El Comité Europeo de Protección de Datos (CEPD) ha adoptado sus nuevas Directrices 04/2026 para armonizar los criterios sobre la imposición de multas por infracciones del RGPD. El Reglamento pone a disposición de las autoridades distintas medidas correctivas, como apercibimientos, órdenes o limitaciones del tratamiento, además de las sanciones económicas. La cuestión, por tanto, es determinar cuándo un incumplimiento debe dar lugar a una multa y cuándo resulta más adecuada otra medida. Para facilitar esta decisión, el CEPD establece una metodología común de cinco pasos.
Los tres primeros permiten comprobar si se cumplen los requisitos jurídicos necesarios para imponer una multa. En primer lugar, debe verificarse que la infracción puede ser sancionada económicamente conforme al RGPD o al Derecho nacional. A continuación, se determina si la persona o entidad investigada puede responder por ese incumplimiento. Finalmente, se analiza si la conducta fue intencionada o, al menos, negligente. Este último requisito es especialmente relevante, ya que la mera constatación de una infracción no basta para imponer una multa si no existe algún grado de culpabilidad.
Superado este primer análisis, la metodología se centra en si la multa constituye la respuesta adecuada en el caso concreto. Para ello, la autoridad debe valorar los factores previstos en el artículo 83.2 del RGPD. Entre otros, deberá atender a la naturaleza, gravedad y duración de la infracción, el número de afectados y los daños sufridos, el grado de responsabilidad, las medidas adoptadas para reducir sus consecuencias, los antecedentes o las categorías de datos afectadas.
Esta valoración permite determinar si la infracción puede considerarse menor. En ese caso, la regla general será no imponer una multa y podrá recurrirse, por ejemplo, a un apercibimiento. En cambio, cuando la infracción no tenga esta consideración, existirá una fuerte presunción a favor de la sanción económica. La decisión, sin embargo, no es automática.
Como último paso, la autoridad deberá comprobar que la multa sea efectiva, proporcionada y disuasoria. Este análisis final permite adaptar la respuesta a las circunstancias del caso e incluso apartarse de la regla general cuando existan razones que lo justifiquen.
La multa se configura así como una de las posibles respuestas al incumplimiento, cuya imposición exige valorar tanto los requisitos para sancionar como las circunstancias concretas del caso. El objetivo es avanzar hacia una actuación más coherente de las autoridades de protección de datos en toda la Unión Europea.