Respuesta breve. El Comité Europeo de Protección de Datos (EDPB) adoptó el 21 de septiembre de 2026 las Directrices 04/2026 sobre la imposición de multas y su relación con otras medidas correctivas del RGPD. El documento propone una metodología común para valorar la responsabilidad, la gravedad, la culpabilidad y la proporcionalidad de la respuesta supervisora.
Actualizado: 28 de septiembre de 2026. Autoría: Álvaro Ruipérez Candón, abogado de derecho digital, privacidad e inteligencia artificial en ScandoUp Global Legal.
En un vistazo
- Adopción: 21 de septiembre de 2026.
- Consulta pública: hasta el 13 de noviembre de 2026.
- Alcance: multas y otras medidas correctivas del RGPD.
- Aplicación práctica: cinco pasos y catorce ejemplos.
Qué ha aprobado el EDPB en septiembre de 2026
El EDPB anunció el 21 de septiembre de 2026 la adopción de las Directrices 04/2026 sobre la aplicación de la potestad de imponer multas en relación con otras medidas correctivas previstas en el RGPD. La iniciativa pretende acercar la forma en que las autoridades europeas de protección de datos deciden si procede una multa, otra medida correctiva o una combinación de ambas.
Las directrices sustituyen a las anteriores orientaciones del Grupo de Trabajo del artículo 29 sobre la aplicación y determinación de multas. No reemplazan la metodología específica para calcular el importe de una multa, sino que la complementan con un análisis previo sobre si la multa es jurídicamente posible, a quién puede atribuirse y si resulta necesaria y proporcionada.
El texto se encuentra sometido a consulta pública hasta el 13 de noviembre de 2026. Por tanto, las empresas deben leerlo como una referencia europea adoptada para consulta y no como una resolución sancionadora aplicable automáticamente a cualquier caso.
La metodología de cinco pasos para valorar una multa
1. Comprobar si la infracción puede sancionarse con multa
La autoridad debe identificar una base jurídica que permita imponer una multa, directamente en el RGPD o, cuando corresponda, en la legislación nacional. No toda irregularidad conduce necesariamente a una sanción económica: primero hay que determinar qué obligación se habría incumplido y qué respuesta permite el marco aplicable.
2. Determinar quién puede responder
El segundo paso consiste en analizar si la persona o entidad investigada puede ser sancionada por esa infracción. La responsabilidad depende de quién está vinculado por la obligación incumplida. En la práctica, esto exige revisar el papel real de responsable, encargado, corresponsable, proveedor y demás intervinientes, sin asumir que el contrato refleja por sí solo el funcionamiento efectivo.
3. Valorar si hubo intencionalidad o negligencia
El EDPB sitúa la culpabilidad en el análisis. La autoridad debe valorar si la conducta fue intencionada o negligente. Esto hace especialmente relevante conservar evidencias sobre decisiones, advertencias internas, controles, formación, supervisión de proveedores, correcciones y respuesta ante incidentes.
4. Examinar agravantes y atenuantes
La autoridad debe considerar los factores que aumentan o reducen la gravedad de la respuesta. Entre ellos puede estar la conducta posterior, la cooperación, la rapidez de la corrección, la duración, el alcance, el número de personas afectadas y la existencia de medidas para evitar que el problema se repita.
5. Comprobar que la multa sea efectiva, proporcionada y disuasoria
Finalmente, la autoridad debe valorar si la multa cumple simultáneamente una función efectiva, proporcionada y disuasoria. Las directrices también contemplan que, según las circunstancias del caso, pueda ser necesario apartarse del enfoque estándar para evitar una respuesta excesiva o insuficiente.
Multa, advertencia, apercibimiento u orden: no son lo mismo
Una de las aportaciones prácticas del documento es ordenar la relación entre las distintas potestades correctivas. El marco incluye advertencias, apercibimientos, órdenes de adaptación, limitaciones o prohibiciones del tratamiento y retirada de certificaciones, además de las multas.
Una advertencia puede llamar la atención sobre un tratamiento previsto que podría infringir el RGPD. Un apercibimiento expresa la reprochabilidad de una infracción sin imponer necesariamente una multa. Una orden puede exigir cambios concretos y una limitación puede restringir o detener el tratamiento. La elección depende de los hechos y de la finalidad correctiva; no debe confundirse una advertencia preventiva con una sanción firme.
Esta distinción conecta con la reciente advertencia de la AEPD sobre una herramienta de IA para evaluar candidaturas: la Agencia no impuso una multa, sino que exigió analizar riesgos, transparencia, protección de datos desde el diseño e intervención humana efectiva antes de la implantación.
Qué debería documentar una empresa antes de una inspección
Las Directrices 04/2026 refuerzan una idea central de la responsabilidad proactiva: el cumplimiento debe poder demostrarse. Una política genérica no sustituye a las evidencias de cómo se toman y revisan las decisiones.
- Registro actualizado de tratamientos y responsables internos.
- Base jurídica, finalidades, categorías de datos y plazos de conservación.
- Evaluaciones de riesgos y, cuando proceda, evaluación de impacto.
- Contratos con encargados, subencargados y proveedores tecnológicos.
- Procedimientos de derechos, brechas, reclamaciones y escalado interno.
- Pruebas de formación, supervisión, auditorías y medidas correctoras.
- Cronología de incidentes, cooperación con la autoridad y correcciones aplicadas.
Para ordenar estas evidencias y revisar la exposición de una empresa, puede consultarse el servicio de abogados de protección de datos y RGPD para empresas de ScandoUp. El análisis debe adaptarse al tratamiento, al sector y al papel que desempeña cada entidad.
Qué cambia para responsables, encargados y equipos de cumplimiento
El documento europeo no permite anticipar una cuantía concreta para un caso futuro, pero sí ayuda a identificar qué hechos pueden pesar en la respuesta. Para la dirección, la prioridad es integrar privacidad, seguridad, compras, tecnología y negocio en un sistema de gobierno con responsables definidos.
Para un proveedor tecnológico, resulta esencial delimitar sus funciones, documentar controles, asistir al cliente y comunicar incidentes. Para un responsable del tratamiento, no basta con contratar una herramienta o un encargado: debe poder demostrar selección diligente, instrucciones, supervisión y capacidad de reacción.
Las directrices también son relevantes para proyectos de inteligencia artificial, marketing, recursos humanos, plataformas digitales y tratamientos de alto riesgo. En todos ellos conviene separar los hechos comprobados, la interpretación jurídica y las decisiones de gestión del riesgo.
Checklist práctico para empresas
- Identifica qué tratamientos podrían generar una reclamación o una actuación de oficio.
- Comprueba quién es responsable de cada obligación y quién tiene capacidad real de decisión.
- Revisa si existen evidencias de diligencia, supervisión y corrección.
- Clasifica los incidentes y reclamaciones por gravedad, alcance y duración.
- Documenta la cooperación con la autoridad y las medidas adoptadas.
- Revisa contratos y proveedores críticos con una periodicidad definida.
- Actualiza el programa de cumplimiento cuando cambien procesos, sistemas o riesgos.
Preguntas frecuentes
¿Las Directrices 04/2026 fijan automáticamente una multa?
No. Proponen una metodología común para decidir si procede una multa u otra medida correctiva. Además, el texto está sometido a consulta pública hasta el 13 de noviembre de 2026.
¿Una advertencia de la AEPD equivale a una sanción?
No. La advertencia es una potestad preventiva para señalar que un tratamiento previsto podría infringir el RGPD. No equivale por sí misma a una multa ni acredita una infracción firme.
¿Qué debe hacer una empresa para reducir su exposición?
Debe identificar tratamientos y responsables, evaluar riesgos, documentar decisiones, supervisar proveedores, atender derechos e incidentes y conservar evidencias de corrección y mejora continua.
Revisión jurídica y cumplimiento RGPD
ScandoUp Global Legal revisa programas de privacidad, tratamientos de alto riesgo, proveedores tecnológicos, brechas y medidas de responsabilidad proactiva para empresas en Madrid y toda España.
Escribir a Álvaro Ruipérezarc@scandoup.com
Fuente oficial
EDPB, “EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines”, 21 de septiembre de 2026. Consulta realizada el 28 de septiembre de 2026.
Contenido meramente informativo. Las Directrices están sometidas a consulta pública y no sustituyen el análisis jurídico de un caso concreto.
Valora tu caso con Álvaro Ruipérez
Si necesitas revisar una sanción, una brecha, un DPO o el uso de IA en tu empresa, puedes explicar tu situación y elegir el siguiente paso.