Derecho Digital y seguridad de la información
-
El CRA activa sus obligaciones de notificación: 24 horas para el primer aviso.
-
La AEPD está revisando su criterio sobre el uso de biometría en los controles de acceso.
-
Primera notificación de una brecha de datos por un ataque ejecutado mediante un agente de IA.
-
El TJUE limita la publicación indiscriminada de datos de accionistas.
-
Multa de 645.000 euros por la custodia insegura de historiales médicos en papel.
Cumplimiento normativo
-
España prepara una reforma integral de su sistema de prevención del blanqueo.
-
El TJUE exige pruebas sólidas para atribuir el control de una empresa a una persona sancionada.
-
Nuevo marco de intercambio de información entre la AEAT y el SEPBLAC.
-
La CNMC condiciona la compra de Clear Channel por Atresmedia.
DERECHO DIGITAL Y SEGURIDAD DE LA INFORMACIÓN
El CRA activa sus obligaciones de notificación: 24 horas para el primer aviso
Desde el pasado 11 de septiembre resulta aplicable la obligación prevista en el Reglamento de Ciberresiliencia (Cyber Resilience Act o CRA) de notificar determinadas vulnerabilidades explotadas activamente y los incidentes graves de seguridad que afecten a productos con elementos digitales. Se consideran como tales los productos de software o hardware cuya finalidad prevista o cuyo uso razonablemente previsible incluya una conexión de datos (directa o indirecta, lógica o física) con un dispositivo o una red. Los plazos establecidos son exigentes: debe efectuarse una primera notificación sin demora indebida y, en todo caso, dentro de las 24 horas siguientes a tener conocimiento del hecho; posteriormente, debe remitirse una notificación más completa en un plazo máximo de 72 horas y, por último, un informe final. Aunque el Reglamento será aplicable con carácter general en diciembre de 2027, los fabricantes ya están sujetos a esta obligación. Ello exige diseñar e implantar un procedimiento interno de detección, análisis, escalado y notificación que permita reaccionar dentro de unos plazos especialmente breves.
Volver al índice
La AEPD está revisando su criterio sobre el uso de biometría en los controles de acceso
La Agencia Española de Protección de Datos está trabajando en una nueva Guía sobre tratamientos en el control de acceso mediante sistemas biométricos, que sustituirá al enfoque recogido en su controvertida Guía de 2023. La revisión llega, además, después de que la Audiencia Nacional anulase la aprobación y publicación de aquella Guía por razones relativas al procedimiento seguido para su adopción, como ya informamos.
El borrador conocido supone algo más que una actualización formal y apunta a una modificación relevante de algunos de los criterios especialmente restrictivos mantenidos por la AEPD desde 2023. En ese sentido, resulta especialmente significativo el tratamiento del consentimiento ya que el borrador admite expresamente que pueda servir para levantar la prohibición del artículo 9 RGPD y legitimar el tratamiento, siempre que sea libre y exista una alternativa real que no suponga cargas, penalizaciones o desventajas para el interesado. Esta posibilidad se contempla incluso en el ámbito laboral, donde la AEPD exige un análisis especialmente riguroso de la libertad del consentimiento, pero ya no lo descarta con carácter general por la mera existencia de la relación empleador-trabajador.
Como indicábamos al comienzo, se trata todavía de un borrador, por lo que habrá que esperar a la versión definitiva, pero lo cierto es que, de confirmarse este planteamiento, la nueva Guía supondría una revisión sustancial del enfoque adoptado por la AEPD en 2023.
Volver al índice
Primera notificación de una brecha de datos por un ataque ejecutado mediante un agente de IA
La Agencia Española de Protección de Datos (AEPD) ha recibido la primera notificación de una brecha de datos personales en la que el incidente habría sido ejecutado mediante un agente de inteligencia artificial que utilizó un modelo de lenguaje. El caso pone de manifiesto que los sistemas de IA no solo plantean riesgos desde la perspectiva de su uso legítimo, sino que también pueden ser empleados para automatizar o facilitar ataques contra sistemas de información y tratamientos de datos personales.
La AEPD destaca así la necesidad de incorporar este nuevo escenario a la gestión de riesgos de las organizaciones, especialmente en lo relativo a la seguridad de los tratamientos, la detección de incidentes y la respuesta ante brechas de datos. La utilización de agentes de IA con capacidad para ejecutar acciones de forma autónoma refuerza la importancia de revisar las medidas técnicas y organizativas y de adaptar los procedimientos de gestión de incidentes a amenazas cada vez más automatizadas
Volver al índice
El AI Act entra en una nueva fase de aplicación
Desde el 2 de agosto de 2026 resultan aplicables las obligaciones de transparencia del artículo 50 del AI Act. Entre otras medidas, deben identificarse las interacciones con chatbots, etiquetarse determinados deepfakes y advertirse sobre el uso de sistemas de reconocimiento de emociones o categorización biométrica.
Para las empresas, la prioridad es identificar qué sistemas desarrollan, comercializan o utilizan, determinar correctamente si actúan como proveedor o responsable del despliegue e incorporar los avisos, mecanismos de marcado y evidencias de cumplimiento que correspondan. El Reglamento (UE) 2026/1744 establece una excepción transitoria específica: los proveedores de sistemas introducidos en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para cumplir la obligación de marcado y detectabilidad prevista en el artículo 50.2. Las principales obligaciones relativas a los sistemas de alto riesgo, por su parte, han sido aplazadas y todavía no resultan plenamente aplicables.
Volver al índice
El TJUE limita la publicación indiscriminada de datos de accionistas
En la sentencia de 3 de septiembre de 2026, asunto C-798/24, Jautiva, el TJUE declara que el Derecho de la Unión no exige publicar información sobre todos los accionistas de una sociedad anónima. Además, se opone a que los datos personales de accionistas minoritarios puedan consultarse y descargarse en línea sin ninguna condición, aunque se invoquen objetivos de transparencia empresarial, prevención del blanqueo o aplicación de sanciones.
La sentencia obliga a ponderar necesidad, proporcionalidad y garantías antes de abrir registros corporativos al público. Resulta especialmente relevante para registros mercantiles, plataformas de información empresarial y entidades que reutilizan masivamente datos societarios.
Volver al índice
Multa de 645.000 euros por la custodia insegura de historiales médicos en papel
La autoridad irlandesa de protección de datos ha sancionado al Health Service Executive, el sistema de sanidad pública irlandesa, por mantener historiales médicos en instalaciones inadecuadas, incluidos edificios en estado de abandono, dependencias sin iluminación y espacios sin controles suficientes. La decisión aprecia infracciones en seguridad, limitación del plazo de conservación y gestión de brechas.
El caso recuerda que el RGPD también alcanza plenamente a los archivos físicos. Las organizaciones deberían inventariar sus documentos en papel, fijar plazos de expurgo, controlar almacenes externos y disponer de mecanismos que permitan localizar cada expediente.
Volver al índice
CUMPLIMIENTO NORMATIVO
España prepara una reforma integral de su sistema de prevención del blanqueo
El Ministerio de Economía ha sometido a audiencia pública un anteproyecto destinado a sustituir la Ley 10/2010 y adaptar el ordenamiento español al paquete europeo de prevención del blanqueo. La propuesta refuerza el enfoque basado en el riesgo y prevé crear la Autoridad Nacional de Integridad Financiera (ANIFI), que integraría funciones actualmente dispersas.
Las organizaciones afectadas deberían analizar anticipadamente los cambios en sujetos obligados, evaluación de riesgos, diligencia debida, titularidad real, controles internos y supervisión. Las alegaciones pueden presentarse hasta el 30 de septiembre de 2026. Se trata todavía de un anteproyecto, por lo que sus previsiones no constituyen derecho vigente y pueden modificarse durante su tramitación.
Volver al índice
El TJUE exige pruebas sólidas para atribuir el control de una empresa a una persona sancionada
La sentencia de 3 de septiembre de 2026, asunto C-147/25, Inter Rao Lietuva, establece que el control de una sociedad por una persona incluida en listas de sanciones debe acreditarse mediante una base objetiva y suficientemente sólida. No basta, por sí sola, una apreciación general sobre la naturaleza del régimen político del país afectado.
Para los programas de sanctions compliance, la sentencia refuerza la importancia de documentar el análisis de propiedad y control, las fuentes utilizadas y los indicios concretos. El Tribunal confirma asimismo que la inmovilización de fondos puede aplicarse sin audiencia previa cuando esta pueda comprometer su eficacia, aunque los motivos deben comunicarse posteriormente lo antes posible para permitir el ejercicio del derecho de recurso.
Volver al índice
Nuevo marco de intercambio de información entre la AEAT y el SEPBLAC
El BOE de 1 de septiembre publica el convenio entre la Agencia Tributaria y la Comisión de Prevención del Blanqueo de Capitales para el intercambio de información tributaria y de inteligencia financiera. El acuerdo regula suministros recíprocos, acceso controlado a bases de datos, confidencialidad, seguridad y colaboración técnica.
Aunque no crea directamente nuevas obligaciones para los sujetos obligados, refuerza la capacidad de contraste entre información tributaria y datos relacionados con operaciones sospechosas. Conviene revisar la coherencia de expedientes KYC, titularidad real, justificación económica y documentación tributaria.
Volver al índice
La CNMC condiciona la compra de Clear Channel por Atresmedia
La CNMC anunció el 25 de agosto la autorización de la operación con compromisos de hasta ocho años. Entre otras medidas, Atresmedia deberá mantener separada la actividad de publicidad exterior del resto de actividades publicitarias de Atresmedia y Planeta, garantizar su autonomía funcional, comercial y económica, evitar intercambios de información comercial entre las distintas actividades y someter el cumplimiento de los compromisos al control de un administrador independiente.
La operación constituye un ejemplo práctico de cómo el control de concentraciones puede traducirse en medidas internas de separación funcional, gobierno de la información y supervisión continuada. La resolución del Consejo de la CNMC fue adoptada el 20 de julio de 2026, aunque su difusión mediante nota de prensa se produjo el 25 de agosto.
Volver al índice