Derecho Digital y seguridad de la información

• ¿Es compatible ejercer simultáneamente como DPD y Responsable del Sistema Interno de Información? 

• La AEPD analiza los retos de la inteligencia artificial agéntica para la protección de datos 

• La AEPD sanciona al FC Barcelona por incumplir la obligación de realizar correctamente  evaluación de impacto

• La Comisión avanza en el Código de Buenas Prácticas para el etiquetado de contenido generado por IA

Cumplimiento normativo

• Últimos días para notificar el Responsable del Sistema Interno de Información a la AIPI 

• BBVA despidió a 169 empleados tras denuncias recibidas en su canal ético en 2025 

•  La protección frente a represalias de los denunciantes, a examen en el TSJ de Castilla y León 

• Aprobado el anteproyecto de Ley Orgánica de Integridad Pública para reforzar la lucha contra la corrupción

•  España somete a consulta un Real Decreto para adaptar el sistema antiblanqueo al marco europeo 

•  La Autoridad de Protección del Informante aprueba la credencial oficial para su personal inspector 

DERECHO DIGITAL Y SEGURIDAD DE LA INFORMACIÓN

¿Es compatible ejercer simultáneamente como DPD y Responsable del Sistema Interno de Información? 

La compatibilidad entre los cargos de Delegado de Protección de Datos (DPD) y responsable del Sistema Interno de Información ha sido objeto de análisis por parte de la Agencia Española de Protección de Datos (AEPD) en una reciente resolución. El pronunciamiento se produce en el marco de un procedimiento contra la Diputación Provincial de Huesca, en el que la Agencia analizó, entre otras cuestiones, si la designación del DPD como responsable del Sistema Interno de Información, previsto en la normativa de protección de informantes, es compatible con sus funciones. 

La AEPD concluye que esta acumulación de funciones puede comprometer la independencia que el Reglamento General de Protección de Datos (RGPD) exige para el Delegado de Protección de Datos. En particular, el artículo 38 del RGPD establece que el responsable del tratamiento debe garantizar que el DPD no reciba instrucciones en el ejercicio de sus funciones y que las tareas adicionales que desempeñe no den lugar a conflictos de intereses. En el caso analizado, la Agencia señala que “el hecho de que una misma persona física haya de representar dos intereses diferentes (DPD de la Diputación y responsable del Sistema Interno de Información) y, en ocasiones, contrapuestos, puede dar lugar a que se produzcan conflictos de intereses, circunstancia que, de acuerdo con lo previsto tanto en el RGPD como en la LOPGDD, debe ser evitada».  

En consecuencia, la AEPD considera que, cuando la Diputación Provincial de Huesca designó a su DPD como responsable del Sistema Interno de Información, no garantizó adecuadamente que las nuevas funciones encomendadas no generaran un posible conflicto de intereses, vulnerando lo dispuesto en el artículo 38.6 del RGPD. Tras la investigación y a raíz de la consulta formulada por la propia institución, la Diputación modificó su organización interna y designó a otra persona como responsable del Sistema Interno de Información, con el fin de preservar la independencia del DPD. 

Volver al índice

La AEPD analiza los retos de la inteligencia artificial agéntica para la protección de datos 

La Agencia Española de Protección de Datos (AEPD) ha publicado un documento de orientaciones sobre el uso de sistemas de inteligencia artificial agéntica desde la perspectiva de la protección de datos personales. La guía analiza cómo estos sistemas de IA, que no solo responden a preguntas sino que también son capaces de interactuar con su entorno digital y actuar de forma autónoma para cumplir objetivos, pueden implicar nuevos riesgos en el tratamiento de datos personales y plantea la necesidad de comprender su funcionamiento antes de integrarlos en procesos organizativos.  

El documento examina aspectos clave de cumplimiento del Reglamento General de Protección de Datos (RGPD), así como las vulnerabilidades y amenazas asociadas a esta tecnología, que puede realizar tareas complejas, acceder a múltiples fuentes de información o tomar decisiones automatizadas. En este contexto, la AEPD subraya la importancia de evaluar cuidadosamente la integración de estos sistemas, aplicar medidas de seguridad y garantizar salvaguardas que protejan los derechos de las personas en los tratamientos de datos personales. 

Volver al índice

La AEPD sanciona al FC Barcelona por incumplir la obligación de realizar correctamente  evaluación de impacto 

La Agencia Española de Protección de Datos (AEPD) ha sancionado al Fútbol Club Barcelona con 500.000 euros por una infracción del artículo 35 del RGPD, al considerar que no llevó a cabo de forma adecuada una evaluación de impacto en protección de datos en el marco del proceso de actualización digital del censo de socios. El expediente se inició a partir de varias reclamaciones presentadas por socios del club en relación con el uso de sistemas de verificación biométrica, como la captación de imagen facial y voz, durante dicho proceso. 

Según recoge la resolución, el club impulsó la digitalización del censo con la finalidad de reforzar la identificación de las personas socias, evitar fraudes o suplantaciones y facilitar la tramitación a distancia. Para ello, utilizaba un sistema de comparación facial que contrastaba la imagen del documento oficial con la fotografía capturada en el momento del registro, incorporando además una prueba de vida para confirmar la presencia real del usuario. Sin embargo, la AEPD concluye que ese tratamiento entrañaba un alto riesgo para los derechos y libertades de las personas afectadas, por lo que exigía una evaluación de impacto previa y suficientemente fundamentada. 

No obstante, la AEPD archiva la imputación relativa al artículo 9 del RGPD sobre el tratamiento de categorías especiales de datos. De este modo, la resolución centra el reproche sancionador en la falta de una evaluación de impacto adecuada y refuerza la idea de que, cuando se implantan mecanismos biométricos de identificación o autenticación, las garantías preventivas deben extremarse desde el diseño mismo del tratamiento. 

Volver al índice

La Comisión avanza en el Código de Buenas Prácticas para el etiquetado de contenido generado por IA 

La Comisión Europea ha publicado el segundo borrador del Código de Buenas Prácticas sobre el marcado y etiquetado de contenido generado por inteligencia artificial, una iniciativa voluntaria destinada a ayudar a proveedores y responsables del despliegue a cumplir con los requisitos de transparencia previstos en el artículo 50 de la Ley de IA. El documento, elaborado por expertos independientes, incorpora las aportaciones de cientos de actores —entre ellos representantes de la industria, el ámbito académico, la sociedad civil y las instituciones europeas— recogidas a través de consultas públicas, talleres y reuniones con partes interesadas. 

La nueva versión del borrador simplifica el enfoque inicial y ofrece mayor flexibilidad a las organizaciones que se adhieran al código, reduciendo la carga de cumplimiento e introduciendo consideraciones técnicas adicionales para mejorar su aplicación práctica. Entre otras medidas, promueve el uso de estándares abiertos para el marcado de contenido generado por IA y propone la creación de un icono común de la UE para su etiquetado. El texto también distingue obligaciones para proveedores de sistemas de IA generativa (como mecanismos de marcado mediante metadatos seguros o marcas de agua) y para los responsables del despliegue, que deberán etiquetar contenidos como deepfakes o publicaciones sobre asuntos de interés público generadas mediante IA. La Comisión recogerá comentarios sobre esta segunda versión hasta el 30 de marzo y prevé finalizar el código a principios de junio, antes de que las normas de transparencia de la Ley de IA entren en vigor el 2 de agosto de 2026. 

Volver al índice

CUMPLIMIENTO NORMATIVO

Últimos días para notificar el Responsable del Sistema Interno de Información a la AIPI 

El próximo 10 de abril de 2026 finaliza el plazo para comunicar a la Autoridad Independiente de Protección del Informante (AIPI) el nombramiento o cese del Responsable del Sistema Interno de Información (RSII) realizados desde la entrada en vigor de la Ley 2/2023. Esta obligación debe cumplirse a través del formulario habilitado por la Autoridad en su página web. 

A partir de esta notificación inicial, los futuros nombramientos o ceses deberán comunicarse en un plazo de diez días hábiles. Para ello será necesario contar con certificado digital, indicar el CNAE de la entidad y adjuntar la documentación acreditativa correspondiente. La AIPI ha publicado además guías y materiales de apoyo para facilitar el cumplimiento de esta obligación. 

Volver al índice

BBVA despidió a 169 empleados tras denuncias recibidas en su canal ético en 2025 

BBVA registró 2.467 denuncias admitidas a trámite en su canal ético durante 2025, lo que supone un incremento del 8% respecto al año anterior. Como resultado de las investigaciones internas derivadas de estas comunicaciones, la entidad llevó a cabo 169 despidos disciplinarios, la misma cifra que en 2024. La mayoría de las denuncias estuvieron relacionadas con quejas laborales (55,9%), seguidas de conductas con clientes (17,6%), conflictos de interés (7,7%), casos de acoso o discriminación (6,5%) y fraude (5,5%). 

Del total de comunicaciones registradas, el 67,7% fueron presentadas por empleados, mientras que el 6% procedieron de terceros y el 26,3% restante se realizaron de forma anónima. Entre los casos analizados destacan las denuncias por acoso o discriminación: el banco activó 70 protocolos de acoso sexual en 2025, confirmándose la existencia de acoso en 26 casos, todos ellos finalizados con el despido de las personas implicadas. El protocolo de acoso laboral, por su parte, se activó en 111 ocasiones, aunque solo se constató un caso. Según la entidad, el canal de denuncias constituye un mecanismo clave para la gestión de riesgos y el cumplimiento normativo dentro del grupo, que permite a empleados y otros grupos de interés comunicar de forma confidencial o anónima posibles incumplimientos del código de conducta o de la legislación vigente. 

Volver al índice

La protección frente a represalias de los denunciantes, a examen en el TSJ de Castilla y León 

El Tribunal Superior de Justicia de Castilla y León ha analizado en una reciente sentencia (STSJ CL 493/2026) el alcance de la protección frente a represalias prevista en la Ley 2/2023, de 20 de febrero, que regula la protección de las personas que informen sobre infracciones normativas. El caso se refiere al cese de un trabajador durante su periodo de prueba tras haber denunciado presuntas irregularidades en materia de contratación pública y solicitar medidas de protección frente a posibles represalias. El trabajador sostuvo que su cese constituía una represalia por dichas denuncias realizadas a través de distintos canales, incluido el sistema interno de información.  

Sin embargo, el tribunal concluye que, aunque existían indicios derivados de las denuncias presentadas por el empleado, la entidad acreditó que la finalización del contrato se debió a motivos objetivos relacionados con su comportamiento profesional durante el periodo de prueba, caracterizado por conflictos con la plantilla y conductas inapropiadas hacia otros trabajadores. En consecuencia, la Sala descarta que el cese constituya una represalia prohibida por la Ley 2/2023 y confirma la sentencia de instancia, recordando que la normativa protege a los informantes frente a represalias, pero no impide que la empresa adopte decisiones laborales justificadas por causas objetivas y ajenas a la comunicación realizada. 

Volver al índice

Aprobado el anteproyecto de Ley Orgánica de Integridad Pública para reforzar la lucha contra la corrupción 

El Consejo de Ministros ha aprobado el anteproyecto de Ley Orgánica de Integridad Pública, una norma incluida en el Plan Estatal de Lucha contra la Corrupción que busca reforzar los mecanismos para prevenir, detectar y sancionar prácticas corruptas en el ámbito público. El texto incorpora 84 medidas y la modificación de 18 leyes, seis de ellas orgánicas, y se articula en torno a varios ejes estratégicos como la prevención de riesgos, el refuerzo de los controles, la investigación y sanción de los delitos, la protección de los informantes y la recuperación de activos.  

Entre las principales medidas del anteproyecto figura la creación de la Agencia Independiente de Integridad Pública, que actuará como autoridad administrativa central en la lucha contra la corrupción. Este nuevo organismo integrará la Oficina de Conflictos de Intereses, la Autoridad Independiente de Protección del Informante y el Servicio Nacional de Coordinación Antifraude, con el objetivo de mejorar la coordinación y eficacia en la prevención y persecución de prácticas fraudulentas. Además, la futura ley refuerza el control sobre la financiación de los partidos políticos, endurece las sanciones por corrupción, amplía el uso de herramientas tecnológicas para detectar fraudes en la contratación pública y prevé nuevas medidas para mejorar la transparencia y la eficacia institucional. 

Volver al índice

España somete a consulta un Real Decreto para adaptar el sistema antiblanqueo al marco europeo 

El Gobierno español ha sometido a consulta pública un proyecto de Real Decreto para reforzar el sistema de prevención del blanqueo de capitales y financiación del terrorismo (PBC/FT), con el objetivo de adaptarlo al nuevo paquete legislativo europeo aprobado en 2024 y anticiparse a la evaluación del Grupo de Acción Financiera Internacional (GAFI) prevista para 2026. La iniciativa introduce una reforma amplia del marco vigente, especialmente del Reglamento de la Ley 10/2010, y busca responder a los nuevos riesgos tecnológicos, mejorar la coordinación institucional y reforzar el enfoque basado en riesgo que guía el sistema antiblanqueo a nivel internacional. 

Entre las principales novedades, el proyecto endurece los procesos de identificación de clientes —incluyendo el uso del DNI digital y mayores exigencias en operaciones no presenciales—, refuerza los controles internos de las organizaciones y establece nuevas obligaciones para sectores considerados de mayor riesgo, como asociaciones y fundaciones. Asimismo, prevé la creación de un Comité de Inteligencia Financiera para mejorar el análisis estratégico y la coordinación entre organismos públicos, así como la actualización periódica del Análisis Nacional de Riesgos. En conjunto, la reforma alinea el sistema español con los estándares europeos e internacionales, con especial atención a los riesgos derivados de la digitalización y las sanciones financieras internacionales. 

Volver al índice

La Autoridad de Protección del Informante aprueba la credencial oficial para su personal inspector 

La Autoridad Independiente de Protección del Informante (AIPI) ha aprobado, mediante Resolución de 11 de marzo de 2026 publicada en el BOE el 13 de marzo, el modelo de tarjeta de identidad profesional para su personal funcionario con funciones de investigación e inspección. La medida tiene por objeto reforzar la seguridad jurídica y facilitar la acreditación oficial de estos profesionales en el ejercicio de sus actuaciones, en el marco de la Ley 2/2023 de protección de las personas informantes y lucha contra la corrupción. 

La credencial reconoce a los inspectores la condición de agentes de la autoridad en el desempeño de sus funciones, lo que les otorga facultades relevantes como requerir información, acceder a instalaciones y sistemas —incluidos datos personales cuando sea necesario— y levantar actas con presunción de veracidad. La resolución regula asimismo la expedición, entrega, retirada, sustitución, control y vigencia de estas tarjetas, que tendrán una validez máxima de cinco años y servirán para acreditar oficialmente la condición de agente de la autoridad durante el ejercicio de sus funciones. 

Volver al índice