Prensa AEPD

La Agencia Española de Protección de Datos (AEPD) ha publicado una nota informativa en la que analiza las implicaciones del uso de imágenes de terceros en sistemas de inteligencia artificial y los riesgos que comporta, incluso en contextos aparentemente triviales o lúdicos.

El primer apartado de la nota se centra en el impacto visible derivado de generar y difundir imágenes de terceros mediante IA. El documento presta especial atención a situaciones de alto riesgo, como la sexualización y el contenido íntimo sintético, la atribución de hechos no reales con efectos reputacionales, la descontextualización de las imágenes o la utilización de contenidos que afectan a menores de edad o personas en situación de especial vulnerabilidad.

El segundo apartado aborda los riesgos menos visibles, aquellos que se producen por el mero hecho de subir una imagen o un vídeo a un sistema de IA, aunque el resultado no se publique. Entre ellos, la Agencia destaca la pérdida efectiva de control sobre la imagen al intervenir un tercero tecnológico, la retención y la existencia de copias no visibles, la intervención de múltiples actores, la generación de metadatos o el riesgo de identificación persistente en sistemas capaces de reutilizar rasgos de una persona en múltiples contenidos.

Por último, la nota identifica las situaciones que suelen ser especialmente relevantes para la AEPD, aclarando los límites de la normativa de protección de datos, por ejemplo, en ámbitos personales o domésticos sin difusión más allá de ese entorno.

La Agencia presta especial atención a los supuestos en los que el uso de imágenes o vídeos de terceros mediante sistemas de inteligencia artificial incrementa de forma significativa los riesgos para la persona afectada. Esto ocurre, en particular, cuando se produce una pérdida efectiva de control sobre la propia imagen, se generan contenidos verosímiles que pueden atribuir a la persona hechos o conductas que no han ocurrido, se ven implicados menores de edad o personas especialmente vulnerables, se introducen elementos de sexualización, humillación o descrédito, o se difunden los contenidos en entornos en los que el impacto personal, social o profesional puede ser especialmente intenso.

La Agencia también añade que pueden verse afectados otros derechos fundamentales, como el honor, la intimidad o la propia imagen, y que resulten aplicables otras normas del ordenamiento jurídico, incluido el Código Penal. En caso de indicios claros de delito, la actuación correspondería a las autoridades policiales, la Fiscalía y, en su caso, los órganos judiciales, que son los competentes para la investigación y persecución penal de estos hechos.

Con esta publicación, la AEPD refuerza su labor preventiva y de concienciación, ofreciendo a la ciudadanía criterios claros para comprender el alcance de los riesgos asociados al uso de imágenes en sistemas de IA, promoviendo un uso responsable y respetuoso con los derechos fundamentales.

La Agencia Española de Protección de Datos (AEPD) impuso una multa por 10,043,002 euros a Aeropuertos Españoles y Navegación Aérea (AENA) por desplegar sistemas de reconocimiento facial sin evaluar previamente el impacto, incumpliendo así el artículo 35 del Reglamento General de Protección de Datos. La compañía apelará la decisión.

Según información de EFE, la Agencia también aprobó la suspensión temporal de todo tratamiento de datos biométricos, en especial los referidos a sistemas de identificación por reconocimiento facial para controlar el acceso de pasajeros a determinadas zonas de los aeropuertos gestionados por la empresa. El expediente sancionador está disponible aquí.

AENA respondió a través de un comunicado en el que mostró discrepancia con la sanción, “tanto por motivos de fondo como de forma, así como por entender que no es acorde con el principio de proporcionalidad”. Defendió que sí se elaboraron evaluaciones de impacto y que estas cumplieron con los requerimientos normativos aplicables.

También garantizó que no hubo “filtración de datos de los usuarios de los distintos programas de biometría para embarque desplegados”. Al mismo tiempo, hizo énfasis en que los titulares de los datos prestaron voluntariamente su consentimiento informado al tratamiento necesario para “disfrutar del acceso biométrico”.

AENA, junto con las compañías aéreas que participaron en el programa, puso en marcha el embarque biométrico con el fin de proporcionar a los pasajeros una mejor experiencia en los aeropuertos al agilizar el paso por los procesos de documentación, subrayó la firma para concluir que “seguirá trabajando en esta línea para reiniciar el programa tan pronto como sea posible”.

Prensa AEPD

El presidente de la Agencia Española de Protección de Datos (AEPD), Lorenzo Cotino, y el director‒presidente de la Autoridad Nacional de Protección de Datos de Brasil (ANPD), Waldemar Gonçalves, han firmado la renovación del Memorando de Entendimiento (MOU) existente, afianzando así las bases de la colaboración institucional entre ambas autoridades. La renovación del MOU ha tenido lugar en el marco de la Global Privacy Assembly (GPA), que se está celebrando en Seúl (Corea) y en la que participan más de 140 autoridades de 90 países.

El MOU está centrado en el desarrollo de acciones conjuntas para promover la difusión y la aplicación práctica en materia de protección de datos, y también tiene por objeto brindar un marco para el intercambio de conocimientos técnicos y prácticas que permitan fortalecer sus capacidades.

En cuanto a los compromisos, las autoridades han asumido el impulso de mecanismos específicos de cooperación técnica para intercambiar conocimientos y experiencias; el fomento de la realización de investigaciones, estudios, análisis e informes; la colaboración en guías, herramientas y otros materiales orientados a facilitar el cumplimiento de la legislación de protección de datos, y el desarrollo de iniciativas conjuntas, prioritariamente en el marco de programas y proyectos internacionales.

Red Iberoamericana de Protección de Datos

Uno de los logros más destacados en el ámbito de la cooperación promovida en el marco de la Red Iberoamericana de Protección de Datos, foro presidido en la actualidad por la ANPD y en el que la Agencia ostenta la secretaría permanente, fue la aprobación de los ‘Estándares Iberoamericanos de Protección de Datos’. Estos Estándares establecen que “los Estados Iberoamericanos podrán adoptar mecanismos orientados al conocimiento e intercambio de mejores prácticas y experiencias en materia de protección de datos personales”.

Prensa AEPD

El Tribunal General de la Unión Europea ha confirmado la validez del EU-US Data Privacy Framework, la decisión de adecuación adoptada por la Comisión Europea en julio de 2023 que permite las transferencias de datos personales a EEUU sin autorización adicional.

La Agencia Española de Protección de Datos (AEPD) considera que la sentencia aporta estabilidad y refuerza la seguridad jurídica y la continuidad de las transferencias de internacionales de datos entre la UE y EEUU.

En la sentencia hecha pública hoy (T-553/23, Latombe/Comisión), el Tribunal desestima las alegaciones de falta de independencia del Data Protection Review Court (DPRC), creado en EEUU tras la Orden Ejecutiva 14086 y el reglamento complementario del Fiscal General. El Tribunal considera que el nombramiento y cese de sus jueces, así como las garantías de funcionamiento, aseguran su independencia frente al poder ejecutivo y las agencias de inteligencia.

El Tribunal General también añade que la Comisión está obligada a hacer un seguimiento permanente de la aplicación del marco jurídico en el que se basa la decisión de adecuación y que, si el marco jurídico vigente cambia, la Comisión podrá decidir, si fuera necesario, modificar o derogar la decisión impugnada o limitar su ámbito de aplicación.

Respecto a la recogida masiva de datos por parte de agencias de inteligencia estadounidenses, el Tribunal señala que la jurisprudencia Schrems II no exige necesariamente una autorización previa de una autoridad independiente, sino que al menos debe existir un control judicial a posteriori. Constató que, en el marco actual, estas actividades están sujetas a supervisión judicial por parte del DPRC, lo que permite equiparar el nivel de garantías al exigido en la UE.

Transferencias internacionales de datos

Las transferencias internacionales de datos suponen el flujo de datos personales desde la UE a destinatarios establecidos en países fuera del Espacio Económico Europeo (los países de la Unión Europea más Liechtenstein, Islandia y Noruega).

Los responsables y encargados del tratamiento pueden realizar transferencias internacionales de datos a países terceros u organizaciones internacionales conforme a las condiciones establecidas en el Capítulo V del Reglamento General de Protección de Datos (RGPD), entre otras, que tengan por destino terceros países u organizaciones internacionales sobre los que la Comisión haya decidido que garantizan un nivel de protección adecuado mediante una decisión de adecuación (las decisiones de adecuación existentes se encuentran recogidas en esta página de la AEPD).

Infobae

La Agencia Española de Protección de Datos (AEPD) ha sancionado a la empresa SARARTE, S.L., con una multa administrativa de 3.600 euros debido a la cesión no consentida de datos personales. Y es que, el número de teléfono móvil de la trabajadora fue compartido con 18 personas sin la autorización previa, lo que claramente vulnera lo estipulado en la normativa de protección de datos.

El procedimiento sancionador se inició a raíz de una reclamación presentada el 21 de marzo de 2024, tras un incidente ocurrido días antes. Según la denunciante, el 12 de marzo de 2024, su teléfono móvil personal experimentó un bombardeo de llamadas y mensajes que saturaron su móvil. Entre todas ellas, la única que logró contestar procedía de una persona que le informó que su número había sido facilitado por SARARTE.

Leer más: https://www.infobae.com/espana/2025/04/03/la-aepd-impone-multa-con-3600-euros-a-sararte-por-vulnerar-la-normativa-de-proteccion-de-datos-de-una-de-sus-trabajadoras/

Prensa AEPD

La directora de la Agencia Española de Protección de Datos, Mar España, cesa como titular de este organismo por Real Decreto del Consejo de Ministros. Este cese se ha publicado en el Boletín Oficial del Estado.

El nombramiento de Mar España como directora de la Agencia tuvo lugar en julio de 2015 con un mandato inicial de cuatro años, continuando en funciones al término de estos.

“En los últimos años la Agencia ha tenido que hacer frente a retos de enorme importancia derivados de los continuos avances tecnológicos que, con sus indudables ventajas, también han supuesto grandes desafíos. Hemos actuado para facilitar la innovación y a la vez proteger a las personas en el mundo digital, enfocándonos de manera prioritaria en la protección de los colectivos más vulnerables, como la infancia y la adolescencia. Confío en que en los próximos años se continúen desarrollando medidas legislativas y actuaciones que profundicen en la protección de los más jóvenes, ya que es la mejor forma de construir y garantizar su futuro. Tengo que agradecer la gran colaboración que nos han prestado estos años organismos y entidades tanto públicas como privadas, que han contribuido a difundir y poner en valor la importancia de la protección de datos y, por supuesto, al personal de la Agencia, que trabaja con rigor en pro de un derecho fundamental de la ciudadanía”, ha expresado Mar España.

El cese de la directora de la Agencia, funcionaria del Cuerpo Superior de Administradores Civiles del Estado, coincide con su solicitud de jubilación voluntaria en la Administración.

Hasta el momento en el que se produzca el nombramiento de la persona titular de la nueva presidencia, la Agencia continuará ejerciendo las competencias que le son propias de acuerdo con lo dispuesto en el Reglamento General de Protección de Datos y en la Ley Orgánica de Protección de Datos y garantía de derechos digitales, cuyo artículo 48.2 regula los supuestos de vacante de sus órganos superiores.

La Oficina de Protección de Datos de Alemania (BayLDA) instó a la firma responsable de Worldcoin a eliminar todos los códigos de iris almacenados desde el inicio del proyecto, al considerar que violó el Reglamento General de Protección de Datos de la Unión Europea. La novedad fue dada a conocer por la Agencia de Protección de Datos de España (AEPD), entidad que colaboró en la investigación.

La autoridad alemana ordenó, además, que el tratamiento de iris futuro se realice sobre la base del consentimiento explícito del interesado y que incluya el derecho a la supresión de datos. La resolución también estipula una serie de multas en caso de incumplimiento de las órdenes exigidas, sin perjuicio de las sanciones administrativas que corresponden por incumplimientos ya declarados.

La AEPD indicó que la finalización de este procedimiento también supone la ratificación de la medida cautelar que impuso a Worldcoin para que cese la recopilación y tratamiento de datos en España, además de que bloquee los que ya había recopilado. Esta medida había sido recurrida por el denunciado, pero el recurso fue rechazado al considerar que prevalecía “la salvaguarda del interés general que consiste en la protección del derecho a la protección de datos personales de los interesados”.

Voz Pópuli

La compañía rumana de telecomunicaciones, Digi Mobil, la que más crece en términos de clientes desde hace unos años -es un quebradero de cabeza para Telefónica, Más Orange y Vodafone-, acumula 15 sanciones en los últimos meses por el duplicado ilegal de tarjetas SIM.

Así consta en los registros de la Agencia Española de Protección de Datos (AEPD) cuya página web permite consultar los procedimientos contra empresas por no proteger la información personal de sus clientes de forma ajustada a la ley.

Leer más: https://www.vozpopuli.com/economia_y_finanzas/telecomunicaciones/digi-mobil-multas-sim.html

Prensa AEPD

La Agencia Española de Protección de Datos (AEPD) y el Supervisor Europeo de Protección de Datos (EDPS) han publicado un informe conjunto en el que analizan los retos que supone el tratamiento de neurodatos para los derechos y libertades de las personas. El documento, que examina este fenómeno emergente, proporciona una descripción de los neurodatos y evalúa su impacto en la privacidad y la protección de datos personales, incluyendo casos prácticos.

Los recientes avances en neurotecnología están permitiendo la aparición de un número creciente de dispositivos conectados que monitorizan la actividad cerebral para distintos propósitos. El cerebro desempeña un papel crucial en las capacidades cognitivas humanas, decisiones, emociones y comportamientos, entre otras funciones. El informe explica que las técnicas de imagen cerebral se desarrollaron originalmente en el contexto de la medicina clínica y la investigación neurocientífica, demostrando ser eficaces para diversos tratamientos.

Sin embargo, en los últimos años, existe una tendencia hacia un uso relacionado con el marketing. Por ejemplo, para medir la reacción del cerebro humano ante anuncios o productos para estudiar, analizar y predecir el comportamiento de los consumidores. Las neurotecnologías también se han utilizado en dispositivos portátiles para una serie de actividades cotidianas, como la educación y el entretenimiento. Además, los implantes cerebrales ofrecen la posibilidad de influir y reescribir la actividad cerebral de las personas. Esta accesibilidad, junto con las capacidades de la Inteligencia Artificial para combinar datos de diversas fuentes, pueden interferir sustancialmente con los derechos y libertades fundamentales.

El informe analiza qué supone el tratamiento de neurodatos en distintos contextos y con ejemplos de casos de uso, como el entorno educativo o los videojuegos, así como las amenazas que suponen algunos de ellos. A continuación, especifica los requisitos y los principios de protección de datos que deben cumplirse para el tratamiento de esta tipología de datos personales que, con frecuencia, constituyen categorías especiales de datos (por ejemplo, datos biométricos o datos relativos a la salud). En principio, el tratamiento de categorías especiales de datos está prohibido, salvo excepciones en las que concurren unas circunstancias determinadas. Cuando esté permitido, el tratamiento de neurodatos debe seguir cumpliendo todos los demás requisitos y principios de protección de datos, como los de proporcionalidad, exactitud, transparencia y lealtad.

El informe recoge que quienes se planteen tratar neurodatos deben tener siempre en cuenta el carácter intrusivo del tratamiento de dichos datos y valorar cuidadosamente si la finalidad que se persigue justifica plenamente este tratamiento de datos “extremadamente invasivo y sensible, que afecta al aspecto más íntimo de la vida” de las personas. Además, destaca como crucial llevar a cabo un análisis en profundidad de los neurodatos y evaluar el impacto de su tratamiento en los derechos fundamentales, incluida la necesidad de crear neuroderechos.

La Carta de los Derechos Fundamentales de la Unión Europea reconoce expresamente el derecho fundamental a la integridad mental (artículo 3), como una de las expresiones del derecho fundamental a la dignidad humana (artículo 1), que es también el fundamento del derecho a la intimidad y a la protección de los datos personales (artículos 7 y 8 de la Carta).

La Agencia ha establecido entre sus líneas estratégicas promover la regulación del tratamiento de los neurodatos y los correlativos neuroderechos, especialmente en el ámbito de los servicios dirigidos a menores.

Prensa AEPD

La Agencia Española de Protección de Datos (AEPD) ordenó una medida cautelar contra Meta Platforms Ireland Limited para que suspenda la puesta en marcha de las funcionalidades Election Day Information (EDI) y Voter Information Unit (VIU), así como la recopilación y tratamiento de datos asociados. La medida es de cumplimiento inmediato.

“Está previsto que estas funcionalidades se lancen para todos los usuarios de sus servicios con derecho a voto en las elecciones europeas con la excepción de Italia, cuya autoridad ya abrió un procedimiento sobre este asunto”, dijo la entidad y explicó que la medida responde a que se considera que el tratamiento de datos supone una actuación contraria al Reglamento General de Protección de Datos. 

Según la Agencia, las funcionalidades, que consisten en facilitar información a usuarios de Facebook e Instagram sobre las elecciones de la Unión Europea, “al menos incumplirían los principios de protección de datos de licitud, minimización de datos y limitación del plazo de conservación”. 

La Unión Europea ya ha abierto un procedimiento contra Meta para analizar aspectos como desinformación y visibilidad de contenido político en su plataforma.