Lo que hemos corregido, a la vista

Decía: Tres pilares: (1) presunción legal REBATIBLE de laboralidad cuando los hechos indican dirección y control, con la carga de la prueba en la plataforma (remite a la definición de relación laboral nacional; sin el test automático del proyecto original; no reclasifica automáticamente); (2) gestión algorítmica: transparencia de los sistemas de seguimiento y decisión, supervisión humana, derecho a explicación e impugnación, prohibición de decidir por algoritmo sin intervención humana (p. ej. suspender cuentas) y de tratar datos como el estado emocional, las conversaciones privadas o biométricos predictivos —reglas que cubren a todos los trabajadores y van más allá del Reglamento de IA—; (3) refuerzo de la protección de datos.

Dice: Tres pilares: (1) presunción legal REBATIBLE de laboralidad cuando los hechos indican dirección y control, con la carga de la prueba en la plataforma (remite a la definición de relación laboral nacional; no reclasifica automáticamente); (2) gestión algorítmica: transparencia de los sistemas de seguimiento y decisión, supervisión humana, derecho a explicación e impugnación, y prohibición de tratar con sistemas automatizados datos sobre el estado emocional o psicológico, conversaciones privadas, datos recogidos fuera del trabajo, datos para predecir el ejercicio de derechos o inferir datos sensibles, y datos biométricos para identificar a la persona cotejándolos con una base de datos (art. 7), limitaciones que alcanzan también a los autónomos; (3) refuerzo de la protección de datos.

Decía: Obliga a las empresas de 50 o más personas trabajadoras a elaborar y registrar un plan de igualdad negociado: comisión negociadora paritaria, diagnóstico con auditoría retributiva (RD 902/2020), objetivos y medidas con seguimiento, vigencia máxima de cuatro años e inscripción en el REGCON.

Dice: Obliga a las empresas de 50 o más personas trabajadoras a elaborar y registrar un plan de igualdad negociado: comisión negociadora paritaria, diagnóstico con auditoría retributiva (art. 7 RD 902/2020), objetivos y medidas con seguimiento, vigencia máxima de cuatro años e inscripción en el REGCON (art. 46.5 LO 3/2007). Con 50 o más personas, el registro retributivo debe incluir además la justificación de cualquier diferencia media entre sexos del 25 % o más (art. 28.3 ET).

Decía: Sanciones LISOS + pérdida de ayudas, bonificaciones y contratación pública

Dice: Infracción grave (art. 7.13 LISOS: de 751 a 7.500 €) y, con 50 o más personas, prohibición de contratar con el sector público (art. 71.1.d LCSP)

Decía: Las asesorías, gestorías y despachos son sujetos obligados directos: diligencia debida, identificación del titular real, manual de prevención, representante ante el SEPBLAC, comunicación de operaciones sospechosas y formación. Distinto del paquete UE (AMLR/AMLA, desde 2027).

Dice: Una gestoría o asesoría es sujeto obligado si presta alguno de los servicios del art. 2.1 —lo habitual si lleva contabilidad, asesora en impuestos o constituye o administra sociedades—; una asesoría dedicada solo a lo laboral (nóminas y seguros sociales) no lo es por ese único motivo. Obligaciones: diligencia debida, identificación del titular real, manual de prevención, representante ante el SEPBLAC, comunicación de operaciones sospechosas y formación. Distinto del paquete UE (AMLR/AMLA, desde el 10/07/2027).

Decía: 29/04/2010

Dice: Publicada el 29/04/2010; en vigor desde el 30/04/2010

Decía: Sujetos obligados del Art. 2: asesores fiscales, contables externos y auditores; gestorías y servicios de constitución/administración de sociedades; agentes inmobiliarios; abogados y notarios en ciertas operaciones; comercio con pagos en efectivo ≥10.000 €.

Dice: Sujetos obligados del art. 2.1: auditores, contables externos y asesores fiscales; quienes constituyen, administran o domicilian sociedades; agentes inmobiliarios; notarios y registradores; abogados y otros profesionales independientes cuando intervienen en determinadas operaciones; comerciantes de joyas, metales preciosos, arte y antigüedades. Quien comercia con otros bienes queda sujeto a algunas obligaciones si cobra o paga en efectivo más de 10.000 € a personas físicas no residentes (art. 38).

Decía: Plazo de transposición: 07/06/2026, vencido sin norma española (a 21/09/2026, proyecto de real decreto en audiencia pública); hasta entonces no obliga directamente a una empresa privada. En España conviven con el RD 902/2020 y el plan de igualdad ya vigentes.

Dice: Plazo de transposición: 07/06/2026, vencido sin norma española nueva. A 25/09/2026, el proyecto de real decreto que modifica el RD 902/2020 salió a audiencia pública del 04/08/2026 al 24/08/2026 y no está aprobado; es una transposición parcial que no regula la información salarial a candidatos ni la prohibición de preguntar por el salario anterior. Hasta que se transponga, la directiva no obliga directamente a una empresa privada. En España rigen el art. 28 del ET, el RD 902/2020 (registro retributivo para todas las empresas) y el plan de igualdad.

Decía: Dir. (UE) 2023/970

Dice: Art. 28 ET · RD 902/2020 · Dir. (UE) 2023/970 (sin transponer a 25/09/2026)

Decía: Empresas con personas trabajadoras. Informe de brecha (primer informe 07/06/2027 sobre datos de 2026): ≥250 anual; 150-249 cada tres años; 100-149 desde 2031 cada tres años. Transparencia pre-empleo y registro retributivo: todas las empresas.

Dice: A 25/09/2026, todas las empresas: registro retributivo (art. 28.2 ET y RD 902/2020); las que deben tener plan de igualdad, además, auditoría retributiva. Cuando se transponga la directiva: transparencia antes del empleo en todas las empresas e informe de brecha retributiva (250 o más personas, cada año desde el 07/06/2027; 150-249, cada tres años desde el 07/06/2027; 100-149, cada tres años desde el 07/06/2031).

Decía: Refuerzo europeo de ciberseguridad. Amplía el alcance de NIS de ~400 a ~160.000 entidades en la UE. España transpuso parcialmente vía RD-ley 7/2025. Primeras auditorías 30/06/2026.

Dice: Refuerzo europeo de ciberseguridad que amplía los sectores y las entidades obligadas respecto de la primera Directiva NIS. España no la ha transpuesto, ni total ni parcialmente: el plazo venció el 17/10/2024 y, a 25/09/2026, solo hay un anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (aprobado en primera vuelta el 14/01/2025) que no ha llegado a las Cortes. En julio de 2026 la Comisión decidió llevar a España ante el Tribunal de Justicia de la UE. Mientras tanto rige el RD-ley 12/2018 (primera Directiva NIS) para operadores de servicios esenciales y proveedores de servicios digitales. El Real Decreto-ley 7/2025 no tiene relación con NIS2: trataba del sistema eléctrico y quedó derogado al no ser convalidado. No hay fecha legal de «primeras auditorías» NIS2 en España.

Decía: Dir. (UE) 2022/2555 · RD-ley 7/2025

Dice: Dir. (UE) 2022/2555 (sin transponer en España a 25/09/2026) · RD-ley 12/2018 (vigente)

Decía: Transposición · 17/10/2024 (España: parcial) Listado de entidades · 17/04/2025 Primeras auditorías · 30/06/2026

Dice: Plazo de transposición · 17/10/2024 (España: sin transponer a 25/09/2026) Lista de entidades esenciales e importantes que debían elaborar los Estados · 17/04/2025

Decía: 10 M€ o 2 % de la facturación (esenciales) · 7 M€ o 1,4 % (importantes)

Dice: La Directiva exige que la ley nacional prevea multas máximas de al menos 10 M€ o el 2 % del volumen de negocios mundial (esenciales) y de al menos 7 M€ o el 1,4 % (importantes) (art. 34). A 25/09/2026 rige el RD-ley 12/2018: hasta 1.000.000 € (art. 37)

Decía: 17/10/2024 (transposición)

Dice: En vigor desde el 16/01/2023 · plazo de transposición: 17/10/2024 (España: sin transponer a 25/09/2026)

Decía: INCIBE-CERT · CCN-CERT

Dice: Pendiente de la ley española de transposición. En el régimen vigente (RD-ley 12/2018), INCIBE-CERT y CCN-CERT son los CSIRT de referencia

Decía: Inspección de Trabajo y Seguridad Social

Dice: Secretaría de Estado de Transportes y Movilidad Sostenible (Ministerio de Transportes y Movilidad Sostenible), que sanciona las infracciones leves y graves (art. 110 de la Ley 9/2025)

Decía: 5 M€ o 12,5 % de la facturación anual (personas jurídicas) · 700.000 € (personas físicas)

Dice: Mínimos que cada Estado debe prever (art. 111): personas jurídicas, 5 M€ o el 3 %, 5 % o 12,5 % del volumen de negocios según la infracción; personas físicas, al menos 700.000 €; o el doble del beneficio obtenido

Decía: Exige evaluación de riesgos, declaración UE de conformidad y marcado CE, e incorpora como gran novedad los riesgos de IA, la ciberseguridad del software y la conexión en red de las máquinas.

Dice: Exige evaluación de riesgos, declaración UE de conformidad y marcado CE, y obliga a tener en cuenta en el diseño las funciones de seguridad con inteligencia artificial, la ciberseguridad de los sistemas de control y la conexión en red. Desde el Reglamento (UE) 2026/1744 (en vigor el 27/07/2026), los sistemas de IA de alto riesgo que actúan como componentes de seguridad de máquinas se regulan por el propio Reglamento de Máquinas: la Comisión añadirá requisitos a su anexo III mediante actos delegados (aplicables a más tardar el 02/08/2028).

Decía: Obligación de designar un Delegado o Delegada de Protección en toda entidad con actividades habituales con menores, junto con protocolos de actuación frente a la violencia, certificación negativa del Registro Central de Delincuentes Sexuales de todo el personal y voluntariado, y el deber cualificado de comunicación. Es una obligación ampliamente desatendida.

Dice: La figura de protección depende del tipo de entidad. Los centros educativos con alumnado menor de edad deben tener un Coordinador o Coordinadora de bienestar y protección (art. 35). Las entidades que hacen de forma habitual actividades deportivas o de ocio con menores deben designar un Delegado o Delegada de protección y aplicar los protocolos que aprueben las administraciones (art. 48). Toda entidad cuyo personal o voluntariado tenga contacto habitual con menores debe exigir la certificación negativa del Registro Central de Delincuentes Sexuales y de Trata (art. 57), y todos tienen el deber cualificado de comunicar las situaciones de violencia.

Decía: Sanciones administrativas por incumplimiento del deber de comunicación

Dice: Emplear en actividades con menores a personas con antecedentes: infracción muy grave (art. 8.19 LISOS: de 7.501 a 225.018 €). El resto de incumplimientos del art. 57 los sanciona la ley autonómica (art. 59 LOPIVI)

Decía: Ministerio de Derechos Sociales · CCAA

Dice: Comunidades autónomas (protocolos, inspección y sanción) · Ministerio de Juventud e Infancia · Inspección de Trabajo (art. 8.19 LISOS)

Decía: LO 7/2025 sobre Inteligencia Artificial en el Empleo

Dice: IA en el empleo

Decía: Primera norma nacional específica sobre el uso de IA en las relaciones laborales. Obliga a transparencia algorítmica, derecho de información a la persona trabajadora y a la representación legal, evaluación de impacto y supervisión humana significativa de las decisiones. Se articula con el AI Act para los sistemas de alto riesgo.

Dice: No existe una «Ley Orgánica 7/2025» sobre IA en el empleo. A 25/09/2026, el uso de IA para decidir sobre la plantilla se rige por normas que ya estaban en vigor: el art. 64.4.d del Estatuto de los Trabajadores (la representación legal tiene derecho a ser informada de los parámetros, reglas e instrucciones de los algoritmos, desde el 12/08/2021); el RGPD (información sobre la lógica aplicada, límites a las decisiones basadas únicamente en tratamiento automatizado del art. 22 y evaluación de impacto del art. 35); y el Reglamento europeo de IA (alfabetización del art. 4 y prácticas prohibidas del art. 5, como inferir emociones en el trabajo, desde el 02/02/2025; obligaciones de alto riesgo en el empleo, incluida la información previa a representantes y trabajadores del art. 26.7, desde el 02/12/2027). El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096) está en el Congreso, con plazo de enmiendas hasta el 30/09/2026: no está aprobado y su contenido puede cambiar.

Decía: LO 7/2025

Dice: Art. 64.4.d ET · Arts. 22 y 35 RGPD · Reglamento (UE) 2024/1689 · Proyecto de LO 121/000096 (en tramitación)

Decía: (no figuraba: se añade)

Dice: Alfabetización (art. 4) y prácticas prohibidas (art. 5) del Reglamento de IA · 02/02/2025 Plazo de enmiendas del Proyecto de LO 121/000096 · hasta el 30/09/2026 (puede ampliarse) Alto riesgo en el empleo del Reglamento de IA (anexo III; información previa del art. 26.7) · 02/12/2027

Decía: Sanciones administrativas LISOS + responsabilidad civil

Dice: No hay régimen propio. Según la norma incumplida: LISOS (derechos de información de la representación, art. 7.7: infracción grave, de 751 a 7.500 €), RGPD (hasta 20 M€ o el 4 % del volumen de negocio mundial, si es mayor, art. 83.5) y Reglamento de IA (art. 99)

Decía: (no figuraba: se añade)

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2015-11430#a64

Decía: 2025

Dice: Sin ley específica. Art. 64.4.d ET desde el 12/08/2021; RGPD desde el 25/05/2018; Reglamento de IA por fases (02/02/2025 y, para el alto riesgo en el empleo, 02/12/2027)

Decía: Inspección de Trabajo y Seguridad Social

Dice: Inspección de Trabajo y Seguridad Social (ET) · AEPD (RGPD) · AESIA (Reglamento de IA)

Decía: Empresas que utilicen sistemas de IA para decisiones laborales (selección, evaluación, control).

Dice: Empresas que usan sistemas de IA o algoritmos para decidir sobre su plantilla o sus candidatos (selección, evaluación, asignación de tareas, control).

Decía: Titulares o explotadores de instalaciones de riesgo (ACS con acumulador, torres de refrigeración, jacuzzis, piscinas climatizadas, fuentes ornamentales, riego por aspersión): hoteles, gimnasios, residencias, centros sanitarios, balnearios y comunidades con esas instalaciones.

Dice: Titulares o explotadores de instalaciones que usan agua y pueden generar aerosoles: sistemas de agua sanitaria (caliente y fría), torres de refrigeración, humidificadores, sistemas de agua contra incendios, bañeras y vasos de hidromasaje, piscinas climatizadas con chorros, fuentes ornamentales, riego por aspersión, túneles de lavado de vehículos y equipos dentales con agua a presión, entre otras (anexo I). Quedan fuera las de edificios de uso exclusivo de vivienda que no afecten al exterior.

Decía: Acredita el estado de conservación, las condiciones básicas de accesibilidad universal y el grado de eficiencia energética del edificio. Es obligatorio, con carácter general, para los edificios residenciales de vivienda colectiva con más de 50 años, y siempre que se soliciten ayudas públicas de rehabilitación; en régimen de propiedad horizontal la obligación recae en la comunidad de propietarios, y la periodicidad habitual es de diez años. IMPORTANTE: el Tribunal Constitucional anuló los apartados de desarrollo estatal por competencia autonómica, de modo que el registro, el modelo y los plazos concretos los fija la normativa de cada comunidad autónoma o ayuntamiento (debe comprobarse la normativa local). Están exentos los edificios con expediente de declaración de ruina iniciado.

Dice: Acredita el estado de conservación, la accesibilidad y la eficiencia energética del edificio. No hay ya un calendario estatal: la STC 143/2017 anuló los preceptos que lo exigían a los edificios de más de 50 años y fijaban su renovación cada diez años. La obligación, la antigüedad que la activa, los plazos y la renovación dependen de la norma de cada comunidad autónoma y de las ordenanzas municipales (en la Comunidad de Madrid, por ejemplo, se exige a los edificios de vivienda colectiva de más de 50 años y a los que pidan ayudas, Decreto 103/2016), y los programas de ayudas suelen exigirlo en sus bases. En régimen de propiedad horizontal la obligación recae en la comunidad de propietarios. Algunas normas autonómicas excluyen los edificios ya declarados en ruina; tener un expediente de ruina iniciado no exime por sí solo.

Decía: Régimen de las fundaciones (Ley 50/2002): organizaciones sin ánimo de lucro cuyo patrimonio está afectado de modo duradero a la realización de fines de interés general. Se constituyen por escritura pública con la dotación inicial (adecuada y suficiente; se presume suficiente con 30.000 euros) y los estatutos, y adquieren personalidad jurídica con la inscripción en el Registro de Fundaciones (los patronos deben instar la inscripción en los seis meses siguientes a la escritura). El órgano de gobierno es el Patronato (mínimo tres patronos, con presidente y secretario obligatorio), supervisado por el Protectorado. Obligaciones del art. 25: contabilidad ordenada, cuentas anuales aprobadas por el Patronato en el plazo máximo de seis meses desde el cierre del ejercicio y presentadas al Protectorado (auditoría externa si concurren las circunstancias de tamaño), y plan de actuación remitido al Protectorado en los últimos tres meses de cada ejercicio. Debe destinarse al menos el 70 % de las rentas a los fines fundacionales (art.

Dice: Régimen de las fundaciones (Ley 50/2002): organizaciones sin ánimo de lucro cuyo patrimonio está afectado de modo duradero a fines de interés general. La Ley 50/2002 regula íntegramente las fundaciones de competencia estatal; para las de ámbito autonómico solo se aplican sus preceptos básicos o generales (disposición final primera), y el resto (Patronato, cuentas, plan de actuación, destino de rentas) lo fija la ley de fundaciones de cada comunidad: antes de fijar obligaciones hay que comprobar qué ley y qué Protectorado corresponden. En las estatales: escritura pública con dotación (se presume suficiente con 30.000 €) e inscripción en el Registro de Fundaciones; Patronato de al menos tres patronos; cuentas anuales aprobadas en seis meses desde el cierre y presentadas al Protectorado; plan de actuación en los últimos tres meses del ejercicio; y destino de al menos el 70 % de las rentas a los fines fundacionales (art.

Decía: La factura electrónica entre empresas y profesionales pasa a ser obligatoria: formato estructurado conforme a la norma EN16931, doble vía (plataformas privadas y solución pública gratuita de la AEAT) y comunicación obligatoria de los estados y del pago efectivo, ligada a la lucha contra la morosidad. Distinta de Verifactu (software antifraude). Exigible al activarse la orden ministerial.

Dice: La factura electrónica entre empresas y profesionales pasa a ser obligatoria: formato estructurado conforme a la norma EN16931, doble vía (plataformas privadas y solución pública gratuita de la AEAT) y comunicación obligatoria del pago efectivo completo o del rechazo a la solución pública, ligada a la lucha contra la morosidad. Distinta de Verifactu (software antifraude). Exigible 12 meses (volumen de operaciones superior a 8 M€) o 24 meses (resto) después de la entrada en vigor de la orden ministerial de la solución pública, que a 25/09/2026 no se ha publicado.

Decía: Hasta 10.000 € (régimen sancionador de la Ley 18/2022)

Dice: Apercibimiento o multa de hasta 10.000 € a las empresas obligadas que no ofrezcan recibir facturas electrónicas (art. 2 bis.9 Ley 56/2007, redactado por la Ley 18/2022); no hay un régimen específico para cada incumplimiento B2B

Decía: 31/03/2026 (RD 238/2026; aplicación diferida)

Dice: Publicado el 31/03/2026 y en vigor desde el 20/04/2026 (RD 238/2026); aplicación diferida a 12 o 24 meses desde la orden ministerial, no publicada a 25/09/2026

Decía: Agencia Estatal de Administración Tributaria (AEAT)

Dice: Secretaría de Estado de Digitalización e Inteligencia Artificial (sanciones) · AEAT (solución pública de facturación)

Decía: Empresarios y profesionales que facturen a otros empresarios o profesionales (B2B) con sede en España, salvo facturas simplificadas. Calendario: 12 meses (volumen > 8 M€) y 24 meses (resto) desde la orden ministerial.

Dice: Empresarios y profesionales que facturen a otros empresarios o profesionales con sede, establecimiento permanente o domicilio en España. Quedan fuera las facturas simplificadas, salvo las simplificadas cualificadas (con NIF y domicilio del destinatario), y las ventas a consumidores. Calendario: 12 meses (volumen > 8 M€) y 24 meses (resto) desde la orden ministerial.

Decía: En vigor desde el 18/07/2024, pero los requisitos concretos se fijan por grupo de producto mediante actos delegados: el primer Plan de Trabajo 2025-2030 prioriza textil y calzado, mobiliario y colchones, neumáticos, hierro y acero, y aluminio (entre otros), con actos escalonados 2026-2030. Herramienta central: el Pasaporte Digital de Producto (DPP), obligatorio por grupo según cada acto delegado (primeras oleadas hacia 2027). Obligación con fecha cierta: prohibición de destruir textil y calzado no vendido por grandes empresas desde el 19/07/2026. Incluye también criterios de compra pública verde.

Dice: En vigor desde el 18/07/2024, pero los requisitos concretos se fijan por grupo de producto mediante actos delegados. El primer Plan de Trabajo 2025-2030 (COM(2025) 187) prioriza textiles y en especial prendas (adopción orientativa 2027), mobiliario (2028), neumáticos (2027) y colchones (2029), y como productos intermedios hierro y acero (2026) y aluminio (2027), además de requisitos horizontales de reparabilidad y reciclabilidad de aparatos eléctricos y electrónicos; el plan no incluye detergentes, pinturas y lubricantes, y para el calzado y los productos químicos solo encarga estudios. Herramienta central: el Pasaporte Digital de Producto (DPP), obligatorio por grupo según cada acto delegado. Obligación con fecha cierta: prohibición de destruir textil y calzado no vendido por grandes empresas desde el 19/07/2026.

Decía: Régimen del consentimiento para cookies en España, conforme a la LSSI y a la Guía de cookies de la AEPD (tratada de facto como vinculante): el consentimiento debe ser libre, específico, informado e inequívoco; rechazar debe ser tan fácil como aceptar; los muros de cookies no son conformes salvo el modelo «consentimiento o pago»; vigencia máxima de 24 meses.

Dice: Régimen del consentimiento para cookies en España, conforme a la LSSI y a la Guía de cookies de la AEPD: el consentimiento debe ser libre, específico, informado e inequívoco; rechazar debe ser tan fácil como aceptar; los muros de cookies no son conformes salvo el modelo «consentimiento o pago»; la AEPD considera buena práctica que el consentimiento no dure más de 24 meses. La propuesta de Reglamento ePrivacy fue retirada (DO C/2025/5423): sigue rigiendo la Directiva 2002/58/CE a través de la LSSI.

Decía: Hasta 150.000 € (LSSI Art. 38) · las multas del RGPD pueden aplicar de forma concurrente

Dice: Infracción leve, hasta 30.000 € (arts. 38.4.g y 39.1.c LSSI); grave solo por reincidencia declarada en firme en tres años, de 30.001 a 150.000 € (art. 38.3.i). Si además hay tratamiento ilícito de datos, puede aplicarse el RGPD

Decía: LSSI 12/07/2002 · Guía AEPD vigente (2023)

Dice: LSSI en vigor desde el 12/10/2002 · Guía de cookies de la AEPD (versión vigente)

Decía: Marco de seguridad obligatorio para el sector público español. Categoriza sistemas en Básica, Media y Alta. Imprescindible para vender a AAPP. 75+ medidas de control.

Dice: Marco de seguridad obligatorio para el sector público español y para los proveedores privados que le prestan servicios (art. 2.3). Categoriza los sistemas en Básica, Media y Alta. Imprescindible para vender a las administraciones. El anexo II recoge 73 medidas de seguridad: 4 del marco organizativo, 33 del marco operacional y 36 medidas de protección.

Decía: 04/05/2022

Dice: 05/05/2022 (publicado en el BOE el 04/05/2022)

Decía: RGPD: hasta 10 M€ o el 2 % de la facturación anual mundial (nivel inferior)

Dice: RGPD: hasta 10 M€ o, en empresas, el 2 % de la facturación anual mundial, si es mayor (art. 83.4)

Decía: NO es exigible aún: aplicación progresiva con disposiciones generales desde el 26/03/2027, primera ola de datos desde 2029 y segunda ola desde 2031; estamos en periodo transitorio.

Dice: En vigor desde el 25/03/2025 y aplicable, con carácter general, desde el 26/03/2027; el uso primario y secundario de la primera ola de datos, desde 2029, y la segunda ola, desde 2031.

Decía: Régimen sancionador nacional (pendiente de los actos de ejecución)

Dice: Autoridades de protección de datos: hasta los importes del art. 83.5 RGPD (art. 22); organismos de acceso a datos de salud: hasta 10 M€ o el 2 %, o 20 M€ o el 4 % del volumen de negocios mundial (art. 64); cada Estado fija el resto antes del 26/03/2027 (art. 99)

Decía: Aplicable desde el 26/03/2027, con fases en 2029 y 2031 (en vigor desde el 26/03/2025; art. 105)

Dice: En vigor desde el 25/03/2025; aplicable con carácter general desde el 26/03/2027, con fases en 2029 y 2031 (art. 105)

Decía: Sector salud: prestadores de asistencia sanitaria (hospitales, clínicas, centros, farmacias), fabricantes de sistemas de historia clínica electrónica (EHR) y quienes reutilizan datos de salud (uso secundario). No aplica fuera del sector salud.

Dice: Sobre todo, sector salud: prestadores de asistencia sanitaria, fabricantes de sistemas de historia clínica electrónica (EHR) y quienes reutilizan datos de salud (uso secundario). También son tenedores de datos de salud quienes desarrollan productos o servicios para el sector sanitario o aplicaciones de bienestar y quienes investigan en salud, con exenciones para personas físicas y microempresas (art. 2).

Decía: Hasta 600.000 € en España

Dice: La de la legislación sectorial y, supletoriamente, la del texto refundido de derechos de las personas con discapacidad: hasta 1.000.000 € en infracciones muy graves (art. 30 Ley 11/2023; art. 96 RDLeg 1/2013)

Decía: Ministerio de Derechos Sociales · OADIS

Dice: Autoridades de vigilancia designadas por cada comunidad autónoma (art. 27 Ley 11/2023) · coordinación estatal: Dirección General de Derechos de las Personas con Discapacidad (RD 143/2026)

Decía: Productos y servicios digitales al consumidor: comercio electrónico, banca, transporte de pasajeros, libros electrónicos, equipos informáticos de consumo. Prestadores de servicios con ≥10 personas y >2 M€ (microempresas de servicios exentas).

Dice: Productos y servicios digitales al consumidor: comercio electrónico, banca, transporte de pasajeros, libros electrónicos, equipos informáticos de consumo. Están exentas las microempresas que prestan servicios (menos de 10 personas y volumen de negocios o balance anual de hasta 2 M€); la exención no alcanza a fabricantes ni importadores de productos.

Decía: Comisión Europea · CNMC (coordinador de servicios digitales en España)

Dice: Comisión Europea (plataformas y buscadores de muy gran tamaño) · CNMC, designada coordinador de servicios digitales, sin competencias legales atribuidas desde la derogación del RD-ley 9/2024 (la Comisión llevó a España al TJUE el 07/05/2025)

Decía: Hasta 1 % facturación diaria · 10 % anual para CTPPs

Dice: Entidades financieras: las sanciones que fije la normativa española de aplicación (art. 50). Proveedores TIC esenciales: multas coercitivas diarias de hasta el 1 % de su volumen de negocios diario medio mundial, durante un máximo de seis meses (art. 35)

Decía: El documento debe existir en formato digital antes del trayecto, ser autentificable e íntegro (PDF/A y código QR).

Dice: Sus características técnicas las fija la Resolución de 05/06/2026 de la Dirección General de Transporte por Carretera y Ferrocarril (BOE de 12/06/2026), que sustituye a la de 22/05/2023: fichero PDF generado de forma nativa digital (no escaneado) de no más de 5 MB, con un código QR con una URL única; se crea antes de iniciar el servicio y se conserva al menos un año. La firma no es obligatoria; si se firma porque también tiene finalidad contractual, como mínimo con firma electrónica avanzada.

Decía: https://www.boe.es/buscar/act.php?id=BOE-A-2025-24544

Dice: https://www.boe.es/buscar/act.php?id=BOE-A-2025-24545

Decía: RGPD: hasta 10 M€ o el 2 % de la facturación; LOPDGDD: infracción por no comunicar/publicar

Dice: RGPD: hasta 10 M€ o, en empresas, el 2 % de la facturación, si es mayor (art. 83.4); LOPDGDD: infracción por no comunicar o publicar

Decía: Aplicable desde el 12/09/2025.

Dice: Aplicable desde el 12/09/2025; la obligación de diseñar los productos para que los datos sean accesibles por defecto (art. 3.1) solo afecta a los introducidos en el mercado después del 12/09/2026.

Decía: 20 M€ o 4 % de la facturación (régimen sancionador nacional)

Dice: La fija cada Estado (art. 40). Solo cuando la infracción de los capítulos II, III o V afecta a datos personales, las autoridades de protección de datos pueden imponer multas de hasta 20 M€ o el 4 % del volumen de negocios mundial (art. 40.4 y art. 83.5 RGPD)

Decía: Su uso es voluntario desde la campaña 2024-2025 y la obligatoriedad se escalonó (RD 34/2025): el registro de tratamientos fitosanitarios puede llevarse en papel hasta el 31/12/2026 (RD 1039/2025), debe ser digital desde el 1/1/2027 y el cuaderno completo —nutrición sostenible y PAC— será obligatorio desde el 1/1/2028 por umbrales. Vinculado a la condicionalidad de la PAC y alineado con el Reg. (UE) 2023/564 sobre registros de fitosanitarios.

Dice: Su uso es voluntario desde la campaña 2024-2025. El Reglamento de Ejecución (UE) 2023/564 exigía registros electrónicos de fitosanitarios desde el 01/01/2026, pero el Reglamento de Ejecución (UE) 2025/2203 permitió aplazarlo y España lo hizo con el RD 1039/2025: en el ámbito agrario, el registro de tratamientos puede llevarse en papel hasta el 31/12/2026 y debe ser electrónico desde el 01/01/2027. El cuaderno completo (nutrición sostenible y PAC) será obligatorio a partir del siguiente periodo de programación de la PAC (previsiblemente desde 2028, pendiente de la normativa europea) para las explotaciones que superen los umbrales del RD 34/2025. Vinculado a la condicionalidad de la PAC.