Lo que hemos corregido, a la vista

Decía: El pla d'igualtat és obligatori a partir de 50 persones en plantilla (RD 901/2020). El protocol d'assetjament l'exigeix l'art. 48.1 de la LO 3/2007 a totes les empreses, tinguin una persona o mil. Són dues coses independents. Una empresa de tres persones no necessita pla d'igualtat i sí que necessita protocol. Confondre-les és la raó més comuna per la qual una pime es troba amb una sanció que no esperava.

Dice: El pla d'igualtat és obligatori a partir de 50 persones en plantilla (RD 901/2020). El protocol d'assetjament respon a deures de totes les empreses, tinguin una persona o mil: l'art. 48.1 de la LO 3/2007 obliga a promoure condicions de treball que evitin les conductes contra la llibertat sexual i la integritat moral a la feina, en especial l'assetjament sexual i per raó de sexe, també el que es comet en l'àmbit digital, i l'art. 12.1 de la LO 10/2022 obliga a establir procediments específics per prevenir-lo i per donar via a les denúncies. Són dues coses independents. Una empresa de tres persones no necessita pla d'igualtat i sí que necessita protocol.

Decía: No. El canal de la Llei 2/2023 és per a infraccions normatives en general i obliga a partir de 50 persones. El protocol d'assetjament és específic i obliga des de la primera. Poden conviure, però l'un no substitueix l'altre.

Dice: No. El sistema intern d'informació de la Llei 2/2023 serveix per comunicar infraccions del dret de la Unió Europea i infraccions penals o administratives greus o molt greus (art. 2). Obliga les empreses de 50 o més persones treballadores i, sense mínim de plantilla, les d'alguns sectors, com els serveis financers o la prevenció del blanqueig de capitals (art. 10). El protocol d'assetjament és específic i obliga des de la primera persona. Poden conviure, però l'un no substitueix l'altre.

Decía: Sí. El llindar de 50 és el del pla d'igualtat, no el del protocol. L'art. 48.1 de la LO 3/2007 no estableix cap mínim de plantilla.

Dice: Sí. El llindar de 50 és el del pla d'igualtat, no el del protocol. Ni l'art. 48.1 de la LO 3/2007 ni l'art. 12.1 de la LO 10/2022 estableixen cap mínim de plantilla.

Decía: No. L'article demana prevenir i donar via a les denúncies. Un document que la plantilla desconeix no compleix la segona part: cal difondre'l i que se sàpiga a qui adreçar-se.

Dice: No. La llei demana prevenir l'assetjament i establir procediments específics per donar via a les denúncies (art. 12.1 de la LO 10/2022). Un document que la plantilla desconeix no compleix la segona part: cal difondre'l i que se sàpiga a qui adreçar-se.

Decía: (no figuraba: se añade)

Dice: LISOS arts. 7.13, 8.13 i 40.1 · Reial decret legislatiu 5/2000 · BOE

Decía: (no figuraba: se añade)

Dice: Llei 2/2023 arts. 2 i 10 · protecció de les persones informants · BOE

Decía: És la confusió més estesa del compliment laboral espanyol: molta gent creu que el protocol d'assetjament només obliga a partir de 50 persones. Aquest llindar és el del pla d'igualtat. El protocol l'exigeix l'art. 48.1 de la LO 3/2007 a totes les empreses, sense excepció de mida.

Dice: És la confusió més estesa del compliment laboral espanyol: molta gent creu que el protocol d'assetjament només obliga a partir de 50 persones. Aquest llindar és el del pla d'igualtat. El protocol és la forma habitual de complir un deure que tenen totes les empreses, sense excepció de mida: establir procediments específics per prevenir l'assetjament sexual i per raó de sexe i per donar via a les denúncies (art. 12.1 de la LO 10/2022).

Decía: La teva organització té personal però no porta un registre de jornada fiable: incompleix la llei (art. 34.9 de l'Estatut dels treballadors) i la Inspecció de Treball ho pot sancionar. L'absència de registre també afebleix la defensa de l'empresa davant de reclamacions per hores extraordinàries. Cal implantar immediatament un registre diari.

Dice: La teva organització té personal però no porta un registre de jornada fiable: incompleix la llei (art. 34.9 de l'Estatut dels treballadors). És una infracció greu, amb una multa de 751 a 7.500 € segons la seva gravetat (arts. 7.5 i 40.1.b de la LISOS); el nombre de persones afectades influeix en la quantia (art. 39.2). A 25/09/2026, la llei no preveu una multa per cada centre ni per cada persona. L'absència de registre també afebleix la defensa de l'empresa davant de reclamacions per hores extraordinàries. Cal implantar immediatament un registre diari.

Decía: La teva organització fa servir un sistema digital de registre. La feina se centra a mantenir-lo: comprovar que és traçable i inalterable, que registra pauses i hores extraordinàries, que conserva quatre anys i que és accessible per al personal i la Inspecció, i documentar la política de registre. Queda ben posicionada davant la reforma del registre digital en tramitació.

Dice: La teva organització fa servir un sistema digital de registre. La feina se centra a mantenir-lo: comprovar que és traçable i inalterable, que recull l'hora d'inici i de final de cada jornada i les hores extraordinàries, que conserva quatre anys i que és accessible per al personal i la Inspecció, i documentar la política de registre. A 25/09/2026, registrar les pauses que no són temps de treball no és obligatori llevat que ho digui el conveni, però és molt recomanable per poder-les acreditar; el projecte de reial decret del registre digital, sense aprovar en aquesta data, sí que ho exigiria. Queda ben posicionada davant d'aquesta reforma.

Decía: Vigilància i evidència des de 9,99 €/mes pagant l'any · sense permanència ni quota d'alta

Dice: Vigilància i evidència des de 9,99 €/mes + IVA, amb pagament anual de 119,88 € + IVA · sense permanència ni quota d'alta

Decía: Et diem què t'obliga la llei i què no, amb l'article de cada cosa. I et generem els documents amb les teves dades, a punt per signar. Sense plantilles genèriques i sense inventar-nos res: cada resposta es comprova amb el text legal.

Dice: Et diem què t'obliga la llei i què no, amb l'article de cada cosa. I et generem els documents amb les teves dades, a punt per signar. Sense plantilles genèriques i amb les cites a la vista: cada resposta diu quantes n'hem trobat al text oficial.

Decía: · CIF B01037241 · Barratxi 39, Pab. 3, 01013 Vitoria-Gasteiz

Dice: · NIF B01037241 · Barratxi 39, Pab. 3, 01013 Vitoria-Gasteiz

Decía: Ley Orgánica 7/2025 · Uso de la Inteligencia Artificial en el ámbito laboral

Dice: IA en el empleo · normas aplicables (ET, RGPD y Reglamento de IA) y Proyecto de LO 121/000096

Decía: Real Decreto-ley 7/2025 — Transposición NIS2 en España

Dice: Ciberseguridad en España mientras NIS2 no se transpone · RD-ley 12/2018 (régimen vigente)

Decía: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2025-19234

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2015-11430#a64

Decía: https://www.boe.es/

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2018-12257

Decía: https://www.boe.es/buscar/act.php?id=BOE-A-2022-22652

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2022-23054

Decía: https://www.boe.es/buscar/act.php?id=BOE-A-2024-20695

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2024-20402

Decía: https://www.boe.es/buscar/act.php?id=BOE-A-2022-22513

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2022-21682

Decía: Primera ley orgánica española específica sobre el uso de la inteligencia artificial en las relaciones laborales. Aplica a toda empresa que utilice sistemas de IA para decisiones que afecten al personal, incluyendo procesos de selección, evaluación del desempeño, asignación de tareas, control de la actividad, promoción y extinción. Refuerza el Art. 64.4.d ET tras la Ley Rider y complementa el AI Act europeo. Obliga a transparencia algorítmica, evaluación de impacto previa, supervisión humana significativa, derecho de información tanto del trabajador como de su representación legal, y prohibición de decisiones plenamente automatizadas con efectos significativos sin intervención humana.

Dice: No existe una «Ley Orgánica 7/2025» sobre IA en el empleo. A 25/09/2026, el uso de IA para decidir sobre la plantilla se rige por el art. 64.4.d del Estatuto de los Trabajadores (información a la representación sobre los algoritmos), el RGPD (arts. 13 a 15, 22 y 35) y el Reglamento (UE) 2024/1689 (alfabetización y prácticas prohibidas desde el 02/02/2025; alto riesgo en el empleo desde el 02/12/2027). El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096) está en el Congreso, con plazo de enmiendas hasta el 30/09/2026.

Decía: Síntesis del estado de transposición de NIS2 en España a fecha actual: transposición PARCIAL vía Real Decreto-ley 7/2025; Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en tramitación parlamentaria sin publicación BOE; procedimiento de infracción de la Comisión Europea (dictamen motivado de 7 mayo 2025 a 19 Estados miembros incluida España); riesgo de elevación al TJUE. Las obligaciones del Reglamento DORA y de los aspectos directamente aplicables de NIS2 son exigibles desde su entrada en vigor: el retraso de transposición no exonera a las empresas.

Dice: Estado de NIS2 en España a 25/09/2026: sin transponer (plazo vencido el 17/10/2024). El Real Decreto-ley 7/2025 no tiene relación con NIS2 (trataba del sistema eléctrico y está derogado). Hay un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad aprobado en primera vuelta el 14/01/2025 que no ha llegado a las Cortes. En julio de 2026 la Comisión decidió llevar a España ante el Tribunal de Justicia de la UE (INFR(2024)0270). Rige el RD-ley 12/2018. DORA obliga a las entidades financieras desde el 17/01/2025; el art. 21 de NIS2 no es exigible a las empresas hasta que lo recoja la ley española.

Decía: Real Decreto-ley por el que se transpone al ordenamiento jurídico español la Directiva NIS2. Designa CCN-CERT como CSIRT para sector público y entidades de interés estratégico, INCIBE-CERT para sector privado. Incluye administración local en el ámbito subjetivo (más allá del mínimo de la directiva). Régimen sancionador con multas hasta 10 M€ / 2% facturación para entidades esenciales y 7 M€ / 1,4% para importantes.

Dice: El Real Decreto-ley 7/2025 no transpone NIS2: trataba del refuerzo del sistema eléctrico y quedó derogado el 24/07/2025 al no ser convalidado. A 25/09/2026 NIS2 no está transpuesta y rige el RD-ley 12/2018 (primera Directiva NIS): CSIRT de referencia CCN-CERT (sector público) e INCIBE-CERT (resto), y multas de hasta 1.000.000 € (art. 37).

Decía: El Reglamento ePrivacy que sustituirá a la Directiva sigue en tramitación en la UE (sin fecha firme de aprobación).

Dice: La propuesta de Reglamento ePrivacy fue retirada por la Comisión (DO C/2025/5423, de 06/10/2025): sigue rigiendo la Directiva.

Decía: Exige reciclabilidad (Design4Recycling), contenido mínimo reciclado en plástico, restricción de PFAS y bisfenol A, minimización del envase, etiquetado armonizado y una Declaración de Conformidad UE sin la cual ningún envase puede comercializarse desde agosto de 2026. Convive con la normativa MOCA (Reg. CE 1935/2004). En España, el régimen sancionador se articula vía Ley 7/2022 de residuos (infracciones muy graves hasta 1.750.000 €).

Dice: Exige reciclabilidad (Design4Recycling), contenido mínimo reciclado en plástico, restricción de PFAS en envases en contacto con alimentos (el bisfenol A se prohíbe en otra norma, el Reglamento (UE) 2024/3190), minimización del envase, etiquetado armonizado y una Declaración de Conformidad UE sin la cual ningún envase puede comercializarse desde agosto de 2026. Convive con la normativa MOCA (Reg. CE 1935/2004). Cada Estado fija las sanciones antes del 12/02/2027 (art. 68); en España, mientras tanto, la Ley 7/2022 de residuos (infracciones muy graves de 100.001 a 3.500.000 €, art. 109).

Decía: Control del radón en lugares de trabajo (RD 1029/2022 + IS-47 del CSN). Aplica a los puestos en planta baja o bajo rasante de municipios de actuación prioritaria (Zona II del DB-HS6): medición de larga duración, comparación con el nivel de referencia de 300 Bq/m³ y medidas correctoras si se supera.

Dice: Control del radón en lugares de trabajo (art. 75 del RD 1029/2022 e IS-47 del CSN). Deben medir los titulares de lugares de trabajo subterráneos y de lugares que aprovechan agua subterránea, en cualquier municipio, y de todos los lugares de trabajo en planta baja o bajo rasante de los municipios de actuación prioritaria (Zona II del DB-HS6). Nivel de referencia: 300 Bq/m³; si se supera, medidas correctoras, nueva medición y declaración ante la comunidad autónoma (art. 103 del RD 1217/2024).

Decía: RD 933/2021 (desarrolla los arts. 3 y 18.1 de la LO 4/2015): obligación de registro y comunicación telemática de datos de viajeros y de contratos de alquiler de vehículos sin conductor a través de SES.HOSPEDAJES (Ministerio del Interior). Obligatorio desde el 2/12/2024. Alcanza hoteles, VUT, casas rurales, campings, colivings, residencias y plataformas de intermediación. Hasta 17 (o más) datos por estancia, comunicación en plazo y conservación 3 años.

Dice: RD 933/2021 (desarrolla el art. 25.1 de la LO 4/2015): obligación de registro y comunicación telemática de datos de viajeros y de contratos de alquiler de vehículos sin conductor a través de SES.HOSPEDAJES (Ministerio del Interior). Obligatorio desde el 2/12/2024. Alcanza hoteles, VUT, casas rurales, campings, colivings, residencias y plataformas de intermediación. Hasta 17 (o más) datos por estancia, comunicación inmediata y como máximo en 24 horas y conservación 3 años.

Decía: 4, o Estudio Básico (EBSS) en el resto; Plan de Seguridad y Salud del contratista; Coordinador de Seguridad y Salud en proyecto y ejecución; aviso previo a la autoridad laboral y Libro de Incidencias.

Dice: 4, o Estudio Básico (EBSS) en el resto; Plan de Seguridad y Salud del contratista; Coordinador de Seguridad y Salud en proyecto (varios proyectistas) y en ejecución (más de una empresa o autónomos); comunicación de apertura del contratista y Libro de Incidencias.

Decía: Quedan exentas microempresas (<10 trabajadores y <2 M€ volumen anual) que presten servicios. Sanción máxima en España: 600.000 €.

Dice: Quedan exentas las microempresas que prestan servicios (menos de 10 personas y volumen de negocios o balance anual de hasta 2 M€). Sanciones: las de la legislación sectorial y, supletoriamente, el RDLeg 1/2013 (hasta 1.000.000 € en infracciones muy graves).

Decía: Obligación universal de toda empresa (sin umbral) de contar con un protocolo de prevención y actuación frente al acoso sexual y por razón de sexo (LO 3/2007 art. 48; RD 901/2020), reforzada por la LO 10/2022 (libertad sexual, ámbito digital).

Dice: Obligación universal de toda empresa (sin umbral) de contar con un protocolo de prevención y actuación frente al acoso sexual y por razón de sexo (art. 12.1 de la LO 10/2022, art. 2.1 del RD 901/2020 y art. 48 de la LO 3/2007, que incluye el ámbito digital).

Decía: 89.2 lo restringe severamente.

Dice: 89.3 lo restringe severamente, y el art. 89.2 prohíbe las cámaras y la grabación de sonido en zonas de descanso.

Decía: Capa de profundidad sobre el ENS: las cinco dimensiones de seguridad, la mecánica de categorización del sistema, los marcos del Anexo II (organizativo, operacional, protección) con 74 medidas, los perfiles de cumplimiento específicos del Art.

Dice: Capa de profundidad sobre el ENS: las cinco dimensiones de seguridad, la mecánica de categorización del sistema, los marcos del Anexo II (organizativo, operacional, protección) con 73 medidas, los perfiles de cumplimiento específicos del Art.

Decía: Su alcance se redujo drásticamente con el paquete Omnibus I: la Directiva (UE) 2026/470 (en vigor el 19 de marzo de 2026) limita la obligación a las empresas con más de 1.000 empleados y más de 450 M€ de volumen de negocio, dejando fuera a la mayoría de pymes y medianas.

Dice: Su alcance se redujo drásticamente con el paquete Omnibus I: la Directiva (UE) 2026/470 (en vigor desde el 18/03/2026) limita la obligación a las empresas con más de 1.000 empleados y más de 450 M€ de volumen de negocio, dejando fuera a la mayoría de pymes y medianas.

Decía: UE 2026/470) aplazó y simplificó las obligaciones: la transposición se traslada al 26 de julio de 2028 y la aplicación se escalona desde julio de 2027 para las mayores empresas, limitando la diligencia a los socios directos salvo indicios.

Dice: UE 2026/470) aplazó y simplificó las obligaciones: la transposición se traslada al 26 de julio de 2028 y se aplica a todas las empresas obligadas desde el 26/07/2029. La evaluación de la cadena se centra en los ámbitos donde los impactos son más probables y graves.

Decía: Nuevos sujetos obligados: CASPs cripto, clubes profesionales de fútbol, agentes de jugadores, plataformas de financiación participativa, comerciantes de lujo (umbral 10.000 €) y operaciones B2B con efectivo (límite UE: 10.000 €).

Dice: Nuevos sujetos obligados: CASPs cripto, clubes profesionales de fútbol y agentes de fútbol (desde el 10/07/2029), plataformas de financiación participativa y quienes comercian de forma habitual con bienes de gran valor (sin umbral de efectivo). Además, quienes comercien con bienes o presten servicios solo podrán cobrar o pagar en efectivo hasta 10.000 € (art. 80).

Decía: Plan de Autoprotección para las actividades del Anexo I de la Norma Básica de Autoprotección (RD 393/2007) por superar umbrales de aforo, superficie o carga de fuego. El RD 393/2007 fue derogado por el RD 524/2023 pero sigue aplicándose en régimen transitorio hasta julio de 2027.

Dice: Plan de Autoprotección para las actividades del Anexo I de la Norma Básica de Autoprotección (RD 393/2007) por superar umbrales de ocupación, altura de evacuación, camas o carga de fuego. El RD 524/2023 prevé sustituirlo por una norma adaptada en un plazo máximo de cuatro años (hasta el 11/07/2027); mientras no se apruebe, el plan se sigue haciendo conforme al RD 393/2007.

Decía: Principios clave: consentimiento previo, libre, específico, informado e inequívoco, idéntico al estándar RGPD; prohibición de cookie walls salvo equivalencia funcional real; el scroll, navegación por la web o cualquier acción ambigua NO constituye consentimiento válido; rechazar debe ser tan fácil como aceptar (mismo número de clics, misma jerarquía visual); duración máxima del consentimiento 24 meses; sanción LSSI Art. 38 hasta 150.000 €; multas RGPD aplican concurrentemente y pueden elevar las sanciones efectivas.

Dice: Principios clave: consentimiento previo, libre, específico, informado e inequívoco, idéntico al estándar RGPD; prohibición de cookie walls salvo equivalencia funcional real; el scroll, navegación por la web o cualquier acción ambigua NO constituye consentimiento válido; rechazar debe ser tan fácil como aceptar (mismo número de clics, misma jerarquía visual); la AEPD considera buena práctica renovar el consentimiento como máximo cada 24 meses; instalar cookies sin información o sin consentimiento es infracción leve (hasta 30.000 €) y, si hay reincidencia declarada en firme en tres años, grave (de 30.001 a 150.000 €) (arts. 38 y 39 LSSI); multas RGPD aplican concurrentemente y pueden elevar las sanciones efectivas.

Decía: Establece los requisitos que deben cumplir todos los programas de facturación utilizados por empresarios y profesionales en España, incluyendo: imposibilidad de borrado o alteración silenciosa, registro encadenado de facturas con hash, opcionalidad de envío inmediato a la AEAT (modalidad Verifactu stricto sensu), trazabilidad completa, e identificación del programa que las genera. Los plazos definitivos tras el RD-ley 15/2025, de 2 de diciembre, son: 1 de enero de 2027 para personas jurídicas; 1 de julio de 2027 para autónomos y profesionales.

Dice: Establece los requisitos de los programas con los que expiden facturas los empresarios y profesionales con domicilio fiscal en territorio común (no obliga a usar un programa y no se aplica a quienes llevan los libros de IVA por el SII), incluyendo: imposibilidad de borrado o alteración silenciosa, registro encadenado de facturas con hash, opcionalidad de envío inmediato a la AEAT (modalidad Verifactu stricto sensu), trazabilidad completa, e identificación del programa que las genera. Los plazos definitivos tras el RD-ley 15/2025, de 2 de diciembre, son: antes del 01/01/2027 para los contribuyentes del Impuesto sobre Sociedades y antes del 01/07/2027 para el resto (autónomos que tributan en IRPF, entidades en atribución de rentas y no residentes con establecimiento permanente).

Decía: Libros sociales obligatorios (registro de socios, aportaciones, actas, informes de censores) y fondos obligatorios: Fondo de Reserva Obligatorio (irrepartible) y Fondo de Educación y Promoción.

Dice: Libros obligatorios (art. 60: registro de socios, registro de aportaciones al capital, libros de actas, libro de inventarios y cuentas anuales y libro diario) y fondos obligatorios: Fondo de Reserva Obligatorio (irrepartible) y Fondo de Educación y Promoción.

Decía: Las obligaciones críticas son: a) protocolos de actuación frente a violencia; b) designación de un Delegado o Delegada de Protección (salvo entidades con un único profesional, donde lo asume éste); c) formación obligatoria del personal en derechos de la infancia y detección de violencia; d) deber de comunicación reforzado a las autoridades.

Dice: Las obligaciones críticas son: a) protocolos de actuación frente a violencia; b) designación de un Delegado o Delegada de protección en las entidades deportivas y de ocio (art. 48.1.c) y de un Coordinador o Coordinadora de bienestar y protección en los centros educativos (art. 35); c) formación obligatoria del personal en derechos de la infancia y detección de violencia; d) deber de comunicación reforzado a las autoridades.

Decía: La falta de identificación o de actualización de la titularidad real puede acarrear el bloqueo de la inscripción de actos en el Registro Mercantil, sanciones económicas que pueden alcanzar los 60.000 €, y consecuencias prácticas en la operativa bancaria y de inversión (los bancos, como sujetos obligados de prevención del blanqueo, exigen la titularidad real actualizada para operar). También genera riesgo reputacional y dificultades ante socios, herederos o autoridades.

Dice: No identificar o no actualizar la titularidad real puede ser infracción grave de la Ley 10/2010 (art. 52.1.b), sancionada con multa desde 60.000 € (y hasta el 10 % del volumen de negocios o 5 M€, entre otros topes, art. 57) más amonestación, o leve si el incumplimiento es ocasional o aislado (multa de hasta 60.000 €, art. 58). Además, si falta la hoja de titularidad real en el depósito de cuentas, el Registro Mercantil cierra la hoja registral de la sociedad (disposición adicional segunda del RD 609/2023). Y en la práctica, bancos y notarios no pueden operar con quien no les permite determinar su estructura de propiedad: no es una sanción, sino la consecuencia de que no puedan aplicar la diligencia debida.

Decía: Bloqueo registral, sanción y problemas bancarios

Dice: Sanción, cierre registral y problemas bancarios

Decía: Resoluciones reales de la AEPD en cookies: IBERIA, 30.000 € por incumplir la LSSI en sus cookies, confirmada por la Audiencia Nacional el 17/06/2024; SEAT, 16.000 € (reducida a 12.000 €) el 18/09/2024 por instalar cookies sin consentimiento y hacer imposible borrarlas después; TECHPUMP SOLUTIONS, 90.000 € (PS/00524/2023) por infracciones reiteradas de cookies en tres sitios web; COLEGIO MONTESSORI DE TRES CANTOS, 5.000 € (reducida a 3.000 €) por no avisar del uso de cookies ni permitir configurarlas.

Dice: Resoluciones reales de la AEPD en cookies: IBERIA, 30.000 € (PS/00032/2020) por no permitir rechazar las cookies de su web (art. 22.2 LSSI); SEAT, sanción de 20.000 € que quedó en 12.000 € tras reconocer su responsabilidad y pagar voluntariamente (PS/00284/2024), por instalar cookies sin consentimiento e impedir retirar el ya prestado; TECHPUMP SOLUTIONS, 90.000 € (PS/00524/2023) por infracciones reiteradas de cookies en tres sitios web; y, aunque no por cookies, LOS NIÑOS DE MONTESSORI (un centro educativo de Tres Cantos): 4.000 €, 3.200 € tras reconocer su responsabilidad (PS/00527/2023), porque el formulario de contacto de su web recogía datos sin informar (art. 13 RGPD); la resolución deja las cookies de esa web para un procedimiento aparte, por la LSSI.

Decía: No llevar el registro de jornada, o llevarlo de forma que no refleje la jornada real, constituye una infracción en materia de relaciones laborales sancionable por la Inspección de Trabajo conforme a la LISOS, con multas que escalan según la gravedad y el número de personas afectadas.

Dice: No llevar el registro de jornada, o llevarlo de forma que no refleje la jornada real, es una infracción grave (art. 7.5 LISOS): multa de 751 a 7.500 € (art. 40.1.b). El número de personas afectadas influye en la cuantía (art. 39.2), pero la ley no prevé una multa por cada centro ni por cada persona.

Decía: A petición del consumidor, el reparador (que puede ser el fabricante, el vendedor u otro reparador) debe facilitar un Formulario Europeo de Información de Reparación con las condiciones y el precio de la reparación de forma clara y comparable: naturaleza del defecto y de la reparación propuesta, precio o forma de cálculo, plazo estimado, disponibilidad de productos de sustitución temporal y demás condiciones. El formulario vincula durante un plazo y permite al consumidor comparar ofertas, lo que incentiva la elección de la reparación frente a la sustitución.

Dice: El reparador (que puede ser el fabricante, el vendedor u otro reparador) puede entregar al consumidor que lo pida, sin estar obligado, un Formulario Europeo de Información sobre la Reparación, gratuito salvo el coste de diagnóstico informado, con las condiciones y el precio de la reparación de forma clara y comparable: naturaleza del defecto y de la reparación propuesta, precio o forma de cálculo, plazo estimado, disponibilidad de productos de sustitución temporal y demás condiciones. Sus condiciones no pueden cambiarse durante 30 días naturales, y permite al consumidor comparar ofertas, lo que incentiva la elección de la reparación frente a la sustitución.

Decía: La directiva está en vigor desde el 30/7/2024, pero las obligaciones se aplican desde el 31/7/2026 (a los contratos de venta celebrados a partir de esa fecha), y sigue un enfoque de armonización plena.

Dice: La directiva está en vigor desde el 30/7/2024, y las normas de transposición se aplican desde el 31/7/2026; solo la prórroga de 12 meses de la garantía al elegir reparar se limita a las compraventas celebradas desde esa fecha (art. 21), y sigue un enfoque de armonización plena.

Decía: La única excepción es la producción primaria, que debe cumplir guías de buenas prácticas pero no un APPCC formal.

Dice: La única excepción es la producción primaria (art. 5.3), que no implanta APPCC pero debe cumplir las normas de higiene del anexo I, parte A, estar registrada y garantizar la trazabilidad; las guías de prácticas correctas son voluntarias (art. 7).

Decía: La empresa informará a la representación legal de los trabajadores, con la antelación suficiente y, en todo caso, antes de la implantación, sobre: a) los parámetros, reglas e instrucciones en los que se basen los algoritmos o sistemas de inteligencia artificial que afecten a la toma de decisiones que puedan incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles; b) los resultados de la evaluación de impacto sobre los trabajadores; c) las medidas de supervisión humana implantadas; d) el régimen de actualizaciones y reentrenamiento del sistema. La representación legal podrá emitir informe en el plazo de quince días.

Dice: Cuando la empresa trata datos de trabajadores o candidatos con sistemas que toman decisiones automatizadas o elaboran perfiles, debe informarles de su existencia y darles información significativa sobre la lógica aplicada y las consecuencias previstas (arts. 13.2.f y 14.2.g RGPD; art. 11 LOPDGDD). La persona afectada puede pedir esa misma información (art. 15.1.h RGPD). No hay una norma española que fije un contenido o un plazo distintos para el ámbito laboral: el Proyecto de LO 121/000096 está en tramitación a 25/09/2026.

Decía: Información a la representación legal

Dice: Información a la persona trabajadora o candidata

Decía: Con carácter previo a la implantación de un sistema de inteligencia artificial que afecte a decisiones sobre el personal, la empresa realizará una evaluación de impacto que incluirá: a) descripción del sistema, finalidad y categorías de trabajadores afectados; b) riesgos para los derechos y libertades, en particular discriminación directa o indirecta por razón de género, edad, discapacidad, orientación sexual, origen racial o étnico, religión, ideología o cualquier otra circunstancia personal o social; c) medidas previstas para mitigar tales riesgos; d) régimen de supervisión humana; e) régimen de registro y auditoría de las decisiones. La evaluación se revisará periódicamente y, en todo caso, cuando se produzcan modificaciones sustanciales en el sistema o se detecten sesgos. Cuando el sistema sea de alto riesgo según el AI Act (Anexo III) la evaluación deberá ser consistente con el Art. 27 del Reglamento (UE) 2024/1689.

Dice: Antes de usar un sistema que evalúe de forma sistemática y exhaustiva a las personas mediante tratamiento automatizado y sirva de base para decisiones con efectos jurídicos o significativos (por ejemplo, descartar candidaturas), la empresa debe hacer una evaluación de impacto relativa a la protección de datos (art. 35.3.a RGPD; la AEPD publica la lista de tratamientos que la requieren, art. 35.4). La evaluación de impacto sobre los derechos fundamentales del art. 27 del Reglamento de IA solo alcanza, desde el 02/12/2027, a organismos públicos, a entidades privadas que prestan servicios públicos y a los usos de solvencia y seguros del anexo III, punto 5.

Decía: Evaluación de impacto previa · DPIA laboral

Dice: Evaluación de impacto antes de usar el sistema

Decía: Las decisiones que afecten significativamente a la relación laboral —incluyendo extinciones, sanciones disciplinarias graves o muy graves, promociones, asignación a puestos con diferente nivel retributivo, evaluaciones que puedan fundamentar decisiones de las anteriores— no podrán adoptarse sobre la base exclusiva de un sistema de inteligencia artificial. Será preceptiva la intervención humana cualificada, que valorará la propuesta del sistema junto con cualquier otro elemento relevante y motivará la decisión final por escrito. La intervención humana debe ser significativa: el revisor humano debe tener capacidad real y autoridad para apartarse de la propuesta del sistema, no limitarse a un visto bueno formal.

Dice: Toda persona tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ella o le afecte significativamente de modo similar (art. 22.1 RGPD). Solo cabe si es necesaria para un contrato, si la autoriza una norma que fije medidas adecuadas o con consentimiento explícito (art. 22.2). En los casos de contrato y de consentimiento, la empresa debe garantizar como mínimo el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión (art. 22.3). Para los sistemas de IA de alto riesgo en el empleo, el Reglamento de IA exige además supervisión humana (arts. 14 y 26) desde el 02/12/2027.

Decía: Supervisión humana significativa

Dice: Decisiones basadas únicamente en tratamiento automatizado

Decía: Los obligados tributarios deberán adaptar sus sistemas informáticos de facturación a los requisitos del Reglamento aprobado por el Real Decreto 1007/2023, en los siguientes plazos: a) los contribuyentes del Impuesto sobre Sociedades, a partir del 1 de enero de 2027; b) los contribuyentes que ejerzan actividades económicas mediante personas físicas (IRPF), a partir del 1 de julio de 2027. Los obligados que ya estén incluidos en el Suministro Inmediato de Información (SII) no están obligados a la modalidad Verifactu, sin perjuicio de que sus sistemas deban cumplir los requisitos generales de integridad e inalterabilidad.

Dice: Los obligados tributarios deberán adaptar sus sistemas informáticos de facturación a los requisitos del Reglamento aprobado por el Real Decreto 1007/2023, en los siguientes plazos: antes del 1 de enero de 2027, los contribuyentes del Impuesto sobre Sociedades; antes del 1 de julio de 2027, el resto de obligados del art. 3.1 (contribuyentes del IRPF con actividades económicas, entidades en atribución de rentas y no residentes con establecimiento permanente). Quien lleva sus libros de IVA por el SII queda fuera del Reglamento (art. 3.3); sigue vigente para él el deber general del art. 29.2.j) de la Ley General Tributaria.

Decía: Las infracciones muy graves se sancionan con multa de hasta 10 millones de euros o el 2% del volumen de negocio total mundial anual del ejercicio anterior, la cifra superior, para entidades esenciales. Para entidades importantes el tope es 7 millones de euros o el 1,4%. Las infracciones graves: hasta 1 millón de euros o 0,2% para esenciales y 700.000€ o 0,14% para importantes.

Dice: No hay régimen sancionador español de NIS2: a 25/09/2026 la Directiva no está transpuesta. La Directiva obliga a que la ley nacional prevea multas máximas de al menos 10 M€ o el 2 % del volumen de negocios mundial anual para las entidades esenciales, y de al menos 7 M€ o el 1,4 % para las importantes (art. 34). Mientras tanto rige el RD-ley 12/2018 (arts. 36 y 37): infracciones muy graves, de 500.001 a 1.000.000 €; graves, de 100.001 a 500.000 €; leves, amonestación o hasta 100.000 €.

Decía: Régimen sancionador español NIS2

Dice: Sanciones: régimen vigente (RD-ley 12/2018) y mínimos de NIS2

Decía: CCN-CERT (Centro Criptológico Nacional) actúa como CSIRT para el sector público y entidades de interés estratégico. INCIBE-CERT actúa como CSIRT para el sector privado. Los reguladores sectoriales mantienen sus competencias específicas (CNMV para mercados financieros, AEMPS para fabricantes farmacéuticos, etc.).

Dice: España no ha transpuesto NIS2 (a 25/09/2026): las autoridades que la aplicarán dependen de la futura ley (el anteproyecto prevé un Centro Nacional de Ciberseguridad). En el régimen vigente (RD-ley 12/2018, art. 11), los CSIRT de referencia son el CCN-CERT, para las entidades del sector público (Ley 40/2015), y el INCIBE-CERT, para el resto de entidades y para los proveedores de servicios digitales; el ESPDEF-CERT coopera en lo que afecte a la Defensa Nacional. El RD-ley 7/2025 no trata de ciberseguridad.

Decía: CSIRTs designados en España

Dice: CSIRT de referencia en el régimen vigente (RD-ley 12/2018)

Decía: La comunicación se realiza de forma telemática a la plataforma SES.HOSPEDAJES del Ministerio del Interior y debe presentarse en plazo (en el momento del registro y, en todo caso, en las primeras horas); las plataformas de intermediación comunican cada reserva confirmada o cancelada.

Dice: La comunicación se realiza de forma telemática a la plataforma SES.HOSPEDAJES del Ministerio del Interior de forma inmediata y, como máximo, en 24 horas desde que se hace la reserva, se formaliza el contrato o se anula, y desde el inicio del servicio (art. 6.3); esta comunicación de reservas y anulaciones afecta a todos los obligados, no solo a las plataformas.

Decía: La norma desarrolla los arts. 3 y 18.1 de la LO 4/2015 de Seguridad Ciudadana y es de obligado cumplimiento desde el 2 de diciembre de 2024.

Dice: La norma desarrolla el art. 25.1 de la LO 4/2015, de protección de la seguridad ciudadana, y es de obligado cumplimiento desde el 2 de diciembre de 2024.

Decía: Son instalaciones de riesgo, entre otras: el agua caliente sanitaria (ACS) con acumulador y retorno, las torres de refrigeración y condensadores evaporativos, los sistemas de agua climatizada con agitación y recirculación (jacuzzis, spas, piscinas climatizadas con vasos de hidromasaje), las fuentes ornamentales, los sistemas de riego por aspersión y los humidificadores.

Dice: Son instalaciones de riesgo, entre otras (anexo I): todos los sistemas de agua sanitaria (caliente y fría), las torres de refrigeración y condensadores evaporativos, los equipos de enfriamiento evaporativo, los humidificadores, los sistemas de agua contra incendios, las bañeras y vasos de hidromasaje, las piscinas climatizadas con chorros o juegos de agua, las fuentes ornamentales, el riego por aspersión, los túneles de lavado de vehículos y los equipos sanitarios o dentales con agua a presión. Se excluyen las instalaciones de edificios de uso exclusivo de vivienda que no afecten al exterior (art. 3.2).