Cumplir con la normativa de protección de datos no es opcional. El RGPD y la Ley Orgánica de Protección de Datos (LOPDGDD) establecen un régimen sancionador claro, con multas que pueden alcanzar los 20 millones de euros o el 4% de la facturación global de la empresa.
Pero más allá de las cifras, lo importante es entender qué tipo de conductas se consideran infracción, cómo se clasifican y qué proceso sigue la Agencia Española de Protección de Datos (AEPD) cuando investiga un incumplimiento.
El régimen sancionador: RGPD y LOPDGDD
La regulación sancionadora en España combina dos normas que se complementan:
- El RGPD establece el marco europeo: define qué constituye infracción y fija los topes máximos de las multas en dos niveles (10 y 20 millones de euros, o 2% y 4% de la facturación, según la gravedad).
- La LOPDGDD adapta ese marco a España: clasifica las infracciones en leves, graves y muy graves, y fija las cuantías orientativas dentro de cada categoría para dar más seguridad jurídica a las empresas.
En la práctica, la AEPD utiliza ambas normas para determinar la sanción concreta en cada caso, teniendo en cuenta criterios como la intencionalidad, el número de afectados, la duración de la infracción y si la empresa ha adoptado medidas para minimizar el daño.
Infracciones leves: hasta 40.000 €
Las infracciones leves de la LOPDGDD (artículo 74) son incumplimientos formales o de menor impacto en los derechos de las personas. Las multas pueden llegar hasta 40.000 euros.
Ejemplos de infracciones leves:
- No atender en plazo una solicitud de derechos del interesado (acceso, rectificación, supresión), siempre que no haya habido mala fe.
- No inscribir en el Registro de Actividades de Tratamiento una actividad no especialmente sensible.
- No publicar de forma visible la información de contacto del responsable o del Delegado de Protección de Datos.
- Incumplimientos formales en los avisos de cookies o en los avisos de privacidad de formularios, cuando no hayan causado daño real a los afectados.
Aunque se llamen «leves», una multa de 40.000 euros puede ser muy significativa para una pyme. Además, las infracciones leves también quedan registradas en la base de datos de resoluciones de la AEPD.
Infracciones graves: hasta 300.000 euros
Las infracciones graves (artículo 73 LOPDGDD) implican vulneraciones más relevantes de los principios del RGPD. Las multas pueden llegar hasta 300.000 euros.
Ejemplos de infracciones graves:
- Tratar datos sin una base legal válida (por ejemplo, usar datos de clientes para marketing sin consentimiento ni interés legítimo justificado).
- No adoptar medidas técnicas y organizativas adecuadas para proteger los datos (falta de cifrado, contraseñas débiles, accesos sin control).
- No comunicar una brecha de seguridad a la AEPD en el plazo de 72 horas cuando existe riesgo para los interesados.
- Transferir datos a terceros países sin las garantías adecuadas exigidas por el RGPD.
- Impedir u obstaculizar el ejercicio de los derechos de los afectados de forma sistemática.
Este nivel de infracción es el más frecuente en las resoluciones de la AEPD. La mayoría de las sanciones a pymes y empresas medianas se ubican en esta categoría.
Infracciones muy graves: hasta 20 millones o el 4% del negocio global
Las infracciones muy graves (artículo 72 LOPDGDD) son las más severas del régimen sancionador. Corresponden a vulneraciones de los principios fundamentales del RGPD y pueden dar lugar a multas de hasta 20 millones de euros o el 4% de la facturación global anual, la cifra que sea más alta.
Ejemplos de infracciones muy graves:
- Tratar datos en violación de los principios básicos del RGPD: licitud, lealtad, transparencia, minimización de datos o limitación del plazo de conservación.
- Tratar categorías especiales de datos (salud, origen étnico, creencias religiosas, datos biométricos…) sin las garantías exigidas por el artículo 9 del RGPD.
- No atender las resoluciones de la AEPD o impedir su actividad inspectora.
- Utilizar técnicas de vigilancia masiva sobre personas sin base legal, o usar datos obtenidos de forma ilícita.
Las sanciones en esta categoría son excepcionales para las pymes, pero los principios que regulan pueden incumplirse sin que la empresa sea consciente de ello. El tratamiento de datos de salud de empleados sin las garantías adecuadas, por ejemplo, puede clasificarse como infracción muy grave.
Cómo actúa la AEPD: el proceso sancionador
El proceso sancionador de la AEPD puede iniciarse de dos formas:
- Por reclamación de un interesado: un cliente, empleado o usuario presenta una reclamación. La AEPD valora si hay indicios de infracción y, si los hay, abre actuaciones previas de investigación.
- De oficio: la AEPD detecta por sus propios medios (inspecciones, medios de comunicación, análisis de webs) una posible infracción.
El proceso tiene varias fases: actuaciones previas de investigación → inicio del procedimiento sancionador → propuesta de resolución → resolución definitiva. La empresa tiene derecho a presentar alegaciones en cada fase.
La AEPD puede imponer medidas cautelares (suspensión temporal del tratamiento) mientras dura el procedimiento. En casos graves, puede ordenar el cese inmediato del tratamiento.
Si la AEPD abriera una investigación hoy, ¿tendría tu empresa documentación para defenderse? → Garantiza tu cumplimiento
La AEPD en 2025: cifras récord y casos más relevantes
2025 ha sido el año de mayor actividad sancionadora de la Agencia Española de Protección de Datos desde la entrada en vigor del RGPD. Según la Memoria Anual publicada por la propia AEPD, el ejercicio cerró con 30.931 reclamaciones —un 64% más que en 2024— y 48 millones de euros en multas, con 326 procedimientos sancionadores que terminaron en sanción.
Aena — 10.000.000 €
Uso de sistemas de identificación biométrica en 8 aeropuertos sin evaluación de impacto previa (art. 35 RGPD)
Generali (España) — 5.000.000 €
Brecha de seguridad que expuso datos de 1,6 millones de clientes: datos personales, IBAN y estado civil
Xfera Móviles — 4.000.000 €
Vulneración de los principios de integridad y confidencialidad del RGPD por medidas de seguridad insuficientes
Orange España — 1.200.000 €
Tratamiento ilícito de datos y vulneración de los artículos 6 y 25 del RGPD (uso de datos fuera de la finalidad contractual)
La Liga de Fútbol Profesional — 1.000.000 €
Exigencia de datos biométricos (huella dactilar o reconocimiento facial) a abonados de estadios sin base legal adecuada
Ibermutua — 1.000.000 €
Brecha por error humano: datos confidenciales enviados a 354 destinatarios no autorizados, afectando a 3.395 personas
La tendencia es clara: más sanciones, de mayor cuantía y en sectores más variados. Los expedientes vinculados a brechas de seguridad crecieron un 157% en 2025 respecto al año anterior, y las multas derivadas de ellos supusieron casi 20 millones de euros. La biometría, la ciberseguridad y la gobernanza del dato serán las prioridades de la AEPD en 2026.
Las pymes no están al margen. Aunque los casos anteriores corresponden a grandes organizaciones, la AEPD gestiona cientos de expedientes anuales contra empresas pequeñas por videovigilancia ilegal, emails comerciales sin consentimiento o formularios web sin política de privacidad. Las multas en esos casos oscilan entre 900 y 50.000 euros, importes perfectamente aplicables a cualquier negocio.
Análisis de los 10 casos de mayor importe: Las 10 multas más elevadas por no cumplir la Ley de Protección de Datos
En Ubimia Compliance, cuando hacemos el diagnóstico inicial de un nuevo cliente, mostramos exactamente este tipo de cuadros de sanciones. No para asustar, sino porque la realidad de los importes ayuda a entender que el coste de la adecuación es siempre menor que el coste del incumplimiento.
Los errores más frecuentes que generan sanciones: Errores de protección de datos que pueden costarte una multa
No esperes una sanción: cumple hoy → /proteccion-de-datos/