La mayoría de las sanciones que impone la AEPD no provienen de escándalos corporativos ni de filtraciones masivas de datos. Provienen de errores del día a día: decisiones tomadas sin criterio, procesos mal diseñados o simplemente falta de revisión periódica.
Lo más importante de esta lista no es cuánto pueden costar, sino que todos son evitables. Aquí están los siete errores más frecuentes y cómo corregirlos.
1. Error 1: creer que cumples porque tienes los documentos
Es, con diferencia, el error más extendido. La empresa contrata una «adaptación RGPD», recibe un paquete de documentos y da el tema por cerrado. Dos años después, esos documentos describen tratamientos que ya no existen o no mencionan los que sí se están haciendo.
El RGPD no es una certificación que se obtiene una vez. Es un sistema que debe reflejar la realidad de la empresa en cada momento. Cuando la empresa cambia (nuevas herramientas, nuevos procesos, nuevos canales) el sistema de protección de datos debe actualizarse.
La AEPD sanciona la incoherencia entre lo que dice la documentación y lo que hace la empresa. Esa desconexión es una señal directa de que no hay control real sobre el tratamiento de datos.
2. Error 2: consentimientos mal obtenidos o sin base legal válida
El consentimiento bajo el RGPD tiene requisitos concretos: debe ser libre, específico, informado e inequívoco. No vale una casilla premarcada, ni el consentimiento «implícito» por el simple hecho de usar el servicio, ni agrupar varios fines en un único consentimiento genérico.
Pero hay otro error igualmente frecuente: usar el consentimiento como base legal cuando no es necesario ni el más adecuado. Para gestionar los datos de un cliente con el que tienes un contrato, la base legal es ese contrato, no el consentimiento. Para cumplir una obligación legal, la base es la ley. Usar el consentimiento donde no corresponde complica el cumplimiento innecesariamente.
Y cuando el consentimiento sí es la base correcta —por ejemplo, para enviar una newsletter publicitaria— debe poder retirarse en cualquier momento de forma tan sencilla como se dio.
3. Error 3: no tener contratos de encargado de tratamiento con los proveedores
Cualquier empresa que usa herramientas digitales está compartiendo datos personales con terceros: el proveedor de email marketing, el CRM, el software de contabilidad en la nube, el gestor de RR.HH., el servicio de mensajería…
El RGPD obliga a formalizar esta relación mediante un contrato de encargado de tratamiento que establezca cómo se tratarán los datos. Muchas empresas llevan años usando estas herramientas sin haber firmado nada.
La AEPD ha sancionado por este motivo incluso cuando el proveedor estaba cumpliendo correctamente por su parte. La ausencia del contrato es, en sí misma, una infracción del responsable del tratamiento.
4. Error 4: videovigilancia instalada sin cumplir los requisitos legales
Las cámaras de seguridad son la causa más frecuente de sanciones en España, según los datos de la propia AEPD. Los errores más habituales son:
- No colocar el cartel informativo visible que indica que el local está videovigilado
- Cámaras que captan zonas que no corresponde: la vía pública, el local del vecino o zonas de descanso de los empleados
- Conservar las grabaciones más tiempo del permitido (máximo 30 días con carácter general)
- No informar a los empleados sobre la existencia y finalidad de las cámaras
- No tener configuradas correctamente las grabaciones en plataformas externas (servicios en nube)
Muchas de estas infracciones son cometidas de buena fe por empresas que simplemente instalan el sistema sin revisar los requisitos legales.
5. Error 5: no gestionar los derechos de los interesados
El RGPD reconoce a las personas una serie de derechos sobre sus datos: acceso, rectificación, supresión, portabilidad, limitación y oposición. Cuando alguien ejerce un derecho, la empresa tiene un plazo de un mes para responder (ampliable a tres en casos complejos).
Dos errores frecuentes en este punto:
- No tener un procedimiento claro: cuando llega la solicitud, nadie sabe quién la gestiona ni cómo.
- Ignorar o retrasar la respuesta: aunque la empresa no tenga mala intención, superar el plazo sin respuesta es una infracción directa.
Las reclamaciones por no atender solicitudes de derechos representan un porcentaje significativo de los procedimientos que abre la AEPD.
6. Error 6: no actualizar el sistema cuando cambia la empresa
La empresa evoluciona constantemente: incorpora nuevas herramientas, abre canales de venta o comunicación, amplía el equipo, lanza nuevos productos o servicios. Cada uno de estos cambios puede afectar al tratamiento de datos.
Sin embargo, pocas empresas tienen un proceso establecido para revisar el impacto en protección de datos de cada cambio relevante. El resultado es una desconexión progresiva entre la realidad de la empresa y su sistema de cumplimiento.
Un DPD profesional incluye esta revisión continua. Sin ese acompañamiento, la empresa va acumulando brechas de cumplimiento sin darse cuenta.
7. Error 7: confundir tener los papeles con cumplir de verdad
Este es el error subyacente a casi todos los anteriores: tratar la protección de datos como un trámite documental en lugar de como un sistema operativo.
Una empresa puede tener una política de privacidad perfecta y al mismo tiempo estar enviando comunicaciones comerciales sin base legal válida. Puede tener el RAT actualizado y no tener contratos con sus encargados de tratamiento. Puede haber firmado todos los documentos y no haber formado nunca a su equipo.
Lo que revisa la AEPD no es la documentación: es lo que ocurre realmente en la empresa. Los documentos son la evidencia del cumplimiento, no el cumplimiento en sí.
Cómo evitar estos errores
La prevención se resume en tres principios:
- Revisión periódica: al menos una vez al año, revisar si el sistema de protección de datos sigue siendo coherente con la actividad real de la empresa.
- Proceso ante cambios: antes de incorporar una nueva herramienta, abrir un nuevo canal o cambiar un proceso relevante, evaluar el impacto en protección de datos.
- Acompañamiento especializado: tener a alguien que conozca la normativa y la empresa, y que pueda detectar estos problemas antes de que se conviertan en sanciones.
Si quieres comprobar el estado de cumplimiento de tu empresa, puedes usar nuestro checklist de cumplimiento RGPD y nuestra guía sobre sanciones por no cumplir el RGPD.
Un DPD profesional detecta estos errores antes de que llegue la AEPD. Nuestros especialistas llevan más de 15 años protegiéndote de estos riesgos. → Ver el servicio de protección de datos
En Ubimia Compliance estos son exactamente los errores que detectamos con más frecuencia en los diagnósticos iniciales. La buena noticia es que todos son corregibles, y en la mayoría de los casos sin necesidad de grandes cambios estructurales. El punto de partida es siempre saber exactamente dónde está el problema.