Registro de multas y sanciones de privacidad
Multas, acuerdos, demandas y nuevas normas de privacidad de la UE, el Reino Unido, EE. UU. y otros países, contrastados con los anuncios de las propias autoridades. Busque por país, ley, empresa o motivo, y vea cómo evitar los mismos errores.
- Casos y normas
- 225
- Países
- 41
- Última actualización
Próximos plazos
dic 2026
Apple ATT prompt changes for EU apps in iOS 27.210 dic 2026
Australia Children's Online Privacy Code due to be registered10 dic 2026
Australia: privacy policies must disclose automated decision-making1 ene 2027
Colorado automated decision-making law (SB 26-189) takes effect1 ene 2027
Delaware privacy law amendments (HB 380) take effect1 ene 2027
Louisiana Data Privacy Act takes effect
Últimas multas, demandas y normas de privacidad
Última actualización
Ningún caso coincide con su búsqueda.
- Norma o plazoPróximamente
India DPDP Rules: core data fiduciary obligations take effect
India Ministry of Electronics and IT (MeitY), India, Otras leyes de privacidad
Motivo
Es la tercera fase de las DPDP Rules notificadas en noviembre de 2025. Las normas sobre aviso y consentimiento, las obligaciones de los responsables (data fiduciaries), las normas sobre datos de menores, los derechos de los titulares de los datos y las normas sobre transferencias internacionales se aplican 18 meses después de la notificación.
Resultado
En vigor desde el 13 de mayo de 2027
- Norma o plazoPróximamente
Alabama Personal Data Protection Act takes effect
Alabama Legislature, Alabama, Leyes estatales de EE. UU.
Motivo
La HB 351 da a Alabama una ley de privacidad integral para las empresas que tratan datos de más de 25.000 consumidores o que obtienen más del 25 % de sus ingresos de la venta de datos personales. La aplica el fiscal general, con un plazo de subsanación de 45 días y sanciones de hasta 15.000 $ por infracción.
Resultado
En vigor desde el 1 de mayo de 2027
- Norma o plazoPróximamente
IAB TCF 2.4 applies to mobile apps and CTV
IAB Europe, Unión Europea, IAB TCF
Motivo
Las apps y la televisión conectada que usan el Transparency and Consent Framework deben aplicar el TCF 2.4. Los sitios web pasaron a esta versión el 23 de octubre de 2026.
Resultado
Se aplica a apps y CTV desde el 23 de febrero de 2027
- Norma o plazoPróximamente
California Opt Me Out Act: browsers must offer an opt-out signal
California legislature, California, CCPA / CPRA
Motivo
Las empresas que fabrican navegadores web deben incluir un ajuste que envíe una señal de preferencia de exclusión, como Global Privacy Control.
Resultado
En vigor desde el 1 de enero de 2027
- Norma o plazoPróximamente
CCPA automated decisionmaking technology (ADMT) rules apply
California Privacy Protection Agency, California, CCPA / CPRA
Motivo
Las empresas que usan tecnología de toma de decisiones automatizada para decisiones importantes sobre consumidores deben cumplir el reglamento ADMT de la CCPA. Según las mismas normas, las declaraciones sobre evaluaciones de riesgos deben presentarse antes del 1 de abril de 2028, y las certificaciones de auditorías de ciberseguridad, entre abril de 2028 y abril de 2030, según los ingresos.
Resultado
En vigor desde el 1 de enero de 2027
- Norma o plazoPróximamente
Oklahoma consumer data privacy law (SB 546) takes effect
Oklahoma Legislature, Oklahoma, Leyes estatales de EE. UU.
Motivo
La SB 546 se aplica a los responsables que tratan datos de 100.000 consumidores de Oklahoma, o de 25.000 si más de la mitad de sus ingresos procede de la venta de datos. Solo cuenta las ventas a cambio de dinero, no obliga a respetar las señales universales de exclusión y mantiene un plazo de subsanación permanente de 30 días.
Resultado
En vigor desde el 1 de enero de 2027
- Norma o plazoPróximamente
Louisiana Data Privacy Act takes effect
Louisiana Legislature, Luisiana, Leyes estatales de EE. UU.
Motivo
La SB 386 (Act 502) se aplica a las empresas con más de 25 M$ de ingresos, a las que tratan datos de 75.000 residentes, hogares o dispositivos, o a las que obtienen el 50 % de sus ingresos de la venta de datos. Antes de vender datos sensibles o biométricos se exige un aviso específico.
Resultado
En vigor desde el 1 de enero de 2027
- Norma o plazoPróximamente
Delaware privacy law amendments (HB 380) take effect
Delaware General Assembly, Delaware, Leyes estatales de EE. UU.
Motivo
La HB 380 rebaja el umbral de la Delaware Personal Data Privacy Act de 35.000 a 10.000 consumidores, añade categorías de datos sensibles como los datos neuronales y exige contratos y diligencia debida antes de comunicar datos a terceros. Los consumidores también pueden pedir una lista de los terceros que recibieron sus datos.
Resultado
En vigor desde el 1 de enero de 2027
- Norma o plazoPróximamente
Colorado automated decision-making law (SB 26-189) takes effect
Colorado General Assembly, Colorado, Leyes estatales de EE. UU.
Motivo
La SB 26-189 deroga y sustituye la Colorado AI Act de 2024. Quienes implantan estos sistemas deben avisar a los consumidores antes de que una decisión automatizada influya de forma significativa en una decisión trascendente. Tras un resultado desfavorable, deben explicarlo y ofrecer la posibilidad de corregirlo y, cuando sea comercialmente razonable, una revisión humana.
Resultado
En vigor desde el 1 de enero de 2027
- Norma o plazoPróximamente
Australia: privacy policies must disclose automated decision-making
Australian Parliament (Privacy and Other Legislation Amendment Act 2024), Australia, Otras leyes de privacidad
Motivo
Según los nuevos APP 1.7 a 1.9, las entidades que usan programas informáticos para tomar decisiones que pueden afectar de forma significativa a las personas deben indicar en su política de privacidad qué información personal se usa y qué tipo de decisiones se toman. Es solo un deber de transparencia, sin derecho de revisión.
Resultado
En vigor desde el 10 de diciembre de 2026
- Norma o plazoPróximamente
Australia Children's Online Privacy Code due to be registered
OAIC, Australia, Otras leyes de privacidad
Motivo
La OAIC debe registrar un Children's Online Privacy Code antes del 10 de diciembre de 2026 para las redes sociales y otros servicios en línea a los que probablemente accedan menores. Exige recoger solo lo estrictamente necesario, actuar en el interés superior del menor, una verificación de edad razonable, derechos de consentimiento y supresión más sólidos y límites al marketing directo.
Resultado
Registro previsto antes del 10 de diciembre de 2026; fecha de entrada en vigor aún sin fijar
- Norma o plazoPróximamente
Apple ATT prompt changes for EU apps in iOS 27.2
Apple, Unión Europea, Política de plataforma
Motivo
Desde iOS 27.2, las apps distribuidas en Alemania, Francia, Italia, Polonia y Rumanía solo pueden usar el aviso de seguimiento rediseñado de Apple. Elimina el tono de advertencia y añade un enlace a más información. La autoridad de competencia alemana dio a Apple cuatro meses desde su decisión de agosto de 2026 para implantarlo, lo que apunta a mediados de diciembre de 2026.
Resultado
Plazo alemán a mediados de diciembre de 2026
805 M€
Motivo
La app de Facebook para Android leía fotos, vídeos y sus metadatos de la galería del teléfono para sugerir publicaciones. La función venía activada por defecto y sin consentimiento específico.
Resultado
Multa de 805 M€ y 60 días para desactivar la función por defecto y pedir un consentimiento separado
11 M€
Motivo
La herramienta de autoservicio “Download My Data” omitía algunos datos personales, o solo daba resúmenes, sin avisar a los usuarios.
Resultado
Multa de 11 M€, apercibimiento y orden de cumplir en un plazo de tres meses; Match dice que recurrirá
2,975 MUS$
Motivo
FedEx afirmaba que no vendía ni compartía datos personales mientras usaba rastreadores publicitarios para publicidad comportamental entre contextos. Tampoco respetaba las señales de preferencia de exclusión, y sus controles de cookies y su formulario de solicitudes no funcionaban con los rastreadores.
Resultado
Multa de 2,975 M$, además de inventarios trimestrales de rastreadores y pruebas de los mecanismos de exclusión
- Norma o plazo
CNIL recommendation on session replay tools
CNIL, Francia, ePrivacy (normas sobre cookies)
Motivo
Las herramientas de session replay necesitan consentimiento previo, y el banner de consentimiento debe mencionarlas de forma específica en su primera capa.
Resultado
Recomendación final publicada
1,8 MUS$
Motivo
Lyft vendía o compartía datos de pasajeros para anuncios segmentados dentro de la app, pero no ofrecía una opción de exclusión en la app. Los usuarios con sesión iniciada tenían que seguir enlaces a un formulario web y volver a introducir datos que la empresa ya tenía.
Resultado
Sanción civil de 1,8 M$, opción de exclusión en la app y aviso a los californianos
Motivo
Las plataformas de gestión del consentimiento que usan el Transparency and Consent Framework tenían que aplicar en los sitios web la información del TCF 2.4 antes de esta fecha.
Resultado
Se aplica a los sitios web desde el 23 de octubre de 2026
7 M€
Motivo
La app de Fnac usaba un rastreador que enviaba un identificador de usuario y los productos vistos a un servicio de recomendaciones de un tercero, incluso cuando los usuarios habían rechazado el seguimiento.
Resultado
Multa de 7 M€ y orden de corregir el consentimiento en un mes, o 10.000 € por día
- Norma o plazo
EU Council agrees its Digital Omnibus position on cookies
Council of the EU, Unión Europea, ePrivacy (normas sobre cookies)
Motivo
Seis usos de cookies dejarían de necesitar consentimiento, y los sitios tendrían que esperar cuatro meses antes de volver a preguntar tras un rechazo. La propuesta aún no es ley.
Resultado
Posición del Consejo acordada; pendiente de negociar con el Parlamento
6 MUS$
Motivo
Una brecha de 2023 expuso datos de casi 7 millones de clientes, entre ellos más de 855.000 californianos. California también se opuso, en virtud de su Genetic Information Privacy Act, a la venta de los datos genéticos de los clientes en el concurso de acreedores sin un consentimiento separado.
Resultado
Acuerdo de 6 M$ ante el tribunal de quiebras, pendiente de aprobación
403 M€
Motivo
Los ajustes Web & App Activity, Location History y Location Accuracy de Google trataron datos de ubicación de forma ilícita y sin transparencia suficiente entre mayo de 2018 y febrero de 2020. Es posible que los usuarios no supieran que su ubicación se usaba para segmentar anuncios o deducir sus intereses, y los datos se conservaron demasiado tiempo.
Resultado
Multas de 403 M€; se ordena a Google adecuar el tratamiento en un plazo de 6 meses
36.400 US$
Motivo
El intermediario de datos de Virginia vendió información personal de consumidores sin inscribirse en el Data Broker Registry de California dentro del plazo de 2025.
Resultado
Multa de 36.400 $; debe publicar métricas sobre derechos de privacidad y tramitar las supresiones a través de DROP
153,77 MBRL
Motivo
TikTok trató datos de niños y adolescentes sin una base jurídica válida, tanto en su feed sin sesión iniciada como en el registro. La edad declarada por el propio usuario era el único control contra el registro de menores de 13 años.
Resultado
Multa de 153,7 millones de R$ por cinco infracciones de la LGPD, orden de supresión y plan de cumplimiento
824,99 M€
Motivo
Entre 2018 y 2022, el software de Uber suspendió o desactivó de forma permanente y automática cuentas de conductores por sospecha de fraude o por malas valoraciones, sin revisión humana. Además, no se informó debidamente a los conductores de esta toma de decisiones automatizada.
Resultado
Multa de 824,99 M€; Uber ha dicho que la recurrirá
400 MUS$
Motivo
El DOJ presentó una demanda en agosto de 2024, tras una investigación de la FTC. Alegaba que TikTok permitía a sabiendas que menores de 13 años crearan cuentas, recogía sus datos sin consentimiento parental, no atendía las solicitudes de supresión de los padres e incumplía una orden de consentimiento de la FTC de 2019.
Resultado
Acuerdo de 400 M$: 300 M$ ahora y 100 M$ cuando se anule el decreto de consentimiento de Musical.ly de 2019. Sin declaración de responsabilidad ni nuevas medidas cautelares.
275.000 US$
Motivo
De 2018 a 2022, las tecnologías de seguimiento del sitio de TaxAct enviaron a socios publicitarios datos de los contribuyentes, como ingresos, devoluciones y personas a cargo, sin aviso y en contra de sus compromisos de privacidad.
Resultado
275.000 $ y un programa de cumplimiento sobre tecnologías de seguimiento con dos auditorías independientes
52.400 US$
Motivo
El intermediario de datos de Boston no se inscribió dentro del plazo de 2025 en el Data Broker Registry de California, como exige la Delete Act.
Resultado
Multa de 52.400 $
116.490 US$
Motivo
El intermediario de datos de Iowa se inscribió tarde y exigía a los californianos dar los cuatro últimos dígitos de su número de la Seguridad Social antes de poder excluirse de la venta de datos.
Resultado
Multa de 116.490 $ y cambios en sus prácticas; primera actuación con base tanto en la CCPA como en la Delete Act
10,3 mil MKRW
Motivo
Las herramientas publicitarias de TikTok recogían la actividad de los usuarios en otros sitios web y apps y la vinculaban a sus cuentas para mostrar anuncios personalizados. No se informaba de ello con claridad, y los usuarios tenían que dar su consentimiento para usar la app.
Resultado
Multa de 10.300 millones de KRW; en la misma sesión se multó a Apple con 252 millones de KRW por grabaciones de Siri
- Demanda
NFL Enterprises (Kimmons v. NFL Enterprises)
Alameda County Superior Court, California, CIPA (escuchas)
Motivo
La demanda contabiliza 182 rastreadores de terceros en NFL.com antes de cualquier elección de consentimiento y 186 después de que un visitante los rechazara. Son alegaciones.
Resultado
Demanda presentada; aún sin resolución
- Norma o plazo
UK GDPR: people can complain directly to organisations
UK Parliament, Reino Unido, RGPD del Reino Unido
Motivo
Las organizaciones deben aceptar y tramitar ellas mismas las reclamaciones sobre protección de datos, por un cambio introducido por la Data (Use and Access) Act 2025.
Resultado
En vigor desde el 19 de junio de 2026
- Norma o plazo
Google Signals no longer controls Google Ads data from Analytics
Google, Global, Política de plataforma
Motivo
Desde el 15 de junio de 2026, son los ajustes de Consent Mode, y no Google Signals, los que deciden si Google Analytics recoge cookies e identificadores de Google Ads. Google Signals ahora solo vincula los datos de Analytics a usuarios con sesión iniciada para los informes. Los controles de personalización de anuncios pasarán a Consent Mode más adelante en 2026.
Resultado
Se aplica desde el 15 de junio de 2026
624,681 mil MKRW
Motivo
Una mala gestión de las claves de firma permitió a un antiguo empleado acceder a datos de unos 33 millones de usuarios. Coupang también recogió, sin consentimiento, datos de comportamiento de unos 11 millones de usuarios en sitios y apps externos para publicidad segmentada.
Resultado
Recargos sancionadores de 624.681 millones de KRW (423.575 millones por seguridad y 201.106 millones por datos de comportamiento), más una multa de 16,8 millones de KRW
300.000 GBP
Motivo
La empresa envió más de 5,5 millones de SMS comerciales no solicitados, incluidos falsos mensajes de agentes de cobro judicial. Generaron más de 60.000 quejas al servicio de denuncia de spam 7726.
Resultado
Multa de 300.000 £
12,75 MUS$
Motivo
GM vendió a Verisk y LexisNexis, sin aviso, datos de conducción y ubicación de OnStar de cientos de miles de californianos, mientras su política de privacidad decía que no vendía esos datos.
Resultado
Sanción de 12,75 M$ (la mayor de la CCPA hasta la fecha), prohibición de vender datos de conducción durante 5 años y supresión de datos
Motivo
El intermediario de datos vendió, sin que los usuarios lo supieran, datos de ubicación de cientos de millones de dispositivos que podían revelar visitas a centros médicos y lugares religiosos.
Resultado
La orden del acuerdo prohíbe vender datos de ubicación sensibles sin consentimiento expreso; sin pago económico
- Norma o plazo
CNIL recommendation on email tracking pixels
CNIL, Francia, ePrivacy (normas sobre cookies)
Motivo
El regulador francés estableció cuándo necesitan consentimiento los píxeles de seguimiento en los correos electrónicos y cómo pedirlo.
Resultado
Recomendación publicada
- Acuerdo
European Wax Center (Cumor v. European Wax Center)
Florida Circuit Court, Hillsborough County (class action), Florida, CIPA (escuchas)
5 MUS$
Motivo
La demanda colectiva afirmaba que waxcenter.com usaba píxeles y otros rastreadores para compartir datos de los visitantes con terceros como Meta sin consentimiento. European Wax Center niega haber actuado de forma ilícita.
Resultado
Acuerdo colectivo de hasta 5 M$, sin reconocimiento de responsabilidad
100 M€
Motivo
La app de taxis enviaba a empresas de Yandex en Rusia, sin las garantías adecuadas, datos de pasajeros y conductores finlandeses y noruegos, como la ubicación, los chats, los datos bancarios y copias escaneadas del permiso de conducir. El cifrado no era eficaz porque las claves también se guardaron en Rusia hasta finales de 2023.
Resultado
Multa de 100 M€ a MLU B.V. (sucesora de Ridetech International); orden de detener las transferencias a Rusia; la empresa dice que la impugnará
31,8 M€
Motivo
Durante 35 meses, un empleado consultó sin motivo laboral los datos bancarios de 3573 clientes, entre ellos personajes públicos, y el banco no tenía salvaguardas para impedirlo. Al principio el banco comunicó al regulador que solo había nueve personas afectadas.
Resultado
Multa de 31,8 M€
375.703 US$
Motivo
Ford exigía verificar la dirección de correo electrónico antes de tramitar las solicitudes de exclusión, un paso que la CCPA no permite.
Resultado
Multa de 375.703 $
50 MUS$
Motivo
Meta engañó a los usuarios de Facebook sobre su control de quién podía acceder a sus datos, incluidos los desarrolladores de apps de terceros, en la conducta que está detrás del escándalo de Cambridge Analytica.
Resultado
Sanciones civiles de 50 M$ y una orden judicial de 3 años sobre el acceso de los desarrolladores a los datos (sentencia del SF Superior Court)
1,1 MUS$
Motivo
Los usuarios tenían que aceptar el seguimiento antes de usar las entradas o los sitios web. PlayOn remitía a las herramientas de exclusión de NAI/DAA en lugar de ofrecer las suyas y no respetaba las señales de preferencia de exclusión.
Resultado
Multa de 1,10 M$, evaluaciones de riesgos y opt-in para menores de 13 a 15 años
- Acuerdo
Limited Run Games (Carbone v. Limited Run Games)
E.D. New York (class action), Estados Unidos, VPPA
2,72 MUS$
Motivo
Los demandantes afirmaban que las páginas de vídeo de la empresa usaban el Meta Pixel para enviar a Facebook, sin consentimiento, la actividad de visionado de vídeos de los usuarios y datos que los identificaban.
Resultado
El tribunal aprobó un acuerdo colectivo de 2,72 M$
14,473 MGBP
Motivo
Reddit no comprobó la edad de los usuarios hasta julio de 2025, por lo que no tenía base legal para tratar los datos de los menores de 13 años que usaban el sitio de todos modos. Tampoco evaluó los riesgos para los menores hasta enero de 2025.
Resultado
Multa de 14,47 M£; Reddit ha recurrido ante el First-tier Tribunal
2,75 MUS$
Motivo
Las solicitudes de exclusión, incluidas las señales de Global Privacy Control, solo se aplicaban a un servicio de streaming y a un dispositivo, en lugar de a toda la cuenta.
Resultado
Acuerdo de 2,75 M$, la mayor sanción de la CCPA en ese momento
Motivo
La FTC alegó, en una demanda anunciada por primera vez en enero de 2025, que GM y OnStar recogieron y vendieron a agencias de informes de consumidores datos precisos de ubicación y de comportamiento al volante sin el consentimiento adecuado, mediante un proceso de alta engañoso en OnStar Smart Driver.
Resultado
Orden definitiva aprobada por 2 votos a 0. GM no puede compartir datos de geolocalización ni de conducción con agencias de informes de consumidores durante 5 años, y debe obtener consentimiento expreso y ofrecer acceso, supresión y exclusión durante 20 años. Sin sanción económica.
- Multa
Datamasters (Rickenbacher Data)
California Privacy Protection Agency, California, California Delete Act
45.000 US$
Motivo
El intermediario de datos de Texas, no inscrito, revendía listas de millones de personas con enfermedades como el alzhéimer o adicciones para publicidad segmentada.
Resultado
Multa de 45.000 $; debe dejar de vender datos de californianos
62.600 US$
Motivo
Por un error administrativo, S&P Global no se inscribió como intermediario de datos.
Resultado
Multa de 62.600 $ y procedimientos de auditoría de la inscripción
42 M€
Motivo
En octubre de 2024, un atacante entró en los sistemas de las empresas de telecomunicaciones y llegó a datos de 24 millones de contratos de abonados, incluidos números de cuenta bancaria (IBAN). La seguridad era insuficiente, y los correos que informaban a los clientes de la brecha omitían información obligatoria.
Resultado
Multa de 27 M€ a Free Mobile y de 15 M€ a Free (42 M€ en total), además de órdenes de corrección
- Multa
VNG (Zalo)
Vietnam Competition Commission (Ministry of Industry and Trade), Vietnam, Otras leyes de privacidad
810 M₫
Motivo
Zalo no ofrecía a los usuarios opciones claras para elegir qué datos personales comparten, ni para permitir o rechazar su uso con fines publicitarios y otros fines comerciales. Sus condiciones también incluían cláusulas prohibidas.
Resultado
Multa de 810 millones de VND por seis infracciones de la ley de protección de los consumidores; TikTok recibió por separado una multa de 880 millones de VND por infracciones similares
1 M€
Motivo
Un encargado del tratamiento de marketing conservó una copia de los datos de más de 46 millones de usuarios de Deezer tras finalizar su contrato y los usó sin instrucciones del cliente.
Resultado
Multa de 1 M€
56.600 US$
Motivo
Una empresa de marketing de Nevada creó y vendió listas de audiencias personalizadas con datos de más de 262 millones de estadounidenses sin inscribirse como intermediario de datos en California.
Resultado
56.600 $ en multas y tasas atrasadas
1,5 M€
Motivo
El sitio instalaba rastreadores publicitarios antes de que los visitantes eligieran e incluso después de que los rechazaran. También seguía leyendo los rastreadores existentes después de que las personas retiraran su consentimiento.
Resultado
Multa de 1,5 M€
1,4 MUS$
Motivo
Ninguno de los 21 juegos para móvil de Jam City ofrecía una opción conforme para excluirse de la venta o del intercambio de datos. Algunos vendían o compartían datos de menores de 13 a 16 años sin consentimiento expreso (opt-in).
Resultado
Sanción de 1,4 M$, opciones de exclusión en las apps y opt-in para menores de 13 a 15 años
750.000 €
Motivo
Las cookies se instalaban en cuanto llegaban los visitantes, algunas cookies publicitarias figuraban como estrictamente necesarias y rechazarlas no las detenía.
Resultado
Multa de 750.000 €; el editor ya había recibido en 2021 un requerimiento de la CNIL para cumplir la normativa de cookies
10,043 M€
Motivo
El gestor aeroportuario llevó a cabo un piloto de reconocimiento facial en varios aeropuertos sin realizar antes una evaluación de impacto relativa a la protección de datos.
Resultado
Multa de 10.043.002 €
530.000 US$
Motivo
Sling canalizaba las solicitudes de exclusión a través de las preferencias de cookies y obligaba a los usuarios con sesión iniciada a volver a introducir sus datos. Además, no ofrecía opción de exclusión en sus apps para televisores.
Resultado
Sanción de 530.000 $, opción de exclusión en la app y perfiles infantiles con los anuncios segmentados desactivados
1,35 MUS$
Motivo
Sus avisos de privacidad omitían los derechos de los consumidores y de los candidatos a empleo, las opciones de exclusión no funcionaban (tampoco las señales de Global Privacy Control) y compartía datos sin los contratos obligatorios.
Resultado
Multa de 1,35 M$, análisis de rastreadores y cuatro años de certificación anual de cumplimiento
- Demanda
Google (Web & App Activity)
N.D. California (class action), California, Otras leyes de privacidad
425 MUS$
Motivo
Google siguió recogiendo datos de actividad en apps mediante sus herramientas de analítica de unos 98 millones de usuarios que habían desactivado Web & App Activity.
Resultado
Veredicto del jurado de unos 425 M$ en daños compensatorios; sin daños punitivos; Google recurrirá
10 MUS$
Motivo
La FTC alegó que Disney no etiquetó como 'Made for Kids' algunos vídeos de YouTube dirigidos a niños, por lo que se recogieron y usaron datos de menores para anuncios segmentados sin consentimiento parental.
Resultado
Sanción civil de 10 M$ y un programa de revisión de vídeos de 10 años; el tribunal aprobó la orden el 31 de diciembre de 2025
1,5 MDKK
Motivo
ILVA conservaba unos 350.000 registros de clientes en un sistema informático antiguo sin ningún procedimiento para suprimirlos o anonimizarlos. En Dinamarca, la autoridad de protección de datos recomienda una multa y la fijan los tribunales.
Resultado
El tribunal de distrito de Aarhus impuso en 2021 una multa de 100.000 DKK por negligencia. El 2 de septiembre de 2025, el Tribunal Superior del Oeste consideró que la infracción fue intencionada y elevó la multa a 1,5 millones de DKK, calculada sobre la facturación del grupo (TJUE C-383/23).
325 M€
Motivo
Anuncios mostrados dentro de las bandejas de entrada de Gmail y cookies instaladas al crear la cuenta sin consentimiento válido.
Resultado
Multa de 325 M€ (200 M€ a Google LLC y 125 M€ a Google Ireland) y orden de corregir ambos problemas en seis meses o pagar 100.000 € por día
150 M€
Motivo
shein.com instalaba cookies publicitarias antes de que los visitantes respondieran al banner, y los banners no explicaban la finalidad publicitaria. Seguía instalando y leyendo cookies después de que los usuarios pulsaran 'Refuse all' o retiraran su consentimiento.
Resultado
Multa de 150 M€ a Infinite Styles Services Co. Ltd (la filial irlandesa de Shein)
- Acuerdo
Google, Flo Health and Flurry (Frasco v. Flo Health)
N.D. California (class action), Estados Unidos, CIPA (escuchas)
59,5 MUS$
Motivo
Los usuarios de la app Flo afirmaban que sus datos sobre menstruación y embarazo se compartieron con Google, Flurry y Meta mediante SDK de terceros entre noviembre de 2016 y febrero de 2019, en violación de la California Invasion of Privacy Act.
Resultado
Google 48 M$, Flo 8 M$ y Flurry 3,5 M$, sin reconocimiento de culpa; el 29 de octubre de 2026 el juez dijo que concedería la aprobación definitiva
134,8 mil MKRW
Motivo
Unos controles de acceso débiles y redes interconectadas permitieron a unos hackers llevarse datos de más de 23 millones de abonados, incluidas claves de autenticación de SIM sin cifrar. SKT además notificó tarde a los usuarios.
Resultado
Multa de 134.800 millones de KRW más una sanción administrativa de 9,6 millones de KRW
Motivo
Un jurado concluyó que Meta violó la California Invasion of Privacy Act al grabar de forma intencionada, mediante su SDK, las comunicaciones de los usuarios de la app Flo, incluidos datos sobre menstruación y embarazo.
Resultado
Veredicto de responsabilidad contra Meta; mociones posteriores al juicio desestimadas en septiembre de 2025; sin sentencia sobre daños a noviembre de 2026
55.400 US$
Motivo
El intermediario de datos con sede en Washington no se inscribió ante la CPPA ni pagó la tasa anual que exige la Delete Act.
Resultado
Aceptó pagar una multa de 55.400 $
85.000 US$
Motivo
El aviso de privacidad de TicketNetwork era ilegible, omitía derechos clave y sus mecanismos para ejercer los derechos no funcionaban. No lo corrigió tras un aviso de subsanación de 2023.
Resultado
85.000 $; primera actuación pública de aplicación de la CTDPA
1,55 MUS$
Motivo
Healthline siguió compartiendo datos con socios publicitarios después de que las personas se excluyeran, también mediante Global Privacy Control. Además, compartía títulos de artículos que sugerían un diagnóstico médico para segmentar anuncios.
Resultado
Acuerdo de 1,55 M$, el mayor de la CCPA en ese momento
45 M€
Motivo
Vodafone no comprobó ni supervisó debidamente a las agencias de ventas asociadas, cuyos empleados crearon contratos y cambios falsos a costa de los clientes. Una autenticación débil entre el portal MeinVodafone y la línea de atención también permitió a terceros obtener perfiles eSIM.
Resultado
45 M€ en multas (15 M€ + 30 M€) y un apercibimiento
7,25 MUS$
Motivo
Supuestamente, Patreon compartía con Meta, mediante el Meta Pixel y sin el consentimiento adecuado, los vídeos que veían los suscriptores y su información personal.
Resultado
Acuerdo de 7,25 M$ con aprobación definitiva
1369 MKRW
Motivo
Temu enviaba datos de usuarios coreanos a encargados del tratamiento en China, Singapur y Japón sin informar de ello. Además, no tenía representante en el país y recogía documentos de identidad y vídeos faciales de los vendedores sin base legal.
Resultado
Sanción de 1369 millones de KRW más una multa de 17,6 millones de KRW y órdenes correctoras
900.000 €
Motivo
La empresa enviaba SMS y correos comerciales con datos comprados a intermediarios de datos, cuyos formularios de concursos empujaban a las personas a aceptar. No pudo demostrar un consentimiento válido y cedía datos a sus clientes sin base jurídica.
Resultado
Multa de 900.000 €; orden de dejar de hacer prospección sin consentimiento válido
1375 MUS$
Motivo
Dos demandas de Texas de 2022 alegaban que Google rastreaba la ubicación, las búsquedas en modo incógnito y datos biométricos como huellas de voz y geometría facial sin consentimiento.
Resultado
Acuerdo de 1375 M$; sin reconocimiento de responsabilidad ni cambios obligatorios en los productos
- Multa
Jerico Pictures (National Public Data)
California Privacy Protection Agency, California, California Delete Act
46.000 US$
Motivo
El intermediario de datos de Florida responsable de la brecha de National Public Data de 2024 no se inscribió ante la CPPA ni pagó la tasa anual. La CPPA inició una acción administrativa contra él en febrero de 2025.
Resultado
Condenado a pagar una multa de 46.000 $
345.178 US$
Motivo
Un portal de privacidad mal configurado no tramitó las solicitudes de exclusión durante 40 días. El minorista también exigía verificar la identidad y aportar datos excesivos antes de permitir la exclusión.
Resultado
Multa de 345.178 $, corrección de las herramientas de exclusión y formación del personal
530 M€
Motivo
Se accedía en remoto desde China a datos de usuarios del EEE sin demostrar una protección equivalente, y TikTok no informó a los usuarios de esas transferencias.
Resultado
Multa de 530 M€ y orden de cumplir en seis meses o suspender las transferencias a China
14,4 M€
Motivo
Amadeus reutilizó datos personales de viajeros procedentes de su sistema de reservas de aerolíneas para otro producto, sin base jurídica y sin informar a las personas afectadas.
Resultado
Multa de 14,4 M€ (18 M€ con una reducción del 20 % por pago inmediato)
27 MPLN
Motivo
El servicio postal nacional trató sin base jurídica datos del registro PESEL de unos 30 millones de adultos mientras preparaba las elecciones presidenciales por correo de 2020.
Resultado
Anulada por el Tribunal Administrativo de Varsovia el 5 de marzo de 2026 (II SA/Wa 837/25), que consideró que el servicio postal estaba obligado por la decisión del primer ministro. No es firme; la UODO puede interponer recurso de casación.
632.500 US$
Motivo
Honda obligaba a verificar la identidad para excluirse y usaba una herramienta de privacidad que no presentaba las opciones de forma equilibrada. También compartía datos con empresas de tecnología publicitaria sin los contratos obligatorios.
Resultado
Multa de 632.500 $, proceso de ejercicio de derechos más sencillo y consulta con un diseñador UX
Motivo
El intermediario de datos californiano, que se anunciaba diciendo que podía desenterrar cantidades 'scary' de información sobre las personas, no se inscribió ni pagó la tasa anual que exige la Delete Act.
Resultado
Aceptó cerrar su actividad de intermediación de datos hasta 2028; solo deberá pagar una multa de 50.000 $ si incumple el acuerdo
- Acuerdo
Key Marketing Advantage
California Privacy Protection Agency, California, California Delete Act
55.800 US$
Motivo
El intermediario de datos no se inscribió ante la CPPA ni pagó la tasa anual que exige la Delete Act.
Resultado
Acuerdo por 55.800 $
20 MUS$
Motivo
La FTC afirmó que el desarrollador de Genshin Impact recogía datos de menores de 13 años sin consentimiento parental y engañaba a los jugadores sobre las probabilidades y el coste de las cajas de botín.
Resultado
Sanción de 20 M$ y prohibición de vender cajas de botín a menores de 16 años sin consentimiento parental
Motivo
La FTC alegó que Mobilewalla recogía datos de ubicación de plataformas de subastas publicitarias en tiempo real (real-time bidding) y vendía datos que revelaban visitas a lugares sensibles sin comprobar el consentimiento de los consumidores. Fue la primera vez que la FTC calificó de desleal ese tipo de recogida en plataformas de subastas.
Resultado
La orden definitiva (4 votos a 1) prohíbe vender datos de ubicación sensibles y usar los datos de las pujas para algo distinto de las subastas. Sin sanción económica.
Motivo
La FTC alegó, en una demanda anunciada en diciembre de 2024, que Gravy Analytics y su filial Venntel vendían datos de ubicación sin el consentimiento adecuado, incluidas listas de personas que habían visitado clínicas y lugares de culto.
Resultado
La orden definitiva (5 votos a 0) prohíbe vender, compartir o usar datos de ubicación sensibles salvo en casos limitados de seguridad nacional o de aplicación de la ley. Se exige un programa sobre datos de ubicación sensibles. Sin sanción económica.
54.200 US$
Motivo
El intermediario de datos no se inscribió ante la CPPA ni pagó la tasa anual entre el 1 de febrero y el 4 de noviembre de 2024.
Resultado
Acuerdo por 54.200 $
46.600 US$
Motivo
El intermediario de datos no se inscribió ante la CPPA ni pagó la tasa anual entre el 1 de febrero y el 20 de septiembre de 2024.
Resultado
Acuerdo por 46.600 $
50 MAUD
Motivo
Los datos de 311.127 usuarios australianos de Facebook quedaron expuestos al riesgo de ser revelados a Cambridge Analytica a través de la app 'This Is Your Digital Life'.
Resultado
Programa de pagos de 50 millones de A$ mediante un compromiso exigible, que pone fin al procedimiento sancionador ante el Tribunal Federal
251 M€
Motivo
Un fallo de 2018 en la función 'View As' de Facebook permitió a atacantes hacerse con los tokens de unos 29 millones de cuentas, 3 millones de ellas en la UE/EEE, y expuso datos, incluidos datos de menores. La notificación de la brecha de Meta estaba incompleta y sus sistemas no estaban diseñados para proteger los datos desde el diseño.
Resultado
Multa de 251 M€
950.000 €
Motivo
Las solicitudes de préstamo podían abrirse a través de URL personales de clientes que eran objetivo de ataques de phishing. Esto expuso los ingresos, los gastos de vivienda, el estado civil y los hijos de los solicitantes.
Resultado
Multa de 950.000 € y orden de avisar a los clientes afectados
40.000 €
Motivo
Se instalaban cookies de seguimiento con casillas premarcadas y se consideraba consentimiento seguir navegando.
Resultado
Multa de 40.000 €
- Multa
Meta (WhatsApp 2021 privacy policy)
Competition Commission of India, India, Otras leyes de privacidad
2131,4 MINR
Motivo
La CCI concluyó que la actualización de la política de privacidad de WhatsApp de 2021 se impuso a los usuarios sin alternativa (o la aceptaban o se quedaban sin el servicio), una condición desleal y un abuso de posición dominante según la Competition Act, 2002.
Resultado
Sanción de 213,14 crore de rupias; el 4 de noviembre de 2025 el NCLAT (tribunal de apelación) la confirmó, pero anuló la prohibición de cinco años de compartir datos de WhatsApp con Meta con fines publicitarios
2 MTRY
Motivo
Una filtración de 125 GB de datos afectó a 35.274 personas en Turquía. La KVKK concluyó que las medidas de seguridad y las evaluaciones de riesgos de Twitch eran insuficientes y que no había notificado la brecha.
Resultado
1,75 millones de TRY por seguridad insuficiente más 250.000 TRY por no notificar la brecha
50 M€
Motivo
Mail Orange mostraba, sin consentimiento, anuncios con aspecto de correo electrónico entre los mensajes reales de la bandeja de entrada de los usuarios. En orange.fr, las cookies se seguían leyendo después de que los usuarios retiraran su consentimiento.
Resultado
Multa de 50 M€; orden de dejar de leer cookies tras la retirada del consentimiento, con una multa coercitiva de 100.000 € por día
35.400 US$
Motivo
El intermediario de datos no se inscribió ante la CPPA ni pagó la tasa anual entre el 1 de febrero y el 26 de julio de 2024. Fue uno de los primeros acuerdos en virtud de la Delete Act.
Resultado
Acuerdo por 35.400 $
34.400 US$
Motivo
El intermediario de datos no se inscribió ante la CPPA ni pagó la tasa anual entre el 1 de febrero y el 21 de julio de 2024. Fue uno de los primeros acuerdos en virtud de la Delete Act.
Resultado
Acuerdo por 34.400 $
2,4 M€
Motivo
Posti creaba automáticamente un buzón electrónico para los clientes y lo vinculaba a otros servicios, de modo que no se podía rechazar. No se informaba con claridad a los clientes y se usaba una casilla premarcada.
Resultado
El Tribunal Administrativo de Helsinki anuló la multa de 2,4 M€ (según se informó el 3 de noviembre de 2025), pero mantuvo el apercibimiento y la orden de cumplimiento
15 M€
Motivo
El Garante concluyó que OpenAI entrenó ChatGPT con datos de usuarios sin base jurídica, no fue lo bastante transparente, no notificó una brecha de datos de 2023 y no tenía controles de edad.
Resultado
Multa de 15 M€ y una campaña de concienciación de 6 meses; anulada por el Tribunal de Roma el 18 de marzo de 2026 porque el Garante había perdido la competencia a favor de la DPC irlandesa
310 M€
Motivo
No había una base jurídica válida para usar los datos de los miembros con fines de publicidad comportamental.
Resultado
Multa de 310 M€, apercibimiento y orden de adecuar el tratamiento
Motivo
Se le ordenó poner “Reject all” en la primera capa de su banner de cookies y dejar de usar colores que empujan a los visitantes a aceptar.
Resultado
Orden de modificar el banner de cookies con multas coercitivas diarias, retirada después por la autoridad de protección de datos en marzo de 2025; la reclamación se archivó en septiembre de 2025 tras el cambio de banner de RTL
91 M€
Motivo
Meta guardaba en texto plano las contraseñas de algunos usuarios en sistemas internos. Además, no lo notificó ni lo registró como brecha.
Resultado
Multa de 91 M€ y un apercibimiento
- Orden
Mediahuis (De Standaard, Het Nieuwsblad, Het Belang van Limburg, Gazet van Antwerpen)
Belgian DPA, Bélgica, GDPR
Motivo
Tras una reclamación de noyb, la autoridad de protección de datos ordenó a los cuatro sitios de noticias de Mediahuis añadir una opción de rechazo en el banner de cookies allí donde aparezca 'accept all' y dejar de usar colores engañosos en los botones. Esto sustituyó un acuerdo anterior de 10.000 € que no exigía cambios en el banner.
Resultado
Dos órdenes que debían cumplirse en 45 días, cada una con una multa coercitiva de 25.000 € diarios por sitio web (hasta 200.000 € al día en total). El Tribunal de Mercado anuló la decisión el 19 de marzo de 2025 (2024/AR/1690) por motivos procesales, al considerar que noyb había abusado de su derecho a reclamar.
Motivo
Apercibida por instalar cookies publicitarias antes de que los visitantes pudieran aceptarlas o rechazarlas.
Resultado
Apercibimiento, sin multa
290 M€
Motivo
Los datos personales de los conductores se transfirieron a EE. UU. sin una protección adecuada.
Resultado
Multa de 290 M€
1400 MUS$
Motivo
La función Tag Suggestions de Facebook, activada por defecto, usaba reconocimiento facial para recoger identificadores biométricos de las fotos subidas sin informar ni pedir consentimiento.
Resultado
1400 M$ en cinco años; el mayor acuerdo de privacidad de un solo estado en ese momento
600.000 €
Motivo
Kruidvat.nl seguía a los visitantes con cookies de seguimiento sin consentimiento válido; las casillas de consentimiento del banner venían marcadas por defecto y rechazar era más difícil. Así se creaban perfiles detallados a partir de compras sensibles en farmacia, como pruebas de embarazo y medicamentos.
Resultado
Multa de 600.000 €
500.000 US$
Motivo
El juego 'SpongeBob: Krusty Cook-Off' usaba una pantalla de edad no neutral y SDK mal configurados, por lo que recogía y vendía datos de menores sin consentimiento parental.
Resultado
Sanción de 500.000 $, verificación de edad neutral y control de los SDK (junto con el LA City Attorney)
30,5 M€
Motivo
Clearview extrajo más de 30.000 millones de fotos, incluidas de personas neerlandesas, para crear perfiles de reconocimiento facial sin base jurídica. No informó a las personas.
Resultado
Multa de 30,5 M€ más órdenes con multas coercitivas
7 MUS$
Motivo
Mediante herramientas de seguimiento, la empresa de telemedicina compartió con LinkedIn, Snapchat, TikTok y otros, con fines publicitarios, datos sensibles de salud mental de casi 3,2 millones de personas. Además, ponía difícil la cancelación.
Resultado
Más de 7 M$ (unos 5,1 M$ en reembolsos más 2 M$ de una sanción de 10 M$); prohibición de usar datos de salud para la mayoría de la publicidad
351 MCZK
Motivo
Avast pasó a su filial Jumpshot el historial de navegación de unos 100 millones de usuarios de su antivirus y de sus extensiones de navegador. Afirmaba que los datos eran anónimos, pero solo estaban seudonimizados y algunas personas podían volver a identificarse.
Resultado
Multa de 351 millones de CZK, ya firme
Motivo
La demanda alegaba que Google rastreaba la navegación de usuarios de Chrome que creían que el modo incógnito protegía su privacidad.
Resultado
Sin indemnización; supresión de miles de millones de registros, información más clara y posibilidad de bloquear las cookies de terceros en modo incógnito durante 5 años
16,5 MUS$
Motivo
Avast recogía datos de navegación mediante su antivirus y sus extensiones y los vendía a través de Jumpshot a más de 100 compradores, mientras prometía proteger a los usuarios del seguimiento.
Resultado
16,5 M$ y prohibición de vender datos de navegación con fines publicitarios
375.000 US$
Motivo
DoorDash entregó a una cooperativa de marketing los nombres, direcciones e historiales de pedidos de clientes de California. Según la CCPA, eso era una venta, y se hizo sin aviso ni opción de exclusión.
Resultado
Sanción de 375.000 $, revisión de contratos con proveedores e informes anuales
79,1 M€
Motivo
Unos controles débiles permitieron que agencias no autorizadas captaran clientes mediante telemarketing ilegal. Enel asumió 978 contratos procedentes de agencias ajenas a su red de ventas.
Resultado
Multa de 79,1 M€
140.000 GBP
Motivo
HelloFresh envió unos 79 millones de correos comerciales y 1 millón de SMS basándose en un consentimiento no válido, que estaba incluido en una casilla de confirmación de edad y no mencionaba los SMS. Algunas personas siguieron recibiendo mensajes después de pedir que pararan.
Resultado
Multa de 140.000 £
Motivo
El intermediario de datos vendía datos de ubicación precisos y no anonimizados vinculados a identificadores publicitarios, incluidas visitas a clínicas, sin asegurarse de que los usuarios hubieran dado un consentimiento informado.
Resultado
Primera prohibición de la FTC de vender datos de ubicación sensibles; supresión de los datos y de los productos derivados
15 MDKK
Motivo
Datatilsynet denunció a Netcompany ante la policía por el buzón digital público mit.dk. La seguridad no se integró en el diseño y la evaluación de impacto era insuficiente.
Resultado
Recomendación de la autoridad de protección de datos de al menos 15 millones de DKK; la multa definitiva la fijan los tribunales. Sigue pendiente; no se ha encontrado sentencia.
10 M€
Motivo
Yahoo instalaba rastreadores publicitarios sin consentimiento previo. Además, decía a los usuarios que retirar el consentimiento les impediría usar servicios clave como Yahoo Mail.
Resultado
Multa de 10 M€ a Yahoo EMEA; confirmada por el Conseil d'État el 7 de octubre de 2025
- Acuerdo
NewYork-Presbyterian Hospital
New York Attorney General, Nueva York, Otras leyes de privacidad
300.000 US$
Motivo
De 2016 a 2022, las herramientas de seguimiento del sitio web del hospital enviaron a empresas tecnológicas búsquedas de médicos y de enfermedades y datos de citas, en violación de la HIPAA.
Resultado
300.000 $, control previo de las herramientas de seguimiento y supresión de los datos compartidos
32 M€
Motivo
Amazon vigilaba al personal de sus almacenes a través de sus escáneres, elaboraba indicadores de productividad detallados y los conservaba demasiado tiempo. Además, no informaba debidamente a los trabajadores temporales de ello ni de la videovigilancia.
Resultado
Multa de 32 M€; reducida a 15 M€ por el Conseil d'État el 23 de diciembre de 2025
10 M€
Motivo
Uber no informaba a los conductores europeos de cuánto tiempo conservaba sus datos ni a qué países de fuera de la UE se enviaban. También les ponía trabas innecesarias para solicitar sus datos.
Resultado
Multa de 10 M€
5,47 M€
Motivo
La empresa de recobro trató sin base jurídica datos de personas que no eran deudoras, así como datos de salud. Grabó sin base jurídica las llamadas de unas 49.850 personas, y una seguridad deficiente permitió que se sustrajeran datos de 181.641 personas.
Resultado
Multa de 5,47 M€, la mayor de Croacia; EOS Matrix dijo que la impugnaría
10 M€
Motivo
Se abrieron contratos de energía a nombre de personas sin que lo supieran, con datos de contacto erróneos o desactualizados, después de que Axpo obtuviera datos de clientes de agentes comerciales sin los controles adecuados.
Resultado
Multa de 10 M€
345 M€
Motivo
Deficiencias en el tratamiento de los datos y las cuentas de menores.
Resultado
Multa de 345 M€
- Acuerdo
Advocate Aurora Health
Federal court, Wisconsin (class action), Wisconsin, Otras leyes de privacidad
12,225 MUS$
Motivo
El sistema sanitario usaba Meta Pixel y Google Analytics en su sitio web, su portal de pacientes y su app de citas, lo que reveló datos de unos 2,5 millones de pacientes.
Resultado
Acuerdo colectivo de 12.225.000 $
- Acuerdo
Boston Globe Media Partners (Ambrose v. Boston Globe)
D. Massachusetts (class action), Estados Unidos, VPPA
4 MUS$
Motivo
Los suscriptores alegaban que el píxel de Facebook en las páginas de vídeo del Globe enviaba a Facebook sus datos de visionado de vídeos. Bloomberg Law lo calificó como el primer caso de privacidad relacionado con el Meta Pixel.
Resultado
Fondo de acuerdo de 4 M$; el tribunal redujo los honorarios de abogados solicitados de unos 1,7 M$ a 750.000 $
75.000 US$
Motivo
La empresa de pruebas genéticas dejaba informes de ADN y de salud en almacenamiento en la nube público, engañaba a los usuarios sobre la supresión y modificó su política de privacidad con efecto retroactivo para ampliar la cesión de datos.
Resultado
75.000 $ para reembolsos, destrucción de las muestras de ADN y consentimiento obligatorio para compartir datos
40 M€
Motivo
Se recogían datos de navegación mediante cookies en sitios asociados sin comprobar que esos socios hubieran obtenido un consentimiento válido.
Resultado
Multa de 40 M€, confirmada por el Conseil d'État francés en marzo de 2026
58 MSEK
Motivo
Cuando las personas pedían sus datos, Spotify se los entregaba, pero no explicaba con claridad cómo los usaba. Los datos técnicos no se explicaban de forma comprensible.
Resultado
Multa de 58 millones de SEK
20 MUS$
Motivo
Microsoft recogía datos de menores al registrarse en Xbox sin avisar a los padres ni obtener su consentimiento, y los conservaba más tiempo del permitido.
Resultado
Sanción civil de 20 M$
25 MUS$
Motivo
Amazon conservaba de forma indefinida las grabaciones de voz de Alexa y los datos de ubicación de menores, no atendía las solicitudes de supresión y usaba los datos para mejorar sus algoritmos.
Resultado
Sanción civil de 25 M$ y obligaciones de supresión
5,8 MUS$
Motivo
Ring permitía a empleados y contratistas ver vídeos privados de los clientes y carecía de medidas de seguridad básicas, por lo que unos hackers se hicieron con unas 55.000 cuentas.
Resultado
5,8 M$ para reembolsos y un programa de privacidad y seguridad
1200 M€
Motivo
Se transfirieron datos de usuarios de Facebook a EE. UU. sin una protección adecuada. Es la mayor multa del RGPD hasta ahora.
Resultado
Multa de 1200 M€ y orden de detener las transferencias
100.000 US$
Motivo
Mediante SDK, la app de ovulación compartía datos de salud sensibles con AppsFlyer, Google y dos empresas con sede en China, y nunca informó a los usuarios.
Resultado
Sanción de 100.000 $ por la Health Breach Notification Rule (más 100.000 $ para CT, DC y OR) y prohibición de compartir datos con fines publicitarios
380.000 €
Motivo
El sitio web de salud recogía datos de cuestionarios de salud sin consentimiento específico y los conservaba demasiado tiempo. Instalaba una cookie publicitaria al llegar y otras dos incluso después de pulsar 'Refuse all'.
Resultado
380.000 € en total (280.000 € por el RGPD + 100.000 € por las cookies)
2,265 M€
Motivo
La agencia de recobro indicaba una base jurídica errónea en su política de privacidad y no tenía contrato de encargo del tratamiento para un servicio de seguimiento de concursos. Una seguridad insuficiente expuso datos de al menos 132.652 personas.
Resultado
Multa de 2,265 M€, la mayor de la AZOP en ese momento
12,7 MGBP
Motivo
TikTok permitió que un gran número de menores de 13 años del Reino Unido usaran la app sin consentimiento parental e hizo muy poco para detectarlos y eliminarlos. Tampoco explicaba con claridad cómo usaba los datos de las personas.
Resultado
Multa de 12,7 M£; TikTok retiró sus recursos en septiembre de 2026 y la aceptó
7,8 MUS$
Motivo
La FTC afirmó que BetterHelp compartía direcciones de correo, direcciones IP y respuestas a cuestionarios de salud con Facebook, Snapchat, Criteo y Pinterest con fines publicitarios.
Resultado
7,8 M$ para reembolsos a consumidores y prohibición de compartir datos de salud con fines publicitarios
1,5 MUS$
Motivo
GoodRx compartía los medicamentos y las enfermedades de los usuarios con Facebook, Google y Criteo y los usaba para segmentar anuncios, pese a haber prometido no hacerlo.
Resultado
Sanción de 1,5 M$ (primer caso de la Health Breach Notification Rule) y prohibición de compartir datos de salud con fines publicitarios
390 M€
Motivo
Meta se basaba en su contrato con los usuarios (las condiciones del servicio) como base jurídica para la publicidad comportamental, algo que la DPC declaró no válido.
Resultado
Multa de 390 M€ (210 M€ a Facebook y 180 M€ a Instagram) y orden de cumplir en un plazo de tres meses
3 M€
Motivo
El editor de juegos para móvil leía el identificador IDFV de Apple en los iPhone con fines publicitarios sin consentimiento, incluso después de que los usuarios rechazaran el seguimiento.
Resultado
Multa de 3 M€; confirmada por el Conseil d'État el 14 de mayo de 2024
5 M€
Motivo
tiktok.com ofrecía 'accept all' con un solo clic, pero ninguna forma igual de fácil de rechazar las cookies; el botón 'refuse all' no llegó hasta febrero de 2022. No se explicaba con suficiente claridad a los visitantes para qué servían las cookies.
Resultado
Multa de 5 M€
8 M€
Motivo
Con iOS 14.6, Apple leía identificadores del iPhone para mostrar anuncios personalizados en la App Store sin preguntar antes; la segmentación de anuncios estaba activada por defecto y desactivarla exigía varios pasos.
Resultado
Multa de 8 M€; Apple dijo que recurriría
520 MUS$
Motivo
La FTC afirmó que Epic recogía datos de menores sin consentimiento parental, activaba por defecto el chat de voz y de texto y usaba patrones oscuros que provocaban compras no deseadas.
Resultado
Sanción COPPA de 275 M$ más 245 M$ en reembolsos a consumidores (520 M$ en total)
60 M€
Motivo
bing.com instalaba cookies, incluidas cookies publicitarias, y no permitía rechazarlas con la misma facilidad que aceptarlas.
Resultado
Multa de 60 M€ más una orden de corrección
- Acuerdo
Google (location tracking)
40 US state attorneys general, Estados Unidos, Leyes estatales de EE. UU.
391,5 MUS$
Motivo
Los estados afirmaron que Google engañó a los usuarios desde 2014 sobre el seguimiento de la ubicación: seguía recogiendo datos a través de ajustes como Web & App Activity después de desactivar Location History.
Resultado
Acuerdo de 391,5 M$, el mayor acuerdo multiestatal sobre privacidad de la historia de EE. UU. en ese momento
4,3 M€
Motivo
Para el Censo de 2021, el INE usó Cloudflare en condiciones que permitían transferir datos a EE. UU. y a otros países, sin garantías adecuadas. Otros incumplimientos afectaron a los deberes de información, a las normas sobre encargados del tratamiento y a la falta de una EIPD.
Resultado
Multa de 4,3 M€, la mayor de Portugal; el INE recurrió en enero de 2023 y no se ha encontrado una resolución definitiva
20 M€
Motivo
Clearview extrajo miles de millones de fotos de internet, incluidas de personas en Francia, para reconocimiento facial sin base jurídica. No atendió debidamente las solicitudes de acceso y supresión.
Resultado
Multa de 20 M€ y orden de suprimir los datos; en 2023, una multa coercitiva adicional de 5,2 M€ por no cumplir
- Acuerdo
Google (Google Photos, Rivera v. Google)
Circuit Court of Cook County, Illinois (class action), Illinois, BIPA de Illinois
100 MUS$
Motivo
Residentes de Illinois alegaron que la función de agrupación de caras de Google Photos creaba plantillas faciales a partir de sus fotos sin el aviso y el consentimiento por escrito que exige la BIPA.
Resultado
Acuerdo de 100 M$ con aprobación definitiva el 28 de septiembre de 2022
405 M€
Motivo
Los datos de contacto de menores se hicieron públicos a través de cuentas de empresa y de perfiles públicos por defecto.
Resultado
Multa de 405 M€
69,2 mil MKRW
Motivo
Google no informaba con claridad a los usuarios de que recogía su comportamiento en otros servicios para anuncios personalizados, y configuró el consentimiento con 'agree' por defecto.
Resultado
Multa de 69.200 millones de KRW y orden correctora
30,8 mil MKRW
Motivo
Meta recogía y usaba el comportamiento de los usuarios en otros sitios web y apps para anuncios personalizados sin obtener un consentimiento válido en el registro.
Resultado
Multa de 30.800 millones de KRW y orden correctora
1,2 MUS$
Motivo
Se vendían datos a través de rastreadores de terceros sin informar a los clientes, y se ignoraban las señales de Global Privacy Control.
Resultado
Acuerdo de 1,2 M$
35 MUS$
Motivo
Usuarios de Illinois alegaron que los Lenses y Filters de Snapchat escaneaban y almacenaban la geometría de su cara sin la información y el consentimiento por escrito que exige la BIPA. Snap negó las acusaciones.
Resultado
Acuerdo colectivo de 35 M$ para los usuarios de Illinois desde noviembre de 2015; vista de aprobación definitiva fijada para noviembre de 2022
92 MUS$
Motivo
Los demandantes alegaron que TikTok recogía huellas faciales sin consentimiento, en contra de la BIPA, y revelaba datos de visionado, en contra de la VPPA.
Resultado
Acuerdo de 92 M$ con aprobación definitiva
8026 MCNY
Motivo
Didi recogió ilegalmente datos de clientes desde 2015, incluidos datos de reconocimiento facial y fotos del teléfono, sin consentimiento. También almacenaba de forma insegura datos de 57 millones de conductores.
Resultado
Multa de 8026 millones de CNY en virtud de la PIPL y de las leyes de ciberseguridad y de seguridad de los datos
20 M€
Motivo
Clearview recogía imágenes faciales de personas en Grecia de sitios web públicos y redes sociales para crear perfiles biométricos consultables, sin base jurídica ni transparencia.
Resultado
Multa de 20 M€
220.000 €
Motivo
La aseguradora de salud envió a una persona 51 correos con autorizaciones médicas y resultados de pruebas de otras personas entre abril de 2020 y marzo de 2021, e ignoró sus avisos. No notificó la brecha.
Resultado
220.000 € propuestos (100.000 € por el art. 5.1.f más 60.000 € por cada una de otras dos infracciones); DKV pagó 132.000 € tras las reducciones por pago voluntario y reconocimiento de responsabilidad (PS/00080/2022)
Motivo
La app rastreaba la ubicación de los usuarios cada pocos minutos, incluso cerrada, después de decirles que solo recogía la ubicación mientras se usaba.
Resultado
Se declararon infracciones; Tim Hortons aceptó suprimir los datos y crear un programa de privacidad (sin multa)
150 MUS$
Motivo
Twitter recogió números de teléfono y correos de más de 140 millones de usuarios para la seguridad de las cuentas y luego los usó para anuncios segmentados, en violación de una orden de la FTC de 2011.
Resultado
Sanción civil de 150 M$
7,553 MGBP
Motivo
Clearview creó una base de datos de reconocimiento facial con más de 20.000 millones de imágenes extraídas de internet, incluidas de personas en el Reino Unido, sin informarlas ni tener una base legal.
Resultado
Multa de 7.552.800 £ y orden de suprimir los datos del Reino Unido; anulada por falta de competencia por el First-tier Tribunal en 2023, pero el Upper Tribunal revocó esa decisión en octubre de 2025 y devolvió el caso
10 M€
Motivo
Google cedió sin base jurídica los datos personales de quienes pedían retirar contenidos al proyecto Lumen de Harvard, que publica esas solicitudes. Además, dificultaba que las personas consiguieran suprimir sus datos.
Resultado
Multa de 10 M€
17 M€
Motivo
Tras 12 brechas de datos en 2018, Meta no pudo demostrar que tuviera medidas adecuadas para proteger los datos de los usuarios de la UE.
Resultado
Multa de 17 M€
1,5 MUS$
Motivo
Una app para perder peso dirigida a niños de incluso ocho años recogía sus datos sin consentimiento parental. Su registro permitía a los niños declarar que tenían más de 13 años.
Resultado
Sanción de 1,5 M$ y supresión de los datos y de los algoritmos
20 M€
Motivo
Clearview realizaba búsquedas faciales biométricas en imágenes extraídas de internet, incluidas de personas en Italia, sin base jurídica ni transparencia.
Resultado
Multa de 20 M€
250.000 €
Motivo
El Transparency & Consent Framework del sector publicitario no tenía una base jurídica válida para tratar la TC String y daba a los usuarios información vaga. No garantizaba que se respetaran las elecciones de los usuarios.
Resultado
Multa de 250.000 €; órdenes de corregir el TCF, incluida la prohibición de basarse en el interés legítimo; el plan de acción se aprobó después, pero quedó suspendido a la espera del recurso
8 M€
Motivo
La DSB constató infracciones del RGPD vinculadas al programa de fidelización jö Bonus Club, después de una multa de 2 M€ en 2021 al propio club por no informar a unos 2 millones de clientes de cómo se usarían sus datos.
Resultado
No era firme cuando se anunció; REWE dijo que la impugnaría. No se ha encontrado resolución judicial.
1,25 M€
Motivo
El ayuntamiento compartió con terceros, entre ellos la embajada rusa, datos personales de organizadores de protestas, en 225 infracciones entre 2018 y 2021.
Resultado
Reducida por los tribunales porque algunas infracciones habían prescrito; en agosto de 2025, el Tribunal Central Administrativo Sur la dejó en unos 738.000 € por 65 infracciones. Cabe un nuevo recurso.
150 M€
Motivo
google.fr y youtube.com permitían aceptar todas las cookies con un clic, pero rechazarlas exigía varios clics.
Resultado
150 M€ en total (90 M€ a Google LLC + 60 M€ a Google Ireland) más una orden de corrección
60 M€
Motivo
facebook.com permitía aceptar las cookies con un clic, pero rechazarlas exigía varios clics, y no se explicaba con claridad a los usuarios cómo rechazarlas.
Resultado
Multa de 60 M€ a Facebook Ireland más una orden de corrección
65 MNOK
Motivo
Grindr compartía con socios publicitarios, sin consentimiento válido, la ubicación GPS de los usuarios, sus identificadores publicitarios y otros datos que revelaban que usaban una app de citas gay. Los usuarios tenían que aceptar toda la política de privacidad para usar la app.
Resultado
Multa de 65 millones de NOK; confirmada por la Junta de Apelación de Privacidad, el Tribunal de Distrito de Oslo y, finalmente, el Tribunal de Apelación el 21 de octubre de 2025
1,95 MTRY
Motivo
La KVKK concluyó que la actualización de privacidad de WhatsApp de 2021 no explicaba con claridad cómo y por qué se tratarían los datos de los usuarios, y les obligaba a aceptar el contrato en bloque en lugar de dar su consentimiento libremente.
Resultado
Multa de 1,95 millones de TRY (unos 197.000 €) y orden de adaptar su política de privacidad a la legislación turca
225 M€
Motivo
WhatsApp no explicaba con claridad a usuarios y no usuarios cómo trataba sus datos, incluido cómo los compartía con otras empresas de Facebook.
Resultado
Multa de 225 M€, un apercibimiento y una orden de cumplimiento; aumentada tras una decisión vinculante del CEPD
746 M€
Motivo
Se usaban datos personales para segmentar anuncios sin una base jurídica válida.
Resultado
Multa de 746 M€, confirmada en 2025 pero anulada por el tribunal administrativo superior de Luxemburgo en marzo de 2026 y devuelta a la CNPD
650 MUS$
Motivo
Facebook usaba el reconocimiento facial para recoger y almacenar identificadores biométricos de usuarios de Illinois sin el consentimiento por escrito que exige la BIPA.
Resultado
Acuerdo de 650 M$ con aprobación definitiva del juez Donato
60.000 GBP
Motivo
La marca de moda envió 1.746.632 mensajes de marketing directo entre junio de 2019 y junio de 2020 sin consentimiento válido; algunos ofrecían una mascarilla gratis por descargar su app. Su proceso de pago no ofrecía una forma sencilla de rechazar el marketing, por lo que no se aplicaba el soft opt-in.
Resultado
Multa de 60.000 £ por la PECR
10.000 GBP
Motivo
La tienda online de pegatinas envió 491.995 correos comerciales entre agosto de 2019 y abril de 2020 sin consentimiento, muchos de ellos anunciando mascarillas al principio de la pandemia.
Resultado
Multa de 10.000 £ por la PECR
50.000 €
Motivo
La empresa envía muestras en una 'pink box' a futuros padres. Cedió datos de clientes, incluidos datos de menores, a terceros como intermediarios de datos sin un consentimiento válido, informado y libre. Una mujer que retiró su consentimiento siguió recibiendo llamadas publicitarias.
Resultado
Multa de 50.000 € y orden de adecuar el tratamiento (decisión 04/2021)
Motivo
La app de seguimiento del ciclo menstrual compartía datos de salud, incluido el embarazo, con empresas externas de analítica y marketing pese a prometer privacidad.
Resultado
Orden de consentimiento: revisión independiente, consentimiento antes de compartir y aviso a los usuarios; sin pago económico
10,4 M€
Motivo
El minorista online grabó en vídeo a su personal durante al menos dos años sin base jurídica, en puestos de trabajo, zonas de venta, almacenes y zonas de descanso. Las grabaciones se conservaban a menudo durante 60 días.
Resultado
El LG Hannover la redujo a 700.000 € (6 de mayo de 2024); tras el recurso de la fiscalía, el OLG Celle fijó la multa definitiva en 900.000 € (18 de diciembre de 2025, 3 ORbs 113/25)
6 M€
Motivo
El consentimiento de los clientes no era válido y el banco no podía basarse en el interés legítimo para elaborar perfiles. Tampoco informaba debidamente a los clientes.
Resultado
Multa de 6 M€ (4 M€ por tratamiento ilícito y 2 M€ por falta de información)
100 M€
Motivo
google.fr instalaba cookies publicitarias sin consentimiento previo y no explicaba con claridad a los usuarios para qué servían. Además, una cookie publicitaria seguía activa después de que los usuarios desactivaran la personalización de anuncios.
Resultado
100 M€ en total (60 M€ a Google LLC + 40 M€ a Google Ireland) más una orden de corrección
35 M€
Motivo
amazon.fr instalaba cookies publicitarias en los dispositivos de los visitantes sin consentimiento previo y sin información clara.
Resultado
Multa de 35 M€ a Amazon Europe Core más una orden de corrección
7300 €
Motivo
Una empresa de prospección por correo electrónico con dos empleados enviaba correos comerciales sin prueba de consentimiento previo. Además, conservaba datos innecesarios, informaba mal a las personas, su sistema de baja no funcionaba y su contrato de encargo del tratamiento estaba incompleto.
Resultado
Multa de 7300 €, reducida por tratarse de una empresa muy pequeña, más una orden de cumplir en dos meses o pagar 1000 € al día (SAN-2020-016)
1,969 MPLN
Motivo
Virgin Mobile no probaba con regularidad sus medidas de seguridad, y una filtración expuso los números PESEL y de documento de identidad de unos 114.000 clientes de prepago.
Resultado
La primera decisión se anuló; la UODO volvió a fijar la multa en 1.599.395 PLN, confirmada en 2023 y firme desde que el Tribunal Supremo Administrativo desestimó el recurso el 7 de mayo de 2026
2,25 M€
Motivo
Los sitios web y el programa de fidelización de Carrefour daban información poco clara, conservaban los datos demasiado tiempo, gestionaban mal las solicitudes de ejercicio de derechos e incumplían las normas sobre cookies.
Resultado
Multa de 2,25 M€ a Carrefour France (Carrefour Banque recibió por separado una multa de 800.000 €)
1,25 MGBP
Motivo
Un chatbot de un tercero mal protegido en la página de pago de Ticketmaster sufrió un ataque en 2018 que pudo exponer datos de 9,4 millones de clientes europeos, incluidos datos de tarjetas de pago.
Resultado
Multa de 1,25 M£
12,252 M€
Motivo
Millones de clientes recibieron llamadas de telemarketing sin consentimiento, algunas hechas desde números falsos por socios comerciales.
Resultado
Multa de 12.251.601 €
18,4 MGBP
Motivo
Un ciberataque de 2014 contra Starwood, que Marriott compró después, expuso unos 339 millones de registros de huéspedes y pasó desapercibido hasta 2018. Marriott no había aplicado suficiente diligencia debida ni seguridad.
Resultado
Multa de 18,4 M£
20 MGBP
Motivo
En 2018, unos atacantes desviaron el tráfico del sitio web de BA y obtuvieron los datos de inicio de sesión, de tarjetas de pago y de reservas de unos 400.000 clientes debido a una seguridad deficiente.
Resultado
Multa de 20 M£ (rebajada desde los 183,39 M£ propuestos)
35,259 M€
Motivo
Responsables del centro de servicios de H&M en Núremberg registraban datos de la vida privada del personal, incluidas enfermedades y diagnósticos obtenidos en conversaciones de 'welcome back', y los usaban para elaborar perfiles.
Resultado
Multa de 35.258.708 €
16,7 M€
Motivo
Los clientes recibían SMS, correos y llamadas comerciales sin consentimiento. Una información de privacidad incompleta les dificultaba retirar el consentimiento u oponerse.
Resultado
Multa de 16,7 M€
1,2 MTRY
Motivo
amazon.com.tr trataba datos personales mediante cookies en cuanto llegaban los usuarios, sin aviso ni solicitud de consentimiento. También usaba un consentimiento premarcado para correos comerciales y transfería datos al extranjero sin consentimiento explícito.
Resultado
1,1 millones de TRY (seguridad de los datos) más 100.000 TRY (deber de informar); orden de corregir sus avisos de privacidad, condiciones y cookies
27,8 M€
Motivo
Cientos de reclamaciones mostraron que TIM hacía llamadas comerciales sin consentimiento o a personas que se habían dado de baja. También daba información poco clara en sus apps y agrupaba los consentimientos.
Resultado
Multa de 27,8 M€
9,55 M€
Motivo
El servicio de atención telefónica facilitaba muchos datos de clientes a cualquiera que diera el nombre y la fecha de nacimiento de un cliente, un control demasiado débil según el art. 32 del RGPD.
Resultado
El LG Bonn confirmó la multa en principio, pero la redujo a 900.000 € el 11 de noviembre de 2020
14,5 M€
Motivo
El sistema de archivo del arrendador no podía suprimir datos antiguos de inquilinos, por lo que nóminas, extractos bancarios y datos fiscales y del seguro de salud se conservaron durante años (art. 25.1 y art. 5 del RGPD).
Resultado
El LG Berlin la anuló en 2021. El TJUE resolvió el 5 de diciembre de 2023 (C-807/21) que se puede multar directamente a las empresas, pero solo por infracciones culpables. El 9 de junio de 2026, el LG Berlin I redujo la multa a 900.000 €; aún no es firme.
30.000 €
Motivo
El sitio web de Vueling no ofrecía a los visitantes ninguna forma de rechazar las cookies: tenían que aceptarlas para seguir navegando.
Resultado
Multa de 30.000 € (18.000 € con pago anticipado)
18 M€
Motivo
El servicio postal estimó y vendió, sin consentimiento, las probables preferencias de partido político de 2,2 millones de austriacos.
Resultado
Anulada en 2020 por un defecto formal y fijada de nuevo en 16 M€ tras la sentencia Deutsche Wohnen del TJUE. El Tribunal Supremo Administrativo fijó la multa definitiva en 13 M€ el 24 de junio de 2026 (Ro 2025/04/0007).
2,83 MPLN
Motivo
Un control de acceso y una autenticación débiles, y la falta de reacción ante transferencias de datos inusuales, permitieron a un atacante llevarse en 2018 datos de unos 2,2 millones de clientes de la tienda online.
Resultado
Confirmada en 2020 y anulada por el Tribunal Supremo Administrativo el 9 de febrero de 2023; la UODO volvió a imponer una multa de 3,8 millones de PLN en febrero de 2024, que está recurrida
170 MUS$
Motivo
YouTube recogía cookies de quienes veían canales dirigidos a niños sin consentimiento parental y las usaba para anuncios segmentados.
Resultado
170 M$ (136 M$ para la FTC y 34 M$ para Nueva York); sistema de etiquetado del contenido de los canales
195.407 €
Motivo
La empresa de reparto de comida no suprimía cuentas inactivas desde hacía mucho tiempo, seguía enviando correos comerciales después de que las personas se opusieran y no respondía a las solicitudes de acceso.
Resultado
Firme; anunciada el 19 de septiembre de 2019
5000 MUS$
Motivo
La FTC afirmó que Facebook incumplió su orden de privacidad de 2012 al engañar a los usuarios sobre el control de sus datos, incluido el intercambio de datos de amigos con apps de terceros. Los cargos llegaron tras el escándalo de Cambridge Analytica.
Resultado
Sanción de 5000 M$, la mayor de la historia por una infracción de privacidad en ese momento, más un comité de privacidad en el consejo de administración
1,2 MDKK
Motivo
La empresa de taxis conservaba los números de teléfono y las ubicaciones de casi nueve millones de trayectos durante más tiempo del necesario. La autoridad de protección de datos recomendó 1,2 millones de DKK; en Dinamarca, las multas las fijan los tribunales.
Resultado
El Tribunal de Distrito de Frederiksberg impuso una multa de 100.000 DKK en enero de 2023
5,7 MUS$
Motivo
La app recogía datos personales de usuarios menores de 13 años sin consentimiento parental, aunque sabía que muchos usuarios eran niños.
Resultado
Sanción civil de 5,7 M$ y retirada de los vídeos de menores de 13 años
50 M€
Motivo
Los usuarios de Android que creaban una cuenta de Google recibían información poco clara y dispersa sobre la personalización de anuncios. El consentimiento estaba agrupado y se usaba una casilla premarcada.
Resultado
Multa de 50 M€; confirmada por el Conseil d'État el 19 de junio de 2020
- Multa
IHiS (Integrated Health Information Systems)
Singapore PDPC, Singapur, Otras leyes de privacidad
750.000 SGD
Motivo
Como agencia informática de SingHealth, IHiS no aplicó medidas de seguridad razonables antes del ciberataque de 2018, en el que se copiaron datos de más de 1,5 millones de pacientes.
Resultado
Multa de 750.000 S$
250.000 SGD
Motivo
SingHealth seguía siendo responsable de proteger los historiales de pacientes que externalizó a IHiS. No tenía medidas de seguridad razonables antes de la brecha de 2018.
Resultado
Multa de 250.000 S$
385.000 GBP
Motivo
Fallos de seguridad evitables permitieron a unos atacantes llevarse en 2016 datos de unos 2,7 millones de pasajeros y 82.000 conductores del Reino Unido. Uber pagó a los atacantes y ocultó la brecha durante más de un año.
Resultado
Pagada (Data Protection Act 1998)
20.000 €
Motivo
La plataforma de chat guardaba las contraseñas en texto plano, y unos hackers se llevaron datos de unos 330.000 usuarios en julio de 2018.
Resultado
Primera multa del RGPD en Alemania, de cuantía baja porque Knuddels notificó la brecha por iniciativa propia y cooperó
500.000 GBP
Motivo
Facebook permitió que la app 'This Is Your Digital Life' recogiera datos de hasta 87 millones de usuarios, que acabaron en Cambridge Analytica. Incumplió los principios de transparencia y seguridad de la Data Protection Act 1998.
Resultado
Multa máxima según la ley de 1998. Facebook recurrió y luego aceptó, el 30 de octubre de 2019, pagar sin reconocer responsabilidad, y ambas partes retiraron sus recursos.
4800 €
Motivo
Las cámaras de videovigilancia del local grababan una gran parte de la acera pública sin base jurídica, y la cámara no estaba debidamente señalizada.
Resultado
Primera multa del RGPD en Austria; no era firme cuando se informó y no se confirmó ninguna resolución judicial posterior
- Multa
Lifecycle Marketing (Mother and Baby) Ltd (Emma's Diary)
UK ICO, Reino Unido, Otras leyes de privacidad
140.000 GBP
Motivo
El intermediario de datos vendió a Experian datos de más de un millón de personas, sobre todo madres primerizas, con los que se creó una base de datos que el Partido Laborista usó para sus envíos postales en las elecciones de 2017. Su política de privacidad nunca mencionaba el marketing político.
Resultado
Pagada (Data Protection Act 1998)
400.000 €
Motivo
Unos controles de acceso deficientes permitían al personal no médico abrir los historiales clínicos de los pacientes. Había 985 cuentas de médico activas, pero solo 296 médicos.
Resultado
Tras el recurso del hospital, la multa se unificó en una sola de 380.000 €, que la CNPD condonó el 14 de julio de 2020 alegando la pandemia y el déficit del hospital
77.000 GBP
Motivo
BT envió casi cinco millones de correos comerciales a clientes sin el consentimiento necesario.
Resultado
Pagada
12.000 GBP
Motivo
Royal Mail envió correos a 327.014 personas que ya se habían dado de baja del marketing directo.
Resultado
Pagada
300.000 €
Motivo
WhatsApp cedió datos de usuarios a Facebook sin consentimiento válido. Los usuarios tenían que aceptar las condiciones de 2016 para seguir usando la app.
Resultado
Infracción grave de la ley española de protección de datos anterior al RGPD (LOPD); WhatsApp dijo que recurriría
300.000 €
Motivo
Facebook usaba datos recibidos de WhatsApp para sus propios fines, incluida la publicidad, sin un consentimiento libre, específico e informado.
Resultado
Infracción grave de la LOPD
1,2 M€
Motivo
Facebook usaba datos sensibles como la ideología, la religión y la vida sexual para segmentar anuncios sin consentimiento expreso. Rastreaba a no usuarios y a usuarios sin sesión iniciada mediante cookies y botones de Like sin informarles.
Resultado
1,2 M€ en virtud de la LOPD (PS/00082/2017), la mayor multa de la AEPD en ese momento; Facebook dijo que recurriría
10.500 GBP
Motivo
Morrisons envió correos comerciales a destinatarios sin el consentimiento suficiente.
Resultado
Pagada
150.000 €
Motivo
Facebook rastreaba a las personas, incluidos no usuarios, en otros sitios web con su cookie 'datr' sin información clara, y combinaba datos para segmentar anuncios sin base jurídica. Los usuarios no podían rechazar las cookies de forma efectiva.
Resultado
Multa de 150.000 € a Facebook Inc. y Facebook Ireland
70.000 GBP
Motivo
Flybe envió de forma deliberada más de 3,3 millones de correos a personas que se habían dado de baja de su marketing.
Resultado
Pagada
13.000 GBP
Motivo
Honda envió 289.790 correos para pedir a sus clientes que confirmaran sus preferencias de marketing. Esos correos eran en sí mismos marketing enviado sin consentimiento.
Resultado
Pagada
Las mayores multas del RGPD y de privacidad en la UE
- 1Meta Platforms IrelandIrish DPC, 20231200 M€
- 2UberDutch DPA (AP), 2026824,99 M€
- 3Meta (Facebook Android app)Italian Garante, 2026805 M€
- 4Amazon Europe CoreLuxembourg CNPD, 2021746 M€
- 5TikTokIrish DPC, 2025530 M€
- 6Meta (Instagram)Irish DPC, 2022405 M€
- 7GoogleIrish DPC, 2026403 M€
- 8Meta (Facebook and Instagram)Irish DPC, 2023390 M€
- 9TikTokIrish DPC, 2023345 M€
- 10Google LLC and Google IrelandCNIL, 2025325 M€
Las mayores sanciones de la CCPA y de privacidad en EE. UU.
- 1Meta (Facebook)FTC, 20195000 MUS$
- 2MetaTexas Attorney General, 20241400 MUS$
- 3GoogleTexas Attorney General, 20251375 MUS$
- 4FacebookN.D. California (class action), 2021650 MUS$
- 5Epic Games (Fortnite)FTC, 2022520 MUS$
- 6Google (Web & App Activity)N.D. California (class action), 2025425 MUS$
- 7TikTok and ByteDanceDOJ on behalf of FTC (C.D. California), 2026400 MUS$
- 8Google (location tracking)40 US state attorneys general, 2022391,5 MUS$
- 9Google / YouTubeFTC, 2019170 MUS$
- 10TwitterFTC, 2022150 MUS$
Multas por ley de privacidad
Multas por país
- California37
- Estados Unidos30
- Francia28
- Reino Unido20
- Irlanda12
- Italia9
- España9
- Países Bajos7
- Alemania7
- Corea del Sur6
- Unión Europea4
- Bélgica4
- Illinois4
- Australia3
- Dinamarca3
- Polonia3
- Turquía3
- Portugal3
- Austria3
- India2
- Connecticut2
- Texas2
- Finlandia2
- Croacia2
- Singapur2
- Alabama1
- Oklahoma1
- Luisiana1
- Delaware1
- Colorado1
- Brasil1
- Global1
- Florida1
- Vietnam1
- Chequia1
- Nueva York1
- Wisconsin1
- Suecia1
- China1
- Grecia1
- Canadá1
- Noruega1
- Luxemburgo1
Multas por motivo
Leading Consent Management Platform
Compliant with GDPR, CCPA, COPPA, LGPD, PECR, PDPA, PIPEDA, and more.
Preguntas frecuentes
¿Cuál es la mayor multa del RGPD?
La mayor multa del RGPD es de 1.200 millones de euros, impuesta a Meta Platforms Ireland por la Comisión de Protección de Datos de Irlanda en mayo de 2023 por transferir datos de usuarios de Facebook a EE. UU. sin protección adecuada.
¿Cuál es la mayor multa de la CCPA?
La mayor sanción de la CCPA hasta ahora es el acuerdo de 12,75 millones de dólares de General Motors con el fiscal general de California en mayo de 2026, por vender datos de ubicación y conducción sin avisar. La mayor multa de la agencia de privacidad de California son los 2,975 millones de dólares a FedEx en noviembre de 2026.
¿De cuánto puede ser una multa del RGPD?
Hasta 20 millones de euros o el 4 % de la facturación anual mundial de la empresa, la cifra que sea mayor, para las infracciones más graves.
¿Puede multarse según el RGPD a una empresa de fuera de la UE?
Sí. El RGPD se aplica a empresas de cualquier lugar que ofrezcan bienes o servicios a personas en la UE o controlen su comportamiento, lo que incluye su seguimiento en un sitio web.
¿Cuáles son los motivos más comunes de las multas de privacidad?
En los casos recogidos aquí, los problemas más comunes son cookies y píxeles de seguimiento que se activan antes del consentimiento, exclusiones y señales de Global Privacy Control que no se respetan, y publicidad sin una base jurídica válida.
¿Con qué frecuencia se actualiza este registro?
Añadimos nuevas multas, demandas y plazos a medida que los tratamos en el blog de UniConsent. Cada caso enlaza a su fuente y a nuestro análisis.
Para un análisis de las tendencias detrás de estos casos, lea Aplicación y multas del RGPD 2026 y Privacidad en EE. UU. 2026: leyes estatales, acciones de la FTC y riesgo de demandas colectivas.
Última actualización
Comienza a hacer que tu sitio web y tu aplicación cumplan con el RGPD de la UE, la CPRA de EE. UU., la PIPEDA de Canadá, etc.
RegístrateAdelántese en privacidad y consentimiento
Leyes de privacidad, consentimiento y cumplimiento, unos pocos correos al mes.