Tus preferencias de cookies
Directrices EDPB · art. 7 RGPD
Usamos cookies técnicas esenciales para el funcionamiento de la plataforma (inicio de sesión, seguridad, sesiones). También nos gustaría usar cookies analíticas para entender cómo mejorarla.
Puedes aceptar todo, rechazar todo o elegir qué categorías activar.Tu consentimiento es válido 6 meses y puedes retirarlo en cualquier momento desde el pie de página.
Encontrarás todo en nuestra política de privacidad.
Noticias privacidad y RGPD
Actualizaciones curadas: decisiones de la autoridad italiana, decisiones EDPB, sanciones y novedades normativas.
El píxel invisible de la newsletter: el 29 de octubre se acaba el plazo
Mediante la resolución n.º 284, de 17 de abril de 2026, publicada en el Boletín Oficial n.º 98 de 29 de abril, la autoridad italiana fijó las reglas de los píxeles de seguimiento en el correo electrónico y concedió seis meses para adaptarse: el plazo vence el 29 de octubre de 2026. El seguimiento individual de las aperturas con fines de marketing exige, salvo excepciones, el consentimiento del destinatario. La comprobación forma parte del plan de inspección del segundo semestre. Para un DPD la cuestión no es la prohibición —no la hay— sino que un tratamiento dado por descontado durante veinte años ahora necesita base, información y un modo de desactivarlo por separado.
El despido decidido por el algoritmo es nulo: desde el 23 de octubre en Italia
Publicado en el Boletín Oficial n.º 234 de 8 de octubre de 2026 y en vigor desde el 23 de octubre, el decreto n.º 179/2026 establece que las decisiones finales sobre la relación laboral no pueden basarse exclusivamente en tratamientos automatizados, que el trabajador puede pedir una motivación comprensible y que las decisiones adoptadas en infracción son nulas. En paralelo, los sistemas de IA que inciden en la organización del trabajo entran en la evaluación de riesgos del art. 28 del decreto 81/2008. Para un DPD es el raro caso en que la consecuencia no es económica sino civil, y cambia el modo de plantear la verificación.
El Garante italiano multa a Wind Tre con 16,7 millones: telemarketing pese a las oposiciones y contratos activados sin que los clientes lo supieran
Personas que se habían opuesto seguían recibiendo llamadas, y algunos contratos se activaban sin que el interesado supiera nada. El Garante sanciona a Wind Tre con 16,7 millones y recuerda un principio para toda empresa con red de agencias: la responsabilidad no se externaliza junto con las ventas.
Grecia: 350.000 euros por una brecha — multados el Ministerio y el encargado que usaba sistemas obsoletos, y faltaba el contrato del art. 28
Un ataque a los sistemas de la agencia que gestionaba los programas de un Ministerio expuso datos identificativos, financieros y de salud de muchísimas personas. La autoridad griega multa al responsable con 200.000 euros y al encargado con 150.000: notificar bien no basta si el proveedor trabaja con sistemas superados y la relación no está regulada por contrato.
Gafas inteligentes: el CEPD fija posición — quien las usa puede ser responsable, y quien es grabado debe poder notarlo
Parecen gafas normales, pero tienen cámara, micrófono y conexión. El CEPD publica su primera declaración sobre gafas inteligentes: cuándo el usuario se convierte en responsable, por qué fabricantes y proveedores de apps no pueden trasladarle sus obligaciones y qué significa, en la práctica, hacer visible una grabación.
El Garante italiano multa con 4.000 euros al municipio de Arvier: una cámara grababa ventanas y balcones de una vecina, y el enmascaramiento llegó tarde
Un pequeño municipio del Valle de Aosta usa cámaras para tráfico, aparcamientos, matrículas, medio ambiente y protección civil. Una vecina descubre que una enfoca su casa. El Garante sanciona y aclara algo que vale para cualquier sistema: el enmascaramiento de zonas privadas se diseña antes de encender la cámara, no después de la reclamación.
El buzón de quien se ha ido: el tratamiento que nadie documenta
Mediante la decisión 101/2026 del 12 de mayo de 2026, la Sala de litigios de la autoridad belga de protección de datos sancionó a una empresa que había dejado activo, más de un año después de la salida, el buzón profesional de una persona que ya no trabajaba allí. Los cargos no se limitan a la conservación: tratamiento sin base, falta de transparencia, ausencia de medidas técnicas y organizativas para la supresión, incumplimiento del derecho de acceso. La línea de la autoridad es constante desde años y se resume en dos fechas: desactivación el día de la salida, supresión al mes.
El año en que las autoridades leen la información: la CEF 2026 sobre transparencia
El 19 de marzo de 2026 el CEPD puso en marcha la acción coordinada de ejecución del año sobre las obligaciones de transparencia e información de los arts. 12, 13 y 14 del RGPD. Participan veinticinco autoridades, cada una libre en el método: inspecciones, cuestionarios a los responsables, lectura de las informaciones publicadas en los sitios web, verificaciones sectoriales. Los resultados nacionales se agregarán en la segunda mitad de 2026 y el CEPD publicará un informe de síntesis con recomendaciones. Para quien se ocupa del cumplimiento, la cuestión es que este año el control parte de un texto que ya es público.
Pagar con la cara: qué cambia cuando la llave eres tú
Del 24 al 26 de septiembre de 2026 Revolut probó en tres cafeterías de Londres un sistema de pago que reconoce el rostro en la caja y lo compara con el selfi subido al abrir la cuenta. La adhesión es voluntaria, por encima de 200 libras hace falta una segunda comprobación, y la empresa declara cumplir el RGPD británico. Para un DPD lo interesante está en otro sitio: el rostro usado para identificar es un dato biométrico del art. 9, y en la información conviven dos datos distintos —el modelo biométrico y la fotografía tomada en la caja— con reglas de supresión diferentes.
Cuándo se sanciona y cuándo no: el CEPD pone por escrito la parte que faltaba
El 21 de septiembre de 2026 el Comité Europeo de Protección de Datos adoptó las directrices 04/2026 sobre el ejercicio de la potestad sancionadora en relación con los demás poderes correctivos, abiertas a consulta pública hasta el 13 de noviembre de 2026. Sustituyen a las antiguas directrices del Grupo del artículo 29 y completan las de 2022 sobre el cálculo del importe. La diferencia es sustancial: aquellas decían cuánto, estas dicen si. Y en el cuarto paso hay una presunción que desplaza la carga de la defensa.
Polonia, la UODO: no toda brecha debe notificarse. Datos de registro público por un lado; PESEL, salud y datos financieros por otro
Si del sistema de facturación salen solo el nombre, la denominación, el número fiscal y el domicilio de un empresario, ya públicos en el registro, el riesgo es por lo general improbable. Si salen también el número nacional de identificación, detalles de compras que revelan la salud o datos financieros, hay que notificar. En todo caso, la decisión se anota en el registro interno.
El Garante italiano multa con 39.000 euros a una empresa de seguridad: datos GPS del coche de empresa negados a un exempleado
Un vigilante despedido pide los datos del GPS instalado en su coche de empresa para defenderse en un expediente disciplinario. La empresa no se los entrega ni explica por qué. El Garante sanciona a La Patria S.p.A. de Bolonia y recuerda una regla que muchos olvidan: también la negativa debe motivarse.
Suecia multa a Miljödata con 1,8 millones de coronas: un proveedor, 2,2 millones de personas y dos controles que faltaban
Números de identidad personal, datos de contacto y datos sensibles sobre bajas por enfermedad, rehabilitación e incidentes escolares, publicados en la darknet tras un ataque. La autoridad sueca identifica dos fallos concretos y sanciona directamente al proveedor. Y abre investigaciones sobre los clientes que lo eligieron.
Directrices 04/2026 del CEPD: cinco pasos para decidir si una autoridad debe multar
El Comité Europeo ha adoptado las directrices que dicen cuándo una autoridad de control debe imponer una multa y cuándo puede quedarse en un apercibimiento, una orden o una prohibición. Cinco pasos, catorce ejemplos y una regla clara: si la infracción no es leve, la multa es lo normal.
El Garante multa a IQVIA con 7 millones: un millón de pacientes «anónimos» que no lo eran
Ochocientos médicos de familia, un complemento en su programa de gestión, una base de datos con los diagnósticos y las prescripciones de cerca de un millón de pacientes usada para estudios encargados por la industria farmacéutica. Para la empresa los datos eran anónimos. Para la autoridad italiana no: el código que seguía a cada paciente en el tiempo permitía singularizarlo. Multa de 7 millones y 120 días para adecuarse.
La CNIL multa a Extia con 300.000 euros: suprimir automáticamente no basta, hay que decírselo a quien lo pidió
Una consultora informática recibe cientos de solicitudes de supresión, casi todas de candidatos. Muchos datos desaparecen solos con la supresión automática. Pero quien lo pidió no recibe respuesta. Para la CNIL es una infracción del art. 12 aunque el dato ya no exista: informar del resultado es una obligación distinta de la supresión.
El número 902 del cartel: cien mil euros por poner precio al ejercicio de un derecho
El art. 12.2 no dice que los derechos deban ser posibles: dice que el responsable debe FACILITAR su ejercicio. Un cartel que remite a un 902 impone un coste a quien quiere ejercerlos y desincentiva a quien duda. La existencia de otras vías gratuitas en la web no reparó la infracción, porque el cartel señalaba precisamente el número de pago.
El CEPD escribe cuándo se sanciona, no cuánto: cinco pasos y una presunción
Desde 2022 se sabe cómo se calcula el importe. Faltaba la pregunta previa: ¿debe imponerse la multa? Las directrices adoptadas en plenario el 21 de septiembre dan a las autoridades un recorrido de cinco pasos, catorce ejemplos prácticos y una regla que cambia las expectativas: si la infracción no es menor, la presunción es que se sanciona. Consulta abierta hasta el 13 de noviembre de 2026.
Setenta y tres historiales por minuto durante cinco días, y nadie se dio cuenta
El 3 de septiembre de 2026 la CNIL sancionó al Hôpital privé de la Loire con 500 000 euros. Un atacante entró en la historia clínica electrónica con las credenciales de un médico y en cinco días extrajo 524 867 historiales, a un ritmo de unos setenta y tres por minuto. Ninguna alerta. Faltaban la autenticación multifactor y cualquier herramienta capaz de notar que algo iba mal.
El certificado penal que no dice nada: España anula dos millones
Por sentencia n.º 359/2026, de 8 de julio de 2026, la Audiencia Nacional anuló la multa de dos millones de euros que la AEPD había impuesto a Amazon Road Transport Spain por pedir a los candidatos un certificado de antecedentes penales. El razonamiento: el art. 10 se refiere a datos relativos a condenas e infracciones, y un certificado que acredita la AUSENCIA de condenas no entra ahí automáticamente. La decisión aún es recurrible.
180 productos de IA en cinco años: qué pidió la autoridad
El 25 de septiembre de 2026 la autoridad irlandesa publicó su informe sobre la supervisión de productos y servicios de inteligencia artificial entre 2021 y 2025. Unos 180 productos seguidos, miles de páginas de evaluaciones leídas y dos puntos que se repiten en casi todos los expedientes: el interés legítimo como base para el entrenamiento y la transparencia de tratamientos que nadie logra explicar de forma sencilla.
El fallo del proveedor acabó en condena penal
El 7 de septiembre de 2026, ante el Dublin Metropolitan District Court, Brown Thomas Arnotts Limited se declaró culpable de cinco cargos de veintiuno por infringir el reglamento irlandés de privacidad en las comunicaciones electrónicas. Tres se referían a la falta de una dirección válida para darse de baja, dos al envío sin consentimiento válido. La suma pagada son dos mil euros. Lo que cuenta no es la suma: es que se trata de un proceso penal.
La solicitud venía de un dominio oficial auténtico
El 12 de septiembre de 2026 Revolut confirmó haber comunicado datos de clientes ante solicitudes fraudulentas enviadas desde un dominio de correo de una agencia gubernamental legítima. Entre los datos: fecha de nacimiento, direcciones, teléfonos, copias de pasaportes y permisos de conducir, selfis de verificación, extractos e históricos de transacciones. Unos 680 clientes contactados. No es una intrusión en los sistemas: es una violación de datos personales por divulgación no autorizada, y depende de un procedimiento que casi nadie ha escrito.
Google, 403 millones: la mitad está en tu registro
El 21 de septiembre de 2026 la autoridad irlandesa cerró la investigación abierta en febrero de 2020 sobre Google Ireland. Objeto: los datos de localización en tres funciones — Web & App Activity, Location History, Location Accuracy — entre el 25 de mayo de 2018 y el 4 de febrero de 2020. Multas por 403 millones de euros y seis meses para adecuarse. La cifra es titular; para quien trabaja, lo interesante está en otro sitio.
Portugal abre un canal urgente para denuncias sobre menores
El canal se llama Canal Prioritário y está en la web de la CNPD. Cubre tres situaciones: acceso indebido a datos de menores, recogida y difusión de imagen o sonido con contenido sensible o violento sin consentimiento, y publicidad dirigida a menores. Pueden usarlo los propios menores y cualquier ciudadano que lo detecte. Para el DPD no es una obligación más: es un cambio de exposición, y conviene saber a qué tratamientos afecta de verdad.
El plan Solo baja a 9,99 euros al mes, y no es una promoción
El plan Solo es para quien empieza: tres clientes, un usuario, todas las áreas documentales, el registro del art. 30, la gestión de la brecha con el plazo de 72 horas. A diecinueve euros era un gasto que valorar; a 9,99 es una decisión que se toma en un minuto. El cambio es en la tarifa, no en un código de descuento: quien se suscribe hoy paga esto, y lo pagará también dentro de seis meses.
«No fue abusivo, lo ordenó la dirección médica»: la autoridad dice que no, 24.000 euros
El caso es pequeño y la lección no. El hospital es a la vez lugar de cura y empleador de la misma persona, y cuando las dos condiciones se tocan el historial sanitario se convierte en la herramienta más cómoda y más equivocada. La empresa lo había puesto por escrito ante la Fiscalía: ese acceso no era abusivo, se había hecho «por mandato de la dirección médica» «para el desempeño de la prestación laboral». Es exactamente la frase que la autoridad desmonta.
Cámaras en los vestuarios desde 2007: la defensa enumera lo que no grababan, y pierde
El escrito de defensa es una lista de cosas que no se veían: ni las cabinas, ni las duchas, ni los aseos; y junto a las taquillas no hay bancos «que puedan inducir a quien se desviste a sentarse allí y por tanto a quedar inmortalizado por el sistema de vídeo». Es un razonamiento por sustracción, y en un vestuario no funciona. Para el DPD, sin embargo, el pasaje que hay que retener es otro: entre las normas infringidas está el art. 5.1 e), porque las setenta y dos horas de conservación declaradas no estaban sostenidas por ninguna valoración que demostrara su necesidad.
Un solo reclamante, diez notificaciones, 5,5 millones: el «no» registrado y nunca aplicado
Una reclamación, un solo interesado, datos de contacto, una gravedad que la propia autoridad califica de «baja» — y cinco millones y medio de euros. El cálculo no es punitivo: se deriva de una facturación superior a 500 millones, de un precedente de julio de 2025 y de siete meses en los que la voluntad del cliente estaba escrita en un sistema e ignorada por otro. Para el DPD el punto operativo es uno: el canal que indicas en la información no es el único canal válido.
Los 120 días no son el plazo para sancionarte: son el plazo para imputarte
Quien haya montado una oposición sobre el retraso de la autoridad debe releer el calendario. La Casación aclara tres cosas: reclamación y procedimiento sancionador son autónomos, de modo que superar los nueve-doce meses de la reclamación no hace decaer la potestad sancionadora; los 120 días sirven para notificar la imputación, no para imponer la sanción; y corren desde la «constatación definitiva», que no es la primera noticia sino el momento en que la autoridad puede valorar todos los elementos — incluido el contradictorio contigo. Tras la imputación solo queda la prescripción de cinco años.
Cuatro semanas y ni un día más: cuánto se pueden conservar los datos de los candidatos en los Países Bajos
Cuatro semanas desde el fin del proceso son el plazo más corto de Europa sobre este dato, y no es una recomendación facultativa: ante una reclamación es lo primero que comprueba la autoridad neerlandesa. La copia del documento de identidad es la excepción que parte en tres el expediente de personal.
El Reglamento de IA es un problema de conservación, y casi nadie lo trata así
Todos leen el Reglamento como un ejercicio de clasificación de riesgos. Debajo hay una serie de plazos de conservación tan concretos como los fiscales: documentación diez años desde la introducción en el mercado, registros al menos seis meses, notificación de incidentes en quince, diez o dos días. Nada de eso cabe en un registro con una sola fila para «sistema de IA».
El plan de supresión alemán está mal desde el 1 de enero de 2025 — y en las dos direcciones
La cuarta ley alemana de reducción de cargas burocráticas acortó dos plazos y dejó cuatro intactos. Quien puso ocho años en todo destruye documentos que la inspección todavía puede exigir. Quien dejó diez infringe la limitación del plazo de conservación, sobre el conjunto de datos más completo que tiene la empresa.
Cuántos años se conservan los expedientes de personal en Polonia: diez o cincuenta — y por qué lo decide una sola fecha
A la pregunta «cuántos años guardamos el expediente del trabajador» no hay respuesta corta. Hay tres regímenes, y cuál se aplica lo decide la fecha en que empezó la relación laboral. Para uno de los grupos el plazo baja de cincuenta años a diez, pero solo tras una presentación y contado desde un día completamente distinto.
Cuándo es obligatorio el delegado de protección de datos en España: los dieciséis supuestos del artículo 34
España es de los pocos Estados que ha enumerado por ley los casos en que el delegado es obligatorio. Son dieciséis letras, de la a) a la o), y se suman —no sustituyen— a los tres supuestos del art. 37.1 RGPD. El error más caro no está en la lista: está en el apartado 2, porque quien designa un DPD voluntariamente queda sometido al mismo régimen y debe comunicarlo a la AEPD en diez días.
Plazos de conservación: por qué la CNIL no razona por plazo sino por ciclo de vida
Un registro que escribe «10 años» en la columna de conservación no responde a la pregunta: la esquiva. La CNIL razona en tres fases sucesivas, y la segunda —el archivo intermedio— solo existe si los datos están efectivamente separados de la base activa. Ahí se juega la conformidad, y es exactamente lo que nadie documenta.
La EIPD en Polonia: cuándo es obligatoria y qué debe contener
La EIPD no es un trámite que se marca después de la puesta en marcha. Es una condición que hay que cumplir ANTES de iniciar el tratamiento, y si el riesgo no se logra reducir se convierte en deber de consulta previa a la autoridad. La lista polaca enumera doce categorías de operaciones; las WP248 dan nueve criterios: cumplir dos suele bastar.
La exención de los 250 empleados en el registro de actividades casi no existe
«Somos menos de 250 empleados, no necesitamos registro» es el equívoco más extendido de la materia. La exención del art. 30.5 está sujeta a tres condiciones que operan en alternativa: basta una. Y «no ocasional» abarca las nóminas y la gestión de clientes, es decir, prácticamente toda empresa.
Dieciséis horas antes del 24 de mayo de 2027: la formación que todo empresario debe hacer
Quien lleva un calendario de formación tiene una fila para los trabajadores, otra para los mandos intermedios, otra para los encargados contra incendios. Casi nadie tiene una para el empresario, porque hasta 2025 no existía un deber formativo general: solo el curso del art. 34 para quien asume personalmente el servicio de prevención, una minoría. Ahora hay uno para todos, con una fecha única.
Seguridad en el trabajo: una pantalla en vez de seis, y la matriz que casi nadie muestra
La sección ya sabía responder a cuatro preguntas separadas —qué figuras hacen falta, qué documentos, quién nunca hizo un curso, qué certificados vencen— pero nadie las unía, y para ver el efecto de las propias decisiones había que llegar al sexto paso. Ahora el efecto se ve mientras se rellena.
La matriz italiana llega a 205 reglas: sanidad, blanqueo de capitales y cinco sectores
Italia tenía 155 reglas propias de conservación frente a las 232 de Portugal, y el hueco no estaba repartido: se concentraba en siete dominios. Sanidad tenía 6 frente a 23, blanqueo 4 frente a 13. Italia está ahora en 205 y el hueco estructural está cerrado. Pero el número importa menos que el método: cada regla nueva nace sin verificar, y se ve.
Tres reglas que casi ningún registro italiano contiene
No son normas oscuras. Una viene de un documento de la autoridad italiana de 2024, otra de una ley de 2023, otra del decreto antiblanqueo que todos citan. Lo que comparten es que ninguna se refiere a un archivo que alguien decidiera crear: se refieren a archivos que existen solos, y justo por eso nadie los ha inscrito.
Historias clínicas en un contenedor dentro de un cobertizo: 645.000 euros al servicio de salud irlandés
No es una brecha informática. Es el principio de limitación del plazo de conservación aplicado al papel: documentos guardados más allá de su término, en lugares que no eran archivos, sin que nadie supiera ya qué había dentro.
Sesenta segundos son demasiados: para la autoridad italiana registrar la posición tan a menudo es control continuo
La cuestión no es si se puede geolocalizar un vehículo de empresa: se puede. La cuestión es cada cuánto. Y la autoridad ya había dicho en 2018 que dos minutos eran desproporcionados.
El espacio europeo de datos sanitarios se aplica dentro de poco más de seis meses, y las dos oposiciones que contiene no son lo mismo
No sustituye al RGPD, se le añade. Para quien lleva el registro de un cliente sanitario las fechas que anotar son cuatro, no una, y la primera cae dentro de menos de siete meses.
El 2 de agosto venció la obligación de tener un espacio controlado de pruebas nacional para la IA, y dentro de él pueden tratarse datos recogidos para otra cosa
Es el único punto del Derecho europeo en el que la reutilización de datos personales para entrenar un modelo está prevista de forma expresa. Las condiciones son siete y deben cumplirse todas a la vez.
La campaña europea sobre salud mental en el trabajo arranca el 13 de octubre. No crea obligaciones, y precisamente por eso conviene leerla bien
Una campaña de sensibilización no es un acto jurídico y no introduce ningún deber nuevo. Pero el momento en que una organización mide el riesgo psicosocial es un momento que también atañe a quien se ocupa de protección de datos — y esto es una lectura, no un contenido de la fuente.
Dos millones a un data broker estadounidense: el interés legítimo no cubre la venta de contactos
La sociedad es estadounidense y no tiene establecimiento en Italia, pero el Reglamento se aplicó igual. Además de la multa, la prohibición de tratar datos de personas que se encuentran en Italia y la orden de borrar los recogidos ilícitamente.
Ley de IA: quién vigila qué, y por qué las «primeras multas» que circulan no existen
La Oficina de IA se ocupa de los modelos de uso general, las autoridades nacionales de todo lo demás, el SEPD de las instituciones europeas. Saber ante quién responde un cliente viene antes que saber cuánto arriesga. Y antes aún viene distinguir los poderes que se han vuelto ejercitables de los que se han ejercido.
Una sola ventanilla para notificar brechas: qué han pedido el CEPD y el SEPD sobre el paquete de ciberseguridad
Notificar una brecha hoy significa escribir a varias autoridades con formatos distintos en los mismos tres días. El Comité y el Supervisor Europeo respaldan la ventanilla única, y ponen límites a ENISA, a la certificación y a la relación entre seguridad y derechos fundamentales.
Siete sitios apagaron el Reino Unido en lugar de proteger a los menores
El regulador británico ha contado qué ocurre antes de las investigaciones formales. Ante la elección entre asegurar el servicio o dejar de ser accesibles desde el Reino Unido, siete plataformas eligieron lo segundo. Es una victoria, pero también dice lo barato que sale marcharse.
Un millón y medio de historias de adopción en soportes que nadie sabía ya dónde estaban
El caso más grave nace de la digitalización de los archivos en papel entre 2013 y 2022: más de 1,17 millones de fichas, de las que 1,14 millones sobre adoptados y unas 30.000 sobre niños desaparecidos, en dispositivos mal protegidos y sin ningún registro de sus movimientos. El organismo solo advirtió que faltaban durante los controles de 2024 y 2026.
En Brasil, preguntar la edad y creerse la respuesta ha costado 153,7 millones de reales
Decisión de 25 de agosto de 2026. La autoridad brasileña detectó carencias en el mecanismo de verificación de edad tanto en el feed accesible sin registro como en el de cuenta. Además de la multa, la orden de borrar los datos recogidos irregularmente y de configurar por defecto los perfiles de menores de 16 en el ajuste más restrictivo.
El usuario no confirmó la cuenta: para la autoridad italiana no hay contrato y los correos son ilícitos
Resolución de 18 de junio de 2026, difundida el 29 de julio. Un ciudadano recibe correos promocionales sin haber rellenado nunca el formulario de socio. De la instrucción resulta que quien no confirmaba la creación de la cuenta acababa igualmente en las listas: el doble opt-in existía, pero no estaba conectado a nada.
«Lo conservamos con fines de investigación»: el CEPD explica por qué eso no es una respuesta
El 15 de abril de 2026 el CEPD adoptó en borrador las Directrices 1/2026 sobre investigación científica. La consulta pública se cerró el 25 de junio y el texto definitivo aún no ha salido. Quien mantiene registros debería leer el capítulo sobre conservación: la finalidad de investigación, por sí sola, no justifica un plazo abierto.
Declaras contrato y luego rechazas las oposiciones: Noruega enseña cómo los dos errores viajan juntos
SATS pedía a los socios una foto conservada en el sistema de gestión y usada en recepción para comprobar la identidad de quien entra. Datatilsynet constató que la información indicaba una base jurídica incorrecta, no explicaba el derecho de oposición, y que las oposiciones se rechazaban sin acreditar motivos legítimos imperiosos. El plazo para subsanarlo es el 11 de septiembre de 2026.
¿Quién responde de la retransmisión del partido de los sub-14? Suecia responde a la pregunta que nadie se hace
El 25 de agosto la autoridad sueca publicó una guía sobre la retransmisión del deporte juvenil. Muchos clubes emiten en línea los partidos de los chavales, y la guía señala los factores que deciden qué está permitido. Pero la parte que merece la pena leer es la otra: la responsabilidad cuando el ayuntamiento es dueño de la instalación y el club quiere instalar las cámaras.
La puntuación con la que te niegan el crédito se puede pedir, y hay que explicarla
El 19 de agosto la CNIL tradujo para el público su recomendación de mayo de 2026 sobre la evaluación de la solvencia. Dentro hay tres cifras y un principio que afectan a cualquiera que haga scoring: veinticuatro meses para los incidentes pasados, seis meses para los datos de una solicitud rechazada, y un derecho de acceso a la puntuación que no se despacha invocando el secreto comercial.
Robados los datos fiscales franceses, y ninguna contraseña: eso es lo que hace peligroso el caso
El 14 de agosto el ministerio de Economía francés comunicó que el sistema de información de la administración tributaria había sufrido una brecha: un tercero pudo consultar y extraer datos de particulares y empresas. Los identificadores y las contraseñas no parecen afectados, y precisamente por eso el riesgo no es el acceso a las cuentas sino el phishing construido con datos fiscales reales.
En los colegios los rastreadores publicitarios están prohibidos, y no es cuestión de consentimiento
El 24 de agosto la CNIL publicó las reglas para los espacios digitales de trabajo usados en los centros escolares. Lo decisivo no es la protección de los menores sino un principio de derecho administrativo: la neutralidad del servicio público educativo incluye la neutralidad comercial, de modo que los rastreadores con fines publicitarios o de elaboración de perfiles están en principio prohibidos. Si la herramienta los tiene, el responsable debe desactivarlos.
Misma herramienta, mismo día, regla distinta: por qué en la universidad los rastreadores no están prohibidos
El 24 de agosto la CNIL publicó dos textos sobre la misma materia, uno para los colegios y otro para la universidad. Quien lee solo el primero y lo aplica al segundo se equivoca en un punto concreto: en los colegios los rastreadores publicitarios están «en principio prohibidos», mientras que en la enseñanza superior la CNIL «recomienda privilegiar» herramientas que no los usen. Lo demás —base jurídica, EIPD, garantías del encargado, transferencias— coincide.
Ochocientos veinticinco millones por un algoritmo que desactivaba cuentas sin que nadie mirara
Es la segunda sanción más alta jamás impuesta bajo el RGPD, solo por detrás de los 1.200 millones de Meta. No trata de una transferencia de datos ni de una brecha: trata del art. 22, la norma sobre decisiones automatizadas que casi nadie documenta porque parece cosa de grandes plataformas. Afecta en realidad a cualquiera que deje decidir a un software algo que pesa en la vida de una persona.
Polonia cuadruplicó sus sanciones en un año, y las tres más altas de siempre son de 2025
Durante años Polonia se consideró un mercado de bajo riesgo sancionador. Ese supuesto ya no se sostiene: en doce meses el importe pasó de catorce a más de sesenta y cuatro millones de eslotis, y las tres sanciones más altas de la historia del país llevan el mismo año. Si llevas un cliente con filial, proveedor o centro de servicios en Polonia, el cálculo del riesgo ha cambiado.
Setenta y siete casillas: lo que un DPD archiva de verdad, y por qué treinta y una no bastaban
Hicimos una pregunta sencilla a quien usa la plataforma: cuando llega un requerimiento de la autoridad, ¿qué papeles sacas? La respuesta contenía cuarenta y seis categorías sin casilla propia, que acababan todas en «Otros documentos». Las hemos añadido. Después hubo que rehacer la página, porque setenta y siete recuadros grises en cuadrícula son peores que treinta y uno.
El riesgo se valora dentro del registro, y cada función está a una palabra de distancia
Una DPD probó la plataforma unos días y escribió que faltaban el registro de brechas, la valoración del riesgo, la carga de documentos y los precios. Tres de las cuatro ya estaban. No las encontró porque están dentro de la ficha del cliente, y el menú no las muestra. De ahí dos añadidos: la valoración del riesgo, que sí faltaba en el registro, y una barra de búsqueda que responde a «brecha», «72 horas» o «art. 33» diciendo también dónde está lo que busca.
Las medidas de seguridad ya no se reescriben a mano
El comentario llegó de una DPD durante la prueba gratuita: «en las medidas de seguridad solo puedo escribir». Tenía razón. Ahora las medidas se eligen de un catálogo en nueve grupos, siguen siendo ampliables a mano, y el programa propone las pertinentes mirando las categorías de datos y las transferencias. Cambian también las categorías de datos, con un segundo nivel descriptivo, y el país de destino, que deja de ser un campo libre.
Cuánto tiempo se conservan los datos: 960 reglas, nueve ordenamientos y un método
La limitación del plazo de conservación es el principio que peor se demuestra en una inspección, porque la respuesta cambia para cada categoría de dato y cada país. La plataforma incorpora 960 reglas ya escritas. Pero lo relevante no es el número: de 232 reglas portuguesas solo 99 tienen una duración expresable con una cifra, y 95 se declaran «referencia corriente» en vez de «verificada». Decirlo es más útil que ocultarlo.
El cliente quiebra, el proveedor se queda solo con los datos: y pasa a ser responsable
Una cadena de tiendas quiebra. Los antiguos empleados necesitan sus propios partes horarios para documentar los salarios impagados, pero el único que los tiene es el proveedor del software de control horario, que contesta que no puede comunicar nada a nadie —«ni siquiera a los propios interesados»— porque el contrato con el responsable ha terminado. La autoridad noruega decidió lo contrario: cuando eres el único que decide sobre los datos, el responsable eres tú.
Datos reales de los empleados en el software de pruebas: cuánto vale la pérdida de control
Probar un nuevo sistema de gestión de personal con datos reales no está prohibido: lo está transferir más campos de los que la prueba necesita. El Tribunal Federal de Trabajo alemán condenó a un empleador a doscientos euros por haber cargado salario, domicilio particular, número fiscal y estado civil pese a haber acordado con el comité de empresa una lista de nueve campos. Y confirmó que el retraso en responder a una solicitud de acceso no es, por sí mismo, un daño.
El 2 de agosto no ha desaparecido: se ha estrechado
Quien solo ha leído el titular —«el Reglamento de IA se retrasa»— está trabajando con una información equivocada. La fecha del 2 de agosto de 2026 no ha desaparecido: ha cambiado de contenido. Lo que se ha quedado afecta a muchos más clientes que lo que se ha movido.
La autoridad neerlandesa publica una autoevaluación para la IA generativa
Hacía falta algo que poner en manos del cliente que dice «hemos activado la IA en el programa de gestión». La autoridad neerlandesa ha publicado una autoevaluación sobre sistemas de IA generativa: cuatro momentos, y en cada uno una decisión que hay que documentar.
La NIS2 es ley en los Países Bajos, y sin periodo de gracia
La Cyberbeveiligingswet entró en vigor el 15 de agosto de 2026. La cifra que cuenta no es ocho mil: es ciento treinta y tres mil, las pymes neerlandesas a las que la ley alcanza no por estar en el ámbito, sino por suministrar a quien sí lo está.
Las notificaciones de brechas ya superan todo 2025
Los datos del primer semestre de 2026 dicen dos cosas distintas. La primera es que el número de personas avisadas lo dominan poquísimos incidentes enormes. La segunda, más incómoda para quien evalúa el riesgo, es que la IA aparece en una brecha de cada cuatro.
El DPD que decide no puede controlarse a sí mismo
El 10 de agosto de 2026 la autoridad francesa puso por escrito cómo se identifica y se resuelve un conflicto de intereses del DPD. El criterio es uno solo: si en sus otras funciones el DPD determina los fines y medios de un tratamiento, no puede después supervisarlo. Nadie puede ser juez y parte.
No se borra el artículo, se borra el nombre
El 5 de agosto de 2026 la autoridad francesa aclaró los límites de un derecho que se ejerce a menudo y se entiende mal. Frente a un medio siguen siendo aplicables la oposición y la supresión, no el acceso ni la rectificación. Y la negativa debe motivarse en concreto: seis fórmulas genéricas se señalan como inadmisibles.
En 2026 todas las autoridades europeas miran lo mismo: las cláusulas informativas
Cada año el CEPD elige un tema y todas las autoridades nacionales lo verifican juntas, en el mismo periodo, mediante cuestionarios e inspecciones. Para 2026 el tema es la transparencia: cómo los responsables informan a las personas de lo que ocurre con sus datos. En el punto de mira están el art. 13, cuando los datos proceden del interesado, y el art. 14, cuando proceden de otra fuente. La autoridad checa ya lo ha incluido en su plan de inspecciones.
La CNPD portuguesa escribe dónde mirará hasta 2029
El 24 de julio de 2026 la autoridad portuguesa aprobó su plan plurianual 2027-2029 y el plan de actividades para 2027. Es el tipo de documento que casi nadie lee y que dice, con años de antelación, dónde se concentrará la supervisión: formación digital, vulnerabilidad digital, capacidad reguladora sobre el DSA, competencias en IA y neurodatos.
Portugal: la mayor sanción de su historia enseña una sola cosa. Verificar al encargado es un deber sustantivo, no un formulario
Mediante la Deliberación 2022/1072 la CNPD portuguesa impuso al INE una sanción única de 4,3 millones de euros por cinco infracciones cometidas durante el censo de 2021. La más instructiva no es la de los datos de salud y religión: es que el INE, pese a existir una oficina de la empresa en Lisboa, contrató con la sociedad con sede en EE. UU., aceptando el foro de California y el tránsito de los datos por doscientos servidores, con cláusulas contractuales tipo y ninguna medida complementaria.
El interés legítimo no es la base jurídica de reserva
En el asunto C-621/22 el Tribunal de Justicia estableció que un interés comercial puede constituir un interés legítimo conforme al art. 6.1.f). Muchos leyeron solo esa línea. El resto de la sentencia recuerda que las condiciones siguen siendo tres y acumulativas, y que la tercera - la ponderación con las expectativas razonables del interesado - es donde el caso concreto se perdió. Para el DPD la consecuencia es práctica: el interés legítimo existe solo si está escrito en algún sitio.
La indemnización por infracción del RGPD: qué debe probar quien reclama
Las multas de las autoridades salen en la prensa; las demandas civiles pagan a los abogados. Desde 2023 el Tribunal de Justicia ha aclarado que la indemnización del art. 82 exige tres elementos acumulativos - infracción, daño y nexo causal - sin ningún umbral de gravedad. Y ha establecido que el temor fundado a que los datos hayan caído en malas manos ya es daño inmaterial. Para el responsable cambia el terreno de juego: ya no la gravedad, sino la prueba de las medidas adoptadas.
Competencia y protección de datos: el EDPB abre la mesa, y hay un plazo
Tras el DSA y antes del DMA y del Reglamento de IA, la cuarta pieza del mosaico normativo europeo aborda la relación entre competencia y protección de datos. No es un tema teórico: afecta a los datos como activo de mercado, a las concentraciones y a la posición de quien trata datos porque domina un mercado. El EDPB y la Comisión piden aportaciones antes de escribir, y esta vez el plazo está cerca.
Blanqueo de capitales y privacidad: el EDPB y AMLA escriben juntos las reglas para compartir
El 1 de julio de 2026 el EDPB y la Autoridad europea antiblanqueo anunciaron directrices conjuntas sobre un punto que ninguno de los dos podía resolver solo: cómo pueden bancos, profesionales y autoridades intercambiar información sobre sospechas sin construir listas de sospechosos fuera de control. La facultad se aplica desde el 10 de julio de 2027 y la consulta pública se espera en la primera mitad de ese año. Quien asesora a sujetos obligados tiene un año para prepararse.
CEPD desde Dublín: hace falta una base jurídica para que las autoridades compartan información entre sectores distintos
El número y la complejidad de las reclamaciones aumentan, en parte por el mayor uso de la IA, y las autoridades dicen abiertamente que los recursos no bastan. Las soluciones sobre la mesa: operaciones conjuntas, puesta en común de recursos entre autoridades y el futuro Reglamento de procedimiento.
CEPD, decisión vinculante 1/2026: una reclamación sobre cookies no se archiva alegando que el interesado abusa de sus derechos
La autoridad principal quería cerrar el caso alegando abuso de los arts. 77 y 80.1. La autoridad austriaca se opuso y el CEPD le dio la razón: no se demostró ni el componente objetivo ni el subjetivo del abuso. La reclamación vuelve atrás y debe resolverse sobre el fondo.
Control de la plantilla: la CNIL recuerda que las condiciones son tres y hay que cumplirlas todas. La proporcionalidad es solo la primera
El 9 de julio de 2026 la CNIL actualizó su página sobre el control de la actividad del personal. El contenido parece un repaso, pero hay un punto que la práctica infravalora constantemente: las condiciones son tres, son acumulativas, y dos de las tres no tienen nada que ver con lo invasiva que sea la herramienta.
El 71 % de los DPD quiere el Reglamento de IA en su ámbito. El 27 % dice conocerlo. El 85 % nunca ha hecho un curso de IA
El 3 de julio de 2026 el ministerio de Trabajo francés, la AFCDP y la CNIL publicaron la quinta edición del Observatorio de la profesión de DPD, realizada por la Afpa. La lectura fácil es que los DPD se están convirtiendo en los referentes de la IA. La lectura útil es otra: entre quienes quieren el Reglamento de IA en su ámbito y quienes dicen conocerlo hay una brecha de 44 puntos, y el Reglamento de IA no menciona nunca al DPD.
Austria: el Tribunal Supremo Administrativo rebaja la multa de 18 a 13 millones. Pero la parte que hay que leer es donde dice que un programa de cumplimiento no excusa nada
El 24 de junio de 2026 el Verwaltungsgerichtshof austriaco cerró un procedimiento pendiente desde 2019 y redujo a 13 millones de euros la sanción por el tratamiento de 'afinidades de partido' calculadas para unos 2,2 millones de personas. Los titulares hablarán del descuento. Para un DPD importa el resto: el Tribunal afirma que para sancionar a una persona jurídica no se requiere ningún acto de sus órganos de dirección, que disponer de recursos para asesorarse eleva el umbral en lugar de rebajarlo, y que las imputaciones sobre la EIPD y el registro de actividades caen por absorción, no porque esos documentos fueran correctos.
Suecia: 6 millones de coronas por una inyección SQL. Lo más duro no es la multa, es que el riesgo estaba en su propio registro desde 2021
El 26 de enero de 2026 la autoridad sueca sancionó a Sportadmin i Skandinavien AB con 6.000.000 de coronas por infringir el artículo 32.1. La plataforma gestiona socios, facturación y sitios web de clubes deportivos: el ataque del 16 de enero de 2025 expuso los datos de 2.126.075 personas, en su mayoría menores, incluidas alergias y discapacidades. Pero el pasaje que conviene leer dos veces es otro: desde 2021 la empresa había identificado el riesgo de inyección SQL en sus propias revisiones anuales, y la IMY lo cita precisamente para fundamentar la negligencia grave.
Netherlands: who supervises the AI Act, and where they will start. Prohibited practices and AI literacy, not high-risk systems
The Dutch government has designated the Autoriteit Persoonsgegevens and the Rijksinspectie Digitale Infrastructuur as coordinating national supervisors for the AI Act. The 2026 work agenda lists five priorities: overarching system supervision, transparency and explainability, frameworks and standards, testing for bias and fairness against discrimination, and AI literacy. The first formal enforcement actions are expected during 2026, starting with organisations using prohibited practices or demonstrably neglecting the AI literacy obligation.
France: 23 fines in six months under the simplified procedure. Small amounts, new target
In the review published on 6 July 2026 the CNIL counts 23 new fines adopted since January under its simplified procedure, totalling EUR 133,750. Three infringements recur: excessive video surveillance, non-compliant cookie banners, and failure to respond to access and erasure requests. One example of the kind of target: EUR 7,500 against a company operating public toilet facilities, on 2 April.
France: EUR 5 million for IQVIA. The pharmacy software kept sending the data even when the patient had said no
On 26 May 2026 the CNIL's restricted committee fined IQVIA Operations France EUR 5 million. The company runs two health data warehouses for third-party studies: LRX, authorised in 2018 and fed by around 14,000 pharmacies, and EMR, authorised in 2021 and fed by several thousand doctors. Among the findings, the most instructive: the practice management software used in pharmacies transmitted customer data to IQVIA even where the customer had objected.
Finland: the Supreme Administrative Court upholds the fine on Verkkokauppa.com. The failing: never having defined how long to keep the data
On 12 June 2026 the Korkein hallinto-oikeus, Finland's Supreme Administrative Court, dismissed Verkkokauppa.com's appeal against the penalty imposed by the Finnish Data Protection Ombudsman's sanctions board (decision KHO 12.6.2026/1604). The original amount was EUR 856,000, reduced by the Administrative Court to EUR 792,639 on the basis of the company's most recent turnover. The finding does not concern a data breach: it concerns the fact that the company had never defined retention periods for customer account data.
Poland: a municipality fined not for publishing the data of 749 petition signatories, but for never reporting it
On 25 May 2026 the President of the UODO fined the mayor of Myslenice PLN 7,700. An un-anonymised petition had been published in the municipality's Public Information Bulletin: names, surnames, home addresses and signature specimens of 749 people. The core of the decision is not the publication, which the municipality corrected by replacing the file: it is that the breach was never notified to the authority, not even after the authority asked.
Netherlands: the Council of State confirms the annulment of the EUR 600,000 fine for Enschede's wifi tracking
On 29 July 2026 the Administrative Jurisdiction Division of the Raad van State dismissed the appeal of the Autoriteit Persoonsgegevens against the municipality of Enschede, upholding the February 2024 judgment of the Overijssel District Court. The EUR 600,000 fine, imposed in March 2021 for counting city-centre visitors through sensors capturing the MAC addresses of wifi-enabled devices, remains annulled. The reason is not that the tracking was lawful: it is that the authority did not sufficiently demonstrate that the MAC addresses collected qualified as personal data and that processing of personal data had therefore taken place.
Poland: WhatsApp in the sales network brings a fine for the processor, and a reprimand for the controller that never vetted it
On 22 June 2026 the President of the UODO, Miroslaw Wroblewski, closed the proceedings opened after a breach notification by Energa-Obrot: reprimands for the controller and the processors, and an administrative fine of PLN 10,145 for one of the processors. At the root of it, the use of WhatsApp by sales representatives of a door-to-door network during the pandemic: on a former agent's private phone there were scans and photographs of customer contracts, in group conversations, for many months.
Ireland: EUR 277,500 for Permanent TSB over a contact centre that could be fooled, and for reporting late
On 8 May 2026 the Irish Data Protection Commission closed its inquiry into a series of personal data breaches at Permanent TSB, first notified in May 2022. Malicious actors, holding certain customer information, called the Open24 contact centre posing as customers, gained access to accounts and amended account details. Some customers lost money. The authority issued a reprimand and fines totalling EUR 277,500.
La autoridad neerlandesa fija sus prioridades para 2026-2028: vigilancia masiva, inteligencia artificial y resiliencia digital
La Autoriteit Persoonsgegevens ha establecido tres prioridades estratégicas para 2026-2028: vigilancia masiva, inteligencia artificial y resiliencia digital. En su plan anual de 2026 la autoridad declara que destina más capacidad a la IA y a los algoritmos y que se centrará en sistemas a gran escala con impacto social relevante, sin distinguir entre sector público y privado.
Netherlands and Poland: two authorities that raised the bar in 2026
The Dutch Autoriteit Persoonsgegevens has increased its budget and headcount and has named transparency, tracking and cookies among its 2026 supervisory priorities, with an approach that is openly less advisory and more enforcement-driven. In Poland the President of the UODO has shifted attention towards small and medium enterprises, a segment until recently little touched by inspections. For anyone with clients in those countries, or considering it, these are two signals that change the cost-benefit balance of compliance.
Piaggio sancionada con 460.000 euros: 112 correos corporativos leídos y copias de seguridad conservadas cinco años tras el despido
La autoridad italiana de protección de datos ha impuesto a Piaggio & C. Spa una sanción de 460.000 euros por la gestión de las cuentas de correo corporativo. La investigación, iniciada tras las reclamaciones de dos exempleados, acreditó la obtención de 112 correos durante la relación laboral, algunos de aproximadamente dos años antes de que surgiera la sospecha, posible gracias a copias de seguridad conservadas durante toda la relación laboral y hasta cinco años después de su finalización. Además de la sanción, la autoridad prohibió a la empresa acceder a los datos recogidos.
AI Act en Italia: la autoridad de protección de datos será vigilancia de mercado para los sistemas de alto riesgo en justicia, fronteras y procesos democráticos
La autoridad italiana de protección de datos ha emitido informe favorable sobre el proyecto de decreto legislativo que desarrolla el AI Act en Italia. El decreto define la gobernanza nacional y designa a la autoridad como vigilancia de mercado para los sistemas de inteligencia artificial de alto riesgo empleados en los ámbitos más sensibles para los derechos fundamentales: justicia, actividades policiales, inmigración, gestión de fronteras y procesos democráticos. Entre las condiciones planteadas, una interesa a cualquier organización: extender la prohibición de decisiones basadas únicamente en sistemas automatizados a las evaluaciones que inciden en la relación laboral.
Registro documental mal configurado: 12.000 euros a la Ciudad Metropolitana de Sassari
Tras una notificación de brecha de seguridad y una reclamación, la autoridad italiana de protección de datos sancionó a la Ciudad Metropolitana de Sassari por haber configurado erróneamente su registro documental electrónico, dejando accesibles documentos con datos personales a personas que, por su puesto y funciones, no estaban autorizadas a tratarlos. La sanción es de 12.000 euros, pero el principio vale para cualquier organismo y cualquier empresa con un sistema de gestión documental: registrar documentos no es una actividad neutra, y un valor predeterminado de visibilidad total infringe los principios de integridad y confidencialidad.
AI Act, 2 August: what actually applies and what has been postponed to 2027
For two years 2 August 2026 was presented as the day obligations for high-risk AI systems would start. The Digital Omnibus package changed that calendar: requirements for Annex III high-risk systems move to 2 December 2027 for stand-alone systems and 2 August 2028 for those embedded in products already covered by sectoral legislation. 2 August nonetheless remains an operative date: the transparency obligations of Article 50 become applicable, together with the full operation of governance and penalties, with national authorities acquiring full powers.
Denmark: cookies are the 2026 priority, and fines are decided by a court
The Danish authority has flagged cookie consent as a supervisory priority for 2026, coordinating with the Digitaliseringsstyrelsen, which oversees the ePrivacy implementation while Datatilsynet applies the GDPR. But Denmark has a peculiarity that changes how every one of its decisions should be read: its constitutional order does not allow an administrative authority to impose punitive financial penalties. Recital 151 GDPR expressly anticipates this for Denmark and Estonia: the fine is decided by a court as a criminal penalty, following a report by the authority to the police.
Email tracking pixels: France has already closed its grace period, Italy's runs to October
With deliberation no. 2026-042 of 12 March 2026, made public on 14 April, the French CNIL adopted its final recommendation on email tracking pixels: for most marketing uses, prior consent is required, just as for cookies. Existing contact bases were given three months to inform recipients and allow them to object, a period that ended on 14 July 2026, with checks announced from that date. In Italy the authority reached the same conclusion with decision no. 284 of 17 April 2026, but with a longer compliance window.
Wind Tre, EUR 1.7 million: the breach started with a phone call
The Italian DPA fined Wind Tre EUR 1,715,600 (decision no. 348 of 14 May 2026, made public with the 16 July newsletter). The starting point was not a sophisticated cyberattack: people posing as support technicians convinced staff at two retail outlets to allow access to company systems. From there, identification and contact data of 365,048 customers were exfiltrated; for 41,359 of them, payment method information as well, including IBANs, postal payment slips and credit cards with partially masked numbers and expiry dates. The charges: breach of the integrity and confidentiality principle (Art. 5(1)(f)) and of security obligations (Art. 32(1)(b)).
Cookies, France holds the line: EUR 1.5 million to American Express and the topic stays a 2026 priority
In January 2026 the CNIL fined American Express EUR 1.5 million for cookie violations, confirming that the topic remains a standalone enforcement priority alongside artificial intelligence and cybersecurity. In 2025 there had been 21 cookie decisions, totalling over EUR 475 million. The recurring charges are always the same: trackers set before consent, a reject button less visible or further away than the accept button, inadequate information.
Call centre recordings: the customer has a right to access them, and a transcript is enough
A customer had asked to access their own data contained in a recorded call with customer service. The company refused, considering the protection of the agent's confidentiality to prevail. The authority held that the request could be satisfied by providing the transcript, provided the elements identifying other people involved are redacted: given the professional context of the call and its subject, a supply contract, redaction would not have prejudiced the agent's confidentiality.
EDPB adopts guidelines on anonymisation, web scraping for generative AI, and blockchain
At its July 2026 plenary, the European Data Protection Board adopted guidelines on anonymisation and on web scraping in the context of generative artificial intelligence, together with the final version of the guidelines on processing personal data through blockchain technologies. Three documents addressing three recurring questions: when data is truly anonymous, on what conditions data may be collected from the web to train models, and how the immutability of a chain can be reconciled with data subjects' rights.
Spain: EUR 18 million to Amadeus for reusing booking data for product development
The Spanish authority fined Amadeus IT Group EUR 18 million (reduced to 14.4 with voluntary payment) for aggregating travellers' booking data into profiles for product development. The cross-border investigation found the reuse of data collected years earlier from airlines and agencies, for purposes data subjects could not reasonably expect, without an Article 14 notice and without a valid legitimate-interest balancing test.
Norway: loyalty programme under scrutiny, more than six million members involved
The Norwegian authority concluded proceedings opened after an audit of the Nordic entities of a retail group, finding several breaches relating to its loyalty programme: invalid consent, new processing purposes introduced without assessment, insufficient legitimate-interest balancing, and failure to answer data subject requests within the deadline. More than six million members across the Nordic region were affected.
Credit scoring in utilities: the Italian DPA hits the whole chain with three decisions in one day
With three decisions adopted in the same session on 3 July 2026, the Italian DPA targeted the credit-scoring chain applied to energy supply contracts: Experian Italia, Hera Comm and Cerved. The charges are similar and paint a clear picture: deficient notices, breaches of minimisation and storage limitation, privacy by design and by default disregarded, inadequate responses to access requests and poorly governed Article 28 relationships along the chain.
Whistleblowing: without consulting the unions, the procedure is not compliant
A preliminary requirement that almost everyone overlooks is back in the spotlight: Article 4 of Legislative Decree 24/2023 requires internal reporting channels to be activated after hearing worker representatives or trade unions. The ANAC guidelines clarify that failing to do so makes the procedure non-compliant and may trigger a sanction under Article 21. It also applies to substantial updates, not just first activation.
Data breach: Italian DPA fines Wind Tre EUR 1.7 million after exfiltration of 365,000 customers' data
In its 16 July 2026 newsletter the Italian DPA announced a EUR 1.7 million fine to telecom operator Wind Tre following a data breach with exfiltration of roughly 365,000 customers' data. The case confirms the authority's line on large operators: the incident itself is not the fault - the fault lies in security measures inadequate to the risk (Art. 32) and in how the breach was handled. In the same newsletter: two debt-collection companies fined (EUR 50k and 30k) and the customer's right to access the audio of their own support calls (Enel case).
Character.AI fined EUR 158,000: minors, late DPIA and missing EU representative
With a decision of 3 July 2026 (announced 9 July) the Italian DPA fined Character Technologies Inc., the US company behind Character.AI, EUR 158,000: deficient privacy notice (Arts. 12-14), a DPIA prepared late relative to the service launch, late designation of the EU representative (Art. 27) and shortcomings in minor protection and age verification. Beyond the fine, corrective measures within 120 days: working age verification, an effective cooling-off period against re-registration by blocked minors, minors' profiles private by default.
Children's photos on social media: both parents must consent
In its 17 June 2026 newsletter the Italian DPA restated a principle that matters well beyond family disputes: publishing photos of minor children on social media requires the consent of BOTH parents. In case of disagreement, the child's protection prevails. For the DPO it is an operational criterion affecting schools, nurseries, sports clubs, parishes and companies publishing images of minors for promotional purposes.
Italian DPA to hoteliers: do not keep copies of guests' ID documents
In a notice addressed to the hospitality sector, the Italian DPA reiterated that hoteliers may not keep copies of guests' identity documents: the legal duty (Art. 109 of the Italian public-security code) is to identify the guest and transmit the data to the police via the Alloggiati Web portal - after that, document copies must be destroyed or deleted. A widespread habit becomes a concrete sanction risk.
Data breach: EDPB puts a new EU-wide notification template up for consultation
The EDPB has opened a public consultation on a new harmonised data-breach notification template, designed to align the information requested by authorities across Member States. For DPOs it is operational news: the content of the Art. 33 notification is becoming standardised, and anyone with a structured internal procedure (facts, categories, risk assessment, measures) will find the work already done.
Enel Energia fined EUR 563,052: the 'administrative' call that turns into a sales pitch
With decision no. 170/2026 the Italian DPA fined Enel Energia EUR 563,052: during purely administrative contacts (supply paperwork, takeover confirmations), including via third parties, commercial offers were made without a valid legal basis - even to customers on the opt-out register or who had expressly refused marketing consent. Also challenged: a re-contact mechanism based on opt-out (an SMS with 90 seconds to refuse) and partner vetting - one agency was contracted two months after being sanctioned by the DPA for marketing.
Italy's DPA fines AgID: EUR 55,000 to the Agency for Digital Italy over transparency and privacy by design
With injunction order no. 419 of 28 May 2026 the Italian DPA declared unlawful certain personal data processing carried out by AgID - the Agency for Digital Italy, with a EUR 55,000 fine and publication of the decision on the authority's website. The breaches concern lawfulness, fairness and purpose limitation (Art. 5), information duties towards data subjects (Arts. 12 and 14) and data protection by design (Art. 25).
Italy's DPA halts stress and emotion monitoring at work: not even in aggregate form
With decision no. 342 of 2026, the Italian DPA reaffirmed that data on employees' health or psychological journey cannot be made accessible to the employer, not even in aggregate form. The case closes the loop with the AI Act, which expressly prohibits AI systems that infer people's emotions in the workplace (Art. 5): organisational wellbeing cannot turn into emotional surveillance.
Trenitalia tells customers about a data breach eight months after the attack: an Art. 34 lesson
In July 2026 Trenitalia informed its customers of a data breach suffered roughly eight months earlier. Beyond the outcome, the case is a textbook lesson on the difference between notifying the authority within 72 hours (Art. 33) and communicating to data subjects 'without undue delay' when the risk to their rights is high (Art. 34): eight months are hard to justify, and in the meantime the persons affected could not protect themselves.
Italian DPA annual report: collected fines +54.5%, almost 7 data breaches notified per day, AI at the centre
On 2 July 2026 the Italian DPA presented its 2025 activity report to Parliament: 807 collegial decisions, 506 corrective and sanctioning measures, over EUR 37.7 million in fines collected (+54.5% on 2024), 2,415 data breaches notified (+10%), 130 inspections. AI takes centre stage: from DeepSeek to deepfakes, from facial recognition at the airport to worker surveillance.
SPID under scrutiny: Lepida fined, data of 1.5 million citizens viewable 'out of mere curiosity'
With a decision of 29 April 2026, the Italian DPA fined Lepida (EUR 100,000), one of Italy's main SPID identity providers: over 7,000 counter operators could view data and download copies of ID documents and health cards of more than 1.5 million citizens, even with no operational need. The DPA found accesses 'out of mere curiosity' and documents left stored on operators' workstations after identification.
Digital Omnibus: EU Council approves changes to the AI Act. What it means if you are preparing
On 29 June 2026 the EU Council approved the proposed regulation that streamlines and simplifies certain AI rules, amending the AI Act (the 'Digital Omnibus' package). Negotiations with Parliament continue: until final adoption, the current AI Act text remains the reference, including the August 2026 transparency deadlines.
Italy's DPA fines Emirates EUR 180,000: passenger health data kept for 7 years and an unclear notice
The Italian DPA fined Emirates EUR 180,000 over the handling of reduced-mobility passengers' health data. The case started from a complaint by a passenger asked to fill in a medical form despite not being in the categories required to do so. The key point for DPOs: the collection itself was lawful, but the authority faulted an inadequate notice and excessive retention (7 years).
Loyalty-card data used to fire an employee: Italy's DPA says no. A lesson on purpose limitation
With decision no. 311 of 29 April 2026, the Italian DPA found unlawful the employer's use of data collected through the loyalty card to support an employee's dismissal. That data had been collected to run the loyalty programme, not to monitor or discipline staff. The point for DPOs: having a piece of data does not mean you can use it for any purpose.
EDPB 2026: the EU coordinated action targets transparency (Art. 12-14). What to check in privacy notices
For 2026 the EDPB chose TRANSPARENCY as the topic of its coordinated enforcement action: authorities will examine how organisations inform data subjects under Art. 12-14. In short: clear, complete, verifiable notices. A good moment to review your clients' documents.
GDPR fines top EUR 7.1 billion: enforcement accelerates and SMEs are not exempt
Cumulative GDPR fines have passed EUR 7.1 billion across 1,400+ decisions. Enforcement is accelerating, not plateauing. And contrary to a common myth, SMEs do get fined: smaller amounts, same proportional severity.
France fines IQVIA EUR 5M: pseudonymisation does not take you out of the GDPR
In France the authority (CNIL) fined IQVIA EUR 5 million, clarifying a point many confuse: pseudonymising data - even health data - is not the same as anonymising it. Pseudonymised data remains personal data and must be handled with all the safeguards of the Regulation, including the enhanced ones in Art. 9.
Rome Court annuls the Garante's EUR 15M fine against OpenAI: the one-stop-shop decides
The Rome Court annulled the EUR 15M fine the Italian Garante imposed on OpenAI in 2024. The judge does not rule on the merits (legal basis, notice, age verification): it upholds the jurisdiction argument. For cross-border processing the one-stop-shop and lead authority govern.
The Garante's 2026 inspection plan: six areas and how to be ready
The Italian Garante set its 2026 inspection areas, backed by the Finance Police tech-fraud unit. Topics include data breaches in public databases and abusive access. Those who document self-assessment and lesson learning get treated differently.
France: CNIL fines France Travail EUR 5 million - 36.8 million data subjects and a social-engineering attack
The CNIL fined France Travail (formerly Pole Emploi) EUR 5 million after a breach exposing the data of around 36.8 million people. Attackers used social engineering against partner advisers' accounts. The lesson: having security plans is not enough, they must actually be implemented.
France: EUR 1.7 million to Nexpublica - health and disability data accessible to other users through long-known flaws
The CNIL fined software vendor Nexpublica EUR 1.7 million: its PCRM tool, used by social services, exposed sensitive documents (including disability data) to other users. The flaws were known from prior audits but left open. A textbook case for anyone processing health data.
Spain: AEPD fines Aena EUR 10 million for biometric boarding without adequate DPIA
The Spanish Data Protection Agency fined Aena over EUR 10 million for launching its biometric boarding programme without completing an adequate DPIA. Not a data breach: a failure of preventive accountability.
Netherlands: the EUR 290 million Uber fine and the Dutch Authority's new priorities for 2026
The Autoriteit Persoonsgegevens confirmed the EUR 290 million fine against Uber for unlawful transfers to the US. Meanwhile the Authority sets three strategic priorities for the next two years every DPO should know.
Data breach: Italy's DPA fines The European House - Ambrosetti EUR 85,000 over plaintext passwords and late notification
The Italian DPA fined The European House - Ambrosetti spa EUR 85,000 following a 2024 data breach affecting 61,670 people. The attack, via a technical vulnerability, led to the exfiltration of names, emails, usernames and passwords. The point for DPOs: the breach was notified to the regulator within 72 hours, but data subjects were informed only after two months and after the authority stepped in.
EDPB CEF 2026: 25 European DPAs verify transparency of privacy notices
The European Data Protection Board has launched the 2026 coordinated action on transparency and information obligations. 25 national DPAs (including the Italian Garante) are already contacting controllers in various sectors. What to expect and how to prepare.
Italian DPA cracks down on WhatsApp and Telegram in public administration: ban on operational communications with citizens from July 1, 2026
The Italian DPA (Garante) issued a general provision banning Italian public administrations from using WhatsApp, Telegram, Messenger and other commercial messaging apps for operational communications with citizens. Banned also for requesting documents, certificates or personal data. PAs must use institutional channels (PEC, portals, SPID-auth) by July 1, 2026. Fines up to 100,000 EUR.
Spain: AEPD publishes Europe's first guidance on agentic AI and data protection
The Spanish Data Protection Agency is the first European Authority to publish elaborate guidance on agentic AI. It explains the concept, the vulnerabilities in processing personal data and mitigation measures for controllers and processors.
Vodafone Germany fined EUR 45 million: the Art. 28 GDPR lesson on processor controls
The German Federal Commissioner for Data Protection (BfDI) imposed a total fine of EUR 45 million on Vodafone GmbH: 15M for Art. 28 violation (processor oversight) and 30M for Art. 32 (security). A decision that redefines accountability expectations on processors.
NIS2 and GDPR: how to orchestrate them operationally after Italian Decree 138/2024. The DPO checklist for the NIS Operator
After the NIS2 transposition with Legislative Decree 138/2024, Italian companies qualified as 'essential entities' or 'important entities' must coordinate NIS2 obligations (cyber security, 24h incident reporting) with GDPR obligations (72h data breach). The DPO is not the NIS Coordinator but must interface: risk of double sanctions if not properly orchestrated.
EDPB publishes guidelines on public DPO profiles: transparency, accountability and data subject rights
The EDPB clarifies how to process the professional data of DPOs exposed publicly on online directories: legal basis, purposes, data subject rights and platform responsibilities.
AI Act August 2026: high-risk systems deadline. Mandatory DPIA for enterprise LLMs
The EU AI Act enters its critical phase: August 2026 triggers obligations for high-risk systems. The Italian Garante has already anticipated enforcement with the EUR 5M fine to Luka (Replika). What DPOs must do now.
AI Act and DPO: how the DPO role changes with deployer obligations entering into force in August 2026
In less than 3 months, the AI Act sections dedicated to deployers (users) of high-risk AI systems enter into force. The DPO becomes a key interlocutor for impact assessment, data subject information and monitoring.
Corporate email post-termination: Italian DPA fines ITAS Mutua
The Italian Data Protection Authority addresses the management of corporate emails after employment termination. ITAS Mutua sanctioned for undocumented access and retention beyond necessary.
TikTok vs Irish DPC: Supreme Court suspends 530 million euro fine
The Irish Supreme Court confirms the suspension of the record 530M EUR fine imposed by the DPC on TikTok for EEA data transfer to China. The case exposes the structural problem of enforcement timing against big tech.
Email tracking pixels: new Italian DPA Guidelines
On April 17, 2026, the Italian DPA adopted Guidelines on tracking pixels in emails. For DPOs: 6 months to align privacy notices, consent flows, and privacy-by-design techniques.
Intesa Sanpaolo: 31.8M euro fine from the Italian DPA
The Italian Data Protection Authority fines Intesa Sanpaolo for a data breach affecting 2.4 million customers. Late notification and incomplete information among the key issues.
Rome Court annuls 15M euro fine against OpenAI
The Rome Court annuls the fine that the Italian DPA had imposed on OpenAI for the ChatGPT case. A decision that redefines the scope of GDPR enforcement on generative AI models.
Enel Energia fined over 500,000 euros: telemarketing without consent
The Italian DPA fines Enel Energia for promotional calls to subjects who had not provided consent or had registered their number in the public opposition register.
Italian Supreme Court 984/2026: the DPA 120-day deadline is final
With its January 17, 2026 ruling, the Italian Supreme Court confirms that the 120-day deadline for concluding the DPA's enforcement proceedings is final. A relevant decision for those handling privacy litigation.
EDPB: DPOs are under-resourced and disconnected from top management
EDPB publishes the results of the coordinated enforcement action: insufficient resources, lack of access to top management, conflict of interest risk. A snapshot that also concerns Italian external DPOs.
France's Conseil d'Etat: the line between anonymization and pseudonymization narrows
France's State Council confirms CNIL's approach on pseudonymized health data. A ruling that redefines the practical scope of GDPR anonymization and impacts all data analytics projects.
EDPS strengthens DPO independence: new binding rules
The European Data Protection Supervisor (EDPS) adopts new binding rules to protect DPO independence within Union institutions. A signal strengthening the role.
Digital Omnibus: EDPB and EDPS call for simplification without setbacks
EDPB and EDPS publish the joint opinion on the EU Commission's Digital Omnibus package. Positive measures on data breach and DPIA, but strong opposition to the revision of the personal data definition.
Italian DPA 2026 inspection plan: data breach, whistleblowing, AI in schools
The Italian DPA published its inspection activities plan for January-June 2026. Sectors at risk: banking data breaches, health dossiers, energy telemarketing, and AI in schools.
CNIL fines Free Mobile and Free 42 million euros: 24 million customer data breach
The French Authority separately fines Free Mobile (27M) and Free (15M) for a breach that exposed 24 million subscribers in October 2024. A decision that clarifies the scope of Art. 34 GDPR.