¿Me pueden sancionar sin haber recibido antes un aviso?

Sí. La AEPD puede iniciar un procedimiento a partir de una reclamación de una persona afectada, sin necesidad de un aviso previo. En algunos casos traslada primero la reclamación a la organización para que la resuelva, pero no es obligatorio que lo haga.

¿Puede la AEPD solo apercibir en lugar de multar?

Sí. El RGPD permite imponer un apercibimiento en lugar de una multa en algunos casos, sobre todo cuando se trata de personas físicas o la infracción es leve. Depende de las circunstancias de cada caso.

¿Puedo pagar menos si reconozco la infracción?

Sí. La normativa de procedimiento administrativo prevé reducciones del 20 % por reconocer la responsabilidad y otro 20 % por pago voluntario, que pueden acumularse, siempre que se renuncie a recurrir en vía administrativa.

Sanciones de protección de datos: errores frecuentes

Comerciante leyendo con preocupación una carta oficial

Lo importante en breve

Las multas del RGPD pueden llegar a 10 o 20 millones de euros según la infracción.
Videovigilancia, publicidad sin consentimiento y falta de respuesta a derechos son errores frecuentes.
Las brechas con riesgo deben notificarse a la AEPD en 72 horas.

La Agencia Española de Protección de Datos publica sus resoluciones sancionadoras en su web. Leídas en conjunto, dejan claro que muchas sanciones a pymes y autónomos no se deben a grandes fallos técnicos, sino a errores básicos y repetidos.

Las cuantías que fija la ley

El artículo 83 del RGPD establece dos escalas de multas:

Hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, por ejemplo por incumplir obligaciones de seguridad o de registro.
Hasta 20 millones de euros o el 4 % del volumen de negocio, por ejemplo por tratar datos sin base legal o vulnerar los derechos de las personas.

Las multas a pequeñas empresas son mucho menores, pero pueden suponer varios miles de euros, una cantidad muy relevante para un negocio pequeño. Además, el envío de comunicaciones comerciales sin consentimiento se sanciona también por la LSSI.

Errores frecuentes

Videovigilancia sin cartel informativo o con cámaras que graban la vía pública o zonas de descanso del personal.
Correos o mensajes comerciales sin consentimiento previo ni forma sencilla de darse de baja.
No atender las solicitudes de acceso o supresión de datos en el plazo de un mes.
Publicar datos de personas sin necesidad, por ejemplo en grupos de mensajería o en redes sociales.
Brechas de seguridad no notificadas a la AEPD en 72 horas cuando hay riesgo para las personas.

Cómo reducir el riesgo

Tener la documentación al día, informar correctamente y contar con un procedimiento para atender derechos y brechas evita la mayoría de estos casos. Además, la ley permite reducir el importe si la persona sancionada reconoce su responsabilidad y paga de forma voluntaria.

A quién afecta

Cualquier organización que trate datos personales, en especial comercios, hostelería, clínicas, gimnasios y clubes.

Qué conviene hacer

Revisar carteles de videovigilancia, consentimientos de envíos comerciales y el procedimiento para atender derechos y brechas.

Preguntas frecuentes

¿Me pueden sancionar sin haber recibido antes un aviso?: Sí. La AEPD puede iniciar un procedimiento a partir de una reclamación de una persona afectada, sin necesidad de un aviso previo. En algunos casos traslada primero la reclamación a la organización para que la resuelva, pero no es obligatorio que lo haga.
¿Puede la AEPD solo apercibir en lugar de multar?: Sí. El RGPD permite imponer un apercibimiento en lugar de una multa en algunos casos, sobre todo cuando se trata de personas físicas o la infracción es leve. Depende de las circunstancias de cada caso.
¿Puedo pagar menos si reconozco la infracción?: Sí. La normativa de procedimiento administrativo prevé reducciones del 20 % por reconocer la responsabilidad y otro 20 % por pago voluntario, que pueden acumularse, siempre que se renuncie a recurrir en vía administrativa.