La AEPD es la Agencia Española de Protección de Datos, el organismo público independiente encargado de velar por el cumplimiento del RGPD y la LOPDGDD en España. Es quien recibe las denuncias de los ciudadanos, investiga a las empresas y puede imponer multas de hasta 20 millones de euros. Entender cómo funciona no es solo información: es inteligencia competitiva.
Qué es la AEPD y de dónde nace
La Agencia Española de Protección de Datos es una autoridad de control independiente, creada por la Ley Orgánica 5/1992 (LORTAD) y consolidada con la LOPD de 1999. Con la entrada en vigor del RGPD, su papel se refuerza: el reglamento europeo exige que cada estado miembro disponga de una autoridad de control independiente con poderes efectivos de investigación y sanción.
La AEPD actúa con plena independencia del Gobierno. Tiene sede en Madrid, su actividad es pública (todas sus resoluciones son accesibles en su web) y coopera con las autoridades de protección de datos de los otros estados miembros de la UE a través del Comité Europeo de Protección de Datos (CEPD).
Funciones principales de la AEPD
Las funciones de la AEPD son más amplias de lo que mucha gente cree. No solo sanciona: también orienta, publica guías y promueve el cumplimiento proactivo.
Control y supervisión: verifica que el tratamiento de datos por parte de responsables y encargados cumple con el RGPD y la LOPDGDD.
Resolución de reclamaciones: tramita las reclamaciones presentadas por ciudadanos que consideran que sus derechos han sido vulnerados.
Potestad sancionadora: puede imponer multas y otras medidas correctivas (apercibimiento, prohibición temporal del tratamiento, orden de rectificación).
Elaboración de guías y recomendaciones: publica orientaciones para ayudar a las organizaciones a cumplir (guías sobre cookies, videovigilancia, DPD, inteligencia artificial, etc.).
Atención al ciudadano: canal de consultas para personas que quieren saber cómo ejercer sus derechos.
Cooperación internacional: participa en el CEPD y coordina con otras autoridades europeas en casos transfronterizos.
Cómo actúa la AEPD cuando recibe una denuncia o reclamación
Este es el proceso que más interesa conocer a las empresas. Cuando la AEPD recibe una reclamación de un ciudadano que considera que sus derechos han sido vulnerados, el proceso tiene varias fases:
- Admisión: la AEPD valora si la reclamación es admisible (si hay indicios de infracción y si la materia es de su competencia).
- Traslado al reclamado: la AEPD comunica la reclamación a la empresa investigada, que tiene un plazo para presentar alegaciones.
- Actuaciones previas de investigación: si hay indicios suficientes, la AEPD puede recabar información adicional, solicitar documentación a la empresa y realizar inspecciones.
- Archivo o inicio de procedimiento: si no hay infracción, se archiva. Si la hay, se inicia el procedimiento sancionador.
- Procedimiento sancionador: la empresa recibe la propuesta de resolución, puede presentar alegaciones y aportar pruebas. Finalmente, la AEPD dicta resolución.
El plazo máximo de resolución es de 9 meses desde que se inicia el procedimiento sancionador. Durante el proceso, la empresa puede ser objeto de medidas cautelares.
El proceso de inspección: qué puede hacer la AEPD
Cuando la AEPD realiza una inspección, sus agentes tienen amplios poderes:
- Acceso a instalaciones y equipos informáticos.
- Solicitud de información y documentación (registros de actividades, contratos con encargados, políticas de seguridad, logs de acceso).
- Entrevistas a empleados.
- Revisión de sistemas y aplicaciones.
Obstaculizar una inspección o proporcionar información falsa agrava la situación y puede ser constitutivo de una infracción adicional.
Lo que más valorará la AEPD durante una inspección es precisamente la documentación de cumplimiento: registro de actividades actualizado, contratos con encargados, evaluaciones de impacto, evidencias de formación del equipo, protocolo de brechas. Una empresa que puede acreditar que ha tomado medidas está en una posición defensiva infinitamente mejor.
Si la AEPD investigara tu empresa hoy, ¿estarías preparado? → Revisa tu cumplimiento de forma rápida y gratuita
La AEPD como fuente de recursos para empresas
Más allá del rol sancionador, la AEPD publica una cantidad considerable de recursos que son muy útiles para las empresas:
- Herramienta FACILITA RGPD: para que pymes y autónomos con tratamientos de bajo riesgo documenten su cumplimiento de forma simplificada.
- Resoluciones públicas: todas las resoluciones de procedimientos sancionadores son accesibles y constituyen una fuente de jurisprudencia sobre qué incumple la ley y qué no.
- Canal de consultas: empresas pueden plantear dudas concretas sobre el cumplimiento, aunque las respuestas no tienen carácter vinculante.
- Guías temáticas: videovigilancia, cookies, tratamiento de datos de empleados, transferencias internacionales, inteligencia artificial, entre otras.
En el equipo de Pdatos de Ubimia Compliance actuamos como enlace con la AEPD cuando los clientes reciben una notificación, una reclamación o se enfrentan a una inspección. Saber cómo funciona la Agencia, qué plazos maneja y qué documentación exige es fundamental para responder de forma correcta y evitar que una situación manejable se convierta en un expediente sancionador.
Cuánto pueden multar y qué infracciones se sancionan: ¿Cuáles son las sanciones por no cumplir la Ley de Protección de Datos?
Si la AEPD investigara tu empresa hoy, ¿estarías preparado? → /proteccion-de-datos/