Privacitat – protecció de dades

5.1. Privacidad en un entorno disruptivo: IoT, Big Data, Cloud, redes sociales…
5.2. Marco normativo de protección de datos: España, Unión Europea, Privacy Shield, BCR y un mundo global.
5.3. Reglamento Europeo de Protección de Datos: análisis sistemático. Principios, obligaciones y régimen aplicable.
5.4. El responsable de tratamiento y sus obligaciones: evaluaciones de impacto y un nuevo modelo de cumplimiento en protección de datos.
5.5. Data Protection Officer (DPO): análisis detallado de sus funciones y obligaciones. Formación específica y habilitadora para el perfil DPO.
5.6. La privacidad en modelos de compliance y de certificación de protección de datos.

Email marketing ≠ publicitat en xarxes socials: la sanció de 3’5 M€ que tot equip de màrqueting hauria de conèixer

per

L'autoritat francesa de protecció de dades (CNIL) ha imposat una sanció administrativa de 3,5 milions d'euros a una empresa per múltiples incompliments del Reglament General de Protecció de Dades (RGPD). El cas és especialment rellevant perquè gira entorn d'una infracció tan habitual com perillosa: utilitzar dades personals per a una finalitat distinta d'aquella per a la qual van ser recollides.

La decisió, adoptada el 30 de desembre de 2025 en cooperació amb 16 autoritats europees, afecta a més de 10’5 milions de persones i ha estat publicada amb finalitats exemplaritzants, donada l'extensió d'aquestes pràctiques en el mercat.

Què va ocórrer?

Des de febrer de 2018, l'empresa transmetia adreces de correu electrònic i números de telèfon dels membres del seu programa de fidelització a una xarxa social, amb l'objectiu de mostrar-los publicitat personalitzada mitjançant tècniques de custom audiences o CRM matching.

L'empresa va al·legar comptar amb el consentiment dels usuaris. No obstant això, aquest consentiment s'havia recaptat únicament per a l'enviament de comunicacions comercials per SMS i correu electrònic, no per a la comunicació de dades a un tercer ni per a la segmentació publicitària en xarxes socials.

El problema clau: el consentiment no era vàlid

El tractament mancava de base legal vàlida (art. 6 RGPD) perquè:

  • En el formulari d'adhesió al programa de fidelització no s'informava de la cessió de dades a una xarxa social.
  • La política de privacitat era confusa, incompleta o directament errònia, i no permetia comprendre la finalitat real del tractament.
  • No existia un consentiment específic, informat i inequívoc, com hauria estat, per exemple, una casella separada que esmentés expressament la publicitat personalitzada en xarxes socials.

Altres incompliments sancionats

A més del problema de base legal, la CNIL va identificar múltiples infraccions addicionals:

  • Falta de transparència ( 12 i 13 RGPD): Les finalitats no es vinculaven clarament amb les seves bases jurídiques, faltava informació sobre terminis de conservació i es continuava esmentant el Privacy Shield, ja invalidat.
  • Deficiències en la seguretat ( 32 RGPD): Les polítiques de contrasenyes no eren prou robustes i s'utilitzava SHA-256 per a l'emmagatzematge de contrasenyes, un mètode que no es considera adequat enfront d'atacs de força bruta.
  • Absència d'anàlisi d'impacte (DPIA / AIPD) ( 35 RGPD). El tractament implicava:
    • grans volums de dades,
    • encreuament d'informació,
    • publicitat personalitzada en plataformes de tercers.

Tot això exigia una avaluació d'impacte prèvia, que mai es va realitzar.

Lliçons clau per a les empreses

Aquest cas deixa diversos missatges clars:

  • El consentiment no és reutilitzable: cada finalitat exigeix la seva pròpia base legal.
  • El CRM matching i la publicitat en xarxes socials no són extensions naturals de l'email o SMS màrqueting.
  • La transparència no és un tràmit formal, sinó un requisit material.
  • Si hi ha segmentació, encreuament de dades i gran escala, la DPIA no és opcional.
  • La seguretat tècnica (contrasenyes, hashing) continua sent un pilar essencial del compliment.

Conclusió

La sanció de la CNIL reforça un principi bàsic del RGPD: les dades poden utilitzar-se únicament per a les finalitats específiques, explícites i legítimes per a les quals van ser recollides.

En un context de màrqueting cada vegada més sofisticat i dependent de plataformes externes, aquest tipus de decisions recorden que el compliment en protecció de dades comença en el disseny del tractament, no quan arriba una inspecció.

Com sempre, cuideu les dades i cuideu-vos!

Per consultar la resolució, feu clic aquí.

Minimització mal entesa: 1’2 milions d’euros per destruir dades de salut

per

L'Agència Espanyola de Protecció de Dades (AEPD) ha imposat una multa d'1.200.000 euros a IDCQ Hospitals i Sanitat, SLU (Quirón Salud Madrid) per l'eliminació indeguda de proves mèdiques aportades per un pacient. El cas posa el focus en un aspecte crític—i sovint mal entès—de la protecció de dades en l'àmbit sanitari: la conservació de la documentació clínica, fins i tot quan no ha estat generada pel propi centre.

Els fets: un CD que mai va tornar

Al novembre de 2021, un pacient va lliurar a l'hospital un CD amb ressonàncies magnètiques realitzades entre 2018 i 2020 a altres centres, amb l'objectiu que fossin comparades clínicament amb una nova prova abans de sotmetre's al seu tractament assistencial a l'hospital. Mesos després, en sol·licitar la devolució del suport, l'hospital li va comunicar que les imatges ja no estaven disponibles a causa de la seva política interna d'eliminació d'arxius per falta d'espai.

La resposta va ser clara: el suport havia estat destruït després de no ser recollit en el termini d'un mes.

La defensa de l'hospital: minimització i criteri mèdic

L'hospital va al·legar que el CD no formava part de la història clínica oficial al ser una prova provinent d’altres centres, que la informació rellevant ja havia estat incorporada a l'informe mèdic i que conservar les imatges originals seria contrari al principi de minimització de dades. A més, va sostenir que el pacient havia estat informat del termini de recollida, pel que la seva falta d'acció durant aquest termini legitimava la destrucció del suport.

Un plantejament que, sobre el paper, semblava alinear-se amb uns certs principis del RGPD. Però que no va convèncer a l'AEPD.

El criteri de l'AEPD: documentació clínica no és només història clínica

L'Agència rebutja de manera categòrica aquestes al·legacions. Secundant-se en la Llei 41/2002, d'autonomia del pacient, recorda que existeix una diferència clau entre història clínica i documentació clínica.

Aquesta última inclou qualsevol suport que contingui informació assistencial, amb independència del seu origen o de qui l'hagi generat. És a dir, la llei no diferència entre si la documentació clínica ha estat aportada pel pacient o generada pel centre.

Per tant, aquí està el punt central: les proves aportades pel pacient també són documentació clínica, i consegüentment, han de conservar-se durant almenys cinc anys (art. 17 de la Llei 41/2002), precisament per a garantir la continuïtat assistencial i la seguretat del pacient.

Les infraccions: un error que va més enllà d'un error puntual

L'AEPD aprecia tres infraccions greus del RGPD:

  • Article 9 RGPD (100.000 €): supressió de dades de salut—categoria especial—sense que concorregués cap de les excepcions de l'article 9.2.
  • Article 6 RGPD (100.000 €): tractament (en aquest cas, eliminació) sense base jurídica vàlida.
  • Article 25 RGPD (1.000.000 €): absència de privacitat des del disseny i per defecte, en evidenciar-se un problema estructural en la gestió de suports amb dades de salut.

L'Agència subratlla que no es tracta d'un descuit aïllat, sinó d'una deficiència sistèmica en els procediments interns.

Conclusions

Entre els factors agreujants destaquen l'elevat volum de negoci de l’empresa, l'extrema sensibilitat de les dades, la naturalesa sanitària de la seva activitat i el dany irreversible causat al pacient, que podria afectar estudis mèdics futurs.

La resolució deixa un missatge clar per al sector sanitari: la minimització de dades no pot convertir-se en una excusa per a suprimir informació que la llei obliga a conservar. I encara menys quan parlem de dades de salut.

Com sempre, cuideu les dades i cuideu-vos!

Per consultar la resolució, feu clic aquí.

Un Nadal … massa intel·ligent? Els perills ocults de les joguines amb IA per a nens

per

La nova estrella dels regals nadalencs

Aquest Nadal, les joguines amb intel·ligència artificial integrada s'han convertit en un dels productes més destacats del mercat. Robots interactius, peluixos «conversacionals» i figures animades prometen parlar amb els nens, respondre preguntes, contar històries i fins i tot «aprendre» de cada interacció.

Encara que joguines parlants existeixen des de fa dècades—basta recordar als Furbies—, la diferència ara és substancial: molts d'aquests productes estan connectats a models avançats d’IA, similars als chatbots que utilitzen els adults. I aquí és on comencen els problemes.

Tecnologia nova, efectes desconeguts

Una recent investigació de l'U.S. Public Interest Research Group (PIRG) i proves independents realitzades per la NBC News han encès les alarmes. Els experts adverteixen de què es tracta d'una tecnologia poc provada en menors, els efectes de les quals a mitjà i llarg termini es desconeixen.

La pregunta clau, segons els investigadors, és inquietant: estem «experimentant» amb nens utilitzant tecnologies que ni tan sols els adults comprenem del tot?

Respostes perilloses i inapropiades

Les proves de la NBC News realitzades a diverses joguines populars van revelar comportaments preocupants. Alguns peluixos i robots van ser capaços de:

  • Donar instruccions detallades per a encendre llumins o esmolar ganivets.
  • Respondre de manera explícita a preguntes sobre sexe, drogues o pràctiques sexuals.
  • Oferir continguts ideològics o polítics sense cap mena de context.

En converses prolongades, les anomenades «barreres de seguretat» de seguretat—dissenyades per a evitar continguts inapropiats—fallaven amb freqüència, deixant passar respostes clarament incompatibles amb un públic infantil.

Privacitat infantil: el gran oblidat

Més enllà del contingut, la protecció de dades és un altre dels grans riscos. Alguns d'aquestes joguines recullen i emmagatzemen:

  • Gravacions de veu.
  • Converses completes.
  • Dades biomètriques com el rostre, to emocional o patrons d'ús.

En uns certs casos, aquestes informacions poden conservar-se durant anys i compartir-se amb tercers, malgrat que la pròpia joguina asseguri verbalment al nen que «no comptarà res a ningú». Una contradicció especialment greu quan parlem de menors.

Dependència emocional i vincle artificial

Els experts en desenvolupament infantil alerten també del risc d’afecció emocional. Moltes d'aquestes joguines estan dissenyades per a fomentar interaccions prolongades, fer preguntes constants i «recompensar» al nen per continuar jugant.

El problema és que, a edats primerenques, aquest tipus de vincle amb una IA pot afectar el desenvolupament del llenguatge, la socialització i la capacitat de relacionar-se amb persones reals. No és casualitat que pediatres i associacions infantils recomanin limitar el temps d'exposició a pantalles i dispositius intel·ligents.

Què haurien de tenir en compte les famílies aquest Nadal?

La intel·ligència artificial no és, en si mateixa, l'enemic. Però, aplicada sense suficient regulació, transparència ni estudis previs, pot convertir-se en un risc real per als nens.

Aquest Nadal, abans de col·locar una joguina «intel·ligent» sota l'arbre, convé fer-se algunes preguntes bàsiques: quines dades recull?, qui els controla?, quin tipus de respostes pot donar?, poden els pares limitar el seu ús?

A vegades, el millor regal no és el més tecnològic, sinó aquell que fomenta el joc compartit, la creativitat i la connexió familiar. Perquè no tot el que parla… hauria de fer-ho.

Com sempre, cuideu les dades i cuideu-vos!

Els EE.UU endureixen el control digital a turistes: xarxes socials i privacitat en el centre del debat

per

Viatjar als Estats Units podria deixar de ser un tràmit relativament senzill per a milions de persones. L'Administració Trump ha anunciat una proposta que obligaria als viatgers que utilitzin el Visa Waiver Program (VWP) a declarar els identificadors de xarxes socials usats en els últims cinc anys com a part del procés d'autorització de viatge.

La mesura, publicada per la U.S. Customs and Border Protection (CBP), forma part d'una estratègia més àmplia destinada a reforçar el control migratori i «examinar als visitants al màxim nivell possible». Si s'aprova, entraria en vigor el 8 de febrer i afectaria ciutadans de 42 països, principalment europeus, a més d'Austràlia i altres socis tradicionals dels EE.UU

Més dades personals, més preguntes

El canvi no es limita a les xarxes socials. El formulari ESTA passaria a exigir també:

  • Totes les adreces de correu electrònic utilitzades en els últims deu anys.
  • Informació detallada sobre familiars directes (pares, germans, fills i cònjuges), incloent-hi noms, dates i llocs de naixement i domicilis.

Encara que l'avís es troba en fase de consulta pública durant 60 dies, l'abast de la informació sol·licitada ha generat inquietud immediata, tant dins com fora del país.

L'impacte en el turisme i els negocis

Des del sector turístic estatunidenc, les reaccions han estat cauteloses però preocupades. La U.S. Travel Association ha advertit que un procés d'entrada massa intrusiu pot provocar que els viatgers internacionals optin per altres destins.

Aquesta preocupació no és menor si es té en compte el context: els Estats Units serà un dels amfitrions del Mundial de Futbol de 2026, un esdeveniment que s'espera atregui a milions de visitants i contribueixi a revitalitzar el turisme internacional, que ha sofert un descens en els últims anys.

Les crítiques no s'han fet esperar. La senadora demòcrata Patty Murray ha ironitzat i indicat que «seria més fàcil prohibir directament el turisme». Des de l'àmbit acadèmic, alguns analistes han assenyalat que el nivell de control proposat resulta fins i tot més restrictiu que l'aplicat per països amb polítiques frontereres tradicionalment dures.

Aquestes comparacions han alimentat el debat sobre si la mesura és realment eficaç des del punt de vista de la seguretat o si, per contra, suposa un cost reputacional per als EE.UU.

Privacitat digital: el gran debat de fons

Des d'una perspectiva de dret digital, la proposta planteja qüestions clau sobre privacitat i tractament de dades personals. La recopilació massiva d'informació en línia i familiar contrasta amb principis com la minimització i la proporcionalitat, àmpliament consolidats en normatives com el Reglament General de Protecció de Dades (RGPD) a Europa.

Encara que aquestes normes no siguin directament aplicables als EUA, sí que influeixen en la percepció que ciutadans i empreses estrangeres tenen sobre la seguretat i l'ús de les seves dades.

Seguretat, diners i contradiccions

De manera paral·lela, l'Administració ha llançat programes com la denominada «gold card», que permetria obtenir la residència permanent als qui inverteixin un milió de dòlars, o una futura «platinum card» de cinc milions. Una dualitat que reforça la sensació que el control no s'aplica d'igual forma a tots els perfils.

En un món cada vegada més digital, les fronteres ja no sols es controlen amb passaports, sinó també amb dades. I la pregunta clau continua oberta: fins a on estem disposats a arribar en nom de la seguretat?

Com sempre, cuideu les dades i cuideu-vos!

Nano Banana Pro: el nou desafiament per a la identitat digital i la seguretat del futur

per

La irrupció del model Nano Banana Pro de Google, capaç de generar imatges sintètiques de documents d'identitat i rostres amb una precisió sense precedents, ha reobert un debat crític: com protegir la identitat digital en un entorn on la vista humana—i fins i tot uns certs sistemes automatitzats—poden ser enganyats amb una facilitat creixent?

Mentre alguns experts adverteixen que aquesta tecnologia permet fabricar passaports, permisos de conduir o identificacions universitàries falses amb un realisme alarmant, uns altres recorden que els sistemes moderns de verificació no es basen exclusivament en anàlisis visuals. Totes dues perspectives són vàlides i, de fet, subratllen la conclusió més important: el model tradicional d'identificació està sota una tensió sense precedents.

Identitats sintètiques: un risc que ja no és teòric

El gran salt qualitatiu del Nano Banana Pro és la seva capacitat per a replicar patrons visuals amb un nivell de fidelitat que supera el que fa a penes uns mesos semblava plausible. Això suposa un risc real per a processos que continuen secundant-se, parcial o totalment, en proves fotogràfiques o en la correspondència entre «persona en càmera» i «foto en document».

Alguns casos especialment sensibles són:

  • Verificació d'edat mitjançant documents físics o imatges.
  • Monitoratge d'exàmens amb validació puntual d'identitat.
  • Alta d'usuaris en plataformes bancàries o fintech mitjançant una foto del document.
  • Processos de on-boarding en empreses, telemedicina o voluntariat.

El fenomen del face swapping aplicat sobre una identitat verificable amplifica encara més el problema: l'atacant ja no necessita manipular un document, sinó superposar un rostre fals sobre un usuari real durant la verificació.

No tot és apocalipsi: els sistemes seriosos ja no depenen només d'imatges

És cert que els documents actuals—especialment a Europa—incorporen múltiples capes de seguretat físiques i electròniques: hologrames dinàmics, microimpressions, filigranes, MRZ, xips NFC i signatures criptogràfiques. Cap IA pot replicar aquests elements a través d'una simple imatge generada, i els processos robustos d’on-boarding exigeixen lectura de xip, validació criptogràfica i proves de vida avançades.

Dit d'una altra manera: les organitzacions que ja usen mètodes moderns no estan desprotegides, però l'ecosistema global sí que enfronta un repte important, perquè encara hi ha multitud de serveis que es basen en captures de pantalla, fotos o verificacions visuals bàsiques.

Què han de fer les organitzacions ara?

  1. Abandonar la foto com a única prova d'identitat. La imatge és un factor, però ja no pot ser el factor decisiu.
  2. Adoptar models de confiança en capes. Verificació contínua, senyals de comportament, lectura de xip, biometria dinàmica i metadades de procedència.
  3. Tractar la governança de la IA com una àrea operativa. La supervisió passiva no serveix enfront d'amenaces que evolucionen a gran velocitat.
  4. Preparar un pla de resposta per a frau sintètic. Qualsevol institució que gestioni identitats ha d'anticipar escenaris de suplantació avançada.

Conclusió: un avís i un full de ruta

El Nano Banana Pro no destrueix d'un dia per a un altre la identificació digital, però sí que marca un abans i un després. L'autenticitat ja no pot recolzar-se únicament en el visual. La seguretat—en privacitat, identitat i ciberseguretat—dependrà de la nostra capacitat per a evolucionar cap a models on la verificació no sigui un instant, sinó un procés continu i resilient.

Com sempre, cuideu les dades i cuideu-vos!

Biometria en turbulències: què revela la sanció milionària de l’AEPD a AENA

per

L'Agència Espanyola de Protecció de Dades ha imposat a AENA la multa més elevada de la seva història: 10.043.002 € per la utilització de sistemes de reconeixement facial en diversos aeroports sense haver dut a terme una Avaluació d'Impacte en Protecció de Dades (EIPD) completa i vàlida, conforme a l'exigit per l'article 35 del RGPD. La resolució, extensa i detallada, ofereix una anàlisi exhaustiva de les deficiències detectades en el disseny i la documentació del tractament de dades biomètriques per part de l'entitat.

L'expedient deixa clar que el problema no va ser l'adopció de tecnologia biomètrica com a concepte, sinó com es va dissenyar i es va justificar la seva implantació. L'Agència conclou que AENA no va acreditar adequadament la necessitat, proporcionalitat ni els riscos del sistema, aspectes que constitueixen el nucli d'una EIPD robusta i prèvia.

Un tractament d'alt risc sense una EIPD adequada

Al llarg de la resolució, l'AEPD identifica diverses mancances estructurals en l'avaluació presentada per AENA:

  • Insuficiència en l'anàlisi de necessitat i proporcionalitat. Les EIPD no demostraven per què era imprescindible recórrer a un sistema d'identificació 1:N, basat en comparació contra bases de dades centralitzades, quan existien mètodes menys invasius que podien complir la mateixa finalitat operativa.
  • Anàlisi de riscos incomplet i desalineat amb el projecte inicial. La documentació aportada no incloïa l'anàlisi de riscos original de 2021; en el seu lloc, es va presentar un elaborat en 2023, desconnectat del disseny previ i, per tant, incapaç de justificar el tractament des de la seva concepció.
  • Metodologia inadequada per a un projecte d'alta complexitat. L'Agència subratlla que es van utilitzar eines orientades a organitzacions més petites, no adequades per a un sistema implantat en diversos aeroports i que tractava dades de categoria especial.
  • Falta de coherència entre els advertiments rebuts i la continuïtat del projecte. AENA havia plantejat consultes prèvies en les quals reconeixia dificultats per a reduir el risc a nivells acceptables, però, tot i així, va avançar cap a fases pilot i operatives sense disposar d'una EIPD completa.

Un matís important: l'AEPD no rebutja la biometria en aeroports

Encara que la sanció sigui contundent, l'Agència no qüestiona que la biometria pugui utilitzar-se legítimament en aeroports. De fet, la pròpia resolució al·ludeix al Dictamen 11/2024 del Comitè Europeu de Protecció de Dades, que descriu models d'ús compatibles amb el RGPD.

La clau està en el disseny. Existeixen escenaris en els quals la tecnologia biomètrica es basa en:

  • Plantilles emmagatzemades únicament en el dispositiu del passatger.
  • Comparacions 1:1 locals i efímeres.
  • Absència d'emmagatzematge centralitzat per part de l'operador.

Aquest tipus de solucions, menys intrusives i més contingudes, podrien superar el judici de necessitat i proporcionalitat que exigeix el RGPD i que l'AEPD ha trobat a faltar en el cas d'AENA.

Conclusió: un avís i un full de ruta

La sanció no tanca la porta a la biometria, però sí que marca un estàndard clar: qualsevol tractament d'aquest tipus exigeix justificació sòlida, metodologia adequada i una EIPD exhaustiva, prèvia i ben fonamentada. La innovació i l'eficiència operativa són compatibles amb la protecció de dades, sempre que s'integrin des del disseny les garanties necessàries.

Com sempre, cuideu les dades i cuideu-vos!

Per consultar la resolució, feu clic aquí.

Reglament Òmnibus Digital: simplificació o gir de rumb en la regulació europea?

per

La Comissió Europea ha presentat l'esperada Proposta de Reglament Òmnibus Digital, un paquet ambiciós que pretén harmonitzar, actualitzar i «desburocratitzar» diversos pilars de l'ecosistema normatiu europeu: protecció de dades, intel·ligència artificial, ciberseguretat, cookies i accés a dades. El seu objectiu declarat és clar: facilitar la innovació, reduir càrregues a les empreses i garantir coherència entre normes. Però… estem davant una modernització necessària o una revisió que pot alterar equilibris fonamentals?

Un RGPD més flexible, però també més permeable

Un dels punts més destacables és la reobertura del RGPD, alguna cosa que fa a penes uns anys semblava impensable. La proposta introdueix canvis que, si bé busquen claredat jurídica, poden tenir efectes profunds:

  • Nova definició de dades personals, que incorpora doctrina del TJUE: si la reidentificació no és raonablement possible per a qui tracta les dades, deixa de considerar-se dada personal.
  • Noves excepcions de l'article 9.2, que permeten tractar dades biomètriques per a verificació quan estiguin sota control de l'interessat, o per al desenvolupament i funcionament de models de IA.
  • Interès legítim per a IA, tret que el dret nacional exigeixi consentiment.
  • Deure d'informació més lax, que permet ometre informació «si ja es presumeix coneguda per l'interessat».
  • Bretxes de seguretat: notificació solament quan existeixi «alt risc» i ampliació a 96 hores.

La lectura optimista parla de reducció de càrregues i major claredat. La lectura crítica, no obstant això, alerta d'un risc d'erosió progressiva de la protecció: dades inferides menys protegides, major marge per a entrenar sistemes de IA, i opacitat reforçada per noves excepcions informatives.

Ciberseguretat i notificacions: un únic punt d'accés

En l'àmbit de la ciberseguretat, la proposta crea un punt únic de notificació d'incidents, simplificant un dels processos més fragmentats del marc NIS2. Aquesta mesura pot aportar eficiència real per a empreses multinacionals i sectors amb múltiples obligacions reguladores.

Cookies i ePrivacy: cap a menys bàners (i més canvis estructurals)

L'Òmnibus introdueix modificacions rellevants sobre cookies i ePrivacy:

  • Reducció de bàners mitjançant preferències centralitzades en navegador o sistema operatiu.
  • Nou article 88 a) sobre consentiment per a accés/emmagatzematge en terminals.
  • Un 88 b) que fixa el respecte obligatori de senyals automatitzats de preferències.

Encara que el discurs oficial parla de «millorar l'experiència de l'usuari», alguns experts alerten que l'efecte combinat podria debilitar el marc ePrivacy en integrar-lo parcialment en el RGPD modificat.

IA i accés a dades: alineació amb la Llei de IA

El paquet vincula l'aplicació de normes de IA d'alt risc a la disponibilitat d'eines de suport (estàndards, guies, metodologies) i també impulsa l'accés a dades com a motor d'innovació, buscant coherència amb la Data Act i l'Estratègia Europea de Dades.

Què ve ara?

La Comissió ha obert la segona fase del procés, amb una Avaluació d'Aptitud Digital (Fitness Check) fins a març de 2026. Serà un moment clau: les empreses, administracions i societat civil hauran de posicionar-se sobre si l'Òmnibus representa una simplificació necessària o una reforma que modifica l'essència del RGPD i ePrivacy.

Com sempre, cuideu les dades i cuideu-vos!

Per llegir la Proposta, feu clic aquí.

Seguretat o privacitat: el pols judicial pel fitxatge amb empremta digital

per

La recent Sentència núm. 370/2025 del Jutjat social núm. 3 de la Corunya ha reobert el debat sobre la legalitat del registre de jornada mitjançant sistemes biomètrics en l'entorn laboral. En un context marcat per la cautela de l'Agència Espanyola de Protecció de Dades (AEPD) i la tendència empresarial a abandonar aquests sistemes, la fallada avala la utilització de l'empremta digital com a mecanisme de control horari en un hospital públic, qualificant-la de «poc invasiva» i «proporcionada».

Un cas amb implicacions més enllà de l'hospital

El conflicte enfrontava al comitè d'empresa i a la Confederació Intersindical Galega enfront de l'Institut Policlínic Santa Teresa S.A. Els representants sindicals al·legaven vulneració dels drets fonamentals a la intimitat, la salut i la llibertat sindical per l'ús obligatori d'un sistema de fitxatge mitjançant empremta dactilar.

El tribunal, no obstant això, va desestimar íntegrament la demanda i va considerar que el sistema biomètric empleat—basat en plantilles no identificatives i amb mesures de seguretat avançades—respectava els principis del RGPD i la LOPDGDD, resultant idoni per a garantir el registre horari exigit per l'article 34.9 de l'Estatut dels Treballadors.

Un argument jurídic polèmic

El punt més controvertit radica en la base jurídica triada pel jutjat per a legitimar el tractament de dades biomètriques: l'excepció de l'article 9.2.i) del RGPD, relativa al tractament necessari per raons d'interès públic en l'àmbit de la salut pública.

Aplicar aquesta excepció—concebuda per a amenaces sanitàries o seguretat assistencial—al simple registre de jornada laboral resulta, com menys, discutible. El tribunal justifica la seva decisió en considerar l'hospital una infraestructura crítica (Llei 8/2011), on la verificació biomètrica contribuiria a la seguretat de pacients, medicaments i personal. No obstant això, aquest raonament confon dos tractaments distints: el control d'accés (més defensable des de la perspectiva de la seguretat) i el registre horari, la finalitat del qual és purament laboral.

Falta de doctrina unificada

El cas reflecteix l'absència d'una doctrina consolidada entorn del fitxatge biomètric.

Mentre que l'AEPD, en la seva Guia sobre ús de dades biomètriques (novembre de 2023), insisteix que aquests sistemes són altament intrusius i d'ús excepcional, alguns tribunals i organismes tècnics—com el CNPIC o el Consell Espanyol per al Registre de Jornada—mantenen posicions més permissives, especialment en contextos de seguretat reforçada.

El resultat és un panorama fragmentat en el que la mateixa pràctica pot considerar-se il·lícita o proporcional segons que la valori.

Una sentència que convida a la reflexió

El Jutjat de la Corunya ha anat més enllà de la postura majoritària en qualificar l'empremta digital com menys intrusiva que alternatives com les apps amb geolocalització o els lectors de targetes NFC.

Aquesta valoració, no obstant això, sembla minimitzar la naturalesa sensible de les dades biomètriques i el risc inherent al seu tractament. Més que un pas cap a la modernització tecnològica, la fallada pot interpretar-se com un retrocés en la cultura de protecció de dades laborals.

En definitiva, aquesta sentència ens convida a una reflexió urgent: Estem davant un canvi de tendència judicial o davant un excés d'interpretació que desdibuixa els límits del RGPD? La veritat és que, avui dia, la seguretat jurídica en matèria de fitxatge biomètric segueix tan difusa com les empremtes que pretén registrar.

Com sempre, cuideu les dades i cuideu-vos!

Per consultar la resolució, feu clic aquí.

Ni anonimat ni IA: el RGPD s’aplica fins i tot a les imatges manipulades digitalment

per

L'Agència Espanyola de Protecció de Dades (AEPD) ha tornat a pronunciar-se sobre un dels fenòmens més alarmants de l'entorn digital: la difusió d'imatges falses de nus («deepnudes») creades mitjançant intel·ligència artificial. Ha imposat una multa de 2.000 € (reduïda finalment a 1.200 € per reconeixement i pagament voluntari) a un particular per difondre imatges manipulades de menors en grups de missatgeria instantània.

Encara que el sancionat no va generar les imatges, la seva participació en la difusió va ser suficient perquè l'Agència apreciés una infracció de l'article 6.1 del RGPD, al tractar-se d'un tractament de dades personals sense base jurídica legítima.

El que diu el RGPD (i per què importa aquí)

L'article 6 del RGPD estableix que tot tractament de dades personals ha de fundar-se en una base de licitud: consentiment, obligació legal, interès públic, contracte o interès legítim. Si cap d'elles concorre—com en aquest cas—, el tractament és il·lícit, fins i tot si l'infractor no obté benefici ni persegueix una fi sexual.

L'AEPD recorda que el rostre d'una persona és una dada personal (art. 4 RGPD), i que alterar-ho o combinar-ho amb un altre cos no elimina aquesta condició, sinó que l'agreuja: es crea una associació falsa en un context íntim, amb potencial de causar greus danys reputacionals.

Per tant, reexpedir o publicar aquest tipus d'imatges constitueix un tractament addicional, que requereix consentiment i proporcionalitat. L'absència de totes dues bases legitima la sanció.

La IA no esborra la responsabilitat

La resolució reforça una idea clau: l'ús d'intel·ligència artificial no eximeix de responsabilitat. La tecnologia pot automatitzar el mal, però la decisió de compartir continua sent humana. A més, quan els afectats són menors d'edat, entra en joc l'article 84 de la LOPDGDD, que reforça la protecció enfront de la difusió d'imatges que puguin vulnerar la seva dignitat o drets fonamentals.

Lliçons que deixa el cas

  • La IA no anul·la la llei: les imatges sintètiques continuen sent dades personals si permeten identificar a una persona.
  • Compartir també és tractar: reexpedir o publicar implica tractament i pot implicar sanció.
  • Els menors compten amb una protecció reforçada, la qual cosa eleva la gravetat de la infracció.
  • El RGPD és plenament aplicable a la IA generativa: els seus principis de licitud, minimització i proporcionalitat continuen sent la base del compliment.

Conclusions

La sanció de 1.200 €—després de reduccions per reconeixement i pagament voluntari—resulta considerablement baixa si es compara amb la gravetat moral i social de difondre imatges falses de nus de menors.

Encara que el RGPD permet graduar les multes en funció de la proporcionalitat, cal preguntar-se si aquest tipus de conductes no mereixerien també resposta penal, especialment quan concorren elements d'humiliació, assetjament o afectació greu a la dignitat personal.

El cas convida a un debat necessari:

  • Estem aplicant sancions realment dissuasives enfront dels nous riscos digitals?
  • Ha d'intervenir el Dret penal quan la intel·ligència artificial amplifica el mal a menors?

L'AEPD ha posat el focus en la il·licitud del tractament de dades, però la reflexió jurídica—i ètica—va més enllà: la tecnologia pot replicar rostres, però no pot replicar el consentiment… ni reparar el mal emocional causat.

Com sempre, cuideu les dades i cuideu-vos!

Per consultar la resolució, feu clic aquí.

Revisió Texts legals web