La Autoridad Catalana de Protección de Datos (APDCAT) ha anunciado una disminución en el número anual de notificaciones de violaciones de seguridad durante el año 2024 en comparación con el año anterior. Esta reducción rompe, por primera vez, la tendencia al incremento del 20% anual que se venía observando desde el año 2018.

Concretamente, la APDCAT recibió un total de 182 notificaciones de violaciones de seguridad a lo largo de 2024, una cifra que supone una ligera disminución en relación con las 183 notificaciones registradas en 2023. A pesar de tratarse de un descenso modesto –del 0,5%–, el número de afectados se ha reducido a más de la mitad, con un total de 230.000 personas, en comparación con el millón y medio que se registró a lo largo de 2023.

La Autoridad atribuye esta mejora tan pronunciada en el número de afectados, principalmente, a la disminución de ciberataques, que pasan del 31% en 2023 al 17% en 2024, especialmente los de tipo ransomware, que han pasado del 19% al 3%. Estos ataques ransomware, basados en el secuestro de datos, son los que afectan a un mayor número de personas. En consecuencia, el 41% de las violaciones de seguridad que ha recibido la APDCAT durante 2024 solo han tenido impacto en un número de entre 1 y 10 personas.

Aun así, cabe destacar la forma en que, a pesar de la notable disminución en el impacto de estas violaciones, el número de notificaciones a las autoridades se ha mantenido en línea con las de 2023. Esto pone de manifiesto que los responsables de realizar estas notificaciones no han reducido su labor de vigilancia y han continuado cumpliendo rigurosamente con su obligación de reportar los incidentes de manera adecuada.

En cuanto al origen de las violaciones de seguridad, el error humano pasa a ser la primera causa de los incidentes (aumenta del 43% al 59%), mientras que el acto externo malintencionado se sitúa en segundo lugar (baja del 52% al 33%). En última instancia, se encuentra el acto interno malintencionado (por ejemplo, abuso de privilegios de acceso por parte de empleados que extraen, copian o reenvían datos sin autorización), que se mantiene en tercer lugar con ligeras variaciones al alza.

En la misma línea de 2023, en la gran mayoría de los incidentes (92%) se ve afectada la confidencialidad de los datos, mientras que las violaciones que afectan a la disponibilidad disminuyen (hasta el 7%), en coherencia con la reducción del número de ataques ransomware, que al operar mediante la encriptación de los datos con el objetivo de posteriormente exigir un rescate, limitan su accesibilidad y cuando se necesitan.

Finalmente, como es habitual, la mayoría de las violaciones afectan datos identificativos básicos (nombre y apellidos y, en algunos casos, fecha de nacimiento) y datos de contacto, en un alto porcentaje combinados con datos de documentos de identidad (como DNI, NIE o pasaporte), cuyo acceso y uso indebido puede suponer un riesgo importante de daño para los titulares de los datos comprometidos, como el riesgo de sufrir una suplantación de identidad o ser víctima de fraude.

Estas noticias son especialmente relevantes para el sector sanitario, un ámbito particularmente vulnerable a este tipo de incidentes debido a la naturaleza sensible de los datos que gestiona. Según el artículo 9.1 del RGPD, estos datos se consideran de categoría especial y requieren la aplicación de medidas específicas de seguridad que garanticen su integridad y confidencialidad frente a intentos de acceso no autorizados y tratamientos ilícitos que puedan comprometer la privacidad de sus titulares.

Aun así, es importante mantener el nivel de alerta. Como recordaba el Informe de Prospectiva de Ciberseguridad para 2024 de la Agencia de Ciberseguridad de Cataluña, el sector sanitario sigue siendo un objetivo principal en esta materia, por lo que continúa siendo primordial la adopción y el mantenimiento de estrategias de ciberseguridad proactivas, flexibles y adaptables ágilmente a los cambios dinámicos y a la evolución de este tipo de amenazas cibernéticas.

En este sentido, es importante recordar que, según el artículo 33 del RGPD, en caso de que se produzca una violación de seguridad de datos personales, el responsable del tratamiento deberá notificarlo a la Autoridad «sin dilación indebida» y, por regla general, en un plazo máximo de 72 horas desde que se haya tenido constancia del incidente. Según el RGPD, se considera violación de seguridad cualquier incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra manera, o la comunicación o el acceso no autorizado a dichos datos.

Así pues, cuando el responsable de protección de datos considere, en base a criterios como el tipo de violación, la categoría y tipología de los datos o el volumen y tipo de afectados, que la violación supone un riesgo de que se produzcan perjuicios (daños físicos, materiales o inmateriales) para las personas titulares de los datos afectados, deberá comunicarlo a la autoridad competente –en el caso de Cataluña, a la APDCAT– en los términos establecidos.

A modo ilustrativo, la Autoridad ha considerado violaciones de seguridad que deben ser comunicadas aquellas que impliquen pérdida de control sobre los datos, restricción de derechos de los titulares, discriminación, suplantación de identidad, pérdidas financieras, daño a la reputación, reversión no autorizada de la pseudonimización o pérdida de confidencialidad de datos sujetos a secreto profesional.

En definitiva, a pesar de la clara mejora, seguiremos con interés la evolución de los datos registrados por las Autoridades en materia de violaciones de seguridad y su impacto en la protección de los datos personales de los afectados, especialmente en sectores críticos como lo es el sector sanitario.

La Comisión Europea aprobó el pasado 26 de febrero un primer paquete de medidas de simplificación sustancial y reducción de cargas administrativas, paquete ómnibus, que tiene como objetivo modificar diferentes normativas de sostenibilidad empresarial de la Unión Europea para aligerar la carga administrativa innecesaria para las empresas, dándoles más tiempo para su adaptación, así como reduciendo los requisitos de la CSRD y modificando los umbrales de su aplicación.

Concretamente, el paquete incluye modificaciones de la Directiva de Reporting de Sostenibilidad Corporativa (CSRD) y de la Directiva de Diligencia Debida de las Empresas en Materia de Sostenibilidad (CSDDD). El paquete también va acompañado de un proyecto de Acto delegado sobre Taxonomía.

Los principales cambios en la CSRD serían:

• Reducción del ámbito de las empresas obligadas a informar. Los requisitos de información solo se aplicarán a grandes empresas de más de 1.000 trabajadores y un volumen de negocio superior a 50 millones de euros o un activo superior a 25 millones de euros. Las empresas que no cumplan estos requisitos no estarán obligadas, así como tampoco las pymes cotizadas.
• Límite de la cadena de valor. Para las empresas que ya no entran dentro del ámbito de aplicación de la CSRD, la Comisión adaptará una norma de información voluntaria. Esta norma limitará la información que las empresas que entren en el ámbito de aplicación de la CSRD podrán solicitar a las empresas de sus cadenas de valor.
• Compromiso de la Comisión de revisar las Normas Europeas para la elaboración de informes de sostenibilidad. El objetivo de la revisión será reducir sustancialmente el número de datos, simplificando y mejorando la redacción de los requisitos de información.
• Supresión del requisito de normas sectoriales.
• Supresión de la norma de garantía razonable. Se elimina la posibilidad de que la Comisión proponga pasar del requisito de garantía limitada al de garantía razonable.
• Aplazamiento de los requisitos de información. Se propone aplazar dos años la entrada en vigor de los requisitos de información para las grandes empresas que aún no han comenzado a aplicar la normativa. Es decir, las grandes empresas deberán reportar por primera vez según CSRD en 2028 con datos de 2027.

En cuanto a la Taxonomía, el paquete Ómnibus incluye modificaciones en el sentido de una mayor flexibilización, así prevé la notificación voluntaria de la Taxonomía para las empresas incluidas en el ámbito de aplicación de la CSRD (empresas de más de 1.000 trabajadores) y también introduce la opción de informar voluntariamente sobre su alineación parcial con la Taxonomía.

A pesar de que todavía el Parlamento y el Consejo Europeo deben ponerse de acuerdo en los próximos meses sobre la versión final del documento, no se esperan grandes cambios sobre esta propuesta.

El Decreto 40/2025 regula el RELIC y el RPC con novedades para garantizar más transparencia y eficiencia en la contratación pública.

El Diario Oficial de la Generalitat de Cataluña (DOGC) ha publicado el Decreto 40/2025, de 11 de marzo, que regula el Registro de Empresas Licitadoras y Clasificadas de Cataluña (RELIC) y el Registro Público de Contratos de Cataluña (RPC). Esta normativa introduce diversas mejoras para optimizar la calidad de la información, favorecer la transparencia y avanzar en la contratación pública electrónica.

Entre las principales novedades, destaca la inscripción de oficio en el RELIC de la documentación presentada en las solicitudes de clasificación empresarial, así como la obligación de los órganos de contratación de informar sobre cambios en los requisitos para contratar o sobre la detección de información falsa. Además, se establecen sanciones por la falta de actualización de los datos, con suspensiones de cinco años y cancelaciones de diez años.

En cuanto al RPC, todos los órganos de contratación de Cataluña deberán comunicar en él los datos básicos de los contratos sin necesidad de un convenio previo. En el caso de la Administración de la Generalitat y su sector público, también será obligatorio informar sobre el cumplimiento y la evaluación de los contratos. Además, se agiliza la comunicación con la Sindicatura de Cuentas y el Registro de Contratos estatal a través de la Secretaría Técnica de la Junta Consultiva de Contratación Pública de Cataluña.

El decreto también garantiza el acceso público a determinada información durante los últimos cinco años sin necesidad de identificación previa y prevé la interoperabilidad entre el Sistema Corporativo de Contratación Pública Electrónica de Cataluña y el Directorio de Empresas de la Ley 18/2020.

Esta nueva regulación entrará en vigor el 2 de abril de 2025 y se completará con la puesta en marcha de una nueva herramienta informática para la gestión del RELIC.

Análisis del Anteproyecto de Ley sobre la Gobernanza de la IA y su Impacto en el Marco Jurídico Nacional

El vertiginoso avance de la inteligencia artificial (IA) ha planteado desafíos significativos en términos de ética, transparencia y protección de los derechos fundamentales. En respuesta a estos retos, el Gobierno de España ha aprobado recientemente el anteproyecto de ley sobre la gobernanza de la IA, con el objetivo de garantizar un uso ético, inclusivo y beneficioso de esta tecnología. Este artículo analiza las principales disposiciones de esta normativa y su alineación con el Reglamento Europeo de IA.

El anteproyecto busca armonizar la legislación española con el Reglamento Europeo de IA, ya en vigor, que establece un marco común para el desarrollo, comercialización y uso de sistemas de IA en la Unión Europea. Este reglamento clasifica las aplicaciones de IA en función de su nivel de riesgo y establece obligaciones específicas para cada categoría, con el fin de mitigar posibles riesgos para los derechos y libertades de las personas.

Una de las medidas más destacadas del anteproyecto es la obligación de identificar claramente los contenidos generados o manipulados mediante IA, como imágenes, audios o vídeos. Esta disposición busca prevenir la difusión de desinformación y proteger a la ciudadanía de posibles engaños, especialmente en relación con los llamados deepfakes. El incumplimiento de esta obligación se considerará una infracción grave, sancionable con multas de hasta 35 millones de euros o el 7% de la facturación anual de la empresa infractora.

El anteproyecto también prohíbe el uso de técnicas subliminales que puedan manipular el comportamiento de las personas, así como la explotación de vulnerabilidades específicas debido a la edad, discapacidad o situación socioeconómica. Además, se prohíbe la clasificación de personas basada en datos biométricos para evaluar su comportamiento o personalidad, garantizando así la protección de los derechos fundamentales y la dignidad humana.

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada en 2023, será la encargada de supervisar la implementación y cumplimiento de esta normativa. La AESIA tendrá facultades inspectoras y sancionadoras para garantizar que los sistemas de IA operen de manera transparente y respetuosa con los derechos fundamentales.

Conclusión

La aprobación de este anteproyecto representa un paso significativo hacia la regulación efectiva de la inteligencia artificial en España. Al armonizarse con el marco europeo y establecer medidas específicas para garantizar la transparencia y la ética en el uso de la IA, se busca fomentar la confianza de la ciudadanía en estas tecnologías y asegurar que su desarrollo contribuya al bienestar social y al respeto de los derechos fundamentales.

El marco normativo de la contratación pública en Cataluña ha experimentado cambios significativos con la entrada en vigor de los Decretos Ley 2/2025 y 3/2025, aprobados el 25 de febrero y el 4 de marzo, respectivamente. Estas normativas introducen medidas destinadas a agilizar procesos, flexibilizar la contratación y garantizar mayor eficiencia en la gestión pública.

Una de las principales novedades es la posibilidad de contratar conjuntamente la redacción del proyecto y la ejecución de la obra en determinadas situaciones. Esta medida se podrá aplicar en obras de corta duración, contratos por debajo del umbral del procedimiento abierto simplificado, proyectos de eficiencia energética y sostenibilidad, así como en casos de tramitación urgente. También se prevé para actuaciones vinculadas a planes estratégicos del Gobierno. El objetivo es evitar retrasos administrativos y asegurar una mayor coherencia entre la concepción inicial y la ejecución del proyecto.

Por otro lado, se refuerza la obligación de dividir los contratos en lotes para fomentar la competencia y evitar adjudicaciones excesivas a un mismo operador. En caso de que no sea posible la división, será necesario justificar las razones técnicas. Además, se limita el número de lotes que pueden ser adjudicados a una sola empresa para garantizar una distribución más equitativa de los contratos y fomentar la participación de más operadores económicos.

En cuanto a los contratos menores, se establece que aquellos con un valor igual o inferior a 5.000 euros (IVA excluido) podrán formalizarse únicamente con la aprobación del gasto y la presentación de la factura, sin requerir trámites administrativos adicionales. Esto permitirá agilizar la contratación de pequeños servicios y suministros. No obstante, se mantiene la necesidad de diversificar los proveedores siempre que sea posible para evitar concentraciones en una única empresa.

Otra modificación relevante es la aplicación de nuevas normas en materia de subcontratación. La normativa establece mecanismos de protección para los subcontratistas en caso de impago por parte del contratista principal. En contratos sujetos a regulación armonizada con subcontrataciones superiores al 10% del valor total, si el retraso en el pago supera un mes, el subcontratista podrá solicitar el pago directo al órgano de contratación, que podrá descontar el importe de las facturas pendientes o de la garantía del contratista principal. Además, se establece la obligación de que este último expida certificados de buena ejecución en un plazo máximo de diez días, mejorando así la transparencia y el reconocimiento del trabajo realizado por terceros.

Finalmente, el Decreto Ley 2/2025 modifica la Ley de la Arquitectura para permitir que la dirección de ejecución de obra pueda ser contratada conjuntamente con la redacción del proyecto. Asimismo, se deroga la norma que exigía la separación estricta entre el proyecto y la dirección de obra, permitiendo una gestión más integrada y adaptada a las necesidades de los proyectos.

Las nuevas normativas tienen como objetivo simplificar determinados procedimientos de contratación pública, garantizar mayor rapidez y seguridad jurídica, y fomentar una mayor competencia entre las empresas.