Este análisis recoge los principales criterios y sanciones recientes en materia de derecho digital y protección de datos, así como los retos regulatorios vinculados a la inteligencia artificial y a la evolución del marco normativo europeo.

Resoluciones y sanciones

Las últimas resoluciones de la AEPD confirman que el cumplimiento de la normativa de protección de datos debe abordarse desde un enfoque preventivo y continuo, y no únicamente reactivo. La Agencia insiste en que las organizaciones deben adoptar medidas técnicas y organizativas adecuadas al riesgo, incluso cuando no se haya producido un daño efectivo para los interesados.

Seguridad de la información y gestión de credenciales

Uno de los casos más relevantes es la sanción impuesta a una operadora de telecomunicaciones por enviar a un cliente sus credenciales completas de acceso por correo electrónico. La AEPD recuerda que el artículo 32 del RGPD exige garantizar un nivel de seguridad adecuado al riesgo, y que la mera exposición de contraseñas en texto plano supone una vulneración grave de la seguridad, con independencia de que no se hayan detectado accesos no autorizados.

La Agencia subraya que calificar el incidente como un “error humano puntual” no exime de responsabilidad si pone de manifiesto la inexistencia de controles internos suficientes. Asimismo, la adopción posterior de medidas correctoras no elimina la infracción, ya que la evaluación de la seguridad debe realizarse en el momento en que se produce el incidente.

Este criterio refuerza la necesidad de revisar las políticas internas de autenticación, gestión de accesos y comunicación de credenciales, especialmente en sectores que tratan grandes volúmenes de datos personales.

Videovigilancia en el ámbito laboral

La AEPD ha intensificado también su control sobre el uso de sistemas de videovigilancia en centros de trabajo. En una resolución reciente, sancionó al responsable de una clínica dental por vulnerar el principio de minimización de datos, al instalar cámaras en zonas especialmente sensibles y sin la información adecuada a trabajadores y clientes.

La Agencia considera desproporcionada la grabación de imágenes durante tratamientos clínicos, así como la captación simultánea de imagen y sonido, al poder afectar gravemente a la intimidad de pacientes y empleados. Además, la ausencia de señalización y la posibilidad de grabar conversaciones privadas agravan la infracción.

Estas resoluciones recuerdan que la finalidad de seguridad no legitima cualquier configuración técnica, y que la videovigilancia debe limitarse estrictamente a lo necesario, respetando los principios de proporcionalidad, información y limitación del tratamiento.

Incumplimiento de resoluciones de la autoridad de control

La AEPD también actúa con firmeza frente al incumplimiento de sus propias resoluciones. En un caso reciente, sancionó a una empresa por no acreditar la adaptación de un formulario de consentimiento conforme a una resolución firme dictada en un procedimiento anterior.

La Agencia recuerda que no cumplir las “obligaciones de hacer” impuestas por la autoridad de control constituye una infracción autónoma, independiente de la sanción inicial. Este incumplimiento mantiene vigente la infracción original y puede dar lugar a nuevos procedimientos sancionadores, incluso cuando la multa previa ya haya sido abonada.

Desde una perspectiva práctica, este criterio pone de relieve la importancia de una gestión diligente de las notificaciones electrónicas y de un seguimiento efectivo de los expedientes hasta su completo cumplimiento.

Primeras sanciones bajo la Ley de Servicios Digitales (DSA)

En el ámbito europeo, la Comisión Europea ha impuesto la primera gran sanción en aplicación de la Ley de Servicios Digitales (DSA), marcando un punto de inflexión en la regulación de las grandes plataformas digitales. La multa impuesta a la plataforma X (antes Twitter) se basa en el incumplimiento de obligaciones clave en materia de transparencia, diseño engañoso y acceso a datos para investigación.

Entre las infracciones detectadas destacan el uso del sistema de verificación de cuentas sin una comprobación real de identidad, la falta de transparencia publicitaria y las restricciones al acceso de investigadores independientes. La cuantía de la sanción, cercana al máximo previsto, envía un mensaje claro: las obligaciones del DSA son plenamente exigibles y su incumplimiento tendrá consecuencias relevantes.

Criterios de las Autoridades de Protección de Datos en materia de IA

Junto a la actividad sancionadora, las autoridades de protección de datos están desempeñando un papel clave en la interpretación de los nuevos retos tecnológicos, especialmente en relación con la inteligencia artificial y la evolución del marco normativo europeo.

Inteligencia artificial agéntica y protección de datos

La AEPD ha alertado recientemente sobre los riesgos asociados a la inteligencia artificial agéntica, sistemas que no se limitan a responder instrucciones, sino que actúan de forma autónoma, planifican tareas y toman decisiones con mínima intervención humana.

Estas capacidades amplifican los riesgos en materia de protección de datos, ya que los sistemas pueden acceder a información interna, interactuar con servicios externos, almacenar memorias extensas y ejecutar acciones en nombre del usuario. Según la Agencia, la integración de este tipo de tecnologías puede alterar sustancialmente la naturaleza, el contexto y las finalidades del tratamiento de datos personales.

Por ello, la AEPD insiste en la necesidad de revisar las bases jurídicas, los registros de actividades, la minimización de datos y el ejercicio efectivo de derechos. En muchos casos, será necesario realizar o actualizar una Evaluación de Impacto en Protección de Datos (EIPD). La adopción de IA avanzada exige, por tanto, un enfoque claro de protección de datos desde el diseño.

Captación de imágenes e interés legítimo

En Cataluña, la Autoridad Catalana de Protección de Datos (APDCAT) ha analizado la licitud de la grabación de trabajadores sociales durante desahucios en la vía pública. El organismo considera que la captación de imágenes puede ser lícita cuando se basa en el interés legítimo y se produce como parte accesoria de un acontecimiento de interés general.

No obstante, la APDCAT subraya que la difusión posterior de las imágenes debe evaluarse de forma independiente, ya que una difusión innecesaria o desproporcionada puede vulnerar derechos fundamentales y generar responsabilidades legales.

Reformas normativas europeas y equilibrio regulatorio

Finalmente, el Comité Europeo de Protección de Datos (EDPB) y el Supervisor Europeo de Protección de Datos (EDPS) han emitido pronunciamientos relevantes sobre iniciativas como la futura Ley Europea de Biotecnología y el Digital Omnibus. Aunque respaldan los objetivos de armonización y simplificación normativa, advierten de los riesgos de debilitar la protección de datos, especialmente ante propuestas de modificación de la definición de dato personal.

Las autoridades insisten en que la competitividad y la innovación deben ser compatibles con un alto nivel de protección de los derechos fundamentales, reafirmando el modelo europeo de privacidad como elemento clave de confianza digital.