Las 15 multas más cuantiosas que se han puesto por GDPR hasta ahora

La última empresa en ser sancionada por el Reglamento General de Protección de Datos (GDPR por sus siglas en inglés) de la Unión Europea ha sido la aplicación de citas Grindr, a la que las autoridades noruegas han condenado a pagar 9,6 millones de euros, un 10% de su facturación anual. Una abultada cifra que, sin embargo, es sólo la décima más alta de todas las que han impuesto las agencias estatales de protección de datos desde que la norma europea empezó a aplicarse, en mayo de 2018.

Según el portal Enforcement Tracker, una plataforma que rastrea las sanciones impuestas en Europa al amparo del GDPR, la multa más alta hasta la fecha sigue siendo la que tuvo que pagar Google en 2019 en Francia por falta de transparencia y consentimiento para personalizar la publicidad. En aquella ocasión la Comisión Nacional de la Informática y las Libertades gala condenó al gigante californiano a pagar 50 millones de euros.

Algo más de 35 millones de euros tuvo que desembolsar la segunda compañía de la lista, la firma de moda H&M, el pasado octubre de 2020, cuando la Agencia para la Protección de Datos y Libertad de Información de Hamburgo la sancionó por recopilar datos la vida privada de sus empleados de forma ilícita. La sigue la empresa de telecomunicaciones italiana TIM, a la que la Agencia de Protección de Datos de Italia impuso una multa de 27,8 millones de euros por el uso de datos personales de sus clientes sin su consentimiento.

En cuarta posición se encuentra la compañía aérea British Ariways, a la que las autoridades británicas condenaron a pagar 22 millones de euros por no prever medidas técnicas y organizativas para garantizar la seguridad de la información personal que manejaban. Este caso fue muy sonado porque, en un primer momento, se propuso una sanción que superaba los 200 millones de euros y que habría sido, de largo, la mayor de Europa. Sin embargo, una serie de circunstancias atenuantes redujeron el importe de la multa.

A British Airways le siguen la cadena de hoteles británica Marriot International (20 millones de euro), la compañía de telecomunicaciones italiana Wind (16,7 millones de euros), la inmobiliaria alemana Deutsche Wohnen (14,5 millones de euros), la telefónica Vodafone Italia (12,2 millones de euros), el minorista de productos electrónicos alemán notebooksbilliger.de (10,4 millones), la ya mencionada Grindr (aunque ésta aún tiene la opción de apelar hasta el 15 de febrero) y la eléctrica italiana Eni Gas e Luce (8,5 millones de euros).

CaixaBank y BBVA, las españolas con multas más altas
La primera empresa española que aparece en la lista de sancionadas por el GDPR es CaixaBank. La entidad bancaria catalana ocupa el duodécimo lugar por la multa de 6 millones de euros que le impuso la Agencia Española de Protección de Datos por usar de forma ilícita los datos personales de sus clientes.

A CaixaBak la siguen, inmediatamente después, otro banco español, el BBVA. La entidad vasca fue sancionada a finales de 2020 con 5 millones de euros por usar la información personal de sus clientes sin su consentimiento.

En la decimocuarta posición de la lista de multas más cuantiosas por incumplimiento del GDPR repite Google. En esta ocasión fueron las autoridades suecas las que impusieron una multa de 5 millones de euros al gigante tecnológico por vulnerar artículos de la norma relacionados con el derecho al olvido. También repite, en el decimoquinto puesto, la eléctrica italiana Eni Gas e Luce, que recibió una segunda sanción de 3 millones de euros por suscribir contratos no solicitados de luz y gas a sus clientes.

Duras sanciones
Desde la aprobación del GDPR en abril de 2016, y muy especialmente desde su aplicación a partir de mayo de 2018, muchos expertos venían advirtiendo de la dureza de las sanciones que preveía la nueva norma europea.

El texto legal recoge que las infracciones más graves en materia de protección de datos podrían ser sancionadas con multas de hasta el 4% de facturación anual de la empresa en todo el mundo o un máximo de 20 millones de euros, la cifra que fuese más alta. Para las transgresiones más leves, el desembolso podría ser de hasta el 2% de la facturación anual de la compañía.