El Comité Europeo de Protección de Datos (EDPB) ha publicado un borrador de directrices que podría cambiar cómo funciona en la práctica la aplicación del RGPD. Según un resumen del borrador, la propuesta establece una presunción del EDPB de multas del RGPD para infracciones que no sean menores, junto con un umbral deliberadamente bajo para establecer la negligencia. En términos simples, los reguladores partirían de la suposición de que una violación grave merece una multa, y las empresas cargarían con más de la carga de demostrar por qué no debería imponerse.
El material de origen disponible para esta noticia se limita a un resumen, por lo que esta publicación se ciñe a lo que ese resumen indica y explica las implicaciones probables en términos generales.
Qué proponen las directrices preliminares del EDPB
El núcleo del borrador es un cambio en el valor por defecto. Hasta ahora, las autoridades de control han tenido una serie de poderes correctivos en virtud del RGPD, desde amonestaciones y órdenes de cumplimiento hasta multas administrativas. Las directrices preliminares proponen que, para las infracciones que no sean menores, una multa debería ser el resultado esperado en lugar de una opción entre muchas.
Dos elementos destacan en el resumen:
- Una presunción a favor de las multas para infracciones que no sean menores.
- Un umbral deliberadamente bajo para la negligencia, lo cual es importante porque la culpa es una condición clave para imponer una multa.
El resumen también señala que las organizaciones deberán demostrar medidas sólidas para evidenciar que actuaron con la diligencia debida. El borrador es una propuesta, no una guía definitiva, por lo que los detalles pueden cambiar tras la consulta.
Por qué un umbral bajo de negligencia cambia la aplicación
Las multas en virtud del RGPD generalmente dependen de si una infracción fue intencionada o negligente. Si probar la negligencia es difícil, los reguladores pueden dudar en multar, o los casos pueden estancarse en discusiones sobre qué sabía o debería haber sabido una empresa.
Un umbral bajo cambia esa dinámica. Si una empresa no tomó las medidas que tomaría una organización razonablemente cuidadosa, la negligencia puede establecerse sin mucha más indagación. Combinado con una presunción de multas, eso haría más difícil que una organización argumentara que una brecha fue simplemente mala suerte o un descuido honesto.
Esto encaja con el impulso más amplio hacia la coherencia. El EDPB ya ha introducido un enfoque de cinco pasos para calcular las multas, que cubrimos en nuestro explicativo sobre el método de cinco pasos del EDPB para multas del RGPD. Ese método trata sobre cuánto debería ser una multa. El nuevo borrador aborda la cuestión anterior de si debería imponerse una multa en absoluto. Para obtener antecedentes sobre los niveles de multas y el papel de la culpa, consulte nuestra guía sobre multas y sanciones del RGPD en 2026.
Qué significa esto para usted
Para las personas comunes, el efecto práctico sería indirecto pero significativo. Los derechos de privacidad en el papel solo importan si hay consecuencias cuando se ignoran. Si las multas se convierten en la respuesta esperada a violaciones graves, las empresas tienen una razón financiera más fuerte para:
- Recopilar menos datos personales en primer lugar.
- Proteger los datos que conservan y documentar cómo lo hacen.
- Responder a las solicitudes de acceso, supresión y oposición a tiempo.
- Capacitar al personal y evaluar a los proveedores que manejan datos de clientes.
Esto no significa que cada queja terminará en una sanción, y no garantiza resultados más rápidos para las personas. Se espera que las infracciones menores se traten de manera diferente, y las directrices aún están en forma de borrador. Pero la dirección del viaje es hacia una aplicación que tenga un peso real.
Mientras tanto, las organizaciones probablemente se centrarán en la evidencia. Bajo este enfoque, poder mostrar registros, evaluaciones de riesgo y acciones correctivas rápidas podría ser la diferencia entre una multa y una respuesta menor.
Cómo ejercer sus derechos del RGPD hoy
No necesita esperar a que se finalicen las directrices. Si se encuentra en la UE o el EEE, o una empresa está procesando sus datos en virtud del RGPD, ya puede actuar:
- Solicite acceso. Envíe una solicitud de acceso del interesado para averiguar qué datos tiene una empresa sobre usted y cómo los utiliza.
- Solicite la supresión. Si los datos ya no son necesarios o usted retira su consentimiento, pida a la empresa que los elimine.
- Oópongase al tratamiento. Puede oponerse a ciertos usos, incluido el marketing directo.
- Mantenga un registro. Guarde copias de sus solicitudes y las respuestas, con fechas.
- Escalone si se ignoran. Si una empresa no responde adecuadamente, puede presentar una reclamación ante su autoridad nacional de protección de datos.
Una queja documentada y bien fundamentada es el tipo de evidencia sobre la que los reguladores pueden actuar, y una postura de aplicación más firme haría que esas quejas tuvieran más consecuencias.
Puntos clave
La presunción del EDPB de multas del RGPD, si se adopta tal como está redactada, haría de las sanciones la respuesta normal a las violaciones que no sean menores y haría que la negligencia fuera más fácil de establecer. Eso presiona a las empresas a manejar los datos personales con cuidado y da a los derechos de las personas una fuerza más práctica.
Utilice los derechos que ya tiene: solicite acceso, pida la supresión y opóngase cuando corresponda. Para entender cómo se calculan las sanciones una vez que una multa está sobre la mesa, lea nuestros explicativos sobre el método de cinco pasos del EDPB para multas y los niveles de sanciones del RGPD.
