Para entenderlo, conviene empezar por una idea sencilla. En nuestra vida cotidiana confiamos constantemente en intermediarios. Un banco confirma que una transferencia se ha realizado. Un notario da fe de un documento. Un registro acredita quién es titular de un derecho, etc.

Blockchain propone otra arquitectura. La información no se conserva en un único servidor controlado por una entidad, sino que se replica entre distintos participantes de una red. Cada nueva operación debe ser validada conforme a unas reglas previamente definidas. Una vez incorporada, su modificación resulta extraordinariamente difícil, por no decir imposible.

Por eso se suele decir que blockchain es una tecnología de confianza. No porque elimine la necesidad de confiar, sino porque cambia el lugar donde depositamos esa confianza. Ya no confiamos únicamente en una institución. Confiamos también en la criptografía, en el código, en el mecanismo de consenso y en todas aquellas personas que participan en la red.

Pero que una red sea descentralizada no significa que carezca de reglas.

Toda blockchain necesita decidir quién puede participar, quién valida las operaciones, cómo se actualiza el sistema, qué ocurre cuando existe un error y quién resuelve los conflictos. En otras palabras, necesita gobernanza (como en cualquier otro momento de la historia humana, por eso nacen las leyes).

La gobernanza es el conjunto de reglas y procedimientos que determinan cómo se toman las decisiones dentro de una organización o de una red. En una empresa tradicional, estas decisiones corresponden a los administradores, a la junta de socios o a los órganos directivos. En una blockchain, el poder puede estar distribuido entre desarrolladores, validadores, usuarios, titulares de tokens o entidades promotoras.

La pregunta esencial es muy sencilla: ¿quién manda cuando aparentemente nadie manda?

En Bitcoin, por ejemplo, intervienen distintos grupos. Los desarrolladores crean y mantienen el software. Los mineros validan las operaciones y protegen la red. Los usuarios deciden si utilizan o no determinadas versiones del sistema. Ninguno controla por completo la blockchain, pero todos ejercen algún tipo de influencia.

La estabilidad de la red depende del equilibrio entre esos participantes. Si los desarrolladores introducen un cambio que los mineros o los usuarios rechazan, el sistema puede dividirse. Si determinados validadores concentran demasiado poder, la descentralización puede quedarse más cerca de un eslogan que de una realidad.

La gobernanza puede desarrollarse dentro o fuera de la propia blockchain.

Hablamos de gobernanza off-chain cuando las decisiones se adoptan mediante reuniones, foros, fundaciones, empresas o comunidades de desarrolladores. Posteriormente, esas decisiones se trasladan al código.

La gobernanza on-chain, en cambio, incorpora los procedimientos de decisión a la propia red. Los participantes pueden votar mediante tokens y los resultados pueden ejecutarse automáticamente a través de contratos inteligentes.

Sobre el papel, este sistema parece muy democrático. Sin embargo, también plantea problemas. Si el poder de voto depende del número de tokens, quien más activos posee puede tener mayor capacidad de decisión. Sería una democracia peculiar: una persona, un voto, salvo que alguien tenga un millón de votos en la cartera digital.

Otro concepto esencial es el consenso. Una blockchain necesita un mecanismo para determinar qué transacciones son válidas y qué bloque debe añadirse a la cadena.

Bitcoin utiliza la prueba de trabajo o Proof of Work. Los participantes compiten mediante capacidad computacional para validar nuevos bloques. Es un sistema muy seguro, aunque tiene un elevado consumo energético.

Otras redes utilizan la prueba de participación o Proof of Stake. En este modelo, la capacidad de validar operaciones depende de los activos que cada participante mantiene comprometidos en la red. El consumo energético es menor, pero puede favorecer la concentración de poder en quienes poseen más tokens.

Por tanto, el algoritmo de consenso no es solo una decisión técnica. También es una decisión política y económica. Determina quién puede participar, quién obtiene recompensas y cómo se distribuye el poder dentro de la red.

La inmutabilidad es otra de las características más conocidas de blockchain. Una vez registrada la información, alterarla resulta muy complicado. Esto aporta seguridad, trazabilidad y capacidad de auditoría. Pero también genera importantes problemas jurídicos.

¿Qué sucede si el dato registrado es incorrecto? ¿Cómo se rectifica? ¿Qué ocurre cuando contiene información personal? ¿Cómo se ejerce el derecho de supresión si el sistema está diseñado precisamente para impedir que los datos desaparezcan?

La tecnología puede afirmar que un registro es inmutable, pero el Derecho sigue exigiendo mecanismos para corregir errores, proteger derechos y reparar daños.

Uno de los casos más conocidos fue el de The DAO, una organización descentralizada creada sobre Ethereum. Un fallo en su código permitió desviar una enorme cantidad de activos digitales. La comunidad tuvo que decidir entre respetar la inmutabilidad de la cadena o modificarla para revertir los efectos del ataque.

Finalmente, la red se dividió en dos: Ethereum y Ethereum Classic.

El caso demuestra algo esencial. Incluso en los sistemas supuestamente gobernados por el código, las personas siguen tomando decisiones. Cuando aparece un conflicto grave, la comunidad debe interpretar qué solución resulta más adecuada. El código no elimina la política, la gobernanza ni el Derecho.

También surgen importantes dudas sobre la responsabilidad. Si un contrato inteligente contiene un error, ¿responde el programador? ¿La empresa que lo utilizó?

La respuesta dependerá de la estructura concreta del proyecto y de la función de cada participante. No es lo mismo desarrollar una herramienta experimental que ofrecer un servicio profesional a consumidores. Tampoco es igual publicar código abierto que diseñar una solución para gestionar activos de terceros.

La descentralización dificulta identificar responsables, pero no convierte el daño en jurídicamente invisible.

Otro problema es la jurisdicción. Una red puede tener usuarios, desarrolladores y validadores distribuidos por decenas de países. Determinar qué ley se aplica y qué tribunal es competente puede convertirse en una tarea considerable.

La blockchain no tiene domicilio social, pero sus participantes sí. Los contratos, las empresas y los usuarios siguen operando dentro de sistemas jurídicos concretos. La tecnología puede ser global, pero la responsabilidad continúa siendo territorial.

Los contratos inteligentes también merecen una explicación, aunque sea en un párrafo. Un smart contract no es necesariamente un contrato en sentido jurídico. Es un programa que ejecuta automáticamente determinadas instrucciones cuando se cumplen unas condiciones. Puede realizar un pago, transferir un activo o bloquear el acceso a un servicio. Sin embargo, el contrato jurídico sigue siendo el acuerdo de voluntades entre las partes. El código puede ejecutar ese acuerdo, pero no siempre puede interpretarlo. ¿Qué sucede si existe fuerza mayor? ¿Y si una cláusula es abusiva? ¿Qué ocurre si una de las partes actuó por error o si el resultado automático contradice la buena fe? El resultado puede salir caro.

Desde la perspectiva de la protección de datos, blockchain plantea dificultades especialmente relevantes. El Reglamento General de Protección de Datos exige identificar al responsable del tratamiento, definir una finalidad, minimizar los datos y garantizar el ejercicio de derechos. En una red pública y descentralizada puede ser difícil determinar quién decide realmente sobre el tratamiento. Además, la replicación de la información entre numerosos nodos puede implicar transferencias internacionales y una pérdida de control sobre los datos. Por ello, la solución más prudente suele consistir en evitar el almacenamiento directo de datos personales en la cadena. Es preferible guardar fuera de ella la información identificativa e incorporar únicamente referencias, identificadores o huellas criptográficas. La inmutabilidad no debe convertirse en una excusa para incumplir la normativa.

En definitiva, la gran lección es que blockchain no elimina la gobernanza. La transforma. En lugar de depender de un único intermediario, el poder se distribuye entre distintos participantes. Pero ese reparto debe analizarse con cuidado. Una red puede presentarse como descentralizada y estar controlada en la práctica por unos pocos desarrolladores, validadores o grandes titulares de tokens.

La pregunta correcta no es solo si una blockchain está descentralizada. La pregunta es quién puede cambiar las reglas, quién controla la infraestructura, quién obtiene los beneficios y quién asume las consecuencias cuando algo falla.

Blockchain puede aportar trazabilidad, automatización y eficiencia. Pero no sustituye la responsabilidad, la supervisión ni la seguridad jurídica. El reto no consiste en elegir entre tecnología y Derecho, sino en diseñar sistemas en los que ambos funcionen juntos.

Porque, incluso cuando confiamos en el código, no podemos olvidar que alguien lo ha escrito, alguien decide cuándo modificarlo y alguien deberá responder si las cosas salen mal.

La entrada Todo lo que debes saber para entender Blockchain se publicó primero en Abogado Digital en Sevilla.

Hasta que aquello que parecía entretenimiento empieza a parecerse demasiado a una dependencia.

Esto ya no es solo una preocupación de padres, psicólogos o profesores. Ahora también es un asunto de jueces. Y eso cambia bastante el tablero.

Una sentencia dictada en Los Ángeles ha declarado responsables a Meta y YouTube por el diseño adictivo de sus plataformas y por los daños causados a la salud mental de una joven usuaria desde que era menor de edad. El fallo fija una indemnización de entre 3 y 6 millones de dólares, repartida entre ambas compañías.

La noticia no es menor. No estamos hablando únicamente de una usuaria que pasaba demasiado tiempo en internet. Estamos hablando de si las grandes plataformas digitales diseñan deliberadamente sus servicios para retener la atención de menores, aun sabiendo que esa retención puede generar perjuicios reales.

Dicho de forma sencilla: una cosa es que una aplicación guste, y otra muy distinta es que esté pensada para que no puedas soltarla.

El caso ha sido calificado por algunos expertos como el posible “momento tabaco” de las redes sociales. Y la comparación no es casual. Durante años, la industria tabaquera defendió que el consumidor elegía libremente fumar. Hasta que los tribunales empezaron a mirar detrás del humo —nunca mejor dicho— y comprobaron que había diseño, estrategia, conocimiento del riesgo y negocio.

Con las redes sociales puede estar ocurriendo algo parecido. Las plataformas llevan años presentándose como simples espacios neutros de comunicación, ocio o información. Pero sus algoritmos no son neutrales. Deciden qué vemos, cuánto lo vemos, qué se nos recomienda y qué contenido aparece justo cuando estamos a punto de cerrar la aplicación.

Y, casualmente, casi siempre nos invitan a quedarnos un poco más.

No se trata de un caso aislado. Muchos menores —o ya adultos— son víctimas de mecanismos destinados a captar y retener su atención de forma abusiva.

Durante mucho tiempo se ha trasladado toda la responsabilidad a las familias: “controle usted el móvil de su hijo”, “ponga límites”, “quite la aplicación”, “vigile lo que consume”. Todo eso puede ser razonable. Pero no basta. No podemos exigir a unos padres que compitan solos contra equipos de ingenieros, psicólogos conductuales, diseñadores de experiencia de usuario y algoritmos entrenados para detectar el punto exacto en el que una persona sigue mirando la pantalla. Es como mandar a alguien con un paraguas a detener un tsunami. Y más cuando esos progenitores, desconocedores del peligro, también han caído en la red.

La cuestión de fondo es mucho más incómoda para las tecnológicas: si una plataforma sabe que determinados patrones de diseño pueden afectar especialmente a menores, tiene que adoptar medidas reales para prevenir esos riesgos. No basta con poner un aviso genérico, esconder una opción de control parental en el menú número sesenta (por decir un número de lo escondido que puede estar) o publicar una guía de bienestar digital que nadie lee.

Los menores no son usuarios cualquiera. Son personas en desarrollo, con una especial vulnerabilidad frente a sistemas diseñados para explotar la atención, la recompensa inmediata y la comparación social. Y cuando una empresa dirige sus servicios a millones de menores, no puede mirar hacia otro lado mientras monetiza cada segundo de permanencia.

Gran parte del problema está en la transparencia algorítmica, en sistemas opacos que ordenan contenidos, priorizan estímulos y modifican la conducta del usuario sin que sepamos exactamente cómo ni con qué criterios.

Y esto no afecta solo a los menores. Si un algoritmo puede influir en lo que consume un adolescente, también puede influir en lo que piensa un adulto, en qué noticias recibe, en qué opiniones se refuerzan y en qué visión del mundo acaba considerando “normal”. La adicción es solo una parte del problema. La manipulación informativa es la habitación de al lado.

En Europa, esta discusión no debería pillarnos mirando al techo. Normas como el Reglamento de Servicios Digitales ya apuntan hacia una mayor responsabilidad de las grandes plataformas, especialmente cuando hablamos de menores, publicidad, transparencia y riesgos sistémicos. Pero una cosa es tener normativa y otra aplicarla con firmeza.

La tecnología avanza deprisa y el Derecho, como siempre, llega mal y tarde. Y si acudimos a la justicia, resulta que el que era niño entonces, cuando tenga la sentencia es un ya un jubilado.

Las redes sociales han construido imperios enteros sobre el gesto de deslizar el dedo por una pantalla. Ahora los tribunales empiezan a preguntar cuánto daño puede esconderse detrás de ese gesto aparentemente inocente.

Y esa pregunta, por fin, ya no puede silenciarse con una notificación más.

La entrada Meta y YouTube ante su “momento tabaco”: cuando enganchar al usuario sale caro se publicó primero en Abogado Digital en Sevilla.

El caso pone de manifiesto cómo el uso cotidiano de dispositivos aparentemente inocuos —como relojes inteligentes— puede derivar en una exposición crítica de información estratégica. En concreto, la publicación de rutas de entrenamiento, horarios y patrones de actividad permitió inferir datos sobre la operativa de submarinos nucleares franceses, lo que plantea interrogantes jurídicos y técnicos de gran calado.

La privacidad no es solo individual

Tradicionalmente, el derecho a la protección de datos personales se ha concebido como una garantía individual. Sin embargo, este caso demuestra que la exposición de datos personales —como ubicaciones o rutinas— puede tener consecuencias que trascienden al individuo, afectando incluso a la seguridad nacional.

El uso de perfiles públicos en Strava, con nombres reales y patrones de actividad visibles, permitió identificar a miembros de la tripulación y deducir información crítica. Aquí se produce una colisión entre el principio de minimización de datos y la práctica extendida de compartir información en plataformas digitales sin una adecuada configuración de privacidad.

Responsabilidad compartida

Desde una perspectiva jurídica, la responsabilidad en este tipo de incidentes no puede recaer exclusivamente en los usuarios. Nos encontramos ante un escenario de corresponsabilidad donde intervienen múltiples actores.

Por un lado, los usuarios no adoptaron medidas básicas de configuración de privacidad, exponiendo datos sensibles de geolocalización. Por otro, la institución militar no previó adecuadamente los riesgos derivados del uso de dispositivos wearables en entornos especialmente protegidos. Finalmente, la propia plataforma facilita en muchos casos configuraciones públicas por defecto o no advierte de forma suficientemente clara sobre los riesgos asociados al tratamiento de datos de ubicación.

Este último aspecto conecta directamente con las obligaciones impuestas por el Reglamento General de Protección de Datos (RGPD), especialmente en lo relativo al principio de privacidad desde el diseño y por defecto (privacy by design and by default).

Como siempre el factor humano es el eslabón más débil

Uno de los aspectos más relevantes del caso es la persistencia del llamado factor humano como principal vulnerabilidad en materia de ciberseguridad. A pesar de los estrictos controles de acceso a la base naval —incluyendo escáneres faciales y restricciones sobre teléfonos móviles—, los smartwatches quedaron fuera del perímetro de seguridad.

Este fallo evidencia una falta de evaluación integral de riesgos tecnológicos, donde no se contemplan todos los vectores posibles de fuga de información. La ciberseguridad no puede limitarse a dispositivos tradicionales; debe extenderse a cualquier tecnología capaz de generar, almacenar o transmitir datos.

Resulta especialmente preocupante que ya en 2018 se hubiera detectado un problema similar en la misma base naval. La reiteración del incidente sugiere una deficiente implementación de medidas correctoras y una posible ausencia de una cultura sólida de cumplimiento normativo (compliance) en materia de seguridad de la información.

Desde el punto de vista jurídico, esto podría implicar una vulneración de los principios de responsabilidad proactiva exigidos por el RGPD, así como una eventual responsabilidad administrativa si se demuestra negligencia en la gestión de riesgos.

Este caso debe servir como advertencia para organizaciones públicas y privadas. La integración de tecnologías digitales en la vida cotidiana exige una revisión constante de las políticas de seguridad y privacidad. La implantación de políticas claras sobre el uso de dispositivos personales en entornos sensibles resulta imprescindible, al igual que la realización de auditorías periódicas de riesgos tecnológicos emergentes.

Asimismo, cobra especial relevancia la formación continua en ciberseguridad y protección de datos, así como la necesidad de exigir a las plataformas digitales un mayor compromiso con la transparencia y la configuración segura por defecto, en línea con las exigencias normativas europeas.

La entrada Strava como riesgo para la seguridad nacional y la protección de datos se publicó primero en Abogado Digital en Sevilla.

Imagina la escena: estás en casa, suena el teléfono y al otro lado una voz tranquila te asegura que tu dinero corre peligro. Parece alguien de confianza, incluso de tu propio banco, que te advierte de intentos de fraude y te guía paso a paso para “proteger” tus ahorros. El miedo hace el resto. Y en cuestión de minutos, tu cuenta bancaria se queda vacía.

Esto no es una película de suspense, sino lo que le ocurrió a una clienta de Cajasur Banco, que perdió casi 12.000 euros en un sofisticado fraude de ingeniería social conocido como “vishing”. La estafa consiste en suplantar la identidad de empresas o entidades de confianza a través de llamadas telefónicas, haciéndose pasar por empleados del banco para obtener las claves de seguridad del cliente.

El banco se negó a devolver el dinero, alegando que las operaciones estaban debidamente autenticadas y que la culpa era de la clienta por haber facilitado sus datos. Pero el Juzgado de Primera Instancia nº12 de Córdoba ha dejado claro que esa excusa no se sostiene: ha condenado a Cajasur a devolver el importe sustraído, más intereses y costas del procedimiento.

La sentencia es clara y contundente. Según la normativa europea y española en materia de servicios de pago, el banco tiene la obligación de devolver de inmediato las operaciones no autorizadas, salvo que pueda demostrar que el cliente actuó con fraude o negligencia grave. Y ese, precisamente, fue el gran problema para la entidad: no pudo demostrarlo.

El tribunal señaló que la víctima actuó con diligencia: denunció de inmediato, comunicó al banco lo sucedido y canceló su tarjeta. La estafa se produjo mediante un engaño sofisticado, que reprodujo de forma convincente los patrones de comunicación de la entidad. Culpar a la clienta por haber confiado en una llamada que parecía legítima era, en palabras de la magistrada, un intento fallido de eludir responsabilidades.

Más aún: la propia secuencia de operaciones debería haber encendido todas las alarmas en el sistema de seguridad del banco. Movimientos de grandes cantidades, en cuestión de minutos, desde ciudades tan distintas como Madrid, Alcobendas, Ámsterdam o incluso Perú. Todo ello tras una ampliación repentina del límite diario de disposición en la tarjeta. La entidad, simplemente, no reaccionó.

La consecuencia fue doble: primero, la devolución íntegra del dinero a la víctima; segundo, la condena en costas. En términos sencillos, el banco perdió en todos los frentes.

Aquí entra en escena el papel del abogado que defendió a la víctima, Javier Vilches, quien construyó una estrategia jurídica sólida basada en dos ideas clave: que la normativa protege de forma expresa al consumidor y que la banca tiene un deber reforzado de diligencia. No se trata de si la clienta “confió demasiado” en una llamada, sino de si el banco cumplió con su obligación de protegerla. Y la respuesta, según la sentencia, fue un rotundo no.

El caso es especialmente relevante porque desmonta un argumento que las entidades financieras repiten con frecuencia: que si el cliente cae en la trampa de los estafadores, la responsabilidad es suya. La resolución judicial, en cambio, insiste en que los fraudes de vishing, phishing o smishing son tan sofisticados que no puede exigirse al consumidor un nivel de alerta imposible. La obligación de blindar los sistemas y detectar operaciones sospechosas recae en el banco, que dispone de todos los medios tecnológicos para hacerlo.

Además, la sentencia se alinea con recientes pronunciamientos del Tribunal Supremo y de varias Audiencias Provinciales, que han reforzado la idea de que los bancos no pueden limitarse a dar consejos genéricos de seguridad o colgar advertencias en su web. Deben implementar sistemas eficaces de detección y bloqueo de operaciones anómalas. Y cuando fallan, no pueden cargar las consecuencias sobre el consumidor.

Este caso también nos deja una reflexión de futuro: vivimos en una sociedad cada vez más digital, donde los fraudes evolucionan a la velocidad de la luz. Lo que hoy parece un truco burdo, mañana será un engaño tan realista que cualquiera puede caer. Pretender que el cliente medio actúe como un experto en ciberseguridad es tan injusto como inútil.

Por eso, decisiones judiciales como esta no solo hacen justicia en un caso concreto, sino que envían un mensaje claro a todo el sector bancario: la confianza del consumidor no se negocia, se protege. Y cuando los bancos no cumplen, la justicia pone las cosas en su sitio.

En definitiva, este no es solo un triunfo individual. Es una victoria colectiva frente a la desprotección digital. Gracias a la acción legal de profesionales comprometidos, se sienta un precedente que fortalece los derechos de todos.

Porque sí: cuando el banco falla, la justicia responde.

La entrada Fraude bancario por vishing: Cajasur condenada a devolver 12.000€ a su clienta se publicó primero en Abogado Digital en Sevilla.

El 5 de marzo de 2025 se marcó un hito crucial en la legislación de la Unión Europea con la publicación del Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud (EEDS). Este Reglamento, que entra en vigor de manera escalonada, representa el lanzamiento oficial del primer espacio europeo de datos en un sector estratégico y de interés público, prometiendo revolucionar el sector de la asistencia sanitaria y la salud digital en toda la Unión.

El objetivo fundamental del EEDS es doble: por un lado, busca mejorar el acceso de las personas físicas a sus datos de salud electrónicos personales y su control sobre ellos en el contexto de la asistencia sanitaria (el llamado «uso primario»). Por otro lado, busca alcanzar otros fines que beneficien a la sociedad a través del uso de datos de salud electrónicos (el «uso secundario»), como la investigación, la innovación, la formulación de políticas y la medicina personalizada. La creación del EEDS es una pieza clave para edificar una Unión Europea de la Salud fuerte y resiliente.

La necesidad de esta legislación se hizo patente durante la pandemia de COVID-19, que subrayó la urgencia de contar con acceso oportuno a datos de salud electrónicos de calidad para la preparación y respuesta ante amenazas sanitarias.

¿Qué son los datos de salud electrónicos?

El Reglamento se aplica a los datos de salud electrónicos, que incluyen tanto datos personales como no personales.

La categoría de «datos de salud electrónicos personales» es sumamente amplia. Abarca no solo los datos relativos a la salud física o mental y los datos genéticos (heredados o adquiridos) relacionados con la prestación de servicios de asistencia sanitaria, sino que también «captura prácticamente cualquier tipología de datos relacionados con la salud». Esto incluye datos sobre factores determinantes de la salud, como los conductuales, medioambientales, físicos, sociales o educacionales. Además, incluye datos inferidos o derivados, como diagnósticos y resultados de pruebas, observados y registrados de forma automatizada.

Los sujetos obligados, denominados «tenedores de datos de salud», son la práctica totalidad de los actores del sector sanitario, asistencial e investigador. Esto incluye prestadores de servicios sanitarios o asistenciales (públicos y privados), investigadores, fabricantes de sistemas de Historias Clínicas Electrónicas (HCE) y aplicaciones de bienestar, registros de mortalidad e instituciones de la Unión. Como regla general, se exime a las personas físicas (incluidos los investigadores individuales) y a las microempresas, aunque los Estados miembros pueden ampliarles estas obligaciones.

Pilar I: el uso primario y los derechos del paciente

El uso primario se define como el tratamiento de datos de salud electrónicos para la prestación de asistencia sanitaria (evaluación, conservación o restablecimiento de la salud) y servicios sociales, administrativos o de reembolso relacionados.

El Capítulo II del Reglamento refuerza y complementa los derechos del Reglamento General de Protección de Datos (RGPD). Las personas físicas gozan de un conjunto exhaustivo de derechos en relación con sus datos de salud electrónicos personales para uso primario:

1. Derecho de acceso y copia: las personas tienen derecho a acceder de forma gratuita e inmediata a sus datos de salud electrónicos personales de las categorías prioritarias (al menos) a través de los servicios de acceso a datos de salud electrónicos. También tienen derecho a descargar una copia electrónica en el formato europeo de intercambio de historias clínicas electrónicas.
2. Derecho a la portabilidad: pueden permitir el acceso a la totalidad o parte de sus datos a un prestador de asistencia sanitaria de su elección o solicitar que se los transmita a otro prestador, de forma inmediata y gratuita. Si viajan, la transmisión transfronteriza se facilitará a través de la infraestructura MiSalud@UE (MyHealth@EU).
3. Derecho de rectificación: pueden solicitar fácilmente en línea la rectificación de datos incorrectos.
4. Derecho a limitar el acceso: tienen derecho a limitar el acceso de los profesionales sanitarios a la totalidad o parte de sus datos, aunque deben ser informados de los riesgos para la asistencia sanitaria que esto pueda suponer. En caso de emergencia, sin embargo, el acceso a los datos limitados es posible cuando sea necesario para proteger intereses vitales.
5. Derecho de información sobre el acceso: tienen derecho a obtener información sobre cualquier acceso a sus datos a través del servicio de profesionales sanitarios, incluyendo quién, cuándo y a qué datos accedió.
6. Derecho de autoexclusión (opt-out): los Estados miembros pueden establecer un derecho de autoexclusión para el uso primario respecto al acceso a sus datos registrados, siendo este derecho reversible.

Para el intercambio transfronterizo, el EEDS establece la infraestructura MiSalud@UE, una plataforma central de interoperabilidad para la salud digital que conecta los puntos de contacto nacionales.

Pilar II: armonización de los sistemas de Historias Clínicas Electrónicas (HCE)

Para garantizar que los datos se puedan intercambiar de forma fluida y segura, el Reglamento introduce un marco jurídico y técnico uniforme para el desarrollo, la comercialización y el uso de los Sistemas HCE y aplicaciones de bienestar.

Los Sistemas HCE que traten categorías de datos prioritarias deben incluir dos componentes armonizados de software obligatorios:

1. El Componente de Programa Informático Europeo de Interoperabilidad para Sistemas HCE: permite proporcionar y recibir datos de salud electrónicos personales en el Formato Europeo de Intercambio de Historias Clínicas Electrónicas (FEIHCE).
2. El Componente de Programa Informático Europeo de Registro para Sistemas HCE: proporciona información de registro (logs) sobre el acceso de profesionales o terceros a los datos.

Los fabricantes deben realizar una autoevaluación obligatoria de la conformidad para demostrar el cumplimiento de los requisitos esenciales de interoperabilidad y seguridad, lo que culmina con una Declaración UE de Conformidad y la colocación del marcado CE de conformidad en los documentos que acompañan al sistema. Además, deben incluir una ficha informativa concisa para los usuarios profesionales.

El EEDS también prevé un régimen de etiquetado obligatorio para las aplicaciones de bienestar (wellbeing) para las que se declare su interoperabilidad con los Sistemas HCE, garantizando la transparencia sobre el cumplimiento de los requisitos de interoperabilidad y seguridad.

Pilar III: uso secundario para el beneficio social

El uso secundario se refiere al tratamiento de datos de salud electrónicos para fines distintos de la prestación de asistencia sanitaria, como la investigación, la innovación y la formulación de políticas.

Usos permitidos: los datos solo podrán tratarse para fines específicos que contribuyan al interés general de la sociedad:

• Interés público en la salud pública o laboral (ej. protección contra amenazas transfronterizas graves).
• Actividades de formulación de políticas y de regulación (reservado a organismos del sector público e instituciones de la UE).
• Estadísticas oficiales nacionales y de la UE.
• Actividades de educación o enseñanza superior.
• Investigación científica relacionada con el sector sanitario o asistencial, incluyendo el entrenamiento, la prueba y la evaluación de algoritmos de Inteligencia Artificial (IA).
• Mejora de la prestación de asistencia, optimización de tratamientos y medicina personalizada.

Usos estrictamente prohibidos: se prohíbe el acceso y tratamiento de datos para:

• Tomar decisiones perjudiciales para una persona física o un grupo (ej. ofertas de empleo o condiciones menos favorables en seguros o créditos).
• Actividades de publicidad o mercadotecnia.
• Desarrollar productos o servicios que puedan perjudicar a las personas, la salud pública o la sociedad.
• Reidentificar o intentar reidentificar a las personas físicas de los conjuntos de datos obtenidos.

Gobernanza y acceso seguro: cada Estado miembro designará uno o varios Organismos de Acceso a Datos de Salud (OADS). Estos organismos son responsables de decidir sobre las solicitudes de acceso a datos y expedir los «permisos de datos», decisiones administrativas que autorizan el uso secundario bajo condiciones específicas y garantías.

El acceso a los datos de salud electrónicos personales para uso secundario solo se proporcionará en formato seudonimizado o anonimizado. Todo acceso debe realizarse a través de un entorno de tratamiento seguro proporcionado por el OADS, lo que impide la extracción de datos personales.

La infraestructura transfronteriza para el uso secundario es DatosSalud@UE (HealthData@EU), que conecta los puntos de contacto nacionales y permite la gestión de solicitudes complejas que involucren a tenedores de datos en múltiples Estados miembros.

Derecho de autoexclusión del uso secundario (opt-out): las personas físicas tienen derecho a la autoexclusión en cualquier momento y sin necesidad de exponer los motivos, respecto al tratamiento de sus datos personales para uso secundario. Este derecho es reversible. Sin embargo, existen excepciones limitadas para permitir el acceso a datos excluidos, siempre que la solicitud provenga de un organismo del sector público o de la UE con un mandato legal para una misión de salud pública o investigación científica por razones importantes de interés público, y si los datos no pueden obtenerse por otros medios.

Hacia un EEDS en fases

El Reglamento (UE) 2025/327 es un instrumento complejo y transformador que exige esfuerzos coordinados e inversiones significativas. Si bien la regulación entró en vigor a finales de marzo de 2025, su aplicación está prevista por etapas, comenzando el 26 de marzo de 2027.

Los plazos de aplicación varían según la funcionalidad y el tipo de datos:

• 26 de marzo de 2029: uso primario para las categorías prioritarias iniciales (historias clínicas resumidas, recetas y dispensaciones electrónicas). El Capítulo IV sobre Uso Secundario también será aplicable a partir de esta fecha.
• 26 de marzo de 2031: uso primario para el resto de categorías prioritarias (estudios e informes de imagenología, resultados de pruebas diagnósticas e informes de alta hospitalaria).
• 26 de marzo de 2035: integración de terceros países u organizaciones internacionales en DatosSalud@UE.

El EEDS no solo fortalece las facultades de autodeterminación informativa de las personas físicas, sino que también impone un nuevo marco de gobernanza y obligaciones legales, desplegando el potencial de la reutilización de datos de salud electrónicos para el interés general bajo estrictas salvaguardas. Este esfuerzo normativo augura una nueva era de digitalización segura y centrada en el paciente dentro de la Unión Europea.

La entrada El Espacio Europeo de Datos de Salud (EEDS): una revolución para el paciente y la investigación sanitaria se publicó primero en Abogado Digital en Sevilla.

¿Y ahora qué? ¿Estoy libre de la deuda o me toca volver a pagar?

Buena pregunta. La respuesta es de esas que tanto nos gusta a los abogados: depende. Principalmente, de dos cosas: la buena fe del deudor y su nivel de despiste (perdón, su diligencia).

Buena fe, esa vieja conocida

Si puedes demostrar que actuaste con buena fe y que hiciste lo que cabría esperar de una persona prudente en tu situación (vamos, que no fuiste un temerario), quizá estés a salvo. El artículo 1164 del Código Civil dice que el pago hecho de buena fe al que esté en posesión del crédito puede tener efectos liberatorios. Claro que esa “posesión” tiene que parecer creíble, no basta con un correo con faltas de ortografía y prisas sospechosas.

La falta de diligencia se paga (doble)

Si te tragaste una cuenta extraña sin confirmar nada, si no contrastaste el cambio con una llamada, o si ignoraste señales que gritaban “esto huele raro”, entonces lo tienes crudo. El pago no te libra y el acreedor real podrá exigirte que pagues otra vez. Aquí, la jurisprudencia no es precisamente indulgente.

¿Puedo recuperar el dinero?

Con suerte, sí. Pero necesitarás algo más que velas a Santa Rita.

El banco podría ayudarte… si actúas rápido. Si logran bloquear la cuenta fraudulenta antes de que se vacíe, aún hay esperanzas. Pero si te enteras una semana después y el dinero ya está en manos de una mula que lo retiró en ventanilla a cambio de 50 euros, mala suerte.

Conclusión práctica (y con la ley en la mano)

El pago por error a un tercero debido a un hackeo no extingue automáticamente la deuda. Para que tenga efecto liberatorio, el deudor debe acreditar que actuó con buena fe y diligencia. Y eso no se presume: hay que demostrarlo.

Cada caso exige lupa:

• ¿Cómo era la relación comercial?
• ¿Qué medios de comunicación se usaron?
• ¿Había señales de humo?
• ¿Se verificó el cambio de cuenta por otro canal?

Ante una situación así, no vale con lamentarse. Hay que moverse rápido, documentar todo y buscar ayuda legal. Porque en esto, como en casi todo, el que duerme… paga.

En Avezalia podemos ayudarte. Contacta con nosotros.

La entrada ¿Le pagaste a un hacker creyendo que era tu proveedor? Mala suerte… ¿o no tanto? se publicó primero en Abogado Digital en Sevilla.

Ahora sólo les basta con colarse en el correo entre empresas, cambiar un numerito
en una factura y sentarse a esperar que el ordenante, con toda la buena fe del mundo,
mande la pasta a la cuenta equivocada. Este ataque se realiza sin que las partes afectadas se den cuenta de la presencia del atacante. El truco se llama man in the middle, aunque
aquí preferimos hablar del «hombre en medio», que no es precisamente un mediador
imparcial.

El caso típico: factura, transferencia y ¡zas! dinero al limbo digital

Dos empresas negocian. Una envía una factura por correo electrónico con sus datos
bancarios. Pero antes de que llegue al receptor, alguien ha interceptado ese mensaje y
ha cambiado el número de cuenta. Resultado: transferencia a una cuenta fraudulenta
que, por arte de magia, está a nombre de otra persona o sociedad.
Y ahora empieza el drama: el dinero ha volado, el proveedor legítimo no ha cobrado, y
el pagador se queda a cuadros.

¿Y el banco? ¿Tiene algo que decir o solo pasa el datáfono?

Pues sí que tiene que decir. Porque, aunque el engañado haya sido el ordenante, si en
la orden de transferencia aparecían datos adicionales, como el nombre del beneficiario
o su CIF, y no coinciden con el titular de la cuenta, el banco receptor está obligado a
detectar la discordancia. Y si no lo hace, responde.
Así de claro lo dice la Audiencia Provincial de Córdoba (SAP Córdoba, Secc. 1ª,
92/2015), que condenó a la entidad por no levantar una ceja ante el baile de nombres
y domicilios. ¿La razón? Porque en el mundo del tráfico bancario no basta con mover
ceros y unos: hay que mirar quién está al otro lado. Y si te dan más datos que el
número de cuenta, toca verificarlos.

La ley, ese viejo amigo que vuelve a escena
Aquí el Código Civil, en su artículo 1902, se pone la toga y señala sin titubeos: quien
por acción u omisión causa daño a otro, intervenga hacker o no, debe repararlo si no
actuó con la diligencia exigible.
Y no se exige cualquier diligencia. Se exige la del bonus argentarius, que no es el
nombre de un superhéroe bancario, sino el estándar de conducta que se espera de un
banco serio: más que el buen padre de familia, que ya bastante tiene con sobrevivir a
la cuesta de enero.

Además, la Ley de Servicios de Pago (art. 59) y el Reglamento Europeo 260/2012
dejan claro que si el ordenante te da más que el IBAN y tú no los usas ni para levantar
una alerta, no puedes esconderte detrás de una pantalla diciendo que todo estaba en
orden.

“Pero yo no conocía al estafador”, dice el banco
No hace falta. No se le imputa connivencia con el delincuente, sino omisión de su
deber de vigilancia. Si un dato canta, el banco tiene que escucharlo. Y si no escucha,
paga.
A ver, esta historia tiene su moral. Si recibes una factura sospechosa, llama. Si eres
banco, comprueba todo lo que te dan, no solo lo que te conviene. Y si eres cliente
afectado por un man in the middle, no te conformes con el “lo sentimos mucho” del
Banco: puede que, legalmente, el que metió la pata no fueras tú.

Llámanos y te asesoramos, nos avalan nuestros casos de éxito. 

La entrada Atento a este tipo de ciberataque «Man in the Middle» se publicó primero en Abogado Digital en Sevilla.

Y no lo hacía por afición. Los vídeos, que luego subía a redes sociales con cierta audiencia, servían de gancho para vender sus cursos de “seducción avanzada”. Coste: 3.000 euros por el pack completo. Eso sí, con acceso premium, porque grabar intimidades ajenas sin permiso parece ser el nuevo oro digital.

Ya todas y todos contextualizados, debo condenar y condeno —bueno, aún no, pero tiempo al tiempo— a Fulanito de Barcelona como responsable, en concepto de autor, de un presunto delito contra la intimidad previsto en el artículo 197 del Código Penal. Presunto, de momento, porque esto aún está en fase de instrucción, pero el libreto pinta a drama jurídico-tecnológico con final poco feliz para nuestro protagonista.

Pero vayamos al meollo: ¿qué hay de nuevo aquí?

Pues mucho. Por primera vez en España, la tecnología vestible —en este caso, las Ray-Ban Meta— salta al plano penal. El dispositivo, diseñado para registrar desde el punto de vista del usuario, activaba una lucecita blanca para advertir que estaba grabando. Claro que, como casi todo en esta vida, tenía truco: un poco de cinta, un pulgar estratégicamente colocado o una leve modificación, y adiós luz. Lo que queda es una cámara fantasma en el rostro de alguien con demasiado tiempo libre y demasiada poca ética.

El dilema de siempre: la tecnología no delinque, pero sus usuarios sí.

Meta, por supuesto, se lava las manos, como Pilatos. Ellos pusieron la lucecita —que ya es más de lo que hizo Google con sus añejas Glass—, pero no contaban con la creatividad del homo sapiens con aspiraciones de influencer. Y aquí surge el choque: entre el progreso tecnológico que permite grabar con las cejas y una normativa legal que apenas ha digerido el smartphone, los delitos contra la intimidad se están colando por los resquicios de la innovación.

Las cifras del despropósito:

• 329 vídeos analizados por la Policía.
• 239 conversaciones íntimas grabadas sin consentimiento.
• 700.000 visualizaciones en redes.
• 3.000 euros el cursillo de marras.

¿Delito contra la intimidad? De manual.

El artículo 197 del Código Penal lo deja claro: grabar conversaciones privadas sin consentimiento, y encima difundirlas, es delito. No hace falta ser abogado para entenderlo. Aunque, claro, siempre hay quien prefiere hacerse el sueco. En este caso, con Ray-Ban.

¿Consentimiento? Ninguno. ¿Finalidad legítima? Tampoco. ¿Divulgación con ánimo de lucro? Confirmado. El pack completo.

¿Y ahora qué?

Pues ahora toca reflexionar. Porque si la videovigilancia empresarial ya nos generaba dudas en cuanto a proporcionalidad, las gafas espía de uso civil directamente nos ponen ante una nueva jungla normativa. Y lo que es peor: con IA en camino que identifica rostros, lugares y quizá pensamientos. Todo en tiempo real, todo desde la ceja derecha.

Así que sí, esto es solo el principio. Como siempre, la realidad va por el carril rápido y el derecho por el arcén. Hasta que la jurisprudencia se ponga al día, la mejor protección sigue siendo la misma: sentido común y un radar encendido ante quien se acerque demasiado… con gafas puestas.

La entrada Caso de las Ray-Ban Meta. La tecnología vestible salta al plano penal se publicó primero en Abogado Digital en Sevilla.

Una nueva sentencia lo deja claro: los bancos no pueden lavarse las manos cuando el cliente es víctima de una estafa.

En Avezalia hemos vuelto a hacerlo: una clienta que perdió más de siete mil euros por un ataque de phishing ha sido totalmente indemnizada. Y el banco, además, ha sido condenado en costas procesales.

La excusa de siempre —»usted fue negligente»— esta vez no ha servido. Porque no basta con echar la culpa al usuario, ni con poner una nota en la web avisando de fraudes. Cuando el banco falla en su deber de proteger, responde. Y así lo ha entendido el Juzgado.

¿Qué ocurrió?

Todo comenzó con un SMS que parecía legítimo. Avisaba de que la cuenta sería bloqueada por motivos de seguridad. En el mensaje había un enlace.
Después, una llamada desde un número vinculado a una supuesta oficina de ING en Valencia. Quien llamaba se identificó como empleado del banco. Informó a nuestra clienta de que su cuenta había sufrido movimientos sospechosos y le pidió realizar ciertas operaciones para “revertirlos”. En paralelo, recibía mensajes SMS desde el mismo hilo habitual de comunicación del banco. Todo parecía real. Pero el resultado fue devastador. En un momento perdió más de siete mil euros.

Nuestra clienta acudió al banco y solicitó la anulación inmediata de esas operaciones. ¿La respuesta? Silencio. Y negativa.

La defensa del banco

Como era de esperar, el banco se defendió con el argumento clásico: que las operaciones fueron autorizadas, que se usó el sistema 3D Secure (OTP por SMS), que la cliente actuó con negligencia grave al compartir sus datos.

En otras palabras, que la culpa era del cliente.

Pero hay una diferencia entre actuar con negligencia… y ser víctima de un engaño profesional. Y esa diferencia la hemos sabido demostrar.

Nuestra estrategia: demostrar el fallo del banco

En Avezalia nos centramos en una idea fundamental: el phishing no es una «culpa del usuario», sino una brecha en el deber de diligencia del banco. El sistema de seguridad falló, y no hubo mecanismos activos para evitar que un tercero pudiera operar con las credenciales de la clienta.

La resolución condena al banco no sólo a devolver lo defraudado, sino al pago de las costas y los intereses desde lar reclamación extrajudicial.

¿Te ha pasado algo parecido?

Cada vez más personas sufren ataques de phishing. El fraude es cada vez más sofisticado. Los ciberdelincuentes imitan webs, suplantan números de teléfono y se infiltran en los mismos canales de comunicación que los bancos usan con sus clientes.

Y, aun así, la respuesta de muchas entidades sigue siendo: “usted tiene la culpa”.

En Avezalia no aceptamos esa narrativa. Si has sido víctima de una estafa, analizaremos tu caso y pelearemos por tu dinero. Porque el derecho bancario no es solo una cuestión de contratos: es una cuestión de confianza, de diligencia y de responsabilidad.

¿Te han estafado y tu banco no te responde?

Contacta con nosotros. Luchamos para que la tecnología no sea una excusa, sino una herramienta al servicio de tus derechos.

#Phishing #EstafasBancarias #ResponsabilidadBancaria #ProteccionDelConsumidor #JusticiaDigital #BancaOnline #Avezalia #JavierVilches #Ciberdelitos #FraudeTecnológico

La entrada Un Banco más condenado por phishing se publicó primero en Abogado Digital en Sevilla.

Imagina que un día te despiertas, entras en Facebook y… ya no es tu cuenta. Ni tu página. Ni tu publicidad. Nada. Estás fuera. Y lo peor: alguien, desde Vietnam, ha tomado el control de todo lo que habías construido. Anuncios con tu nombre, mensajes a tus clientes, cobros a tu PayPal. ¿Y qué te responde Meta? Literalmente: “Espere e inténtelo más tarde”.

Sí, esta es una historia real. Y sí, la hemos llevado a los tribunales.

David contra Goliat digital

Nuestro cliente, artista y autónomo con marca registrada, fue víctima de un hackeo masivo. Su cuenta publicitaria de Facebook fue robada, suplantada y utilizada para estafar. También perdió el control de Instagram y de su perfil en Wallapop, todos vinculados. Durante meses, la única respuesta de Meta fue una sucesión de formularios automatizados, respuestas genéricas y puertas cerradas.

Lo que empezó como un incidente de ciberseguridad se convirtió en una verdadera pesadilla jurídica y económica. Así que decidimos hacer lo que muchos creen imposible: demandar a Meta Platforms Ireland Limited.

Y entonces ocurrió lo insólito: Meta alegó que no entendía el español.

¿No entienden el español? ¿En serio, Meta?

En lugar de responder a la demanda, Meta activó su protocolo dilatorio de emergencia: invocó el artículo 12 del Reglamento (UE) 2020/1784 para rechazar la notificación alegando que no entendía el idioma… español. Una empresa que:

• Opera a diario en territorio español,
• Tiene su interfaz, condiciones y contratos en perfecto castellano,
• Se lucra con anuncios y datos de usuarios hispanohablantes,
• Y contrata a abogados españoles (como en este caso, el bufete Cuatrecasas),

…afirma, sin sonrojarse, que no comprende la lengua de Cervantes.

Spoiler: no cuela.

El uso abusivo del derecho: cuando el idioma se convierte en excusa

Meta no negó los hechos. No discutió el hackeo. Ni se molestó en decir que suplantar a un autónomo era un error. Solo se agarró al idioma como si fuera un salvavidas.
Pero olvidan algo esencial: la Justicia europea no ampara la mala fe. El Reglamento que citan, diseñado para evitar indefensiones, no es un escudo para obstaculizar procesos legítimos. Como alegamos en el juzgado, Meta tuvo conocimiento efectivo del procedimiento, actuó mediante abogado colegiado en Madrid y presentó escritos redactados en un castellano jurídico impecable.

¿Entonces, qué problema tenían con el idioma? Exacto: ninguno.

Lo que sí tenían era una estrategia. Una más de esas tácticas que usan las grandes plataformas para dilatar, bloquear y desgastar. Pero esta vez, la excusa idiomática no les va a salir gratis.

No es solo una cuenta, es tu identidad digital

Lo que está en juego aquí no es solo el acceso a un perfil. Es la reputación profesional, la cartera de clientes, la integridad económica y la seguridad digital de una persona que usa las herramientas que estas empresas ofrecen. Y cuando esa herramienta se vuelve contra ti, lo mínimo que puede exigirse es que respondan.

En este caso, pedimos al juzgado:

1. La restitución de la cuenta de Facebook hackeada.
2. Una indemnización por daños y perjuicios.
3. La condena en costas a Meta por su comportamiento dilatorio.

Porque la impunidad tecnológica tiene que tener un límite. Y no puede ser el idioma el que decida si una víctima accede o no a la justicia.

¿Y si te pasa a ti?

Este caso no es aislado. Cada semana llegan a nuestro despacho personas con historias similares: cuentas robadas, plataformas que no contestan, identidades usurpadas y negocios paralizados. Lo que parece “gratuito” o “fácil” en Internet, puede convertirse en un agujero negro cuando algo falla.

Y Meta, Google, TikTok o Amazon no siempre están del lado de quien sufre.

Por eso, si eres autónomo, pyme o profesional y has tenido un problema con una gran plataforma, recuerda:

• Tienes derechos, aunque la pantalla diga lo contrario.
• Puedes exigir respuestas, aunque el formulario sea un laberinto.
• Puedes ir a juicio, aunque te digan que es imposible.

Nosotros ya lo hemos hecho. Y vamos a seguir haciéndolo.

¿Tu cuenta ha sido bloqueada o robada? ¿Meta, Instagram o TikTok te ignoran? No estás solo. En Avezalia sabemos cómo hacerlo y estamos contigo desde el primer paso.

Contáctanos y pongamos en marcha tu defensa. Porque tu presencia digital no es un juego. Es tu trabajo. Y nadie tiene derecho a quitártelo, ni siquiera el mismísimo Meta.

La entrada ¿Eres autónomo, pyme o profesional y tu cuenta de Meta, Instagram o TikTok ha sido bloqueada o robada y no has recibido respuesta?   se publicó primero en Abogado Digital en Sevilla.