Manual de privacidad, protección de datos y ciberseguridad (3ª Edición)

ABREVIATURAS        23
PARTE I
PROTECCIÓN DE DATOS PERSONALES EN EL ENTORNO DIGITAL
Capítulo 1
INTRODUCCIÓN A LA PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES
    I.    Evolución histórica: de la DUDH al RGPD        27
    II.    Concepto, Misión y Objetivos de la regulación de la privacidad y los datos personales        30
A.    ¿Qué es la privacidad y protección de datos personales?        30
B.    Misión y Objetivos de la regulación de los datos personales        31
C.    Normas que regulan la privacidad y protección de datos personales: Marco Normativo        31
1.    Internacional        31
a.    La Declaración Universal de los Derechos Humanos (dudh)        31
b.    El Convenio número 108 del Consejo de Europa para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal y su Protocolo Adicional (el «Convenio 108») de 28 de enero de 1981        31
2.    Europa        32
a.    Convenio Europeo de Derechos Humanos (CEDH)        32
b.    Carta de los Derechos Fundamentales de la Unión Europea (CDFUE)        33
c.    Tratado de Funcionamiento de la Unión Europea (TFUE)        33
d.    El Reglamento General de Protección de Datos (RGPD)        34
e.    La Directiva de tratamiento de datos para el cumplimiento de penas y sanciones penales        36
f.    Directiva sobre la privacidad y las comunicaciones electrónicas («ePrivacy Directive»)        37
g.    El «Reglamento de Gobernanza de Datos»        40
3.    España        42
    III.    Ámbito de aplicación de la normativa de protección de datos        46
A.    El RGPD        46
B.    La LOPDGDD        47
    IV.    Grandes hitos en la protección de la privacidad y protección datos personales        48
Capítulo 2
CONCEPTOS FUNDAMENTALES DE LA PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES
    I.    Datos de carácter personal        51
A.    Toda información        52
B.    Sobre        53
C.    Identificada o identificable        53
D.    Persona física        57
    II.    El interesado        59
    III.    Responsable, corresponsable y encargado del tratamiento. Destinatarios        60
A.    Responsable del tratamiento        60
1.    «La persona física o jurídica, autoridad pública, servicio u otro organismo»        60
2.    «Determine»        61
a.    Control de derecho        62
b.    Control de hecho        62
3.    «Sólo o junto con otros»        64
4.    «Los fines y medios»        64
5.    «Del tratamiento»        65
B.    Corresponsable del tratamiento        66
C.    Encargado del tratamiento        68
D.    Tercero y destinatario        68
1.    Tercero        68
2.    Destinatario        69
    IV.    Tratamiento de datos        70
    V.    Fuentes de acceso a datos        71
    VI.    Delegado de Protección de Datos        72
Capítulo 3
DATOS PERSONALES SENSIBLES
    I.    Concepto        73
    II.    Categorías        73
A.    Categorías especiales de datos personales (art. 9 RGPD)        73
1.    Que el interesado haya dado su consentimiento explícito para tratarlos        74
2.    Que el tratamiento sea necesario para cumplir obligaciones y el ejercicio de derechos del responsable o del interesado en el ámbito del derecho laboral y de la seguridad y protección social, si lo autoriza el Derecho de la UE o un convenio colectivo con arreglo al derecho de los Estados miembros que establezca garantías adecuadas para el respeto de los derechos fundamentales y los intereses del interesado        75
3.    Que el tratamiento sea necesario para proteger intereses vitales del interesado o de otra persona física, cuando el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento        75
4.    El tratamiento es efectuado, en el ámbito de sus actividades legítimas y con garantías por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro con una finalidad política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de las mismas o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos no se comuniquen fuera de ellos sin el consentimiento de los interesados        75
5.    Que el tratamiento se refiera a datos personales que el interesado ha hecho manifiestamente públicos        76
6.    Que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando actúen en ejercicio de su función judicial        76
7.    Que el tratamiento sea necesario por razones de interés público, sobre la base del Derecho de la UE o el Derecho nacional y sea proporcional el objetivo perseguido, respetando en lo esencial el derecho a la protección de datos y estableciendo medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado        76
8.    Que el tratamiento sea necesario para fines de medicina preventiva o laboral, evaluación de la capacidad del trabajador, diagnóstico médico, prestación de asistencia o tratamiento del tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la UE o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional o bajo su responsabilidad (o por cualquier otro profesional sujeto a la obligación de secreto profesional)        77
9.    Que el tratamiento sea necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la UE o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional        77
10.    Que el tratamiento sea necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89.1, sobre la base del Derecho de la UE o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado        78
B.    Tratamiento de datos personales relativos a condenas e infracciones penales        80
C.    Datos biométricos        84
D.    Los neurodatos        86
Capítulo 4
PRINCIPIOS
    I.    Licitud, lealtad y transparencia (art. 5.1.a) RGPD)        89
A.    «Lícita»        89
B.    «Leal»        90
C.    «Transparente»        90
    II.    Limitación de la finalidad (art. 5.1.b) RGPD)        92
    III.    Minimización de datos (art. 5.1.c) RGPD)        93
A.    Necesidad        93
B.    Proporcionalidad        94
    IV.    Exactitud (art. 5.1.d) RGPD)        94
    V.    Limitación del plazo de conservación (art. 5.1.e) RGPD)        95
    VI.    Integridad y confidencialidad (art. 5.1.f) RGPD)        96
Capítulo 5
LICITUD DEL TRATAMIENTO DE DATOS
    I.    La Licitud del tratamiento        99
A.    El interesado otorga su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos        99
B.    El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición del interesado de medidas precontractuales        100
C.    El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento        101
D.    El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física        101
E.    El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento        102
F.    El tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requerirán la protección de datos personales, en particular cuando el interesado sea un niño        103
    II.    El Consentimiento        106
A.    El consentimiento en general        106
1.    «Manifestación de voluntad libre»        107
2.    «Específico»        108
3.    «Informado»        108
4.    «Inequívoco»        109
B.    El consentimiento en el ámbito sanitario        111
C.    El consentimiento en menores de edad        112
Capítulo 6
DERECHOS DE LOS INTERESADOS
    I.    Los derechos del interesado        115
A.    Derecho de acceso (art. 15 RGPD)        116
B.    Derecho de rectificación (art. 16 RGPD)        118
C.    Derecho de supresión (el «derecho al olvido») (art. 17 RGPD)        119
1.    El «derecho al olvido»        121
2.    La «huella digital» y su impacto en la protección de datos personales        125
D.    Derecho a la limitación del tratamiento (art. 18 RGPD)        126
E.    Derecho a la portabilidad (art. 20 RGPD)        127
F.    Derecho de oposición (art. 21 RGPD)        128
G.    Decisiones automatizadas, incluida la elaboración de perfiles (art. 22 RGPD)        129
H.    Derechos respecto de los datos de las personas fallecidas        129
I.    Comunicación de una violación de la seguridad de los datos personales del interesado (art. 34 RGPD)        131
    II.    La obligación de información como un derecho de los interesados        132
A.    Derecho a la información cuando los datos han sido obtenidos directamente del interesado        132
B.    Derecho a la información cuando los datos no han sido obtenidos directamente del interesado        134
C.    Brechas de seguridad        135
D.    Cómo proporcionar la información al interesado        135
E.    Posibilidad de imponer obligaciones añadidas de información        136
F.    Obligaciones de información en materia de cookies y asimilados        136
    III.    Limitación de los derechos        137
    IV.    Regulación de tratamientos concretos en la normativa española        139
A.    Datos de contacto, empresarios individuales y profesionales liberales        139
B.    Sistemas de información crediticias: listas de morosos        140
C.    Tratamientos en operaciones societarias        142
D.    Videovigilancia        142
E.    Sistemas de exclusión publicitaria: «listas Robinson»        143
F.    Tratamientos en el ámbito de la función estadística y con fines de archivo en interés público        145
G.    Tratamientos relativos a infracciones y sanciones administrativas        145
H.    Tratamientos relativos a procedimientos judiciales        146
Capítulo 7
ACCOUNTABILITY O RESPONSABILIDAD PROACTIVA
    I.    ¿Qué es la «Accountability»?        149
A.    Responsabilidad del responsable del tratamiento        150
B.    Protección de datos desde el diseño y por defecto        151
1.    Protección de datos desde el diseño        151
2.    Protección de datos por defecto        156
C.    Documentación y cooperación con los reguladores        159
D.    Normas corporativas vinculantes        159
Capítulo 8
SEGURIDAD DE LOS DATOS. EVALUACIONES DE IMPACTO DE PROTECCIÓN DE DATOS
    I.    Introducción        161
    II.    El principio de seguridad y la seguridad basada en el enfoque de riesgo        161
A.    Confidencialidad, supervisión y trabajadores        162
B.    Registro de las actividades del tratamiento (el «RAT»)        163
C.    Cooperación con la autoridad de control        164
    III.    Evaluación de Impacto de Protección de Datos        165
A.    ¿Cuándo se debe realizar una EIPD?        165
B.    ¿Cómo realizar una EIPD?        170
C.    Consulta previa preceptiva        173
    IV.    Las brechas o violaciones de seguridad        174
Capítulo 9
EL ENCARGADO DEL TRATAMIENTO Y EL DELEGADO DE PROTECCIÓN DE DATOS
    I.    El Encargado del Tratamiento        175
A.    Concepto y funciones        175
B.    Subencargo del tratamiento        177
C.    Relaciones entre el Encargado y Responsable        179
D.    Registro de actividades de tratamiento en relación con los encargados del tratamiento        184
    II.    El Delegado de Protección de Datos        185
A.    Concepto y funciones        185
B.    ¿Cuándo nombrar un DPO?        186
C.    Perfil y posición del DPO        190
D.    Funciones del DPO        191
E.    Intervención del DPO en casos de denuncias ante la AEPD        192
Capítulo 10
TRANSFERENCIAS INTERNACIONALES DE DATOS PERSONALES
    I.    Introducción        193
    II.    Principio general de las transferencias        193
    III.    Transferencias basadas en una decisión de adecuación        194
A.    Procedimiento para determinar qué países son «adecuados»        194
B.    Relación con EE.UU. El «Privacy Shield»        196
    IV.    Transferencias mediante garantías adecuadas        199
    V.    Normas corporativas vinculantes        200
    VI.    Excepciones        202
    VII.    Supuestos sometidos a autorización o información previa a la autoridad de control        205
Capítulo 11
COOKIES Y PRIVACIDAD
    I.    Introducción        207
    II.    Concepto, tipos y funciones        208
A.    ¿Qué es realmente una cookie?        208
B.    Tipos de cookies        209
1.    Por su naturaleza        209
2.    Por el responsable de la misma        209
3.    Por la finalidad o función que desempeñan o su finalidad        210
a.    Cookies técnicas        210
b.    Cookies de preferencias o de personalización        212
c.    Cookies analíticas o de medición        212
d.    Cookies de publicidad o marketing        214
e.    Otras        214
4.    Por la duración        215
5.    Por el tiempo de tecnología que emplean        216
    III.    Consentimiento y cookies        219
A.    Confidencialidad y necesidad de consentimiento previo        219
B.    Modalidades de obtención del consentimiento        227
C.    Cookies y consentimiento de menores de 14 años        229
D.    Consentimiento a través de la configuración del navegador o la App        231
E.    Casos particulares en relación con el consentimiento        233
1.    Por ejemplo, ¿qué ocurre si el responsable dispone de varias páginas web en las que emplea cookies, tiene que obtener el consentimiento en cada una de estas páginas?        233
2.    Otra cuestión relevante es cuándo se debe renovar el consentimiento obtenido para el uso de las cookies        233
3.    El interesado debe poder retirar el consentimiento para el uso de cookies siempre que quiera y el sistema que le ofrezca para ello el responsable debe ser igual de sencillo que el empleado para recabarlo        234
4.    Se puede denegar el acceso al servicio en caso de rechazo de cookies siempre que sean necesarias para la prestación total o parcial del servicio y se le informe al usuario de las consecuencias de no aceptarlas        234
    IV.    Transparencia y cookies: Sistemas de información        234
    V.    Responsabilidad e incumplimientos en materia de cookies        238
    VI.    LA PROPUESTA (RETIRADA) DE REGLAMENTO ePRIVACY        240
Capítulo 12
AUTORIDADES EN MATERIA DE PROTECCIÓN DE DATOS
    I.    Autoridades de control independientes        241
A.    El principio de independencia        241
B.    Competencia        242
C.    Funciones        244
1.    En un primer grupo se situarían las actividades puramente coercitivas o de «enforcement»        245
2.    En segundo lugar, estarían las actividades de prestación y promoción del derecho a la protección de datos personales        245
3.    En tercer lugar, las actividades de cooperación con otras autoridades de control, Administraciones Públicas y otros poderes del Estado        246
D.    Poderes        247
1.    Poderes de investigación        247
2.    Poderes coercitivos        247
3.    Poderes de autorización y consultivos        248
    II.    Los Mecanismos de Cooperación y de Coherencia        249
A.    El Mecanismo de Cooperación        250
1.    La asistencia mutua        252
2.    Operaciones conjuntas de las autoridades de control        253
B.    El Mecanismo de Coherencia        255
1.    Dictámenes del CEPD        255
2.    Resolución de conflictos por el cepd: decisiones vinculantes        257
C.    El Procedimiento de Urgencia        258
    III.    Comité Europeo de Protección de Datos        259
A.    Principio de Independencia        259
B.    Funciones        259
C.    Miembros        262
D.    El Presidente        263
E.    La Secretaría        263
    IV.    El Supervisor Europeo de Protección de Datos        264
    V.    Autoridades españolas de protección de datos        265
A.    La Agencia Española de Protección de Datos («AEPD»)        265
1.    Naturaleza y régimen jurídicos        265
2.    Financiación de la AEPD        266
3.    Personal de la AEPD        267
4.    Funciones y potestades: la actividad investigadora        267
5.    Órganos de gobierno de la AEPD        270
a.    Presidencia de la AEPD        270
b.    Adjunto a la Presidencia de la AEPD        271
c.    El Consejo Consultivo        273
d.    Otras        274
6.    Resoluciones de la AEPD        275
B.    Autoridades autonómicas de protección de datos        276
    VI.    Autorregulación        278
A.    Códigos de Conducta        278
1.    Elaboración, modificación, aprobación y publicación de un código de conducta        278
2.    Supervisión de los códigos de conducta aprobados        280
B.    Certificaciones        282
1.    Expedición de certificaciones        282
2.    Organismo de certificación        283
Capítulo 13
TRATAMIENTOS ESPECÍFICOS
    I.    Marketing directo        285
A.    Concepto de marketing directo        285
B.    Requisitos de marketing directo según el RGPD y la Directiva 2002/58        286
C.    Marketing a través de correo ordinario o postal        287
D.    Marketing a través de teléfono        288
E.    Marketing por email, SMS y otros sistemas electrónicos de comunicación        290
F.    Marketing por fax        292
G.    Marketing basado en la localización del interesado        293
H.    Publicidad comportamental        294
I.    «Fingerprinting» o huella digital        295
    II.    Internet, comunicaciones y la «Nube»        296
A.    La «Nube» («Cloud Computing»)        297
B.    Motores de búsqueda        298
C.    Redes sociales        299
D.    Apps        300
E.    Internet of Thing («IoT»)        302
    III.    Empleados y relaciones laborales        303
A.    Base legal para tratar datos personales de empleados        304
1.    Consentimiento        304
2.    Tratamiento necesario para cumplir una obligación contractual        304
3.    Tratamiento necesario para cumplir con una obligación legal        304
4.    Tratamiento basado en intereses legítimos        305
B.    Tratamiento de datos sensibles        305
C.    Notificación        305
D.    Almacenamiento de registros de datos personales        306
E.    Vigilancia y Monitorización del lugar de trabajo        306
1.    Listas negras        307
2.    Monitorización de empleados        307
3.    Información que el empresario debe suministrar el empleado        307
4.    Derecho de explicación de los empleados        309
F.    Sindicatos de trabajadores        309
G.    Canales y sistemas de denuncia        310
H.    Política de usos de dispositivos personales        312
    IV.    Vigilancia y actividades de control        313
A.    Vigilancia de las comunicaciones        314
B.    Videovigilancia        315
1.    Legalidad del tratamiento        315
2.    EIPD        315
3.    Derechos de los individuos        316
C.    Datos biométricos        319
D.    Datos de localización        320
    V.    Sanidad digital (eHealh) y protección de datos        321
A.    Datos de salud: concepto y régimen jurídico        321
B.    Soluciones eHealth y cumplimiento del RGPD        321
C.    El papel del Delegado de Protección de Datos (DPO) en centros sanitarios        323
D.    Ensayos clínicos, genómica y medicina personalizada        323
E.    El Espacio Europeo de Datos Sanitarios (EHDS)        324
    VI.    La enseñanza online        324
Capítulo 14
RECURSOS, RESPONSABILIDAD Y SANCIONES
    I.    Introducción        327
    II.    Recursos y acciones legales        328
A.    Derecho a presentar una reclamación ante la autoridad de control        328
B.    Procedimiento en caso de posible vulneración de la normativa de protección de datos        329
C.    Derecho a la tutela judicial efectiva contra la autoridad de control        333
D.    Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento        333
E.    Organizaciones y asociaciones en defensa de los interesados        334
F.    Suspensión de procedimientos        335
    III.    Responsabilidad e indemnización        335
    IV.    Sanciones        336
A.    Sanciones máximas para todos        340
B.    Sanciones máximas para las empresas dentro de un grupo de empresas        340
C.    Implementación del régimen sancionador a nivel nacional        342
1.    Responsables        343
2.    Infracciones        343
3.    Sanciones        347
4.    Prescripción        348
Capítulo 15
DERECHOS DIGITALES
    I.    Introducción        351
    II.    Medios de comunicación y protección de datos: derecho de rectificación        351
    III.    Los llamados «Derechos Digitales»        355
A.    Derecho a la neutralidad en la Red        355
B.    Derecho de acceso universal a Internet        355
C.    Derecho a la seguridad digital        355
D.    Derecho a la educación digital        356
E.    Protección de los menores en Internet        356
F.    Derecho a la desconexión digital en el ámbito laboral        357
    IV.    DSA y DMA: derechos digitales frente a plataformas y transparencia algorítmica        357
A.    La Digital Services Act        357
B    La Digital Markets Act        358
C.    Relevancia en materia de derechos digitales        359
Capítulo 16
INFANCIA, VERIFICACIÓN DE EDAD E INTERNET SEGURO POR DEFECTO
    I.    Enfoque proactivo: seguridad por defecto y desde el diseño        361
    II.    Verificación de edad: herramienta habilitadora, no intrusiva        362
    III.    Riesgos para la infancia en el entorno digital (modelo OCDE – 5Cs)        363
    IV.    Casos de uso analizados por la AEPD        364
A.    Acceso a contenidos inadecuados        364
B.    Entornos seguros por defecto        364
C.    Consentimiento para el tratamiento de datos        364
D.    Diseño adaptado a la edad        364
PARTE II
CIBERSEGURIDAD Y GESTIÓN DE RIESGOS DIGITALES
Capítulo 17
FUNDAMENTOS JURÍDICOS Y TÉCNICOS DE LA CIBERSEGURIDAD
    I.    Concepto y principios de la ciberseguridad        368
    II.    Amenazas y actores en el ecosistema digital        368
    III.    Relación entre ciberseguridad y protección de datos personales        369
Capítulo 18
MARCO NORMATIVO EN CIBERSEGURIDAD
    I.    Convenios y normas internacionales        371
    II.    Normativa europea: Directiva NIS, NIS2 y Reglamento sobre Ciberseguridad        373
A.    Las Directivas NIS        373
B.    El Reglamento sobre Ciberseguridad        375
C.    El Reglamento sobre Ciberresiliencia        376
D.    El Reglamento europeo de identidad digital (RID)        378
    III.    Normativa nacional: ENS, LMPIC y RD 12/2018        379
A.    El Esquema Nacional de Seguridad (ENS)        379
B.    La Ley 8/2011, de protección de infraestructuras críticas (LMPIC)        380
C.    El Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información        380
    IV.    Requisitos sectoriales: DORA, 5G, sanidad, energía, transporte        380
A.    El Reglamento DORA        380
B.    La Ley 11/2022 de 28 de junio, General de Telecomunicaciones        381
C.    Sanidad, energía y transporte: sectores esenciales y normativa específica        382
    V.    Ciberseguridad y protección de datos personales        383
Capítulo 19
GESTIÓN DE INCIDENTES Y BRECHAS DE SEGURIDAD
    I.    Las «brechas de seguridad» y las «brechas de protección de datos»        385
    II.    Tipología de brechas de seguridad más comunes        389
A.    Violación de la confidencialidad        389
B.    Violación de la integridad        389
C.    Violación de la disponibilidad        390
    III.    Breve recopilación y estudio de caso relevantes        390
Capítulo 20
CIBERDELINCUENCIA Y DELITOS TECNOLÓGICOS
    I.    Los «ciberdelitos»        395
    II.    Persecución transnacional: El Convenio de Budapest        400
    III.    Problemática probatoria y jurisdicción        401
A.    Prueba digital        401
B.    Pruebas transfronterizas        401
C.    Jurisdicción múltiple        401
D.    Autoría        401
E.    Conflicto normativo        401
Capítulo 21
GOBERNANZA DE LA CIBERSEGURIDAD Y RESILIENCIA ORGANIZACIONAL
    I.    CSIRTs, CISO y cultura de seguridad        403
    II.    Gestión de riesgos y continuidad de negocio        404
    III.    Ciberseguros, formación y políticas internas        404
PARTE III
INTELIGENCIA ARTIFICIAL Y PROTECCIÓN DE DERECHOS
Capítulo 22
FUNDAMENTOS DE LA IA Y SU RELACIÓN CON LOS DATOS
    I.    Privacidad, datos e inteligencia artificial: fundamentos básicos        409
    II.    Tipos de IA, algoritmos, machine learning y deep learning        414
    III.    Big data, data mining y toma de decisiones automatizadas        414
    IV.    La IA como consumidor de datos personales        415
Capítulo 23
RIESGOS ÉTICOS Y JURÍDICOS ASOCIADOS A LA IA
    I.    Sesgo algorítmico, transparencia, trazabilidad        417
    II.    Decisiones automatizadas y explicabilidad        418
    III.    Datos sanitarios        419
    IV.    «Neuroderechos» y autonomía personal        419
Capítulo 24
MARCO NORMATIVO DE LA IA
    I.    El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (RIA): un hito regulatorio global        421
A.    Clasificación de los sistemas de IA por niveles de riesgo        421
B.    Prohibiciones y obligaciones para sistemas de IA        423
C.    Modelos fundacionales y de propósito general        424
D.    Transparencia y derechos fundamentales        424
E.    Protección de datos personales        425
F.    Medidas de apoyo a la innovación        425
    II.    El Convenio Marco del Consejo de Europa sobre Inteligencia Artificial        425
Capítulo 25
GOBERNANZA Y CONTROL DE SISTEMAS DE IA EN ESPAÑA
    I.    La Agencia Española de Supervisión de la Inteligencia Artificial        427
    II.    Sandbox regulatorio: Real Decreto 817/2023        428
    III.    Anteproyecto de Ley española de IA        428
    IV.    Coordinación institucional: AESIA, AEPD, CNMC y otras autoridades        429
Capítulo 26
ESTUDIOS DE CASO EN IA Y DECISIONES AUTOMATIZADAS
    I.    ChatGPT y el RGPD        431
    II.    «Deepfakes» en campañas políticas        433
    III.    Discriminación algorítmica en selección de personal        435

BIBLIOGRAFÍA        437
ANEXO I. Criterios para una EIPD aceptable        453
ANEXO II. Modelo de Registro de Actividades del Tratamiento        455
ANEXO III. Guía de Buenas Prácticas para Gestionar Brechas de Seguridad de Datos Personales        459