RGPD (GDPR)
Europa intenta proteger tus datos desde 1995. Pero la ley no tuvo dientes hasta 2018. Las multas impuestas ya superan en total los 7 mil millones de euros. La publicidad basada en el comportamiento sigue siendo el modelo de negocio dominante.
Cómo leer esta página. Toca cualquier palabra subrayada para ver el término jurídico preciso y una definición breve. Abre cualquier recuadro “Más a fondo” para ver la evidencia y los puntos en disputa. El texto principal se sostiene solo: puedes saltarte ambas cosas y entender el argumento completo.
El largo camino
La Directiva de Protección de Datos de 1995 de la UE fijó unos derechos básicos de privacidad. En la década de 2010 ya estaba desfasada: Facebook, Google y Amazon habían construido negocios de miles de millones de dólares recopilando datos de comportamiento a una escala que la Directiva nunca previó. El Reglamento general de protección de datos (RGPD; GDPR) se adoptó formalmente en 2016 y empezó a aplicarse el 25 de mayo de 2018.
Qué exige el RGPD
Los datos personales solo pueden recopilarse con una base jurídica (lawful basis), es decir, una justificación que la ley acepte; una de ellas es el consentimiento auténtico e informado. Las personas tienen derecho a acceder a sus datos, a corregirlos y a borrarlos. Las violaciones de la seguridad de los datos deben notificarse en un plazo de 72 horas. Las multas pueden llegar al 4% de la facturación anual mundial. El reglamento se aplica a cualquier organización que trate datos de personas que están en la UE, sin importar dónde tenga su sede.
Base jurídica / consentimiento (lawful basis / consent)
Con el RGPD, una empresa no puede tratar tus datos personales solo porque quiere: necesita una de las seis justificaciones que el reglamento admite —cada una es una base jurídica—, y la más discutida es tu consentimiento libre, informado y específico. El detalle está en “libre”: un consentimiento escondido en una casilla ya marcada, o arrancado con un aviso manipulador, no es un consentimiento válido ante la ley. Por eso buena parte de la aplicación de la norma depende de cómo se diseñó la elección, y no de si alguien hizo clic en una casilla.
Fuentes
- GDPR Article 6 — lawfulness of processing.
- GDPR Recital 32 — conditions for consent.
- Comité Europeo de Protección de Datos (2023), Report of the work undertaken by the Cookie Banner Taskforce.
Las multas
2019: Francia multa a Google con 50 millones de euros. 2021: Luxemburgo multa a Amazon con 746 millones de euros, una decisión anulada en apelación en marzo de 2026: el tribunal confirmó las infracciones, pero devolvió el caso al regulador. 2023: Irlanda multa a Meta con 1.2 mil millones de euros —la mayor multa del RGPD registrada— por transferir ilegalmente datos de usuarios de la UE a Estados Unidos. 2023: Irlanda multa a TikTok con 345 millones de euros por infracciones relacionadas con datos de menores. 2024: Irlanda multa a LinkedIn con 310 millones de euros. 2025: TikTok recibe otra multa, de 530 millones de euros. Las multas impuestas en virtud del RGPD superan en total los 7 mil millones de euros.
Lo que ha logrado y lo que no
El RGPD dejó establecido que la protección de datos es un derecho legal con consecuencias económicas. Creó un estándar mundial: su alcance extraterritorial dio a empresas de todo el mundo un motivo para actualizar sus prácticas. Lo que no ha hecho es acabar con el capitalismo de la vigilancia. Los avisos de consentimiento de cookies, diseñados a menudo como interfaces engañosas (dark patterns) para empujar a los usuarios a aceptar, ofrecen un cumplimiento solo nominal. El modelo de vigilancia del comportamiento sigue en pie. Las multas son grandes en términos absolutos y pequeñas al lado de las empresas a las que se imponen: la multa récord de 1.2 mil millones de euros a Meta equivalió a cerca del 1% de los ingresos del grupo el año anterior —unos cuatro días de ingresos—, frente a un tope legal del 4%. La mayoría de las multas más grandes siguen en apelación y sin pagarse, y está en disputa si multas de este tamaño cambian la conducta: hay poca evidencia, en un sentido u otro, de su efecto disuasorio. El RGPD es el marco de privacidad más sólido del mundo y, a la vez, una respuesta insuficiente a la magnitud del problema.
Interfaces engañosas (dark patterns)
Diseños de interfaz que te empujan hacia la opción que prefiere la empresa, y no hacia la que elegirías libremente: el enorme botón “Aceptar todo” junto a un “Rechazar” en gris, escondido a tres clics de distancia. Aprovechan las opciones predeterminadas, los obstáculos y la jerarquía visual. Con el RGPD, hay argumentos para sostener que un consentimiento obtenido así no se dio libremente; pero estos avisos siguen casi en todas partes, porque el costo de ignorar la norma es bajo en comparación con el valor de los datos.
Fuentes
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versión 2.0, adoptada el 14 de febrero de 2023).
Cómo lo sabemos — por qué 7 mil millones de euros en multas impuestas no han cambiado el modelo
Tres razones estructurales. Primero, la escala: una multa récord de 1.2 mil millones de euros es dinero de verdad, pero equivalió a cerca del 1% de los ingresos de Meta del año anterior, y sigue en apelación; está en disputa hasta qué punto disuaden multas de este tamaño, y hay poca evidencia en un sentido u otro. Segundo, el cuello de botella de la aplicación: con la “ventanilla única” del RGPD, lleva el caso el regulador del país donde la empresa tiene su sede en la UE, y por eso la mayoría de los casos de las grandes tecnológicas pasan por la DPC de Irlanda, criticada por otros reguladores por una aplicación lenta y estrecha. Tercero, el cumplimiento de fachada: un aviso de consentimiento puede estar técnicamente presente y, aun así, estar diseñado para frustrar la elección que dice ofrecer.
La lectura honesta. El RGPD logró establecer la protección de datos como un derecho exigible y como un estándar mundial; no ha logrado desmontar la vigilancia como modelo de negocio, porque la economía de ese modelo sobrevive a las multas. Ese es un argumento sobre la aplicación y el diseño, no sobre si valía la pena aprobar la ley.
Fuentes
- GDPR Enforcement Tracker — una tabla en vivo de las multas impuestas en virtud del RGPD, citada por su total acumulado: 7.57 mil millones de euros al consultarla el 17 de octubre de 2026.
- GDPR Article 6 — lawfulness of processing.
- GDPR Article 33 — notification of a personal data breach.
- GDPR Article 83 — general conditions for imposing administrative fines — “multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” (art. 83(5)).
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versión 2.0, adoptada el 14 de febrero de 2023).
- European Data Protection Supervisor (EDPS) — el supervisor independiente del tratamiento de datos que hacen las propias instituciones de la UE (distinto del EDPB, que coordina la aplicación del RGPD entre las autoridades nacionales).
- Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 … repealing Directive 95/46/EC (General Data Protection Regulation) — artículo 99(2): “será aplicable a partir del 25 de mayo de 2018”; artículo 94 y nota 4: la Directiva 95/46/CE, “de 24 de octubre de 1995”, derogada a partir de esa misma fecha.
- Conseil d'État, Décision n° 430810 du 19 juin 2020, Google LLC — confirma la multa de 50 millones de euros que la CNIL impuso a Google (deliberación SAN-2019-001 del 21 de enero de 2019).
- Comité Europeo de Protección de Datos (28 de julio de 2021), Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR — las objeciones de otras autoridades por “el alcance limitado de la investigación”; el Comité “ordena a la autoridad de control irlandesa fijar un importe de multa más alto”.
- Comisionado Federal de Protección de Datos y Libertad de Información (Alemania), Ulrich Kelber (16 de marzo de 2021), carta a la comisión LIBE del Parlamento Europeo sobre la DPC de Irlanda (en alemán; copia publicada por noyb) — más de 50 quejas sobre WhatsApp enviadas a la DPC desde 2018, “von denen bis heute keine einzige abgeschlossen ist” (ninguna de ellas cerrada).
- Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
- Data Protection Commission, decisión final IN-20-8-1 sobre Meta Platforms Ireland (transferencias de datos) (12 de mayo de 2023) — la multa de 1.2 mil millones de euros, con los ingresos de Meta en 2022, 116.61 mil millones de dólares, como base (§9.124); la proporción (cerca del 1%) y los días (unos cuatro) se calcularon con el tipo de cambio de referencia del BCE en la fecha de la decisión.
- Data Protection Commission — fines (actualizado el 21 de septiembre de 2026): más de 4.4 mil millones de euros en multas impuestas y unos 20 millones de euros cobrados; una multa en apelación no puede cobrarse.
- Lintvedt, M. N. (2022), Putting a price on data protection infringement, International Data Privacy Law 12(1), 1–15 — “hay poca evidencia del efecto de la mera imposición de multas”.
- Cour administrative (Luxemburgo), arrêt n° 52757C du rôle (12 de marzo de 2026), Arrêt de la Cour administrative en relation avec un des grands acteurs mondiaux au niveau du commerce en ligne (Justice Luxembourg, 13 de marzo de 2026) — la decisión de la CNPD del 15 de julio de 2021, que multaba a Amazon con 746 millones de euros, queda anulada por completo; las infracciones se confirman en lo esencial; el caso vuelve a la CNPD para que valore la culpa y elija la medida.