Metadatos EXIF — Lo que filtran y cómo eliminarlos

Toda fotografía hecha con una cámara moderna — móvil, sin espejo, DSLR, cámara de acción — lleva una carga de metadatos que no ves cuando miras la imagen. La mayor parte es inofensiva. Parte cuenta al mundo dónde estabas, qué hardware usaste y cuándo, con una precisión que sería inquietante viniendo de un desconocido. Esta guía repasa qué contiene el EXIF de verdad, cuándo importa y cómo eliminarlo sin romper nada.

Qué es EXIF

EXIF (Exchangeable Image File Format) es un estándar de metadatos que viaja en archivos JPG, TIFF, HEIC y algunos PNG. No es un archivo aparte — está incrustado dentro del archivo de imagen, en una cabecera que la mayoría de visores ignora.

Cada vez que tu móvil hace una foto, escribe decenas de campos EXIF. Las categorías más comunes:

• Info de cámara: marca, modelo, número de serie, versión de firmware.
• Ajustes de exposición: apertura, velocidad, ISO, focal, balance de blancos.
• Info de software: el software que procesó el archivo por última vez (a menudo la app de edición).
• Marca de tiempo: fecha y hora al segundo, normalmente en la zona horaria local del dispositivo.
• Coordenadas GPS: latitud, longitud, altitud, a veces dirección y velocidad de desplazamiento.
• Miniatura: una vista previa pequeña incrustada que no siempre coincide con la imagen editada.

Los campos de cámara y exposición son útiles para fotógrafos y generalmente inocuos. El resto es donde viven los problemas de privacidad.

Cómo es un bloque EXIF real

Aquí tienes un ejemplo saneado de EXIF extraído de una foto típica de iPhone:

Make                            : Apple
Model                           : iPhone 15 Pro
Software                        : 17.2.1
DateTimeOriginal                : 2026:04:15 14:32:07
OffsetTimeOriginal              : +01:00
LensModel                       : iPhone 15 Pro back triple camera 6.86mm f/1.78
FNumber                         : 1.78
ExposureTime                    : 1/120
ISO                             : 100
GPSLatitude                     : 40 deg 24' 59.88"
GPSLatitudeRef                  : North
GPSLongitude                    : 3 deg 41' 12.48"
GPSLongitudeRef                 : West
GPSAltitude                     : 655.3 m
GPSDateStamp                    : 2026:04:15
HostComputer                    : iPhone 15 Pro

Ese bloque GPS corresponde a la Puerta del Sol de Madrid con precisión de un metro. La marca de tiempo con offset te da el momento exacto. El modelo y la versión de software identifican el dispositivo. Cualquier foto que hayas publicado que pasara por una plataforma que no limpia EXIF lleva datos de este tipo.

Qué puede salir mal

Los problemas reales caen en unos cuantos cubos:

Divulgación de ubicación. El más común y el más serio. Una foto de anuncio inmobiliario con GPS revela la propiedad exacta. Una foto de prueba de sesión de retrato tomada en el salón de la fotógrafa revela su dirección. Una foto de vacaciones publicada durante el viaje revela que la casa está vacía. Una foto de perfil de app de citas hecha en casa revela dónde vive la persona. Todo esto ha ocurrido y todo está documentado en prensa.

Fingerprinting de dispositivo. La combinación de marca, modelo, número de serie y versión de firmware identifica un dispositivo concreto. Si el mismo número de serie aparece en varias cuentas supuestamente anónimas, eso es una correlación. Trabajo periodístico y activista en entornos hostiles se ha desanonimizado así.

Reconstrucción de línea de tiempo. Marcas de tiempo en un lote de imágenes permiten reconstruir tu día, semana o año con detalle. Combinado con GPS, es un rastro de movimiento.

Miniaturas incrustadas sin actualizar. Si recortaste contenido sensible de una foto pero el software no regeneró la miniatura, la original (sin recortar) sigue incrustada en el archivo. Ha sido un exploit real contra gente que creía haber recortado una pantalla u documento visible.

Exposición regulatoria. GDPR, CCPA y leyes similares tratan datos de ubicación e identificadores de dispositivo como datos personales. Si publicas fotos de usuarios en una plataforma B2B o B2C, tienes obligaciones sobre qué almacenas, qué publicas y qué permites aguas abajo.

Qué hacen realmente las plataformas

Una idea equivocada frecuente es que “las plataformas eliminan el EXIF por ti”. Algunas sí. Muchas no. A fecha de 2026:

• Facebook, Instagram: eliminan GPS y algunos datos de cámara al subir, mantienen marcas de tiempo.
• Twitter/X: elimina la mayoría de EXIF al subir.
• Discord, Slack: variable. Algunos canales preservan EXIF completo.
• WhatsApp, Telegram: eliminan EXIF al enviar como “foto”, lo preservan al enviar como “documento”.
• La mayoría de CMS (WordPress, Shopify, etc.): preservan EXIF por defecto salvo que un plugin lo quite.
• Archivos adjuntos por email: preservan todo.
• Hosting directo (S3, GitHub, tu servidor): preservan todo. Envías lo que subes.

Regla: nunca asumas que la plataforma limpia por ti. Limpia en origen.

Cuándo limpiar y cuándo mantener

Limpia EXIF cuando:

• Publiques fotos públicamente en web, redes, foros o tu propio sitio.
• Compartas imágenes de portfolio que incluyan trabajo de estudio casero o en localización.
• Envíes imágenes a partes en las que no confíes del todo con metadatos (clientes nuevos, destinatarios anónimos).
• Subas a cualquier CMS donde no hayas verificado personalmente que limpia EXIF.
• Publiques fotos inmobiliarias, anuncios de coches o cualquier cosa donde importe la ubicación física.
• Envíes a bancos de imágenes (suelen exigirlo de todos modos).

Mantén EXIF cuando:

• Archives tu propia fotografía para uso personal.
• Te presentes a concursos fotográficos que requieran info de cámara/objetivo para verificación.
• Compartas entre fotógrafos donde los ajustes son el tema.
• Aportes pruebas para seguros, prensa o fines legales donde importa la autenticidad de marca de tiempo y GPS.
• Entregues a clientes que necesiten específicamente los metadatos completos (sesiones comerciales, fotoperiodismo).

Cómo limpiar EXIF de forma limpia

La operación básica es simple: reescribir la imagen sin los metadatos. Tres enfoques:

1. Exportar con “eliminar metadatos” marcado. La mayoría de editores lo ofrecen. El ajuste “Metadatos: solo copyright” de Lightroom es un buen ejemplo. “Save for Web” de Photoshop elimina la mayor parte del EXIF por defecto.
2. Usar una herramienta dedicada. La herramienta Eliminar EXIF de OpenImages hace exactamente esto y, como corre en tu navegador, la foto nunca sale de tu máquina. Eso importa cuando la razón misma de limpiar el EXIF es que no quieres que nadie analice la foto.
3. Recomprimir la imagen. Pasar una foto por un compresor suele eliminar la mayoría del EXIF como efecto colateral, aunque no todo — algunos compresores preservan EXIF por defecto y hay que pedir explícitamente que no.

Un detalle a vigilar: algunos limpiadores quitan EXIF pero dejan IPTC o XMP (otros dos contenedores de metadatos que viven junto a EXIF). Una limpieza correcta elimina los tres. Verifica con una herramienta que muestre todos los bloques de metadatos, no solo EXIF.

Un antes y después rápido

Cómo queda una limpieza bien hecha en cifras. Misma fotografía:

• Antes: 2.8 MB JPG con EXIF completo (info de cámara, GPS, marca de tiempo, software, miniatura).
• Después: 2.78 MB JPG, sin bloques de metadatos presentes.

La diferencia de tamaño es mínima — EXIF suele ocupar menos de 30 KB incluso con miniatura. El valor no es espacio; es privacidad.

Un pipeline más completo para publicar:

1. Editar la foto en tu editor habitual.
2. Exportar al tamaño y calidad de entrega correctos.
3. Eliminar EXIF con una herramienta dedicada.
4. Verificar que la salida no contiene GPS, número de serie ni marca de tiempo completa.
5. Publicar.

El paso 4 merece hacerse al menos una vez por flujo — no en cada export, pero sí una vez para confirmar que tus ajustes de exportación hacen lo que crees. Cinco minutos de auditoría han salvado a gente de años de fuga accidental.

El ángulo legal, breve

GDPR considera geolocalización e identificadores de dispositivo como datos personales. Si operas un sitio que acepta imágenes de usuario en la UE (o sirve a usuarios UE — el alcance es amplio), deberías:

• Eliminar EXIF al subir por defecto, o pedir consentimiento explícito para conservarlo.
• Documentar qué metadatos eliminas frente a los que almacenas en tu aviso de privacidad.
• No re-servir imágenes de usuarios con su EXIF original intacto a terceros.

Para CCPA y leyes similares estadounidenses, el umbral es menor pero la dirección es la misma. Publicar el EXIF de otra persona sin su conocimiento es cada vez más un riesgo.

Versión corta: el EXIF es útil cuando lo quieres y peligroso cuando no. Toma la decisión deliberadamente, una vez, por flujo de trabajo — y luego verifica que realmente hiciste lo que pretendías.