Reworld Media ya pagó una multa por conservar datos de clientes más tiempo del permitido. Tres años después, enfrenta otra propuesta de sanción por lo mismo

El 22 de octubre, en una audiencia en París, una autoridad de protección de datos propuso una multa de 600,000 euros contra Reworld Media, uno de los grupos editoriales más grandes de Francia, por violaciones ligadas a cómo el grupo conserva la información de sus suscriptores en sus bases de datos. No es la primera vez que este tipo de señalamiento recae sobre la misma empresa: en 2023, la CNIL —la autoridad francesa de protección de datos— ya había multado a Doctissimo, el sitio de salud propiedad de Reworld Media, por conservar datos de más de 15 millones de contratos cancelados desde hacía más de cinco años.

Lo que pasó en 2023, y por qué importa para leer lo de ahora

La sanción de 2023 contra Doctissimo no fue un hallazgo menor. La CNIL determinó que el sitio mantenía en sus sistemas información de más de 15 millones de contratos que habían sido cancelados por sus titulares cinco años antes o más —muy por encima de cualquier plazo de conservación razonable bajo el Reglamento General de Protección de Datos—. La multa total fue de 380,000 euros: 280,000 euros específicamente por la gestión indebida de esos datos, y 100,000 euros adicionales por una infracción relacionada con cookies. El caso se originó en una denuncia de la organización Privacy International, no de una auditoría espontánea de la autoridad, lo que sugiere que el problema no era evidente para la propia empresa hasta que alguien externo lo señaló.

Lo que se sabe de la nueva propuesta de sanción

La información disponible sobre la audiencia de octubre de 2026 es, hasta ahora, más limitada que la del caso de 2023 —el reporte de MLex describe una propuesta de multa de 600,000 euros por "diversas violaciones de protección de datos" ligadas a la conservación de información de suscriptores, sin especificar todavía qué duración de conservación se consideró excesiva ni si involucra a la misma base de datos de Doctissimo o a otra marca del grupo—. Lo que sí es verificable, con la información pública disponible, es el patrón: una propuesta de sanción más alta que la de 2023, por el mismo tipo de infracción —retención de datos de clientes más allá de lo permitido—, contra la misma empresa matriz, apenas tres años después.

Por qué la retención de datos es, en el fondo, un problema de gobernanza de datos como negocio

Conservar datos de clientes más tiempo del necesario no es, casi nunca, una decisión explícita de ningún ejecutivo: es, con mucha más frecuencia, el resultado de no haber diseñado desde el inicio una política de retención con fecha de caducidad automática, y de no haber auditado después si esa política —si existe— se está cumpliendo en la práctica a través de todas las bases de datos que una empresa acumula, muchas veces heredadas de sistemas antiguos o de adquisiciones sucesivas. Para un grupo editorial como Reworld Media, que ha crecido comprando marcas digitales distintas —Doctissimo entre ellas, adquirida en 2017—, cada adquisición trae consigo su propia arquitectura de datos, sus propios sistemas de gestión de suscriptores y, con frecuencia, sus propias prácticas heredadas de retención, que no siempre se unifican con el resto del grupo de forma inmediata ni completa.

Esto convierte a la gobernanza de retención de datos en algo más parecido a una disciplina operativa continua que a un proyecto que se resuelve una sola vez: no basta con corregir el problema que detectó un regulador en una marca específica, si las demás marcas del mismo grupo siguen operando bajo arquitecturas de datos distintas, con sus propios plazos de retención implícitos o inexistentes. Que la segunda sanción propuesta en 2026 recaiga, según la información disponible, sobre el grupo en general y no exclusivamente sobre Doctissimo, es consistente con esa lectura: el problema de 2023 pudo haberse corregido en una marca sin que eso garantizara una corrección equivalente en el resto del grupo.

El cálculo de costos que rara vez se hace explícito

Hay una pregunta incómoda que las empresas que acumulan sanciones de este tipo rara vez responden en público: si el costo de rediseñar la arquitectura de retención de datos a través de todas sus marcas y sistemas heredados es mayor que el costo esperado de pagar la siguiente multa cuando aparezca, ¿qué incentivo real tiene la empresa para hacer esa inversión antes de que un regulador la obligue? Una multa de 380,000 euros, para un grupo editorial del tamaño de Reworld Media, es una cifra que —sin conocer el detalle de sus finanzas— plausiblemente representa una fracción manejable de sus ingresos anuales. Si la multa de 2026 confirma un monto similar o solo moderadamente mayor, el patrón reforzaría la posibilidad de que, hasta ahora, el costo regulatorio de no corregir el problema de fondo haya sido, en términos puramente financieros, menor que el costo de corregirlo.

Lo que esta historia no permite concluir

Nada de la evidencia disponible permite establecer con certeza si Reworld Media efectivamente hizo ese cálculo de forma consciente, o si la reincidencia refleja, en cambio, una dificultad genuina —y menos deliberada— para unificar prácticas de gestión de datos entre marcas adquiridas con sistemas y culturas organizacionales distintas. Ambas explicaciones son compatibles con los mismos hechos documentados, y distinguir entre ellas requeriría acceso a información interna de la empresa que ninguna de las dos sanciones, por sí sola, revela. Lo que sí queda establecido es que, con independencia de cuál de las dos explicaciones sea la correcta, el resultado observable para cualquier suscriptor cuyos datos hayan pasado por los sistemas de este grupo es el mismo: información personal conservada más allá de lo que la ley permite, por segunda vez documentada en tres años.

Por qué una denuncia externa, y no una auditoría propia, detectó el primer caso

Un detalle del caso de 2023 merece más atención de la que normalmente recibe: la sanción contra Doctissimo no nació de una auditoría interna que la propia empresa hubiera iniciado por voluntad propia, sino de una denuncia presentada por Privacy International, una organización externa de defensa de la privacidad. Eso significa que, durante un periodo no determinado antes de la denuncia, los datos de 15 millones de contratos cancelados permanecieron en los sistemas de la empresa sin que ningún proceso interno de revisión los detectara ni los marcara como un riesgo de cumplimiento. Ese dato por sí solo es revelador sobre el tipo de gobernanza de datos que tenía la empresa en ese momento: no se trataba de una política de retención mal calibrada que alguien dentro de la empresa hubiera señalado y que la dirección decidiera ignorar, sino de una ausencia aparente de cualquier mecanismo de revisión que hiciera visible el problema antes de que un tercero externo lo hiciera público. Si la propuesta de sanción de 2026 también se originó por una vía externa —una denuncia, una auditoría regulatoria no solicitada, o una investigación periodística— en lugar de un hallazgo propio de la empresa, eso reforzaría la lectura de que el problema de fondo no es solo la retención excesiva de datos, sino la falta de visibilidad interna sobre esa retención hasta que alguien de fuera la señala.

La pregunta que debería hacerse cualquier empresa con el mismo patrón de crecimiento

Más allá del caso específico de Reworld Media, esta historia ilustra un riesgo estructural que no es exclusivo de ningún grupo editorial en particular: cualquier empresa que crece principalmente mediante adquisiciones de otras compañías con sus propias bases de datos de clientes hereda, junto con esos activos, las prácticas de retención —buenas o malas— con las que esas bases de datos fueron construidas originalmente. Auditar y unificar esas prácticas después de cada adquisición no es, casi nunca, la prioridad inmediata de una integración corporativa, que típicamente se enfoca primero en sinergias de ingresos o de costos operativos visibles. El caso de Reworld Media sugiere que esa postergación tiene un costo que, tarde o temprano, se materializa —aunque no necesariamente a tiempo para prevenir que se repita.

Fuentes

• French publisher Reworld Media risks fine for GDPR violation — MLex
• La Cnil inflige une amende de 380 000 euros à Doctissimo — Siècle Digital
• Doctissimo : pourquoi le site a-t-il été sanctionné à hauteur de 380.000 euros par la Cnil ? — CNEWS
• La Cnil inflige une amende de 380 000 euros à Doctissimo — Stratégies