La multa a Google por RGPD ya tiene cifra definitiva: 403 millones de euros. El regulador irlandés de protección de datos, que actúa como autoridad principal de la compañía en Europa, concluye que la empresa almacenaba datos de ubicación e historial de navegación de usuarios europeos al margen de una base legal válida y con un posible uso publicitario.
El DPC irlandés cifra la sanción en 462 millones de dólares al cambio actual. El DPC sostiene que esos datos alimentaban la publicidad segmentada y que podían influir en las decisiones de los usuarios. Es decir, en el motor comercial que sostiene a la compañía.
Claves de la operación
- 403 millones de euros, la mayor sanción del DPC contra Google en 2026. El organismo irlandés ejerce como ventanilla única regulatoria de la compañía en la UE y acumula un historial largo de expedientes sobre su tratamiento de datos.
- El negocio publicitario queda señalado por la propia resolución. El supervisor apunta a que la información almacenada podía destinarse a segmentación comercial, la base sobre la que Alphabet construye su facturación europea.
- La multa llega tras un julio adverso en los tribunales europeos. El TJUE ratificó la violación de posición dominante en el caso antimonopolio y Bruselas impuso una sanción cercana a 1.000 millones por incumplir la DMA.
Google encadena sanciones europeas en un mismo ejercicio
Detrás del calendario hay un patrón. En julio de 2026, el TJUE ratificó el abuso de posición dominante de Google al favorecer sus propios servicios, con una penalización asociada de 4.670 millones de dólares. Ese mismo mes, la Comisión Europea le impuso una multa cercana a 1.000 millones por presunta vulneración de la Ley de Mercados Digitales.
Ahora se suma el expediente del DPC. La cifra es inferior a las dos anteriores, pero la señal regulatoria pesa más que el importe de la multa. Cada resolución refuerza el mismo relato: el supervisor europeo ha dejado de tratar a Google como un actor tecnológico al que corregir y empieza a tratarlo como un operador al que contener.
El DPC no es nuevo en este terreno. La autoridad irlandesa actúa como árbitro de facto de la privacidad europea porque casi todas las grandes plataformas estadounidenses tienen su sede continental en Dublín. Ese papel le ha valido críticas constantes por lentitud y por la magnitud de sus sanciones, que el Parlamento Europeo y varias autoridades nacionales consideran insuficientes frente al tamaño de las compañías supervisadas.
El dato de ubicación, la materia prima del negocio publicitario
La ubicación y el historial de navegación no son datos menores. La ubicación es la materia prima de la publicidad segmentada, la partida que aporta la mayor parte de los ingresos de Alphabet. Si el DPC concluye que su tratamiento carecía de base legal, la pregunta abierta es cuánta de esa maquinaria comercial depende de información recogida con un consentimiento discutible.
La sanción no se mide por los 403 millones, sino por lo que el regulador ha dejado por escrito sobre cómo se monetiza la ubicación del usuario europeo.
El Reglamento General de Protección de Datos exige que todo tratamiento de datos personales se apoye en una base jurídica explícita: consentimiento, interés legítimo, ejecución de contrato, o cumplimiento de una obligación legal. En el caso de los datos de localización, el consentimiento informado es la base más frágil del sistema, porque el usuario rara vez entiende qué acepta ni durante cuánto tiempo.
El mecanismo de ventanilla única concentra en Dublín la supervisión de las tecnológicas con sede europea en Irlanda. La arquitectura ha sido cuestionada por varias autoridades nacionales, que la consideran lenta y diluida. La AEPD reclama más competencias sobre las grandes tecnológicas cuyo centro de decisión europeo queda fuera de su jurisdicción.
Lo que esta multa pone a prueba en el modelo de Google
La sanción irlandesa encaja en un patrón conocido de la historia regulatoria europea: multas con cifras elevadas que, en la práctica, representan una fracción mínima de la facturación de la compañía sancionada. Alphabet ingresa decenas de miles de millones cada trimestre. 403 millones es un golpe contable menor para Alphabet. El problema real es la acumulación y el efecto sobre el diseño de producto.
Aquí el frente abierto no es solo económico. Cada expediente obliga a Google a revisar cómo recoge el consentimiento, cómo presenta los avisos y cuánto tiempo conserva los datos. Ese rediseño tiene coste operativo y, sobre todo, tensiona la eficacia de la publicidad personalizada, la ventaja que le ha permitido sostener cuota frente a Meta, Amazon y TikTok en el mercado publicitario digital europeo.
Para el tejido empresarial español, la resolución tiene una lectura práctica. Las agencias y los anunciantes que compran inventario a través de las plataformas de Google operan en un entorno donde el consentimiento del usuario europeo se ha convertido en un activo regulatorio. Si el DPC endurece los criterios, los costes de captación de las pymes españolas pueden subir y la eficacia de las campañas segmentadas se resiente. No es un debate abstracto sobre privacidad: es una variable de coste.
La incógnita es si el DPC y la Comisión Europea coordinarán sus próximos movimientos o si cada regulador seguirá actuando por su cuenta. Quedan tres frentes regulatorios abiertos y ninguno cerrado: antimonopolio, DMA y RGPD. La próxima cita relevante será la evaluación del cumplimiento de la sanción por la DMA, previsiblemente en los próximos meses, cuando Bruselas revise si Google ha introducido cambios reales en sus prácticas.
