Europa decide que los banners de cookies se quedan, después de que Google hiciera campaña para conservarlos, y la autoridad neerlandesa impone a Uber la segunda mayor multa de la historia del Reglamento por dejar que un algoritmo desactivara a sus conductores. En España, la Agencia de Protección de Datos investiga el fichero con el que el Ministerio del Interior clasificó a casi trescientos periodistas por su ideología.

Hemos incluido las notas detalladas del episodio y todos los links o referencias en un post específico, como siempre, aquí disponible.

Referencias

* El Consejo cierra su texto sobre el Digital Omnibus: mantiene el artículo 88 bis y suprime el 88 ter, de modo que los banners de cookies se quedan

* noyb publica el documento con el que Google presionó contra la señal de consentimiento del navegador

* El Parlamento Europeo es la única vía para recuperar el artículo suprimido, y su posición no se espera hasta 2027

* La autoridad neerlandesa multa a Uber con 825 millones de euros por desactivar cuentas de conductores sin intervención humana

* La AEPD investiga de oficio el fichero del Ministerio del Interior que clasificaba a unos doscientos ochenta periodistas por su ideología

* La AEPD sanciona con 2,4 millones a 23andMe por la brecha de datos genéticos de 2023

* La AEPD multa a Amadeus con 18 millones, rebajados a 14,4, por perfilar viajeros a partir de reservas antiguas

* Meta pacta con cincuenta y un fiscales generales un acuerdo de hasta 17.100 millones de dólares sobre el diseño adictivo de sus plataformas

* La Comisión Europea concluye de forma preliminar que el diseño adictivo de Facebook e Instagram infringe el Reglamento de Servicios Digitales

* El Comité Europeo de Protección de Datos pide revisar si el Marco de Privacidad de Datos con Estados Unidos puede sostenerse

* El Comité Europeo obliga a la autoridad belga a resolver sobre el fondo una reclamación por banners de cookies

* El Tribunal de Justicia resuelve que vender acceso a antecedentes penales no es periodismo

* Noruega multa a Elkjøp por un club de clientes con consentimientos inválidos: un consentimiento no vale para varias finalidades

* La justicia estadounidense descarta dividir el negocio publicitario de Google e impone remedios de conducta sobre la subasta

* Arranca la fase de aplicación del Reglamento europeo de Inteligencia Artificial, con multas de hasta el tres por ciento de la facturación mundial

* La búsqueda orgánica cae en España del 52 al 41 por ciento del tráfico web, cuatro veces más deprisa que la media mundial.

Guillermo Lazcoz acaba de publicar el libro “Decisiones Automatizadas en el Reglamento General de Protección de Datos”. Nuestro invitado es investigador posdoctoral de la Universidad de Murcia para el proyecto FACT-AI, así como Doctorado internacional en Derecho con premio extraordinario en ciencias sociales y jurídicas por la Universidad del País Vasco.

Guillermo ha recibido el premio de investigación Emilio Aced por la Agencia Española de Protección de Datos (2022) y 1er Accésit en investigación en los X Premios de la Autoridad Vasca de Protección de Datos (2025), en ambos casos por trabajos relacionados con las decisiones automatizadas. Ha realizado estancias de investigación en el grupo de investigación LSTS de la Vrije Universiteit Brussel en Bruselas (2021), y en el LIDER-Lab de la Scuola Superiore Sant’Anna en Pisa (2025).

Referencias:

* Decisiones Automatizadas en el Reglamento General de Protección de Datos, Editorial Comares (Guillermo Lazcoz, 2026)

* Guillermo Lazcoz en LinkedIn

* Decisión del TJUE en el caso SCHUFA (diciembre 2023)

* Reglamento UE de Inteligencia Artificial (2024).

¿Podría un nuevo tipo de “coaching” ayudar a equipos de alta gestión a entender el verdadero valor de negocio de la estrategia de protección de datos o gobernanza de IA? ¿Hay forma de romper ese “techo de cristal” para elevar la disciplina hasta el C-suite?

Berta Balanzategui es fundadora de The Privacy Coach y fue durante años Senior Privacy Counsel en la Oficina Corporativa de Privacidad de General Electric, responsable de la implementación del RGPD en la UE y el Reino Unido.

Referencias:

* The Privacy Coach

* Berta Balanzategui en LinkedIn

* Berta Balanzategui: Normas Corporativas Vinculantes (BCR), Masters of Privacy (junio de 2023)

(Esta es la segunda parte de una entrevista que hemos arrancado en inglés y publicado en el canal en inglés el pasado 9 de junio. Aún así tiene vida propia e independiente: hemos entrado en mayor profundidad en el análisis del software generado con agentes IA y en gran medida apoyado sobre librerías de código abierto o componentes reutilizables).

Malcolm Bain es solicitor inglés y abogado en España. Ha trabajado como abogado especializado en IT /IP durante los últimos 20 años, con especialización en licencias de software, código abierto, transferencia de tecnología y protección de datos. En 2006, conjuntamente con su socio Manuel Martínez fundó id-law partners como boutique de IP e ICGT y en mayo de 2018 se incorporaron a Across Legal.

Además de su actividad profesional asesorando a emprendedores, empresas privadas, sector público y proyectos de código abierto, Malcolm es miembro de la Free Software Foundation Europe y ASTP, profesor asociado de derecho en la Universidad de Barcelona, mentor en Tecniospring Industry y otros programas para emprendedores y ponente habitual en conferencias y seminarios de este ámbito.

Referencias:

* Malcolm Bain en Across Legal

* Malcolm Bain en LinkedIn

* Monkey selfie copyright dispute (Wikipedia)

* Directiva (UE) 2019/790 sobre copyright y derechos relativos en el mercado único digital

* Informe sobre Copyright e Inteligencia Artificial (UK Intellectual Property Office)

* Stability AI largely wins UK court battle against Getty Images over copyright and trademark (AP News, noviembre 2025)

* US Copyright Office: Copyright Registration Guidance: Works Containing Material Generated by Artificial Intelligence (2023)

* German Court Rules OpenAI Infringed Song Lyrics in Europe’s First Major AI Music Ruling (noviembre 2025)

* Jakob Plesner: Copyright Exceptions for Generative AI (Masters of Privacy, October 2023).

(NOTA: La primera parte de esta conversación está disponible en el canal en inglés de Masters of Privacy).

¿Qué posibilidades se abren con el nuevo Espacio Europeo de Datos de Salud? ¿Se atisba la promesa de otros espacios similares? ¿Hasta dónde llegan los usos secundarios de los datos de salud? ¿Qué hacemos con los “wearables”? ¿Dónde terminan las garantías individuales y empieza el beneficio colectivo en el ámbito de la investigación?

Mikel Recuero es Doctor en Derecho por la Universidad del País Vasco. Es investigador postdoctoral en la Red de Derecho y Genoma Humano, donde ejerce como experto en asuntos legales, éticos y regulatorios (ELSI) para distintos proyectos nacionales y europeos. Su campo de estudio se centra en las intersecciones entre derecho, ética, ciencia y tecnología. Actividad que compatibiliza con el ejercicio de funciones de consultoría en materia de protección de datos y data governance y con la docencia en varias universidades españolas. Es también miembro del Órgano de Gobierno del Código de Conducta de Protección de Datos de FARMAINDUSTRIA. También es autor de una veintena de publicaciones en revistas científicas y académicas especializadas, ha recibido el Premio de Investigación en Protección de Datos por la Autoridad Vasca de Protección de Datos (AVPD/DBEA) en el año 2024 y el Accésit del Premio de Investigación en Protección de Datos Personales Emilio Aced por la Agencia Española de Protección de Datos (AEPD) en el año 2019.

Referencias:

* Mikel Recuero en LinkedIn

* AA.VV. El Espacio Europeo de Datos de Salud y su implementación en España. Fundación Roche, 2026.

* Comité de Bioética de España. Informe sobre aspectos del uso secundario de los datos y el Espacio Europeo de Datos de Salud. 2023.

* European Commission. Frequently Asked Questions on the European Health Data Space. Last updated 26th March 2026. Disponible en:

* Recuero, Mikel. «El uso secundario de datos de salud electrónicos: el futuro Reglamento del Espacio Europeo de Datos de Salud y su interacción con la protección de datos personales». InDret 2 (2024): 525-51. DOI: 10.31009/InDret.2024.i2.13

* Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud, y por el que se modifican la Directiva 2011/24/UE y el Reglamento (UE) 2024/2847. «DOUE» núm. 327, de 5 de marzo de 2025, páginas 1 a 96 (96 págs.)

* Patricia Muleiro: la gestión de los datos de salud en escenarios complejos (Masters of Privacy, marzo de 2023).

Hoy vamos a comentar las recientes Recomendaciones del Comité Europeo de Protección de Datos (EDPB) sobre la base jurídica para exigir la creación de cuentas de usuario en sitios web de comercio electrónico. Y desde ahí vamos a explorar diversos mundos colindantes.

Leandro Núñez es abogado y socio de Audens, despacho especializado en derecho tecnológico, privacidad, propiedad intelectual y derecho publicitario. Con más de 20 años de experiencia en el asesoramiento jurídico en materias vinculadas a la tecnología y la economía digital, desarrolla su práctica principalmente en el ámbito de la protección de datos, la propiedad intelectual, la publicidad digital y la regulación de nuevos modelos de negocio tecnológicos.

Antes de incorporarse a Audens, Leandro fue asesor en relaciones internacionales en la Agencia Española de Protección de Datos (AEPD), institución a la que representó en distintos foros y organizaciones internacionales, como el Grupo de Trabajo del Artículo 29 de la Unión Europea, el Comité Consultivo del Convenio 108 del Consejo de Europa y la Conferencia Internacional de Autoridades de Protección de Datos y Privacidad.

Letrado en ejercicio del Ilustre Colegio de Abogados de Madrid, es máster en Derecho de las Telecomunicaciones y Tecnologías de la Información por la Universidad Carlos III de Madrid. Es ponente habitual en másteres, seminarios y conferencias sobre privacidad, marketing digital, cloud computing e inteligencia artificial, e imparte docencia en centros como IE, la Universidad Carlos III de Madrid y la Universidad Autónoma de Madrid. Es también coautor de diversas obras colectivas, entre ellas Reglamento general de protección de datos: hacia un nuevo modelo europeo de protección de datos (Reus, 2017), Tratado de Protección de Datos (Tirant lo Blanch, 2019) y Aspectos jurídicos de la ciberseguridad (Ra-Ma, 2020).

Referencias:

* José Leandro Núñez García en LinkedIn

* Leandro Núñez en Audens

* Recomendaciones CEPD/EDPB 2/2025 sobre la base jurídica para exigir la creación de cuentas de usuario en sitios web de comercio electrónico (inglés, consulta cerrada el 26 de febrero de 2026)

* Leandro Núñez: En las profundidades del Privacy by Design (Masters of Privacy, abril 2020).

* Luis Gallego: nuevas oportunidades en comercio electrónico bajo un uso ético de los datos (Masters of Privacy, mayo de 2023)

* Pablo Segura: Comercio electrónico, inteligencia artificial y protección de datos en Latinoamérica (Masters of Privacy, mayo de 2024).

¿En qué momento quedó definitivamente regulada la cadena de bloques (Blockchain) como un nuevo servicio de confianza apoyado en criptografía? ¿Podemos disociar atestaciones de atributos del concepto de identidad digital? ¿Dónde está el sano equilibrio entre el rol del Estado y una completa soberanía individual apoyada en la descentralización?

Ignacio Alamillo Domingo es Doctor en Derecho por la Universidad de Murcia, Licenciado en Derecho por la UNED, auditor de Sistemas de Información certificado, Director de Seguridad de la Información certificado e Ingeniero Certificado en Soluciones de Protección de Datos, por ISACA, así como SMP Master por SMI.

En la actualidad es Abogado del Ilustre Colegio de Reus, Asesor de Logalty y Director General de Astrea La Infopista Jurídica SL. Asimismo, colabora con el Grupo de Investigación iDerTec de la Universidad de Murcia. También es miembro del ETSI TC ESI, que normaliza los servicios de confianza, miembro de UNE CTN71/SC307, de CEN-CLC/JTC 19 y de ISO TC 307, relativos a Blockchain. Dispone de más de 100 publicaciones y ha impartido más de 400 ponencias en identidad digital, servicios de confianza y materias relacionadas.

Referencias:

* Nacho Alamillo Domingo en LinkedIn

* Astrea

* Adrian Doerk: digital identity, digital wallets and data protection (Masters of Privacy, junio de 2024)

* Jamie Smith: AI Agents, digital identity, wallets and personal data (Masters of Privacy, diciembre de 2024)

* Iain Henderson: MyTerms as the missing universal opt-in signal (After The Magic repost)

* Reglamento eIDAS 2.0

* Identidad Digital Europea

* European Decentralisation Institute

* Identity Commons and Internet Identity Workshop (IIW)

* Fundación OpenID

* Internet, claves legales para la empresa (Civitas-Aranzadi, 2002) - Ignacio Alamillo, Sergio Maldonado, Fernando Ramos, otros

Muy bien, vamos a por otro resumen trimestral, en cuatro de las secciones habituales (ePrivacy y marco regulatorio; MarTech & AdTech; IA, competencia y mercados digitales; y futuro de los medios).

Entre otras cosas, hoy tratamos:

* Verificación de edad en sus múltiples variantes y la evolución de la prohibición de medios sociales para menores

* Memoria de actividad de la AEPD

* Directrices varias del EDPB

* Campañas en ChatGPT, píxeles y APIs de conversión

* Píxeles de apertura en correos electrónicos (Francia, Italia)

* Nuevas directrices ICO para ePrivacy (analytics, A/B testing, etc.)

* Multas y juicios en California (Meta, General Motors).

Hemos incluido las notas detalladas del episodio y todos los links o referencias en un post específico, como siempre, aquí disponible.

Berta es fundadora de The Privacy Coach y fue durante años Senior Privacy Counsel en la Oficina Corporativa de Privacidad de General Electric, responsable de la implementación del RGPD en la UE y el Reino Unido.

Con ella abordamos en su momento las Normas Corporativas Vinculantes (Binding Corporate Rules) para saber qué son, cómo se aprueban y cómo se mantienen. También dimos cobertura a otros temas como la confusa línea divisoria entre responsables independientes, encargados y corresponsables en el tratamiento de datos personales.

Este episodio es una republicación “remasterizada” de nuestra entrevista original.

Referencias:

* The Privacy Coach

* Berta Balanzategui en LinkedIn

* Berta Balanzategui: Normas Corporativas Vinculantes (BCR), Masters of Privacy (junio de 2023)

* Directrices del CEPD sobre Normas Corporativas Vinculantes para responsables y encargados del tratamiento

* [EN] Jetty, Tielemans, una primera aproximación al impacto de Schrems II en las BCR.

¿Cómo se vive el Digital Omnibus desde la gran empresa? ¿Ayudan los cambios propuestos? ¿Firmamos acuerdos para el tratamiento de datos “no personales”?

Silvia Gerboles es Delegada de Protección de Datos y Expert Senior Group Legal Counsel en la unidad Global Privacy Ericsson. Con más de 25 años de experiencia en protección de datos, privacidad y ciberseguridad. Dentro del Grupo Ericsson, Silvia lidera los asuntos globales de privacidad de los clientes y los flujos transfronterizos de datos a nivel mundial; actualmente está involucrada en la Gobernanza de Datos y el Uso de Datos e implementación AI. También desempeña el cargo de Delegada de Protección de Datos para algunas empresas del Grupo Ericsson.

Basada en Madrid habiendo trabajado en distintas Firmas de Consultoría y Despachos de Abogados. Miembro del Colegio de Abogados de Madrid, posee un LLM por y un máster en Derecho de Propiedad Intelectual por IE. Certificada como Delegada de Protección de Datos por la AEPD y cuenta con varias certificaciones internacionales en privacidad.

Nuestra invitada es docente habitual en materias de Privacidad de Datos, IT y Telecomunicaciones, en diferentes programas de máster y seminarios, y ha publicado varios trabajos sobre protección de datos, IT y Derecho Comercial.

Referencias:

* Silvia Gerboles en LinkedIn

* El Parlamento Europeo adopta su posición para la simplificación de la normativa de inteligencia artificial (Digital Omnibus - paquete IA) en sesión plenaria, 26 de marzo de 2026 (EN)

* Itxaso Domínguez de Olazábal: la improcedencia del Digital Omnibus, un opt-out para Europa y la broma de “consiente o paga” (Masters of Privacy, febrero de 2026)

* Oliver Patel: How the Digital Omnibus affects the EU AI Act (EN, Masters of Privacy, diciembre de 2025)

* Opinión conjunta del EDPB y el EDPS sobre el Digital Omnibus (EN, 11 de febrero, 2026).