Cumplimiento normativo
Protección de datos y seguridad de la información
CUMPLIMIENTO NORMATIVO
La AIPI actualiza su web y habilita su canal externo de información
La Autoridad Independiente de Protección del Informante (AIPI) ha habilitado en su página web el canal externo de información, a través del cual cualquier persona física puede comunicar acciones u omisiones incluidas en el ámbito de aplicación de la Ley 2/2023, ya sea directamente o tras haber acudido previamente al canal interno correspondiente. La AIPI recuerda que el canal interno de información, gestionado por el propio organismo o empresa, es el cauce preferente para presentar informaciones, aunque el canal externo se mantiene disponible para aquellos casos en los que el informante tema represalias o considere que su comunicación no será atendida adecuadamente.
Asimismo, la AIPI ha incorporado en su página web un apartado específico relativo al Responsable del Sistema de Información. Aunque todavía no es posible registrarse, la Autoridad ha precisado que el plazo de dos meses para comunicar el nombramiento del Responsable del Sistema interno de información, comenzará a computarse una vez se publique en su portal el formulario específico de notificación. Por otro lado, cabe destacar que la web de la AIPI adelanta la puesta en marcha de una nueva función consistente en el desarrollo de un sistema de inspección de canales de información, cuyo objetivo será verificar que cumplen con lo establecido en la Ley 2/2023. Esta función se concretará mediante la próxima aprobación de una circular específica.
El Tribunal Constitucional amplía la protección frente a las represalias laborales
La Sentencia del Tribunal Constitucional 148/2025, de 23 de octubre, reconoce que las represalias empresariales contra un trabajador que presenta una reclamación ante el Comité de Empresa pueden vulnerar la garantía de indemnidad, como manifestación del derecho a la tutela judicial efectiva (art. 24.1 CE). En el caso analizado, un trabajador fue despedido tras trasladar al Comité de Empresa una queja por la modificación de su cuadrante de guardias. Aunque en primera instancia se declaró la nulidad del despido, el Tribunal Superior de Justicia lo calificó de improcedente, al considerar que la actuación del trabajador no estaba amparada por dicha garantía al no tratarse de una reclamación judicial o administrativa formal.
El Tribunal Constitucional corrige este criterio y amplía la interpretación de la garantía de indemnidad, estableciendo que también quedan amparadas por el derecho a la tutela judicial efectiva las reclamaciones efectuadas ante la representación legal de los trabajadores cuando constituyen un medio legítimo de defensa de los derechos laborales o un mecanismo de resolución extrajudicial de conflictos. En consecuencia, el Tribunal considera que el despido constituyó una represalia directa contra el ejercicio legítimo del derecho de defensa del trabajador, por lo que declara la nulidad del despido y restablece la protección frente a cualquier acto empresarial que pretenda castigar o disuadir la comunicación de conflictos laborales a los órganos de representación de los trabajadores.
Responsabilidad penal de la persona jurídica: el Supremo refuerza la exigencia de prueba del defecto organizativo
La reciente jurisprudencia del Tribunal Supremo reafirma una interpretación restrictiva y garantista del artículo 31 bis del Código Penal, al subrayar que la responsabilidad penal de las personas jurídicas no puede derivarse automáticamente de la comisión del delito por una persona física.
En este sentido, la STS 768/2025, de 25 de septiembre, constituye un ejemplo paradigmático de esta línea doctrinal, al absolver a la mercantil pese a la condena de su administradora por un delito continuado de estafa. El Alto Tribunal concluye que “no basta para condenar a la persona jurídica acreditar el delito de la persona física; ningún defecto organizativo se alega ni se acredita”, reforzando así la idea de que la culpabilidad corporativa exige la existencia acreditada de un defecto estructural en los mecanismos de control, vigilancia o supervisión, rechazando cualquier tipo de responsabilidad objetiva o vicaria. En coherencia con su doctrina consolidada desde la STS 154/2016, y reiterada en las STS 668/2017 y 949/2022, el Tribunal insiste en que “la responsabilidad de la persona jurídica no es objetiva ni vicaria, sino que debe fundarse en la existencia de un incumplimiento grave de los deberes de supervisión”, enfatizando la obligación del Ministerio Fiscal de acreditar positivamente ese incumplimiento.
En la misma línea, la STS 836/2025, de 14 de octubre, precisa que la persona jurídica solo puede ser condenada cuando el delito cometido por la persona física haya sido posible “por la ausencia de una cultura de respeto al Derecho, manifestada en formas concretas de vigilancia y control del comportamiento de sus directivos y subordinados”. En consecuencia, advierte que “la persona jurídica no es responsable penalmente de todos y cada uno de los delitos cometidos en el ejercicio de actividades sociales y en su beneficio directo o indirecto”, sino únicamente cuando se demuestre un incumplimiento efectivo de los deberes de supervisión y control.
PROTECCIÓN DE DATOS Y SEGURIDAD DE LA INFORMACIÓN
Certificación en materia de privacidad: ISO 27701
Se ha publicado recientemente la actualización de la norma internacional ISO/IEC 27701:2025, titulada “Seguridad de la información, ciberseguridad y protección de la privacidad — Sistemas de gestión de la información sobre privacidad — Requisitos y orientaciones”. Una de las novedades más destacables es la posibilidad de certificarse en esta norma sin depender de la ISO 27001.
En todo caso merece la pena indicar que esta nueva edición actualiza y amplía las directrices para la creación, implementación, mantenimiento y mejora continua de un Sistema de Gestión de la Información de Privacidad (PIMS), ofreciendo un marco sólido que permite a las organizaciones demostrar responsabilidad, gestionar riesgos y cumplir con regulaciones como el Reglamento General de Protección de Datos.
EDPB avala —con cautelas— la prórroga de la adecuación de Reino Unido para las transferencias internacionales de datos.
Como bien es sabido, desde la salida del Reino Unido de la UE, todo flujo de datos de carácter personal entre la UE y Reino Unido constituye una transferencia internacional de datos (arts. 44 y ss. RGPD). Dicha transferencia ha estado amparada en una decisión de adecuación mediante la cual se reconoce que el nivel de protección ofrecido por el Reino Unido es esencialmente equivalente al de la UE. No obstante, esta decisión tiene carácter temporal y debe ser renovada periódicamente.
En ese contexto, el Comité Europeo de Protección de Datos (EDPB), ha emitido la Opinión 26/2025 en el que se muestra favorable al borrador de la Comisión Europea para renovar la decisión de adecuación hasta el 27 de diciembre de 2031(con revisión a los 4 años). Sin embargo, el EDPB solicita una monitorización reforzada ante posibles divergencias normativas, exenciones por motivos de seguridad nacional y su impacto en el uso del cifrado, así como un seguimiento de la efectividad de la nueva estructura de la ICO (la autoridad de control del Reino Unido).
Novedades normativas
En esta edición destacamos dos novedades:
-
- En el ámbito europeo, es aplicable desde el 10 de octubre de 2025 el Reglamento (UE) 2024/900 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, sobre transparencia y segmentación en la publicidad política.
Otros: Chester Digital Stories ATECNA
Nuestro compañero Álvaro Abáigar, socio – director del Departamento de Nuevas Tecnologías y Cumplimiento Normativo en ARPA Abogados Consultores ha participado en el nuevo capítulo de Chester Digital Stories, organizado por ATECNA, en una charla dedicada a reflexionar sobre tecnología, datos y ciberseguridad.
La Autoridad Independiente de Protección del Informante (AIPI) ha publicado recientemente tres recomendaciones no vinculantes dirigidas a clarificar dudas habituales y a ofrecer criterios prácticos para el diseño y funcionamiento de los Sistemas Internos de Información, tanto en el ámbito privado como público:
Desde ARPA Abogados Consultores hemos elaborado una circular práctica en la que analizamos los aspectos clave de la Recomendación 1/2026, en el marco de la Ley 2/2023, junto con un checklist básico para verificar la correcta implantación del sistema. Puedes descargártelo pinchando aquí.
Seguiremos informando puntualmente de las principales novedades de la AIPI, incluida la futura habilitación del formulario para la notificación del nombramiento y cese del Responsable del Sistema Interno de Información (RSII).
Nuestro equipo queda a disposición para resolver cualquier duda o revisar la adecuación de su Sistema Interno de Información conforme a los criterios actuales.