Los datos personales ocupan un lugar central en la vida digital, y las reglas que enmarcan su recopilación evolucionan cada año. En 2026, varias decisiones de la CNIL, la entrada en aplicación progresiva de nuevos reglamentos europeos y un aumento de las sanciones redibujan el panorama para los usuarios. Medir la brecha entre los derechos teóricos y su aplicación real permite entender lo que ha cambiado concretamente.
Sanciones CNIL en 2026: montos y motivos comparados
Las multas impuestas por la CNIL en los últimos meses ofrecen una lectura directa de las prioridades de control. Tres decisiones recientes ilustran faltas muy diferentes, pero comparten un punto en común: las sumas en juego aumentan.
| Organismo sancionado | Monto | Motivo principal |
|---|---|---|
| Free Mobile y Free | 42 millones de euros | Medidas de seguridad insuficientes durante una filtración de datos de suscriptores |
| Extia | 300 000 euros | Incumplimiento del derecho a la supresión en el marco del reclutamiento |
| Red social (publicidad dirigida) | No comunicado en detalle | Transmisión de datos a socios sin consentimiento válido |
El caso de Free es particularmente revelador. La sanción no se basa en una negligencia puntual, sino en la naturaleza sensible de los datos bancarios expuestos y el volumen de personas afectadas. Que la filtración haya sido detectada varios meses después de los hechos no ha atenuado la decisión.
Puedes encontrar información en blognetnews.com que detalla las obligaciones de los sitios web en relación con el tratamiento de datos personales.
Derecho a la supresión: una brecha persistente entre la teoría y la práctica
El RGPD otorga a cada persona el derecho a solicitar la eliminación de sus datos. En teoría, un simple correo electrónico es suficiente. En la práctica, la sanción contra Extia muestra que solicitar la supresión no garantiza su implementación.
En el sector del reclutamiento, currículos, cartas de motivación y datos personales siguen almacenados mucho más allá del tiempo necesario. Un candidato no seleccionado puede ignorar que su información sigue circulando en bases internas meses, e incluso años, después de su candidatura.
Lo que puedes hacer concretamente
- Envía tu solicitud de supresión por escrito (correo electrónico o carta) citando el artículo 17 del RGPD, lo que obliga al organismo a responder en un plazo de un mes
- Conserva una copia de tu solicitud y de la respuesta recibida: en caso de silencio o rechazo injustificado, estos elementos constituyen una prueba para presentar a la CNIL
- Revisa regularmente las cuentas creadas en plataformas de reclutamiento o sitios comerciales, y elimina aquellas que ya no utilizas
El problema va más allá del reclutamiento. Cualquier organización que conserve datos más allá de su finalidad inicial se expone a una sanción. La dificultad radica en saber qué empresas aún poseen su información.
Falsas ofertas de asistencia tras una filtración de datos
Un fenómeno documentado por la CNIL en junio de 2026 merece una atención particular. Tras una violación de datos, las víctimas ahora reciben mensajes fraudulentos que ofrecen ayuda para recuperar su información. Estos mensajes utilizan datos reales robados durante la filtración (identidad, dirección, IBAN) para parecer creíbles.
Algunos estafadores llegan a suplantar el número de teléfono de la propia CNIL. La sofisticación de estos intentos hace que la distinción entre un mensaje legítimo y una estafa sea particularmente difícil.
Reflejos de protección ante estas solicitudes
La CNIL nunca contacta directamente a las víctimas para ofrecerles un acompañamiento de pago. Si recibes una llamada o un SMS tras una filtración, no respondas, no hagas clic en ningún enlace y no envíes ningún justificante adicional.
La regla es simple: cualquier solicitud no solicitada después de una violación es sospechosa. En caso de duda, contacta a la CNIL únicamente a través de su sitio oficial.
Consentimiento a los rastreadores y convergencia regulatoria en 2026
La cuestión del consentimiento para cookies y rastreadores sigue siendo un terreno de control activo. La CNIL ha lanzado una consulta sobre la prueba del consentimiento, señal de que las prácticas actuales de muchos sitios no cumplen con los requisitos de conformidad.
Paralelamente, la entrada en aplicación de la Ley de IA europea crea una nueva capa de obligaciones para los tratamientos automatizados. Un sistema de inteligencia artificial que utiliza datos personales debe cumplir simultáneamente con el RGPD y las reglas específicas de la IA. La CNIL ha publicado además fichas prácticas (disponibles en inglés) para guiar a los desarrolladores en esta doble conformidad.
El RGPD ya no funciona en silo. La convergencia con la Ley de IA, la Ley de Datos y el reglamento sobre servicios digitales (DSA) significa que un mismo tratamiento de datos puede estar sujeto a varios textos. Para los usuarios, esto se traduce en derechos potencialmente reforzados, pero también en una complejidad aumentada para identificar al interlocutor competente en caso de problema.
- El DSA impone a las grandes plataformas obligaciones de transparencia sobre sus algoritmos de recomendación, lo que afecta directamente al perfilado publicitario
- La Ley de IA clasifica ciertos sistemas automatizados como “de alto riesgo”, reforzando las obligaciones de documentación y control humano
- La Ley de Datos regula el intercambio de datos entre empresas, con consecuencias sobre la portabilidad de la información personal
La multiplicación de textos no cambia el reflejo básico: verificar a qué consientes, ejercer tus derechos por escrito, y nunca considerar que una inscripción en línea es anodina. Las sanciones recientes muestran que las autoridades pasan de la pedagogía a la represión, incluso contra actores de gran tamaño. La brecha entre el derecho teórico y su aplicación se reduce, pero aún depende de cada persona hacer valer sus derechos activamente.
