El refuerzo del registro de la jornada laboral propuesto por el Ministerio de Trabajo, pactado con los sindicatos mayoritarios, ha recibido dos importantes golpes. Los dos órganos consultivos que tenían que analizar el texto han resuelto desfavorablemente a la norma, tanto la Agencia de Protección de Datos como el Consejo de Estado. Este último con un dictamen muy duro y unánime en contra, que complica el futuro del reglamento.

La decisión del Consejo de Estado, presidido por la exministra socialista Carmen Calvo, se cerró el pasado jueves en su Comisión Permanente, como adelantó este medio. El órgano tuvo en cuenta el texto del real decreto, así como su memoria económica, y multitud de informes de distintos actores, tanto de los agentes sociales, como de distintas patronales y otros miembros del Gobierno.

Entre ellos, destacan los informes desfavorables del Ministerio de Economía, de Carlos Cuerpo, que llegó a emitir dos documentos contrarios a la norma. El primero, ponía en duda la validez legal del propio decreto, algo que después eliminó en su segundo informe. El Consejo de Estado concluye precisamente en este sentido.

También hay algunas reticencias de otros Ministerios, como el de Función Pública, que advierte de que el decreto afecta a su personal laboral y que requeriría de cambios en sus sistemas de control horario, para lo que pide un plazo “mínimo de un año” y denuncia que “existe un impacto presupuestario que no se ha valorado ni considerado en la memoria”.

El Consejo de Estado rechaza la legalidad del decreto

Entre las principales conclusiones del Consejo de Estado, se opone a la legalidad del real decreto. “Lo que puede la ley no lo puede el reglamento”, resume el órgano consultivo, que considera que el reglamento desarrollado por el Ministerio de Trabajo excede las competencias del real decreto y desarrolla elementos que exigirían de una ley, que no existe.

El Consejo de Estado recuerda que el Ministerio intentó tramitar los cambios en la ley para reducir la jornada laboral a 37 horas y media a la semana, pero esta fracasó en el Congreso por el no de PP, Junts y Vox.

El órgano considera, por un lado, que el reglamento no puede imponer un registro digital si no tiene una ley previa que explicite esta característica del control horario, algo en lo que discrepa un consejero, el exmagistrado y ministro de Justicia Fernando Ledesma Bartret (que no obstante, comparte el resto de reticencias y se posiciona en contra de la norma).

Pero no es el único elemento en el Consejo de Estado considera que se excede el decreto. “No se limita a complementar o desarrollar lo preceptuado en la ley de cobertura, sino que impone nuevas obligaciones y cargas a los empresarios y trabajadores, rebasando así el ámbito propio de la potestad reglamentaria”, recoge el dictamen.

La consecuencia sería “la nulidad por infracción del principio de legalidad” de gran parte del decreto, según el Consejo de Estado: “Afectaría a los artículos 1 a 7, al artículo 9 y a las disposiciones finales cuarta a sexta”.

Tampoco respeta la protección de datos

Entre el resto de reticencias del Consejo, destaca el rechazo de cumplimiento del nuevo registro horario de la legislación sobre protección de datos. El dictamen cita para ello la resolución desfavorable del otro órgano consultivo que tenía que examinar el decreto, la Agencia Española de Protección de Datos (AEPD).

“El informe de la Agencia Española de Protección de Datos es desfavorable en relación con el cumplimiento del principio de reserva de ley al que se sujeta el tratamiento de datos personales”, indica. El informe negativo es del pasado mes de diciembre.

La Agencia advirtió de que el tratamiento de datos que se plantea precisa de un informe de los riesgos en materia de protección de datos, que no se había hecho, aunque fue incluido a posteriori por el Ministerio de Trabajo. Además, la AEPD expresó sus dudas “acerca de que la protección de los datos esté garantizada en relación con el acceso de terceros” al registro, “ya que no se justifica suficientemente que la representación de los trabajadores pueda acceder a todos esos datos”.

Aunque Trabajo insistió en la proporcionalidad de los datos exigidos y en su acceso por la representación de la plantilla, el Consejo de Estado estima que “los datos que ofrece la memoria no son suficientes como para justificar debidamente la iniciativa normativa adoptada, que incide en un derecho constitucionalmente garantizado a la intimidad de todos los trabajadores asalariados de España”.

Los sindicatos CCOO y UGT han lanzado un comunicado conjunto de rechazo al dictamen del Consejo de Estado, en el que entre otras cosas, carga contra su “llamativo” celo respecto a la protección de datos.

“La preocupación por la privacidad parece, en este caso, invertida: no se protege a las personas trabajadoras, sino que se corre el riesgo de proteger la identidad de las empresas incumplidoras, dificultando el acceso efectivo de la Inspección de Trabajo a los registros de jornada”, sostienen las organizaciones mayoritarias de trabajadores.

Se complica el futuro de la norma

Aunque el Consejo de Estado sea un órgano consultivo, su negativa es muy relevante y complica la viabilidad del decreto. De primeras, de cara a la propia aprobación del actual texto por el Consejo de Ministros, que todo apunta a que encontrará reticencias, por ejemplo, del Ministerio de Economía.

“Es normal, dentro de los procesos habituales, que los textos legislativos se vayan adaptando”, indican fuentes del departamento de Carlos Cuerpo, que indican que Economía está “a favor del objetivo perseguido por esta medida”, pero indica “la necesidad de facilitar a las empresas su adopción”, sobre todo a las pymes, con “periodos de adaptación suficientes que permitan que el control del registro horario sea sostenible y pueda ser un pilar para reforzar la reducción efectiva de la jornada laboral”.

En el Ministerio de Trabajo sostienen que tendrán “en cuenta los informes aunque solo sean consultivos”, pero matizan: “Siempre que no desnaturalicen la norma que el Ministerio quiere llevar a cabo, que es que se cumpla la jornada en España, que se garantice el cumplimiento estricto de las compensaciones por horas extras y obviamente que pueda ser revisada por la Inspección y en formato digital”.

El cualquier caso, la negociación con sindicatos “no se va a volver a abrir porque hubo una mesa de dialogo social que duró 11 meses y en la que se llegó a un acuerdo”, añaden en el departamento de Yolanda Díaz.

Los sindicatos CCOO y UGT han insistido por su parte al Ejecutivo de coalición para que apruebe la medida pactada. “El Gobierno no puede ampararse en un informe no vinculante para incumplir los compromisos adquiridos en el marco del diálogo social ni para renunciar a su obligación de garantizar un sistema de registro que sea verdaderamente objetivo, fiable, accesible y no manipulable. Está en juego el respeto a los derechos de 16,6 millones de personas trabajadoras y la propia equidad del sistema económico”, sostienen.

Sin embargo, aunque saliera adelante el real decreto como está en el Consejo de Ministros, y se llegara a aplicar en la práctica, su futuro se complica ya que estos dictámenes contrarios allanan el camino a los recursos judiciales que pretende presentar la patronal contra esta medida.

El Gobierno quiere incluir la generación de imágenes o vídeos falsos de otras personas con inteligencia artificial en el catálogo de delitos contra el honor. Estos contenidos, conocidos como deepfakes, están suscitando una considerable alarma social y protestas de las personas afectadas. Según los datos que maneja Naciones Unidas, “hasta el 95% de los deepfakes son imágenes pornográficas no consentidas, y el 99% de las víctimas son mujeres”. El Consejo de Ministros aprobará este martes en primera vuelta el anteproyecto de ley con el que pretende poner coto a esta actividad.

La Agencia Española de Protección de Datos (AEPD) ha enviado un aviso este martes: manipular la imagen de otras personas con IA, especialmente si implica “desnudez añadida” o “contenido íntimo sintético”, ya puede acarrear multas por violar las leyes de privacidad o incluso delitos recogidos en el Código Penal.

Así lo ha expresado en un documento que detalla los riesgos “visibles e invisibles” de los deepfakes. La Agencia recuerda que cualquier imagen, vídeo o audio que permita identificar a una persona, ya sea por su rostro, voz, tatuajes o entorno, constituye un dato personal. Por tanto, su tratamiento mediante IA está sujeto a la normativa de protección de datos con independencia del realismo del resultado.

El regulador de la privacidad, de hecho, ya ha dictado resoluciones sancionatorias por este tipo de actividades. Fue en noviembre cuando la Agencia impuso la primera sanción en este sentido. En aquel caso, la resolución condenó a los padres de un menor que había creado imágenes de sus compañeras de instituto desnudas con IA a pagar 2.000 euros por violación de su privacidad. Se trataba de una sanción derivada del escándalo de Almendralejo, en el que se compartieron fotografías falsificadas de niñas menores de edad en grupos de mensajería, y que salió a la luz en septiembre de 2023.

Con todo, esta actividad ha vuelto a disparar la indignación en estos primeros días de 2026 debido a la inteligencia artificial de Elon Musk. El magnate permitió que Grok, como se llama su modelo generativo, creara este tipo de contenidos falsificados (en este caso, mostrando a las mujeres en bikini o lencería) y los publicara en abierto en X, su red social. Múltiples países europeos y la propia UE ya investigan lo sucedido. “Es ilegal, espantoso y repugnante”, declaró un portavoz comunitario.

Sexualización y humillación

En su guía de riesgos, la AEPD advierte de que el daño para la víctima de un deepfake “puede ser equivalente y en algunos casos mayor que en el caso de una imagen o un vídeo real”. Especialmente, cuando se producen situaciones de sexualización, humillación o la atribución de hechos falsos que resultan socialmente creíbles.

Además de lo que otros pueden ver al difundirse el contenido, el regulador de privacidad pone el foco en los peligros ocultos para la privacidad de los deepfakes, como “la pérdida efectiva de control” sobre su propia imagen, que puede distribuirse fácilmente en redes donde los usuarios no conocen el contexto de si es real o no. Además, una vez que la imagen se sube a una de estas plataformas, se crea un archivo que se guardará en sus bases de datos y unos metadatos (información sobre esas imágenes, como autor, fecha, formato, ubicación, etc.) que podrían llevar a la identificación de la persona que aparece en el deepfake.

“Es cierto que muchas plataformas de IA generativa incorporan mecanismos técnicos para limitar la generación de contenidos claramente lesivos”, reconoce la AEPD. “Estas medidas hacen que muchos contenidos notoriamente dañinos no lleguen a generarse, pero no garantizan que desaparezcan todos los riesgos”, añade en la guía. Fuentes del organismo aseguran que este lleva semanas trabajando en el documento y que sus recomendaciones van más allá de lo sucedido con la IA de Elon Musk en X.

Ante esta realidad, la AEPD recomienda extremar la prudencia y recalca que el uso irreflexivo de estas herramientas para “usos considerados banales o lúdicos” (como filtros o animaciones) puede dejar de considerarse una actividad “estrictamente doméstica” si el contenido se difunde de forma masiva o impacta gravemente en la vida profesional o personal del afectado, lo que puede acarrear sanciones. En los casos más graves, pueden existir “indicios de delito” que hagan que el organismo derive el caso ante autoridades policiales y judiciales.

Finalmente, la Agencia subraya que el uso de esta tecnología es especialmente peligroso cuando se trata la imagen de menores de edad o personas vulnerables. En los supuestos en los que se produzca una pérdida de control o un daño reputacional intenso, el organismo insta a los afectados a presentar una reclamación ante la Agencia, que cuenta con herramientas como el Canal Prioritario, una vía de urgencia que permite la retirada de determinados contenidos sexuales, violentos o vejatorios en 24 horas.

Recoger la documentación bancaria y el DNI en el domicilio del cliente, perderlos por el camino y no darse cuenta hasta que el usuario protesta. Y cuando protesta, pasarse medio año preguntando a la empresa de mensajería equivocada. La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 500.000 euros a ING tras confirmar que la entidad carecía de medidas básicas para rastrear la documentación sensible que mueve fuera de sus oficinas.

Todo comenzó con una solicitud para darse de alta como cotitular en la cuenta de su pareja. Siguiendo instrucciones del banco, una empresa de mensajería recogió en el domicilio de un cliente un sobre con los datos para llevar a cabo el trámite. La documentación nunca llegó a los sistemas de ING.

En el paquete se encontraban copias del DNI por ambas caras, datos financieros como el número de cuenta bancaria, su domicilio, dirección de correo electrónico, número de teléfono móvil, información sobre su vida laboral, así como su firma original.

Datos que aunque ING argumentó que no son “sensibles” (categoría en la que entran aquellos referentes a la ideología, creencias religiosas u orientación sexual), la AEPD recalca que el hecho de perderlos todos juntos lo convierte en “especialmente” peligroso. Contar con esa información permite a un delincuente “construir un perfil completo y detallado” de la víctima para cometer abusos, ya que “conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor”, recalca en su resolución.

Con todo, lo que ha motivado la contundencia de la sanción no es el extravío en sí, sino el caos administrativo que lo siguió. A pesar de que el cliente alertó de la situación al banco hasta en cuatro ocasiones durante el mes siguiente a enviar la documentación, ING se limitó a abrir incidencias internas sin investigar a fondo qué había sucedido con sus datos, instándole a que la enviara de nuevo.

Según consta en la resolución, los avisos del afectado provocaron que el banco se pusiera en contacto repetidamente con su proveedor logístico habitual, la empresa Sending, para localizar el envío. El problema es que, para ese porte específico, se había contratado a otra compañía distinta, Dynamic. Fue el propio cliente el que avisó de ello en sus alertas al banco, suministrando tanto el nombre de la empresa que había recogido el paquete como incluso el del mensajero que se lo había llevado.

Pese a los avisos del afectado, ING no contactó a la empresa correcta durante más de siete meses. Tampoco lo consideró como una posible brecha de seguridad que podría causar daños al cliente. Cuando lo hizo, fue debido a que la AEPD ya se había puesto en contacto con la entidad para recabar información sobre lo sucedido después de que el cliente presentara una reclamación oficial.

“Error humano” frente a fallo sistémico

En sus alegaciones ante el regulador, la entidad intentó justificar el incidente como una anécdota estadística. ING expuso que el extravío afectaba a un porcentaje insignificante de su operativa (un “0,0029% del total de recogidas y envíos”), por lo que atribuyó lo sucedido a un “error humano puntual” de la empresa de transporte, defendiendo que el banco no podía ser responsable de un fallo del mensajero.

La AEPD no ha aceptado esta versión. El regulador de la privacidad subraya que el banco, como responsable de los datos cedidos por el cliente, debe vigilar en todo momento qué ocurre con ellos. Si en el proceso de tratamiento subcontrata a un tercero, debe vigilar qué hace esa empresa con la información en todos los pasos del proceso. “Al responsable le corresponde verificar que las medidas implementadas por el encargado siguiendo sus instrucciones funcionan, aun cuando ING asegure que los protocolos y procedimientos definidos por la red de mensajería son 'responsabilidad exclusiva' de dichas empresas”, zanja.

Más grave aún para el organismo regulador es la ausencia de mecanismos de alerta. El contrato firmado entre el banco y la paquetera no incluía herramientas para localizar un envío en un momento dado. “ING carecía de mecanismos de alerta temprana que permitieran detectar posibles brechas de datos personales”, destaca la resolución, señalando que el banco solo tuvo conocimiento del fallo “a través del propio afectado” y “no supo identificar al encargado al que encomendó la recogida de la documentación”.

Si el sobre está cerrado

En sus últimas alegaciones, ING argumentó que “la documentación se encontraba en un sobre cerrado”. Por ello, justifica que no hay constancia de que su contenido haya caído en manos de terceros y, por tanto, confirmación de la existencia de la brecha de seguridad.

Este argumento tampoco ha servido para esquivar la sanción. La AEPD recuerda que la pérdida de control sobre datos críticos como una fotocopia completa del DNI junto a un número de cuenta bancaria genera un riesgo severo para el ciudadano, independientemente de si se confirma o no el acceso indebido. “La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo”, recuerda el regulador.

Estos motivos han derivado en una infracción grave de las leyes de privacidad por falta de medidas de seguridad adecuadas. La sanción original de medio millón de euros se ha visto reducida finalmente a 400.000 euros, dado que ING ha optado por reconocer su responsabilidad y abonar la multa voluntariamente, renunciando a litigar en los tribunales, lo que le permite acogerse a una reducción del 20%.

“Respetamos y acatamos la resolución de la AEPD, con quien colaboramos activamente en línea con nuestros compromisos con la protección de los datos de nuestros clientes”, ha expresado una portavoz de la entidad en un comunicado enviado a elDiario.es. “Se trató de un caso puntual y excepcional derivado de la pérdida de documentación por parte de una empresa de mensajería. No obstante, hemos revisado y reforzado nuestros procesos con este tipo de proveedores para garantizar el cumplimiento de los más altos estándares de seguridad y privacidad”, concluye.

TikTok ha reanudado las transferencias de datos personales de sus usuarios europeos hacia China. Así lo ha alertado la Agencia Española de Protección de Datos (AEPD) este lunes, que destaca que la red social continúa transfiriendo información a terceros países, incluido el gigante asiático, a pesar de que estas prácticas “ya fueron analizadas por parte de las autoridades europeas, que concluyeron que no cumplían con el Reglamento General de Protección de Datos (RGPD)”, lo que le valió una multa de 530 millones de euros.

El origen de esta situación se remonta a abril de este año, cuando la Comisión de Protección de Datos de Irlanda (DPC), la autoridad principal que vigila a la plataforma al estar su sede europea en Dublín, impuso dicha sanción y ordenó detener los envíos de información tras una investigación coordinada con el resto de agencias europeas. Sin embargo, la compañía recurrió la decisión ante la justicia irlandesa, que el pasado noviembre acordó levantar temporalmente la prohibición de transferir los datos a la espera de dictar una sentencia definitiva.

Este permiso provisional concedido por el tribunal está condicionado a que la tecnológica cumpla con unas obligaciones específicas de transparencia. Por ello, TikTok ha comenzado a informar a los usuarios europeos sobre cómo se tratan sus datos personales y sobre la existencia del procedimiento judicial en curso. TikTok tiene más de 200 millones de usuarios en Europa, unos 23,5 millones de ellos en España, según datos oficiales de la plataforma.

La AEPD aclara que, aunque el bloqueo de las transferencias se encuentre en suspenso de forma cautelar, la valoración legal de los reguladores “sigue vigente”. Las autoridades europeas insisten en que enviar esta información a China incumple la normativa comunitaria, por lo que la legalidad de la operativa de la red social continúa estando cuestionada.

Desde TikTok recalcan que están “en total desacuerdo” con la resolución emitida por la autoridad irlandesa, por lo que celebra la decisión del tribunal y ha reactivado el envío de datos. “TikTok se toma muy en serio la protección de datos y la privacidad de los usuarios”, asegura la red social, indicando que ha realidado una “inversión de 12.000 millones de euros en la seguridad de los datos europeos”. “En nuestra opinión, ofrece garantías inigualables para los datos de los usuarios europeos”, asegura.

“Valorar si desean continuar”

Ante este escenario, el organismo español considera “esencial” que los ciudadanos, y especialmente los más jóvenes, dispongan de información clara sobre el destino de su información. Entre sus recomendaciones, la Agencia aconseja “revisar la configuración de privacidad de las aplicaciones y comprobar los permisos concedidos, como el acceso a la cámara, el micrófono, los contactos o la ubicación”, o “actuar con prudencia respecto a la información que se comparte a través de aplicaciones y redes sociales, evitando la difusión de datos sensibles”.

Además, el regulador de la privacidad español va un poco más allá y sugiere a los usuarios que abandonen la plataforma. De esta forma, la AEPD recomienda “valorar si desean continuar utilizando un servicio cuando existen transferencias de datos a países que no ofrecen un nivel de protección equivalente al europeo”.

Con esta advertencia, el organismo recuerda que cuando la información personal se almacena en bases de datos de terceros países fuera del bloque comunitario, pasa a quedar bajo la jurisdicción local. En el caso de China, esto puede implicar el acceso total a esa información por parte del Gobierno o el Ejército Popular de Liberación, puesto que la ley les permite reclamar a las compañías tecnológicas cualquier activo que tengan a su disposición en base a los intereses del Estado. Aunque no existen pruebas de que se hayan producido acceso a las bases de datos de TikTok, el marco legal chino lo permite.

Este tipo de accesos no contemplados en la regulación europea fueron los que motivaron al Tribunal de Justicia de la UE a invalidar por dos veces el tratado de transferencias de datos que la Comisión Europea había establecido con Estados Unidos. El actual también está siendo analizado por los magistrados tras una denuncia del mismo abogado que consiguió la anulación de los dos anteriores.

A diferència d'altres pobles de Mallorca, a penes hi ha trànsit per a accedir a Santa Eugènia, on transcorre un matí tranquil típic d'entre setmana. Enclavat a l'interior de l'illa, aquesta localitat de poc més de 1.800 habitants viu aquests dies, no obstant això, un debat inesperat: la presència, tal com va revelar la setmana passada elDiario.es, de més de mig centenar de càmeres de vigilància la proliferació de les quals ha despertat opinions oposades entre els seus veïns. Mentre uns qüestionen la transparència, la ubicació i la proporcionalitat dels dispositius, que operen sense que la seva legalitat estigui del tot clara, uns altres consideren necessaris aquests artefactes per a garantir la seguretat d'un poble que, segons al·lega l'alcalde i consta a la memòria d'activitats de les policies locals de Balears relativa a 2024, compta amb tan sols dos agents municipals.

“Els caps de setmana només hi ha un policia. Ni Guàrdia Civil ni res”, comenta Ramón, qui atén a aquest periòdic mentre pren un cafè recolzat a la barra d'un dels pocs bars del municipi, poc acostumat a ser escenari de controvèrsies tecnològiques. Preguntat pel renou generat en els últims dies, afirma que no veu “gens dolent” en el fet que les càmeres abundin, a diferents altures, a la via pública del nucli urbà. “No és necessari que ocorri gens greu, basta que un cotxe et pegui en el retrovisor i no et deixin ni un paperet”, afegeix aquest vilatà, qui assegura que “molts veïns ni siquera sabien que hi havia càmeres. Ara porten diversos dies comentant el tema pel renou generat per les notícies. La gent del poble no parla de les càmeres”.

El bar està regentat per Álex i Samanta, els qui, igual que Ramón, creuen pertinents els dispositius davant la manca d'efectius policials. “Aquí ens van entrar a robar, però no arribem a veure qui era perquè anava tapat. També s'han produït altres robatoris. Aquestes càmeres són necessàries, no són per a mirar la gent”, defensen.

“Bastaria que n’hi hagués una a cada entrada del poble”

Caminant pels carrers de Santa Eugènia, un altre veí, Onofre, opina el contrari: “Bastaria que hi hagués una a cada entrada del poble”. Segons la seva opinió, els arguments oferts per l'alcalde sobre la falta d'agents municipals “són excuses”, atès que, en la seva opinió, “la criminalitat no ha augmentat. De tant en tant hi ha hagut algun robatori, però res més”. El resident es mostra, sobretot, indignat amb els punts on estan instal·lats alguns dels dispositius: “Prop del col·legi, de la piscina... Per a mi és molt lleig”.

Marga, una altra veïna, es mostra, de nou, a favor de la implantació d'aquests artefactes: “Fa un parell d'anys no hi havia punts. A la meva mare li van cremar el cotxe i ningú es va adonar. I ni li ho van pagar”. Més enllà de la seva experiència personal, al·lega que les càmeres permeten regular el trànsit del municipi: “En teoria has d'anar a 30, però molta gent va a 50 o 60 i no passa res”.

“Mentre les càmeres no s'utilitzin malament i hi hagi un motiu, no m'afecten”

Altres veus reclamen més informació i transparència mentre expressen la seva confusió: “No era conscient que hi hagués tantes càmeres”, assegura Carol, qui, amb tot, assegura no sentir-se “vigilada”. “Potser el rebombori generat en els últims dies ha magnificat la sensació d'alarma”. Alguns asseguren que no han percebut canvis en el seu dia a dia i que la presència dels dispositius, encara que cridanera, no interfereix en la seva rutina ni els preocupa especialment. “Mentre no s'utilitzin malament i hi hagi un motiu, tampoc m'afecta”, apunta una altra resident.

Per part seva, un altre resident que opta per mantenir el seu anonimat assenyala que prefereix no pensar que camina “sentint que està sent controlat”, encara que reclama més transparència i una justificació més sòlida que la de ser una mesura dissuasiva davant l'escassetat d'agents. Uns altres assumeixen la presència d'aquests dispositius com a part d'una tendència general cap a una major vigilància en els espais públics.

Un altre resident que opta per mantenir el seu anonimat assenyala que prefereix no pensar que camina "sentint que està sent controlat", encara que reclama més transparència i una justificació més sòlida que la de ser una mesura dissuasòria davant l'escassetat d'agents

Tal com ha pogut comprovar aquest mitjà, les terrasses dels tres bars del poble —Can Topa, S'Estació i L'Escargot— es troben videovigiladas, amb càmeres apuntant directament a les taules i zones de reunió. En tot just quatre carrers —carrer Major, carrer Bisbe Sastre, carrer de S’Aljub, carrer de Ses Escoles i carrer de l’Església— hi ha 25 càmeres. Els dispositius s'alimenten directament de la xarxa d'enllumenat públic i molts d'ells manquen de qualsevol cartell de senyalització que adverteixi de la seva presència. Els pocs que exhibeixen l'avís resulten estar completament obsolets: remeten a lleis derogades, ometen la identificació de la Policia Local com a destinatària de les imatges i no especifiquen el termini de conservació, entre altres informacions rellevants.

Fonts solvents i coneixedores del sistema van apuntar a aquest periòdic que l'alcalde tindria accés directe a les gravacions des del seu ordinador personal, un extrem que el primer edil ha negat rotundament. Les mateixes veus apunten que la infraestructura permetria la visualització multipantalla en temps real, encara que només una anàlisi forense dels seus equips podria determinar si aquesta funció està activa i si també s'ha habilitat la captació d'àudio. De confirmar-se, els terminals que permeten visualitzar les imatges no estarien sota la custòdia exclusiva de la Policia Local, com exigeix la llei.

La legislació espanyola en matèria de captació d'imatges per part de les administracions públiques és clara i restrictiva. Qualsevol ajuntament que desitgi col·locar càmeres a la via pública ha d'obtenir autorització prèvia del delegat del Govern. La norma obliga a justificar la necessitat del sistema, la seva proporcionalitat i el seu impacte sobre els drets fonamentals. Cap punt de vigilància pot activar-se sense aquest permís exprés i amb una fi degudament acreditada.

El Consistori, dirigit pel socialista Pep Lluís Urraca, qui va rebutjar en un primer moment fer declaracions i va remetre qualsevol resposta a l'empresa GrupoX3, amb la qual té contractat el servei de delegat de protecció de dades, assenyala, no obstant això, que només la Policia Local té accés a les càmeres i que ell només les visualitza en cas de que hagi de signar informes on, per exemple, s'afirmi que en el Punt Verd “s'han tirat residus on no toca”. El primer edil assegura que són una mesura dissuasiva i que els ciutadans “poden estar tranquils”, atès que les imatges s'esborren periòdicament.

Urraca afirma que, quan va arribar al Consistori després del govern del PP, hi havia més d'una vintena de càmeres instal·lades, que totes actualment estan fora de servei, que “sempre es posen a petició de Policia Local” i que, en el cas que apuntin a bars, estan pixelades. Tal com va posar de manifest a elDiario.es, la immensa majoria de dispositius són de trànsit i altres es troben en zones on hi ha aglomeracions i flux de gent per festes o ‘tardeos’. Així mateix, aclareix que han estat pagats amb una subvenció del Govern, és a dir, que no han costat diners públics del Consistori.

Mentrestant, Santa Eugènia sembla atrapada entre dues realitats: la necessitat real de vigilar per falta de recursos policials, segons l'ajuntament, i la inquietud d'uns altres que expressen alguns residents. Amb tot, la situació transcendeix el debat local: fins a on pot arribar la vigilància en nom de la seguretat?

A diferencia de otros pueblos de Mallorca, apenas hay tráfico para acceder a Santa Eugènia, donde transcurre una mañana tranquila típica de entre semana. Enclavado en el interior de la isla, esta localidad de poco más de 1.800 habitantes vive estos días, sin embargo, un debate inesperado: la presencia, tal como desveló la semana pasada elDiario.es, de más de medio centenar de cámaras de vigilancia cuya proliferación ha despertado opiniones encontradas entre sus vecinos. Mientras unos cuestionan la transparencia, la ubicación y la proporcionalidad de los dispositivos, que operan sin que su legalidad esté del todo clara, otros consideran necesarios estos artilugios para garantizar la seguridad de un pueblo que, según alega el alcalde y consta en la memoria de actividades de las policías locales de Balears relativa a 2024, cuenta con tan solo dos agentes municipales.

“Los fines de semana solo hay un policía. Ni Guardia Civil ni nada”, comenta Ramón, quien atiende a este periódico mientras toma un café acodado a la barra de uno de los pocos bares del municipio, poco acostumbrado a ser escenario de controversias tecnológicas. Preguntado por el revuelo generado en los últimos días, afirma que no ve “nada malo” en el hecho de que las cámaras abunden, a distintas alturas, en la vía pública del casco urbano. “No es necesario que ocurra nada grave, basta que un coche te pegue en el retrovisor y no te dejen ni un papelito”, añade este lugareño, quien asegura que “muchos vecinos ni siquiera sabían que había cámaras. Ahora llevan varios días comentando el tema por el revuelo generado por las noticias. La gente del pueblo no habla de las cámaras”.

El bar está regentado por Álex y Samanta, quienes, al igual que Ramón, creen pertinentes los dispositivos ante la carencia de efectivos policiales. “Aquí nos entraron a robar, pero no llegamos a ver quién era porque iba tapado. También se han producido otros robos. Estas cámaras son necesarias, no son para mirar a la gente”, defienden.

“Bastaría que hubiera una en cada entrada del pueblo”

Caminando por las calles de Santa Eugènia, otro vecino, Onofre, opina lo contrario: “Bastaría que hubiera una en cada entrada del pueblo”. En su opinión, los argumentos ofrecidos por el alcalde acerca de la falta de agentes municipales “son excusas”, dado que, en su opinión, “la criminalidad no ha aumentado. De vez en cuando ha habido algún robo, pero nada más”. El residente se muestra, sobre todo, indignado con los puntos en los que se encuentran instalados algunos de los dispositivos: “Cerca del colegio, de la piscina... Para mí es muy feo”.

Marga, otra vecina, se muestra, de nuevo, a favor de la implantación de estos artilugios: “Hace un par de años no había tantos. A mi madre le quemaron el coche y nadie se dio cuenta. Y ni se lo pagaron”. Más allá de su experiencia personal, alega que las cámaras permiten regular el tráfico del municipio: “En teoría tienes que ir a 30, pero mucha gente va a 50 ó 60 y no pasa nada”.

“Mientras las cámaras no se usen mal y haya un motivo, no me afectan”

Otras voces reclaman más información y transparencia mientras expresan su confusión: “No era consciente de que hubiera tantas cámaras”, asegura Carol, quien, con todo, asegura no sentirse “vigilada”. “Quizás el alboroto generado en los últimos días ha magnificado la sensación de alarma”. Algunos aseguran que no han percibido cambios en su día a día y que la presencia de los dispositivos, aunque llamativa, no interfiere en su rutina ni les preocupa especialmente. “Mientras no se usen mal y haya un motivo, tampoco me afecta”, apunta otra residente.

Por su parte, otro residente que opta por mantener su anonimato señala que prefiere no pensar que camina “sintiendo que está siendo controlado”, aunque reclama más transparencia y una justificación más sólida que la de ser una medida disuasoria ante la escasez de agentes. Otros asumen la presencia de estos dispositivos como parte de una tendencia general hacia una mayor vigilancia en los espacios públicos.

otro residente que opta por mantener su anonimato señala que prefiere no pensar que camina "sintiendo que está siendo controlado", aunque reclama más transparencia y una justificación más sólida que la de ser una medida disuasoria ante la escasez de agentes

Añade que la inmensa mayoría de dispositivos son de tráfico y que otros están en zonas donde hay aglomeraciones y flujo de gente por fiestas o tardeos. Asimismo, aclara que han sido pagados con una subvención del Govern, es decir, que no han costado dinero público del Consistorio.

Tal como ha podido comprobar este medio, las terrazas de los tres bares del pueblo —Can Topa, S'Estació i L'Escargot— se encuentran videovigiladas, con cámaras apuntando directamente a las mesas y zonas de reunión. En apenas cuatro calles —carrer Major, carrer Bisbe Sastre, carrer de S’Aljub, carrer de Ses Escoles y carrer de l’Església— hay 25 cámaras. Los dispositivos se alimentan directamente de la red de alumbrado público y muchos de ellos carecen de cualquier cartel de señalización que advierta de su presencia. Los pocos que exhiben el aviso resultan estar completamente obsoletos: remiten a leyes derogadas, omiten la identificación de la Policía Local como destinataria de las imágenes y no especifican el plazo de conservación, entre otras informaciones relevantes.

Fuentes solventes y conocedoras del sistema apuntaron a este periódico que el alcalde tendría acceso directo a las grabaciones desde su ordenador personal, un extremo que el primer edil ha negado tajantemente. Las mismas voces apuntan que la infraestructura permitiría la visualización multipantalla en tiempo real, aunque solo un análisis forense de sus equipos podría determinar si esta función está activa y si también se ha habilitado la captación de audio. De confirmarse, los terminales que permiten visualizar las imágenes no estarían bajo la custodia exclusiva de la Policía Local, como exige la ley.

La legislación española en materia de captación de imágenes por parte de las administraciones públicas es clara y restrictiva. Cualquier ayuntamiento que desee colocar cámaras en la vía pública debe obtener autorización previa del delegado del Gobierno. La norma obliga a justificar la necesidad del sistema, su proporcionalidad y su impacto sobre los derechos fundamentales. Ningún punto de vigilancia puede activarse sin ese permiso expreso y con un fin debidamente acreditado.

El Consistorio, dirigido por el socialista Pep Lluís Urraca, quien rechazó en un primer momento hacer declaraciones y remitió cualquier respuesta a la empresa GrupoX3, con la que tiene contratado el servicio de delegado de protección de datos, señala, sin embargo, que solo la Policía Local tiene acceso a las cámaras y que él sólo las visualiza en el caso de que tenga que firmar informes donde, por ejemplo, se afirme que en el Punto Verde “se han tirado residuos donde no toca”. El primer edil asegura que son una medida disuasoria y que los ciudadanos “pueden estar tranquilos” dado que las imágenes se borran periódicamente.

Urraca afirma que, cuando llegó al Consistorio tras el gobierno del PP, había más de una veintena de cámaras instaladas, que todas actualmente están fuera de servicio, que “siempre se ponen a petición de Policía Local” y que, en el caso de que apunten a bares, están pixeladas. Tal como puso de manifiesto a elDiario.es, la inmensa mayoría de dispositivos son de tráfico y otros se encuentran en zonas donde hay aglomeraciones y flujo de gente por fiestas o tardeos. Asimismo, aclara que han sido pagados con una subvención del Govern, es decir, que no han costado dinero público del Consistorio.

Mientras tanto, Santa Eugènia parece atrapada entre dos realidades: la necesidad real de vigilar por falta de recursos policiales, según el ayuntamiento, y la inquietud de otros que expresan algunos residentes. Con todo, la situación trasciende el debate local: ¿hasta dónde puede llegar la vigilancia en nombre de la seguridad?

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 10.043.002 euros a Aena por su sistema de reconocimiento facial en los aeropuertos españoles. El regulador ha ordenado además la suspensión temporal de todo tratamiento de datos biométricos por parte del gestor aeroportuario, al concluir que implementó una tecnología de alto riesgo para los derechos de los ciudadanos sin justificar que fuera realmente necesaria ni proporcional para el fin perseguido, que era agilizar el embarque.

La resolución carga contra la premisa de que la “experiencia de usuario” justifica cualquier despliegue tecnológico. La AEPD considera que Aena recopiló y almacenó datos biométricos de más de 62.000 pasajeros de forma centralizada sin haber realizado una Evaluación de Impacto válida, un requisito obligatorio para desplegar este tipo de tecnologías invasivas.

El organismo que dirige Lorenzo Cotino califica la falta de diligencia de la empresa pública como “grave”. Según el expediente, Aena era consciente de que su programa de reconocimiento facial implicaba un tratamiento de categoría especial y alto riesgo. Sin embargo, la compañía siguió adelante con el despliegue a pesar de haber recibido dos informes desfavorables previos de la propia Agencia durante la fase de consulta.

Vigilancia centralizada

El núcleo de la infracción no es el uso de la biometría, sino cómo se diseñó la arquitectura del sistema. Aena optó por un modelo de “identificación biométrica uno-a-varios” con almacenamiento centralizado. En términos técnicos, esto significa que la cara del pasajero no se coteja únicamente contra su documentación en el momento del paso del control, sino que se almacena en una base de datos central controlada por Aena.

La AEPD determina que este enfoque vulnera las leyes de privacidad, que estipulan que el tratamiento de datos debe ajustarse al mínimo imprescindible. El organismo regulador estipula que existían alternativas mucho menos intrusivas para lograr el mismo objetivo de seguridad y fluidez, como la autenticación biométrica local o, simplemente, el sistema tradicional de comprobación visual humana que ha funcionado durante décadas.

La resolución afirma que el nuevo sistema implicaba “almacenar muchos más datos personales” (incluyendo detalles de la tarjeta de embarque y la identidad del viajero) en los servidores de Aena durante un periodo de hasta dos años. Unas bases de datos que, para la AEPD, no eran necesarias con los métodos tradicionales ni con arquitecturas biométricas más respetuosas con la privacidad.

Aena recurrirá: “Es una cuestión formal”

Aena ha anunciado que recurrirá la sanción ante los tribunales, expresando su “respetuosa discrepancia” con ella. En un comunicado emitido tras conocerse la multa, la empresa defiende que la sanción se basa en una “supuesta infracción de una obligación formal”, refiriéndose a las deficiencias señaladas en su Evaluación de Impacto.

El gestor aeroportuario sostiene que los pasajeros prestaron su consentimiento “voluntariamente” e informado para acceder al embarque biométrico. Sin embargo, en el ámbito de la protección de datos, el consentimiento “no valida” un tratamiento si este es “desproporcionado o innecesario desde su diseño”, le recuerda la AEPD.

Aena también ha querido recalcar que la seguridad de los datos nunca estuvo comprometida: “No se ha producido ninguna brecha de seguridad y, por tanto, no ha habido ninguna filtración de datos de los usuarios”. La compañía argumenta que su único objetivo era “proporcionar a los pasajeros una mejor experiencia” y asegura que trabajará para reiniciar el programa “tan pronto como sea posible”.

Suspensión inmediata

Hasta que Aena no demuestre que puede gestionar estos datos cumpliendo estrictamente con el Reglamento General de Protección de Datos (RGPD), el reconocimiento facial se queda en tierra. La suspensión dictada por la AEPD se mantendrá hasta que la empresa realice una evaluación de riesgos que contemple realmente los peligros para los derechos y libertades de los viajeros.

Esta medida correctiva no afectará a la operativa de los vuelos, ya que el sistema biométrico convivía con los controles documentales tradicionales, que seguirán operando como hasta ahora.

La multa a Aena se suma a una tendencia creciente de los reguladores europeos de poner coto al uso indiscriminado de la biometría en espacios públicos, donde a menudo se prioriza la eficiencia operativa o comercial por encima de la privacidad de los ciudadanos. Al tratarse de una infracción muy grave cometida por una gran empresa —con un volumen de negocio superior a los 5.000 millones de euros—, la cuantía de la sanción se ha graduado acorde a la magnitud de la entidad y el número de afectados.

Santa Eugènia és un petit municipi de l’interior de Mallorca amb poc més de dos mil habitants, envoltat de camps de vinyes i camins rurals. Viu al marge del turisme, cosa poc habitual a l’illa. Aquesta aparença tranquil·la contrasta amb una realitat inquietant: en recórrer el centre del poble, és possible observar desenes de dispositius de videovigilància instal·lats a baixa altura a fanals, pals d’enllumenat i façanes, orientats cap a carrers, places i, fins i tot, terrasses de bars.

Han estat els mateixos treballadors i veïns del poble qui, els darrers anys, han alertat de la proliferació de càmeres. elDiario.es ha pogut localitzar sobre el terreny més de mig centenar de dispositius actius i visibles, molts d’ells sense senyalització, que conformen un sistema de vigilància sense precedents en un municipi d’aquestes dimensions. El desplegament s’hauria duit a terme de manera paulatina i sense constar en expedients públics, cosa que suggereix una expansió silenciosa i sense control administratiu.

Sorprèn que tots els carrers i accessos a Santa Eugènia estiguin sota vigilància constant, segons ha pogut comprovar elDiario.es després del seu recorregut pel municipi. Aquesta cobertura garanteix que rostres i matrícules puguin ser identificats pràcticament en qualsevol desplaçament dins o cap al nucli urbà. Un altre detall significatiu és que les terrasses dels tres bars del poble —Can Topa, S’Estació i L’Escargot— també es troben videovigilades, amb càmeres que apunten directament a les taules i zones de reunió. En només quatre carrers —carrer Major, carrer Bisbe Sastre, carrer de s’Aljub, carrer de ses Escoles i carrer de l’Església— hi ha 25 càmeres.

Els dispositius s’alimenten directament de la xarxa d’enllumenat públic. D’altra banda, molts d’ells manquen de qualsevol cartell de senyalització que advertesqui de la seva presència i els pocs que en tenen resulten estar completament obsolets: remeten a lleis derogades, ometen la identificació de la Policia Local com a destinatària de les imatges i no especifiquen el termini de conservació, entre altres informacions rellevants.

El batle i la seva 'finestra indiscreta'

Segons fonts solvents i coneixedores del sistema, el batle tindria accés directe a les gravacions des del seu ordinador personal, un extrem que el primer edil no ha volgut confirmar ni negar. Aquestes mateixes veus apunten que la infraestructura permetria la visualització multipantalla en temps real, encara que només una anàlisi forense dels seus equips podria determinar si aquesta funció està activa i si també s’ha habilitat la captació d’àudio. De confirmar-se, els terminals que permeten visualitzar les imatges no estarien sota la custòdia exclusiva de la Policia Local, com exigeix la llei.

Las 50 cámaras ilegales instaladas en Santa Eugènia

Polideportivo

Camí llogaret de Ses Alqueries

Antiguo punt verd

ses Coves - Sta. María

ses Alqueríes

Llogaret de Ses Coves

Plaça d,es Puget

Bares

Nuevo punt verd

Zona escuela

Sineu - Algaida

Camí llogaret de Ses Olleries

FUENTE: ALBERTO FRAILE

Las 50 cámaras ilegales instaladas

en Santa Eugènia

Polideportivo

Camí llogaret de Ses Alqueries

Antiguo punt verd

ses Coves - Sta. María

ses Alqueríes

Plaça d,es

Puget

Llogaret de Ses Coves

Bares

Nuevo punt verd

Zona escuela

Sineu - Algaida

Camí llogaret de Ses Olleries

FUENTE: ALBERTO FRAILE

Tot apunta que la xarxa de videovigilància desplegada al cor de Mallorca opera de manera clarament desproporcionada, fins al punt d’haver convertit aquest petit municipi en un dels llocs més vigilats d’Europa. Segons les comparatives disponibles, la densitat de càmeres en aquesta localitat és excepcional fins i tot a escala internacional. Amb un mínim de 50 terminals per poc més de 2.000 habitants, el municipi arriba a una ràtio aproximada de 21 per cada mil veïns. A Madrid la xifra ronda les 4,4; a Londres, 13; a Moscou, 19; i a Seül, 24, segons l'estudi The World’s Most Surveilled Cities, publicat per Comparitech el 2023.

Delegació del Govern no les ha autoritzat

El Consell de Mallorca ha aclarit a elDiario.es que aquesta institució no té cap càmera dins el casc urbà del poble. Per la seva banda, Delegació del Govern ha confirmat a aquest mitjà que no consta cap autorització ni supervisió sobre el sistema de videovigilància de Santa Eugènia en els darrers vuit anys. “No hem tingut cap sol·licitud de renovació ni d’instal·lació de càmeres de l’Ajuntament”, assenyalen des de l’organisme.

La Llei Orgànica 4/1997, que regula l’ús de videocàmeres per part de les Forces i Cossos de Seguretat en espais públics, estableix que la instal·lació de càmeres fixes requereix autorització de Delegació del Govern. La validació depèn de l’informe previ de la Comissió de Garanties, presidida pel president del Tribunal Superior de Justícia de les Illes Balears i formada pel fiscal superior, l’Advocacia de l’Estat i un representant del Ministeri de l’Interior. Els ajuntaments han de presentar la sol·licitud amb informes policials que justifiquin la necessitat; la comissió avalua i el delegat del Govern resol.

L’aprovació el 2021 d’una nova llei de prevenció d’infraccions penals va obrir el debat sobre si aquesta norma deixava sense efecte la regulació de 1997. En territoris com Balears, la interpretació jurídica fou que la llei de 2021 substituïa l’anterior, cosa que traslladava la competència als ajuntaments. “El judici de proporcionalitat corresponia al Consistori i no era necessari passar per Delegació”, expliquen les mateixes fonts.

El febrer de 2025, l’Advocacia de l’Estat aclareix en un informe que la llei de 1997 continua vigent i que la instal·lació de càmeres fixes segueix depenent de la validació de Delegació del Govern. Després d’aquesta conclusió, l’organisme a les Illes Balears comunica l’agost als ajuntaments que totes les càmeres instal·lades entre 2021 i 2025 s’han de regularitzar. “Quan s’aprova en ple o per decret de batlia la instal·lació de càmeres, l’autorització dura un any. En vèncer aquest termini, han de demanar renovació”, recorden des de Delegació.

Un mes després, l’Ajuntament de Santa Eugènia envià un correu electrònic per demanar com podien adequar les càmeres. “Digueren que remetrien un informe, però el que arriba és una nota informativa. És un document que cita normatives i llista ubicacions amb una justificació mínima. Els explicàrem que això no pot sostenir la renovació de càmeres fixes i detallàrem com han de procedir, amb exemples d’altres ajuntaments. Des de llavors, no hem rebut més comunicacions ni han presentat res al registre”, assenyalen les mateixes fonts.

L’Ajuntament, dirigit pel socialista Pep Lluís Urraca, rebutja fer declaracions i remet qualsevol resposta a l’empresa GrupoX3, amb la qual té contractat el servei de delegat de protecció de dades. La companyia, consultada per elDiario.es, es limita a citar la Llei 19/2013 de transparència, que fixa un termini mínim d’un mes per respondre, malgrat que la consulta realitzada no s’ajusta a una petició d’informació sotmesa a aquest procediment.

Sense concurs públic

El sistema de videovigilància municipal està format per una desena de zones de gravació, amb diversos dispositius per emplaçament, cosa que elevaria el total a més de cinquanta terminals connectades a un panell de control presumptament allotjat als ordinadors de l’Ajuntament. Tot i que l’accés hauria d’estar restringit als equips de la Policia Local, en aquest cas també s’hauria habilitat accés des de l’ordinador personal del batle, segons sostenen aquestes tres fonts de solvència.

La contractació de l’empresa encarregada de la instal·lació de les càmeres s’ha fet sense que consti concurs públic. Al Portal de Transparència municipal no hi figura cap referència a licitacions, contractes o resolucions relacionades amb la xarxa de videovigilància ni amb els seus costos d’instal·lació o manteniment. Tot i que no s’han fet públics els costos oficials, fonts del sector estimen que cada dispositiu tendria un preu aproximat de 1.600 euros, en funció del proveïdor i de les característiques tècniques del model.

En aquest cas, només consta un acord oficial —aprovat el 8 de gener de 2020 en el ple municipal— relatiu a la instal·lació de tres càmeres de trànsit amb finalitats de control d’accés i seguretat viària. Des de llavors no s’ha registrat cap menció a l’ampliació del sistema. Tampoc figuren contractes ni adjudicacions en el Portal de Transparència que justifiquin l’expansió de la xarxa.

Les actes del ple no recullen debats sobre la instal·lació, supervisió o ampliació del model municipal de control audiovisual, ni informes tècnics o jurídics que avalin el seu funcionament. Aquesta absència de deliberació política i administrativa contrasta amb la dimensió del desplegament, que s’estén pràcticament per tot el nucli urbà.

“No és un xec en blanc”

La legislació espanyola en matèria de captació d’imatges per part de les administracions públiques és clara i restrictiva. Qualsevol ajuntament que vulgui col·locar càmeres a la via pública ha d’obtenir autorització prèvia del delegat del Govern. La norma obliga a justificar la necessitat del sistema, la seva proporcionalitat i el seu impacte sobre els drets fonamentals. Cap punt de vigilància es pot activar sense aquest permís exprés i amb una finalitat degudament acreditada.

El procediment legal exigeix, a més, diversos passos previs: l’elaboració d’un informe tècnic per part de la Policia Local, un dictamen jurídic municipal que avali la legalitat del tractament d’imatges i l’avaluació de la Comissió de Garanties de Videovigilància de Balears, encarregada de verificar que el projecte respecta la intimitat de les persones i els principis del Reglament General de Protecció de Dades (RGPD). Només després de completar aquestes fases es pot emetre l’autorització administrativa i procedir a la instal·lació.

Elena Gil, advocada de dret digital i fundadora de Data Guardians Advocats, aclareix que, fins i tot en aquelles càmeres en què no hi ha gravació i només es permet el visionat en temps real, els dispositius estan sotmesos a la normativa de protecció de dades. “L’autorització de Delegació del Govern té una durada d’un any i es va renovant, no és un xec en blanc”, afegeix. L’advocada explica que aquestes càmeres han d’estar instal·lades en espais públics i que no estan pensades per “gravar sons”.

Una vegada instal·lades, els ajuntaments han de complir amb certes obligacions documentals, en les quals han d’“analitzar” i “deixar per escrit quin és el risc que es pretén cobrir i quin és l’impacte”. “Les càmeres al carrer solen tractar dades a gran escala i ser una observació sistemàtica. Això fa que siguin especialment sensibles i, per això, han d’estar especialment justificats els motius pels quals tu vols omplir un lloc de càmeres. A més, les zones videovigilades han d’estar senyalitzades”, explica Gil.

Què passa després amb aquesta gravació? Segons l’experta, les imatges s’han de suprimir en el termini d’un mes, llevat que les autoritats tinguin constància que existeix un fet concret que necessiti ser vigilat o supervisat. En aquest cas, és possible augmentar-ne la duració, però “amb l’única finalitat de la vigilància i únicament per a l’enviament a les Forces i Cossos de Seguretat o als jutges i tribunals”.

Poder polític i control digital

Pep Lluís Urraca (Madrid, 1969) representa una nova generació de batles socialistes a la Part Forana de Mallorca. El 2015 s’incorporà a l’Ajuntament de Santa Eugènia com a regidor del PSOE i, quatre anys després, es convertí en el primer batle socialista del municipi gràcies a un pacte amb l’agrupació local FEIM-Santa Eugènia.

El 2023 aconseguí majoria absoluta —amb sis regidors davant tres del PP— i fou investit batle per segona vegada, ja sense necessitat de pactes. Des del març de 2025 compagina la batlia amb la Secretaria de Política Municipal del PSIB-PSOE, un càrrec que el situa a la direcció autonòmica del partit, molt pròxim a l’entorn de Francina Armengol.

“És una xarxa desproporcionada”

El manteniment d’aquesta macroxarxa de càmeres està vigent sota el mandat d’Urraca, malgrat que el batle nega tenir cap tipus d’informació al respecte. A partir de la informació publicada per elDiario.es, l’advocada Gil observa “una desproporció” al poble i apunta que “no s’han seguit els mecanismes per autoritzar les càmeres i considerar que són proporcionals i justes”. A més, assenyala que els dispositius han d’estar senyalitzats i que l’Agència Espanyola de Protecció de Dades (AEPD) té models de cartells.

Més enllà del cas concret d’aquest municipi, Gil lamenta que els ciutadans puguin arribar a acceptar una “vigilància massiva”: “És un problema que es va agreujant a poc a poc. Comencem a normalitzar el fet d’estar vigilats en diferents àmbits, tant per empreses com per l’Estat, cosa que atempta contra tot tipus de principis. Hem de tenir moltíssim de compte amb generalitzar aquest tipus de pràctiques”.

Mentrestant, la vida a Santa Eugènia discorre amb la calma de sempre, entre camps de vinyes, carrers estrets, places assolellades i rutines que amb prou feines canvien. Però, sota aquesta aparença de quietud, un poble sencer podria estar sent observat des d’un despatx municipal, a través d’un sistema de videovigilància inèdit a Espanya.

Santa Eugènia es un pequeño municipio del interior de Mallorca con algo más de dos mil habitantes, rodeado de campos de viñedos y caminos rurales. Vive al margen del turismo, algo poco habitual en la isla. Esa apariencia tranquila contrasta con una realidad inquietante: al recorrer el centro del pueblo, es posible observar decenas de dispositivos de videovigilancia instalados a baja altura en farolas, postes de alumbrado y fachadas, orientados hacia calles, plazas e, incluso, terrazas de bares.

Han sido los propios trabajadores y vecinos del pueblo quienes, en los últimos años, han alertado de la proliferación de cámaras. elDiario.es ha podido localizar sobre el terreno más de medio centenar de dispositivos activos y visibles, muchos de ellos sin señalización, que conforman un sistema de vigilancia sin precedentes en un municipio de estas dimensiones. El despliegue se habría llevado a cabo de forma paulatina y sin constar en expedientes públicos, lo que sugiere una expansión silenciosa y sin control administrativo.

Sorprende que todas las calles y accesos a Santa Eugènia estén bajo vigilancia constante, según ha podido comprobar elDiario.es tras su recorrido por el municipio. Otro detalle significativo es que las terrazas de los tres bares del pueblo —Can Topa, S'Estació i L'Escargot— también se encuentran videovigiladas, con cámaras apuntando directamente a las mesas y zonas de reunión. En apenas cuatro calles —carrer Major, carrer Bisbe Sastre, carrer de S’Aljub, carrer de Ses Escoles y carrer de l’Església— hay 25 cámaras.

Los dispositivos se alimentan directamente de la red de alumbrado público. Por otra parte, muchos de ellos carecen de cualquier cartel de señalización que advierta de su presencia y los pocos que lo exhiben resultan estar completamente obsoletos: remiten a leyes derogadas, omiten la identificación de la Policía Local como destinataria de las imágenes y no especifican el plazo de conservación, entre otras informaciones relevantes.

El alcalde y su 'ventana indiscreta'

Según fuentes solventes y conocedoras del sistema, el alcalde tendría acceso directo a las grabaciones desde su ordenador personal, un extremo que el primer edil ha negado tajantemente. Esas mismas voces apuntan que la infraestructura permitiría la visualización multipantalla en tiempo real, aunque solo un análisis forense de sus equipos podría determinar si esta función está activa y si también se ha habilitado la captación de audio. De confirmarse, los terminales que permiten visualizar las imágenes no estarían bajo la custodia exclusiva de la Policía Local, como exige la ley.

Las 50 cámaras ilegales instaladas en Santa Eugènia

Polideportivo

Camí llogaret de Ses Alqueries

Antiguo punt verd

ses Coves - Sta. María

ses Alqueríes

Llogaret de Ses Coves

Plaça d,es Puget

Bares

Nuevo punt verd

Zona escuela

Sineu - Algaida

Camí llogaret de Ses Olleries

FUENTE: ALBERTO FRAILE

Las 50 cámaras ilegales instaladas

en Santa Eugènia

Polideportivo

Camí llogaret de Ses Alqueries

Antiguo punt verd

ses Coves - Sta. María

ses Alqueríes

Plaça d,es

Puget

Llogaret de Ses Coves

Bares

Nuevo punt verd

Zona escuela

Sineu - Algaida

Camí llogaret de Ses Olleries

FUENTE: ALBERTO FRAILE

Todo apunta a que la red de videovigilancia desplegada en el corazón de Mallorca opera de forma claramente desproporcionada, hasta el punto de haber convertido este pequeño municipio en uno de los lugares más vigilados de Europa. Según las comparaciones disponibles, la densidad de cámaras en esta localidad es excepcional incluso a escala internacional. Con un mínimo 50 terminales para poco más de 2.000 habitantes, el municipio alcanza una ratio aproximada de 21 por cada mil vecinos. En Madrid la cifra ronda las 4,4, en Londres, 13, en Moscú, 19 y en Seúl, 24, según el estudio The World’s Most Surveilled Cities, publicado por Comparitech en 2023.

El Ayuntamiento: “Las cámaras están fuera de servicio”

El Ayuntamiento, dirigido por el socialista Pep Lluís Urraca, rechazó en un primer momento hacer declaraciones y remitió cualquier respuesta a la empresa GrupoX3, con la que tiene contratado el servicio de delegado de protección de datos. Tras la publicación del artículo, Urraca ha afirmado a elDiario.es que solo la Policía Local tiene acceso a las cámaras y que él sólo las visualiza en el caso de que tenga que firmar informes donde, por ejemplo, se afirme que en el Punto Verde “se han tirado residuos donde no toca”. El primer edil asegura que son una medida disuasoria en un municipio que solo cuenta con dos agentes de Policía Local y que los ciudadanos “pueden estar tranquilos” porque las imágenes se borran periódicamente.

Urraca afirma que, cuando llegó al Consistorio tras el gobierno del PP, había más de una veintena de cámaras instaladas, que todas actualmente están fuera de servicio, que “siempre se ponen a petición de Policía Local” y que, en el caso de que apunten a bares, están pixeladas. Añade que la inmensa mayoría de dispositivos son de tráfico y que otros están en zonas donde hay aglomeraciones y flujo de gente por fiestas o tardeos. Asimismo, aclara que han sido pagados con una subvención del Govern, es decir, que no han costado dinero público del Consistorio.

Delegación del Gobierno no las ha autorizado

El Consell de Mallorca ha aclarado a elDiario.es que esta institución no tiene ninguna cámara en el casco urbano del pueblo. Por su parte, Delegación del Gobierno ha confirmado a este medio que no consta ninguna autorización ni supervisión sobre el sistema de videovigilancia de Santa Eugènia en los últimos ocho años. “No hemos tenido ninguna solicitud de renovación ni de instalación de cámaras del Ayuntamiento”, señalan desde el organismo.

La Ley Orgánica 4/1997, que regula el uso de videocámaras por las Fuerzas y Cuerpos de Seguridad en espacios públicos, establece que la instalación de cámaras fijas requiere autorización de Delegación del Gobierno. La validación depende del informe previo de la Comisión de Garantías, presidida por el presidente del Tribunal Superior de Justicia de las Illes Balears y compuesta por el fiscal superior, la Abogacía del Estado y un representante del Ministerio del Interior. Los ayuntamientos deben presentar la solicitud con informes policiales que justifiquen la necesidad; la comisión evalúa y el delegado del Gobierno resuelve.

La aprobación en 2021 de una nueva ley de prevención de infracciones penales abrió el debate sobre si esta norma dejaba sin efecto la regulación de 1997. En territorios como Balears, la interpretación jurídica fue que la ley de 2021 sustituía a la anterior, lo que trasladó la competencia a los ayuntamientos. “El juicio de proporcionalidad correspondía al Consistorio y no era necesario pasar por Delegación”, explican las mismas fuentes.

En febrero de 2025, la Abogacía del Estado aclara en un informe que la ley de 1997 sigue vigente y que la instalación de cámaras fijas continúa dependiendo de la validación de Delegación del Gobierno. Tras esa conclusión, el organismo en las Illes Balears comunica en agosto a los ayuntamientos que todas las cámaras instaladas entre 2021 y 2025 deben ser regularizadas. “Cuando se aprueba en pleno o por decreto de alcaldía la instalación de cámaras, la autorización dura un año. Al vencer ese plazo, tienen que pedir renovación”, recuerdan desde Delegación.

Un mes después, el Ayuntamiento de Santa Eugènia envió un correo electrónico para preguntar cómo podían adecuar las cámaras. “Dijeron que remitirían un informe, pero lo que llega es una nota informativa. Es un documento que cita normativas y lista ubicaciones con una justificación mínima. Les explicamos que eso no puede sostener la renovación de cámaras fijas y detallamos cómo deben proceder, con ejemplos de otros ayuntamientos. Desde entonces, no hemos recibido más comunicaciones ni han presentado nada al registro”, señalan las mismas fuentes.

Urraca confirma este extremo: “Enviamos un informe a Delegación del Gobierno y nos respondieron que teníamos que matizar ciertos aspectos del documento que no eran correctos. Desde agosto las cámaras están paradas. La Policía Local ha hecho un informe interno”. Sin embargo, el alcalde no puede especificar cuántas cámaras están instaladas en el municipio. Sobre la falta de peticiones de renovación a Delegación de Gobierno antes de 2021 –las cámaras tienen que ser renovadas cada año–, el primer edil afirma que no tiene “conocimiento ni argumentos”.

Sin concurso público

La contratación de la empresa encargada de la instalación de las cámaras ha sido realizada sin que conste concurso público. En el Portal de Transparencia municipal no figura ninguna referencia a licitaciones, contratos o resoluciones relacionadas con la red de videovigilancia ni con sus costes de instalación o mantenimiento. Aunque no se han hecho públicos los costes oficiales, fuentes del sector estiman que cada dispositivo tendría un precio aproximado de 1.600 euros, en función del proveedor y las características técnicas del modelo.

En este caso, solo consta un acuerdo oficial —aprobado el 8 de enero de 2020 en el pleno municipal— relativo a la instalación de tres cámaras de tráfico con fines de control de acceso y seguridad vial. Desde entonces no se ha registrado ninguna mención a la ampliación del sistema. Tampoco figuran contratos ni adjudicaciones en el Portal de Transparencia que justifiquen la expansión de la red.

Las actas del pleno no recogen debates sobre la instalación, supervisión o ampliación del modelo municipal de control audiovisual, ni informes técnicos o jurídicos que avalen su funcionamiento. Esta ausencia de deliberación política y administrativa contrasta con la dimensión del despliegue, que se extiende por prácticamente todo el núcleo urbano. Sobre la falta de contratos en el Portal de Transparencia, Urraca señala: “Cuando ha hecho falta una cámara, se ha hecho un informe de necesidad y se ha comprado”.

“No es un cheque en blanco”

La legislación española en materia de captación de imágenes por parte de las administraciones públicas es clara y restrictiva. Cualquier ayuntamiento que desee colocar cámaras en la vía pública debe obtener autorización previa del delegado del Gobierno. La norma obliga a justificar la necesidad del sistema, su proporcionalidad y su impacto sobre los derechos fundamentales. Ningún punto de vigilancia puede activarse sin ese permiso expreso y con un fin debidamente acreditado.

El procedimiento legal exige, además, varios pasos previos: la elaboración de un informe técnico por parte de la Policía Local, un dictamen jurídico municipal que respalde la legalidad del tratamiento de imágenes y la evaluación de la Comisión de Garantías de Videovigilancia de Balears, encargada de verificar que el proyecto respeta la intimidad de las personas y los principios del Reglamento General de Protección de Datos (RGPD). Solo tras completar esas fases puede emitirse la autorización administrativa y proceder a la instalación.

Elena Gil, abogada de derecho digital, fundadora de Data Guardians abogados, aclara que, incluso en aquellas cámaras en las que no existe grabación y solo se permite el visionado en tiempo real, los dispositivos están sometidos a la normativa de protección de datos. “La autorización de Delegación del Gobierno tiene una duración de un año y se va renovando, no es un cheque en blanco”, añade. La abogada aclara que estas cámaras deben estar instaladas en espacios públicos y que no están pensadas para “grabar sonidos”.

Una vez instaladas, los ayuntamientos deben contar con ciertas obligaciones documentales, en las cuales deben “analizar” y “dejar por escrito cuál es el riesgo que se pretende cubrir y cuál es el impacto”. “Las cámaras en la calle suelen tratar datos a gran escala y ser una observación sistemática. Esto hace que sean especialmente sensibles y, por ello, tienen que estar especialmente justificados los motivos por los que tú quieres llenar un sitio de cámaras. Además, las zonas videovigiladas tienen que estar marcadas”, explica Gil.

¿Qué pasa después con esta grabación? Según la experta, las imágenes deben ser suprimidas en el plazo de un mes, salvo que las autoridades tengan constancia de que existe un hecho en concreto que necesite ser vigilado o supervisado. En este caso, es posible aumentar la duración, pero “con la única finalidad de la vigilancia y únicamente para el envío a las Fuerzas y Cuerpos de Seguridad o a jueces y tribunales”.

Poder político y control digital

Pep Lluís Urraca (Madrid, 1969) representa a una nueva generación de alcaldes socialistas en la Part Forana de Mallorca. En 2015 se incorporó al Ayuntamiento de Santa Eugènia como concejal del PSOE y, cuatro años después, se convirtió en el primer alcalde socialista del municipio gracias a un pacto con la agrupación local FEIM-Santa Eugènia.

En 2023 obtuvo mayoría absoluta —con seis regidores frente a tres del PP— y fue investido alcalde por segunda vez, ya sin necesidad de pactos. Desde marzo de 2025 compagina la alcaldía con la Secretaría de Política Municipal del PSIB-PSOE, un cargo que lo sitúa en la dirección autonómica del partido, muy próximo al entorno de Francina Armengol.

“Es una red desproporcionada”

En base a la información publicada por elDiario.es, la abogada Gil observa “una desproporción” en el pueblo y apunta que “no se han seguido los mecanismos para autorizar las cámaras y considerar que son proporcionales y justas”. Además, apunta que los dispositivos tienen que estar señalizados y que la Agencia Española de Protección de Datos (AEPD) tiene modelos de carteles.

Más allá del caso concreto de este municipio, Gil lamenta que los ciudadanos puedan llegan a aceptar una “vigilancia masiva”: “Es un problema que se va agravando poco a poco. Empezamos a normalizar estar vigilados en distintos ámbitos, tanto por empresas como por el Estado, lo cual atenta a todo tipo de principios. Debemos tener muchísimo cuidado con generalizar este tipo de prácticas”.

Ni saber quién es el conductor, ni registrar sus movimientos, ni captar otros datos personales. La Agencia Española de Protección de Datos (AEPD) ha publicado este jueves una nota aclaratoria respecto al funcionamiento y tratamiento de datos de las balizas V-16 conectadas de la DGT, que serán obligatorias a partir del 1 de enero de 2026 en todos los vehículos excepto motos y ciclomotores. El regulador de la privacidad responde así a las publicaciones difundidas en foros y redes sociales sobre una supuesta vigilancia continua a través del dispositivo.

La baliza V-16 es un dispositivo luminoso que sustituirá a los triángulos amarillos para señalizar un vehículo inmovilizado o por accidente o emergencia. Su función es emitir destellos intermitentes y se fija magnéticamente en la parte más alta del vehículo en caso de avería o accidente. El sistema, alimentado por una batería autónoma, permite la señalización del obstáculo en la vía sin necesidad de que los ocupantes abandonen el habitáculo ni transiten por la calzada, como ahora ocurre con los triángulos.

El dispositivo integra además un módulo de comunicación que transmite las coordenadas geográficas del incidente a una plataforma controlada por la DGT, lo que facilita la difusión del aviso al resto de usuarios a través de los paneles de mensaje variable y los sistemas de navegación.

Según detalla la AEPD, las capacidades técnicas de la baliza V-16 de señalización se limitan a estas funciones. El organismo hace hincapié en que los únicos datos que transmite son las coordenadas geográficas del vehículo detenido y un identificador técnico del propio aparato, pero no datos personales sobre el conductor o su vehículo.

El regulador de la privacidad subraya que la baliza no puede servir como herramienta de espionaje, como algunos usuarios han denunciado, porque dicho identificador está asociado con la matrícula del coche ni con la identidad de su titular. “La persona que adquiere la baliza no tiene que dar sus datos personales a ninguna administración al adquirirlo, por lo que la DGT no conocería quién ha comprado el dispositivo”, recuerda la AEPD en la nota, advirtiendo también a los usuarios que no deben dar sus datos al vendedor en este proceso.

“Mientras no se activa, la baliza no transmite ningún dato y, en caso de ser activada ante una situación de emergencia, la información que se envía no permitiría conocer quién es la persona que conduce ni reconstruir sus desplazamientos. La baliza V-16 emite una señal mientras está encendida y deja de hacerlo al apagarse, sin generar historiales de movimientos o envío de datos de manera continua”, aclara la Agencia.

El fin de los triángulos de emergencia

La implementación de la luz V16 forma parte de la estrategia de seguridad vial destinada a reducir el riesgo de atropellos en carretera. La medida busca evitar que los conductores deban abandonar el habitáculo para colocar los triángulos de preseñalización en caso de incidencia. No obstante, hay casos en los que la DGT sí permite salir del vehículo.

Actualmente, los conductores pueden utilizar indistintamente los triángulos de emergencia o las balizas V-16 (conectadas o no conectadas). Sin embargo, a partir del 1 de enero de 2026, será obligatorio que todos los vehículos lleven la señal V16 con geolocalización integrada, quedando prohibido el uso de los triángulos y de las balizas analógicas que no dispongan de conexión con la plataforma de la DGT. Los precios de las balizas están entre los 40 y los 50 euros.

La Agencia Española de Protección de Datos (AEPD) sancionó al Servicio de Salud de Castilla-La Mancha (SESCAM) por vulnerar la Ley de Protección de Datos cuando publicó en la red social X los nombres, apellidos y destinos de los participantes en un concurso de traslados, dentro de la oferta pública de empleo (OPE) correspondiente.

Los hechos sucedieron en marzo de 2024, cuando el SESCAM aprobó y publicó la relación definitiva de personas concursantes admitida y excluidas, y la adjudicación provisional de destinos del concurso de traslados para la provisión de plazas de su personal estatutario, un proceso convocado en junio de 2023. La publicación oficial se llevó a cabo en el Diario Oficial de Castilla-La Mancha (DOCM) y en el tablón electrónico de la Junta de Comunidades el día 21 de marzo de 2024.

Sin embargo, dos días antes, desde su cuenta en X, Íñigo Cortázar, director general de Recursos Humanos del SESCAM, publicó el listado completo de nombres, apellidos y destinos adjudicados. El contenido de la publicación, según consta en la resolución de la AEPD, era el siguiente: “El próximo día 19 de marzo se publican en el DOCM los nombramientos correspondientes a la OPE de Enfermería de sanidad Castilla-La Mancha. Son los siguientes”, adjuntándose a continuación un listado con los nombres y apellidos y destinos de los participantes.

Este hecho motivó una reclamación ante la AEPD por parte de uno de los participantes en el proceso, ya que consideraba que sus datos personales habían quedado expuestos sin su autorización y que no se habían seguido los canales oportunos para dar a conocer dicha información.

Ante la apertura del expediente sancionador, Cortázar borró la publicación objeto de la demanda de su perfil en X, y el SESCAM alegó que, en el momento en que se publicó el 'tuit', la información ya había sido enviada para su difusión en el DOCM, sin que el ‘tuit’ pretendiera sustituir a la comunicación oficial, solo complementarla.

Teniendo en cuenta los hechos y la normativa en vigor, la AEPD falló que los hechos sí fueron constitutivos de una infracción del Reglamento General de Protección de Datos. Sin embargo, al tratarse de un organismo público, no se pudo imponer sanción económica, que de lo contrario podría haber sido de un máximo de hasta 20.000 euros.

El SESCAM “asume” la sanción

Íñigo Cortázar, director general de Recursos Humanos del SESCAM y la persona responsable de poner la publicación sancionada en su perfil en la red social X, reconoce su “error” y afirma que se debió a una voluntad de adelantar la información antes de que saliera publicada en el DOCM, ya que este proceso despertó “muchísima expectación”, según explica a elDiario.es Castilla-La Mancha.

Afirma que retiró la publicación en cuanto tuvo conocimiento del inicio del expediente sancionador, “asume” la resolución y asegura que en los posteriores procesos que ha llevado a cabo el SESCAM se ha actuado de la manera que les ha marcado la AEPD. “Queremos ser más cuidadosos con la protección de datos”, asegura Cortázar.

Estos hechos han sido denunciados públicamente este viernes por el Grupo Parlamentario Vox en las Cortes de Castilla-La Mancha, afirmando que los hechos obedecen a “la precipitación y el uso político de la información”. “Es intolerable que el Gobierno socialista trate los datos personales como material de propaganda”, ha añadido el portavoz de la formación, Iván Sánchez.

Cortázar rechaza dichas acusaciones, y reitera que solo hubo precipitación, pero no uso político. “No sé qué uso político puede tener”, asegura, y recuerda que los datos que publicó eran los mismos que posteriormente se difundieron en el Diario Oficial de la comunidad autónoma.

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 110.000 euros a la Real Sociedad de Fútbol por un ciberataque sufrido en octubre de 2023 que comprometió datos personales, algunos de categorías sensibles, de aproximadamente 60.000 personas, entre aficionados, jugadores y empleados. Entre la información afectada se encuentran nombres, apellidos, DNI, direcciones postales y electrónicas, teléfonos y, en el caso de los abonados, números de cuenta bancaria.

El ataque se detectó el 16 de octubre de 2023, cuando todos los servidores virtuales del club aparecieron encriptados con la extensión “.akira”. Se trataba de una de las infecciones de ransomware más activas en aquel momento, un tipo de ataque que secuestra los sistemas informáticos de la víctima y le exige un rescate por recuperarlos.

El incidente inutilizó las copias de seguridad y afectó a datos que no estaban cifrados, incluidos identificadores oficiales, cuentas bancarias, información médica, datos biométricos y documentos sensibles, como certificados de delitos sexuales de empleados. En su resolución, la AEPD destaca que la Real Sociedad “carecía de las medidas de protección adecuadas al riesgo”, como la segmentación de red y cifrado de los datos, factores que agravaron el impacto de la infección.

El club ha aceptado su responsabilidad en la falta de protección de la información y se ha acogido a la reducción por pronto pago, lo que le ha permitido rebajar el importe de la sanción a 66.000 euros.

Los afectados por el ciberataque incluyen abonados, accionistas, miembros de RS Fan y RS Laguna (dos grupos de simpatizantes del equipo), empleados, jugadores profesionales y no profesionales, técnicos, participantes en campus y eventos, así como personas que solicitaron segundas opiniones médicas. La Real Sociedad notificó inicialmente que los datos de abonados, accionistas y clientes no se habían visto comprometidos, pero posteriores comunicaciones a la AEPD reconocieron que sí lo estaban.

La Agencia advirtió que, debido a las contradicciones en las versiones ofrecidas por el club, no podía descartarse que el incidente hubiera afectado a la totalidad de los datos almacenados en los servidores. El Registro de Actividades de Tratamiento reveló que estos incluían datos de categoría especial, como información médica y psicológica de jugadores, discapacidades, alergias, datos de riesgos laborales, imágenes y voz, así como certificados de delitos sexuales.

También constaban datos económicos y laborales (nóminas, deducciones fiscales, historial profesional), patrimoniales, credenciales de acceso, registros de navegación y datos técnicos y de rendimiento deportivo. Ninguno de estos datos estaba cifrado antes del ataque.

Aunque no se hallaron evidencias forenses de que la información fuera extraída o publicada en foros de cibercriminales, la AEPD concluyó que la Real Sociedad había vulnerado el principio de integridad y confidencialidad de los datos, así como la obligación de garantizar su seguridad. El organismo consideró la naturaleza y volumen de los datos afectados, la duración de la brecha —del 14 de octubre al 6 de noviembre de 2023— y el hecho de que la actividad del club implica un tratamiento intensivo de información personal como factores agravantes.

Además de la sanción económica, la resolución obliga al club a acreditar en un plazo de tres meses que ha implantado medidas de seguridad adecuadas al riesgo, conforme a lo recogido en el expediente sancionador. La decisión es firme en vía administrativa.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 160.000 euros al grupo Sidecu, especializado en deporte y que gestiona la cadena de gimnasios Supera, por imponer a sus socios un sistema de acceso a través de reconocimiento facial, con el que infringió varias garantías de la legislación sobre protección de datos personales. La compañía se ha acogido a los descuentos por “pago voluntario” y al “reconocimiento de la responsabilidad” de la infracción, por lo que la multa ha quedado finalmente en 96.000 euros, según la resolución a la que ha accedido elDiario.es.

Este nuevo sistema de acceso fue implantado a partir de verano de 2023 en varios gimnasios de la cadena Supera (Entrepuentes de Sevilla, San Diego de Coruña, La Lanera de Palencia, Palero Superior de Valladolid, y Guadalquivir de Sevilla), tras otro previo que utilizaba la huella dactilar de los usuarios. El reconocimiento facial se impuso al inicio de manera obligatoria para acceder a sus instalaciones, sin alternativa posible.

Varios socios se quejaron de este método, por considerarlo muy invasivo y que vulneraba su intimidad, y algunas de ellas llegaron a la AEPD, que ha sancionado a la compañía y obligado a suspender temporalmente y de manera inmediata esta forma de control de entradas. La AEPD recibió en total nueve reclamaciones de socios, así como dos denuncias contra el sistema, presentadas por la asociación de consumidores Facua y por un particular.

Son datos personales “de alto riesgo”

El grupo Sidecu rechazaba las quejas de los clientes al considerar que el nuevo sistema ni siquiera trataba datos personales, ya que el reconocimiento facial no almacenaba los datos físicos de los clientes sino un patrón numérico que se asocia a los rostros de los usuarios.

La Agencia Española de Protección de Datos tumba la tesis de la cadena deportiva y da la razón a los usuarios, concluyendo que los datos biométricos utilizados para el acceso de los socios son datos personales y, no solo eso, sino “de categoría especial y de alto riesgo”.

Según el Reglamento de protección de datos, “para que exista un tratamiento de datos biométricos de carácter personal se requiere, precisamente, que se aplique sobre la información biométrica tomada en bruto (imagen digital de la huella, cara, grabación de voz…etc) un procesamiento técnico (software o programa como el utilizado en el presente supuesto) del que se obtenga un 'patrón biométrico' de las muestras recogidas. Por ello, el patrón biométrico o plantilla biométrica es verdaderamente el dato biométrico de carácter personal”, argumenta la resolución.

Ese patrón numérico es el que se asocia a los rasgos físicos de la persona en cuestión y permite identificarla, por lo que se trata de datos personales. Este tipo de datos, además, están tipificados por la legislación como datos personales de categoría especial, “cuyo tratamiento está generalmente prohibido”, recuerda la Agencia, salvo que concurran algunas excepciones, que además considera que no se cumplen en este caso.

En cualquier caso, dado esa categoría especial de los datos, su tratamiento hubiera requerido de unos análisis previos y ciertas obligaciones legales –como una evaluación de impacto (EIPD)– que la compañía no realizó, por lo que también se sanciona a la empresa.

Medida desproporcionada: hay alternativas menos invasivas

La Agencia de Protección de Datos detalla varias irregularidades de la implantación de este sistema de reconocimiento facial por parte de la cadena de gimnasios. Por ejemplo, advierte de que no respeta las reglas del consentimiento, entre otros motivos por la falta de libertad de los usuarios. “Aara que se pueda considerar libre el consentimiento a un método de acceso que implique el tratamiento de datos biométricos, el responsable del tratamiento debe establecer un método alternativo para poder realizar el control de acceso, sin tener ninguna consecuencia para la persona que no quiera utilizar el control de acceso mediante un tratamiento de datos biométricos”, recoge la resolución.

Además, destaca que “se entiende que el tratamiento realizado no superaría este triple juicio de proporcionalidad”. La AEPD concluye que no parece “necesario ni proporcional” el reconocimiento facial, que supone la utilización de datos biométricos personales de caracter especial, “dada la existencia de medios menos intrusivos y la relación entre ventajas y desventajas”. “Existen otros posibles métodos alternativos de control de acceso igual de eficaces que permitirían cumplir con la finalidad del tratamiento, que ya se emplean en la actualidad o han sido empleados en el pasado por la reclamada, por lo que existen evidencias de que el tratamiento implantado no supera tampoco la evaluación o triple juicio de proporcionalidad”, argumenta el organismo público.

Un juzgado ha condenado al Ayuntamiento de Marbella a suprimir los datos biométricos de un funcionario, que el Consistorio mantenía pese a que este empleado había solicitado por escrito que fuesen eliminados. El juez concluye que no hay ninguna ley que autorice a la administración para recabar y luego mantener en un registro la huella dactilar y los rasgos faciales de los empleados municipales contra su voluntad, aunque el destino de esos datos sea controlar el cumplimiento de sus obligaciones laborales. Tras la apertura de un expediente sancionador por el Consejo de Transparencia que obligó a suspender el sistema, esta sentencia es otro tirón de orejas al Consistorio por un asunto cuyo origen se remonta tres años atrás.

Durante el invierno de 2022 Marbella obligó por Decreto a sus casi 4.000 empleados a entregar sus datos biométricos para fichar. Lo hizo a pesar de la oposición sindical, especialmente en el cuerpo de la Policía Local. Previamente había gastado 171.299,70 euros en contratar este sistema, cuya instalación y mantenimiento fue a parar a Atisoluciones Diseño, S.L., una empresa con sede en Granada. Por las mismas fechas, otros municipios como Estepona barajaron implantar un sistema similar, pero acabaron desestimándolo tras ser advertidos por los sindicatos de la posible ilegalidad, derivada de la aprobación de criterios legales más estrictos sobre el control de los datos personales.

La nueva obligación causó un notable malestar en muchos empleados públicos de Marbella, preocupados por perder el control de sus datos biométricos, cuyo tratamiento es “de alto riesgo”, según la clasificación del Reglamento de Protección de Datos, precisamente por presentar “un riesgo significativo para los derechos y libertades de las personas físicas”.

El contrato con Atisoluciones, suscrito en 2021, obligaba a instalar 150 terminales de reconocimiento, a 750 euros cada unidad, además de a un servicio de mantenimiento. En los pliegos no se recogía ninguna cláusula para sujetar el contrato al cumplimiento de la normativa de protección de datos.

El Consistorio se negó a paralizar el sistema, como le pedían algunos sindicatos. Defendía que la toma de huellas o el reconocimiento facial era la única forma de controlar el absentismo laboral. El sindicato SEPMA llevó al asunto al Consejo de Transparencia, que el pasado enero abrió un expediente sancionador al Ayuntamiento por el “posible incumplimiento de la normativa de protección de datos personales”. Solo entonces Consistorio paralizó el sistema.

Desde esas fechas usa un sistema basado en la aproximación de una tarjeta o en la introducción de un código, a la espera de una resolución definitiva de Transparencia. Para entonces ya había sido demandado ante los tribunales por varios empleados que, asesorados por el sindicato SEALS, habían solicitado la cancelación de sus datos, cuyas reclamaciones había ignorado.

Sin habilitación legal

La sentencia, dictada por el juzgado contencioso-administrativo 8 de Málaga el pasado 23 de julio y a la que este medio ha tenido acceso, es la primera de varias que en los próximos meses dictarán los juzgados en los que recayeron demandas similares. La resolución condena al Consistorio por su negativa a cancelar los datos, a pesar de que así se lo había solicitado el empleado, y le obliga a su “supresión íntegra” y a pagar las costas.

El juez se basa en la guía acerca de los “tratamientos de control de presencia y acceso mediante sistemas biométricos”, publicada por la Agencia de Protección de Datos en noviembre de 2023. El magistrado subraya que esa guía fundamental para interpretar los derechos y obligaciones del reglamento, y es clara al exigir que exista una norma con rango de ley que habilite la recopilación, uso y mantenimiento de esos datos, que exigen “tratamiento de alto riesgo”. En principio, el uso de tecnologías biométricas para el control horario está prohibido, a no ser que sea la única forma y, además, haya una norma con rango de ley que lo autorice. Y aquí no había tal norma, de modo que el Ayuntamiento se basó en su exclusiva voluntad.

“No sólo la Administración no acierta a invocar qué concreta normativa legal o convenio expresamente le autoriza a llevar a cabo el tratamiento de estos datos biométricos (generalmente prohibidos)”, sino que su propia actuación “revela que el registro y control de la jornada puede efectuarse mediante medidas alternativas menos intrusivas”, señala el juez. Es decir, no es cierto que, como defendía el Ayuntamiento, no pudiera controlarse de otra forma el cumplimiento de los horarios.

De hecho, el propio Consistorio implantó en marzo (forzado por la AEPD) un sistema alternativo mediante la aproximación de tarjeta de radiofrecuencia o la introducción de código de usuario con contraseña. “No puede entenderse que el tratamiento de estos datos resulte (…) ”necesario“ para el cumplimiento de la obligación de registro de la jornada”, concluye el juez para tumbar la alegación del Consistorio.

Varios casos similares y afección potencial a los datos de 4.000 empleados públicos

El juez no cree que la actuación del Ayuntamiento de Marbella haya conculcado el derecho constitucional a la intimidad personal (artículo 18 de la Constitución: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, del que se deriva el derecho a la protección de datos personales), pero sí concluye que mantener estos datos “de alto riesgo” contra la voluntad del empleado público es una ilegalidad.

En los próximos meses los juzgados deberán pronunciarse en al menos otros cuatro casos similares. El Ayuntamiento no ha respondido a este medio si recurrirá esta sentencia, si ya la ha cumplido y si se allanará en los juicios pendientes. Tampoco aclara si suprimirá los datos de todos sus empleados, en vista de que el razonamiento de la sentencia (que no había norma legal habilitante y sí otros sistemas menos intrusivos) es aplicable a todos los casos.

Durante el verano de 2023 el Consistorio abrió al menos dos expedientes disciplinarios ante la resistencia de sendos empleados del servicio de limpieza, a los que imputaba su negativa “a realizar la toma de datos biométricos”. Tal y como desveló este medio, llegó a presentar pliegos de cargos que contemplaban una suspensión de empleo y sueldo de tres años. El Consistorio nunca ha aclarado en qué quedaron estos expedientes, tampoco ahora.

En junio de 2022 una viandante encontró una mochila en Villanueva del Pardillo, una localidad a unos 30 kilómetros de Madrid. Dentro había una cámara de vídeo. Cuando la mujer reprodujo su contenido, vio un grupo de niñas cambiándose de ropa y entregó la mochila a la Guardia Civil. Así empezó un caso que llevó a la detención de uno de los profesores y copropietario del Colegio Virgen de Europa, en la cercana Boadilla del Monte, que presuntamente había estado grabando a las alumnas durante más de una década.

El caso sigue a la espera de juicio en la vía penal, después de que hace un año la Guardia Civil localizara nuevas potenciales víctimas y grabaciones en la casa del detenido. El proceso que ya se ha cerrado es la reclamación que la familia de una de las menores interpuso contra el Colegio ante la Agencia de Protección de Datos (AEPD) por violar la privacidad de las niñas con esas grabaciones. El resultado ha sido una multa de 40.000 euros para el centro, que se ha reducido a 24.000 tras aceptar este la responsabilidad de las infracciones (20%) y proceder al pronto pago (reducción del 20% adicional).

La queja inicial se interpuso el 27 de septiembre de 2023, argumentando que la menor había sido grabada en vídeo y que estas grabaciones habían salido del control del Colegio. La familia consideraba que se habían violado los principios de integridad y confidencialidad de los datos personales de la menor (porque los vídeos salieron de forma no autorizada) y el principio de transparencia (porque las imágenes se captaron sin informar ni pedir consentimiento previo a los padres).

La AEPD admitió a trámite la reclamación elevó una serie de peticiones de información al Virgen de Europa sobre la obtención de las imágenes y su tratamiento.

En sus respuestas, primero el Colegio afirmó que obtenía el consentimiento de los padres para grabar imágenes de los alumnos en el momento de la matriculación, y que este consentimiento se revisaba anualmente. Como prueba, mostró un formulario de matrícula con una casilla para autorizar fotos y vídeos de los alumnos con fines de publicación en la web, anuarios, folletos, redes sociales y archivo del colegio.

Sin embargo, cuando el regulador de privacidad solicitó “repetidamente” las matrículas rellenadas y firmadas por las familias, el Virgen de Europa solo pudo aportar las correspondientes a tres de los últimos diez cursos.

Propósito docente

El Colegio cambió entonces su argumento: alegó que las imágenes se grababan con fines docentes, una excepción que hace innecesario el consentimiento. El profesor y copropietario del centro detenido, hijo de sus dos fundadores, también comunicó que las grabaciones que realizaba en el ejercicio de su labor tenían la finalidad de cumplir con el programa de docencia y para promocionar sus actividades.

A pesar de la insistencia del Colegio en la base legitimadora “propias de la función docente”, la AEPD fue contundente. El regulador concluyó que “en este caso concreto no se aprecia la existencia de base legal que ampare el tratamiento datos personales de la menor mediante la captación de imágenes con equipos de grabación”, a lo que se unía que el centro no pudo demostrar contar tampoco con el consentimiento para recoger datos personales de los alumnos para fines promocionales.

Brecha de seguridad: la pérdida del control de las imágenes

La reclamación inicial que dio origen al expediente de la AEPD señalaba que parte de los archivos de la menor fueron encontrados en una cámara hallada por un viandante en una carretera y otra parte en el domicilio personal del profesor. Esto llevó a la AEPD a considerar que se había producido una brecha de datos personales, ya que un tercero no autorizado había accedido a las imágenes de menores.

El Colegio insistió en que “la entidad dispone del control de las grabaciones” y que contaban con medidas como formaciones y concienciación del profesorado, además de otras medidas de seguridad. Sin embargo, la Agencia detectó que las formaciones al profesorado que había presentado el centro eran posteriores a los hechos.

Además, aunque las normas del Colegio indicaban que la salida de soportes con datos personales debía ser autorizada y registrada, la AEPD encontró que la autorización concedida al profesor detenido databa de 2018, era ilimitada en el tiempo, no especificaba la finalidad o el contenido, ni mencionaba las medidas de seguridad que debía adoptar. Más grave aún, el Colegio, requerido para aportar el registro de salidas y devoluciones de dispositivos, contradijo sus propias afirmaciones al asegurar que “no existe ninguna autorización que se haya otorgado para la salida y posterior devolución al docente” durante el periodo relevante, a pesar de que la autorización original de 2018 seguía vigente.

Tres sanciones con reducción

La resolución de la AEPD concluye con la imposición de tres sanciones económicas al Colegio Virgen de Europa por vulnerar distintos artículos del Reglamento General de Protección de Datos de manera “muy grave”.

El regulador considera probado que se produjo una brecha de seguridad que comprometió la integridad y confidencialidad de los datos personales de la menor, una infracción por la que impone una multa de 15.000 euros al centro. A su vez, también resuelve que el tratamiento de las imágenes fue ilícito al no contar con una base legal válida para hacerlo, imponiendo una segunda sanción de 20.000 euros.

Por último, la Agencia entiende que el centro tampoco informó debidamente a las familias del uso que hacía de las grabaciones, imponiéndole una tercera multa de 5.000 euros. La cuantía total, de 40.000 euros, se rebajó finalmente a 24.000 tras reconocer el Colegio su responsabilidad y optar por el pago voluntario.

La AEPD tuvo en cuenta varios factores agravantes para fijar la sanción: la naturaleza especialmente sensible de los datos tratados, la exposición de menores en situaciones comprometidas, la pérdida de control sobre las imágenes y la reiteración en la infracción, ya que el centro había sido sancionado por un incumplimiento similar menos de dos años antes.

Además de la multa, el regulador ha exigido al Colegio que adopte una serie de medidas correctivas en un plazo máximo de tres meses. Entre ellas, demostrar que ha implementado salvaguardas técnicas y organizativas para evitar accesos no autorizados a los datos personales, cesar el uso de grabaciones de menores sin una base jurídica adecuada y garantizar que toda la información exigida por la normativa se pone a disposición de las familias.

A falta de la resolución del caso penal, esta no es la primera multa a la que se enfrenta el Colegio Virgen de Europa por estos hechos. En febrero de 2024 el Tribunal Superior de Justicia de Madrid le obligó a indemnizar con 120.000 a la madre de una de las víctimas, que había ejercido como profesora en el centro durante años.

Verificar los datos, sí; guardarse una copia, no. La Agencia Española de Protección de Datos (AEPD) ha emitido este martes una nota informativa dirigida a hoteles y alojamientos turísticos en la que expone que quedarse con una fotografía o fotocopia del DNI de los clientes viola la normativa de privacidad. Sin una debida justificación, llevar a cabo esta práctica para el registro de los huéspedes podría ser susceptible de sanción, avisa el organismo.

La Agencia ha emitido esta nota en relación con el Real Decreto 933/2021, una norma que provocó las quejas del sector hotelero así como de especialistas en privacidad por la exigencia a estos establecimientos para que recopilaran una gran cantidad de datos los clientes. La regulación, que entró en vigor en diciembre de 2024, obliga a hoteleros, propietarios de viviendas turísticas, agencias de viajes y empresas de alquiler de vehículos a recopilar hasta 28 categorías de datos de los viajeros.

Entre ellos están datos personales no oficiales como dirección, teléfono o móvil; así como otros relativos a las transacciones, como la identificación del medio de pago, el IBAN de la cuenta bancaria o la fecha de caducidad de la tarjeta. Además, en el caso de que alguno de los viajeros sea menor de edad, también se deberá reflejar la relación de parentesco entre los huéspedes. Esos datos deberán volcarse en una plataforma —llamada SES.HOSPEDAJES— que ha puesto en marcha Interior y deberán conservarse durante tres años.

Ahora la AEPD señala a los hosteleros que hacer una copia del DNI o pasaporte no es suficiente para cumplir la normativa, puesto que el documento no incluye todos los datos necesarios. En cambio, sí implica la recolección de información que el real decreto no solicita. Por ello, entiende que “solicitar una copia del Documento Nacional de Identidad o del Pasaporte vulnera el principio de minimización de datos”, ya que “supone un tratamiento excesivo de datos”.

“Esto se debe a que el DNI completo contiene más datos que los obligados a aportar en virtud de la normativa aplicable, como la fotografía, la fecha de caducidad del documento, el CAN [Código de Acceso de Nivel, un número de seis cifras que se usa como medida de seguridad adicional] o el nombre de los padres”, recuerda. Enviar el documento a través de una fotografía tampoco permite comprobar que el huésped es realmente la persona que refleja el documento, continúa la Agencia.

Además, esta práctica expone a los clientes a brechas de seguridad en casos de ciberataque. “El entregar una copia de la documentación personal implica, entre otros, un riesgo innecesario de suplantación de la identidad”, expone el regulador de privacidad. Un vector de ataque en auge con las repetidas brechas sufridas por los alojamientos, que luego sirven de trampolín a los ciberdelincuentes para lanzar timos contra los huéspedes a través de plataformas como Booking.

En vez de hacer copias del DNI o pasaporte, el regulador recomienda a los alojamientos que preparen un formulario con los datos necesarios para cumplir con los requisitos del Ministerio del Interior, y luego verificarlos en persona con ayuda del documento oficial. En caso de recogida de datos en línea sin atención presencial, esta verificación puede realizarse mediante mecanismos como certificados digitales, ha asegurado en la nota. “También es posible la verificación de que los datos y la información proporcionada concuerda con los datos asociados al medio de pago utilizado”, según la agencia.

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 3,2 millones de euros a Carrefour por múltiples infracciones graves relacionadas con la seguridad y el manejo de los datos personales de sus clientes. La sanción llega una investigación que ha revelado fallos significativos en la protección de información sensible, que se vio comprometida hasta por seis ciberataques sufridos por la cadena en 2023. Estos afectaron a un total de 118.954 personas.

La técnica utilizada por los ciberdelincuentes fue el “credential stuffing”, un tipo de ataque que, en lugar de intentar desentrañar las contraseñas de los usuarios con fuerza bruta informática, se basa en el uso automatizado de combinaciones de correos electrónicos y contraseñas previamente filtradas en otras brechas de seguridad. Los atacantes prueban estas credenciales en masa en distintos servicios, confiando en que muchos usuarios reutilizan las mismas contraseñas en múltiples plataformas.

En el caso de Carrefour, esta práctica permitió repetidos accesos no autorizados a cuentas de clientes, exponiendo sus datos personales. Los paquetes de información robada difirieron en cada una de las brechas, incluyendo desde referencias que permiten la identificación de los usuarios (nombre, apellidos, correo electrónico, teléfono de contacto, DNI o NIE, dirección postal y fecha de nacimiento) hasta datos económicos o financieros (aunque sin medios de pago directos) credenciales de acceso a sus servicios, como usuario y contraseña.

Durante la investigación, Carrefour argumentó que el número de cuentas donde se confirmó la validez de credenciales (118.895) no implica un acceso a datos personales en todos los casos. La cadena francesa asegura que la afectación real a la integridad de las cuentas solo fue de 234 casos y a la confidencialidad de 973 casos. No obstante, la AEPD ha rechazado este argumento, afirmando que el acceso exitoso a las contraseñas ya implica un alto riesgo y una pérdida de control sobre los datos de las 118.895 cuentas de cliente afectadas.

La cuantía de la multa deriva de tres infracciones de la normativa de privacidad. Por un lado, por una violación “muy grave” del principio de integridad y confidencialidad de los datos, por el que la Agencia multa a Carrefour con dos millones de euros; a la que se suma otra calificada como “grave” por no establecer las correctas medidas de seguridad para evitar estos ciberataques, sancionada con otro millón de euros. Por último, el regulador establece una tercera sanción “leve” por no comunicar correctamente lo sucedido a los afectados, de 200.000 euros.

La AEPD destaca varias deficiencias por parte de Carrefour durante la investigación, que a juicio del regulador justifican la sanción. Por ejemplo, que la empresa no implementó la medida de seguridad del doble factor de autentificación (confirmación de identificación a través de un método adicional a la contraseña) hasta después de la quinta brecha. Además, sus sistemas permitían la consulta masiva de información desde direcciones IP distintas sin detectarlo como una anomalía.

elDiario.es se ha puesto en contacto con Carrefour para incluir su posición en esta información y preguntar si planea recurrir la sanción ante la Audiencia Nacional, pero todavía no ha recibido respuesta. La cadena, no obstante, no ha ejercido la posibilidad de reducir un 20% la cuantía de la sanción por asunción de responsabilidad, ni el 20% adicional por pronto pago.

Riesgo de suplantaciones

El tipo de datos robados a Carrefour son la materia prima que los ciberdelincuentes utilizan para realizar ataques de suplantación de identidad. En ellos, se hacen pasar por empresas como Carrefour u otras instituciones intentando ganarse la confianza de la víctima haciéndole ver que conocen sus datos y situación personal. Una de sus técnicas más utilizadas es inducir una situación de urgencia, en la que el objetivo debe realizar algún tipo de acción con rapidez para evitar un problema o situación negativa.

En caso de sospecha de haber clicado en un enlace fraudulento o de haber introducido datos bancarios en páginas que podrían estar operadas por ciberestafadores, la recomendación de las fuerzas de seguridad es comunicar lo sucedido de inmediato al banco y denunciar los hechos a la Policía. El Instituto Nacional de Ciberseguridad dispone del número gratuito 017 y del teléfono de WhatsApp 900 116 117 para resolver dudas de seguridad. Atiende a ciudadanos, empresas y profesionales y es confidencial.

Mantener durante meses en una vitrina el nombre del moroso de una comunidad de propietarios, a la vista de cualquier vecino o visitante que pase por allí, vulnera el principio de confidencialidad de los datos personales y supone una infracción del Reglamento General de Protección de Datos. Así la señala una resolución de la Agencia Española de Protección de Datos, que condena a una comunidad de propietarios a una multa de 1.000 euros (a pagar a la Agencia), a retirar el papel de la vitrina en el plazo de un mes y a que se comprometa a no volver a colocar las actas de Junta de Propietarios (salvo las previstas por la ley) a la vista de terceros y terceros.

La resolución, adelantada por Sur y a la que ha tenido acceso este medio, fue dictada por el presidente de la Agencia el pasado 19 de marzo. El origen de la disputa estaba en una deuda por cuotas de la comunidad. Un vecino debía varias de esas cuotas, y así se recogió en el acta de la junta general ordinaria celebrada el 3 de agosto de 2023, en la que constaba su apellido, su nombre y la deuda que tenía con la comunidad. 

Ese documento fue expuesto en una vitrina cerrada con llave y ubicada en el vestíbulo de entrada del inmueble, “a la vista de todo el que entraba en el edificio”. Estuvo colocada desde agosto de 2023 hasta, al menos, el 2 de abril de 2024, según quedó acreditado por medio de fotografías acompañadas a la denuncia que el vecino interpuso diez días pues. 

Tres días naturales

“Es un mal uso del tablón. La Ley de Propiedad Horizontal está por encima de muchas cosas, pero no por encima de la Ley de Protección de Datos”, señala Manuel Jiménez, presidente del Colegio de Administradores de Fincas de Málaga, quien señala que este tipo de problemas son más frecuentes en comunidades sin administrador de fincas colegiado. “Si está colegiado, la comunidad podrá reclamar al seguro del administrador”.

Iván González, un abogado experto que presta asesoramiento en la materia al Colegio, explica que las comunidades de propietarios son un foco de conflictividad habitual en materia de protección de datos, con dos tipos de denuncias: videocámaras y tablones. “Las deudas no se pueden exponer como escarnio público en el tablón. Imagina que hay un dentista, y ves que tu profesor de matemáticas debe dinero a la comunidad”.

La Ley de Propiedad Horizontal dispone que los acuerdos de la Junta de propietarios se recogen en un libro de actas, y que el acta de las reuniones se remite a los propietarios. Excepcionalmente, si una notificación se remite sin éxito, la Comunidad puede colocar el acta en el tablón de anuncios o en “lugar visible de uso general habilitado al efecto”, señalando la fecha y los motivos por los que lo hace así, y la notificación surte efecto en tres días naturales. Sin embargo, la ley no autoriza la exposición pública y sin restricciones de esas actas. Y aquí, la comunidad lo hizo sin explicar que lo hiciera porque no pudo notificar, y sin límites. “Estuvo más de ocho meses. No es de recibo, es un abuso de la posibilidad de notificar”.

Además, la agencia ha acotado la ubicación (el tablón debe estar en un sitio no visible desde fuera, que no sea de paso) y la duración de la exposición pública: “No puede estar durante meses. Si quieres notificar y no has podido por burofax, se puede publicar unos días y retirarlo. Si se deja más tiempo, es para hacer daño”, señala González. Y ese no es el objetivo que ampara la excepción.

Al haber superado con creces los tres días el acta que exponía, a la vista de todo el mundo, el nombre, apellidos, dirección postal y deudas del vecino, sin motivación para ello, la Comunidad habría vulnerado el deber de confidencialidad de estos datos. La Comunidad era responsable de tratar los datos conforme a la ley y debía respetar el principio de integridad y confidencialidad. Es decir, debía tratarlos “de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental”, evitando accesos, usos y divulgaciones no autorizados.

La sanción, de 1.000 euros, tiene en cuenta el contenido del acta, el número total de vecinos deudores (“12 aproximadamente”), la información que se reseña en el informe del presidente sobre las cuentas del ejercicio 2022-2023, las intervenciones de otros vecinos y la ausencia de justificación para exponer públicamente el acta.

La quiebra de la empresa de análisis genético 23andMe ha despertado una gran incertidumbre entre usuarios, autoridades y especialistas. Después de casi 20 años de actividad, la compañía acumula datos genéticos de 15 millones de clientes que en algún momento de sus vidas dieron muestras de su ADN para conocer sus orígenes ancestrales. Ahora, esa información se venderá a un tercero y, aunque sus responsables aseguran que los datos seguirán protegidos, el historial de la empresa y la regulación más laxa en Estados Unidos despiertan serias dudas sobre su posible uso.

Este lunes, la CEO de la empresa, Anne Wojcicki, anunciaba su marcha en la red social X y afirmaba que seguirán “abogando incansablemente por que los clientes tengan opciones y transparencia con respecto a sus datos personales, independientemente de la plataforma”.  Mientras tanto, el Fiscal General del estado de California, donde reside 23andMe, ha emitido una alerta al consumidor en la que aconseja a los clientes que eliminen sus datos del sitio.

La seguridad de 23andMe ya fue vulnerada en 2023, cuando un grupo de ciberatacantes robó los datos de siete millones de su usuarios y sacó a la venta los datos en la dark web. En octubre de 2024, la Agencia Española de Protección de Datos (AEPD) abrió un expediente a 23andMe que sigue en tramitación, según confirman a elDiario.es desde la propia agencia. Antes, en el año 2021, la AEPD sancionó con 20.000 euros de multa a una empresa de análisis genético muy similar, MyHeritage, tras una reclamación de la Organización de Consumidores y Usuarios (OCU) por incumplimientos de la normativa de protección de datos y no habilitar un proceso sencillo para pedir su borrado. 

“Aviso a navegantes”

“Creo que esto es un aviso a navegantes”, asegura Lluis Montoliu, genetista del Centro Nacional de Biotecnología (CNB-CSIC) y experto en bioética. Él mismo donó su ADN para hacer una prueba de ancestral, para poder hablar de primera mano de este sistema, y ahora se ha dado de baja junto a toda su familia. “Estas son las cuestiones éticas que se plantean cuando una empresa que está usando datos de salud pierde el control, porque aunque diga que va a garantizar la confidencialidad, hay dudas sobre lo que hará la empresa compradora”. 

“Si la empresa cierra sin que nadie la saque a flote, se supone que esos datos los deberán eliminar”, señala Rubén Sánchez, portavoz de FACUA. “Y esa es la gran duda ahora, porque nunca antes una empresa había ido a la quiebra con estos datos que son extraordinariamente sensibles”. La empresa compradora podrá quedarse con los datos genéticos, apunta el experto, pero no podrá usarlos para cualquier fin. “Lo que nunca podrá es usar los datos con fines distintos a los que se recabaron”, recalca. “Eso sería absolutamente ilegal desde el punto de vista de la normativa de protección de datos”.

La empresa compradora nunca podrá es usar los datos con fines distintos a los que se recabaron. Eso sería absolutamente ilegal

Rubén Sánchez — Portavoz de FACUA

Entre las recomendaciones hechas por el Fiscal de California, está la de revocar el consentimiento dado a 23andMe para utilizar sus datos genéticos, ya que la legislación de este Estado ampara a los usuarios. Pero no es así en todas partes. “En Europa tenemos una protección adicional dado que el Reglamento General de Protección de Datos que entró en vigor en mayo de 2018, especialmente en lo que se refiere a los datos personales y las empresas que hagan un mal uso se enfrentan a grandes multas”, señala Montoliu. “Además, el reglamento recoge el derecho a ser olvidados, un derecho que no tienen en Estados Unidos”.

Una “indefensión práctica”

Al eliminar la cuenta, el usuario recibe un email en el que se le pide confirmar su solicitud de eliminación, lo que dará por terminada su relación con 23andMe, pero se advierte de que conservará “información limitada para el establecimiento, ejercicio o defensa de reclamaciones legales, y según lo permita o exija la legislación aplicable”. Esto significa, como advierten en MIT Technology Review, que 23andMe y su laboratorio externo de genotipado conservarán parte de tu información genética, además de tu fecha de nacimiento y sexo, junto con los datos vinculados a tu solicitud de eliminación de cuenta, como tu dirección de correo electrónico y el identificador de la solicitud. 

Este caso constata la indefensión práctica de todos en relación con el manejo de nuestros datos personales. Pueden ocurrir muchas cosas para que dejen de estar protegidos

Gemma Galdón — Especialista en el impacto ético de la tecnología,

Gemma Galdón, especialista en el impacto ético de la tecnología, recuerda que la privacidad ha sido un problema durante toda la existencia de 23andMe y algunas veces ha conseguido vender esos datos a empresas. “En general, si el proveedor decía que los datos se cedían solo para el uso de 23andMe, no podrían incorporarlos como parte de la venta, pero claro, hay muchos actores interesados en que eso puede dar dinero para poder pagar a los acreedores”, asegura. “Básicamente, este caso constata la indefensión práctica de todos en relación con el manejo de nuestros datos personales. Pueden ocurrir muchas cosas que hacen que esos datos que hemos entregado en condiciones que creíamos seguras y privadas, dejen de estar protegidos”. 

“Yo creo que no hay unas garantías de dónde y cómo tienen los datos”, comenta Belén Pérez, jefa de la Unidad de Genética del Centro de Diagnóstico de Enfermedades Moleculares (CEDEM). “Estamos ante una situación en la que millones de personas no saben qué van a hacer con su información genética”. Aunque la empresa habla de que están buscando un sitio con un compromiso de salvaguardar la privacidad, ¿qué va a pasar si no lo encuentran?, se pregunta. “Puede que reciban una buena oferta y que hagan una cesión de datos en unas condiciones que no garanticen la privacidad de todos esos datos genéticos”.

Puede que reciban una buena oferta y que hagan una cesión de datos en unas condiciones que no garanticen la privacidad de todos esos datos genéticos

Belén Pérez — Jefa de la Unidad de Genética del Centro de Diagnóstico de Enfermedades Moleculares (CEDEM).

“Los usuarios deben ser conscientes de que ceder una muestra de ADN a una empresa con fines comerciales conlleva riesgos significativos”, coincide Antonio Salas, genetista de la Universidad de Santiago (USC). Además, recuerda, la privacidad se extiende a parientes cercanos y lejanos, y puede facilitar la identificación de personas sin su consentimiento. “Ya existen antecedentes preocupantes: por ejemplo, 23andMe ha firmado acuerdos con la industria farmacéutica para compartir su base de datos y se han reportado solicitudes de acceso a estos datos por parte de cuerpos de seguridad”, apunta.

En opinión de Salas, es totalmente legítimo que una persona decida utilizar los servicios de una empresa de genómica recreativa como 23andMe, pero la mayoría de los usuarios desconocen o no comprenden completamente los riesgos que implica. “Quienes ya han compartido su ADN con estas compañías probablemente hayan cedido los derechos de uso de su información de por vida. En muchos casos, no hay forma de revertir esta decisión. Una vez que los datos han sido compartidos, resulta difícil eliminar su rastro o limitar su uso”.

Quienes ya han compartido su ADN con estas compañías probablemente hayan cedido los derechos de uso de su información de por vida

Antonio Salas — Genetista de la Universidad de Santiago (USC)

Para Gemma Marfany, catedrática de la Genética de la Universidad de Barcelona (UB), el principal problema de los tests genéticos directos al consumidor es que se trata a los solicitantes como clientes y no como personas que tienen datos genéticos potencialmente relevantes para su salud. “En Estados Unidos la protección ofrecida es muy parcial, ya que toda vez que el cliente envía su muestra, queda a discreción de la compañía su uso”, asegura. “Las firmas se comprometen a no ceder los datos personales a empresas de seguros, pero a su vez, quedan dispensados si la compañía entra en bancarrota o es absorbida”

“El hecho de que una empresa tenga nuestros datos genéticos y que vaya a desaparecer y venderse por partes es inquietante”, indica Montoliu. “Porque imagínate que tienen información de que yo voy a desarrollar una enfermedad neurodegenerativa a los 65 o 70 años o tengo un riesgo elevado de desarrollar un cáncer, y esta información llega a manos de una empresa o una institución que quiere contratarme y que se lo va a pensar dos veces, o una aseguradora”. 

Para Belén Pérez, esta situación es la consecuencia de haber vendido estos kits de extracción de ADN “de una forma tan alegre”. “Estamos en una situación que se debería revisar”, subraya. En cuanto a la utilidad de estas bases de datos para obtener información anonimizada para tomar decisiones de salud pública, recuerda que ya se está haciendo desde las instituciones públicas con garantías, como el proyecto Un millón de genomas. “Yo no mandaría jamás el ADN a ninguna empresa, ya que ahí está también toda tu epigenética, está toda tu vida, las infecciones que has tenido, tu modo de vivir… Porque la información genética es realmente nuestra huella más importante de quiénes somos y cómo somos”. 

La preocupación por la seguridad digital de los menores ha aumentado considerablemente en los últimos años, especialmente con la proliferación de dispositivos móviles. Con el acceso ilimitado a internet, aplicaciones y redes sociales, los padres se enfrentan al desafío de proteger a sus hijos de contenidos inapropiados.

Los teléfonos, ahora herramientas esenciales en la vida cotidiana, se han convertido en una ventana abierta al mundo digital, lo que hace que los controles parentales sean más importantes que nunca. Afortunadamente, tanto iPhone como Android ofrecen opciones de configuración que permiten a los padres gestionar el uso de estos dispositivos, brindando un entorno más seguro para los más jóvenes.

La configuración del control parental no solo ayuda a regular el acceso a ciertos contenidos, sino que también ofrece una manera eficiente de supervisar el uso del teléfono. En un contexto en el que cada vez son más las plataformas que permiten la interacción entre usuarios y el consumo de contenidos no siempre apropiados, esta herramienta se convierte en un salvavidas para aquellos que desean velar por la seguridad de sus hijos en la red.

Además, es importante recalcar que tanto iOS como Android cuentan con opciones flexibles, adaptándose a las necesidades de cada familia y permitiendo que el control sea lo más personalizado posible. Esta guía te llevará paso a paso a través de las opciones disponibles en ambos sistemas operativos para que puedas configurar el móvil de tu hijo de forma sencilla y eficaz.

El control parental en smartphones es más que una medida de seguridad. Con el avance tecnológico y la transformación de los dispositivos en auténticos centros de entretenimiento y trabajo, tener la posibilidad de definir los límites de uso y acceso resulta crucial para promover un entorno digital saludable.

Configuración de control parental en Android

En dispositivos Android, Google ofrece herramientas efectivas para gestionar el uso del teléfono móvil a través de la aplicación Google Family Link. Esta aplicación permite a los padres controlar el acceso a aplicaciones, el tiempo de pantalla y otras funciones del dispositivo, lo que facilita la creación de un entorno seguro para los más jóvenes. Para configurarla, el primer paso es descargar Google Family Link tanto en el dispositivo del menor como en el del padre o tutor desde Google Play.

Una vez que la aplicación está instalada, es necesario vincular las cuentas de Google de ambos, es decir, la del menor y la del adulto supervisor. El sistema guiará el proceso para configurar las opciones de control parental de acuerdo con las necesidades específicas de cada familia. Una vez emparejadas las cuentas, uno de los padres o tutor podrá gestionar el uso del dispositivo a través de su propio teléfono, tablet o incluso un ordenador.

Google Family Link permite establecer límites de tiempo de pantalla, es decir, los padres pueden definir cuánto tiempo al día puede usar el menor su dispositivo y qué aplicaciones puede o no utilizar. Además, la aplicación ofrece la opción de bloquear el dispositivo remotamente, por ejemplo, durante la noche o en momentos en los que el debe estar realizando otras actividades.

También es posible aprobar o rechazar las aplicaciones que el menor desea descargar desde Google Play, asegurando que solo se instalen aquellas que sean apropiadas para su edad.

Una de las características clave de Google Family Link es su capacidad para gestionar el acceso al contenido. Los padres pueden activar filtros para bloquear el acceso a aplicaciones o sitios web inapropiados, como contenido explícito o de carácter violento.

La app también permite configurar los permisos del dispositivo, como el control sobre las compras dentro de las aplicaciones, las notificaciones y las actualizaciones. A través de esta herramienta, los padres tienen una supervisión integral de la experiencia digital de sus hijos, asegurándose de que se mantengan dentro de los límites establecidos y fomentando un uso saludable y seguro de la tecnología.

En cuanto a la ubicación, Google Family Link también incluye una función que permite a los padres conocer la ubicación del dispositivo del menor en tiempo real, lo que agrega un extra de seguridad. Esta opción es especialmente útil si los padres desean asegurarse de que su hijo se encuentre en un lugar seguro o si ha perdido su dispositivo.

Configuración de control parental en iPhone

Para quienes cuentan con un iPhone, Apple ofrece una serie de opciones que permiten gestionar el tiempo de uso y los contenidos a los que los menores pueden acceder. La función 'Tiempo de uso' es la clave para activar el control parental en un iPhone. Este ajuste se encuentra en el menú de 'Ajustes' y permite supervisar y controlar el tiempo que el menor pasa en cada aplicación, así como restringir el acceso a ciertas funciones del dispositivo.

El primer paso es acceder a la aplicación de 'Ajustes' y seleccionar 'Tiempo de uso'. Si no has configurado esta función previamente, el sistema te guiará para establecer un código de acceso único que solo los padres deben conocer.

Este código es esencial, ya que evitará que el niño realice modificaciones en los ajustes sin tu consentimiento. Una vez dentro de 'Tiempo de uso', podrás ver un resumen del tiempo que el menor pasa en las aplicaciones, lo cual es ideal para mantener el control sobre el uso general del móvil.

En cuanto a las restricciones de contenido, Apple permite bloquear o limitar el acceso a ciertas aplicaciones, sitios web y funciones. En la sección 'Restricciones', los padres pueden activar filtros para evitar que los menores descarguen aplicaciones no apropiadas o incluso modificar configuraciones del sistema.

Además, para aquellos padres que deseen una supervisión aún más detallada o gestionen varios dispositivos, también es posible descargar la aplicación Google Family Link. Aunque esta app está diseñada principalmente para dispositivos Android, puede ser instalada en un iPhone.