La vuelta IA, Ciber & Data: lo que no había que perderse (Newsletter Septiembre 2025)

🚨 Ciberataques en Francia (agosto 2025)

El mes de agosto ha demostrado una vez más hasta qué punto las empresas francesas siguen siendo vulnerables frente a los piratas informáticos. Estos son algunos de los ataques registrados:

• Sneg Propreté – Servicios de limpieza profesional (26 de agosto).
• Selartex – Comercio mayorista de textiles (23 de agosto).
• Peggy Sage – Cosmética y belleza (15 de agosto).
• SMEF Azur – Ingeniería climática e instalaciones (14 de agosto).
• Orange France – Telecomunicaciones y servicios digitales (17 de agosto).
• Pansard & Associés – Despacho de abogados (6 de agosto).
• Afpa – Formación profesional e inserción (6 de agosto).
• FranceLink – Servicios digitales (13 de agosto).

💡 Estos ataques recuerdan que todas las empresas, pequeñas o grandes, pueden ser objetivo. La ciberseguridad ya no es una opción, sino una necesidad. Protéjase y conciencie a sus equipos sobre ciberseguridad, descubra nuestras formaciones eLearning.

🌍 Data Privacy Framework: las transferencias de datos a EE.UU. (de nuevo) validadas

Durante mucho tiempo, las empresas europeas no sabían si podían transferir sus datos a proveedores estadounidenses (por ej. alojamiento cloud, herramientas colaborativas). Varios acuerdos ya han sido anulados en el pasado (Safe Harbor en 2015, Privacy Shield en 2020).

Buena noticia: el 3 de septiembre de 2025, el Tribunal de la UE confirmó la validez del Data Privacy Framework (DPF). En concreto:

• Las transferencias a EE.UU. siguen siendo posibles.
• Las empresas pueden trabajar con proveedores estadounidenses certificados DPF.
• Pero prudencia: la decisión puede ser impugnada.

💡 El papel del DPO es precisamente anticipar: mantener un plan B (Cláusulas Contractuales Tipo) y seguir la actualidad para evitar malas sorpresas.

📅 Data Act: un nuevo derecho sobre sus datos

Nuestros objetos conectados (relojes, coches, contadores eléctricos, máquinas industriales…) recopilan permanentemente información valiosa. Hasta ahora, solo las empresas fabricantes tenían acceso a ella.

A partir del 12 de septiembre de 2025, el Data Act lo cambia todo:

• Los usuarios (particulares o empresas) tendrán un derecho de acceso directo a sus datos.
• Podrán compartirlos con terceros (otras empresas, autoridades públicas…).
• Las pymes estarán protegidas contra contratos abusivos.
• Los proveedores cloud deberán garantizar la portabilidad (cambiar de proveedor será más sencillo).

⚖️ RGPD + Data Act: dos textos complementarios.

• El RGPD protege los datos personales (nombre, email, salud, etc.).
• El Data Act abarca los datos técnicos e industriales.

Resultado: los datos se convierten en una riqueza económica que cada uno podrá explotar.

🍪 CNIL: Google y Shein sancionados por mal uso de las cookies

Las cookies publicitarias siguen siendo una prioridad de control para la CNIL. A principios de septiembre:

• Google: 325 millones € de multa por insertar publicidad en Gmail e instalar cookies sin consentimiento claro.
• Shein: 150 millones € de multa por colocar cookies publicitarias antes del consentimiento y hacer el rechazo voluntariamente complejo.

El mensaje es simple:

• Las cookies deben ser aceptadas o rechazadas libremente.
• La información debe ser clara y comprensible.
• Ninguna empresa está a salvo, ya sea GAFAM o pyme.

⚖️ ¿Datos anónimos o personales? El TJUE aclara

El 4 de septiembre de 2025, el Tribunal de Justicia de la UE precisó la diferencia entre dato seudonimizado y dato anónimo:

• Para quien posee la clave (ej. un hospital), el dato sigue siendo personal.
• Para quien recibe un dato seudonimizado sin poder reidentificar (ej. un investigador), puede considerarse anónimo.

Esto abre perspectivas para la innovación: los investigadores y empresas pueden reutilizar más libremente ciertos datos, siempre que demuestren que ninguna reidentificación es posible.

💳 Fugas de datos y robos de IBAN: ¿cómo reaccionar?

Las violaciones de datos se multiplican. Pueden afectar a:

• su IBAN (domiciliaciones fraudulentas posibles),
• su identidad (créditos abiertos a su nombre),
• sus cuentas online (pirateo mediante phishing o SIM-swapping).

💡 Reflejos inmediatos:

• Vigile sus cuentas bancarias.
• Cambie sus contraseñas prioritarias.
• Active la doble autenticación (2FA).
• Presente denuncia en caso de fraude.

Para las empresas:

• Bloquee rápidamente las cuentas comprometidas.
• Alerte a su banco.
• Notifique a la CNIL en un plazo de 72 h si se ven afectados datos personales.

🤖 AI Act: lo que cambia desde el 2 de agosto de 2025

Las empresas que desarrollan inteligencias artificiales de «uso general» y las que modifican y reutilizan estas IA para ofrecerlas en el mercado, deben ahora jugar con las cartas sobre la mesa: explicar cómo han sido entrenadas, con qué datos, y demostrar que respetan los derechos de autor. Si una IA se considera demasiado arriesgada, estará bajo vigilancia especial: pruebas de seguridad, seguimiento constante y obligación de notificar cualquier problema.

Incluso las empresas fuera de Europa deben tener un representante oficial en Europa para responder ante las autoridades.

Cada país de la UE debe designar supervisores para verificar que las normas se cumplen. En lugar de una autoridad única, Francia confía la supervisión de la IA a una quincena de organismos ya competentes según los sectores (salud, finanzas, educación, audiovisual…). El pilotaje estará asegurado por la DGCCRF (control del mercado) y la DGE (coordinación estratégica y representación ante la UE). La CNIL gestionará los usos relacionados con datos personales, la Arcom los contenidos digitales, y otros reguladores especializados intervendrán cada uno en su ámbito. Un sistema basado en la especialización, pero que podría parecer complejo.

💡 Las empresas usuarias de IA también deben permanecer vigilantes:

• Verificar el cumplimiento de sus proveedores de IA.
• Enmarcar los contratos con cláusulas de transparencia y responsabilidad.
• Formar a sus equipos en los desafíos de la IA.

¿Necesita aclaraciones? Planifique una conversación gratuita con uno de nuestros expertos

🔒 NIS2: una transposición aún retrasada en Francia

La directiva europea NIS2, que impone nuevas obligaciones de ciberseguridad a varios miles de organizaciones en Francia (salud, energía, digital, finanzas…), ve su calendario nuevamente aplazado.

La causa: la inestabilidad gubernamental. La ley debía examinarse en septiembre, pero la caída del gobierno Bayrou retrasa el proceso. Resultado: ya casi un año de retraso.

🎙 Nuestros próximos webinarios

• 18 sept. – Simplifique su cumplimiento RGPD en pocos clics (demo)

Inscribirse

• 2 oct. – Directiva NIS2: entender y evaluar su cumplimiento

Inscribirse

• 9 oct. – AI Act & RGPD: todo lo que debe saber para seguir conforme (Especial IA)

Inscribirse

📚 Nuestras guías gratuitas para descargar

• 6 razones para elegir un DPO externalizado
• 10 razones para elegir un Software RGPD
• Listas de verificación de cumplimiento RGPD, NIS2, DORA, AI Act

📗 Descárguelas aquí ➡️ Guías prácticas

______________________________________________

El regreso reglamentario es rico en actualidad: cookies, transferencias de datos, IA, ciberseguridad… Los desafíos son concretos y los riesgos muy reales.

En Data Comply One, con nuestra plataforma y nuestros expertos DPO externalizados, ya ayudamos a más de 1.000 empresas en 22 países a:

• Simplificar su cumplimiento RGPD,
• Anticipar NIS2, DORA y AI Act,
• Formar a sus equipos en protección de datos y ciberseguridad.

💡 ¿Necesita aclaraciones? Concierte una cita con uno de nuestros expertos

Más información – Nuestro sitio web

No lo olvide: la ciberseguridad protege, ¡el cumplimiento tranquiliza!

Gracias por su atención y hasta pronto

El equipo Data Comply One (ex Mission RGPD)