RGPD

La Agencia Española de Protección de Datos (AEPD) ha publicado una nota técnica sobre la relación entre la calidad de los datos, el principio de exactitud del RGPD y el uso de sistemas de Inteligencia Artificial. El documento aporta una interpretación especialmente relevante para organizaciones que desarrollan, entrenan o utilizan soluciones de IA, al aclarar que la calidad de los datos y la exactitud exigida por el RGPD son conceptos relacionados, pero no equivalentes.

Uno de los principales mensajes de la AEPD, es la calidad de los datos, estos, ya sean personales o no, deben satisfacer necesidades declaradas e implícitas cuando se utilizan en condiciones específicas. Esta definición  vincula el concepto de calidad de los datos a la adecuación d e estos para cumplir con la finalidad en un contexto declarado.

Asimismo, la exactitud de los datos no debe interpretarse únicamente como veracidad o actualización permanente de la información. La autoridad recuerda que el artículo 5 del RGPD vincula la exactitud a la finalidad del tratamiento. En consecuencia, los datos deberán reunir aquellas características que resulten necesarias para cumplir adecuadamente dicha finalidad, pudiendo incluir aspectos como la precisión, la granularidad, la completitud o la frecuencia de actualización, siempre que sean relevantes para el uso previsto.

La AEPD destaca también la estrecha relación entre los principios de exactitud y minimización. Ambos actúan conjuntamente para definir el nivel de calidad exigible a los datos personales. Mientras la exactitud exige que los datos sean adecuados para alcanzar la finalidad perseguida, el principio de minimización impide recopilar o utilizar información con un nivel de detalle, precisión o frecuencia superior al estrictamente necesario. Desde esta perspectiva, exigir un nivel de calidad más elevado del requerido podría resultar contrario al propio RGPD al suponer un tratamiento excesivo de datos personales.

El uso de baremos estándar como por ejemplo las ISO permite realizar un análisis de las características de calidad de los datos bajo un marco de referencia común, aun así, este hecho podría afectar a como valoramos los datos respecto de un contexto concreto. Dicho esto, la AEPD recuerda evitar caer en errores como aplicar técnicas de “checkbox” donde se hace un repaso abstracto del conjunto de datos sin contexto; establecer que todas las características son igual de relevantes; o suponer que las características a evaluar en el marco son las únicas i, que por tanto, se agotan con ese análisis.

En este sentido, en el ámbito de la Inteligencia Artificial, la AEPD subraya que la evaluación de la calidad no puede limitarse a los datos individuales. En muchos procesos de aprendizaje automático, la calidad del conjunto de datos adquiere una importancia superior a la del registro aislado. Factores como la representatividad, la ausencia de sesgos, las propiedades estadísticas del conjunto o la adecuación al contexto de utilización pueden resultar determinantes para garantizar resultados fiables y compatibles con la finalidad del tratamiento.

Otro aspecto relevante es que la calidad de los datos debe analizarse siempre desde una perspectiva funcional. La AEPD admite que determinadas técnicas utilizadas en ciencia de datos, como la anonimización, la generación de datos sintéticos, la reducción de sesgos o la imputación de valores faltantes, pueden introducir elementos que no reflejen exactamente la realidad individual de una persona. Sin embargo, ello no implica necesariamente una vulneración del principio de exactitud, siempre que el conjunto de datos siga siendo adecuado para la finalidad perseguida y no genere efectos adversos sobre los derechos de las personas afectadas.

Se recuerda que dado que los datos personales, también pueden incluir información no personal que, asimismo puede influir directamente en el resultado obtenido, es necesario que los requisitos de calidad se extiendan igualmente a aquellos datos no personales que condicionen la idoneidad del tratamiento o sus resultados.

El desarrollo de sistemas de IA constituye en si mismo un tratamiento distinto al de la finalidad o resultado que puede ofrecer el sistema. En este sentido, la calidad de los datos debe valorarse bajo el contexto del uso previsto que deberá cumplir una vez desplegado.

Asimismo, la calidad de los datos no debe entenderse como una condición estática, sino como un proceso continuo que requiere supervisión, revisión y adaptación durante todo el ciclo de vida del sistema y del tratamiento.

Los mayores riesgos detectados por la Agencia recaen en los dos extremos de la calidad de los datos: Un nivel insuficiente compromete la idoneidad del sistema y afectar negativamente a los derechos de los interesados; por otra parte, nivel desproporcionado puede vulnerar el principio de minimización, incrementar innecesariamente los costes de acceso y gestión de datos e incluso dificultar proyectos legítimos de innovación e investigación.

En conclusión, la Agencia defiende un enfoque basado en la finalidad, la proporcionalidad y la evidencia objetiva. Los datos deben estar definidos bajo un grado de calidad que sea de acuerdo con su función y resultado que deben producir. Respecto de la IA, esta definición debe combinar criterios técnicos y jurídicos, así como métricas que permitan verificar la idoneidad del resultado, el cumplimiento con la normativa de protección de datos, y de las exigencias del ciclo de vida de la IA (Reglamento Europeo de la IA). En este sentido, la participación conjunta de especialistas en protección de datos y en ciencia de datos se configura como un elemento clave.

La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente la Resolución 00068-2026, en la que procede a modificar el criterio actual respecto el ejercicio del derecho de acceso para conocer las personas físicas que han tenido acceso a datos de salud.

Valga empezar recordando que la jurisprudencia actual, como la STJUE de 22 de junio de 2023 (C-579/21), indica que no existe un derecho absoluto de conocer las personas físicas que hayan tenido acceso a la historia clínica, pudiendo satisfacer el ejercicio del derecho de acceso del art. 15 del Reglamento General de Protección de Datos (RGPD) indicando la categoría de destinatarios. Igualmente, la reciente sentencia del Tribunal Supremo de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo), aplica esta interpretación, confirmando que la identificación individual de quienes acceden a los datos debe valorarse en función de su necesidad y de la ponderación con otros derechos.

De hecho, la misma AEPD sostenía el criterio que “Salvo que una ley lo permita expresamente, el derecho de acceso no incluye la identificación de los profesionales sanitarios que acceden a la historia clínica”.

¿Y cuál ha sido el motivo del cambio de criterio? El nuevo Reglamento 2025/327 relativo al Espacio Europeo de Datos de Salud, que establece en su art. 9 el derecho a obtener información sobre el acceso a los datos por el prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales; también prevé que los Estados miembros puedan  limitar este derecho cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona física.

Esto ha llevado a que, en una reciente reclamación de derecho de acceso en la que se planteaba la necesidad de conocer las personas que accedieron a la historia clínica del demandante, la autoridad de control procediera a adoptar un criterio interpretativo evolutivo en anticipación al nuevo Reglamento Europeo. Partiendo por reconocer que el Reglamento, aunque entró en vigor el 2025, se irá aplicando de manera escalonada a partir del 2027, introduce un criterio de que el derecho de acceso incluye la identificación de las personas que han accedido a los datos. Aunque reconoce que este derecho no es absoluto, conforme a la jurisprudencia y al principio de proporcionalidad, indica que será el responsable de tratamiento quien tenga que acreditar que la limitación al acceso esté debidamente fundada y documentada, rechazando una exclusión general y automática a proporcionar las identidades de las personas que acceden a los datos.

Este criterio supone una evolución de la jurisprudencia e interpretaciones tradicionales para reforzar la transparencia del tratamiento y el control efectivo de la licitud.

En el DOUE de 11 de junio de 2026 se ha publicado el Reglamento de Ejecución (UE) 2026/1197 de la Comisión, de 5 de junio de 2026, por el que se establece una lista de indicadores comunes sobre el funcionamiento de los organismos de igualdad designados de conformidad con la Directiva (UE) 2024/1500. Esta disposición establece el marco para la recopilación y la comunicación de información que servirá de base para los informes de seguimiento que los Estados miembros deberán remitir a la Comisión.

Este reglamento desarrolla las previsiones de la Directiva (UE) 2024/1500, que estableció unos requisitos mínimos aplicables al funcionamiento de los organismos de igualdad con el objetivo de reforzar su eficacia y garantizar su independencia. En este contexto, el Reglamento de Ejecución (UE) 2026/1197 concreta una relación común de indicadores destinada a armonizar los datos que los Estados miembros deben recopilar a escala nacional y comunicar posteriormente a la Comisión Europea.

Según dispone la norma, los indicadores comprenden, entre otros aspectos, los recursos humanos, técnicos y financieros de los organismos de igualdad, las garantías de independencia en el ejercicio de sus funciones, la accesibilidad de sus servicios, la eficacia de su actuación y las posibles modificaciones de su mandato, de sus competencias o de su estructura organizativa. La finalidad es garantizar que la información obtenida sea homogénea, objetiva, fiable y comparable en el conjunto de la Unión Europea.

Contenido del anexo

El anexo del reglamento estructura la lista de indicadores en tres grandes apartados. El primero hace referencia a la configuración nacional y al funcionamiento organizativo de los organismos de igualdad. El segundo recoge los indicadores relativos a su funcionamiento operativo durante el período de referencia. El tercero incorpora la información de retorno facilitada por los propios organismos sobre el cumplimiento de los requisitos previstos en la Directiva (UE) 2024/1500.

Estos apartados incluyen indicadores relativos a la estructura y el mandato de los organismos, las garantías de independencia, los mecanismos de financiación, las competencias para la tramitación de denuncias, los procedimientos de resolución alternativa de litigios, las actuaciones de investigación, la emisión de decisiones o dictámenes, la actividad jurisdiccional, la elaboración de informes, la accesibilidad de los locales y de los servicios, así como la igualdad de acceso a los canales de denuncia.

Herramienta común y protección de datos

Con el fin de facilitar la recopilación y la transmisión de la información, el reglamento prevé que la Comisión pueda poner a disposición de los Estados miembros y de los organismos de igualdad una herramienta informática de uso sencillo, con campos de introducción de datos adaptados a los indicadores aprobados. Asimismo, el artículo 1 establece expresamente que los datos recopilados conforme a estos indicadores no podrán anexo, los Estados miembros deberán facilitar la información relativa a la configuración nacional, al funcionamiento operativo y a la información de retorno, como fecha límite, el 19 de junio de 2031. Posteriormente, varios de estos bloques de información deberán actualizarse con una contener datos personales en el sentido del Reglamento General de Protección de Datos (RGPD).

Plazos de comunicación

De acuerdo con lo establecido en el anexo, los Estados miembros deberán facilitar la información relativa a la configuración nacional, al funcionamiento operativo y a la información de retorno, como fecha límite, el 19 de junio de 2031. Posteriormente, varios de estos bloques de información deberán actualizarse con una periodicidad de cinco años, de conformidad con el artículo 18 de la Directiva (UE) 2024/1500. Con carácter general, los indicadores se calcularán tomando como referencia el año natural.

Entrada en vigor e incidencia práctica

El artículo 2 del Reglamento de Ejecución (UE) 2026/1197 establece que esta disposición entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Al tratarse de un reglamento, será obligatorio en todos sus elementos y directamente aplicable en todos los Estados miembros.

Desde una perspectiva práctica, esta norma dota a la Comisión y a los Estados miembros de una metodología común de seguimiento destinada a evaluar el funcionamiento de los organismos de igualdad en el ámbito de la igualdad de trato y de oportunidades entre mujeres y hombres en materia de empleo y ocupación. Este sistema permitirá disponer de información homogénea sobre aspectos como la independencia, los recursos disponibles, la accesibilidad y los resultados de la actividad desarrollada, y constituirá un instrumento de apoyo para la elaboración de los futuros informes de aplicación de la Directiva (UE) 2024/1500.

En fecha 20 de septiembre de 2023 se presentó una reclamación ante la AEPD por los delegados sindicales del Servicio de Prevención y Extinción de incendios (SPEIS) de la Diputación de Huesca en la que se denunciaba que se pudo acceder a una carpeta compartida utilizada por el personal administrativo del SPEIS, la cual contenía información confidencial.

Este procedimiento llevó a tratar otro asunto pues, además de la presunta brecha de seguridad, se descubrió que el Delegado de Protección de Datos (DPD) de la Diputación de Huesca también ejercía como responsable del Sistema interno de información. Esto condujo a que se planteara la idoneidad de la concurrencia de ambas funciones en la misma persona.

Sobre el primer incidente, la AEPD resolvió que estimaba la vulneración del art. 5.1.f) del RGPD por el fallo de la Diputación en preservar confidencialidad e integridad de datos de los que era responsable.

Respeto a la segunda situación, la AEPD valoró que, si bien es cierto que el DPD puede desempeñar otras funciones además de las asignadas para su cargo, hay que garantizar que no dará lugar a un conflicto de interés, de conformidad con el art. 38.6 del RGPD. Procedemos a analizar esta interpretación.

• El DPD puede ejercer otras funciones, siempre que no den lugar a conflictos de intereses, circunstancia que debe garantizar el responsable del tratamiento.
• El DPD actúa como asesor y supervisor interno, de manera que no puede serlo alguien que tenga otras funciones en las que pueda decidir sobre la existencia de tratamientos de datos o sobre cómo se tratan los datos.
• Por su parte, el responsable del sistema interno de información deberá desarrollar sus funciones de forma independiente y autónoma respecto del resto de los órganos de la entidad y responde del correcto funcionamiento del sistema (art. 8.4 y 9.1 de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción); es decir, puede tener acceso a los datos personales contenidos en el sistema.
• También se establece que tanto el responsable del sistema como el DPD pueden tener acceso a los datos del Sistema interno de información (art. 32.1 Ley 2/2023); es decir, entiende que son dos figuras distintas.
• Por lo tanto, se concluye que si la misma persona tiene distintos intereses puede dar lugar a conflictos de interés, circunstancia que hay que evitar para que puedan realizar sus funciones con las garantías debidas.

Finalmente, la AEPD resolvió en fecha 2 de febrero de 2025 la consulta previa de la Diputación, concluyendo que no es posible asignar funciones de responsable del sistema interno de información al DPD. Ante esto, la Diputación procedió a sustituir el responsable del sistema interno de información.

En definitiva, ante el riesgo de posibles conflictos de interés, la responsabilidad de DPD y responsable del sistema interno de información no deberían recaer en la misma persona.

El juicio de proporcionalidad en relación con los recursos corporativos que pueden contener información personal de los trabajadores continúa siendo un foco habitual de conflicto cuando una entidad necesita acceder a ellos por motivos operativos o de seguridad.

En este contexto, resulta especialmente oportuna la nueva resolución de archivo de la información previa núm. IP 73/2024 de la Autoridad Catalana de Protección de Datos (APDCAT), en la que se vuelve a delimitar con claridad los principios y criterios de justificación que permiten determinar cuándo un acceso a medios corporativos puede considerarse debido o, por el contrario, indebido o ilegítimo, especialmente cuando estos contienen datos personales de los trabajadores.

El caso analizado tiene como sujeto afectado a un Instituto del Departamento de Educación y Formación Profesional. Un docente del centro presentó una reclamación alegando que el acceso, por parte del responsable del tratamiento, a un ordenador corporativo de la entidad podía haber vulnerado sus derechos a la intimidad y a la protección de su información y datos personales. El origen de la actuación radica en las sospechas de la entidad sobre un posible acceso indebido a la plataforma iEduca, identificado con el perfil de un profesor que no se encontraba físicamente en el centro en ese momento.

La entidad responsable justificó el acceso al historial del ordenador corporativo con dos finalidades concretas: aclarar una posible suplantación de identidad y garantizar la seguridad del sistema informático del centro.

Asimismo, sostuvo que el acceso se limitó exclusivamente a estas finalidades y puso de manifiesto la existencia de normativa sectorial aplicable y de directrices internas debidamente documentadas, como guías de uso, manual de bienvenida, normas de organización y funcionamiento, entre otras, que se facilitan a los docentes del centro y que regulan los criterios de utilización de las tecnologías de la información y de los dispositivos digitales corporativos.

Por su parte, la persona denunciante consideró que el acceso había sido indebido, dado que no se había solicitado su consentimiento para acceder a un ordenador que, si bien no era de carácter personal, se encontraba en el aula donde impartía clase. En este sentido, señaló que los datos afectados eran los generados por las navegaciones a internet realizadas desde una dirección IP concreta, los cuales tienen la consideración de datos personales.

La APDCAT inicia su análisis descartando el consentimiento como base jurídica adecuada y considera más fundamentadas otras bases de legitimación previstas en el artículo 6.1.b), c) y e) del Reglamento General de Protección de Datos (RGPD), tales como la relación contractual, el interés legítimo o el interés público.

La valoración del acceso y el correspondiente juicio de proporcionalidad se fundamentan en varios elementos clave:

En primer lugar, la entidad puede acceder a los contenidos de los medios digitales facilitados a los trabajadores de acuerdo con el artículo 87 de la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD). A ello se añade la Recomendación CM/Rec(2015)5 del Comité de Ministros del Consejo de Europa, de 1 de abril de 2015, relativa al tratamiento de datos en el ámbito laboral, que establece, entre otros principios, la posibilidad de acceder a las comunicaciones electrónicas de los empleados cuando estos han sido debidamente informados.

No obstante, la Autoridad recuerda que el principio de licitud debe ir necesariamente vinculado al principio de minimización. En consecuencia, cualquier control debe constituir una respuesta proporcional frente a riesgos potenciales, ponderando adecuadamente el derecho a la vida privada y los demás intereses legítimos de los trabajadores. Esto implica que los datos tratados con finalidades de revisión deben ser adecuados, pertinentes y no excesivos en relación con la necesidad que justifica su recogida.

En términos generales, cualquier medida de monitorización debe aplicarse bajo estos criterios. Si existe una alternativa que permita alcanzar el objetivo perseguido con una menor intromisión en la vida privada de los trabajadores, el empleador está obligado a valorar y, en su caso, aplicar dicha opción.

En definitiva, el acceso a los medios corporativos debe llevarse a cabo de la forma menos invasiva posible y, en todo caso, habiendo informado previamente a las personas trabajadoras afectadas. El responsable del tratamiento debe ofrecer una respuesta proporcional a los riesgos que gestiona, tomando siempre en consideración la privacidad legítima y los demás intereses de los trabajadores.

Una reciente decisión de la autoridad austríaca de protección de datos (DSB) ha vuelto a situar a Microsoft en el centro del debate sobre la privacidad digital, especialmente cuando se trata de menores. A raíz de una denuncia presentada por la organización Noyb, la DSB ha concluido que Microsoft instaló cookies de rastreo en el dispositivo de un alumno que utilizaba Microsoft 365 Education sin haber obtenido su consentimiento. Según la propia política de privacidad de la empresa, estas cookies sirven para analizar el comportamiento del usuario, recopilar datos del navegador y utilizarlos con fines publicitarios. La autoridad ha concedido a Microsoft un plazo de cuatro semanas para poner fin a este rastreo y adaptarse a la normativa europea.

Este caso no es un hecho aislado. En junio de 2024, Noyb ya había presentado dos reclamaciones ante la autoridad austríaca relacionadas con el uso de Microsoft 365 Education en las escuelas. La primera se resolvió en octubre de 2025, cuando la autoridad consideró que Microsoft había vulnerado el derecho de acceso reconocido en el artículo 15 del Reglamento General de Protección de Datos (RGPD). En aquel momento, la organización denunciaba que Microsoft vulneraba la privacidad de los menores mientras trasladaba la responsabilidad legal a las escuelas y a las autoridades educativas locales.

Uno de los problemas de fondo que destaca Noyb es el desequilibrio de poder entre las grandes empresas tecnológicas y las escuelas o administraciones públicas. Proveedores como Microsoft tienen una posición de mercado tan dominante que pueden imponer contratos y condiciones de uso bajo una lógica de “o lo aceptas o te quedas fuera”. En este contexto, las escuelas no tienen ninguna capacidad real para negociar cómo se tratan los datos del alumnado ni para influir en las decisiones técnicas que adopta la compañía. A pesar de ello, Microsoft suele presentarse como un simple “encargado del tratamiento”, mientras traslada la mayor parte de la responsabilidad legal a las escuelas, que formalmente actúan como “responsables del tratamiento”.

En la práctica, este reparto de roles no refleja la realidad. Las escuelas no deciden ni los medios ni las finalidades reales del tratamiento de datos, tal y como exige el RGPD para ser consideradas responsables efectivas. Sin embargo, son ellas las que acaban asumiendo los riesgos legales.

Las consecuencias de este sistema son especialmente graves para las personas afectadas, en este caso los estudiantes. Cuando intentan ejercer sus derechos de protección de datos, como el derecho de acceso, a menudo se encuentran con que Microsoft no responde a las solicitudes, mientras que las escuelas no pueden dar respuesta porque no disponen de toda la información ni del control efectivo sobre los datos. Esto crea una situación de “cumplimiento formal”, pero vacía de contenido real, que acaba negando derechos básicos reconocidos por el RGPD.

A todo ello se añade una notable falta de transparencia. Determinar qué políticas de privacidad, contratos o documentos se aplican realmente al uso de Microsoft 365 Education es una tarea compleja incluso para profesionales del derecho. La información se encuentra dispersa en múltiples documentos, a menudo con contenidos vagos o contradictorios, y sin explicar claramente qué ocurre con los datos de los menores. Tal como señala Maartje de Graaf, abogada especializada en protección de datos en Noyb, la información facilitada por Microsoft es tan imprecisa que “ni siquiera un abogado cualificado puede entender completamente cómo se tratan los datos personales en Microsoft 365 Education”.

La segunda denuncia resuelta recientemente hace aún más evidente la gravedad de la situación. La autoridad austríaca ha confirmado que Microsoft instaló cookies de seguimiento en el dispositivo de un menor sin su consentimiento, y que dichas cookies se utilizan con fines publicitarios. Tanto la escuela como el Ministerio de Educación austríaco afirmaron que desconocían completamente la existencia de este rastreo. Esto plantea un escenario preocupante: millones de menores en Europa podrían estar siendo rastreados sin base legal ni conocimiento de las instituciones educativas que utilizan estos servicios.

Las posibles consecuencias de esta decisión van mucho más allá del caso concreto. Millones de estudiantes y docentes en toda Europa utilizan Microsoft 365 Education, y millones más emplean Microsoft 365 en empresas y administraciones públicas. El rastreo de usuarios sin consentimiento vulnera claramente la normativa europea de protección de datos y pone en riesgo la conformidad legal de todas las organizaciones que utilizan estas herramientas. De hecho, algunas autoridades de protección de datos, como las alemanas, ya habían expresado serias dudas sobre la compatibilidad de Microsoft 365 con el RGPD.

En resumen, este caso ejemplifica un problema estructural: las grandes empresas tecnológicas concentran el poder de decisión y los beneficios, pero intentan trasladar las obligaciones legales a sus clientes europeos. Tal como resume Max Schrems, fundador de Noyb, si Microsoft no cambia de manera profunda el funcionamiento y la gobernanza de sus productos, muchas organizaciones europeas simplemente no podrán cumplir con sus obligaciones legales en materia de protección de datos. La decisión austríaca es, por tanto, un toque de atención que va mucho más allá de un solo caso o de un solo país.

La Agencia Española de Protección de Datos (AEPD) ha resuelto recientemente un procedimiento sancionador (ref. EXP202402851) contra IDCQ Hospitales y Sanidad, S.L.U. (Hospital Universitario Quirónsalud Madrid) a raíz de la destrucción de un CD que contenía imágenes de resonancias magnéticas aportadas por un paciente para ser comparadas con una prueba diagnóstica realizada en el centro.

El caso ha generado especial interés porque pone el foco en cuestiones clave para el sector sanitario: el tratamiento de datos de salud, la gestión de soportes físicos entregados por los pacientes y el alcance de las obligaciones de conservación vinculadas a la historia clínica.

Los hechos se remontan a noviembre de 2021, cuando un paciente acudió al Hospital Quirónsalud Madrid para realizarse una resonancia magnética y aportó un CD con imágenes de pruebas previas realizadas entre 2018 y 2020. Ese mismo día firmó un documento en el que se indicaba que los resultados e informes estarían disponibles durante un mes para su retirada. Cuando el paciente intentó recuperar el CD cuatro meses después, el centro le comunicó que ya había sido eliminado por limitaciones de espacio en el archivo. Ante esta situación, presentó una reclamación primero ante el propio hospital y, posteriormente, ante la AEPD.

En su defensa, IDCQ Quirónsalud sostuvo que las imágenes contenidas en el CD no habían sido generadas por su centro, sino por otro hospital, y que habían sido aportadas directamente por el paciente. Según su criterio, las obligaciones legales de conservación de documentación clínica se aplican principalmente a la información creada por el propio centro sanitario y no necesariamente a los materiales externos entregados por el paciente. Partiendo de esta premisa, el centro argumentó que, en ausencia de una obligación específica de conservación, mantener el CD habría sido contrario a los principios de minimización de datos y limitación de la finalidad del RGPD y que, por tanto, no disponían de una base de legitimación suficiente, en los términos del artículo 6, para conservarlo más allá del plazo previsto.

El hospital también remarcó que la información que el médico consideró relevante sí se incorporó a la historia clínica del paciente, en forma de informe médico. El resto de las imágenes no se integraron porque, según el criterio clínico del facultativo, no eran necesarias para garantizar la continuidad asistencial.

Además, IDCQ defendió que disponía de un procedimiento interno que regulaba la recogida, custodia y eventual destrucción de pruebas médicas aportadas por los pacientes. Este procedimiento establecía un plazo de un mes para que los soportes físicos fueran retirados y, pasado este periodo, preveía la destrucción del material no recogido. Según el centro, el paciente había sido informado de este plazo y, una vez transcurrido, la destrucción del CD se justificó como una medida técnica y organizativa necesaria y proporcionada en el marco del principio de privacidad desde el diseño y por defecto.

La resolución de la AEPD, sin embargo, rechazó estos argumentos. La Agencia consideró que el tratamiento de datos controvertido (la supresión de los datos contenidos en el CD) no tenía una base legitimadora suficiente que lo amparara, ya que no existe ninguna obligación legal que permita esta destrucción antes del plazo mínimo de cinco años previsto por la normativa sanitaria.

En este sentido, la AEPD recordó que el artículo 17.1 de la LBAP establece que los centros sanitarios deben conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, durante el tiempo adecuado a cada caso y, como mínimo, cinco años desde el alta de cada proceso asistencial, sin especificar que esta obligación se refiera únicamente a la documentación elaborada por el centro. De este modo, incluiría también aquella documentación clínica aportada directamente por el paciente. La normativa catalana refuerza esta idea y añade que las medidas de seguridad previstas al respecto deben recogerse en protocolos internos aprobados por la dirección del centro.

En cuanto a los protocolos internos alegados por el hospital, la resolución pone de manifiesto que estos no estaban debidamente implantados ni elaborados en el momento de los hechos, sino que se aprobaron con posterioridad al procedimiento sancionador, motivo por el cual no se tuvieron en cuenta como circunstancia atenuante. La Agencia destacó, además, la gravedad de que un grupo hospitalario de la dimensión de Quirónsalud no dispusiera, en aquel momento, de protocolos claros sobre la custodia y destrucción tanto de la documentación clínica generada por el propio centro como de los soportes aportados proactivamente por los pacientes, llegando a calificar la práctica de “negligencia grave”.

La resolución impuso sanciones por infracciones de los artículos 6, 9 y 25 del RGPD, calificadas como muy graves, con un importe total de 1.200.000 euros.

Más allá de la controversia jurídica, el caso ofrece lecciones relevantes para los centros sanitarios. Es esencial disponer de protocolos claros sobre la gestión de los soportes físicos que aportan los pacientes, establecer criterios sólidos sobre los plazos de conservación y devolución, y comunicarlos de manera transparente.

Finalmente, esta resolución pone de manifiesto que la gestión de datos de salud, incluso cuando se trata de soportes físicos aparentemente “externos”, exige un enfoque especialmente cuidadoso desde la perspectiva del RGPD y obliga a los centros sanitarios a revisar y reforzar sus prácticas internas.

El pasado 12 de septiembre de 2025 entró en aplicación el Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828. Este texto, más comúnmente conocido como “Data Act” o “Ley de Datos”, marca un antes y un después en la forma en que se regulan los datos generados por los productos conectados o “Internet of Things” (IoT) y los servicios digitales en la Unión Europea. La norma es una de las piezas centrales de la estrategia europea de datos y se presenta como un instrumento fundamental para alcanzar los objetivos de la Década Digital e impulsar la transformación tecnológica de la Unión Europea.

La gran novedad del Data Act es que deja atrás la idea de “propiedad” del dato para poner el acento en el control de acceso. Hasta ahora, los fabricantes y proveedores eran los principales custodios de la información que generaban los dispositivos IoT. Los usuarios -tanto consumidores como empresas- a menudo se encontraban en una situación de dependencia, sin posibilidad real de recuperar o reutilizar sus propios datos. El nuevo reglamento corrige esta asimetría estableciendo un conjunto de derechos claros para los usuarios y de obligaciones concretas para los titulares de los datos, con el objetivo de construir un mercado más justo, interoperable y competitivo.

Uno de los pilares del Data Act es el derecho de acceso (art. 4). Cuando un usuario utiliza un producto conectado, como un vehículo inteligente, una máquina industrial o un televisor con conexión a internet, genera un flujo constante de información: datos de rendimiento, de consumo, de entorno o de interacción. Hasta ahora, este flujo quedaba en manos del fabricante. A partir de ahora, los usuarios tendrán derecho a obtener estos datos sin coste adicional, sin demora y en formatos estructurados y legibles por máquina. La norma establece que estas condiciones deben ser siempre justas, transparentes y no discriminatorias, y al mismo tiempo garantiza la preservación de secretos comerciales, derechos de propiedad intelectual y datos personales.

El reglamento también introduce un elemento transformador: la posibilidad de que los usuarios compartan sus datos con terceros de su elección (art. 5). Esto significa que un agricultor podrá enviar directamente la información de rendimiento de su maquinaria a un proveedor de servicios de análisis independiente, o que un consumidor podrá autorizar a un taller local a recibir los datos de su vehículo conectado para realizar reparaciones más eficientes. Esta apertura pretende fomentar una competencia más sana y romper monopolios encubiertos, ampliando las opciones disponibles para usuarios y empresas.

Además, la norma prevé supuestos especiales, como el derecho de las administraciones públicas a acceder a datos del sector privado en situaciones de emergencia (art. 15). En estos casos, los datos deberán facilitarse sin coste, pero el titular recibirá un reconocimiento público por su papel en la gestión de la crisis. Este mecanismo busca equilibrar el interés general con la necesidad de mantener la confianza entre actores públicos y privados.

No obstante, el despliegue práctico del Data Act no será sencillo. Las empresas deberán coordinar equipos técnicos, jurídicos y comerciales para garantizar el cumplimiento de las obligaciones. Será necesario revisar contratos, repensar procesos internos y rediseñar productos para que sean compatibles con el principio de accesibilidad. Pero esta misma complejidad encierra una oportunidad. Las organizaciones que se adapten con rapidez no solo cumplirán con la ley, sino que podrán situarse a la vanguardia de un mercado de datos más dinámico, diverso y abierto.

En definitiva, el Data Act no otorga la propiedad de los datos a los usuarios, pero sí rompe los muros que impedían su acceso y uso. Es una norma que abre la puerta a nuevas formas de competencia y colaboración y que, bien aplicada, puede convertirse en un motor de crecimiento e innovación para todo el ecosistema europeo. Las empresas e instituciones que entiendan este cambio no como una carga, sino como una oportunidad, tendrán mucho ganado en la carrera hacia la nueva economía del dato.

En cualquier caso, conviene destacar que la nueva regulación se aplica tanto a datos personales como no personales y, por tanto, se encuentra en interacción con el Reglamento General de Protección de Datos (RGPD). Cuando se trate de información de carácter personal, el RGPD seguirá siendo la norma de referencia y prevalecerá sobre el Data Act en calidad de legislación especial. Esto implica, en otras palabras, que ambas normas serán complementarias y deberán actuar de manera coordinada.

El pasado 2 de julio, el Comité Europeo de Protección de Datos (CEPD) adoptó la Declaración de Helsiniki1 que marca un punto de inflexión en el camino hacia una aplicación más armónica y eficaz del Reglamento General de Protección de Datos (RGPD) en la Unión Europea. 

Uno de los principales retos que aborda el CEPD es la fragmentación interpretativa del RGPD. Si bien es cierto que el reglamento tiene por objeto establecer un marco común en toda la UE, la realidad muestra que su aplicación varía entre las distintas autoridades de protección de datos, pudiendo llegar a generar inseguridad jurídica y dificultades prácticas por responsables y encargados del tratamiento, en especial por aquellos que operan en varios Estados miembros. (más…)

A pesar de la presión coordinada llevada a cabo para retrasar la aplicación del Reglamento (UE) 2024/1689, de 13 de junio, en materia de inteligencia artificial (RIA) por parte de más de 100 empresas tecnológicas (entre las que figuran Google y Meta), la Comisión Europea se mantiene firme, y el 4 de julio manifestó de forma contundente “There is no stop the clock. There is no grace period. There is no pause”.

En efecto, después de meses de intensas negociaciones, la Comisión recibió el pasado 10 de julio la versión final del Código de buenas prácticas de IA de uso general, una herramienta voluntaria desarrollada por trece expertos independientes, con aportaciones de más de 1.000 partes interesadas, incluidos proveedores de modelos, pequeñas y medianas empresas, académicos, expertos en seguridad de la inteligencia artificial (IA), titulares de derechos y organizaciones de la sociedad civil.

El Código está diseñado para ayudar a la industria a cumplir las normas sobre IA de uso general del RIA, que entrarán en vigor el 2 de agosto de 2025. Las normas pasan a ser ejecutables por la Oficina de IA de la Comisión un año después en lo que respecta a los nuevos modelos y dos años después en lo que respecta a los modelos existentes. Con ello se pretende garantizar que los modelos de IA de uso general introducidos en el mercado europeo sean seguros y transparentes.

El Código consta de tres capítulos: Transparencia y derechos de autor (art. 53 RIA), ambos dirigidos a todos los proveedores de modelos de IA de uso general, y seguridad y protección (art. 55 RIA), pertinentes solo para un número limitado de proveedores de los modelos más avanzados.

• El capítulo de transparencia del Código ofrece un modelo de formulario que permite a los proveedores documentar fácilmente la información técnica necesaria en un solo lugar e incluye atributos de metadatos como tiempo de entrenamiento y cálculo, consumo de energía y métodos de recopilación y conservación de datos.
• El capítulo sobre derechos de autor del Código ofrece a los proveedores soluciones prácticas para establecer una política que cumpla la legislación de la UE en esta materia, con detalle de licencias y excepciones de minería de texto y datos (TDM) tanto para origen de datos (upstream) como para uso final (downstream).
• Algunos modelos de IA de uso general podrían conllevar riesgos sistémicos (FLOPS >10^25), como riesgos para los derechos fundamentales y la seguridad, incluida la reducción de las barreras para el desarrollo de armas químicas o biológicas, o riesgos relacionados con la pérdida de control sobre el modelo. El capítulo sobre seguridad y protección contiene las prácticas más avanzadas pertinentes para la gestión del riesgo sistémico con obligaciones de evaluación, de mitigación de riesgos, reporte de incidentes graves y medidas de ciberseguridad.

Una vez que el Código sea refrendado por los Estados miembros y la Comisión, los proveedores de modelos de IA de uso general que lo firmen voluntariamente podrán demostrar el cumplimiento de las obligaciones pertinentes del RIA adhiriéndose al Código. Al hacerlo, los signatarios del Código se beneficiarán de una menor carga administrativa y una mayor seguridad jurídica en comparación con los proveedores que demuestren el cumplimiento de otras maneras.

El Código se complementará con directrices de la Comisión sobre la IA de uso general que se publicarán antes de la entrada en vigor de las obligaciones en materia de IA de uso general. Las directrices aclararán quién está dentro y fuera del ámbito de aplicación de las normas de IA de uso general del RIA. 

El avance de la IA en la UE es imparable. Desde febrero de 2025 ya aplican las prohibiciones de prácticas ilegales y la alfabetización obligatoria en IA para proveedores. Y ahora, ¿cuáles son los siguientes pasos en el calendario?

• Tal y como se ha expuesto antes, a partir de agosto de 2025, los modelos de IA de uso general, incluidos los modelos fundacionales, los sistemas basados en API y los desarrollos de código abierto, han de cumplir con el nuevo marco regulador de la UE.
• En agosto de 2026 serán de aplicación obligaciones de sistemas de alto riesgo en sectores como salud, recursos humanos, educación y finanzas.

Y ante este escenario, son muchas las organizaciones que todavía: operan sin auditar los modelos de IA, usan modelos entrenados con datos opacos o no conformes, no tienen establecidas estructuras de gobernanza para la propiedad, explicabilidad o seguimiento del modelo, despliegan la IA sin supervisión legal ni responsabilidad formal, …

Frente a esto, hay que recordar que el RIA no solo regula el uso, sino que vincula el liderazgo del riesgo mediante documentación, registro y mecanismos de aplicación. Bastante similar a los requerimientos que derivan del RGPD pero de forma más profunda, ya que esta vez, el sistema está tomando decisiones.

Equipo Servicios Jurídicos