Sanciones de la AEPD a pymes: cuándo llegan y cómo evitarlas

Si has llegado aquí buscando cuánto te pueden multar, la respuesta útil no es una cifra: es entender por qué se sanciona. Casi ninguna pyme española acaba en un expediente de la Agencia Española de Protección de Datos por una inspección sorpresa. Acaba porque alguien concreto (un cliente enfadado, un extrabajador, un competidor, un vecino) presentó una reclamación. Y los motivos que se repiten son pocos y muy identificables. Este artículo te enseña a reconocerlos en tu propio negocio.

Aviso por delante: aquí no vas a encontrar una lista de multas con nombres y cantidades. Las resoluciones de la AEPD son públicas y las puedes consultar tú mismo en el buscador de resoluciones de aepd.es, filtrando por materia. Lo que te doy es el patrón que se repite en ellas, que es lo que de verdad te sirve para no repetirlo. Y no es asesoramiento jurídico.

De dónde salen las sanciones: casi siempre de una reclamación

El procedimiento típico no empieza con un inspector llamando a tu puerta. Empieza así:

Alguien ejerce un derecho contigo (pedir sus datos, pedir que le borres, pedir que dejes de escribirle) y no le contestas, o le contestas mal, o tardas más de un mes.
Esa persona presenta una reclamación en la sede electrónica de la AEPD. Es gratis y se hace en diez minutos.
La Agencia te traslada la reclamación y te pide que expliques qué ha pasado y qué medidas tienes.
Al mirar tu web para instruir el caso, aparece todo lo demás: el banner de cookies, el formulario sin información, la política de privacidad copiada de otro sitio.

Ese cuarto punto es la clave y casi nadie lo tiene en cuenta. La reclamación inicial puede ser por una tontería, pero abre la puerta a que se revise el resto. Por eso la pregunta correcta no es «¿me van a inspeccionar?», sino «si mañana un cliente descontento se pone a mirar mi web con lupa, ¿qué encuentra?».

Conviene saber también que no todo acaba en multa. La normativa permite resolver con un apercibimiento, es decir, un tirón de orejas formal sin sanción económica, y es un desenlace bastante habitual cuando la entidad es pequeña, ha colaborado y corrige rápido. Colaborar y corregir durante el procedimiento cambia mucho el final.

Cookies y banners: el bloque más repetido

Si hay un motivo que aparece una y otra vez en las resoluciones contra empresas pequeñas, es el consentimiento de cookies. Y no por falta de banner, sino por banners que están mal hechos. Los fallos concretos que se sancionan son estos:

No hay botón de rechazar en el mismo nivel que el de aceptar. Solo «Aceptar» y un enlace a «Configurar» escondido en gris.
Las cookies se cargan antes de que el usuario decida. Este es el fallo técnico que invalida el banner entero, aunque el texto sea perfecto: si Google Analytics o el píxel de Meta ya se han disparado al cargar la página, el consentimiento no ha servido de nada.
Seguir navegando equivale a aceptar. Eso ya no vale.
No se puede retirar el consentimiento con la misma facilidad con la que se dio.

Ten en cuenta un detalle que sorprende a mucha gente: las cookies se regulan en el artículo 22.2 de la LSSI, no en el RGPD, y esa ley tiene su propio cuadro de infracciones, con las de este tipo en la franja más baja. La sanción económica no suele ser la parte grave; lo grave es que es un incumplimiento que cualquiera puede documentar desde su casa con una captura de pantalla, sin ser perito. Es la reclamación más fácil de presentar que existe.

Comprobarlo tú mismo lleva dos minutos: abre tu web en una ventana de incógnito, pulsa F12, ve a la pestaña Aplicación (o Almacenamiento) y mira si hay cookies de terceros creadas antes de tocar el banner. Si las hay, ya sabes por dónde empezar. El detalle de cómo debe quedar el banner lo tienes en la guía sobre cómo montar un banner de cookies conforme a la guía de la AEPD sin cargarte la analítica.

Videovigilancia y mensajería: los clásicos del pequeño negocio

Este bloque no va de web, pero es donde más se sanciona a bares, tiendas, talleres, clínicas y comunidades de propietarios. Los patrones que se repiten:

Cámaras que enfocan la vía pública o el portal del vecino. Solo puedes grabar tu espacio y los accesos imprescindibles.
No hay cartel informativo de zona videovigilada, o lo hay pero no dice quién es el responsable ni cómo ejercer los derechos.
Cámaras que apuntan al puesto de trabajo sin haber informado antes a la plantilla y a la representación de los trabajadores.
Grabaciones guardadas indefinidamente. El plazo general es corto y hay que respetarlo salvo que estén a disposición de una investigación.

Y una que va creciendo: el uso de grupos de WhatsApp con clientes, pacientes o padres de alumnos donde todos ven el número de todos. Es una cesión de datos que nadie ha consentido. La versión sancionable de esto es enviar un mensaje difundido a muchos destinatarios sin ocultarlos, lo mismo que mandar un correo poniendo cincuenta direcciones en el campo «Para» en vez de en copia oculta.

Falta de información y formularios sin base legal

Aquí está el incumplimiento más silencioso, porque nadie se queja de él hasta que se queja de otra cosa. Revisa tu formulario de contacto ahora mismo y responde:

¿Hay una casilla de aceptación de la política de privacidad, sin marcar por defecto?
Junto al formulario, ¿aparece la información básica: quién es el responsable, para qué usas los datos y dónde está la información completa?
¿La política de privacidad enlazada habla de tu empresa, o quedó dentro el nombre de la empresa de la que se copió?
Si además apuntas a la persona a una lista de correo, ¿hay una casilla separada para eso? Una sola casilla no puede servir para dos finalidades distintas.

Ese último punto es el que enlaza con el otro gran motivo de reclamación: el envío comercial. Escribir a alguien que te dejó su correo para pedir presupuesto y meterlo en la newsletter no es lo mismo, y la LSSI tiene reglas propias sobre ello. Lo desarrollamos en el artículo sobre qué consentimiento necesitas de verdad para hacer email marketing en España.

Añade el clásico de las bajas: si alguien pide que le borres o que dejes de escribirle y no le contestas en plazo, ya no discutes sobre marketing, discutes sobre derechos no atendidos. Y eso pesa más.

Brechas no notificadas y medidas de seguridad insuficientes

Cuando una empresa sufre un ataque, la Agencia no la sanciona por haber sido atacada. La sanciona, si acaso, por dos cosas distintas: por no haber notificado cuando tocaba, y por no poder demostrar que tenía medidas de seguridad razonables antes de que pasara.

Esa segunda parte es la que más sorprende. El RGPD no da una lista cerrada de medidas obligatorias: exige medidas apropiadas al riesgo. Y «apropiadas» se demuestra por escrito. Lo que se mira después de una brecha es bastante concreto: si había copias de seguridad y si alguna vez se probó restaurarlas, si el software estaba actualizado, si había verificación en dos pasos en los accesos críticos, si los permisos estaban repartidos o todo el mundo era administrador, y si existía algún registro de accesos. Cómo se traduce todo eso a una empresa pequeña lo tienes desglosado en el artículo sobre las medidas de seguridad apropiadas del RGPD traducidas a una pyme.

Sobre la notificación, dos ideas que evitan la mayoría de los problemas: no todas las brechas se notifican, pero todas se registran internamente; y si el riesgo para los afectados es alto, además hay que avisarles a ellos, que es un paso separado y con reglas propias, explicado en cuándo y cómo comunicar una brecha a los afectados.

Cómo se gradúa la multa y qué la reduce

El importe no sale de una tabla fija. El RGPD fija los topes máximos (los tramos famosos de hasta 10 o 20 millones de euros, o del 2 % o 4 % de la facturación anual mundial, la cifra que resulte mayor) pero esos techos están pensados para grandes corporaciones y no describen lo que le pasa a una pyme. Lo que de verdad determina la cifra concreta son los criterios de graduación: la gravedad y la duración de la infracción, si fue intencionada o negligente, el número de afectados, el daño causado, si tú mismo notificaste el problema, si has colaborado con la Agencia y si has corregido.

Hay dos reducciones que conviene conocer porque son automáticas y acumulables, y están previstas en el procedimiento administrativo común: el reconocimiento de responsabilidad y el pago voluntario antes de la resolución. Cada una supone un 20 % de rebaja y pueden sumarse, con la contrapartida de que implican renunciar a recurrir. Es una decisión que merece consultar con un abogado, no aceptar por defecto.

La conclusión práctica es incómoda pero clara: la actitud pesa tanto como el fallo. Dos empresas con el mismo incumplimiento acaban en sitios muy distintos según si contestaron a tiempo y arreglaron, o si ignoraron los requerimientos.

Qué aprender de cada caso para no repetirlo

Si te quedas con una sola idea: casi todo lo que se sanciona a una pyme es visible desde fuera y se arregla en una tarde. Nadie te multa por no tener un departamento de seguridad; te sancionan por el botón de rechazar que falta, por la casilla premarcada, por el cartel que no está, por el correo con cincuenta direcciones visibles y por no contestar a quien pidió su baja.

Una revisión honesta que puedes hacer hoy, en este orden:

Abre tu web en incógnito y comprueba qué se carga antes de aceptar cookies.
Lee tu política de privacidad entera buscando nombres de otra empresa.
Rellena tu propio formulario de contacto y mira qué información se te da.
Comprueba cómo se sale de tu lista de correo y si funciona.
Busca dónde está tu registro de actividades de tratamiento. Si no sabes contestar, ese es el primer trabajo.
Pregúntate quién contestaría si mañana entra un correo pidiendo el borrado de unos datos, y en cuánto tiempo.

Todo esto encaja dentro del mapa más amplio de qué normativa de protección de datos y ciberseguridad obliga de verdad a una pyme en España, que es donde conviene mirar si quieres ordenarlo de una vez en lugar de ir apagando fuegos.

Y si prefieres empezar viendo qué encontraría hoy alguien que se pusiera a mirar tu web desde fuera (cookies que se cargan sin permiso, textos legales que faltan, formularios sin información, correo suplantable), pide el informe gratuito y revisa por dónde te reclamarían a ti antes de que lo haga otro.

Seguir leyendo en esta sección

Ver todo en Brechas y obligaciones tras un incidente → · Mapa completo del sitio