El promedio diario del segundo trimestre fue más de tres veces superior al del primero. Aun así, conviene interpretar el total con cautela: las cifras trimestrales pueden quedar condicionadas por un pequeño número de resoluciones extraordinariamente elevadas. Por tanto, no representan necesariamente la multa habitual para cada empresa o procedimiento.

Yango, Free, Intesa Sanpaolo y Reddit protagonizaron los casos más cuantiosos

Países Bajos: 100 millones de euros por el caso relacionado con Yango

La mayor sanción individual del trimestre afectó a MLU B.V., la empresa neerlandesa detrás de la aplicación de transporte Yango. La autoridad neerlandesa de protección de datos le impuso una multa de aproximadamente 100 millones de euros y ordenó detener determinadas transferencias de datos personales a Rusia cuando no cumplieran los requisitos del RGPD.

El expediente se centró en la falta de garantías adecuadas para las transferencias a terceros países. Según los informes, los datos afectados estaban relacionados con usuarios de Yango en Finlandia y Noruega, lo que convierte el caso en una advertencia especialmente relevante para las compañías que dependen de flujos de datos transfronterizos o de sociedades del grupo ubicadas fuera de Europa.

La lección práctica es clara: disponer de contratos de transferencia o cláusulas estándar no elimina por sí solo el riesgo. La empresa debe evaluar también si el país de destino, el receptor y las medidas técnicas y organizativas ofrecen una protección efectiva en la práctica.

Francia: 42 millones de euros contra Free Mobile y Free

Los reguladores franceses impusieron un total combinado de 42 millones de euros a las compañías de telecomunicaciones Free Mobile y Free. El paquete incluyó una multa de 27 millones de euros contra Free Mobile y otra sanción independiente contra Free; entre las preocupaciones señaladas figuraban deficiencias de seguridad.

Las operadoras de telecomunicaciones gestionan grandes volúmenes de datos de clientes y cuentas, por lo que cualquier debilidad en la protección de la información de los abonados puede tener consecuencias importantes. Los casos franceses también contribuyeron a que Francia fuera uno de los principales focos de sanciones en el primer trimestre, cuando Francia y Reino Unido concentraron conjuntamente el 94% del importe comunicado.

Italia: 31,8 millones de euros contra Intesa Sanpaolo

En Italia, Intesa Sanpaolo recibió una multa de 31,8 millones de euros por deficiencias en la protección de datos bancarios de sus clientes, según el informe de ejecución correspondiente al segundo trimestre.

El caso ilustra la exposición de las entidades financieras, que procesan información especialmente sensible sobre identidad, operaciones y cuentas y deben mantener controles consistentes en entornos de datos amplios y complejos.

Reino Unido: multa de 14,47 millones de libras a Reddit

La Oficina del Comisionado de Información del Reino Unido (ICO, por sus siglas en inglés) sancionó a Reddit con 14,47 millones de libras tras concluir que la plataforma utilizó ilícitamente información personal de menores. El organismo afirmó que Reddit no comprobaba adecuadamente la edad de los usuarios que accedían al servicio y que no aplicaba medidas suficientemente sólidas para proteger a los niños. Reddit recurrió la notificación de sanción económica.

La resolución sitúa la verificación de edad y la privacidad infantil entre las prioridades de las plataformas digitales, no como simples añadidos a un programa general de privacidad. También demuestra que los reguladores pueden analizar cómo identifica un servicio a sus usuarios más jóvenes y cómo utiliza sus datos, incluso cuando no existe una brecha de seguridad.

La seguridad y la base jurídica siguen siendo riesgos centrales

Los expedientes del segundo trimestre reflejan varios problemas recurrentes de cumplimiento:

• Medidas técnicas y organizativas de seguridad insuficientes, incluidos fallos en la protección de datos de clientes o abonados.
• Tratamientos sin una base jurídica suficiente, por ejemplo, por un consentimiento inadecuado o por invocar otro fundamento legal sin respaldo.
• Controles débiles sobre la privacidad infantil, como sistemas de verificación de edad ineficaces o el uso ilícito de información de menores.
• Garantías insuficientes para las transferencias internacionales, especialmente cuando los datos se envían a un país que no ofrece un nivel de protección adecuado.

Estos riesgos no aparecen de forma aislada. Una empresa puede tener una política de privacidad formalmente completa y, aun así, exponerse a una sanción si sus controles operativos, avisos a los usuarios, prácticas de consentimiento o acuerdos con proveedores no se corresponden con lo que declara la política.

Medios, finanzas y otros sectores intensivos en datos concentran la exposición

El informe de Finbold sobre el segundo trimestre indicó que las empresas de medios y finanzas estuvieron detrás de seis de las diez mayores multas. Junto con los casos de telecomunicaciones y tecnología, el patrón apunta a una exposición elevada en organizaciones que combinan grandes bases de usuarios con datos detallados, sensibles o de alto valor comercial.

Esto no significa que la aplicación del RGPD se limite a unas pocas industrias. Más bien, las empresas orientadas al consumidor y con un tratamiento extensivo de datos tienen más puntos potenciales de fallo: seguridad, elaboración de perfiles, consentimiento, conservación de la información, controles de acceso y transferencias internacionales.

Qué deberían priorizar las empresas que operan en Europa

El patrón de sanciones permite establecer una lista práctica de prioridades:

1. Vincular cada actividad de tratamiento con una base jurídica. Documentar por qué se recopila y utiliza cada categoría de datos personales y comprobar que el consentimiento sea válido cuando resulte necesario.
2. Poner a prueba los controles de seguridad. Revisar la gestión de accesos, la autenticación, la respuesta ante incidentes, el cifrado y los controles sobre proveedores, y no limitarse a mantener políticas escritas.
3. Crear un proceso real para la privacidad infantil. Los servicios a los que probablemente accedan menores deben evaluar sus métodos de verificación de edad y aplicar garantías adaptadas a los datos de los niños.
4. Reevaluar las transferencias a terceros países. Mantener evaluaciones de riesgo, utilizar garantías contractuales y técnicas apropiadas y confirmar que el receptor puede cumplir las obligaciones en el país de destino.
5. Dar visibilidad directiva a los tratamientos de alto riesgo. El riesgo de privacidad debe integrarse en los informes operativos, de ciberseguridad y de riesgo empresarial, especialmente en medios, tecnología, finanzas y telecomunicaciones.

La conclusión más evidente del segundo trimestre es el impacto financiero de un fallo importante de control. La resolución relacionada con Yango, de 100 millones de euros, representó por sí sola casi la mitad del valor total de las multas comunicadas en el periodo. Sin embargo, el agregado debe analizarse con prudencia, ya que este tipo de estadísticas puede quedar dominado por unas pocas sanciones extraordinarias.

El total general del segundo trimestre y la comparación intertrimestral de Finbold están respaldados por la información proporcionada. Algunas cifras detalladas por empresa y determinados desgloses sectoriales proceden de resúmenes secundarios o generados por usuarios; por ello, deben entenderse como resultados comunicados y no como sustituto de la consulta de las resoluciones originales de los reguladores.

El promedio diario del segundo trimestre fue más de tres veces superior al del primero. Aun así, conviene interpretar el total con cautela: las cifras trimestrales pueden quedar condicionadas por un pequeño número de resoluciones extraordinariamente elevadas. Por tanto, no representan necesariamente la multa habitual para cada empresa o procedimiento.

Yango, Free, Intesa Sanpaolo y Reddit protagonizaron los casos más cuantiosos

Países Bajos: 100 millones de euros por el caso relacionado con Yango

La mayor sanción individual del trimestre afectó a MLU B.V., la empresa neerlandesa detrás de la aplicación de transporte Yango. La autoridad neerlandesa de protección de datos le impuso una multa de aproximadamente 100 millones de euros y ordenó detener determinadas transferencias de datos personales a Rusia cuando no cumplieran los requisitos del RGPD.

El expediente se centró en la falta de garantías adecuadas para las transferencias a terceros países. Según los informes, los datos afectados estaban relacionados con usuarios de Yango en Finlandia y Noruega, lo que convierte el caso en una advertencia especialmente relevante para las compañías que dependen de flujos de datos transfronterizos o de sociedades del grupo ubicadas fuera de Europa.

La lección práctica es clara: disponer de contratos de transferencia o cláusulas estándar no elimina por sí solo el riesgo. La empresa debe evaluar también si el país de destino, el receptor y las medidas técnicas y organizativas ofrecen una protección efectiva en la práctica.

Francia: 42 millones de euros contra Free Mobile y Free

Los reguladores franceses impusieron un total combinado de 42 millones de euros a las compañías de telecomunicaciones Free Mobile y Free. El paquete incluyó una multa de 27 millones de euros contra Free Mobile y otra sanción independiente contra Free; entre las preocupaciones señaladas figuraban deficiencias de seguridad.

Las operadoras de telecomunicaciones gestionan grandes volúmenes de datos de clientes y cuentas, por lo que cualquier debilidad en la protección de la información de los abonados puede tener consecuencias importantes. Los casos franceses también contribuyeron a que Francia fuera uno de los principales focos de sanciones en el primer trimestre, cuando Francia y Reino Unido concentraron conjuntamente el 94% del importe comunicado.

Italia: 31,8 millones de euros contra Intesa Sanpaolo

En Italia, Intesa Sanpaolo recibió una multa de 31,8 millones de euros por deficiencias en la protección de datos bancarios de sus clientes, según el informe de ejecución correspondiente al segundo trimestre.

El caso ilustra la exposición de las entidades financieras, que procesan información especialmente sensible sobre identidad, operaciones y cuentas y deben mantener controles consistentes en entornos de datos amplios y complejos.

Reino Unido: multa de 14,47 millones de libras a Reddit

La Oficina del Comisionado de Información del Reino Unido (ICO, por sus siglas en inglés) sancionó a Reddit con 14,47 millones de libras tras concluir que la plataforma utilizó ilícitamente información personal de menores. El organismo afirmó que Reddit no comprobaba adecuadamente la edad de los usuarios que accedían al servicio y que no aplicaba medidas suficientemente sólidas para proteger a los niños. Reddit recurrió la notificación de sanción económica.

La resolución sitúa la verificación de edad y la privacidad infantil entre las prioridades de las plataformas digitales, no como simples añadidos a un programa general de privacidad. También demuestra que los reguladores pueden analizar cómo identifica un servicio a sus usuarios más jóvenes y cómo utiliza sus datos, incluso cuando no existe una brecha de seguridad.

La seguridad y la base jurídica siguen siendo riesgos centrales

Los expedientes del segundo trimestre reflejan varios problemas recurrentes de cumplimiento:

• Medidas técnicas y organizativas de seguridad insuficientes, incluidos fallos en la protección de datos de clientes o abonados.
• Tratamientos sin una base jurídica suficiente, por ejemplo, por un consentimiento inadecuado o por invocar otro fundamento legal sin respaldo.
• Controles débiles sobre la privacidad infantil, como sistemas de verificación de edad ineficaces o el uso ilícito de información de menores.
• Garantías insuficientes para las transferencias internacionales, especialmente cuando los datos se envían a un país que no ofrece un nivel de protección adecuado.

Estos riesgos no aparecen de forma aislada. Una empresa puede tener una política de privacidad formalmente completa y, aun así, exponerse a una sanción si sus controles operativos, avisos a los usuarios, prácticas de consentimiento o acuerdos con proveedores no se corresponden con lo que declara la política.

Medios, finanzas y otros sectores intensivos en datos concentran la exposición

El informe de Finbold sobre el segundo trimestre indicó que las empresas de medios y finanzas estuvieron detrás de seis de las diez mayores multas. Junto con los casos de telecomunicaciones y tecnología, el patrón apunta a una exposición elevada en organizaciones que combinan grandes bases de usuarios con datos detallados, sensibles o de alto valor comercial.

Esto no significa que la aplicación del RGPD se limite a unas pocas industrias. Más bien, las empresas orientadas al consumidor y con un tratamiento extensivo de datos tienen más puntos potenciales de fallo: seguridad, elaboración de perfiles, consentimiento, conservación de la información, controles de acceso y transferencias internacionales.

Qué deberían priorizar las empresas que operan en Europa

El patrón de sanciones permite establecer una lista práctica de prioridades:

1. Vincular cada actividad de tratamiento con una base jurídica. Documentar por qué se recopila y utiliza cada categoría de datos personales y comprobar que el consentimiento sea válido cuando resulte necesario.
2. Poner a prueba los controles de seguridad. Revisar la gestión de accesos, la autenticación, la respuesta ante incidentes, el cifrado y los controles sobre proveedores, y no limitarse a mantener políticas escritas.
3. Crear un proceso real para la privacidad infantil. Los servicios a los que probablemente accedan menores deben evaluar sus métodos de verificación de edad y aplicar garantías adaptadas a los datos de los niños.
4. Reevaluar las transferencias a terceros países. Mantener evaluaciones de riesgo, utilizar garantías contractuales y técnicas apropiadas y confirmar que el receptor puede cumplir las obligaciones en el país de destino.
5. Dar visibilidad directiva a los tratamientos de alto riesgo. El riesgo de privacidad debe integrarse en los informes operativos, de ciberseguridad y de riesgo empresarial, especialmente en medios, tecnología, finanzas y telecomunicaciones.

La conclusión más evidente del segundo trimestre es el impacto financiero de un fallo importante de control. La resolución relacionada con Yango, de 100 millones de euros, representó por sí sola casi la mitad del valor total de las multas comunicadas en el periodo. Sin embargo, el agregado debe analizarse con prudencia, ya que este tipo de estadísticas puede quedar dominado por unas pocas sanciones extraordinarias.

El total general del segundo trimestre y la comparación intertrimestral de Finbold están respaldados por la información proporcionada. Algunas cifras detalladas por empresa y determinados desgloses sectoriales proceden de resúmenes secundarios o generados por usuarios; por ello, deben entenderse como resultados comunicados y no como sustituto de la consulta de las resoluciones originales de los reguladores.