Trump contra Slaughter: El fin de los flujos de datos transatlánticos ?

El 30 de junio, la ONG Noyb, una espina clavada para los gigantes digitales y los reguladores, envió una carta a la Comisión Europea solicitándole que programara la salida del marco transatlántico de protección de datos (el Marco de Privacidad de Datos o DPF).

Según la ONG, Estados Unidos ya no garantiza ninguna supervisión independiente en materia de privacidad.

Si bien el presidente Trump ya había destituido a dos de los tres miembros de la "Junta de Supervisión de la Privacidad y las Libertades Civiles", un organismo de supervisión independiente creado por el Congreso en 2004, la Corte Suprema de los Estados Unidos sin duda acaba de asestar un golpe mortal al sistema de supervisión independiente estadounidense.

En un giro de 180 grados respecto a su jurisprudencia anterior, el Tribunal decidió el 29 de junio que la independencia de la Comisión Federal de Comercio (FTC) era inconstitucional.

El fallo del caso "Trump contra Slaughter" se enmarca dentro de una teoría "unitaria", según la cual el presidente debe ejercer poder sobre todos los órganos ejecutivos estadounidenses.

Según esta doctrina, las leyes estadounidenses que otorgan independencia a diversas agencias son, por lo tanto, inconstitucionales.

“Dado que la Unión Europea ha confiado en gran medida en la ’independencia« de la FTC como su organismo de control de la privacidad, toda la estructura del marco de protección de datos UE-EE. UU. simplemente se ha derrumbado.»

El presidente de Noyb, Max Schrems, añade que, dado que Estados Unidos sigue ejerciendo una presión considerable sobre la UE para que continúe el flujo de datos personales, su ONG también emprenderá acciones legales en las próximas semanas, con el objetivo de que el Tribunal de Justicia de la Unión Europea (TJUE) anule el acuerdo actual.

Por lo tanto, una sentencia tipo "Schrems III" podría completar la lista de logros del activista.

El diputado y miembro de la CNIL, Philippe Latombe, también envió una carta a la Comisión Europea solicitando la cancelación del tratado transatlántico e instando a las empresas francesas a implementar soluciones soberanas de gestión de datos.

Cabe recordar que la decisión de la Comisión Europea, que reconoce la adecuación del marco de protección establecido por Estados Unidos, permanece en vigor hasta que la Comisión o el Tribunal de Justicia de la Unión Europea la declaren inválida.

Por lo general, un procedimiento ante el Tribunal dura entre dos y tres años antes de que se llegue a una decisión final.

Sin embargo, la Comisión podría no esperar el resultado de dicho procedimiento: ya ha anunciado, en respuesta a preguntas de los medios de comunicación, que tiene la intención de analizar la validez de su decisión de adecuación dada la falta de independencia de la FTC.

La autoridad danesa de protección de datos indicó además en un comunicado del 1 de julio que la decisión del Tribunal Supremo de Estados Unidos podría tener repercusiones particularmente amplias, que afectarían no solo a las transferencias basadas en la Ley de Protección de Datos Personales (DPF), sino también a las transferencias realizadas a través de otras bases legales, por ejemplo, basadas en contratos estándar.

La autoridad anima a los responsables del tratamiento de datos a que revisen su evaluación del nivel de protección garantizado por el país receptor en el contexto de su evaluación del impacto de la transferencia.

Es particularmente importante verificar si aún se cumplen los requisitos previos para el control independiente por parte de las autoridades.

Para los responsables del tratamiento de datos y los delegados de protección de datos (DPD), esta noticia ofrece la oportunidad de actualizar su mapeo de transferencias de datos transatlánticas, incluidas las herramientas SaaS, en la nube o de IA, para reevaluar su base legal e identificar posibles alternativas cuando proceda.

En Francia

Tras una consulta pública, la CNIL publicó el 30 de junio sus recomendaciones sobre el uso por parte de los profesionales de los datos de localización de vehículos conectados (coches, bicicletas, patinetes, etc.).

Su objetivo es reforzar la seguridad jurídica y proporcionar mayor transparencia a los usuarios.

En una ficha informativa actualizada el 19 de junio, la CNIL reitera sus recomendaciones esenciales sobre el uso de la tecnología digital en los negocios.

El documento enumera 12 recomendaciones y anima a los responsables del tratamiento de datos a realizar un diagnóstico a través del sitio web del gobierno.

Asimismo, en una publicación fechada el 10 de junio, especifica las normas que deben seguirse en caso de comunicaciones electrónicas con clientes potenciales y clientes actuales.

El 3 de julio, la CNIL publicó los resultados de su encuesta destinada a analizar la evolución del papel de los DPO ante el desarrollo de la inteligencia artificial (IA).

Está interesada en la gobernanza de la IA en las organizaciones, los nuevos retos regulatorios relacionados con la articulación entre el RGPD y el reglamento europeo sobre IA, así como en las necesidades de los DPO en términos de habilidades, formación y herramientas.

Si bien el DPO sigue siendo un actor clave para garantizar la protección de los datos personales en los proyectos de IA, no se espera que gestione este cumplimiento por sí solo y aún no tiene un conocimiento exhaustivo de la normativa.

La CNIL tiene previsto adaptar sus recomendaciones y el apoyo que presta a los profesionales a estos nuevos retos y remite a las herramientas ya disponibles en su página web.

El martes 16 de junio, el Primer Ministro anunció en un vídeo publicado en las redes sociales una inversión pública adicional de 655 millones de euros a través del programa Francia 2030 con el fin de acelerar el desarrollo de la IA en Francia.

«"Uno de los anuncios más simbólicos concierne a la Dirección General de Seguridad Interior (DGSI), que pone fin a su colaboración con el gigante estadounidense de análisis de datos Palantir.".

Para sustituir esta tecnología extranjera, la DGSI eligió a la empresa francesa ChapsVision.

Esta preocupación se ha visto reforzada recientemente por la decisión del gobierno estadounidense de restringir el acceso a ciertos modelos avanzados de inteligencia artificial para ciudadanos extranjeros, en nombre de la seguridad nacional.

El gobierno también quiere acelerar la adopción de la IA en la administración.

Un asistente conversacional autónomo se irá implementando gradualmente para aproximadamente un millón de funcionarios públicos estatales.»

En relación con este mismo tema, las pruebas de un modelo de idioma chino en la Dirección General del Tesoro se interrumpieron el 23 de junio debido a respuestas "sesgadas" o tendenciosas.

El chatbot tenía como objetivo ayudar a los altos funcionarios en sus tareas diarias, incluido el procesamiento de datos confidenciales o sensibles.

El miércoles se instaló un nuevo modelo de la empresa emergente francesa Mistral AI.

A partir de 2027, la Agencia Nacional Francesa de Ciberseguridad (ANSSI) dejará de certificar productos de seguridad que no cuenten con mecanismos de cifrado resistentes a la computación cuántica.

Este requisito afectará especialmente a los productos destinados a sectores sensibles como la defensa, el armamento y las administraciones públicas.

Las empresas tienen hasta 2030 para adquirir únicamente soluciones denominadas "a prueba de computación cuántica".

Acelerar la transición a la criptografía postcuántica fue también un objetivo central del trabajo del subgrupo de ciberseguridad del G7, que se reunió bajo la presidencia francesa a principios de junio.

Las autoridades de protección de datos de los países del G7 también se reunieron en París los días 25 y 26 de junio por invitación de la CNIL, en el marco de la presidencia francesa del G7.

Adoptaron una declaración sobre mecanismos de verificación de edad que respeten la privacidad, así como un documento sobre el desarrollo de objetos conectados que respeten la privacidad de los menores.

En Europa

instituciones y organismos europeos

El 29 de junio, el Consejo de la UE dio su aprobación definitiva a la simplificación y racionalización de las normas de IA previstas en el Reglamento Ómnibus.

La aplicación de las normas relativas a los sistemas de alto riesgo se pospone hasta el 2 de diciembre de 2027 para los sistemas de IA de alto riesgo independientes y hasta el 2 de agosto de 2028 para los sistemas de IA de alto riesgo integrados en productos.

El texto añade una disposición a la normativa sobre inteligencia artificial que prohíbe las prácticas de IA relacionadas con la generación de contenido sexual e íntimo no consentido o pornografía infantil.

Los sistemas de inteligencia artificial que generen imágenes de personas reales desnudas o que eliminen la ropa de fotografías existentes para revelar partes íntimas también estarán prohibidos a partir de diciembre de 2026.

La nueva normativa aplaza hasta el 2 de agosto de 2027 el plazo para el establecimiento, por parte de las autoridades competentes a nivel nacional, de "entornos de pruebas" regulatorios dedicados a la IA, y reduce de 6 a 3 meses el período concedido a los proveedores para implementar soluciones de transparencia en relación con el contenido generado artificialmente, fijándose el nuevo plazo el 2 de diciembre de 2026.

Según un documento al que ha tenido acceso Politico, la presidenta del Parlamento Europeo, Roberta Metsola, está intentando aprobar una controvertida ley sobre el filtrado de contenido pornográfico infantil en línea (CSAM, por sus siglas en inglés), una ley que fue rechazada el pasado mes de marzo por su propia asamblea en sesión plenaria.

El presidente pidió a los Estados miembros reunidos en el Consejo que aprobaran un proyecto de ley que permitiría a las plataformas tecnológicas escanear voluntariamente sus servicios en busca de contenido de pornografía infantil, un tema que genera una intensa controversia: la policía, algunos defensores de los derechos del niño y varios comisarios europeos argumentan que la falta de legislación permite que los depredadores y pedófilos actúen con impunidad en Internet.

Mientras tanto, los defensores de la privacidad y los expertos en seguridad creen que estas propuestas podrían conducir a una vigilancia masiva inaceptable y al fin del cifrado.

El 18 de junio de 2026, el Tribunal de Justicia de la Unión Europea (TJUE) aclaró en su sentencia C-484/24 – NTH Haustechnik que los datos personales obtenidos ilícitamente no deben quedar automáticamente excluidos de los procedimientos judiciales.

Los tribunales podrán utilizarlas si resulta estrictamente necesario y proporcional al ejercicio de su misión, respetando los principios del RGPD, en particular la minimización de datos.

Sin embargo, esta posibilidad no convierte en lícita la recopilación inicial de información ni exime a su autor de posibles infracciones de las normas de protección de datos.

El Comité Europeo de Protección de Datos (CEPD) adoptó un modelo para la notificación de violaciones de datos el 10 de junio.

Este modelo está pensado principalmente para ser implementado por los APD mediante una herramienta informática.

El modelo está sujeto a consulta pública, ofreciendo así a las partes interesadas la oportunidad de compartir sus comentarios y opiniones sobre su contenido hasta el 5 de agosto.

A partir del 3 de agosto, Google utilizará las direcciones IP de los usuarios de internet ubicados en el Espacio Económico Europeo, el Reino Unido y Suiza para medir y personalizar los anuncios.

Si bien Google ya recopila estos datos por razones técnicas, su uso está evolucionando: ahora la dirección IP se puede utilizar para identificar dispositivos con fines de segmentación publicitaria.

Esta práctica, regulada por el RGPD, requerirá el consentimiento del usuario, que deberá integrarse en los mecanismos ya utilizados para gestionar las preferencias publicitarias y las cookies.

Noticias procedentes de los países miembros de la Unión Europea.

Las autoridades de protección de datos (APD) de Bélgica y España publicaron conjuntamente el 18 de junio recomendaciones y buenas prácticas para el sector de los videojuegos.

Esta colaboración surge de la necesidad identificada por las autoridades de regular un sector que involucra a más de 3 mil millones de usuarios en todo el mundo y que utiliza tecnologías intrusivas.

El documento analiza las actividades más comunes de procesamiento de datos personales en los videojuegos, identifica las amenazas y los riesgos que conllevan, y propone recomendaciones y buenas prácticas.

En Croacia, la APD multó a una agencia inmobiliaria por conservar datos de clientes más allá de la finalidad del tratamiento, almacenar copias de documentos de identidad y tarjetas bancarias sin base legal y proporcionar una formación insuficiente a sus empleados sobre el tratamiento de datos personales.

La Agencia Española de Protección de Datos (APD) publicó el 8 de junio unas directrices sobre el uso de cámaras en residencias de ancianos para conciliar la atención y la privacidad.

También multó a Vodafone España con 1.050.000 euros después de que un tercero lograra eludir los controles de seguridad para obtener una factura de un cliente que contenía una dirección de correo electrónico no autorizada y crear una segunda línea móvil registrada fraudulentamente a nombre del denunciante.

Finalmente, multó a CaixaBank con 500.000 euros por fallos sistémicos en la protección de datos, tras repetidas brechas de seguridad.

La autoridad solicitó específicamente al banco que mejorara sus capacidades de detección de infracciones y reforzara sus procedimientos para identificar a las personas y los datos involucrados en caso de un incidente.

La Autoridad Irlandesa de Protección de Datos (DPA, por sus siglas en inglés) ha multado al Servicio Ejecutivo de Salud (HSE, por sus siglas en inglés), el servicio público de salud, con 300.000 euros tras un ciberataque de ransomware ocurrido en 2018 que comprometió los datos personales de aproximadamente 84.000 pacientes.

La investigación concluyó que el HSE no había implementado medidas de seguridad técnicas y organizativas suficientes, no disponía de documentación que cumpliera con el RGPD y no había supervisado adecuadamente a sus subcontratistas.

Además de la multa, la DPC ordenó al HSE que reforzara de forma sostenible sus políticas y procedimientos de seguridad de datos.

La Autoridad Noruega de Protección de Datos (APD) ha impuesto una multa administrativa de 20 millones de coronas noruegas a Elkjøp, principalmente por la falta de consentimiento válido para el tratamiento de datos personales en el contexto de su programa de fidelización, evaluaciones insuficientes sobre nuevos fines del tratamiento y por no responder a las solicitudes de los interesados dentro de los plazos previstos por el RGPD.

Internacionalmente

En el Reino Unido, un agente de policía de Derbyshire está siendo investigado tras ser acusado de utilizar inteligencia artificial para fabricar pruebas en varios casos judiciales.

Las autoridades están revisando los archivos potencialmente relevantes, mientras que el oficial ha sido apartado de sus funciones operativas.

Este caso, que podría constituir un grave abuso de la justicia, se produce en un momento en que las fuerzas policiales británicas están aumentando el uso de la IA, reavivando el debate sobre los riesgos y la necesidad de una regulación estricta de estas tecnologías.

Recientemente, se ha solicitado a varios departamentos de policía que suspendan ciertos usos de la IA, en particular en la redacción de documentos para los tribunales, debido a errores de hecho.

En el Reino Unido, a partir del 19 de junio, las organizaciones sujetas a la legislación británica de protección de datos también están obligadas a establecer un procedimiento que permita a las personas físicas presentar reclamaciones relativas a sus datos personales.

Las personas interesadas deben dirigir primero su queja a la organización en cuestión antes de ponerse en contacto con la Oficina del Comisionado de Información.

En China, las Medidas Provisionales relativas a la gestión de los servicios interactivos antropomórficos basados en inteligencia artificial entrarán en vigor el 15 de julio.

Esta normativa rige el sector en rápida expansión de los compañeros virtuales basados en inteligencia artificial y los robots de apoyo emocional.

Los proveedores de estos servicios deberán, en particular, informar claramente a los usuarios de que están interactuando con una IA, establecer mecanismos para prevenir la dependencia emocional, detectar situaciones de angustia o riesgo, proteger a los menores y limitar su acceso a compañeros virtuales.

También deberán cumplir con los requisitos de gobernanza, como registrar sus algoritmos, realizar evaluaciones de seguridad en ciertos casos e implementar medidas de protección de datos y gestión de riesgos.

La Red Iberoamericana de Protección de Datos (RIPD) ha adoptado un documento de referencia destinado a reforzar las salvaguardias aplicables al tratamiento de "neurodatos", que proceden de tecnologías capaces de medir o inferir la actividad cerebral.

El texto recomienda una mayor protección de estos datos, una mayor transparencia en su uso y funcionamiento, así como restricciones, o incluso prohibiciones, para ciertos usos considerados incompatibles con los derechos fundamentales, en particular cuando tienen como objetivo manipular el comportamiento o explotar a personas vulnerables.

Anthropic ha desactivado sus dos modelos de IA más potentes.

Alegando motivos de "seguridad nacional", Washington exigió que la empresa emergente estadounidense especializada en inteligencia artificial limitara el acceso a Claude Fable 5 y Mythos 5 únicamente a ciudadanos estadounidenses.

Según Anthropic, esta solicitud es imposible de implementar. El 22 de mayo, Anthropic anunció su proyecto Glasswing, afirmando que su modelo de IA de ciberseguridad, Mythos, había identificado más de 10 000 vulnerabilidades en software y proyectos de código abierto ampliamente utilizados.