Cumplimiento normativo
-
La Autoridad Independiente de Protección del Informante ya está operativa.
-
Canales de denuncia de la Autoridad Independiente de Protección del informante.
Protección de datos y seguridad de la información
-
Biometría: ¿Cambio de criterio de la Agencia Española de Protección de Datos?
-
Data Act: entrada en aplicación el 12 de septiembre de 2025.
-
La Comisión Europea abre consulta sobre la futura Ley de Equidad Digital.
CUMPLIMIENTO NORMATIVO
La Autoridad Independiente de Protección del Informante ya está operativa.
Desde el 1 de septiembre de 2025 está en funcionamiento la Autoridad Independiente de Protección del Informante, AAI (en adelante AIPI), cuya puesta en marcha fue fijada por la Orden PJC/908/2025, de 8 de agosto (publicada en el BOE el 12 de agosto) en cumplimiento de la Ley 2/2023. Presidida por Manuel Villoria Mendieta, la AIPI nace como pilar institucional en la lucha contra la corrupción y para garantizar la protección efectiva de las personas que informen de infracciones, adaptando al ordenamiento español la Directiva (UE) 2019/1937.
La nueva autoridad asume, entre otras, la gestión del canal externo de denuncias, la adopción de medidas de protección y apoyo a las personas informantes y la potestad sancionadora (con multas que pueden llegar hasta 300.000 € para personas físicas y 1.000.000 € para personas jurídicas, según la infracción). También emitirá circulares y recomendaciones, y supervisará el correcto funcionamiento de los sistemas internos de información de las organizaciones, en coordinación con otras autoridades nacionales y autonómicas.
En este contexto, conviene destacar que las entidades obligadas por la Ley de Protección al Informante disponen de dos meses desde el inicio de actividad para designar y comunicar a la AIPI a la persona y/o Comité responsable de su Sistema interno de información, con fecha límite 1 de noviembre de 2025.
Volver al índice
Canales de denuncia de la Autoridad Independiente de Protección del informante.
Con motivo del inicio de su actividad, la Autoridad Independiente de Protección del Informante ha habilitado una web provisional (www.proteccioninformante.gob.es), mientras culmina el desarrollo de su Sede Electrónica y portal definitivo, que, según figura en nota informativa, estará operativo en breve y contará con las medidas de seguridad y confidencialidad legalmente exigidas.
Mientras tanto, se puede contactar con la Autoridad Independiente de Protección del Informante a través de los siguientes correos habilitados: para asuntos generales o informativos y para comunicaciones del Responsable del Sistema de Información, aipi@proteccioninformante.es; para el Canal Externo de Información, canal.externo@proteccioninformante.es (omitiendo cualquier dato personal de terceros por razones de confidencialidad); y para el Canal Interno de Información, canal.interno@proteccioninformante.es (igualmente, sin datos personales de terceros).
Volver al índice
Plan Estatal de Lucha contra la Corrupción.
El pasado 9 de julio, el Gobierno presentó el Plan Estatal de lucha contra la corrupción, estructurado en cinco ejes y quince medidas para reforzar el marco legal existente en materia de integridad pública.
Entre sus novedades destacan la creación de una Agencia Independiente de Integridad Pública, el uso de IA y big data en contratación para detectar irregularidades y la extensión de mapas de riesgos en la gestión de fondos. Asimismo, el Plan blinda el anonimato en los canales de denuncia, endurece las sanciones por represalias, obliga a las organizaciones que contraten con la Administración a contar con sistemas de cumplimiento anticorrupción y a someterse a auditorías externas de integridad. Además, crea una lista de inhabilitación que excluirá de la contratación pública, subvenciones y beneficios fiscales a las entidades condenadas en firme por corrupción.
En este contexto, el 26 de agosto se aprobó el Real Decreto 711/2025, por el que se crea la Comisión Interministerial para el impulso del Plan Estatal de Lucha contra la Corrupción y se regula su composición y funcionamiento. Esta Comisión, concebida para la dirección estratégica, el fomento y la coordinación de las medidas a adoptar por la Administración General del Estado, tiene por objeto asegurar el cumplimiento efectivo de las actuaciones previstas en el Plan.
Volver al índice
PROTECCIÓN DE DATOS Y SEGURIDAD DE LA INFORMACIÓN
Biometría ¿Cambio de criterio de la Agencia Española de Protección de Datos?
La Agencia Española de Protección de Datos (AEPD) ha respondido a una consulta previa de las Fuerzas y Cuerpos de Seguridad del Estado sobre el uso de biometría para el control de accesos. A partir de una evaluación de impacto (EIPD), el informe distingue dos enfoques: la identificación, con mayores riesgos para la privacidad, y la autenticación, que bien diseñada y limitada al punto de acceso, puede resultar más proporcionada y menos intrusiva. La Agencia exige justificar necesidad y proporcionalidad, acreditar la mejora frente a sistemas previos y escoger, entre alternativas igual de eficaces, la menos gravosa. Entre las garantías técnicas que valora figuran el tratamiento local cuando sea posible, puntos de control aislados, la retención mínima, la ausencia de acceso externo y las opciones de respaldo. En línea con el Comité Europeo de Protección de Datos, se valoran positivamente modelos en los que la plantilla reside en el dispositivo del usuario o se almacena cifrada con una clave bajo su exclusivo control.
En cuanto al marco jurídico, la Agencia considera que, para el supuesto analizado, existe base suficiente para la utilización del sistema biométrico: su finalidad principal es la prevención de delitos y amenazas contra la seguridad pública, y a tal efecto el informe se apoya en la Ley Orgánica 7/2021 y, como norma específica, en la Ley Orgánica 2/1986. No obstante, aun reconociendo dicha cobertura, el propio informe subraya la conveniencia de que el legislador refuerce el marco con disposiciones más detalladas y garantías adicionales, acordes al impacto real de estos tratamientos.
Volver al índice
Data Act: entrada en aplicación el 12 de septiembre de 2025.
El Reglamento (UE) 2023/2854, conocido como Data Act, establece el marco para el acceso y la utilización de los datos generados por productos conectados y servicios relacionados en la Unión Europea, abarcando tanto datos personales como no personales. Su aplicación general comienza el 12 de septiembre de 2025, aunque se han previsto plazos adicionales para determinadas obligaciones, como las de diseño y fabricación, que se aplicarán de forma escalonada en 2026 y 2027.
Entre las disposiciones más relevantes de la norma se pueden destacar las siguientes:
-
- Derecho de los usuarios de productos conectados a solicitar el acceso a los datos generados por el uso, incluyendo información sobre consumo, funcionamiento u operaciones de mantenimiento, y a compartirlos con terceros de su elección.
-
- Prohibición de cláusulas contractuales abusivas que limiten el acceso legítimo a dichos datos, especialmente en contratos B2B, con un régimen específico para contratos celebrados antes de la fecha de aplicación general.
-
- Obligaciones de interoperabilidad y portabilidad para facilitar el cambio entre proveedores de servicios de tratamiento de datos (por ejemplo, servicios en la nube) y mejorar la interoperabilidad técnica.
Volver al índice
Sentencia del Tribunal Supremo sobre mirillas digitales.
El Tribunal Supremo, en su Sentencia 1166/2025 de 17 de julio, ha confirmado la condena por intromisión ilegítima en el derecho a la intimidad derivada de la instalación de una mirilla digital. En el caso analizado, la instalación no superó a juicio del Tribunal el juicio de proporcionalidad ya que “no respondió a problemas de seguridad (…) sino a la simple comodidad de los demandados, que estaban ausentes durante temporadas y tenían interés por saber si iba alguien a entregar algún paquete a su vivienda”. La mirilla digital se activaba “sin necesidad de que hayan llamado al timbre de la vivienda de los demandados o intentado abrir su puerta” por lo que dada “la situación enfrentada de ambas puertas, a una distancia mínima, supone que cuando se abre la puerta de la vivienda de los demandantes el dispositivo permite ver el interior de esa vivienda; no existen garantías de limitación al acceso de esas imágenes”.
Volver al índice
Transferencias internacionales de datos a USA: el Tribunal General de la UE confirma el Data Privacy Framework.
El 3 de septiembre de 2025 el Tribunal General de la Unión Europea desestimó una acción que cuestionaba el Data Privacy Framework, que recordemos constituye el principal mecanismo para las transferencias internacionales de datos de carácter personal entre la UE y USA.
La Agencia Española de Protección de Datos (AEPD) ha emitido un nota valorativa en la que subraya que “considera que la sentencia aporta estabilidad y refuerza la seguridad jurídica y la continuidad de las transferencias internacionales de datos entre la UE y EEUU”.
Volver al índice
La Comisión Europea abre consulta sobre la futura Ley de Equidad Digital.
La Comisión Europea ha puesto en marcha una consulta pública y una convocatoria de datos sobre la futura Ley de Equidad Digital, cuyo objetivo es reforzar la protección de los consumidores frente a prácticas digitales desleales. La iniciativa, abierta a ciudadanos, autoridades y partes interesadas, busca recoger aportaciones que permitan reforzar la protección de los consumidores en el entorno digital, así como establecer condiciones de competencia claras y equilibradas para las empresas en la Unión Europea.
La propuesta pretende hacer frente a fenómenos cada vez más extendidos en el ámbito digital, como el uso de patrones oscuros en interfaces, el marketing engañoso de influencers en redes sociales, el diseño adictivo de productos y servicios digitales o la elaboración de perfiles que explotan las vulnerabilidades de los usuarios. La consulta estará abierta hasta el 24 de octubre de 2025.
Volver al índice