Derecho Digital y seguridad de la información
-
La UE aprueba el nuevo Ómnibus digital sobre inteligencia artificial.
-
El CRA afronta su próximo hito de cumplimiento en septiembre de 2026.
-
El EDPB impulsa un modelo común europeo para notificar brechas de datos personales.
-
La UE refuerza el derecho de desistimiento en la contratación digital.
-
La AEPD y la Autoridad Belga publican recomendaciones de protección de datos para videojuegos.
Cumplimiento normativo
-
Entra en vigor la nueva Directiva europea contra la corrupción.
-
Los canales de denuncia son clave en la detección temprana del fraude.
-
La CNMC actualiza su guía de programas de compliance en materia de competencia.
-
La CNMC abre expediente sancionador a varias entidades bancarias.
DERECHO DIGITAL Y SEGURIDAD DE LA INFORMACIÓN
La Comisión Europea publica el Código de Buenas Prácticas sobre transparencia de contenidos generados por IA
La Comisión Europea ha publicado el Código de Buenas Prácticas sobre transparencia de contenidos generados por IA, un instrumento voluntario que concreta cómo aplicar en la práctica las obligaciones previstas en el artículo 50 del AI Act en materia de marcado y etiquetado. El Código está dirigido tanto a proveedores como a responsables del despliegue de sistemas de IA generativa y se estructura en dos grandes bloques: uno centrado en el marcado y la detección de contenidos generados o manipulados por IA y otro orientado al etiquetado de deepfakes y de determinados textos generados por IA dirigidos al público.
La publicación del Código resulta especialmente relevante porque ofrece un marco práctico y reconocido a nivel europeo para facilitar el cumplimiento de estas obligaciones antes de su aplicación, prevista con carácter general a partir del 2 de agosto de 2026. Durante este mes de julio, además, proveedores y responsables del despliegue pueden adherirse al Código, lo que les permitirá apoyarse en sus medidas para demostrar el cumplimiento de las exigencias de transparencia del Reglamento, sin perjuicio de que la adhesión no constituya por sí sola una prueba concluyente de cumplimiento. La Comisión ha publicado asimismo un documento de preguntas frecuentes para facilitar su comprensión y aplicación práctica.
Volver al índice
La UE aprueba el nuevo Ómnibus digital sobre inteligencia artificial
El Parlamento Europeo y el Consejo han adoptado el Reglamento conocido como Ómnibus digital sobre IA, que modifica el Reglamento de IA y otra normativa sectorial con el objetivo de simplificar la aplicación de las normas armonizadas en materia de inteligencia artificial. El texto parte expresamente de la necesidad de reducir cargas regulatorias, aclarar conceptos clave y evitar solapamientos entre el Reglamento de IA y otros actos legislativos de armonización de la Unión, sin rebajar el nivel de protección en materia de salud, seguridad y derechos fundamentales.
Entre las novedades más relevantes destaca la reformulación de la obligación de alfabetización en IA, que pasa a exigir la adopción de medidas de apoyo y formación, sin imponer un nivel concreto de conocimiento a cada persona. Asimismo, el texto introduce una base jurídica específica para el tratamiento excepcional de categorías especiales de datos personales cuando sea estrictamente necesario para detectar y corregir sesgos en sistemas o modelos de IA, sujeto a garantías reforzadas como seudonimización, controles de acceso, limitación de reutilización, prohibición de acceso por terceros y supresión de los datos una vez cumplida la finalidad.
Volver al índice
El CRA afronta su próximo hito de cumplimiento en septiembre de 2026
Si bien el Reglamento de Ciberresiliencia (CRA) no será aplicable con carácter general hasta el 11 de diciembre de 2027, algunas de sus obligaciones comenzarán a desplegar efectos antes de esa fecha. En particular, el 11 de septiembre de 2026 serán exigibles las obligaciones de notificación previstas en su artículo 14. A partir de entonces, los fabricantes deberán notificar, a través de la plataforma única de notificación, cualquier vulnerabilidad aprovechada activamente y cualquier incidente grave que repercuta en la seguridad del producto. La notificación se dirigirá al CSIRT designado como coordinador y será accesible simultáneamente para ENISA.
Volver al índice
El EDPB impulsa un modelo común europeo para notificar brechas de datos personales
El Comité Europeo de Protección de Datos (EDPB) ha sometido a consulta pública un modelo común europeo de notificación de brechas de datos personales, con el objetivo de favorecer una aplicación más homogénea de estas comunicaciones ante las autoridades de control. La iniciativa busca ofrecer una plantilla común que pueda ser implementada por las autoridades de protección de datos a través de herramientas informáticas y que permita recabar únicamente la información necesaria en cada caso, incorporando además valores predefinidos y orientaciones prácticas para las organizaciones. La consulta permanecerá abierta hasta el 5 de agosto de 2026.
Volver al índice
La UE refuerza el derecho de desistimiento en la contratación digital
La Directiva (UE) 2023/2673 introduce una nueva obligación para los contratos a distancia celebrados a través de sitios web y aplicaciones, al exigir que el consumidor pueda ejercer su derecho de desistimiento mediante una función específica, visible, fácilmente accesible y disponible durante todo el plazo legal. Esta funcionalidad deberá identificarse con la expresión “desistir del contrato aquí” o con una fórmula equivalente igualmente clara, y permitirá al consumidor presentar y confirmar su desistimiento de forma sencilla, tras lo cual el comerciante deberá remitir sin demora un acuse de recibo en soporte duradero.
Aunque la Directiva aún no haya sido transpuesta en España, su aplicación está prevista desde el 19 de junio de 2026, por lo que conviene tener en cuenta esta nueva exigencia en la contratación a distancia realizada por medios digitales.
Volver al índice
La AEPD y la Autoridad Belga publican recomendaciones de protección de datos para videojuegos
La AEPD y la Autoridad Belga de Protección de Datos han publicado la guía Recomendaciones y mejores prácticas para la protección de datos personales en videojuegos, un documento que traslada los principios del RGPD al ciclo de vida completo de desarrollo y explotación de un videojuego, desde la preproducción hasta su lanzamiento, operación en vivo y eventual fin de vida.
La guía subraya que los videojuegos actuales en muchas ocasiones no se limitan al tratamiento de datos identificativos tradicionales. Su funcionamiento puede implicar un tratamiento intensivo y continuo de información generada por la propia experiencia de juego, como la telemetría, los patrones de comportamiento, las interacciones sociales, los datos de voz o imagen, los pagos, la seguridad, los sistemas antitrampa y las funcionalidades de personalización o monetización.
Desde esa perspectiva, el documento insiste en la necesidad de incorporar la privacidad desde el diseño, ordenar adecuadamente los roles y responsabilidades de los distintos actores del ecosistema, y documentar con claridad las finalidades, bases jurídicas y niveles de riesgo de cada tratamiento. También destaca la importancia de diferenciar entre tratamientos esenciales y no esenciales, reforzar la transparencia dentro del propio juego y prestar especial atención a los escenarios más sensibles, como los que afectan a menores, publicidad comportamental, perfilado, inteligencia artificial o decisiones automatizadas.
Volver al índice
CUMPLIMIENTO NORMATIVO
Entra en vigor la nueva Directiva europea contra la corrupción
Ha entrado en vigor la Directiva (UE) 2026/1021, de 29 de abril de 2026, sobre la lucha contra la corrupción, que refuerza y armoniza el marco penal europeo en esta materia. Su objetivo es ofrecer una respuesta más coherente y eficaz frente a la corrupción en toda la Unión Europea, mediante la armonización de la tipificación de las conductas corruptas y de las sanciones aplicables, así como el refuerzo de la prevención, la investigación, el enjuiciamiento y la cooperación transfronteriza entre las autoridades competentes.
Desde la perspectiva del compliance, la entrada en vigor de esta norma refuerza la importancia de contar con programas anticorrupción eficaces, mapas de riesgos actualizados y mecanismos internos de prevención, detección y respuesta alineados con un entorno regulatorio cada vez más exigente. Los Estados miembros deberán transponer la Directiva, con carácter general, antes del 1 de junio de 2028.
Volver al índice
Los canales de denuncia son clave en la detección temprana del fraude
ENFCO (European Network for Compliance Officers), red europea de asociaciones de profesionales de compliance, ha publicado el whitepaper The ENFCO Whistleblowing Framework. En este documento se subraya la relevancia estratégica de los canales de denuncia como mecanismo de detección temprana del fraude. En particular, se destaca que el 43 % de los casos de fraude cometido dentro de una organización se descubre a través de alertas, muy por delante de otras vías como la auditoría interna (14 %), la revisión por la dirección (13 %) o el examen documental (6 %). Según el propio documento, este dato confirma que la información aportada por personas que conocen de cerca la organización sigue siendo más eficaz que muchos controles tradicionales para aflorar irregularidades.
El análisis pone además de relieve que, dentro de esas alertas, los empleados son con diferencia la principal fuente de detección, al concentrar el 52 % de los reportes, por delante de clientes (21 %), denuncias anónimas (15 %) y proveedores (11 %). Por ello, el documento concluye que contar con canales de información accesibles, fiables y percibidos como seguros no solo responde a una exigencia regulatoria, sino que constituye una herramienta esencial de prevención y detección temprana del fraude.
Volver al índice
La CNMC actualiza su guía de programas de compliance en materia de competencia
La CNMC ha aprobado la actualización de su Guía de programas de cumplimiento normativo en relación con la defensa de la competencia, manteniendo en lo esencial la estructura, las categorías y los criterios de evaluación de 2020, pero incorporando mejoras para facilitar su aplicación práctica. La nueva versión clarifica además los efectos que la valoración de estos programas puede tener en los procedimientos sancionadores, especialmente en relación con la atenuación de la multa y con la prohibición de contratar con el sector público.
Además, la CNMC subraya que no valora únicamente la existencia formal del programa de cumplimiento, sino su eficacia real en términos de diseño, implementación y funcionamiento práctico. En esta línea, la guía insiste en la necesidad de promover una verdadera cultura de cumplimiento dentro de las organizaciones e incorpora un anexo renovado con ejemplos de indicadores habituales para evaluar la efectividad de estos programas.
Volver al índice
La CNMC abre expediente sancionador a varias entidades bancarias
La CNMC ha abierto un expediente sancionador contra varias entidades bancarias por posibles conductas contrarias a la normativa de defensa de la competencia en relación con los avales de operaciones de financiación pública. Según el organismo, la investigación se centra en posibles prácticas coordinadas o intercambios de información comercial sensible en el marco de este mercado, lo que podría haber afectado a las condiciones de competencia entre entidades.
Volver al índice
El Tribunal Supremo delimita la responsabilidad penal de la persona jurídica extranjera sin presencia en España
La Sala Segunda del Tribunal Supremo, en su Sentencia 280/2026, de 16 de abril de 2026 (rec. 1567/2023, ponente Excmo. Sr. Magro Servet), ha confirmado la absolución de una mercantil brasileña acusada de corrupción en los negocios (art. 286 bis CP) y de estafa impropia por simulación contractual (art. 251.3º CP) en el conocido “caso Neymar”. Junto a la atipicidad de los hechos (eje central del fallo), el Tribunal añade un pronunciamiento de interés para el compliance de grupos multinacionales: la responsabilidad penal de las personas jurídicas del art. 31 bis CP alcanza a quienes operan en territorio español, pero no puede extenderse a una entidad extranjera afectada solo indirectamente por un contrato que deriva en una acción penal ante tribunales españoles, si carece de presencia efectiva en el país.
Se trata, no obstante, de un argumento reforzado y no de la ratio decidendi de la sentencia, por lo que conviene relativizar su valor como precedente. Además, el propio Tribunal deja sin perfilar qué debe entenderse por “presencia efectiva”, de modo que la imputabilidad de matrices extranjeras con filiales operativas en España seguirá analizándose caso por caso, sin que este pronunciamiento pueda invocarse como una exención automática frente a estructuras de grupo con algún grado de vinculación efectiva con nuestro país.
Volver al índice