Noticias bancarias y jurídicas

La AEPD ha registrado un aumento importante en las brechas de datos personales notificadas por los responsables de tratamiento durante el primer semestre de 2026, superando las 3.000 notificaciones. El texto subraya la relevancia de estas notificaciones para la protección de los datos de los ciudadanos. Se trata de un dato oficial que refleja la creciente exposición de la información personal en distintos sectores, incluido el financiero.

Un debate con 52 especialistas abordó el impacto de la inteligencia artificial en decisiones judiciales y sanitarias. El magistrado Eduardo de Porres advirtió de los riesgos de subir documentación confidencial a plataformas externas y recordó los límites del CGPJ sobre protección de datos. Los expertos coincidieron en que la tecnología avanza más rápido que la regulación.

La AEPD publica una reflexión sobre la 'IA ofensiva' y advierte de que las notificaciones de brechas han aumentado un 150% en 2026. Sostiene que la IA agéntica reduce el tiempo entre el acceso a un sistema y la exfiltración de datos a minutos, y critica el parcheo automático sin supervisión. Propone medidas como inventariar la superficie expuesta, adoptar Zero Trust y purgar datos innecesarios.

Un expresidente de Fideuram–Intesa Sanpaolo autorizó transferencias millonarias hacia China y Hong Kong tras recibir un mensaje falso del CEO y una llamada con voz clonada por IA del socio director de A&O Shearman en Italia. Se recuperaron o bloquearon unos 53 millones, pero 36 millones siguen sin aparecer tras convertirse en criptomonedas. El esquema es un fraude del CEO con un salto cualitativo por el uso de IA para suplantar voces.

El Real Decreto 723/2026, que transpone la Directiva de transparencia retributiva, introduce un nuevo deber de información en los contratos laborales de más de cuatro semanas sobre sistemas algorítmicos o automatizados de toma de decisiones. La AEPD ha hecho pública una advertencia a una compañía sobre una herramienta de IA para cribado y evaluación de candidaturas, exigiendo cumplimiento de transparencia y supervisión humana. Desde el 5 de octubre las empresas deben informar de las pautas y reglas de funcionamiento de los sistemas de IA que afecten a condiciones de trabajo.

La AEPD ha recibido la primera notificación de una brecha de datos personales en España atribuida a un agente de inteligencia artificial. Un agente de IA puede actuar con autonomía: buscó vulnerabilidades, inició sesión y accedió a facturas y datos personales. La AEPD recuerda que el uso de IA no cambia las obligaciones del responsable: el plazo de 72 horas para notificar la brecha sigue vigente. Pide incluir este tipo de ataques en los análisis de riesgos. No se ha revelado el nombre de la empresa ni el modelo de IA utilizado.

La AEPD emitió una advertencia sobre una herramienta de IA para cribado de currículums y evaluación de candidatos en procesos de selección y movilidad interna. La empresa afirmaba que la decisión final sería humana, pero la Agencia precisó que esa intervención debe ser efectiva y permitir valorar críticamente el resultado automatizado. La advertencia se basó en el artículo 22 RGPD y en las Directrices WP251 del antiguo Grupo de Trabajo del Artículo 29.

La AEPD ha remitido una advertencia a una empresa sobre la posible implantación de una herramienta de inteligencia artificial para cribado y evaluación de candidaturas en selección de personal y movilidad interna. La Agencia recuerda la necesidad de integrar la protección de datos desde el diseño, evaluar riesgos y garantizar la transparencia frente a candidatos y trabajadores. La advertencia se ampara en el artículo 22 RGPD y en la facultad preventiva del artículo 58.2.a) del RGPD.

La AEPD ha desestimado el recurso de reposición de Digi Spain Telecom y confirma la multa de 120.000 euros por una infracción del artículo 6.1 del RGPD. La sanción se debe al tratamiento ilícito de datos personales en la emisión no autorizada de un duplicado de una tarjeta SIM. Los hechos ocurrieron en enero de 2022 y la multa se impuso inicialmente en noviembre de 2025. Duplicar una SIM permite a terceros recibir códigos de autenticación y recuperar contraseñas, lo que supone un grave riesgo para la identidad digital.

La Agencia Española de Protección de Datos recibió la primera notificación de una brecha de datos en la que un agente de inteligencia artificial ejecutó el ataque de forma autónoma. El agente buscó vulnerabilidades, inició sesión válida, modificó datos personales y accedió a facturas sin intervención humana. La AEPD advierte que esto obliga a replantear los análisis de riesgos, los plazos de notificación de 72 horas y la gestión de identidades y credenciales.

La Agencia Española de Protección de Datos ha decidido abrir una investigación de oficio por un informe de la Oficina de Comunicación del Ministerio del Interior con nombres de periodistas y observaciones sobre su supuesta ideología. La AEPD analizará la naturaleza y alcance del tratamiento de esos datos personales, su utilización y la base jurídica que lo amparaba. Recuerda que la ideología es una categoría especialmente protegida por el artículo 9.1 del RGPD, que prohíbe su tratamiento salvo que concurran causas que levanten esa prohibición. La apertura de actuaciones no implica que se haya producido una infracción.

La Audiencia Provincial de Las Palmas confirmó la condena a Wizink Bank por comunicar a la CIRBE una deuda superior a 11.000 euros cuya existencia y exigibilidad estaban afectadas por procedimientos judiciales previos. La entidad deberá indemnizar con 9.000 euros a la clienta por vulneración de su derecho al honor. La CIRBE no es un fichero de morosos, pero los datos incorrectos pueden afectar la reputación económica y el acceso a financiación. La clienta había obtenido resoluciones favorables en los procedimientos sobre nulidad de dos tarjetas revolving, pese a lo cual Wizink comunicó la deuda.

La AEPD ha estimado la reclamación de una ciudadana contra su exabogada. La letrada no contestó a la petición de supresión de datos del artículo 17 RGPD que recibió en agosto. La abogada alegó estar de vacaciones y que el expediente estaba destruido. La autoridad recuerda que el responsable debe responder expresamente, incluso para denegar motivadamente o comunicar que no hay datos.

La Agencia Española de Protección de Datos ha sancionado con 4.000 euros a Bodense Estructuras y Calderería S.L. por instalar cámaras que grababan imagen y sonido en zonas de paso, almacén y despacho de dirección. La empresa usó el sonido para justificar un despido disciplinario por conducta vejatoria. La AEPD considera que fue una medida desproporcionada, pues existían medios menos invasivos como testigos. Los carteles informativos no bastan para legitimar la grabación de conversaciones privadas.

Varios exámenes de un taller de empleo gestionado por el Ayuntamiento de Canals (Valencia), con DNI, nombre y calificaciones de tres alumnos, aparecieron abandonados junto a contenedores en la vía pública. Tras la denuncia vecinal, la AEPD abrió el expediente EXP202408290 y apreció una vulneración del principio de integridad y confidencialidad del artículo 5.1.f del RGPD. La Agencia declaró la infracción pero no impuso multa económica, al ser una Administración local sometida al artículo 77 de la LOPDGDD.

Un vecino de Salamanca vio cómo sus datos personales (nombre, apellidos, DNI y correo) aparecían en una web que se hacía pasar por la de pago de multas de la ORA, usada para estafar a otros ciudadanos. La Policía no pudo identificar al titular del sitio, pero la AEPD, tras consultar a la operadora de telefonía y al registrador del dominio, identificó al responsable. La Agencia concluyó que no había base jurídica que legitimara el tratamiento de esos datos y le impuso una sanción de 2.000 euros por vulnerar el artículo 6.1 del RGPD.

El 24 de agosto de 2026, OpenAI anunció la llegada de ChatGPT Anuncios a 31 mercados europeos, España incluida. La publicidad se muestra en las versiones Free y Go; Plus, Pro, Business y Enterprise permanecen sin anuncios. OpenAI declara que las conversaciones son privadas frente a los anunciantes, que se puede desactivar la personalización, borrar datos de anuncios y acceder a una vía sin publicidad de pago. El artículo advierte que una conversación puede revelar datos sensibles (salud, religión, orientación sexual, vulnerabilidad económica) y que las garantías de producto no equivalen a una auditoría de conformidad RGPD.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 1.000 euros (500 por cada infracción) a una mancomunidad de propietarios por difundir a través de grupos de WhatsApp un documento médico que identificaba a una vecina con sensibilidad química. La AEPD rechaza que el carácter informal del chat excluya la responsabilidad en protección de datos y considera que comunicar un dato de salud a determinadas personas no autoriza a compartirlo con el resto del grupo. Se vulneraron los artículos 5.1.f) y 9 del Reglamento General de Protección de Datos (RGPD), al acceder terceros no autorizados a información médica especialmente sensible.

La Agencia Española de Protección de Datos (AEPD) advierte de que dispositivos conectados a Internet —televisores, robots aspiradores, altavoces, bombillas, alarmas o timbres— pueden captar y almacenar voces, imágenes e información personal sin que el usuario sea consciente, incluidos datos de familiares e invitados. Estos aparatos no siempre distinguen quién es su titular y pueden seguir recopilando información aunque no se interactúe con ellos, lo que permite elaborar perfiles detallados de hábitos y comportamientos. Además, una configuración insegura puede convertirlos en puerta de entrada para ciberdelincuentes y exponer los datos tratados por terceros en caso de brecha de seguridad. La AEPD ofrece seis recomendaciones para un uso más seguro, como limitar la información facilitada, elegir fabricantes con garantías de privacidad y revisar las finalidades del consentimiento.

La AEPD ha resuelto el expediente EXP202514784 contra DIGI y concluye que las operadoras de telefonía no pueden rechazar de forma genérica el derecho de acceso de un usuario al registro de llamadas entrantes, alegando secreto de las comunicaciones o protección de terceros. La Agencia recuerda que la Ley 25/2007 no establece ninguna limitación específica al derecho de acceso sobre esos registros, aunque sí exige ponderar caso por caso qué datos pueden facilitarse al titular y cuáles deben restringirse para proteger a terceros. La resolución surgió tras la reclamación de un cliente al que DIGI denegó la petición de conocer fecha, hora, duración y número llamante de las llamadas que había recibido.