Tu IA ya puede auditar la protección de datos de cualquier web en segundos

Hasta ahora, saber si una web cumple la normativa de protección de datos, o qué responder a una reclamación ante la Agencia Española de Protección de Datos, exigía horas: leer la política de privacidad, revisar el banner de cookies, buscar resoluciones parecidas y compararlas. Con Nearius conectado a Claude o a ChatGPT, eso se reduce a una pregunta.

Cómo funciona

La pieza nueva es el corpus de protección de datos de Nearius: más de 46.600 resoluciones de la AEPD desde 2002 (sanciones, apercibimientos, archivos, tutelas de derechos), con su cuantía, gravedad, artículos infringidos y entidad reclamada; 517 documentos del Comité Europeo de Protección de Datos (directrices, dictámenes y decisiones vinculantes); las circulares e instrucciones de la Agencia, y más de 5.500 resoluciones y dictámenes de las autoridades autonómicas: la Autoritat Catalana de Protecció de Dades, la Autoridad Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía. Se actualiza cada noche.

La otra mitad ya la tienes. Claude y ChatGPT leen páginas web de forma nativa, y para las webs más complejas (las que cargan el banner de cookies con JavaScript o esconden la política tras varios clics) existen herramientas gratuitas como Playwright MCP o el plan gratuito de Firecrawl, que recorren la web como lo haría un navegador.

Juntas, tu IA lee la web y Nearius le pone delante lo que las autoridades de protección de datos han dicho sobre cada cosa que encuentre. Basta con pedirlo así:

Audita el cumplimiento de protección de datos de www.ejemplo.es: banner de cookies, política de privacidad, aviso legal y formularios. Para cada incumplimiento, busca en Nearius resoluciones de la AEPD con hechos parecidos y dime qué multa se ha impuesto y cómo corregirlo.

En segundos obtienes un informe: si el banner permite rechazar con la misma facilidad que aceptar, si la política identifica al responsable y la base jurídica de cada tratamiento, si los formularios recaban un consentimiento válido y, junto a cada hallazgo, los precedentes reales con su número de expediente y el enlace al documento oficial.

Lo mismo sirve para auditar una empresa: su historial ante la AEPD (qué resoluciones tiene, por qué y con qué resultado) y, con las herramientas de BORME de Nearius, quién la administra y con qué otras sociedades está conectada. Útil antes de contratar a un proveedor que va a tratar datos de tus clientes, o antes de una operación.

La primera web que pasamos por este sistema fue la nuestra, y a raíz de ello reescribimos la política de privacidad y el aviso legal de nearius.com.

También para ayuntamientos y administraciones

En Cataluña, el País Vasco y Andalucía, los tratamientos del sector público (ayuntamientos, administración autonómica, hospitales y centros educativos públicos, universidades) los supervisa su autoridad autonómica, no la AEPD. Su doctrina es muy práctica porque responde a dudas del día a día: si se puede entregar un expediente a un concejal, si una cámara municipal puede grabar la vía pública, qué parte de una historia clínica hay que facilitar al paciente.

Un ejemplo reciente: en su informe IAI 45/2026, la Autoritat Catalana concluyó que la normativa de protección de datos no impedía dar acceso a una trabajadora municipal al expediente del complemento de productividad concedido a un compañero, excluyendo en su caso los datos especialmente protegidos. Tu IA encuentra ese tipo de criterio, en catalán o en castellano, con la misma pregunta.

Si ya te han reclamado: qué hacer para que no acabe en multa

Aquí es donde la herramienta marca la diferencia. Cuando alguien presenta una reclamación ante la AEPD, la Agencia no sanciona de entrada: primero da traslado de la reclamación al reclamado para que en un mes explique qué medidas ha adoptado (artículo 65.4 de la LOPDGDD). Esa respuesta decide muchas veces si el asunto se archiva o se abre un procedimiento sancionador. Y lo que conviene aportar está escrito en miles de resoluciones: basta con encontrar las que se parecen a tu caso.

El caso de la casa con cámaras. Un particular recibe el traslado de una reclamación: un vecino denuncia que las cámaras de su vivienda graban la calle y parte de la finca colindante. Es uno de los supuestos más frecuentes en la AEPD, y la doctrina es constante: un particular no puede captar vía pública ni propiedades ajenas más allá de lo imprescindible (principio de minimización, artículo 5.1.c del RGPD). Pero la propia Agencia indica el camino. En un expediente de 2022 (PS/00005/2022, citado en el PS/00165/2023) ordenó al vecino «acreditar haber procedido a la retirada del dispositivo aportando prueba documental con fecha y hora, o en su defecto acreditar la regularización de la cámara».

Eso fue exactamente lo que resolvió el caso: en lugar de discutir, el reclamado reorientó las cámaras y aportó la factura del instalador que acreditaba la corrección, con fecha, junto con fotografías del nuevo encuadre. Una respuesta así, dentro del plazo del traslado, es la que conduce al archivo. Sin ella, las multas por este mismo hecho existen: en ese expediente de 2022, 300 euros; en otros, más.

Si el procedimiento ya está abierto, la ley también da margen. El artículo 85 de la Ley 39/2015 permite reducir la multa un 20 % por reconocer la responsabilidad y otro 20 % por pagar voluntariamente, acumulables. No es teoría: en 2024 una entidad financiera terminó un procedimiento pagando 400.000 euros de una multa propuesta de 500.000 (PS/00441/2024). Tu IA, con Nearius, te dice si tu caso encaja y cuánto supone.

El caso que no pasa el filtro: un negocio de información sobre subastas

La herramienta sirve también para lo contrario: para saber, antes de invertir, que una idea no es viable.

Un emprendedor planteaba un servicio de información sobre subastas judiciales y administrativas, con informes sobre los deudores cuyos inmuebles salen a subasta. Los datos proceden de boletines oficiales, así que parecía legítimo. Su idea para cumplir el RGPD era sencilla: quitar el nombre del deudor.

No funciona, y la AEPD lo ha dicho muchas veces. Un dato es personal si permite identificar a una persona directa o indirectamente (artículo 4.1 del RGPD). Una dirección asociada a una deuda identifica a su titular: basta cruzarla con el Registro de la Propiedad o con el Catastro, o simplemente preguntar en el portal. Quitar el nombre no es anonimizar; como mucho es seudonimizar, y los datos seudonimizados siguen sujetos al RGPD.

La Agencia lo aplica con rigor incluso en casos pequeños. En el PS/00056/2024 sancionó con 2.000 euros a una comunidad de propietarios que publicó un listado de deudores identificados solo por el número de apartamento, sin nombres. En el PS/00277/2023, 1.000 euros por colgar en el portal el número de piso y el importe de la deuda. Si un número de piso en un tablón basta para sancionar, una base de datos comercial de direcciones de deudores, consultable por cualquiera, es un problema de otra escala.

Tampoco salva al negocio que la información sea pública de origen. Los edictos se publican para notificar y dar publicidad a una subasta concreta, no para que un tercero construya perfiles de deudores (principio de limitación de la finalidad, artículo 5.1.b del RGPD). Los ficheros de solvencia tienen un régimen propio y estricto en el artículo 20 de la LOPDGDD, y este modelo no lo cumple. Recordemos que el origen del «derecho al olvido» europeo (sentencia Google Spain del Tribunal de Justicia de la UE, 2014) fue precisamente un anuncio de subasta de inmuebles por deudas con la Seguridad Social, publicado legalmente en un periódico años antes.

Conclusión para el emprendedor: el modelo, tal como estaba planteado, no era viable. Saberlo en una tarde, con las resoluciones delante, es mucho más barato que saberlo con una sanción.

Lo que es y lo que no es

Nearius no recibe los datos de tus clientes: tu IA consulta fuentes públicas (resoluciones, doctrina, registros) y el análisis lo hace el asistente que tú eliges. El resultado es una orientación fundamentada, con los precedentes citados para que puedas comprobarlos, no un dictamen. Cuando hay un expediente abierto o una inversión en juego, la decisión debe revisarla un abogado. Lo que cambia es que ese abogado empieza con el trabajo de búsqueda hecho en segundos.