Las multas por el RGPD se disparan un 230% hasta 225,88 millones de euros

El resultado neerlandés estuvo dominado por una sanción de 100 millones de euros contra MLU B.V., empresa que opera la aplicación de transporte VTC Yango y que es sucesora de Ridetech International B.V. La Autoridad Neerlandesa de Protección de Datos concluyó que datos personales de usuarios y conductores de Finlandia y Noruega se habían transferido a Rusia sin garantías suficientes. También ordenó detener las transferencias salvo que se aplicaran medidas conformes con el RGPD.

Por qué el caso de Yango es relevante

El expediente pone el foco en uno de los puntos más delicados del cumplimiento del RGPD: las transferencias internacionales de datos. El uso de cláusulas contractuales tipo de la Unión Europea no resuelve por sí solo todos los riesgos asociados a una transferencia. Según la información disponible, la autoridad neerlandesa valoró factores como el posible acceso ruso a las claves de cifrado y la existencia de una dirección compartida entre Países Bajos y Rusia, circunstancias que podían aumentar los riesgos de acceso a los datos o de reidentificación.

La guía del regulador neerlandés señala que una transferencia a un tercer país debe basarse en un nivel de protección adecuado, garantías apropiadas o una excepción específica. Las cláusulas contractuales tipo son una de las posibles garantías, pero la organización debe comprobar además que la protección funciona realmente dadas las circunstancias concretas de la transferencia.

En Francia, los principales expedientes estuvieron ligados a fallos de seguridad

Los 52 millones de euros registrados en Francia incluyeron varios casos importantes. FREE MOBILE recibió una multa de 27 millones de euros y su empresa matriz, FREE, otra de 15 millones, tras una brecha de seguridad de gran alcance. IQVIA Operations France fue sancionada con 15 millones de euros por infracciones relacionadas con datos de salud.

En conjunto, estos expedientes muestran la exposición financiera que asumen las organizaciones cuando no protegen adecuadamente información sensible o no mantienen controles de seguridad eficaces. También evidencian que las sanciones pueden extenderse a varias empresas relacionadas cuando las responsabilidades sobre el tratamiento y la seguridad de los datos están distribuidas dentro de un grupo corporativo.

Italia: la protección de los datos bancarios, en el centro

Italia acumuló 45,50 millones de euros en multas. La mayor sanción fue de 31,8 millones contra Intesa Sanpaolo por deficiencias en la protección de los datos bancarios de sus clientes. Poste Italiane y PostePay recibieron asimismo multas de 6,62 millones y 5,88 millones, respectivamente, por fallos relacionados con la gestión de aplicaciones bancarias.

Los casos italianos sitúan a las entidades financieras entre los sectores que afrontan mayores consecuencias cuando los controles de acceso, la gobernanza de datos o los procesos de sus servicios digitales no protegen de forma adecuada la información de los clientes.

Reddit, sancionada por una verificación de edad insuficiente

La Oficina del Comisionado de Información del Reino Unido (ICO) impuso a Reddit una multa de 14,47 millones de libras (16,61 millones de euros) por contar con mecanismos insuficientes de verificación de edad y tratar ilegalmente datos de menores.

El caso amplía el panorama de la aplicación del RGPD más allá de las brechas de seguridad y las transferencias internacionales. Las plataformas que procesan información sobre menores también deben demostrar que sus controles de edad y sus prácticas de tratamiento tienen una base jurídica válida y ofrecen una protección adecuada.

¿Qué infracciones y sectores aparecieron con más frecuencia?

La revisión de Finbold concluyó que los fallos de seguridad y la ausencia de una base jurídica para el tratamiento explicaron prácticamente todas las sanciones principales analizadas en el segundo trimestre.

Entre las diez multas más elevadas, los sectores de medios de comunicación y finanzas aparecieron tres veces cada uno. Transporte y energía representaron dos de las diez mayores sanciones, incluida la de mayor importe, relacionada con Yango en Países Bajos.

El patrón es relevante para las organizaciones que consideran que el riesgo asociado al RGPD se limita a la seguridad informática. Los expedientes del segundo trimestre muestran que los reguladores también están examinando los fundamentos del uso de los datos personales: si el tratamiento es lícito, si las medidas de protección funcionan en la práctica, si las transferencias internacionales pueden justificarse y si la empresa supervisa correctamente a sus socios y a las distintas entidades de su grupo.

Qué significan estas cifras para las organizaciones

El aumento intertrimestral no implica que todas las organizaciones afronten el mismo nivel de exposición. Además, la investigación recopila sanciones comunicadas y no constituye una previsión de futuras multas. Aun así, ofrece una señal clara para los responsables de cumplimiento: las grandes sanciones pueden surgir de deficiencias que abarcan controles jurídicos, operativos, técnicos y organizativos.

Las principales áreas que deberían revisar las empresas que tratan datos personales son:

• Base jurídica: documentar por qué está permitido cada tratamiento relevante y comprobar que la base declarada coincide con el uso real de los datos.
• Controles de seguridad: evaluar mediante pruebas si el acceso, el cifrado, la monitorización y la respuesta ante incidentes protegen los datos en la práctica.
• Transferencias internacionales: analizar el entorno jurídico y técnico real de cada país de destino, en lugar de confiar únicamente en el lenguaje contractual.
• Supervisión de terceros: mantener acuerdos de tratamiento claros, asignaciones precisas de responsabilidad y procedimientos para verificar a proveedores y empresas vinculadas.
• Datos de menores y garantía de edad: asegurar que los procesos de verificación de edad y protección infantil permiten un tratamiento lícito y proporcionado.

La principal conclusión del análisis de Finbold es que la aplicación del RGPD se está convirtiendo en un riesgo financiero relevante para las organizaciones con una gobernanza de datos débil. Los casos más cuantiosos no se limitaron a errores técnicos puntuales: involucraron fallos fundamentales en el tratamiento lícito, la seguridad, las garantías para transferencias internacionales y la supervisión.