El rol de las autoridades de control y los profesionales de la privacidad frente a los desafíos actuales
Con ocasión del Día Europeo de protección de datos, es un buen momento para detenernos y recordar los desafíos a los que se enfrenta esta disciplina en la actualidad. Puede parecer que la entrada en vigor del Reglamento General de Protección de Datos (RGPD) es ciertamente reciente, si se atiende al grado de madurez que algunas organizaciones presentan en esta materia, pero nada más lejos de la realidad, casi se han cumplido ochos años desde su plena aplicación.
Durante muchos años, la protección de datos ha sido percibida como una obligación legal más, de carácter formal y escaso impacto práctico. No obstante, la aprobación del RGPD supuso un punto de inflexión, dado que armonizó la normativa comunitaria y puso el foco en el interesado, reforzando sus derechos y redefiniendo las responsabilidades de quienes tratan sus datos. Este cambio de paradigma ha permitido que la protección de datos pase de ser marginal a ocupar un lugar central en la agenda estratégica de las entidades y un factor clave de confianza.
En paralelo, las autoridades de control han avanzado en criterios, orientación y sanciones, sin embargo, no son pocos (y, además, complejos) los retos a los que esta materia se enfrenta, destacando, entre ellos, la constante evolución tecnológica y el desarrollo normativo.
En este contexto, afloran cuestiones como las siguientes ¿se requiere una revisión de la adaptación e interpretación del RGPD para poder garantizar su cumplimiento en nuevos escenarios, como la Inteligencia Artificial?, ¿es preciso que las autoridades de control concreten con mayor detalle las medidas técnicas y organizativas a implementar para proteger estos nuevos escenarios?, ¿existe equilibrio entre la protección de la privacidad y la innovación en sectores específicos (como neurotecnología, o tecnología biométrica)? Todas estas cuestiones no son baladís, afectan al modo en el que las organizaciones diseñan sus sistemas (recordar el principio de privacidad desde el diseño) o automatizan sus procesos.
El sector público ofrece un ejemplo claro de esta realidad. La Agencia Española de Protección de Datos (en adelante, AEPD) indicaba en su informe de actividad del primer trimestre de 2025, el notable incremento de consultas recibidas en el Canal del DPD por parte de las Administraciones Públicas tras la entrada en vigor del Reglamento Europeo de Inteligencia Artificial. En particular, especifica, consultas sobre la posibilidad de entrenar estos sistemas para mejorar la eficiencia de respuesta en unidades de Inspección, de asesoramiento jurídico y la gestión de sus competencias en general. El uso de IA en políticas de recursos humanos. (…) en el tratamiento de dato de salud en entornos de investigación biomédica y ensayos clínicos.
Asimismo, la AEPD también pone de manifiesto en su última Memoria publicada, los principales riesgos y desafíos futuros. Entre ellos, se advierten de forma resumida, los siguientes:
- Impacto de la Inteligencia Artificial, incluida la interacción entre el Reglamento de IA y el RGPD.
- Sistemas automatizados.
- Datos genéticos y neurodatos.
- Coordinación internacional y casos transfronterizos, derivados de la globalización.
- Brechas de datos personales. Recientemente la AEPD ha publicado que ha recibido 2.765 notificaciones de brechas de datos personales en 2025, el 80% corresponde al sector privado y el 20% al sector público.
- Apoyo y sensibilización a las Pymes y micropymes.
- Aprobación del Plan Estratégico 2025-2030, que determinará las líneas de actuación de la AEPD.
En definitiva, el camino recorrido es significativo, pero nos enfrentamos a grandes desafíos y de forma constante, puesto que la irrupción tecnológica es trepidante y más compleja. Así, las autoridades de control y quienes nos dedicamos, profesionalmente, a la privacidad y seguridad de la información, debemos estar al día de la transformación digital de nuestra sociedad, aprendiendo cómo opera y ocupándonos del encaje en el ordenamiento jurídico, a fin de que, sobre todo, no conculque los derecho y libertades fundamentales.
Y, por otra parte, en atención al Considerando 4 del RGPD «El tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos personales no es un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad». De modo que, autoridades de control y profesionales, esforcémonos en lograr la inserción de las tecnologías, sin que la protección de datos personales sean una cortapisa. La privacidad no tiene por qué ser, en determinados supuestos, un obstáculo para la innovación.
Centro de Competencia Privacidad de Govertis, part of Telefónica Tech
Expertos en Ciberseguridad, Privacidad, IT GRC y Cumplimiento Normativo unificando la perspectiva Legal y Tecnológica.
