Multas de la AEPD: cómo evitarlas
Cómo funcionan las multas de la AEPD
La Agencia Española de Protección de Datos (AEPD) puede sancionar a empresas y autónomos por el incumplimiento del RGPD y la LOPDGDD. Las multas se gradúan según la naturaleza de la infracción, el volumen de datos afectado, el daño causado, el beneficio obtenido y la intencionalidad, entre otros criterios.
El procedimiento sancionador suele iniciarse por una denuncia de un afectado, por una actuación de oficio o por la obligación de notificar brechas. Antes de la sanción, la AEPD abre un expediente con plazos para alegaciones, lo que permite defenderse y, en muchos casos, reducir la multa o evitarla si se acredita el cumplimiento.
Tipos de infracciones
La LOPDGDD clasifica las infracciones en tres niveles:
- Leves: multas de hasta 900 euros. Se refieren a incumplimientos menores, como no informar adecuadamente en determinados supuestos.
- Graves: multas de 900 a 40.000 euros. Incluyen, por ejemplo, el tratamiento de datos sin base jurídica, la falta de medidas de seguridad cuando no se cause un daño grave, o el incumplimiento del deber de información.
- Muy graves: multas de 40.000 a 1.000.000 de euros, o hasta 2.000.000 si se trata de un responsable o encargado. Se reservan para los incumplimientos más graves, como el tratamiento de datos especialmente protegidos sin consentimiento, la transferencia internacional fuera de los cauces legales, o la vulneración del derecho de oposición.
El RGPD, por su parte, establece un régimen sancionador propio que puede alcanzar los 20 millones de euros o el 4% del volumen de negocio anual global para las infracciones más graves.
Causas más frecuentes de sanción
En la práctica, las sanciones más habituales se originan por:
- Falta de información al interesado: no entregar la información del artículo 13 RGPD al recoger los datos.
- Tratamiento sin base jurídica: usar los datos para una finalidad no consentida o no amparada por una base legítima.
- Cláusulas legales deficientes: políticas de privacidad o de cookies no conformes, o banner de cookies sin consentimiento válido.
- Falta de medidas de seguridad: accesos no controlados, ausencia de cifrado, contraseñas débiles, ausencia de copias de seguridad.
- No atender los derechos de los interesados: ignorar solicitudes de acceso, rectificación o supresión dentro de los plazos.
- No notificar brechas de seguridad: la AEPD exige notificar las brechas que entrañen riesgo en plazos muy cortos (72 horas en general).
- Encargados sin contrato: externalizar tratamientos sin contrato del artículo 28 RGPD.
Cómo evitar las multas
La forma más eficaz de evitar sanciones es construir una adaptación sólida y mantenerla. Las medidas prácticas que más reducen el riesgo son:
- Disponer de un registro de actividades de tratamiento actualizado.
- Tener contratos con todos los encargados que acceden a datos personales.
- Informar correctamente en formularios, web y contratos.
- Implementar un banner de cookies con consentimiento válido y opción de rechazo equivalente.
- Aplicar medidas de seguridad proporcionadas: control de accesos, cifrado, copias de seguridad, formación del equipo.
- Atender los derechos de los interesados en plazo y dejar constancia.
- Tener un procedimiento de respuesta a brechas y notificar a la AEPD cuando proceda.
- Revisar la adaptación al menos una vez al año.
Qué hacer si recibes un expediente
Si la AEPD abre un expediente sancionador, lo más importante es no ignorarlo. Los plazos para alegaciones son cortos y una defensa razonada puede reducir o anular la sanción. Disponer de la documentación de la adaptación al día (registro, contratos, cláusulas, registro de consentimientos) es la mejor prueba de cumplimiento.
En LOPD ADAPTA asesoramos a empresas y autónomos de Bizkaia, Bilbao y toda España tanto en la adaptación preventiva como en la respuesta a expedientes. Si quieres anticiparte a las multas, escríbenos a hola.lopdadapta@gmail.com o llámanos al 638 707 936.