Redacción
El último balance anual de sanciones por incumplimiento del Reglamento General de Protección de Datos (RGPD), el marco europeo equivalente a la LOPDGDD en España, deja una cifra significativa tanto por volumen como por cuantía. En 2025, las autoridades europeas de protección de datos impusieron más de 330 sanciones por incumplimiento del RGPD, con un total de casi 1.150 millones de euros en multas.
El análisis sitúa como infracción más gravosa el tratamiento de datos personales sin una base jurídica suficiente, es decir, sin un fundamento legal válido que justifique la recogida y el uso de esa información. El incumplimiento más costoso fue el tratamiento de datos personales sin una base jurídica suficiente, que sumó 1.030 millones de euros en 2025. Este patrón se concentró de forma especialmente acusada en determinados ámbitos de actividad. Los sectores de medios de comunicación, telecomunicaciones y radiodifusión concentraron más del 80% del total de las multas medidas en euros.
Dentro de ese grupo, las mayores sanciones recayeron en compañías de gran visibilidad pública. TikTok recibió la mayor multa del sector en 2025, con 530 millones de euros, mientras que Google fue sancionada con 200 y 125 millones, y SHEIN con 150 millones. Sin embargo, el importe global no siempre se traduce en una penalización elevada cuando se reparte entre el volumen de usuarios afectados. Pese a las cuantías, casos como el de TikTok equivalieron a 2,64€ por usuario, aun cuando millones de usuarios se vieron afectados.
Tomas Stamulis, director de seguridad de Surfshark, interpreta estas cifras como: «La cuantía de las multas refleja la seriedad con la que se tratan ahora las prácticas ilegales en materia de datos. Sin embargo, es muy preocupante que la mayoría de estas sanciones se dirijan a empresas que tratan nuestros datos personales sin una base jurídica válida. Las grandes empresas tecnológicas suelen traspasar los límites para recopilar más información de la permitida, lo que pone de relieve lo baratos que son nuestros datos personales, ya que se valoran en solo un par de euros«.
La seguridad como infracción más habitual y el efecto de la IA
Aunque la falta de base jurídica fue lo más costoso, la infracción más repetida siguió otra dirección: el nivel de protección aplicado a los sistemas y a la información. La multa más común en 2025 se debió a medidas técnicas y organizativas insuficientes para garantizar la seguridad de la información, con 97 casos frente a 69 en 2024, el 29% del total. En términos prácticos, este tipo de incumplimiento alude a que la empresa no ha implantado controles adecuados (procedimientos, herramientas y medidas internas) para evitar accesos no autorizados o pérdidas de información.
El estudio relaciona estas sanciones, de manera habitual, con episodios como ataques cibernéticos, divulgaciones no autorizadas de datos personales y fugas de datos. El reparto sectorial también es significativo. El sector industrial y comercial fue el más afectado por medidas de seguridad insuficientes, con 31 de las 97 multas, seguido por finanzas, seguros y consultoría con 21, y sanidad con 14. Para los responsables de TI y de compras tecnológicas, este mapa de sanciones funciona como termómetro: muestra en qué sectores se están materializando con más frecuencia las debilidades de control y, por extensión, dónde puede crecer la presión regulatoria.
Stamulis vincula esta tendencia con un fenómeno más amplio que Surfshark identifica a escala global desde hace años. Surfshark sitúa en 3.200 millones el número de filtraciones de datos producidas en todo el mundo desde 2004. Desde su perspectiva, el aumento del uso de la inteligencia artificial intensifica el riesgo de exposición de datos personales, especialmente cuando las personas comparten información sensible con herramientas de terceros sin políticas de privacidad claras o adecuadas, lo que reduce la supervisión sobre el destino final de esos datos.
En esa línea, señala que el refuerzo de la capacidad de ataque es otro elemento de presión, al facilitar que los ciberdelincuentes ejecuten acciones más potentes y sencillas de llevar a cabo. También pone como ejemplo un ciberataque autónomo a gran escala perpetrado el año pasado por una IA, que evidenció la facilidad con la que un sistema de este tipo puede explotar vulnerabilidades en organizaciones. En conjunto, la lectura que plantea es doble: por un lado, las multas del RGPD actúan como señal de advertencia para las empresas; por otro, funcionan como recordatorio de que la protección de los datos personales exige una gestión activa de permisos, aplicaciones y prácticas de uso, más allá de la confianza pasiva.
