Inicio/Protección de datos/Sanciones de la AEPD
Sanciones de la Agencia Española de Protección de Datos
La mayoría de los procedimientos sancionadores no nace de una inspección de oficio, sino de la reclamación de una sola persona: un cliente al que no se le contestó, un exempleado que pidió sus datos, alguien que recibió publicidad no solicitada. Cualquiera de esas situaciones puede abrir un expediente.
El marco sancionador
El RGPD establece dos tramos de multas administrativas, con máximos expresados en importe fijo o en un porcentaje del volumen de negocio total anual global del ejercicio anterior, aplicándose la cuantía superior. El primer tramo cubre infracciones relativas a obligaciones del responsable y del encargado, como el registro de actividades, la seguridad o los contratos de encargo. El segundo, más elevado, cubre las vulneraciones de los principios básicos, de las bases de licitud, de los derechos de los interesados y de las reglas sobre transferencias internacionales.
Naturaleza, gravedad y duración de la infracción; intencionalidad o negligencia; medidas adoptadas para paliar los daños; grado de responsabilidad atendiendo a las medidas técnicas y organizativas implantadas; infracciones anteriores; grado de cooperación; categorías de datos afectadas; y si la infracción se conoció por notificación del propio responsable.
Las infracciones más frecuentes
| Conducta | Origen habitual |
|---|---|
| No atender un ejercicio de derechos | Reclamación del interesado |
| Tratamiento sin base jurídica | Marketing y bases de datos de origen dudoso |
| Falta de información adecuada | Textos legales genéricos o inexistentes |
| Medidas de seguridad insuficientes | Detectadas tras una brecha |
| No notificar una brecha | Conocida por otra vía |
| Videovigilancia sin información | Reclamación de empleado o visitante |
| Cesión no autorizada de datos | Comunicación a terceros sin base |
Reducciones y estrategia de defensa
El procedimiento sancionador prevé reducciones acumulables por reconocimiento de responsabilidad y por pago voluntario, que implican la renuncia a recurrir. Optar por esa vía o defender el expediente es una decisión que depende de la solidez de los argumentos, del importe y de la existencia de otros expedientes o reclamaciones conexas. En muchos casos, además, la actuación previa de la Agencia consiste en un traslado para alegaciones o en una advertencia, y responder bien en esa fase evita el procedimiento sancionador.
Qué hacer cuando llega una reclamación
- No ignorarlaEl silencio es lo que convierte una reclamación menor en un expediente.
- Reconstruir el expedienteQué se hizo, cuándo y con qué documentación, antes de contestar nada.
- Resolver el problema de fondoAtender el derecho, suprimir el dato o corregir la práctica, porque las medidas adoptadas se valoran.
- Contestar en plazoCon argumentos y con la documentación que acredite el cumplimiento.
- Corregir lo estructuralCasi toda reclamación revela un fallo de proceso que afecta a más casos.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre las sanciones
¿Sancionan también a las pymes?
Sí. La normativa no distingue por tamaño, aunque la proporcionalidad se tiene en cuenta al graduar la sanción. En la práctica, buena parte de los expedientes afecta a empresas pequeñas y medianas, precisamente porque son las que con más frecuencia carecen de documentación de cumplimiento y las que peor gestionan las reclamaciones iniciales.
¿Se puede recurrir?
Sí, en vía administrativa y después en vía contencioso-administrativa. La decisión de recurrir debe tomarse valorando los argumentos disponibles, el importe en juego y el efecto de renunciar a las reducciones por reconocimiento y pago voluntario. Es un cálculo que conviene hacer con criterio, porque las reducciones son significativas y desaparecen si se recurre.
¿Se publican las sanciones?
Las resoluciones se publican con los datos disociados en lo relativo a personas físicas, pero las entidades sancionadas suelen ser identificables. A ello se suma el eco que estas resoluciones tienen en medios especializados. El coste reputacional puede superar al económico, especialmente en sectores donde los clientes auditan a sus proveedores.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.