Protección de datos
Propiedad Intelectual e Industrial
Cumplimiento normativo
PROTECCIÓN DE DATOS
Reglamento de Ciberresiliencia | Nuevas obligaciones de ciberseguridad para los productos con elementos digitales conectados a internet
El pasado 20 de noviembre de 2024 se publicó el Reglamento (UE) 2024/2847, de 23 de octubre de 2024, relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales. El Reglamento es aplicable a los productos con elementos digitales comercializados cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red.
A destacar que los sujetos obligados son tanto los fabricantes pero también los importadores y distribuidores y que se establecen numerosas obligaciones de un lado, en materia de gestión de vulnerabilidades, como por ejemplo la necesidad de ofrecer al menos cinco años de soporte de seguridad mediante parches y de otro lado, diseño seguro por defecto.
Habrá que esperar 36 meses desde la fecha de entrada en vigor para su plena aplicación, si bien hay obligaciones de información que son exigibles a partir de los 21 meses.
Adaptación de las normas sobre responsabilidad por productos defectuosos a las nuevas tecnologías digitales
El 23 de octubre de 2024, la Unión Europea adoptó la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos y por la que se deroga la Directiva 85/374/CEE. Este nuevo marco responde a los desafíos de un mercado más digital y orientado hacia la economía circular, abarcando tecnologías emergentes como la inteligencia artificial y los servicios digitales.
La Directiva establece normas comunes sobre la responsabilidad de los operadores económicos por los daños sufridos por personas físicas causados por productos defectuosos y sobre la indemnización por esos daños. El objetivo de la presente Directiva es contribuir al correcto funcionamiento del mercado interior, garantizando al mismo tiempo un elevado nivel de protección de los consumidores.
Entre las principales novedades de la Directiva, encontramos la ampliación del concepto de “producto”, puesto que ahora incluye los archivos de fabricación digital y los programas informáticos como elementos susceptibles de ser defectuosos, es decir, software, inteligencia artificial y servicios digitales.
Los productos defectuosos debido a vulnerabilidades de ciberseguridad que no cumplan con los estándares de seguridad serán considerados defectuosos. Asimismo, los fabricantes son responsables de mantener actualizaciones necesarias para prevenir riesgos.
Las modificaciones sustanciales en productos, como actualizaciones significativas de software, se consideran introducción de nuevos productos, atribuyendo responsabilidad a quienes las efectúen.
En relación con el derecho de indemnización se amplía la protección, y se aplica respecto al daño que supone la destrucción o corrupción de datos que no se utilicen con fines profesionales.
La AEPD aprueba un sistema de mediación para agilizar las reclamaciones de protección de datos en materia de comunicaciones electrónicas
La Agencia Española de Protección de Datos (AEPD) ha aprobado el Código de conducta para la resolución de controversias en protección de datos dentro del sector de las comunicaciones electrónicas. Este código ha sido impulsado por las principales operadoras de telecomunicaciones: Orange, Telefónica, Vodafone y MásMóvil.
El objetivo del código es establecer un mecanismo de mediación que permita a los ciudadanos y a las entidades adheridas resolver sus conflictos de forma consensuada, evitando, si el usuario lo prefiere, acudir a procedimientos administrativos o judiciales. Asimismo, este marco de autorregulación busca ofrecer a los ciudadanos un proceso gratuito y más rápido para gestionar reclamaciones relacionadas con la protección de datos frente a las empresas adheridas.
Aunque la adhesión a estos códigos de conducta es voluntaria, resulta vinculante para las entidades que decidan formar parte.
El código entrará en vigor el próximo 17 de diciembre y permitirá a los ciudadanos presentar reclamaciones sobre tratamientos de datos realizados sin base de legitimación, ejercicios de derechos no atendidos, inserción indebida en sistemas de información crediticia o contratación fraudulenta.
En este caso, la AEPD ha designado al Jurado de la Publicidad, perteneciente a la Asociación para la Autorregulación de la Comunicación Comercial (AUTOCONTROL), como el organismo encargado de la supervisión.
AUTOCONTROL gestionará las reclamaciones presentadas contra las entidades adheridas al código, iniciando el proceso de mediación, que tendrá una duración máxima de 30 días. Se informará a la AEPD sobre el acuerdo alcanzado.
PROPIEDAD INTELECTUAL E INDUSTRIAL
IA: Entrenamiento con obras de propiedad intelectual: Nuevas licencias colectivas.
Con fecha 19 de noviembre de 2024 tuvo lugar la apertura de un período de audiencia e información pública del Proyecto de Real Decreto por el que se regula la concesión de licencias colectivas ampliadas para la explotación masiva de obras y prestaciones protegidas por derechos de propiedad intelectual para el desarrollo de modelos de inteligencia artificial de uso general. El plazo de presentación de alegaciones finalizar el 10 de diciembre.
El Proyecto de Real Decreto introduce un marco normativo innovador para la concesión de licencias colectivas ampliadas. Este mecanismo permitirá la explotación masiva de obras protegidas por derechos de propiedad intelectual, una medida clave para facilitar el desarrollo de modelos de inteligencia artificial (IA) de uso general.
Entre las características más importantes de Proyecto de Real Decreto, cabe destacar:
-
-
Las entidades de gestión colectiva podrán otorgar autorizaciones no exclusivas para la explotación de obras protegidas por derechos de propiedad intelectual. Las licencias colectivas ampliadas estarán destinadas a facilitar reproducciones y extracciones de obras protegidas por derechos de propiedad intelectual para el desarrollo de modelos de inteligencia artificial de uso general, incluidos los generativos, cuando sea necesario un uso masivo de dichas obras y obtener autorizaciones individuales resulte inviable. La duración máxima de estas licencias es de 3 años.
-
Los titulares de derechos de propiedad intelectual tienen derecho a oponerse a que sus obras sean objeto de las licencias colectivas ampliadas, pudiendo comunicar su oposición a la entidad en cualquier momento. El derecho de oposición debe ejercerse de forma rápida y sencilla a través de formularios ofrecidos por las entidades de gestión para los titulares de derechos.
-
Los usuarios que suscriban licencias colectivas ampliadas para la explotación de obras y prestaciones protegidas por derechos de propiedad intelectual deberán excluir de la explotación las obras de aquellos titulares que ejerzan su derecho de oposición, garantizando un proceso ágil y que incluya la publicación del procedimiento de oposición.
Reciente reforma de la normativa de la UE sobre la protección de dibujos y modelos industriales
El Diario Oficial de la UE publicó con fecha de 18 de noviembre de 2024 dos normativas que representan una reforma en materia de diseños, para unificar su tratamiento a nivel europeo, facilitar su tramitación y adaptarlos a la realidad actual. Por una parte, el Reglamento (UE) 2024/2822, de 23 de octubre, sobre los dibujos y modelos comunitarios y, por otra parte, la Directiva (UE) 2024/2823, de 23 de octubre, sobre la protección jurídica de los dibujos y modelos.
Entre las novedades que introduce la reforma destacamos los cambios en la terminología empleada. Así la referencia a “dibujos y modelos comunitarios” se sustituye por “diseños de la Unión Europea”.
Además, se actualizan algunos conceptos para adaptarlos a la realidad de las nuevas tecnologías, permitiendo de esta manera proteger dibujos y modelos virtuales: La definición de “diseño” como la apariencia que se derive de las características, en particular líneas, contornos, colores, formas, texturas y/o materiales, del producto en sí o de su decoración, incluye el movimiento, la transición o cualquier otra forma de animación. La definición de “producto” se amplía a los artículos industriales o artesanales “independientemente de si están incorporados a un objeto físico” o si adoptan “una forma no física”, permitiéndose de este modo los diseños virtuales.
El Reglamento entrará en vigor en mayo de 2025, mientras que los Estados miembros tienen hasta diciembre de 2027 para transponer la Directiva a sus legislaciones nacionales. Esta reforma busca beneficiar a diseñadores y empresas, especialmente a las PYMES, promoviendo una protección más efectiva y adaptada a las nuevas tecnologías.
CUMPLIMIENTO NORMATIVO
Estatuto de la Autoridad Independiente de Protección del Informante (AAI)
El pasado 30 de octubre, se publicó en el Boletín Oficial del Estado (BOE) el Real Decreto 1101/2024, que aprueba el Estatuto de la Autoridad Independiente de Protección del Informante, AAI. Este nuevo marco legal regula la organización, estructura y funcionamiento de la Autoridad Independiente de Protección del Informante, así como todos los aspectos que sean necesarios para el cumplimiento de sus funciones.
La Autoridad Independiente de Protección del Informante, AAI es un ente de Derecho Público dotado de personalidad jurídica propia, que actúa con plena autonomía e independencia de los poderes públicos. A efectos únicamente organizativos y presupuestarios, está adscrita al Ministerio de la Presidencia, Justicia y Relaciones con las Cortes.
El Estatuto establece que la finalidad de la Autoridad se centra en garantizar la protección de la persona informante, actuando como pilar institucional en la prevención y la lucha contra el fraude y la corrupción. Entre sus principales funciones destacan, entre otras, las siguientes:
-
-
La tramitación de las informaciones y comunicaciones que se reciban a través del canal externo.
-
La asunción de la condición de órgano consultivo y de asesoramiento del Gobierno en materia de protección del informante;
-
El inicio, instrucción y resolución de los procedimientos sancionadores e imposición de sanciones por las infracciones previstas en la Ley 2/2023;
-
La elaboración de circulares y recomendaciones donde se establezcan los criterios y prácticas adecuados para el correcto funcionamiento de la Autoridad Independiente de Protección del Informante.
La aprobación del Estatuto e inminente creación de la Autoridad con facultades sancionadoras implica o refuerza la necesidad de que las empresas con 50 o más trabajadores[1] y que todavía no se hayan adaptado a la normativa procedan de forma urgente a implementar los denominados como Sistemas internos de información.
Respecto a las entidades que ya dispongan de estos Sistemas, deberá tenerse en consideración que se deberá notificar el registro de los Responsables del Sistema (ya sea individuales o como órganos colegiados) en un plazo de dos meses a partir de la fecha de puesta en funcionamiento de dicha Autoridad.
[1]Así como aquellas otras entidades sujetas al ámbito de aplicación de la Ley 2/2023
¿Es suficiente con tener diseñado y aprobado programa de prevención de delitos? La Audiencia Nacional se pronuncia.
El Auto Nº 593/2024 de la Sala de lo Penal de la Audiencia Nacional de fecha 9 de octubre de 2024, profundiza en la relevancia de los programas de cumplimiento normativo en el marco de la responsabilidad penal de las personas jurídicas. El auto señala que «Los programas de cumplimiento no implican por sí mismos una patente de corso; su mera existencia, ni exime, ni atenúa la responsabilidad penal, sino que debe expresar necesariamente un compromiso corporativo que realmente disuada de conductas criminales (certificaciones de calidad de los programas).”
Además, el auto determina que, una vez acreditada la existencia de los programas de cumplimiento normativo, “los esfuerzos deberán ir dirigidos a acreditar su eficacia y utilidad, es decir, su aptitud para minimizar en términos razonables el riesgo de incumplimiento por la persona jurídica.” Esto subraya la necesidad de que las empresas no solo cuenten con sistemas de compliance documentados, sino que estos sean efectivos en la práctica.
Para demostrar la eficacia del programa de cumplimiento normativo, el auto indica que deben valorarse los siguientes factores:
-
-
La implantación respecto a todos los integrantes de la entidad, lo que será indicio de intolerancia hacia el delito y de cultura ética de la entidad.
-
La existencia de mecanismos para la detección, neutralización y reacción ante la conducta infractora, así como para la sanción interna de los mismos o en su caso la denuncia ante las autoridades, lo que puede ser un indicio favorable a la apreciación de la eximente o atenuante.
-
La gravedad de la conducta, su extensión, personas afectadas y sanciones anteriores.
La sentencia de la Audiencia Nacional resalta la importancia de que los programas de compliance sean más que un mero cumplimiento formal. Para que un modelo de prevención de delitos sea considerado eficaz, debe demostrar una implementación real y un compromiso tangible con la ética corporativa y la prevención del delito. Las empresas deben asegurarse de que su cultura de cumplimiento sea integral y de que esté incorporada en todos los niveles organizativos.
Guía para la evaluación de los Sistemas de Compliance.
El Departamento de Justicia de los Estados Unidos (DOJ) ha presentado recientemente una actualización integral de su guía para la evaluación de los Sistemas de Compliance de las organizaciones. Este documento tiene como objetivo proporcionar criterios claros para evaluar la efectividad de los programas de cumplimiento de las organizaciones en un entorno de creciente complejidad tecnológica y regulatoria.
A través de la guía se busca garantizar que los Sistemas de Compliance no sean mero papel, sino herramientas prácticas y adaptativas que se integren de manera efectiva en la estructura de la organización.
Con ese mismo fin, en un contexto de creciente innovación disruptiva, uno de los aspectos más relevantes de la actualización es el énfasis en los riesgos asociados a las tecnologías emergentes, en particular, a la inteligencia artificial (IA). Así, insta a las organizaciones a incluir en sus programas controles y políticas que aseguren el uso ético y conforme a la ley de estas tecnologías, enfatizando la importancia de monitorear activamente su aplicación, demostrando que los riesgos asociados han sido evaluados y gestionados adecuadamente.
Otra área clave en la actualización de la guía es la necesidad de fortalecer los mecanismos de denuncia (Sistema Interno de Información), señalando que las organizaciones deben ofrecer canales éticos efectivos y capacitando a sus empleados sobre las vías de denuncia, tanto internas como externas. Además, destaca el compromiso de las empresas con la protección de denunciantes, resaltando la necesidad de implementar políticas contras las represalias.
El DOJ también recalca la importancia del respaldo de la alta dirección y la asignación adecuada de recursos como pilares de un programa de cumplimiento exitoso.
En un entorno global en constante evolución, la guía subraya la necesidad de que los programas de compliance sean dinámicos. Esto implica la actualización de manera regular de políticas y procedimientos, la implementación de auditorías internas y herramientas de análisis para identificar y mitigar riesgos emergentes, y la formación continua de los empleados.
Proyecto de Ley de Información empresarial sobre sostenibilidad
El Consejo de Ministros ha dado luz verde al Proyecto de Ley de Información Empresarial sobre Sostenibilidad, que busca alinear la normativa española con la Directiva (UE) 2022/2464. Este proyecto, publicado en el Boletín Oficial de las Cortes Generales el 15 de noviembre de 2024, introduce cambios en el Código de Comercio, la Ley de Sociedades de Capital y la Ley de Auditoría de Cuentas. La iniciativa se tramitará con carácter urgente.
Entre las principales novedades podemos señalar:
-
-
Se elevan los umbrales para identificar grandes empresas, aumentando el activo total de 20 a 25 millones de euros y el volumen neto de negocios de 40 a 50 millones, mientras se mantienen los requisitos sobre número de empleados.
-
Las empresas cotizadas deberán detallar la información relativa a la representación del género menos representado en sus consejos de administración, junto con planes y medidas para alcanzar objetivos de equidad.
-
La ley introduce el principio de doble materialidad, evaluando tanto el impacto de la empresa en la sostenibilidad como los riesgos que estas cuestiones representan para ella.
- Se regula la designación de verificadores, permitiendo auditores o entidades independientes acreditadas, sujetos a estrictos requisitos de calidad y ética profesional.
Nueva página web de la Autoridad Europea de Lucha contra el Blanqueo de Capitales y la Financiación del Terrorismo (AMLA)
La nueva Autoridad Europea de Lucha contra el Blanqueo de Capitales y la Financiación del Terrorismo (AMLA) creada a partir del Reglamento (UE) 2024/1620 de 31 de mayo de 2024, ha puesto en marcha su nueva página web. En ella se ofrece información actualizada sobre normativa, vacantes disponibles, novedades, preguntas frecuentas y otros recursos de interés. Sin duda, se convertirá en una referencia habitual para quienes desempeñamos labores en este sector.
