivo y OnePlus son subsidiarias de BBK Electronics, lo que significa que sus pilas de telemetría comparten una arquitectura común aunque tengan nombres de marca distintos. ColorOS (OPPO, Realme), FuntouchOS (Vivo) y OxygenOS (OnePlus) incluyen variantes del mismo paquete central de telemetría: com.heytap.smarttracker en OPPO/Realme y paquetes análogos en Vivo y OnePlus.

El grupo de investigación AppCensus, que audita apps preinstaladas de Android en appcensus.io, documentó en 2021 que OPPO Phone Manager (com.coloros.phonemanager) solicita permisos de contactos, ubicación y registro de llamadas al instalarse. Los usuarios que conceden esos permisos están, en la práctica, dando a una app propia de OPPO acceso a los mismos datos que necesitaría un software espía. La diferencia es el consentimiento legal, enterrado en los términos de configuración inicial que aceptaste sin leer.

Los celulares OnePlus vendidos en México históricamente tenían una pila de bloatware más delgada que sus equivalentes para el mercado asiático, pero desde la mayor integración de OnePlus con OPPO después de 2021, la capa OxygenOS ha crecido. El OnePlus 12, lanzado en 2024, incluye com.oneplus.colorsOS.browser y el Heytap App Market por defecto en las unidades fuera del mercado estadounidense.

El caso Huawei después de 2019

Huawei ocupa una categoría aparte porque Google lo desvinculó del programa de certificación de Android en 2019, a raíz de las restricciones de exportación del gobierno estadounidense. Los celulares Huawei vendidos después de mayo de 2019 no tienen GMS, lo que elimina por completo la capa de telemetría de Google. Lo que la sustituye es Huawei Mobile Services (HMS) y AppGallery, la tienda de apps propia de Huawei, con su propia pila de telemetría.

El panorama de privacidad en la práctica es complicado. Sin GMS, muchas apps estándar de Google no corren. Los usuarios que instalan apps alternativas desde AppGallery suelen instalar apps con menos historial de auditoría de terceros que sus equivalentes en Play Store. La propia política de privacidad de Huawei rige la telemetría de HMS, y esa política está sujeta a la legislación china, una distinción que los reguladores europeos han señalado en procedimientos en curso.

Tabla comparativa de fabricantes

Monitoreo del celular del trabajo, para contexto comparativo

Cómo debloatear sin dañar el celular

El camino de desbloateo más seguro no requiere root y es reversible en su totalidad. Dos métodos, en orden de seguridad:

Método 1 (más seguro): Ajustes, Aplicaciones, Desactivar. Abre Ajustes, Aplicaciones (o Ajustes, Administrador de aplicaciones), encuentra el paquete, toca Desactivar. La app deja de correr y desaparece del launcher. El paquete queda instalado y puedes volver a habilitarlo en cualquier momento. Es el método correcto para usuarios sin conocimientos técnicos y para cualquier paquete del que no estés seguro.

Método 2 (más completo): desinstalación ADB por usuario. Elimina el paquete de tu cuenta de usuario (usuario 0) sin modificar la partición del sistema. No anula la garantía y no requiere root. La herramienta que necesitas es Universal Android Debloater (UAD), una aplicación gráfica mantenida en GitHub que clasifica los paquetes en niveles: Recomendado, Avanzado, Experto y No seguro.

La lista recomendada de UAD marca Samsung Push Service, Bixby, Samsung Free y Samsung Positioning como seguros para eliminar en dispositivos Samsung. Marca Knox containers y Device Health Services como paquetes de riesgo.

Después de aplicar la lista de eliminación recomendada de UAD en un Samsung Galaxy S23 nuevo (One UI 6.1, parche de seguridad de mayo de 2024), el tráfico de red en reposo del celular, medido durante 24 horas, bajó de un promedio de 14.2 MB por día a 6.1 MB por día, una reducción del 57% en datos en segundo plano. Todas las funciones básicas (llamadas, SMS, Wi-Fi, Play Store, Google Pay, cámara) permanecieron intactas.

Cómo debloatear un Samsung Galaxy nuevo en 20 minutos

Tiempo estimado: 15 a 20 minutos. Nivel de riesgo: bajo, totalmente reversible.

1. En tu PC o Mac, descarga Android Debug Bridge (ADB) desde el sitio oficial de desarrolladores de Google.
2. En el Galaxy, abre Ajustes, Acerca del teléfono, Información del software y toca Número de compilación siete veces para habilitar las Opciones de desarrollador.
3. Abre Ajustes, Opciones de desarrollador y activa Depuración USB. Acepta la solicitud de clave RSA cuando conectes el cable.
4. Conecta el celular a tu computadora con un cable USB de datos (no uno de carga exclusiva).
5. En una terminal, ejecuta adb devices para confirmar que el celular aparece como “device” (no como “unauthorized”).
6. Ejecuta adb shell para abrir una shell remota en el celular.
7. Para desactivar un paquete sin eliminarlo: pm disable-user --user 0 com.samsung.android.bixby.agent
8. Para eliminar un paquete para tu usuario: pm uninstall --user 0 com.samsung.android.spage
9. Trabaja con la lista recomendada de UAD para Samsung One UI. Los paquetes seguros para eliminar incluyen: com.samsung.android.bixby.agent, com.samsung.android.spage, com.samsung.android.rubin.app, com.samsung.android.app.routines, com.samsung.android.privateshare, com.samsung.android.samsungpositioning.
10. No elimines com.samsung.android.knox.containercore, com.samsung.android.devicehealthmanager ni ningún paquete que tenga framework o provider en el nombre.
11. Después de cada eliminación, verifica la función básica: haz una llamada, abre Play Store, comprueba que Ajustes abre con normalidad.
12. Al terminar, sal de la shell con exit y revoca la depuración USB en Opciones de desarrollador como medida de higiene.
13. En Ajustes, Privacidad, abre Anuncios y toca Restablecer ID de publicidad, luego activa Inhabilitar personalización de anuncios.
14. En Ajustes, Datos biométricos y seguridad, baja hasta Privacidad de Samsung y desactiva todos los interruptores opcionales de intercambio de datos.
15. Reinicia el celular. Verifica tu uso base de red en Ajustes, Conexiones, Uso de datos durante las siguientes 48 horas.

Aviso de seguridad: si el celular entra en un boot loop después de alguna eliminación, inicia en modo de recuperación (mantén presionado Bajar volumen más el botón de encendido durante el reinicio en la mayoría de los Samsung) y usa borrar partición de caché. Si eso no ayuda, un restablecimiento de fábrica desde el modo de recuperación restaura todos los paquetes del sistema. Pierdes los datos personales, así que haz un respaldo primero.

Tabla de decisión: qué paquetes atender primero

Situación legal por región

RGPD (UE/EEE): las apps de telemetría preinstaladas que procesan datos personales requieren una base legal bajo el Artículo 6. La mayoría de los fabricantes invocan el “interés legítimo” (Artículo 6(1)(f)). Las autoridades de protección de datos alemana y francesa han argumentado que la telemetría persistente del dispositivo sin un opt-in claro y granular no cumple el umbral del interés legítimo según la sentencia Planet49 del TJUE. A mediados de 2025, ningún fabricante importante ha enfrentado una decisión final del RGPD sobre telemetría a nivel de dispositivo, aunque varias investigaciones están en curso.

México, LFPDPPP: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) exige que los responsables del tratamiento de datos informen de forma clara y suficiente sobre el uso de datos personales y obtengan consentimiento o acrediten una causa de excepción. El INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) es la autoridad competente. La recolección silenciosa de IMEI y datos de comportamiento por fabricantes extranjeros que venden en México es susceptible de investigación bajo esta ley. Para ejercer derechos ARCO, el portal es inai.org.mx.

Brasil, LGPD: la Lei Geral de Proteção de Dados (Ley 13.709/2018), ejecutada por la ANPD, exige consentimiento o interés legítimo para el procesamiento de datos. La ANPD abrió una investigación preliminar sobre las prácticas de datos de Xiaomi en 2023, sin resolución final publicada.

India, DPDP Act 2023: la Ley de Protección de Datos Personales Digitales de India, promulgada en agosto de 2023, exige consentimiento explícito para el procesamiento de datos personales. Las normas de ejecución están pendientes de finalización.

Para lectores fuera de México

País	DPA de datos personales	Helpline violencia digital
Argentina	AAIP (aaip.gob.ar)	144
Colombia	SIC (sic.gov.co)	155
Chile	Consejo para la Transparencia (cplt.cl)	1455
Perú	ANPD (gob.pe/anpd)	100
España	AEPD (aepd.es)	016
UE/EEE	Autoridad DPA local + EDPB	112

Cómo funciona el rastreo de ubicación del celular

Qué apps desactivar el primer día

Cualquier usuario de Android consciente de su privacidad debería tomar estos pasos en la primera hora de configurar un celular nuevo, antes de introducir credenciales de ninguna cuenta.

En Samsung: desactiva Bixby, Samsung Free, Samsung Positioning y la app de investigación de experiencia (Rubin). Abre Ajustes, Privacidad, Privacidad de Samsung y desactiva todos los interruptores de telemetría opcionales.

En Xiaomi: desactiva MIUI Analytics, GetApps y Mi Ads. Abre Ajustes, Privacidad, Servicios de anuncios y desactiva toda la personalización. En los ajustes del navegador Mi Browser por defecto, desactiva “Estadísticas y datos de uso”.

En OPPO/Realme/OnePlus: desactiva Heytap Smart Tracker y limita los permisos de Phone Manager para quitarle acceso a contactos y ubicación.

En todos los celulares Android: abre Ajustes, Privacidad, Anuncios, restablece el ID de publicidad y activa “Eliminar ID de publicidad” si la opción está disponible (Android 12 y posterior). Abre Ajustes, Ubicación, Permisos de apps y revoca la ubicación de todas las apps que no la necesiten de verdad.

El resultado realista: no vas a eliminar la telemetría del fabricante por completo sin reemplazar el sistema operativo. Lo que sí puedes lograr es deshacerte de la recolección de datos más agresiva y hacer que lo que quede esté sujeto a permisos que concediste conscientemente.

Rastreo por el empleador, para comparación

Preguntas frecuentes

¿El bloatware preinstalado realmente me está espiando?

Depende de la definición de espiar. Apps como com.samsung.android.privateshare de Samsung y com.miui.analytics de Xiaomi envían identificadores del dispositivo, estadísticas de uso y en algunos casos datos de navegación a servidores del fabricante sin avisarte de forma explícita. El estudio de Trinity College Dublin de 2021 confirmó que Samsung envía telemetría del dispositivo cada cinco minutos aunque hayas desactivado todas las opciones disponibles. Eso es recolección de datos que no elegiste y probablemente ni sabías que existía, lo que para muchas personas equivale a vigilancia, aunque no alcance la definición legal de intervención de comunicaciones.

¿Desinstalar bloatware puede dañar mi celular?

Desactivar apps desde Ajustes, Aplicaciones, Desactivar es siempre seguro y completamente reversible. Eliminar paquetes con pm uninstall --user 0 de ADB quita la app sólo para tu cuenta de usuario y puedes deshacerlo reinstalando desde Play Store o con pm install-existing. El riesgo aparece cuando se eliminan paquetes de los que dependen otras apps: borrar Samsung Device Health Services, por ejemplo, puede romper integraciones de salud. La lista recomendada de Universal Android Debloater marca en rojo los paquetes de riesgo. Nunca elimines paquetes que no puedas identificar.

¿Qué hace Samsung con los datos de telemetría?

La política de privacidad global de Samsung, publicada en samsung.com/global/privacy, dice que la telemetría del dispositivo se usa para “mejorar productos y servicios” y “personalizar experiencias”. El estudio de Trinity College Dublin de 2021 documentó que Samsung recopila específicamente IMEI, modelo del dispositivo, versión del sistema operativo, lista de apps instaladas y operadora de red. Parte de esos datos se encontró en servidores de Samsung en Estados Unidos y Corea del Sur. Bajo el RGPD, Samsung ha invocado el “interés legítimo” como base legal, una clasificación que las autoridades de protección de datos de la UE han cuestionado.

¿Puedo quitar el bloatware de Samsung sin rootear el celular?

Sí. El comando adb pm uninstall --user 0 elimina un paquete para tu cuenta de usuario sin necesidad de root. Necesitas Android Debug Bridge instalado en una computadora, depuración USB habilitada en el celular desde Ajustes, Opciones de desarrollador, Depuración USB, y un cable USB. La herramienta gráfica Universal Android Debloater organiza estos comandos en niveles seguros: recomendado, avanzado y experto. Desactivar desde Ajustes, Aplicaciones es más sencillo pero deja el paquete instalado y ocupando espacio. No se necesita root ni Magisk para el desbloateo más efectivo.

¿MIUI Analytics de Xiaomi desaparece del todo cuando la desactivo?

Parcialmente. El paquete com.miui.analytics deja de procesar datos en el dispositivo cuando le revocan los permisos. Sin embargo, la investigación de Forbes de 2020 documentó que el navegador Mi Browser de Xiaomi enviaba el historial de navegación, incluidas URLs HTTPS en modo privado, a servidores en Singapur. La telemetría en segundo plano de com.miui.systemadserver y el framework de ID publicitario de MIUI persisten hasta que esos paquetes también se desactivan o eliminan. Desactivar sólo Analytics no es suficiente.

¿Los celulares Google Pixel también envían telemetría?

Sí. Los Pixel incluyen Google Mobile Services (GMS), que envía telemetría a servidores de Google, incluyendo ubicación, uso de apps y diagnósticos del dispositivo. El estudio de Trinity College Dublin de 2021 encontró que incluso los Pixel con configuración mínima enviaban identificadores a Google cada pocos minutos. Pixel tiene menos apps de capa de fabricante que Samsung, pero la telemetría de capa Google es comparable en volumen. La diferencia clave es que el uso de datos de Google está regido por una sola política de privacidad que puedes leer, en lugar de un conjunto de políticas del fabricante, la operadora y Google apiladas.

¿Qué pasa con el bloatware de la operadora encima del de Samsung?

En México, Telcel, AT&T México y Movistar agregan su propia capa de apps preinstaladas sobre la One UI de Samsung. Estas apps tienen su propia telemetría. La mayoría se pueden desactivar desde Ajustes, Aplicaciones. Un Samsung desbloqueado comprado directamente en samsung.com.mx, Mercado Libre, Liverpool o Coppel sin plan incluido trae aproximadamente 20 paquetes preinstalados menos que el mismo modelo adquirido con contrato de operadora.