El RGPD impuso multas por 225,9 millones de euros en el segundo trimestre de 2026

La aplicación del Reglamento General de Protección de Datos de la Unión Europea —conocido como RGPD— aceleró con fuerza entre abril y junio de 2026. Según una investigación publicada por Finbold el 20 de agosto, las autoridades impusieron multas por 225.879.175 euros (260,59 millones de dólares) durante el segundo trimestre, lo que equivale a unos 2,48 millones de euros al día.

El salto fue de aproximadamente un 230 % frente al primer trimestre, cuando las sanciones sumaron 68,18 millones de euros. Con ese resultado, el total de multas acumulado entre enero y junio alcanzó unos 295 millones de euros (340,5 millones de dólares).

Los casos que más elevaron la factura

• Países Bajos: la mayor sanción individual fue de aproximadamente 100 millones de euros —100,25 millones según otro desglose— contra Ridetech International B.V., la compañía que opera la aplicación de taxis Yango.
  • La autoridad neerlandesa consideró insuficientes las garantías para transferir datos personales a terceros países y ordenó detener las transferencias a Rusia cuando no cumplieran los requisitos del RGPD.
• Francia: las operadoras de telecomunicaciones Free Mobile y Free recibieron multas conjuntas por 42 millones de euros, incluida una sanción de 27 millones contra Free Mobile.
• Italia: Intesa Sanpaolo fue sancionada con 31,8 millones de euros por deficiencias en la protección de los datos bancarios de sus clientes.
• Reino Unido: la Oficina del Comisionado de Información (ICO, por sus siglas en inglés) multó a Reddit con 14,47 millones de libras, una cifra comunicada como aproximadamente 16,61 millones de euros. La infracción estuvo relacionada con la privacidad infantil, la falta de medidas adecuadas para verificar la edad y el uso ilícito de datos personales de menores. Reddit recurrió la sanción económica.

Seguridad, base legal y transferencias internacionales

Los principales motivos de las sanciones fueron los fallos de seguridad y el tratamiento de datos sin una base jurídica adecuada. El caso de Yango muestra además que las deficiencias en las garantías para las transferencias internacionales pueden desembocar en multas extraordinariamente elevadas.

Las empresas de medios de comunicación y del sector financiero concentraron seis de las diez mayores multas del trimestre. El patrón apunta a una exposición especialmente alta en actividades que manejan grandes volúmenes de datos, tienen contacto directo con consumidores o están sometidas a una regulación intensa.

Qué deberían revisar las empresas

El aumento de las sanciones refuerza la idea de que el RGPD no es solo una cuestión jurídica o administrativa: también representa un riesgo financiero y operativo. Un único caso relacionado con transferencias transfronterizas supuso casi la mitad del total de multas comunicado para el trimestre.

Las compañías que operan en Europa deberían priorizar:

• documentar la base jurídica de cada actividad de tratamiento, incluido el consentimiento válido cuando sea necesario;
• reforzar los controles técnicos y organizativos de seguridad;
• aplicar sistemas eficaces de verificación de edad y medidas reforzadas para proteger los datos de menores;
• revisar los mecanismos para transferir datos a terceros países, las evaluaciones de riesgo y las garantías aplicables, especialmente en transferencias a jurisdicciones como Rusia; y
• elevar al nivel del consejo de administración la supervisión de los tratamientos de alto riesgo en medios, tecnología, servicios financieros y telecomunicaciones.

Las cifras generales del segundo trimestre y el aumento frente al trimestre anterior están atribuidos directamente a la investigación de Finbold. Sin embargo, parte del desglose por empresa procede de una publicación secundaria en redes sociales, por lo que los importes individuales y la distribución por países deben interpretarse con cierta cautela.