Sanciones de la AEPD: estudio de datos.
Hemos leído una a una las 110 resoluciones de procedimiento sancionador que la Agencia Española de Protección de Datos publicó entre el 5 de diciembre de 2025 y el 23 de julio de 2026: quién paga y quién no, cuánto se paga de verdad, qué comunidades aparecen y qué hizo cada una de las doce empresas multadas con más de 100.000 €. Cada cifra lleva su denominador, y el dataset completo se descarga más abajo.
El límite del dataset, antes que nada: estas 110 resoluciones no son «todas» las sanciones de la AEPD del periodo, son las que se pudieron descargar. El buscador de la Agencia falló de forma reproducible en 63 páginas de resultados dentro del rango trabajado (errores 500 y 503 repetidos en varios intentos separados por más de quince minutos), lo que deja fuera hasta unas 630 resoluciones potenciales. El rango cubierto va del 5 de diciembre de 2025 al 23 de julio de 2026. Todo el detalle está en «Cómo se hizo».
Edición
1.ª edición · septiembre de 2026
Periodo analizado
5-dic-2025 a 23-jul-2026
Próxima actualización
marzo de 2027
Este estudio se actualiza cada seis meses, en marzo y en septiembre, con las resoluciones del semestre cerrado. Cada edición se publica en esta misma dirección y conserva las anteriores: las cifras de arriba son siempre las de la edición vigente, y en la ficha del dataset consta a cuál corresponden.
Los cinco hallazgos.
Medidos sobre las 110 resoluciones descargadas
Leídas una a una las partes dispositivas, cinco cosas resisten a la lectura completa. La primera es la que ningún titular cuenta.
Y el quinto: casi todas las multas son pequeñas
38 de las 65 multas cuantificadas están por debajo de 10.000 €, y 14 no llegan a 1.000 €. Esa es la sanción realista para una pyme que trata mal unos datos: no la ruina, pero sí un expediente público con su nombre y su NIF, que queda indexado en el buscador de la Agencia y en Google.
Cuánto se multa de verdad.
Sobre las 65 resoluciones con multa cuantificada
La media aritmética de estas multas es de 118.193 €, y es una cifra inútil: la arrastran cinco expedientes de siete cifras. La mediana —el punto donde la mitad queda por debajo— es de 5.000 €. Cuando alguien dice «las multas del RGPD llegan a 20 millones», está citando el techo del art. 83, no lo que ocurre.
El tramo más poblado es el de 1.001 a 5.000 €. La multa más pequeña del periodo son 200 €; la mayor, 2.000.000 €.
Pagar pronto sale a cuenta, y mucho
23 de las 65 multas se redujeron por pago voluntario, por reconocer la responsabilidad o por ambas cosas: 684.460 € menos en total. El art. 85 de la Ley 39/2015 permite un 20 % de descuento por reconocer los hechos y otro 20 % por pagar antes de la resolución, y son acumulables. Décimas, S.L. pasó así de 200.000 € a 120.000 €; Hyundai Motor España, de 2.000.000 € a 1.600.000 €.
La rebaja tiene precio: para conservarla hay que renunciar a recurrir. Es una decisión de negocio, no un trámite administrativo.
Las multas con nombre.
Las doce multas de más de 100.000 € · importe según la parte dispositiva
Doce de las 65 multas superan los 100.000 €, y aquí están las doce. La AEPD publica con nombre las resoluciones que afectan a personas jurídicas, así que se pueden citar: cada ficha resume el hecho y enlaza al PDF oficial para comprobarlo. Lo llamativo es lo cotidiano de casi todos los hechos. Un servidor sin actualizar, una contraseña compartida, un agente de chat atendiendo a dos personas a la vez.
La mayor multa del periodo. Un atacante entró en un servidor de la empresa del grupo que gestiona su base de datos de clientes y se llevó 5,4 GB con los datos de 1.012.730 clientes y clientes potenciales —nombre, fecha de nacimiento, teléfono, dirección y número de bastidor del coche—, sin cifrar. El servidor arrastraba ocho actualizaciones de seguridad sin aplicar, una de ellas crítica, que corregían justo el fallo aprovechado. Los primeros afectados no fueron avisados hasta casi tres meses después.
Dieron de alta una línea de móvil a nombre de una clienta que no la había pedido (150.000 €); emitieron un duplicado de su factura y se lo entregaron a un tercero después de cambiarle los datos en el sistema (otros 150.000 €); y la Agencia sumó 750.000 € por las deficiencias de seguridad del canal telefónico de atención al cliente que lo hizo posible.
Un ciberataque sacó datos de clientes y de clientes potenciales captados por los formularios de su web, DNI incluido. En paralelo, una reclamante llevaba desde mayo de 2023 pidiendo repetidamente que borrasen sus datos sin que nadie la atendiera: la empresa alegó que no pudo por «la gran cantidad de correos electrónicos».
Expediente por una brecha de datos en el que la Agencia sancionó el fallo de confidencialidad y archivó, en cambio, la parte relativa a las medidas de seguridad y a la comunicación a los afectados. Es uno de los dos casos del periodo en que una misma resolución multa por un artículo y archiva por otros.
Un agente del chat de atención al cliente estaba atendiendo a dos personas a la vez y actualizó la ficha de un cliente moroso con el correo electrónico de la otra. Esa persona empezó a recibir avisos de impago con el nombre, la dirección y el número de cliente de un desconocido. La Agencia lo trató como un fallo de diseño del canal, no como un despiste.
Los once operarios de la central de alarmas subcontratada veían las cámaras de las oficinas —clientes, empleados y proveedores— entrando todos con el mismo usuario y la misma contraseña. Sin cuentas individuales no hay forma de saber quién miró qué ni cuándo.
El club pidió a sus 143.000 socios que validaran su identidad con reconocimiento facial —un selfie con movimiento de cabeza comparado con el DNI— sin haber hecho antes una evaluación de impacto en condiciones. La Agencia archivó la parte del art. 9 y sancionó solo la falta de evaluación previa.
Sustituyó la tarjeta de fichaje por la huella dactilar en su fábrica de Páramo de Masa (Burgos), sosteniendo que al leer solo parte de la huella y cifrarla no había dato biométrico. La Agencia respondió que sí lo hay, que es un dato de categoría especial y que se trató sin base legal válida ni evaluación de impacto: 300.000 € por lo primero y 100.000 € por lo segundo.
Una inyección de código SQL contra su web, ejecutada a través del proveedor tecnológico que se la mantenía, sacó nombre, correo, fecha de nacimiento y DNI de sus clientes, que acabaron a la venta en un foro. La empresa no lo detectó: se enteró porque el INCIBE le avisó de que alguien estaba vendiendo sus datos.
Asignaron a un cliente nuevo un número de teléfono que ya estaba en uso. Durante horas dos personas distintas recibieron las mismas llamadas y los mismos mensajes, y el titular original perdió su cuenta de WhatsApp y quedó fuera de todos sus grupos. La Agencia ordenó además acreditar en tres meses las medidas de seguridad para la reasignación de números.
Obligaba a sus conductores de VTC a usar su móvil personal para trabajar y a instalar en él cuatro aplicaciones que seguían su ubicación y su actividad de forma continua, con permisos para acceder a contactos, grabaciones de sonido, fotos y vídeos. Ni base legal para hacerlo, ni información suficiente a una plantilla de casi 5.800 personas: 100.000 € por pedir de más, 80.000 € por no poder justificarlo y 20.000 € por no contarlo.
Para recuperar la contraseña del área de cliente bastaba con acertar el número de póliza y los cuatro últimos dígitos de la forma de pago. Un agente con el que la aseguradora había roto el contrato año y medio antes seguía sabiéndose esos datos de una clienta: le cambió la contraseña y estuvo entrando en su área privada durante cinco semanas.
Dos matices que conviene no perder: las resoluciones de Iberia y de AXA imponen multa y archivan parte del expediente, así que aparecen en las dos columnas de cualquier recuento; y los importes de Flexicar, Maxamcorp y Ares Capital son la suma de varias multas, una por infracción, tal como las lista la propia parte dispositiva.
Castilla y León y el mapa autonómico.
15 de las 110 resoluciones tienen territorio identificable
Aquí hace falta una advertencia antes que un dato. La AEPD no publica dónde está la entidad sancionada, y contar menciones de topónimos en el texto no sirve: «Madrid» aparece en las 110 resoluciones porque la Agencia tiene allí su sede. Lo único determinista es el NIF del sector público: en las letras P, Q y S, los dos dígitos que siguen a la letra son el código de provincia. Con las empresas privadas no se puede hacer —en las letras A y B esos dígitos indican el Registro Mercantil donde se constituyó la sociedad, no dónde opera—, así que las 55 empresas privadas del estudio se quedan sin comunidad asignada y no entran en este reparto.
El resultado son 15 expedientes localizables (más tres organismos de ámbito estatal, que no se cuentan como «de Madrid» por tener allí su sede). En 14 de esos 15, el propio nombre de la entidad nombra su territorio, lo que permite comprobar el método contra algo independiente: 0 discrepancias entre lo que dice el nombre y lo que dice el NIF.
Las quince son declaraciones de infracción sin multa, porque las quince son sector público. No hay ni una sola comunidad autónoma cuya administración haya pagado dinero en este periodo.
Los cuatro casos de Castilla y León
Alguien usurpó las credenciales de un usuario de un ayuntamiento y descargó de golpe el registro autonómico de animales de compañía (SIACYL): 72.722 registros con nombre, DNI, dirección y teléfono de 43.340 dueños de mascotas, el 7 % del censo. No lo detectaron sus propios controles —no había doble factor ni alarma por volumen anómalo desde una sola IP—: les avisó el Centro Criptológico Nacional.
Una madre pidió ver los exámenes de Tecnología de su hija. La AEPD ya había ordenado en 2024 que se los entregaran o le explicaran por qué no; en lugar de eso le enviaron certificados de un colegio distinto, y siguieron sin acreditar nada durante más de un año pese a varios requerimientos. Lo que se sanciona no es la negativa: es desobedecer a la autoridad de control.
En una reunión con vecinos en el salón de actos del Ayuntamiento, y respondiendo a una pregunta sobre la relación de puestos de trabajo, el alcalde dijo en voz alta cuánto cobraba al mes, en neto, una trabajadora municipal identificable por su cargo. No hacía falta ese detalle para responder: eso es el principio de minimización.
El Ayuntamiento cortó el alumbrado de una urbanización y, cuando el vecino afectado acudió a los tribunales, encargó a un técnico una inspección eléctrica en la que hizo constar a ese mismo vecino —con nombre, DNI y domicilio— como titular de la red. Una sentencia posterior confirmó que la instalación era municipal y anuló el corte.
Un caso por cada una de las demás comunidades
| Comunidad | Entidad y hecho | Expediente |
|---|---|---|
| Cantabria | Gobierno de Cantabria. Un ciberataque a YEDRA, la aplicación de gestión del alumnado no universitario, filtró unos 150.000 registros de alumnos y tutores sobre una base de unos 250.000 usuarios. Es la única de las 15 en la que la Agencia ordena además medidas con plazo (tres meses). | PS/00038/2026 |
| Cantabria | Ayuntamiento de Santander. Un boletín de denuncia de tráfico dejado en el parabrisas con el nombre, los apellidos y el DNI completo del propietario a la vista de cualquiera. | PS/00254/2025 |
| Cantabria | Ayuntamiento de Piélagos. No contestó a dos requerimientos de información de la Agencia; alegó después una vacante sin cubrir en el personal informático. | PS/00050/2025 |
| Aragón | Servicio Aragonés de Salud. Una empleada conservó durante dos años y medio permisos de acceso a la historia clínica electrónica que ya no le correspondían tras cambiar de puesto, y los usó para mirar la historia de una compañera. La baja informática se pidió en 2021 y no se ejecutó hasta 2023. | PS/00537/2024 |
| Aragón | Diputación Provincial de Huesca. Una carpeta del servicio de bomberos con datos de salud, afiliación sindical, orientación sexual y opinión política quedó accesible desde los ordenadores de todos los parques. Además, la Agencia declara conflicto de intereses por haber nombrado responsable del canal de denuncias a la propia delegada de protección de datos. | PS/00548/2024 |
| Canarias | Ayuntamiento de San Cristóbal de La Laguna. No acreditó haber cumplido las medidas que la Agencia ya le había impuesto por enviar correos a muchos destinatarios sin copia oculta, ni siquiera tras dos requerimientos más. | PS/00014/2025 |
| Illes Balears | Ayuntamiento de Palma. Los contenedores de orgánica se abren con la tarjeta ciudadana y cada apertura queda registrada con el número de tarjeta, el contenedor y la hora. Cinco infracciones a la vez: sin base legal, sin informar, sin plazo de conservación, sin evaluación de impacto y sin constar en el registro de tratamientos. | PS/00329/2024 |
| Galicia | Diputación de Pontevedra. En una oficina de gestión tributaria exigieron a un ciudadano escanear o fotocopiar su DNI como condición para admitirle un escrito, cuando ya se estaba identificando presencialmente con el original. | PS/00138/2025 |
| Extremadura | Servicio Extremeño de Salud. No respondió en plazo a un requerimiento de la Agencia; contestó casi un año después, ya iniciado el procedimiento sancionador. | PS/00390/2025 |
| C. Valenciana | Ayuntamiento de Canals. Los exámenes de tres alumnos de un taller de empleo, con nombre y DNI, debían triturarse y acabaron en un contenedor de la calle, donde los vio quien pasaba y de ahí a las redes sociales. | PS/00506/2025 |
| C. de Madrid | Ayuntamiento de Ajalvir. Un comunicado municipal publicado en la web y en redes citaba dos veces el nombre y los apellidos de un vecino vinculándolo a las sentencias que había ganado contra el Ayuntamiento. Salía en Google al buscar su nombre. | PS/00163/2025 |
Los tres organismos estatales del periodo —Dirección General de la Policía, Dirección General de la Guardia Civil y Organismo Estatal Inspección de Trabajo y Seguridad Social— tienen NIF de Madrid porque allí está su sede, pero su ámbito es toda España, así que quedan fuera del reparto autonómico en lugar de inflar el dato de Madrid.
A quién sanciona la Agencia.
Sobre las 110 resoluciones descargadas
El tipo de entidad no se estima: sale de la letra del NIF, que en España es determinista. P, Q y S son sector público; A y B, sociedades; F, G y V, asociaciones y cooperativas; H, comunidades de propietarios. Cuando el identificador viene anonimizado o es extranjero, se recurre a la forma jurídica del nombre con el que la resolución designa a la parte sancionada (S.L., LLC, «Asociación», «Mancomunidad»).
De las 25 que quedan sin tipo, 21 nombran a la parte sancionada como persona física anonimizada —la fórmula «A.A.A.» que usa la Agencia— y 4 no permiten determinarlo. La AEPD publica con nombre a las personas jurídicas, no a las físicas.
| Tipo de entidad | Resoluciones | Con multa |
|---|---|---|
| Empresa privada | 55 | 46 |
| Particular o sin determinar | 25 | 11 |
| Administración pública | 19 | 0 |
| Asociación, cooperativa o entidad sin ánimo de lucro | 6 | 5 |
| Otra persona jurídica | 4 | 2 |
| Comunidad de propietarios | 1 | 1 |
«El régimen sancionador de las administraciones públicas no es una versión suave del de las empresas: es otro régimen. La Agencia investiga igual, prueba igual y declara la infracción igual. Lo único que no hace es cobrar.»
Ángel Ortega Castro · Summum Consultoría
El art. 77 de la LOPDGDD sustituye la multa por una declaración de infracción, una orden de medidas con plazo y la comunicación al Defensor del Pueblo y, en su caso, al órgano del que dependa el infractor. Para un responsable público la consecuencia no es económica, es de rendición de cuentas —y, en la práctica, mucho más incómoda de explicar en un pleno que una factura.
Cuando el sancionado es un particular.
21 de las 110 · personas físicas, anonimizadas por la propia Agencia
El RGPD no es solo cosa de empresas. En 21 de las 110 resoluciones la parte sancionada es una persona física, que la Agencia identifica siempre como «A.A.A.»: publica con nombre a las personas jurídicas, no a las físicas. Y el comportamiento del expediente es distinto: 13 de esas 21 se archivan y solo 8 terminan en multa, con una mediana de 1.500 € y un máximo de 20.000 €.
El artículo que más se les declara infringido es el 6.1 —tratar datos de otra persona sin ninguna base que lo legitime—, en 7 de las que declaran artículo. No son fallos de seguridad ni brechas: es usar el dato de alguien para un interés propio.
La mayor multa a un particular del periodo, y llega por acumulación: el buscador permitía filtrar por «preferencias sexuales», que es un dato de categoría especial (6.000 €); el registro pedía nombre, teléfono y correo sin informar de nada (4.000 €); no había medidas de seguridad adecuadas (5.000 €); y no existía base legal para el tratamiento (5.000 €).
Instaló cuatro cámaras en las zonas comunes del interior de la vivienda —cocina, escalera, calentador y entrada— sin cartel de zona videovigilada, sin que constara en el contrato y sin informar ni pedir permiso a los inquilinos. Una de ellas denunció además que las imágenes las veían personas ajenas al contrato.
Sacó del Catastro la certificación descriptiva y gráfica de una finca —con nombre, apellidos y domicilio de su titular— y se la entregó a una clienta. La certificación acabó en manos de un tercero, que se presentó en el domicilio de la titular y le escribió pidiéndole que renunciara por escrito a la propiedad.
Usó como portada de un vídeo, en un canal con 156.000 suscriptores, la fotografía de una persona tomada de un medio de prensa, con una flecha señalándola y sin su consentimiento. Más de dos años después la imagen seguía publicada. La cifra es baja; la resolución, pública.
Y uno que se archiva, que explica la frontera
Un ciudadano presentó un escrito en el registro electrónico de un organismo público y se equivocó de campo: metió el nombre y el NIF del destinatario donde iba el del representado, con lo que trató datos de otra persona sin base legal. La Agencia lo dice con todas las letras —hay conducta antijurídica— y aun así archiva, porque el art. 28 de la Ley 40/2015 exige dolo o culpa y aquí ve un error de cumplimentación.
«Aunque puede entenderse que existe una conducta antijurídica consistente en haber tratado los datos personales de la parte reclamante sin la existencia de una base jurídica que legitime el tratamiento, se estima que, en este caso, de tal conducta no puede nacer responsabilidad administrativa.»
AEPD · PS/00230/2025
Esa es la frontera entre los 13 archivos y las 8 multas: no si el dato salió, sino si hubo descuido o intención. Por eso el mismo hecho puede acabar en 6.000 € o en nada.
Qué artículo se infringe.
Sobre las 58 resoluciones que declaran el artículo en su parte dispositiva
De las 110, solo 58 declaran el artículo infringido en su propia parte dispositiva; las otras 52 confirman un acuerdo de inicio anterior y no lo repiten. Contarlas todas juntas sería mezclar dos niveles de evidencia, así que el denominador aquí es 58. Una resolución puede infringir más de un artículo, por eso las veces suman más de 58.
Qué significa cada uno, en la práctica
- Art. 6.1 — tratar datos sin base legal. El más frecuente con diferencia. No es un fallo técnico: es haber usado datos sin poder señalar por qué se podía. En este periodo lo cometen desde una operadora que da de alta una línea hasta un ayuntamiento que registra aperturas de contenedor.
- Art. 5.1.f) — confidencialidad. El artículo de las brechas y de los datos que llegan a quien no debía. Cubre tanto el ciberataque como el correo mal enviado.
- Art. 32 — medidas de seguridad. Suele acompañar al 5.1.f): primero se declara que los datos salieron, después que las medidas no eran adecuadas al riesgo. Aquí es donde entran las contraseñas compartidas y la falta de doble factor.
- Art. 5.1.c) — minimización. Pedir o publicar más de lo necesario. Es el artículo de la fotocopia del DNI que no hacía falta y del dato de más en un documento público.
- Art. 13 — información al interesado. No haber contado, en el momento de recoger los datos, para qué se recogen y cuánto se guardan.
- Art. 9 — categorías especiales. Salud, biometría, afiliación sindical, ideología, orientación sexual. Su presencia dispara el importe: dos de las multas más altas del periodo son por tratar biometría dando por hecho que no lo era.
- Art. 35 — evaluación de impacto. No haberla hecho antes de un tratamiento de alto riesgo. Es la infracción que sanciona la falta de deberes previos, no el daño: se puede infringir sin que nadie haya sufrido nada.
Los artículos 58 y 83 no aparecen en esta cuenta aunque se citen en casi todas las resoluciones: el 83 es el que tipifica la infracción y fija el techo, y el 58 son los poderes de la Agencia. Confundirlos con la infracción es el error más común al leer una resolución por encima.
Administraciones y empresas no infringen lo mismo.
Sobre las 42 que declaran artículo y tienen tipo de entidad determinado
Cruzando el artículo infringido con el tipo de entidad aparece un patrón que no se ve en el recuento global, y que cambia qué hay que revisar según dónde trabaje uno.
Administración pública · 14 resoluciones
Empresa privada · 28 resoluciones
A la administración se le sanciona lo que se le escapa; a la empresa, lo que recoge. Arriba mandan la confidencialidad (5.1.f) y la minimización (5.1.c): el dato salió, o se publicó de más. Abajo manda la base legal (6.1) y aparece el deber de informar (13), que no sale ni una vez en el sector público: el problema es de origen, datos que se piden o se usan sin poder explicar por qué.
Denominadores pequeños: 14 y 28 resoluciones. El patrón es consistente con lo que se ve al leerlas, pero con estas cifras es una señal, no una ley. La próxima edición dirá si se mantiene.
Cómo termina un expediente.
Sobre las 110 resoluciones descargadas
| Resultado | Resoluciones | % sobre 110 |
|---|---|---|
| Multa | 65 | 59 % |
| Archivo, incluida la caducidad del procedimiento | 26 | 24 % |
| Declaración de infracción sin multa | 19 | 17 % |
Las 110 quedan clasificadas: no hay categoría «otro». Que un expediente se archive no significa siempre que no pasara nada: una parte de los archivos son caducidades, es decir, procedimientos que se pasaron del plazo legal de nueve meses.
Qué se lleva de aquí una pyme.
Lectura profesional de los 110 expedientes
Este apartado no es dato, es criterio: es lo que nosotros sacamos de haber leído las 110 resoluciones seguidas. Está separado del resto a propósito.
- Casi ningún expediente empieza por un ciberataque. Empieza por un correo con las direcciones a la vista, un documento en la basura, una ficha actualizada con el dato de otro cliente. Lo que multa la Agencia suele ser un procedimiento interno que nadie escribió.
- La subcontrata no traslada la responsabilidad. En este periodo hay multas por lo que hizo la central de alarmas, por lo que hizo el proveedor web y por lo que hizo el técnico contratado para una inspección. El responsable del tratamiento responde igual.
- No contestar a la Agencia es, por sí solo, una infracción. Varios expedientes del periodo existen únicamente porque alguien no respondió a un requerimiento. Es la sanción más barata de evitar que hay.
- La huella dactilar para fichar es dato biométrico. Cifrarla o leer solo una parte no cambia su naturaleza. Dos de las mayores multas del periodo salen de haber dado por hecho lo contrario.
- La evaluación de impacto se sanciona aunque no haya daño. El art. 35 castiga no haber hecho el análisis previo. Cuando el tratamiento es de alto riesgo, el papel es parte del cumplimiento, no burocracia.
- Si va a haber multa, la aritmética del art. 85 importa. Reconocer la responsabilidad y pagar antes de la resolución puede recortar el 40 %, a cambio de renunciar a recurrir. Es una decisión que se toma con números delante, no por inercia.
Si su organización necesita un delegado de protección de datos externo o una revisión de estos puntos, es exactamente lo que hacemos: DPO externo sectorial y adecuación al RGPD.
Cómo se hizo, y qué falla.
Método, controles y errores corregidos
Los datos salen de los PDF que la AEPD publica en aepd.es, descargados en
serie con reintentos. De cada documento se lee su parte dispositiva —el bloque
«RESUELVE»— y, en concreto, el último que aparece: las resoluciones
transcriben antes el acuerdo de inicio con su propio «RESUELVE», y leer el primero en
lugar del último produce datos equivocados.
Un extractor ingenuo confunde los topes del art. 83 del RGPD (10 y 20 millones, que la resolución cita al tipificar) con la multa real. El método los descarta por construcción, y además suma las multas cuando la resolución impone una por cada artículo infringido.
Los controles, con su número
- 29 resoluciones releídas de forma completa e independiente, sin acceso al dataset: 20 expedientes de muestra determinista más las 9 multas mayores. Resultado: 0 discrepancias sobre 29.
- Control cruzado interno sobre las 110: cuando una resolución declara ella misma el total y además desglosa las multas por infracción, ambas cifras tienen que cuadrar. 0 descuadres.
- 20 controles sintéticos que se ejecutan antes de generar el dataset, cuatro de ellos casos que deben fallar: un archivo puro no puede salir como multa, una empresa privada no puede recibir provincia, «SEIS MESES (6 meses)» no es un importe y una caducidad por «presunta infracción» no es una declaración de infracción. Si alguno pasa, el CSV no se genera.
- Reparto autonómico: 14 de los 15 casos localizables permiten contrastar el código de provincia del NIF contra el territorio que nombra la propia entidad. 0 discrepancias.
Lo que este estudio no puede decir
- No cubre todo el periodo. Faltan hasta unas 630 resoluciones que el buscador de la AEPD no devolvió. No hay motivo para pensar que las que faltan sean distintas de las que están, pero tampoco hay forma de comprobarlo.
- No sitúa a las empresas privadas. Por lo explicado en el reparto autonómico: 49 de 110 resoluciones se quedan sin territorio.
- No dice el sector de actividad. Deducirlo por palabras clave del texto da falsos positivos —una mención incidental no es la actividad de la entidad—, así que se ha retirado del dataset en lugar de publicarlo mal.
- No mide la reincidencia. Vodafone aparece dos veces en el periodo, con 1.050.000 € y 250.000 €, pero 110 resoluciones son pocas para afirmar nada sobre patrones de repetición.
Preguntas frecuentes.
Respondidas con las 110 resoluciones de este estudio, no con el texto de la norma
¿Cuál es la multa media de la AEPD?
La media aritmética de las 65 multas cuantificadas de este periodo es de 118.193 €, y es una cifra engañosa: la arrastran cinco expedientes de siete cifras. La mediana es de 5.000 €, y 38 de las 65 multas están por debajo de 10.000 €. Para una pyme, la cifra realista es la mediana, no la media.
¿Puede la AEPD multar a un ayuntamiento?
No. Puede declarar que ha infringido el RGPD, ordenarle medidas con plazo y comunicarlo al Defensor del Pueblo, pero no puede imponerle multa: lo impide el artículo 77 de la LOPDGDD. En este estudio, 0 de las 19 administraciones públicas sancionadas pagó dinero, frente a 46 de las 55 empresas privadas.
¿Puede sancionarme la AEPD siendo un particular?
Sí. En 21 de las 110 resoluciones la parte sancionada es una persona física. De esas 21, ocho terminaron en multa —mediana de 1.500 € y máximo de 20.000 €— y trece se archivaron. El caso típico no es un ciberataque: es usar el dato de otra persona sin base que lo justifique, como grabar zonas comunes de una vivienda alquilada o publicar la foto de alguien sin su permiso.
¿Cuánto se ahorra pagando pronto una multa de la AEPD?
Hasta un 40 %. El artículo 85 de la Ley 39/2015 permite una reducción del 20 % por reconocer la responsabilidad y otra del 20 % por pagar antes de que se dicte la resolución, y son acumulables. En este estudio se aplicaron en 23 de las 65 multas: once con el 20 % y doce con el 40 %, 684.460 € menos en total. La rebaja está condicionada a renunciar a recurrir.
¿Qué artículo del RGPD se infringe más?
El artículo 6.1: tratar datos sin una base legal que lo legitime. Aparece en 17 de las 58 resoluciones que declaran el artículo en su parte dispositiva. Le siguen el 5.1.f) —confidencialidad, 12 veces— y el 32 —medidas de seguridad, 8 veces—. El reparto cambia según quién sea el infractor: en el sector público mandan el 5.1.f) y el 5.1.c).
¿Es obligatorio tener un delegado de protección de datos (DPO)?
Depende de la actividad, no del tamaño: el artículo 37 del RGPD y el 34 de la LOPDGDD fijan los supuestos, que incluyen a todas las administraciones públicas y a quienes hacen observación habitual y sistemática a gran escala o tratan categorías especiales de datos. En este estudio no hay ninguna sanción por no haber designado DPO; sí hay una por haber designado responsable del canal de denuncias a la propia delegada de protección de datos, lo que la Agencia consideró conflicto de intereses (art. 38 del RGPD).
¿La huella dactilar para fichar es un dato biométrico?
Sí, y es de categoría especial. Una empresa del periodo sostuvo que al leer solo parte de la huella y cifrarla no había dato biométrico; la Agencia respondió que sí lo hay, que se trató sin base legal válida y sin evaluación de impacto, y le impuso 400.000 € entre las dos infracciones.
¿Qué pasa si no contesto a un requerimiento de la AEPD?
Que se abre un expediente sancionador por eso solo, distinto del asunto original. En este periodo hay varias resoluciones cuya única infracción es no haber respondido a la Agencia (artículo 58.1 del RGPD) o no haber acreditado el cumplimiento de una resolución anterior (artículo 58.2). Le ocurrió tanto a administraciones como a empresas y a particulares. Es la sanción más barata de evitar que existe.
¿Dónde se consultan las resoluciones de la AEPD?
En el buscador de resoluciones de aepd.es, gratuito y público. Cada
resolución tiene su PDF con URL estable. En este estudio, los 31 enlaces a
resoluciones citadas apuntan al documento oficial, no a una copia nuestra: el
CSV descargable incluye el enlace de las 110.
Descarga y cómo citar.
CC BY 4.0 · uso libre citando la fuente
Las 110 resoluciones en un CSV, con el enlace al PDF original de cada una para comprobar cualquier fila caso por caso. Incluye el nombre de la entidad sancionada cuando la resolución lo publica, el tipo de entidad, la provincia y comunidad cuando son determinables, los artículos infringidos, el resultado y el importe antes y después de la reducción por pronto pago.
Una línea lista para copiar:
Summum Consultoría, «Sanciones de la AEPD: estudio de 110 resoluciones», 1.ª edición (sep-2026), https://summumconsultoria.es/estudio-sanciones-aepd
Para periodistas
Si prepara una pieza sobre esto, en la sala de prensa tiene contacto directo y los datos de la empresa para citarla con precisión. Podemos calcular sobre el dataset cualquier cifra que necesite y explicarle cómo se obtuvo; lo que no vamos a hacer es estimarla.