TL;DR
En el pleno comunicado el 21 de septiembre de 2026 el CEPD adoptó las Directrices 04/2026 sobre cómo deciden las autoridades si imponen una multa, sola o junto a los demás poderes correctivos del art. 58.2. Cinco pasos: base jurídica de la multa, sujeto responsable, dolo o negligencia, agravantes y atenuantes, efectividad y proporcionalidad. Infracción leve: por regla general sin multa, quizá un apercibimiento. Infracción no leve: fuerte presunción de multa. Catorce ejemplos prácticos. Sustituyen a las directrices del Grupo del Artículo 29 de 2017 y completan las 04/2022 sobre el cálculo del importe. Consulta abierta hasta el 13 de noviembre de 2026. En el mismo pleno se aprobó la versión final de las directrices 3/2025 sobre la relación entre la DSA y el RGPD.
Qué cambia
Las directrices 04/2022 explican cómo se calcula el importe de una multa. Faltaba el paso anterior: cuándo una autoridad debe multar y cuándo puede limitarse a otra medida. Las nuevas directrices llenan ese vacío y sustituyen el antiguo documento del Grupo del Artículo 29. Describen además cada poder correctivo — advertencias, apercibimientos, órdenes, limitaciones y prohibiciones, retirada de certificaciones — con su finalidad y su combinación con la multa.
Los cinco pasos
- BASE JURÍDICA. La autoridad comprueba que esa infracción puede llevar a multa, en el RGPD o en la ley nacional.
- QUIÉN RESPONDE. Responsable o encargado, según quién esté obligado por la norma infringida: la seguridad del art. 32, por ejemplo, obliga a ambos.
- DOLO O NEGLIGENCIA. Sin culpa no hay multa. Es la línea ya trazada por el Tribunal de Justicia en Deutsche Wohnen (C-807/21, 5 de diciembre de 2023).
- AGRAVANTES Y ATENUANTES. Si la infracción es leve, por regla general no hay multa y como mucho un apercibimiento; si no lo es, hay una fuerte presunción de que debe imponerse.
- EFECTIVA, PROPORCIONADA, DISUASORIA. El último control, con margen para apartarse del enfoque estándar si el caso lo justifica.
La presunción que cuenta
El punto más claro es el cuarto paso. Fuera de las infracciones leves, la multa ya no es una opción que haya que justificar sino la regla, de la que solo se aparta uno con buenas razones. Para quien contaba con un primer apercibimiento «de cortesía», el margen se estrecha.
Por qué importa también a las pequeñas organizaciones
Las directrices buscan alinear a las autoridades europeas: la misma infracción debería recibir la misma respuesta en Roma, Lisboa o Estocolmo. Para una organización, eso significa que lo que pesa en el cuarto paso — cooperación, medidas ya adoptadas, documentación existente, remedios rápidos — se vuelve aún más previsible. Y es justo lo que se construye antes, no durante un procedimiento.
Qué significa para el DPD
Cuatro movimientos
Uno: la culpa es una condición, y se valora sobre lo que la organización sabía y había hecho. Registro, EIPD, análisis de riesgos y procedimientos fechados son la prueba de que no hay negligencia o de que es leve. Dos: dejar rastro de las acciones correctoras con fechas y responsables, porque cuentan como atenuantes. Tres: un apercibimiento no es «nada»: es una decisión que queda en el expediente y pesa como precedente. Cuatro: quien quiera comentar las directrices tiene hasta el 13 de noviembre de 2026. En DPO Workspace el diagnóstico del registro y el historial de actividad ya mantienen juntas fechas, decisiones y motivos.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
