Multas y Sanciones del RGPD: Rastreador de Aplicación Más Reciente (2026)

El RGPD establece en su artículo 83 dos niveles de sanción: hasta 10 millones de euros o el 2% de la facturación anual global para infracciones organizativas, y hasta 20 millones de euros o el 4% para infracciones de los principios fundamentales de tratamiento, los derechos de los interesados o los requisitos de transferencia, lo que sea mayor.

El RGPD otorga a las autoridades europeas de protección de datos la facultad de imponer multas administrativas sustanciales a las organizaciones que infrinjan sus disposiciones. Desde que el reglamento entró en vigor el 25 de mayo de 2018, las autoridades de control de toda la UE han impuesto más de 2800 multas por un total superior a 7100 millones de euros.

Esta guía explica en detalle la estructura sancionadora, aborda la metodología del CEPD para calcular las multas, analiza la sentencia histórica de Deutsche Wohnen sobre responsabilidad corporativa, enumera las multas más grandes y su estado actual, y trata las consecuencias más allá de las multas, incluidas las reclamaciones de compensación civil conforme al artículo 82. Para una visión general del reglamento en sí, consulte nuestra guía ¿Qué es el RGPD?.

Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Consulte a un abogado especializado en protección de datos o a un profesional de la privacidad cualificado para obtener orientación específica sobre su situación.

Respuesta Rápida: ¿Cuáles Son las Sanciones del RGPD?

Las sanciones del RGPD se dividen en dos niveles conforme al artículo 83.

Para las infracciones más graves (violaciones de los principios fundamentales de tratamiento, los derechos de los interesados, las normas de consentimiento y los requisitos de transferencia internacional), el máximo es de 20 millones de euros o el 4% de la facturación anual mundial total de la organización, lo que sea mayor.

Para las infracciones organizativas y de procedimiento (no mantener registros, no designar un DPD cuando es obligatorio, notificación de violaciones de seguridad inadecuada), el máximo es de 10 millones de euros o el 2% de la facturación anual global, lo que sea mayor.

Para las grandes multinacionales, el porcentaje supera con creces el importe fijo en euros. Una empresa con 30 000 millones de euros de ingresos anuales se enfrenta a un techo potencial de 1200 millones de euros en el nivel del 4%, exactamente el importe impuesto a Meta en 2023.

Más allá de las multas, las autoridades pueden prohibir el tratamiento, ordenar la supresión de datos, imponer órdenes de subsanación del cumplimiento y suspender las transferencias internacionales de datos. Las personas también pueden reclamar una compensación directamente a los responsables y encargados del tratamiento por daños materiales e inmateriales conforme al artículo 82.

La Estructura de Dos Niveles de Multas Conforme al Artículo 83

El artículo 83 del RGPD establece el marco de dos niveles de multa máxima. El nivel aplicable depende enteramente de qué disposición se infringió.

Nivel Inferior: Hasta 10 Millones de Euros o el 2% de la Facturación Global

El nivel inferior se aplica a las infracciones de las obligaciones del responsable y del encargado establecidas en los artículos 8, 11, 25 a 39, 42 y 43. Se trata principalmente de requisitos organizativos y de procedimiento:

• No mantener registros de las actividades de tratamiento (artículo 30)
• No realizar una Evaluación de Impacto relativa a la Protección de Datos obligatoria (artículo 35)
• No designar un Delegado de Protección de Datos cuando es obligatorio (artículo 37)
• Procedimientos deficientes de notificación de violaciones de seguridad (artículo 33)
• Incumplimientos por parte de organismos de certificación y organismos de supervisión

Estas infracciones son graves, pero se consideran menos severas que las violaciones de los principios fundamentales que rigen cómo pueden usarse los datos personales.

Nivel Superior: Hasta 20 Millones de Euros o el 4% de la Facturación Global

El nivel superior se aplica a las infracciones de las disposiciones que constituyen el núcleo del marco de protección de datos del RGPD:

• Los principios básicos del tratamiento y las condiciones para la licitud del tratamiento (artículos 5, 6, 7 y 9)
• Los derechos de los interesados: acceso, rectificación, supresión, limitación, portabilidad y oposición (artículos 12 a 22)
• Las normas de transferencia internacional de datos (artículos 44 a 49)
• Las disposiciones de derecho nacional adoptadas conforme al capítulo IX
• El incumplimiento de una orden vinculante de una autoridad de control

La multa siempre corresponde al importe mayor dentro del nivel correspondiente. Para una empresa con 10 000 millones de euros de ingresos anuales globales, el 4% arroja un techo de 400 millones de euros, veinte veces el máximo fijo de 20 millones de euros.

El Requisito de Culpabilidad: La Sentencia Deutsche Wohnen

Una cuestión importante en los primeros años de aplicación del RGPD fue si las multas podían imponerse a las empresas bajo un estándar de responsabilidad objetiva, o solo cuando la infracción fue intencionada o negligente.

El TJUE resolvió esta cuestión en su sentencia del 5 de diciembre de 2023 en el asunto C-807/21 (Deutsche Wohnen). El caso surgió de una multa de 14,5 millones de euros impuesta por la autoridad de protección de datos de Berlín a una empresa inmobiliaria por conservar datos de inquilinos después de que ya no fueran necesarios.

El TJUE emitió tres pronunciamientos importantes.

Primero, se aplica un requisito de culpabilidad: las multas administrativas del RGPD solo pueden imponerse cuando la infracción se cometió de forma intencionada o negligente. La responsabilidad objetiva es incompatible con el artículo 83. Esto puso fin al argumento de que las empresas podían ser multadas por infracciones que no tenían medios razonables de identificar o evitar.

Segundo, no se necesita identificar a una persona física concreta: las autoridades no necesitan atribuir la infracción a una persona identificada dentro de la organización antes de imponer una multa a la persona jurídica. Una empresa puede ser multada directamente sobre la base de la conducta de sus órganos, empleados o agentes, sin una constatación independiente contra una persona nombrada.

Tercero, las empresas se sancionan como unidades económicas: para calcular los techos de las multas, un responsable del tratamiento se trata como una "empresa" en el sentido del derecho de la competencia. Esto significa que el techo se calcula sobre la facturación mundial de toda la unidad económica, no solo de la filial o entidad que fue el responsable directo. Se incluyen los ingresos de la matriz.

La sentencia importa en la práctica porque condiciona tanto el modo en que las autoridades abordan las investigaciones sancionadoras como la forma en que las empresas pueden defenderse. Demostrar que una infracción no fue negligente (mediante esfuerzos de cumplimiento razonables y documentados) es ahora una defensa viable.

Cómo Se Calculan las Multas del RGPD: Directrices 04/2022 del CEPD

Las Directrices 04/2022 del CEPD sobre el cálculo de multas administrativas establecen una metodología de cinco pasos que siguen las autoridades de control de todos los Estados miembros de la UE. Las directrices se finalizaron en junio de 2023 tras una consulta pública.

La metodología no es una fórmula automatizada. Las multas siguen siendo una cuestión de discrecionalidad de la autoridad de control dentro de los pasos, pero el marco crea coherencia entre jurisdicciones.

Paso 1: Identificar las Operaciones de Tratamiento y las Disposiciones Aplicables

La autoridad identifica qué operaciones de tratamiento están en cuestión y qué disposiciones del RGPD se infringieron. Cuando varias infracciones surgen del mismo conjunto de operaciones de tratamiento, se aplica el artículo 83, apartado 3: se impone una única multa por la infracción más grave en lugar de multas separadas por cada violación. Esto evita la multiplicación artificial de sanciones por lo que funcionalmente es una sola conducta.

Paso 2: Determinar el Importe de Partida

El importe de partida refleja tres variables.

Naturaleza de la infracción: ¿Qué nivel del artículo 83 se aplica? ¿La disposición infringida es central para los derechos fundamentales de los interesados, o es un procedimiento organizativo?

Gravedad: ¿Qué tan grave es la infracción en términos concretos? El número de interesados afectados, la sensibilidad de los datos implicados (los datos de categorías especiales, como los datos de salud o biométricos, se tratan con mayor severidad), el perjuicio económico u otro daño sufrido y el alcance geográfico.

Duración: ¿Cuánto tiempo se prolongó la infracción? Una infracción descubierta y corregida en cuestión de días se trata de forma diferente a una que persistió durante años.

El importe de partida también se calibra en función de la facturación de la empresa. Una multa que sería disuasoria para una PYME sería insignificante para una multinacional, por lo que la cifra absoluta se ajusta según el tamaño de la organización.

Paso 3: Evaluar las Circunstancias Agravantes y Atenuantes

El artículo 83, apartado 2, enumera factores específicos que las autoridades deben ponderar. Estos elevan o reducen el importe calculado:

La cooperación es uno de los factores más relevantes en la práctica. Las organizaciones que actúan con transparencia, aplican medidas correctivas con rapidez y responden plenamente a las solicitudes de información reciben sistemáticamente multas más bajas que las que retrasan u obstruyen el proceso.

Paso 4: Aplicar el Máximo Legal

El importe calculado se compara con el techo aplicable para el nivel correspondiente. La multa no puede superar el máximo, sin importar cuán graves sean las circunstancias.

Paso 5: Evaluar la Eficacia, la Proporcionalidad y el Carácter Disuasorio

La cifra final debe satisfacer tres requisitos del artículo 83, apartado 1: ser eficaz (capaz de garantizar el cumplimiento), proporcionada (no excesiva en relación con la infracción y las circunstancias de la organización) y disuasoria (capaz de desalentar futuras infracciones). La autoridad puede ajustar el importe si no cumple los tres requisitos.

La anulación de la multa a Amazon en marzo de 2026 ilustra la importancia de este paso, aunque fue el segundo de los dos motivos de anulación. La Cour administrative de Luxemburgo (el Tribunal Administrativo de Apelación), en la sentencia n.º 52757C de 12 de marzo de 2026, determinó que la CNPD había pasado casi automáticamente de constatar las infracciones a imponer una multa, sin analizar cuál de las medidas a su disposición era la más adecuada. El motivo principal fue otro: la CNPD nunca analizó la culpabilidad, es decir, si la infracción se cometió de forma intencionada o negligente.

Artículo 83, Apartado 2: La Lista Completa de Factores

El artículo 83, apartado 2, especifica once factores que las autoridades de control deben tener en cuenta. Se corresponden directamente con lo que las organizaciones pueden documentar:

1. Naturaleza, gravedad y duración de la infracción
2. Si la infracción fue intencionada o negligente
3. Medidas adoptadas para mitigar el daño
4. Grado de responsabilidad, teniendo en cuenta las medidas técnicas y organizativas conforme a los artículos 25 y 32
5. Infracciones anteriores relevantes del responsable o encargado
6. Grado de cooperación con la autoridad de control
7. Categorías de datos personales afectados
8. Cómo tuvo conocimiento la autoridad de la infracción (autodenuncia frente a descubrimiento por denuncia)
9. Si se habían ordenado previamente medidas conforme al artículo 58, apartado 2, contra el mismo responsable o encargado
10. Adhesión a códigos de conducta aprobados (artículo 40) o mecanismos de certificación (artículo 42)
11. Cualquier otro factor agravante o atenuante aplicable

Las Multas Más Grandes del RGPD y su Estado Actual

La siguiente tabla recoge las diez multas del RGPD más grandes impuestas hasta la fecha. El estado de apelación está verificado a fecha de mayo de 2026, salvo la fila de Uber de 2026, que verificamos frente a la propia página de resolución de la autoridad neerlandesa el 3 de septiembre de 2026. La fila de Google de 2026 se verificó frente al propio anuncio de la Comisión de Protección de Datos de Irlanda el 21 de septiembre de 2026. La fila de Amazon se verificó el 24 de septiembre de 2026 frente al resumen de la sentencia n.º 52757C publicado por la propia justicia luxemburguesa y frente a los comunicados de la CNPD.

Notas Clave de los Casos

Meta, 1200 millones de euros (mayo de 2023). La DPC de Irlanda impuso esta multa récord tras una decisión vinculante del CEPD. Meta transfirió datos de usuarios de Facebook de la UE a EE. UU. bajo Cláusulas Contractuales Tipo, pero el CEPD determinó que las CCT no podían proteger adecuadamente los datos de la UE dada la legislación de vigilancia estadounidense. Meta apeló ante el Tribunal General de la UE; la apelación se desbloqueó formalmente tras una resolución procesal del TJUE a principios de 2026 y sigue pendiente. Meta adoptó el Marco de Privacidad de Datos UE-EE. UU. como mecanismo de transferencia de cara al futuro, pero esto no subsana retroactivamente la infracción histórica.

Uber, 824.990.000 euros (agosto de 2026). La AP neerlandesa impuso la segunda multa del RGPD más grande jamás registrada a Uber por el bloqueo automatizado de conductores. Entre 2018 y 2022, el software de Uber desactivó temporalmente cuentas de conductores por sospecha de fraude y de forma permanente por calificaciones de clientes persistentemente bajas, sin ninguna evaluación humana antes de que la decisión surtiera efecto. La AP determinó que esto infringía la prohibición del RGPD sobre las decisiones totalmente automatizadas y que Uber no había informado adecuadamente a los conductores al respecto. El caso llegó al regulador neerlandés a través del mecanismo de ventanilla única: 171 conductores franceses presentaron una queja ante la Ligue des droits de l'Homme, que presentó una denuncia ante la CNIL, y la AP asumió la investigación porque la sede europea de Uber está en los Países Bajos. La AP señaló la facturación mundial de Uber de aproximadamente 44 500 millones de euros en 2025 frente al techo del 4% del RGPD. Uber ha presentado una apelación, y la AP registra esta como la cuarta multa que ha impuesto contra la empresa.

Amazon, 746 millones de euros (2021, anulada en marzo de 2026). La CNPD de Luxemburgo impuso esta multa por el uso del "interés legítimo" como base jurídica de Amazon para la publicidad conductual. El 12 de marzo de 2026, la Cour administrative de Luxemburgo (el Tribunal Administrativo de Apelación, última instancia) anuló la resolución de la CNPD de 15 de julio de 2021 en todas sus partes mediante la sentencia n.º 52757C y devolvió el caso al regulador. Se trata de un tribunal distinto del tribunal administratif, el Tribunal Administrativo de primera instancia, que había desestimado el recurso de Amazon el 18 de marzo de 2025 (n.º 46578).

La Cour administrative se apoyó en dos motivos, ambos análisis que la CNPD no había realizado. El motivo principal fue la culpabilidad: las multas administrativas solo pueden imponerse cuando la infracción se ha cometido de forma intencionada o negligente, como resolvió el TJUE en Deutsche Wohnen (C-807/21) y Nacionalinis (C-683/21), ambas de 5 de diciembre de 2023, y la CNPD nunca efectuó ese análisis. El segundo motivo fue la elección de la medida: la CNPD pasó casi automáticamente de constatar las infracciones a imponer una multa, sin analizar debidamente cuál de las medidas correctivas a su alcance era la más adecuada.

El tribunal no dio la razón a Amazon en cuanto al fondo. Confirmó la sustancia de las infracciones, incluido que Amazon no podía ampararse en el interés legítimo como base jurídica de la publicidad basada en intereses y que sus mecanismos de transparencia no cumplían la normativa en el momento de la resolución. La orden de subsanación y la multa coercitiva de 746.000 euros diarios asociada a ella se declararon sin objeto, porque para la vista de 8 de enero de 2026 Amazon ya había adecuado el tratamiento, algo que confirmó la propia representación letrada de la CNPD. Actualmente no hay ninguna multa exigible. El asunto vuelve a estar ante la CNPD, que podrá imponer una nueva sanción una vez realice ambos análisis.

TikTok, 530 millones de euros (2 de mayo de 2025). La DPC de Irlanda multó a TikTok con 45 millones de euros por no informar a los usuarios del EEE sobre el posible acceso a sus datos desde China (infracción del artículo 13) y con 485 millones de euros por transferir datos de usuarios del EEE a China sin garantías efectivas conforme al artículo 46. La DPC también ordenó a TikTok suspender las transferencias en un plazo de seis meses. TikTok presentó una apelación ante el Tribunal Superior de Irlanda en mayo de 2025. En noviembre de 2025, el tribunal suspendió la orden de suspensión de la transferencia de datos mientras dura la apelación, lo que significa que TikTok no tiene que detener las transferencias a China mientras continúa el proceso. La multa de 530 millones de euros en sí no ha sido suspendida.

LinkedIn, 310 millones de euros (octubre de 2024). La DPC de Irlanda determinó que LinkedIn se basó en un consentimiento inválido, intereses ilegítimos y una necesidad contractual ilegítima como bases jurídicas para el análisis conductual y la publicidad. LinkedIn presentó una apelación ante el Tribunal Superior alegando que la multa era desproporcionada. La apelación está pendiente.

Uber, 290 millones de euros (agosto de 2024). La AP de los Países Bajos multó a Uber por transferir datos de conductores de la UE (incluidos antecedentes penales, datos médicos e información de ubicación) a la sede central de Uber en EE. UU. sin ningún mecanismo de transferencia durante más de dos años. Uber ha apelado; el proceso puede tardar hasta cuatro años.

Por Qué Irlanda Domina las Multas Más Grandes

Seis de las diez multas más importantes fueron impuestas por la Comisión de Protección de Datos de Irlanda. El mecanismo de ventanilla única del RGPD asigna la autoridad de control principal a la autoridad de protección de datos del Estado miembro donde una empresa tiene su establecimiento principal en la UE. Meta, Google, Apple, TikTok, LinkedIn y Microsoft eligieron todos Dublín, lo que convierte a la DPC de Irlanda en su autoridad principal. El ritmo sancionador de la DPC se aceleró después de 2022, tras la presión sostenida del CEPD y de otras autoridades de la UE que consideraban insuficiente la aplicación de la norma a las grandes plataformas tecnológicas.

Consecuencias Más Allá de las Multas

Las multas administrativas son la herramienta de aplicación del RGPD más visible, pero las autoridades de control disponen de un amplio conjunto de poderes correctivos conforme al artículo 58, apartado 2, y las personas tienen derechos de compensación civil independientes conforme al artículo 82.

Poderes Correctivos Conforme al Artículo 58, Apartado 2

Las autoridades de control pueden imponer cualquiera de las siguientes medidas, por separado o además de una multa:

• Advertencias y apercibimientos: usados para infracciones menos graves o infractores primerizos
• Órdenes de cumplimiento: exigir al responsable o encargado que adecúe el tratamiento en un plazo determinado
• Prohibiciones temporales o definitivas del tratamiento: prohibir actividades de tratamiento específicas
• Órdenes de supresión de datos: exigir la eliminación de datos personales recopilados en infracción del RGPD
• Suspensión de transferencias de datos: prohibir las transferencias de datos personales a un tercer país
• Órdenes de notificación a los interesados: exigir la notificación a las personas cuando el responsable no lo haya hecho

Las prohibiciones de tratamiento y las suspensiones de transferencia pueden ser existenciales para empresas cuyo negocio depende de las actividades afectadas. TikTok obtuvo una suspensión judicial de la orden de suspensión de transferencia de la DPC de Irlanda precisamente porque detener las transferencias a China se consideraba operativamente más perjudicial que la multa de 530 millones de euros. La orden no implicaba dinero; fue la consecuencia operativa la que impulsó el litigio.

Compensación Civil Conforme al Artículo 82

El artículo 82 otorga a cualquier persona que haya sufrido un daño material o inmaterial como consecuencia de una infracción del RGPD el derecho a reclamar una compensación al responsable o encargado del tratamiento responsable. Tanto el responsable como cualquier encargado implicado responden solidariamente; un encargado solo puede eximirse de responsabilidad demostrando que no incurrió en culpa alguna.

El TJUE aclaró el alcance del artículo 82 en su sentencia de mayo de 2023 en el asunto C-300/21 (Österreichische Post). Se establecieron tres principios.

Deben cumplirse las tres condiciones: una infracción del RGPD, un daño real sufrido y un nexo causal entre la infracción y el daño. Una infracción sin daño probado no da derecho al demandante a una compensación.

No existe un umbral mínimo de gravedad para el daño inmaterial: el artículo 82 no exige que la angustia o la ansiedad emocional alcancen una gravedad determinada para dar derecho a compensación. Los Estados miembros no pueden imponer su propio umbral de gravedad.

Los importes de la compensación se determinan conforme al derecho nacional, con sujeción a los principios de equivalencia y efectividad del derecho de la UE. Las indemnizaciones varían considerablemente entre Estados miembros.

En la práctica, las reclamaciones del artículo 82 se presentan junto con la actuación sancionadora, mediante procedimientos de representación, o en un litigio civil independiente. Las multas regulatorias y las reclamaciones de compensación civil pueden avanzar simultáneamente, creando una responsabilidad de doble vía por la misma infracción del RGPD.

Tendencias de Aplicación: 2024 a 2026

Estado del rastreador (verificado el 3 de septiembre de 2026): la multa más alta impuesta hasta ahora en 2026 es la sanción de la AP neerlandesa de 824.990.000 euros contra Uber, impuesta el 21 de agosto de 2026 por desactivaciones totalmente automatizadas de conductores. Es también la segunda multa del RGPD más grande jamás registrada, solo por detrás de la multa por transferencias de 1200 millones de euros a Meta, y Uber ha apelado. Antes de esta, la mayor multa de 2026 era la sanción de la CNIL de 27 millones de euros contra Free Mobile (anunciada el 13 de enero de 2026, por una filtración de datos de 2024 que afectó a aproximadamente 24 millones de cuentas de abonados, junto con una multa complementaria de 15 millones de euros contra Free en la misma actuación). La sentencia del Tribunal Superior de Irlanda del 3 de junio de 2026, que confirmó la multa de 530 millones de euros contra TikTok mencionada anteriormente, sigue siendo un hecho de aplicación relevante del año. Cabe destacar el cambio de materia: la decisión sobre Uber se basa en la toma de decisiones automatizada y no en las transferencias internacionales, la teoría que produjo la mayoría de las multas récord anteriores.

Estadísticas de 2025 e Informe Anual del CEPD

El CEPD publicó su Informe Anual de 2025 en abril de 2026. Las autoridades nacionales de protección de datos impusieron un total combinado de 1150 millones de euros en multas durante 2025, impulsado casi por completo por la decisión de la DPC de Irlanda contra TikTok. El total acumulado desde mayo de 2018 ha superado los 7100 millones de euros en más de 2800 sanciones.

La acción del Marco de Aplicación Coordinada (CEF) de 2025 del CEPD se centró en el derecho de supresión conforme al artículo 17. Participaron treinta y dos autoridades de protección de datos, que examinaron a 764 responsables del tratamiento en toda Europa, desde PYME hasta grandes corporaciones y organismos públicos.

La acción CEF 2026 se centra en las obligaciones de transparencia e información conforme a los artículos 13 y 14, examinando si las organizaciones ofrecen a los interesados avisos de privacidad claros, completos y accesibles. Las organizaciones con políticas de privacidad genéricas o incompletas enfrentan un mayor escrutinio en 2026.

Dónde Se Concentra la Aplicación

Varios patrones caracterizan la aplicación de la norma entre 2024 y 2026.

Las transferencias internacionales de datos siguen siendo una fuente principal de las multas más grandes. La sanción más grande del RGPD con diferencia, los 1200 millones de euros a Meta, implica transferencias de datos personales de la UE a un país sin decisión de adecuación, al igual que la multa de 530 millones de euros a TikTok y la multa de la AP neerlandesa de 290 millones de euros a Uber de 2024. Las dos siguientes multas más grandes por valor se basan en fundamentos distintos, por lo que las transferencias son un hilo dominante y no la totalidad de la cabeza de la tabla: la multa de la AP neerlandesa de 824.990.000 euros contra Uber en 2026 gira en torno a la toma de decisiones totalmente automatizada, y la multa anulada de 746 millones de euros contra Amazon se basaba en una base jurídica inválida para la publicidad conductual. El Marco de Privacidad de Datos UE-EE. UU., adoptado en julio de 2023, proporciona un mecanismo legal para las empresas certificadas, pero su validez sigue siendo objeto de disputa ante los tribunales de la UE. Para las transferencias a China y otros países, no existe una decisión de adecuación y el escrutinio es intenso.

Publicidad conductual y bases jurídicas inválidas. La conclusión de que el "interés legítimo" y la "necesidad contractual" no pueden sustentar la elaboración de perfiles conductuales y la publicidad dirigida ha generado ya multas significativas contra Meta, Amazon, LinkedIn y otras empresas. Las compañías cuyo modelo de ingresos depende de la publicidad conductual siguen expuestas mientras no obtengan un consentimiento específico y válido.

IA y tratamiento de datos. El dictamen del CEPD de abril de 2025 aclaró que los grandes modelos de lenguaje rara vez logran una anonimización conforme al RGPD. Los responsables que utilizan herramientas de IA de terceros que tratan datos personales deben evaluar su base jurídica y documentar una evaluación de interés legítimo cuando corresponda.

Fallos de gobernanza, no solo resultados de incidentes. La aplicación de la norma se ha desplazado hacia la sanción de deficiencias estructurales (ausencia de cifrado, gestión deficiente de proveedores, controles de acceso inadecuados) independientemente de si realmente se ha producido una violación de seguridad.

RGPD Ómnibus IV: Reformas Propuestas

En noviembre de 2025, la Comisión Europea publicó el paquete Ómnibus IV, que propone modificaciones específicas destinadas a reducir la carga administrativa. Entre las propuestas clave figuran la ampliación de las exenciones de mantenimiento de registros del artículo 30 a organizaciones con menos de 750 empleados (actualmente 250), y la extensión de disposiciones específicas para PYME a las "pequeñas empresas de mediana capitalización".

El CEPD y el SEPD acogieron con satisfacción algunos aspectos mientras solicitaban aclaraciones. No se espera que el paquete sea adoptado formalmente antes de finales de 2026, como muy pronto. La estructura de multas del artículo 83 no se ve afectada por las propuestas actuales.

Cómo Reducir el Riesgo de Multas del RGPD

Las autoridades de control ponderan la postura de cumplimiento, la cooperación y la subsanación al calcular las multas. Los siguientes pasos previenen infracciones y reducen las sanciones si se produce una infracción.

Documente Todo

El principio de responsabilidad proactiva del RGPD (artículo 5, apartado 2) exige que las organizaciones demuestren el cumplimiento, no simplemente que cumplan. Mantenga registros de las actividades de tratamiento, EIPD completadas, evaluaciones de base jurídica, registros de formación del personal, contratos con proveedores con las cláusulas del artículo 28 y políticas de privacidad actualizadas. La documentación es prueba de buena fe y sirve directamente como factor atenuante.

Responda a los Incidentes de Inmediato

Cuando se produce una violación de seguridad o un fallo de cumplimiento, la rapidez importa. El plazo de notificación de 72 horas es una obligación legal, pero la respuesta rápida también es un atenuante. La subsanación inmediata, la notificación oportuna a la autoridad de control y la comunicación transparente juegan a favor de la organización. Consulte nuestra guía sobre la regla de notificación de violaciones de seguridad en 72 horas del RGPD para conocer el proceso completo de notificación.

Coopere con las Investigaciones de la Autoridad de Control

Las organizaciones que responden con prontitud a las solicitudes de información, permiten el acceso para inspecciones y aplican los cambios recomendados reciben sistemáticamente multas más bajas que las que retrasan o litigan en cada paso. La cooperación plena figura expresamente como factor atenuante en el artículo 83, apartado 2, letra f.

Audite las Transferencias Internacionales de Datos

Las transferencias transfronterizas siguen siendo responsables de la mayor multa del RGPD y de varias otras dentro de las diez más grandes, por lo que mapear cada flujo de datos saliente y verificar mecanismos de transferencia válidos es una tarea de cumplimiento de alta prioridad. Las Cláusulas Contractuales Tipo deben ir acompañadas de una Evaluación de Impacto de la Transferencia para las transferencias a países sin decisión de adecuación.

Valide las Bases Jurídicas para Publicidad y Analítica

La oleada de multas contra Meta, Amazon, LinkedIn y otras por bases jurídicas inválidas en la publicidad conductual demuestra que el interés legítimo no es un puerto seguro para la elaboración de perfiles y la publicidad dirigida. Las organizaciones que se basan en este fundamento para la analítica o la publicidad deben hacer revisar sus evaluaciones por asesores con experiencia en la aplicación del RGPD.

Invierta en Formación del Personal y en Privacidad desde el Diseño

Muchas infracciones se derivan de errores de empleados o de productos creados sin principios de minimización de datos. La formación regular y documentada, junto con la revisión de privacidad desde el diseño de nuevos productos y funciones, reduce tanto la probabilidad de infracciones como la constatación de negligencia que agravaría una multa conforme a la doctrina Deutsche Wohnen.

Use la Lista de Verificación de Cumplimiento del RGPD

Nuestra lista de verificación de cumplimiento del RGPD cubre todas las obligaciones clave en un formato estructurado. Las organizaciones con programas de cumplimiento documentados están mejor posicionadas para demostrar la responsabilidad proactiva que exigen las autoridades de control.

Más Guías sobre el RGPD

• ¿Qué es el RGPD? para una visión general completa del reglamento y su alcance
• Lista de Verificación de Cumplimiento del RGPD para una guía de cumplimiento paso a paso para organizaciones
• Derechos de los Interesados en el RGPD para conocer los ocho derechos individuales y cómo responder a ellos
• Requisitos de Consentimiento del RGPD para saber qué constituye un consentimiento válido conforme al artículo 7
• Regla de Notificación de Violaciones de Seguridad en 72 Horas del RGPD para las obligaciones y plazos de notificación de violaciones de seguridad
• RGPD para Pequeñas Empresas para orientación de cumplimiento específica para PYME
• Leyes de Privacidad de Datos de la UE para una visión general completa del marco europeo de protección de datos

Preguntas frecuentes

¿Cuál es la multa máxima del RGPD?

La multa máxima del RGPD es de 20 millones de euros o el 4% de la facturación anual mundial total de la organización correspondiente al ejercicio financiero anterior, lo que sea mayor. Esta sanción del nivel superior se aplica a las infracciones de los principios fundamentales de tratamiento, los derechos de los interesados, las normas de consentimiento y los requisitos de transferencia internacional conforme al artículo 83, apartado 5. Para las infracciones del nivel inferior, como los fallos en el mantenimiento de registros y en la designación del DPD, el máximo es de 10 millones de euros o el 2% de la facturación global.

¿Cuál es la multa del RGPD más grande jamás impuesta?

La multa del RGPD confirmada más grande es de 1200 millones de euros, impuesta a Meta Platforms Ireland Limited por la Comisión de Protección de Datos de Irlanda en mayo de 2023 por transferir datos de usuarios de Facebook de la UE a Estados Unidos sin garantías adecuadas. La multa resultó de una decisión vinculante del CEPD. Meta ha apelado ante el Tribunal General de la UE; la apelación sigue pendiente a fecha de 2026. La segunda multa más grande jamás registrada es la sanción de la AP neerlandesa de 824.990.000 euros contra Uber, impuesta el 21 de agosto de 2026 por desactivaciones totalmente automatizadas de conductores; Uber ha apelado. La multa de 746 millones de euros a Amazon, que anteriormente ocupaba el segundo puesto, fue anulada por la Cour administrative de Luxemburgo en marzo de 2026 y devuelta al regulador para su reevaluación.

¿Puede multarse a una empresa conforme al RGPD sin ninguna intención de infringir las normas?

No. El TJUE confirmó en su sentencia de diciembre de 2023 en el asunto Deutsche Wohnen (C-807/21) que las multas del RGPD exigen que la infracción se haya cometido de forma intencionada o negligente. La responsabilidad objetiva es incompatible con el artículo 83. Sin embargo, la negligencia es un umbral bajo: no adoptar medidas razonables de cumplimiento generalmente lo satisface. Una organización que hace un esfuerzo genuino y documentado por cumplir pero aun así comete un error tiene un argumento viable para una multa reducida.

¿Cómo se calculan las multas del RGPD?

Las autoridades de control siguen las Directrices 04/2022 del CEPD, que establecen un proceso de cinco pasos: identificar las infracciones y evaluar el artículo 83, apartado 3, sobre infracciones múltiples; determinar un importe de partida basado en la naturaleza, la gravedad y la duración, y en la facturación de la organización; evaluar los factores agravantes y atenuantes, incluidos la intención, la cooperación, las infracciones previas, las categorías de datos y las medidas de subsanación; aplicar el máximo legal para el nivel correspondiente; y evaluar si el importe final es eficaz, proporcionado y disuasorio.

¿Pueden aplicarse las multas del RGPD a empresas fuera de la UE?

Sí. El RGPD se aplica a cualquier organización en el mundo que trate datos personales de personas en la UE, y las multas se aplican por igual a las empresas de fuera de la UE. TikTok (propiedad china, 530 millones de euros a través de la DPC de Irlanda), Amazon (con sede en EE. UU., 746 millones de euros a través de la CNPD de Luxemburgo, ahora anulada en apelación) y Uber (con sede en EE. UU., 290 millones de euros en 2024 y 824.990.000 euros en 2026, ambas a través de la AP de los Países Bajos) han recibido todas multas importantes a pesar de tener su sede fuera de la UE.

¿Qué ocurrió con la multa de 746 millones de euros del RGPD a Amazon?

La multa de 746 millones de euros a Amazon, impuesta por la CNPD de Luxemburgo en 2021 por usar una base jurídica inválida para la publicidad conductual, fue anulada el 12 de marzo de 2026 por la Cour administrative de Luxemburgo, el Tribunal Administrativo de Apelación y última instancia, mediante la sentencia n.º 52757C. El motivo principal fue que la CNPD nunca analizó la culpabilidad, es decir, si la infracción se cometió de forma intencionada o negligente, un requisito que el TJUE estableció en Deutsche Wohnen (C-807/21) y Nacionalinis (C-683/21). El segundo motivo fue que la CNPD no analizó debidamente cuál de las medidas disponibles era la más adecuada. El tribunal no dio la razón a Amazon en cuanto al fondo: confirmó la sustancia de las infracciones, incluido que el interés legítimo no podía sustentar la publicidad basada en intereses. Actualmente no hay ninguna multa exigible y el asunto vuelve a estar ante la CNPD, que podrá imponer una nueva sanción una vez realice ambos análisis.

¿Pueden las personas demandar por infracciones del RGPD?

Sí. El artículo 82 otorga a las personas el derecho a reclamar una compensación a los responsables o encargados del tratamiento por daños materiales e inmateriales causados por una infracción del RGPD. El TJUE confirmó en el asunto Österreichische Post (C-300/21, mayo de 2023) que no existe un umbral mínimo de gravedad: cualquier angustia probada puede dar derecho a compensación. Sin embargo, los demandantes deben probar una infracción real, un daño real y un nexo causal. La actuación sancionadora y las reclamaciones civiles pueden avanzar simultáneamente.

¿Qué país de la UE impone más multas del RGPD?

La Agencia Española de Protección de Datos (AEPD) impone el mayor volumen de multas individuales, más de 1000 desde 2018, principalmente sanciones menores dirigidas a empresas nacionales. La Comisión de Protección de Datos de Irlanda lidera en valor total de multas con más de 4000 millones de euros acumulados, porque grandes empresas tecnológicas como Meta, TikTok, LinkedIn, Google y Apple tienen su sede europea en Dublín, lo que convierte a la DPC de Irlanda en su autoridad de control principal conforme al mecanismo de ventanilla única.

¿Cuáles son las infracciones del RGPD más comunes que dan lugar a multas?

Las infracciones más comunes que generan multas son: tratar datos sin una base jurídica válida conforme al artículo 6; medidas técnicas de seguridad inadecuadas que provocan violaciones de seguridad de los datos; transferencias internacionales de datos ilícitas sin garantías adecuadas; no responder a las solicitudes de derechos de los interesados dentro de los plazos legales; y transparencia insuficiente en los avisos de privacidad. Las multas más grandes se han concentrado en las transferencias internacionales y en las bases jurídicas inválidas para la publicidad conductual, y desde agosto de 2026 la segunda multa más grande jamás registrada se basa en un fundamento adicional, la prohibición de la toma de decisiones totalmente automatizada.