En resumen
- Según Corlytics, entre julio y septiembre de 2026 se impusieron 25 multas de 1 millón de dólares o más, por unos 2.000 millones en total.
- Dos sanciones de protección de datos, a Uber (Países Bajos) y a Google (Irlanda), suponen el 71 % del valor del trimestre.
- Las decisiones automatizadas sin intervención humana y los datos de localización son áreas de revisión prioritaria para las empresas.
Las autoridades europeas de protección de datos han impuesto las dos mayores sanciones del tercer trimestre de 2026, contra Uber y Google, según el informe de aplicación normativa de Corlytics, recogido por Fintech Global el 6 de noviembre. Importa porque ambas decisiones apuntan a prácticas muy extendidas: la automatización de decisiones sobre personas y el uso de la localización.
Las cifras del trimestre
Entre julio y septiembre, los reguladores de distintos países emitieron 25 multas de un millón de dólares o más, por unos 2.000 millones en total. Estados Unidos lideró por número de sanciones. El regulador italiano de datos y el supervisor financiero australiano emitieron cinco cada uno. Las infracciones de prevención del blanqueo y de protección de datos concentraron la mayor parte, y solo dos multas de datos suponen el 71 % del valor total.
Uber y Google: qué se sanciona
La Autoridad neerlandesa, la Autoriteit Persoonsgegevens, multó a Uber con unos 955 millones de dólares (825 millones de euros) por infringir el artículo 22 del RGPD, que limita las decisiones basadas únicamente en tratamientos automatizados. Según la información publicada, entre 2018 y 2022 se suspendieron cuentas de conductores sospechosos de fraude o con muchas valoraciones bajas sin revisión humana.
Por su parte, la Data Protection Commission irlandesa impuso a Google una multa de unos 457 millones de dólares (403 millones de euros) tras una investigación de seis años sobre el seguimiento de la localización. El director general de BEUC, Agustín Reyna, recordó que estos datos pueden revelar aspectos muy íntimos, como los lugares de culto o los centros sanitarios que se visitan.
Otras señales relevantes
El regulador italiano, el GPDP, fue el más activo en datos y sancionó a Hera Comm, TIM, BBVA e IQVIA. El caso de Hera Comm trató de un algoritmo defectuoso de solvencia, lo que enlaza con el interés creciente de supervisores financieros por la gobernanza de datos en sistemas de inteligencia artificial. Gaspard Biosse Duplan, de Corlytics, advirtió de una «illusion of controls»: políticas que existen, pero no se vinculan con claridad a los riesgos que deben gestionar.
La mirada de CEA Digital Law
Desde el Comité Euro Americano de Derecho Digital - CEA Digital Law proponemos leer estas multas como una guía de revisión y no solo como una cifra. Tres ideas prácticas:
- Inventariar las decisiones automatizadas que afectan a personas (bloqueos de cuenta, scoring, antifraude) y documentar qué intervención humana real existe, con capacidad efectiva de cambiar el resultado.
- Revisar la localización como categoría de riesgo alto: finalidad, base jurídica, información al usuario y plazos de conservación.
- Trazar cada control hasta un riesgo concreto, de modo que las políticas puedan demostrarse ante una autoridad.
Para América Latina y el Caribe y para África, donde varias leyes recientes de protección de datos incluyen derechos frente a decisiones automatizadas, el caso neerlandés ofrece un ejemplo de cómo puede interpretarse ese tipo de cláusula. Quedan cuestiones abiertas: cómo se definirá la «intervención humana significativa» en plataformas de gran escala y si el control de la localización convergerá entre jurisdicciones. Cooperar en criterios comunes ayudaría a las empresas y, sobre todo, a las personas afectadas.
Fuentes
- Fintech Global: Data regulators land $1.4bn blow as Q3 fines reach $2bn
- Corlytics: Enforcement report Q3 2026
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
