N.º 14 | Octubre 2026, semana 3

El regulador irlandés detecta incumplimientos del GDPR en una instalación de Children’s Health Ireland

Jurisdicción

Irlanda

Nombre legal del infractor

Children’s Health Ireland (CHI)

Domicilio del infractor

Irlanda

Presunta infracción

Fracaso en la protección de los datos de los menores

Medida de aplicación

Una amonestación y una orden de completar la evaluación de datos

Estado del caso

Medida administrativa

La Comisión de Protección de Datos de Irlanda (DPC) ha concluido que Children’s Health Ireland (CHI) violó las disposiciones del RGPD sobre la seguridad y la confidencialidad de los historiales médicos infantiles en sus instalaciones del Hospital Universitario de Tallaght.

La decisión, notificada a CHI el 10 de septiembre de 2026, sigue a una investigación iniciada en agosto de 2025 tras denuncias protegidas que generaron preocupaciones sobre la gestión y la seguridad de los registros médicos en papel.

La DPC también tomó conocimiento de que documentos que contenían datos personales sensibles sobre menores se habían desbordado de una papelera confidencial y fueron retirados posteriormente. La papelera estaba situada junto a la puerta del despacho de un médico hospitalario no consultor.

La DPC determinó que CHI violó el Artículo 5(1)(f) y el Artículo 32(1) del GDPR. El Artículo 5(1)(f) exige que los datos personales se mantengan seguros y confidenciales,而 que el Artículo 32 exige a las organizaciones que adopten medidas de seguridad adecuadas para proteger los datos personales.

La DPC amonestó a CHI y le ordenó completar evaluaciones de impacto en la protección de datos sobre el almacenamiento de registros sanitarios y la gestión de residuos confidenciales. CHI también debe implementar plenamente las medidas y procedimientos de seguridad identificados en dichas evaluaciones. Se ha ordenado a CHI que presente las evaluaciones finalizadas a la DPC dentro de las cuatro semanas posteriores a la decisión.

La agencia italiana de protección de datos multa a dos entidades por violaciones de la privacidad

Jurisdicción

Italia

Nombre legal del infractor

Varias entidades

Domicilio del infractor

Italia

Presunta infracción

Violación de las normas del RGPD

Medida de aplicación

Una multa de €8.000; una multa de €4.000

Estado del caso

Medida administrativa

La autoridad italiana de protección de datos, Garante, ha multado a dos entidades por violar las normas del RGPD. En el primer caso, la autoridad ha impuesto una multa de 8 000 € a la Fundación Technopole de Roma por publicar ilegalmente en línea los datos personales de 480 solicitantes de becas.

La investigación comenzó después de que un estudiante presentó una denuncia sobre un archivo de Excel que contenía la clasificación de los solicitantes seleccionados para becas dirigidas a titulados de primer ciclo. El archivo, publicado en el sitio web de la Fundación, incluía información personal sensible, como domicilios, códigos fiscales, dates of birth, direcciones de correo electrónico, datos de documentos de identidad, registros académicos y datos de cuentas bancarias, incluidos los IBAN.

En respuesta a la solicitud de información de la Autoridad, la Fundación afirmó que había eliminado el archivo unas 12 horas después de su publicación. Explicó que el incidente se debió a un malentendido sobre las normas de transparencia administrativa.

El Garante determinó que la Fundación había infringido los principios de licitud y minimización de datos previstos en la legislación de protección de datos y carecía de una base jurídica adecuada para hacer pública la información.

El segundo caso implica al municipio de Arvier, que debe pagar 4.000 € por varias infracciones relacionadas con su sistema de videovigilancia. La investigación se inició tras la denuncia de una ciudadana de que una cámara grababa su vivienda, incluidas las ventanas y los balcones. El organismo de control constató que el sistema carecía de una base jurídica clara, captaba imágenes innecesarias de propiedad privada y proporcionaba información inadecuada al público. También detectó debilidades en la evaluación de impacto de protección de datos del municipio.

Se ha ordenado al ayuntamiento que revise sus cámaras, corrija sus ángulos, proteja los domicilios particulares mediante el enmascaramiento de imágenes cuando sea necesario, aclare los fines de la vigilancia y mejore sus avisos de privacidad y su evaluación de la protección de datos.

La FCC propone multas por valor de más de 10 millones de dólares por reclamaciones fraudulentas relacionadas con el programa Lifeline

Jurisdicción

Estados Unidos

Nombre legal del infractor

AirVoice Wireless y TAG Mobile

Domicilio del infractor

Estados Unidos

Presunta infracción

Fraude electrónico

Medida de aplicación

Multas propuestas de 2,67 millones de dólares y 7,45 millones de dólares, respectivamente

Estado del caso

Medida administrativa

La Comisión Federal de Comunicaciones (FCC) de EE. UU. propone multas por valor de más de 10 millones de dólares contra dos proveedores de telefonía móvil acusados de fraude en relación con un programa federal que ayuda a los hogares con bajos ingresos a pagar el servicio telefónico.

AirVoice Wireless y TAG Mobile, ambas operadas por HTH Communications, con sede en Houston, están acusadas de presentar solicitudes de reembolso duplicadas, realizar certificaciones falsas e infringir la normativa federal.

Al parecer, las empresas presentaron solicitudes por los mismos suscriptores, a veces cambiando sus direcciones para recibir pagos por la misma persona en distintos estados. La agencia también acusó a las empresas de posible fraude telemático y de violaciones de las normas del programa.

La FCC propone una multa de 2,67 millones de dólares contra AirVoice Wireless por 74 reclamos duplicados y tres solicitudes de reembolso indebidas. TAG Mobile se enfrenta a una multa propuesta de 7,45 millones de dólares por 318 reclamos duplicados y tres solicitudes indebidas, junto con otras presuntas infracciones.

Noruega multa a Xandr de Microsoft con 8 millones de euros por datos de usuarios de Grindr

Jurisdicción

Noruega

Nombre legal del infractor

Xandr

Domicilio del infractor

Estados Unidos

Presunta infracción

Compartimiento ilegal de datos personales

Medida de aplicación

Multa de 8 millones de euros

Estado del caso

Medida administrativa

La autoridad noruega de protección de datos (Datatilsynet) ha multado a Xandr, la unidad de tecnología publicitaria de Microsoft, con 92 millones de coronas noruegas (unos 8 millones de euros) por compartir datos personales sensibles de los usuarios de Grindr con miles de anunciantes sin una base jurídica válida.

Los datos, compartidos entre julio de 2018 y abril de 2020, podían revelar la orientación sexual de los usuarios. Se transmitían a través de subastas publicitarias automatizadas, lo que permitía a las empresas dirigir anuncios personalizados a los usuarios sin su conocimiento.

Xandr alegó que asumía que Grindr había obtenido el consentimiento de los usuarios. Sin embargo, la Autoridad Noruega de Protección de Datos rechazó dicha explicación, señalando que las empresas no pueden esquivar su responsabilidad culpando a terceros. Determinó que Xandr compartía responsabilidad legal con Grindr y no había verificado si se había obtenido un consentimiento válido.

El caso se inició en 2020 después de que el Consejo de Consumidores de Noruega presentara una denuncia contra Xandr, conocida en aquel momento como AppNexus.

Grindr fue multada con 65 millones de coronas noruegas (unos 5,7 millones de euros) por las mismas infracciones en 2021. La multa impuesta a Xandr es la mayor jamás impuesta por la autoridad noruega de protección de datos. Xandr dispone de tres semanas para recurrir la decisión.

Finlandia multa a una empresa sanitaria con 33.000 € por el rastreo por cookies

Jurisdicción

Finlandia

Nombre legal del infractor

Mindemo Oy

Domicilio del infractor

Finlandia

Presunta infracción

Infracción de las normas de protección de datos

Medida de aplicación

Una multa de 33 000 €

Estado del caso

Medida administrativa

El Defensor del Pueblo para la Protección de Datos de Finlandia ha multado al proveedor de servicios sanitarios finlandés Mindemo Oy (anteriormente conocido como Heltti Oy) con 33.000 € por no proteger adecuadamente los datos personales de los usuarios mediante las cookies y las herramientas de rastreo de su sitio web.

El servicio de reserva de citas de terapia en línea de la empresa compartía la información de los usuarios con Google, Meta y Microsoft cuando estos aceptaban las cookies; si los visitantes rechazaban las cookies, los datos no se compartían.

La investigación reveló que la información se había transferido a proveedores de servicios de seguimiento durante al menos un año. Los datos incluían detalles de salud, como reservas y confirmaciones de citas, el tipo de terapia seleccionada y el nombre del terapeuta. La información no se había anonimizado ni protegido adecuadamente para evitar que se pudiera vincular a usuarios individuales.

Además de la multa, Mindemo recibió una advertencia por deficiencias en el tratamiento seguro de los datos personales.

La empresa afirmó que había eliminado las herramientas de seguimiento de su sitio web y de su servicio de reserva de citas durante la investigación. También había solicitado a los proveedores de servicios que borraran los datos que habían recopilado.