Ricard Castellet

Reglamento Ómnibus Digital: ¿simplificación o giro de rumbo en la regulación europea?

por

La Comisión Europea ha presentado la esperada Propuesta de Reglamento Ómnibus Digital, un paquete ambicioso que pretende armonizar, actualizar y «desburocratizar» varios pilares del ecosistema normativo europeo: protección de datos, inteligencia artificial, ciberseguridad, cookies y acceso a datos. Su objetivo declarado es claro: facilitar la innovación, reducir cargas a las empresas y garantizar coherencia entre normas. Pero… ¿estamos ante una modernización necesaria o una revisión que puede alterar equilibrios fundamentales?


Un RGPD más flexible, pero también más permeable


Uno de los puntos más llamativos es la reapertura del RGPD, algo que hace apenas unos años parecía impensable. La propuesta introduce cambios que, si bien buscan claridad jurídica, pueden tener efectos profundos:


  • Nueva definición de datos personales, que incorpora doctrina del TJUE: si la reidentificación no es razonablemente posible para quien trata los datos, deja de considerarse dato personal.
  • Nuevas excepciones del artículo 9.2, que permiten tratar datos biométricos para verificación cuando estén bajo control del interesado, o para el desarrollo y funcionamiento de modelos de IA.
  • Interés legítimo para IA, salvo que el derecho nacional exija consentimiento.
  • Deber de información más laxo, que permite omitir información «si ya se presume conocida por el interesado».
  • Brechas de seguridad: notificación solo cuando exista «alto riesgo» y ampliación a 96 horas.

La lectura optimista habla de reducción de cargas y mayor claridad. La lectura crítica, sin embargo, alerta de un riesgo de erosión progresiva de la protección: datos inferidos menos protegidos, mayor margen para entrenar sistemas de IA, y opacidad reforzada por nuevas excepciones informativas.


Ciberseguridad y notificaciones: un único punto de acceso


En el ámbito de la ciberseguridad, la propuesta crea un punto único de notificación de incidentes, simplificando uno de los procesos más fragmentados del marco NIS2. Esta medida puede aportar eficiencia real para empresas multinacionales y sectores con múltiples obligaciones regulatorias.


Cookies y ePrivacy: hacia menos banners (y más cambios estructurales)


El Ómnibus introduce modificaciones relevantes sobre cookies y ePrivacy:


  • Reducción de banners mediante preferencias centralizadas en navegador o sistema operativo.
  • Nuevo artículo 88 a) sobre consentimiento para acceso/almacenamiento en terminales.
  • Un 88 b) que fija el respeto obligatorio de señales automatizadas de preferencias.

Aunque el discurso oficial habla de «mejorar la experiencia del usuario», algunos expertos alertan de que el efecto combinado podría debilitar el marco ePrivacy al integrarlo parcialmente en el RGPD modificado.


IA y acceso a datos: alineación con la Ley de IA


El paquete vincula la aplicación de normas de IA de alto riesgo a la disponibilidad de herramientas de apoyo (estándares, guías, metodologías). También impulsa el acceso a datos como motor de innovación, buscando coherencia con la Data Act y la Estrategia Europea de Datos.


¿Qué viene ahora?


La Comisión ha abierto la segunda fase del proceso, con una Evaluación de Aptitud Digital (Fitness Check) hasta marzo de 2026. Será un momento clave: las empresas, administraciones y sociedad civil deberán posicionarse sobre si el Ómnibus representa una simplificación necesaria o una reforma que modifica la esencia del RGPD y ePrivacy.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la Propuesta, haga clic aquí.

Shadow AI: cuando la innovación se convierte en vulnerabilidad legal

por

La inteligencia artificial llegó para quedarse, pero su adopción descontrolada puede convertirse en el mayor riesgo legal y reputacional de tu organización. La conocida como Shadow AI —el uso no autorizado de herramientas de inteligencia artificial por parte de empleados sin supervisión del departamento de TI o compliance— está exponiendo a miles de empresas a sanciones millonarias, filtraciones de datos confidenciales y graves incumplimientos normativos.


Los datos son alarmantes: una reciente investigación de Microsoft revela que el 71% de los empleados en Reino Unido han utilizado herramientas de IA no aprobadas en el trabajo, y el 51% continúa haciéndolo semanalmente. En España, el 67% de las organizaciones se sienten incapaces de detectar implementaciones de IA no controladas, y más del 80% de las compañías españolas han sufrido incidentes de seguridad relacionados con la IA. El problema no es menor: uno de cada cinco incidentes de Shadow AI implica datos sensibles, y solo el 32% de los trabajadores expresan preocupación por la privacidad de los datos corporativos o de clientes introducidos en herramientas de IA de consumo.


El verdadero riesgo: vulnerabilidades legales y operativas


Cuando un empleado introduce datos corporativos, información de clientes o estrategias empresariales en herramientas públicas como ChatGPT, Claude o Gemini sin autorización, genera múltiples vulnerabilidades simultáneas. Los trabajadores recurren a estas herramientas para redactar comunicaciones laborales (49%), elaborar informes y presentaciones (40%) e incluso realizar tareas financieras (22%), pero con una preocupante falta de conciencia sobre los riesgos: solo el 29% se preocupa por la seguridad de los sistemas de TI de su organización.


La fuga de información confidencial es inmediata: herramientas de IA generativa almacenan y reutilizan la información introducida en sus prompts. Nombres de clientes, información de proyectos estratégicos y código fuente propietario son filtrados sin control. Simultáneamente, se incumplen obligaciones del Reglamento General de Protección de Datos (RGPD), que exige consentimiento explícito, minimización de datos y transparencia en el tratamiento de información personal. Las multas pueden alcanzar 20 millones de euros o el 4% de la facturación global.


El Reglamento de Inteligencia Artificial (AI Act), cuyas primeras obligaciones entraron en vigor el 2 de agosto de 2025, establece sanciones aún más severas: hasta 35 millones de euros o el 7% del volumen de negocio global. Las organizaciones deben garantizar trazabilidad, transparencia y supervisión humana en los sistemas de IA, algo imposible cuando se utilizan herramientas no autorizadas.


Medidas esenciales para empresas


Prohibir el uso de IA no es viable: el 41% de los empleados utiliza estas herramientas porque están acostumbrados a ellas en su vida personal, y el 28% porque su empresa no proporciona una alternativa aprobada. La estrategia correcta pasa por gestionar la Shadow AI mediante un marco de gobernanza claro, transparente y auditable.


Realizar una auditoría interna de IA: Identificar todas las herramientas de IA utilizadas en la organización, tanto autorizadas como no controladas.


Implementar una Política de Uso Responsable de IA: Documento que establezca reglas, principios y procedimientos sobre usos permitidos, procedimientos de aprobación, obligaciones de confidencialidad y medidas de seguridad.


Establecer controles técnicos de prevención: Soluciones de Prevención de Pérdida de Datos (DLP) para examinar información sensible enviada a plataformas de IA.


Formar y concienciar a la plantilla: El 87% de los empleados no comprende los riesgos reales del uso inadecuado de IA. La formación debe ser específica por perfil profesional.


Designar responsables de gobernanza: Crear un Comité de IA con representación de áreas clave que supervise implementación, evalúe nuevas herramientas y gestione incidentes.


Conclusión


En un contexto normativo cada vez más exigente, con el RGPD plenamente consolidado, el AI Act en fase de implementación y la AEPD ejerciendo competencias sancionadoras, las organizaciones no pueden permitirse ignorar la Shadow AI.
Como advierte Darren Hardman, CEO de Microsoft UK & Ireland: "Solo la IA de nivel empresarial ofrece la funcionalidad que los empleados desean, envuelta en la privacidad y seguridad que toda organización exige".
La clave está en gobernar: establecer marcos claros, formar equipos e implementar controles técnicos. Solo así la innovación se convierte en ventaja competitiva sostenible y responsable.


Como siempre, ¡cuidad los datos y cuidaos!

Videovigilancia laboral: el Supremo aclara cuándo las imágenes son prueba válida en un despido

por

La Sentencia del Tribunal Supremo 149/2025, de 14 de enero, ha vuelto a poner en primer plano uno de los temas más complejos del Derecho digital laboral: el uso de sistemas de videovigilancia en el trabajo. En esta resolución, el Alto Tribunal confirma que las imágenes captadas por las cámaras pueden utilizarse como prueba válida en un despido disciplinario, siempre que se respeten los principios de información, proporcionalidad y finalidad previstos en la LOPDGDD y el RGPD.


El caso se origina en el despido de una dependienta de una tienda de moda (Stradivarius) que había realizado una devolución ficticia para quedarse con 39’98 €. La empresa acreditó los hechos mediante las grabaciones de las cámaras de seguridad situadas en la zona de cajas. El Juzgado de lo Social declaró el despido procedente, pero el Tribunal Superior de Justicia del País Vasco lo anuló, considerando que la trabajadora no fue informada expresamente de que las imágenes podían usarse con fines disciplinarios. Finalmente, el Supremo revocó esa decisión y validó la medida.


La decisión del Supremo


El Tribunal Supremo considera que el uso de las grabaciones fue lícito y proporcionado, apoyándose en tres elementos esenciales:


  1. Las cámaras eran visibles y los trabajadores conocían su existencia.
  2. Los representantes de los empleados habían sido informados de su instalación.
  3. El sistema se utilizó para comprobar un hecho concreto y flagrante, constitutivo de una falta muy grave ( 54.2 d) ET).

El Supremo se apoya en el artículo 89 de la LOPDGDD, que permite el tratamiento de imágenes para el control laboral cuando las cámaras son visibles e informadas, y establece una excepción al deber de información previa en casos de flagrancia de una conducta ilícita.


Asimismo, cita la jurisprudencia del Tribunal Constitucional (STC 119/2022) y del Tribunal Europeo de Derechos Humanos (López Ribalda II), recordando que la videovigilancia puede considerarse válida si la medida es justificada, idónea, necesaria y proporcionada al fin perseguido.


Un punto de inflexión respecto a otros tribunales


La resolución contrasta con otras decisiones judiciales—como las del TSJ del País Vasco o del TSJ de Cataluña—que han declarado improcedentes o nulos los despidos fundamentados en imágenes de videovigilancia cuando no se informaba expresamente al trabajador sobre su posible uso disciplinario.


El Supremo, sin embargo, adopta una postura más pragmática: no toda deficiencia informativa convierte la medida en ilícita, siempre que exista un equilibrio entre el derecho a la intimidad del trabajador (art. 18 CE) y la facultad empresarial de control (art. 20.3 ET).


Conclusión


Esta sentencia marca un nuevo hito en la interpretación del uso de cámaras en el entorno laboral.
El Supremo no flexibiliza la normativa, pero sí pondera su aplicación con criterios de proporcionalidad. Reconoce que la videovigilancia no puede convertirse en una herramienta de vigilancia masiva, pero sí puede ser legítima cuando se emplea con fines concretos, transparentes y necesarios para proteger los intereses de la empresa.


Para las organizaciones, el mensaje es claro:


  • La videovigilancia es válida, pero debe integrarse en una política de privacidad clara, con cartelería visible, información a la plantilla y revisión del Delegado de Protección de Datos (DPD).
  • El cumplimiento formal no es suficiente; lo esencial es garantizar que la medida sea proporcionada y respetuosa con la dignidad del trabajador.

En definitiva, el Supremo confirma que seguridad y privacidad pueden convivir… siempre que se mantenga el delicado equilibrio entre control y confianza.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Categorías Sin categoría

Seguridad o privacidad: el pulso judicial por el fichaje con huella digital

por

La reciente Sentencia nº 370/2025 del Juzgado de lo Social nº 3 de A Coruña ha reabierto el debate sobre la legalidad del registro de jornada mediante sistemas biométricos en el entorno laboral. En un contexto marcado por la cautela de la Agencia Española de Protección de Datos (AEPD) y la tendencia empresarial a abandonar estos sistemas, el fallo avala la utilización de la huella digital como mecanismo de control horario en un hospital público, calificándola de «poco invasiva» y «proporcionada».


Un caso con implicaciones más allá del hospital


El conflicto enfrentaba al comité de empresa y a la Confederación Intersindical Galega frente al Instituto Policlínico Santa Teresa S.A. Los representantes sindicales alegaban vulneración de los derechos fundamentales a la intimidad, la salud y la libertad sindical por el uso obligatorio de un sistema de fichaje mediante huella dactilar.


El tribunal, sin embargo, desestimó íntegramente la demanda y consideró que el sistema biométrico empleado—basado en plantillas no identificativas y con medidas de seguridad avanzadas—respetaba los principios del RGPD y la LOPDGDD, resultando idóneo para garantizar el registro horario exigido por el artículo 34.9 del Estatuto de los Trabajadores.


Un argumento jurídico polémico


El punto más controvertido radica en la base jurídica elegida por el juzgado para legitimar el tratamiento de datos biométricos: la excepción del artículo 9.2.i) del RGPD, relativa al tratamiento necesario por razones de interés público en el ámbito de la salud pública.
Aplicar esta excepción—concebida para amenazas sanitarias o seguridad asistencial—al simple registro de jornada laboral resulta, cuanto menos, discutible. El tribunal justifica su decisión al considerar el hospital una infraestructura crítica (Ley 8/2011), donde la verificación biométrica contribuiría a la seguridad de pacientes, medicamentos y personal. No obstante, este razonamiento confunde dos tratamientos distintos: el control de acceso (más defendible desde la perspectiva de la seguridad) y el registro horario, cuya finalidad es puramente laboral.


Falta de doctrina unificada


El caso refleja la ausencia de una doctrina consolidada en torno al fichaje biométrico.
Mientras que la AEPD, en su Guía sobre uso de datos biométricos (noviembre de 2023), insiste en que estos sistemas son altamente intrusivos y de uso excepcional, algunos tribunales y organismos técnicos—como el CNPIC o el Consejo Español para el Registro de Jornada—mantienen posiciones más permisivas, especialmente en contextos de seguridad reforzada.


El resultado es un panorama fragmentado en el que la misma práctica puede considerarse ilícita o proporcional según el órgano que la valore.


Una sentencia que invita a la reflexión


El Juzgado de A Coruña ha ido más allá de la postura mayoritaria al calificar la huella digital como menos intrusiva que alternativas como las apps con geolocalización o los lectores de tarjetas NFC.
Esta valoración, sin embargo, parece minimizar la naturaleza sensible de los datos biométricos y el riesgo inherente a su tratamiento. Más que un paso hacia la modernización tecnológica, el fallo puede interpretarse como un retroceso en la cultura de protección de datos laborales.


En definitiva, esta sentencia nos invita a una reflexión urgente: ¿Estamos ante un cambio de tendencia judicial o ante un exceso de interpretación que desdibuja los límites del RGPD? Lo cierto es que, a día de hoy, la seguridad jurídica en materia de fichaje biométrico sigue tan difusa como las huellas que pretende registrar.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

XXV Congreso ASNALA en Sevilla: pasión laboralista y compromiso digital

por

El XXV Congreso de ASNALA, celebrado en Sevilla bajo el lema Laborium 2025, ha sido mucho más que un punto de encuentro: una demostración del vigor y la comunidad que definen al Derecho Laboral en España. Durante tres días, la capital andaluza reunió a cientos de profesionales del ámbito jurídico-laboral, convertidos en protagonistas de un evento que combinó conocimiento, innovación y buenas relaciones.


Tecnolawyer tuvo el privilegio de participar como patrocinador de esta edición especial, reafirmando nuestro compromiso con el impulso del Derecho Digital Laboral. En nuestro stand presentamos dos herramientas especialmente pensadas para los laboralistas que desean anticiparse a los retos tecnológicos que ya están transformando su práctica: el Índice Digital Laboral, que permite conocer el nivel de madurez digital de cada profesional y compararlo de forma anónima con el de sus colegas, y la Guía rápida “IA: qué ha de saber un abogado laboralista hoy”, un material de consulta ágil que resume los aspectos clave del uso responsable y ético de la inteligencia artificial en el ámbito laboral.


El congreso fue también una oportunidad única para escuchar y comprender las inquietudes del sector. Muchos asistentes compartieron sus experiencias en torno a dos cuestiones que centraron buena parte del debate: la irrupción de la IA en los recursos humanos —con su potencial, pero también con sus dilemas jurídicos— y la implantación efectiva y demostrable de la Desconexión Digital en las empresas, un derecho que sigue evolucionando en paralelo a la digitalización del trabajo. Estas conversaciones confirmaron la necesidad de acompañar a las pymes y a los despachos en la adopción de buenas prácticas digitales, un objetivo central en nuestra labor diaria.


El equipo de ASNALA, encabezado por Ana Gómez, presidenta, y Paloma Ausín, gerente, ofreció una organización impecable que combinó el rigor profesional con una hospitalidad ejemplar. La agenda de Laborium 2025 no solo brilló por la calidad de sus ponencias y mesas redondas, sino también por su cuidada vertiente social: la visita guiada a los Reales Alcázares y la Cena de Gala fueron momentos memorables que sellaron la complicidad entre colegas de toda España.


Desde Tecnolawyer, regresamos de Sevilla con la satisfacción de haber compartido conocimiento, generado conversaciones valiosas y reforzado vínculos con una comunidad profesional apasionada y en plena transformación digital. Este Congreso ha dejado claro que el futuro del Derecho Laboral será, necesariamente, también digital. Y ahí estaremos, acompañando a los laboralistas con soluciones jurídico-tecnológicas que les ayuden a liderar ese cambio.

El equipo de Tecnolawyer en el photocall de la Cena de Gala del Congreso ASNALA 2025.
El equipo de Tecnolawyer, desplazado al Congreso, en el photocall de la Cena de Gala del Congreso de ASNALA 2025.

Un simple clic, un gran problema: el error humano detrás del fallo de la CNMC

por

El 29 de octubre, la Comisión Nacional de los Mercados y la Competencia (CNMC) protagonizó un incidente que ha generado una amplia polémica en torno a la protección de datos personales y la responsabilidad institucional. El error, aparentemente simple, consistió en enviar un correo electrónico a 378 influencers españoles, conocidos oficialmente como Usuarios de Especial Relevancia (UER), sin utilizar la copia oculta (CCO), exponiendo así las direcciones de correo electrónico de todos los destinatarios.


Entre los afectados se encontraban figuras públicas como Risto Mejide o Ibai Llanos, quienes rápidamente dieron visibilidad al suceso en redes sociales. Más allá del revuelo mediático, el incidente plantea serias implicaciones legales y éticas sobre la privacidad y el cumplimiento del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).


La importancia de la privacidad de los datos


Según el artículo 32 del RGPD, los responsables del tratamiento deben garantizar la seguridad de los datos personales mediante medidas técnicas y organizativas adecuadas. Enviar un correo masivo con copia visible a todos los destinatarios es, sin duda, una vulneración de este principio, ya que permite la divulgación no autorizada de información personal. Aunque el error haya sido humano, el RGPD deja claro que las organizaciones—sean públicas o privadas—deben adoptar procedimientos que minimicen el riesgo de estos fallos.


Este caso pone de manifiesto que los organismos públicos están sujetos a las mismas obligaciones que las empresas privadas. La CNMC, como autoridad administrativa independiente, actúa como responsable del tratamiento de los datos de los influencers inscritos en su registro. Por tanto, tiene la obligación de proteger esos datos, garantizar su confidencialidad y aplicar protocolos de seguridad que eviten incidentes como este.


No se trata solo de una cuestión técnica, sino también de cultura de protección de datos. Los errores humanos—como confundir «CC» con «CCO»—pueden tener consecuencias graves si no existen controles internos o sistemas automáticos que detecten este tipo de riesgos antes de que ocurra el envío.


Además, el incidente podría dar lugar a una investigación por parte de la Agencia Española de Protección de Datos (AEPD), que ya ha sancionado casos similares en los que se difundieron direcciones de correo electrónico sin consentimiento.


Conclusión


Este suceso debe servir como recordatorio y advertencia: la protección de datos no es una formalidad, sino una responsabilidad compartida. Tanto las empresas como las instituciones públicas deben revisar sus procedimientos internos, formar a su personal y adoptar medidas tecnológicas que eviten que un simple clic acabe comprometiendo la privacidad de cientos de personas.


Porque, en materia de datos personales, un pequeño error humano puede convertirse en un gran fallo institucional.


Como siempre, cuidad los datos y ¡cuidaos!

Ni anonimato ni IA: el RGPD se aplica incluso a las imágenes manipuladas digitalmente

por

La Agencia Española de Protección de Datos (AEPD) ha vuelto a pronunciarse sobre uno de los fenómenos más alarmantes del entorno digital: la difusión de imágenes falsas de desnudos («deepnudes») creadas mediante inteligencia artificial. Ha impuesto una multa de 2.000 € (reducida finalmente a 1.200 € por reconocimiento y pago voluntario) a un particular por difundir imágenes manipuladas de menores en grupos de mensajería instantánea.


Aunque el sancionado no generó las imágenes, su participación en la difusión fue suficiente para que la Agencia apreciara una infracción del artículo 6.1 del RGPD, al tratarse de un tratamiento de datos personales sin base jurídica legítima.


Lo que dice el RGPD (y por qué importa aquí)


El artículo 6 del RGPD establece que todo tratamiento de datos personales debe fundarse en una base de licitud: consentimiento, obligación legal, interés público, contrato o interés legítimo. Si ninguna de ellas concurre—como en este caso—, el tratamiento es ilícito, incluso si el infractor no obtiene beneficio ni persigue un fin sexual.


La AEPD recuerda que el rostro de una persona es un dato personal (art. 4 RGPD), y que alterarlo o combinarlo con otro cuerpo no elimina esa condición, sino que la agrava: se crea una asociación falsa en un contexto íntimo, con potencial de causar graves daños reputacionales.


Por tanto, reenviar o publicar este tipo de imágenes constituye un tratamiento adicional, que requiere consentimiento y proporcionalidad. La ausencia de ambas bases legitima la sanción.


La IA no borra la responsabilidad


La resolución refuerza una idea clave: el uso de inteligencia artificial no exime de responsabilidad. La tecnología puede automatizar el daño, pero la decisión de compartir sigue siendo humana. Además, cuando los afectados son menores de edad, entra en juego el artículo 84 de la LOPDGDD, que refuerza la protección frente a la difusión de imágenes que puedan vulnerar su dignidad o derechos fundamentales.


Lecciones que deja el caso


  • La IA no anula la ley: las imágenes sintéticas siguen siendo datos personales si permiten identificar a una persona.
  • Compartir también es tratar: reenviar o publicar implica tratamiento y puede acarrear sanción.
  • Los menores cuentan con una protección reforzada, lo que eleva la gravedad de la infracción.
  • El RGPD es plenamente aplicable a la IA generativa: sus principios de licitud, minimización y proporcionalidad siguen siendo la base del cumplimiento.

Conclusiones


La sanción de 1.200 € —tras reducciones por reconocimiento y pago voluntario— resulta, cuanto menos, llamativamente baja si se compara con la gravedad moral y social de difundir imágenes falsas de desnudos de menores.


Aunque el RGPD permite graduar las multas en función de la proporcionalidad, cabe preguntarse si este tipo de conductas no merecerían también respuesta penal, especialmente cuando concurren elementos de humillación, acoso o afectación grave a la dignidad personal.


El caso invita a un debate necesario:


  • ¿Estamos aplicando sanciones realmente disuasorias frente a los nuevos riesgos digitales?
  • ¿Debe el Derecho penal intervenir cuando la inteligencia artificial amplifica el daño a menores?

La AEPD ha puesto el foco en la ilicitud del tratamiento de datos, pero la reflexión jurídica—y ética—va más allá: la tecnología puede replicar rostros, pero no puede replicar el consentimiento… ni reparar el daño emocional causado.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

La nueva fiebre digital: ¿cuánto cuesta tu voz en el mercado de la IA?

por

En apenas unos días, Neon se ha convertido en una de las aplicaciones más descargadas del momento. Su propuesta parece irresistible: pagar a los usuarios por grabar y vender sus llamadas telefónicas. Hasta 30 dólares al día por dejar que su voz—y las conversaciones que mantiene—se utilicen para entrenar modelos de inteligencia artificial.


La idea es sencilla: Neon registra las llamadas del usuario y, si ambos interlocutores tienen instalada la app, ambas voces se utilizan para alimentar sistemas de IA que aprenden a reconocer, imitar o analizar el lenguaje humano. A cambio, el usuario recibe una pequeña compensación económica por minuto grabado.


Pero detrás del atractivo modelo «tecnología a cambio de dinero», surgen enormes interrogantes legales y éticos. ¿Sabemos realmente qué estamos cediendo cuando aceptamos grabar nuestra voz?


Datos biométricos: la voz como identidad digital


A diferencia de un simple dato personal, la voz es un identificador biométrico único, pues permite reconocer, imitar y suplantar identidades. Por ello, el Reglamento General de Protección de Datos (RGPD) europeo la considera dato sensible y su tratamiento requiere un consentimiento explícito e informado.


El problema es que, según los términos de uso de Neon, el usuario otorga a la empresa una licencia amplia y prácticamente ilimitada para «reproducir, almacenar, modificar y distribuir» sus grabaciones. En la práctica, esto implica ceder el control total sobre un dato que no solo revela la voz, sino también información contextual, emocional y de terceros.


De hecho, si la llamada es con alguien que no utiliza Neon, la app igualmente graba la parte del usuario… pero inevitablemente se captan fragmentos de la otra persona. Esto plantea dudas serias en materia de consentimiento de los interlocutores y vulnera principios básicos de minimización y finalidad del RGPD.


Entre la curiosidad y el riesgo


La empresa asegura que las grabaciones se anonimizan antes de ser vendidas a terceros. Sin embargo, expertos en seguridad digital alertan: la voz es extraordinariamente difícil de anonimizar. Puede utilizarse para crear imitaciones perfectas mediante IA, abrir cuentas bancarias, o incluso suplantar a familiares en estafas telefónicas.


Además, las incongruencias detectadas entre las tarifas anunciadas en la App Store y las publicadas en la web de Neon generan dudas sobre la transparencia real del modelo.


Conclusión: el verdadero precio de la voz


El éxito viral de Neon demuestra una tendencia preocupante: cada vez más usuarios están dispuestos a monetizar su privacidad a cambio de beneficios inmediatos. La «economía del dato» evoluciona hacia un escenario donde la identidad se convierte en un activo comercializable, sin que muchos comprendan las consecuencias a largo plazo.


Ceder la voz no es inocuo, es ceder una parte irrepetible de nuestra identidad digital. Por eso, antes de aceptar los «términos y condiciones», conviene preguntarse: ¿cuánto vale realmente mi voz? ¿Y quién la escuchará cuando ya no sea mía?


Como siempre, cuidad los datos y ¡cuidaos!

Transparencia 2.0: así cambia el nuevo Código de Conducta de Influencers en España

por

Desde el 1 de octubre de 2025, el ecosistema digital español da un nuevo paso hacia la transparencia publicitaria. Ha entrado oficialmente en vigor la actualización del Código de Conducta sobre el uso de influencers en la publicidad, promovido por AUTOCONTROL, la Asociación Española de Anunciantes (AEA) e IAB Spain, con el apoyo de instituciones públicas como el Ministerio de Consumo y la Secretaría de Estado de Digitalización e Inteligencia Artificial.


Este nuevo Código, revisado por primera vez desde su aprobación en 2021, refuerza el papel de la autorregulación en un entorno cada vez más complejo, en el que la frontera entre el contenido orgánico y el publicitario es más difusa que nunca. Con cerca de 1.000 entidades adheridas—entre marcas, agencias, plataformas y creadores—, el texto aspira a ofrecer mayor seguridad jurídica y a consolidar buenas prácticas en el marketing de influencia.


¿Qué cambia respecto al Código de 2021?


La versión de 2021 fue pionera al exigir que los contenidos patrocinados fueran claramente identificables mediante etiquetas o menciones explícitas («#publi», «#ad», «en colaboración con…»). Sin embargo, la práctica diaria demostró que seguían existiendo zonas grises: colaboraciones no declaradas, obsequios encubiertos o menciones ambiguas que confundían a la audiencia.


El nuevo Código 2025 avanza precisamente en esa dirección:


  • Introduce una lista de indicios que permite determinar cuándo un contenido puede considerarse publicitario, incluso sin prueba directa del acuerdo comercial.
  • Amplía y actualiza el anexo de plataformas digitales, especificando cómo debe identificarse la publicidad en cada una (YouTube, Instagram, TikTok, Twitch, etc.).
  • Añade previsiones específicas sobre contenidos generados con inteligencia artificial, la intervención de menores de edad y la responsabilidad de las distintas partes (marcas, agencias e influencers).

En resumen: donde antes había recomendaciones generales, ahora hay criterios concretos y trazables.


Formación y profesionalización del influencer


Otra de las grandes novedades es el Certificado de Capacitación Básica para Influencers sobre normativa publicitaria, lanzado por AUTOCONTROL dentro del programa europeo AdEthics, impulsado por la European Advertising Standards Alliance (EASA). Más de 700 influencers ya están inscritos en esta formación online que acredita el conocimiento de las normas de identificación de contenido publicitario.


Este paso es decisivo, ya que profesionaliza un sector que hasta hace poco se movía entre la intuición y la improvisación, y refuerza la responsabilidad compartida entre creadores, agencias y anunciantes.


Un nuevo estándar de transparencia digital


Con estas mejoras, el Código 2025 busca no solo facilitar el cumplimiento normativo, sino fortalecer la confianza entre marcas, consumidores y creadores. Las marcas adheridas podrán demostrar su compromiso con la ética publicitaria y evitar sanciones o crisis reputacionales derivadas de una comunicación engañosa.


En un entorno en el que la inteligencia artificial genera y distribuye contenidos a una velocidad sin precedentes, la transparencia deja de ser una opción: se convierte en un valor competitivo y en una exigencia regulatoria.


Conclusión


El nuevo Código de Conducta no sustituye al de 2021, sino que lo eleva al siguiente nivel. Pasa de la simple autorregulación a un marco de corresponsabilidad, en el que todos los actores—desde las grandes marcas hasta los microinfluencers—comparten una misma meta: que la publicidad sea clara, ética y reconocible.


Como siempre, cuidad los datos y ¡cuidaos!


Para acceder al Código de Conducta, haga clic aquí.

Revisión Textos Legales Web