La AEPD publica todas sus resoluciones sancionadoras. Analizándolas se observa un patrón claro: determinadas actividades concentran la mayoría de las sanciones, año tras año. No porque sean las más graves, sino porque son las más extendidas y las más descuidadas. ¿Realiza tu empresa alguna de ellas?
Por qué algunas actividades concentran más sanciones
Las actividades que más sanciones generan son, en general, las más comunes: casi todas las empresas tratan datos de empleados, casi todas tienen web, muchas usan videovigilancia o hacen email marketing. Cuanto más extendida es una actividad, más reclamaciones llegan a la AEPD sobre ella y más procedimientos sancionadores se abren.
Conocer qué actividades acumulan más sanciones permite priorizar el cumplimiento: no todas las obligaciones tienen el mismo riesgo práctico.
1.Videovigilancia sin informar a empleados ni clientes
Es, consistentemente, una de las fuentes más frecuentes de sanciones. Cámaras instaladas sin carteles informativos, cámaras en zonas prohibidas (baños, vestuarios), grabaciones conservadas más de 30 días, sistemas de videovigilancia gestionados por empresas externas sin contrato de encargado del tratamiento.
2. Email marketing sin consentimiento válido
Enviar comunicaciones comerciales a bases de datos sin consentimiento explícito, usar listas compradas, no incluir mecanismo de baja, no respetar las solicitudes de baja: son infracciones que la AEPD sanciona con regularidad. El artículo 21 de la LSSI-CE y el RGPD son muy claros en este punto.
3. Cookies sin consentimiento o con banner incorrecto
El uso de cookies analíticas o publicitarias sin obtener consentimiento previo, banners de cookies que no permiten rechazar con la misma facilidad que aceptar, o políticas de cookies que no corresponden con las cookies realmente instaladas. La AEPD ha intensificado sus inspecciones en este ámbito.
4. Tratamiento de datos de empleados sin base legal adecuada
Control de accesos, geolocalización de vehículos de empresa, monitorización de ordenadores corporativos, análisis de emails corporativos: todas estas actividades tienen regulación específica en la LOPDGDD y requieren cumplir con obligaciones concretas de información y proporcionalidad.
5. Datos de salud tratados sin las garantías requeridas
Los datos de salud son categoría especial y requieren base legal reforzada y medidas de seguridad adicionales. Las bajas médicas, los reconocimientos médicos de empresa, los datos de seguros colectivos: todos son datos de salud que muchas empresas gestionan sin las garantías necesarias.
6. Contratación sin contratos de encargado del tratamiento
Empresas que trabajan con gestorías, software CRM, plataformas de email, proveedores de cloud o empresas de seguridad sin haber formalizado el contrato de encargado del tratamiento que exige el artículo 28 del RGPD. Un incumplimiento que la AEPD detecta fácilmente en inspecciones.
7. Formularios web y políticas de privacidad incompletas
Formularios de contacto o de compra que recogen datos sin informar correctamente sobre quién los trata, para qué, con qué base legal y cuáles son los derechos del usuario. O políticas de privacidad genéricas que no reflejan los tratamientos reales de la empresa.
8. Derechos de los interesados no atendidos
No responder a solicitudes de acceso, rectificación, supresión o portabilidad dentro de los plazos (máximo 1 mes, prorrogable a 3) es una infracción directa del RGPD. Y es una de las más fáciles de detectar: el interesado tiene la evidencia de que envió la solicitud y no obtuvo respuesta.
9. Transferencias internacionales sin garantías
Usar herramientas de software americanas (Google Workspace, Salesforce, HubSpot, Mailchimp, AWS…) sin haber verificado las garantías de la transferencia internacional de datos, o sin haber firmado el DPA con el proveedor. Tras el Privacy Shield, las transferencias a EE.UU. requieren cláusulas contractuales tipo o verificación de certificación bajo el Marco de Privacidad UE-EE.UU.
10. Ausencia de DPD cuando es obligatorio
Empresas que tratan datos a gran escala, realizan observación sistemática, tratan categorías especiales de forma habitual o entran en alguno de los supuestos de la LOPDGDD sin haber designado DPD. Su ausencia es una infracción autónoma, independientemente de si hay otros problemas de cumplimiento.
Qué hacer si tu empresa realiza alguna de estas actividades
La presencia en esta lista no implica que estés incumpliendo: implica que debes verificar que lo estás haciendo bien. El primer paso es revisar si tienes documentado el tratamiento, si la base legal es correcta, si los interesados están informados y si tienes contratos con los encargados que correspondan.
En Ubimia Compliance trabajamos con muchas de las actividades que aparecen en este listado. Lo que podemos confirmar es que en todas ellas el cumplimiento es perfectamente alcanzable: no requiere grandes inversiones ni parar la operativa del negocio. Requiere orden, documentación y un acompañamiento que sepa lo que hace.
Cuadro completo de sanciones e infracciones: ¿Cuáles son las sanciones por no cumplir la Ley de Protección de Datos?
Si tu empresa realiza estas actividades, actúa antes de que lo haga la AEPD → Conoce nuestro servicio de Protección de Datos