El Comité Europeo de Protección de Datos (EDPB) adoptó el 17 de septiembre de 2026 las Directrices 04/2026. Describen cómo deciden las autoridades de control si, ante una infracción del RGPD, imponen una multa o eligen otra medida, como un apercibimiento o una orden. Las directrices están sometidas a consulta pública hasta el 13 de noviembre de 2026. Afectan a todos los responsables y encargados del tratamiento, desde grandes grupos empresariales hasta pequeñas asociaciones.
De qué se trata
El RGPD otorga a las autoridades de control en el art. 58, apdo. 2, toda una serie de poderes correctivos: advertencia, apercibimiento, órdenes, limitaciones e incluso la prohibición de un tratamiento, la retirada de una certificación y, precisamente, la multa del art. 83. Desde 2022, la cuantía de una multa se rige por las Directrices 04/2022 sobre su cálculo. Hasta ahora no estaba claro con qué criterios las autoridades recurren a la multa. Para ello solo existían directrices más antiguas del Grupo de Trabajo del Artículo 29, anteriores a la entrada en vigor del RGPD.
Las nuevas directrices sustituyen esas antiguas pautas y complementan las directrices de cálculo. El EDPB se basa en la experiencia de las autoridades desde 2018 y en varias sentencias del Tribunal de Justicia de la Unión Europea. El objetivo es que los casos iguales reciban un trato similar en todos los Estados miembros.
El método en cinco pasos
El EDPB describe un procedimiento que la autoridad sigue paso a paso:
- ¿Puede sancionarse con una multa la infracción detectada, conforme al RGPD o al Derecho nacional?
- ¿Puede atribuirse responsabilidad por esta infracción a la empresa investigada, por ejemplo como responsable o como encargado del tratamiento?
- ¿Se actuó con dolo o con negligencia?
- ¿Indican las circunstancias del art. 83, apdo. 2, del RGPD que se trata de una infracción leve?
- ¿Sería una multa efectiva, proporcionada y disuasoria en el caso concreto?
Los tres primeros pasos examinan los requisitos jurídicos. Los pasos cuatro y cinco deciden si realmente se impone una multa o si resulta más adecuada otra medida.
La negligencia se alcanza con facilidad
En la práctica, el tercer paso es especialmente importante. Una multa requiere culpa. Sin embargo, según el EDPB, el umbral de la negligencia es muy bajo. No importa si una empresa reconoció realmente su infracción, sino si podría haberla reconocido. Se espera que las empresas se informen sobre las obligaciones que les son aplicables.
Tampoco un dictamen jurídico protege automáticamente. En uno de los ejemplos de las directrices, una empresa se ampara en un dictamen externo que se aparta de la opinión mayoritaria. El EDPB no ve en ello una eximente, porque la empresa conocía la postura contraria. Lo mismo se aplica a una valoración interna que contradiga la postura conocida de la autoridad de control.
Leve o no: la bifurcación decisiva
En el cuarto paso rige una regla básica clara. Si una infracción es leve, por lo general no se impone multa, sino como mucho un apercibimiento. Si no es leve, existe una fuerte presunción a favor de una multa. En ambos casos, la autoridad conserva un margen de discrecionalidad. Según las directrices, ante infracciones menores puede incluso renunciar por completo a adoptar medidas si la empresa ha puesto fin al error por sí misma y ha tomado precauciones para evitar que se repita.
Para la clasificación, las autoridades tienen en cuenta, entre otros aspectos, la naturaleza, gravedad y duración de la infracción, el número de afectados, el tipo de datos y el daño causado. Varios puntos resultan reveladores para las empresas:
- Las medidas para limitar los daños cuentan sobre todo si se adoptan pronto y por iniciativa propia, antes de que se conozca una investigación.
- El mero cumplimiento de las obligaciones del RGPD no se considera atenuante. Esto se aplica tanto a las medidas técnicas y organizativas como a la cooperación con la autoridad exigida por ley. Solo atenúa lo que va claramente más allá.
- La ausencia de infracciones previas no exime por sí sola, porque el cumplimiento del RGPD es lo normal.
- Errores similares repetidos pueden convertir una infracción leve en una merecedora de multa.
Las directrices contienen 14 casos ficticios. Varios afectan a pequeñas y medianas empresas, como una solicitud de acceso sin responder que había acabado en la carpeta de spam o un píxel de seguimiento que transmitía datos sin que nadie lo advirtiera. En ambos casos se quedó en un apercibimiento. En otro ejemplo, una respuesta tardía a una solicitud de acceso dio lugar a un procedimiento sancionador porque se acumulaban casos similares.
Qué queda pendiente
Se trata de la primera versión sometida a consulta. Pueden enviarse observaciones hasta el 13 de noviembre de 2026 a través del sitio web del EDPB. Después, el Comité revisará el texto. Las directrices se dirigen a las autoridades de control y no vinculan directamente a los tribunales. No obstante, muestran cómo examinarán y motivarán las autoridades en el futuro.
Encontrará el texto completo en la página del EDPB sobre las Directrices 04/2026.
Qué significa para usted
Las directrices premian a las empresas que detectan los errores con rapidez, los corrigen por sí mismas y pueden demostrarlo. Quien solo reacciona cuando la autoridad pregunta pierde esta ventaja. Próximos pasos recomendables:
- Compruebe si las solicitudes de acceso y supresión llegan de forma fiable y se tramitan en plazo, también cuando entran por canales inusuales.
- Deje constancia de cuándo detectó un error y qué medidas adoptó. La fecha y el contenido de la subsanación son decisivos llegado el caso.
- Analice los errores recurrentes. Un descuido aislado se valora de forma distinta a un patrón.
- Revise periódicamente los avisos de protección de datos y los servicios de terceros integrados, no solo al implantarlos.
- En tratamientos controvertidos, no confíe únicamente en una opinión jurídica favorable si la autoridad de control piensa claramente de otra manera.
Sightadel le ayuda con evaluaciones guiadas, planes de acción y una biblioteca de evidencias en la que las medidas quedan documentadas con fecha. Más información en la página sobre el RGPD. Puede probar la plataforma gratis durante 14 días.
Revisado a: 12 de octubre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
