Derecho Digital y seguridad de la información
-
La Audiencia Nacional anula la guía de la AEPD sobre control de presencia biométrico
-
Entran en aplicación las obligaciones de transparencia del Reglamento de IA
-
La AEPD impulsa un modelo común de cumplimiento en el sector público
-
La Audiencia Nacional aborda el uso de inteligencia artificial en la función judicial
-
Nuevas directrices europeas sobre anonimización y recopilación de datos para IA
Cumplimiento normativo
-
El caso del Puerto de Valencia delimita la externalización de los canales internos
-
El Gobierno refuerza la protección laboral de las personas que denuncien casos de corrupción
-
La AIPI actualiza y amplía sus recomendaciones sobre los sistemas internos de información
-
El Gobierno impulsa la creación de una autoridad nacional contra el blanqueo de capitales
DERECHO DIGITAL Y SEGURIDAD DE LA INFORMACIÓN
La Audiencia Nacional anula la guía de la AEPD sobre control de presencia biométrico
La Audiencia Nacional, mediante la SAN 2870/2026, ha anulado la guía de la Agencia Española de Protección de Datos (AEPD) sobre el uso de sistemas biométricos para el control de presencia, publicada en noviembre de 2023.La Sala considera que, aunque el documento se presentaba formalmente como una guía, establecía criterios destinados a orientar la actuación de la AEPD y a producir efectos sobre los responsables y encargados del tratamiento. Debido a su carácter restrictivo y a sus efectos prácticos, la Audiencia Nacional entiende que debía haberse tramitado como una circular conforme al procedimiento legalmente previsto
La Sentencia tiene, por tanto, un alcance principalmente procedimental y no entra a valorar la conformidad jurídica de cada uno de los criterios recogidos en la guía. En consecuencia, las organizaciones que pretendan utilizar estos sistemas deberán seguir acreditando una base jurídica conforme al artículo 6 del RGPD, la concurrencia de alguna de las excepciones previstas en su artículo 9.2, la necesidad y proporcionalidad del tratamiento, todo ello mediante la realización de una evaluación de impacto relativa a la protección de datos.
Volver al índice
Entran en aplicación las obligaciones de transparencia del Reglamento de IA
Desde el 2 de agosto de 2026 ya son de aplicación las obligaciones de transparencia previstas en el artículo 50 del Reglamento de Inteligencia Artificial. Estas obligaciones afectan a los proveedores y responsables del despliegue de determinados sistemas de IA y tienen como finalidad que las personas puedan identificar cuándo interactúan con un sistema de IA o están expuestas a contenidos generados o manipulados mediante esta tecnología.
Para facilitar su cumplimiento, la Comisión Europea ha publicado la versión definitiva de las directrices de aplicación del artículo 50. El documento aclara los sujetos y sistemas incluidos en su ámbito de aplicación, las principales definiciones y excepciones y la forma de cumplir las obligaciones relativas a la interacción con sistemas de IA, el marcado de contenidos generados artificialmente, los deepfakes, el reconocimiento de emociones, la categorización biométrica y los textos sobre asuntos de interés público. Aunque no tienen carácter vinculante, las directrices constituyen un criterio interpretativo relevante para las empresas y las autoridades competentes y complementan el Código de Buenas Prácticas sobre transparencia de contenidos generados por IA, de carácter voluntario.
Volver al índice
La AEPD impulsa un modelo común de cumplimiento en el sector público
La Agencia Española de Protección de Datos (AEPD) ha publicado una serie de recomendaciones para reforzar la gobernanza y el cumplimiento del RGPD en el conjunto de las Administraciones públicas. Uno de sus principales ejes es la consolidación del delegado de protección de datos como figura independiente y visible dentro de la estructura organizativa, con acceso directo a los órganos de decisión y participación temprana en las iniciativas que impliquen tratamientos de datos personales, como los proyectos tecnológicos, la contratación pública o la elaboración normativa.
La AEPD anuncia, además, nuevas actuaciones dirigidas a favorecer un modelo de cumplimiento más homogéneo y preventivo, entre ellas la elaboración de una política común de protección de datos adaptable a las distintas Administraciones, un manual de buenas prácticas para delegados de protección de datos, nuevos criterios jurídicos, recursos formativos y redes de colaboración. Con estas medidas, la Agencia busca integrar la protección de datos en la gestión ordinaria y en los procesos de transformación digital del sector público.
Volver al índice
La Audiencia Nacional aborda el uso de inteligencia artificial en la función judicial
La Sala de Apelación de la Audiencia Nacional ha analizado un recurso (SAN 2879/2026) en el que la defensa solicitaba la nulidad de una sentencia por la supuesta utilización de inteligencia artificial generativa en su redacción. También pedía que se aportaran el algoritmo, el código fuente, los metadatos de la resolución y el prompt empleado. La Sala rechaza estas pretensiones al considerar que se basaban en una mera sospecha, sin ningún indicio objetivo que acreditara el uso de este tipo de herramientas.
La sentencia señala que no pueden trasladarse automáticamente al ámbito jurisdiccional las exigencias de transparencia aplicables a las decisiones administrativas automatizadas. Una resolución judicial es el resultado de la instrucción, el juicio oral, la deliberación y la decisión colegiada de los magistrados, por lo que el control debe centrarse en comprobar si cumple las exigencias de motivación y refleja el razonamiento del órgano judicial. La Sala recuerda, además, que la Instrucción 2/2026 del CGPJ admite el uso auxiliar de sistemas de IA, siempre que exista control humano efectivo y no se sustituya al juez en la valoración de los hechos y de la prueba ni en la interpretación y aplicación del Derecho.
La resolución concluye que no procede abrir una especie de auditoría tecnológica de una sentencia cuando no existe ningún elemento objetivo que permita sospechar un uso indebido de inteligencia artificial.
Volver al índice
Nuevas directrices europeas sobre anonimización y recopilación de datos para IA
El Comité Europeo de Protección de Datos ha aprobado dos nuevas directrices sobre anonimización y sobre la recopilación automatizada de información disponible en internet para el desarrollo de sistemas de inteligencia artificial generativa. En materia de anonimización, el CEPD propone valorar si los datos permiten aislar a una persona, vincular distintas informaciones o realizar inferencias que posibiliten su identificación, teniendo en cuenta los medios razonablemente utilizables por cada entidad. Respecto del web scraping, recuerda que el RGPD resulta plenamente aplicable cuando se recopilan datos personales y exige analizar, entre otros, la base jurídica, la transparencia, la limitación de la finalidad, la minimización y la exactitud de la información, así como las condiciones aplicables al tratamiento de categorías especiales.
Las directrices se encuentran en consulta pública hasta el 30 de octubre de 2026. El CEPD también ha aprobado la versión definitiva de sus directrices sobre el tratamiento de datos personales mediante tecnologías blockchain.
Volver al índice
Publicado el Ómnibus digital sobre IA
El Diario Oficial de la Unión Europea ha publicado el Reglamento (UE) 2026/1744, de 8 de julio, conocido como Ómnibus digital sobre IA, que modifica el Reglamento de Inteligencia Artificial con el objetivo de simplificar su aplicación y reducir determinadas cargas regulatorias. Entre sus principales novedades se encuentran el aplazamiento de las obligaciones aplicables a los sistemas de IA de alto riesgo, la incorporación de nuevas prácticas prohibidas y diversas medidas de simplificación regulatoria. Asimismo, amplía el apoyo a las empresas de mediana capitalización y permite, con garantías reforzadas, el tratamiento de categorías especiales de datos para detectar y corregir sesgos.
El Reglamento entró en vigor al tercer día siguiente al de su publicación y es directamente aplicable en todos los Estados miembros.
Volver al índice
CUMPLIMIENTO NORMATIVO
El caso del Puerto de Valencia delimita la externalización de los canales internos
La Autoridad Portuaria de Valencia se enfrenta a un procedimiento sancionador por la configuración del contrato de gestión de su Sistema interno de información. La cuestión se centra en las funciones atribuidas contractualmente al proveedor externo, que no se habría limitado a prestar apoyo técnico o instrumental, sino que habría asumido tareas relacionadas con el análisis de las comunicaciones, la valoración de los indicios, la determinación del alcance de las investigaciones y la elaboración de informes.
La Autoridad Portuaria ha adoptado medidas para corregir esta situación mediante la modificación del contrato, cuyo objeto queda limitado al suministro y mantenimiento de la herramienta técnica, sin atribuir al proveedor externo funciones de gestión, instrucción o investigación de las comunicaciones recibidas.
La Ley 2/2023 permite que un tercero externo gestione determinados aspectos del Sistema Interno de Información, pero dicha gestión debe tener carácter instrumental y no puede implicar la transferencia de las decisiones esenciales relacionadas con la admisión, investigación y resolución de las comunicaciones. Estas funciones deben permanecer bajo el control efectivo del Responsable del Sistema. En el sector público, además, la externalización solo resulta admisible cuando se acredite la insuficiencia de medios propios, de conformidad con la normativa de contratación pública. Por ello, la actuación del proveedor externo debe limitarse al soporte técnico y material, preservando en todo momento la autonomía, la capacidad de decisión y la responsabilidad de la entidad obligada y del Responsable del Sistema.
Volver al índice
El Gobierno refuerza la protección laboral de las personas que denuncien casos de corrupción
El Consejo de Ministros ha aprobado un anteproyecto de ley destinado a reforzar la indemnidad de las personas trabajadoras que denuncien casos de corrupción en su entorno laboral. La reforma prevé modificar el Estatuto de los Trabajadores para declarar nulos los despidos y otras decisiones empresariales adoptadas como represalia por la presentación de una denuncia o por la colaboración en la investigación de estos hechos. La protección se extendería también al entorno familiar de la persona denunciante.
La iniciativa complementa la prohibición de represalias ya establecida en la Ley 2/2023, que incluye medidas como el despido, la suspensión del contrato, las sanciones disciplinarias, la degradación profesional, el acoso o cualquier trato desfavorable motivado por la condición de informante.
Volver al índice
La AIPI actualiza y amplía sus recomendaciones sobre los sistemas internos de información
La Autoridad Independiente de Protección del Informante (AIPI) ha actualizado sus recomendaciones sobre la implantación y gestión de los Sistemas internos de información. Por una parte, ha publicado la Recomendación 3/2026, dirigida a la Administración General del Estado y a sus entidades instrumentales de Derecho público, que aborda cuestiones como la independencia del Responsable del Sistema, la configuración técnica del canal, los conflictos de interés, la coordinación con otros órganos de control y las garantías aplicables en el ámbito del empleo público.
Asimismo, la AIPI ha revisado sus Recomendaciones 1/2025, 1/2026 y 2/2026, dirigidas, respectivamente, a los partidos políticos, a las entidades obligadas con carácter general y a la Administración local. Las nuevas versiones incorporan criterios técnicos sobre la seguridad, confidencialidad y trazabilidad de las comunicaciones, la restricción del acceso al personal autorizado y la necesidad de permitir su presentación tanto por escrito como verbalmente, aunque ambas vías no tengan que integrarse necesariamente en una única solución tecnológica.
Entre las principales orientaciones, la AIPI recomienda que el Responsable del Sistema se configure preferentemente como un órgano colegiado en las organizaciones de mayor tamaño o con mayor riesgo de conflicto, sin excluir una configuración unipersonal en entidades más pequeñas.
Volver al índice
El Gobierno impulsa la creación de una autoridad nacional contra el blanqueo de capitales
El Consejo de Ministros ha aprobado el anteproyecto de ley de medidas integrales en materia de prevención del blanqueo de capitales, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva. La reforma prevé la creación de la Autoridad Nacional de Integridad Financiera (ANIFI), que concentrará las funciones actualmente distribuidas entre el SEPBLAC y la Secretaría de la Comisión de Prevención del Blanqueo de Capitales, incluidas la inteligencia financiera, la supervisión e inspección y la potestad sancionadora. Asimismo, será el interlocutor único de España ante la Autoridad Europea de Lucha contra el Blanqueo de Capitales (AMLA).
El anteproyecto busca adaptar el marco español al nuevo paquete europeo contra el blanqueo de capitales e incorpora nuevos sujetos obligados, entre ellos los proveedores de servicios de criptoactivos, las plataformas de financiación participativa y los clubes y agentes de fútbol profesional. También contempla medidas para reforzar la transparencia sobre la titularidad real, los requisitos de idoneidad de los sujetos obligados y el control de los movimientos de efectivo.
Volver al índice
La Autoridad Independiente de Protección del Informante (AIPI) ha publicado recientemente tres recomendaciones no vinculantes dirigidas a clarificar dudas habituales y a ofrecer criterios prácticos para el diseño y funcionamiento de los Sistemas Internos de Información, tanto en el ámbito privado como público:
Desde ARPA Abogados Consultores hemos elaborado una circular práctica en la que analizamos los aspectos clave de la Recomendación 1/2026, en el marco de la Ley 2/2023, junto con un checklist básico para verificar la correcta implantación del sistema. Puedes descargártelo pinchando aquí.
Seguiremos informando puntualmente de las principales novedades de la AIPI, incluida la futura habilitación del formulario para la notificación del nombramiento y cese del Responsable del Sistema Interno de Información (RSII).
Nuestro equipo queda a disposición para resolver cualquier duda o revisar la adecuación de su Sistema Interno de Información conforme a los criterios actuales.