El 22 de diciembre de 2025, la autoridad francesa de protección de datos (CNIL) impuso una multa de 1 700 000 € a la empresa Nexpublica France por no implementar medidas técnicas y organizativas adecuadas de seguridad en su software PCRM, una herramienta utilizada para la gestión de la relación con usuarios en el ámbito de la acción social.   El PCRM, utilizado por algunas Maisons Départementales des Personnes Handicapées (MDPH), permitió que usuarios accedieran indebidamente a documentos de terceros, lo que motivó notificaciones de violaciones de datos personales ante la CNIL a finales de noviembre de 2022. Los controles posteriores revelaron que Nexpublica no había establecido medidas de seguridad adecuadas para proteger los datos sensibles procesados en esa plataforma.   La formación restreinte…

La reciente publicación por la Agencia Española de Protección de Datos de su Política general para el uso de IA generativa en procesos administrativos constituye, a mi juicio, un hito especialmente relevante desde una doble perspectiva: institucional y académica. No es habitual que una autoridad de control, llamada precisamente a supervisar y sancionar usos indebidos de tecnologías intensivas en datos, se sitúe de forma tan explícita en la posición de usuario responsable de dichas tecnologías, y lo haga además mediante un documento público, sistemático y jurídicamente fundamentado. Como profesor de Derecho, valoro muy positivamente que la AEPD no haya optado por un enfoque meramente tecnológico o experimental, sino que haya articulado el uso de la IA…

El Consejo de la Unión Europea ha adoptado recientemente una regulación destinada a optimizar los procedimientos de reclamación transfronteriza bajo el General Data Protection Regulation (RGPD).  Esta iniciativa constituye una evolución significativa del régimen de cooperación entre las autoridades nacionales de protección de datos, que hasta ahora había sido objeto de críticas por su lentitud y falta de uniformidad cuando los casos abarcan más de un Estado miembro. Desde una perspectiva académica y profesional, resulta imprescindible destacar cómo esta medida procura armonizar tres niveles jurídicos: la admissibilidad de las reclamaciones, los derechos procesales de las partes (tanto del reclamante como del investigado), y la fijación de plazos máximos para la tramitación…

La Agencia Española de Protección de Datos ha publicado recientemente una guía práctica sobre el uso del cifrado como medida de seguridad dirigida específicamente a autónomos y pequeñas y medianas empresas. Este documento, de marcado carácter pedagógico, responde a una necesidad acuciante: acercar los principios técnicos y jurídicos de la seguridad de la información a un segmento empresarial que, por lo general, carece de medios especializados para afrontar los retos que plantea el cumplimiento del Reglamento General de Protección de Datos (RGPD). La guía se estructura en torno a una serie de casos reales en los que se produjeron brechas de seguridad —desde pérdidas de dispositivos hasta accesos no autorizados—,…