N.º 13 | Octubre de 2026, semana 2

La autoridad italiana de protección de datos multa a IQVIA con 7 millones de euros

Jurisdicción

Italia

Nombre legal del infractor

IQVIA Solutions Italy Srl

Domicilio del infractor

Italia

Presunta infracción

Falta de protección de datos sanitarios

Medida de aplicación

Multa de 7 millones de euros

Estado del caso

Medida administrativa

La autoridad italiana de protección de datos, Garante, ha multado a IQVIA Solutions Italy Srl, una empresa que ofrece servicios de información, análisis y consultoría sanitaria, con 7 millones de euros por el tratamiento de datos sanitarios pertenecientes a aproximadamente un millón de pacientes.

La empresa, que trabaja con datos sanitarios e investigación clínica, creó una base de datos utilizando información de 800 médicos de familia para estudios financiados por empresas farmacéuticas. Según el supervisor, la información no era anónima. Los códigos de paciente permitían rastrear a las personas a lo largo del tiempo, y detalles como la edad, el sexo, los diagnósticos, los medicamentos, los exámenes, las vacunas y la ubicación también podían utilizarse para identificar a los pacientes.

El regulador también constató que IQVIA procesaba datos de salud sin una base legal adecuada y no explicaba claramente cómo se utilizaban dichos datos. La empresa tampoco había establecido plazos de conservación claros, con algunos datos que databan de 2001.

Otros problemas incluyeron la falta de una evaluación de impacto requerida y medidas de seguridad insuficientes. La base de datos también contenía nombres, códigos fiscales, direcciones y datos de contacto de más de 3.300 pacientes, de los cuales más de 3.000 estaban vinculados a información sanitaria.

Se concedió a la empresa un plazo de 120 días para adaptar sus prácticas de tratamiento de datos a la normativa si desea continuar operando. De lo contrario, los datos deberán ser anonimizados de manera independiente por los médicos bajo las salvaguardias establecidas por el regulador.

En otra resolución, el Garante ha multado a la empresa de seguridad La Patria, con sede en Bolonia, con 39 000 € por infracciones del RGPD relacionadas con los datos de los empleados. El caso se inició a raíz de una queja de un ex empleado después de que la empresa se negara a facilitar los datos de GPS de su vehículo corporativo, que él quería utilizar en un conflicto disciplinario. La autoridad determinó que la empresa no había respondido adecuadamente a su solicitud de acceso y no había informado debidamente a los empleados sobre el tratamiento de los datos de GPS. Asimismo, detectó inexactitudes en los avisos de privacidad de la empresa.

Asimismo, el Instituto Nacional de Investigación Metrológica (NRIM) de Turín fue multado con 10 000 € por utilizar ilegalmente su sistema de videovigilancia. El Instituto había acordado con los sindicatos dónde se podían instalar las cámaras, pero posteriormente añadió ocho cámaras y modificó su ubicación sin informar a los empleados. Las cámaras se activaban durante el horario laboral, lo que dio lugar a la recogida ilícita de datos personales de empleados y visitantes.

Rumanía multa a una empresa alimentaria por datos biométricos

Jurisdicción

Rumanía

Nombre legal del infractor

TIP TOP FOOD INDUSTRY

Domicilio del infractor

Rumanía

Presunta infracción

Tratamiento ilícito de datos biométricos

Medida de aplicación

Multa de 5 000 €

Estado del caso

Medida administrativa

La Autoridad Nacional de Supervisión del Tratamiento de Datos Personales de Rumanía (ANSPDCP) ha multado a TIP TOP FOOD INDUSTRY con 26.236 RON (aproximadamente 5.000 €) por tratar ilegalmente los datos biométricos de sus empleados. La sanción se produce tras la denuncia de una persona sobre el uso que hace la empresa de las huellas dactilares de los empleados para el control de acceso y el registro de la jornada laboral.

Según la ANSPDCP, la empresa trató los datos biométricos de sus empleados sin una base jurídica válida, infringiendo el artículo 9 del Reglamento General de Protección de Datos (RGPD) de la UE. La autoridad también constató una infracción del artículo 5, apartado 1, letra c), que establece el principio de minimización de datos.

Además de la multa, la ANSPDCP ordenó a TIP TOP FOOD INDUSTRY que sustituyera su sistema de control de acceso y registro de horarios basado en huellas dactilares por una solución alternativa que pudiera utilizarse para los mismos fines sin tratar datos biométricos.

Por otra parte, la autoridad ha impuesto una multa a GLOBAL CUSTOMER CARE SERVICES S.R.L., operador de centros de atención telefónica, de 26.294 RON (5.000 €) tras un ataque cibernético que provocó el acceso no autorizado a datos personales, incluida la información de empleados y ex empleados. Se determinó que la empresa carecía de las medidas de seguridad adecuadas exigidas por el RGPD y se le ordenó mejorar su seguridad informática mediante la implementación de sistemas de supervisión y registro de accesos, así como la retención de registros de actividad durante al menos 30 días.

El grupo escolar Zuid-Kempen se enfrenta a una multa de 1 000 € en virtud del RGPD

Jurisdicción

Bélgica

Nombre legal del infractor

OZCS

Domicilio del infractor

Bélgica

Presunta infracción

Incumplimiento de los principios del GDPR

Medida de aplicación

Multa de 1.000 euros

Estado del caso

Medida administrativa

Un grupo escolar belga podría enfrentarse a una multa de 1.000 € por incumplimiento del RGPD después de que un asesor del Tribunal de Justicia de la Unión Europea afirmara que las escuelas privadas financiadas por el gobierno no están exentas de dichas sanciones.

El caso se inició en 2019, cuando un padre presentó una queja después de que la escuela de su hijo enviara a los alumnos una encuesta en línea sobre su bienestar sin informar previamente a los padres. Afirmó que la escuela no había obtenido el consentimiento, había recopilado más datos de los necesarios y no había explicado adecuadamente cómo se utilizarían los datos.

Posteriormente, la Autoridad de Protección de Datos de Bélgica detectó cuatro infracciones del RGPD e impuso inicialmente una multa de 2.000 € a Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW, conocida como OZCS. La multa se redujo posteriormente a 1.000 €.

OZCS alegó que la legislación belga protege a las autoridades públicas de las multas por infracción de la normativa de protección de datos. Afirmó que, dado que sus centros educativos reciben financiación pública y prestan un servicio público, deberían recibir la misma protección. Sin embargo, el Abogado General Manuel Campos Sánchez-Bordona discrepó en un dictamen emitido el 10 de septiembre de 2026. Sostuvo que la norma belga no puede impedir una multa contra una organización gestionada por el sector privado simplemente porque imparta educación subvencionada por fondos públicos.

El litigio ha transitado varias veces por los tribunales belgas. Finalmente, el Tribunal de Casación de Bélgica pidió al Tribunal de Justicia de la UE en Luxemburgo que aclarara la legislación. El caso C-458/25 trata sobre si las organizaciones privadas que realizan actividades de interés público pueden ser multadas bajo el GDPR. La opinión del Abogado General no es una sentencia final. El Tribunal de Justicia adoptará la decisión definitiva.

Croacia multa a un operador de juegos de azar con 2,59 millones de euros por infracciones del RGPD

Jurisdicción

Croacia

Nombre legal del infractor

Operador de juegos de azar anónimo

Domicilio del infractor

Croacia

Presunta infracción

Tratamiento ilícito de datos biométricos

Medida de aplicación

Multa de 2,59 millones de euros

Estado del caso

Medida administrativa

La autoridad de protección de datos de Croacia ha multado a un operador de apuestas sin identificar con 2,59 millones de euros por múltiples infracciones del Reglamento General de Protección de Datos (RGPD), incluido el tratamiento ilícito de datos biométricos y la falta de obtención de un consentimiento válido.

La investigación determinó que el operador ofrecía a los jugadores la opción de identificarse mediante un chip RFID o huellas dactilares, además de la identificación por DNI. Aunque el operador afirmó que recopilaba dos huellas dactilares, las autoridades constataron que se recopilaban y utilizaban cuatro huellas dactilares para la identificación biométrica.

La autoridad dictaminó que la recopilación de cuatro huellas dactilares era excesiva para el propósito de identificar a los jugadores. El operador argumentó que las huellas adicionales eran necesarias como respaldo en caso de daño en la piel de un jugador, pero la autoridad determinó que no había probado por qué era necesario dicho volumen de datos biométricos.

La autoridad también determinó que el consentimiento para el tratamiento de datos biométricos no era válido. Los formularios de consentimiento combinaban distintos fines de tratamiento, impidiendo que los jugadores pudieran tomar decisiones separadas sobre el tratamiento biométrico opcional.

Además, los documentos de registro proporcionaban información incompleta e inconsistente sobre las finalidades y las bases jurídicas del tratamiento de datos personales. La autoridad señaló que no se había facilitado a los jugadores información suficientemente clara sobre cómo se utilizaban sus datos, incluidas las huellas dactilares.

La DNSC rumana impone la primera multa bajo las normas de notificación de NIS2

Jurisdicción

Rumanía

Nombre legal del infractor

Institución anónima del Gobierno central

Domicilio del infractor

Rumanía

Presunta infracción

Incumplimiento de los requisitos de la NIS2

Medida de aplicación

Multa de 9.350 €

Estado del caso

Medida administrativa

La Dirección Nacional de Ciberseguridad de Rumanía (DNSC) ha multado a una institución de la administración pública central con 50 000 lei (unos 9 350 €) por incumplir el plazo de notificación establecido en el marco de ciberseguridad NIS2 del país.

La sanción se emitió el 29 de septiembre de 2026. DNSC no reveló el nombre de la institución.

Según la DNSC, la institución no cumplió con el requisito de notificación establecido en el artículo 18, apartado 2, de la Ordenanza de Emergencia del Gobierno n.º 155/2024. Dicha disposición exige que las entidades incluidas en el ámbito de aplicación de la legislación notifiquen a la DNSC su inscripción como entidades esenciales o importantes.

El incumplimiento constituye una infracción al amparo del artículo 60(1)(o) de la misma ordenanza. La DNSC afirmó que se trataba de la primera sanción que imponía por el incumplimiento de esta obligación de notificación.