Boletín de Privacidad Q3 2026: IA, biometría y ciberseguridad: claves regulatorias que las empresas no pueden ignorar

Edición #3 Septiembre 2026

En esta tercera edición del boletín de privacidad repasamos los principales hitos regulatorios, informes recientes, resoluciones y casos relevantes en materia de protección de datos y ciberseguridad.

1. La anulación de la Guía de la AEPD sobre biometría no supone barra libre para el uso de sistemas biométricos.

La Audiencia Nacional anuló en junio de 2026 la Guía de la AEPD (2023) sobre control de presencia con sistemas biométricos. Es la primera vez que un tribunal tumba una guía de la AEPD. Se anula por lo siguiente:

• Aunque se presentaba como "orientativa", en la práctica imponía criterios de obligado cumplimiento.
• El tribunal la califica de "circular encubierta": debió aprobarse con el procedimiento (y garantías) legalmente exigido.
• Es un fallo de forma, no de fondo: no se cuestiona si el contenido era correcto.
• Las orientaciones ya no pueden usarse como base para sancionar.

La sentencia no entra a valorar la licitud de los tratamientos biométricos. Pensar que esto "libera" el uso de biometría sería un error porque sigue vigente:

• Los datos biométricos son categoría especial exigen base legal específica.
• El consentimiento del trabajador sigue siendo un apoyo débil (desequilibrio empresa-empleado).
• Se mantiene el juicio estricto de necesidad y proporcionalidad: si hay alternativas menos invasivas, será difícil justificar la biometría.

Las empresas deben seguir justificando su necesidad, proporcionalidad y base jurídica antes de implantar sistemas biométricos.

2. IA: cuestiones prácticas sobre las obligaciones de transparencia.

La mayoría de las obligaciones de transparencia previstas en el artículo 50 del Reglamento de Inteligencia Artificial (RIA), son aplicables desde el pasado 2 de agosto de 2026. Entre ellas, se encuentra la obligación de informar a los usuarios cuando interactúan con un chatbot y de permitir la identificación de contenidos generados o manipulados mediante IA.

¿Qué será importante desde el 2 de agosto de 2026?

• Comunicar al usuario cuando esté interactuando con determinados sistemas de inteligencia artificial.
• Garantizar la identificación de los contenidos que hayan sido generados o modificados mediante IA.
• Advertir sobre el uso de sistemas de reconocimiento de emociones o de categorización biométrica.
• Señalar de forma clara los contenidos que constituyan deepfakes.
• Indicar el uso de IA en determinados textos de interés público, cuando no exista una revisión humana efectiva ni responsabilidad editorial.
• Estar preparados para las actuaciones de supervisión y posibles sanciones, que pueden alcanzar hasta 15 millones de euros o el 3 % del volumen de negocio mundial anual.

3. Sanción de 825 millones de euros a UBER.

La Autoridad Neerlandesa de Protección de Datos ha sancionado con 825 millones de euros a UBER por la toma de decisiones individuales automatizadas sobre los conductores de su plataforma sin una supervisión humana previa.

Los sistemas utilizados podían desactivar automáticamente las cuentas de conductores. UBER justificó el uso por sospechas de fraude o en base a valoraciones demasiado bajas de los conductores.

La resolución de la autoridad de protección de datos considera una infracción del RGPD por cuanto las decisiones automatizadas producen efectos significativos sobre los conductores (imposibilidad de acceso a la plataforma de UBER con la disminución de ingresos que conlleva).

Adicionalmente, UBER no informó debidamente a los conductores sobre dicha circunstancia.

La toma de decisiones automatizadas con efectos significativos exige garantías reforzadas: el caso UBER demuestra que la falta de supervisión humana e información adecuada puede traducirse en sanciones millonarias.

4. IA en la empresa: más importante que elegir el modelo es saber cómo utilizarlo.

La cuestión no es solo qué modelo de IA elegir, sino cómo utilizarlo de forma segura y responsable.

Para ello, es clave contar con una política interna de IA clara y adaptada a la empresa, que establezca reglas, responsabilidades y límites.

¿Qué debería incluir?

• Herramientas autorizadas y prohibidas.
• Datos que no pueden introducirse en sistemas de IA.
• Usos permitidos y no permitidos.
• Revisión humana obligatoria antes de decisiones relevantes.
• Formación mínima para empleados.
• Conservación de evidencias sobre determinados usos.
• Auditorías periódicas.

Conclusión: una política interna bien diseñada permite aprovechar el potencial de la IA reduciendo riesgos y favoreciendo un uso seguro, responsable y conforme a la normativa.

5. Brechas de seguridad en proveedores y responsabilidad empresarial.

Los incidentes de seguridad que afectan a datos personales tratados por proveedores encargados del tratamiento pueden generar importantes consecuencias para la empresa responsable, incluidas sanciones económicas.

Claves para reducir riesgos:

• Formalizar un contrato de encargado de tratamiento conforme al art. 28 RGPD, por escrito y firmado.
• Establecer en el contrato un procedimiento específico para gestionar y comunicar incidentes de seguridad.
• Evaluar las medidas de seguridad implantadas por el proveedor.
• Formalizar el contrato después de una brecha no subsana el incumplimiento ya producido
• Las Directrices 07/2020 del CEPD exigen que el acuerdo jurídico conste por escrito y firmado.
• La AEPD ha impuesto sanciones de hasta 100.000 € en este ámbito.

Un contrato de encargado de tratamiento adecuado no es una mera formalidad. Puede ser clave para prevenir riesgos, gestionar correctamente una brecha y reducir la exposición a sanciones.

La privacidad, la protección de datos y la ciberseguridad ya no son solo un tema legal: son un riesgo de negocio real.

Nuestro compromiso es ayudarte a entender estos cambios de forma clara y útil.