Multas
Empresas multadas por usar tus datos.
Multas, acuerdos y prohibiciones reales, cada uno con su autoridad, su fecha y el enlace a la resolución o a la noticia. Al lado, una copia guardada en archive.org, para que se pueda comprobar siempre.
49 casos
Meta
7 casos251 M€DPC (Irlanda)2024 · Meta
Las llaves de sesión de 2018: 29 millones de cuentas expuestas
Multa por la brecha que Meta comunicó en septiembre de 2018: un fallo dejó al aire las llaves de sesión de unos 29 millones de cuentas en el mundo, con nombre, correo, teléfono, sexo, lugar de trabajo y las publicaciones y grupos de cada una. La autoridad irlandesa cerró dos investigaciones con 251 millones en total.
DPC (IRLANDA) · 17 DIC 2024
1.400 M$Fiscalía de Texas (EE. UU.)2024 · Meta PlatformsAcuerdo
Reconocimiento facial en fotos sin consentimiento
Texas demandó a Meta en 2022 por aplicar reconocimiento facial a las fotos subidas a Facebook (función 'Tag Suggestions', activada por defecto) sin el consentimiento de los texanos, lo que viola la ley biométrica estatal de 2009. Meta pagará 500 millones el primer año y 225 millones al año de 2025 a 2028. Meta niega haber actuado mal.
Fiscalía de Texas (EE. UU.) · 30 JUL 2024
1.200 M€DPC (Irlanda)2023 · Meta
La mayor multa impuesta bajo el RGPD
Mil doscientos millones de euros a Meta, la dueña de Facebook, Instagram y WhatsApp, por seguir mandando a Estados Unidos los datos de los usuarios europeos sin una protección equivalente a la de aquí. Es la mayor sanción de la historia del reglamento europeo de protección de datos.
DPC (IRLANDA) · 22 MAY 2023
390 M€DPC (Irlanda)2023 · Meta Platforms Ireland (Facebook 210 M€ + Instagram 180 M€)Recurrida
Publicidad personalizada sin base legal válida
La DPC y el EDPB concluyeron que Meta no podía usar el 'contrato' como base legal para la publicidad basada en el comportamiento en Facebook e Instagram. También incumplió la transparencia al no explicar claramente qué base legal usaba. Se le dieron tres meses para adecuar el tratamiento.
DPC (Irlanda) · 4 ENE 2023
405 M€DPC (Irlanda)2022 · Meta Platforms Ireland (Instagram)
Datos de menores tratados sin las protecciones debidas
La DPC concluyó que Instagram vulneró el RGPD al tratar datos de menores, con fallos de transparencia, minimización, privacidad desde el diseño y por defecto y evaluación de impacto (arts. 5, 6, 12, 24, 25 y 35). Además de la multa, emitió una amonestación y ordenó adecuar el tratamiento.
DPC (Irlanda) · 15 SEP 2022
265 M€DPC (Irlanda)2022 · Meta Platforms Ireland (Facebook)
Fallos de diseño que permitieron extraer datos de usuarios
En la investigación sobre la extracción masiva de datos ('data scraping') de Facebook, la DPC halló infracciones de los artículos 25(1) y 25(2) del RGPD (protección de datos desde el diseño y por defecto). Impuso multas por 265 millones, una amonestación y una orden de adecuación.
DPC (Irlanda) · 28 NOV 2022
5.000 M$FTC (EE. UU.)2019 · Facebook (Meta)Acuerdo
Datos de amigos compartidos con apps pese a tus ajustes
Según la FTC, Facebook violó su orden de 2012 al engañar a los usuarios sobre el control de su privacidad: compartió datos de amigos con desarrolladores de apps pese a sus ajustes y usó para publicidad los teléfonos dados para la verificación en dos pasos. Es la mayor sanción de privacidad de la historia de la FTC. Además, impuso nuevas restricciones de gobernanza.
FTC (EE. UU.) · 24 JUL 2019
403 M€DPC (Irlanda)2026 · Google Ireland
Ubicación conservada demasiado tiempo y usada para anuncios
La DPC concluyó que entre mayo de 2018 y febrero de 2020 Google conservó datos de ubicación más tiempo del necesario y los usó para segmentar anuncios: el tratamiento fue ilícito en 'Precisión de la ubicación' y la conservación indebida en 'Actividad en la Web y en Aplicaciones' e 'Historial de ubicaciones'. También halló falta de transparencia en las tres funciones. La investigación de oficio se abrió el 4 de febrero de 2020.
DPC (Irlanda) · 21 SEP 2026
325 M€CNIL (Francia)2025 · Google
Cookies al crear la cuenta, y anuncios entre tus correos
Dos cosas en una sola sanción. Al crear una cuenta de Google era más difícil rechazar las cookies de publicidad que aceptarlas, y no se decía con claridad que aceptarlas era condición para usar el servicio: 74 millones de cuentas. Y a quien tenía activadas las «funciones inteligentes» de Gmail se le colaban anuncios con forma de correo entre sus correos privados, sin pedirle permiso: 53 millones de personas.
CNIL (FRANCIA) · 1 SEP 2025
1.375 M$Fiscalía de Texas (EE. UU.)2025 · GoogleAcuerdo
Ubicación rastreada aunque la hubieras desactivado
Texas acusó a Google de rastrear en secreto la ubicación (incluso con la función desactivada), las búsquedas privadas, la voz y la geometría facial, y de engañar sobre el modo Incógnito, en dos demandas que cubrían tres productos. Google no admitió irregularidades y dijo que se trataba de políticas ya cambiadas.
Fiscalía de Texas (EE. UU.) · 9 MAY 2025
425,7 M$Jurado federal de California (EE. UU.)2025 · Google (Rodriguez et al. v. Google LLC)
Actividad en apps guardada pese a desactivar el seguimiento
El jurado concluyó que Google invadió la privacidad de los usuarios al guardar y usar datos de su actividad en apps de terceros después de que desactivaran el seguimiento ('Actividad en la Web y en Aplicaciones'). Rechazó la defensa de consentimiento de Google, pero no concedió daños punitivos. Es una demanda colectiva privada, no una multa de un regulador, y Google anunció que apelará.
Jurado federal de California (EE. UU.) · 3 SEP 2025
391,5 M$40 fiscales estatales (EE. UU.)2022 · GoogleAcuerdo
Ubicación guardada aunque desactivaras el historial
Los estados acusaron a Google de seguir recopilando datos de ubicación después de que los usuarios desactivaran el historial de ubicación de su cuenta, y de usarlos para publicidad. Además del pago, Google se comprometió a mejorar sus avisos sobre ubicación a partir de 2023.
40 fiscales estatales (EE. UU.) · 14 NOV 2022
150 M€CNIL (Francia)2021 · Google LLC y Google Ireland
Rechazar cookies era más difícil que aceptarlas
En google.fr y youtube.com se podían aceptar todas las cookies con un clic, pero rechazarlas requería varios pasos, en contra de la ley francesa, que exige que rechazar sea tan fácil como aceptar. La CNIL consideró la infracción deliberada. Dio tres meses para corregirla, con una multa de 100.000 euros por cada día de retraso.
CNIL (Francia) · 31 DIC 2021
50 M€CNIL (Francia)2019 · Google LLC
Información de privacidad dispersa y casillas de consentimiento premarcadas
La CNIL halló falta de transparencia: la información esencial (finalidades, plazos de conservación, categorías de datos) estaba dispersa en varios documentos y era demasiado vaga. Además, el consentimiento para la publicidad personalizada no era informado ni específico, y usaba casillas premarcadas.
CNIL (Francia) · 21 ENE 2019
170 M$FTC y Fiscalía de Nueva York (EE. UU.)2019 · Google y YouTubeAcuerdo
Datos de niños usados para anuncios sin permiso parental
Según la FTC, YouTube recogió identificadores persistentes (cookies) de espectadores de canales infantiles sin avisar a los padres ni obtener su consentimiento (COPPA), y los usó para mostrarles anuncios dirigidos. La demanda sostiene que YouTube sabía que muchos canales eran para niños, pero dijo a un anunciante que no tenía usuarios menores de 13 años.
FTC y Fiscalía de Nueva York (EE. UU.) · 4 SEP 2019
Amazon
3 casos25 M$FTC y DOJ (EE. UU.)2023 · Amazon (Alexa)Acuerdo
Grabaciones de voz de niños conservadas durante años
Según la FTC, Amazon violó la COPPA al conservar durante años las grabaciones de voz y los datos de ubicación de niños, y no los borró por completo cuando los padres lo pidieron. Usó esos datos para entrenar su reconocimiento de voz.
FTC y DOJ (EE. UU.) · 31 MAY 2023
5,8 M$FTC (EE. UU.)2023 · Ring (Amazon)Acuerdo
Empleados con acceso a vídeos privados de clientes
La FTC acusó a Ring de permitir que empleados y contratistas accedieran a vídeos privados de clientes, y de tener una seguridad tan débil que unos hackers tomaron el control de algunas cuentas y cámaras. Muchas de las infracciones son anteriores a la compra de Ring por Amazon en 2018. El importe se destina a reembolsos a clientes.
FTC (EE. UU.) · 31 MAY 2023
746 M€CNPD (Luxemburgo)2021 · Amazon Europe CoreFirme
Publicidad por intereses sin base legal ni transparencia
La CNPD concluyó que Amazon trató datos personales para publicidad basada en intereses sin base legal válida y sin transparencia, infringiendo los artículos 6, 12-17 y 21 del RGPD. En 2025 el Tribunal Administrativo de Luxemburgo desestimó el recurso de Amazon, confirmó esas conclusiones y reactivó la multa diaria de 746.000 euros, suspendida durante el recurso. Amazon estudiaba apelar.
CNPD (Luxemburgo) · JUL 2021
Microsoft
2 casos310 M€DPC (Irlanda)2024 · Microsoft
LinkedIn · anuncios personalizados sin un consentimiento válido
La autoridad irlandesa de protección de datos multó a LinkedIn, que es de Microsoft, por analizar el comportamiento de quien tiene un perfil y usarlo para publicidad dirigida sin una base legal válida. Además de la multa, le ordenó poner el tratamiento en regla.
DPC (IRLANDA) · 24 OCT 2024
20 M$FTC y DOJ (EE. UU.)2023 · Microsoft (Xbox)Acuerdo
Datos de niños recogidos antes del permiso de los padres
Según la demanda, Microsoft recogió datos personales, incluidos números de teléfono, de niños que se registraban en Xbox Live antes de avisar a los padres y obtener su consentimiento, y les dio avisos incompletos. También conservó datos de niños que no terminaron de crear la cuenta más tiempo del que permite la COPPA.
FTC y DOJ (EE. UU.) · 12 JUN 2023
Apple
3 casos95 M$Tribunal Federal N.D. CAL.2025 · Apple
Siri · grabaciones sin «Oye Siri»
Acuerdo aprobado judicialmente en Lopez v. Apple: los demandantes alegaban que Siri grababa conversaciones sin activación intencionada y que contratistas humanos las revisaban. Apple pagó sin reconocer irregularidades.
TRIBUNAL FEDERAL N.D. CAL. · 2025
98,6 M€AGCM (Italia)2025 · Apple
La pantalla de privacidad de Apple, multada también en Italia
La autoridad italiana de competencia multó a Apple por abuso de posición dominante con la misma pantalla: quien desarrolla una aplicación tiene que pedir el permiso dos veces para lo mismo, una en el aviso de Apple y otra en el suyo. Apple, en sus propias aplicaciones, no pasa por ahí. La investigación se hizo coordinada con la Comisión Europea y con la autoridad italiana de protección de datos.
AGCM (ITALIA) · DIC 2025
150 M€Autorité DE LA Concurrence (Francia)2025 · Apple
Multada por la forma de aplicar su propio aviso de privacidad
Hay que leerlo con cuidado, porque es al revés de lo que parece: a Apple no la multaron por rastrear, sino por cómo impuso a los demás su ventana «Pedir a la app que no rastree». La autoridad francesa de competencia dijo que el objetivo no es el problema; el problema es que rechazar cuesta un clic y aceptar cuesta dos, que la regla no se aplicaba igual a todos y que Apple no se la aplicaba a sí misma. Multa por abuso de posición dominante entre abril de 2021 y julio de 2023.
AUTORITÉ DE LA CONCURRENCE (FRANCIA) · 31 MAR 2025
TikTok
3 casos153,7 M R$ANPD (Brasil)2026 · TikTok
ByteDance · datos de niños y adolescentes sin base legal
La ANPD, la autoridad brasileña, multó a ByteDance por tratar datos personales de niños y adolescentes sin una base legal adecuada, en las dos formas de entrar a TikTok: con cuenta y sin ella. La decisión ordena además borrar lo recogido de forma irregular y poner por defecto la configuración más restrictiva a los menores de 16 años.
ANPD (BRASIL) · 25 AGO 2026
530 M€DPC (Irlanda)2025 · TikTok Technology Limited
Datos europeos accesibles desde China sin protección equivalente
La DPC concluyó que TikTok permitió el acceso remoto desde China a datos de usuarios europeos sin garantizar una protección equivalente, y que su política de privacidad de 2021 no mencionaba China ni ese acceso. También señaló que TikTok dio información inexacta durante la investigación sobre dónde se almacenaban los datos. Le ordenó suspender las transferencias a China si no se adecuaba en seis meses.
DPC (Irlanda) · 2 MAY 2025
345 M€DPC (Irlanda)2023 · TikTok Technology Limited
Cuentas de menores públicas por defecto
Entre julio y diciembre de 2020, las cuentas de usuarios de 13 a 17 años eran públicas por defecto, la función 'Family Pairing' no verificaba que el adulto vinculado fuera padre o tutor y la información de privacidad era vaga. La DPC también halló patrones oscuros que empujaban a los menores hacia ajustes más invasivos.
DPC (Irlanda) · SEP 2023
IA y reconocimiento facial
6 casos15 M€Garante (Italia)2026 · OpenAIAnulada
ChatGPT · la multa italiana, anulada por un tribunal
El Garante italiano multó a OpenAI en diciembre de 2024 por tratar datos sin una base legal clara, no avisar de la filtración de marzo de 2023 y no comprobar la edad de quien entra. El 18 de marzo de 2026 el Tribunal de Roma la anuló. Conviene leer por qué: no dijo que ChatGPT estuviera bien, dijo que el caso no le tocaba al Garante italiano sino a la autoridad irlandesa, porque OpenAI había puesto allí su sede europea. Cayó por quién juzgaba, no por lo que se juzgaba.
GARANTE (ITALIA), ANULADA POR EL TRIBUNAL DE ROMA · 18 MAR 2026
158.000 €Garante (Italia)2026 · Character.AI
Personajes virtuales, menores entre los usuarios y sin comprobar la edad
El Garante italiano sancionó a Character Technologies, la empresa detrás de Character.AI, un servicio donde cualquiera —también un menor— crea personajes virtuales y conversa con ellos. Encontró información insuficiente a los usuarios, la evaluación de impacto hecha tarde y el representante en la UE nombrado tarde, además de fallos en la protección de menores y en la verificación de la edad. La multa es pequeña; las órdenes no: tiene que hacer funcionar la comprobación de edad, impedir que un menor bloqueado se vuelva a registrar y poner los perfiles de menores en privado por defecto.
GARANTE (ITALIA) · 9 JUL 2026
5 M€Garante (Italia)2025 · Replika
Una IA de compañía, sin base legal y sin comprobar la edad
Replika es un chatbot que hace de amigo o de pareja. El Garante italiano multó a su empresa, Luka Inc., por tratar datos sin una base legal válida, no explicar lo que hacía con ellos y no tener forma de comprobar la edad: para entrar bastaba con un nombre, un correo y el sexo. La autoridad señaló el riesgo para menores.
GARANTE (ITALIA) · 19 MAY 2025
30,5 M€Autoridad DE Datos (Países Bajos)2024 · Clearview AI
Treinta mil millones de rostros recopilados de internet
La autoridad holandesa multó a Clearview AI por construir una base de datos con más de 30.000 millones de fotos de caras extraídas de internet, convertidas en un código biométrico por persona, sin permiso de nadie y sin decírselo a nadie. Además de la multa, hasta cinco millones más de apremio. Y un aviso poco habitual: la autoridad advirtió que usar Clearview es ilegal y que las empresas que lo hagan pueden esperar multa.
AUTORIDAD DE DATOS (PAÍSES BAJOS) · SEP 2024
20 M€CNIL (Francia)2022 · Clearview AI
Rostros recogidos y usados sin base legal
La CNIL concluyó que Clearview recogía y usaba datos biométricos (rostros) de personas en Francia sin base legal, sin atender los derechos de acceso y supresión y sin responder a su requerimiento de noviembre de 2021. Le impuso la multa máxima, más 100.000 euros por día de retraso, y le ordenó dejar de recoger esos datos y borrar los existentes en dos meses.
CNIL (Francia) · 17 OCT 2022
20 M€Garante (Italia)2022 · Clearview AI
Datos biométricos tratados sin base jurídica ni aviso
El Garante concluyó que Clearview trataba datos biométricos y de geolocalización de personas en Italia sin base jurídica adecuada, sin informarles, sin límite de conservación y para fines distintos a los de su publicación. Le ordenó borrar esos datos, le prohibió seguir recogiéndolos y le exigió nombrar un representante en la UE.
Garante (Italia) · 9 MAR 2022
Antivirus
3 casos16,5 M$FTC2024 · Antivirus
Avast · vendía el historial de navegación de sus usuarios
La FTC concluyó que Avast, mientras prometía bloquear el rastreo, vendió a través de su filial Jumpshot datos de navegación detallados y reidentificables a más de 100 terceros entre 2014 y 2020. Tiene prohibido vender datos de navegación con fines publicitarios. Avast discrepa de la caracterización de los hechos.
FTC · 22 FEB 2024
351 M CZKÚOOÚ (Chequia)2024 · Avast Software s.r.o.Anulada
Historial de navegación del antivirus pasado a su filial
La ÚOOÚ concluyó que en 2019 Avast pasó sin base legal a su filial Jumpshot el historial de navegación seudonimizado de unos 100 millones de usuarios de su antivirus y extensiones, mientras les decía que solo compartía datos anónimos para analizar tendencias. El 30-09-2025 el Tribunal Municipal de Praga confirmó las infracciones, pero anuló el importe de la multa y la cifra de unos 100 millones de afectados. Devolvió el caso a la ÚOOÚ para que recalcule la multa.
ÚOOÚ (Chequia) · 16 ABR 2024
ProhibiciónDpto. de Comercio – BIS (EE. UU.)2024 · Kaspersky Lab, Inc.Prohibición
Vetado en EE. UU. por riesgo de seguridad nacional
No es una multa de privacidad, sino una prohibición por seguridad nacional: el BIS prohibió a Kaspersky vender y actualizar antivirus y software de ciberseguridad en EE. UU. (las actualizaciones se permitieron hasta el 29-09-2024). Según el BIS, la empresa está sujeta a la jurisdicción rusa, su acceso administrativo a datos de clientes podría permitir que lleguen a Rusia y podría instalar software malicioso o retener actualizaciones. Además, tres entidades de Kaspersky entraron en la Entity List por cooperar con la inteligencia militar rusa.
Dpto. de Comercio – BIS (EE. UU.) · 20 JUN 2024
Venta de datos
6 casosProhibiciónFTC (EE. UU.)2026 · Datos en ventaProhibición
Kochava · vendía la ubicación exacta de cientos de millones de móviles
La FTC prohíbe a Kochava y a su filial Collective Data Solutions vender, ceder o compartir datos de ubicación sensibles sin permiso expreso. Según la demanda, la ubicación precisa que vendían permitía seguir los movimientos de una persona, incluidas visitas a centros de salud y a lugares de culto. No hay multa: hay prohibición y obligación de dejar que cualquiera pregunte a quién se vendió su ubicación.
FTC (EE. UU.) · 4 MAY 2026
ProhibiciónFTC (EE. UU.)2024 · X-Mode Social / OutlogicProhibición
Ubicación vendida que revelaba visitas a clínicas y templos
La FTC acusó a X-Mode de vender, sin consentimiento informado, datos de ubicación precisos vinculados a IDs publicitarios que permitían rastrear visitas a clínicas, centros de salud reproductiva, templos y refugios para víctimas de violencia. Es la primera orden de la FTC que prohíbe a un broker vender datos de ubicación sensibles y le obliga a borrar los ya recogidos.
FTC (EE. UU.) · 9 ENE 2024
ProhibiciónFTC (EE. UU.)2024 · InMarket MediaProhibición
Ubicación de apps usada para anuncios sin consentimiento
Según la FTC, InMarket usó datos de ubicación de sus apps (CheckPoints, ListEase) y de apps de terceros con su SDK para publicidad, sin informar ni obtener consentimiento, y creó casi 2.000 segmentos de audiencia. Conservaba la geolocalización durante cinco años. La orden le prohíbe vender o licenciar datos de ubicación precisos.
FTC (EE. UU.) · 18 ENE 2024
ProhibiciónFTC (EE. UU.)2024 · Gravy Analytics y VenntelProhibición
Ubicación comprada sin confirmar el consentimiento de los usuarios
La FTC alegó que Gravy compraba datos de ubicación a proveedores que no confirmaban el consentimiento de los usuarios, y que Venntel dependía totalmente de Gravy para esa verificación. Usaron los datos para clasificar a personas por rasgos sensibles como afiliación política, religión o condiciones médicas.
FTC (EE. UU.) · 3 DIC 2024
ProhibiciónFTC (EE. UU.)2024 · MobilewallaProhibición
Datos de subastas publicitarias guardados y ubicación vendida
Según la FTC, Mobilewalla guardaba datos de pujas publicitarias en tiempo real (RTB) que no ganaba, algo prohibido por las plataformas de anuncios, y vendía ubicación sin anonimizar que permitía seguir a personas hasta centros médicos o refugios. También creó geovallas para rastrear a sindicalistas y asistentes a mítines políticos.
FTC (EE. UU.) · 3 DIC 2024
575–700 M$FTC2019 · EquifaxAcuerdo
Fallo sin parchear expuso datos de 147 millones de personas
Equifax no parcheó una vulnerabilidad crítica de la que fue avisada en marzo de 2017, y los atacantes encontraron credenciales de administrador guardadas en texto plano, lo que expuso datos de unos 147 millones de personas. El acuerdo incluye un fondo de 300 millones para consumidores (ampliable en 125 M), 175 millones para los estados y 100 millones de multa del CFPB.
FTC, CFPB y estados (EE. UU.) · 22 JUL 2019
Operadoras
2 casos42 M€CNIL (Francia)2026 · Free
Free y Free Mobile · 24 millones de contratos expuestos, con IBAN
27 millones a Free Mobile y 15 a Free. Un atacante entró en octubre de 2024 y accedió a datos de 24 millones de contratos de abonados; de quienes eran clientes de las dos empresas, también al IBAN. La CNIL señaló autenticación débil en el acceso remoto, detección insuficiente, conservación de datos de contratos ya terminados y un aviso a los afectados que no explicaba las consecuencias. Más de 2.500 denuncias.
CNIL (FRANCIA) · 13 ENE 2026
~200 M$FCC (EE. UU.)2024 · AT&T, Verizon, T-Mobile y Sprint
Ubicación de clientes vendida a revendedores de datos
Las cuatro operadoras vendieron acceso a la ubicación de sus clientes a agregadores que la revendían, y dejaron en manos de terceros la obligación de obtener el consentimiento, que muchas veces no se obtuvo. Siguieron vendiéndola después de saber que sus salvaguardas fallaban; los datos llegaron, por ejemplo, a un sheriff de Misuri a través de Securus. El total se reparte entre AT&T (más de 57 M), Verizon (unos 47 M), T-Mobile (más de 80 M) y Sprint (más de 12 M).
FCC (EE. UU.) · 29 ABR 2024
Tiendas
1 caso150 M€CNIL (Francia)2025 · SHEIN
Rastreadores antes de cualquier elección y un «rechazar» que no funcionaba
La CNIL sancionó a la filial irlandesa de SHEIN porque la web dejaba rastreadores, varios de publicidad, nada más entrar: antes de que la persona tocara el aviso de cookies. Y cuando pulsaba «Rechazar todo» o retiraba el consentimiento, se depositaban rastreadores nuevos y los que ya estaban seguían leyéndose. Unos 12 millones de visitas al mes desde Francia.
CNIL (FRANCIA) · 1 SEP 2025
Otras empresas
5 casos825 M€AP (Países Bajos)2026 · UberRecurrida
Cuentas de conductores desactivadas sin intervención humana
Según la AP, entre 2018 y 2022 el software de Uber desactivaba automáticamente las cuentas de los conductores, de forma temporal por sospecha de fraude o permanente por malas valoraciones, sin intervención humana. Esto vulnera la prohibición del RGPD de decisiones totalmente automatizadas, y además Uber no informó lo suficiente a los conductores; es la segunda multa RGPD más alta de la historia. Uber anunció que recurrirá.
AP (Países Bajos) · 21 AGO 2026
290 M€AP (Países Bajos)2024 · Uber Technologies / Uber B.V.Recurrida
Datos de conductores enviados a EE. UU. sin garantías
La AP concluyó que Uber envió datos sensibles de conductores europeos a EE. UU. entre agosto de 2021 y noviembre de 2023 sin garantías adecuadas, en violación del artículo 44 del RGPD. Uber trataba sus filiales de EE. UU. y Países Bajos como corresponsables, pero la AP rechazó ese argumento. Uber sigue impugnando la multa.
AP (Países Bajos) · 22 JUL 2024
150 M$FTC y DOJ (EE. UU.)2022 · Twitter (hoy X)Acuerdo
Teléfonos y emails de seguridad usados para publicidad
Entre 2013 y 2019 Twitter usó para publicidad dirigida los emails y teléfonos que más de 140 millones de usuarios habían dado para la verificación en dos pasos y la recuperación de la cuenta. La FTC consideró que así violaba su orden de 2011 y los acuerdos Privacy Shield con la UE y Suiza.
FTC y DOJ (EE. UU.) · MAY 2022
18,4 M£ICO (Reino Unido)2020 · Marriott InternationalFirme
Datos de huéspedes expuestos en un ciberataque no detectado
La ICO multó a Marriott por no proteger los datos de millones de clientes en un ciberataque a Starwood que empezó en 2014 y pasó inadvertido hasta septiembre de 2018. Se expusieron unos 339 millones de registros de huéspedes, 7 millones de ellos de personas del Reino Unido. Marriott no recurrió, sin admitir responsabilidad.
ICO (Reino Unido) · 30 OCT 2020
20 M£ICO (Reino Unido)2020 · British Airways
Brecha de datos que afectó a más de 400.000 clientes
La ICO multó a British Airways por una brecha de datos de junio de 2018 que afectó a más de 400.000 clientes. La multa propuesta al principio era de 183,39 millones de libras (alrededor del 1,5 % de su facturación global).
ICO (Reino Unido) · 16 OCT 2020
Los importes no se suman: son de países, monedas y momentos distintos.
Importes en la moneda de la resolución original. Un acuerdo o «settlement» no implica reconocimiento de culpa: Apple y Avast negaron las acusaciones. Los incluimos porque el patrón —promesa de privacidad, realidad distinta— es justo lo que GUARDIANA quiere evitar: cada servicio explica qué datos ve y cuáles no. Los expedientes se muestran en español; cada enlace lleva al documento original.
Fuentes
Todo dato de esta web que no sea una lectura de tu propio navegador, una maqueta marcada como tal o una medición propia publicada en Radiografías procede de una de estas fuentes. Consultadas en septiembre de 2026.
- The Verge — National Public Data reconoce la brecha de 2.900 M de registros (16 ago 2024)
- Citizen Lab — CatalanGate: Pegasus y Candiru contra 65 personas en España (18 abr 2022)
- FBI + CISA — Declaración conjunta sobre la intrusión china en operadoras de EE. UU. (13 nov 2024)
- Reuters — Google destruirá datos de navegación en incógnito para cerrar la demanda (1 abr 2024)
- GeekWire — T-Mobile: acuerdo de 350 M$ por la brecha de 76 M de personas (22 jul 2022)
- Journal of IT Teaching Cases — El caso Vastaamo (2024)
- OAIC — Acción sancionadora contra Medibank por 9,7 M de australianos (5 jun 2024)
- elDiario.es — La AEPD multa a LaLiga con 250.000 € por el micrófono de su app (11 jun 2019)
- INCIBE — La AEPD multa a Vodafone con 8,15 M€ (mar 2021)
- The New York Times — ToTok, la app de mensajería usada como herramienta de espionaje (22 dic 2019)
- Google Security Blog — Certificados no autorizados de CNNIC/MCS Holdings (23 mar 2015)
- Apple Newsroom — Apple demanda a NSO Group (23 nov 2021)
- FTC — Google y YouTube pagarán 170 M$ por la privacidad de menores (4 sep 2019)
- DPC Irlanda — Decisión sobre WhatsApp: 225 M€ (2 sep 2021)
- Autoriteit Persoonsgegevens — 290 M€ a Uber por transferencias de datos de conductores (26 ago 2024)
- OCC — 80 M$ a Capital One por la brecha de 2019 (6 ago 2020)
- FTC — Avast: prohibición de vender datos de navegación y 16,5 M$ (22 feb 2024)
- TechRadar — 8 PB de datos acumulados por Jumpshot (2024)
- Dpto. de Comercio de EE. UU. — Determinación final contra Kaspersky (20 jun 2024), vía National Law Review
- Microsoft — Incidente CrowdStrike: 8,5 M de dispositivos (20 jul 2024)
- Dpto. de Comercio de EE. UU. — NSO Group añadido a la Entity List (3 nov 2021)
- The Guardian — PRISM (6 jun 2013)
- DPC Irlanda — 1.200 M€ a Meta (22 may 2023), vía Hunton
- DPC Irlanda — 390 M€ a Meta por publicidad personalizada (4 ene 2023)
- FTC — 5.000 M$ a Facebook (24 jul 2019)
- Fiscalía General de Nueva Jersey — 391,5 M$ de Google por rastreo de ubicación (14 nov 2022)
- CNIL — 50 M€ a Google (21 ene 2019)
- Comisión Europea — 4.340 M€ a Google por Android (18 jul 2018)
- Courthouse News — Aprobación del acuerdo de 95 M$ en Lopez v. Apple (2025)
- Comisión Europea — 1.800 M€ a Apple por música en streaming (4 mar 2024)
- FTC — Ring 5,8 M$ y Alexa 25 M$ (31 may 2023)
- BDO — Contexto: 746 M€ a Amazon (2021)
- DPC Irlanda — 310 M€ a LinkedIn (24 oct 2024)
- DPC Irlanda — 345 M€ a TikTok (15 sep 2023)
- FTC — 150 M$ a X, entonces Twitter (25 may 2022)
- FTC — 520 M$ a Epic Games (19 dic 2022)
- Autoriteit Persoonsgegevens — 30,5 M€ a Clearview AI (3 sep 2024)
- FTC — Acuerdo Equifax (22 jul 2019)
- FTC — Acuerdo ampliado con Uber (12 abr 2018)
- SEC — 35 M$ a Altaba/Yahoo (24 abr 2018)
- Hunton — La ICO multa a Marriott con 18,4 M£ (30 oct 2020)
- CNBC — La ICO multa a British Airways con 20 M£ (16 oct 2020)
- IBM — Cost of a Data Breach Report 2025
- Help Net Security — Resumen del informe IBM 2025