Lo que hemos corregido, a la vista

Decía: Para una empresa o profesional ajenos al sector salud, el EHDS no resulta de aplicación directa.

Dice: También son tenedores de datos de salud quienes desarrollan productos o servicios para el sector sanitario o aplicaciones de bienestar y quienes investigan en salud, con exenciones para personas físicas y microempresas (art. 2): conviene revisarlo si la empresa trata datos de salud aunque no sea sanitaria.

Decía: El scraping masivo de internet generalmente NO pasa el test de necesidad y ponderación cuando los datos incluyen información sensible o expectativas claras de privacidad.

Dice: El uso de datos obtenidos por extracción masiva de internet (scraping) debe superar, caso por caso, el análisis de necesidad y ponderación; la Opinión propone medidas mitigadoras (por ejemplo, excluir categorías de datos o fuentes).

Decía: El futuro Reglamento ePrivacy ampliará el ámbito a los servicios de comunicación 'over-the-top' (mensajería, VoIP), pero sigue pendiente de aprobación; mientras tanto rige la Directiva y su transposición española.

Dice: La propuesta de Reglamento ePrivacy fue retirada por la Comisión (DO C/2025/5423, de 06/10/2025), así que sigue rigiendo la Directiva y su transposición española (LSSI). El «ómnibus digital» (COM(2025) 837) propone trasladar al RGPD las normas sobre cookies; a 25/09/2026 sigue en tramitación y no ha cambiado nada.

Decía: A esa fecha España no ha culminado la transposición (no hay aún ley nacional de transparencia salarial publicada), situación compartida por la mayoría de Estados miembros.

Dice: A 25/09/2026 España no la ha transpuesto con una norma nueva: solo ha notificado normas anteriores (RD 902/2020, RD 901/2020 y LO 3/2007, el 18/06/2026), y el proyecto de real decreto que modifica el RD 902/2020 salió a audiencia pública del 04/08/2026 al 24/08/2026 sin aprobarse. Mientras tanto, a las empresas les obligan el art. 28 del Estatuto de los Trabajadores y el RD 902/2020 (registro retributivo para todas las empresas).

Decía: Los productos conectados se diseñarán y fabricarán, y los servicios relacionados se diseñarán y prestarán, de manera que los datos del producto y los datos del servicio relacionado, incluidos los metadatos relevantes necesarios para interpretarlos y utilizarlos, sean, por defecto, fácilmente, segura, gratuitamente, en un formato exhaustivo, estructurado, de uso común y legible por máquina, y, cuando proceda y sea técnicamente viable, directa y continuamente accesibles para el usuario.

Dice: Los productos conectados introducidos en el mercado después del 12/09/2026 (art. 50) se diseñarán y fabricarán, y los servicios relacionados se diseñarán y prestarán, de manera que los datos del producto y los datos del servicio relacionado, incluidos los metadatos relevantes necesarios para interpretarlos y utilizarlos, sean, por defecto, fácilmente, segura, gratuitamente, en un formato exhaustivo, estructurado, de uso común y legible por máquina, y, cuando proceda y sea técnicamente viable, directa y continuamente accesibles para el usuario.

Decía: Se considera abusiva, entre otras, la cláusula que: a) excluya o limite la responsabilidad por dolo o negligencia grave; b) excluya recursos en caso de incumplimiento; c) confiera a la parte impositora derecho exclusivo de interpretación; d) impida a la otra parte utilizar los datos que ha aportado o generado durante el periodo del contrato.

Dice: Son siempre abusivas las cláusulas que (a) excluyan o limiten la responsabilidad por dolo o negligencia grave, (b) excluyan las vías de recurso o la responsabilidad por incumplimiento, o (c) den a quien las impone el derecho exclusivo a interpretar el contrato o a decidir si los datos son conformes (art. 13.4). Se presumen abusivas, salvo prueba en contrario, entre otras, las que impidan a la otra parte usar los datos que aportó o generó durante el contrato (art. 13.5.c).

Decía: SEAT con 16.000 € (reducida a 12.000 € por pronto pago) por instalar cookies sin consentimiento y por no permitir borrar las ya aceptadas. TECHPUMP SOLUTIONS con 90.000 € (PS/00524/2023) por infracciones reiteradas en varios de sus sitios. La cuantía crece con el volumen de tráfico y la reiteración. La competencia sancionadora en materia de cookies corresponde a la AEPD conforme al régimen de infracciones de la LSSI (Art. 38-39), con multas que pueden alcanzar los 30.000 € por infracción grave.

Dice: SEAT afrontó una sanción de 20.000 € por instalar cookies sin consentimiento e impedir retirar el ya prestado, que quedó en 12.000 € tras reconocer su responsabilidad y pagar voluntariamente (PS/00284/2024). TECHPUMP SOLUTIONS con 90.000 € (PS/00524/2023) por infracciones reiteradas en varios de sus sitios. La cuantía crece con el volumen de tráfico y la reiteración. La competencia sancionadora en materia de cookies corresponde a la AEPD (art. 43.1 LSSI). Instalar cookies sin información o sin consentimiento es infracción leve, con multa de hasta 30.000 € por infracción (arts. 38.4.g y 39.1.c); la reincidencia declarada en firme en tres años la convierte en grave, con multa de 30.001 a 150.000 € (art. 38.3.i).

Decía: Tras la propuesta Ómnibus (febrero de 2026), el ámbito se redujo drásticamente: solo deberán reportar las empresas con más de 1.000 empleados y más de 50 millones de euros de volumen de negocio (o más de 25 millones de balance).

Dice: Tras el Ómnibus I (Directiva (UE) 2026/470, de 24 de febrero de 2026), el ámbito se redujo drásticamente: solo deberán informar las empresas y grupos que superen de media 1.000 empleados y tengan un volumen de negocios neto superior a 450 millones de euros.

Decía: Después, la Directiva Omnibus I (UE) 2026/470, adoptada el 24 de febrero de 2026 y en vigor el 19 de marzo de 2026, redujo drásticamente el alcance: solo deberán reportar las empresas con más de 1.000 empleados y más de 450 millones de euros de volumen de negocio neto. La mayoría de pymes y medianas quedan FUERA de la obligación. Las empresas de la ola 1 (grandes ya sujetas) siguen reportando en 2026.

Dice: Después, la Directiva Omnibus I (UE) 2026/470, adoptada el 24 de febrero de 2026 y en vigor el 18 de marzo de 2026, redujo drásticamente el alcance: solo deberán reportar las empresas con más de 1.000 empleados y más de 450 millones de euros de volumen de negocio neto. La mayoría de pymes y medianas quedan FUERA de la obligación. Los Estados pueden eximir, en los ejercicios 2025 y 2026, a las empresas de la primera ola que quedan fuera del nuevo alcance. En España, a 25/09/2026, la CSRD no está transpuesta (proyecto 121/000038 en el Congreso) y las empresas obligadas siguen presentando el estado de información no financiera de la Ley 11/2018.

Decía: El Omnibus I limitó expresamente esa traslación de carga: las empresas obligadas no pueden exigir a las pymes de su cadena de valor información que exceda de unos estándares voluntarios simplificados.

Dice: El Ómnibus I limitó esa traslación de carga: la empresa obligada solo puede pedir información a sus socios cuando sea necesaria y, si el socio tiene menos de 5.000 empleados, solo si no puede obtenerla razonablemente por otros medios.

Decía: Tras el Omnibus I, el foco principal se limita a los socios comerciales directos (tier 1) de la empresa, recurriendo a un análisis más profundo de niveles indirectos solo cuando existan indicios plausibles de impactos adversos. La CSDDD también contempla un régimen de responsabilidad civil por los daños causados por el incumplimiento, cuyos contornos se han ajustado en la revisión.

Dice: Tras el Ómnibus I, la empresa hace primero un ejercicio exploratorio, con la información razonablemente disponible, sobre sus operaciones, las de sus filiales y las de sus socios en la cadena de actividades, y después evalúa en profundidad los ámbitos donde los impactos son más probables y graves. Solo puede pedir información a sus socios cuando sea necesaria y, si el socio tiene menos de 5.000 empleados, solo si no puede obtenerla por otros medios. Desaparecen el régimen de responsabilidad civil armonizado por la UE (queda al Derecho nacional) y la obligación de adoptar un plan de transición climática.

Decía: Diligencia centrada en los socios directos (tier 1), salvo indicios

Dice: Ejercicio exploratorio y evaluación en profundidad donde el riesgo es mayor

Decía: El incumplimiento de las obligaciones de coordinación es infracción en el orden social, que la Inspección de Trabajo y Seguridad Social puede sancionar; en su grado máximo, las infracciones muy graves pueden alcanzar 819.780 € (LISOS).

Dice: El incumplimiento de las obligaciones de coordinación es infracción en el orden social, que la Inspección de Trabajo y Seguridad Social puede sancionar; en su grado máximo, las infracciones muy graves en prevención de riesgos pueden alcanzar 983.736 € (art. 40.2.c LISOS).

Decía: El RD 171/2004 distingue tres posiciones, con obligaciones crecientes: (1) la empresa CONCURRENTE, que coincide con otras y debe informar y cooperar; (2) el empresario TITULAR del centro, que además debe informar a las demás de los riesgos del centro y dar instrucciones; y (3) el empresario PRINCIPAL, que contrata obras o servicios de su propia actividad y debe, además, vigilar el cumplimiento de la normativa de prevención por contratistas y subcontratistas.

Dice: El RD 171/2004 distingue tres posiciones, con obligaciones crecientes: (1) la empresa CONCURRENTE, que coincide con otras y debe informar y cooperar; (2) el empresario TITULAR del centro, que además debe informar a las demás de los riesgos del centro y dar instrucciones; y (3) el empresario PRINCIPAL, que contrata obras o servicios de su propia actividad que se realizan en su propio centro de trabajo y debe, además, vigilar el cumplimiento de la normativa de prevención por contratistas y subcontratistas: antes de empezar, les exige por escrito la evaluación de riesgos y la planificación de ese trabajo y la acreditación de la información y formación de su personal (art. 10). Si no lo hace, puede responder solidariamente de sus incumplimientos en su centro durante la contrata (art. 42.3 LISOS).

Decía: La coordinación se documenta: solicitud y entrega recíproca de la evaluación de riesgos y la planificación preventiva de la actividad contratada, información sobre riesgos específicos y medidas de emergencia del centro, acreditación de la formación e información en PRL de las personas trabajadoras, justificantes de aptitud y de equipos, y designación de una persona coordinadora de actividades cuando los riesgos sean graves o muy graves.

Dice: La coordinación se documenta: solicitud y entrega recíproca de la evaluación de riesgos y la planificación preventiva de la actividad contratada, información sobre riesgos específicos y medidas de emergencia del centro, acreditación de la formación e información en PRL de las personas trabajadoras, justificantes de aptitud y de equipos, y, como medio preferente, designación de una o varias personas encargadas de la coordinación cuando se den al menos dos de las circunstancias del art. 13 del RD 171/2004 (actividades peligrosas que afecten a otras empresas, especial dificultad para controlar interacciones que generen riesgos graves o muy graves o para evitar actividades incompatibles, o especial complejidad por el número de empresas y personas).

Decía: El incumplimiento de las obligaciones de autoprotección se sanciona por las administraciones competentes conforme a la Ley 2/1985 de Protección Civil y a las leyes autonómicas de protección civil y emergencias, así como al resto del ordenamiento aplicable. Las infracciones graves pueden conllevar multas elevadas y, en su caso, la suspensión o el cierre temporal de la actividad.

Dice: El incumplimiento de las obligaciones de autoprotección se sanciona por las administraciones competentes conforme a la Ley 17/2015, del Sistema Nacional de Protección Civil (arts. 45 y 46: muy graves, de 30.001 a 600.000 €; graves, de 1.501 a 30.000 €; leves, hasta 1.500 €), y a las leyes autonómicas de protección civil y emergencias, que pueden prever además la suspensión o el cierre de la actividad. La Ley 2/1985 está derogada desde el 10/01/2016.

Decía: Sanción conforme a la Ley 2/1985 y a las leyes autonómicas

Dice: Sanción conforme a la Ley 17/2015 y a las leyes autonómicas

Decía: Las infracciones pueden conllevar multas y la pérdida de acceso a ayudas, bonificaciones y contratación con el sector público.

Dice: No tener el plan obligatorio es infracción grave (art. 7.13 LISOS: de 751 a 7.500 €) y, en empresas de 50 o más personas, impide contratar con el sector público (art. 71.1.d LCSP). La pérdida automática de ayudas y bonificaciones (art. 46 bis LISOS) se aplica a las infracciones de discriminación y acoso, no a la mera falta de plan.

Decía: Quedan prohibidas: (a) manipulación subliminal o engañosa que cause o pueda causar daño; (b) explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica; (c) scoring social por autoridades públicas; (d) predicción de criminalidad basada únicamente en perfilado; (e) recolección no dirigida de imágenes faciales para bases biométricas; (f) reconocimiento emocional en lugares de trabajo y educación (salvo médico/seguridad); (g) categorización biométrica para inferir raza, opinión política, religión, orientación sexual o sindical; (h) identificación biométrica remota en tiempo real en espacios públicos por fuerzas de seguridad (con excepciones tasadas).

Dice: Quedan prohibidas (art. 5.1): (a) técnicas subliminales, manipuladoras o engañosas que alteren de forma sustancial el comportamiento y causen, o puedan causar, perjuicios considerables; (b) explotar vulnerabilidades por edad, discapacidad o una situación social o económica específica; (c) puntuación social: evaluar o clasificar a personas o colectivos por su comportamiento social o sus características personales cuando provoque un trato perjudicial en contextos ajenos a aquellos en que se obtuvieron los datos, o un trato injustificado o desproporcionado (afecta a cualquier operador, público o privado); (d) evaluar el riesgo de que una persona cometa un delito basándose únicamente en su perfil o en sus rasgos de personalidad; (e) crear o ampliar bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes de internet o de circuitos cerrados de televisión; (f) inferir emociones en el lugar de trabajo y en los centros educativos, salvo por motivos médicos o de seguridad; (g) categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual; (h) identificación biométrica remota «en tiempo real» en espacios de acceso público con fines policiales, salvo excepciones tasadas. Aplicables desde el 02/02/2025. Desde el 02/12/2026 se añaden dos prohibiciones (Reglamento (UE) 2026/1744): sistemas que generen o manipulen imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable, o de una persona identificable en actividades sexualmente explícitas, sin su consentimiento (art. 5.1 b bis), y sistemas que generen material de abuso sexual infantil (art. 5.1 b ter).

Decía: El sistema debe permitir conocer la jornada efectivamente realizada, incluidas las pausas que no computen como tiempo de trabajo y las horas extraordinarias.

Dice: El art. 34.9 ET exige registrar la hora de inicio y de fin de cada jornada. Registrar también las pausas que no son tiempo de trabajo no es obligatorio salvo que lo diga el convenio, pero es muy recomendable para acreditarlas.

Decía: Las personas jurídicas serán penalmente responsables: a) De los delitos cometidos en nombre o por cuenta de las mismas, y en su beneficio directo o indirecto, por sus representantes legales o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma. b) De los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad.

Dice: 1. En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables: a) De los delitos cometidos en nombre o por cuenta de las mismas, y en su beneficio directo o indirecto, por sus representantes legales o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma. b) De los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso.

Decía: El registro deberá contener: nombre y datos del responsable, fines del tratamiento, categorías de interesados, categorías de datos, destinatarios, transferencias internacionales, plazos de conservación, descripción general de las medidas técnicas y organizativas de seguridad.

Dice: El registro deberá contener: nombre y datos del responsable, fines del tratamiento, categorías de interesados, categorías de datos, destinatarios, transferencias internacionales, plazos de conservación, descripción general de las medidas técnicas y organizativas de seguridad. Excepción (art. 30.5, texto literal): «Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.» Si el tratamiento no es ocasional (por ejemplo, nóminas o clientes habituales), la exención no se aplica.

Decía: Se prohíbe a los profesionales y operadores que negocien con bienes o servicios aceptar o realizar pagos en efectivo por importe superior a 10.000 €, o su contravalor en moneda extranjera, ya se efectúen en una sola operación o en varias operaciones vinculadas. El límite se aplica también a pagos en criptoactivos cuando se realicen entre profesionales. Los Estados miembros podrán fijar límites inferiores. En España el límite general nacional es 1.000 € entre profesionales (Ley 11/2021); el límite UE actúa como mínimo armonizado, no como sustituto del nacional cuando este sea más estricto. Excepciones: pagos entre personas físicas que no actúen como profesionales, pagos a entidades financieras, depósitos y reintegros en cuentas bancarias.

Dice: Desde el 10/07/2027 (art. 90), quienes comercien con bienes o presten servicios solo pueden aceptar o efectuar pagos en efectivo de hasta 10.000 €, en una sola operación o en varias que parezcan relacionadas (art. 80.1). El límite se refiere al efectivo: no se extiende a los pagos en criptoactivos. Los Estados pueden fijar límites más bajos y los que ya existan por debajo siguen aplicándose (art. 80.2 y 80.3): el límite de la UE es un máximo, no un mínimo. En España ya rige uno más estricto: no pueden pagarse en efectivo las operaciones de 1.000 € o más en las que alguna de las partes actúe como empresario o profesional (10.000 € si paga una persona física sin domicilio fiscal en España que no actúa como empresario o profesional) (art. 7 de la Ley 7/2012). Quedan fuera del límite de la UE los pagos entre personas físicas que no actúan en su actividad profesional y los pagos o depósitos en los locales de entidades de crédito, emisores de dinero electrónico y proveedores de servicios de pago (art. 80.4).

Decía: En el caso de personas jurídicas societarias, será beneficiario efectivo aquella persona física que posea o controle directa o indirectamente más del 25 % de las acciones o derechos de voto, así como aquella que ejerza control por otros medios (acuerdos parasociales, designación de mayoría del consejo, derecho de veto). Si no se identifica ninguna persona física en estos términos, se considerará beneficiario efectivo a la persona física que ostente el cargo de directivo de mayor rango. La información sobre beneficiarios efectivos se inscribirá en el registro central nacional y será accesible a autoridades competentes y sujetos obligados con interés legítimo acreditado.

Dice: En el caso de personas jurídicas societarias, será titular real la persona física que posea directa o indirectamente el 25 % o más de las acciones, derechos de voto u otra participación en la propiedad, así como aquella que ejerza control por otros medios (acuerdos parasociales, designación de mayoría del consejo, derecho de veto). Si no se identifica a nadie, la entidad debe declararlo, justificarlo y facilitar los datos de todas las personas que ocupan cargos de dirección de alto nivel. La información se inscribe en el registro central, accesible a las autoridades y a las entidades obligadas para su diligencia debida; otras personas deben acreditar un interés legítimo (arts. 11 y 12 de la Directiva (UE) 2024/1640). Se aplica desde el 10/07/2027; hasta entonces rige la Ley 10/2010 («más del 25 %»).

Decía: Son sujetos obligados: a) entidades de crédito y financieras; b) auditores, asesores fiscales, contables externos; c) notarios y otros profesionales independientes del Derecho cuando intervengan en operaciones financieras o inmobiliarias o asesoren al respecto; d) prestadores de servicios a sociedades y fideicomisos; e) agentes inmobiliarios, incluido el alquiler con renta mensual >= 10.000 €; f) prestadores de servicios sobre criptoactivos autorizados conforme a MiCA; g) clubes de fútbol profesional y agentes futbolísticos en transacciones >= 150.000 €; h) comerciantes de bienes de alto valor (joyas, obras de arte, vehículos de lujo, embarcaciones, aeronaves) cuando reciban pagos en efectivo o en criptoactivos por importe >= 10.000 €; i) plataformas de financiación participativa autorizadas conforme al Reg 2020/1503; j) prestadores de servicios de inmigración por inversión.

Dice: Son sujetos obligados: a) entidades de crédito y financieras; b) auditores, asesores fiscales, contables externos; c) notarios y otros profesionales independientes del Derecho cuando intervengan en operaciones financieras o inmobiliarias o asesoren al respecto; d) prestadores de servicios a sociedades y fideicomisos; e) agentes inmobiliarios, incluido el alquiler con renta mensual >= 10.000 €; f) prestadores de servicios sobre criptoactivos autorizados conforme a MiCA; g) agentes de fútbol y clubes de fútbol profesional en operaciones con inversores, patrocinadores, intermediarios y traspasos (desde el 10/07/2029, art. 90); h) quienes comercian de forma habitual con bienes de gran valor, sin umbral de efectivo (el umbral de 10.000 € se aplica a los bienes culturales y a las zonas francas); i) plataformas de financiación participativa autorizadas conforme al Reg 2020/1503; j) prestadores de servicios de inmigración por inversión.

Decía: Los sujetos obligados deberán aplicar medidas de diligencia debida del cliente cuando: a) establezcan una relación de negocios; b) ejecuten una operación ocasional por importe >= 10.000 €, o varias operaciones vinculadas por dicho importe acumulado en 12 meses; c) ejecuten una transferencia de fondos >= 1.000 €; d) existan sospechas de blanqueo o financiación del terrorismo.

Dice: Los sujetos obligados deberán aplicar medidas de diligencia debida del cliente cuando: a) establezcan una relación de negocios; b) ejecuten una operación ocasional de 10.000 € o más, también si se fracciona; c) participen en la creación de una entidad jurídica o, en el caso de asesores y prestadores de servicios a sociedades, en la transmisión de su propiedad, cualquiera que sea el importe; d) existan sospechas de blanqueo o financiación del terrorismo. En las entidades de crédito y financieras, también en transferencias ocasionales de 1.000 € o más (art. 19).

Decía: El consentimiento prestado por el usuario tendrá una duración máxima de 24 meses, transcurrida la cual el responsable deberá solicitar nuevamente el consentimiento.

Dice: La AEPD considera buena práctica que el consentimiento para cada cookie no dure más de 24 meses y que se renueve antes si cambian las finalidades; no es un límite fijado por la ley.

Decía: Duración del consentimiento · 24 meses

Dice: Duración del consentimiento · buena práctica de 24 meses

Decía: Requisitos: acuerdo de Alcaldía o Pleno según las competencias; cartelería conforme modelo AEPD; conservación máxima 30 días; entrega 72h a FFCC ante incidente.

Dice: Requisitos: acuerdo de Alcaldía o Pleno según las competencias; cartelería conforme modelo AEPD; supresión en el plazo máximo de un mes desde la captación y, si las imágenes deben conservarse para acreditar actos contra la integridad de personas, bienes o instalaciones, puesta a disposición de la autoridad competente en un máximo de 72 horas desde que se conozca la grabación (art. 22.3 LOPDGDD).

Decía: Una brecha retributiva de más del 5 % en cualquier categoría de trabajadores que el empleador no justifique por criterios objetivos y neutros respecto al género es una de las condiciones que activan la evaluación retributiva conjunta del artículo 10, que se realiza con la representación de los trabajadores.

Dice: Una diferencia retributiva media de al menos el 5 % en cualquier categoría de trabajadores, que el empleador no justifique con criterios objetivos y neutros respecto al género ni corrija en los seis meses siguientes al informe, activa la evaluación retributiva conjunta del artículo 10, que se hace con la representación de los trabajadores. Solo afecta a los empleadores obligados a informar sobre la brecha (artículo 9).

Decía: Mientras España no la transponga, no obliga directamente a una empresa privada; el proyecto está en audiencia pública.

Dice: Mientras España no la transponga, no obliga directamente a una empresa privada. El proyecto de real decreto que salió a audiencia pública del 4 al 24 de agosto de 2026 no la regula.

Decía: Una diferencia de más del 5 % en una categoría, no justificada por criterios objetivos, es una de las condiciones que activan una evaluación retributiva conjunta con la representación de los trabajadores.

Dice: Si la diferencia media entre mujeres y hombres llega al 5 % en una categoría, la empresa no la justifica con criterios objetivos y neutros y no la corrige en seis meses, toca una evaluación retributiva conjunta con la representación de los trabajadores. Solo afecta a las empresas obligadas a presentar el informe de brecha.

Decía: proyecto de real decreto que la incorpora está en audiencia pública desde agosto de 2026.

Dice: proyecto de real decreto que modifica el RD 902/2020 salió a audiencia pública del 4 al 24 de agosto de 2026. A 24/09/2026 no está aprobado, y es una transposición parcial: no regula la información salarial a candidatos ni la prohibición de preguntar por el salario anterior.

Decía: VERSIÓN 1.0 · VIGENTE DESDE 18 DE MAYO DE 2026

Dice: VERSIÓN 1.0 · VIGENTE DESDE 18 DE MAYO DE 2026 · CORRECCIONES DEL 25/09/2026

Decía: Estos términos se rigen por la legislación española. Para reclamaciones de consumo, los usuarios pueden acudir a la plataforma europea de resolución de litigios en línea ( ec.europa.eu/consumers/odr ). Jurisdicción: tribunales del domicilio del consumidor.

Dice: Estos términos se rigen por la legislación española. Si eres consumidor, puedes dirigir tu reclamación a o acudir a los servicios de consumo de tu comunidad autónoma o de tu ayuntamiento. Jurisdicción: tribunales del domicilio del consumidor.

Decía: que forma parte integrante de estos términos. Para cuentas de cliente que tratan datos de terceros a través del agente, AIM ÆGIS actúa como encargado del tratamiento bajo Art. 28 RGPD; el contrato de encargo se firma con cada plan Partner y Enterprise.

Dice: que forma parte integrante de estos términos. Cuando el cliente trata a través del servicio datos personales de terceros (por ejemplo, de sus empleados, de sus clientes o de los informantes de su canal de denuncias), AIM ÆGIS actúa como encargado del tratamiento (Art. 28 RGPD), en todos los planes. El contrato de encargo, publicado en /aegis/dpa-modelo , forma parte de estos términos y se acepta con ellos. En los planes Partner y Enterprise puede firmarse, además, un texto negociado.

Decía: AIM ÆGIS es un asistente de cumplimiento normativo europeo basado en un agente IA que razona sobre fuentes

Dice: Estos términos regulan el contrato entre BIOMAG S.L.U. (NIF B01037241, Barratxi 39, Pab. 3, 01013 Vitoria-Gasteiz; ), titular de AIM ÆGIS, y el cliente. AIM ÆGIS es un asistente de cumplimiento normativo europeo basado en un agente IA que razona sobre fuentes

Decía: un agente que razona paso a paso , cita literalmente las fuentes primarias y declara con honestidad lo que no sabe.

Dice: un agente que razona paso a paso , cita las fuentes primarias con su artículo y declara con honestidad lo que no sabe.

Decía: AIM ÆGIS es un producto de BIOMAG S.L.U. (CIF B01037241), empresa industrial española

Dice: AIM ÆGIS es un producto de BIOMAG S.L.U. (NIF B01037241), empresa industrial española

Decía: Los subencargados, con su país y la base de cada transferencia, están en la política de privacidad y en el contrato de encargo.

Dice: Los subencargados, con su país, la base de cada transferencia y lo que queda pendiente, están en la política de privacidad y en el contrato de encargo.

Decía: Modelo firmable. Art. 28 RGPD, con categorías de subencargados, derecho de oposición y aviso de 30 días.

Dice: Forma parte de los términos en todos los planes. Art. 28 RGPD, con categorías de subencargados, derecho de oposición y aviso de 30 días.

Decía: GPS y tacógrafo conforme al Art. 88.

Dice: GPS (Art. 90 LOPDGDD) y tacógrafo (Reglamento (UE) 165/2014).

Decía: Art. 13 + 88 RGPD + ET

Dice: Art. 13 RGPD + Art. 90 LOPDGDD + Art. 20 bis ET + Reglamento (UE) 165/2014

Decía: Información previa y clara (Art. 13) · proporcionalidad · no vigilar fuera de jornada · derechos del trabajador (Art. 88 RGPD + ET).

Dice: Geolocalización (GPS): solo para las funciones de control del art. 20.3 ET, informando antes a los conductores y a sus representantes de forma expresa, clara e inequívoca sobre la existencia y características del sistema y sus derechos (Art. 90 LOPDGDD y Art. 20 bis ET) · proporcionalidad · no vigilar fuera de jornada. Tacógrafo: es obligatorio (Reglamento (UE) 165/2014); la empresa debe formar a los conductores, comprobar su uso, conservar las hojas de registro y los documentos impresos al menos un año y entregar copia al conductor que la pida, también de los datos de su tarjeta (art. 33).

Decía: Cookies y SDKs de analítica o publicidad cargados sin consentimiento válido en la web o la app: una de las inspecciones más frecuentes sobre productos digitales (LSSI Art. 22, hasta 150.000 €).

Dice: Cookies y SDKs de analítica o publicidad cargados sin consentimiento válido en la web o la app: una de las inspecciones más frecuentes sobre productos digitales. Es infracción leve de la LSSI (hasta 30.000 € por infracción, arts. 38.4.g y 39.1.c); pasa a grave, de 30.001 a 150.000 €, si hay reincidencia declarada por resolución firme en los tres años anteriores (art. 38.3.i).

Decía: Rastreadores sin consentimiento en producto digital (LSSI Art. 22)

Dice: Rastreadores sin consentimiento en producto digital (Art. 22.2 LSSI)

Decía: EAA / Ley 11/2023: requisitos de accesibilidad para servicios digitales B2C.

Dice: Ley 11/2023 (transpone la Directiva europea de accesibilidad), exigible desde el 28/06/2025 a determinados servicios para consumidores: comercio electrónico, banca, comunicaciones electrónicas, transporte de viajeros, libros electrónicos, redes sociales, webs y apps de agencias de viajes y de suministros, entre otros (art. 2.2). Las microempresas que prestan servicios están exentas (art. 3.3). Comprueba si tu app entra en alguna de esas categorías.

Decía: Accesibilidad dejó de ser opcional para los servicios digitales de consumo en junio de 2025.

Dice: Desde el 28/06/2025, la Ley 11/2023 exige accesibilidad a determinados servicios para consumidores. ¿Entra tu app?

Decía: Si desarrollas o integras IA, el Reglamento de IA ya marca obligaciones. Si vendes software, el CRA exige seguridad por diseño y gestión de vulnerabilidades. Si tu app la usan consumidores, accesibilidad EAA. Y los datos de tus clientes te convierten en encargado. El cumplimiento nativo del sector digital.

Dice: Si desarrollas o integras IA, el Reglamento de IA ya marca obligaciones. Si vendes software, el CRA exige seguridad por diseño y gestión de vulnerabilidades. Si tu app presta a consumidores alguno de los servicios de la Ley 11/2023 (como el comercio electrónico o la banca), accesibilidad EAA. Y los datos de tus clientes te convierten en encargado. El cumplimiento nativo del sector digital.

Decía: Videovigilancia: la categoría con más reclamaciones ante la AEPD · sanciones de cartel desde 600-1.000 €

Dice: Videovigilancia: la primera categoría de reclamaciones ante la AEPD en 2024 y la segunda en 2025 · sanciones de cartel desde 600-1.000 €

Decía: Cookies web sin consentimiento conforme (Art. 22.2 LSSI + Guía AEPD 2024)

Dice: Cookies web sin consentimiento conforme (Art. 22.2 LSSI + Guía de cookies de la AEPD, mayo 2024)

Decía: Las webs de talleres con formulario de cita, banner de cookies o venta de recambios online se exponen a la misma doctrina de cookies que cualquier comercio: la AEPD sancionó a Techpump Solutions con 90.000 € (PS/00524/2023) por instalar cookies sin consentimiento, y a SEAT con 16.000 € por hacer imposible borrar las aceptadas. Instalar cookies no técnicas antes del consentimiento, o no permitir rechazarlas con la misma facilidad, es la infracción más sancionada del entorno web.

Dice: Las webs de talleres con formulario de cita, banner de cookies o venta de recambios online se exponen a la misma doctrina de cookies que cualquier comercio: la AEPD sancionó a Techpump Solutions con 90.000 € (PS/00524/2023) por instalar cookies sin consentimiento, y abrió expediente a SEAT (PS/00284/2024: multa propuesta de 20.000 €, pagó 12.000 €) por instalar cookies no técnicas antes del consentimiento y no permitir modificarlo durante la navegación. Instalar cookies no técnicas antes del consentimiento, o no permitir rechazarlas con la misma facilidad, es la infracción más sancionada del entorno web.

Decía: Banner conforme Guía AEPD enero 2024 para la web de cita y venta de recambios, con rechazo al mismo nivel que la aceptación.

Dice: Banner conforme a la Guía de cookies de la AEPD (act. mayo 2024) para la web de cita y venta de recambios, con rechazo al mismo nivel que la aceptación.

Decía: Art. 22.2 LSSI-CE + Guía AEPD enero 2024

Dice: Art. 22.2 LSSI-CE + Guía de cookies de la AEPD (act. mayo 2024)

Decía: Art. 22.2 LSSI + Guía AEPD cookies enero 2024 + Art. 13 RGPD

Dice: Art. 22.2 LSSI + Guía de cookies de la AEPD (act. mayo 2024) + Art. 13 RGPD

Decía: ÆGIS revisa que el banner permita rechazar tan fácil como aceptar, sin instalar cookies no técnicas antes del consentimiento (la AEPD multó por esto con 90.000 € a Techpump y 16.000 € a SEAT), que el formulario de cita lleve cláusula Art. 13, y que la venta online tenga checkbox de privacidad. Te genera el banner conforme y los textos.

Dice: ÆGIS revisa que el banner permita rechazar tan fácil como aceptar, sin instalar cookies no técnicas antes del consentimiento (por esto la AEPD multó a Techpump con 90.000 €, y SEAT pagó 12.000 € de una multa propuesta de 20.000 €), que el formulario de cita lleve cláusula Art. 13, y que la venta online tenga checkbox de privacidad. Te genera el banner conforme y los textos.

Decía: La videovigilancia es la causa nº1 de reclamaciones a la AEPD, y un taller vive rodeado de cámaras: la zona de reparación, el parking, la entrada. Súmale los datos del vehículo y del cliente, los peritos de las aseguradoras, los recordatorios de revisión por SMS y la gestoría que lleva las nóminas. ÆGIS razona sobre el cartel, la conservación de 30 días, las matrículas como dato personal, qué ceder al perito y qué proveedor necesita contrato de encargo — y te deja la documentación lista y citada.

Dice: La videovigilancia es una de las categorías con más reclamaciones ante la AEPD (la primera en 2024 y la segunda en 2025, según sus Memorias), y un taller vive rodeado de cámaras: la zona de reparación, el parking, la entrada. Súmale los datos del vehículo y del cliente, los peritos de las aseguradoras, los recordatorios de revisión por SMS y la gestoría que lleva las nóminas. ÆGIS razona sobre el cartel, la conservación de 30 días, las matrículas como dato personal, qué ceder al perito y qué proveedor necesita contrato de encargo — y te deja la documentación lista y citada.

Decía: Ceder grabaciones a terceros sin base jurídica (fuera de requerimiento de autoridad) vulnera el Art. 6 RGPD.

Dice: Ceder grabaciones a terceros sin base jurídica (fuera de la entrega a las Fuerzas y Cuerpos de Seguridad que prevé el Art. 42.4 Ley 5/2014) vulnera el Art. 6 RGPD.

Decía: El cliente es responsable, tú encargada (Art. 28) · cartelería · proporcionalidad · control de accesos · conservación 30 días.

Dice: El cliente es responsable, tú encargada (Art. 28) · cartelería · proporcionalidad · control de accesos · supresión en un mes como máximo (Art. 22.3 LOPDGDD).

Decía: Acceso restringido · log de visualizaciones · cesión solo a autoridad con requerimiento.

Dice: Acceso restringido · log de visualizaciones · las grabaciones solo se usan para su finalidad · si registran hechos delictivos o que afecten a la seguridad ciudadana, se entregan a las Fuerzas y Cuerpos de Seguridad por propia iniciativa o cuando las requieran (Art. 42.4 Ley 5/2014), como máximo en 72 horas desde que se conozca su existencia (Art. 22.3 LOPDGDD) · fuera de esos casos, supresión en un mes como máximo.