La protección de datos personales es hoy una de las principales obligaciones legales de cualquier organización, tanto pública como privada. En una sociedad altamente digitalizada, donde cada vez se recogen, procesan y comparten más datos, la privacidad se ha convertido en un derecho fundamental que exige una especial protección.
Administraciones públicas, empresas, fundaciones, asociaciones e instituciones culturales gestionan diariamente información relativa a empleados, usuarios, proveedores, visitantes, investigadores y ciudadanos. Esta información puede incluir datos identificativos, direcciones electrónicas, imágenes, datos académicos, laborales o económicos que, si no se tratan adecuadamente, pueden afectar a los derechos y libertades de las personas.
Por este motivo, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establecen un conjunto de principios y obligaciones destinados a garantizar un tratamiento responsable de la información personal.
Las sanciones impuestas por la Agencia Española de Protección de Datos (AEPD) durante 2026 evidencian que el cumplimiento normativo no es una cuestión meramente formal, sino un elemento esencial de la buena gobernanza y de la confianza ciudadana.
Las sanciones que han marcado 2026
La Resolución de 17 de junio de 2026 de la AEPD, publicada en el BOE el 27 de junio de 2026, incluye las sanciones superiores a un millón de euros impuestas por la autoridad de control española. Dos organizaciones concentran la atención: Amadeus IT Group y Vodafone España.
Amadeus IT Group: 14,4 millones de euros
La multa más elevada corresponde a Amadeus IT Group, S.A., sancionada con 14,4 millones de euros por vulneraciones de los artículos 6 y 14 del RGPD. Según la publicación oficial, las infracciones estaban relacionadas con la falta de una base jurídica adecuada para el tratamiento de datos y con el incumplimiento del deber de información a las personas afectadas.
La cuantía de la sanción pone de manifiesto la trascendencia que las autoridades de control atribuyen a los principios de licitud y transparencia. Cualquier tratamiento de datos debe estar debidamente justificado y las personas han de conocer quién utiliza su información, con qué finalidad y durante cuánto tiempo será conservada.
Vodafone España: 1,05 millones de euros
La segunda gran sanción de 2026 corresponde a Vodafone España, S.A.U., con una multa total de 1,05 millones de euros. La resolución incluye dos infracciones del artículo 6.1 del RGPD y una tercera infracción del artículo 32 relacionada con medidas de seguridad insuficientes.
Resulta especialmente relevante que 750.000 euros de la sanción correspondan a deficiencias en las medidas de seguridad aplicadas por la organización. Este hecho confirma el papel central que la ciberseguridad ocupa actualmente dentro de la política inspectora de la AEPD.
El régimen sancionador en materia de protección de datos
El RGPD introdujo un régimen sancionador mucho más severo que el existente anteriormente, con el objetivo de garantizar un cumplimiento efectivo de la normativa en todos los estados miembros de la Unión Europea.
Las sanciones se determinan valorando aspectos como:
- La naturaleza de la infracción.
- Su gravedad.
- La duración.
- El número de personas afectadas.
- Los perjuicios ocasionados.
- El grado de negligencia o intencionalidad.
- Las medidas adoptadas para corregir los hechos.
- Los antecedentes de la organización.
A diferencia de otros ámbitos normativos, las sanciones en protección de datos pueden alcanzar cuantías muy elevadas.
Infracciones graves
El artículo 83 del RGPD establece que determinadas vulneraciones pueden ser sancionadas con multas de hasta 10 millones de euros o el 2% del volumen de negocio global anual de la empresa, eligiéndose la cantidad más elevada.
En esta categoría se incluyen, entre otras:
- La falta de medidas de seguridad adecuadas.
- La inexistencia de registros de actividades de tratamiento cuando son obligatorios.
- El incumplimiento de las obligaciones de los encargados del tratamiento.
- Las deficiencias en la notificación de brechas de seguridad.
Infracciones muy graves
Las vulneraciones de los principios esenciales del RGPD pueden conllevar sanciones de hasta 20 millones de euros o el 4% del volumen de negocio mundial anual, optando también por la cantidad superior.
Entre estas infracciones destacan:
- Tratar datos sin base jurídica.
- Incumplir los principios fundamentales del tratamiento.
- Vulnerar los derechos de las personas interesadas.
- Realizar transferencias internacionales de datos sin garantías suficientes.
- Ignorar una resolución de la autoridad de control.
Los casos de Amadeus y Vodafone evidencian precisamente la importancia que la AEPD atribuye a estos principios básicos del RGPD.
¿Cuáles son las infracciones más habituales?
La experiencia acumulada por los organismos de control muestra que las sanciones suelen derivar de situaciones muy recurrentes:
Tratamiento sin base jurídica
Es una de las infracciones más frecuentes y también una de las más severamente sancionadas. Toda organización debe poder acreditar la base legal que legitima cada tratamiento de datos.
Deficiencias en la información facilitada
Los ciudadanos tienen derecho a saber qué datos se recogen, por qué se recogen y quién será responsable de ellos.
Errores en la gestión de los derechos
Cuando una persona ejerce sus derechos de acceso, rectificación, oposición o supresión, la organización debe actuar dentro de los plazos establecidos por la normativa.
Problemas de seguridad
El acceso indebido a datos personales, las brechas de seguridad, las filtraciones de información y los ataques informáticos siguen siendo una de las principales fuentes de sanciones.
Conservación excesiva de datos
Los datos no pueden mantenerse indefinidamente. Deben ser eliminados cuando dejen de ser necesarios para la finalidad que justificó su recogida.
La responsabilidad de las administraciones e instituciones culturales
Los deberes en materia de privacidad no afectan únicamente a grandes corporaciones tecnológicas. Las administraciones públicas y las instituciones culturales también gestionan una gran cantidad de datos personales.
Inscripciones a actividades, reservas de visitas, procesos selectivos, directorios profesionales, videovigilancia, préstamos documentales o gestión de personal son algunos de los tratamientos habituales en organismos públicos y culturales.
Por este motivo, instituciones como museos, archivos, bibliotecas o centros patrimoniales deben velar especialmente por:
- Disponer de registros de tratamiento actualizados.
- Informar correctamente a los usuarios.
- Limitar los accesos a la información.
- Gestionar adecuadamente las imágenes captadas por videovigilancia.
- Garantizar la seguridad de los sistemas informáticos.
- Formar periódicamente al personal.
¿Cómo evitar sanciones?
La mejor estrategia no consiste únicamente en reaccionar ante un problema, sino en establecer una cultura de cumplimiento permanente.
Por ello es recomendable:
Identificar todos los tratamientos de datos
Conocer qué información se recoge, quién accede a ella y con qué finalidad se utiliza.
Revisar las bases jurídicas
Cada tratamiento debe estar fundamentado en una de las bases legitimadoras previstas por el RGPD.
Actualizar las cláusulas informativas
La información facilitada a los interesados debe ser clara, sencilla y accesible.
Reforzar la ciberseguridad
Las contraseñas robustas, la autenticación multifactor, las copias de seguridad y las actualizaciones periódicas constituyen elementos imprescindibles.
Formar continuamente al personal
La mayor parte de las incidencias tienen su origen en errores humanos. La formación es una de las mejores herramientas preventivas.
Auditar periódicamente los procedimientos
Las nuevas tecnologías y los cambios normativos hacen necesario revisar los sistemas de forma continuada.
Una cuestión de confianza y buen gobierno
Las sanciones de 14,4 millones de euros a Amadeus IT Group y 1,05 millones de euros a Vodafone España no solo reflejan el endurecimiento de la actividad inspectora de la AEPD, sino también la importancia creciente que la sociedad otorga a la privacidad y a la protección de la información personal.
Más allá de las consecuencias económicas, un incumplimiento en materia de protección de datos puede conllevar pérdida de confianza, deterioro reputacional y una disminución de la credibilidad institucional.
Por ello, cumplir con el RGPD no debe entenderse como una simple exigencia administrativa. Se trata de un compromiso con los derechos de las personas, con la transparencia y con la calidad de los servicios que las organizaciones ofrecen a la ciudadanía.
En definitiva, proteger los datos personales es proteger a las personas. Y en un entorno cada vez más digital, esta responsabilidad es más importante que nunca.
