La protecció de dades personals és avui una de les principals obligacions legals de qualsevol organització, tant pública com privada. En una societat altament digitalitzada, on cada vegada es recullen, processen i comparteixen més dades, la privadesa s'ha convertit en un dret fonamental que exigeix una especial protecció.
Administracions públiques, empreses, fundacions, associacions i institucions culturals gestionen diàriament informació relativa a empleats, usuaris, proveïdors, visitants, investigadors i ciutadans. Aquesta informació pot incloure dades identificatives, adreces electròniques, imatges, dades acadèmiques, laborals o econòmiques que, si no es tracten adequadament, poden afectar els drets i llibertats de les persones.
Per aquest motiu, el Reglament General de Protecció de Dades (RGPD) i la Llei Orgànica de Protecció de Dades i Garantia dels Drets Digitals (LOPDGDD) estableixen un conjunt de principis i obligacions destinats a garantir un tractament responsable de la informació personal.
Les sancions imposades per l'Agència Espanyola de Protecció de Dades (AEPD) durant 2026 evidencien que el compliment normatiu no és una qüestió merament formal, sinó un element essencial de la bona governança i de la confiança ciutadana.
Les sancions que han marcat el 2026
La Resolució de 17 de juny de 2026 de l'AEPD, publicada al BOE el 27 de juny de 2026, inclou les sancions superiors a un milió d'euros imposades per l'autoritat de control espanyola. Dues organitzacions concentren l'atenció: Amadeus IT Group i Vodafone España.
Amadeus IT Group: 14,4 milions d'euros
La multa més elevada correspon a Amadeus IT Group, S.A., sancionada amb 14,4 milions d'euros per vulneracions dels articles 6 i 14 del RGPD. Segons la publicació oficial, les infraccions estaven relacionades amb la manca d'una base jurídica adequada per al tractament de dades i amb l'incompliment del deure d'informació a les persones afectades.
La quantia de la sanció posa de manifest la transcendència que les autoritats de control atribueixen als principis de licitud i transparència. Qualsevol tractament de dades ha d'estar degudament justificat i les persones han de conèixer qui utilitza la seva informació, per a quina finalitat i durant quant de temps serà conservada.
Vodafone España: 1,05 milions d'euros
La segona gran sanció del 2026 correspon a Vodafone España, S.A.U., amb una multa total de 1,05 milions d'euros. La resolució inclou dues infraccions de l'article 6.1 del RGPD i una tercera infracció de l'article 32 relacionada amb mesures de seguretat insuficients.
Resulta especialment rellevant que 750.000 euros de la sanció corresponguin a deficiències en les mesures de seguretat aplicades per l'organització. Aquest fet confirma el paper central que la ciberseguretat ocupa actualment dins la política inspectora de l'AEPD.
El règim sancionador en matèria de protecció de dades
El RGPD va introduir un règim sancionador molt més sever que l'existent anteriorment, amb l'objectiu de garantir un compliment efectiu de la normativa en tots els estats membres de la Unió Europea.
Les sancions es determinen valorant aspectes com:
- La naturalesa de la infracció.
- La seva gravetat.
- La durada.
- El nombre de persones afectades.
- Els perjudicis ocasionats.
- El grau de negligència o intencionalitat.
- Les mesures adoptades per corregir els fets.
- Els antecedents de l'organització.
A diferència d'altres àmbits normatius, les sancions en protecció de dades poden assolir quanties molt elevades.
Infraccions greus
L'article 83 del RGPD estableix que determinades vulneracions poden ser sancionades amb multes de fins a 10 milions d'euros o el 2% del volum de negoci global anual de l'empresa, triant-se la quantitat més elevada.
En aquesta categoria s'inclouen, entre d'altres:
- La manca de mesures de seguretat adequades.
- La inexistència de registres d'activitats de tractament quan són obligatoris.
- L'incompliment de les obligacions dels encarregats del tractament.
- Les deficiències en la notificació de bretxes de seguretat.
Infraccions molt greus
Les vulneracions dels principis essencials del RGPD poden comportar sancions de fins a 20 milions d'euros o el 4% del volum de negoci mundial anual, optant també per la quantitat superior.
Entre aquestes infraccions destaquen:
- Tractar dades sense base jurídica.
- Incomplir els principis fonamentals del tractament.
- Vulnerar els drets de les persones interessades.
- Realitzar transferències internacionals de dades sense garanties suficients.
- Ignorar una resolució de l'autoritat de control.
Els casos d'Amadeus i Vodafone evidencien precisament la importància que l'AEPD atribueix a aquests principis bàsics del RGPD.
Quines són les infraccions més habituals?
L'experiència acumulada pels organismes de control mostra que les sancions solen derivar de situacions molt recurrents:
Tractament sense base jurídica
És una de les infraccions més freqüents i també una de les més severament sancionades. Tota organització ha de poder acreditar la base legal que legitima cada tractament de dades.
Deficiències en la informació facilitada
Els ciutadans tenen dret a saber quines dades es recullen, per què es recullen i qui en serà responsable.
Errors en la gestió dels drets
Quan una persona exerceix els seus drets d'accés, rectificació, oposició o supressió, l'organització ha d'actuar dins els terminis establerts per la normativa.
Problemes de seguretat
L'accés indegut a dades personals, les bretxes de seguretat, les filtracions d'informació i els atacs informàtics continuen sent una de les principals fonts de sancions.
Conservació excessiva de dades
Les dades no poden mantenir-se indefinidament. Han de ser eliminades quan deixin de ser necessàries per a la finalitat que va justificar la seva recollida.
La responsabilitat de les administracions i institucions culturals
Els deures en matèria de privadesa no afecten únicament grans corporacions tecnològiques. Les administracions públiques i les institucions culturals també gestionen una gran quantitat de dades personals.
Inscripcions a activitats, reserves de visites, processos selectius, directoris professionals, videovigilància, préstecs documentals o gestió de personal són alguns dels tractaments habituals en organismes públics i culturals.
Per aquest motiu, institucions com museus, arxius, biblioteques o centres patrimonials han de vetllar especialment per:
- Disposar de registres de tractament actualitzats.
- Informar correctament els usuaris.
- Limitar els accessos a la informació.
- Gestionar adequadament les imatges captades per videovigilància.
- Garantir la seguretat dels sistemes informàtics.
- Formar periòdicament el personal.
Com evitar sancions?
La millor estratègia no consisteix únicament a reaccionar davant un problema, sinó a establir una cultura de compliment permanent.
Per això és recomanable:
Identificar tots els tractaments de dades
Conèixer quina informació es recull, qui hi accedeix i amb quina finalitat s'utilitza.
Revisar les bases jurídiques
Cada tractament ha d'estar fonamentat en una de les bases legitimadores previstes pel RGPD.
Actualitzar les clàusules informatives
La informació facilitada als interessats ha de ser clara, senzilla i accessible.
Reforçar la ciberseguretat
Les contrasenyes robustes, l'autenticació multifactor, les còpies de seguretat i les actualitzacions periòdiques constitueixen elements imprescindibles.
Formar contínuament el personal
La major part de les incidències tenen el seu origen en errors humans. La formació és una de les millors eines preventives.
Auditar periòdicament els procediments
Les noves tecnologies i els canvis normatius fan necessari revisar els sistemes de forma continuada.
Una qüestió de confiança i bon govern
Les sancions de 14,4 milions d'euros a Amadeus IT Group i 1,05 milions d'euros a Vodafone España no només reflecteixen l'enduriment de l'activitat inspectora de l'AEPD, sinó també la importància creixent que la societat atorga a la privadesa i a la protecció de la informació personal.
Més enllà de les conseqüències econòmiques, un incompliment en matèria de protecció de dades pot comportar pèrdua de confiança, deteriorament reputacional i una disminució de la credibilitat institucional.
Per això, complir amb el RGPD no s'ha d'entendre com una simple exigència administrativa. Es tracta d'un compromís amb els drets de les persones, amb la transparència i amb la qualitat dels serveis que les organitzacions ofereixen a la ciutadania.
En definitiva, protegir les dades personals és protegir les persones. I en un entorn cada vegada més digital, aquesta responsabilitat és més important que mai.
