El RGPD en 2026: grandes multas y nuevos procedimientos

Publicado 19 de octubre de 2026 · Actualizado 22 de octubre de 2026 · Por Dazr

Multa de 403 millones de euros a Google por datos de ubicación, procedimientos transfronterizos más rápidos desde abril de 2027 y cambios aún propuestos.

Ocho años después de que el RGPD empezara a aplicarse, su cumplimiento sigue dando lugar a grandes decisiones, y la forma de tramitar los casos transfronterizos va a cambiar.

Decisiones recientes

Uber, 824,99 millones de euros (publicada el 8 de octubre de 2026). La autoridad neerlandesa de protección de datos (AP) concluyó que Uber desactivaba cuentas de conductores mediante decisiones totalmente automatizadas, de forma temporal por sospecha de fraude o valoraciones bajas y de forma definitiva por valoraciones bajas persistentes, en contra del artículo 22, y que no informaba suficientemente a los conductores (artículo 13). El caso empezó con las reclamaciones de 171 conductores franceses ante la CNIL y abarca de 2018 a 2022. Uber ha recurrido, así que la decisión no es firme.
Google, 403 millones de euros (21 de septiembre de 2026). La Data Protection Commission irlandesa (DPC), como autoridad principal, concluyó que Google infringió el RGPD al tratar datos de ubicación en Actividad en la Web y en Aplicaciones, Historial de Ubicaciones y Precisión de la Ubicación: licitud y lealtad, transparencia, responsabilidad proactiva y conservación. Google debe adecuar el tratamiento en un plazo de seis meses.
TikTok, 530 millones de euros (2 de mayo de 2025). La DPC concluyó que TikTok no había demostrado que los datos de los usuarios del EEE, consultados a distancia por personal en China, tuvieran una protección esencialmente equivalente (artículo 46, apartado 1), y que su política de privacidad no nombraba los países afectados (artículo 13, apartado 1, letra f).

En conjunto, recuerdan que las decisiones automatizadas, las transferencias internacionales, la transparencia y no conservar los datos más tiempo del necesario son el origen de las multas más altas.

Procedimientos transfronterizos más rápidos desde el 2 de abril de 2027

El Reglamento (UE) 2025/2518 añade normas de procedimiento para los casos transfronterizos del RGPD. Se publicó el 12 de diciembre de 2025 y se aplica desde el 2 de abril de 2027. Armoniza cuándo es admisible una reclamación, da a reclamantes y empresas el derecho a ser oídos y a conocer las conclusiones preliminares, y fija plazos: en principio 15 meses para una investigación, prorrogables 12 meses en casos complejos, y un procedimiento simplificado para los casos sencillos. Las normas sustantivas del RGPD no cambian.

Cambios propuestos al RGPD

El Ómnibus Digital que la Comisión propuso en noviembre de 2025 incluye cambios al RGPD, como un umbral más alto y un plazo más largo para notificar las brechas de datos a las autoridades y un punto único de notificación de incidentes. El CEPD y el SEPD apoyaron partes en su dictamen conjunto de febrero de 2026 y expresaron reservas sobre otras. Son propuestas: hoy sigue aplicándose el plazo de 72 horas para notificar una brecha.

Qué revisar

Su registro de actividades de tratamiento y los plazos de conservación, sobre todo para datos de ubicación y otros datos sensibles.
Las evaluaciones de transferencias para cualquier acceso desde fuera del EEE, también el soporte remoto.
Políticas de privacidad que nombren con claridad destinatarios y países.
Un procedimiento de brechas que cumpla el plazo de 72 horas.
Donde un programa decide sobre personas, por ejemplo al bloquear una cuenta: una revisión humana real y una explicación clara para los afectados.

Fuentes

Solo a título informativo, no es asesoramiento jurídico. Última actualización: 22 de octubre de 2026.

Temas: RGPD, Sanciones, UE

También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål