Cuándo se sanciona y cuándo no: el CEPD pone por escrito la parte que faltaba

La distinción entre los dos documentos es lo único que hay que entender bien. Las directrices de 2022 responden a la pregunta «cuánto»: se parte de la gravedad, se halla un punto de partida, se aplican los factores del art. 83.2, se mira el volumen de negocio. Las 04/2026 responden a una pregunta anterior que nadie había puesto por escrito de forma ordenada: «¿se llega o no a la sanción, y por qué no a un apercibimiento, a un requerimiento o a una limitación?». Hasta ayer esa parte era práctica, es decir, variaba de una autoridad a otra.

El método tiene cinco pasos, y se leen en secuencia: cada uno puede cerrar el asunto antes del siguiente.

• Primero: la autoridad comprueba que la infracción imputada pueda dar lugar a una multa, hallando su fundamento en el RGPD o en el derecho nacional.
• Segundo: comprueba que el sujeto investigado pueda ser destinatario. Que responda el responsable o el encargado depende de quién esté vinculado por la disposición infringida.
• Tercero: valora si la infracción se cometió con dolo o negligencia. La culpabilidad es una condición de la multa, no un factor de descuento.
• Cuarto: pondera las circunstancias agravantes y atenuantes. Si la infracción es leve, por regla general no se multa y se usa el apercibimiento; si no es leve, existe una fuerte presunción de que debe imponerse la multa.
• Quinto: comprueba que la multa sea efectiva, proporcionada y disuasoria en el caso concreto, y si hay razones para apartarse del enfoque ordinario.

El tercer paso merece la misma atención, por la razón contraria. La culpabilidad se presenta como condición: sin dolo ni negligencia no se impone multa. Parece una buena noticia para el responsable, y en parte lo es, pero se convierte enseguida en una carga práctica. No estar en culpa no se afirma, se muestra: con la fecha en que se detectó un riesgo, el dictamen que dio el DPD, la decisión tomada por el órgano que podía tomarla, la actuación ejecutada. Una organización que no deja rastro de estas cosas no tiene manera de distinguirse de una negligente, porque desde fuera las dos se parecen muchísimo.

La parte más útil del documento, para quien trabaja, son los catorce ejemplos prácticos: casos construidos para mostrar cómo una autoridad elige entre apercibimiento, requerimiento, limitación, prohibición, retirada de la certificación y multa, y cuándo las combina. Es material que vale más que muchas páginas de principios, porque hace legible la frontera entre situaciones.

Una última cosa, y tiene fecha. El texto está en consulta pública hasta el 13 de noviembre de 2026: cualquiera puede enviar observaciones, no solo las asociaciones sectoriales. Para un despacho con clientes en varios Estados es una ocasión concreta, porque precisamente la disparidad entre autoridades nacionales es el problema que estas directrices declaran querer cerrar.