Durante la última sesión plenaria, el EDPB ha aprobado la versión definitiva de las Directrices sobre el tratamiento de datos personales mediante tecnologías blockchain, al tiempo que ha adoptado nuevas directrices sobre anonimización, así como sobre el “web scraping” en el desarrollo de modelos de Inteligencia Artificial generativa, ambas sometidas a consulta pública. Con la aprobación y emisión de estos documentos, el organismo europeo busca facilitar un marco de referencia que permita a los responsables y encargados del tratamiento aplicar de forma coherente la normativa vigente de protección de datos en el contexto en el que nos encontramos en la actualidad (esto es, la presencia de escenarios tecnológicos complejos, el tratamiento masivo de información o la creciente utilización de datos para el entrenamiento de sistemas de IA).
En este sentido, la aprobación definitiva de las Directrices sobre el tratamiento de datos a través de tecnologías blockchain, a las que se puede acceder aquí, reviste especial relevancia por cuanto aborda uno de los temas en los que se ha evidenciado una mayor complejidad entre el diseño tecnológico y las exigencias y obligaciones reguladas en la normativa europea de protección de datos. Ello es así debido a que esta tecnología (explicada en la propia Guía), que garantiza la inmutabilidad de los datos contenidos en su sistema (impidiendo su alteración o eliminación), podría infringir algunos principios de la normativa vigente como, por ejemplo, la limitación del plazo de conservación o el ejercicio del derecho al olvido, según la autoridad de control española.
Así, como indica la AEPD, la finalidad principal de esta Guía es garantizar la “idea de que el desarrollo tecnológico y la innovación no pueden rebajar los derechos de la ciudadanía, demostrando que la arquitectura blockchain puede ser compatible con la protección de las personas si se planifica bajo un modelo de gobernanza transparente, responsable y orientado a salvaguardar la privacidad”. Es con este objetivo por lo que ofrece criterios destinados a compatibilizar el empleo de este tipo de tecnologías con los principios y obligaciones previstos en el RGPD.
En idéntico sentido se pronuncia el organismo europeo, que insiste en que la incorporación de este tipo de soluciones basadas en blockchain no exime del cumplimiento de las obligaciones del RGPD, debiendo implementar, desde las fases iniciales, medidas dirigidas a reducir los riesgos que se puedan prever (por ejemplo, técnicas avanzadas de minimización y cifrado de los datos), así como garantizar que se cumplen otros principios como los relativos a las transferencias internacionales de datos o a los plazos de conservación. A la vista de ello, la Guía destaca la necesidad de limitar al máximo la inclusión de datos personales en la cadena de bloques, recomendando que los datos identificativos se conserven en sistemas convencionales y registrando en la blockchain sólo “pruebas criptográficas de existencia”.
Respecto al ejercicio de los derechos, se recuerda por el EDPB que estos mantienen plena vigencia, por lo que debe garantizarse su ejercicio adecuado por los titulares. Por ello, el documento analiza diversas soluciones técnicas destinadas a facilitar el cumplimiento de estos derechos, incluyendo mecanismos que permitan lograr la anonimización irreversible del contenido del registro de blockchain, como la destrucción de claves de descifrado o la eliminación de información conservada fuera de la cadena. Del mismo modo, se hace constar en la Guía que, debido a los riesgos propios de este tipo de tecnologías, los responsables deben llevar a cabo una Evaluación de Impacto antes de iniciar este tipo de proyectos.
Asimismo, el EDPB ha publicado una nueva Guía, a la que puede acceder aquí (sujeta a consulta pública hasta el día 30 de octubre de 2026), destinada a aclarar el concepto de anonimización (por cuanto tiene importantes consecuencias prácticas) y que recoge una serie de orientaciones que permiten facilitar el tratamiento de los datos personales por parte de los responsables. Así, la Guía parte del criterio consolidado conforme al cual quedan excluidos de la aplicación del RGPD aquellos datos que no se refieran a una persona física identificada o identificable, estableciendo qué elementos deben valorarse al determinar cuándo una información sí se refiere a una persona y cuándo esta se considera identificada o identificable.
La Guía facilita asimismo un contexto práctico para que las entidades puedan evaluar el éxito de sus procesos de anonimización. El EDPB explica que dicho análisis puede realizarse “bien evaluando las diferencias de capacidades entre quienes podrían identificar a la persona («enfoque contextual») o, en aras de la simplicidad, no teniendo en cuenta dichas diferencias («enfoque simplificado»), si un responsable del tratamiento así lo decide”. Asimismo, en la Guía se identifican tres criterios cuya concurrencia resulta determinante para confirmar que los datos son anónimos:
“Ningún aislamiento de registro”. Este criterio se cumple si “los datos no contienen una combinación única de valores de atributos que se refieran a un único individuo”.
“Ninguna vinculación”. Este criterio se cumple si “los datos no contienen ningún registro de una persona que pueda vincularse a otro registro que (a) también se refiera (con certeza o alta probabilidad) a esa misma persona, y (b) proceda de un conjunto de datos diferente.”.
“Ninguna inferencia”. Este criterio se cumple si “no es posible extraer ninguna inferencia específica y significativa a partir de los datos facilitados”.
En el supuesto de que no se cumpliera alguno de dichos requisitos, el responsable debería llevar a cabo otro análisis que permitiera verificar si la información se puede considerar anónima.
Asimismo, el EDPB ha publicado una nueva Guía, a la que puede acceder aquí (que también está sujeta a consulta pública hasta el día 30 de octubre de 2026), que se refiere al tratamiento de datos personales mediante técnicas de “web scraping” empleadas para el desarrollo y entrenamiento de modelos de IA generativa. Como indica el organismo europeo, esta técnica de extracción de datos a gran escala en páginas web puede suponer una serie de riesgos para la protección de datos personales, por lo que busca aclarar diversas cuestiones relativas al cumplimiento de la normativa al llevar a cabo estos procesos, como, por ejemplo, cuál es la base legitimadora del tratamiento o las condiciones en las que se pueden tratar categorías especiales de datos. En relación con esta última cuestión, se declara por el EDPB que dicho tratamiento está, en principio, prohibido, aunque cada caso concreto deberá analizarse individualmente.
Así, en la Guía se analiza, entre otras cuestiones, el alcance de la obligación de información a los interesados, precisando que, en determinados supuestos, la comunicación podrá no resultar exigible cuando concurra una imposibilidad material o un esfuerzo desproporcionado, siempre dentro de los límites previstos por el propio RGPD.
Asimismo, a efectos de garantizar el cumplimiento del principio de exactitud y de minimización, se recomienda únicamente implementar esta técnica en fuentes fiables, así como validar los datos antes de utilizarlos en el entrenamiento de sistemas de IA.
En consecuencia, estas Guías pretenden facilitar una aplicación homogénea de la normativa vigente, reforzando la responsabilidad proactiva de los responsables y proporcionando criterios interpretativos que pueden resultar de gran ayuda para aquellas entidades que desarrollan su actividad en el ámbito del desarrollo tecnológico.
