En 2024, las sanciones AEPD alcanzaron los 27 millones de euros en un total de 242 multas, con un dato que sorprende a muchas empresas: el 72% de esas sanciones afectaron a autónomos y pequeños negocios, no a grandes corporaciones. Incumplir el RGPD no es un riesgo exclusivo de las multinacionales.
En este artículo te explicamos cómo funciona el sistema sancionador, qué dice el artículo 83 del RGPD, cuáles son las infracciones más frecuentes y qué casos reales resolvió la AEPD en 2024 y 2025.
¿Qué normativa regula las sanciones por protección de datos?
El régimen sancionador tiene dos pilares normativos complementarios. El artículo 83 del RGPD (Reglamento UE 2016/679) establece las cuantías máximas de las multas administrativas a nivel europeo. La LOPDGDD (Ley Orgánica 3/2018) adapta ese sistema al ordenamiento español, introduce una tercera categoría de infracciones leves y regula el procedimiento sancionador que sigue la AEPD. La antigua LOPD quedó derogada con la entrada en vigor de la LOPDGDD en 2018, aunque muchos usuarios siguen refiriéndose a ella por costumbre.
Tipos de infracciones y cuantías: el artículo 83 del RGPD
El RGPD establece dos tramos de sanciones, a los que la LOPDGDD añade un tercero para las infracciones más leves:
Régimen sancionador en protección de datos
| Tipo | Ejemplos de infracciones | Cuantía máxima |
|---|---|---|
| Leves (LOPDGDD, art. 74) | No publicar los datos de contacto del DPO, incumplimientos formales menores | Hasta 40.000 € |
| Graves (RGPD, art. 83.4 / LOPDGDD, art. 73) | No llevar el registro de actividades de tratamiento, no firmar contratos con encargados, falta de DPO cuando es obligatorio | Hasta 10 M€ o el 2% de la facturación global anual |
| Muy graves (RGPD, art. 83.5 / LOPDGDD, art. 72) | Vulnerar los principios básicos del tratamiento, tratar datos sin base legal, vulnerar derechos de los interesados | Hasta 20 M€ o el 4% de la facturación global anual |
En todos los casos se aplica la cifra mayor entre el importe fijo y el porcentaje de facturación. La AEPD gradúa el importe concreto en función de criterios como la intencionalidad, la duración de la infracción, el número de afectados, la categoría de los datos tratados y el grado de cooperación del infractor.
Causas más frecuentes de sanción por la AEPD
Según la memoria de actividad de la AEPD correspondiente a 2024, las causas más recurrentes de sanción fueron:
- Videovigilancia incorrecta: cámaras en zonas no permitidas (vestuarios, zonas de descanso, vía pública), ausencia o mala colocación de carteles informativos
- Tratamiento de datos de empleados: gestión inadecuada de datos laborales, desde la contratación hasta la baja
- Falta de consentimiento válido: recogida de datos sin autorización clara o con casillas premarcadas
- Deficiencias en la política de privacidad: avisos incompletos, poco claros o inaccesibles
- Envío de comunicaciones comerciales sin consentimiento: email marketing o SMS sin autorización previa
- Cesión indebida de datos a terceros: compartir información personal sin informar al titular
- Brechas de seguridad sin medidas preventivas adecuadas: accesos indebidos por falta de controles técnicos
Advertencia
Las reclamaciones en el ámbito laboral crecieron un 49% en 2024 respecto al año anterior, superando las 1.000 denuncias. La gestión de datos de empleados es ya uno de los principales focos de atención de la AEPD.
Fuente: Memoria AEPD 2024.
Ejemplos reales de sanciones de la AEPD
Ejemplos reales de sanciones por incumplimientos en protección de datos
Sanciones a grandes empresas
- AENA: multa de 10.043.002 € en 2025 por implantar sistemas de reconocimiento facial en aeropuertos sin realizar la preceptiva Evaluación de Impacto en Protección de Datos (EIPD).
- Vodafone España: sanciones acumuladas superiores a 8 millones de euros por realizar acciones comerciales sin consentimiento y no atender el ejercicio de derechos de los usuarios.
- CaixaBank: multa de 6 millones de euros por tratamiento ilícito de datos personales sin base jurídica adecuada.
- Endesa: multa de 6,1 millones de euros por una brecha de seguridad que resultó en la venta de datos de clientes.
Sanciones a pymes y autónomos
- Taller mecánico: 3.000 € por incluir a 151 personas en un grupo de WhatsApp sin su consentimiento.
- Empresa de servicios de seguridad (Alicante): 1.000 € por tener el cartel informativo de videovigilancia colocado detrás de una persiana, impidiendo su visibilidad.
- Clínica médica: 7.000 € por compartir datos de salud de pacientes con Google sin base legal.
- Centro de estética: 10.000 € por publicar imágenes de una clienta sin su consentimiento.
Puedes consultar todas las resoluciones públicas en el buscador oficial de la Agencia Española de Protección de Datos.
BUSCADOR DE RESOLUCIONES DE LA AEPD¿Cuándo prescriben las sanciones por protección de datos?
La LOPDGDD establece plazos de prescripción distintos según la gravedad de la infracción:
- Infracciones leves: prescriben al año
- Infracciones graves: prescriben a los dos años
- Infracciones muy graves: prescriben a los tres años
El plazo comienza a contar desde el momento en que se cometió la infracción. Las sanciones impuestas, por su parte, prescriben al año para las leves, a los dos años para las graves y a los tres para las muy graves, contados desde la firmeza de la resolución.
¿Cómo actúa la AEPD antes de sancionar?
El procedimiento sancionador de la AEPD no es inmediato. Habitualmente sigue estas fases:
- Reclamación o actuación de oficio: la AEPD recibe una denuncia de un ciudadano o detecta un incumplimiento por iniciativa propia
- Fase de investigación o actuaciones previas: la agencia recaba información y documentación de la empresa afectada
- Acuerdo de inicio del procedimiento sancionador: si aprecia indicios de infracción, inicia formalmente el expediente
- Propuesta de resolución: la AEPD elabora una propuesta con la infracción detectada y la sanción propuesta, que se notifica a la empresa para que pueda presentar alegaciones
- Resolución definitiva: tras valorar las alegaciones, la AEPD dicta la resolución final, que puede incluir multa, apercibimiento o medidas correctoras obligatorias
Cooperar activamente con la AEPD durante el procedimiento, aportar documentación de forma diligente y demostrar correcciones inmediatas son factores atenuantes reconocidos que pueden reducir significativamente el importe final de la sanción.
Conclusión: la prevención siempre cuesta menos que la sanción
Las cifras de la AEPD son claras: las sanciones son reales, afectan a empresas de cualquier tamaño y los importes pueden ser muy significativos incluso para un pequeño negocio. Una auditoría de protección de datos, un registro de actividades actualizado y una política de privacidad correcta tienen un coste muy inferior al de cualquiera de los casos reales descritos en este artículo.
Si quieres saber si tu empresa está correctamente adaptada al RGPD o necesitas ayuda para prevenir sanciones, en GrupoPIC podemos ayudarte con una revisión completa de tu situación.
¿Quieres evitar sanciones de la AEPD? Contacta con GrupoPIC y solicita una auditoría de protección de datos sin compromiso.
Solicitar auditoría de protección de datosFuentes consultadas
Normativa y criterios oficiales sobre régimen sancionador en protección de datos.
Información revisada y verificada por los profesionales de GrupoPIC