Directrices 04/2026 del CEPD: cuándo una infracción del RGPD acaba en multa
El CEPD fija cinco pasos para decidir si una infracción del RGPD se sanciona con multa o con apercibimiento. Comentarios hasta el 13 de noviembre de 2026.
El 17 de septiembre de 2026 el Comité Europeo de Protección de Datos (CEPD) adoptó las Directrices 04/2026. Indican a las autoridades nacionales cómo decidir si una infracción del RGPD debe sancionarse con una multa o tratarse con otra medida correctiva, como un apercibimiento o una orden. El CEPD las publicó el 21 de septiembre de 2026. Se pueden enviar comentarios hasta el 13 de noviembre de 2026, a las 23:59 CET.
Sustituyen a las antiguas directrices del GT29 sobre multas administrativas y complementan las del CEPD sobre el cálculo de su importe.
Los cinco pasos
- ¿Puede multarse la infracción? La autoridad necesita una base en el RGPD o en el derecho nacional.
- ¿Puede multarse a esta parte? Que responda el responsable o el encargado del tratamiento depende de a quién obliga la disposición infringida.
- ¿Dolo o negligencia? Una infracción culpable es condición para la multa.
- ¿Es leve? La autoridad pondera las circunstancias agravantes y atenuantes del artículo 83, apartado 2. Una infracción leve, por regla general, no lleva a multa y puede sustituirse por un apercibimiento. Si no es leve, existe una fuerte presunción de que se impondrá una multa.
- ¿Sería la multa efectiva, proporcionada y disuasoria? Aquí la autoridad puede ver en un caso concreto un motivo para apartarse del enfoque general.
Las directrices explican también los demás poderes correctivos (advertencias, apercibimientos, órdenes, limitaciones incluidas prohibiciones y retirada de certificaciones) y ofrecen 14 ejemplos prácticos.
También definitivas: DSA y RGPD
En el mismo pleno, el CEPD adoptó la versión definitiva de las Directrices 3/2025 sobre la interacción entre el Reglamento de Servicios Digitales (DSA) y el RGPD, para los servicios intermediarios que tratan datos personales.
Qué hacer ahora
En el paso 4, los factores del artículo 83, apartado 2, deciden entre apercibimiento y multa: entre ellos las medidas tomadas para paliar el daño, la cooperación con la autoridad, las infracciones anteriores y las categorías de datos afectadas. Poder demostrarlo con rapidez cuenta.
Dazr Compliance reúne esas pruebas en un solo lugar: su registro de actividades de tratamiento (artículo 30), las EIPD con el historial de cada cambio, controles RGPD periódicos y un registro de brechas con una cuenta atrás de 72 horas. Si quiere comentar las directrices, use el formulario de consulta del CEPD antes del 13 de noviembre.
Fuentes
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 7 de noviembre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål