La AEPD ha alertado de los riesgos de privacidad en dispositivos IoT como smart TV, asistentes de voz y robots aspiradores. La advertencia se enmarca en el Reglamento (UE) 2016/679, General de Protección de Datos, y en la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
EN 30 SEGUNDOS
- ¿Qué ha publicado la AEPD? Una advertencia sobre el tratamiento de datos personales que realizan televisiones, altavoces, aspiradores y otros dispositivos de domótica conectados.
- ¿Qué base jurídica aplica? Reglamento (UE) 2016/679, artículos 5, 6, 13, 25 y 32; Ley Orgánica 3/2018; derechos de acceso, rectificación, supresión, oposición y portabilidad.
- ¿Qué impacto tiene? Fija criterios operativos para configurar la privacidad y la seguridad, limitar el consentimiento y suprimir los datos cuando el dispositivo deje de usarse.
Alcance de la advertencia: captación continua y tratamiento no percibido
Los aparatos de domótica conectados a Internet, desde televisores a bombillas, alarmas o timbres, pueden captar y almacenar voces e imágenes sin que los presentes lo adviertan. La AEPD, como autoridad de control (aepd.es), subraya que el dispositivo no siempre identifica quién es su usuario, por lo que puede tratar datos de familiares, invitados o de cualquier persona que se encuentre en el domicilio. A los datos facilitados de forma consciente se suman los que obtienen los sensores del propio aparato.
En la prestación de estos servicios intervienen fabricantes, desarrolladores de software y proveedores, lo que multiplica los responsables y encargados del tratamiento. La combinación de estos datos con los de otros usuarios permite inferir hábitos, comportamientos y características físicas. Algunos equipos, además, pueden rastrear movimientos y localizar a las personas durante periodos de tiempo determinados.
La AEPD advierte de que el dispositivo puede continuar tratando datos incluso sin interacción directa del usuario. A ello se añade el riesgo de ciberseguridad: una configuración insegura o vulnerabilidades sin corregir convierten el aparato en una vía de acceso para terceros no autorizados. Los datos tratados por proveedores pueden quedar expuestos en caso de brecha de seguridad.
Las seis recomendaciones de la AEPD para minimizar el tratamiento
Primera recomendación: aplicar el principio de minimización recogido en el artículo 5.1.c) del RGPD. No debe facilitarse más información de la imprescindible. El usuario debe revisar la información del fabricante, consultar a su delegado de protección de datos y otorgar el consentimiento únicamente para finalidades determinadas.
Segunda recomendación: elegir productos de fabricantes o proveedores que ofrezcan garantías de privacidad y actualizaciones de seguridad durante la vida útil del aparato. Antes de adquirir un dispositivo, conviene examinar las políticas de privacidad: quién tratará los datos, qué categorías se captan, si se comunican a terceros y cómo ejercer los derechos reconocidos en los artículos 15 a 22 del RGPD, incluida la portabilidad.
La captación continua de voz e imagen por dispositivos conectados convierte el entorno doméstico en un tratamiento de datos sujeto al RGPD y a la LOPDGDD.
Durante la puesta en marcha, la AEPD insiste en configurar las preferencias de privacidad y seguridad antes de conectar el aparato. El usuario debe poder otorgar el consentimiento y oponerse a finalidades concretas. Recomienda cambiar usuarios y contraseñas por defecto, actualizar el firmware y desactivar las funciones que no vayan a utilizarse.
Mientras el dispositivo permanezca en uso, debe poder desconectarse y activar un modo que deshabilite la captura de datos. La revisión periódica de las opciones de privacidad y la instalación de actualizaciones de seguridad forman parte del deber de diligencia del responsable del tratamiento en el ámbito doméstico.
Cuando el aparato deje de utilizarse, no debe mantenerse conectado si está obsoleto o sin soporte de seguridad. El usuario puede ejercer el derecho de supresión del artículo 17 del RGPD, eliminar las cuentas vinculadas y solicitar la portabilidad de los datos. Antes de vender o reciclar, la AEPD recuerda formatear y borrar la información almacenada.
La lectura doctrinal
La advertencia de la AEPD no crea jurisprudencia, pero fija un criterio interpretativo de la autoridad de control sobre la aplicación del artículo 5 del RGPD a los dispositivos del internet de las cosas. La doctrina administrativa resultante refuerza que el domicilio no queda excluido del derecho a la protección de datos cuando existen sensores conectados que tratan información de terceros.
El principio de protección de datos desde el diseño y por defecto del artículo 25 del RGPD obliga a fabricantes y proveedores a configurar la privacidad de fábrica, no a hacerla depender de la intervención posterior del usuario. La referencia al artículo 32 introduce, además, un deber continuado de seguridad: actualizaciones, control de accesos y evaluación de riesgos.
Desde el punto de vista de la práctica, la nota administrativa recuerda que el consentimiento debe ser específico e informado, conforme al artículo 6.1.a) del RGPD, y que los derechos de acceso, rectificación, supresión y portabilidad son ejercitables frente a cada responsable. La doctrina de la autoridad de control se proyecta sobre fabricantes, importadores y proveedores de servicios, y no solo sobre los consumidores.
La doctrina administrativa de la AEPD también enlaza con el considerando 78 del RGPD, relativo a la protección de datos desde el diseño y por defecto. Para fabricantes y proveedores, la advertencia supone documentar las finalidades, configurar la privacidad por defecto y garantizar la trazabilidad de los datos captados por sensores.
En la práctica, los abogados que asesoren a fabricantes o importadores deberán revisar las políticas de privacidad y los contratos de encargado de tratamiento de la industria IoT. La nota recuerda que el consentimiento no puede ser tácito ni derivarse del mero uso del aparato: debe prestarse para cada finalidad específica.
FICHA DEL CASO
- El caso: Comunicación institucional de la AEPD sobre los riesgos para los datos personales asociados a televisores, altavoces inteligentes, robots aspiradores y otros dispositivos IoT domésticos.
- Datos importantes: Aplicación del RGPD, artículos 5, 6, 13, 15 a 22, 25 y 32; LOPDGDD; seis recomendaciones de privacidad y seguridad; sin sentencia ni cuantía.
- Fecha de los juicios: No hay vista oral. La advertencia se difundió por la AEPD en su cuenta oficial el 21 de agosto de 2026 y fue recogida por medios especializados el 24 de agosto de 2026.
- Personas acusadas y por qué: N/A, no existe proceso penal ni administrativo sancionador con partes identificadas.
