Resumen

  • Las directrices 04/2026, adoptadas para consulta por el European Data Protection Board, proponen cinco preguntas para decidir si una multa del RGPD debe acompañar a otra medida correctiva o sustituirla.
  • Ante una infracción menor, el borrador prevé en general una amonestación en vez de una multa; si no es menor, establece una fuerte presunción de multa, seguida de un examen de proporcionalidad individual.

Confirmar una infracción de datos personales no determina por sí solo la respuesta. Una autoridad puede tener que ordenar una corrección, detener un tratamiento, emitir una amonestación, limitar una actividad o imponer una multa. La cuestión es qué medida corrige el problema acreditado y por qué.

El European Data Protection Board (EDPB) propone ordenar esa decisión en cinco pasos. En esa sesión plenaria, el EDPB también finalizó unas directrices distintas sobre la interacción entre el DSA y el RGPD; ese trabajo no trata la elección de una multa. Adoptó la versión 1.0 de las Directrices 04/2026 el 17 de septiembre y la sometió a consulta pública.

El borrador pide a la autoridad nacional competente comprobar, sucesivamente: si el RGPD o el derecho nacional permite multar esa infracción; si la parte investigada estaba sujeta a la obligación incumplida; si actuó intencionadamente o por negligencia; si los factores del artículo 83(2) indican que la infracción es menor; y si la multa sería eficaz, proporcionada y disuasoria en ese caso.

El cuarto paso contiene el criterio más delicado. El EDPB dice que, por regla general, una infracción menor debería recibir una amonestación en vez de una multa. Si no es menor, existe una fuerte presunción a favor de multar. No es una tarifa. El quinto paso todavía exige comprobar si la multa cumple sus fines legales en las circunstancias concretas y si hay motivos para apartarse de la práctica habitual de la autoridad.

El borrador trata de elegir la medida, no de calcular su precio. Las Directrices 04/2022 del EDPB ya abordan el cálculo de la cuantía. Por eso, una empresa no debería leer el nuevo texto como una hoja de cálculo que convierte una infracción en una suma predeterminada. Tampoco crea una nueva potestad sancionadora: la base sigue siendo el RGPD, incluidos sus artículos 58 y 83, y la decisión corresponde a la autoridad de control competente, no al EDPB como órgano colegiado.

El Tribunal de Justicia había fijado el límite general en el asunto C-768/21, Land Hessen. Una autoridad de protección de datos no está obligada a imponer una multa cada vez que detecta una infracción. Sí debe adoptar una medida correctiva cuando resulte adecuada, necesaria y proporcionada para remediar el problema y hacer cumplir el RGPD. El borrador intenta hacer más visible esa facultad caso por caso sin eliminar el deber de aplicar la ley. También permite omitir pasos que no correspondan y aclara que sus ejemplos ilustran un razonamiento, no crean precedentes.

La diferencia entre advertencia y multa muestra por qué importa el orden. La advertencia del RGPD se refiere a operaciones previstas que todavía no constituyen una infracción; el borrador dice que no puede combinarse con una multa por esa misma conducta. Una amonestación, una orden o una limitación responden a otra situación jurídica y pueden servir a otra finalidad. Algunas medidas restauran el cumplimiento; la multa también busca disuadir. Tratar todos esos instrumentos como intercambiables ocultaría qué intenta conseguir la autoridad.

El plazo para enviar comentarios vence el 13 de noviembre de 2026 a las 23:59 CET. El EDPB publicará las respuestas después de revisar únicamente si son envíos no autorizados, como spam. Recomienda eliminar datos personales y metadatos de los documentos que no se quieran hacer públicos; los correos electrónicos no se publicarán. La consulta puede poner a prueba si la frontera entre una infracción menor y la fuerte presunción de multa está suficientemente clara para orientar a las autoridades sin convertirla en una regla automática.

Fuentes

  1. Anuncio de la sesión plenaria del EDPB
  2. Directrices 04/2026, versión 1.0
  3. Consulta pública y condiciones de participación
  4. RGPD, Reglamento (UE) 2016/679
  5. Tribunal de Justicia, asunto C-768/21, Land Hessen
  6. Directrices 04/2022 del EDPB sobre el cálculo de multas
  7. Información del EDPB sobre multas y medidas correctivas del RGPD
  8. Comunicado 149/24 del Tribunal de Justicia sobre Land Hessen
  9. Directrices 3/2025 del EDPB sobre la interacción entre el DSA y el RGPD