España: Manual del ciudadano

El precio de lo gratis

En 2018 muchos aficionados tenían en el móvil la aplicación oficial de la Liga de fútbol, para ver los horarios y los resultados. Era gratis. Al bajarla habían aceptado unas condiciones que, en un párrafo entre muchos, pedían permiso para usar el micrófono y la localización. Con ese permiso, la aplicación encendía el micrófono durante los partidos. Tomaba una huella del sonido de fondo y la comparaba con la emisión. Si el sonido coincidía y el móvil estaba en un bar, la Liga sabía que ese bar daba el partido. Así podía ver si pagaba la licencia.

Los aficionados habían trabajado, sin saberlo, como inspectores de la Liga contra los bares. La agencia de protección de datos vio ahí una infracción del principio de transparencia: el permiso estaba, pero no se decía qué se hacía con él. Multó a la Liga con doscientos cincuenta mil euros en 2019.¹

El caso tardó cinco años más en cerrarse, y acabó al revés. La Audiencia Nacional confirmó la multa en 2021. El Tribunal Supremo la anuló en julio de 2024.² Le reconoció a la agencia el poder de exigir más avisos cuando la transparencia lo pida. Lo que le negó fue multar por no haberlos puesto sin habérselo pedido antes. El tribunal le dejó el poder y le puso un orden: pedir primero, multar después.

El error de cálculo está en pensar que una aplicación gratis cuesta cero. Aquella costaba el micrófono. La regla vale para toda la economía digital: lo que no se paga con dinero se paga con datos. Y el dato, una vez cedido, hace un viaje que quien lo dio no ve.

Una aplicación del tiempo puede vender la localización a un intermediario. Este la junta con la de otras aplicaciones y la vende a un anunciante, a una aseguradora o a la policía, según el país. Una web muestra un anuncio que se ha subastado en milisegundos. Pujan por él cientos de empresas que han recibido un perfil de quien la mira. Nada de eso es por fuerza ilegal. Y nada de eso exige que quien dio el dato lo sepa.

Qué es un dato y qué poder da

Un dato personal es cualquier información sobre una persona que se puede identificar. Lo es el nombre, pero también la matrícula, la dirección IP (protocolo de internet), la localización del móvil, la huella del navegador o la foto de una cámara. La ley no hace del dato una propiedad de la persona a la que se refiere. No puede venderlo, como vendería su casa, ni impedir que exista.

Lo que dice es otra cosa. Quien lo usa —una empresa, una Administración— necesita una base legal para hacerlo. Solo hay seis:

• el consentimiento de esa persona;
• un contrato con ella;
• una obligación legal;
• su interés vital;
• una misión de interés público;
• o el «interés legítimo» de quien trata los datos.

Para los datos más delicados no basta con una de las seis. El reglamento prohíbe tratar los de salud y los biométricos que identifican a alguien. Tampoco se pueden tratar los que revelan su origen étnico, sus opiniones políticas, sus creencias o su vida sexual. Hay unas pocas excepciones tasadas, y la primera es el consentimiento explícito (artículo 9).³ Es la regla de fondo del tratamiento de datos biométricos. Las multas por biometría que cuenta este capítulo sancionan otra cosa: no haber hecho antes la evaluación de impacto exigida.

El interés legítimo permite usar datos sin pedir permiso. Basta con que quien los usa tenga una razón propia y seria que pese más que el daño para quien figura en ellos. Quien la invoca hace la ponderación él mismo y la guarda por escrito; nadie la aprueba de antemano.⁴ El reglamento europeo de datos pone como ejemplo la lucha contra el fraude. La ponderación se discute porque la hace quien tiene interés en que salga bien. La publicidad basada en el perfil de una red social necesita en cambio consentimiento. Lo dijo en 2023 el Tribunal de Justicia de la Unión Europea, con sede en Luxemburgo.

A quien figura en los datos la ley le da derechos sobre el tratamiento, aunque no todos valen con cualquier base:

• saber qué datos suyos se tienen;
• corregirlos;
• que se borren;
• oponerse, si la base es el interés legítimo o una misión pública, y siempre a la publicidad;
• llevárselos a otro proveedor, si los dio con su consentimiento o por un contrato;
• y no ser objeto de una decisión tomada solo por una máquina que le afecte de forma significativa.

Ese último derecho tiene una excepción que pesa. No vale cuando una ley autoriza la decisión automática, con garantías (artículo 22.2.b del reglamento europeo de datos). En España, la Ley 40/2015 regula la actuación administrativa automatizada (artículo 41), y en el Estado cada una debe autorizarla una resolución que fije garantías (Real Decreto 203/2021, artículo 13).

La regla es el Reglamento General de Protección de Datos, europeo, de aplicación directa desde 2018, y una ley española del mismo año que lo completa.⁵ Esa ley fija en catorce años la edad para consentir sin los padres. Regula también las cámaras, los datos de los muertos y los ficheros de morosos que se vieron en el capítulo 8.1, sobre consumo y banca. Y añade un capítulo de «derechos digitales»: a la desconexión del trabajo, a la intimidad frente a los aparatos de la empresa, al testamento digital.

Hay una regla anterior y distinta para las cookies. El aviso que hay que aceptar en cada web viene de una directiva de 2002 sobre comunicaciones electrónicas, y no del reglamento. En 2002 bastaba con dejar que el usuario se negara. El consentimiento previo lo exige desde la reforma de 2009.⁶ El aviso que se acepta con un clic para seguir navegando muestra cómo una protección puede volverse ruido.

Esos clics alimentan la subasta de anuncios que reparte en milisegundos el perfil de quien visita una web. La autoridad belga la declaró contraria al reglamento en 2022.⁷ El Tribunal de Justicia de la Unión Europea confirmó en 2024 que las señales de consentimiento de esa cadena son datos personales.

Quien lo hace cumplir

En España hace cumplir el reglamento de datos la Agencia Española de Protección de Datos (AEPD), una autoridad independiente que funciona desde 1993.⁸ Para sus administraciones hay además autoridades autonómicas, como la catalana, la vasca y la andaluza. Por número de multas es de las más activas de la Unión. Desde 2019 suma más resoluciones sancionadoras que ninguna otra del Espacio Económico Europeo, aunque en 2025 le pasaron delante la eslovaca y la alemana.⁹

La agencia multa muchas veces y por poco dinero. Según el recuento de la firma CMS a 1 de marzo de 2026, todo el dinero que la agencia española ha impuesto desde 2018 es en torno al 2,5% de lo sancionado en el Espacio Económico Europeo. Las multas de cientos de millones las ponen las autoridades del país donde la empresa tiene su sede europea. La de Irlanda multó a Meta y a TikTok; la de Luxemburgo, a Amazon. Una sola de ellas es la de 1.200 millones a Meta en 2023, por enviar a Estados Unidos datos de usuarios europeos. Supera varias veces todo lo que la agencia española ha impuesto desde 2018.

El año 2025 repitió el patrón de muchas multas y poco dinero: más de trescientas multas, con una media de unos 148.000 euros. Las reclamaciones batieron su récord. Las más frecuentes fueron por servicios de internet y por cámaras, seguidas de las quejas contra administraciones públicas, comercios y publicidad no deseada.¹⁰ El techo legal de una multa, para las faltas más graves, es del 4% del volumen de negocio mundial o veinte millones, lo que sea mayor.¹¹

Las brechas de seguridad, las fugas o los accesos indebidos a datos personales, pesan cada vez más. Quien sufre una tiene que avisar a la agencia en 72 horas, salvo que sea improbable que suponga un riesgo. Si el riesgo es alto, debe avisar también a los afectados.¹² De ahí el correo que anuncia a los clientes un incidente con sus datos. Las multas de los procedimientos abiertos por brechas sumaron en 2025 casi veinte millones, el 41% de todo el dinero de las multas del año, aunque en el reparto por temas de la propia agencia las quiebras de seguridad son el 20%. La diferencia es de clasificación: la primera cifra suma los procedimientos que nacieron de una brecha, sea cual sea la infracción sancionada, y la segunda reparte las multas por tema. Y una de cada cinco brechas notificadas venía del sector público, al que la agencia, por regla general, no puede multar.¹³

El diseño europeo añade el principio de ventanilla única. Cuando una empresa trata datos en varios países, la vigila la autoridad del Estado donde tiene su sede principal. Meta y TikTok la tienen en Irlanda y Amazon en Luxemburgo. Sus multas dependen de esas autoridades, y la agencia española es solo parte interesada que puede objetar. Si las objeciones no se resuelven, decide el Comité Europeo de Protección de Datos. La multa a Meta la puso Irlanda porque el Comité le ordenó imponerla.¹⁴ El país con más multas vigila a sus empresas. A las grandes plataformas las vigila otro.

Las Administraciones públicas españolas tienen además un régimen especial. Se las puede declarar infractoras y apercibir, es decir, ordenarles que corrijan, sin multa. Lo que no se puede es multarlas, salvo a las sociedades mercantiles públicas. El reglamento europeo deja a cada Estado decidir si multa a sus administraciones (artículo 83.7), y España decidió que no.

La multa más alta de la agencia cayó sobre una empresa pública. En noviembre de 2025 sancionó a Aena con algo más de diez millones de euros por el embarque biométrico que ofrecía en ocho aeropuertos a los viajeros que se registraban para usarlo.¹⁵ Además le ordenó parar el sistema. Aena gestiona la red de aeropuertos del Estado, pero es una sociedad mercantil estatal. Por eso la multa fue posible: el régimen especial solo alcanza a las administraciones y entes públicos que enumera la ley.

La biometría puede ser legal. Lo que se multó fue ponerla en marcha sin una evaluación de impacto válida. Es el documento en el que quien va a tratar datos de riesgo estudia antes qué puede salir mal. Aena la había hecho, y la agencia se la devolvió dos veces con informe en contra en la consulta previa. El embarque biométrico se puso en marcha igual.

El mismo fallo había costado ya otra multa a la Liga de fútbol. En marzo de 2025 la agencia le impuso un millón de euros, cuatro veces la multa del micrófono. La Liga había ofrecido a los clubes sistemas de reconocimiento biométrico para entrar en los estadios sin una evaluación de impacto válida.¹⁶

La Liga anunció recurso. Alegó que las zonas biométricas las había aprobado el Consejo Superior de Deportes, el organismo del Gobierno que se ocupa del deporte. Las dos multas nuevas castigan una evaluación de impacto que falta o no es válida.

La autoridad europea con más multas acumuladas no puede, por regla general, multar a las administraciones que guardan los datos de los españoles.

La ciberseguridad, un aparato aparte

La seguridad de las redes y de los sistemas tiene un aparato distinto del de la agencia de datos. Ahí empiezan muchas de las brechas que acaban en ella: un correo engañoso, un programa que cifra los ficheros y pide rescate, una contraseña robada. Desde 2018 la respuesta a los incidentes se reparte entre tres equipos:

• el del Centro Criptológico Nacional, adscrito al servicio de inteligencia, para el sector público;
• el del Instituto Nacional de Ciberseguridad, para las empresas y los ciudadanos;
• y el del Ministerio de Defensa, para lo que afecta a la defensa.¹⁷

Las administraciones, y las empresas que les dan servicio, tienen que cumplir además el Esquema Nacional de Seguridad, una lista de medidas obligatorias, renovada en 2022. El Instituto gestionó en 2025 unos 122.000 incidentes, un 26% más que en 2024. Su línea gratuita de ayuda, el 017, atendió unas 143.000 consultas.¹⁸

La directiva europea de ciberseguridad de 2022 extiende los deberes de seguridad y de aviso de incidentes a dieciocho sectores, de la energía a la sanidad. Debía estar incorporada en octubre de 2024. España no lo ha hecho. El anteproyecto de ley, de enero de 2025, no se aprobó antes de la disolución de las Cortes. En julio de 2026 la Comisión Europea llevó a España ante el Tribunal de Justicia y pidió que se le impongan multas.¹⁹

Quién puede grabar y quién puede llamar

Dos de los motivos de queja más frecuentes, las cámaras y la publicidad no deseada, tienen reglas propias. Una cámara privada solo puede grabar lo que es de quien la pone. De la vía pública puede captar una franja mínima del acceso —el trozo de acera justo delante de la puerta— y nada más: ni la acera entera, ni la calzada, ni el jardín del vecino.²⁰ Dentro de casa la regla no se aplica, porque el reglamento deja fuera lo puramente personal o doméstico.²¹ Pero en cuanto el objetivo enfoca fuera de la casa, quien la puso responde como cualquier empresa. Las multas por una cámara mal orientada van de unos cientos a unos pocos miles de euros.²² Suelen ir con la orden de girarla.

La regla de las llamadas comerciales se dio la vuelta en junio de 2023. Antes una empresa podía llamar a cualquiera que no hubiera pedido lo contrario. Desde entonces la ley de telecomunicaciones reconoce el derecho a no recibirlas, y llamar exige consentimiento previo o alguna otra base legal.²³ La carga es de quien llama: tiene que probar cuál es. El correo electrónico y los mensajes iban por delante. Desde 2002 la publicidad por esas vías necesita consentimiento, y desde 2003 se exceptúa a los clientes con un contrato previo, para productos similares.²⁴

Derecho al olvido

El caso que fijó el derecho al olvido salió de España.²⁵ En 2010 un ciudadano reclamó ante la agencia española contra Google. Quería que, al buscar su nombre, dejara de salir un anuncio de subasta por deudas publicado en un periódico en 1998. La agencia le dio la razón, Google recurrió y la Audiencia Nacional preguntó al Tribunal de Justicia de la Unión Europea.

El tribunal dijo en 2014 que un buscador trata datos personales.²⁶ Una persona puede pedir que se retiren los enlaces a información inadecuada, no pertinente o excesiva con el paso del tiempo. Se quitan de los resultados de la búsqueda por su nombre, aunque la información siga publicada en su origen. Según su propio informe de transparencia, desde entonces Google ha recibido de España más de 160.000 solicitudes. En el país retira entre el 30% y el 65% de los enlaces, según el tipo de web.²⁷ Por contenido la variación es mayor: retira más del 95% de los que contienen información personal, entre el 60% y el 85% de los que tratan de delitos y casi siempre menos del 50% de los de contenido político.

Los límites del derecho al olvido son tres y los ha ido fijando el propio tribunal:

• no cubre a las personas con relevancia pública mientras la tengan;
• no obliga a borrar la información de la fuente —el periódico, el boletín oficial—, solo el atajo del buscador;
• y el derecho europeo no obliga a aplicarlo fuera de la Unión: en 2019 el tribunal dijo que Google no tenía que retirar los enlaces en todas las versiones de su buscador.

La información no desaparece: lo que cambia es lo fácil que resulta encontrarla.

Plataformas: las dos leyes de 2022

La Unión aprobó en 2022 dos reglamentos que son la segunda capa del derecho digital. La Ley de Servicios Digitales regula qué hacen las plataformas con los contenidos. Mantiene el principio de que no responden de lo que publican sus usuarios mientras no lo sepan. Pero les obliga a bastante más:

• a retirar lo ilegal cuando se lo notifican;
• a explicar cada decisión de moderación y permitir recurrirla;
• a no usar diseños engañosos;
• a no mostrar a menores anuncios basados en su perfil, ni a nadie anuncios basados en datos sensibles;
• y, a las muy grandes —más de cuarenta y cinco millones de usuarios europeos—, a evaluar y reducir cada año los «riesgos sistémicos» que crean, desde la desinformación hasta la salud mental.

Entre el principio de partida y la última obligación hay una tensión. La plataforma no responde de lo que publican sus usuarios. Y a la vez responde del riesgo que su diseño crea con ello.

Las muy grandes están bajo la vigilancia directa de la Comisión Europea, que puede multarlas con el 6% de sus ventas. En España el coordinador nacional de la ley es la Comisión Nacional de los Mercados y la Competencia.²⁸ Es el organismo que vigila la competencia y regula sectores como las telecomunicaciones. La Comisión Europea llevó a España ante el Tribunal de Justicia en 2025 por no haber dado a su coordinador los poderes que necesita. En abril de 2026 el Congreso rechazó una proposición de ley que se los atribuía.

La supervisión de Bruselas ha dejado de ser teórica: en diciembre de 2025 la Comisión impuso la primera multa de la ley, 120 millones de euros a X.²⁹ Castiga el distintivo azul vendido sin comprobar la identidad de quien lo compraba, un repositorio de anuncios que impide el escrutinio público y las trabas a los investigadores. Ninguna de las tres infracciones se refiere a lo que se publica en X.

En julio de 2026 la Comisión llegó a conclusiones preliminares en el expediente que abrió contra Meta en 2024.³⁰ Según ellas, Meta no evaluó bien el riesgo que el diseño de Facebook e Instagram crea para el bienestar de quien los usa, menores incluidos. Se refiere al desplazamiento infinito, la reproducción automática, las notificaciones y los recomendadores. No alude a ningún contenido, solo al diseño.

La Ley de Mercados Digitales regula el poder económico. Llama «guardianes de acceso» a las empresas que controlan los sistemas operativos, las tiendas de aplicaciones, los buscadores, los navegadores y las grandes redes sociales. La Comisión ha designado siete, todas de matriz estadounidense salvo la china ByteDance.³¹ Entre sus obligaciones están:

• no favorecer sus propios servicios;
• dejar que las aplicaciones se instalen fuera de su tienda;
• permitir a los desarrolladores avisar de precios más baratos fuera de ella;
• y no cruzar los datos de un servicio con los de otro sin consentimiento.

Sus primeras multas llegaron en abril de 2025.³² La mayor fue de 500 millones a Apple, por impedir que los desarrolladores avisaran de precios más baratos fuera de su tienda. En julio de 2026 llegó la de Google: 890 millones.³³ Fue por favorecer sus propios servicios en el buscador y por poner trabas a los avisos de ofertas fuera de Google Play.

Las dos leyes tienen un rasgo común. Regulan cómo tiene que estar montado el sitio donde se dice y se vende. No regulan qué se puede decir o vender. La Ley de Servicios Digitales deja a la ley europea y a la nacional decidir qué contenido es ilegal.³⁴ Es regulación de arquitectura.

Inteligencia artificial: bandas de riesgo y un calendario

El Reglamento de Inteligencia Artificial de 2024 es la ley general de la Unión sobre la materia. Alcanza a los sistemas que infieren sus resultados a partir de los datos que reciben. Deja fuera los programas que se limitan a ejecutar reglas escritas por personas.³⁵ A los que alcanza los ordena en bandas por el daño que pueden hacer (figura 110).

Ocho prácticas están prohibidas desde febrero de 2025.³⁶ Entre ellas están la puntuación social de los ciudadanos y el reconocimiento de emociones en el trabajo y en la escuela. Un reglamento de reforma de 2026 añade dos más, que se aplicarán desde el 2 de diciembre de 2026: las imágenes íntimas generadas sin consentimiento y el material de abuso sexual infantil.³⁷ Debajo quedan los sistemas de alto riesgo. Son los que deciden sobre personas en empleo, crédito, educación, prestaciones, policía, migración o justicia, y tendrán que llevar documentación, registro y supervisión humana. Después viene una banda que solo obliga a avisar de que hay una máquina detrás. Y el resto de los usos queda sin deberes propios.

Una de las ocho prohibiciones roza lo que hacen algunos sistemas de la Administración española. Es la de predecir el delito a partir de perfiles o rasgos de personalidad. Esa prohibición solo alcanza a predecirlo por lo que alguien es. Un sistema que puntúa a partir de hechos comprobados —una denuncia, una condena, un parte de lesiones— sigue siendo legal y, si infiere sus resultados de los datos, cae en la banda de alto riesgo.³⁸

Una parte del reglamento que ya se aplica trata de con qué se entrenan los grandes modelos de lenguaje. Estos aprenden leyendo textos, muchos protegidos por derechos de autor. En la Unión lo ampara una excepción de la directiva europea de derechos de autor de 2019. La minería de textos y datos es libre, incluso con fines comerciales. Solo deja de serlo si el titular se ha reservado ese uso con un aviso que una máquina pueda leer. Hay varias formas de expresar esa reserva y ninguna es obligatoria ni aceptada por todos.³⁹

Desde agosto de 2025 quien ofrece esos modelos tiene que respetar las reservas. Y tiene que publicar un resumen suficientemente detallado de con qué entrenó el modelo.⁴⁰

España creó en 2023 en A Coruña, antes de que existiera el reglamento, la Agencia Española de Supervisión de la Inteligencia Artificial. El Gobierno la presenta como pionera en Europa. El proyecto de ley que fija las sanciones llegó al Congreso en junio de 2026 y caducó con la disolución de las Cortes el 6 de octubre.⁴¹ Repartía la vigilancia entre esa agencia, la de protección de datos y el Consejo General del Poder Judicial, el órgano de gobierno de los jueces. Hasta que se apruebe otra ley, el reglamento rige en España sin sanción propia. Las prohibiciones obligan desde 2025, pero no hay multa española que poner a quien las incumpla.

El calendario, mientras tanto, se movió. Los deberes de los sistemas de alto riesgo que deciden sobre personas debían aplicarse en agosto de 2026. Seis días antes de esa fecha entró en vigor ese mismo reglamento de reforma, que los aplazó a diciembre de 2027.⁴² Se alegó que faltaban las normas técnicas y que varios Estados no habían nombrado su autoridad de vigilancia.

El aplazamiento muestra el ritmo al que se ha legislado. El reglamento de datos se aplica desde 2018 y las leyes de plataformas se aprobaron en 2022. El de inteligencia artificial se aplica por tramos hasta 2028. El derecho europeo de plataformas y de inteligencia artificial se aplica mientras se termina de escribir.

La vigilancia del Estado

Cuando vigila el Estado, la regla es que otra autoridad autorice antes.⁴³

• La Constitución exige un juez para intervenir las comunicaciones.
• La videovigilancia fija de la policía en la calle la autoriza el delegado del Gobierno, previo informe de una comisión que preside el presidente del tribunal superior de justicia de la comunidad.
• Las escuchas del servicio de inteligencia las autoriza un magistrado del Supremo.
• La identificación biométrica en tiempo real en la calle con fines policiales, como el reconocimiento facial, está prohibida desde 2025 por el reglamento de inteligencia artificial. Solo una ley nacional puede autorizar excepciones para buscar a víctimas de secuestro o trata y a personas desaparecidas, prevenir un atentado o una amenaza inminente para la vida y localizar a sospechosos de delitos graves, y España no la tiene.⁴⁴

El proyecto de ley de inteligencia artificial no regulaba esas excepciones: multaba usarla fuera de ellas o sin el permiso previo que exige el reglamento.⁴⁵ Caducó con la disolución de las Cortes.

El control previo tiene un hueco. Está en lo que se guarda sin sospecha concreta. La ley obliga a las operadoras a guardar durante un año los datos de tráfico de todas las llamadas y conexiones: quién llamó a quién, cuándo, desde dónde, sin el contenido.⁴⁶ El juez interviene para entregarlos, pero se guardan los de todos. El Tribunal de Justicia de la Unión Europea ha visto contraria al derecho europeo esa conservación general en varias sentencias sobre leyes parecidas. La ley española sigue en vigor.

Los algoritmos del Estado

La Administración española usa desde hace años sistemas automáticos que deciden sobre personas o pesan en la decisión. Varios de ellos no se han enseñado.

El caso de referencia es el del programa que decide quién tiene derecho al bono social de la electricidad, el que se explicó en el capítulo 6.5, sobre energía. Una organización, la Fundación Ciudadana Civio, pidió en 2018 el código fuente. Decía haber comprobado que el programa negaba ayudas a personas con derecho. El Consejo de Transparencia y Buen Gobierno resuelve las quejas por falta de acceso a la información pública. En 2019 le dio la documentación técnica y los resultados de las pruebas. Le negó el código alegando la propiedad intelectual.

Los tribunales confirmaron esa negativa dos veces, en 2021 y en 2024, y añadieron la seguridad pública. El Supremo anuló esas sentencias en septiembre de 2025 y ordenó entregar el código.⁴⁷ Dijo que ni la propiedad intelectual ni la seguridad pública pueden oponerse de forma genérica y absoluta al derecho de acceso. El pleito duró siete años.

Otro es el sistema policial que puntúa el riesgo de cada denuncia por violencia de género para decidir la protección. Funciona desde 2007. En 2022 lo auditaron desde fuera dos fundaciones, sin acceso al sistema y con entrevistas y datos públicos. Eran Eticas, que audita algoritmos, y Ana Bella, que reúne a mujeres supervivientes de la violencia de género. Según su auditoría, los agentes mantenían sin tocar el nivel que proponía la máquina en el 95% de las ocasiones.⁴⁸ Su otra cifra coincide con la oficial: a finales de 2021, el sistema tenía en «riesgo no apreciado» el 45% de sus casos activos.⁴⁹

La coincidencia del 95% no prueba por sí sola que los agentes dejaran de revisar. También la daría una máquina que acertara mucho. Lo que la auditoría, hecha sin acceso al sistema, no pudo comprobar es cuántas de esas coincidencias fueron revisiones reales. El sistema, eso sí, dejaba sin riesgo apreciado a casi la mitad de los casos.

La reforma llegó en 2025. Desde entonces funciona una segunda versión que suprime el nivel «riesgo no apreciado»: los casos se reparten ahora entre bajo, medio, alto y extremo.⁵⁰ Además ajusta los indicadores, parte el nivel bajo según haya o no medidas judiciales en vigor y acorta el plazo para volver a valorar el riesgo tras una nueva denuncia. La misma auditoría contó setenta y una víctimas mortales entre 2003 y 2021 que habían denunciado antes sin obtener protección policial. Las fuentes de este capítulo no dicen si la nueva versión acierta más.

Un tercero es el sistema catalán que valora el riesgo de que un preso vuelva a delinquir. Se usa desde 2009 y se diseñó para la gestión interna de las cárceles. Pero sus resultados pesan ya en decisiones que toman jueces y fiscales sobre permisos y libertad condicional.⁵¹ Ese uso afecta a la libertad de alguien. Si el sistema es de inteligencia artificial, el reglamento europeo lo sitúa entre los de alto riesgo en justicia y prisiones.

Ninguno de esos sistemas se parece a un modelo de lenguaje. El del bono social aplica reglas escritas por personas y lo probable es que quede fuera del reglamento europeo. Los de riesgo policial y penitenciario suman indicadores con unos pesos. Según cómo estén hechos, pueden entrar en la banda de alto riesgo, con registro y evaluación de impacto. El problema de la transparencia algorítmica es de poder antes que técnico. Una decisión administrativa tiene que estar motivada y poder recurrirse. La que sale de un programa que no se puede examinar difícilmente cumple ninguna de las dos cosas.

En los Países Bajos el problema ya tuvo consecuencias. Un tribunal anuló en 2020 un sistema de detección de fraude en ayudas. Otro sistema, el de las ayudas al cuidado de los hijos, contaba la nacionalidad entre sus indicadores de riesgo. Acusó en falso de fraude a decenas de miles de familias y llevó al gobierno a dimitir en 2021.⁵²

El proyecto de ley español de 2026 obligaba al sector público estatal a hacer un inventario público de los sistemas de inteligencia artificial que usa, con excepciones como la defensa o la ciberseguridad.⁵³ Caducó el 6 de octubre de 2026. Si se vuelve a presentar y se aprueba, habrá una lista de los sistemas que usa la Administración del Estado, aunque no de todos.

Menores y pantallas

La edad para consentir el uso de los datos propios es de catorce años en España. El reglamento la fija en dieciséis y deja a cada Estado bajarla hasta trece (artículo 8). El proyecto de ley de protección de menores en entornos digitales llegó al Congreso en marzo de 2025 y la subía a dieciséis.⁵⁴ Llevaba dentro, además, la medida que el Gobierno anunció en febrero de 2026: prohibir el acceso a las redes sociales a los menores de dieciséis años, con verificación de edad efectiva.⁵⁵ Caducó con la disolución de las Cortes el 6 de octubre de 2026.

Australia prohibió las redes sociales a los menores de dieciséis en diciembre de 2025.⁵⁶ Una de las primeras evaluaciones revisadas por pares, publicada en junio de 2026, siguió a más de cuatrocientos adolescentes antes de la prohibición y tres meses después. No encontró evidencia suficiente de un efecto temprano sustancial sobre el uso de las redes.⁵⁷ Por edades, el uso bajó un poco entre los de catorce y quince y subió entre los de dieciséis o más, que son los que la ley deja pasar.

La prohibición de las redes devolvió el problema a la verificación de la edad. Para comprobar la edad de los menores hay que comprobar la de todos los usuarios. Con los sistemas que piden identificarse, eso supone identificar también a los adultos. España ha probado una cartera digital que acredita la mayoría de edad sin revelar quién es quien la usa. La Comisión Europea recomendó en abril de 2026 un marco común para que esas herramientas funcionen igual en los veintisiete países.⁵⁸

El derecho de datos europeo tiene una fecha de origen y una razón.⁵⁹ La fecha es 1970, cuando el estado alemán de Hesse aprobó la que se tiene por primera ley de protección de datos del mundo. La razón fue la informática. Las administraciones empezaban a pasar sus ficheros a ordenador y hacía falta poner límites a lo que podían hacer con ellos. En 1983 el Tribunal Constitucional alemán sacó de la dignidad y del libre desarrollo de la personalidad un derecho a la «autodeterminación informativa». Es la base de lo que vino después.

La Constitución española de 1978 menciona el problema en su artículo 18.4: «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». El Tribunal Constitucional lo hizo en 2000 un derecho fundamental propio. La Unión armonizó ese derecho en 1995 y lo convirtió en 2016 en un reglamento de aplicación directa. El reglamento lo dice en su título: protege a las personas y permite la libre circulación de los datos. Por eso pone una sola regla para veintisiete países.

La agencia española suma más multas que ninguna otra autoridad europea. Dos rasgos de su diseño ayudan a entenderlo. Llegó en 1993, veinte años después que la sueca, pero la ley de 1992 que la creó ya le daba poder de multar. Y se paga en parte con sus propias multas, algo que no todas las autoridades europeas pueden hacer.

El privilegio de las administraciones frente a las multas es tan antiguo como el poder de multar. La misma ley de 1992 que dio a la agencia sus multas dejó fuera de ellas a las administraciones. A estas solo podía ordenarles que corrigieran la falta, y las leyes de 1999 y 2018 lo conservaron.⁶⁰

Las multas a Meta y a TikTok dependen de Dublín por la ventanilla única. Se pensó para que las empresas tuvieran un solo supervisor. El resultado es que el de las más grandes es el de un país pequeño, Irlanda, donde varias tienen su sede europea.

El silencio ante las peticiones de información es otra forma de opacidad. El capítulo 2.9, sobre el Estado empresario, da la medida. Entre las reclamaciones que el Consejo de Transparencia y Buen Gobierno resolvió en 2025, casi la mitad de las estatales y tres de cada cuatro de las comunidades con convenio nacieron del silencio de la Administración.⁶¹ El dato no mide cuántas solicitudes se contestan.