RGPD · Art. 83 · 2026
La Multa del 4% del RGPD: Cuándo se Aplica de Verdad
El 4% de la facturación global anual (Art. 83.5 RGPD) es el techo legal para las infracciones más graves — no la sanción habitual. Explicamos cuándo se aplica el 4% frente al 2%, cómo se calcula la base y qué muestran los casos reales.
Respuesta directa
El RGPD (Reglamento UE 2016/679, Art. 83) establece dos techos: 2% o 10M€ para infracciones formales (Art. 83.4 — registro de tratamientos, notificación de brechas) y 4% o 20M€ para infracciones graves (Art. 83.5 — base legal, derechos de los interesados, transferencias internacionales). En ambos casos se aplica el importe mayor entre el porcentaje y la cifra fija. En la práctica, la AEPD y el resto de autoridades europeas casi nunca imponen el techo pleno: ponderan diez factores del Art. 83.2 y en España la mayoría de sanciones a pymes van de 2.000€ a 300.000€.
2% / 10M€
infracciones Art. 83.4
4% / 20M€
infracciones Art. 83.5
10 factores
de ponderación (Art. 83.2)
Fuente: Reglamento (UE) 2016/679, Art. 83 · sentencia TJUE Deutsche Wohnen C-807/21 (dic. 2023)
Preguntas frecuentes
¿Es verdad que el RGPD siempre multa con el 4% de la facturación?
No. Es el mito más repetido del RGPD. El Art. 83 establece dos techos distintos según la gravedad de la infracción: hasta 10 millones de euros o el 2% de la facturación anual global del ejercicio anterior (lo que sea mayor) para infracciones "menos graves" (Art. 83.4 — por ejemplo, no tener un registro de actividades de tratamiento, no notificar una brecha en plazo, o no nombrar un DPO cuando es obligatorio); y hasta 20 millones de euros o el 4% de la facturación anual global (lo que sea mayor) para infracciones "graves" (Art. 83.5 — vulnerar los principios básicos del tratamiento, tratar sin base legal, ignorar los derechos de los interesados o transferir datos fuera de la UE sin garantías). En la práctica, la inmensa mayoría de sanciones a pymes en España se mueven en cifras de miles de euros, no en porcentajes de facturación — el 4% es el techo legal, no la sanción habitual.
¿Qué infracciones activan el techo del 4% y no el del 2%?
El Art. 83.5 RGPD lista taxativamente qué cae en el grupo grave (techo del 4% / 20M€): (a) vulnerar los principios de tratamiento del Art. 5 (licitud, lealtad, transparencia, minimización, exactitud); (b) los derechos de los interesados del Art. 12 al 22 (acceso, rectificación, supresión, oposición); (c) las transferencias internacionales de datos sin garantías adecuadas (Art. 44-49); (d) cualquier obligación derivada de una ley de un Estado miembro adoptada bajo el Capítulo IX; y (e) el incumplimiento de una orden o limitación temporal impuesta por la autoridad de control. Todo lo demás — deberes formales y organizativos como el registro de actividades, la evaluación de impacto o la notificación de brechas — cae en el Art. 83.4, con techo del 2% / 10M€.
¿Sobre qué facturación se calcula el 4%: la de la empresa o la del grupo?
Sobre la facturación del "undertaking" (empresa) en el sentido del derecho de la competencia de la UE, no solo de la filial infractora. El Tribunal de Justicia de la UE confirmó en la sentencia Deutsche Wohnen (C-807/21, diciembre 2023) que cuando la empresa infractora forma parte de un grupo, la base de cálculo puede ser la facturación consolidada de todo el grupo empresarial, no solo la de la filial que cometió la infracción. Esto es clave: una filial pequeña con una matriz multinacional puede enfrentarse a una sanción calculada sobre la facturación global del grupo, no sobre sus propios ingresos.
¿Cuáles son las multas más altas que se han impuesto realmente con el 4%?
Los casos que más se acercan al techo del 4% son excepcionales y afectan a grandes tecnológicas: Meta/Facebook Irlanda recibió 1.200 millones de euros en mayo de 2023 por transferencias internacionales de datos a EEUU sin garantías adecuadas (Art. 83.5, infracción grave) — la sanción más alta en la historia del RGPD, impuesta por la autoridad irlandesa (DPC) tras decisión vinculante del Comité Europeo de Protección de Datos. Amazon Europa recibió 746 millones de euros en 2021 (Luxemburgo) por su sistema de publicidad basado en consentimiento inválido. TikTok recibió 345 millones de euros en 2023 (Irlanda) por el tratamiento de datos de menores. Estas cifras equivalen a un porcentaje bajo de la facturación de esas empresas — ninguna llegó realmente al 4% pleno, porque la autoridad pondera gravedad, duración, número de afectados y cooperación, no aplica el techo automáticamente.
¿Qué multas RGPD se han impuesto en España y de qué magnitud son?
La Agencia Española de Protección de Datos (AEPD) impone la mayoría de sus sanciones en el rango de 2.000€ a 300.000€, muy lejos del techo del 4%. Ejemplos reales publicados en su resolución: multas a comunidades de propietarios y administradores de fincas por instalar cámaras de videovigilancia sin cartel informativo o grabando zonas comunes de vecinos sin base legal (sanciones típicas de 2.000€-6.000€); multas a pymes por enviar comunicaciones comerciales sin consentimiento válido (2.000€-10.000€); y sanciones más elevadas a empresas de telecomunicaciones y banca por brechas de seguridad con miles de afectados (decenas o cientos de miles de euros). La AEPD pública sus resoluciones en su sede electrónica — la norma en España es la multa proporcionada al daño causado, no el porcentaje máximo.
¿Por qué casi nunca se aplica el 4% completo en la práctica?
El Art. 83.1 RGPD obliga a que toda sanción sea "efectiva, proporcionada y disuasoria" — no un castigo automático al techo legal. El Art. 83.2 obliga a la autoridad de control a ponderar diez factores concretos antes de fijar el importe: naturaleza, gravedad y duración de la infracción; carácter intencionado o negligente; medidas adoptadas para mitigar el daño; grado de cooperación con la autoridad; categorías de datos afectados; forma en que la autoridad tuvo conocimiento de la infracción; cumplimiento previo de órdenes; adhesión a códigos de conducta; y cualquier otro factor agravante o atenuante, incluidos beneficios financieros obtenidos. El 4% es el límite superior legal para los casos más graves y masivos — no el punto de partida del cálculo.
¿El 4% se calcula sobre la facturación en España o en todo el mundo?
Sobre la facturación anual global del ejercicio financiero anterior, tal y como indica literalmente el Art. 83.4 y 83.5 RGPD ("hasta el 4% del volumen de negocio total anual global del ejercicio financiero anterior"). No importa si la infracción ocurrió solo en España o afectó solo a residentes españoles: la base de cálculo es la facturación mundial de la empresa (o del grupo, según Deutsche Wohnen). Esto es deliberado — el legislador europeo quiso que la sanción fuera disuasoria en relación con el tamaño real de la empresa, no solo con su actividad local.
¿Cómo puede una comunidad de propietarios o un despacho de administración de fincas evitar caer en el 4%?
En la práctica, ninguna comunidad de propietarios ha recibido una sanción cercana al 4% — ese techo está pensado para grandes tratamientos masivos de datos, no para la gestión ordinaria de una comunidad. El riesgo real para un despacho de fincas está en el Art. 83.4 (2% / 10M€, pero en la práctica multas de 2.000€-10.000€): no informar a los propietarios sobre el tratamiento de sus datos, videovigilancia sin cartel o grabando más allá de lo necesario, compartir listados de morosos sin base legal, o no tener un contrato de encargado de tratamiento con el proveedor de software. Un RAG bien configurado que solo consulta los estatutos y documentos que la comunidad ha subido — sin exponer datos personales de propietarios individuales fuera de su ámbito de acceso — reduce este riesgo por diseño.
Aviso legal: este contenido es informativo y no constituye asesoramiento jurídico. Para valorar el riesgo de sanción de un caso concreto, consulta con un abogado especializado en protección de datos o con el delegado de protección de datos (DPO) de tu organización. Fuente oficial: Reglamento (UE) 2016/679, Art. 83.
Reduce el riesgo RGPD de tu despacho o comunidad
IgeraFincas responde consultas de propietarios sobre estatutos y documentos propios, sin exponer datos personales fuera de su ámbito de acceso. Demo en vivo de 15 minutos.
Ver cómo funciona →