¿Qué multa impone la AEPD a una empresa?

Un formulario web sin cláusula informativa, una cámara que graba más espacio del necesario o una base de datos usada sin permiso pueden acabar en una reclamación. Pero ¿qué multa impone AEPD? No existe una cifra única: la Agencia Española de Protección de Datos valora la infracción, sus consecuencias, la conducta de la empresa y las medidas adoptadas antes y después del incidente.

Para un autónomo, una comunidad de propietarios o una pyme, el problema no es solo el importe final. Una actuación de la AEPD exige atender requerimientos, aportar documentación, corregir fallos con plazos concretos y asumir el coste reputacional de no haber protegido adecuadamente los datos personales. Prevenir suele ser mucho más económico que reaccionar cuando ya ha llegado una notificación.

¿Qué multa impone la AEPD según el RGPD?

El RGPD establece dos grandes niveles de sanción administrativa. La AEPD puede imponer multas de hasta 10 millones de euros o, si la cifra es superior, hasta el 2 % de la facturación anual global del ejercicio anterior. Para las infracciones más graves, el límite asciende a 20 millones de euros o al 4 % de la facturación anual global.

Son máximos legales, no importes automáticos. Una pequeña empresa no recibe de forma mecánica una multa millonaria por un error aislado. Sin embargo, pensar que por ser una microempresa la sanción será irrelevante es un error peligroso. La Agencia aplica el principio de proporcionalidad, pero puede imponer cantidades que afectan seriamente a la tesorería de un negocio cuando aprecia negligencia, falta de colaboración o incumplimientos mantenidos en el tiempo.

La normativa española, mediante la LOPDGDD, concreta además el régimen aplicable en España. Las autoridades y organismos públicos, con determinadas excepciones, pueden recibir apercibimientos en lugar de multas económicas, aunque ello no elimina su obligación de corregir la infracción. En el ámbito privado, la sanción económica es una posibilidad real.

Infracciones que pueden llegar al primer nivel

El primer tramo puede aplicarse, entre otros supuestos, cuando la organización no lleva correctamente el registro de actividades de tratamiento, no firma contratos adecuados con sus proveedores que acceden a datos, no aplica medidas de seguridad proporcionadas o no notifica una brecha de seguridad cuando está obligada a hacerlo.

También entra aquí la falta de designación de delegado de protección de datos cuando la ley lo exige. No todas las empresas necesitan un delegado, pero ciertos sectores y tratamientos sí lo requieren. Designarlo solo en el papel, sin autonomía ni funciones reales, tampoco resuelve el riesgo.

Infracciones del nivel más alto

El tramo superior se reserva para vulneraciones de principios esenciales: tratar datos sin una base jurídica válida, no respetar los derechos de acceso, supresión u oposición, usar datos para fines incompatibles con aquellos para los que se recogieron o realizar transferencias internacionales sin garantías suficientes.

La falta de consentimiento no siempre es el problema, porque una empresa puede tratar datos por contrato, obligación legal, interés legítimo u otra base válida. El error habitual consiste en usar el consentimiento como solución genérica, con casillas premarcadas, textos confusos o una aceptación obligatoria para finalidades que no son necesarias. Si la base jurídica falla, el riesgo sancionador aumenta de forma considerable.

La cuantía no depende solo de la infracción

La pregunta correcta no es únicamente qué multa impone la AEPD, sino por qué puede imponer una cantidad concreta. La Agencia analiza cada expediente atendiendo a criterios legales. Entre ellos están la naturaleza, gravedad y duración de los hechos; el número de personas afectadas; el daño sufrido; la intencionalidad o negligencia; las medidas tomadas para reducir el perjuicio y el grado de cooperación con la autoridad.

También pesan los antecedentes, la categoría de los datos afectados y el beneficio obtenido con el incumplimiento. No es igual una deficiencia documental sin consecuencias acreditadas que exponer datos de salud, información financiera, imágenes o datos de menores. Tampoco se valora igual un responsable que detecta una incidencia, la contiene y la documenta que otro que la ignora hasta que un afectado reclama.

La facturación influye en la proporcionalidad, pero no sustituye al análisis del caso. Una empresa pequeña puede recibir una multa relevante si el incumplimiento es grave o persistente. A la inversa, acreditar políticas, formación, controles y una respuesta diligente puede actuar como circunstancia atenuante. No garantiza que no exista sanción, pero permite demostrar que no se ha actuado con abandono.

Incumplimientos frecuentes que originan reclamaciones

Muchas actuaciones no empiezan por una inspección aleatoria, sino por la queja de un cliente, trabajador, vecino o antiguo empleado. Por eso, los puntos de contacto cotidianos merecen especial atención.

En negocios y profesionales son recurrentes los formularios de contacto sin información de privacidad suficiente, campañas comerciales enviadas sin base válida, páginas web con cookies no configuradas correctamente y bases de datos antiguas que se utilizan sin revisar su origen ni su finalidad. En recursos humanos generan riesgo el acceso excesivo a currículums, la conservación indefinida de candidaturas o la difusión innecesaria de datos de empleados.

Las comunidades de propietarios deben vigilar especialmente las cámaras de videovigilancia, los carteles informativos, el acceso a las imágenes y los plazos de conservación. Instalar cámaras por seguridad no autoriza a grabar la vía pública sin justificación, zonas ajenas o espacios donde la intimidad de las personas exige una protección reforzada.

Otro error habitual es contratar programas de gestión, asesorías, plataformas de correo o servicios en la nube sin revisar el contrato de encargo de tratamiento. Si ese proveedor accede a datos personales por cuenta de la empresa, debe existir un acuerdo que delimite instrucciones, confidencialidad, medidas de seguridad, subcontratación y destino de los datos al finalizar el servicio.

Qué ocurre tras una denuncia ante la AEPD

Recibir una comunicación de la Agencia no equivale siempre a una multa inmediata. Puede tratarse de una solicitud de información, una fase de actuaciones previas o la apertura formal de un procedimiento. Ignorar el escrito, responder fuera de plazo o entregar documentos inconsistentes agrava el problema y reduce las opciones de defensa.

La organización debe identificar rápidamente qué tratamiento está afectado, conservar evidencias, revisar sus textos informativos, contratos, registros y medidas técnicas. Si existe una brecha de seguridad, hay que valorar con urgencia si debe notificarse a la AEPD en el plazo legal de 72 horas desde que se tiene conocimiento de ella. No todas las brechas se notifican, pero todas deben analizarse y documentarse.

Corregir la deficiencia durante el procedimiento es necesario, aunque no borra automáticamente lo ocurrido. La rectificación demuestra diligencia y puede influir en la valoración, pero una respuesta improvisada, sin documentos coherentes ni responsables claros, suele dejar al descubierto problemas adicionales.

Cómo reducir el riesgo de sanción de forma práctica

La protección de datos no se resuelve descargando una plantilla. La documentación debe reflejar cómo trabaja realmente cada organización: qué datos recoge, para qué los utiliza, quién accede, cuánto tiempo los conserva y qué proveedores intervienen.

El primer paso es realizar una adaptación al RGPD y a la LOPDGDD ajustada a la actividad. Después hay que mantenerla viva: actualizar los tratamientos cuando cambia el negocio, formar al personal, controlar los accesos y establecer un protocolo para atender derechos e incidentes. Si se implantan nuevas cámaras, se abre una tienda online, se incorpora un sistema de fichaje o se contrata una plataforma digital, conviene revisar antes el impacto en protección de datos.

No todas las medidas cuestan lo mismo ni todas son necesarias para todos. Una clínica, un despacho profesional, una comunidad y un comercio electrónico tienen riesgos distintos. Precisamente por eso, una evaluación práctica evita dos extremos caros: pagar por obligaciones que no aplican o quedarse corto ante una inspección o reclamación.

Contar con asesoramiento continuo permite resolver dudas antes de lanzar una campaña, responder correctamente a un afectado y mantener los documentos actualizados. Consultoría Rosario Polo trabaja esta prevención con soluciones de cumplimiento adaptadas a empresas y profesionales que necesitan claridad, precios cerrados y una gestión operativa del RGPD.

La multa más fácil de evitar es la que se detecta antes de que un cliente, un trabajador o la AEPD tenga que señalar el fallo. Revisar ahora los tratamientos de datos, los contratos y la información que se entrega a las personas es una decisión de control de costes, no un simple trámite legal.