<![CDATA[Masters of Privacy]]>https://www.mastersofprivacy.comhttps://substackcdn.com/image/fetch/$s_!RHtP!,w_256,c_limit,f_auto,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F706b5062-0f94-4068-91bb-755193e2d703_500x500.pngMasters of Privacyhttps://www.mastersofprivacy.comSubstackTue, 07 Jul 2026 10:54:53 GMT<![CDATA[Berta Balanzategui: cómo elevar privacidad y gobernanza de IA al cénit estratégico de la empresa]]>https://www.mastersofprivacy.com/p/berta-balanzategui-privacidad-estrategiahttps://www.mastersofprivacy.com/p/berta-balanzategui-privacidad-estrategiaTue, 23 Jun 2026 05:33:51 GMT¿Podría un nuevo tipo de “coaching” ayudar a equipos de alta gestión a entender el verdadero valor de negocio de la estrategia de protección de datos o gobernanza de IA? ¿Hay forma de romper ese “techo de cristal” para elevar la disciplina hasta el C-suite?

Berta Balanzategui es fundadora de The Privacy Coach y fue durante años Senior Privacy Counsel en la Oficina Corporativa de Privacidad de General Electric, responsable de la implementación del RGPD en la UE y el Reino Unido.

Referencias:

]]><![CDATA[Eduardo Ustaran: the status of privacy in 2026, UK-EU divergence on automated decisions]]>https://www.mastersofprivacy.com/p/eduardo-ustaran-the-status-of-privacyhttps://www.mastersofprivacy.com/p/eduardo-ustaran-the-status-of-privacySun, 21 Jun 2026 10:37:45 GMTWhere is the privacy-AI convergence taking us in 2026? How different is the UK’s new approach to automated decision making (ADMT)? Is AI pushing young lawyers out of the profession?

Eduardo Ustaran is global co-head of the Hogan Lovells Privacy and Cybersecurity practice, widely recognized as one of the world’s leading privacy and data protection lawyers and thought leaders. With over 30 years of experience, our guest advises multinationals and governments around the world on the adoption of privacy and cybersecurity strategies and policies. Eduardo has been involved in the development of the EU data protection framework and was listed by Politico as the most prepared individual in its ‘GDPR power matrix’.

Eduardo obtained his JD from Universidad de Navarra and an LLM in European and International Trade Law from the University of Leicester.

This is our 40th and last episode in the current (10th) season. We will be back in a few weeks. Have a great summer!

References:

]]><![CDATA[Malcolm Bain: propiedad intelectual de obras y código generados con IA (II)]]>https://www.mastersofprivacy.com/p/malcolm-bain-ia-copyright-osshttps://www.mastersofprivacy.com/p/malcolm-bain-ia-copyright-ossTue, 16 Jun 2026 18:29:23 GMT(Esta es la segunda parte de una entrevista que hemos arrancado en inglés y publicado en el canal en inglés el pasado 9 de junio. Aún así tiene vida propia e independiente: hemos entrado en mayor profundidad en el análisis del software generado con agentes IA y en gran medida apoyado sobre librerías de código abierto o componentes reutilizables).

Malcolm Bain es solicitor inglés y abogado en España. Ha trabajado como abogado especializado en IT /IP durante los últimos 20 años, con especialización en licencias de software, código abierto, transferencia de tecnología y protección de datos. En 2006, conjuntamente con su socio Manuel Martínez fundó id-law partners como boutique de IP e ICGT y en mayo de 2018 se incorporaron a Across Legal.

Además de su actividad profesional asesorando a emprendedores, empresas privadas, sector público y proyectos de código abierto, Malcolm es miembro de la Free Software Foundation Europe y ASTP, profesor asociado de derecho en la Universidad de Barcelona, mentor en Tecniospring Industry y otros programas para emprendedores y ponente habitual en conferencias y seminarios de este ámbito.

Referencias:

(NOTA: La primera parte de esta conversación está disponible en el canal en inglés de Masters of Privacy).

]]><![CDATA[Theodore Christakis: chatbot privacy dreams and the health AI agent rush]]>https://www.mastersofprivacy.com/p/theodore-christakis-chatbot-privacyhttps://www.mastersofprivacy.com/p/theodore-christakis-chatbot-privacySun, 14 Jun 2026 06:36:07 GMT“You trust your chatbot with everything. Should you?” is the title of Theodore Christakis’ comprehensive research project on the privacy of our conversations with AI. Part two of this project (“Governments, Courts and the Battle Over Your Chatbot Conversations”) was published on June 8th, and we have taken the opportunity to ask the author for a high-level overview of his findings. On top of this, we have also discussed his separate piece on the rise of AI-powered health assistants against the backdrop of the new European Health Data Space, discussed last week in our Spanish-language channel.

(Our previous conversation with Mr. Christakis focused on the use of personal data in LLM training datasets.)

Theodore Christakis is Professor of International, European and Digital Law at University Grenoble Alpes (France). He holds, since 2019, the Chair on the Legal and Regulatory Implications of Artificial Intelligence at the Multidisciplinary Institute on AI (AI-Regulation.com). He is Director of Research for Europe at the Cross-Border Data Forum, a member of the Board of Directors of the Future of Privacy Forum, and a former Distinguished Visiting Fellow at the New York University Cybersecurity Centre.

His work focuses on the questions at the centre of today’s debates on digital sovereignty: government access to data held by private companies, international data transfers, the security and operational resilience of digital infrastructure, and the regulation of artificial intelligence. He served as an expert for the OECD in the process that led to the adoption, in December 2022, of the OECD Declaration on Government Access to Personal Data Held by Private Sector Entities. He was a member of the International Data Transfers Experts Council of the United Kingdom Government, and an expert for the High-Level Expert Group on Access to Data for Effective Law Enforcement established by the European Commission and the Council of the European Union. He has also served as a member of the French National Digital Council and of the French National Committee on Digital Ethics.

He has published or co-edited twelve books and is the author or co-author of more than 120 academic articles and book chapters. He has been invited to lecture and present his work at conferences, workshops and seminars on more than two hundred occasions, in over 38 countries.

As an independent expert, he advises governments, international organisations and private companies on questions of international and European law, cybersecurity, artificial intelligence, digital sovereignty and data protection.

References:

]]><![CDATA[Malcolm Bain: copyright protection of AI-generated works and protection of copyrighted works from AI training]]>https://www.mastersofprivacy.com/p/malcolm-bain-copyright-aihttps://www.mastersofprivacy.com/p/malcolm-bain-copyright-aiTue, 09 Jun 2026 18:45:27 GMTWe are revisiting the AI-copyright interplay for the first time in nearly three years. Copyright remains very relevant to our sphere of interest, not least because the EU AI Act specifically points at EU copyright law with regards to training data and transparency requirements for AI models.

Malcolm Bain is an English solicitor and Spanish abogado. He has worked as an Information Technology and Intellectual Property lawyer over the last 20 years, with a specialisation in technology licensing, open source software and content, technology transfer and privacy. In 2006, together with his partner Manuel Martínez, he founded his own firm “id-law partners” as a boutique specialized in IP and ICT. In May 2018, both incorporated this firm into Across Legal.

In addition to his professional activity advising entrepreneurs, private companies, public administrations and open source projects, Malcolm is a member of the Free Software Foundation Europe and ASTP, associate professor of law at the University of Barcelona, ​​mentor in Tecniospring Industry and other programs for entrepreneurs and frequent speaker at conferences and seminars in the field of ICTs and entrepreneurship in the digital world.

References:

]]><![CDATA[Mikel Recuero: en las profundidades del Espacio Europeo de Datos de Salud]]>https://www.mastersofprivacy.com/p/mikel-recuero-eu-health-data-spacehttps://www.mastersofprivacy.com/p/mikel-recuero-eu-health-data-spaceTue, 09 Jun 2026 04:02:27 GMT¿Qué posibilidades se abren con el nuevo Espacio Europeo de Datos de Salud? ¿Se atisba la promesa de otros espacios similares? ¿Hasta dónde llegan los usos secundarios de los datos de salud? ¿Qué hacemos con los “wearables”? ¿Dónde terminan las garantías individuales y empieza el beneficio colectivo en el ámbito de la investigación?

Mikel Recuero es Doctor en Derecho por la Universidad del País Vasco. Es investigador postdoctoral en la Red de Derecho y Genoma Humano, donde ejerce como experto en asuntos legales, éticos y regulatorios (ELSI) para distintos proyectos nacionales y europeos. Su campo de estudio se centra en las intersecciones entre derecho, ética, ciencia y tecnología. Actividad que compatibiliza con el ejercicio de funciones de consultoría en materia de protección de datos y data governance y con la docencia en varias universidades españolas. Es también miembro del Órgano de Gobierno del Código de Conducta de Protección de Datos de FARMAINDUSTRIA. También es autor de una veintena de publicaciones en revistas científicas y académicas especializadas, ha recibido el Premio de Investigación en Protección de Datos por la Autoridad Vasca de Protección de Datos (AVPD/DBEA) en el año 2024 y el Accésit del Premio de Investigación en Protección de Datos Personales Emilio Aced por la Agencia Española de Protección de Datos (AEPD) en el año 2019.

Referencias:

]]><![CDATA[Leandro Núñez: ¿Se puede exigir la creación de cuentas de usuario en comercio electrónico?]]>https://www.mastersofprivacy.com/p/leandro-nunez-ecommerce-registrohttps://www.mastersofprivacy.com/p/leandro-nunez-ecommerce-registroTue, 02 Jun 2026 15:27:59 GMTHoy vamos a comentar las recientes Recomendaciones del Comité Europeo de Protección de Datos (EDPB) sobre la base jurídica para exigir la creación de cuentas de usuario en sitios web de comercio electrónico. Y desde ahí vamos a explorar diversos mundos colindantes.

Leandro Núñez es abogado y socio de Audens, despacho especializado en derecho tecnológico, privacidad, propiedad intelectual y derecho publicitario. Con más de 20 años de experiencia en el asesoramiento jurídico en materias vinculadas a la tecnología y la economía digital, desarrolla su práctica principalmente en el ámbito de la protección de datos, la propiedad intelectual, la publicidad digital y la regulación de nuevos modelos de negocio tecnológicos.

Antes de incorporarse a Audens, Leandro fue asesor en relaciones internacionales en la Agencia Española de Protección de Datos (AEPD), institución a la que representó en distintos foros y organizaciones internacionales, como el Grupo de Trabajo del Artículo 29 de la Unión Europea, el Comité Consultivo del Convenio 108 del Consejo de Europa y la Conferencia Internacional de Autoridades de Protección de Datos y Privacidad.

Letrado en ejercicio del Ilustre Colegio de Abogados de Madrid, es máster en Derecho de las Telecomunicaciones y Tecnologías de la Información por la Universidad Carlos III de Madrid. Es ponente habitual en másteres, seminarios y conferencias sobre privacidad, marketing digital, cloud computing e inteligencia artificial, e imparte docencia en centros como IE, la Universidad Carlos III de Madrid y la Universidad Autónoma de Madrid. Es también coautor de diversas obras colectivas, entre ellas Reglamento general de protección de datos: hacia un nuevo modelo europeo de protección de datos (Reus, 2017), Tratado de Protección de Datos (Tirant lo Blanch, 2019) y Aspectos jurídicos de la ciberseguridad (Ra-Ma, 2020).

Referencias:

]]><![CDATA[John Pavolotsky: California legal updates, Colorado AI reset, data breach clauses revisited]]>https://www.mastersofprivacy.com/p/john-pavolotsky-california-colorado-updateshttps://www.mastersofprivacy.com/p/john-pavolotsky-california-colorado-updatesSun, 31 May 2026 18:52:37 GMTOur repeat guest is a partner at Stoel Rives in San Francisco. John is co-lead of the firm’s Technology Industry Group. He counsels clients on data privacy, information security, artificial intelligence, and other technology dispute, compliance, and transactional matters.

John has taught Technology Transactions Law at the UC Davis School of Law and Comparative Privacy Law at the Santa Clara University School of Law. John has also guest lectured on technology and privacy law topics at the University of California, Berkeley, Haas School of Business; the University of San Francisco School of Management; and Stanford University.

References:

New laws being discussed in California, or just approved:

  • AB 1542: to prohibit a business, service provider, or contractor from selling or sharing sensitive personal information to a third party.

  • AB 1898: to require an employer to maintain an updated list of all workplace AI tools currently in use and to provide the list to workers annually.

  • AB 2021: whistleblower complaints.

  • AB 2169: social media platforms, artificial intelligence models - to allow a consumer to request a copy of the consumer’s personal information, contextual data, and social graph and require the social media company or model operator to respond to that request within five business days.

  • SB 300: companion chatbots - transparency and rules of engagement.

  • SB 574: to obligate an attorney who uses generative artificial intelligence to practice law to ensure that confidential personal identifying, or other nonpublic information, is not entered into a public generative artificial intelligence system.

  • SB 867: AI-powered toys - to be subject to the same rules proposed for companion chatbots.

  • SB 923: to expand data deletion requests to any personal information that the business has collected about the consumer (and not just from the consumer).

  • SB 1000: to require provenance data disclosure in content generated by artificial intelligence as well as tools to facilitate detection.

  • SB 1142: Digital Dignity Act - to prevent digital replicas for the purposes of impersonation.

]]><![CDATA[Nacho Alamillo: identidad digital, blockchain, atestaciones electrónicas de atributos y cartera digital europea]]>https://www.mastersofprivacy.com/p/nacho-alamillo-identidad-digitalhttps://www.mastersofprivacy.com/p/nacho-alamillo-identidad-digitalTue, 26 May 2026 11:57:51 GMT¿En qué momento quedó definitivamente regulada la cadena de bloques (Blockchain) como un nuevo servicio de confianza apoyado en criptografía? ¿Podemos disociar atestaciones de atributos del concepto de identidad digital? ¿Dónde está el sano equilibrio entre el rol del Estado y una completa soberanía individual apoyada en la descentralización?

Ignacio Alamillo Domingo es Doctor en Derecho por la Universidad de Murcia, Licenciado en Derecho por la UNED, auditor de Sistemas de Información certificado, Director de Seguridad de la Información certificado e Ingeniero Certificado en Soluciones de Protección de Datos, por ISACA, así como SMP Master por SMI.

En la actualidad es Abogado del Ilustre Colegio de Reus, Asesor de Logalty y Director General de Astrea La Infopista Jurídica SL. Asimismo, colabora con el Grupo de Investigación iDerTec de la Universidad de Murcia. También es miembro del ETSI TC ESI, que normaliza los servicios de confianza, miembro de UNE CTN71/SC307, de CEN-CLC/JTC 19 y de ISO TC 307, relativos a Blockchain. Dispone de más de 100 publicaciones y ha impartido más de 400 ponencias en identidad digital, servicios de confianza y materias relacionadas.

Referencias:

]]><![CDATA[Newsroom Notes: Spring 2026]]>https://www.mastersofprivacy.com/p/newsroom-notes-spring-2026https://www.mastersofprivacy.com/p/newsroom-notes-spring-2026Mon, 25 May 2026 22:49:24 GMT

Please find below references and notes for the latest edition of the Masters of Privacy Newsroom. Grouped in four of our usual five blocks: ePrivacy & regulatory updates; MarTech & AdTech; AI, Competition and Digital Markets; Future of Media.

This content is for paid Masters of Privacy subscribers only. You will find a free audio version of this content on the main podcast feed.

Read more

]]><![CDATA[Tim Turner: The DPO Daily Challenge, recent updates to the UK legal framework ]]>https://www.mastersofprivacy.com/p/tim-turner-the-dpo-daily-challengehttps://www.mastersofprivacy.com/p/tim-turner-the-dpo-daily-challengeSun, 24 May 2026 18:07:39 GMTHow about an extremely practical book with detailed examples and quizzes based on a fictional town? Also, let’s revisit the UK legal framework: impact of the DUAA 2025 and proposed PECR changes.

Tim Turner (here for a third time) is the author of “The DPO Daily Challenge” (April 2026). He has worked on Data Protection, Freedom of Information (FOI) and Information Rights law since 2001. He started at the Information Commissioner’s Office as a Policy Manager on FOI issues. After that, he was a Data Protection & FOI Officer for two councils and then an Information Governance Manager for an NHS organisation. He has been offering data protection training and consultancy since 2011. Also, Tim is the author of the popular DPO Daily newsletter and LinkedIn feed. 2040 is his training company.

References:

]]><![CDATA[Newsroom (referencias) de primavera de 2026]]>https://www.mastersofprivacy.com/p/newsroom-referencias-de-primavera26https://www.mastersofprivacy.com/p/newsroom-referencias-de-primavera26Mon, 18 May 2026 20:04:48 GMTVamos a por otro resumen trimestral, en cuatro de las secciones de siempre (ePrivacy y marco regulatorio; MarTech & AdTech; IA, competencia y mercados digitales; y futuro de los medios).

Podéis escuchar la versión audio con la mayor parte de estas noticias comentadas, aquí.

ePrivacy y marco regulatorio

Multas y sanciones

UE y RU

El 6 de mayo, la AEPD publicó su Memoria de actuación correspondiente a 2025. La Agencia recibió 30.931 reclamaciones a lo largo del año, la cifra más alta de su historia, lo que supone un incremento del 64 por ciento respecto al ejercicio anterior. Las sanciones impuestas en 2025 alcanzaron los 48,1 millones de euros. La Memoria recoge también el inicio de una nueva presidencia y la publicación del Plan Estratégico 2025-2030, que orienta la actuación de la autoridad hacia el fomento de la innovación responsable y la defensa de la dignidad en la era digital.

El 19 de marzo, Ofcom sancionó a 4chan con un total de 520.000 libras al amparo de la UK Online Safety Act: 450.000 por no implantar un control de edad para contenidos pornográficos, 50.000 por una evaluación de riesgos de contenidos ilegales inadecuada, y 20.000 por incumplimientos en sus condiciones del servicio. Se establecieron sanciones diarias adicionales de 200 libras en caso de no presentarse una evaluación de riesgos suficiente.

Una semana más tarde, la propia AEPD sancionó a Yoti, una empresa británica de identidad digital y verificación de edad, con 950.000 euros por tres infracciones del RGPD relacionadas con su aplicación Digital ID operada en España. La AEPD impuso 500.000 euros por el tratamiento de datos biométricos de categoría especial —en concreto, plantillas faciales— sin base jurídica adecuada conforme al artículo 9; 200.000 euros por obtener un consentimiento inválido a través de casillas premarcadas para la investigación con datos biométricos; y 250.000 euros por retener datos personales, incluidos registros de geolocalización durante cinco años y grabaciones de detección de vida durante 30 días, más allá de lo necesario para los fines del tratamiento.

El 20 de abril, el Garante italiano sancionó a Poste Italiane con 6,6 millones de euros y a su filial Postepay con 5,9 millones —un total de 12,5 millones— por las aplicaciones móviles BancoPosta y Postepay. La autoridad concluyó que la monitorización por parte de las aplicaciones de qué otras aplicaciones tenían instaladas y en ejecución los usuarios en sus dispositivos no era estrictamente necesaria para la prevención del fraude, e identificó deficiencias adicionales en transparencia, evaluación de impacto, conservación y designación del encargado del tratamiento.

Estados Unidos

El 30 de marzo, la FTC alcanzó un acuerdo con Match Group y OkCupid por la cesión no divulgada de datos a la empresa de IA Clarifai. La denuncia alegaba que OkCupid había proporcionado a Clarifai acceso sin restricciones a aproximadamente 3 millones de fotos de usuarios, junto con datos demográficos y de localización, en contradicción con la política de privacidad de la plataforma. La orden propuesta, de 20 años de duración, prohíbe declaraciones engañosas sobre prácticas de tratamiento de datos, pero no impone sanción económica.

El 8 de mayo, el fiscal general de California, Rob Bonta, junto con la Agencia de Protección de la Privacidad de California y varios fiscales de distrito locales, anunció un acuerdo de 12,75 millones de dólares con General Motors al amparo de la California Consumer Privacy Act: el mayor acuerdo sancionador del CCPA hasta la fecha. GM había vendido los nombres, datos de contacto, datos de geolocalización precisa y datos de comportamiento al volante de cientos de miles de suscriptores californianos de OnStar a las intermediarias de datos Verisk Analytics y LexisNexis Risk Solutions entre 2020 y 2024. El acuerdo es también la primera acción sancionadora basada en los requisitos de minimización de datos del CCPA. Además de las sanciones económicas, exige a GM cesar la venta de datos de conducción a agencias de informes de consumidores durante cinco años, desarrollar un programa robusto de privacidad, y eliminar los datos de conducción retenidos en un plazo de 180 días, salvo consentimiento expreso afirmativo. La acción complementa la orden de consentimiento de 20 años que la FTC alcanzó con las mismas empresas en enero.

El 24 de marzo, un jurado de un tribunal estatal de Nuevo México condenó a Meta a pagar 375 millones de dólares en concepto de daños civiles, al considerar a la compañía responsable de haber engañado a los usuarios sobre la seguridad de sus plataformas y de haber facilitado la explotación sexual infantil en Facebook e Instagram. El caso, presentado por la fiscalía general del estado, tuvo origen en una operación encubierta de 2023 en la que investigadores crearon cuentas haciéndose pasar por usuarios menores de 14 años y fueron contactados por adultos que solicitaban material sexual explícito. Es la primera vez que un estado vence en juicio a una gran tecnológica por reclamaciones de que sus plataformas perjudican a menores. Un juicio sin jurado separado, sobre la reclamación de daño público planteada por el estado y en el que se solicita la imposición de medidas cautelares, estaba previsto a continuación para el 4 de mayo. Meta ha anunciado que recurrirá.

Al día siguiente, el 25 de marzo, un jurado de Los Ángeles concluyó que Meta y Google habían diseñado negligentemente sus productos para que resultaran adictivos para los menores, y condenó a ambas compañías al pago de 6 millones de dólares en concepto de daños y perjuicios —3 millones en daños compensatorios y 3 millones en daños punitivos—, asumiendo Meta el 70 por ciento de la cuantía. La demandante, identificada como Kaley, una mujer californiana de 20 años, alegó que su adicción a Instagram y YouTube siendo menor de edad le había provocado depresión grave, ansiedad e ideación suicida. Es la primera vez que un jurado considera que las aplicaciones de redes sociales deben tratarse como productos defectuosos por estar diseñadas para explotar el cerebro en desarrollo de niños y adolescentes. El veredicto podría influir en el resultado de más de 2.000 demandas similares pendientes en Estados Unidos. Tanto Meta como Google anunciaron que recurrirán.

Novedades legislativas, directrices, jurisprudencia

UE y RU

El 19 de marzo, el Tribunal de Justicia de la UE dictó sentencia en el caso Brillen Rottler (asunto C-526/24), estableciendo que incluso una primera solicitud de acceso conforme al artículo 15 del RGPD puede ser rechazada por excesiva, cuando el responsable del tratamiento pueda acreditar que el interesado actuó con intención abusiva —por ejemplo, para fabricar una reclamación de indemnización—. El umbral de prueba es alto, pero la sentencia abre una nueva vía defensiva para los responsables.

El 1 de abril, el Senado francés aprobó su versión de la prohibición de redes sociales para menores de 15 años, sumándose a la Assemblée Nationale, que había aprobado la legislación en enero. Las dos cámaras deberán ahora conciliar textos divergentes: la versión de la Asamblea exige a las plataformas eliminar todas las cuentas de menores de 15 años y rechazar nuevas, mientras que el Senado prefiere una categorización en dos niveles. La aplicación está prevista para el inicio del curso escolar en septiembre de 2026, con las plataformas obligadas a desactivar las cuentas no conformes antes del 31 de diciembre.

El 18 de abril, el presidente del Gobierno español, Pedro Sánchez, llevó la campaña un paso más allá al impulsar una prohibición a escala de toda la Unión Europea de las redes sociales para menores de 16 años, enmarcando el debate en términos de protección frente a la adicción algorítmica, la exposición a contenidos nocivos y el daño psicológico a los menores. La Ley para la Protección de los Menores en el Entorno Digital del propio Gobierno español continúa su tramitación parlamentaria, con el apoyo del centroderechista Partido Popular.

A finales de marzo, la ministra australiana de comunicaciones, Anika Wells, confirmó que el gobierno investigaría a Meta, Snap, TikTok y YouTube por posibles incumplimientos de la prohibición de redes sociales para menores de 16 años, con multas potenciales de hasta 49,5 millones de dólares australianos. Los primeros datos indican que entre el 60 y el 64 por ciento de los usuarios menores de edad mantuvieron sus cuentas y aproximadamente una cuarta parte eludió los controles de edad.

Y el 27 de abril, el Becker Friedman Institute de la Universidad de Chicago publicó un working paper firmado por Leonardo Bursztyn, Cass Sunstein y otros autores, bajo el título Why Bans Fail: Tipping Points and Australia’s Social Media Ban. El estudio concluye que la prohibición australiana está fracasando porque no consigue alcanzar el umbral crítico de cumplimiento entre pares necesario para autorreforzarse. Solo aproximadamente el 25 por ciento de los encuestados de 14 y 15 años cumple con la prohibición; el modelo sugiere que cerca de dos tercios de los pares tendrían que dejar de usar las redes sociales antes de que los adolescentes individualmente decidieran hacerlo. La dinámica es además perversa: los adolescentes perciben a quienes cumplen como menos populares que quienes no cumplen, lo que implica que son precisamente los pares más influyentes los que tienden a permanecer en las plataformas. Los autores concluyen que las prohibiciones por sí solas resultan insuficientes y que su efectividad exige medidas complementarias que reconfiguren las normas sociales y los incentivos individuales, no únicamente restringir el acceso.

(Gracias a Jorge García Herrero por sacar a la luz esté papel en su newsletter.)

El 29 de abril, la Comisión Europea adoptó una recomendación instando a los Estados miembros de la UE a hacer disponible para todos los ciudadanos, antes del 31 de diciembre de 2026, una verificación de edad robusta y respetuosa con la privacidad. El Blueprint de Verificación de Edad de la UE, que alcanzó su versión funcional el 15 de abril, permite a los usuarios demostrar que son mayores de 18 años sin compartir ninguna otra información personal, y está diseñado para ser interoperable con las Carteras de Identidad Digital de la UE que los Estados miembros deberán ofrecer de forma gratuita en el mismo plazo de finales de 2026. Francia, Dinamarca, Grecia, Italia, España, Chipre e Irlanda son los Estados miembros pioneros que están pilotando la integración con sus carteras nacionales EUDI.

El 14 de abril, la CNIL francesa publicó una recomendación que exige consentimiento previo para el uso de píxeles de seguimiento en correos electrónicos, salvo cuando resulten estrictamente necesarios para la entrega del correo o para la prestación de un servicio solicitado por el destinatario. La recomendación, adoptada en marzo, considera que el uso de píxeles para medir tasas de apertura, elaborar perfiles u optimizar campañas publicitarias requiere consentimiento opt-in, mientras que la autenticación de seguridad y las operaciones de depuración de bases de datos quedan exentas. Las organizaciones tienen hasta el 14 de julio para informar a los destinatarios existentes sobre el uso de píxeles y ofrecerles la posibilidad de oponerse.

Casi al mismo tiempo, el Garante publicó directrices que tratan los píxeles de seguimiento en correos electrónicos como un acceso al dispositivo terminal del usuario, sujetos al mismo régimen de consentimiento que las cookies. Los remitentes de correos electrónicos necesitan ahora, en la mayoría de los contextos, un consentimiento previo, libre, específico e informado antes de incorporar dichos píxeles. Con Francia e Italia ampliamente alineadas en el régimen estricto de consentimiento para los píxeles de correo, los anunciantes y editores se enfrentan a una base europea cada vez más convergente.

El 15 de abril, el Comité Europeo de Protección de Datos adoptó las Directrices 1/2026 sobre el tratamiento de datos personales con fines de investigación científica, abiertas a consulta pública hasta el 25 de junio. El plenario también formó un equipo de trabajo acelerado para finalizar este verano las directrices pendientes sobre anonimización, y aprobó los primeros criterios de Europrivacy como Sello Europeo de Protección de Datos, válido también para transferencias internacionales.

El 24 de abril, el Tribunal de Apelación del Reino Unido dictó sentencia en el caso RTM contra Bonne Terre Ltd & Anor [2026] EWCA Civ 488, estableciendo que la validez del consentimiento bajo el UK GDPR y la PECR es una prueba objetiva. El caso había sido presentado por un jugador compulsivo contra Bonne Terre, que opera como Sky Betting and Gaming, quien alegaba que la compañía había utilizado ilícitamente sus datos personales para publicidad dirigida que explotaba su adicción, pese a que él había prestado consentimiento formalmente. La High Court le había dado la razón, concluyendo que su capacidad autónoma para consentir había quedado lo suficientemente mermada por su trastorno de juego como para que el consentimiento no pudiera considerarse libremente otorgado. El Tribunal de Apelación revocó esa sentencia, sosteniendo que los responsables del tratamiento solo deben acreditar que el consentimiento aparece objetivamente a partir de las declaraciones o acciones claras del interesado —como marcar una casilla de consentimiento— y que no tienen que probar qué pensaba realmente el interesado en el momento. Las vulnerabilidades personales desconocidas para el responsable no invalidan un consentimiento que sea objetivamente válido. La sentencia restablece la certeza jurídica y práctica para las organizaciones que se basan en el consentimiento para marketing directo o cookies, salvo que el Tribunal Supremo del Reino Unido conceda permiso para un recurso adicional.

Ese mismo día, la Oficina del Comisionado de Información del Reino Unido (ICO) finalizó su esperada guía sobre el uso de tecnologías de almacenamiento y acceso, su reformulación de lo que la industria sigue llamando cookies. La guía refleja la introducción, por parte de la Ley de Uso y Acceso a los Datos, de cinco nuevas categorías de excepciones en las que no se requiere consentimiento: las tecnologías utilizadas para la transmisión de una comunicación; la prestación de un servicio solicitado por el usuario; las analíticas de primera parte; las mejoras del servicio basadas en preferencias del usuario; y la identificación de usuarios que requieren asistencia de emergencia. La ICO deja claro que una excepción solo se aplica cuando la tecnología se utiliza exclusivamente para ese fin; el uso para múltiples propósitos hace que la actividad vuelva al régimen general de consentimiento. Las sanciones máximas de la PECR, alineadas con los niveles del RGPD del Reino Unido desde el 5 de febrero, ascienden ahora a 17,5 millones de libras o el 4 por ciento de la facturación global.

MarTech & AdTech

El 21 de abril, OpenAI activó la puja por coste por clic dentro de ChatGPT, junto al modelo CPM original. Las pujas por clic se situaron entre 3 y 5 dólares, y el compromiso mínimo se redujo de 250.000 a 50.000 dólares. Los CPM de lanzamiento, en torno a los 60 dólares, ya habían caído hasta unos 25 dólares.

El mismo día, The Trade Desk lanzó Koa Agents, un conjunto de herramientas de IA agéntica que permiten al comprador describir los objetivos de la campaña en lenguaje natural y dejar que el agente ejecute y optimice. Por las mismas fechas, se informó de que Omnicom había ejecutado compras de medios entre agentes en directo, prescindiendo de los intermediarios tradicionales de la cadena publicitaria. Se trata del primer despliegue real de compra de medios agéntica por parte de un gran holding.

El 30 de abril, OpenAI actualizó su política para compartir datos de seguimiento limitados con socios publicitarios, incluidos Meta y Google. La finalidad declarada es promocionar los propios productos de OpenAI en plataformas de terceros, pero acerca a la empresa un paso más a una infraestructura publicitaria de resultados completa.

Ese paso llegó el 5 de mayo, cuando OpenAI lanzó el píxel de medición de ChatGPT Ads y una API de Conversiones del lado del servidor, que admite eventos de lead, pedido, vista de página, suscripción y prueba. El mismo día, la empresa abrió Ads Manager a todos los anunciantes estadounidenses sin compromiso mínimo de inversión. La infraestructura publicitaria de resultados completa dentro de ChatGPT está ya operativa.

AI, Competition, and Digital Markets

Arrancamos con el informe de IMDEA (vía Jorge García Herrero) que expone cómo envían datos de conversaciones (URLs) a terceros las principales plataformas de IA. Nada mejor que asomarse al propio detalle.

En marzo, OpenAI confirmó el cierre de su aplicación de vídeo Sora dirigida al consumidor, alegando los altos costes de cómputo y la débil adopción, con un número de usuarios activos que había caído por debajo de 500.000. Como consecuencia, la licencia de propiedad intelectual a tres años con Disney y la inversión de capital de 1.000 millones de dólares anunciadas en diciembre se desmoronaron antes de que el dinero cambiara de manos.

El 7 de abril, Anthropic abrió una versión preliminar de Claude Mythos, conocida internamente como Project Glasswing, a 11 organizaciones colaboradoras para el descubrimiento ofensivo de vulnerabilidades de ciberseguridad.

El 23 de abril, OpenAI lanzó GPT-5.5 y GPT-5.5 Pro, descritos por la empresa como su modelo más inteligente e intuitivo, desplegados en los niveles de consumo y empresariales de ChatGPT y Codex. Cabe destacar que OpenAI optó por no etiquetar el lanzamiento como GPT-6.

Casi al mismo tiempo, DeepSeek lanzó su versión preliminar V4 en variantes Pro y Flash. El modelo, de código abierto, está optimizado para inferencia en los chips Huawei Ascend 950 en lugar de los de Nvidia, supuestamente por indicación de Pekín. Su precio es agresivo, aunque el modelo aún no se sitúa al nivel de las propuestas estadounidenses de frontera.

El 24 de abril, la canadiense Cohere y la alemana Aleph Alpha anunciaron una fusión con una valoración combinada de 20.000 millones de dólares, presentada como una alternativa transatlántica soberana frente a los hiperescaladores estadounidenses. Los accionistas de Cohere se quedan con aproximadamente el 90 por ciento. El alemán Grupo Schwarz comprometió 600 millones de dólares para una Serie E. La operación contó con el respaldo de ambos gobiernos.

El 27 de abril, el regulador del mercado de China bloqueó la adquisición de Manus por parte de Meta, una operación de 2.000 millones de dólares sobre la startup china de IA agéntica, alegando motivos de seguridad nacional. La decisión deshace formalmente la operación que se había cerrado a finales de diciembre de 2025.

Y el 6 de mayo, Anthropic aseguró 300 megavatios de nueva capacidad de cómputo mediante un acuerdo con la instalación Colossus 1 de SpaceX en Memphis, dotada de aproximadamente 220.000 GPUs de Nvidia. El acuerdo resulta llamativo dada la demanda paralela de Musk contra OpenAI.

Futuro de los medios

El 30 de abril, el Datatilsynet de Noruega emitió una declaración pública crítica con el modelo de consentir o pagar de Schibsted. Schibsted cobra 39 coronas noruegas al mes a los usuarios que desean excluirse de la publicidad personalizada en Aftenposten, VG y Bergens Tidende. La autoridad advirtió de que monetizar el consentimiento de esta forma corre el riesgo de invalidarlo, por considerar que no se otorga libremente conforme al artículo 7 del RGPD. Se trata de una declaración, no de una sanción formal.

Y el 12 de mayo, el Tribunal de Justicia de la UE dio la razón a la autoridad italiana de comunicaciones AGCOM en el caso C-797/23 Meta Platforms Ireland (Fair compensation), dictaminando que el derecho de los editores de prensa a recibir una compensación justa de las grandes plataformas en línea es compatible con el Derecho de la UE, siempre que el pago constituya una contrapartida por autorizar el uso de sus contenidos. Italia había transpuesto la Directiva de Derechos de Autor de la UE en 2021 y otorgó a AGCOM en 2023 la facultad de solicitar a las plataformas datos de tráfico y publicidad, intervenir en las negociaciones entre editores y plataformas, y sancionar a las plataformas que no cumplieran. El Tribunal respaldó la potestad de AGCOM para exigir que las plataformas compartan los datos necesarios para calcular la compensación justa. La sentencia, articulada en torno al artículo 15 de la Directiva de Derechos de Autor de la UE — la disposición sobre derechos conexos — refuerza la posición de los editores de toda Europa que reclaman pagos por licencias a las grandes tecnológicas y empresas de IA que utilizan material protegido a gran escala.

Y esto es todo por hoy (y por la primavera que llevamos consumida). Feliz semana :)

]]><![CDATA[Newsroom de primavera de 2026]]>https://www.mastersofprivacy.com/p/newsroom-de-primavera-de-2026https://www.mastersofprivacy.com/p/newsroom-de-primavera-de-2026Mon, 18 May 2026 19:58:59 GMTMuy bien, vamos a por otro resumen trimestral, en cuatro de las secciones habituales (ePrivacy y marco regulatorio; MarTech & AdTech; IA, competencia y mercados digitales; y futuro de los medios).

Entre otras cosas, hoy tratamos:

  • Verificación de edad en sus múltiples variantes y la evolución de la prohibición de medios sociales para menores

  • Memoria de actividad de la AEPD

  • Directrices varias del EDPB

  • Campañas en ChatGPT, píxeles y APIs de conversión

  • Píxeles de apertura en correos electrónicos (Francia, Italia)

  • Nuevas directrices ICO para ePrivacy (analytics, A/B testing, etc.)

  • Multas y juicios en California (Meta, General Motors).

Hemos incluido las notas detalladas del episodio y todos los links o referencias en un post específico, como siempre, aquí disponible.

]]><![CDATA[Newsroom: Spring 2026]]>https://www.mastersofprivacy.com/p/newsroom-spring-2026https://www.mastersofprivacy.com/p/newsroom-spring-2026Sun, 17 May 2026 22:50:04 GMTWe’re back with a Newsroom update. We will cover four of our usual five blocks: ePrivacy & regulatory updates; MarTech & AdTech; AI, competition and digital markets; and the future of media.

This season’s update includes:

  • Age-verification fines (insufficient controls, too much data collection) in the UK and Spain, EDPB age-verification guidelines, California’s upcoming age-verification requirements

  • Enforcement actions in the US (public, private)

  • Guidelines for email tracking pixels in France and Italy

  • New ICO guidelines for storage and access technologies (exceptions for analytics, A/B testing, etc.)

  • Social Media bans across the world and what is failing

  • Data collection in the context of new media networks and AI labs.

As announced - Firmas.io: a mobile application to complement the TODO.LAW ecosystem (contract management, signatures, credentials).

All references and links (plus some bonus materials) can be found in a separate blog post available to paid Masters of Privacy subscribers on our website’s Newsroom section (Newsroom Notes: Spring 2026).

Our usual disclaimer: the voice that joins Sergio today is a text-to-speech output generated with Eleven Labs.

]]><![CDATA[RoPA exports with DPO Central]]>https://www.mastersofprivacy.com/p/ropa-exports-with-dpo-centralhttps://www.mastersofprivacy.com/p/ropa-exports-with-dpo-centralSat, 16 May 2026 21:11:00 GMT

Generating a ROPA (Records of Processing Activities) export out of your DPO Central inventory is an easy first step towards internal awareness and accountability.

This video may not be the most illustrative, but it is a good summary. Other than that, there is nothing like trying it yourself.

Launch DPO Central

]]><![CDATA[Tom Kemp (CalPrivacy): on the SECURE Data Act, CCPA whistleblowers, DROP, and AB 566]]>https://www.mastersofprivacy.com/p/tom-kemp-calprivacy-ccpa-drop-gpchttps://www.mastersofprivacy.com/p/tom-kemp-calprivacy-ccpa-drop-gpcSun, 10 May 2026 13:52:53 GMTAs Executive Director of CalPrivacy (California Privacy Protection Agency), Tom Kemp oversees the CPPA’s mission to enforce and implement California’s comprehensive privacy laws and ensure the public has a strong understanding of their rights. Tom has a deep understanding of privacy and cybersecurity, combined with his track record as an executive in the tech industry.

References:

]]><![CDATA[Breakfast workshop: Santa Monica May 2026]]>https://www.mastersofprivacy.com/p/breakfast-workshop-santa-monica-mayhttps://www.mastersofprivacy.com/p/breakfast-workshop-santa-monica-mayMon, 04 May 2026 00:37:00 GMTWe have a new breakfast workshop coming up, this time back in Los Angeles. At the very least, expect to join a thought-provoking conversation while enjoying a proper coffee in downtown Santa Monica.

As usual, paid Masters of Privacy subscribers can use their special code (find it in your welcome email) to register at no cost - we charge $7 to ensure attendance otherwise.

Register Now

Really hoping to see some of you there :)

]]><![CDATA[Mark Webber: a law firm’s perspective on AI governance]]>https://www.mastersofprivacy.com/p/mark-webber-ai-speedhttps://www.mastersofprivacy.com/p/mark-webber-ai-speedSun, 03 May 2026 19:34:00 GMTMark Webber is the US Managing Partner responsible for overseeing the operations of Fieldfisher in the country - an English lawyer located full time in Silicon Valley.

Mark is a recognised leading privacy and AI expert, with a wealth of experience working alongside the world’s leading tech companies. Much of his time today involves the responsible development, training, and scaling of AI models and solutions.

Our guest teaches classes for both the CIPP/E and AI Governance Professional Programme certification for the IAPP. He is a Fellow in Information Privacy (IAPP).

As a leader at Fieldfisher he has been instrumental in establishing, nurturing, and expanding Fieldfisher’s presence, operations and services in the United States.

References:

]]><![CDATA[Berta Balanzategui (Remastered): Binding Corporate Rules]]>https://www.mastersofprivacy.com/p/berta-balanzategui-binding-corporate-ruleshttps://www.mastersofprivacy.com/p/berta-balanzategui-binding-corporate-rulesThu, 30 Apr 2026 18:57:09 GMTBerta es fundadora de The Privacy Coach y fue durante años Senior Privacy Counsel en la Oficina Corporativa de Privacidad de General Electric, responsable de la implementación del RGPD en la UE y el Reino Unido.

Con ella abordamos en su momento las Normas Corporativas Vinculantes (Binding Corporate Rules) para saber qué son, cómo se aprueban y cómo se mantienen. También dimos cobertura a otros temas como la confusa línea divisoria entre responsables independientes, encargados y corresponsables en el tratamiento de datos personales.

Este episodio es una republicación “remasterizada” de nuestra entrevista original.

Referencias:

]]><![CDATA[Iain Henderson: MyTerms as the missing universal opt-in signal (After The Magic repost)]]>https://www.mastersofprivacy.com/p/iain-henderson-myterms-universal-optinhttps://www.mastersofprivacy.com/p/iain-henderson-myterms-universal-optinSun, 26 Apr 2026 18:35:34 GMTUniversal opt-out signals (like Global Privacy Control) have gained momentum on both sides of the Atlantic, with the EU recently endorsing them (Digital Omnibus) and CalPrivacy, Colorado, or Connecticut legally enforcing them, but they do not solve for consent opt-in requirements still applicable in many cases.

Meanwhile, privacy notices remain cryptic and challenging for anyone to read or understand. They pay little attention to an individual’s real preferences or needs and sit at the opposite side of agency or the often claimed “we care about your privacy”.

MyTerms is a brand new IEEE standard that could provide the missing link.

This episode is a repost of our recent interview with Iain Henderson, one of the creators of MyTerms, on the After The Magic podcast (co-hosted by Gam Dias and Sergio Maldonado).

Iain is a long term marketer and CRM professional who long since concluded that if the ‘customer side’ had equivalent relationship and data management tools then things would work a lot better. His day job is with JLINC (www.jlinc.com) as the architect for personal data solutions, and through that he is also part of the DataPal (www.datapal.me) team in the UK. He is also a Board member of Customer Commons, and has been a core member of the team developing IEEE 7012/ MyTerms.

References:

]]>