Actualidad RGPD · EDPB · 21 de septiembre de 2026
La nueva metodología europea para decidir multas RGPD: qué deben revisar las empresas
El Comité Europeo de Protección de Datos (EDPB) ha adoptado una metodología de cinco pasos para orientar cuándo una autoridad de control debe imponer una multa administrativa y cómo relacionarla con otras medidas correctivas. La guía está en consulta pública hasta el 13 de noviembre de 2026.
La guía no crea una multa automática ni sustituye el análisis de cada expediente. Aporta un marco común para valorar la base legal de la infracción, la responsabilidad, la intencionalidad o negligencia, los factores agravantes y atenuantes y la proporcionalidad de la multa. Para las empresas, refuerza la importancia de documentar riesgos, decisiones y medidas correctoras antes de que exista una investigación.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
El EDPB presentó esta novedad el 21 de septiembre de 2026 junto con la versión final de sus directrices sobre la relación entre el Reglamento de Servicios Digitales (DSA) y el RGPD. La primera parte afecta especialmente a responsables y encargados del tratamiento que operan en varios Estados del Espacio Económico Europeo, porque busca que las autoridades apliquen criterios más coherentes al decidir si procede una multa, un apercibimiento, una orden u otra medida.
Desde la perspectiva de Álvaro Ruipérez Candón y ScandoUp Global Legal, el interés práctico está en anticipar qué evidencias debería poder presentar una organización: inventario de tratamientos, análisis de riesgos, contratos, controles técnicos, formación, registro de incidentes y trazabilidad de las decisiones. La guía está dirigida a las autoridades, pero permite a las empresas entender mejor cómo se examina un incumplimiento.
¿Cuáles son los cinco pasos de la metodología del EDPB?
¿Qué significa para una empresa española?
Una multa no depende solo de que exista un error
La metodología recuerda que la autoridad debe recorrer una secuencia. Primero debe identificar una infracción que pueda ser sancionada. Después debe justificar quién estaba sujeto a la obligación incumplida. Solo entonces analiza el elemento subjetivo, los factores del caso y la necesidad de la multa. Por eso no es correcto leer la guía como una tabla que convierta cada fallo de privacidad en una cantidad fija.
El resultado práctico es que la responsabilidad proactiva gana peso. Una empresa que demuestra que identificó el riesgo, eligió medidas razonables, supervisó a sus proveedores y corrigió una incidencia tendrá una posición documental más sólida que otra que no pueda explicar cómo tomó sus decisiones.
Si la AEPD solicita información a tu empresa, este enfoque ayuda a ordenar el expediente, las evidencias y las personas responsables. Consulta esta guía sobre qué debe preparar la empresa ante una solicitud de información de la AEPD.
La cooperación y la corrección temprana deben dejar rastro
Las autoridades pueden considerar circunstancias agravantes o atenuantes. La organización debería registrar cuándo detectó el problema, a quién informó, qué contención aplicó, cómo evaluó el impacto y qué cambios implantó. En una brecha o un incidente relacionado con IA, los registros técnicos y las actas internas deben poder conectarse con el análisis jurídico.
También es importante separar una advertencia, un apercibimiento, una orden y una multa. Son poderes correctivos distintos y no expresan necesariamente el mismo juicio sobre la gravedad del caso. La nueva guía explica su relación y aporta ejemplos prácticos, pero la calificación final depende de los hechos y del expediente.
¿Qué deberían revisar ahora los responsables y encargados?
- Mapa de tratamientos: actualizar finalidades, categorías de datos, destinatarios, transferencias y plazos de conservación.
- Responsabilidades: revisar contratos con encargados y proveedores tecnológicos, incluyendo instrucciones, subcontratación, seguridad y asistencia.
- Riesgos: conservar análisis de riesgos y, cuando proceda, una evaluación de impacto relativa a la protección de datos.
- Medidas: documentar controles de acceso, cifrado, copias, gestión de permisos, formación y pruebas de eficacia.
- Incidentes: mantener un registro con detección, decisión sobre notificación, comunicaciones y correcciones posteriores.
- Gobernanza: elevar al DPO o responsable de privacidad las decisiones sensibles y revisar periódicamente el cumplimiento.
La relación con el DSA y los negocios digitales
La misma sesión plenaria del EDPB aprobó la versión final de las directrices sobre la interacción entre el DSA y el RGPD. El documento resulta relevante para plataformas y servicios de intermediación que tratan datos personales en contextos de moderación, publicidad, recomendación o gestión de cuentas. No convierte a todas las empresas en plataformas sujetas al DSA, pero sí ayuda a ordenar qué norma se aplica a cada operación y cómo deben coordinarse sus garantías.
Para un negocio digital, la prioridad es describir el servicio real, no limitarse a etiquetarlo como SaaS o marketplace. Hay que identificar qué decisiones toma la plataforma, qué datos utiliza, qué proveedores intervienen y qué derechos puede ejercer la persona usuaria. Esa descripción es la base para asignar obligaciones y evitar que la arquitectura contractual o técnica oculte el tratamiento efectivo.
¿Cómo convertir la metodología en un plan de cumplimiento?
Una revisión útil puede organizarse en cuatro semanas. La primera se dedica al inventario y a la identificación de tratamientos de mayor riesgo. La segunda contrasta contratos, políticas, controles y evidencias. La tercera prueba la respuesta ante derechos, incidentes y solicitudes de la autoridad. La cuarta prioriza correcciones, responsables y fechas, dejando constancia de lo que se ha aceptado y de lo que debe escalarse.
Este enfoque no garantiza que nunca exista una inspección ni evita por sí solo una multa. Sí mejora la capacidad de demostrar diligencia, detectar incumplimientos antes de que se consoliden y responder con rapidez. En organizaciones con IA, perfiles, datos de salud, biometría o decisiones que afectan a personas, conviene coordinar RGPD, seguridad y gobernanza algorítmica desde el diseño.
Fuentes oficiales consultadas el 5 de octubre de 2026
- EDPB: metodología de multas y directrices DSA-RGPD, 21 de septiembre de 2026.
- EDPB: Guidelines 3/2025 sobre interacción DSA y RGPD.
- Perfil de Álvaro Ruipérez Candón, abogado de derecho digital, RGPD e inteligencia artificial.
Contenido informativo y general. No constituye asesoramiento jurídico para un caso concreto. La metodología del EDPB está sometida a consulta pública hasta el 13 de noviembre de 2026.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.
Preguntas frecuentes
¿La metodología del EDPB fija automáticamente el importe de una multa?
No. Ordena el análisis que debe realizar la autoridad y exige valorar el expediente concreto. La cuantía depende de la infracción, la responsabilidad, la culpa, los factores del caso y la proporcionalidad.
¿Una empresa puede recibir una medida correctiva distinta de una multa?
Sí. La autoridad puede utilizar advertencias, apercibimientos, órdenes, limitaciones u otras medidas previstas en el RGPD. La respuesta depende de la naturaleza y gravedad de los hechos.
¿Qué evidencia debería preparar una empresa antes de una inspección?
Como mínimo, un inventario actualizado, análisis de riesgos, contratos, políticas, registros de incidentes, controles de seguridad, formación y evidencias de revisión y corrección.