RGPD 2026: multas AEPD, novedades del AI Act y cumplimiento para despachos

Multas AEPD en 2025-2026: las principales resoluciones

La Agencia Española de Protección de Datos (AEPD) incrementó su actividad sancionadora en 2025. Los sectores más afectados: telecomunicaciones, financiero y, cada vez más, despachos de abogados que manejan datos de sus clientes en sistemas cloud.

Las infracciones más frecuentes en el ámbito legal:

• Falta de base jurídica para el tratamiento de datos del cliente (Art. 6 RGPD)
• Ausencia o deficiencia del RPGD (Registro de Actividades de Tratamiento; Art. 30)
• Encargados de tratamiento sin contrato adecuado (Art. 28 RGPD), aplica a los SaaS jurídicos
• Brechas de seguridad no notificadas en 72 horas (Art. 33 RGPD)

Datos sensibles en despachos: Art. 9 RGPD

Los despachos penalistas, de familia o sanitario procesan datos de categoría especial (Art. 9): estado de salud, orientación sexual, datos penales. Estos requieren:

1. Base jurídica reforzada (generalmente: ejercicio o defensa de reclamaciones judiciales; Art. 9.2.f)
2. Evaluación de impacto (EIPD) si hay tratamiento a gran escala (Art. 35)
3. Medidas técnicas reforzadas (cifrado, pseudonimización)

AI Act y RGPD: interacción

El AI Act introduce obligaciones complementarias al RGPD para los sistemas de IA que traten datos personales. Un sistema de IA de alto riesgo (Anejo III) que trate datos sensibles debe cumplir ambos marcos.

Para despachos: los sistemas de IA que analizan documentos con datos de clientes son encargados de tratamiento (Art. 28 RGPD). El contrato DPA (Data Processing Agreement) con el proveedor es obligatorio.

Lexiel opera con DPA incluido, servidores en la UE y sin entrenamiento sobre datos de clientes: cumplimiento RGPD por defecto.