Las gafas inteligentes ya están aquí. Ahora el desafío real es proteger la privacidad

Las gafas inteligentes han dejado de ser un concepto futurista para convertirse en realidad comercial. Dispositivos como las Meta Ray-Ban ya permiten tomar fotografías, grabar vídeo, responder a preguntas mediante inteligencia artificial o interpretar lo que el usuario está viendo en tiempo real.

Precisamente esta combinación de cámaras, micrófonos e IA ha convertido a este tipo de dispositivos en uno de los ejemplos más representativos del desafío que afronta actualmente la industria tecnológica: ¿cómo ofrecer experiencias cada vez más inteligentes sin comprometer la privacidad de quienes las utilizan… y de quienes les rodean?

Un dispositivo que despertó dudas desde el primer día

Desde su lanzamiento, las Meta Ray-Ban han generado un intenso debate sobre privacidad.

A diferencia de un teléfono móvil, unas gafas inteligentes permiten capturar imágenes y vídeo de forma mucho más discreta, manteniendo una conversación o caminando por un espacio público sin que resulte evidente que existe una cámara en funcionamiento.

La llegada de nuevas funciones basadas en IA, capaces de interpretar escenas, recordar información del entorno o interactuar con el usuario en función de lo que está viendo, ha incrementado aún más estas preocupaciones.

La cuestión ya no consiste únicamente en quien utiliza las gafas, sino también en qué ocurre con la información de todas las personas que aparecen, hablan o simplemente se encuentran cerca del dispositivo.

La respuesta de Meta : la privacidad también debe formar parte del diseño

En este contexto, Meta ha anunciado una actualización destinada a reforzar una de las principales garantías de privacidad del dispositivo.

Las gafas dejarán de permitir la grabación si detectan que el indicador luminoso que avisa de que la cámara está activa ha sido manipulado, cubierto o inutilizado.

Aunque pueda parecer una modificación menor, el mensaje es relevante: las medidas de privacidad ya no pueden depender únicamente del comportamiento responsable del usuario, sino que deben incorporarse al propio diseño de la tecnología .

Este enfoque responde al principio de privacy by design , cada vez más presente tanto en la regulación como en las expectativas de consumidores y autoridades.

Mucho más que un debate sobre unas gafas

La polémica de las Meta Ray-Ban trasciende al propio dispositivo.

Cada vez más herramientas de inteligencia artificial incorporan cámaras, micrófonos, sensores o sistemas capaces de interpretar el entorno en tiempo real. Esto obliga a las organizaciones a plantearse nuevas preguntas sobre privacidad, protección de datos, transparencia y uso responsable de la tecnología.

No se trata únicamente de cumplir con la normativa, sino de gestionar adecuadamente los riesgos asociados a soluciones que procesan crecientes cantidades de información personal.

La confianza será el factor diferencial real

La inteligencia artificial seguirá integrándose en dispositivos de uso cotidiano. Sin embargo, el éxito de estas tecnologías no dependerá exclusivamente de sus capacidades técnicas.

Las empresas que desarrollen o incorporen soluciones basadas en IA deberán demostrar que cuentan con mecanismos sólidos de gobernanza, protección de datos y gestión del riesgo . Evaluaciones de impacto, políticas internas, controles técnicos y privacidad desde el diseño serán elementos cada vez más relevantes para generar confianza y cumplir con un entorno regulador en constante evolución.

Porque la próxima revolución de la inteligencia artificial no consistirá únicamente en crear dispositivos más inteligentes, sino en conseguir que usuarios, empresas y reguladores confíen en ellos.

Como siempre, ¡cuidad los datos y cuidaos!

Deepfakes, voz e imagen: el nuevo riesgo reputacional que también amenaza a las pymes

La inteligencia artificial generativa ha cambiado la forma de crear campañas: hoy una empresa puede lanzar anuncios con avataresvoces clonadastestimonios sintéticosimágenes retocadas o vídeos hiperrealistas. Pero esa facilidad también abre una nueva zona de riesgo: usar la imagen, la voz o la identidad de una persona sin consentimiento claro, sin control contractual o sin revisión previa. 


Para una pyme, el problema no es solo una posible reclamación legal. Es la pérdida de confianza. Una campaña percibida como engañosa, invasiva o poco transparente puede dañar la reputación digital de la marca en cuestión de horas. 


La reforma del derecho al honor pone el foco en la IA 


El debate ya está en la agenda legislativa. El Gobierno ya ha remitido al Congreso la reforma de la Ley Orgánica de protección civil del derecho al honor, la intimidad y la propia imagen, con el objetivo de adaptarla a fenómenos como los deepfakes, la explotación no autorizada de voz o imagen mediante IA y determinados contenidos de «true crime». 


El Ministerio de Justicia ya había avanzado que la nueva regulación considera ilegítimo usar la voz o la imagen de una persona sin autorización con fines publicitarios o comerciales mediante IA o tecnologías similares. También recuerda que compartir imágenes en redes sociales no significa que terceros puedan reutilizarlas libremente en otros canales. 


La idea de fondo es clara: devolver a las personas el control sobre su imagen, su voz y su identidad digital. 


Agencias y marcas: una responsabilidad compartida 


Llas agencias y profesionales del marketing ya no solo crean campañas. Crean activos digitales: vídeos, copies, automatizaciones, avatares, piezas con IA, testimonios, creatividades dinámicas y contenidos sintéticos. 


Eso exige una nueva responsabilidad. No basta con que una campaña sea creativa o viral, debe poder demostrar quién autorizó el uso de una imagen, qué alcance tenía ese consentimiento, qué herramientas se utilizaron, quién revisó el contenido y qué garantías contractuales existen entre cliente, agencia, proveedores y colaboradores. 


En otras palabras: impacto, sí. Pero con consentimiento, trazabilidad y seguridad jurídica. 


Qué deberían revisar las pymes antes de lanzar campañas con IA 


Antes de publicar una campaña que use imagen, voz, vídeos, avatares o contenidos generados con IA, conviene revisar al menos cuatro puntos: consentimiento específico para el uso previstocontratos con agencias y proveedoresidentificación de contenidos sintéticos cuando proceda y conservación de evidencias sobre aprobaciones, versiones y fuentes utilizadas. 


También es recomendable contar con un protocolo interno de uso de IA generativa y un plan de respuesta ante incidentes reputacionales: retirada de contenidos, comunicación de crisis, preservación de prueba digital y acciones legales si fuera necesario. 


La creatividad necesita control 


La IA ofrece enormes oportunidades para el marketing de las pymes, pero improvisar puede salir caro. La reputación digital se protege antes de publicar, no cuando la crisis ya está circulando. 


En Tecnolawyer ayudamos a las empresas a usar IA en marketing sin improvisar: con contratos, consentimiento, trazabilidad y evidencia. 


Como siempre, cuidad los datos y ¡cuidaos! 

De usuarios anónimos a usuarios identificados: cómo está cambiando la relación con la IA

Parece que la inteligencia artificial está entrando en una nueva etapa. Ya no se trata únicamente de qué pueden hacer los modelos, sino de qué información deberán proporcionar los usuarios para acceder a ellos.


Recientemente, Anthropic ha anunciado cambios en las condiciones de uso de Claude que permitirán solicitar procesos de verificación de identidad y edad a determinados usuarios. Entre los datos que podrían utilizarse para estas verificaciones, se encuentran documentos oficiales de identidad e información biométrica obtenida a partir de imágenes o vídeos faciales. Estos cambios entran en vigor a partir del 8 de julio de 2026.



Más allá del caso concreto, la decisión refleja una tendencia que probablemente veremos cada vez con mayor frecuencia en el sector tecnológico: el paso de plataformas abiertas y relativamente anónimas a entornos donde la identificación del usuario será un requisito habitual.


Más seguridad, pero también más responsabilidad


Las compañías de IA se enfrentan a una presión creciente para prevenir fraudes, evitar usos indebidos de sus herramientas y cumplir con nuevas exigencias regulatorias.


Desde esta perspectiva, la verificación de identidad puede resultar una medida razonable. Sin embargo, también supone la recopilación de información especialmente sensible que incrementa las obligaciones de privacidad, seguridad y cumplimiento.


La pregunta ya no es únicamente cómo desarrollar sistemas de IA más potentes, sino cómo gestionar de forma responsable los datos necesarios para operar esos sistemas.


Cuando la biometría entra en juego


La utilización de reconocimiento facial o mecanismos similares introduce un nivel de complejidad jurídica significativamente mayor.


Los datos biométricos se encuentran entre las categorías de información más sensibles desde la perspectiva de la protección de datos. Su tratamiento exige analizar cuestiones como la proporcionalidad, la minimización de datos, la transparencia y la seguridad de la información.


Además, cualquier incidente relacionado con este tipo de datos puede generar un impacto reputacional considerable para las organizaciones implicadas.


Lo que las empresas deberían aprender de este caso


Aunque la noticia afecta directamente a una plataforma de IA, las implicaciones van mucho más allá.


Muchas organizaciones ya están incorporando herramientas de inteligencia artificial en sus operaciones diarias sin haber evaluado adecuadamente qué datos recopilan esos sistemas, qué proveedores intervienen o qué obligaciones regulatorias pueden surgir.


Por ello, cada vez resulta más importante contar con una estrategia de gobernanza de IA que incluya:


  • Evaluación de riesgos.
  • Protección de datos desde el diseño.
  • Gestión de proveedores tecnológicos.
  • Políticas internas de uso de IA.
  • Cumplimiento normativo y auditorías periódicas.

La confianza será la verdadera ventaja competitiva


La inteligencia artificial seguirá evolucionando y los mecanismos de identificación probablemente se volverán más habituales. Sin embargo, las organizaciones que generen mayor confianza no serán necesariamente las que utilicen más IA, sino aquellas capaces de demostrar que gestionan correctamente los datos de sus usuarios.


En este escenario, la gobernanza de IA, la protección de datos y el cumplimiento normativo dejan de ser cuestiones exclusivamente jurídicas para convertirse en elementos estratégicos de negocio. Y precisamente ahí es donde las empresas necesitarán cada vez más acompañamiento especializado para innovar sin comprometer la confianza de clientes, empleados y socios comerciales.


Como siempre, cuidad los datos y ¡cuidaos!

De la IA al control biométrico: cuando la tecnología se pasa de frenada

En los últimos posts del blog hemos hablado mucho de inteligencia artificial: automatización, eficiencia, toma de decisiones… Pero hay otro fenómeno que avanza en paralelo y plantea retos igual de relevantes: el uso de tecnologías cada vez más intrusivas en el entorno laboral.


Porque no todo pasa por la IA. A veces, el problema está en algo más cotidiano: cómo controlamos el acceso o la actividad de los empleados.


La reciente sentencia de la Audiencia Nacional nº59/2026 lo deja claro: no todo lo técnicamente posible es jurídicamente válido, especialmente cuando hablamos de datos biométricos.


El caso: control excesivo para un problema menor


El asunto analizado parte de una medida que, en apariencia, buscaba mejorar la seguridad: utilizar sistemas de identificación biométrica (como la huella dactilar) para controlar el acceso de empleados a zonas como vestuarios o aseos.


El problema no fue la finalidad, sino el medio elegido.


La Audiencia Nacional concluye que la medida no superaba el análisis exigido en protección de datos:


  • no era necesaria,
  • no era proporcional,
  • y existían alternativas menos invasivas.

En otras palabras: se utilizó una solución desproporcionada para un problema que podía resolverse de forma más sencilla.


Datos biométricos: un nivel de exigencia más alto


No estamos ante datos cualquiera. Los datos biométricos—como la huella o el reconocimiento facial—tienen una protección reforzada en el RGPD.


¿Por qué? Porque permiten identificar de forma única a una persona y, además, son datos que no se pueden cambiar.


Esto implica que su uso debe ser excepcional y estar especialmente justificado. No basta con que sea útil o cómodo para la empresa.


El criterio clave: ¿de verdad no hay otra alternativa?


La sentencia pone el foco en una idea muy práctica que muchas organizaciones pasan por alto: antes de implantar una medida intrusiva, hay que preguntarse si existe otra menos invasiva.


En este caso, la respuesta era clara: sí, existían alternativas (tarjetas, códigos, controles físicos…). Y, cuando existen, el uso de biometría deja de estar justificado.


Más allá de la sanción: el riesgo real


Aunque, en este caso, la sanción económica se sustituyó por un apercibimiento, el mensaje es relevante. El problema no fue una mala intención, sino un mal diseño.


Y esto es clave para las empresas: muchos riesgos en protección de datos no vienen de decisiones deliberadas, sino de no analizar bien el impacto de las medidas que se implantan.


Además, el contexto agrava la situación: estamos hablando de espacios como vestuarios o zonas de descanso, en los cuales la expectativa de privacidad es mayor.


Conclusión: más tecnología no siempre es mejor control


La tecnología ofrece cada vez más posibilidades para controlar accesos, medir actividad o reforzar la seguridad. Pero eso no significa que todas deban utilizarse.


Igual que ocurre con la inteligencia artificial, la clave no está en lo que la tecnología permite hacer, sino en lo que es adecuado hacer en cada contexto.


Antes de implantar sistemas biométricos—o cualquier medida intensiva—conviene hacerse una pregunta sencilla: ¿estoy resolviendo el problema… o complicándolo innecesariamente?


Porque en protección de datos, elegir la herramienta más potente no siempre es la mejor decisión. A veces, es justo lo contrario.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la sentencia, haga clic aquí.

Minimización mal entendida: 1’2 millones de euros por destruir datos de salud

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 1.200.000 euros a IDCQ Hospitales y Sanidad, S.L.U. (Quirón Salud Madrid) por la eliminación indebida de pruebas médicas aportadas por un paciente. El caso pone el foco en un aspecto crítico—y a menudo mal entendido—de la protección de datos en el ámbito sanitario: la conservación de la documentación clínica, incluso cuando no ha sido generada por el propio centro.


Los hechos: un CD que nunca volvió


En noviembre de 2021, un paciente entregó al hospital un CD con resonancias magnéticas realizadas entre 2018 y 2020 en otros centros, con el objetivo de que fueran comparadas clínicamente con una nueva prueba antes de someterse a su tratamiento asistencial en el hospital. Meses después, al solicitar la devolución del soporte, el hospital le comunicó que las imágenes ya no estaban disponibles debido a su política interna de eliminación de archivos por falta de espacio.


La respuesta fue clara: el soporte había sido destruido tras no ser recogido en el plazo de un mes.


La defensa del hospital: minimización y criterio médico


El hospital alegó que el CD no formaba parte de la historia clínica oficial al ser una prueba proveniente de otros centros, que la información relevante ya había sido incorporada al informe médico y que conservar las imágenes originales sería contrario al principio de minimización de datos. Además, sostuvo que el paciente había sido informado del plazo de recogida, por lo que su falta de acción durante ese plazo legitimaba la destrucción del soporte.


Un planteamiento que, sobre el papel, parecía alinearse con ciertos principios del RGPD. Pero que no convenció a la AEPD.


El criterio de la AEPD: documentación clínica no es solo historia clínica


La Agencia rechaza de forma tajante estas alegaciones. Apoyándose en la Ley 41/2002, de autonomía del paciente, recuerda que existe una diferencia clave entre historia clínica y documentación clínica.


Esta última incluye cualquier soporte que contenga información asistencial, con independencia de su origen o de quién lo haya generado. Es decir, la ley no diferencia entre si la documentación clínica ha sido aportada por el paciente o generada por el centro.


Por lo tanto, aquí está el punto central: las pruebas aportadas por el paciente también son documentación clínica, y como tal, deben conservarse durante al menos cinco años (art. 17 de la Ley 41/2002), precisamente para garantizar la continuidad asistencial y la seguridad del paciente.


Las infracciones: un fallo que va más allá de un error puntual


La AEPD aprecia tres infracciones graves del RGPD:


  • Artículo 9 RGPD (100.000 €): supresión de datos de salud—categoría especial—sin que concurriera ninguna de las excepciones del artículo 9.2.
  • Artículo 6 RGPD (100.000 €): tratamiento (en este caso, eliminación) sin base jurídica válida.
  • Artículo 25 RGPD (1.000.000 €): ausencia de privacidad desde el diseño y por defecto, al evidenciarse un problema estructural en la gestión de soportes con datos de salud.

La Agencia subraya que no se trata de un descuido aislado, sino de una deficiencia sistémica en los procedimientos internos.


Conclusiones


Entre los factores agravantes destacan el elevado volumen de negocio de la empresa, la extrema sensibilidad de los datos, la naturaleza sanitaria de su actividad y el daño irreversible causado al paciente, que podría afectar a estudios médicos futuros.


La resolución deja un mensaje claro para el sector sanitario: la minimización de datos no puede convertirse en una excusa para suprimir información que la ley obliga a conservar. Y menos aún cuando hablamos de datos de salud.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Navidades… ¿demasiado inteligentes? Los peligros ocultos de los juguetes con IA para niños

La nueva estrella de los regalos navideños


Estas Navidades, los juguetes con inteligencia artificial integrada se han convertido en uno de los productos más llamativos del mercado. Robots interactivos, peluches «conversacionales» y figuras animadas prometen hablar con los niños, responder preguntas, contar historias e incluso «aprender» de cada interacción.


Aunque juguetes parlantes existen desde hace décadas—basta recordar a los Furbies—, la diferencia ahora es sustancial: muchos de estos productos están conectados a modelos avanzados de IA, similares a los chatbots que utilizan los adultos. Y ahí es donde empiezan los problemas.


Tecnología novedosa, efectos desconocidos


Una reciente investigación del U.S. Public Interest Research Group (PIRG) y pruebas independientes realizadas por NBC News han encendido las alarmas. Los expertos advierten de que se trata de una tecnología poco probada en menores, cuyos efectos a medio y largo plazo se desconocen.


La pregunta clave, según los investigadores, es inquietante: ¿estamos «experimentando» con niños utilizando tecnologías que ni siquiera los adultos comprendemos del todo?


Respuestas peligrosas e inapropiadas


Las pruebas realizadas por la NBC News a varios juguetes populares revelaron comportamientos preocupantes. Algunos peluches y robots fueron capaces de:


  • Dar instrucciones detalladas para encender cerillas o afilar cuchillos.
  • Responder de forma explícita a preguntas sobre sexo, drogas o prácticas sexuales.
  • Ofrecer contenidos ideológicos o políticos sin ningún tipo de contexto.

En conversaciones prolongadas, los llamados «guardarraíles» de seguridad—diseñados para evitar contenidos inapropiados—fallaban con frecuencia, dejando pasar respuestas claramente incompatibles con un público infantil.


Privacidad infantil: el gran olvidado


Más allá del contenido, la protección de datos es otro de los grandes riesgos. Algunos de estos juguetes recogen y almacenan:


  • Grabaciones de voz.
  • Conversaciones completas.
  • Datos biométricos como rostro, tono emocional o patrones de uso.

En ciertos casos, estas informaciones pueden conservarse durante años y compartirse con terceros, pese a que el propio juguete asegure verbalmente al niño que «no contará nada a nadie». Una contradicción especialmente grave cuando hablamos de menores.


Dependencia emocional y vínculo artificial


Los expertos en desarrollo infantil alertan también del riesgo de apego emocional. Muchos de estos juguetes están diseñados para fomentar interacciones prolongadas, hacer preguntas constantes y «recompensar» al niño por seguir jugando.


El problema es que, a edades tempranas, este tipo de vínculo con una IA puede afectar al desarrollo del lenguaje, la socialización y la capacidad de relacionarse con personas reales. No es casualidad que pediatras y asociaciones infantiles recomienden limitar el tiempo de exposición a pantallas y dispositivos inteligentes.


¿Qué deberían tener en cuenta las familias esta Navidad?


La inteligencia artificial no es, en sí misma, el enemigo. Pero, aplicada sin suficiente regulación, transparencia ni estudios previos, puede convertirse en un riesgo real para los niños.


Estas Navidades, antes de colocar un juguete «inteligente» bajo el árbol, conviene hacerse algunas preguntas básicas: ¿qué datos recoge?, ¿quién los controla?, ¿qué tipo de respuestas puede dar?, ¿pueden los padres limitar su uso?


A veces, el mejor regalo no es el más tecnológico, sino aquel que fomenta el juego compartido, la creatividad y la conexión familiar. Porque no todo lo que habla… debería hacerlo.


Como siempre, cuidad los datos y ¡cuidaos!

EE. UU. endurece el control digital a turistas: redes sociales y privacidad en el centro del debate

Viajar a Estados Unidos podría dejar de ser un trámite relativamente sencillo para millones de personas. La Administración Trump ha anunciado una propuesta que obligaría a los viajeros que utilicen el Visa Waiver Program (VWP) a declarar los identificadores de redes sociales usados en los últimos cinco años como parte del proceso de autorización de viaje.


La medida, publicada por la U.S. Customs and Border Protection (CBP), forma parte de una estrategia más amplia destinada a reforzar el control migratorio y «examinar a los visitantes al máximo nivel posible». Si se aprueba, entraría en vigor el 8 de febrero y afectaría a ciudadanos de 42 países, principalmente europeos, además de Australia y otros socios tradicionales de EE. UU.


Más datos personales, más preguntas


El cambio no se limita a las redes sociales. El formulario ESTA pasaría a exigir también:


  • Todas las direcciones de correo electrónico utilizadas en los últimos diez años.
  • Información detallada sobre familiares directos (padres, hermanos, hijos y cónyuges), incluyendo nombres, fechas y lugares de nacimiento y domicilios.

Aunque el aviso se encuentra en fase de consulta pública durante 60 días, el alcance de la información solicitada ha generado inquietud inmediata, tanto dentro como fuera del país.


El impacto en el turismo y los negocios


Desde el sector turístico estadounidense, las reacciones han sido cautelosas pero preocupadas. La U.S. Travel Association ha advertido de que un proceso de entrada demasiado intrusivo puede provocar que los viajeros internacionales opten por otros destinos.


Esta preocupación no es menor si se tiene en cuenta el contexto: Estados Unidos será uno de los anfitriones del Mundial de Fútbol de 2026, un evento que se espera atraiga a millones de visitantes y contribuya a revitalizar el turismo internacional, que ha sufrido un descenso en los últimos años.


Las críticas no se han hecho esperar. La senadora demócrata Patty Murray ha ironizado e indicado que «sería más fácil prohibir directamente el turismo». Desde el ámbito académico, algunos analistas han señalado que el nivel de control propuesto resulta incluso más restrictivo que el aplicado por países con políticas fronterizas tradicionalmente duras.


Estas comparaciones han alimentado el debate sobre si la medida es realmente eficaz desde el punto de vista de la seguridad o si, por el contrario, supone un coste reputacional para EE. UU.


Privacidad digital: el gran debate de fondo


Desde una perspectiva de derecho digital, la propuesta plantea cuestiones clave sobre privacidad y tratamiento de datos personales. La recopilación masiva de información online y familiar contrasta con principios como la minimización y la proporcionalidad, ampliamente consolidados en normativas como el Reglamento General de Protección de Datos (RGPD) en Europa.


Aunque estas normas no sean directamente aplicables en EE. UU., sí influyen en la percepción que ciudadanos y empresas extranjeras tienen sobre la seguridad y el uso de sus datos.


Seguridad, dinero y contradicciones


De forma paralela, la Administración ha lanzado programas como la denominada «gold card», que permitiría obtener la residencia permanente a quienes inviertan un millón de dólares, o una futura «platinum card» de cinco millones. Una dualidad que refuerza la sensación de que el control no se aplica de igual forma a todos los perfiles.


En un mundo cada vez más digital, las fronteras ya no solo se controlan con pasaportes, sino también con datos. Y la pregunta clave sigue abierta: ¿hasta dónde estamos dispuestos a llegar en nombre de la seguridad?


Como siempre, cuidad los datos y ¡cuidaos!

Biometría en turbulencias: qué revela la sanción millonaria de la AEPD a AENA

La Agencia Española de Protección de Datos ha impuesto a AENA la multa más elevada de su historia: 10.043.002 € por la utilización de sistemas de reconocimiento facial en varios aeropuertos sin haber llevado a cabo una Evaluación de Impacto en Protección de Datos (EIPD) completa y válida, conforme a lo exigido por el artículo 35 del RGPD. La resolución, extensa y detallada, ofrece un análisis exhaustivo de las deficiencias detectadas en el diseño y la documentación del tratamiento de datos biométricos por parte de la entidad.


El expediente deja claro que el problema no fue la adopción de tecnología biométrica como concepto, sino cómo se diseñó y se justificó su implantación. La Agencia concluye que AENA no acreditó adecuadamente la necesidad, proporcionalidad ni los riesgos del sistema, aspectos que constituyen el núcleo de una EIPD robusta y previa.


Un tratamiento de alto riesgo sin una EIPD adecuada


A lo largo de la resolución, la AEPD identifica diversas carencias estructurales en la evaluación presentada por AENA:


  • Insuficiencia en el análisis de necesidad y proporcionalidad. Las EIPD no demostraban por qué era imprescindible recurrir a un sistema de identificación 1:N, basado en comparación contra bases de datos centralizadas, cuando existían métodos menos invasivos que podían cumplir la misma finalidad operativa.
  • Análisis de riesgos incompleto y desalineado con el proyecto inicial. La documentación aportada no incluía el análisis de riesgos original de 2021; en su lugar, se presentó uno elaborado en 2023, desconectado del diseño previo y, por tanto, incapaz de justificar el tratamiento desde su concepción.
  • Metodología inadecuada para un proyecto de alta complejidad. La Agencia subraya que se utilizaron herramientas orientadas a organizaciones más pequeñas, no adecuadas para un sistema implantado en varios aeropuertos y que trataba datos de categoría especial.
  • Falta de coherencia entre las advertencias recibidas y la continuidad del proyecto. AENA había planteado consultas previas en las que reconocía dificultades para reducir el riesgo a niveles aceptables, pero, aun así, avanzó hacia fases piloto y operativas sin disponer de una EIPD completa.

Un matiz importante: la AEPD no rechaza la biometría en aeropuertos


Aunque la sanción sea contundente, la Agencia no cuestiona que la biometría pueda utilizarse legítimamente en aeropuertos. De hecho, la propia resolución alude al Dictamen 11/2024 del Comité Europeo de Protección de Datos, que describe modelos de uso compatibles con el RGPD.


La clave está en el diseño. Existen escenarios en los que la tecnología biométrica se basa en:


  • Plantillas almacenadas únicamente en el dispositivo del pasajero.
  • Comparaciones 1:1 locales y efímeras.
  • Ausencia de almacenamiento centralizado por parte del operador.

Este tipo de soluciones, menos intrusivas y más contenidas, podrían superar el juicio de necesidad y proporcionalidad que exige el RGPD y que la AEPD ha echado en falta en el caso de AENA.


Conclusión: un aviso y una hoja de ruta


La sanción no cierra la puerta a la biometría, pero sí marca un estándar claro: cualquier tratamiento de este tipo exige justificación sólida, metodología adecuada y una EIPD exhaustiva, previa y bien fundamentada. La innovación y la eficiencia operativa son compatibles con la protección de datos, siempre que se integren desde el diseño las garantías necesarias.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Ni anonimato ni IA: el RGPD se aplica incluso a las imágenes manipuladas digitalmente

La Agencia Española de Protección de Datos (AEPD) ha vuelto a pronunciarse sobre uno de los fenómenos más alarmantes del entorno digital: la difusión de imágenes falsas de desnudos («deepnudes») creadas mediante inteligencia artificial. Ha impuesto una multa de 2.000 € (reducida finalmente a 1.200 € por reconocimiento y pago voluntario) a un particular por difundir imágenes manipuladas de menores en grupos de mensajería instantánea.


Aunque el sancionado no generó las imágenes, su participación en la difusión fue suficiente para que la Agencia apreciara una infracción del artículo 6.1 del RGPD, al tratarse de un tratamiento de datos personales sin base jurídica legítima.


Lo que dice el RGPD (y por qué importa aquí)


El artículo 6 del RGPD establece que todo tratamiento de datos personales debe fundarse en una base de licitud: consentimiento, obligación legal, interés público, contrato o interés legítimo. Si ninguna de ellas concurre—como en este caso—, el tratamiento es ilícito, incluso si el infractor no obtiene beneficio ni persigue un fin sexual.


La AEPD recuerda que el rostro de una persona es un dato personal (art. 4 RGPD), y que alterarlo o combinarlo con otro cuerpo no elimina esa condición, sino que la agrava: se crea una asociación falsa en un contexto íntimo, con potencial de causar graves daños reputacionales.


Por tanto, reenviar o publicar este tipo de imágenes constituye un tratamiento adicional, que requiere consentimiento y proporcionalidad. La ausencia de ambas bases legitima la sanción.


La IA no borra la responsabilidad


La resolución refuerza una idea clave: el uso de inteligencia artificial no exime de responsabilidad. La tecnología puede automatizar el daño, pero la decisión de compartir sigue siendo humana. Además, cuando los afectados son menores de edad, entra en juego el artículo 84 de la LOPDGDD, que refuerza la protección frente a la difusión de imágenes que puedan vulnerar su dignidad o derechos fundamentales.


Lecciones que deja el caso


  • La IA no anula la ley: las imágenes sintéticas siguen siendo datos personales si permiten identificar a una persona.
  • Compartir también es tratar: reenviar o publicar implica tratamiento y puede acarrear sanción.
  • Los menores cuentan con una protección reforzada, lo que eleva la gravedad de la infracción.
  • El RGPD es plenamente aplicable a la IA generativa: sus principios de licitud, minimización y proporcionalidad siguen siendo la base del cumplimiento.

Conclusiones


La sanción de 1.200 € —tras reducciones por reconocimiento y pago voluntario— resulta, cuanto menos, llamativamente baja si se compara con la gravedad moral y social de difundir imágenes falsas de desnudos de menores.


Aunque el RGPD permite graduar las multas en función de la proporcionalidad, cabe preguntarse si este tipo de conductas no merecerían también respuesta penal, especialmente cuando concurren elementos de humillación, acoso o afectación grave a la dignidad personal.


El caso invita a un debate necesario:


  • ¿Estamos aplicando sanciones realmente disuasorias frente a los nuevos riesgos digitales?
  • ¿Debe el Derecho penal intervenir cuando la inteligencia artificial amplifica el daño a menores?

La AEPD ha puesto el foco en la ilicitud del tratamiento de datos, pero la reflexión jurídica—y ética—va más allá: la tecnología puede replicar rostros, pero no puede replicar el consentimiento… ni reparar el daño emocional causado.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Revisión Textos Legales Web