A las puertas de unas elecciones generales nos encontramos en un escenario de intensa actualidad donde la gobernanza de los datos y la transparencia en los mercados digitales resultan fundamentales para nuestras garantías democráticas.

El editorial aborda los incidentes y advertencias recientes sobre sistemas de inteligencia artificial avanzados y agentes con capacidad de actuar de forma autónoma. A partir de ese debate, plantea que frenar o ralentizar el desarrollo puede ser necesario en determinados casos, pero que no basta si no se acompaña de controles, evaluaciones y mecanismos de supervisión. Desde la experiencia práctica de la universidad, se considera el problema tanto desde el punto de vista del despliegue de herramientas como desde la investigación de frontera. Se plantea que la combinación de exigencias derivadas de marcos reguladores preexistentes, como el análisis ético, la evaluación de impacto sobre derechos fundamentales, la evaluación de impacto relativa a la protección de datos y los mapas de riesgos, son funcionales a la solución del problema. También aborda el papel de los entornos de prueba o sandboxes y la coordinación entre empresas, autoridades, legisladores, comunidad científica y organizaciones usuarias.

Julián Isla no llegó a la inteligencia artificial y los datos de salud por vocación tecnológica, sino por necesidad: el diagnóstico tardío de su hijo Sergio, afectado por el síndrome de Dravet, le empujó a convertir la frustración en propósito. Ingeniero de software en Microsoft, fundador de la Federación Europea de Síndrome de Dravet y director de Fundación 29, combina desde hace más de una década el activismo de pacientes con la representación institucional en organismos como la EMA o Ciberer. En esta entrevista reflexiona sobre el papel de la privacidad como facilitadora —no como obstáculo— de la investigación sanitaria, analiza proyectos como HealthData29 o DxGPT, y comparte su visión sobre explicabilidad, riesgo, confianza y el futuro de la relación entre pacientes, profesionales sanitarios e inteligencia artificial.

El tratamiento de datos biométricos para la identificación de personas en el ejercicio de las funciones de las Fuerzas y Cuerpos de Seguridad constituye una práctica cuya legitimidad jurídica ha experimentado una transformación sustancial en el último decenio. La transposición de la Directiva (UE) 2016/680 mediante la Ley Orgánica 7/2021, de 26 de mayo, junto con otras normas del Derecho de la Unión Europea, ha dotado por primera vez al ordenamiento español de un marco específico de garantías para la protección de las personas físicas frente al tratamiento de sus datos biométricos en el ámbito policial. Las recientes Sentencias del Tribunal de Justicia de la Unión Europea en los asuntos C-57/23 (Policejní prezidium) y C-371/24 (Comdribus) han precisado el alcance y los requisitos sistemáticos aplicables a dichas operaciones, suscitando interrogantes de plena actualidad sobre la adecuación del ordenamiento jurídico español a los estándares europeos. El presente trabajo examina la evolución histórica y normativa de esta práctica, analiza el régimen jurídico vigente y extrae las implicaciones de esa jurisprudencia para el futuro de estos sistemas de identificación.

La identidad digital ha adquirido un papel clave en la sociedad actual. Al mismo tiempo, los índices de cibercriminalidad son cada vez más elevados, con el fraude como mayor amenaza. Su naturaleza evolutiva requiere una respuesta tecnológicamente avanzada y aplicable a largo plazo. El estudio valora a la biometría como principal solución, analizando su naturaleza, efectividad, grupos y principales alternativas. Además, se investiga la proporcionalidad de su aplicación en el sector financiero, valorando beneficios y riesgos de privacidad y protección de datos. Se concluye que, combinada con otros métodos y bajo estrictos requisitos, su aplicación resulta clave y proporcional en el sector financiero.

En este trabajo se sistematizarán los riesgos más relevantes que se derivan de la utilización de imágenes de las personas por los sistemas de inteligencia artificial tal y como los concibe la Agencia Española de Protección de Datos.

La inteligencia artificial generativa ha convertido el derecho al olvido en una paradoja jurídica: el RGPD reconoce al interesado la facultad de exigir la supresión, pero un LLM puede diluir el dato personal en sus parámetros hasta hacer incierta su localización, eliminación y verificación. El AI Act mejora la gobernanza, pero no exige que los modelos sepan «olvidar». Este trabajo sostiene que la efectividad del artículo 17 RGPD exige conectar derecho y arquitectura tecnológica mediante trazabilidad, auditabilidad, privacidad desde el diseño y el desarrollo progresivo del machine unlearning.

Hemos sintetizado en una tabla la amplia serie de documentos, principalmente Guías, que la Agencia Española de Protección de Datos ha ido elaborando en ejercicio de sus competencias y que iremos actualizando número a número.

Desde la aplicación del RGPD, la AEPD ha considerado que el certificado negativo de antecedentes penales suponía la aplicación del artículo 10 del RGPD relativo al tratamiento de infracciones y condenas penales. La Audiencia Nacional, en una reciente sentencia, ha resuelto lo contrario. Por otra parte, ¿hasta dónde alcanza el derecho de acceso a las grabaciones que hayan sido recogidas por las cámaras de videovigilancia? Si acudimos al artículo 13 del RGPD, este derecho cubre, como no puede ser de otra forma, únicamente aquellas grabaciones en las que aparezcamos, debiendo difuminarse si aparecen terceros. Pero ¿puedo obtener las grabaciones de un incidente que haya afectado a mi coche en un aparcamiento ejerciendo el derecho de acceso? Otra de las cuestiones que genera discusión en el RGPD es la aplicación de la denominada «excepción doméstica», ya que su interpretación resulta muy restrictiva. Son numerosos los procedimientos sancionadores tramitados contra personas físicas por la publicación de datos e información de terceros en redes sociales.

El presente artículo aborda una cuestión de especial relevancia en materia de protección de datos en el sector público: la compatibilidad entre la provisión del puesto de delegado de protección de datos (DPD) mediante el sistema de libre designación y la exigencia de independencia funcional que el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) atribuyen a esta figura. La sentencia del Tribunal Superior de Justicia de Asturias de 5 de mayo de 2026, rec. 539/2025, pone fin a este debate, al manifestar que la libre designación puede constituir una opción legal para la provisión de estos puestos.

Las Directrices 02/2025 del Comité Europeo de Protección de Datos consolidan un modelo europeo para el tratamiento de datos personales mediante tecnologías web3 y arquitecturas blockchain. En este aporte, se efectúa un análisis —que será complementado en un estudio posterior— a su significado jurídico y técnico, la atribución de responsabilidades, la preferencia por arquitecturas permisionadas, el almacenamiento dentro y fuera de la cadena, los derechos de supresión y rectificación, las transferencias internacionales, la evaluación de impacto y la obsolescencia criptográfica. Transitando por esa contradicción sistémica entre inmutabilidad y la necesidad de que los datos labrados sobre piedra criptográfica sean esencialmente editables, se arriba a la conclusión de que la inmutabilidad propia de la blockchain no constituye una excepción al RGPD, sino un riesgo inmanente a su arquitectura que debe ser gobernado desde el diseño.

En julio de 2026 salió a la luz pública el «hackeo» que un modelo de inteligencia artificial en entrenamiento de OpenAI había realizado a otra empresa tecnológica, supuestamente, saltándose las restricciones que los expertos de la compañía le habían impuesto. Unos días después, Anthropic, otra empresa del sector, anunció que uno de sus modelos había «hackeado» de forma autónoma y sin instrucciones para ello a tres empresas en abril pasado. Estas cuestiones, unidas al uso masivo de datos y documentos privados por parte de las empresas desarrolladoras de IA, levantan ciertas suspicacias sobre su impunidad legal, pero, sobre todo, sobre la verdadera capacidad de las empresas propietarias de los modelos de controlar realmente su funcionamiento.

En esta ocasión damos noticia de la actividad reciente del Supervisor Europeo de Protección de Datos (SEPD), así como de la actividad más destacable del Comité Europeo de Protección de Datos (CEPD). Entre las actuaciones llevadas a cabo en 2026 por el SEPD, debemos citar su enfoque para la supervisión del uso de la IA por parte de las instituciones, órganos y organismos de la UE, su participación en el debate sobre las propuestas de Digital Ómnibus de la Comisión Europea, sus nuevas responsabilidades de supervisión en materia de IA y sus nuevas directrices y normas vinculantes para proteger la independencia de los delegados de protección de datos en todas las instituciones de la UE. En cuanto al Comité Europeo de Protección de Datos (CEPD), destacan los dictámenes conjuntos EDPB/EDPS sobre el Digital Ómnibus, sobre el Digital Ómnibus en materia de IA y sobre la reforma de la ciberseguridad.

La sentencia de la Gran Sala del Tribunal de Justicia de 16 de junio de 2026 (asuntos acumulados C-188/24 y C-190/24, WebGroup Czech Republic y NKL Associates y Coyote System) precisa el alcance del principio de país de origen de la Directiva 2000/31 y de sus excepciones. El Tribunal rechaza la aplicación a prestadores establecidos en otros Estados miembros de una obligación penal general de impedir el acceso de menores a contenidos pornográficos, pero admite medidas individualizadas frente a servicios determinados cuando se cumplan las condiciones del artículo 3.4. La sentencia contiene además una relevante precisión sobre el concepto de control en la exención de alojamiento: la predeterminación algorítmica de las condiciones de difusión puede excluir el carácter neutral del prestador. Este comentario examina ambos aspectos y su proyección sobre el Reglamento de Servicios Digitales.

Para facilitar a nuestros lectores el conocimiento de las directrices y recomendaciones del CEPD, imprescindible para la adecuada comprensión y correcta aplicación del Reglamento, en este documento recogemos, ordenados cronológicamente, la relación de directrices y otros documentos emitidos por el Comité desde el 25 de mayo de 2018, fecha en que comenzó a funcionar este organismo, agrupados por los artículos del Reglamento a los que se refieren.

Parece que Alemania está entrando en una fase que consiste en olvidar la famosa frase de Benjamin Franklin: «Aquellos que renunciarían a la libertad esencial para comprar un poco de seguridad temporal, no merecen ni libertad ni seguridad» (aunque hay diferentes traducciones de esta frase, creo que la mencionada es lo suficientemente clara). Recientemente han surgido diferentes leyes de policía, de conversión de los servicios de información en servicios secretos, aplicación de Inteligencia Artificial en sistemas de videovigilancia (si bien este punto está relacionado con las leyes de policía, me ha parecido adecuado mencionarlo por separado)… y, desgraciadamente, hay más casos. Aunque cada uno de los instrumentos legislativos mencionados podría merecer un artículo exclusivo, parece más adecuado presentar la situación con los ejemplos mencionados para, quizás, más adelante profundizar en alguno de los casos.

Las reclamaciones planteadas directamente por el interesado al ICO venían colapsando a esta Autoridad. Para aliviar esta saturación, la DUAA, ampliando las obligaciones del responsable, ha establecido un nuevo régimen de reclamaciones que fomenta su tramitación en primera instancia por el responsable. Dada la relevancia de esta novedad, el ICO ha publicado una guía donde desarrolla criterios que el responsable debería seguir en la actualización de sus normas de gobernanza interna para su alineamiento ante posibles revisiones de sus actuaciones. Dichos criterios se centran, fundamentalmente, en la existencia de procesos y mecanismos eficaces para recibir, investigar y resolver las cuestiones planteadas por los interesados.

Este artículo examina un reciente fallo de la Corte Suprema de Justicia de la Nación Argentina que aborda los límites constitucionales a la cesión de datos personales entre organismos públicos sin el consentimiento de su titular. La Corte sostuvo que el consentimiento constituye una regla de rango constitucional, anclada en los derechos a la privacidad y a la autodeterminación informativa, y declaró la inconstitucionalidad de las amplias excepciones legales que eximen a los organismos estatales del deber de recabar el consentimiento, tanto al obtener como al ceder datos personales. El precedente aporta pautas relevantes en materia de finalidad, proporcionalidad y alcance del control judicial sobre la legislación de protección de datos.

Este artículo examina la reforma del régimen colombiano de protección de datos personales desde la perspectiva de los usos de la inteligencia artificial. Parte de que la Ley 1581 de 2012 conserva principios tecnológicamente neutrales, pero con una arquitectura de generación anterior al estándar en protección de datos actual, centrada en el consentimiento, con un catálogo cerrado de derechos y sin enfoque de riesgos, que ha entrado en crisis de aplicabilidad frente a los ecosistemas digitales. Se analizan los principales aspectos del proyecto de ley estatutaria que cursa en el Congreso, analizando sus novedades con enfoque en inteligencia artificial. Se concluye que la reforma corrige lo básico, pero no incorpora elementos que el debate exige, algunas de estas son: obligaciones asimétricas según el poder informático de los responsables, reglas sobre inferencias y perfiles grupales, y mecanismos de defensa colectiva del derecho.

Se analizan los nuevos Estándares de Protección de Datos de la Red Iberoamericana de Protección de Datos, aprobados el 26 de mayo de 2026 en Cartagena de Indias (Colombia), que se presentan como una respuesta ineludible a una sociedad digitalizada donde los datos estructuran la economía y determinan el acceso a derechos fundamentales.

El uso de inteligencia artificial generativa en la función judicial plantea nuevos desafíos para la protección de datos personales. Este artículo analiza la Guía Básica sobre Inteligencia Artificial Generativa para el ejercicio de Juezas y Jueces de la Academia Judicial a la luz de la Ley N^o 21.719 de Chile. Se examinan particularmente el tratamiento de datos mediante prompts, la anonimización, la relación con proveedores, la protección desde el diseño, la evaluación de impacto, la seguridad y la supervisión humana. Se sostiene que la nueva regulación permite profundizar y sistematizar las orientaciones de la Guía, avanzando hacia un modelo institucional de cumplimiento basado en la gestión preventiva del riesgo.

El presente trabajo analiza, desde una perspectiva comparada, el régimen de protección de datos personales de España y la Unión Europea frente al de Estados Unidos, Canadá y México. El estudio parte de la evolución normativa española, desde la LOPD de 1999 hasta la LOPDGDD de 2018, que la sustituyó, como referencia. El análisis se centra principalmente en Estados Unidos, examinando el desarrollo de la legislación estatal entre 2018 y 2026, periodo en que veintidós estados aprobaron normativa propia. Se revisan la legislación, el proceso de aprobación y las iniciativas regulatorias de los cincuenta estados, así como los derechos reconocidos a los consumidores, las obligaciones empresariales y los mecanismos de aplicación y sanción, con especial atención a la ausencia de una ley federal integral y a las dificultades que ello genera para consumidores y empresas. Canadá y México se incorporan como referentes adicionales, al contar con marcos propios que permiten contrastar distintos grados de desarrollo normativo fuera de Estados Unidos. El trabajo concluye con una reflexión sobre los retos que la inteligencia artificial plantea a los principios clásicos de protección de datos y sobre las consecuencias de la fragmentación normativa estadounidense para el sector empresarial.

Brasil creó en 2026 el Sistema Integrado Mulher Segura, que conectará registros sobre violencia producidos por la seguridad pública, la sanidad y la asistencia social. La integración puede evitar que una mujer tenga que repetir su historia ante cada institución, pero también construye sobre ella una trayectoria informacional. El artículo sostiene que la protección se completa cuando la legibilidad producida para el Estado se acompaña de medios para que la propia mujer conozca, rectifique y cuestione el recorrido de sus datos. Esta asimetría se examina como un problema de heteroformación y autodeterminación informativa.

La inteligencia artificial avanza a un ritmo que desborda la lógica tradicional del cumplimiento. Mientras las organizaciones todavía identifican sus casos de uso y distribuyen responsabilidades, los modelos más avanzados amplían sus capacidades de razonamiento, generación multimodal, uso de herramientas y actuación semiautónoma. El reto ya no es solo comprender y cumplir una nueva norma dentro del complejo marco regulatorio europeo, sino construir una capacidad organizativa que permita gobernar una tecnología que evoluciona rápidamente mientras la propia organización se adapta.

El trabajo analiza la STS de 4 de junio de 2026 sobre las competencias profesionales en proyectos de cambio de uso de edificios. Examina la normativa aplicable y la jurisprudencia previa sobre libertad de acceso con idoneidad, frente a la exclusividad competencial. El Tribunal Supremo concluye que los proyectos que transformen un edificio comercial o industrial en residencial deben ser redactados por un arquitecto superior. Esta exigencia se justifica por la necesidad de garantizar las condiciones de habitabilidad, seguridad y funcionalidad. La reserva profesional resulta compatible con los principios de necesidad y proporcionalidad de la Ley de Garantía de la Unidad de Mercado

A raíz de la reciente sentencia dictada por la Sala de lo Penal del Tribunal Supremo en la Causa Especial 20775/2020, conocida como «Caso Ábalos» o «Caso Mascarillas», el autor analiza el delito de organización criminal, desde la inclusión en el Código Penal, por LO 5/2010, del Capítulo VI del Título XXII del Libro II, que lleva por rúbrica «De las organizaciones y grupos criminales», hasta la reciente Directiva 2026/1021, de 29 de abril, del Parlamento Europeo y del Consejo, sobre lucha contra la corrupción.

El artículo critica la regulación del delito militar de «acoso por razón de sexo» en el artículo 50 del Código Penal Militar. Sostiene el autor que esta figura carece de una descripción clara y precisa de la conducta sancionable, vulnerando el principio de tipicidad. Analiza la sentencia 30/2025 del Tribunal Supremo, que rechazó plantear una cuestión de inconstitucionalidad y comenta la decisión del Tribunal Constitucional de no admitir el recurso de amparo relacionado con el caso. El texto cuestiona que el Supremo recurriera al Diccionario de la Real Academia para concretar el significado del delito. Finalmente, advierte del riesgo de consolidar «delitos etiqueta», sujetos a interpretaciones judiciales amplias y potencialmente arbitrarias.

En supuestos en que no existe un registro de jornada en que conste el inicio y final de la jornada y las pausas y su duración, prestándose servicios en la modalidad de teletrabajo con horario flexible, si el infarto de miocardio acontece en horario en que podrían prestarse servicios, se aplica la presunción del art. 156.3 LGSS, de que la lesión acontece en tiempo de trabajo a efectos de considerar que el fallecimiento derivó de accidente de trabajo, debiendo aportar quien pretenda la aplicación de la presunción, indicios de que se estaban prestando servicios efectivamente, indicios que serán suficientes para que sea la empresa la que deba probar que el infarto no aconteció en tiempo de trabajo, y por lo tanto no procede reconocer la prestación como derivada de accidente de trabajo.

La revista Tráfico y Seguridad Vial te ofrece, en abierto, este artículo incluido en su último número publicado, 320 octubre 2026, firmado por el magistrado del Tribunal Supremo Vicente Magro Servet.

La exposición laboral de los trabajadores de las estaciones de ITV a humos diésel genera un riesgo de contaminación, aunque sea muy bajo, de la ropa y de la piel; de ahí se deriva la obligación de la empresa de proveer ropa de trabajo adecuada, facilitar lugares separados para la ropa de trabajo y la de vestir, y responsabilizarse del lavado y descontaminación de la ropa laboral.

No constituye un acto de engaño, pues los productos de alimentación "frescos" son tanto los "naturales", como los "preparados", que precisan "conservación en condiciones de temperatura regulada". No se ha acreditado que pueda inducir a error a los destinatarios, ni que sea susceptible de alterar su comportamiento económico. Tampoco constituye infracción de normas sobre el etiquetado.

El trabajador, contratado como conductor mecánico en una empresa de transporte por carretera y sujeto al correspondiente convenio sectorial, tenía una jornada fija de 20 horas semanales y no aportó ningún indicio específico de haber realizado una jornada superior.

Dado el grado de similitud existente, el público pertinente establecerá un vínculo entre las marcas CAMEL de la demandante y los productos comercializados en línea por la parte demandada. Esa identidad provoca una asociación que induce o puede inducir al público a creer que los productos que se venden en la web son los de la empresa titular de la marca, lo que implica un aprovechamiento desleal del renombre y distintividad de las marcas CAMEL.

Tendrá lugar el próximo 28 de octubre en la sede del Colegio de Registradores a las 17,00 h. La jornada también podrá seguirse en formato online vía Teams.