Fuente: Agencia Española de Protección de Datos

 

• La AEPD ofrece uno de los primeros análisis integrales sobre la calidad de los datos y la aplicación del principio de exactitud y finalidad del RGPD

 

• Proporciona un marco interpretativo que permite aplicar los principios del RGPD en entornos IA, garantizando la protección de las personas y evitando a la vez interpretaciones excesivamente restrictivas que podrían dificultar el desarrollo de estos sistemas

 

• El documento ofrece criterios que facilitan la toma de decisiones en un ámbito especialmente complejo desde el punto de vista jurídico y tecnológico

 

La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica en la que analiza cómo se proyectan los principios de exactitud y minimización del RGPD en tratamientos de datos personales que incorporan sistemas de inteligencia artificial. Se trata de uno de los primeros trabajos en el mundo que aborda de forma sistemática esta cuestión, y tiene como objetivo de ofrecer criterios a responsables de tratamiento, encargados y delegados de protección de datos.

 

El documento parte de que los requisitos de calidad de los datos y el principio de exactitud establecido en el Reglamento General de Protección de Datos (RGPD) no pueden entenderse en términos absolutos, sino en relación con la finalidad del tratamiento. En este sentido, la AEPD aclara que el principio de exactitud recogido en el RGPD no exige que los datos sean siempre plenamente veraces o estén completamente actualizados, sino que sean adecuados para cumplir el objetivo del tratamiento en el que se utilizan y ello se garantice cuando resulte relevante para las personas afectadas.

 

Esta interpretación supone una evolución respecto a enfoques más restrictivos que vinculaban la exactitud exclusivamente a la veracidad de los datos. La Agencia subraya que una exigencia excesiva en este sentido podría entrar en conflicto con el principio de minimización o generar cargas desproporcionadas, especialmente en el desarrollo y uso de sistemas de inteligencia artificial.

 

La nota técnica explica que la calidad de los datos debe analizarse no solo en relación con cada dato individual, sino especialmente respecto al conjunto de datos utilizado para el desarrollo de sistemas de IA, lo que resulta especialmente relevante en el caso de modelos de aprendizaje automático. En estos sistemas, la representatividad, la ausencia de sesgos o la relevancia de los datos pueden ser determinantes para el resultado, incluso por encima de la exactitud individual de cada registro.

 

Asimismo, se pone de relieve que el requisito de calidad de los datos no se limita a los datos de entrada, sino que debe proyectarse sobre todo el tratamiento, incluyendo los resultados generados por sistemas de inteligencia artificial, como inferencias, predicciones o decisiones, que no deben generar representaciones incorrectas o desproporcionadas de las personas afectadas. Ello implica evaluar la idoneidad del tratamiento en su conjunto, teniendo en cuenta el diseño, las operaciones realizadas y las salvaguardas incorporadas.

 

La Agencia señala que el nivel de exactitud exigible puede variar en función del tipo de tratamiento y de sus efectos sobre las personas. La calidad de los datos requerida en tratamientos agregados o estadísticos pueden admitir mayores niveles de abstracción o transformación de los datos, mientras que cuando los resultados afectan directamente a personas concretas, el principio de exactitud debe aplicarse sobre esos resultados de la forma más extensa de acuerdo con su finalidad.

 

La nota también aborda el uso de técnicas habituales en el desarrollo de sistemas de inteligencia artificial, como la generación de datos sintéticos, la anonimización o la corrección de sesgos. La AEPD aclara que estas prácticas pueden ser compatibles con el principio de exactitud del RGPD, incluso cuando implican la utilización de valores que no reflejan directamente la realidad individual, siempre que estén justificadas en relación con la finalidad del tratamiento y no generen efectos adversos sobre las personas.

 

Otro de los aspectos destacados es la distinción entre los requisitos de calidad de los datos utilizados en el desarrollo de sistemas de inteligencia artificial y la calidad exigible en su uso posterior. La Agencia subraya que ambas fases deben evaluarse de forma diferenciada, teniendo en cuenta que en la fase de explotación los resultados pueden producir efectos sobre personas y, por tanto, requieren mayores garantías, especialmente cuando los resultados inciden en personas concretas.

 

Desde la perspectiva organizativa, la AEPD destaca la necesidad de definir requisitos de calidad de los datos de forma objetiva y basada en la finalidad del tratamiento, evitando tanto exigencias insuficientes como requisitos excesivos. En este sentido, se destaca la importancia de implementar la gobernanza del dato y documentar estos requisitos, establecer métricas y realizar un seguimiento continuo a lo largo del ciclo de vida del tratamiento, en línea con el principio de responsabilidad proactiva.

 

La Agencia también recuerda que los requisitos de calidad de los datos no se aplican únicamente a los datos personales, sino que los datos no personales utilizados en un tratamiento pueden ser también determinantes para su idoneidad. Además, subraya que el cumplimiento del RGPD exige diseñar tratamientos que gestionen adecuadamente las limitaciones de los sistemas de inteligencia artificial mediante medidas y salvaguardas adecuadas.

Fuente: Ministerio de la Presidencia, Justicia y Relaciones con las Cortes

 

El pasado 7 de julio de 2026, el Gobierno ha aprobado en el Consejo de Ministros el Proyecto de Ley Orgánica de protección civil de los derechos al honor, a la intimidad personal y familiar y a la propia imagen. Se trata de una norma más garantista y adaptada al entorno digital con la que se sustituirá la ley de 1982.

 

Con esta LO, las personas volverán a ser dueñas de su imagen en el plano digital porque pone freno a las prácticas depredadoras en las redes y da más poder a las personas en detrimento de quienes buscan lucrarse a costa de su honor y de su imagen.

 

El texto inicia ahora su tramitación parlamentaria en el Congreso de los Diputados, después de incorporar las observaciones recibidas durante el trámite de información pública y las aportaciones de instituciones como el Consejo General del Poder Judicial, el Consejo Fiscal, el Consejo de Consumidores y Usuarios y la Agencia Española de Protección de Datos.

 

Devolver a las personas el control de sus fotos y vídeos

 

Una de las principales novedades que introduce el Proyecto de Ley Orgánica es que, por primera vez, considera ilegítimo el uso de la voz o la imagen de una persona sin su autorización con fines publicitarios o comerciales empleando la inteligencia artificial o tecnologías similares, como los deepfakes. Además, se adoptarán las medidas necesarias para que la difusión del contenido con efectos lesivos no perdure en los entornos digitales.

 

También establece que el hecho de compartir imágenes personales en redes sociales no supone que terceros puedan utilizarlas en otras redes o canales de difusión. «Devolvemos a las personas el control de sus propias fotos, vídeos y contenidos», ha subrayado Bolaños.

 

Los true crimes sin respeto a las víctimas, un nuevo supuesto de intromisión ilegítima

 

En este sentido, los límites del consentimiento sobre la propia imagen se apreciarán atendiendo a la finalidad para la que fue otorgado, al contexto en el que se produjo, al ámbito de difusión previsto y a las expectativas razonables de la persona afectada.

 

Asimismo, se garantiza una mayor protección a las víctimas de delitos, considerando una intromisión ilegítima en sus derechos cualquier utilización de dicho delito por parte del victimario que le pueda causar un daño (por ejemplo, en los denominados true crimes), sea su voluntad el dañar u obtener beneficio económico.

 

También mejora la protección de los menores, situando en los 16 años la edad a partir de la cual pueden prestar consentimiento respecto al uso de la propia imagen. Además, contempla que, aunque se cuente con su consentimiento, si se menoscaba el honor del menor se considerará una intromisión ilegítima en sus derechos. También exige la intervención del Ministerio Fiscal en este tipo de procedimientos cuando el perjudicado tenga menos de 18 años.

 

Asimismo, el texto amplía la protección de las personas fallecidas, incorporando la posibilidad de prohibir mediante testamento (o a través de una persona designada) la utilización de su imagen o de su voz para fines comerciales o similares.

 

Equilibrio con la libertad de expresión y creación

 

El texto mantiene las excepciones ya previstas en la ley de 1982 o reconocidas por la jurisprudencia. De esta forma, por ejemplo, no se consideran intromisiones ilegítimas las actuaciones autorizadas por la autoridad competente o la difusión de comunicaciones privadas cuando el contenido tenga carácter noticiable por la materia o por las personas que intervengan.

 

Además, se incorpora una nueva excepción para los casos de uso de IA o tecnologías similares. Si el afectado es una persona con proyección pública, se protege la libertad de expresión siempre y cuando estas técnicas se usen en un contexto creativo, satírico o de ficción y se indique que se está utilizando esta tecnología.

 

La indemnización no podrá ser simbólica

 

El proyecto de ley también regula por primera vez los criterios para ponderar la gravedad del daño causado por las intromisiones: reincidencia, vulneración de uno o varios derechos fundamentales, gravedad de las expresiones utilizadas, repercusiones sociales, así como el beneficio obtenido por la persona causante de la intromisión. Con estos criterios, el órgano judicial determinará la indemnización correspondiente al daño moral, que en ningún caso podrá tener carácter simbólico.

 

Otra novedad es que, a la publicación de la sentencia condenatoria a costa del condenado con al menos la misma difusión que tuvo la intromisión sufrida, ahora se añade la posibilidad de solicitar la publicación de la condena en el Boletín Oficial del Estado.

 

Fuente: Agencia Española de Protección de Datos

 

La AEPD publica recomendaciones para fomentar la gobernanza y el cumplimiento de la protección de datos en las administraciones públicas.

 

El delegado de protección de datos se consolida como una figura imprescindible, destacando su posición e independencia.

 

En paralelo, la Agencia activa líneas de acción como un modelo de política de protección de datos, un manual del DPD, criterios jurídicos, formación y redes de colaboración.

 

Con estas recomendaciones y actuaciones, la AEPD fomenta un modelo basado en la prevención, la colaboración y la mejora continua en el sector público.

 

La Agencia Española de Protección de Datos (AEPD) ha publicado unas Recomendaciones para reforzar el cumplimiento del Reglamento General de Protección de Datos (RGPD) en el sector público, acompañadas de un conjunto de iniciativas que darán continuidad a esta línea de actuaciones.

 

Estas recomendaciones parten del trabajo desarrollado junto a la Administración General del Estado (AGE) a través del diálogo con Subsecretarías y delegados de protección de datos. Este proceso se consolidó en un encuentro celebrado en el Instituto Nacional de Administración Pública (INAP) con la participación de más de 70 personas delegadas de protección de datos (DPDs), que permitió identificar retos comunes, buenas prácticas y líneas de actuación. Las conclusiones tienen vocación general y se proyectan sobre el conjunto del sector público.

 

Uno de los ejes principales del documento es el refuerzo del papel del DPD. La Agencia destaca que su eficacia no depende solo de sus funciones, sino de su posición dentro de la organización. En este sentido, destaca aspectos como su nivel en la estructura administrativa, su visibilidad en el organigrama, su acceso a los órganos directivos y la garantía de su independencia funcional. Estos elementos condicionan directamente su capacidad para intervenir a tiempo, influir en las decisiones y consolidar un modelo preventivo.

 

Además, se identifica la importancia de que el DPD participe de forma temprana en la planificación de iniciativas que impliquen tratamientos de datos personales, especialmente en ámbitos como la elaboración de normas, proyectos tecnológicos o contratación pública. Este enfoque permite integrar la protección de datos desde el diseño, anticipar riesgos y mejorar la calidad de las decisiones.

 

En materia de gobernanza, la AEPD recomienda avanzar hacia modelos con funciones definidas, procedimientos claros y una participación ordenada del DPD en los procesos internos. Como desarrollo de estas recomendaciones, la Agencia elaborará, de forma colaborativa y contando con la experiencia de los DPDs del sector público, un modelo de política de protección de datos para las Administraciones Públicas, concebido como una herramienta común, adaptable y reutilizable.

 

Junto a ello, se impulsará un manual de buenas prácticas para delegados de protección de datos del sector público, que recogerá experiencias, criterios organizativos y soluciones contrastadas. Ambos instrumentos se desarrollarán con un enfoque colaborativo, incorporando el conocimiento generado por las propias organizaciones.

 

La Agencia reforzará también el acceso a recursos prácticos mediante la creación de un espacio específico para DPDs en su web, donde se integrarán guías, informes, modelos, herramientas y criterios interpretativos. El objetivo es facilitar la reutilización del conocimiento y promover una aplicación más coherente de la normativa.

 

En el ámbito jurídico, se intensificará la liberación de los informes de los servicios jurídicos de la Agencia, así como la difusión específica de aquellos de especial relevancia. Asimismo, se elaborarán orientaciones sobre el principio de legalidad, la base jurídica y la licitud de los tratamientos en el ejercicio de potestades públicas. Estas actuaciones buscan reforzar la seguridad jurídica y facilitar la toma de decisiones en las Administraciones.

 

La formación es otro de los pilares de esta estrategia. La AEPD continuará desarrollando programas especializados en colaboración con el INAP y otras instituciones, dando visibilidad a aquellos programas que puedan servir como referencia para las Administraciones Públicas.

 

Además, se pondrán en marcha nuevas acciones de colaboración, como encuentros periódicos y redes de intercambio entre DPDs —siguiendo experiencias ya desarrolladas en ámbitos como la educación, la salud o la propia AGE—, con el objetivo de compartir experiencias, generar soluciones comunes y consolidar comunidades de práctica.

 

Finalmente, la Agencia destaca la importancia de abordar de forma estructurada los retos derivados de tecnologías emergentes como la inteligencia artificial. En este ámbito, se están impulsando iniciativas de formación y colaboración institucional, en coordinación con el INAP, la Agencia Estatal de Administración Digital y la Autoridad Española de Supervisión de la Inteligencia Artificial.

 

La AEPD lanza estas Recomendaciones en el marco de su Plan Estratégico 2025-2030, con el objetivo de avanzar hacia un modelo de cumplimiento más homogéneo, preventivo y eficaz, planteando la protección de datos como un elemento estructural de la buena administración, integrado en la gestión ordinaria, la elaboración normativa, la contratación pública y los procesos de transformación digital.

Fuente: Agencia Española de Protección de Datos

 

• La interpretación tradicional de la AEPD del derecho de acceso no incluía, con carácter general, la identificación de las personas que acceden a los datos, algo que confirma la sentencia más reciente del Tribunal Supremo.

 

• El Reglamento (UE) 2025/327 introduce un derecho específico a conocer los accesos a datos de salud electrónicos, aplicable a partir de marzo de 2027.

 

• La AEPD adopta un criterio interpretativo evolutivo que anticipa este estándar en línea con la evolución del Derecho de la Unión.

 

PRIMERO. El derecho de acceso reconocido en el artículo 15 del RGPD ha sido tradicionalmente interpretado, tanto por la Agencia Española de Protección de Datos (AEPD) como por la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE), como un derecho dirigido a permitir a la persona interesada conocer si sus datos son objeto de tratamiento y verificar su licitud, sin que ello implicara, con carácter general, la comunicación de la identidad concreta de las personas físicas que hubieran accedido a dichos datos. En este sentido, de acuerdo con la jurisprudencia del TJUE, recogida en la STJUE de 22 de junio de 2023 (C-579/21), y asumida por esta Agencia, se ha venido afirmando que dicho derecho “no es un derecho absoluto y que, con carácter general, no implica necesariamente la comunicación de la identidad de las personas físicas concretas (…) pudiendo satisfacerse mediante la indicación de categorías de destinatarios”.

 

Este enfoque ha constituido la posición tradicional sostenida por la AEPD, en equilibrio con los derechos de terceros y las exigencias organizativas del tratamiento, particularmente en el ámbito sanitario. En este contexto, la reciente sentencia del Tribunal Supremo de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo) se pronuncia en este mismo sentido, confirmando que la identificación individual de quienes acceden a los datos no constituye una exigencia general del artículo 15, sino que debe valorarse en función de su necesidad y de la ponderación con otros derechos.

 

Más específicamente, y ante la posibilidad de que una persona que, aun siendo empleado del responsable, haya accedido a dichos datos sin actuar efectivamente bajo la autoridad y de conformidad con las instrucciones del responsable del tratamiento, el TJUE, en su sentencia citada C-579/21, deja abierta la posibilidad para el interesado de acceder a dicha información, pues esta sería entonces “indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere” el RGPD (apartado 83), lo que es a su vez acogido por el Tribunal Supremo (fundamento jurídico Segundo) al señalar, sensu contrario, que ese derecho a conocer a los empleados que accedieron a los datos clínicos no se da “si en los protocolos internos del responsable del tratamiento constan las personas que llevaron a cabo las consultas y se constata que lo hicieron conforme a las instrucciones del responsable”. Luego, a contrario, si dichas circunstancias no concurren, sí existiría dicho derecho de acceso.

 

No cabe olvidar, por último, que existen abundantes ejemplos jurisprudenciales en que el acceso a los datos personales de un paciente se produce por un empleado del responsable sin atenerse a sus instrucciones, en cuyo caso se ha condenado a personas por revelación de secretos. Así, Sentencia del Tribunal Supremo nº 317/2024 (16 de abril de 2024; Rec. 1252/2022), que confirma la condena de una trabajadora sanitaria que accedió a la historia clínica de la nueva pareja de su exmarido. Sentencia del Tribunal Supremo nº 532/2015 (Sala Segunda, 23 de septiembre de 2015; Rec. 648/2015), que condena a un médico que accedió reiteradamente, sin autorización y sin relación asistencial, a las historias clínicas de compañeros. O la Sentencia del Tribunal Supremo nº 476/2020, de 25 de septiembre (Rec. 366/2019).

 

SEGUNGO. Debe subrayarse que la sentencia de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo) comentada se dicta en el marco normativo previo a la plena aplicabilidad del Reglamento del Espacio Europeo de Datos de Salud.

 

En efecto, el Derecho de la Unión ha evolucionado con la aprobación del Reglamento (UE) 2025/327, relativo al Espacio Europeo de Datos de Salud (EHDS). Cabe recordar que su artículo 9 reconoce expresamente un derecho específico de acceso a la información sobre los accesos a los datos de salud electrónicos en los siguientes términos:

 

Artículo 9. Derecho a obtener información sobre el acceso a los datos. .1. Las personas físicas tendrán derecho a obtener información, también a través de notificaciones automáticas, sobre cualquier acceso a sus datos de salud electrónicos personales a través del servicio de acceso de los profesionales sanitarios obtenido en el contexto de la asistencia sanitaria, incluido el acceso proporcionado de conformidad con el artículo 11, apartado 5.

 

2. La información a que se refiere el apartado 1 se proporcionará, de forma gratuita y sin demora, a través de los servicios de acceso a datos de salud electrónicos y estará disponible durante al menos tres años a partir de la fecha de acceso a los datos. Esa información incluirá, al menos, lo siguiente:

 

a) información acerca del prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales;

 

b) la fecha y hora de acceso;

 

c) los datos de salud electrónicos personales a los que se ha accedido.

 

3. Los Estados miembros podrán prever limitaciones al derecho a que se refiere el apartado 1 en circunstancias excepcionales, cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona física.”

 

Este precepto configura un auténtico derecho autónomo a la trazabilidad de los accesos, basado en un modelo de transparencia reforzada y control efectivo por parte del paciente. El Reglamento entró en vigor en 2025, si bien su aplicación general —y, por tanto, la exigibilidad plena de este derecho— se establece a partir del próximo 26 de marzo de 2027.

 

TERCERO. En este contexto normativo, la AEPD ha adoptado un criterio interpretativo en su resolución de 2026 (PD-00068-2026) en la que, partiendo de la doctrina del TJUE, introduce expresamente la relevancia del EHDS. Así, señala que este Reglamento “introduce un estándar reforzado de transparencia respecto de los accesos a los datos de salud electrónicos que marca una nueva senda que ha de tenerse presente en esa interpretación” y que, aun cuando “estas obligaciones no son exigibles a día de hoy (…) el Reglamento (…) ha entrado en vigor”.

 

Sobre esta base, la AEPD formula un criterio claro y explícito, afirmando que “la interpretación más conforme con el Derecho de la Unión exige entender que, como regla general, el derecho de acceso (…) incluye la identificación de las personas que han accedido a dichos datos”. En coherencia con ello, precisa que “no resulta conforme (…) una interpretación que excluya de forma general y automática la comunicación de la identidad”, de modo que cualquier limitación deberá ser excepcional y debidamente justificada, correspondiendo al responsable acreditar que “la limitación del acceso se encuentra debidamente fundada”.

 

Este planteamiento supone una evolución significativa del criterio tradicional, en línea con el modelo previsto en el EHDS, apostando por un sistema en el que la transparencia sobre los accesos constituye la regla general en el ámbito sanitario, reforzando el derecho del interesado a controlar el uso efectivo de sus datos, especialmente tratándose de categorías especiales de datos.

 

Así, de un lado, la sentencia del Tribunal Supremo de 24 de junio de 2026 aplica el marco vigente del RGPD y confirma la interpretación tradicional y la posición histórica de la AEPD. De otro lado, la Agencia, en su resolución de 2026, asume ese punto de partida y lo proyecta hacia el nuevo contexto europeo, utilizando el Reglamento del Espacio Europeo de Datos de Salud como criterio interpretativo relevante. En este sentido, la AEPD anticipa de forma fundada el estándar que será plenamente exigible a partir de marzo de 2027. De este modo, ambas posiciones conviven de manera natural y coherente, reflejando la transición hacia un modelo reforzado de transparencia y control en el acceso a la información de trazabilidad en el ámbito de los datos de salud.

Fuente: Agencia Española de Protección de Datos

 

• La Agencia Española de Protección de Datos ha sido la ponente principal de las mismas en la fase previa a su lanzamiento

 

• Las Directrices ofrecen soluciones prácticas para que las organizaciones concilien el uso del blockchain con las exigencias del Reglamento General de Protección de Datos

 

• La consulta pública a la que se ha sometido el documento ha batido un récord de participación, convirtiéndose en el texto del Comité Europeo que más contribuciones ha recibido hasta la fecha

 

El Comité Europeo de Protección de Datos (CEPD) ha adoptado en su reunión de julio las Directrices sobre el tratamiento de datos personales mediante tecnologías blockchain (Guidelines on the processing of personal data through blockchain technologies), en el que la Agencia Española de Protección de Datos (AEPD) ha sido la ponente principal en la fase previa a su lanzamiento.

 

Este documento tiene como objetivo ofrecer seguridad jurídica a un entorno tecnológico caracterizado por su alta complejidad y su naturaleza distribuida, elementos que hasta ahora generaban incertidumbre sobre cómo proteger la privacidad de las personas.

 

El gran interés que despierta este tema se ha reflejado en la fase de consulta pública de este texto, convirtiendo a estas directrices en el documento del CEPD que mayor número de contribuciones ha recibido por parte de personas expertas y organizaciones.

 

Con su aprobación, Europa afianza la idea de que el desarrollo tecnológico y la innovación no pueden rebajar los derechos de la ciudadanía, demostrando que la arquitectura blockchain puede ser compatible con la protección de las personas si se planifica bajo un modelo de gobernanza transparente, responsable y orientado a salvaguardar la privacidad. En este sentido, las Directrices referencian la Prueba de concepto sobreblockchainy el derecho de supresión publicada por la Agencia Española de Protección de Datos.

 

Criterios de las Directrices

 

La tecnología blockchain funciona como un libro de contabilidad digital replicado en múltiples ubicaciones donde los datos se enlazan de forma criptográfica, lo que impide que la información validada pueda alterarse o borrarse de forma sencilla. Esta inmutabilidad garantiza la integridad del sistema, pero puede entrar en colisión directa con elementos de la protección de datos como la limitación del plazo de conservación o el derecho al olvido.

 

Para resolver este conflicto, las Directrices aprobadas aportan, entre otros, los siguientes criterios:

 

• Evitar los datos personales directamente en la cadena: El Comité desaconseja almacenar datos personales en texto plano directamente dentro de la estructura de bloques. En su lugar, recomienda que los datos identificativos permanezcan guardados en los sistemas convencionales de las empresas (sistemas off-chain) y que en la blockchain solo se registren «pruebas criptográficas de existencia», como funciones hash con clave o compromisos criptográficos.

 

• Privacidad desde el diseño: Las organizaciones que implementen proyectos basados en esta tecnología no pueden improvisar la protección de datos. Las directrices exigen incorporar de forma obligatoria medidas técnicas avanzadas de minimización y cifrado desde la fase inicial de concepción del desarrollo técnico.

 

• Garantía de los derechos de la ciudadanía: El texto aclara que los derechos de acceso, rectificación, oposición y supresión son tecnológicamente neutros y se deben garantizar plenamente. Las directrices proponen fórmulas técnicas (como la destrucción de las claves de descifrado o el borrado de los datos almacenados fuera de la cadena) para lograr que un registro en la blockchain quede efectivamente anonimizado de forma irreversible a ojos de terceros.

 

• Evaluaciones de impacto obligatorias: Debido a los riesgos técnicos inherentes a la replicación masiva y las transferencias internacionales de datos asociadas a los nodos de red, el CEPD establece que las entidades deberán realizar una Evaluación de Impacto sobre la Protección de Datos (EIPD) antes de poner en marcha cualquier tratamiento con esta tecnología.

Fuente: Agencia Española de Protección de Datos

 

La implantación de sistemas tecnológicos en el ámbito municipal para la gestión de servicios públicos puede implicar el tratamiento de datos personales cuando se utilizan mecanismos para identificar a las personas que los usan. Este tratamiento debe ajustarse plenamente a las exigencias del Reglamento (UE) 2016/679 (RGPD).

 

En este contexto, en la Resolución publicada se analiza un caso de implantación de un sistema de apertura de contenedores de residuos orgánicos en una localidad por parte de un Ayuntamiento. Para permitir la apertura de estos contenedores es necesario emplear una tarjeta ciudadana inicialmente creada para acceder a distintos servicios municipales.

 

La gestión técnica del sistema se articula a través de una empresa municipal vinculada al propio ayuntamiento, que se encarga de prestar el servicio de recogida de residuos, de tal forma que al pasar la tarjeta por encima del lector del contenedor se remite a los servidores de la empresa municipal la siguiente información: los números completos de las tarjetas ciudadanas de las personas que han utilizado los contenedores, asociados a los identificadores de los contenedores (con lo que se conoce su ubicación), y la fecha y hora de la utilización. A partir de dichos datos, se realizan informes sobre estadísticas y datos agregados sobre la utilización de los contenedores de residuos  que se remiten al ayuntamiento.

 

Así pues, el sistema registra las aperturas realizadas mediante el almacenamiento del número de la tarjeta, junto con información relativa al uso del servicio.

 

Números de tarjetas ciudadanas o similares como dato personal

 

En relación con la naturaleza de los datos tratados, el Ayuntamiento mantenía que no existía tratamiento de datos personales, ignorando con ello que el uso del número de una tarjeta ciudadana constituye tratamiento de datos personales cuando permite la identificación, directa o indirecta, de las personas físicas. De conformidad con la definición del artículo 4 del RGPD, no cabe duda de que el número de la tarjeta ciudadana es un dato personal que se vincula, además, a otros datos personales de la persona, como el nombre y apellidos, DNI, fecha de nacimiento, sexo, domicilio y teléfono.

 

Por tanto, es de interés recordar a las entidades que la utilización de este tipo de identificadores no excluye la aplicación del RGPD ni las obligaciones que corresponden al responsable del tratamiento.

 

Base de licitud para cada finalidad y necesidad del tratamiento

 

Este tipo de tratamiento plantea, en primer lugar, la cuestión de su licitud. De conformidad con el artículo 6 del RGPD, todo tratamiento de datos personales debe basarse en una de las condiciones (bases de licitud) previstas en dicho precepto.

 

En el ámbito de las administraciones públicas, ello exige que el tratamiento esté vinculado al ejercicio de una competencia atribuida y cuente con una base jurídica adecuada para cada finalidad del tratamiento.

 

La Resolución aclara que las bases de licitud alegadas por el Ayuntamiento no legitimaban el tratamiento. Tanto la base de licitud del artículo 6.1.c) del RGPD (necesario para el cumplimiento obligación legal), como la del artículo 6.1.e) del RGPD (necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos) requieren que la finalidad del tratamiento (en este caso, la necesidad de registrar las recogidas de residuos con tarjetas ciudadanas que registran datos personales) deba estar prevista por una norma del derecho de la UE o el derecho de los Estados miembros.

 

En el caso de España, el artículo 8 de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) exige que esas bases de legitimación se encuentren en una norma con rango de ley.  En el procedimiento no constó acreditada la existencia de ninguna norma con rango de ley que obligase o legitimase al ayuntamiento en los términos previstos en el artículo 6 del RGPD a realizar tratamiento de datos personales alguno para cumplir con sus obligaciones de recogida, transporte y tratamiento de los residuos domésticos.

 

En segundo lugar, debe valorarse si el tratamiento es necesario para prestar este servicio, lo que es requisito previsto en el propio artículo 6.1.c) y e), pero también se deriva de la aplicación del Principio de necesidad y proporcionalidad de los tratamientos previsto en el artículo 5.1.c) del RGPD. La Resolución señala que, en este caso, no se apreciaba la existencia de la mencionada “necesidad”, más cuando el Ayuntamiento manifestó durante las actuaciones de investigación que la finalidad a alcanzar mediante ese tratamiento no era prestar el servicio de recogida de residuos, sino “conocer el uso que se hace de los mismos, en las zonas donde se ha implantado la recogida orgánica y proceder a una mayor o menor frecuencia de recogida o a la instalación de mayor o menor número de este tipo de contenedores”. Esta finalidad podría alcanzarse sin necesidad de realizar un tratamiento de datos personales.

 

Debe tenerse presente, en tercer lugar, que la utilización de datos asociados a una tarjeta ciudadana para una finalidad distinta de aquella para la que fue inicialmente concebida requiere, en todo caso, una justificación específica de su licitud, que no puede derivarse de forma genérica de la prestación de servicios municipales, puesto que lo contrario supone una vulneración del Principio de limitación de finalidad previsto en el artículo 5.1.b) del RGPD.

 

Otras obligaciones derivadas de este tipo de tratamientos

 

Asimismo, el principio de transparencia exige que los interesados sean informados de manera clara y específica sobre las finalidades del tratamiento y el uso de sus datos personales, lo que no sucedió en el caso analizado en la Resolución. La falta de información adecuada impide a la ciudadanía conocer el alcance del tratamiento y ejercer sus derechos en los términos previstos en el Reglamento. Y, en este caso, la información publicada en la política de privacidad de la web y en los formularios sobre el servicio de recogida de residuos no contenía toda la información prevista en los artículos 13 y 14 del RGPD, puesto que no informaba sobre los fines del tratamiento, su base jurídica, ni el plazo durante el cual se conservaban los datos personales.

 

También es necesario hacer constar en el Registro de Actividades de Tratamiento (RAT) los elementos previstos en el artículo 30 del RGPD, reconociéndose en este caso que, incluso tras haber rectificado este RAT, el Ayuntamiento seguía sin mencionar de forma detallada  los servicios que se podían utilizar a través de la Tarjeta Ciudadana, sino que se hacía de forma genérica para los Organismos autónomos y empresas municipales. 

 

Por otra parte, cuando el tratamiento de datos personales se realiza mediante sistemas tecnológicos que registran el uso de servicios públicos asociados a identificadores individuales, debe valorarse la necesidad de realizar una evaluación de impacto relativa a la protección de datos, conforme al artículo 35 del Reglamento, cuando sea probable que dicho tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. A través del sistema establecido se podían conocer comportamientos de los usuarios, así como sus movimientos, toda vez que el sistema de apertura de los contenedores permite recoger el dato de qué contenedor, así como el momento exacto en el que se ha abierto. Esta evaluación debe realizarse con carácter previo a la implantación del sistema, reconociendo el Ayuntamiento en este caso que llevaba más de dos décadas utilizando la tarjeta ciudadana para diferentes servicios sin haber realizado un análisis de riesgos ni una evaluación de impacto.

 

Asimismo, en los supuestos en los que intervienen distintas entidades del sector público en la gestión del sistema, resulta necesario definir adecuadamente las funciones y responsabilidades de cada una de ellas en relación con el tratamiento de datos personales. Y deben fijarse límites de conservación de los datos personales, puesto que lo contrario supone vulnerar el artículo 5.1.e) del RGPD.

 

En un caso como el descrito, la utilización de la tarjeta ciudadana para la apertura de contenedores de residuos, con registro de su uso para toda la población, sin una base jurídica adecuadamente definida, sin información específica a las personas que debían usarla, sin hacer constar la finalidad del tratamiento en el Registro de Actividades de Tratamiento, sin poner un límite de conservación de datos personales, y sin la realización previa de una evaluación de impacto, determina la falta de conformidad del tratamiento con el RGPD.

 

Esto mismo puede aplicarse a toda implantación de sistemas tecnológicos en el ámbito municipal, y en general, en el sector público, siempre que impliquen el tratamiento de datos personales mediante identificadores asociados a los usuarios de servicios públicos. Ello siempre requerirá, con carácter previo, la justificación de necesidad y proporcionalidad del tratamiento, la definición de una base de licitud adecuada, el ajuste a la finalidad del tratamiento, el cumplimiento del deber de información, la limitación de los plazos de conservación,  la inclusión en el Registro de Actividades  y, en su caso, la realización de una evaluación de impacto relativa a la protección de datos, garantizando en todo momento el respeto a los principios y obligaciones establecidas en el Reglamento General de Protección de Datos.

Fuente: Agencia Española de Protección de Datos

 

La Red Iberoamericana de Protección de Datos (RIPD) ha adoptado en su Encuentro 2026 un análisis sobre el tratamiento de neurodatos en contextos como el consumo, la publicidad o el entretenimiento.

 

Impulsado en el Grupo de Trabajo sobre Neurodatos de la RIPD, coordinado por la Agencia Española de Protección de Datos, sitúa la protección de datos como marco para abordar los riesgos de una tecnología con la que se puede acceder, inferir o influir en la conducta, la cognición o los estados mentales de las personas.

 

El documento recoge la definición de tratamientos de neurodatos, la aplicación de garantías reforzadas, la exigencia de transparencia y explicabilidad, y la identificación de usos inaceptables que podrían requerir prohibiciones legales específicas.

 

Esta iniciativa contribuye a construir una posición iberoamericana común ante un desafío tecnológico de alcance global y refuerza el papel de la RIPD y de cada una de las autoridades que la componen.

 

La Red Iberoamericana de Protección de Datos (RIPD), foro en el que la Agencia Española de Protección de Datos (AEPD) ostenta la secretaría permanente, ha adoptado en el Encuentro 2026 de la RIPD, celebrado en Cartagena de Indias (Colombia), el documento ‘Desafíos normativos para la protección de los neurodatos y de los tratamientos de datos personales que emplean neurotecnologías en el ámbito no sanitario’.

 

La aprobación de este documento, impulsado en el Grupo de Trabajo sobre Neurodatos de la RIPD coordinado por la AEPD, supone contar con una posición común desde la perspectiva de la protección de datos sobre los riesgos asociados al desarrollo y uso de neurotecnologías, un ámbito emergente y complejo que tiene implicaciones para la privacidad, la autonomía personal, la libertad de pensamiento, la no discriminación y otros derechos fundamentales.

 

El texto sitúa la protección de datos como marco de referencia inmediato para abordar los riesgos de una tecnología que puede registrar, acceder, inferir o influir sobre información vinculada al cerebro, la conducta, la cognición o los estados mentales. Enfoca su análisis al uso de neurotecnologías en contextos como la educación, el empleo, el consumo, la publicidad, el entretenimiento o los servicios digitales, donde la expansión de estas tecnologías puede producirse sin las salvaguardas asociadas al ámbito clínico o asistencial. Por otro lado, también se analiza cuándo determinados usos de las neurotecnologías pueden requerir nueva normativa, prohibiciones específicas o garantías reforzadas.

 

El punto de partida es que todo neurodato vinculado a una persona identificada o identificable debe considerarse dato personal. Además, la información procedente del cerebro y del sistema nervioso puede ser única y altamente individualizadora. Aunque los neurodatos no estén reconocidos expresamente como una categoría especial autónoma en todos los marcos normativos, el texto señala que su naturaleza, su capacidad para hacer deducciones y su alto impacto justifican valorar una protección reforzada.

 

El documento presta especial atención al consentimiento en el tratamiento de neurodatos, advirtiendo de que este puede resultar especialmente frágil por la complejidad técnica o las situaciones de desequilibrio de poder que pueden producirse en entornos laborales, educativos, comerciales o de prestación de servicios digitales. En particular, el texto plantea que el consentimiento no debería servir como base cuando el tratamiento tenga capacidad de alterar o manipular la conducta o el comportamiento de la persona afectada.

 

En cuanto a la transparencia, se debe informar sobre qué neurodatos se recogen, qué estados mentales o conductuales se infieren, con qué base científica y fiabilidad o cuáles pueden ser las consecuencias. Cuando los tratamientos empleen IA, subraya que no basta con explicar el resultado final sino cómo se ha llegado al mismo.

 

El texto señala que determinados riesgos no pueden afrontarse únicamente mediante transparencia, consentimiento, evaluaciones de impacto o medidas de seguridad. Cuando la finalidad del tratamiento resulte incompatible con la dignidad, la autonomía personal, la libertad de pensamiento, la integridad psíquica o la no discriminación, la respuesta adecuada podría ser la prohibición. Como ejemplo, se mencionan los neurotratamientos subliminales, manipuladores o engañosos; los que exploten vulnerabilidades; los orientados a perfilar, evaluar, categorizar o calificar personas con fines no médicos; los dirigidos a evaluar, evidenciar o predecir delitos; los destinados a inferir emociones en ámbitos laborales o educativos; y los aplicados a menores u otros colectivos vulnerables con finalidades no médicas.

 

La adopción de este documento refuerza el papel de la RIPD como espacio de cooperación y construcción de criterios comunes ante tecnologías emergentes. También pone de relieve el papel de la AEPD como impulsora y coordinadora de una iniciativa orientada a anticipar riesgos y ofrecer criterios prácticos para autoridades públicas, organizaciones, desarrolladores y proveedores.

 

La Red Iberoamericana de Protección de Datos ha puesto a disposición pública una recopilación de materiales sobre neurodatos elaborada en el marco de su Grupo de Trabajo de Neurodatos. La web reúne documentos, guías, declaraciones, referencias normativas y estudios técnicos con el objetivo de facilitar el acceso a recursos de referencia sobre las implicaciones de la neurotecnología y el tratamiento de neurodatos para la protección de datos personales y los derechos fundamentales.

 

 

Fuente: Agencia Española de Protección de Datos.

 

• La colaboración entre las autoridades española y belga surge de la necesidad de dar respuesta a un sector con más de 3.000 millones de usuarios en todo el mundo y que emplea tecnologías disruptivas.

 

• El documento analiza las actividades de tratamiento de datos personales más habituales en videojuegos, identifica las amenazas y los riesgos que implican, y ofrece recomendaciones y buenas prácticas.

 

• La información recogida en estos entornos permitiría individualizar a un jugador, permitiendo acciones o interacciones específicas y un trato diferenciado, además de tratar datos personales para analizar o predecir el comportamiento.

 

• Recomendaciones y mejores prácticas de protección de datos en videojuegos.

 

• Recommendations and best practices for data protection in video games

 

La Agencia Española (AEPD) y la Autoridad Belga de Protección de Datos han publicado el documento ‘Recomendaciones y mejores prácticas en videojuegos’, el primero realizado por autoridades europeas de protección de datos para impulsar las buenas prácticas para garantizar el cumplimiento del Reglamento General de Protección de Datos (RGPD) en el diseño, desarrollo y distribución videojuegos.

 

 

Las recomendaciones están dirigidas específicamente a profesionales y organizaciones involucradas en este ecosistema (desarrolladores, estudios, editores, etc.), a las empresas que les dan servicio (proveedores cloud, de herramientas de analítica, de sistemas antitrampa, de IA, etc.) y a los equipos legales que trabajan en el sector.

 

La colaboración entre la AEPD y la Autoridad Belga de Protección de Datos surge de la necesidad de dar respuesta a un sector con más de 3.000 millones de usuarios en todo el mundo y que emplea tecnologías disruptivas como el cloud gaming o la Inteligencia Artificial. En paralelo, el 95% de las ventas de juegos son online, lo que impulsa plataformas y servicios, y fomenta el desarrollo de nuevos modelos de negocio, como los basados en la suscripción o el marketing digital.

 

En esos entornos online, los actores involucrados en la industria de los videojuegos pueden tratar cantidades masivas de datos personales que van más allá de nombres o direcciones de correo electrónico, como podrían ser telemetría e inferencias de comportamiento. De hecho, los tipos de información recogida permiten distinguir a un jugador individual de los demás en el contexto del juego, permitiendo acciones o interacciones específicas y un trato diferenciado. Además, la toma de decisiones automatizada y el perfilado implican tratar datos personales para analizar o predecir conductas y actuar automáticamente sin intervención humana.

 

El documento está basado en la evidencia que se ha recogido mediante análisis estáticos (de políticas de privacidad, términos y condiciones del servicio, contratos y SLAs) y dinámicos (ejecución en entornos reales de juegos online, SDKs, launchers, etc.) de videojuegos actuales. Destaca por abordar en profundidad aspectos técnicos y operativos específicos de este sector. Analiza las actividades de tratamiento de datos personales más habituales en videojuegos, identifica las amenazas y los riesgos que implican, y ofrece recomendaciones y buenas prácticas para cada fase del ciclo de vida de los videojuegos y para cada actor del ecosistema (en este caso, mediante listas de comprobación en los anexos del documento).

 

Estas recomendaciones son una herramienta práctica que adapta el RGPD al lenguaje técnico del sector, evitando interpretaciones genéricas. Equilibra cumplimiento y competitividad, ya que permite innovar a todos los intervinientes en este ecosistema sin incurrir en riesgos para los derechos y libertades de las personas usuarias.

Fuente: Agencia Española de Protección de Datos.

 

La Red Iberoamericana de Protección de Datos (RIPD), con el impulso de la AEPD, ha aprobado por unanimidad una nueva versión de los Estándares Iberoamericanos, que refuerzan las garantías frente a los riesgos de las tecnologías emergentes.

 

La actualización incorpora avances sobre inteligencia artificial, decisiones automatizadas, prevención de sesgos, gobernanza algorítmica, calidad de datos, neurodatos y protección reforzada de menores.

 

Tras esta aprobación, los nuevos Estándares serán remitidos a la SEGIB para su posible adopción en el marco de la próxima Cumbre Iberoamericana de Jefes de Estado y de Gobierno, prevista para los días 4 y 5 de noviembre en Madrid.

 

. La Red Iberoamericana de Protección de Datos (RIPD), foro en el que la Agencia Española de Protección de Datos (AEPD) ostenta la secretaría permanente, ha aprobado por unanimidad una nueva versión de los Estándares de Protección de Datos para los Estados Iberoamericanos, un instrumento para contribuir a la modernización de las legislaciones nacionales de protección de datos, impulsar reglas comunes en la región y favorecer la cooperación entre autoridades.

 

 

Los nuevos Estándares, aprobados durante el Encuentro de la RIPD celebrado en Cartagena de Indias (Colombia) con el impulso de la Agencia, la participación de las autoridades iberoamericanas de protección de datos y el apoyo de la Secretaría General Iberoamericana (SEGIB), actualizan el marco regional de protección de datos para responder a los desafíos derivados de la transformación digital.

 

 

Esta actualización de los Estándares de 2017 se adapta a los retos actuales: la inteligencia artificial, las decisiones automatizadas, la biometría, los neurodatos, la protección de la infancia y la adolescencia en entornos digitales, la gobernanza algorítmica y la calidad de los datos utilizados por sistemas automatizados.

 

Los nuevos Estándares reflejan un cambio de paradigma. La protección de datos deja de concebirse únicamente como una regulación del uso de información personal y pasa a integrarse en un modelo más amplio de gobernanza digital, orientado a garantizar que la innovación tecnológica se desarrolle con respeto a la dignidad, la autonomía personal, la igualdad y los derechos fundamentales.

 

Tras esta aprobación, los nuevos Estándares serán remitidos a la SEGIB para su posible adopción en el marco de la próxima Cumbre Iberoamericana de Jefes de Estado y de Gobierno, prevista para los días 4 y 5 de noviembre en Madrid.

 

Neurodatos y tratamientos de alto riesgo

 

El texto incorpora por primera vez referencias específicas a los neurodatos dentro de las categorías especiales de datos sensibles. El texto define los neurodatos como aquellos relacionados con el funcionamiento, la actividad o la estructura del cerebro humano que permitan identificar o hacer identificable a una persona o inferir información relativa a su fisiología, salud o estados mentales.

 

Los Estándares establecen que el tratamiento de neurodatos deberá ser objeto de medidas especiales de responsabilidad reforzada y que deberá prestarse especial atención al cumplimiento de principios como la minimización, la exactitud, la transparencia, la seguridad y la responsabilidad proactiva.

 

Además, el documento identifica como tratamientos de alto riesgo aquellos destinados a inferir estados mentales o convicciones íntimas, modificar indebidamente la voluntad o el comportamiento de las personas, realizar vigilancia masiva en contextos laborales, educativos o gubernamentales o identificar personas mediante patrones neuronales.

 

Los Estándares señalan expresamente que este tipo de tratamientos podrían ser objeto de prohibiciones en las legislaciones de los Estados iberoamericanos.

 

Inteligencia artificial, decisiones automatizadas y derechos 

 

El texto incorpora referencias a los tratamientos automatizados y a los sistemas de IA. Entre otras cuestiones, el texto promueve mecanismos de gobernanza algorítmica, trazabilidad, supervisión humana efectiva, evaluación continua de riesgos y auditoría periódica de sistemas automatizados y de inteligencia artificial.

 

Los Estándares refuerzan de forma significativa el principio de calidad y su proyección al ámbito de la IA. En sistemas automatizados o de inteligencia artificial, la calidad ya no se limita a que los datos sean exactos o estén actualizados. También exige valorar su representatividad, pertinencia, integridad y fiabilidad durante todo el ciclo de vida del sistema, incluidos los datos de entrenamiento, validación, prueba, ajuste y funcionamiento. Este avance es esencial para prevenir sesgos, inferencias erróneas, discriminación algorítmica o resultados desproporcionados o engañosos.

 

Uno de los cambios más relevantes es la evolución desde la idea clásica de decisiones “exclusivamente automatizadas” hacia decisiones “exclusiva o esencialmente automatizadas”. Este matiz reconoce que muchos sistemas actuales incorporan intervención humana solo de forma aparente o residual. Por ello, los Estándares exigen una intervención humana calificada, significativa y efectiva, con capacidad real para comprender el sistema, evaluar críticamente sus resultados y apartarse de ellos.

 

Asimismo, se refuerza el derecho de las personas a no ser objeto de decisiones basadas exclusiva o esencialmente en tratamientos automatizados cuando produzcan efectos jurídicos o impactos significativos. En estos casos, las personas tendrán derecho a obtener intervención humana, así como información clara sobre la lógica aplicada y los criterios principales utilizados en la decisión automatizada.

 

Además, el texto establece referencias específicas a evaluaciones de impacto vinculadas a tecnologías disruptivas, sistemas de IA, biometría, sistemas predictivos y neurotecnologías, especialmente cuando puedan implicar un alto riesgo para los derechos y libertades de las personas.

 

Protección reforzada para la infancia y adolescencia

 

La nueva versión de los Estándares fortalece las garantías específicas para la protección de la infancia y adolescencia en el entorno digital. El texto establece que el tratamiento de datos personales de menores deberá regirse por el principio del interés superior del niño/a, así como por criterios de autonomía progresiva y protección integral.

 

Los Estándares prevén además que el tratamiento de datos personales de menores sea objeto de medidas especiales de responsabilidad reforzada. Entre las medidas que se mencionan expresamente figuran las configuraciones de protección por defecto, las limitaciones de acceso, las restricciones a perfiles y publicidad comportamental, la verificación efectiva de edad y herramientas para bloquear, silenciar y controlar grupos.

 

Un marco regional para fortalecer la protección de datos

 

El texto también aborda el papel de las autoridades de control, subrayando la necesidad de que actúen con autonomía e independencia y cuenten con recursos suficientes para el ejercicio efectivo de sus funciones.

 

Con esta actualización, la Red Iberoamericana de Protección de Datos consolida un marco regional orientado a fortalecer la protección de los derechos fundamentales en un contexto de acelerada transformación tecnológica y creciente circulación internacional de datos.

 

 

Fuente: Agencia Española de Protección de Datos.

 

El convenio impulsa la coordinación entre ambas autoridades en ámbitos como los servicios digitales, la protección de datos, el audiovisual y las telecomunicaciones.

 

Prevé mecanismos de intercambio de información, asistencia mutua y detección temprana de posibles infracciones.

 

Ambas instituciones colaborarán en iniciativas de sensibilización dirigidas a la ciudadanía y, especialmente, a menores.

 

La Agencia Española de Protección de Datos (AEPD) y la Comisión Nacional de los Mercados y la Competencia (CNMC) han suscrito un convenio de colaboración que consolida un marco estable de relación institucional entre ambos organismos independientes en materias de relevancia en el ámbito digital.

 

El convenio tiene como objetivo reforzar la coordinación entre ambas autoridades para garantizar una aplicación coherente y eficaz del Reglamento de Servicios Digitales (DSA) y de otras disposiciones sectoriales (Leyes de servicios de la sociedad de la información y el comercio electrónico, comunicación audiovisual y de telecomunicaciones) en las que confluyen sus respectivas competencias.

 

La colaboración permitirá fortalecer la protección de los derechos de la ciudadanía en ámbitos cada vez más interrelacionados, como la protección de los datos personales, la supervisión de los servicios digitales y la salvaguarda de los usuarios en sectores especialmente sensibles como el audiovisual y las comunicaciones electrónicas.

 

Mecanismos de cooperación

 

El convenio establece diversos instrumentos de colaboración permanente, entre ellos:

 

• El intercambio de información y documentación.

 

• La asistencia mutua y la formulación de consultas.

 

• El traslado de reclamaciones recibidas por una u otra institución .

 

• La detección temprana de posibles conductas infractoras.

 

• La creación de grupos de trabajo conjuntos.

 

Asimismo, ambas entidades colaborarán en actuaciones de divulgación y sensibilización para mejorar el conocimiento de los derechos de las personas en el entorno digital y promover una utilización más segura de los servicios digitales, especialmente entre menores de edad.

 

En este contexto, el convenio refuerza la capacidad de actuación de la AEPD y la CNMC y contribuye a una intervención más eficaz, coordinada y garantista en el actual marco de integración de tecnologías y transformación digital.