Sector update: Derecho digital y TMT | nº 5 - Julio 2026

Sentencia del Tribunal Supremo sobre escalafones laborales y protección de datos

El Tribunal Supremo (STS 278/2026, de 12 de marzo) declaró que una compañía aérea debía publicar en su intranet, los escalafones de tripulantes con el nombre y apellidos de los trabajadores, tal y como exigía el convenio colectivo, y rechazó que el Reglamento General de Protección de Datos (RGPD) justificara su sustitución por códigos numéricos. La sentencia recuerda que los convenios colectivos pueden establecer normas específicas sobre el tratamiento de datos en el ámbito laboral al amparo del artículo 88 del RGPD, si bien dichas previsiones deben respetar los principios generales del Reglamento, en particular los de necesidad, proporcionalidad y minimización. En el caso analizado, el Tribunal concluye que la publicación estaba legitimada tanto por el cumplimiento de obligaciones derivadas del convenio colectivo como por el interés legítimo de los trabajadores y sus representantes en conocer el orden escalafonal aplicable a promociones, cambios de base y otros procedimientos internos. No obstante, subraya que el principio de minimización exige restringir técnicamente el acceso a dicha información. Por ello, ordena que los escalafones completos solo sean accesibles, dentro de la intranet corporativa, a los trabajadores afectados, sus representantes legales y sindicales y otras personas que acrediten un interés legítimo, descartando cualquier difusión indiscriminada de los datos personales. La conclusión global es clara: el RGPD no constituye excusa para infringir otras normas legales.

La AEPD sanciona a un grupo tecnológico por reutilizar datos de viajeros para fines de perfilado

La Agencia Española de Protección de Datos (AEPD) sancionó a un grupo tecnológico con 18 millones de euros por utilizar datos de reservas de viajeros en un proyecto piloto de perfilado sin contar con una base jurídica válida y sin informar adecuadamente a los afectados. La sanción quedó reducida a €14,4 millones tras el pago voluntario. El proyecto consistía en cruzar registros de nombres de pasajeros y datos históricos de reservas con información de clientes de cadenas hoteleras, con el fin de elaborar perfiles de viaje con fines analíticos y comerciales. La AEPD rechazó el interés legítimo invocado por la compañía, al considerar que los viajeros no podían prever razonablemente ese uso ulterior y que el mecanismo de oposición resultaba ineficaz sin información previa. La resolución aprecia infracciones de los artículos 6 y 14 del RGPD y recuerda que la reutilización de datos para finalidades distintas de las originales exige analizar su compatibilidad, respetar los límites de conservación aplicables e informar específicamente a los interesados antes de iniciar el nuevo tratamiento. La base de interés legítimo, -como, a la vez, recuerdan las propias autoridades de protección de datos, en especial el Comité europeo- es una base tan autorizada para tratar datos personales como todas las demás, si bien implica una ponderación de bienes en juego que ha de ser especialmente cuidadosa, y que, en este caso, no concurrió.

Estados Unidos refuerza la ciberseguridad y el despliegue seguro de modelos avanzados de IA

El 2 de junio de 2026, el presidente Donald Trump firmó la Orden Ejecutiva 14409, destinada a promover la innovación en inteligencia artificial y reforzar la protección de los sistemas públicos, las infraestructuras críticas y la propiedad intelectual estadounidense frente a amenazas externas. En materia de ciberseguridad, la orden exige priorizar la ciberdefensa de los sistemas federales y de seguridad nacional, ampliar el acceso a herramientas defensivas basadas en IA y crear un centro de coordinación público-privado para detectar vulnerabilidades, validar riesgos y distribuir parches de seguridad. También prevé financiación y nuevas vías de contratación de especialistas en este ámbito. En lo relativo a los llamados “modelos de frontera”, es decir, los de tecnología especialmente avanzada, establece un marco voluntario para evaluar sus capacidades cibernéticas y permitir su acceso anticipado y confidencial al Gobierno y a socios seleccionados, descartando expresamente un sistema obligatorio de licencias. Por último, ordena reforzar la aplicación de la legislación penal frente al uso de IA para acceder ilícitamente a sistemas, causar daños o cometer otros delitos. La norma es el principal efecto del conocido incidente sucedido a raíz de que el modelo Mythos de la empresa Anthropic desplegara potencialidades inesperadas, incluso para sus propios desarrolladores, en el descubrimiento de vulnerabilidades de seguridad.

La UNECE aprueba el primer marco mundial para vehículos plenamente autónomos

El 24 de junio de 2026, el Foro Mundial para la Armonización de la Reglamentación sobre Vehículos (WP.29) de la Comisión Económica de las Naciones Unidas para Europa (United Nations Economic Commission for Europe – UNECE) aprobó el primer marco regulatorio internacional que permite la homologación de sistemas de conducción automatizada capaces de operar sin supervisión de un conductor. La nueva regulación establece requisitos armonizados de seguridad que incluyen sistemas de gestión durante todo el ciclo de vida, métodos de ensayo físicos y virtuales, y un expediente de seguridad que acredite que el sistema no presenta riesgos irrazonables y alcanza un nivel de conducción equivalente o superior al de un conductor competente. Asimismo, exige la supervisión continua de los vehículos en circulación, la comunicación de incidentes y el almacenamiento de datos relevantes sobre el funcionamiento del sistema. El marco amplía las reglas del Reglamento ONU n.º 157 sobre mantenimiento automatizado de carril y facilitará la homologación y el despliegue de vehículos autónomos en los países que lo apliquen. Los graves accidentes ocurridos en los primeros despliegues de esta tecnología retrasaron de modo imprevisto su generalización. El refuerzo y garantía de la seguridad propiciados por esta norma sin duda apuntalarán una pronta implantación general.

El TJUE amplía la prohibición de difundir contenidos de Russia Today en la UE

El 2 de julio de 2026, el Tribunal de Justicia de la Unión Europea (TJUE) dictó sentencia en el asunto C-67/25, relativo a la difusión en Alemania de vídeos del canal Russia Today a través de un sitio web gratuito financiado mediante donaciones. El TJUE concluye que la prohibición prevista en el artículo 2 septies del Reglamento (UE) n.º 833/2014 se aplica con independencia de que la difusión tenga carácter lucrativo. En cuanto al ámbito subjetivo, el concepto de “operador” comprende a cualquier persona responsable, directa o indirectamente, de poner a disposición del público los contenidos prohibidos. Tampoco condiciona la aplicación de la prohibición el alcance ni la duración de la difusión. Corresponderá al órgano jurisdiccional alemán resolver el proceso penal conforme a esta interpretación vinculante del Derecho de la Unión. Es postulado clara y largamente establecido, tanto en el plano legislativo como jurisprudencial de la Unión Europea, el de que Internet constituye medio para la puesta a disposición del público de determinados contenidos. Además de en otros aspectos, la sentencia se asienta sobre esta misma asunción.

Propuesta de Reglamento de la Comisión Europea sobre infraestructura y soberanía en materia de nube e inteligencia artificial

El 3 de junio de 2026, la Comisión Europea (la Comisión) adoptó una propuesta de Reglamento denominada Cloud and AI Development Act (CADA), con el objetivo de reforzar el ecosistema europeo de servicios en la nube e inteligencia artificial, así como las inversiones e infraestructuras asociadas. La CADA se articula en torno a tres ejes principales –investigación, desarrollo e innovación (I+D+i), capacidad y autonomía– y define cuatro niveles de soberanía digital aplicables a los organismos del sector público en función de sus evaluaciones de riesgo, que van desde el procesamiento y almacenamiento en la UE (nivel 1) hasta la plena transparencia y control de la cadena de suministro de software (nivel 4). Asimismo, introduce un marco de reconocimiento de proveedores de servicios en la nube por parte de los Estados miembros, previa auditoría. Entre sus objetivos operativos figuran triplicar la capacidad europea de centros de datos en un plazo de cinco a siete años, simplificar los procedimientos de autorización para su despliegue y establecer un marco común de contratación pública a escala de la UE. La propuesta se integra en el Plan de Acción para un Continente de IA de la Comisión, junto con el Chips Act 2.0 y la Estrategia Europea de Código Abierto. Esta iniciativa legislativa, con independencia de los esfuerzos de simplificación que se canalizan a través del llamado Ómnibus digital, bien puede constituir la más importante de cuantas en este momento se tramitan en materia digital a escala de la Unión. Parte del convencimiento de Bruselas de que Europa necesita reforzar sus capacidades de investigación y de aplicación de las tecnologías de inteligencia artificial, en el contexto de la carrera geopolítica alrededor de las mismas, que a mucha distancia encabezan los Estados Unidos y China.

La adecuación del Código de Buenas Prácticas sobre transparencia del contenido generado por inteligencia artificial

El 8 de julio de 2026, la Comisión Europea concluyó que el proyecto de Código de Buenas Prácticas sobre transparencia del contenido generado por inteligencia artificial cubre adecuadamente las obligaciones de los artículos 50(2), (4) y (5) del Reglamento (UE) 2024/1689 de IA (el Código). El Consejo de IA, como organismo creado en el mencionado Reglamento y de naturaleza multilateral encargado de ello, aprobó la correspondiente evaluación de adecuación el 9 de julio de 2026. El Código, coordinado por la Oficina de IA de la propia Comisión, se estructura en dos secciones: una dirigida a proveedores, con reglas sobre marcado y detección de contenido generado o manipulado por IA, y otra dirigida a responsables del despliegue, sobre etiquetado de deepfakes y texto generado artificialmente. La adhesión al Código es voluntaria; no obstante, los proveedores y responsables del despliegue adheridos podrán invocarlo como instrumento reconocido a escala de la UE para acreditar el cumplimiento de dichas obligaciones, y además con independencia de su lugar de establecimiento. La adhesión no constituye, sin embargo, prueba concluyente de cumplimiento, y las autoridades de vigilancia del mercado conservan íntegramente sus facultades de investigación. La Oficina de IA facilitará actualizaciones formales del Código al menos cada dos años. Es obvio que en la medida en que no incorpora mecanismos de auditoría, la virtualidad de este código como prueba de cumplimiento de las obligaciones de transparencia del Reglamento queda limitada. No obstante, es altamente recomendable para cualquier entidad el tratar de adoptar sus pautas, que de entrada y a buen seguro elevarán la improbabilidad de incurrir en infracciones, al tiempo que permitirán probar una responsabilidad proactiva en este ámbito.

Directrices 02/2025 del CEPD sobre tratamiento de datos personales mediante tecnologías blockchain

El 7 de julio de 2026, el Comité Europeo de Protección de Datos (CEPD) adoptó la versión definitiva de las Directrices 02/2025 sobre el tratamiento de datos personales en entornos blockchain. Las directrices precisan que las claves públicas, las direcciones IP y el contenido de las transacciones pueden constituir datos personales conforme al RGPD. Por ello, desaconsejan su almacenamiento on-chain y recomiendan la conservación off-chain, limitando el registro on-chain a pruebas de existencia. Los derechos de rectificación y supresión deben garantizarse pese a la inmutabilidad de la cadena. En materia de decisiones automatizadas, la ejecución de smart contracts puede quedar sujeta al artículo 22 del RGPD, por lo que debe garantizarse la intervención humana y el derecho del interesado a impugnar la decisión. Cuando se invoque el consentimiento como base legitimadora, este deberá ser libre y revocable, sin que se almacenen on-chain datos que no puedan anonimizarse mediante la supresión de los datos off-chain.

Las directrices exigen asimismo una evaluación de impacto –de carácter potencialmente continuado cuando el tratamiento se implemente en infraestructuras permissionless o implique transferencias internacionales– y la aplicación de los principios de protección de datos desde el diseño y por defecto. Viene reconociéndose desde su primera irrupción generalizada, la gran dificultad de armonizar los principios y las normas en materia de protección de datos con las tecnologías blockchain (baste la característica de indelebilidad de los registros). De ahí que estas directrices vinieran siendo largamente esperadas, debiendo asimismo saludarse el gran esfuerzo interpretativo del Comité europeo al emitirlas. Su virtualidad, eso sí, podrá garantizarse en cadenas privadas o todo lo más híbridas, si bien resultará limitada en cadenas públicas que por definición carezcan de instancias de centralización, y por ende de asunción de responsabilidades.

Directrices 02/2026 del CEPD sobre anonimización de datos personales

El 7 de julio de 2026, el CEPD adoptó las Directrices 02/2026 sobre anonimización de datos personales, abiertas a consulta pública. Las directrices parten de la premisa de que la anonimidad no es un atributo absoluto, sino que debe evaluarse desde la perspectiva de cada entidad relevante y a la luz de todos los factores objetivos. A tal efecto, el CEPD propone un marco basado en tres criterios acumulativos: ausencia de aislamiento de registros, ausencia de vinculación y ausencia de inferencia, evaluados en función de la precisión y fiabilidad de las técnicas de reidentificación disponibles. Si los tres criterios se satisfacen, los datos pueden considerarse anónimos; en caso contrario, se requiere un análisis adicional. El marco admite dos enfoques de aplicación: uno contextual, que pondera las capacidades específicas de cada entidad relevante, y otro simplificado, más conservador y uniforme. Ambos pueden combinarse para refinar las conclusiones. También en este caso, estamos ante una directriz de extrema importancia y utilidad, en la medida en que como es conocido, la anonimización permite directamente excluir la aplicación de la normativa sobre datos personales, al tiempo que desde el punto de vista estrictamente tecnológico garantiza la mejor protección posible para estos, más allá de la que cualquier norma pueda proporcionar.

Directrices 03/2026 del CEPD sobre web scraping en el contexto del entrenamiento de sistemas de IA generativa

El 7 de julio de 2026, el CEPD adoptó las Directrices 03/2026 sobre web scraping en el contexto del entrenamiento de inteligencia artificial generativa, abiertas a consulta pública. Las directrices delimitan la aplicación del RGPD a las operaciones de recogida, almacenamiento, organización y consulta de datos personales mediante scraping de fuentes de internet por entidades privadas. En materia de minimización, el CEPD distingue entre medidas previas a la recogida –uso de datos sintéticos, definición de criterios precisos de recopilación o exclusión de determinadas fuentes– y medidas posteriores –filtrado, anonimización o pseudonimización–. Respecto a la base jurídica, las directrices exigen, para invocar el interés legítimo del artículo 6(1)(f) del RGPD, la concurrencia acumulativa de tres requisitos: un interés legítimo, la necesidad del tratamiento y la superación del test de ponderación con los derechos fundamentales de los interesados. En cuanto a las categorías especiales de datos, las directrices recuerdan la prohibición general del artículo 9(1) del RGPD y, con remisión al asunto C-136/17, señalan que dicha prohibición resulta aplicable dentro del marco de las responsabilidades, competencias y capacidades del operador. Este deberá adoptar medidas técnicas y organizativas para prevenir la recopilación y difusión incidental de tales categorías. Es conocido que la gran mayoría de los modelos de inteligencia artificial generativa (entre ellos los más conocidos) se han nutrido de datos, entre otros personales, a través del uso de las tecnologías de web scraping. Esta utilización, inicialmente indiscriminada de datos, está siendo crecientemente contestada por los sectores afectados y comienza igualmente a dar pie la iniciativa es legislativas y jurisprudenciales en contra. En lo que a los datos personales respecta, y, por tanto, estas directrices del Comité europeo constituyen un instrumento de gran utilidad para que las empresas titulares de este tipo de modelos se aseguren una plena conformidad en estas prácticas a las pautas del RGPD.

Nota: El pasado 28 de mayo tuvo entrada en el Congreso de los Diputados el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Sus principales novedades fueron objeto de análisis monográfico en nuestra alerta del mes anterior, disponible aquí.