Aplicación del RGPD en 2025: aspectos destacados del informe anual del CEPD

En 2025, la aplicación del RGPD en Europa evolucionó no solo a través de las multas, sino también de la cooperación transfronteriza, los derechos de los interesados y la interacción entre las normas digitales.

Esta evaluación se basa en los datos oficiales del Informe Anual de 2025 del Comité Europeo de Protección de Datos (CEPD), publicado el 9 de abril de 2026. En lugar de una clasificación no verificada de los «siete temas más sancionados», nos centramos en los indicadores concretos de aplicación publicados por el CEPD.

Datos oficiales del CEPD de 2025

Según el Informe Anual de 2025 del CEPD:

En el registro de casos del CEPD se registraron 414 casos transfronterizos.
El mecanismo de ventanilla única del artículo 60 del RGPD dio lugar a 1.299 procedimientos.
De ellos, 572 culminaron en una decisión final.
Durante 2025, las autoridades nacionales de protección de datos impusieron multas por un total aproximado de 1.150 millones de euros.

Estas cifras, por sí solas, no permiten clasificar qué artículos del RGPD fueron más sancionados.

Aplicación transfronteriza del RGPD

En los productos digitales y servicios SaaS presentes en varios países, las investigaciones sobre protección de datos pueden implicar a más de una autoridad nacional.

El sistema de ventanilla única es uno de los principales mecanismos de cooperación entre la autoridad de control principal y las demás autoridades de control interesadas en el tratamiento transfronterizo de datos.

2025 Marco coordinado de aplicación

La acción coordinada del CEPD en 2025 se centró en el derecho de supresión.

Esto demuestra que las empresas necesitan algo más que una política de privacidad: las solicitudes de los interesados también deben poder ejecutarse en los sistemas reales.

¿Pueden ejecutarse técnicamente las solicitudes de supresión?

Al afirmar que los datos de un cliente se han suprimido, debe conocerse su estado en:

CRM,
los sistemas de atención al cliente,
los sistemas de automatización de marketing,
los almacenes de datos,
los sistemas de copias de seguridad

Debe conocerse el estado de los datos en cada uno de estos sistemas.

Intersección de AI y RGPD

A lo largo de 2025, el CEPD trabajó sobre la interacción entre el derecho de protección de datos, la IA y las demás normas digitales europeas.

La empresa no debe evaluar un proyecto de IA únicamente conforme al Reglamento de IA. Si el sistema trata datos personales, también entran en juego las disposiciones del RGPD sobre base jurídica, transparencia, minimización de datos y derechos de los interesados.

Lecciones operativas de la aplicación del RGPD en 2025

La política de privacidad debe coincidir con el funcionamiento real del sistema.
Las solicitudes de los interesados no deben quedar únicamente en manos del equipo jurídico.
Las solicitudes de supresión, acceso y rectificación deben conectarse con los sistemas técnicos correspondientes.
Las corrientes de datos transfronterizas deben ser visibles.
En el inventario de datos deberían incluirse los procesos de IA y de perfilación.
Las pruebas de cumplimiento deben conservarse en un formato auditable.

Una multa no es el único riesgo.

Al evaluar la aplicación del RGPD, no debe atenderse únicamente a la cuantía de las multas.

Otras consecuencias para las empresas incluyen:

Interrupción de la actividad de procesamiento,
la obligación de suprimir los datos,
medidas correctivas,
el impacto en la reputación,
Coste de funcionamiento

Estos aspectos también pueden tener consecuencias importantes.

2025 Lista de verificación de la aplicación del RGPD

¿Pueden ejecutarse las solicitudes de los interesados en los sistemas?
¿Están documentados los flujos transfronterizos de datos?
¿Se ha evaluado el ámbito de aplicación del mecanismo de ventanilla única?
¿Figuran los sistemas de IA en el inventario de datos?
¿Funcionan los procesos de conservación y supresión en los sistemas reales?
¿Se conservan las pruebas de cumplimiento?

El enfoque B10

En los procesos de cumplimiento del RGPD y la KVKK, B10 Digital Agency analiza los requisitos jurídicos junto con los flujos reales de datos, los sistemas SaaS y las operaciones técnicas.

Fuente oficial

Comité Europeo de Protección de Datos – Informe Anual de 2025

Conclusión

Los datos de 2025 sobre la aplicación del RGPD muestran que el cumplimiento no se limita a redactar documentos. La ejecución de los derechos de los interesados en los sistemas reales y la gestión operativa de los datos transfronterizos son elementos esenciales del gobierno de datos empresarial.