Multas RGPD publicadas en septiembre y octubre de 2026: seguridad, encargados y derechos de las personas
Siete decisiones RGPD de Noruega, Irlanda, Francia, Suecia, Grecia e Italia: seguridad débil, contratos de encargo ausentes y solicitudes ignoradas.
Entre principios de septiembre y mediados de octubre de 2026, el Comité Europeo de Protección de Datos (CEPD) difundió una serie de multas RGPD impuestas por autoridades nacionales. Además de los grandes casos de Uber y Google tratados en Aplicación del RGPD en 2026, destacan dos temas: seguridad débil, y consentimientos y solicitudes que no se respetaron.
Seguridad y encargados del tratamiento
- HSE, 645.000 euros, Irlanda (28 de agosto de 2026). Intrusos accedieron a historias clínicas en papel guardadas en antiguos hospitales psiquiátricos. Multas, un apercibimiento y órdenes de cumplimiento.
- Hôpital Privé de la Loire, 500.000 euros, Francia (3 de septiembre de 2026). Un atacante accedió a datos de 524.867 pacientes: sin autenticación multifactor para usuarios externos, acceso no limitado al equipo asistencial, sin detección en tiempo real, y las 202.246 "personas de confianza", cuyos datos también se robaron, no fueron informadas.
- Miljödata, 1,8 millones de coronas suecas, Suecia (22 de septiembre de 2026). Un ciberataque contra un proveedor informático afectó a 2,2 millones de personas; sin controles adecuados al instalar software nuevo ni monitorización en tiempo real.
- Ministerio griego de Cohesión Social y Familia, 200.000 euros, y su encargado E.E.T.A.A., 150.000 euros (28 de julio de 2026). Sistemas obsoletos pese a riesgos conocidos y deficiencias según el artículo 28; ambos deben firmar un contrato de encargo del tratamiento.
Consentimiento y derechos de las personas
- Xandr, 92 millones de coronas noruegas (unos 8,6 millones de euros), Noruega (2 de octubre de 2026). La empresa publicitaria trató en pujas en tiempo real datos de usuarios de una app de citas para personas gais, bi, trans y queer sin base jurídica válida. Se apoyó en el consentimiento de la app, que no era válido: cada corresponsable debe verificar el consentimiento por sí mismo. Es la mayor multa de la autoridad noruega hasta la fecha y es firme.
- EXTIA, 300.000 euros, Francia (21 de julio de 2026). De 265 solicitudes de supresión recibidas en 2024, 12 nunca se tramitaron y 166 personas nunca supieron el resultado.
- BBVA, 5.508.000 euros, Italia (3 de julio de 2026). Un cliente se opuso al marketing en la app del banco, pero recibió notificaciones promocionales durante siete meses por un fallo de sincronización entre sistemas internos.
Qué hacer ahora
Compruebe la autenticación multifactor y la monitorización de los sistemas con datos sensibles, un contrato de encargo firmado con cada proveedor y que una solicitud u oposición llegue al sistema que debe aplicarla.
Dazr Compliance reúne controles de seguridad RGPD, un registro de proveedores con enlaces a los contratos y fechas de revisión, el registro del artículo 30 y un registro de brechas con una cuenta atrás de 72 horas, con recordatorios cuando toca una revisión.
Fuentes
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 7 de noviembre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål