El coste real de no cumplir con el RGPD

Análisis de las multas RGPD más importantes en España: importes, motivos, sectores afectados y cómo evitarlas. Datos de la AEPD actualizados a 2026.

¿Cuánto cuestan las multas RGPD en España?

España es uno de los países europeos más activos en la aplicación del RGPD (Reglamento General de Protección de Datos). La AEPD (Agencia Española de Protección de Datos) se ha consolidado como una de las autoridades de control más prolijas de la Unión Europea en número de resoluciones sancionadoras. Según la Memoria Anual de la AEPD, la agencia tramitó más de 15.000 reclamaciones en 2024, un volumen que la sitúa como la autoridad de protección de datos con mayor carga de trabajo de toda la UE en términos per cápita.

Los datos hablan por sí solos:

La tendencia es clara: más resoluciones, más importe total y, desde 2024, un incremento en la multa media. La AEPD está siendo progresivamente más severa, especialmente con las organizaciones reincidentes y con las que demuestran negligencia en la protección de datos.

El rango de sanciones del RGPD

El Reglamento establece dos niveles de sanción:

**Infracciones del artículo 83.4 (nivel inferior).**Hasta 10 millones de euros o el 2% de la facturación global anual (la cifra más alta). Incluyen: no mantener registros de tratamiento (art. 30), no notificar brechas de seguridad (art. 33), no realizar evaluaciones de impacto cuando son obligatorias (art. 35), no designar DPO cuando es obligatorio (art. 37).**Infracciones del artículo 83.5 (nivel superior).**Hasta 20 millones de euros o el 4% de la facturación global anual. Incluyen: tratamiento sin base legitimadora (art. 6), tratamiento sin consentimiento válido cuando es necesario (art. 7), vulneración de derechos de los interesados (arts. 15-22), transferencias internacionales sin garantías adecuadas (arts. 44-49).

En España, la LOPD-GDD (Ley Orgánica 3/2018) añade una clasificación propia:

-**Infracciones leves.**Multas de hasta 40.000 EUR. Prescriben al año. -**Infracciones graves.**Multas de 40.001 a 300.000 EUR. Prescriben a los 2 años. -**Infracciones muy graves.**Multas de 300.001 a 20 millones EUR (o 4% facturación). Prescriben a los 3 años.

¿Cuáles son las multas RGPD más altas impuestas por la AEPD?

Estos son los casos más significativos, que ilustran el alcance y la diversidad de las sanciones en España.

CaixaBank: 6 millones de euros (2021)

La mayor multa impuesta por la AEPD hasta la fecha. Motivos: tratamiento de datos sin base legitimadora adecuada y falta de transparencia en la información proporcionada a los clientes sobre el tratamiento de sus datos. La resolución señaló múltiples deficiencias en los procedimientos de obtención del consentimiento y en las cláusulas de privacidad.

Lección: el tamaño de la organización y la cantidad de datos tratados se consideran factores agravantes. Las entidades financieras, por el volumen de datos personales que manejan, están bajo un escrutinio especial.

Vodafone España: 8,15 millones de euros (2020-2022, acumulado)

Vodafone ha acumulado múltiples sanciones por infracciones reiteradas: llamadas comerciales no consentidas, portabilidades fraudulentas, falta de verificación de identidad, y deficiencias en la gestión de derechos de los interesados. La suma de sanciones individuales supera los 8 millones de euros.

Lección: la reincidencia es un factor agravante determinante. La AEPD incrementa las sanciones cuando detecta un patrón de incumplimiento sistemático.

EDP Energía / Naturgy / Endesa: entre 1 y 3 millones cada una

Las grandes energéticas han recibido sanciones recurrentes por contrataciones fraudulentas (altas sin consentimiento del titular), tratamiento excesivo de datos en procesos de verificación y deficiencias en la gestión de reclamaciones de privacidad.

La Liga (Liga Nacional de Fútbol Profesional): 250.000 euros (2019)

Por usar el micrófono de los móviles de los usuarios de su app para detectar emisiones no autorizadas de partidos. La AEPD consideró que la base legitimadora era insuficiente y que la información proporcionada a los usuarios no era transparente.

Lección: las tecnologías de vigilancia y monitorización requieren bases legitimadoras sólidas y transparencia absoluta.

Mercadona: 170.000 euros (2021)

Por instalar un sistema de reconocimiento facial en sus tiendas sin base legitimadora adecuada ni evaluación de impacto previa. La AEPD destacó la desproporción entre el fin perseguido (seguridad) y la intrusividad del tratamiento (biometría).

Glovo: 550.000 euros (2022)

Por deficiencias en la relación con sus riders como responsable del tratamiento y por falta de transparencia en las decisiones automatizadas que afectaban a los repartidores.

Pymes y autónomos: multas desde 1.000 euros

La AEPD no solo sanciona a grandes empresas. Clínicas dentales, comunidades de propietarios, tiendas online, gestores de fincas y autónomos han recibido multas desde 1.000 hasta 75.000 euros por infracciones como:

• Enviar newsletters sin consentimiento.
• No atender derechos de acceso o supresión en plazo.
• Instalar cámaras de videovigilancia sin informar adecuadamente.
• Publicar datos personales en redes sociales o páginas web sin consentimiento.
• No tener actualizada la política de privacidad.

El mensaje es claro: el RGPD aplica a todas las organizaciones que tratan datos personales, independientemente de su tamaño.

¿Qué infracciones son las más sancionadas?

El análisis de las resoluciones de la AEPD revela patrones claros. Estas son las infracciones que concentran el mayor número de sanciones.

1. Tratamiento sin base legitimadora (artículo 6 RGPD)

Es la infracción más frecuente. Incluye: tratar datos sin consentimiento válido, usar una base legitimadora incorrecta (por ejemplo, alegar interés legítimo cuando se requiere consentimiento explícito), o continuar tratando datos después de que el interesado retire su consentimiento.

Casos típicos: llamadas comerciales a personas que no lo han solicitado, envío de comunicaciones sin opt-in, contratación de servicios sin verificación de identidad del titular.

2. Falta de medidas de seguridad (artículo 32 RGPD)

El artículo 32 exige implementar medidas técnicas y organizativas “apropiadas” para garantizar la seguridad de los datos. La AEPD sanciona cuando una brecha de datos revela que las medidas eran insuficientes: datos sin cifrar, accesos sin control, ausencia de autenticación multifactor, falta de segmentación de red.

Es la infracción que más vincula la protección de datos con la ciberseguridad. Una organización con un programa de seguridad maduro (controles ENS, ISO 27001 implementados) tiene significativamente menos probabilidad de ser sancionada por este artículo.

3. Deficiencias en la información a interesados (artículos 13 y 14)

No informar adecuadamente sobre el tratamiento de datos: quién es el responsable, con qué finalidad se tratan, a quién se comunican, durante cuánto tiempo se conservan y cómo ejercer los derechos. Los errores típicos: políticas de privacidad genéricas copiadas de internet, cláusulas ilegibles, ausencia de información en formularios de recogida de datos.

4. Vulneración de derechos de los interesados (artículos 15-22)

No atender o atender fuera de plazo las solicitudes de acceso, rectificación, supresión, portabilidad u oposición. El plazo legal es de 1 mes (ampliable a 3 en casos complejos). La AEPD sanciona cuando la organización no responde o responde de forma insuficiente.

5. Falta de notificación de brechas (artículo 33)

Cuando una organización sufre una brecha de datos y no notifica a la AEPD en el plazo de 72 horas, o no notifica a los afectados cuando es necesario (artículo 34), se expone a una sanción adicional, independiente de la multa por la brecha en sí.

6. Videovigilancia sin cumplimiento

Las infracciones relacionadas con sistemas de videovigilancia representan un porcentaje significativo de las resoluciones de la AEPD: cámaras que graban la vía pública, ausencia de carteles informativos, grabaciones conservadas más tiempo del permitido (máximo 30 días según la LOPD-GDD), acceso indebido a las grabaciones.

¿Qué sectores reciben más multas RGPD?

La distribución de sanciones por sector refleja tanto la exposición al riesgo como la atención del regulador.

Telecomunicaciones

El sector más sancionado en España en volumen total de multas. Las grandes telecos acumulan multas millonarias por llamadas comerciales no consentidas, portabilidades fraudulentas y deficiencias en la gestión de datos de clientes. Es un sector con un volumen masivo de tratamientos y una base de clientes que genera un alto número de reclamaciones ante la AEPD.

Sector financiero y asegurador

Segundo sector más sancionado. Las infracciones típicas: scoring crediticio sin base legitimadora adecuada, transferencia de datos a morosos sin verificación, comunicación de datos a terceros sin consentimiento, y deficiencias en la gestión de brechas. Las entidades financieras están sujetas además a la supervisión de DORA y a normativa sectorial del Banco de España.

Energía

Las energéticas comparten con las telecos un problema estructural: contrataciones fraudulentas (altas en suministro sin consentimiento del titular) y gestión deficiente de datos en procesos de cambio de compañía.

Sanidad

El tratamiento de datos de salud (categoría especial en el RGPD, con protección reforzada) genera sanciones especialmente altas cuando hay deficiencias. La ciberseguridad en el sector salud es crítica: un acceso no autorizado a historiales clínicos puede generar una multa de cientos de miles de euros.

Sector público

La AEPD no puede multar directamente a las administraciones públicas (solo puede amonestar), pero sí pública las resoluciones. Ayuntamientos, consejerías y organismos públicos reciben resoluciones frecuentes por: publicación de datos personales en tablones de anuncios, gestión deficiente de solicitudes de acceso, videovigilancia en edificios públicos sin cumplir requisitos.

Comercio electrónico y marketing digital

Sector en crecimiento en las estadísticas de la AEPD: cookies sin consentimiento válido, newsletters sin opt-in, perfilado sin base legitimadora, y falta de atención a solicitudes de baja.

¿Cuál es el coste total de un incumplimiento (más allá de la multa)?

La multa de la AEPD es solo la punta del iceberg. El coste real de un incumplimiento RGPD incluye componentes que muchas organizaciones no anticipan.

Costes directos del procedimiento

-**Abogados especializados.**Contestar un procedimiento sancionador de la AEPD requiere asesoría legal especializada. Honorarios típicos: 5.000 - 30.000 EUR dependiendo de la complejidad. -**Consultores de privacidad.**Si necesitas contratar un DPO externo o un consultor para remediar las deficiencias identificadas: 500 - 1.500 EUR/día. -**Costes administrativos internos.**Tiempo del equipo dedicado a recopilar documentación, responder requerimientos y preparar alegaciones.

Costes de remediación

-**Implementación de medidas correctivas.**La AEPD puede ordenar medidas concretas además de la multa. Implementar esas medidas tiene un coste: nuevos sistemas, reconfiguraciones, auditorías de verificación. -**Evaluaciones de impacto retroactivas.**Si la sanción evidencia que no se realizaron EIPD obligatorias, hay que hacerlas ahora, con el agravante de hacerlo bajo presión y escrutinio. -**Formación del personal.**Programas de concienciación y formación en protección de datos para todo el personal. Coste: 5.000 - 20.000 EUR dependiendo del número de empleados.

Costes de notificación (en caso de brecha)

-**Notificación a afectados.**Si la brecha afecta a miles o millones de personas, el coste logístico de la notificación (cartas, emails, call center para consultas) puede ser enorme. -**Servicios de protección de identidad.**Algunas organizaciones ofrecen monitorización de crédito o protección de identidad a los afectados. Coste típico: 10 - 50 EUR por persona afectada. -**Investigación forense.**Determinar el alcance de la brecha, los datos afectados y la causa raíz. Coste: 15.000 - 100.000 EUR dependiendo de la complejidad.

Costes reputacionales

-**Pérdida de clientes.**Según estudios de Ponemon Institute, entre el 5% y el 7% de los clientes abandonan una empresa tras una brecha de datos pública. -**Impacto en marca.**La publicación de la resolución sancionadora en la web de la AEPD es pública y permanente. Los medios de comunicación cubren las sanciones más relevantes. -**Coste comercial.**Dificultad para cerrar nuevos contratos, especialmente con grandes empresas y administraciones públicas que verifican el historial de sanciones de sus proveedores.

Costes legales derivados

-**Demandas civiles.**Los afectados pueden reclamar indemnizaciones por daños y perjuicios. En España, las reclamaciones individuales son poco frecuentes, pero las acciones colectivas están creciendo. -**Reclamaciones de empleados.**Si la brecha afecta a datos de empleados, pueden surgir reclamaciones laborales. -**Responsabilidad de administradores.**En casos graves de negligencia, los administradores de la sociedad pueden tener responsabilidad personal.

Estimación del coste total

Para una empresa mediana española, el coste total de un incidente RGPD significativo (brecha de datos con sanción de la AEPD) puede estimarse así:

Comparado con el coste de un programa de compliance RGPD proactivo (15.000 - 50.000 EUR/año para una empresa mediana), la decisión debería ser evidente.

¿Cómo evitar sanciones RGPD?

No existe una fórmula mágica que garantice inmunidad ante la AEPD. Pero sí existe un conjunto de medidas que reduce drásticamente la probabilidad de sanción y, en caso de infracción, actúa como atenuante reconocido por el regulador.

1. Designar un DPO (Delegado de Protección de Datos)

Es obligatorio para: administraciones públicas, organizaciones que realicen tratamientos a gran escala de categorías especiales de datos, y organizaciones cuya actividad principal sea la observación sistemática de interesados a gran escala.

Incluso cuando no es obligatorio, designar un DPO (interno o externo) es una de las medidas más efectivas. El DPO actúa como guardián del cumplimiento y como interlocutor con la AEPD.

2. Mantener el registro de actividades de tratamiento (RAT)

El artículo 30 del RGPD lo exige. El RAT documenta todos los tratamientos de datos que realiza tu organización: finalidad, categorías de datos, destinatarios, plazos de conservación, medidas de seguridad. Es el primer documento que solicita la AEPD en una inspección. No tenerlo actualizado es una infracción en sí misma.

3. Realizar evaluaciones de impacto (EIPD/DPIA)

Obligatorias cuando un tratamiento pueda suponer un alto riesgo para los derechos de los interesados: perfilado, tratamiento a gran escala de datos sensibles, videovigilancia sistemática, nuevas tecnologías. La AEPD pública una lista de tratamientos que requieren EIPD en España.

La EIPD no es solo un ejercicio de cumplimiento: es una herramienta de gestión de riesgos que te permite identificar y mitigar riesgos antes de que se materialicen.

4. Implementar medidas de seguridad proporcionales

El artículo 32 no prescribe medidas concretas, sino que exige medidas “apropiadas al riesgo”. Pero hay un consenso sobre el mínimo:

-Cifrado de datos personalesen tránsito y en reposo. -Control de accesobasado en el principio de mínimo privilegio. -Autenticación multifactorpara accesos a sistemas con datos personales. -Backupscon pruebas de restauración periódicas. -Monitoring y detecciónde accesos no autorizados (idealmente con un SIEM). -Gestión de vulnerabilidadescon escaneos regulares y parcheo oportuno. -Segmentación de redpara aislar los datos personales de otros sistemas.

Si tu organización implementa los controles del ENS o ISO 27001, ya cubres la mayoría de los requisitos de seguridad del artículo 32.

5. Gestionar los derechos de los interesados con diligencia

Establece un procedimiento claro para atender solicitudes de acceso, rectificación, supresión, portabilidad, limitación y oposición. El plazo es de 1 mes. Asigna un responsable, define un flujo de trabajo, y registra cada solicitud y su resolución.

Las reclamaciones ante la AEPD por no atención de derechos son una de las vías más comunes de inicio de procedimientos sancionadores.

6. Gestionar consentimientos correctamente

Si tu base legitimadora es el consentimiento, asegúrate de que cumple los requisitos del RGPD:

-**Libre.**Sin condicionamiento (no “acepta cookies o no uses el servicio”). -**Específico.**Para cada finalidad por separado. -**Informado.**Con información clara sobre qué datos, para qué, durante cuánto tiempo. -**Inequívoco.**Acción afirmativa clara (no casillas premarcadas). -**Demostrable.**Puedes probar cuándo y cómo se obtuvo el consentimiento.

7. Notificar brechas en plazo

72 horas desde que tengas conocimiento de la brecha. No 72 horas desde que la investigues, la entiendas o la soluciones. 72 horas desde que sepas que ha ocurrido algo. Mejor notificar pronto con información parcial que no notificar. La AEPD valora positivamente la notificación diligente, incluso cuando la brecha es grave.

Implementa un playbook de respuesta a incidentes que incluya un procedimiento específico para brechas de datos personales con la notificación a la AEPD como paso obligatorio.

8. Formación continua del personal

El 90% de las brechas de datos tienen un componente humano. Formar al personal en protección de datos no es un nice-to-have, es una medida de seguridad fundamental. Además, la AEPD lo considera un atenuante: una organización que demuestra un programa de formación activo recibe sanciones significativamente menores.

La AEPD como atenuante: factores que reducen la sanción

El artículo 83.2 del RGPD lista los factores que la autoridad de control debe considerar al determinar la cuantía de la multa. Conocerlos te permite prepararte:

Factores atenuantes

-**Medidas adoptadas para paliar los daños.**Si actuaste rápidamente para minimizar el impacto. -**Grado de responsabilidad teniendo en cuenta las medidas organizativas y técnicas.**Si tenías controles implementados pero fallaron puntualmente. -**Cooperación con la autoridad.**Si colaboras activamente en la investigación. -**Notificación proactiva.**Si notificaste la brecha antes de que la AEPD la descubriera. -**Adhesión a códigos de conducta o certificaciones.**Tener ISO 27001, ENS, o adherirse a códigos de conducta aprobados se considera atenuante. -**Ausencia de beneficio financiero.**Si no obtuviste beneficio económico de la infracción.

Factores agravantes

-**Reincidencia.**Sanciones previas por infracciones similares. -**No cooperación.**Obstrucción o falta de colaboración con la AEPD. -**Naturaleza de los datos.**Datos de salud, biométricos, de menores o financieros agravan la sanción. -**Número de afectados.**A más afectados, mayor sanción. -**Duración de la infracción.**Si la infracción se prolongó en el tiempo sin corrección. -**Carácter intencional.**Si la infracción fue deliberada (vs. negligente).

Herramientas para gestionar el cumplimiento RGPD

Gestionar el RGPD manualmente (con hojas de cálculo y documentos Word) es viable para un autónomo, pero insostenible para una organización con más de 10 empleados y múltiples tratamientos. Las herramientas necesarias:

Gestión del RAT y las EIPD

Software que te permita mantener el registro de actividades de tratamiento actualizado, realizar evaluaciones de impacto con plantillas guiadas, y generar informes para la AEPD.

Gestión de consentimientos

Plataformas de consent management (CMP) para cookies y formularios web. En España, la AEPD ha publicado guías específicas sobre cookies que exigen un nivel de granularidad alto.

Gestión de derechos de los interesados

Un sistema para recibir, registrar, gestionar y responder solicitudes de derechos ARCO-POL en plazo. Debe incluir verificación de identidad del solicitante, workflow de aprobación y registro de la respuesta.

Gestión de brechas

Un módulo de respuesta a incidentes que incluya la evaluación del riesgo para los afectados, la decisión de notificación (a la AEPD y/o a los afectados), y la generación del formulario de notificación.

Plataformas GRC integradas

La opción más eficiente para organizaciones que además del RGPD deben cumplir con ENS, NIS2 o ISO 27001. Una plataforma GRC permite gestionar la privacidad como parte del programa de seguridad integral, sin duplicar herramientas ni esfuerzos.

Comparativa: España vs otros países de la UE

Para contextualizar la actividad de la AEPD, veamos cómo se compara España con otros países europeos.

España destaca por el número de resoluciones (es el país con más multas impuestas), mientras que otros países como Irlanda o Francia imponen menos multas pero de importes mucho mayores (por concentrarse en las grandes tecnológicas).

Para las empresas españolas, el mensaje es que la AEPD es extremadamente activa y que la probabilidad de ser investigado es mayor que en otros países europeos. No se trata de si te investigarán, sino de cuándo. Y cuando lo hagan, lo que encuentren determinará si hay sanción o no.

Tendencias de la AEPD para 2026-2027

Mayor atención a la IA y decisiones automatizadas

La AEPD ha anunciado planes de inspección centrados en el uso de inteligencia artificial para la toma de decisiones automatizadas que afecten a personas. Las áreas de enfoque: scoring crediticio, selección de personal, precios dinámicos, publicidad comportamental. La combinación del RGPD con el EU AI Act genera un marco regulatorio dual que las organizaciones deben navegar.

Inspección de transferencias internacionales

Tras las incertidumbres sobre el EU-US Data Privacy Framework, la AEPD está incrementando las inspecciones sobre transferencias internacionales de datos, especialmente hacia EE.UU. y países sin decisión de adecuación. Las organizaciones que usen servicios cloud americanos deben verificar que las cláusulas contractuales tipo (SCCs) están actualizadas y que las evaluaciones de impacto de transferencias (TIA) están documentadas.

Coordinación con ENISA y autoridades NIS2

La transposición de NIS2 genera solapamientos entre la protección de datos y la ciberseguridad. La AEPD está coordinando con el CCN-CERT y el INCIBE para unificar criterios sobre notificación de brechas y medidas de seguridad. Las organizaciones que cumplan ENS e ISO 27001 tendrán una posición más favorable ante ambos reguladores.

Sector público bajo escrutinio

La AEPD ha incrementado las inspecciones al sector público, especialmente en el ámbito sanitario y educativo. Aunque no puede multar a las AAPP, las resoluciones de apercibimiento son públicas y generan presión mediática.Artículos relacionados:

• Políticas de seguridad informática: cómo crearlas
• RGPD 2026: checklist para empresas
• Guía compliance ciberseguridad 2026
• NIS2: qué es y a quién afecta

Preguntas frecuentes

¿Puede la AEPD multar a una pyme o autónomo?

Sí, y lo hace regularmente. El RGPD aplica a cualquier organización que trate datos personales, independientemente de su tamaño. La AEPD ha impuesto multas desde 1.000 euros a autónomos hasta millones a grandes corporaciones. El tamaño de la organización se tiene en cuenta para determinar la cuantía (una multa de 10.000 euros puede ser proporcional para una pyme), pero la exención no existe. La única excepción: tratamientos puramente personales o domésticos.

¿Cuánto tarda la AEPD en resolver un procedimiento sancionador?

El procedimiento sancionador de la AEPD dura entre 6 y 18 meses desde la admisión de la denuncia hasta la resolución. Las fases son: admisión, investigación preliminar, acuerdo de inicio del procedimiento, alegaciones del responsable, propuesta de resolución, alegaciones finales y resolución. El plazo de prescripción (1, 2 o 3 años según la gravedad) corre desde la comisión de la infracción, no desde la denuncia.

¿Puedo recurrir una multa de la AEPD?

Sí. Caben dos vías: recurso potestativo de reposición ante la propia AEPD (1 mes) o recurso contencioso-administrativo ante la Audiencia Nacional (2 meses). Aproximadamente el 20% de las resoluciones sancionadoras se recurren. El porcentaje de éxito en los recursos es bajo (alrededor del 15-20%), pero en algunos casos se consigue una reducción significativa del importe.

¿Si tengo ISO 27001 o ENS, estoy exento de multas RGPD?

No. Las certificaciones de seguridad no eximen del cumplimiento del RGPD. Pero sí actúan como atenuante: demuestran que la organización tiene un compromiso real con la protección de datos y que las medidas de seguridad del artículo 32 están implementadas. En la práctica, las organizaciones con ISO 27001 o ENS reciben sanciones significativamente menores que las que no tienen ningún marco de seguridad implementado. Además, los controles de ENS e ISO 27001 cubren una parte sustancial de los requisitos técnicos del RGPD.

¿Cómo denunciar una infracción RGPD ante la AEPD?

Cualquier persona puede presentar una reclamación ante la AEPD a través de su sede electrónica (sede.agpd.gob.es). El proceso requiere: identificación del reclamante (DNI electrónico, certificado digital o Cl@ve), descripción de los hechos, identificación del responsable del tratamiento y, si es posible, evidencia de haber reclamado previamente al responsable. La AEPD no cobra tasa por las reclamaciones.