La privacidad y protección de datos en la nueva era de los videojuegos

La industria del videojuego ha cambiado drásticamente, redefiniendo su naturaleza. El formato físico, que antes era un producto cerrado que se ejecutaba localmente, ha sido reemplazado por un sistema conectado que depende de la nube y de infraestructuras digitales.

Recientemente, plataformas como PlayStation han decidido enfocarse en un modelo de distribución digital, lo que muestra que la mayoría de las ventas de videojuegos ahora son digitales. Este cambio significa que los usuarios ya no tienen un bien tangible; en su lugar, poseen una licencia de acceso que requiere crear cuentas de usuario permanentes y mantener una conexión constante con servidores de terceros

Esta dependencia digital ha despertado la preocupación de las autoridades. Es en este escenario donde la Agencia Española de Protección de Datos (AEPD) y la autoridad de protección de datos belga han publicado una serie de recomendaciones las cuales buscan auditar y regular el gran volumen de información que se procesa cada vez que comenzamos a jugar.

Los videojuegos como laboratorios de datos personales

En primer lugar, el documento advierte que los videojuegos modernos operan, en la práctica, como laboratorios de datos que monitorizan la conducta humana en tiempo real. La recopilación comienza al crear la cuenta, capturando datos fundamentales (nombre, correo electrónico, contraseñas), demográficos y de pago. Además, a menudo se anima a los jugadores a vincular sus perfiles de redes sociales y agendas de contactos, lo que permite a las empresas saber a quién conocen y con quién se relacionan.

Sin embargo, lo que realmente permite a las empresas obtener valor de los jugadores es la telemetría; una monitorización pasiva e invisible que captura docenas de parámetros por segundo durante el desarrollo de la partida. Las compañías registran desde la precisión de los movimientos del jugador hasta las comunicaciones por chat y datos biométricos como grabaciones de voz o imágenes faciales.

Toda esta información es procesada posteriormente por sistemas de IA para generar perfiles hiperpersonalizados. Los modelos algorítmicos evalúan en tiempo real capacidades cognitivas, estados emocionales, rasgos de personalidad y perfiles financieros de los usuarios.

Este grado de perfilado desmitifica la falsa sensación de anonimato y conlleva a riesgos fuera de la pantalla, que abarcan desde brechas de seguridad o la exposición maliciosa de la identidad real (doxing) a una amenaza más preocupante, la posibilidad de transformar el comportamiento de los usuarios en un bien directamente monetizable. 

La AEPD subraya que los tratamientos suelen utilizar técnicas de ingeniería social (escasez artificial, urgencia, miedo a perderse algo…) para capturar la atención de manera persistente. Este diseño es evidente en las cajas de botín (loot boxes), que replican sistemas de recompensa variable propios del juego de azar. Precisamente por ello, el Anteproyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales contempla la prohibición expresa de acceso a estos mecanismos para los menores, obligando a las empresas a implementar pasarelas de verificación estrictas bajo el marco del RGPD.

Ciclo de vida del software: privacidad desde el diseño

Para mitigar todas estas amenazas, la guía exige que la privacidad no sea una consideración tardía, sino que se integre en todas las fases del proceso del videojuego:

1. Durante la fase de preproducción y producción, los estudios de desarrollo deben definir esquemas de telemetría mínimos, garantizando que solo se recopile la información estrictamente necesaria. En esta fase inicial es fundamental aportar claridad al desarrollo técnico puesto que los videojuegos actuales suelen integrar herramientas y componentes de otras empresas que, a su vez, pueden transferir datos de forma oculta a redes publicitarias o de análisis. Por ello, la normativa exige delimitar formalmente los roles de responsable y encargado del tratamiento mediante contratos legales vinculantes.
2. Una vez el videojuego llega al mercado, el foco regulatorio se traslada a la interacción con el usuario y la obtención de un consentimiento pleno. Las autoridades rechazan las políticas de privacidad extensas y redactadas en un lenguaje legal incomprensible, abogando en su lugar por un sistema informativo más transparente con etiquetas de privacidad visuales y directas en las tiendas digitales (similares a los códigos PEGI) y avisos integrados que soliciten permisos especiales (como el uso del micrófono para el chat) en el momento exacto en que se vayan a utilizar.

1. Cuando el juego esté en fase de su lanzamiento el mayor desafío para las organizaciones es evitar la reutilización oculta de la información puesto que es muy común que los datos que se recogen para medir problemas de conexión o mejorar el rendimiento técnico terminen usándose para alimentar de forma ilícita modelos comerciales. Para garantizar un cumplimiento continuo, las compañías deben elaborar un listado fijo de datos de telemetría autorizados y facilitar de manera efectiva el ejercicio de los derechos de los usuarios

1. Finalmente, cuando un videojuego llega a su fin de ciclo y se cierran los servidores, las empresas tienen la obligación de cesar la recogida de datos y borrar o anonimizar de forma irreversible todo el historial y perfiles acumulados, garantizando un cierre seguro para la privacidad.

Menores de edad y seguridad por defecto

Prioritariamente, la guía sitúa la protección de los menores bajo el enfoque de «Seguridad por defecto» (Safe-by-Default). Esto significa que, a menos que un videojuego demuestre que se dirige exclusivamente a adultos, las empresas deben asumir que habrá niños en la plataforma. Por ello, las cuentas deben tener activada automáticamente la configuración de máxima privacidad, bloqueando por defecto funciones como chats de voz, invitaciones de desconocidos o marketing personalizado.

Para garantizar entornos sociales seguros frente al acoso, el juego debe proporcionar a los tutores paneles de control parental y protección de la privacidad de los menores para gestionar permisos, limitar gastos o restringir horarios. Finalmente, al tratarse de un tratamiento de alto riesgo, los desarrolladores están obligados a realizar una Evaluación de Impacto en la Protección de Datos (DPIA) antes del lanzamiento, analizando específicamente cómo cada mecánica de juego afecta a los derechos y la seguridad de los niños.

La protección de la privacidad y la seguridad de los usuarios debe convertirse en una prioridad para la industria del videojuego. Solo mediante un uso responsable de los datos será posible construir un entorno digital seguro y de confianza.

Cristina Cabeza
Govertis, parte de Telefónica Tech

I Insight del Foro GRC 2026

El I Insight del Foro GRC 2026 analiza cómo gobernar la IA, reforzar la identidad digital y prepararse para los nuevos desafíos regulatorios

La inteligencia artificial ya forma parte de la realidad cotidiana de las organizaciones. Lo hace impulsando nuevos modelos de negocio, agilizando procesos y multiplicando las capacidades de análisis y automatización. Pero también plantea nuevas responsabilidades en materia de cumplimiento, seguridad, privacidad y gestión de riesgos. Sobre esta premisa giró el «I Insight del Foro GRC» del año, organizado por la Asociación Española para la Calidad (AEC) junto a Telefónica y Govertis como partners estratégicos. Una jornada que reunió a profesionales de referencia para abordar algunos de los principales desafíos en las organizaciones en materia de Gobierno, Riesgo y Cumplimiento (GRC).

La IA ya está dentro de las organizaciones, aunque muchas aún no lo sepan

La primera ponencia de la tarde, titulada «Gobierno de IA: de la teoría a la práctica. Cómo implementar el modelo de gobernanza y cómo hacerlo realidad en una gran organización», corrió a cargo de Laura Vico, Consultora Senior GRC de Govertis, part of Telefónica Tech, y Raúl Avedillo Lozano, gerente de Digital Compliance & DPO de Telefónica. Entre ambos ofrecieron una doble visión: el marco metodológico necesario para implantar la gobernanza de la IA y la experiencia real de hacerlo en una organización global como Telefónica.

«La inteligencia artificial no es algo que va a venir, sino que ya está en la compañía y en la organización». Con esta afirmación, Laura Vico inició su intervención y cuestionó una percepción aún frecuente en muchas compañías.

Laura explicó que numerosas organizaciones afirman no utilizar aún inteligencia artificial de forma corporativa, cuando la realidad es que las propias personas empleadas han incorporado herramientas de IA generativa a sus tareas diarias. Una situación que genera nuevos escenarios de riesgo relacionados con la confidencialidad de la información, las transferencias internacionales de datos o el incumplimiento de obligaciones regulatorias.

A partir de esta realidad, se fue identificando algunos de los problemas más habituales que están encontrando las organizaciones en este ámbito. Desde casos de uso dispersos, falta de inventarios centralizados, responsabilidades poco definidas, controles reactivos, ausencia de políticas específicas, hasta la proliferación de escenarios de Shadow AI, donde la inteligencia artificial se utiliza sin supervisión ni visibilidad por parte de la organización.

Del Reglamento de IA a la gobernanza efectiva

En este primer bloque del Insight también se profundizó en el nuevo escenario normativo derivado del Reglamento Europeo de Inteligencia Artificial (RIA) y de las futuras iniciativas legislativas nacionales y autonómicas. Un marco regulatorio que, según destacó, obliga a las organizaciones a adoptar un enfoque estructurado para gestionar la IA.

En este sentido, Laura Vico señaló que la gobernanza de la IA no debe entenderse como una nueva carga administrativa, sino como un mecanismo para garantizar que el uso de estas tecnologías sea seguro, ético y alineado con los objetivos de negocio.

En este contexto, presentó la norma ISO 42001 como una de las herramientas más eficaces para convertir los requisitos regulatorios en procedimientos operativos concretos.

Mientras el Reglamento de IA establece las obligaciones que deben cumplir las organizaciones, explicó, la ISO 42001 aporta una metodología estructurada para implantar políticas, definir responsabilidades, gestionar riesgos y desarrollar mecanismos de supervisión que permitan operar con garantías.

La política corporativa de IA, la definición de roles, la gestión de riesgos, los mecanismos de supervisión humana o la mejora constituyen elementos esenciales dentro de este modelo.

«Sin inventario, no hay gobierno». Esta afirmación resume buena parte del problema actual en las compañías, ya que resulta imposible gestionar, supervisar o controlar algo que ni siquiera se encuentra identificado.

Telefónica muestra cómo convertir la gobernanza en una realidad operativa

Si Laura Vico explicó el marco conceptual, Raúl Avedillo se encargó de mostrar cómo es posible trasladarlo a la práctica.

Durante su intervención, presentó la evolución del modelo de inteligencia artificial responsable de Telefónica, cuyos principios se remontan a 2018 y que han ido evolucionando para incorporar aspectos relacionados con la transparencia, la equidad, la privacidad, la seguridad, la sostenibilidad y el control humano: «La inteligencia artificial empieza a tomar decisiones y a esas decisiones tenemos que incorporar principios responsables».

En este sentido, Raúl Avedillo explicó cómo la compañía aprobó en 2023 un reglamento específico de gobierno de la IA y cómo ha construido una estructura basada en tres líneas de defensa, equipos especializados, coordinación global, responsables locales y una red de especialistas distribuidos por las diferentes áreas de negocio.

Más allá de la estructura organizativa, uno de los aspectos más interesantes fue el recorrido completo que debe seguir cualquier iniciativa basada en inteligencia artificial dentro del grupo:

1. Registro y clasificación.
2. Análisis de riesgos.
3. Definición de controles.
4. Implantación de medidas de mitigación.
5. Supervisión por parte de Compliance.
6. Aprobación final antes de su puesta en producción.

Raúl explicó además cómo Telefónica ha desarrollado una herramienta propia que permite gestionar de forma centralizada los casos de uso de IA, clasificarlos automáticamente conforme al Reglamento y vincular los riesgos identificados con los controles necesarios para mitigarlos.

La experiencia compartida mostró que la gobernanza de la IA no es únicamente una cuestión documental, sino un proceso continuo que requiere coordinación entre negocio, cumplimiento, privacidad, seguridad y auditoría interna.

Autenticación Multifactor (MFA) como medida estratégica de seguridad

El segundo bloque de la jornada vino de la mano de Jesús Amorín, jefe de la Unidad de Ciberseguridad de RTVE, y José Antonio Sánchez, Consultor Senior GRC de Govertis, quienes protagonizaron un diálogo centrado en la evolución de la gestión de identidades y la protección de accesos en un contexto marcado por el aumento de las amenazas y por un marco regulatorio cada vez más exigente.

La conversación se articuló en torno a tres grandes ámbitos: la autenticación multifactor (MFA), el sistema integral de ciberseguridad y la gestión de identidades y control de accesos (IAM).

1. La autenticación multifactor: mucho más que una cuestión tecnológica

El primer bloque estuvo dedicado a la autenticación multifactor (MFA), una medida que ambos expertos identificaron como uno de los controles más eficaces para reducir el riesgo de accesos no autorizados y compromisos de credenciales. Sin embargo, los ponentes coincidieron en que el desafío de implantar MFA ya no es tecnológico, sino principalmente organizativo y regulatorio.

José Antonio Sánchez explicó que actualmente existen múltiples mecanismos de autenticación robusta (desde aplicaciones de autenticación y tokens físicos hasta sistemas biométricos), aunque su despliegue suele encontrarse con obstáculos relacionados con la privacidad, la experiencia de usuario o los costes de implantación. Como ejemplo, abordó cuestiones como el uso de dispositivos personales en entornos corporativos o las implicaciones legales derivadas del tratamiento de datos biométricos.

Por su parte, Jesús Amorín defendió que cualquier estrategia de autenticación debe comenzar por un análisis de riesgos y no por la elección de una herramienta concreta: «Mi recomendación en la implementación es no arrancar por la herramienta concreta, sino por un estudio, un análisis de riesgo: quién accede, cuándo tiene que acceder y con qué permisos», explicaba.

Asimismo, puso el foco en la necesidad de implicar a los usuarios en este tipo de iniciativas para reducir resistencias y facilitar la adopción de nuevas medidas de seguridad.

Los participantes coincidieron en que la formación y la concienciación siguen siendo factores determinantes para el éxito de cualquier proyecto de autenticación multifactor.

2. Del MFA a un sistema integral de ciberseguridad

La conversación evolucionó después hacia una visión más amplia de la protección corporativa analizando cómo la autenticación debe integrarse dentro de un modelo global de ciberseguridad apoyado en capacidades avanzadas de monitorización, detección y respuesta.

En este contexto, José Antonio Sánchez y Jesús Amorín abordaron el papel de los SOC, los sistemas SIEM y las Oficinas Técnicas de Seguridad como elementos esenciales para supervisar eventos, detectar comportamientos anómalos y gestionar incidentes de manera eficaz.

Jesús destacó además la importancia de combinar las capacidades analíticas de las plataformas tecnológicas con el criterio y la experiencia de los profesionales de seguridad, especialmente en un escenario donde las amenazas son cada vez más sofisticadas y donde la inteligencia artificial está comenzando a desempeñar un papel creciente tanto en la detección como en la respuesta frente a incidentes.

3. Gestión de identidades y control de acceso: la base de la seguridad moderna

Para cerrar este bloque, el diálogo giró en torno a la gestión de identidades y accesos (IAM), una disciplina que ambos expertos identificaron como uno de los pilares fundamentales de la ciberseguridad actual.

Durante la conversación se analizó la necesidad de evolucionar desde modelos centrados exclusivamente en la protección del perímetro hacia enfoques basados en la protección de usuarios, dispositivos y recursos críticos, especialmente en entornos caracterizados por el trabajo híbrido, los servicios en la nube y el acceso remoto.

En este contexto, Jesús Amorín explicó de forma sencilla el significado práctico de los modelos Zero Trust, cada vez más presentes en las arquitecturas de seguridad modernas: «El Zero Trust es lo que me decía mi abuela: ¿te vas con alguien que te ofrece un caramelo por la calle? No […] No confiar en lo que parece, sino que toda decisión sea verificable y revocable».

La sesión concluyó con una reflexión sobre el verdadero objetivo de la gestión de identidades y accesos: «La gestión de identidades es que quien haya de tener acceso a algo esté verificado previamente, tenga los permisos imprescindibles para acceder a lo imprescindible durante el tiempo preciso». Y es que la protección eficaz de las organizaciones pasa hoy, inevitablemente, por controlar quién accede, a qué accede y bajo qué condiciones.

Cuando la IA falla: cómo gestionar un incidente siguiendo el RIA

La jornada concluyó con un taller exclusivo para socios de la AEC impartido por Laura Antía Fernández, Consultora Senior GRC de Govertis, centrado en un aspecto todavía poco explorado dentro del Reglamento de Inteligencia Artificial (RIA), la gestión de incidentes relacionados con sistemas de inteligencia artificial.

A través de ejemplos prácticos, Laura analizó cómo deben actuar proveedores y responsables del despliegue cuando un sistema de IA genera consecuencias relevantes para la seguridad, la salud o los derechos fundamentales de las personas.

Durante la sesión, explicó cómo un incidente puede derivar no solo en consecuencias operativas o reputacionales, sino también en obligaciones regulatorias específicas para proveedores y responsables del despliegue, especialmente cuando se ven afectados derechos fundamentales, datos personales o servicios críticos.

«La parte de gobernanza de la IA es precisamente la que te permite estar preparado para la gestión de un incidente», destacó Laura, quien recordó que la capacidad de respuesta de una organización comienza mucho antes de que se produzca una incidencia. En este sentido, señaló la importancia de contar con inventarios de sistemas de IA, mecanismos de supervisión continua, roles claramente definidos y procedimientos de actuación que permitan responder de forma eficaz y cumplir con los requisitos regulatorios previstos por el Reglamento de Inteligencia Artificial.

Las organizaciones deben conocer con precisión el papel que desempeñan dentro de la cadena de valor de la inteligencia artificial, ya que las obligaciones regulatorias difieren según se actúe como proveedor, responsable del despliegue, distribuidor o importador de un sistema de IA.

Un mensaje común: gobernar antes de reaccionar

A lo largo de las diferentes intervenciones, quedó patente que la inteligencia artificial ya forma parte de la actividad habitual de las organizaciones y, precisamente por ello, necesita ser gobernada.

Inventariar, formar, evaluar riesgos, definir responsabilidades y establecer procesos de supervisión fueron algunos de los conceptos que vertebraron este primer Insight del Foro GRC 2026. Un encuentro que dejó claro que el verdadero desafío ya no consiste en incorporar la inteligencia artificial a las organizaciones, sino en hacerlo de una manera responsable, segura y alineada con los nuevos requisitos regulatorios.

David Bascoy
Govertis, parte de Telefónica Tech

Tecnologías cuánticas: hacia un nuevo paradigma jurídico y tecnológico

Cada vez son más frecuentes las noticias sobre la llegada de la tecnología cuántica y, con ello, también crecen los interrogantes acerca del profundo cambio de paradigma que supondrá en muchos ámbitos de nuestra vida.

Ahora bien, no solo este ámbito se verá afectado; por su parte, el ámbito jurídico requerirá de un profundo cambio y evolución normativa para dar respuesta a unos avances que prometen transformar la tecnología y la ciberseguridad, tal y como la conocemos.

En este artículo daremos una visión global de algunas de las implicaciones y desafíos que la tecnología cuántica traerá consigo en el ámbito de la ciberseguridad, así como de los próximos desafíos legislativos que pudiera plantear su adopción.

Pero, antes de comenzar: ¿qué son las tecnologías cuánticas?

Según la Comisión Europea, se trata de tecnologías que aprovechan los fenómenos propios de la mecánica cuántica para desarrollar nuevas capacidades técnicas. En concreto, sus principales ámbitos de desarrollo son la computación y simulación cuánticas, la comunicación cuántica y la sensórica y metrología cuánticas.

Debido al especial potencial disruptivo de la computación cuántica, será esta en la que nos centraremos en el presente artículo.

Pero, antes de entrar en dicho análisis, conviene señalar aquellos sectores que van a verse beneficiados de dicha tecnología, entre los que encontramos:

• Ciencias de la salud: esta tecnología permitirá acelerar el desarrollo de nuevos fármacos y tratamientos. Asimismo, la metrología cuántica y sistemas como la resonancia magnética cuántica (Q-MRI) mejorarán notablemente el diagnóstico, la medicina de precisión y la detección temprana de enfermedades.
• Sector industrial: los sensores cuánticos permitirán realizar mediciones con una alta precisión y serán capaces de detectar señales prácticamente imperceptibles.
• Sector logístico: facilitarán una optimización avanzada de rutas de entregas, la gestión en tiempo real de las interrupciones en cadenas de suministro, así como una mejor gestión del inventario, de operaciones de almacenes y carga de mercancías.
• Machine learning: los algoritmos cuánticos podrían analizar grandes volúmenes de datos, acelerando procesos de aprendizaje automático.
• Sector espacial: estas tecnologías tendrán especial relevancia al permitir mejorar las comunicaciones, desarrollar sistemas de posicionamiento menos dependientes del GPS y crear sensores mucho más precisos para la navegación, la gestión de satélites y la observación de la Tiera.
• Sector financiero: se favorecerá la optimización de las carteras, la realización de análisis de riesgos mediante algoritmos cuánticos y mejora de sistemas de detección del fraude.
• Ciencias de la Tierra y geofísicas: se posibilitará el desarrollo de una red que permita la detección de elementos situados hasta varios km de profundidad, como depósitos de agua, gas o recursos mineras.
• Ciberseguridad: se impulsará el desarrollo de nuevos algoritmos capaces de romper los sistemas criptográficos actuales.
• Blockchain: se crearán arquitecturas de blockchain resistentes a ataques cuánticos mediante el uso de criptografía postcuántica y la distribución cuántica de claves QKD), así como la optimización de los contratos inteligentes.
• Seguridad y defensa: los sensores cuánticos serán útiles para la detección táctica, para inteligencia, vigilancia estratégica selección de objetivos y reconocimiento, tal y como expone la propia OTAN.

No obstante, a pesar de los beneficios señalados, estas tecnologías también generan una gran preocupación en sectores como el financiero, la seguridad nacional o la defensa, así como en los propios gobiernos, debido al riesgo de comprometer información estratégica, confidencial o clasificada.

IBM define la computación cuántica como un “campo emergente de la informática y la ingeniería que aprovecha las cualidades únicas de la mecánica cuántica para resolver problemas más allá de la capacidad incluso de los ordenadores clásicos más potentes”.

Al analizar dicho concepto, nos encontramos con uno de los principales riesgos asociados a esta tecnología: su capacidad para “romper” la ciberseguridad actual.

Tal y como señala el experto en ciberseguridad y adjunto de la AEPD Francisco Pérez Bes, “los algoritmos cuánticos pueden romper los cifrados actuales, lo que pone en peligro los sistemas criptográficos actuales, y por tanto, la seguridad de las comunicaciones y la confidencialidad de los datos”.

En esta misma línea, Telefónica Tech identifica en su documento “Preparación Estratégica Criptográfica Poscuántica”, los siguientes riesgos y vulnerabilidades:

• Exposición de datos: la llegada de la tecnología cuántica podría producir un descifre de información y comprometer los cifrados actuales.
• Protección contra injerencias externas: lo que exigirá implementar sistemas de cifrado y mecanismos criptográficos más robustos adaptados a las amenazas cuánticas.

Como respuesta a ello, surge el cifrado postcuántico, como una solución enfocada a desarrollar mecanismos de protección de la información capaces de resistir ataques basados en tecnología cuántica.

Hoy en día existen empresas, como SandboxAQ, enfocadas en proteger la infraestructura digital contra la amenaza futura de los ordenadores cuánticos mediante la criptografía postcuántica (PQC) y la inteligencia artificial.

La computación cuántica constituye una amenaza para muchos algoritmos criptográficos actualmente utilizados para proteger los datos, razón por la cual la UE considera imprescindible una transición coordinada hacia la criptografía postcuántica. Ahora bien, ¿cuál es el objetivo de criptografía postcuántica?

Sin adentrarnos en muchos tecnicismos, la Alianza de la Criptografía Cuántica (PQCA) indica que su principal objetivo es desarrollar sistemas de clave pública capaces de mantener su seguridad incluso ante la futura aparición de ordenadores cuánticos de gran capacidad. Si esta tecnología llegase a alcanzar el nivel de madurez esperado, muchos de los mecanismos criptográficos actuales podrían quedar comprometidos.

A nivel nacional destaca el proyecto Quantum Spain, una iniciativa impulsada por el Ministerio a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial, que tiene como objetivo dotar a España de una infraestructura sólida de computación cuántica. Desde 2024, el ordenador cuántico del proyecto se encuentra ubicado en el Centro Nacional de Supercomputación de Barcelona y permitirá a grupos de investigación y a sectores industriales españoles acceder a capacidades de procesamiento muy superiores a las de la computación convencional, para experimentar y desarrollar nuevos productos y aplicaciones. La idea es que dicho ordenador se pueda integrar en el supercomputador del BSC MareNostrum 5, uno de los más ponentes de Europa.

Por su parte, Google ha creado “Willow”, un chip cuántico capaz de realizar en menos de cinco minutos un cálculo que, a al ordenador más rápido de hoy en día le llevaría 10 mil trillones de años. En este contexto, resulta interesante hacer alusión al concepto de “supremacía cuántica”, que viene a demostrar que, al menos para un problema específico, la computación cuántica supera a los métodos clásicos.

Ahora bien: ¿estamos preparados a nivel legislativo para la llegada de esta tecnología?

La computación cuántica plantea grandes desafíos para la privacidad, protección de datos personales y la seguridad de la información, en la medida en que puede comprometer la eficacia de los sistemas criptográficos actuales y, con ello, la confidencialidad e integridad de los datos.

En este sentido, la Estrategia de Tecnologías Cuánticas de España sitúa la privacidad postcuántica como un nuevo derecho digital.

A pesar de que el Reglamento Europeo de Protección de Datos no regula expresamente el tratamiento de datos derivados de tecnologías cuánticas, exige la adopción de medidas técnicas y organizativas adecuadas al riesgo, incluyendo la seudonimización y el cifrado de los datos, así como la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y tratamientos. En este sentido, la llegada de la computación cuántica no solo exige reforzar la privacidad y confidencialidad de la información, sino pensar si la legislación actual resulta suficiente para dar respuesta a estas nuevas amenazas.

En esta misma línea, la Directiva NIS2, que todavía se encuentra pendiente de transposición a nuestro ordenamiento jurídico, obliga a las entidades esenciales e importantes a adoptar políticas y procedimientos sobre el uso de la criptografía y del cifrado. Además, la UE está impulsado una estrategia orientada a facilitar la transición hacia la criptografía postcuántica en el ámbito de la Directiva, así como en otras normativas, como el Reglamento de Ciberseguridad, y de Ciber-resiliencia.

Además, la UE presentó en julio de 2025 la Estrategia Cuántica, con el objetivo de hacer de Europa un líder mundial en dicho ámbito. Ello irá acompañado de una propuesta de Ley Cuántica, cuyos objetivos principales son el impulso de la investigación e innovación, la ampliación de la capacidad industrial en tecnologías cuánticas, así como reforzar la resiliencia gobernanza de la cadena de suministros. Complementará igualmente la Ley de Chips de la UE.

En países como EE.UU. o Brasil encontramos iniciativas que abordan sus riesgos desde el punto de vista de la seguridad, la resiliencia criptográfica y la protección de la confidencialidad de la información, como la Quantum Computing Cybersecurity Preparedness Act de 2022, en Estados Unidos o la Instrução Normativa ITI nº 35/2026, en Brasil.

Además, el Instituto Nacional de Estándares y Tecnología (NIST) del Departamento de Comercio de EE. UU ya anunció en 2024 tres normas federales de Procesamiento de Información para criptografía postcuántica, las cuales recogen mecanismos de establecimiento de claves y firma digital pensados para resistir futuros ataques de ordenadores cuánticos, que podrían comprometer la seguridad de los sistemas actuales.

Para concluir, nos gustaría destacar la importancia de la computación cuántica los ámbitos de seguridad nacional, defensa y aplicaciones militares, puesto que la rapidez y precisión serán esenciales para ganar la “guerra cuántica”.

Países como Estados Unidos y China están realizando grandes inversiones en aplicaciones espaciales y militares de la tecnología cuántica. El Ministerio de Defensa de la República Popular de China ya expuso que la tecnología cuántica no solo es prometedora en el ámbito de la economía nacional, ciencia, y tecnología, sino que también tiene una amplia perspectiva en el ámbito militar nacional y en sus capacidades estratégicas.

En el ámbito militar, un sistema de comunicación cuántica mejoraría enormemente las capacidades de comunicación a larga distancia, y se reduciría notablemente la probabilidad de que la información sea interceptada. Además, como señala la OTAN, el desarrollo de sensores cuánticos resultan de especial importancia para la guerra antisubmarina.

Como vemos, la UE y la OTAN también reconocen la importancia de las tecnologías cuánticas para misiones de inteligencia, vigilancia, navegación e infraestructuras seguras. La Comisión, junto con la Agencia Europea de Defensa (EDA) y la ESA, está desarrollando una hoja de ruta de adopción para trasladar la computación cuántica a operaciones militares, simulaciones estratégicas y protección de datos sensibles, con validaciones en entornos controlados entre 2028 y 2032.

Por lo tanto, la cooperación internacional será muy importante para proteger los intereses de la UE, y ya se han empezado a ejecutar proyectos de investigación e innovación en tecnologías cuáticas con Canadá, Japón y Corea del Sur.

Cristina Zato
Govertis, parte de Telefónica Tech

El II Congreso Foro GRC consolida al profesional de gobernanza, riesgo y cumplimiento como eje estratégico de la transformación digital

El II Congreso Foro GRC volvió a reunir el pasado mes de febrero a profesionales de la gobernanza, la gestión del riesgo y el cumplimiento normativo en un momento especialmente intenso para la regulación tecnológica europea. El auditorio de la Fundación Telefónica acogió una jornada marcada por un denominador común: la necesidad de transformar la complejidad normativa en una ventaja estratégica para las organizaciones.

Impulsado por la Asociación Española para la Calidad (AEC) con el apoyo de Govertis, part of Telefónica Tech, el Congreso congregó a cerca de 400 profesionales (tanto de forma presencial como en streaming) para analizar los grandes retos que plantea el llamado ecosistema regulatorio digital europeo: protección de datos, inteligencia artificial, ciberseguridad, resiliencia operativa y compliance.

La apertura institucional corrió a cargo de Alberto Moreno, director de Regulación de Telefónica España, y Avelino Brito, director general de la AEC.

Moreno situó el encuentro en el contexto de transformación que vive Europa destacando que la reacción inicial ante cada nueva regulación suele ser defensiva. Sin embargo, defendió que el enfoque debe evolucionar hacia una perspectiva más estratégica. En lugar de percibir la regulación únicamente como obligación, propuso entenderla como motor de innovación y competitividad: «Tenemos que empezar a darle la vuelta. En el Foro GRC siempre aparece la palabra riesgo, y yo quería intentar transformar ese riesgo en retos, en oportunidades».

Mesa redonda: «Paquete Ómnibus Digital de la UE: desafíos regulatorios en PD, IA y Ciberseguridad para autoridades y profesionales»

La primera mesa redonda abordó uno de los temas más comentados en el ámbito regulatorio europeo: el Paquete Ómnibus Digital, iniciativa impulsada por la Comisión Europea para simplificar y armonizar el marco normativo que regula la protección de datos, la inteligencia artificial y la ciberseguridad.

Moderada por Javier Tamayo, responsable legal de privacidad y regulación digital en Telefónica Tech, la mesa reunió a dos de las principales autoridades españolas en la materia: Lorenzo Cotino, presidente de la Agencia Española de Protección de Datos, y Javier Candau, subdirector general del Centro Criptológico Nacional (CCN-CERT).

Desde el inicio, Cotino quiso dejar clara una idea: simplificar la regulación es un objetivo deseable, pero extraordinariamente complejo.

El presidente de la AEPD explicó que el paquete Ómnibus introduce propuestas de gran impacto, entre ellas la posible revisión del concepto de dato personal dentro del Reglamento General de Protección de Datos.

«Si cambiamos el concepto de dato personal, esto afecta directamente a todo el alcance del reglamento de protección de datos», explicó alertando del riesgo de generar inseguridad jurídica si los cambios no se acompañan de criterios claros sobre anonimización, fragmentación de responsabilidades o reutilización de datos.

Por su parte, Javier Candau ofreció una panorámica contundente sobre el crecimiento del marco regulatorio en ciberseguridad: «En 2016 teníamos dos normas relacionadas con ciber y protección de datos. En 2026 tenemos 17 normas».

El subdirector del CCN calificó esta situación como un auténtico «tsunami legislativo» que afecta tanto a organizaciones públicas como privadas.

Mesa Redonda: «El Responsable del Sistema Interno de Información: del cumplimiento formal al liderazgo ético»

La segunda mesa, moderada por Carolina Tella (Responsable del Centro de Competencia de Compliance de Govertis, part of Telefónica Tech), abordó una figura de reciente creación: el Responsable del Sistema Interno de Información (RSI), surgido de la Ley 2/2023 de protección de informantes. La mesa reunió a representantes institucionales y profesionales del ámbito del compliance para analizar el papel del Responsable del Sistema Interno de Información.

En ella participaron Ignacio Sáez Hidalgo, director de Gabinete de la Autoridad Independiente de Protección al Informante; Caridad Noreña Fanconi, jefa de cumplimiento normativo del ICO; José Rafael Díaz Hernández, head of department de la Autoridad Portuaria de Las Palmas; y Marlyn Cecilia Chávez Maury, gerente de compliance de Telefónica Tech.

Ignacio Sáez abrió el debate reconociendo que el primer desafío para todos los actores implicados es entender en profundidad la nueva normativa.

Desde la experiencia del sector financiero público, Caridad Noreña compartió una reflexión que les ha surgido desde el ICO: «La primera duda que nos surgió es: ¿somos las personas idóneas para gestionar todo esto?». La solución fue crear un órgano colegiado presidido por la Secretaría General con un gestor que asiste con voz pero sin voto. «Equilibramos objetividad y eficiencia», explicó, destacando la importancia de protocolizar hasta la última contingencia.

Para José Rafael Díaz, el perfil ideal combina conocimiento del sistema, integridad, confidencialidad e independencia jerárquica, con dependencia directa del consejo.

Chávez subrayó el desafío de la independencia: «Si el área del RSI está involucrada en una investigación, el sistema se compromete». Abogó por la formación continua y la dotación de recursos, así como por la conexión permanente con el departamento laboral y el DPO. «Estamos hablando de personas, de carreras que se ponen en juego», recordó.

Ponencia: «Eje estratégico de la Ciberseguridad: ENS + NIS2 y DORA ¿Cómo enfrentarse a la auditoría combinada?»

José Luis Colom Planas, asesor y formador del CCN-CERT, ofreció una auténtica clase magistral en treinta minutos sobre cómo enfrentar una auditoría combinada de los tres marcos normativos. Para ello, Colom desgranó las ventajas de una implementación integrada: contexto organizativo unificado, marco de gobernanza común, reducción del esfuerzo de mantenimiento y mejor alineación con el negocio.

«El principio de proporcionalidad está en todas partes», explicó, comparando los artículos 4 de DORA, 21 de NIS2 y la categorización del ENS. Repasó el complejo entramado de directivas, reglamentos de ejecución, actos delegados y normas técnicas advirtiendo que «NIS2 y DORA no tienen esquema propio de certificación».

Su conclusión sobre cómo abordar esta situación fue clara: «La certificación ENS es una excelente opción para cumplir el 90% del framework de ciberseguridad. Luego vendrán los aderezos específicos de cada norma». Destacó que la categoría alta del ENS cumple con la mayoría de requisitos, y que incluso el perfil de requisitos fundamentales (para organizaciones con pocos recursos) incluye ya ejemplos de plan de continuidad y cláusulas contractuales para proveedores.

Colom no eludió el espinoso tema de la responsabilidad personal de la alta dirección: «Los órganos de dirección serán responsables por incumplimiento. Han de poder demostrar que se han formado en ciberseguridad». Y lanzó un dato esperanzador: entidades aseguradoras y bancos ya están certificándose en ENS para cumplir con DORA.

Ponencia: «Gobierno de la seguridad en la administración pública: el rol del CISO municipal»

David Esteban, CISO del Ayuntamiento de Barcelona, compartió su experiencia al frente de la seguridad de una de las ciudades más complejas de España: 52 entidades municipales que van desde cementerios y museos hasta grúas y hacienda. Esteban inició su intervención planteando las preguntas que todo CISO debe hacerse: «¿Conozco los objetivos de mi organización? ¿Me entienden? ¿Estoy protegiendo la misión o solo los activos?».

«El CISO no es un técnico, es un líder ejecutivo», afirmó, citando definiciones de ISACA. Su receta para Barcelona incluye cinco pilares: marco de gobierno global, catálogo común de servicios, preparación para la ciberresiliencia (integrada en el plan básico de emergencia municipal), foco en servicios críticos mediante análisis de riesgo con criterios de negocio, y creación de cultura de corresponsabilidad.

Entrega de los Premios «Foro GRC»

Uno de los momentos más especiales del evento fue la entrega de premios de esta segunda edición del Congreso Foro GRC, que quiso reconocer la labor de profesionales y entidades destacadas en este ámbito:

• Premio a la divulgación en inteligencia artificial: la Federación Española de Municipios y Provincias fue galardonada por su «Guía práctica y políticas de uso de la IA en las administraciones locales».
• Premio al liderazgo femenino en GRC: Aleida Alcaide, directora general de Inteligencia Artificial en el Ministerio para la Transformación Digital y de la Función Pública.
• Premio a la excelencia en ciberseguridad: Centro Criptológico Nacional (CCN-CERT), recogido por Javier Candau, en reconocimiento a su contribución en la seguridad del sector público.
• Premio a la privacidad: el premio a la trayectoria en privacidad fue para Javier Sempere, DPD del Consejo General del Poder Judicial.

Diálogo: «El valor del Profesional de GRC»

Para cerrar la mañana, Alberto González y Marta Sánchez (RS Servicios Jurídicos) mantuvieron un diálogo distendido pero profundo sobre la evolución del profesional GRC. Sánchez, una de las primeras certificadas DPD por la AEC y recién certificada como profesional GRC en IA (CP-GRC-IA), explicó su visión: «La privacidad sin medidas técnicas es papel. La IA introduce nuevos riesgos que exigen un enfoque transversal».

Sobre el debate de la independencia del DPD, Sánchez defendió que: «No interfiere. Asesoramos y supervisamos, no tomamos decisiones ejecutivas. Somos facilitadores de decisiones». Respecto a la nueva certificación CP-GRC-IA, destacó que aporta «un marco común para gestionar el riesgo, un hilo conductor en las empresas».

Finalmente, reivindicó el valor de los foros profesionales: «La independencia no significa aislamiento. Estos espacios nos permiten ver que los mismos problemas los tenemos todos, y contrastar con perfiles técnicos nos da una visión transversal que refuerza nuestro papel».

Entrega de premios del Concurso «Ponencias Foro GRC»

La sesión de tarde arrancó con la lectura de las comunicaciones seleccionadas y la entrega de diplomas del Concurso «Ponencias Foro GRC».

El jurado decidió por unanimidad conceder un accésit a la comunicación titulada «Incidentes de ciberseguridad en sistemas de inteligencia artificial como prueba de estrés del modelo GRC: impactos integrados en protección de datos, seguridad y cumplimiento normativo».

El premio a la comunicación ganadora recayó en «MencIA: soberanía tecnológica realista. Un modelo integral de gobierno, riesgo y cumplimiento para la IA en el sector público», de José Antonio Aras Lombardero, jefe de la sección de innovación y participación ciudadana de la Diputación de Lugo.

El ponente desgranó los tres pilares sobre los que construyen su modelo: la IA como copiloto (cumpliendo con la supervisión humana que exige el artículo 14 del RIA), la privacidad por diseño (ejecutando modelos open source en servidores propios para evitar las transferencias internacionales de datos) y la ciberseguridad en profundidad (con redes segmentadas que aíslan los sistemas de IA).

Ponencia: «ISO/IEC 42001 El nuevo estándar para la gobernanza de la IA: una visión práctica»

«Olvidémonos de la inteligencia artificial durante un momento. La IA no existe». Así arrancaba la ponencia de Daniel Murcia, responsable del Área de Competencia Regulación Digital en Govertis, part of Telefónica Tech, para abordar el nuevo estándar ISO/IEC 42001 desde una visión eminentemente práctica.

Apoyándose en las reflexiones de Ramón López de Mántaras, Murcia instó a despojarnos de la moda y aterrizar el debate: «No estamos dejando de hablar de tecnología, estamos hablando de software, estamos hablando de datos, de ingentes cantidades de datos». Sin embargo, matizó que, aunque la IA como concepto pueda ser difuso, «sí que tenemos regulación», y con ella herramientas para abordar su gobierno.

Con este contexto, Murcia presentó la ISO 42001 como un conjunto de elementos interrelacionados que permiten «establecer, implementar y mantener de forma continua la mejora de la gestión» del uso y desarrollo de la IA. Una de sus grandes ventajas, explicó, es la estructura armonizada con otros sistemas de gestión ISO.

Por otra parte, insistió en la necesidad de abordar la IA desde una perspectiva de riesgo centrada en las personas: «La perspectiva de riesgo que tendríamos que abordar en este caso es la protección de los derechos y libertades de los interesados, de los titulares, de las personas físicas, de los clientes, de los empleados, de los funcionarios públicos»

Ponencia: «Gobernanza, Riesgo y Cumplimiento en la -Guía Práctica y Políticas de uso de la IA en las Entidades Locales – de la FEMP»

Borja Colón de Carvajal, jefe de Servicio de Administración e Innovación Pública de la Diputación de Castellón, fue el encargado de cerrar esta segunda edición del Congreso Foro GRC presentando la «Guía Práctica y Políticas de uso de la IA en las Entidades Locales», elaborada por la Federación Española de Municipios y Provincias (FEMP).

El ponente contextualizó la necesidad de la guía en la realidad del mundo local español: 8.130 municipios, el 95% con menos de 20.000 habitantes. Una guía que ofrece un marco jurídico riguroso, un andamiaje técnico y, lo más novedoso, una metodología propia de autoevaluación que permite a los ayuntamientos medir su nivel de madurez directiva y organizativa mediante un cuestionario.

Colón de Carvajal concluyó reivindicando el papel de las diputaciones como actor idóneo para liderar la transformación en el mundo rural: «Nuestra capilaridad y conocimiento del terreno, nuestra capacidad para dar soluciones que ya hemos probado… quizá podamos seguir avanzando con seguridad y con confianza, aunque sea sin mapa del tesoro».

Esta segunda edición del Congreso Foro GRC ha puesto de manifiesto que los profesionales GRC se enfrentan a un entorno normativo de creciente complejidad, pero también a la oportunidad de liderar la transformación digital desde una posición estratégica en las organizaciones.

Como acertadamente señaló Borja Colón de Carvajal durante su intervención, incluso sin mapa del tesoro, los profesionales GRC están llamados a ser los cartógrafos de un futuro digital que ya no admite espera.

Govertis, part of Telefónica Tech

El reconocimiento óptico de caracteres (OCR) en el tratamiento de los datos del DNI de los huéspedes del hotel (parte II)

La AEPD, en junio de 2025, publicaba la «Nota de la AEPD sobre las copias de documentos de identidad en hospedajes». Analizaba la prohibición de fotocopiar o guardar imágenes escaneadas del DNI de los huéspedes. Aquella comunicación, dejaba abiertas varias cuestiones prácticas y se echaba en falta mayor claridad sobre los sistemas que podían utilizarse conforme a la normativa de protección de datos y, en ese sentido, publicamos un post haciendo referencia a ello. En particular, quedaba en el aire la posibilidad de que medios alternativos como el OCR (reconocimiento óptico de caracteres), bien diseñados, pudieran ser compatibles con el RGPD. Estos medios de extracción son de máxima utilización en el sector turístico.

Ahora, nos hacemos eco de una nueva resolución emitida por la AEPD que trata esta cuestión y que ofrece una evolución interpretativa. La resolución AI-00413-2024 aporta luz en un escenario real en el que esas dudas afloran. En este caso, un huésped presenta reclamación ante la AEPD indicando que en el momento del check-in se le solicita su documento de identidad para su “escaneo” en el proceso de registro de viajeros. A su juicio, ese tratamiento es injustificado, dado que bastaría con comprobar y anotar los datos contenidos en dicho documento y no utilizando un sistema de copia del documento de identidad. La entidad hotelera alega uso de un lector conectado a su sistema de gestión (PMS) para automatizar la captura de datos mediante lectura óptica para extraer únicamente los datos exigidos por la normativa de registro de viajeros.

La AEPD concluye que, De los datos obrantes en el expediente se determina que el sistema automatizado utilizado por la *EMPRESA* Está configurado de tal forma que, para realizar el registro en el establecimiento hotelero, una vez comprobado que el DNI es el del cliente, se recogen los datos que indica el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021); dicha norma no indica en qué forma debe hacerse. Nada impide que la captación de los datos se realice de modo mecanizado siempre que se respete el principio de minimización, lo que sucede en este caso, pues el sistema no conserva más datos de los necesarios. La captación de datos del lector ICAD conectado al software PMS realiza un escaneo para capturar y conservar los datos necesarios. El tratamiento mecánico que se realiza al escanear el documento no supone mayores riesgos pues se realiza en forma local, no es accesible desde internet, y no se almacenan los datos capturados del documento. Además, para garantizar que todo funcione la *EMPRESA* ha contratado una empresa de mantenimiento. Finalmente, la autoridad de control, tras analizar las alegaciones y la documentación aportada por el establecimiento hotelero, archiva las actuaciones.

De esta resolución y el extracto referido, se desprenden varias ideas poniendo el foco en dos ejes muy marcados, la finalidad y la minimización de datos personales:

• Existe una norma, Real Decreto 933/2021, de 26 de octubre, que establece las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor, que obliga a las entidades hoteleras a llevar un registro en el que deben constar los datos identificativos de los huéspedes indicados en esta norma. Por tanto, su incumplimiento podría conllevar sanciones.
• La forma en la que se recogen estos datos debe realizarse a través de un sistema que esté diseñado para extraer únicamente los campos obligatorios y no almacenar imágenes completas ni información innecesaria, respetando así el principio de minimización de datos y el principio de privacidad desde el diseño.
• No basta con indicar que no se fotocopia o escanea el DNI o documento identificativo equivalente, el responsable del tratamiento debe ser capaz de demostrar qué hace exactamente el sistema. Por ejemplo, en el sistema OCR, qué datos captura, durante cuánto tiempo, con qué finalidad y bajo qué garantías. Se cumple de esta forma con el principio de responsabilidad proactiva.
• El mecanismo de autenticación OCR agiliza la operativa de check in, sin embargo, la “comodidad operativa” en ningún caso puede sobreponerse a los derechos y libertades del interesado.
• La sensación, cada vez más extendida, de que entregar el DNI implica perder el control sobre una parte de información especialmente sensible, debe mitigarse con información clara y precisa a ofrecer al huésped. En el momento que se recogen los datos para el registro de viajeros, el huésped en muchas ocasiones entrega su documento de identidad al hotel que lo introduce en un lector y esta acción puede apreciarse exactamente igual que una fotocopia. Si el establecimiento no explica con precisión qué ocurre con esos datos, la percepción del huésped puede ser invasiva, por lo que ofrecer información clara resulta esencial.

En definitiva, esta resolución confirma la postura de la AEPD sobre la fotocopia sistemática e íntegra del DNI, está prohibida. Pero, no excluye el uso de soluciones técnicas similares para la extracción de datos. De este modo, podría permitirse el uso de los sistemas de reconocimiento óptico de caracteres (OCR), que permiten leer y realizar una extracción automática de los datos necesarios del documento de identidad que exige la norma, en el proceso de check in, siempre que estos sistemas no recojan otros datos innecesarios para completar el registro de huéspedes y se garantice por parte del hotel la transparencia y la proporcionalidad.

A efectos de que no genere rechazo por parte de los huéspedes, ya que parece que se esté efectuando una copia digitalizada íntegra del documento identificativo oficial, recomendamos que se informe por parte del hotel, con gran claridad al momento de la recogida de datos, que no se está realizando una copia escaneada o digitalizada del documento.

Eva María Simón de Lucas
Govertis, parte de Telefónica Tech

Privacidad en evolución: las claves del Ómnibus Digital

La Unión Europea ha dado un paso decisivo hacia la simplificación normativa con la propuesta del Reglamento Ómnibus Digital. Este paquete legislativo busca reorganizar y armonizar leyes como el Reglamento General de Protección de Datos (RGPD), ePrivacy, el Data Act y el AI Act. Sin embargo, no se limita a reorganizar textos normativos, también redefine conceptos clave, plantea nuevos retos para las organizaciones y promete reducir cargas administrativas. Esta búsqueda de coherencia y eficiencia abre la puerta a una cuestión esencial, ¿cómo impactará esta iniciativa en la privacidad de los usuarios?

Entre sus novedades más relevantes, destacan las siguientes:

• Redefinición del concepto de dato personal

Hasta ahora, el RGPD consideraba dato personal cualquier información que permitiera identificar de forma directa o indirecta a una persona. La propuesta incorpora un matiz, indicando que no se considerará dato personal para una entidad si esta no dispone de medios razonablemente probables para reidentificar al individuo. La definición pasa de ser absoluta a depender del contexto y de los recursos disponibles, lo que impacta de manera significativa en la seudonimización.

Por ejemplo, una empresa que trata datos seudonimizados para realizar análisis estadísticos sin acceso a las claves de reidentificación podría realizar el tratamiento sin aplicar las obligaciones dispuestas en el RGPD, siempre y cuando pueda demostrar que no dispone de medios razonables que le permitan reidentificar a los usuarios.

• Interés legítimo como base de legitimación para entrenar modelos de IA

La propuesta reconoce explícitamente el interés legítimo como base jurídica para el tratamiento de datos personales en el funcionamiento y entrenamiento de sistemas de inteligencia artificial. No obstante, no se trata de un «cheque en blanco» ya que las organizaciones deben atenerse al cumplimiento de unos requisitos específicos, entre otros, reforzar la transparencia en la información facilitada, realizar evaluaciones de impacto en supuestos de riesgo elevado, minimizar los datos tratados, implantar controles técnicos robustos e, indudablemente, otorgar a los usuarios la posibilidad de ejercer el derecho de oposición.

• Excepciones para el tratamiento de datos de categoría especial

Se añaden dos importantes excepciones al artículo 9.2 del RGPD, que establece las circunstancias que levantan la prohibición del tratamiento de datos de categoría especial:

• Se permite el tratamiento de datos biométricos cuando sea necesario para confirmar la identidad del interesado, siempre que los datos estén bajo su control exclusivo como ocurriría en los procesos de autenticación en banca online con biometría en el dispositivo del usuario. De esta manera, el banco no almacenaría la plantilla biométrica, la cual estaría exclusivamente almacenada en el dispositivo, recibiendo solamente un token de éxito para permitir el acceso al usuario.
• Se autoriza el uso de datos de categoría especial (por ejemplo: datos de origen racial o étnico, datos biométricos, datos relativos a la salud) para entrenar u operar sistemas de inteligencia artificial, siempre que esté sujeto a una serie de medidas técnicas organizativas apropiadas. Un ejemplo práctico podría ser el uso de datos sobre género y origen étnico en un sistema de IA diseñado para detectar discriminación en procesos de selección, resultando justificado el tratamiento de dichos datos para garantizar la equidad del modelo.
• Evaluaciones de impacto

Hasta la fecha, cada autoridad nacional publicaba sus propios criterios sobre cuando era necesario realizar las evaluaciones de impacto. Con el objetivo de garantizar la homogeneidad en toda la Unión Europea, la propuesta atribuye al CEPD (Comité Europeo de Protección de Datos) la tarea de elaborar una lista común con aquellos tratamientos que precisan evaluación de impacto y aquellos que no, creando una plantilla oficial y una metodología armonizada para su ejecución, reemplazando las listas nacionales existentes y otorgando seguridad jurídica al proceso.

• Excepciones al deber de información al interesado

Se introducen flexibilizaciones para reducir la carga administrativa que puede suponer facilitar la información al interesado en los términos previstos por el RGPD, definiendo criterios claros de aplicabilidad. Entre las excepciones se encuentran los tratamientos realizados con fines de investigación científica, cuando el interesado disponga razonablemente de la información o cuando la comunicación individual sea desproporcionada en relación con el esfuerzo requerido, con más claridad y alcance que el criterio actual. Para cada uno de los escenarios se definen criterios claros que permitan determinar si es aplicable o no la exención, reduciendo así la interpretación subjetiva.

• Brechas de seguridad

Entre los cambios más significativos destacan los siguientes:

• Se amplía el plazo para notificar una brecha a la autoridad competente, pasando de 72 a 96 horas, ofreciendo así un margen superior que permita a las organizaciones estudiar el caso de una manera más completa.
• La obligación de notificar se limita a incidentes que supongan un alto riesgo para los derechos y libertades de las personas.
• Se crea una plataforma centralizada para el reporte de las brechas de seguridad como punto único de notificación (Single-Entry Point). Este sistema será gestionado por ENISA (Agencia de la Unión Europea para la Ciberseguridad) el cual se encargará de distribuir la información a las autoridades pertinentes.
• Se elaborarán plantillas estándar para las notificaciones por parte del CEPD, para garantizar su uniformidad.

En definitiva, la propuesta Ómnibus Digital introduce cambios sustanciales en la forma en la que se entiende y gestiona la privacidad en la Unión Europea. Su propuesta marca un giro hacia un modelo más pragmático, buscando adaptarse a un entorno digital cada vez más dinámico. Sin embargo, esta modernización no se encuentra exenta de riesgos. El verdadero desafío será garantizar que estas medidas, orientadas a la eficiencia y la innovación, se implementen con salvaguardas lo suficientemente sólidas para que estos cambios no se traduzcan en pérdida de confianza digital.

Isabel Abad Ayala
Govertis, parte de Telefónica Tech

De extensión a estándar independiente: Novedades de la ISO 27701:2025

Después de varios meses esperando —a priori iba a publicarse la norma en marzo—, por fin en octubre de 2025 se publicó el estándar ISO/IEC 27701:2025. Esta nueva versión trae una modificación clave: ya no es solo un complemento de la ISO 27001, sino que ahora puede certificarse de forma independiente.

Del complemento a la autonomía

La mayor limitación de la norma ISO 27701:2019 radicaba en que necesitaba implementarse como extensión de la ISO 27001. Varias organizaciones enfocadas principalmente en privacidad tenían que pasar antes por una certificación en seguridad de la información.

Desde la edición 2025, las organizaciones pueden obtener el sello ISO 27701 sin contar previamente con la ISO 27001, abriendo paso a más entidades hacia un sistema claro de gestión de privacidad. No obstante, también es posible aplicar ambas normas de forma integrada.

Principales novedades

La actualización sigue el formato High Level Service (HLS) usado en todas las normas ISO, dividida en 11 cláusulas principales y anexos complementarios. Así resulta más sencillo integrarla con normas como la ISO 27001 o la ISO 42001 sobre inteligencia artificial.

La norma introduce requisitos explícitos para revisar y gestionar riesgos de privacidad, integrándolos con los de seguridad de la información en un análisis de dos niveles: uno para la organización y otro enfocado a los interesados. Este enfoque resulta especialmente relevante en España, donde hay que ajustarse al RGPD, la LOPDGDD y, frecuentemente, al Esquema Nacional de Seguridad.

La norma exige ahora que las organizaciones establezcan un programa de seguridad de la información según la ISO 27001:2022, cubriendo 15 áreas fundamentales, desde la gestión de riesgos hasta la gestión de incidentes.

Asimismo, toda la guía de implementación está ahora en el Anexo B, separando claramente lo que debe cumplirse durante una auditoría de las recomendaciones prácticas para el día a día.

Implicaciones para los Delegados de Protección de Datos

Para los delegados de protección de datos, esta norma proporciona una guía clara sobre cómo demostrar cumplimiento del RGPD, especialmente del principio de responsabilidad proactiva. El Anexo D incluye un mapeo detallado vinculado a cada artículo del Reglamento.

Ejemplo práctico: si la AEPD revisa cómo gestionamos el ejercicio de derechos, con los controles A.1.3.7 y A.1.3.10 podemos demostrar que tenemos procedimientos documentados para responder a las solicitudes de los interesados.

La norma mantiene prácticamente inalterados los controles para responsables del tratamiento (Tabla A.1) y encargados del tratamiento (Tabla A.2), lo que facilita la transición para organizaciones ya certificadas.

Transición y conclusión

Por todo ello, las organizaciones certificadas acorde al estándar de 2019 necesitan actualizar sus sistemas, enfocándose en la nueva gestión de riesgos de privacidad, documentando el programa de seguridad y reorganizando algunos documentos. No hay que empezar desde cero: gran parte del trabajo previo sigue siendo plenamente válido.

La ISO/IEC 27701:2025 consolida la gestión de la privacidad como un área independiente y madura. Su alineación con el RGPD la convierte en herramienta estratégica para organizaciones que necesitan demostrar, de forma verificable, cómo protegen los datos personales. Independientemente de no ser un requisito legal obligatorio, sigue siendo el principal estándar internacional de referencia para acreditar la madurez de un sistema de gestión de privacidad.

Equipo CdC Privacidad Govertis

La protección de menores en línea: claves de las Directrices de la Comisión Europea

Riesgos legales de ignorar NIS-2 y DORA: la responsabilidad civil de las organizaciones bajo la lupa

¿Desconectar sin desproteger? Seis claves para mantener tu información segura estas vacaciones

Las vacaciones de verano ya están aquí y, con ellas, la desconexión y el descanso de las preocupaciones del día a día. Sin embargo, comienza la temporada alta para los ciberdelincuentes, quienes no dudan en aprovechar esta época para incrementar y sofisticar sus ataques. La mayor actividad en línea debido a la reserva de viajes por internet, el incremento de las publicaciones en redes sociales y la relajación de las medidas de seguridad hacen del período vacacional el escenario perfecto para que los delincuentes informáticos «hagan su agosto».

En esta época del año, los ciberataques se incrementan alrededor de un 30%. El 61% de los delitos informáticos reportados en 2024 a compañías de la industria del ocio y el turismo sucedieron entre junio y agosto, según datos de Stöik, empresa especializada en riesgos cibernéticos. Pero los ciberdelincuentes no se olvidan de los usuarios de a pie, que en medio de la emoción de descubrir nuevos lugares y publicar nuestras experiencias en redes sociales, dejamos al descubierto información muy valiosa prácticamente sin darnos cuenta.

Por ello, y para que nada empañe el momento más esperado del año, te contamos los aspectos clave que debes tener en cuenta para mantener tu seguridad digital durante tus viajes:

1. Desconfía de los chollos

Uno de los ganchos más comunes son las ofertas de hoteles o vuelos de última hora a precios irresistibles. Antes de realizar una reserva, revisa si la plataforma tiene opiniones de otros usuarios y si muestra sus datos fiscales. Además, es importante cerciorarse de que la URL de la web empiece por «https://» y que tenga candado de seguridad así como que utilice pasarelas de pago seguras.

2. Evita compartir tu viaje en tiempo real

Subir fotos a tus redes sociales mientras estás de viaje puede parecer inofensivo pero, en realidad, estás revelando mucha más información de la que crees. Al indicar donde te encuentras exactamente, estás mostrando que tu vivienda probablemente se encuentre vacía, lo que puede convertirte en un blanco fácil para robos o fraudes.

Para minimizar estos riesgos, lo ideal es esperar a regresar para compartir tus fotos o limitar tus publicaciones a un círculo cercano de confianza. Recuerda desactivar la opción de geolocalización automática de las aplicaciones y redes sociales y los permisos de acceso a la ubicación de tu dispositivo.

3. Revisa la configuración de privacidad en redes sociales

Antes de hacer una publicación en redes, asegúrate de que tus perfiles estén configurados como privados. La mayoría de las redes sociales permiten personalizar la visibilidad de cada publicación, permitiéndote decidir si será pública, privada o solo accesible para un grupo de personas que previamente hayas seleccionado. Esto evitará que cualquier persona ajena a tu circulo social tenga visibilidad sobre tu vida privada.

4. Evita conectarte a redes WI-Fi públicas sin protección

Las redes Wi-Fi abiertas en aeropuertos, cafeterías u hoteles suelen ser «no cifradas», lo que significa que la información que envíes a través de ellas puede ser fácilmente interceptada por ciberdelincuentes. Si necesitas utilizar este tipo de redes, evita realizar actividades que involucren información sensible, como acceder a tu cuenta bancaria, hacer compras online o ingresar contraseñas importantes. Si es posible, utiliza una VPN (Red Privada Virtual) lo que te permitirá navegar por la red pública como si estuvieras conectado a una red privada, ocultando tu dirección IP y cifrando tu tráfico de internet.

5. Protege tus dispositivos con bloqueo automático y contraseñas seguras

Asegúrate de que todos tus dispositivos estén protegidos con contraseñas robustas o sistemas biométricos. Además, algunos dispositivos permiten habilitar la verificación de huella o rostro para autorizar pagos, lo que va a proporcionarte mayor protección en caso de un uso no autorizado.

Activa el bloqueo automático en caso de inactividad ajustándolo a lo más bajo posible (por ejemplo, 1 o 2 minutos) y evita dejar los dispositivos desatendidos en espacios públicos.

6. Cuidado con los cajeros automáticos

El acceso a efectivo y la posibilidad de realizar pagos con tarjeta son esenciales cuando viajamos. Sin embargo, el uso de cajeros automáticos o terminales de pago en lugares públicos presenta ciertos riesgos de seguridad que no debemos pasar por alto.

Los ciberdelincuentes pueden instalar dispositivos fraudulentos con el fin de clonar tus tarjetas o robar tu información personal para realizar compras no autorizadas. Por ello, siempre que sea posible, utiliza cajeros automáticos ubicados dentro de sucursales bancarias, evitando utilizar aquellos situados en calles poco transitadas o en áreas con poca vigilancia.

Antes de utilizar un cajero, recuerda siempre inspeccionar el equipo previamente en busca de cámaras ocultas o de los famosos skimmers, dispositivos instalados en la ranura en la que se inserta la tarjeta para copiar la información de la banda magnética. Al introducir el PIN, realiza una rápida inspección del entorno y cubre siempre el teclado con una mano.

En definitiva, aunque la tecnología ha facilitado nuestras vidas, también ha abierto la puerta a nuevos riesgos, especialmente cuando se trata de la seguridad de nuestros datos personales. Antes de comenzar las vacaciones, asegúrate de tomar las precauciones necesarias protegiendo tu información y tus dispositivos para que puedas centrarte en lo que realmente importa, disfrutar del momento.

Isabel Abad Ayala
Govertis, parte de Telefónica Tech