El Consejo de Transparencia de Andalucía ha resuelto que el Ayuntamiento de Marbella, que impuso a su personal un sistema de control horario basado en la recolección de su huella dactilar y el escaneo de sus rasgos faciales y les obligó a instalar una app de geolocalización, ha vulnerado de forma “muy grave” los principios básicos que rigen el tratamiento de datos biométricos.

El Consejo, que detecta hasta seis infracciones del Reglamento de Protección de Datos (dos muy graves, dos graves y dos leves), confirma así de manera definitiva la suspensión provisional de este sistema de fichaje que ya ordenó hace año y medio. El Consistorio no ha recurrido la resolución, que constata que el sistema era ilegal, pero no impone multa ni le apercibe.

Marbella tuvo en vigor este sistema durante tres años, pero ha tenido que sustituirlo ya por un sistema de tarjetas de radiofrecuencia. En su día pagó 171.000 euros por las herramientas para aplicar el reconocimiento de huellas, a pesar de las advertencias de algunos sindicatos, que sí lograron paralizar el sistema en municipios vecinos como Estepona.

En Marbella fue diferente. En diciembre de 2022, el Consistorio gobernado por Ángeles Muñoz (PP) empezó a comunicar a todos sus empleados, unos 3.600, que debían registrar sus datos biométricos para fichar. Algunos se negaron. Ante su resistencia a entregar su huella o sus rasgos faciales, incluso abrió varios expedientes disciplinarios por una posible falta grave, con advertencia de suspensión de empleo y sueldo durante tres años, que finalmente resolvió con apercibimientos.

El tratamiento de datos biométricos está prohibido de forma genérica, salvo que sea estrictamente necesario para cumplir obligaciones laborales, y siempre que lo autorice un convenio colectivo o el derecho europeo. No es el caso. Marbella siguió adelante con su sistema, aunque la Agencia Española de Protección de Datos ya había dejado claro que estos sistemas son contrarios a la normativa.

La resistencia de alguno de esos trabajadores y sindicatos desembocó en varios recursos y denuncias en vía administrativa y judicial. Cuando Transparencia inició la investigación que ahora concluye, en enero de 2025, el Consistorio suspendió abruptamente el sistema, en el que había invertido 171.000 euros.

Tres resoluciones judiciales en contra

Además de esta resolución de Transparencia, existen al menos tres resoluciones judiciales que han ordenado al Consistorio que suprima los datos personales recabados forzosamente de tres trabajadores, con condena en costas. La primera de esas resoluciones es la sentencia que adelantó este medio en julio de 2025, y en los otros dos casos el Ayuntamiento se ha allanado a lo que se le pedía el día anterior al juicio. Además, hay otros tres juicios señalados por demandas similares interpuestas por el sindicato policial SEALS.

Sin embargo, y pese a las resoluciones tanto de los juzgados como del Consejo de Transparencia, el Ayuntamiento sigue resistiéndose a emitir un Decreto que revoque su decisión inicial o que proceda al borrado generalizado de los datos. El Ayuntamiento ha esgrimido ante los jueces que es suficiente con un certificado de la empresa gestora del sistema de que ha borrado los datos del trabajador que ha reclamado.

“Si Transparencia ha determinado que la toma de datos biométricos ha sido irregular y ha encontrado seis faltas, ¿no debería proceder al borrado de todos los datos biométricos obtenidos irregularmente?”, reclama José Montesinos, secretario general del sindicato. En respuesta a este medio, desde el Consistorio oponen que la resolución de Transparencia no ordena la “supresión” de los datos biométricos, sino la “suspensión” (ahora ya definitiva) de su uso.

Sin evaluación de impacto ni información a los afectados

La denuncia que origina ahora la resolución de Transparencia fue interpuesta por SEALS, que dio la voz de alerta al máximo órgano andaluz para la protección de datos: se habían tomado fotografías de trabajadores de la cara de los trabajadores para establecer un control horario en el Ayuntamiento basado en el reconocimiento de sus rasgos faciales, sin que muchos de ellos dieran su consentimiento; además, el Consistorio obligaba a muchos empleados a instalar en sus móviles una aplicación que registrase su ubicación en cada momento.

El Ayuntamiento de Marbella esgrimió entonces que recopilar las huellas dactilares y los rasgos faciales de sus empleados era la única forma de garantizar el registro diario de su jornada laboral, y razonaba que estaba amparado por su propio reglamento municipal, que establece la “estricta observancia” de la obligación de fichar y que el control de la asistencia, puntualidad y permanencia se llevará a cabo mediante “sistemas mecanizados, relojes, o cualquier otro medio”.

En cuanto a la app, el Consistorio ha defendido siempre que ni empleaba datos biométricos ni se la podía calificar de herramienta de “geolocalización” porque no permitía el rastreo o seguimiento de sus empleados, sino que solo los ubicaba cuando fichaban y si estaban en su ruta.

Transparencia no ha comprado estos argumentos, y ha constatado que Marbella recabó los datos desde septiembre de 2022, hizo obligatorio el sistema biométrico en febrero de 2023 y lo mantuvo hasta marzo de 2025.

Se trata de datos personales especialmente protegidos, pero el Ayuntamiento los recopiló sin la necesaria evaluación de impacto, que sólo realizó siete meses después y sin el contenido mínimo. Por ejemplo, no explicaba por qué no se optaba por algún sistema alternativo de fichaje (como tarjetas o códigos personales), ni contenía una evaluación de riesgos, algo especialmente importante por la asimetría de poder entre empleado y empleador y por la importante afectación a la intimidad que supone disponer de datos biométricos. El Consistorio ni siquiera informó correctamente a sus trabajadores: despachó el asunto con una mera nota informativa en el portal del empleado.

Con esos datos, implantó un sistema de control horario mediante una aplicación que los trabajadores de algunos servicios municipales deben instalar en sus dispositivos móviles, ya sean corporativos o particulares, que recaba datos de geolocalización en el momento del fichaje y continúa utilizándose. Tampoco para esto realizó la necesaria evaluación de impacto, ni informó a sus empleados, tal y como marca el Reglamento de Protección de Datos.

Las resoluciones judiciales y la decisión de Transparencia ponen fin a la controversia, aunque el Ayuntamiento insiste en que no está obligado a borrar los datos recabados irregularmente, y está por ver el destino de la app de geolocalización, a la que Transparencia deja la puerta entreabierta si supera una evaluación de impacto y se informa a los afectados.

El hackeo de Séneca, el sistema informático que contiene los datos de alumnos y profesores de Andalucía, tuvo su origen en el descuido de un usuario. Mientras concluye la investigación, el Gobierno andaluz reconoce que “realmente no sabemos cuál es el alcance” de este incidente de seguridad.

Así lo ha apuntado este miércoles en Málaga el consejero de Inteligencia Artificial, Desarrollo Digital y Administración Pública, José Antonio Nieto, que ha asegurado que toda la información “muy exhaustiva” que ha desarrollado el Centro de Ciberseguridad de Andalucía (CIAN) apunta a “un descuido a través de una entrada en un ordenador personal de un usuario de esa red Séneca”. El incidente de seguridad detectado hace unos días podría haber comprometido la confidencialidad de ciertos datos de usuarios del sistema.

Según ha indicado, “muchas veces un descuido sin mala intención de un profesional le abre una brecha en la seguridad y hace que estas personas que se dedican profesionalmente a atacar a la Administración pública en especial, pero también a las empresas, pues encuentran esa brecha y la aprovechan para hacer daño”.

Mejorar la formación

Por eso, ha incidido en “la formación, en desarrollar capacidades de autodefensa en todos los usuarios”, ya que “el no tener un descuido no se puede garantizar, pero pedir la máxima atención sí es nuestra obligación y lo queremos hacer en este momento”. “En un dispositivo no segurizado, en el que no está dentro de la red de garantía que tiene la Agencia Digital de Andalucía (ADA), es mucho más fácil para quienes quieran hacernos daño entrar a través de cualquier tipo de dispositivo o de malware que puede hacer daño, hacer vulnerable el sistema y que esa brecha le permita obtener determinados datos que perjudican a un colectivo mucho más amplio”, ha señalado.

Nieto ha asegurado que se está trabajando en este caso, ya se han puesto en marcha distintas acciones, en coordinación con la Policía Nacional y con el Centro Criptológico Nacional (CCN), “y confiamos, como siempre, en que cuando se cometa un delito, si se puede, no solo se detecte, sino que se detenga, que en la medida de lo posible aprendamos de ese ataque y seamos capaces de evitarlo en el futuro”.

Seguir las medidas de seguridad

Y, además, ha instado a crear “conciencia en todo el colectivo para que nos demos cuenta de que alguna acción tan simple como bajar un correo o entrar para ver si nos han dejado alguna información, si no lo hacemos de la forma adecuada y con la garantía adecuada, nos puede crear un problema no sólo a ese usuario, sino a un colectivo mucho más amplio”.

Nieto ha indicado que le corresponde a la Policía Nacional perseguir el delito y la identificación de los autores, aunque ha asegurado que sí se ha pedido a todos los usuarios que cambien la contraseña, que refuercen su seguridad y que intenten seguir las medidas que le ha aconsejado la ADA ahora “para evitar mayor alcance, pero sobre todo en el futuro para evitar que haya otros ataques que puedan hacer daño”.

La Agencia Española de Protección de Datos (AEPD) ha incoado una sanción de 7.000 euros al semanario La Directa a raíz de los reportajes de investigación en los que se desvelaba que hasta seis diferentes agentes de la Policía Nacional se habían infiltrado en movimientos sociales independentistas, por el derecho a la vivienda u organizaciones vecinales, en ciudades como Barcelona, Girona o València.

Según ha informado el medio de comunicación sancionado durante una rueda de prensa, el organismo que vela por las dadas personales ha abierto un expediente a petición de cuatro de los policías que fueron descubiertos durante su infiltración. El procedimiento sancionador, al que ahora La Directa presentará alegaciones, parte de una denuncia que fue inicialmente desestimada pero que después se aceptó tras formular recursos los policías.

La AEPD reclama además que La Directa borre cualquier imagen de los policías, también aquellas en las que no se les puede reconocer, y elementos identificativos como tatuajes o marcas, lo que supondría eliminar los elementos centrales de hasta una decena de los artículos publicados por el medio.

La resolución exige incluso la eliminación de las identidades falsas bajo las que se infiltraron los agentes. Una forma de “censura”, en palabras del miembro de La Directa, Jesús Rodríguez, que entiende que el organismo “contra el mensajero” por fiscalizar al poder.

“Lo que está en juego no es solo la posibilidad de hacer periodismo en la redacción de La Directa. El conjunto de la sociedad no puede permitir que se amordace la democracia y que se destrocen las libertades públicas”, ha indicado Rodriguez.

Desdee La Directa consideran “revelador” que la unica investigación abierta desde organismos del Estado a raíz de sus publicaciones haya sido a petición de los policías infiltrados y “para criminalizar el medio de comunicación que lo destapó”.

Rodriguez ha comparado el caso de infiltraciones de la Policía Nacional con uno análogo ocurrido en el Reino Unido, que también fue destapado por los medios de comunicación y que generó un gran escándalo político. “En estos momentos en las páginas de The Guardian o la BBC continúan apareciendo las identidades reales de los policías descubiertos, hubo una condena penal y el Gobierno pidió disculpas por un caso que nunca debió ocurrir”, ha ilustrado para comparar con su caso.

Junto a Rodríguez ha participado en la rueda de presa Sònia Olivella, del centro Iridia, quien ha considerado que la difusión de ciertos datos personales está perfectamente justificada por la relevancia informativa de los reportajes. “¿Cómo se puede demostrar si no una infiltración policial que el Gobierno niega?”, se ha preguntado Olivella. Las alegaciones que formularán, ha asegurado, remarcarán la prevalencia del derecho a la información.

Otra de las cuestiones en las que Iridia incidirá para defender al medio de comunicación es que los policías no actuaban como agentes encubiertos en el curso de una investigación judicial, sino como agentes de inteligencia sin otra misión concreta que reportar información sobre movimientos sociales a la Comisaría de Información.

La Directa comenzó con estas investigaciones a raíz de un primer caso, de un militante en la entidad vecinal por el derecho a la vivienda Resistim al Gòtic que fue descubierto por sus compañeros. A partir de entonces, entre los años 2022 y 2025, el medio publicó una decena de reportajes en los que desenmascaraba a hasta 5 agentes de policía más, todos ellos trabajando bajo identidades falsas fuera del control judicial.

La Junta de Andalucía ha denunciado a la Policía Nacional un posible hackeo que podría haber afectado al sistema de información de la Consejería de Educación, Séneca, en donde se contienen los datos personales de alumnado y profesorado de la comunidad. Un hecho que ya investiga el Centro de Ciberseguridad de la Junta y que, también, se ha comunicado a la autoridad competente en protección de datos.

La Junta traslada en un comunicado remitido este sábado que se ha detectado un posible acceso no autorizado al identificador de usuario IdEA de algunos profesores, por lo que se podría haber accedido a sus cuentas y, por tanto, a ciertos datos de carácter confidencial.

Entre las hipótesis, se baraja que podría haber sido un ataque con un malware al ordenador de un usuario. Una vez detectado este falla, el Sistema de Gestión de Seguridad de la Información ha activado el protocolo de coordinación con la Agencia Digital de Andalucía (ADA), en estrecha colaboración con el Centro Criptológico Nacional (CNN).

Continúa el funcionamiento de 'Séneca'

Como medida preventiva, se han generado nuevas contraseñas para todos los profesionales usuarios en Séneca y prevenir así posibles accesos ilegítimos o intentos de suplantación de identidad. También, la Junta traslada que se está realizando un seguimiento continuo de los sistemas para detectar cualquier actividad sospechosa. Mientras, la plataforma Séneca sigue funcionando “con total normalidad y puede seguir utilizándose por sus usuarios”.

Asimismo, la Junta recomienda cambiar todas las claves de cuentas almacenadas en gestores de contraseñas vinculadas al usuario IdEA, “cuyo uso debe limitarse a fines educativos”. A ello, ha añadido que “es aconsejable extremar la precaución” cuando se acceda a estas aplicaciones desde fuera del entorno de la Red Corporativa de la Junta de Andalucía con una red abierta y equipos personales.

Meta ha anunciado que va a retirar una función de IA que permitía a los usuarios manipular las imágenes públicas de otros usuarios de Instagram, tras recibir una avalancha de críticas tanto de expertos, organizaciones de la sociedad civil como sindicatos de artistas y de los propios miembros de la plataforma.

“Nuestra intención era ofrecer una herramienta creativa útil y dar a las personas control sobre si su contenido público podía utilizarse de esta manera. Hemos escuchado las críticas de que esta función no cumplía ese objetivo, por lo que ya no está disponible”, ha expresado la corporación de redes sociales, propietaria también de Facebook y WhatsApp, en un comunicado.

Meta lanzó el pasado martes “Muse Image”, el primer modelo de generación de imágenes creado por su nuevo “Laboratorio de Superinteligencia”, un equipo en el que ha invertido decenas de miles de millones de dólares. Su intención es que el modelo estuviera profundamente integrado en Instagram, por lo que iba a permitir que cualquier usuario manipulara las imágenes publicadas por los perfiles públicos de la plataforma.

Esas fotografías alteradas podrían luego publicarse en Instagram sin que su autor original tuviera que dar permiso para ello recibiera ningún tipo de notificación, puesto que la opción venía activada por defecto. Este diseño, y el potencial impacto en la privacidad de los usuarios generaron en seguida una oleada de críticas contra Muse Image. Expertos en protección de datos avisaron en conversación con elDiario.es que la herramienta violaba incluso las leyes europeas.

SAG-AFTRA, el mayor sindicato de actores de Hollywood, afirmó en un comunicado “cualquier cosa que no sea una aceptación clara y evidente de este tipo de usos de las imágenes de los usuarios de Instagram es inaceptable, y supone un error de cálculo absoluto de la opinión pública respecto a los peligros y daños evidentes inherentes a dicho uso”. Muchos actores y actrices reconocidos alertaron a sus seguidores de esta nueva función a través de Instagram y explicaron como desactivarla.

“Ningún nombre, imagen, apariencia, voz ni obra creativa de ninguna persona debería ser utilizada por terceros, incluidos los modelos de inteligencia artificial, sin un consentimiento claro y documentado”, coincidía la Creative Artists Agency, una de las mayores agencias de representación de talento del mundo.

Por el momento, Meta no ha hecho más comunicados al respecto sobre sus para su nuevo generador de imágenes. Su desactivación, no obstante, recuerda a lo sucedido con el generador de imágenes de Grok, la IA de X, que también tuvo que ser desactivada en apenas unos días por la red social de Elon Musk. La gran diferencia en aquel caso fue que en ese corto período de tiempo la herramienta desencadenó uno de los mayores ataques machistas de la historia vividos en estas plataformas, con más de tres millones de imágenes sexualizadas de mujeres creadas sin su permiso, incluidas las de unos 23.000 menores de edad.

Imagínate que para abrir la puerta de tu casa, encender la luz o mirar tu cuenta del banco dependieras siempre de un vecino que vive en el otro extremo del mundo. Y que, además, ese vecino pudiera cambiar la cerradura o subirte el precio sin previo aviso. Pues eso, a gran escala, es lo que nos pasa hoy con la tecnología.

Cuando hablamos de Soberanía Digital, no estamos hablando de informática abstracta; hablamos de algo tan básico como la independencia y la libertad. Es la capacidad que tenemos como ciudadanos, como empresas y como país para decidir nuestro propio camino en el mundo digital. Significa tener el control real sobre nuestros datos, saber dónde se guardan, para qué se usan y, sobre todo, asegurarnos de que las autopistas e infraestructuras por las que circula nuestra vida digital (desde los hospitales hasta la educación de nuestros hijos) sean nuestras o, al menos, funcionen bajo nuestras propias reglas del juego. En resumen: soberanía digital es que las decisiones importantes sobre nuestra vida digital se tomen en nuestros parlamentos, bajo nuestros parámetros y no en los despachos de cuatro multinacionales al otro lado del océano.

La soberanía digital no consiste en controlar la tecnología por orgullo; consiste en evitar que la tecnología tome las decisiones por nosotros.

Qué no es la soberanía digital

Muchas veces, cuando se habla de 'soberanía', algunos se asustan pensando en fronteras, aranceles o en volver al pasado. Por eso es vital aclarar qué no es la soberanía digital. No estamos hablando de levantar un muro en internet, de aislarnos del resto del planeta ni de una especie de nacionalismo tecnológico, ni de tecnofobia. Tampoco va de prohibir aplicaciones extranjeras porque sí.

En un mundo hiperconectado, no se trata de ser autosuficiente al 100% (eso es imposible), sino de evitar la sumisión. No podemos protegernos de lo que no vemos; por eso, la soberanía digital empieza por hacer una radiografía clara de nuestro entorno, identificando exactamente cuáles son nuestras dependencias tecnológicas para, a partir de ahí, poder tomar decisiones plenamente informadas. No es lo mismo cooperar con otros países y empresas desde una posición de fortaleza y conocimiento, que depender de ellos porque no tenemos otra alternativa. La soberanía digital no es proteccionismo ciego; es, simplemente, tener los ojos abiertos, un plan B y la capacidad de decir “no” cuando las condiciones no nos convienen.

No se trata de rechazar la tecnología extranjera por desconfianza, sino de tener alternativas propias por responsabilidad

¿Y por qué nos ha entrado la prisa de repente?

No es un capricho ni una moda pasajera. Estamos viviendo un cambio de época que nos ha obligado a abrir los ojos. Durante años vivimos en un mundo idílico donde pensábamos que lo mejor era comprar siempre lo más barato, sin importar su procedencia. Pero la realidad nos ha devuelto a la tierra: hemos descubierto que si las fábricas están al otro lado del mundo y hay una crisis, nos quedamos sin nada.

Hoy, la tecnología ya no es solo una herramienta para trabajar; es el mando a distancia del poder mundial. Quien controla el chip y el algoritmo, controla la economía. Y hay algo más preocupante: estamos permitiendo un desequilibrio peligroso donde las decisiones que afectan a tu privacidad o a tus derechos las toma un directivo en Silicon Valley antes que un representante en l Congreso. Por último, esa dinámica tradicional de “dame tus datos a cambio de un servicio gratis”, ha caducado. Ya no nos fiamos.

La ciudadanía y las empresas se han cansado de ser el producto y quieren volver a ser los dueños. El momento de recuperar el control es ahora, porque mañana será tarde.

Nos hemos cansado de ser la mercancía en el mercado digital de otros. El momento de recuperar las riendas y ejercer una soberanía real es ahora.

Las cuatro vertientes fundamentales: ¿cómo se materializa esta autonomía?

Para que esta independencia sea real y no se quede en un discurso bonito, tenemos que trabajar en cuatro frentes a la vez. Es como construir una casa: de nada sirve tener una puerta blindada si no tienes tejado o si el suelo se hunde.

Humanismo digital y “tecnología verde”: La tecnología debe estar al servicio de las personas, y no al revés. Esto significa que una aplicación del banco o una gestión con el Ayuntamiento no puede ser un laberinto que profundice en la brecha digital de la ciudadanía.Pero también significa que tiene que ser sostenible. De nada sirve proteger nuestros datos si los centros de datos donde se guardan devoran la energía de nuestros campos y ríos sin control. La soberanía digital tiene que ser humana y tiene que ser respetuosa con el planeta.

Soberanía industrial: del átomo al bit: A veces olvidamos que 'la nube' no es algo etéreo; son cables, antenas y, sobre todo, microchips. Europa no puede limitarse a ser un continente que solo consume la tecnología que fabrican otros. Si no tenemos voz ni voto en cómo se fabrican los chips (el hardware) o los componentes básicos de los ordenadores, nuestra independencia es puramente ilusoria. Tenemos que recuperar el control desde el átomo (el material físico) hasta el bit (la información).

Inteligencia Artificial de confianza: hasta ahora, Europa ha sido el 'árbitro' que pone las reglas y las multas. Está bien, pero es hora de saltar al campo a jugar. Si los modelos de IA que deciden cosas importantes sobre nuestra vida se entrenan en EE.UU. o China, responderán a sus valores y a sus lenguas, no a las nuestras. Necesitamos una IA propia, transparente, que hable nuestro idioma y que se aloje en supercomputadores públicos (como el MareNostrum 5 en Barcelona). Hay que pasar de regular la IA a crear nuestra propia IA en la que podamos confiar.

El mundo de los datos: Ni silos ni jaulas: Los datos son la gasolina de la economía actual, pero hoy están encerrados en los almacenes gigantes de unas pocas multinacionales. Soberanía es crear “espacios de datos” donde empresas, instituciones y ciudadanos podamos compartir información de forma segura. La clave es que una pyme española pueda usar sus datos para mejorar, pero siendo siempre la dueña de esa información, sin que un gigante tecnológico se quede con el control por el camino.

La soberanía digital no se sostiene sobre un único pilar aislado; es un engranaje donde el humanismo, las infraestructuras, los datos y la inteligencia artificial deben avanzar al mismo ritmo.

De la teoría a la práctica: ¿por dónde empezamos?

Todo esto suena muy bien sobre el papel, pero la soberanía digital no se consigue con declaraciones de intenciones o discursos políticos; se consigue trabajando día a día. Y la buena noticia es que no partimos de cero. En España tenemos el talento, las empresas y las herramientas necesarias, aunque a veces a la administración le dé por bautizar los proyectos con nombres que parecen contraseñas de Wi-Fi.

Para empezar, hay que fabricar y financiar la base física y de inteligencia. Ahí están el PERTE Chip (para que los microchips se piensen y se hagan aquí) o proyectos europeos con siglas imposibles como el IPCEI-CIS (para servicios en la nube de última generación) o el IPCEI-AI (para impulsar la Inteligencia Artificial). Además, hemos sido pioneros a nivel mundial creando la AESIA (la Agencia Española de Supervisión de la IA) y lanzando un Sandbox regulatorio, que no es un parque de arena para niños, sino un espacio seguro y controlado para que las empresas prueben sus tecnologías antes de lanzarlas al mercado.

El segundo paso es conectar todo este ecosistema. Contamos con iniciativas potentes como BAIDATA y Gaia-X España para vertebrar la economía del dato, o INDESIA para meter de lleno a nuestra industria en la era de la IA. Y no hace falta mirar siempre a los gigantes americanos: aquí tenemos referentes locales abriendo camino. Desde grandes alianzas como el proyecto EURO-3C de Telefónica, hasta referentes en tecnologías abiertas y almacenamiento como OpenNebula Systems o Arsys, pasando por los donostiarras de Multiverse Computing, que están liderando la revolución de la computación cuántica a nivel internacional y demostrando que el futuro del software más estratégico y avanzado del planeta también se escribe desde aquí.

Por último, tenemos que ser realistas con nuestra economía: el 99% de las empresas en Europa son pymes. Aunque la innovación muchas veces ocurre primero en las grandes corporaciones, la soberanía digital no se materializará de verdad hasta que consigamos incluir a las pequeñas empresas y a los autónomos, que son el verdadero motor del país.

Por eso, los movimientos de la administración central son muy importantes, pero no bastan; necesitan el impulso de las administraciones regionales y locales, que son las que están pegadas al terreno. Ejemplos de manual son la Oficina del Dato de Castilla-La Mancha o la plataforma pública SEDIPUALBA, que demuestran cómo se puede acercar la gobernanza inteligente, la eficiencia y el control de la información a la realidad del tejido local.

Una estrategia tecnológica sólo es soberana si es capilar. De nada sirven las grandes infraestructuras si no somos capaces de ramificar ese control y esa autonomía hasta el último rincón de nuestro tejido económico.

Una responsabilidad común

La soberanía digital no es algo que podamos comprar llave en mano, ni un paquete que vaya a llegar ya hecho y empaquetado desde Bruselas. Europa puede marcar el camino y poner parte de los fondos, pero la tarea de construir nuestra autonomía nos toca a nosotros, aquí y ahora. Nos jugamos demasiado: nos jugamos el control de nuestra economía, la privacidad de nuestros hijos y la capacidad de decidir nuestro propio futuro como sociedad.

Este es un esfuerzo conjunto que no entiende de colores políticos. Si la sanidad, las pensiones o la defensa nacional se consideran pilares de nuestro bienestar, la infraestructura digital que sostiene todo lo anterior debe tratarse con la misma altura de miras. Es un asunto lo suficientemente crítico como para dejarlo totalmente al margen de intereses electoralistas, de la pelea del día a día y del ruido de las campañas.

Ha llegado el momento de madurar y sentar las bases de un gran acuerdo que trascienda legislaturas. Necesitamos, con urgencia, un Pacto de Estado por la Soberanía Digital. Un compromiso firme entre partidos, empresas, universidades y ciudadanos para que, gobierne quien gobierne, España deje de ser el árbitro que mira el partido desde la banda y salte al terreno de juego a liderar su propio destino técnico.

La soberanía no es un permiso que se pide; es una capacidad que se construye. Y tenemos que empezar a construirla juntos hoy mismo.

El Gobierno de Juan Manuel Moreno ha vulnerado durante los últimos seis años la normativa de protección de datos al facilitar información personal de más de 525.000 alumnos —la mayoría menores de edad— y alrededor de 74.000 docentes al gigante tecnológico Microsoft, en el marco del convenio suscrito con la Junta en 2020 para el uso de herramientas digitales en el sistema educativo público andaluz.

Así lo concluye el expediente sancionador del Consejo de Transparencia y Protección de Datos de Andalucía, adelantado por El País y consultado por este periódico, en el que se atribuyen a la Consejería de Desarrollo Educativo y Formación Profesional seis infracciones de la normativa: dos muy graves, tres graves y una leve.

El organismo de control ha dado de plazo hasta el 31 de julio para que la Junta implante un plan de acción que subsane las deficiencias detectadas en el convenio y reduzca el “elevado riesgo” que, a su juicio, supone el tratamiento de datos personales de alumnado y profesorado mediante los servicios en la nube de Microsoft, entre ellos Outlook, Word, Excel, PowerPoint, OneDrive o Teams.

Fuentes de la Consejería sostienen que “en ningún momento ha habido una brecha de datos, ni se ha vulnerado la privacidad o el derecho a la intimidad de los estudiantes ni del profesorado andaluz” y garantizan que “no ha existido vulneración de la protección de los datos de los miembros de la comunidad educativa de Andalucía”.

Un nuevo expediente tras el caso Google

La resolución se conoce apenas dos años después de que el mismo organismo apercibiera a la Junta por un convenio similar suscrito con Google. En aquel caso, la administración andaluza también fue sancionada por vulnerar la normativa de protección de datos en el tratamiento de la información de 738.502 alumnos, 43.202 docentes y 2.676 centros educativos públicos.

Igual que en el convenio de Microsoft, el Consejo de Transparencia también identificó varias infracciones graves y muy graves relacionadas con el uso de Google Workspace for Education (antes G Suite), entre ellas no informar adecuadamente al alumnado, a sus familias y al profesorado sobre el tratamiento de sus datos personales.

Entonces, el Consejo ordenó igualmente la implantación de un plan de acción y de medidas correctoras antes del 31 de julio de 2025. Tras analizar la documentación remitida por la Consejería para acreditar su cumplimiento, el organismo elaboró en 2026 tres informes de seguimiento en los que da por cumplidas algunas de las exigencias, mientras que otras deberán seguir siendo objeto de supervisión al considerar que la administración educativa aún debe introducir “ajustes” en la Evaluación de Impacto en Protección de Datos (EIPD) y mejorar la “coherencia documental” para alcanzar “el nivel de rigor exigido” por la normativa, según el expediente al que ha tenido acceso este periódico.

Sin consentimiento previo

El origen del procedimiento se remonta a la denuncia presentada por un docente, que alertó de varias irregularidades en el convenio firmado en noviembre de 2020 entre Microsoft y la entonces denominada Consejería de Educación y Deporte, dirigida por el ya fallecido Javier Imbroda.

Según expuso el denunciante, el alta del alumnado y del profesorado en la plataforma se realizaba de forma automática a partir de los usuarios del sistema Séneca, sin solicitar previamente el consentimiento de los interesados o, en el caso de menores de 14 años, de sus representantes legales. De este modo, la administración facilitaba a Microsoft datos como las credenciales IdEA (Identificador Educativo Andaluz), nombre y apellidos, rol de alumno o docente y el código del centro educativo, “sin consentimiento previo”.

El denunciante también advertía de que, en el caso del profesorado, esas credenciales estaban vinculadas al acceso a sistemas con abundante información laboral y administrativa e incluso a datos especialmente protegidos relacionados con el alumnado, lo que, a su juicio, entrañaba “un riesgo muy elevado” dadas las capacidades tecnológicas de la multinacional estadounidense.

El Consejo admitió a trámite la reclamación en diciembre de 2023 y un año después inició el procedimiento sancionador contra la Dirección General de Innovación y Formación del Profesorado de la Consejería de Desarrollo Educativo, tras acreditar la comisión de varias infracciones.

Seis incumplimientos acreditados

La resolución considera acreditadas seis infracciones de la normativa europea de protección de datos. Entre las más graves figura “la omisión del deber de informar adecuadamente” al alumnado, a sus familias y al profesorado sobre el tratamiento de sus datos personales, así como la realización de transferencias internacionales de datos a terceros sin acreditar el cumplimiento de las garantías, requisitos o excepciones previstos en el Reglamento General de Protección de Datos.

El Consejo también concluye que la Consejería no adoptó medidas técnicas y organizativas suficientes para “limitar el elevado riesgo” de que los usuarios incorporaran “categorías especiales de datos” a los servicios educativos en la nube. Asimismo, reprocha a la administración autonómica la ausencia de protocolos claros sobre qué fotografías y contenidos audiovisuales podían almacenarse en estas plataformas y cuáles debían quedar excluidos.

La resolución acredita además que la administración educativa inició el tratamiento masivo de datos sin realizar previamente la obligatoria Evaluación de Impacto en Protección de Datos (EIPD), pese a afectar 525.743 miembros del alumnado y 73.937 del profesorado y empleados, pertenecientes a 1.048 centros educativos, según los datos recogidos en el expediente.

Frente a estas conclusiones, la Consejería de Desarrollo Educativo sostiene que “tanto Google como Microsoft nunca han tenido acceso a las contraseñas ni han podido utilizar los datos para fines comerciales”. En un comunicado, el departamento que dirige Carmen Castillo insiste en que “en ningún momento ha habido brecha de datos, ni se ha roto la privacidad o el derecho a la intimidad de los estudiantes ni del profesorado andaluz”.

Sin multa para no perjudicar el sistema educativo

Respecto al expediente sancionador, desde la Consejería de Desarrollo Educativo se explica que el Consejo de Transparencia ha considerado “la necesidad de establecer medidas más claras sobre la formación del profesorado y la información a los usuarios sobre la creación de las cuentas y del tratamiento de sus datos”. En ese sentido, el departamento asegura que ya ha elaborado un plan de acción que incorpora medidas técnicas y organizativas para “minimizar el riesgo” de que los usuarios introduzcan categorías especiales de datos en los servicios educativos en la nube.

En las alegaciones incorporadas al expediente, la Junta reconoce que no realizó la preceptiva Evaluación de Impacto antes de la firma del convenio con Microsoft en 2020, aunque sostiene que esa carencia ya está siendo subsanada y que dicho informe será el “paso previo e indispensable” para la redacción del nuevo convenio. Sobre el resto de medidas recogidas en el plan de acción, la Consejería señala que serán presentadas antes del 31 de enero de 2027.

La Consejería también defiende que actualmente no dispone de una alternativa tecnológica propia con prestaciones equiparables a las ofrecidas por Microsoft, cuyos servicios —que incluyen Outlook, Word, Excel, PowerPoint, OneDrive o Teams— utilizan más de medio millón de alumnos y decenas de miles de docentes. A su juicio, una interrupción inmediata del servicio provocaría “graves distorsiones y perjuicios” en el funcionamiento del sistema educativo.

Precisamente ese argumento ha pesado en la decisión del Consejo de Transparencia de no suspender los servicios de Microsoft hasta valorar las medidas adoptadas, pues la suspensión podría afectar negativamente al derecho a la educación y al interés superior del menor, por lo que ha optado por apercibir a la Consejería y exigir la adopción de medidas correctoras.

La administración autonómica deberá remitir antes del 31 de julio el plan de acción exigido por el Consejo, que incluirá las actuaciones necesarias para corregir los incumplimientos detectados y, entre otras cuestiones, acreditar que las transferencias internacionales de datos cumplen las garantías previstas por normativa o, en caso contrario, se suspenderá el flujo de datos. La resolución concluye advirtiendo de que el incumplimiento de las medidas impuestas podría constituir una nueva infracción muy grave de la Ley Orgánica de Protección de Datos y dar lugar a la apertura de otro procedimiento sancionador contra la Junta.

El consejero de Salud, César Pascual, ha propuesto que Cantabria sea “candidata” a convertirse en “un laboratorio europeo de la salud basado en datos”. Pascual lo ha justificado este martes esta postulación por lo que ha denominado como su “excepcional” cohesión institucional y científica, por el tamaño “pequeño y manejable”, que “permite experimentar y hacer muchas cosas”, por los hospitales de referencia, la capacidad investigadora y una ciudadanía “muy comprometida”, que se suman a la voluntad de “construir algo singular y gente que esta legislatura lo impulsa”.

Pascual ha dicho este martes que Cantabria ha optado por “pensar a largo plazo” y apostar “de forma decidida” por convertirlo en el lugar que sea capaz de utilizar esos datos “exclusivamente” para que las personas vivan mejor. Así lo corroboran, según el consejero, proyectos como Cohorte Cantabria, la genómica, la arquitectura del dato sanitario, salud digital, inteligencia artificial responsable o medicina personalizada, “que no son proyectos tecnológicos, sino profundamente humanos”.

Estas han sido algunas de las reflexiones que el consejero ha compartido durante la clausura del encuentro 'Salud Digital basada en valor: datos y gestión de precisión con impacto clínico', que se ha desarrollado este lunes y martes, organizado por la Consejería y el Instituto de Investigación Valdecilla (IDIVAL) en el marco de los cursos de verano de la Universidad Internacional Menéndez Pelayo (UIMP).

Para Pascual, Cantabria puede ser “el sitio idóneo” para conectar ciencia, asistencia sanitaria, innovación y confianza e implicación ciudadana y, con ello, “uno de los lugares más avanzados de Europa”. “Si lo hacemos bien, podemos conseguir que miles de personas vivan más y mejor”, ha dicho.

Junto a Pascual han participado en la clausura del encuentro el director general de Planificación, Ordenación, Gestión del Conocimiento y Salud Digital, Óscar Fernández Torre, y la subdirectora general de Salud Digital, Rocío Montalbán, ambos directores del curso.

Los datos personales y documentos de identidad de cientos de miles de socios de clubs de cannabis en España han estado accesibles en internet sin ningún tipo de protección durante un periodo prolongado. Los datos incluyen pasaportes, DNIs, carnets de conducir, direcciones, teléfonos e incluso hábitos de consumo de estos usuarios.

La brecha, descubierta por un investigador de seguridad independiente, afecta a cerca de un millón de personas y, según el propio investigador, a usuarios de cannabis con proyección pública que preferían mantener en privado sus hábitos de consumo.

Un fallo en el proveedor de software

Los clubs de cannabis españoles utilizan habitualmente softwares de gestión para controlar el acceso de sus socios, registrar sus consumos y gestionar la contabilidad del local. Buena parte de ellos usan el programa de una empresa irlandesa llamada Cannabis Club Systems (CCS), anteriormente conocida como Nefos Solutions.

La empresa ofrece además un sistema de verificación de identidad muy útil para los clubes: los recepcionistas fotografían el documento del socio y lo suben a los servidores de Nefos para agilizar futuras visitas. La compañía también comercializaba una aplicación, PuffPal, que permitía el acceso mediante código QR.

El problema, según ha desvelado The Verge, estaba en cómo Nefos almacenaba esa información. Sammy Azdoufal, investigador de seguridad reconocido por haber expuesto otras vulnerabilidades graves en protección de datos, analizó la aplicación PuffPal y descubrió que los documentos de identidad se guardaban en direcciones web públicas con una estructura predecible, sin contraseña ni ningún control de acceso. Cualquier persona con mínimos conocimientos técnicos podía acceder a ellos simplemente escribiendo la URL correcta.

La magnitud del problema era considerable: cada día se subían unos 5.000 nuevos documentos a esos servidores desprotegidos, y en total Azdoufal identificó cerca de 985.000 archivos expuestos. Además de las imágenes de los documentos, los perfiles de usuario incluían números de teléfono, direcciones postales, correos electrónicos y datos sobre las variedades de cannabis consumidas y la frecuencia de visitas a los clubes.

Otras vulnerabilidades en cadena

El análisis de Azdoufal reveló brechas de seguridad en otros frentes. El código de la aplicación PuffPal contenía sin apenas protección una clave secreta del sistema de pagos Stripe, de manera que el portal de administración de los clubs era accesible para cualquiera con unos mínimos conocimientos informáticos. Los mensajes privados entre clubs y socios también estaban expuestos así como los perfiles de usuario.

Tras ser contactada por The Verge y ofrecer respuestas que no arreglaron el problema, la empresa acabó desactivando a mediados de junio la app PuffPal, notificó a la Autoridad irlandesa de Protección de Datos (DPC) y comunicó a los clubs el cierre del sistema de acceso por QR.

Andreas Nilsen, cofundador de Nefos, reconoció que la empresa incumplió la normativa europea, que exige notificar las brechas de datos en un máximo de 72 horas. “Recibiremos la sanción que corresponda”, admitió. Nilsen atribuyó parte de la responsabilidad técnica a una empresa externa encargada de desarrollar PuffPal, aunque asumió que la responsabilidad última es de su compañía.

Según este directivo de la empresa, no hay evidencias de que nadie más allá de Azdoufal haya accedido a los datos, aunque eso es difícil de verificar. La empresa ha prometido que no relanzará PuffPal hasta que una auditoría de seguridad independiente certifique que el sistema es seguro y se ha desvinculado de la compañía que lo desarrolló.

Las educadoras infantiles madrileñas han denunciado la firma de cerca de 40 prórrogas de los contratos de las empresas que gestionan las escuelas infantiles de la capital. Según explican desde la Plataforma Laboral de Escuelas Infantiles (PLEI), “Almeida comenzó a firmar prórrogas que condenaban a la precariedad más absoluta a los cientos de trabajadoras de la red de escuelas municipales de Madrid”. Además, recuerdan que la existencia de unos nuevos pliegos para el próximo curso, en vez de la continuación de los vigentes hasta este verano, se traducirían en una mejora salarial a partir de septiembre para las educadoras infantiles que, según detalla la PLEI, ascendería a los 1518 euros al mes, en vez del SMI.

Cerca de veinte educadoras, junto a CGT, UGT y CCOO, firmaron el recurso que se presentó contra estas prórrogas. Según sostiene la PLEI, “desde el Ayuntamiento de Madrid no solo no han parado las prórrogas ya aprobadas a la fecha de presentación de los recursos, si no que han aprobado el gasto para otras 20 más”. La presentación de este recurso ha supuesto otra situación preocupante para las educadoras. Según han explicado en un comunicado, varias educadoras que firmaron el recurso “han sido coaccionadas” por las empresas que gestionan las escuelas donde trabajan. “Estas coacciones se han producido porque dichas empresas han tenido acceso a esta información facilitada por las Juntas de Distrito, concretamente, los datos personales de las trabajadoras firmantes”, reconoce la PLEI.

Las educadoras atacan al Ayuntamiento de Madrid por estos hechos: “Podría vulnerar la normativa en materia de protección de datos y los principios de buena fe, seguridad jurídica y tutela efectiva, en su vertiente de garantía de indemnidad”, desarrollan las educadoras. “Además, podría haber incurrido en desviación de poder, ya que estaría utilizando sus potestades -la tramitación de un recurso- para un fin distinto del previsto por el ordenamiento jurídico, facilitando colateralmente herramientas de presión laboral a una empresa privada, con graves consecuencias para los derechos laborales de las trabajadoras”, añaden.

Almeida promete “estudiar lo ocurrido”

El alcalde, José Luis Martínez-Almeida, ha prometido “estudiar” el reproche de las trabajadoras. “Lo que he pedido es a protección de datos del Ayuntamiento de Madrid, dado lo sensible del tema, que estudie la cuestión y que determine que es exactamente lo que ha pasado”, ha señalado en declaraciones a los medios desde el Palacio de Cibeles, añadiendo que investigarán lo sucedido a través de los “canales internos de protección de datos”. “Cada escuela depende de los distritos y queremos saber cuál ha sido el modo de actuación exacto desde el punto de vista de protección de datos para así ha habido cualquier irregularidad inmediatamente solventarla y en el caso de que no la haya habido que tengamos todos la tranquilidad de que se ha actuado correctamente”, ha concluido Almeida.

Sin embargo, las denunciantes sostienen que los datos personales de las trabajadoras que firmaron el recurso (nombre, apellidos y DNI) “se recaban en el marco de un procedimiento administrativo [un recurso de reposición]. La finalidad de esos datos es tramitar y resolver dicho recurso”. Las educadoras entienden que las empresas que gestionan las escuelas pueden conocer la presentación del recurso, por estar implicadas, “pero siempre protegiendo los datos de las trabajadoras que no son necesarios para el hecho vinculante y deberían haber sido anonimizadas antes de haber sido trasladados”.

Las educadoras describen esta situación como “hechos muy graves”, y exigen que termine “esta represión por parte de las empresas gestoras”. Desde la Plataforma recuerdan que denunciar injusticias laborales de manera personal “no debe suponer amenazas, ni presiones” por parte de esas empresas, y explican que aplicarán “las medidas oportunas para hacer frente a la represión ejercida a las compañeras por el mero hecho de impugnar unas prórrogas que son una vergüenza”.

Las movilizaciones de las educadoras continúan

Las escuelas siguen de huelga indefinida después de más de dos meses desde que comenzó. Ante las pocas soluciones que reciben por parte de las instituciones, las educadoras continúan sus movilizaciones, apoyadas también por las familias. Este miércoles, 17 de junio, la coordinadora de familias en defensa del 0-3 entregará en la Consejería de Educación 20.000 firmas en apoyo a la huelga durante la concentración semanal organizada por la Plataforma. Las familias demandan “la apertura inmediata de una negociación real y efectiva, una interlocución directa con las familias y un aumento de dotación de escuelas infantiles públicas que garantice que un elevado número de familias se quedan excluidas en las matriculaciones”.

Por otro lado, han convocado concentraciones en muchas ciudades de todo el país para este jueves 18 de junio, para reclamar la reducción de las jornadas educativas durante las temporadas de calor. Las educadoras infantiles denuncian una “discriminación calendaria” que sufren los niños y las niñas de 0 a 3 años, “cuyas jornadas anuales llegan a alcanzar los 215 días frente a los 175 del resto de etapas educativas”.

Las profesionales del 0-3 recuerdan que “estudios de neuroeducación alertan de que las jornadas escolares excesivas en pleno verano cronifican el estrés biológico en la primera infancia”. Por ello, exigen “una solución política real que obligue al Estado y a las comunidades a legislar de cara a las empresas (con reducciones de jornada estivales pagadas o permisos flexibles) en lugar de institucionalizar a los bebés durante 11 meses al año”. Ante esta situación, han convocado concentraciones bajo el lema “El descanso infantil no debería ser el precio por ir a trabajar” en muchas comunidades autónomas de toda España. En Madrid, se reunirán en la Puerta del Sol, este jueves 18 de junio, a las 19:00 horas.

“Yo sí he leido el convenio, lo tengo en la mano pero yo creo que en este momento es confidencial”, espetó el director de Cohorte Cantabria mostrando unos papeles ante la comisión parlamentaria.

Javier Crespo dijo que no tiene “la potestad de enseñar el convenio hasta que no esté cerrado” porque no es “el responsable único”.

El acuerdo al que se refiere es al que se firmará para ceder los datos de más de 50.000 cántabros apuntados al proyecto Cohorte Cantabria a un laboratorio farmacéutico estadounidense. Una decisión de la Consejería de Salud que ha despertado recelos y polémica. “Hasta que no se firma debe permanecer en el ámbito confidencial”, insistió ante los diputados del Parlamento de Cantabria.

“No tengo la capacidad técnica de saber si la normativa que se articula es adecuada o no, pero ha estado expuesto a la valoración de los servicios jurídicos de la Consejería de Sanidad durante años” y añadió que en su opinión es un acuerdo habitual entre las empresas y las instituciones públicas. “Desde hace cincuenta años” la empresa privada se beneficia de la investigación pública y muchas veces desarrolla fármacos “a un precio escandaloso”, reconoció.

El Gobierno de Cantabria ha enviado a los directores del Instituto de Investigación Sanitaria de Valdecilla (IDIVAL) y Cohorte Cantabria a responder a las preguntas de la Comisión de Sanidad del Parlamento de Cantabria.

Ni el consejero de Salud, César Pascual, ni ningún cargo de su departamento han acudido a explicar los detalles de la cesión de datos de Cohorte a un laboratorio farmacéutico estadounidense y del futuro parque de la salud de colaboración público-privada que se ubicará sobre la antigua Residencia Cantabria.

El portavoz del Grupo Parlamentario Regionalista, Pedro Hernando, se ha mostrado “decepcionado por el contenido” de las intervenciones de los expertos que, sobre algunas de las cuestiones, han dicho que no sabían nada de lo que se les preguntaba. En este sentido, ha echado en falta que no hubiesen acudido responsables directos de la Consejería.

Respecto al parque de la salud el director científico de IDIVAL, Marcos López Hoyos, ha dicho que no “es cosa” suya aunque participa “a nivel voluntario” en el órgano consultivo “en el que estamos trabajando en muchas ideas”, sin precisar más información. “No me corresponde a mi contestar algo en relación a estas dos preguntas”, ha concluido en su breve y primera intervención.

“Desconozco cualquier información con respecto al parque tecnológico” -reiteró ante la comisión parlamentaria el director de Cohorte, Javier Crespo- “no conozco nada, no he leído el proyecto y no estoy inmerso en ello, por tanto no puedo opinar”.

“Tenemos pendiente una reunión con el IFCA”

Por contra, si han respondido a algunas cuestiones relativas a la cesión de datos de los 50.000 voluntarios de Cohorte Cantabria al laboratorio farmacéutico estadouniden Regeneron Pharmaceuticals propiedad del mayor fondo de inversión mundial, Blackrock. “No se ha firmado, ni hay nada todavía pero se está trabajando”, ha admitido López Hoyos.

Pedro Hernando ha preguntado por qué se ha optado por llegar a un acuerdo con esta empresa y si no existe en el ámbito público ningún otro organismo para hacerlo. El portavoz regionalista ha recordado que el consejero César Pascual dijo que ninguna otra empresa tiene capacidad para hacer un análisis genómico de la magnitud que se pretende. “El Centro Nacional de Análisis Genómico con financiación pública europea y nacional está desarrollando proyectos de este tipo, también el Centro de Regulación Genómica (CRG) e incluso tenemos ordenadores cuánticos en Cantabria”, ha matizado.

El director del IDIVAL, López Hoyos, ha dicho que han intentado “ver si había capacidad” de hacerlo en otro centro en España como el Centro de Genómica de Galicia del doctor Carracedo “pero no tiene capacidad para 50.000 voluntarios en el que vamos a hacer todo un exoma y toda una proteómica”. “Eso es imposible”, ha apostillado.

El experto ha dicho que también han valorado “la vía publica” porque van a hablar con instituciones de Cantabria como el IFCA. “Tenemos pendiente una reunión, pero todavía no ha habido el momento porque no tenemos sus datos”, ha justificado. De momento -ha explicado- “nuestros servidores cogen perfectamente esta información” y cuando lleguen a otra fase “es cuando vamos a necesitar los ordenadores del IFCA y vamos a contar con ellos para conservar esos datos”.

Ahora bien, ha asegurado que la capacidad para hacer exómica y proteómica, analizar y exportar datos “y luego trocearlos para poder incorporarlos a nuestros ordenadores” no lo tiene “nadie en el mundo”. Ha añadido que sus colaboradores en Singapur y en China le dijeron “you are crazy, my friend. Pero, ¿estás loco? ¡quién te hace eso!”. “Pues lo hace Regeneron porque es la única empresa en el mundo con capacidad para manejar 50.000 voluntarios, no hay nadie en el sistema público ni en Europa”, ha asegurado.

Aunque, en paralelo, ha admitido que si se hiciese por el sistema público costaría entre 150 y 180 millones de euros, “un coste imposible de abordar por Cantabria y los primeros datos que podríamos tener serán dentro de tres años”.

Así, ha añadido que con este acuerdo “en septiembre podríamos tener los datos de genómica para empezar con el hub de innovación [el futuro parque de la salud de la Residencia Cantabria], si no Cohorte Cantabria se queda parada. Tenemos que ir deprisa”, ha insistido.

“Regeneron es la única empresa en el mundo capaz de hacer estos estudios, analizarlos, trocearlos y darnos la información para poder trabajarlo”, ha zanjado en su comparencia parlamentaria.

“Claro que ellos obtienen beneficios, es un negocio, pero igual que nosotros. Es un retorno científico disponer de esos datos y poder explotarlos al nivel de otras colaboraciones científicas con gente alrededor del mundo por eso no hay una compra de datos ni una compra ni venta de muestras en todo esto”, ha argumentado el director de Cohorte, Javier Crespo.

En este sentido, ha reconocido que “probablemente sí hay otras empresas en el mundo que puedan hacer parte del proyecto y después juntarlo, lo cual tiene algunos inconvenientes, pero la única empresa en el mundo capaz de hacer simutáneamente exoma, proteoma y análisis de datos es Regeneron”. “Prácticamente todas las cohortes poblaciones del mundo han utilizado Renegation como empresa de referencia”, ha asegurado.

El portavoz del PRC también ha preguntado por qué además de ceder gratis los datos Cantabria tiene que hacerse cargo de los gastos de los traslados de las muestas a Estados Unidos. “He leído parte del convenio y no existe una compensación dineraria”, ha confirmado el director de Cohorte.

Crespo ha añadido que ningún miembro del IDIVAL cobra ninguna cantidad de dinero por este acuerdo, que no está previsto que haya ningún tipo de compensación económica para ningún investigador y que ningún miembro del IDIVAL forma parte del consejo asesor de esta empresa“, aunque ésto -ha matizado- ”no lo podría asegurar con absoluta firmeza“.

Agentes de la Policía Nacional detuvieron el pasado martes en la provincia de Granada a una persona por su presunta autoría de un delito de revelación de secretos. El arrestado publicaba en diversos portales de internet datos de carácter personal relativos a integrantes de diferentes instituciones sensibles del Estado, entre ellas el INCIBE, el Ministerio Fiscal, el Consejo de Seguridad Nacional, así como de miembros de la Policía Nacional, la Guardia Civil, la Fiscalía General del Estado, el Ministerio de Hacienda y la Agencia Tributaria.

Tras la localización del presunto autor, se procedió al registro de su domicilio, donde los agentes intervinieron diverso material informático y tecnológico que ya está siendo analizado por los especialistas policiales.

La investigación, dirigida por el Juzgado de Instrucción número 22 de Madrid, se inició tras detectar la difusión masiva de estos datos, lo que generaba un riesgo inmediato para la seguridad e integridad de los afectados y de las propias instituciones. Ante la gravedad de los hechos, se activó de forma urgente un dispositivo de localización y detención que culminó el pasado miércoles 27 de mayo con la detención del autor y el registro de su domicilio.

Esta investigación ha puesto el foco en el creciente riesgo que representan las campañas de exposición masiva de datos personales en Internet, especialmente cuando afectan a miembros de instituciones estratégicas del Estado. Este tipo de prácticas, conocidas en el ámbito cibernético como doxing, pueden facilitar amenazas, extorsiones o acciones coordinadas contra funcionarios públicos y organismos sensibles.

Es especialmente relevante la rapidez con la que se activó el dispositivo policial, dada la naturaleza de la información difundida y el potencial impacto sobre la seguridad operativa de las instituciones afectadas. La operación continúa abierta con el objetivo de esclarecer la posible implicación de otras personas y desarticular, de forma completa, la red de perfiles implicados en esta campaña de señalamiento y amenazas.

Nueva causa archivada para el alcalde de Badalona, Xavier García Albiol. La Audiencia de Barcelona ha confirmado que no ve delito en que el edil revelara durante un pleno municipal datos médicos de un hombre sin hogar que murió en la localidad en 2024.

En un auto, al que ha tenido acceso elDiario.es, la sección 8ª de la Audiencia de Barcelona confirma el archivo del caso decretado por el instructor. Los jueces no contestan en la resolución a la petición del letrado Andreu Van den Eynde, que representa a la acusación de Guanyem Badalona, para que se pronunciaran sobre la “singular analogía” que el caso de Albiol presentaba con la condena contra el ex fiscal general del Estado Álvaro García Ortiz por revelación de datos reservados.

La sentencia del Supremo sobre el ex fiscal general, argumentaba Guanyem Badalona, “aborda un debate relevante sobre la imposibilidad de responder a una noticia con una revelación de secretos”. Van den Eynde agregó que el Supremo consideró punible este tipo de actuación “incluso con referencias específicas a supuestos de datos de salud”.

V., el vecino sin hogar de Badalona fallecido, acudió al Hospital Municipal de Badalona el 25 de mayo de 2024, donde fue atendido. Desde hacía varios días que los habitantes del barrio de Canyadó habían observado un deterioro de su salud. El hombre terminó falleciendo el pasado 9 de junio.

Un mes después, durante el pleno municipal Albiol respondió a las peticiones de explicaciones de las asociaciones de vecinas, que denunciaron que la muerte del hombre sin hogar, de origen lituano, se produjo tras el cierre del albergue municipal para personas sin techo. Este vínculo molestó a Albiol, que respondió a los vecinos con datos del paso del fallecido por el hospital.

“Como fue al Hospital de Badalona, tengo aquí, no el parte, porque eso es privado, pero sí el porqué murió esta persona, y se lo voy a leer textualmente. Me lo han enviado desde el Hospital, eh”, lanzó el político del PP al pleno tras la petición vecinal. A continuación, difundió parte de los síntomas, el diagnóstico, las pruebas y el tratamiento médico al que fue sometido el sintecho en el Hospital de Badalona.

En su auto, el tribunal aprecia una “ausencia de cualquier evidencia de haber incurrido en conductas infractoras en materia de protección de datos” por parte de García Albiol. El motivo, explica el tribunal, es que la Autoridad Catalana de Protección de Datos no constató “infracciones concretas en materia de protección de datos” en su investigación. Si el ente especializado no apreció infracciones, menos puede hacerlo el derecho penal, concluyen los jueces.

La Audiencia entiende que los familiares del finado podrían denunciar la vulneración de la intimidad personal del fallecido como un derecho propio, siempre que demostraran el grado de parentesco exigible y que señalen qué informaciones concretas reveladas les han podido ocasionar un perjuicio.

En este caso concreto, los jueces concluyen que no se ha aportado “ninguna evidencia” de los ámbitos de la esfera privada del hermano que han podido verse afectados por las declaraciones de Albiol, ni si tuvieron trascendencia, difusión o impacto en su país de origen.

El tribunal sostiene que no consta que el difunto tuviese familia, ni próxima ni lejana, en España, ni que la misma “hubiere mostrado interés personal en su estado de salud o en la evolución y el desenlace fatal de su enfermedad, tampoco en el tratamiento de sus restos mortales, que nadie reivindicó en su momento”.

El Gobierno de Castilla-La Mancha creará el Registro de Población de la región, una base de datos administrativa para modernizar la interacción con la ciudadanía, a través de procedimientos administrativos electrónicos y comunicaciones basadas en medios digitales, tal y como se ha publicado este lunes en el Diario Oficial de Castilla-La Mancha (DOCM).

En este repositorio, elaborado a través de datos de los padrones municipales de localidades castellanomanchegas aparecerá el nombre, apellidos, domicilio, número de DNI o NIE. Por otra parte, también el número de teléfono y correo electrónico, en este caso solo si la ciudadanía lo facilita a través del espacio ciudadano.

Esta base de datos servirá para elaborar estadísticas oficiales, la comunicación entre la Administración y la ciudadanía de cara a procedimientos, trámites o gestiones, así como la evaluación de la calidad de los servicios prestados por los diferentes órganos de la Junta de Castilla-La Mancha.

Los usuarios de espacio ciudadano podrán acceder a través de esta plataforma a sus datos personales contenidos en el Registro de Población. Los datos de carácter personal del Registro de Población de Castilla-La Mancha son confidenciales y el acceso a los mismos se regirá por lo dispuesto en el Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales.

Las diferentes solicitudes de uso de datos contenidos en el Registro de Población de Castilla-La Mancha se dirigirán al órgano de la Junta de Castilla-La Mancha con competencias en materia de estadística y deberán explicitar la finalidad para la que esa información se precisa.

La inmensa mayoría de la ciudadanía española apoya el establecimiento de una “identificación obligatoria” para participar en redes sociales o foros de Internet, según un estudio publicado este viernes elaborado por la Universitat de Barcelona a partir de una encuesta a una muestra representativa de 2.500 personas y un análisis cualitativo a partir de sus respuestas.

La investigación muestra que la defensa del anonimato digital ha quedado reducido a una posición minoritaria en la sociedad española. “Solo uno de cada cuatro ciudadanos defiende la participación anónima”, explica el estudio, que avisa que “existe cierta polarización en la posición frente al anonimato: mientras unos lo defienden como un derecho básico que garantiza la libertad de expresión, otros lo identifican como una fuente de inmunidad para difundir información falsa y discursos de odio”.

La rotundidad de las cifras en este sentido ha sorprendido a los propios autores. “Lo que observamos, y que nos han sorprendido bastante al equipo de investigación, es la demanda de regulación de contenidos en las redes, como los discursos de odio, a través de medidas como la identificación obligatoria para participar públicamente en redes y foros de Internet”, ha confesado el investigador principal, Jordi Muñoz.

Una sorpresa quizá motivada porque estos hallazgos coinciden con un momento de creciente alerta por el avance del análisis masivo de información a través de la inteligencia artificial. Empresas que se han colocado en el foco público, como Palantir, se han especializado en cruzar datos personales y estructurales para identificar a personas y objetivos militares. Su plataforma es utilizada por organismos como el ICE para localizar, arrestar y deportar a inmigrantes irregulares en EEUU. La encuesta, de hecho, destaca que el principal derecho que la ciudadanía pide para Internet es la privacidad y la protección de datos (96%).

Muñoz, profesor asociado de Ciencias Políticas de la Universidad de Barcelona, ha sido el encargado de presentar los resultados durante el primer Encuentro Internacional por los Derechos Digitales que ha arrancado este miércoles en Barcelona. La iniciativa ha reunido a más de un centenar de académicos y representantes de la sociedad civil especializados en este área en unas jornadas de debates y conferencias que concluirán mañana.

La desinformación y el acoso, principales problemas

Muñoz ha destacado que la identificación obligatoria surge como respuesta a los principales problemas que la ciudadanía identifica en Internet. El 88% de los encuestados identifica las redes sociales y los medios digitales de forma general como el entorno más propicio para la difusión de noticias falsas, mientras que un 77% opina lo mismo sobre los discursos de odio.

Como vía de solución, el 65% de los ciudadanos se muestra a favor de regular la difusión de información en estas plataformas. A la hora de definir quién debe asumir el freno a la información falsa en Internet, la sociedad apunta hacia los poderes públicos.

El 48% de la población considera que los gobiernos tienen la responsabilidad principal de garantizar que no se publiquen este tipo de noticias en la red. Las plataformas tecnológicas ocupan la segunda posición, señaladas por el 39% de los encuestados, seguidas de los propios medios de comunicación con un 35% Un 14% de las personas encuestadas traslada la tarea de control y actuación a la Unión Europea.

Otra de las cifras más rotundas del estudio es el 95% de ciudadanos que piensa que los niños deberían estar más protegidos en la red. “En consecuencia, se detecta un fuerte consenso social en torno a la necesidad de implementar medidas de protección como el control parental (96%), la edad mínima para el uso de smartphones (91%) y la regulación de la publicidad dirigida a menores (96%)”, señala el estudio.

“A pesar de que existe una clara demanda de regulación dirigida a las autoridades, el 80% identifica a las propias familias como una de las principales entidades responsables de la protección de los menores en redes”, continúan los investigadores.

En este sentido, el Gobierno ha anunciado que ya tiene lista una aplicación de identificación digital para evitar que los menores por debajo de la edad recomendada accedan a las redes sociales. Se trata de Cartera Digital Beta, que emplea un mecanismo, asegura el Ejecutivo, que no recaba datos sobre la navegación de quienes la utilizan y hace imposible su identificación posterior.

Actualmente, la edad legal para el acceso a redes está fijada en los 14 años, pero el Gobierno espera aprobar una nueva ley que la eleve a 16 y habilite el empleo de sistemas como Cartera Digital Beta para asegurar su cumplimiento. Países como Australia han impuesto recientemente prohibiciones similares, pero su aplicación está dejando algunas incógnitas sobre su efectividad real.

Este viernes 8 de mayo, Instagram deja de ofrecer cifrado de extremo a extremo en sus mensajes privados. En la práctica, esto permite a Meta acceder libremente a los chats de los 2.500 millones de usuarios de esta red social.

La compañía asegura que el cambio se debe al bajo uso del cifrado, que debe ser activado por los usuarios. Sin embargo, la decisión coincide con la entrada en vigor de una ley estadounidense que presiona para que las compañías eliminen este protocolo de seguridad, el más eficaz para proteger las comunicaciones digitales. También con la mejora de las capacidades de análisis de datos masivos de la inteligencia artificial.

Las organizaciones de derechos digitales y privacidad han criticado la decisión de Meta, propietaria también de Facebook y WhatsApp. “Este cambio de rumbo expondrá a millones de usuarios a riesgos graves y concretos”, avisa la Global Encryption Coalition, en la que participan la Fundación Mozilla, el Centro para la Democracia y la Tecnología o la Internet Society.

Protección básica

El cifrado de los mensajes digitales es un proceso que convierte su contenido en un código ilegible, excepto para quien tiene la clave adecuada (el destinatario original). “Muchos usuarios de Instagram utilizan los mensajes directos para tratar asuntos personales, políticos o profesionales delicados”, destaca la Coalición. Abandonar el cifrado “aumentará el riesgo de que estos usuarios sean vigilados e interceptados por agentes malintencionados, gobiernos y otros que intenten acceder a sus comunicaciones privadas”, alertan.

Los críticos recuerdan, además, que incluso el director ejecutivo de Meta, Mark Zuckerberg, ha defendido el valor de esta protección digital básica. “Creo que el futuro de la comunicación se orientará cada vez más hacia servicios privados y cifrados, donde las personas puedan tener la seguridad de que lo que se dicen entre sí permanece protegido y sus mensajes y contenido no se almacenarán indefinidamente. Este es el futuro que espero que podamos ayudar a construir”, declaró en 2023.

Entonces, ¿a qué se debe el cambio? “Muy pocas personas optaban por el cifrado de extremo a extremo en los mensajes directos, por lo que eliminaremos esta opción de Instagram en los próximos meses. A partir del 8 de mayo de 2026, dejaremos de proporcionar cifrado de extremo a extremo en los mensajes directos”, comunicó la compañía en marzo, invitando a los usuarios a usar WhatsApp, que seguirá manteniendo esta protección.

Aunque Meta no ha llegado a dar una cifra oficial, algunos analistas hablan de porcentajes de uso en torno al 2%. Esto implicaría que 50 millones de personas en todo el mundo habían cifrado sus mensajes de Instagram, una cifra considerable teniendo en cuenta que debía activarse voluntariamente. “Es una función que está escondida, poco promocionada, es complicada, que la gente no conoce y que no está por defecto; no porque la gente decida que prefiere no estar protegida”, destaca Elena Gil, abogada especialista en nuevas tecnologías.

Conversaciones al descubierto

Contactada por elDiario.es, una portavoz de Meta ha compartido una publicación de 2023 de su blog oficial en la que afirma que no utilizará los mensajes privados para entrenar a su IA. Sin embargo, esto no aparece claramente definido en su política de privacidad, que es el único documento vinculante a nivel legal sobre el uso de datos personales de la compañía, avisa Elena Gil.

Al contrario, tras repasar estas claúsulas legales de 140 páginas, la abogada expica que Meta hace un uso extensivo y poco definido de un concepto legal denominado “interés legítimo”. Se trata de una fórmula que permite a las compañías utilizar los datos de los usuarios sin necesidad de pedirles permiso explícitamente.

“Es la figura que más se utiliza en el mundo digital para el entrenamiento de sistemas de inteligencia artificial o sistemas automatizados”, recuerda Gil, cuya investigación sobre cómo las empresas usan resortes legales como el “interés legítimo” para analizar datos de sus usuarios fue premiada por la Agencia Española de Protección de Datos. “Con muchos matices, básicamente quiere decir que no necesitan pedir consentimiento si las consecuencias de lo que hacen son leves”, detalla.

Además, no utilizar los datos de los mensajes para el entrenamiento de la IA, como asegura Meta, implica que estos no se añadirán a sus bases de datos. No que no pueda analizarlos. Uno de los usos de los que habla específicamente su política de privacidad es la inferencia: “La inferencia es la deducción de más información sobre ti. Esta información inferida es como el Santo Grial de la economía digital: aparte de recoger muchos datos sobre ti, intentan adelantarse y adivinar datos que tú nunca has llegado a dar”, continúa la jurista.

Esta información inferida es como el Santo Grial de la economía digital: aparte de recoger muchos datos sobre ti, intentan adelantarse y adivinar datos que tú nunca has llegado a dar

Elena Gil — abogada especialista en nuevas tecnologías

Al retirar la protección de extremo a extremo, la plataforma tiene vía libre para acceder a todos los mensajes de sus usuarios. “Imagínate que el cartero, que es Meta, pudiese parar a leer todas las cartas que tú escribes”, ejemplifica: “Si hablas de tus finanzas, de enfermedades, de a quién votas, de detalles que revelan tu condición sexual incluso en un país donde eso pueda estar perseguido, de lo que ganas, lo que te pasa. Si estás teniendo una relación extramatrimonial. De tus logros, de tus alegrías. Imagina que todo eso en vez de ser secreto, como se legisló hace décadas, ahora se pudiera leer”.

Gil aclara que esto no implica que sean personas quienes lo lean. Es “un algoritmo que siempre está aprendiendo de todo lo que tú haces dentro y fuera de los mensajes privados” el que podrá encargarse de ello.

“Todo esto es el caldo de cultivo de la manipulación masiva, entrenamiento de nuevos sistemas de IA, creación de sistemas que cada vez parezcan más humanos, etc. Y todo con la excusa de que se está informando de manera transparente en un texto que ya te digo que tiene más de 140 páginas, sabiendo que nadie se entera, porque ni siquiera una persona experta es capaz de enterarse de lo que ahí pone”, asevera la abogada sobre la política de privacidad de la red social.

Una ley contra el cifrado en 11 días

Existe otro telón de fondo tras la retirada de esta protección digital de los mensajes. El fin del cifrado en Instagram llega justo 11 días antes de que entre en vigor la llamada Take It Down Act, la primera ley estadounidense que ilegaliza la difusión no consentida de imágenes íntimas, incluyendo aquellas generadas con inteligencia artificial.

La Take It Down Act fue ratificada por Donald Trump en mayo de 2025 como reacción a los primeros escándalos de creación de imágenes sexualizadas con IA, en el que se vieron afectadas desde personalidades como Taylor Swift hasta políticas, así como profesoras y alumnas de colegios e institutos.

Además de castigar a los que difundan estos contenidos, la ley también estipula un período de 48 horas para que las plataformas retiren este tipo de contenidos. Instagram es uno de los principales espacios donde se dan este tipo de ataques, y el cifrado de los mensajes dificultaba a Meta su cumplimiento. Su retirada permitirá a la red social analizar los mensajes privados en busca de este y otros tipos de contenidos.

Se trata de una de las consecuencias perniciosas de este tipo de leyes, como alertan múltiples organizaciones de derechos digitales y expertos por todo el mundo. “Las plataformas podrían responder abandonando por completo el cifrado para poder monitorear el contenido, convirtiendo así las conversaciones privadas en espacios vigilados”, avisó durante la negociación de la Take It Down Act la Electronic Frontier Foundation (EFF), una de las organizaciones de referencia en este ámbito.

Pese a ello, la tendencia de imponer la posibilidad de revisar los mensajes cifrados de los usuarios se extiende a nivel internacional. En este momento, la UE está negociando una ley contra la difusión de pornografía infantil cuyos críticos avisan que podría tener el mismo efecto que la Take It Down Act. La Comisión Europea asegura que el texto no dificultará el cifrado, pero cientos de tecnólogos enviaron una carta a Bruselas para discrepar: “Es una amenaza enorme”.

Reino Unido o la India están impulsando legislaciones similares. Es por ello que la decisión de Instagram “es un precedente peligroso”, denuncia la Global Encryption Coalition: “En un momento en que los gobiernos de todo el mundo están considerando activamente medidas que debilitarían o eludirían el cifrado, el sector privado debe priorizar la privacidad y la seguridad en el diseño de sus productos”.

La Agencia Española de Protección de Datos (AEPD) apercibe a la Xunta y multa con 200.000 euros a la cadena de distribución Gadisa por el tratamiento de datos de usuarios sin su consentimiento, según informa Facua-Consumidores en Acción, que presentó denuncia por este caso.

En un comunicado, que recoge Europa Press, Facua indica que la Agencia de Protección de Datos ha desestimado el recurso que la empresa presentó contra la resolución que la sancionaba por haber tratado los datos de beneficiarios de un programa de ayudas de la administración sin su consentimiento, algo de lo que había informado elDiario.es.

La asociación denunció en enero de 2025 a esta empresa, propietaria de los supermercados e hipermercados Gadis, Claudio e Ifa Cash, tras conocer que estaba mandando a los hogares de los beneficiarios del programa Carné familiar --con el que pueden obtener beneficios económicos-- cheques regalo con un porcentaje de descuento calculado según las compras efectuadas. “Los datos de estos usuarios los habría obtenido mediante su cesión por parte de la Xunta de Galicia, y todo ello sin haber recabado previamente el consentimiento de los afectados para hacerlo. Además, Gadisa habría incorporado esos mismos datos a sus ficheros sin autorización para ello”, censura Facua.

Ahora, la AEPD ha confirmado que Gadisa cometió una infracción del artículo 26 del Reglamento General de Protección de Datos (RGPD), que obliga a que, cuando exista una corresponsabilidad en el tratamiento de datos personales -como en este caso entre la empresa y la Xunta de Galicia-, deben determinarse “de modo transparente y de mutuo acuerdo” sus responsabilidades respectivas. Acuerdo que, según señala la Agencia, no quedó acreditado en este caso.

Gadisa ha reaccionado asegurando que los beneficiarios del programa Carné familiar que recibieron cheques para utilizar en Gadis participaron “de forma voluntaria en el mismo” y se identificaron “expresamente” en cada compra, tanto en la tienda física como en la online para poder tener acceso a esas recompensas. “En ningún caso existió una utilización de datos ajena a la finalidad del programa, ni una cesión de datos personales”, afirma la empresa, que informa de que ha recurrido ante la Audiencia Nacional la resolución de la AEPD “por tratarse de una discrepancia de interpretación jurídica”.

 La Agencia ya había resuelto otro procedimiento sancionador contra la Xunta de Galicia en el que confirmaba la misma vulneración del Reglamento General de Protección de Datos, aunque en ese casó se zanjó sin multa económica.

Los principales chatbots de inteligencia artificial comparten datos de las conversaciones de los usuarios con las multinacionales de la publicidad online, que los utilizan para elaborar perfiles personalizados y vender anuncios hipersegmentados. Es la principal conclusión de un nuevo estudio que ha encontrado evidencias de estas filtraciones en ChatGPT, Claude, Grok y Perplexity, que mandan la información a las bases de datos para anuncios de Meta, Google, TikTok y otras compañías dedicadas al rastreo digital y la analítica web.

La filtración se produce a través de los enlaces permanentes de los chats, también conocidos como permalinks. Las plataformas envían estas direcciones web a los rastreadores junto con identificadores de usuario, como correos electrónicos cifrados o cookies, lo que permite asociar los datos de sus conversaciones a los perfiles publicitarios que elaboran terceras empresas sin el conocimiento del usuario.

“Este es el riesgo central: filtrar una URL no es solo metadatos, puede ser equivalente a filtrar la conversación en sí”, avisa el estudio, coordinado por el centro de investigación IMDEA Networks y liderado por el investigador español Narseo Vallina. “Las prácticas observadas también sugieren que los modelos de negocio basados en datos de la web tradicional (como la publicidad o la analítica) se están replicando en los ecosistemas de modelos de lenguaje, con una supervisión limitada”.

Las compañías son conscientes de que estas prácticas podrían contravenir las regulaciones de protección de datos. Perplexity, por ejemplo, retiró el rastreador de Meta de su web el 3 de abril de 2026, tras una demanda colectiva en Estados Unidos relacionada con la privacidad de sus usuarios. Esto detuvo el envío de enlaces y cookies a la red social y eliminó el acceso público a las conversaciones creadas por los usuarios que no habían iniciado sesión.

La misma práctica, solo que aún activa, es la que se da en Grok (el asistente desarrollado por xAI, propiedad de Elon Musk). “Es lo más grave que hemos encontrado”, destaca Vallina: “Las URLs y las conversaciones son accesibles de forma pública. Los rastreadores podrían potencialmente acceder a esa conversación, palabra a palabra. No tenemos evidencias de que lo estén leyendo, pero sabemos que el riesgo existe”.

Fuga de datos

Perplexity, pese a desactivar la posibilidad de que las conversaciones sean leídas por terceros, mantiene activos otros sistemas de rastreo. El estudio desglosa que cada vez que una persona utiliza el asistente, la empresa envía de forma automática su dirección de correo electrónico sin cifrar, el enlace exacto de la conversación y los detalles técnicos de su dispositivo a Datadog, una plataforma de monitorización de sistemas; y a Singular, una firma especializada en analítica y marketing.

Según las evidencias halladas, OpenAI envía los títulos de los chats y las direcciones de las conversaciones de los usuarios de la versión gratuita de ChatGPT a Google Analytics. Por su parte, Claude, de la empresa Anthropic, envía directamente los datos del usuario a plataformas como LinkedIn, TikTok, Google y otras ocho redes publicitarias distintas desde sus propios servidores, una técnica que las evita que las herramientas de bloqueo de anuncios de los navegadores puedan interceptar el tráfico de datos.

elDiario.es ha contactado con OpenAI, Anthropic, xAI (desarrolladora de Grok) y Perplexity para incluir su posicionamiento en esta información, pero no ha recibido respuesta. Los autores han denunciado los hechos a las agencias europeas de protección de datos, adelanta Vallina. Su estudio aún no ha sido revisado por otros investigadores independientes, pero han considerado que debían hacerlo público para alertar a los usuarios.

“Las conversaciones de los usuarios contienen con frecuencia información sensible, ya que estos suelen percibir a los modelos de lenguaje como asistentes de confianza”, avisa el estudio: “Esta percepción aumenta la probabilidad de que compartan más información sensible de la necesaria”. Otras investigaciones han detectado que los usuarios tienden a revelar detalles sobre sus preferencias sexuales, condiciones de salud o apoyo psicológico incluso cuando no son necesarios en el contexto de la conversación.

“Cuando los datos de las conversaciones se comparten con terceros como Meta y Google, junto con cookies y otros identificadores de usuario”, explican los investigadores de IMDEA Networks, “surge un nuevo escenario de riesgo”.

El estudio señala que la IA de Meta, Google Gemini y Microsoft Copilot han quedado fuera de este primer análisis debido a que estas empresas son tanto desarrolladores de chatbots y como rastreadores publicitarios. Al estar en los dos lados del negocio (recopilan los datos en su propio servicio y también controlan las redes de rastreo), los investigadores creen que estos asistentes entrañan un “modelo de amenaza diferente” al de ChatGPT, Claude, Grok o Perplexity. No obstante, avanzan que tienen previsto ampliar el alcance de su investigación para incluir los asistentes de Google, Meta y Microsoft en las próximas semanas.

El Ministerio para la Transformación Digital ha aprobado una orden ministerial que impide realizar cualquier comunicación comercial telefónica a través de números que no comiencen por el prefijo 400. La medida, que forma parte del Plan Antiestafas, fija octubre como fecha límite para que las operadoras bloqueen cualquier intento de contacto publicitario que no utilice esta nueva numeración.

“En el día de hoy hemos publicado en el BOE una instrucción que va a obligar a que todas las operadoras telefónicas obliguen a todas las empresas a hacer las llamadas comerciales, siempre con un número 400”, ha detallado el ministro Óscar López este martes en un evento de AMETIC, la patronal tecnológica. “Esta medida entrará en vigor a partir de octubre y por lo tanto, todos los ciudadanos que sepan que a partir de octubre solo podrán recibir llamadas comerciales que entren de un número 400 y el resto serán bloqueadas”.

Los nuevos números 400 serán unidireccionales. Esto significa que los ciudadanos podrán recibir la comunicación, pero el sistema les impedirá devolver la llamada a ese mismo número. Con esta restricción, el Gobierno busca neutralizar las estafas de rellamada, en las que los ciberdelincuentes intentan que la víctima contacte con números de tarificación especial dejándole un gancho en un primer contacto.

Además de la imposición del nuevo prefijo, las operadoras de telecomunicaciones también deberán permitir que sus clientes restrinjan totalmente cualquier contacto comercial vinculado a los números 400.

Registro de nombres contra el fraude por SMS

El paquete de medidas también incluye la mensajería móvil. Con el objetivo de frenar las suplantaciones de identidad de empresas e instituciones a través de SMS, la Comisión Nacional de los Mercados y la Competencia (CNMC) creará un registro oficial donde todos los organismos deberán inscribir los códigos alfanuméricos que utilizan como remitentes.

“A partir de junio, se acabaron los SMS suplantando la personalidad de compañías”, ha afirmado López, señalando que el objetivo es conseguir que “solamente las empresas y las entidades que estén en ese registro de la CNMC podrán hacer esos envíos masivos”. A partir del 7 de junio, las operadoras tienen la orden de bloquear cualquier mensaje cuyo remitente no figure en esta base de datos verificada.

Estas medidas se suman a un protocolo previo que, desde marzo de 2025, prohíbe el uso de numeración móvil para servicios de atención al cliente, obligando al uso de números cortos, fijos locales o rangos gratuitos (800 y 900).

El ministro ha defendido que esas primeras medidas han servico para frenar millones de contactos publicitarios y estafas. “Con las medidas que hemos puesto hasta ahora, hemos conseguido bloquear ya 192 millones de llamadas y 17 millones de SMS”. Según datos del sector, compañías como Telefónica interceptan actualmente cerca de 500.000 llamadas fraudulentas cada día antes de que lleguen al terminal del usuario final.

La nueva normativa se aplicará a todas las compañías, con la única excepción de las pequeñas operadoras de luz, gas y teléfono que posean menos de un 5% de cuota de mercado, cuenten con menos de 250 trabajadores o facturen menos de 50 millones de euros anuales. En caso de incumplimiento tras la entrada en vigor, los ciudadanos podrán denunciar directamente ante la Oficina de Atención al Usuario de Telecomunicaciones (OAUT) o la CNMC.

La Oficina Antifrau de Catalunya (OAC) ha abierto un procedimiento sancionador contra un directivo de TMB, la empresa pública que gestiona el metro y el bus en Barcelona, por la exposición de datos confidenciales de empleados en la intranet de la compañía que desveló elDiario.es en febrero de 2025.

La propuesta de sanción, todavía por determinar, podría alcanzar un máximo de 300.000 euros porque Antifraude considera “muy grave” la presunta infracción cometida, al haber vulnerado las garantías de confidencialidad y anonimato de una persona informante de la propia OAC.

Son varios los empleados de TMB que, durante los últimos años, han pedido amparo a Antifraude para obtener su protección como informantes de presuntos casos de corrupción. Algunos de ellos lo hicieron tras alertar de la propia brecha de seguridad en la intranet, otros tras denunciar o investigar a altos directivos por presunto acoso laboral.

La posible multa se dirige contra el director del área jurídica y de buen gobierno, también imputado en un juzgado penal junto al consejero delegado y otra directiva por presunto acoso laboral a la jefa que investigaba irregularidades internas.

La propuesta de sanción se suma a la cuantiosa multa que la Autoridad Catalana de Protección de Datos (APDCat) pretende imponer a la compañía por los mismos hechos. En el caso de la APDCat, la sanción podría llegar a 15 millones de euros. 

Desde TMB señalan que el afectado presentará alegaciones ante la Oficina Antifraude, recuerdan que la brecha ocurrió hace más de un año, aseguran que lo pusieron en contacto de las autoridades, y achacan el fallo a un “error” del “proveedor externo” que se encargaba de la gestión del sistema informático.

Datos sensibles a la vista

Tal y como desveló este periódico hace un año, un error en la configuración de la intranet de TMB permitió que cualquiera de los casi 9.000 empleados de la compañía pudiera acceder, y descargar, cientos de gigas de información sensible de algunos de sus compañeros.

La información accesible, en algunos supuestos, era altamente confidencial e incluía expedientes de la propia Oficina Antifraude, denuncias al Canal Ético de la empresa, actas del Consejo de Administración, expedientes de Fiscalía, demandas laborales, informes de riesgos psicosociales, correos electrónicos…

También estaba expuesta otra información comprometedora del departamento de recursos humanos y del de compliance como por ejemplo grabaciones de testigos entrevistados durante la instrucción de un caso de acoso laboral.

Los empleados de TMB también podían consultar datos de familiares de los demás empleados, contratos de trabajo, solicitudes de baja, informes y diagnósticos médicos, denuncias policiales, sentencias judiciales, actas de conciliación en despidos o incluso convenios reguladores de regímenes de separación conyugal.

La propuesta de sanción de Antifraude supone un elemento más en la crisis de reputación que vive TMB: a los problemas derivados de la brecha de seguridad se le suma la imputación de hasta cinco altos directivos en juzgados penales por dos presuntos delitos de acoso laboral.

En las dos querellas por presunto acoso laboral que han presentado contra estos cinco directivos también se ha incluido la mencionada brecha de seguridad, ya que los datos de las dos denunciantes y toda la documentación de las investigaciones internas de sus casos estuvieron al descubierto durante meses.