Multas del RGPD: casos reales en Alemania y lo que las empresas aprenden de ellos

Una multa del RGPD puede alcanzarle, según el art. 83 RGPD, en dos marcos: hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial en caso de seguridad de los datos deficiente, hasta 20 millones de euros o el 4 % en caso de infracción de principios fundamentales como la licitud o las categorías especiales de datos. En cada caso se aplica el valor más alto.

De la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es información general y no asesoramiento jurídico.

El récord: 45 millones de euros contra Vodafone en 2025. Cuatro casos reales muestran qué lagunas de proceso costaron millones a las empresas, y por qué los tribunales redujeron después dos de las multas en más de un 90 %.

¿Qué cuantía pueden alcanzar las multas del RGPD?

El art. 83, apartado 4, RGPD abarca los incumplimientos de obligaciones de los responsables y de los encargados del tratamiento, por ejemplo medidas insuficientes con arreglo al art. 32 o la falta de contratos de encargo de tratamiento con arreglo al art. 28: hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial. El art. 83, apartado 5, RGPD se refiere a las infracciones más graves de los principios del tratamiento (arts. 5, 6, 9), de los derechos de los interesados o de las transferencias internacionales de datos: hasta 20 millones de euros o el 4 %. En los grupos con varios miles de millones de euros de volumen de negocio anual es prácticamente siempre el porcentaje del volumen de negocio lo que resulta determinante, y no el importe máximo fijo.

¿Qué casos reales ha habido en Alemania?

Los cuatro casos siguientes están acreditados mediante comunicados de prensa de las autoridades de control competentes o resoluciones judiciales.

H&M: datos privados de empleados en el centro de servicios

En el centro de servicios de Núremberg, los mandos recogían desde 2014, en las «Welcome Back Talks» tras unas vacaciones o una baja por enfermedad, notas sobre problemas familiares, síntomas de enfermedad y convicciones religiosas de los empleados y las guardaban en una unidad de red. En octubre de 2019, un error de configuración hizo que estos datos pudieran consultarse en toda la empresa. La HmbBfDI (autoridad de protección de datos de Hamburgo) impuso el 1 de octubre de 2020 una multa de 35.258.707,95 euros, que adquirió firmeza porque H&M no presentó recurso.

Lección para su empresa: sin directrices claras sobre qué contenidos de las conversaciones pueden documentarse, y sin formación de los mandos sobre conversaciones de personal lícitas, surge un cajón de sastre de datos sensibles para el que sencillamente no existe base jurídica.

Deutsche Wohnen: sistema de archivo sin función de borrado

En inspecciones de 2017 y 2019, la BlnBDI (autoridad de protección de datos de Berlín) constató que Deutsche Wohnen utilizaba un sistema de archivo del que técnicamente no se podían eliminar los datos de inquilinos que ya no eran necesarios. El 5 de noviembre de 2019, la autoridad impuso una multa de unos 14,5 millones de euros. Deutsche Wohnen recurrió; el TJUE resolvió el 5 de diciembre de 2023 (asunto C-807/21) que las empresas pueden responder directamente incluso sin imputación a una persona directiva, pero exigió para ello una conducta dolosa o negligente. El tribunal regional (Landgericht) de Berlín redujo a continuación la multa, el 9 de junio de 2026, a 900.000 euros, entre otras razones porque la empresa había cooperado y trabajado en una solución técnica. La sentencia no es firme.

Lección para su empresa: reside menos en la formación que en el proceso: las rutinas de borrado documentadas y los plazos de conservación de los datos personales no son un nice-to-have, sino una obligación esencial con arreglo al art. 5, apartado 1, letra e), RGPD.

1&1 Telecom: autenticación débil en la línea de atención

El desencadenante fue, en 2018, un caso en el que una llamante pudo averiguar a través de la línea de atención de 1&1, con solo un nombre y una fecha de nacimiento, el nuevo número de teléfono de su expareja. La BfDI (autoridad federal de protección de datos) impuso en diciembre de 2019 una multa de 9,55 millones de euros por medidas técnicas y organizativas insuficientes en el procedimiento de autenticación de la línea de atención al cliente (art. 32 RGPD). El tribunal regional (Landgericht) de Bonn confirmó la infracción en cuanto al fondo el 11 de noviembre de 2020, pero no apreció una divulgación masiva de datos y redujo la multa a 900.000 euros. Justificó esta reducción en que no aceptaba el método de cálculo de la autoridad, basado en el volumen de negocio del grupo. La sentencia es firme.

Lección para su empresa: un equipo de atención formado, que conozca pasos de verificación adicionales para las consultas sensibles, habría cerrado en la práctica la brecha de seguridad.

Vodafone: socios comerciales y acceso eSIM

La BfDI impuso en junio de 2025 dos multas a Vodafone GmbH por un total de 45 millones de euros, el importe más alto de la autoridad hasta la fecha. 15 millones de euros correspondieron a socios comerciales controlados de forma insuficiente, a través de los cuales se celebraron contratos fraudulentos en perjuicio de clientes. 30 millones de euros se refirieron a brechas de seguridad en la interacción entre el portal en línea «MeinVodafone» y la línea de atención, a través de las cuales los atacantes pudieron acceder a perfiles eSIM.

Lección para su empresa: ambas infracciones afectan a procesos de control y de seguridad: auditorías periódicas de los proveedores de servicios con arreglo al art. 28 RGPD y procedimientos de autenticación de varios niveles habrían sido las respuestas técnicas evidentes.

¿Cómo fijan las autoridades la cuantía?

Dos de estos criterios dependen directamente de usted: la cooperación con la autoridad y las medidas documentadas. El art. 83, apartado 2, RGPD enumera los criterios en los que deben basarse las autoridades de control al fijar la cuantía:

• Naturaleza, gravedad y duración de la infracción
• Dolo o negligencia
• Medidas para paliar el daño
• Grado de responsabilidad, teniendo en cuenta las medidas técnicas y organizativas adoptadas
• Infracciones anteriores pertinentes
• Grado de cooperación con la autoridad
• Categorías de datos afectadas
• Forma en que se tuvo conocimiento de la infracción

Precisamente estos criterios explican por qué los tribunales redujeron después las multas de 1&1 y de Deutsche Wohnen: valoraron la cooperación, las medidas adoptadas y la gravedad real de forma distinta a como lo hizo la autoridad en su resolución.

¿Qué protege realmente a las empresas?

Las medidas técnicas y organizativas documentadas, los conceptos de borrado y las formaciones de los empleados forman parte de la responsabilidad proactiva con arreglo al art. 5, apartado 2, y al art. 24 RGPD; encontrará más información en el artículo sobre la responsabilidad proactiva según el RGPD. Se tienen en cuenta expresamente como criterio atenuante al fijar la multa, conforme al art. 83, apartado 2, letra d), RGPD. Bien mirado, una formación es por tanto una pieza de la gestión de riesgos, no un cheque en blanco: ninguno de los cuatro casos se habría evitado solo con una formación.

Pero los cuatro muestran que el verdadero desencadenante fueron procesos ausentes o no aplicados en la práctica: rutinas de borrado, controles de acceso, estándares de autenticación, guiones de conversación claros. Quien puede demostrar que los empleados conocen los principios fundamentales del RGPD y que los procesos se revisan periódicamente suele estar mejor situado, al fijarse una multa, que una empresa sin ninguna documentación.

Preguntas frecuentes (FAQ)

¿Quién impone las multas del RGPD en Alemania?

Son competentes las autoridades de control de protección de datos de los Länder donde tiene su sede la empresa, por ejemplo la HmbBfDI en Hamburgo o la BlnBDI en Berlín. Para los proveedores de telecomunicaciones y servicios postales, así como para las autoridades federales, es competente la Comisionada Federal para la Protección de Datos y la Libertad de Información (BfDI).

¿Pueden los tribunales reducir las multas del RGPD?

Sí. Las empresas pueden impugnar las resoluciones sancionadoras ante los tribunales ordinarios. En dos de los casos aquí presentados, la suma impuesta originalmente se redujo después en más de un 90 %.

¿Se aplica el límite de 10 / 20 millones también a las empresas pequeñas?

Los importes máximos del art. 83, apartados 4 y 5, RGPD se aplican con independencia del tamaño de la empresa. En las empresas pequeñas, el límite relevante en la práctica suele ser el importe máximo fijo; en los grandes grupos con un volumen de negocio anual elevado, en cambio, casi siempre es el porcentaje del volumen de negocio.

¿Qué riesgo corre realmente una empresa pequeña?

Los casos aquí presentados afectan sin excepción a grupos con un volumen de negocio anual elevado. Según el art. 83, apartado 1, RGPD, las multas deben ser efectivas, proporcionadas y disuasorias: con un volumen de negocio reducido, una multa proporcionada es por tanto notablemente más baja que para un grupo de miles de millones. De estos cuatro casos no se puede deducir una cuantía media fiable para las pymes, ya que todas las resoluciones se dirigen contra grandes empresas.

Para las empresas que quieran arraigar los principios fundamentales del RGPD no solo sobre el papel, sino en el día a día del trabajo, la formación básica sobre el RGPD de Provimedia ofrece una introducción práctica, con certificado de participación como prueba de la medida de formación realizada.

Fuentes

• HmbBfDI, comunicado de prensa «35,3 Mio. Euro Bußgeld gegen H&M», 1 de octubre de 2020: datenschutz-hamburg.de
• BlnBDI, comunicado de prensa sobre la multa a Deutsche Wohnen, 5 de noviembre de 2019: datenschutz-berlin.de
• TJUE, sentencia de 5.12.2023, asunto C-807/21 (Deutsche Wohnen), analizada en el comunicado de prensa de la BlnBDI: datenschutz-berlin.de
• Landgericht Berlin I, sentencia de 9.6.2026, ref. 526 OWiG LG 1/20, publicada por Legal Tribune Online: lto.de
• BfDI, comunicado de prensa «BfDI verhängt Geldbuße gegen 1&1», 9 de diciembre de 2019: bfdi.bund.de
• BfDI, comunicado de prensa sobre la sentencia del Landgericht de Bonn en el procedimiento contra 1&1, 2020: bfdi.bund.de
• BfDI, comunicado de prensa «BfDI verhängt Geldbußen gegen Vodafone», junio de 2025: bfdi.bund.de