Privacidad – protección de datos

5.1. Privacidad en un entorno disruptivo: IoT, Big Data, Cloud, redes sociales…
5.2. Marco normativo de protección de datos: España, Unión Europea, Privacy Shield, BCR y un mundo global.
5.3. Reglamento Europeo de Protección de Datos: análisis sistemático. Principios, obligaciones y régimen aplicable.
5.4. El responsable de tratamiento y sus obligaciones: evaluaciones de impacto y un nuevo modelo de cumplimiento en protección de datos.
5.5. Data Protection Officer (DPO): análisis detallado de sus funciones y obligaciones. Formación específica y habilitadora para el perfil DPO.
5.6. La privacidad en modelos de compliance y de certificación de protección de datos.

¿Tu empresa utiliza IA? A partir de agosto, la transparencia deja de ser una recomendación

por

La inteligencia artificial se ha incorporado con rapidez a asistentes virtuales, herramientas de generación de contenido, chatbots y numerosos procesos empresariales. Sin embargo, conforme aumenta su presencia, también lo hace la necesidad de que los usuarios sepan cuándo están interactuando con una IA y cuándo un contenido ha sido generado o modificado mediante esta tecnología.

Con este objetivo, el pasado 20 de julio la Comisión Europea publicó las directrices que desarrollan las obligaciones de transparencia previstas en el artículo 50 del Reglamento de Inteligencia Artificial ( AI Act /RIA), cuya aplicación comienza el 2 de agosto de 2026 . Estas directrices pretenden facilitar a proveedores y empresas usuarias la correcta interpretación de sus nuevas obligaciones.

La transparencia pasa a ser un requisito de cumplimiento

Las nuevas directrices buscan reducir el riesgo de engaño, manipulación y desinformación en un entorno en el que cada vez resulta más difícil distinguir el contenido generado por personas del creado por inteligencia artificial.

Entre otras cuestiones, aclaran cuándo será obligatorio informar a los usuarios que están interactuando con un sistema de IA, cuándo deben identificarse los contenidos generados o alterados mediante inteligencia artificial y en qué supuestos será necesario advertir sobre el uso de deepfakes , sistemas de reconocimiento de emociones o categorización biométrica.

En otras palabras, la transparencia deja de ser una buena práctica para convertirse en obligación legal.

Un impacto mucho más amplio de lo que parece

Muchas organizaciones consideran que estas obligaciones afectan únicamente a los grandes desarrolladores de IA. Sin embargo, la realidad es diferente.

Las obligaciones del artículo 50 también alcanzan a numerosas empresas que utilizan herramientas de IA en su actividad diaria: chatbots de atención al cliente , asistentes virtuales , generadores de contenido , aplicaciones de marketing o soluciones que incorporan funcionalidades de inteligencia artificial dentro de productos y servicios.

Por eso, no basta con confiar en que el proveedor tecnológico cumple la normativa . Cada organización debe analizar cómo utiliza la IA y qué obligaciones le corresponden como desplegador ( deployer ) de estos sistemas.

La gobernanza de la IA comienza por conocer qué se utiliza

La entrada en aplicación de estas obligaciones pone de manifiesto un problema que muchas empresas todavía no han abordado: desconocen cuántas herramientas de IA utilizan realmente sus empleados y para qué fines.

Antes de implantar avisos o políticas de transparencia resulta imprescindible identificar los sistemas utilizados, evaluar los riesgos asociados y definir procedimientos claros sobre su utilización.

Este ejercicio constituye el primer paso hacia una estrategia sólida de gobernanza de la inteligencia artificial.

Una oportunidad para generar confianza

Más allá del cumplimiento normativo, la transparencia supone una oportunidad para reforzar la confianza de clientes, empleados y socios comerciales.

Las organizaciones que integren en adelante políticas de uso responsable de la IA, revisen sus procesos y adapten sus herramientas a las nuevas exigencias reguladoras estarán mejor preparadas para afrontar un entorno donde la innovación y el cumplimiento tendrán que avanzar de la mano.

Porque el reto de verdad ya no consiste únicamente en incorporar inteligencia artificial , sino en demostrar que se utiliza de forma transparente, responsable y conforme a la normativa aplicable.

Como siempre, ¡cuidad los datos y cuidaos!

Las gafas inteligentes ya están aquí. Ahora el desafío real es proteger la privacidad

por

Las gafas inteligentes han dejado de ser un concepto futurista para convertirse en realidad comercial. Dispositivos como las Meta Ray-Ban ya permiten tomar fotografías, grabar vídeo, responder a preguntas mediante inteligencia artificial o interpretar lo que el usuario está viendo en tiempo real.

Precisamente esta combinación de cámaras, micrófonos e IA ha convertido a este tipo de dispositivos en uno de los ejemplos más representativos del desafío que afronta actualmente la industria tecnológica: ¿cómo ofrecer experiencias cada vez más inteligentes sin comprometer la privacidad de quienes las utilizan… y de quienes les rodean?

Un dispositivo que despertó dudas desde el primer día

Desde su lanzamiento, las Meta Ray-Ban han generado un intenso debate sobre privacidad.

A diferencia de un teléfono móvil, unas gafas inteligentes permiten capturar imágenes y vídeo de forma mucho más discreta, manteniendo una conversación o caminando por un espacio público sin que resulte evidente que existe una cámara en funcionamiento.

La llegada de nuevas funciones basadas en IA, capaces de interpretar escenas, recordar información del entorno o interactuar con el usuario en función de lo que está viendo, ha incrementado aún más estas preocupaciones.

La cuestión ya no consiste únicamente en quien utiliza las gafas, sino también en qué ocurre con la información de todas las personas que aparecen, hablan o simplemente se encuentran cerca del dispositivo.

La respuesta de Meta : la privacidad también debe formar parte del diseño

En este contexto, Meta ha anunciado una actualización destinada a reforzar una de las principales garantías de privacidad del dispositivo.

Las gafas dejarán de permitir la grabación si detectan que el indicador luminoso que avisa de que la cámara está activa ha sido manipulado, cubierto o inutilizado.

Aunque pueda parecer una modificación menor, el mensaje es relevante: las medidas de privacidad ya no pueden depender únicamente del comportamiento responsable del usuario, sino que deben incorporarse al propio diseño de la tecnología .

Este enfoque responde al principio de privacy by design , cada vez más presente tanto en la regulación como en las expectativas de consumidores y autoridades.

Mucho más que un debate sobre unas gafas

La polémica de las Meta Ray-Ban trasciende al propio dispositivo.

Cada vez más herramientas de inteligencia artificial incorporan cámaras, micrófonos, sensores o sistemas capaces de interpretar el entorno en tiempo real. Esto obliga a las organizaciones a plantearse nuevas preguntas sobre privacidad, protección de datos, transparencia y uso responsable de la tecnología.

No se trata únicamente de cumplir con la normativa, sino de gestionar adecuadamente los riesgos asociados a soluciones que procesan crecientes cantidades de información personal.

La confianza será el factor diferencial real

La inteligencia artificial seguirá integrándose en dispositivos de uso cotidiano. Sin embargo, el éxito de estas tecnologías no dependerá exclusivamente de sus capacidades técnicas.

Las empresas que desarrollen o incorporen soluciones basadas en IA deberán demostrar que cuentan con mecanismos sólidos de gobernanza, protección de datos y gestión del riesgo . Evaluaciones de impacto, políticas internas, controles técnicos y privacidad desde el diseño serán elementos cada vez más relevantes para generar confianza y cumplir con un entorno regulador en constante evolución.

Porque la próxima revolución de la inteligencia artificial no consistirá únicamente en crear dispositivos más inteligentes, sino en conseguir que usuarios, empresas y reguladores confíen en ellos.

Como siempre, ¡cuidad los datos y cuidaos!

Deepfakes, voz e imagen: el nuevo riesgo reputacional que también amenaza a las pymes

por

La inteligencia artificial generativa ha cambiado la forma de crear campañas: hoy una empresa puede lanzar anuncios con avatares, voces clonadas, testimonios sintéticos, imágenes retocadas o vídeos hiperrealistas. Pero esa facilidad también abre una nueva zona de riesgo: usar la imagen, la voz o la identidad de una persona sin consentimiento claro, sin control contractual o sin revisión previa. 


Para una pyme, el problema no es solo una posible reclamación legal. Es la pérdida de confianza. Una campaña percibida como engañosa, invasiva o poco transparente puede dañar la reputación digital de la marca en cuestión de horas. 


La reforma del derecho al honor pone el foco en la IA 


El debate ya está en la agenda legislativa. El Gobierno ya ha remitido al Congreso la reforma de la Ley Orgánica de protección civil del derecho al honor, la intimidad y la propia imagen, con el objetivo de adaptarla a fenómenos como los deepfakes, la explotación no autorizada de voz o imagen mediante IA y determinados contenidos de «true crime». 


El Ministerio de Justicia ya había avanzado que la nueva regulación considera ilegítimo usar la voz o la imagen de una persona sin autorización con fines publicitarios o comerciales mediante IA o tecnologías similares. También recuerda que compartir imágenes en redes sociales no significa que terceros puedan reutilizarlas libremente en otros canales. 


La idea de fondo es clara: devolver a las personas el control sobre su imagen, su voz y su identidad digital. 


Agencias y marcas: una responsabilidad compartida 


Llas agencias y profesionales del marketing ya no solo crean campañas. Crean activos digitales: vídeos, copies, automatizaciones, avatares, piezas con IA, testimonios, creatividades dinámicas y contenidos sintéticos. 


Eso exige una nueva responsabilidad. No basta con que una campaña sea creativa o viral, debe poder demostrar quién autorizó el uso de una imagen, qué alcance tenía ese consentimiento, qué herramientas se utilizaron, quién revisó el contenido y qué garantías contractuales existen entre cliente, agencia, proveedores y colaboradores. 


En otras palabras: impacto, sí. Pero con consentimiento, trazabilidad y seguridad jurídica. 


Qué deberían revisar las pymes antes de lanzar campañas con IA 


Antes de publicar una campaña que use imagen, voz, vídeos, avatares o contenidos generados con IA, conviene revisar al menos cuatro puntos: consentimiento específico para el uso previsto, contratos con agencias y proveedores, identificación de contenidos sintéticos cuando proceda y conservación de evidencias sobre aprobaciones, versiones y fuentes utilizadas. 


También es recomendable contar con un protocolo interno de uso de IA generativa y un plan de respuesta ante incidentes reputacionales: retirada de contenidos, comunicación de crisis, preservación de prueba digital y acciones legales si fuera necesario. 


La creatividad necesita control 


La IA ofrece enormes oportunidades para el marketing de las pymes, pero improvisar puede salir caro. La reputación digital se protege antes de publicar, no cuando la crisis ya está circulando. 


En Tecnolawyer ayudamos a las empresas a usar IA en marketing sin improvisar: con contratos, consentimiento, trazabilidad y evidencia. 


Como siempre, cuidad los datos y ¡cuidaos! 

Del reclutamiento a los ascensos: cómo la IA está transformando la gestión del talento

por

Como ya sabéis, la inteligencia artificial ha dejado de ser una herramienta reservada para áreas tecnológicas. Hoy participa activamente en procesos relacionados con la evaluación del desempeño, la promoción profesional, la compensación económica e incluso determinadas decisiones de gestión de personas.


Lo que comenzó como una herramienta de apoyo para automatizar tareas administrativas está evolucionando hacia sistemas capaces de analizar grandes volúmenes de información y generar recomendaciones que influyen directamente en la trayectoria profesional de los empleados.


Esta transformación ofrece importantes oportunidades para las organizaciones, pero también plantea desafíos jurídicos, éticos y de cumplimiento que no pueden pasarse por alto.


La IA entra en el corazón de la gestión del talento


Cada vez es más habitual que las empresas utilicen algoritmos para identificar candidatos con potencial de promoción, analizar métricas de productividad, detectar necesidades formativas o apoyar procesos de evaluación del desempeño.


La promesa es atractiva: decisiones más ágiles, basadas en datos y aparentemente más objetivas.


Sin embargo, cuando un sistema automatizado influye en cuestiones tan sensibles como una promoción, una revisión salarial o una medida disciplinaria, el impacto sobre las personas puede ser significativo.


Por ello, el verdadero desafío ya no consiste en incorporar inteligencia artificial, sino en garantizar que su utilización sea transparente, explicable y compatible con los derechos de los trabajadores.


El riesgo de confiar ciegamente en los algoritmos


La inteligencia artificial aprende a partir de los datos disponibles. Si esos datos contienen sesgos históricos, errores o patrones discriminatorios, el sistema puede reproducirlos o incluso amplificarlos.


Un modelo diseñado para identificar perfiles de alto rendimiento podría favorecer determinados comportamientos o trayectorias profesionales sin que la organización sea plenamente consciente de ello.


Además, muchas herramientas utilizan modelos complejos cuya lógica interna resulta difícil de interpretar, lo que complica justificar determinadas decisiones ante empleados, representantes de los trabajadores o autoridades supervisoras.


La falta de transparencia se está convirtiendo en uno de los principales riesgos asociados al uso de IA en recursos humanos.


Gobernanza, cumplimiento y supervisión humana


La regulación internacional está avanzando hacia un modelo en el que determinadas aplicaciones de IA relacionadas con el empleo serán consideradas de alto riesgo.


En consecuencia, las organizaciones deberán demostrar que cuentan con mecanismos adecuados de supervisión, control y gestión de riesgos.


Esto implica, entre otras cuestiones:


  • Evaluar previamente el impacto de las herramientas utilizadas.
  • Garantizar la calidad de los datos empleados.
  • Mantener supervisión humana efectiva sobre las decisiones relevantes.
  • Documentar los criterios utilizados por los sistemas.
  • Implementar medidas para detectar y corregir posibles sesgos.

La automatización puede mejorar la eficiencia, pero no elimina la responsabilidad de la empresa sobre las decisiones adoptadas.


Una oportunidad para construir confianza


La inteligencia artificial tiene el potencial de mejorar significativamente la gestión del talento, siempre que se utilice dentro de un marco adecuado de gobernanza.


Las organizaciones que integren desde el principio criterios de cumplimiento, protección de datos, transparencia y supervisión humana estarán mejor preparadas para aprovechar los beneficios de estas tecnologías sin comprometer la confianza de sus empleados.


En un entorno cada vez más regulado, la ventaja competitiva no vendrá únicamente de adoptar inteligencia artificial, sino de demostrar que se utiliza de forma responsable, ética y alineada con los derechos de las personas.


Como siempre, cuidad los datos y ¡cuidaos!

De usuarios anónimos a usuarios identificados: cómo está cambiando la relación con la IA

por

Parece que la inteligencia artificial está entrando en una nueva etapa. Ya no se trata únicamente de qué pueden hacer los modelos, sino de qué información deberán proporcionar los usuarios para acceder a ellos.


Recientemente, Anthropic ha anunciado cambios en las condiciones de uso de Claude que permitirán solicitar procesos de verificación de identidad y edad a determinados usuarios. Entre los datos que podrían utilizarse para estas verificaciones, se encuentran documentos oficiales de identidad e información biométrica obtenida a partir de imágenes o vídeos faciales. Estos cambios entran en vigor a partir del 8 de julio de 2026.



Más allá del caso concreto, la decisión refleja una tendencia que probablemente veremos cada vez con mayor frecuencia en el sector tecnológico: el paso de plataformas abiertas y relativamente anónimas a entornos donde la identificación del usuario será un requisito habitual.


Más seguridad, pero también más responsabilidad


Las compañías de IA se enfrentan a una presión creciente para prevenir fraudes, evitar usos indebidos de sus herramientas y cumplir con nuevas exigencias regulatorias.


Desde esta perspectiva, la verificación de identidad puede resultar una medida razonable. Sin embargo, también supone la recopilación de información especialmente sensible que incrementa las obligaciones de privacidad, seguridad y cumplimiento.


La pregunta ya no es únicamente cómo desarrollar sistemas de IA más potentes, sino cómo gestionar de forma responsable los datos necesarios para operar esos sistemas.


Cuando la biometría entra en juego


La utilización de reconocimiento facial o mecanismos similares introduce un nivel de complejidad jurídica significativamente mayor.


Los datos biométricos se encuentran entre las categorías de información más sensibles desde la perspectiva de la protección de datos. Su tratamiento exige analizar cuestiones como la proporcionalidad, la minimización de datos, la transparencia y la seguridad de la información.


Además, cualquier incidente relacionado con este tipo de datos puede generar un impacto reputacional considerable para las organizaciones implicadas.


Lo que las empresas deberían aprender de este caso


Aunque la noticia afecta directamente a una plataforma de IA, las implicaciones van mucho más allá.


Muchas organizaciones ya están incorporando herramientas de inteligencia artificial en sus operaciones diarias sin haber evaluado adecuadamente qué datos recopilan esos sistemas, qué proveedores intervienen o qué obligaciones regulatorias pueden surgir.


Por ello, cada vez resulta más importante contar con una estrategia de gobernanza de IA que incluya:


  • Evaluación de riesgos.
  • Protección de datos desde el diseño.
  • Gestión de proveedores tecnológicos.
  • Políticas internas de uso de IA.
  • Cumplimiento normativo y auditorías periódicas.

La confianza será la verdadera ventaja competitiva


La inteligencia artificial seguirá evolucionando y los mecanismos de identificación probablemente se volverán más habituales. Sin embargo, las organizaciones que generen mayor confianza no serán necesariamente las que utilicen más IA, sino aquellas capaces de demostrar que gestionan correctamente los datos de sus usuarios.


En este escenario, la gobernanza de IA, la protección de datos y el cumplimiento normativo dejan de ser cuestiones exclusivamente jurídicas para convertirse en elementos estratégicos de negocio. Y precisamente ahí es donde las empresas necesitarán cada vez más acompañamiento especializado para innovar sin comprometer la confianza de clientes, empleados y socios comerciales.


Como siempre, cuidad los datos y ¡cuidaos!

¿Los datos están en redes sociales? Eso no autoriza a tu empresa a utilizarlos

por

Las reseñas online se han convertido en un elemento clave para la reputación de cualquier negocio. Sin embargo, cuando una empresa responde impulsivamente a una crítica negativa, el problema puede dejar de ser reputacional para convertirse en una cuestión de cumplimiento normativo.


Una reciente resolución de la Agencia Española de Protección de Datos (AEPD) vuelve a poner sobre la mesa una cuestión que muchas organizaciones siguen ignorando: la protección de datos también aplica en las respuestas a comentarios, reseñas y publicaciones realizadas en internet.


Cuando gestionar una crítica se convierte en un problema legal


El caso analizado por la AEPD tiene su origen en varias reseñas negativas publicadas por clientes en el perfil de Google de un establecimiento. Como respuesta, la empresa decidió publicar diversa información personal de quienes habían realizado los comentarios, incluyendo datos identificativos y referencias a aspectos de su vida privada.


La actuación terminó derivando en una sanción económica y en la obligación de eliminar los contenidos publicados.


Más allá de los detalles concretos del caso, la resolución resulta especialmente relevante porque aborda una práctica relativamente frecuente: utilizar información obtenida en redes sociales para responder públicamente a clientes o usuarios.


Que un dato sea público no significa que pueda reutilizarse libremente


Uno de los argumentos planteados por la empresa era que parte de la información publicada podía encontrarse en perfiles de redes sociales.


La AEPD rechaza expresamente esta interpretación y recuerda que la mera disponibilidad de un dato en internet no autoriza a terceros a recopilarlo, reutilizarlo o difundirlo libremente.


Desde la perspectiva del RGPD, acceder a información personal, recopilarla y volver a publicarla constituye un tratamiento de datos personales que requiere una base jurídica válida.


En otras palabras: que un usuario comparta determinada información en una red social no convierte esos datos en un recurso de libre utilización para empresas, empleados o terceros.


El riesgo aumenta cuando intervienen datos especialmente sensibles


La resolución adquiere una dimensión aún más relevante porque parte de la información divulgada hacía referencia a aspectos relacionados con la orientación sexual de una de las personas afectadas.


Este tipo de información forma parte de las categorías especiales de datos contempladas por el RGPD, cuyo tratamiento está sujeto a un nivel de protección reforzado y únicamente puede realizarse en circunstancias muy concretas.


La publicación de este tipo de información en un entorno abierto y accesible para cualquier usuario supone un riesgo significativo para los derechos y libertades de las personas afectadas y puede dar lugar a consecuencias regulatorias especialmente severas.


La gestión de la reputación digital requiere protocolos


Las organizaciones suelen invertir recursos en marketing digital, gestión de redes sociales y atención al cliente online. Sin embargo, no siempre existen procedimientos claros sobre qué información puede utilizarse al responder públicamente a usuarios.


La realidad es que una respuesta impulsiva de un empleado, un community manager o incluso de la dirección de la empresa puede generar riesgos legales, reputacionales y económicos muy superiores al impacto de una reseña negativa.


Por ello, resulta recomendable que las compañías integren la protección de datos dentro de sus políticas de comunicación digital, formando a sus equipos y estableciendo controles específicos para la gestión de comentarios, reclamaciones y conflictos en entornos online.


Protección de datos y reputación: dos caras de la misma moneda


En un contexto en el que la actividad empresarial se desarrolla cada vez más en plataformas digitales, la reputación corporativa y el cumplimiento normativo están estrechamente conectados.


La gestión adecuada de datos personales, el diseño de protocolos de respuesta y la formación en privacidad son elementos esenciales para evitar que una crisis reputacional puntual termine convirtiéndose en un procedimiento sancionador.


Porque en materia de protección de datos, responder a una crítica puede ser legítimo; exponer públicamente información personal de quien la realiza, no.


Como siempre, cuidad los datos y ¡cuidaos!


Para leer la resolución, haga clic aquí.

Transcripción de voz con IA: la pregunta no es si funciona, sino si tu organización está preparada

por

La IA transcribe, pero la responsabilidad sigue siendo humana


La creciente adopción de herramientas de inteligencia artificial para transcribir reuniones, llamadas o conversaciones está transformando la forma en que las organizaciones gestionan la información. Agilidad, automatización y eficiencia son ventajas evidentes. Sin embargo, detrás de esa mejora operativa existe una cuestión que muchas empresas todavía no se han planteado: ¿quién responde cuando la tecnología se equivoca?


La reciente reflexión de la AEPD recuerda una idea esencial: utilizar IA para transcribir voz no implica trasladar la responsabilidad al proveedor tecnológico. La organización que decide implantar estas herramientas sigue siendo responsable del tratamiento y de sus consecuencias.


Cuando un error de transcripción deja de ser un error menor


Los errores pueden tener un impacto mucho mayor de lo que parece. Una transcripción puede atribuir una declaración a la persona equivocada, eliminar matices relevantes o registrar datos incorrectos. Un nombre mal identificado, un cargo erróneo o una frase sacada de contexto pueden afectar a la calidad de la información y, en determinados escenarios, generar riesgos jurídicos y de cumplimiento.


La cuestión no es si la tecnología falla—porque puede hacerlo—, sino si la organización ha previsto qué ocurrirá cuando suceda.


Transparencia, conservación y derechos: riesgos que suelen pasar desapercibidos


La transparencia también ocupa un papel central. Las personas deben conocer de forma clara cuándo su voz está siendo tratada mediante sistemas de IA, con qué finalidad y qué uso posterior puede darse a esa información.


Además, es necesario revisar aspectos que con frecuencia pasan desapercibidos: ¿las grabaciones se conservan más tiempo del necesario?, ¿los datos se utilizan para reentrenar modelos?, ¿existen mecanismos sencillos para rectificar errores o ejercer derechos?


La experiencia demuestra que muchas organizaciones incorporan soluciones de transcripción automática como una funcionalidad más dentro de plataformas colaborativas o herramientas de productividad, sin analizar realmente las implicaciones de privacidad y gobernanza que incorporan.


La verdadera pregunta: ¿ha revisado tu organización todo lo que debería?


Quizá la pregunta relevante ya no sea si utilizar o no estas herramientas. La cuestión es otra: ¿tu organización ha revisado realmente todo lo que debería revisar?


  • ¿Ha analizado el papel y las responsabilidades del proveedor?
  • ¿Existen protocolos para validar y corregir transcripciones erróneas?
  • ¿Se han definido periodos adecuados de conservación?
  • ¿Se informa correctamente a empleados, clientes o participantes?
  • ¿Se han evaluado los riesgos desde una perspectiva de privacidad y cumplimiento?

La inteligencia artificial puede aportar una enorme ventaja competitiva, pero la innovación sostenible exige algo más que implementar tecnología: requiere hacerlo con garantías.


Las organizaciones que obtendrán mayor valor de estas herramientas no serán necesariamente las que adopten más IA, sino aquellas que hayan dedicado tiempo a entender sus implicaciones y a implantarla con garantías.


Como siempre, cuidad los datos y ¡cuidaos!

XII Congreso Internacional de Privacidad e Inteligencia Artificial de APEP·IA

por

Los pasados 7 y 8 de mayo el equipo de Tecnolawyer asistió al XII Congreso Internacional de Privacidad e Inteligencia Artificial organizado por APEP·IA, un encuentro de referencia para profesionales del ámbito de la privacidad, la protección de datos y la gobernanza de la inteligencia artificial.


Durante las distintas sesiones y mesas de debate, el Congreso reunió a representantes institucionales, expertos jurídicos, académicos y compañías tecnológicas para analizar los retos que plantea la rápida evolución de la IA desde una perspectiva regulatoria, ética y operativa. A lo largo de las jornadas se abordaron cuestiones especialmente relevantes relacionadas con la aplicación práctica de la normativa de protección de datos, la gestión de riesgos, la transparencia de los sistemas de IA y la necesidad de avanzar hacia modelos de gobernanza responsables y sostenibles.


Uno de los aspectos más destacados del evento fue el enfoque práctico de muchas de las intervenciones, centradas en cómo las organizaciones pueden adaptarse al nuevo contexto tecnológico y regulatorio. La creciente integración de herramientas de inteligencia artificial en procesos empresariales y entornos laborales está generando nuevos desafíos en materia de privacidad, seguridad de la información y cumplimiento normativo, lo que exige una aproximación cada vez más transversal y estratégica.


El Congreso también puso de manifiesto el papel clave que está desempeñando Europa en la definición de estándares regulatorios en torno a la inteligencia artificial y la protección de datos. Los distintos debates reflejaron la importancia de encontrar un equilibrio entre innovación y garantía de derechos fundamentales, así como la necesidad de que empresas y profesionales se mantengan preparados ante un marco normativo en constante evolución.


Nuestra asistencia a este encuentro ha supuesto una excelente oportunidad para conocer de primera mano las tendencias y prioridades que marcarán el desarrollo de la IA en los próximos años, así como para compartir experiencias con otros profesionales del sector.


Desde nuestra firma, seguimos apostando por una visión de la innovación tecnológica alineada con el cumplimiento normativo, la protección de datos y la adopción responsable de soluciones de inteligencia artificial.


Agradecemos a APEP·IA la organización de un Congreso de gran nivel técnico y plenamente conectado con los desafíos actuales del entorno digital.


Como siempre, cuidad los datos y ¡cuidaos!

Píxeles en email marketing: el «invisible» que puede costarte 100.000 €

por

El email marketing sigue siendo una de las herramientas más rentables para las empresas. Pero hay un detalle técnico que muchas organizaciones utilizan sin cuestionarlo—y que ya está generando sanciones relevantes—: los píxeles de seguimiento.


Esos pequeños fragmentos de código que permiten saber si alguien abre un correo, cuándo lo hace o desde qué dispositivo. Útiles, sí. Inofensivos, no siempre.


La Agencia Española de Protección de Datos (AEPD) ya ha dejado claro el mensaje: no puedes rastrear sin permiso, aunque sí puedas enviar el email.


1. Recibir emails no significa aceptar ser monitorizado


Uno de los principales errores detectados es asumir que la aceptación de comunicaciones comerciales incluye, de forma implícita, el consentimiento para el seguimiento de la actividad del destinatario.


Desde el punto de vista normativo, esto no es correcto.


El uso de píxeles implica acceder al terminal del usuario para recabar información, lo que sitúa esta práctica dentro del ámbito del artículo 22.2 de la LSSI, en línea con el régimen aplicable a cookies y tecnologías similares.


Esto exige información previa clara y consentimiento específico, expreso y separado.


2. El píxel «invisible» no es neutro


Desde el punto de vista técnico, el píxel funciona como una orden al dispositivo del usuario para enviar información a un servidor externo.


Esto puede incluir:


  • si ha abierto el email,
  • a qué hora,
  • desde qué dispositivo,
  • e incluso patrones de comportamiento.

Cuando esta recogida se produce sin conocimiento del destinatario, puede vulnerar los principios de transparencia y lealtad establecidos en el RGPD.


3. Europa lo tiene claro: esto es como una cookie


El Comité Europeo de Protección de Datos ha equiparado el uso de píxeles a otras tecnologías de seguimiento, lo cual consolida la exigencia de consentimiento válido conforme a los estándares del Tribunal de Justicia de la Unión Europea.


Esto implica, entre otras cuestiones: exclusión de mecanismos basados en consentimiento tácito, invalidez de casillas premarcadas y necesidad de una acción afirmativa clara por parte del usuario.


Por lo tanto, el consentimiento debe ser claro, informado y verificable.


4. No es solo tu proveedor: la responsabilidad también es tuya


Otro punto crítico (y muy relevante a nivel comercial) es que muchas empresas utilizan herramientas de email marketing sin revisar qué hacen exactamente. Sin embargo, el hecho de que el tracking lo proporcione una plataforma externa no elimina tu responsabilidad.


Si se decide usar esas métricas, se definen sus parámetros o se obtienen beneficios de ellas, se está participando en el tratamiento de datos, por lo que eso te convierte en responsable (o corresponsable) del tratamiento.


Este aspecto resulta especialmente relevante en contextos de auditoría o inspección.


5. El precedente: 100.000 € por rastrear sin informar


La AEPD ya ha sancionado este tipo de prácticas en casos en los que no se informaba adecuadamente al usuario, no existía una base jurídica válida, y el tratamiento se realizaba de forma opaca.


En uno de sus últimos expedientes (PS/00328/2022), la sanción ha alcanzado la suma total de 100.000 €. En este sentido, la AEPD ha subrayado que la utilidad comercial de estas herramientas no justifica su uso sin garantías adecuadas. Esta sanción ha sido ratificada posteriormente en el recurso de reposición.


Conclusión: el problema no es medir, es cómo se hace


Medir resultados en marketing es necesario, pero hacerlo sin control puede salir caro.


El verdadero riesgo no está en usar tecnología de analítica, sino en hacerlo:


  • sin consentimiento adecuado,
  • sin transparencia,
  • y sin entender qué datos se están tratando realmente.

Aquí es donde muchas empresas fallan: no en la herramienta, sino en la configuración.


En un contexto de creciente exigencia regulatoria, resulta imprescindible que las organizaciones puedan responder con claridad a una cuestión básica: ¿qué datos se están recogiendo en nuestras campañas de email y bajo qué legitimación?


Cuando esta respuesta no está claramente definida, el riesgo deja de ser teórico y pasa a ser operativo.


Como siempre, cuidad los datos y ¡cuidaos!

Revisión Textos Legales Web