Desde 2020, los reguladores han impuesto más de 6.650 millones de euros en multas. Solo a Meta se le sancionó con 1.200 millones de euros y a Amazon con 746 millones. Y estas empresas conocen el cumplimiento normativo: cuentan con equipos de seguridad dedicados y presupuestos de compliance abultados.
Sin embargo, las infracciones no cesan.
Una de las razones detrás de esto es la falta de visibilidad de las organizaciones sobre lo que ocurre en el lado del cliente. Con frecuencia, scripts de terceros se ejecutan sin control en los navegadores de los usuarios, ignorando sus preferencias de consentimiento o enviando datos al extranjero sin su conocimiento. Esto expone a las empresas a infracciones del RGPD.
Resumen ejecutivo
- ¿Cuáles son las sanciones por infringir el RGPD? Las sanciones del RGPD pueden alcanzar hasta 20 millones de euros o el 4 % de la facturación anual global, la cifra que sea mayor. Se han impuesto multas tan bajas como 50 euros, mientras que la mayor sanción hasta la fecha fue de 1.200 millones de euros (Meta). Además de las sanciones económicas, los reguladores también pueden aplicar órdenes correctivas, auditorías y prohibiciones de tratamiento.
- ¿Cuáles son algunos casos sonados de incumplimiento del RGPD en los últimos años? Ha habido varias infracciones del RGPD de alto perfil con multas de cientos de millones de euros. Meta, Amazon y TikTok han sido sancionadas por tratamiento ilícito de datos, fallos en la obtención del consentimiento y transferencias transfronterizas de datos, respectivamente.
- ¿Pueden las pequeñas empresas ser multadas bajo el RGPD? Sí. La aplicación de la norma no se limita a las grandes corporaciones. Los reguladores sancionan a organizaciones pequeñas y medianas por cuestiones cotidianas como el consentimiento en marketing, formularios engañosos y transferencias analíticas no autorizadas.
- ¿Por qué es importante la seguridad del lado del cliente para el cumplimiento del RGPD? Los scripts de terceros que gestionan datos en el navegador suelen quedar sin supervisión. Estos se consideran encargados del tratamiento bajo el RGPD, y la falta de visibilidad sobre ellos genera incumplimientos de los artículos 25, 28, 32 y otros.
Cuáles son las sanciones por infracciones del RGPD
Las sanciones del RGPD dependen de la gravedad del incidente. La multa máxima alcanza 20 millones de euros o el 4 % de la facturación anual global, la cifra que sea mayor. Las empresas que puedan demostrar supervisión continua y medidas preventivas pueden obtener sanciones más reducidas.
Razones más comunes de las infracciones del RGPD
La aplicación del RGPD sigue ciertos patrones. Los reguladores tienden a sancionar las mismas categorías de infracciones, ya sean fallos de consentimiento o brechas de seguridad.
Estas son algunas de las causas más frecuentes.
- Base jurídica insuficiente o consentimiento inválido: El artículo 6 exige que toda actividad de tratamiento tenga una base jurídica legítima. Las casillas premarcadas y los formularios de consentimiento agrupado, aceptables en otras geografías, pueden vulnerar los requisitos de consentimiento del RGPD. Lo mismo ocurre con las cookies que obligan a los usuarios a aceptar el rastreo.
- Falta de transparencia: Conforme a los artículos 12 y 13, las organizaciones deben explicar la recogida y el tratamiento de datos en un lenguaje sencillo. Las multas se dirigen a políticas de privacidad que omiten detalles sobre la cesión a terceros o no reflejan con precisión la actividad de tratamiento en el sitio web.
- Medidas de seguridad insuficientes: El artículo 32 obliga a las organizaciones a implementar salvaguardas técnicas y organizativas adecuadas para reducir el riesgo de exposición de datos. Los reguladores imponen multas tras brechas que revelan prácticas de seguridad deficientes. Los fallos habituales incluyen datos sin cifrar e inyecciones de código en sitios web que extraen datos.
- Tratamiento ilícito de datos o incumplimiento de la limitación de la finalidad: El artículo 5 restringe el uso de los datos exclusivamente a los fines declarados inicialmente. Utilizar datos para marketing sin permiso o recopilar información excesiva más allá de la finalidad declarada puede atraer presión regulatoria o demandas civiles.
- Infracciones de datos relacionadas con terceros: Los responsables del tratamiento son responsables de cómo los encargados o proveedores externos gestionan sus datos. Las multas se derivan de compartir datos personales con proveedores sin los acuerdos de tratamiento de datos (ATD) adecuados. Permitir que scripts y herramientas analíticas transfieran datos sin protección tiene el mismo efecto.
- Incumplimiento de los derechos de los interesados: El artículo 15 reconoce a los consumidores el derecho a acceder, rectificar, suprimir y portar sus datos en un plazo determinado. Si la respuesta del responsable a estas solicitudes se demora, los organismos supervisores imponen sanciones con rapidez.
Razones adicionales de las infracciones del RGPD
Multas por minimización de datos
La minimización de datos (art. 5(1)(c) del RGPD) implica que los datos personales deben ser pertinentes y limitados a lo necesario para la finalidad perseguida. El sitio web inmobiliario PAP (pap.fr) fue multado con 100.000 euros después de que la CNIL detectara incumplimientos en los plazos de conservación (datos retenidos más tiempo del necesario).
Transferencias transfronterizas de datos
Las transferencias transfronterizas (capítulo 5 del RGPD) se vuelven arriesgadas cuando los datos personales salen del Espacio Económico Europeo (EEE) hacia un país sin decisión de adecuación y el exportador no puede garantizar una protección equivalente.
Por ejemplo, la Autoridad de Protección de Datos neerlandesa multó a Uber con 290 millones de euros por transferir datos de conductores europeos a servidores estadounidenses sin las salvaguardas adecuadas.
Tecnologías de rastreo
Esta categoría de aplicación se centra en cookies, píxeles, SDK e identificadores publicitarios que perfiles a los usuarios o los siguen entre sitios sin consentimiento válido.
Los reguladores tratan el rastreo ilícito como de alto impacto porque puede ser continuo, a gran escala y difícil de evitar para los usuarios. Por ejemplo, la CNIL multó a Shein con 150 millones de euros por prácticas de cookies que no cumplían los requisitos de consentimiento.
Total de multas del RGPD por tipo de infracción
| Categoría de infracción | Total de multas (€) | Ejemplo destacado |
|---|---|---|
| Base jurídica insuficiente para el tratamiento de datos | €3.010.751.097 | Meta: 1.200 M€ por transferencias ilícitas de datos UE-EE. UU. |
| Incumplimiento de los principios generales del tratamiento de datos | €2.527.583.332 | Amazon: 746 M€ (CNPD de Luxemburgo) |
| Medidas técnicas y organizativas insuficientes para garantizar la seguridad de la información | €883.754.537 | Meta: 265 M€ (investigación sobre scraping de datos de Facebook) |
| Cumplimiento insuficiente de las obligaciones de información | €252.723.860 | WhatsApp: 225 M€ por obligaciones de transparencia e información |
| Cumplimiento insuficiente de los derechos de los interesados | €103.066.766 | Multa de 100.000 € impuesta a una empresa de telecomunicaciones por la APD belga por gestionar incorrectamente una solicitud de acceso de un interesado |
Fuente de datos: CMS GDPR Enforcement Tracker, a diciembre de 2025. El total acumulado de multas asciende a aproximadamente 6.600 millones de euros.
Principales sanciones del RGPD en los últimos años (clasificadas por causa)
Hemos elaborado un análisis de las infracciones del RGPD más relevantes por causa. Estos casos ilustran qué tipo de fallos tienden a desencadenar las sanciones más significativas.
1. Ejemplo de multa del RGPD: Falta de base jurídica o consentimiento inválido
LinkedIn Ireland fue multada con 310 millones de euros por utilizar una base jurídica incorrecta para publicidad y analítica. La empresa empleaba datos de usuarios para publicidad dirigida y alegaba que dicho tratamiento era necesario para ejecutar su contrato con los usuarios.
Los reguladores rechazaron estos argumentos porque la publicidad dirigida no era necesaria para prestar el servicio de LinkedIn. Además, LinkedIn no informó a los usuarios sobre qué base jurídica se aplicaba a cada tipo de tratamiento. Por tanto, el tratamiento de datos carecía de base jurídica válida conforme al artículo 6.
En otra actuación sancionadora, INFINITE STYLES SERVICES CO. LIMITED, que opera la marca de moda Shein, recibió una multa de 150 millones de euros por empujar a los usuarios a aceptar el rastreo y la elaboración de perfiles mediante un diseño de interfaz manipulador.
Si los usuarios no pueden entender claramente por qué se tratan sus datos, o si el consentimiento no es una elección real, la organización corre el riesgo de infringir el RGPD.
2. Ejemplo de multa del RGPD: Falta de transparencia
WhatsApp fue multada por la Comisión de Protección de Datos irlandesa por no aclarar cómo se trataban los datos personales de los usuarios entre WhatsApp y otros servicios propiedad de Facebook. WhatsApp tampoco informó a los no usuarios cuyos números de teléfono trataba cuando se subían contactos. Además, los detalles de su política de privacidad no estaban explicados con claridad. Esta falta de transparencia vulneró los artículos 12, 13 y 14 del RGPD, lo que derivó en una sanción de 225 millones de euros.
Otra empresa, Clearview AI, extrajo imágenes faciales de la web pública y las utilizó para identificación biométrica sin recabar el consentimiento explícito de las personas involucradas. Como los afectados no recibieron ningún aviso ni explicación sobre la finalidad, no tenían forma práctica de ejercer sus derechos. Varias autoridades de la UE multaron a la empresa al concluir que su recopilación encubierta de datos vulneraba el RGPD en su núcleo esencial.
La transparencia va más allá de una política de privacidad. El RGPD exige claridad y visibilidad. Si los usuarios no pueden entender fácilmente qué datos se recogen y con qué finalidad, los reguladores tratan esa falta de transparencia como una infracción en sí misma.
3. Ejemplo de multa del RGPD: Ausencia de medidas de seguridad (artículo 32)
El artículo 32 del RGPD exige a las organizaciones proteger los datos personales de los usuarios con medidas de seguridad técnicas y organizativas adecuadas.
La Autoridad Helénica de Protección de Datos multó al Grupo OTE con 3.250.000 euros tras una brecha que expuso datos de llamadas de usuarios transferidos fuera de sus sistemas a un servidor externo. Los investigadores acusaron a OTE de no implementar salvaguardas adecuadas para su infraestructura, lo que permitió la exfiltración de datos personales durante varios días.
De forma similar, la Comisión de Protección de Datos de Irlanda sancionó al Bank of Ireland con 463.000 euros como consecuencia de brechas de datos reiteradas que implicaron la corrupción o divulgación de datos personales de clientes durante transferencias al Registro Central de Crédito (CCR). Al igual que en el caso de OTE, los reguladores concluyeron que el banco no había implementado medidas técnicas y organizativas adecuadas, incumpliendo así el artículo 32.
El artículo 32 es de obligado cumplimiento. Si los sistemas exponen datos por controles de acceso débiles o supervisión de procesos insuficiente, la organización asume el riesgo de incumplir el RGPD.
4. Ejemplo de multa del RGPD: Infracciones de datos relacionadas con terceros o proveedores
La autoridad alemana de protección de datos (BfDI) impuso a Vodafone una multa de 45 millones de euros. De esta cantidad, 15 millones se impusieron específicamente por no revisar ni supervisar a las agencias colaboradoras que actuaban en su nombre. Vodafone no garantizó de forma adecuada que esos socios externos gestionaran los datos de los clientes conforme a los requisitos del artículo 28 del RGPD, poniendo en riesgo los datos de los clientes.
En otro caso, una entidad financiera alemana fue multada con 11 millones de euros tras una mala configuración de los sistemas por parte de un proveedor SaaS que expuso en línea más de 200.000 registros de clientes. Por un lado, el banco no ejerció una supervisión suficiente sobre las prácticas de seguridad de su proveedor. Por otro, el acuerdo con dicho proveedor estaba desactualizado. La brecha desencadenó la actuación del RGPD porque los responsables del tratamiento siguen siendo responsables de la protección de los datos personales, incluso cuando los tratan terceros.
Firmar un contrato con un proveedor no traslada la responsabilidad del cumplimiento al proveedor. El RGPD sitúa la responsabilidad del cumplimiento en la organización que los contrata.
5. Ejemplo de multa del RGPD: Incumplimiento de los derechos de los interesados
En agosto de 2025, la Autoridad de Protección de Datos belga impuso una multa de 100.000 euros a una empresa de telecomunicaciones por gestionar incorrectamente una solicitud de acceso de un interesado (DSAR). Cuando uno de sus clientes solicitó acceso a los registros que mostraban quién había accedido a sus datos personales, la empresa tardó 14 meses en responder. La APD belga concluyó que el responsable vulneró los artículos 12 y 15 del RGPD: no facilitó el ejercicio del derecho de acceso, no se comunicó con prontitud y gestionó incorrectamente el proceso de respuesta.
De forma similar, SATS ASA fue multada con aproximadamente 850.000 euros por la Autoridad de Protección de Datos noruega tras reiteradas quejas por no responder a solicitudes de acceso y supresión. SATS tampoco comunicó las políticas de conservación ni las bases jurídicas, e ignoró solicitudes de eliminación válidas cuando finalizaban las membresías.
Los reguladores sancionan a las empresas que no implementan mecanismos adecuados para gestionar de forma rápida y completa las solicitudes de acceso, supresión y retirada del consentimiento. Con independencia de la complejidad de tu tratamiento, si las personas no pueden ejercer sus derechos en la práctica, el RGPD lo considera una infracción clara.
¿Se multa a las pequeñas y medianas empresas bajo el RGPD?
Sí. Las pymes también reciben multas bajo el RGPD. El tamaño no es un escudo. El RGPD se aplica a cualquier empresa que trate datos personales de ciudadanos de la UE, ya sea una startup en sus inicios o una marca local de comercio electrónico. Sin embargo, el tamaño de la empresa influye en cómo los reguladores evalúan la sanción.
Esto es lo que tienen en cuenta las autoridades de control:
- Tamaño de la empresa e ingresos: Las empresas más pequeñas se enfrentan a multas mucho menores que las que acaparan titulares, pero incluso sanciones modestas pueden dejar huella cuando los márgenes son ajustados.
- Naturaleza y duración de la infracción: Las sanciones dependen de la gravedad de la brecha y del tiempo que permanece sin resolverse. Una exposición breve causada por un script que falla es muy diferente de una fuga de datos que se prolonga meses sin atención.
Negligencia frente a intencionalidad: Las organizaciones que pueden documentar salvaguardas tienden a recibir un trato más favorable. Si una infracción se debe a negligencia de un empleado a pesar de que existían sistemas de privacidad implementados, el importe de la multa puede reducirse.
Ejemplos de multas del RGPD contra pequeñas y medianas empresas
La aplicación del RGPD no se limita a grandes corporaciones como Amazon y Meta. Los reguladores sancionan a organizaciones pequeñas y medianas por cuestiones cotidianas como el consentimiento en marketing, formularios engañosos, transferencias analíticas no autorizadas e incluso la falta de cooperación con una investigación.
Tabla de multas del RGPD contra pequeñas y medianas empresas
| Empresa | País | Autoridad | Año | Importe de la multa | Qué ocurrió |
|---|---|---|---|---|---|
| Knuddels.de (red social pequeña) | Alemania | LfDI Baden-Württemberg | 2018 | €20.000 | Una vulnerabilidad de seguridad provocó la exposición de datos de usuarios; la autoridad lo consideró un fallo en la seguridad del tratamiento. |
| Smart Cities (empresa de Varsovia) | Polonia | UODO | 2021 | PLN 12.000 (aprox. €3.000) | La empresa no cooperó con la autoridad (no respondió ni facilitó el acceso requerido). |
| Vis Consulting Sp. z o.o. (empresa de telemarketing) | Polonia | UODO | 2020 | PLN 20.000 (aprox. €4.674) | Multa por no cooperar durante una inspección. |
| HUBSIDE.STORE (minorista de electrónica) | Francia | CNIL | 2024 | €525.000 | Utilizó datos de contacto suministrados por intermediarios para marketing telefónico o por SMS sin verificar que las personas hubieran dado su consentimiento de forma válida. |
¿Pueden las empresas ser multadas bajo el RGPD por el rastreo de datos de proveedores externos?
Sí. Los operadores de sitios web son responsables de cómo los scripts de terceros gestionan los datos personales.
En el pasado, las autoridades han multado a empresas por infracciones originadas en código de proveedores, integraciones de socios y tecnologías publicitarias que ellas mismas no desarrollaron.
- La CNIL francesa multó a Criteo con 40 millones de euros en 2023. La empresa rastreaba datos de navegación mediante cookies colocadas por sitios web asociados, pero nunca verificó que dichos socios hubieran obtenido un consentimiento válido. Más de la mitad de los sitios asociados analizados no recababan consentimiento legítimo.
- Las autoridades de protección de datos de Austria, Francia, Italia y Suecia dictaminaron que los sitios web que utilizaban Google Analytics infringían el RGPD. Google Analytics transfería identificadores de usuario, parámetros del navegador y direcciones IP a servidores estadounidenses sin las salvaguardas suficientes.
- La CNIL multó a Google con 100 millones de euros y a Amazon con 35 millones en 2020 por colocar cookies publicitarias antes de obtener el consentimiento. El banner de Google colocaba cookies sin esperar a que el usuario tomara una decisión o se opusiera.
- Los botones de redes sociales y los widgets de terceros, como los reproductores de vídeo incrustados, pueden transferir datos a partes externas sin conocimiento del usuario. La DPC irlandesa ha advertido que es responsabilidad de los responsables del tratamiento conocer exactamente qué datos transmiten estas herramientas.
La responsabilidad bajo el RGPD no termina en el código propio
- Los responsables del tratamiento siguen siendo responsables del tratamiento de datos realizado por código de terceros en su sitio web. Deben existir ATD para que los responsables comprendan exactamente qué hace cada encargado con los datos de los usuarios. Las herramientas de monitorización de scripts en sitios web ayudan a los responsables a garantizar que los rastreadores de datos de terceros operan dentro del alcance acordado.
Los encargados y subencargados amplían la superficie de riesgo. El artículo 28 exige a los responsables garantizar que los encargados cumplen los estándares de protección de datos. Esto incluye a los subencargados (scripts de cuarta parte) cargados en tu sitio web por scripts de terceros.
Qué evalúan los reguladores al determinar las sanciones del RGPD
Las autoridades supervisoras siguen los criterios del artículo 83 del RGPD para decidir si imponer una multa y cuál debe ser su cuantía.
Las sanciones son proporcionales tanto a la infracción como a las circunstancias de la organización. Los organismos reguladores consideran en general:
- Naturaleza, gravedad y duración de la infracción
- Intencionalidad frente a negligencia
- Tipos de datos personales afectados
- Medidas adoptadas para contener el daño
- Medidas de seguridad técnicas y organizativas
- Infracciones anteriores
- Cooperación con la autoridad supervisora
Sentencias judiciales que marcaron la aplicación del RGPD
Estas son algunas sentencias relevantes que han configurado la forma en que se aplica el RGPD.
- Google Spain v. Costeja González (C-131/12) dio origen al derecho al olvido. El Tribunal dictaminó que las personas pueden solicitar a los motores de búsqueda que eliminen resultados que muestren información personal desactualizada o irrelevante sobre ellas.
- Planet49 (C-673/17) clarificó los estándares de consentimiento. El Tribunal estableció que las casillas de cookies premarcadas no constituyen consentimiento válido. El consentimiento debe ser explícito y activo, no presupuesto.
- Fashion ID (C-40/17) estableció que los sitios web que integran plugins de terceros (como botones de redes sociales) pueden ser corresponsables del tratamiento junto con esos terceros respecto a los datos que se les envían. Esto obligó a muchos sitios a replantear su responsabilidad y cumplimiento al utilizar contenido incrustado.
La sentencia del Tribunal Supremo austriaco sobre el modelo publicitario de Meta (2025) declaró ilícita la publicidad personalizada de Meta porque combinaba categorías especiales de datos personales y carecía de consentimiento específico e informado. El tribunal ordenó plena transparencia y la separación de los datos sensibles para todos los usuarios de la UE.
Cómo ayuda cside al cumplimiento del RGPD
cside Privacy Watch ofrece visibilidad sobre lo que ocurre dentro de las sesiones del navegador de los usuarios.
Muestra a los equipos de cumplimiento cómo se comportan los scripts de terceros entre bastidores. Así es como cside ayuda a los equipos de cumplimiento:
- Pone el foco en las cookies de terceros: cside proporciona visibilidad sobre cada script de terceros que se ejecuta en el navegador. Expone a qué datos accede cada script y a dónde los envía.
- Detiene la recopilación de datos no autorizada: cside aplica las reglas de consentimiento y privacidad antes de que se ejecuten los scripts. Esto impide que los datos personales sean recopilados o compartidos sin una base válida.
- Previene brechas de datos en el sitio web: cside identifica comportamientos sospechosos de scripts en tiempo real. Alerta a los equipos sobre acciones arriesgadas o no conformes con registros 24/7 que demuestran que se implementaron salvaguardas de seguridad.
- Vigila la sobrerecogida de datos: cside rastrea cada cambio en el código de scripts de terceros, detectando cualquier actualización que modifique cómo tu sitio web trata los datos. Los equipos de privacidad utilizan esta información para revisar y aprobar scripts sin caer en la deriva de cumplimiento.
Puedes reservar una demo con cside para ver cómo nuestros paneles de control y la documentación asistida por IA ahorran tiempo a tu equipo.
