Cuando pensamos en multas de protección de datos, imaginamos a Meta pagando miles de millones. Pero la realidad europea tiene historias mucho más cercanas a tu día a día: vecinos multados por sus cámaras, empresas sancionadas por un Excel sin protección, personas naturales penalizadas por stalking digital.
La Ley 21.719 de Chile está modelada directamente sobre el RGPD europeo. Mismos principios, misma lógica, multas proporcionales. Lo que pasó en Europa va a pasar aquí. Estas son las historias más insólitas — y lo que significan para tu negocio.
El policía que buscó a su futura esposa en la base de datos
Un oficial de policía en Estonia usó la base de datos policial para buscar información personal sobre la mujer con la que estaba empezando a salir. No fue un hackeo ni una operación sofisticada — solo curiosidad personal usando el acceso que tenía por su cargo.
¿La multa? Solo €48. Pero el caso sentó un precedente importante: el acceso no autorizado a datos personales cuenta como infracción aunque no hagas nada "malo" con la información. El solo hecho de mirar datos sin justificación legítima es una violación.
H&M: espionaje de pasillo convertido en perfiles de empleados
La cadena de ropa H&M llevaba años haciendo algo que muchas empresas podrían considerar "inofensivo": tras las vacaciones o ausencias por enfermedad, los supervisores tenían conversaciones informales con los empleados y anotaban detalles personales — problemas de salud, situaciones familiares, creencias religiosas, diagnósticos médicos.
Toda esta información se almacenaba en un drive compartido. Un día, un error técnico hizo que el drive fuera accesible para todos los empleados durante unas horas. La prensa se enteró, la autoridad investigó, y descubrieron años de perfiles secretos basados en chismes de pasillo. Resultado: €35,3 millones de multa.
La teleco que llamó 155 veces al mismo cliente en un mes
La empresa de telecomunicaciones italiana TIM realizó millones de llamadas de marketing sin consentimiento. Pero lo que hizo famoso el caso fue un detalle específico: una persona recibió 155 llamadas comerciales en un solo mes. A pesar de haber solicitado repetidamente que dejaran de contactarla.
La autoridad italiana determinó que TIM no tenía medidas técnicas ni organizativas adecuadas para gestionar el consentimiento de los usuarios. No bastaba con tener una política escrita — necesitaban sistemas que efectivamente respetaran las preferencias de cada persona.
El vecino multado por su cámara de seguridad
Un ciudadano español instaló cámaras de seguridad en su casa. Hasta ahí, todo legal. El problema: las cámaras grababan parte de la vereda pública y la propiedad del vecino. Al grabar espacios públicos, el ciudadano se convirtió automáticamente en un "responsable del tratamiento" bajo la ley — con todas las obligaciones que eso implica.
No solo fue multado por grabar donde no debía, sino también por no informar a las personas de que estaban siendo grabadas. Sin cartel, sin aviso, sin nada.
El hospital donde 985 personas podían ver tu historial médico
El Hospital Barreiro Montijo, cerca de Lisboa, tenía 985 cuentas de usuario con perfil de "médico" en su sistema — pero solo empleaba a 296 médicos. Técnicos, administrativos y personal sin justificación clínica tenían el mismo nivel de acceso a los historiales médicos de los pacientes.
No hubo una "filtración" en el sentido clásico. El problema fue sistémico: falta de control de accesos basado en roles. Si todos pueden ver todo, nadie está protegiendo nada.
Amazon: vigilar a los trabajadores segundo a segundo
Amazon France Logistique implementó un sistema de escáneres que registraba con exactitud la velocidad de trabajo de cada empleado de bodega: tiempo entre cada ítem escaneado, pausas, inactividad. Un nivel de vigilancia tan granular que la CNIL lo consideró una monitorización intrusiva y desproporcionada.
El argumento de Amazon fue la eficiencia operacional. Pero la autoridad francesa determinó que el impacto en la privacidad de los empleados era desproporcionado respecto al beneficio legítimo del empleador.
La tienda que infirió enfermedades a partir de las compras
La tienda por catálogo Easylife usaba el historial de compras de sus clientes para inferir condiciones médicas. Si alguien compraba ciertos productos, Easylife asumía que tenía una condición de salud específica y le enviaba marketing de productos relacionados. Sin consentimiento. Sin informar. Sin base legal para tratar datos de salud.
Además, realizaron más de 1,3 millones de llamadas de marketing predatorias. El ICO consideró que la falta de transparencia y las tácticas agresivas eran infracciones graves.
El colegio que expuso los datos de 35.000 estudiantes
El municipio de Bergen, en Noruega, tenía archivos con las credenciales de acceso de 35.000 estudiantes y empleados almacenados de forma accesible para cualquiera. Un estudiante los descubrió. Sin autenticación multifactor, cualquier persona con las credenciales podía acceder a la plataforma educativa digital, que contenía trabajos escolares y evaluaciones docentes.
Lo peor: la autoridad noruega señaló que el municipio ya había sido advertido previamente — tanto por personas externas como por un denunciante interno — de que necesitaba mejorar su seguridad.
La persona que suplantó a alguien en Tinder con sus fotos
En Irlanda, una persona fue sancionada por tomar fotos de otra persona y usarlas para crear perfiles falsos en Tinder y WhatsApp, haciéndose pasar por ella. No fue una empresa ni una organización — fue un individuo.
El caso demostró que las leyes de protección de datos también aplican entre personas naturales cuando el uso de datos personales va más allá del ámbito doméstico o personal.
¿Qué tienen en común todos estos casos?
Ninguno involucró hackers sofisticados ni conspiraciones corporativas. Fueron errores cotidianos: un empleado curioso, un Excel compartido sin protección, cámaras que graban un poco más de lo debido, llamadas de marketing sin control, falta de permisos diferenciados. Cosas que pasan todos los días en empresas chilenas.
La Ley 21.719 está diseñada con la misma lógica que el RGPD europeo. Los principios son los mismos: licitud, finalidad, proporcionalidad, seguridad, transparencia. Las multas pueden llegar hasta el 4% de los ingresos anuales o 20.000 UTM. Y la nueva Agencia de Protección de Datos Personales tendrá capacidad real de investigar y sancionar.
En Europa, España es el país que más sanciones ha emitido a PYMEs y pequeñas empresas. No son solo las Big Tech. La AEPD española ha multado a restaurantes, tiendas, clínicas dentales y comunidades de vecinos. La ley chilena se inspiró en buena parte en la experiencia española. Toma nota.
La buena noticia
Todos estos casos eran evitables. Con medidas simples: un aviso de privacidad claro, control de accesos basado en roles, una política de retención de datos, un protocolo para responder solicitudes de derechos, y un poco de sentido común. No se necesitan equipos legales gigantes ni presupuestos millonarios.
La Ley 21.719 entra en vigencia en diciembre de 2026. Tienes tiempo para prepararte. Pero si algo enseñan estas historias europeas, es que los que se prepararon a tiempo no aparecen en las listas de multas.