Apercibimiento AEPD o multa: los 5 pasos del CEPD para decidir cuál te toca

Un apercibimiento (artículo 58.2.b del RGPD) es la medida con la que la AEPD constata que hubo una infracción sin imponer multa, y el criterio que el CEPD acaba de poner en consulta lo asocia sobre todo a las infracciones «menores». Cuando la infracción no es menor, el punto de partida es la multa, y en qué lado caes depende en buena parte de lo que tu empresa haya hecho antes de que llegue una reclamación.

El CEPD (Comité Europeo de Protección de Datos, formado por el director de una autoridad de control de cada Estado miembro y por el Supervisor Europeo de Protección de Datos) ha publicado un método en cinco pasos para que las autoridades decidan si multan, o si basta con otra medida correctiva. Aquí te explicamos los cinco pasos, qué factores pesan de verdad y qué puede preparar una pyme o un autónomo hoy.

Aviso previo: es un criterio en consulta, no un texto definitivo

Son las Directrices 04/2026 sobre la aplicación del poder de imponer multas administrativas en relación con otros poderes correctivos del RGPD. Conviene tener claro su estado:

• La versión 1.0 se adoptó el 17 de septiembre de 2026 para consulta pública, abierta hasta el 13 de noviembre de 2026.
• Se dirigen a las autoridades de control, entre ellas la AEPD, para armonizar cómo deciden (apdo. 7). El CEPD prevé revisarlas con regularidad (apdo. 13).
• El propio texto aclara que las autoridades no están obligadas a seguir todos los pasos si no son aplicables al caso (apdo. 10), que los ejemplos no son precedentes (apdo. 11) y que citar las Directrices no sustituye la motivación de cada resolución (apdo. 12).

Por eso este artículo no afirma que la AEPD aplique ya estas Directrices tal cual. Lo que sí es útil es entender el razonamiento que las autoridades europeas están armonizando, porque los factores en los que se apoya (el artículo 83.2 del RGPD) ya están en vigor.

Cuando hay infracción, no todo es multa

El artículo 58.2 del RGPD da a la autoridad varios poderes correctivos. Los que más importan aquí:

• Advertencia (letra a): cuando el tratamiento previsto pueda infringir el Reglamento. Es previa a la infracción, y el CEPD entiende que, por la misma conducta, no puede sumarse una multa a una advertencia (apdos. 22 y 23).
• Apercibimiento (letra b): cuando el tratamiento ya ha infringido el Reglamento.
• Orden de ajuste (letra d): ordenar que el tratamiento se ajuste al RGPD de una determinada manera y dentro de un plazo.
• Limitación o prohibición del tratamiento (letra f).
• Multa (letra i): «además o en lugar de» las anteriores, según las circunstancias de cada caso.

El artículo 83.2 repite la idea: las multas se imponen a título adicional o sustitutivo de esas medidas. La cuestión es, entonces, cuándo toca una y cuándo otra. Eso es lo que ordenan los cinco pasos.

Los cinco pasos del CEPD

Los pasos 1 a 3 son condiciones jurídicas previas para poder multar. Los pasos 4 y 5 deciden si se multa en lugar de, o además de, otras medidas (apdo. 9).

Paso 1: ¿la infracción puede llevar multa?

La autoridad comprueba que hay una infracción y que la norma permite sancionarla con multa. Los artículos 83.4 a 83.6 del RGPD abarcan casi todas las obligaciones del responsable y del encargado (apdos. 37 y 38). Los topes de cada tramo y las cifras reales que impone la AEPD los explicamos en cuánto cuesta una multa de la AEPD.

Paso 2: ¿se puede multar a esa parte?

Se identifica quién es el destinatario de la obligación incumplida: responsable, encargado u otro. Para una pyme, lo relevante es esto: el responsable responde no solo por sus directivos, sino por cualquier persona que actúe por su cuenta, y que un empleado no siguiera las instrucciones no basta por sí solo para librarse (apdo. 41). También responde de lo que hace un encargado del tratamiento por su cuenta, salvo en casos concretos como que trate los datos para fines propios (apdo. 42).

Paso 3: ¿hubo dolo o negligencia?

Sin culpa no hay multa (apdo. 48). Pero el listón de la negligencia es bajo: no exige voluntad, basta con que el responsable estuviera en condiciones de saber que su conducta era ilícita, y se espera que se informe de las obligaciones que le aplican (apdo. 49). El CEPD añade que solo en circunstancias muy excepcionales cabe invocar la buena fe y que, cuando existen directrices del CEPD sobre la materia, el error se considera siempre evitable (apdo. 50).

Los ejemplos del documento van en la misma línea: una empresa unipersonal que ignora un derecho de acceso por desconocimiento incurre en negligencia (ejemplo 3), y un dictamen jurídico no exculpa por sí solo, sobre todo si no se puede aportar o si se siguió a ciegas (ejemplo 4).

Paso 4: ¿los factores del artículo 83.2 indican una infracción menor?

Es el paso decisivo. El CEPD recuerda que el considerando 148 del RGPD prevé que, en caso de infracción menor («leve», dice la versión española) o cuando la multa suponga una carga desproporcionada para una persona física, pueda imponerse un apercibimiento en lugar de una multa (apdos. 26 y 56). Para saber si la infracción es menor, la autoridad pondera los factores agravantes y atenuantes del artículo 83.2, letras a) a k).

La consecuencia, según las Directrices:

• Si la infracción se considera menor, como regla general no se impone multa y puede apercibirse.
• Si no se considera menor, hay una presunción fuerte de que se impondrá multa (apdo. 57).

Ojo con no mezclar conceptos. La LOPDGDD llama leves a las infracciones «de carácter meramente formal» y a algunas que enumera, como no dar toda la información de los artículos 13 y 14 o no atender una solicitud de derechos (artículo 74, con prescripción al año). Su preámbulo aclara que esa clasificación se hace «a los solos efectos de determinar los plazos de prescripción». Ni ella ni el «leve» de la versión española del considerando 148 equivalen a la «infracción menor» de las Directrices, que no sale de una lista sino de valorar los factores del artículo 83.2 en cada caso (apdo. 59).

Paso 5: ¿la multa sería efectiva, proporcionada y disuasoria?

Último filtro, con base en el artículo 83.1 del RGPD. Según el CEPD:

• Aunque la infracción sea menor, la autoridad podría todavía multar si lo justifican la efectividad, la proporcionalidad y la disuasión (apdo. 115). Y en algunos casos menores puede no ser apropiado ejercer ningún poder correctivo (apdos. 116 y 117; ejemplo 12).
• Aunque la infracción no sea menor, puede preferir un apercibimiento cuando la multa fuera una carga desproporcionada para una persona física o jurídica (apdos. 119 y 120).
• La disuasión pesa: la autoridad debe mantener una práctica de multar que desincentive tanto a quien infringe a propósito como a quien no adopta medidas y acaba incumpliendo por negligencia (apdo. 112).

Qué factores del paso 4 se deciden antes de la reclamación

Aquí está la utilidad práctica. De los factores del artículo 83.2, varios dependen de lo que hayas hecho (o no) antes de que nadie reclame. Con los matices que pone el propio CEPD:

• Medidas técnicas y organizativas (artículo 83.2.d, en relación con los artículos 25 y 32). La autoridad valora si el responsable hizo lo que cabía esperar según la naturaleza, los fines y el tamaño del tratamiento (apdo. 75), y puede tener en cuenta documentación que acredite cuándo y cómo se implantaron las medidas (apdo. 78). Matiz importante: tenerlas no suele ser atenuante por sí mismo, porque el RGPD ya las exige; solo lo es en circunstancias excepcionales, si se ha ido más allá de lo obligatorio (apdo. 77). Dicho de otro modo, cumplir lo exigible no suma puntos, pero no cumplirlo resta. En una brecha, este es el factor central, como contamos en por qué te sanciona la AEPD tras una brecha de seguridad.
• Rapidez en reparar (artículo 83.2.c). Las medidas para paliar el daño pesan más si se adoptan por iniciativa propia antes de que el responsable conozca la investigación (apdo. 74).
• Antecedentes (artículo 83.2.e). Las infracciones anteriores agravan; la mera ausencia de infracciones no es, por sí sola, un atenuante (apdo. 88). La repetición puede convertir en «no menor» una infracción que lo habría sido (ejemplos 5 y 10).
• Cooperación (artículo 83.2.f). Cooperar con la autoridad ya es obligatorio (artículo 31), así que la cooperación ordinaria no atenúa; solo lo hace la que va más allá de lo exigible y reduce de verdad el impacto en las personas (apdos. 90 y 91).
• Qué datos y a cuántas personas (artículo 83.2.a y g). Pesan más los datos de categorías especiales o financieros, la duración de la infracción, el número de afectados y los desequilibrios como el de los empleados (apdos. 65, 68, 70 y 92). Esto no se corrige después: se decide al diseñar el tratamiento.
• Cómo llega a conocimiento de la autoridad (artículo 83.2.h). Ante una reclamación, el factor suele ser neutro; si se notificó la infracción por iniciativa propia antes de que la autoridad la conociera, puede atenuar. En las brechas, la notificación del artículo 33 es obligatoria y se considera neutral (apdos. 95 y 96).
• Códigos de conducta y certificaciones (artículo 83.2.j). La adhesión a un código de conducta aprobado puede indicar que la infracción es menor (apdo. 102).

La LOPDGDD añade criterios españoles (artículo 76.2): entre ellos, tener un delegado de protección de datos cuando no es obligatorio, o someterse voluntariamente a mecanismos alternativos de resolución de conflictos con los interesados.

Tres ejemplos del CEPD con pymes

Son casos imaginarios que el documento usa como ilustración. No son precedentes (apdo. 11), pero muestran cómo se razona.

• Una pyme no responde a un derecho de acceso (ejemplo 6). El correo pudo acabar en spam. La autoridad apreció infracción menor y apercibió. Pesaron a favor: pidió disculpas por escrito, aclaró cómo localizar al responsable correcto, atendió la petición de inmediato cuando la autoridad la contactó y nunca le había pasado nada parecido, lo que hacía comprensible que no revisara el spam. En contra, algo: la solicitud siguió sin respuesta hasta que la autoridad intervino.
• Una operadora pequeña responde con un mes de retraso (ejemplo 10). Al principio se trató como menor y se apercibió. Al aparecer más casos idénticos, la autoridad entendió que era un problema de fondo y no una excepción, y pasó a la multa. Es la repetición lo que cambia la respuesta.
• Una pyme no actualiza su información de transparencia para un sorteo puntual (ejemplo 12). La corrigió antes de que la autoridad abriera la investigación. La infracción se consideró menor y se entendió que no era proporcionado ejercer ningún poder correctivo.

Qué puede preparar hoy una pyme o un autónomo

Nada de lo siguiente asegura un apercibimiento: la decisión es discrecional y cada caso se valora por separado. Pero cada punto responde a un factor que las Directrices ponen sobre la mesa:

1. Medidas de seguridad apropiadas y protección de datos desde el diseño (artículos 32 y 25), con fecha y por escrito, para poder enseñar cuándo y cómo se implantaron.
2. Un procedimiento para los derechos de las personas, con alguien que vigile el canal de entrada y el plazo de un mes del artículo 12.3. Los ejemplos 6 y 10 giran exactamente en torno a esto.
3. Información a las personas al día (artículo 13), también cuando cambia un tratamiento, como en el ejemplo 12.
4. Contratos con encargados e instrucciones al personal (artículo 28 y artículo 32.4), porque respondes de lo que hagan por tu cuenta (apdos. 41 y 42).
5. Asesoramiento documentado. Si te apoyas en un dictamen, que conste con información completa y sin dejar de pensar por ti mismo (ejemplo 4).
6. Un plan para el día que llegue una reclamación: responder, corregir cuanto antes y conservar la evidencia de qué se hizo y cuándo. Las medidas adoptadas por iniciativa propia antes de la investigación pesan más que las posteriores (apdo. 74).

Lo que no se puede arreglar después es lo que ya pasó: la duración, el tipo de datos o los antecedentes. Por eso cuanto antes se haga el diagnóstico, más margen hay.

Cómo te ayudamos

El primer paso es saber qué podrías enseñar hoy si mañana te llegara una reclamación. La auditoría web gratuita te da una primera foto, sin coste, de tu punto de partida. Si necesitas el diagnóstico completo de la empresa, la auditoría RGPD ordena qué falta y en qué orden, y la adaptación de empresa al RGPD lo implanta con documentación que puedas presentar.

Para mantener esa evidencia viva a lo largo del tiempo, existe la Protección Legal Continua. Y si ya has recibido una reclamación, un requerimiento o un traslado de la AEPD, la defensa ante reclamaciones se trabaja a medida: cuéntanos tu caso y lo revisamos.

La conclusión de las Directrices, vista desde una pyme, cabe en una línea: la diferencia entre un apercibimiento y una multa se construye antes de la reclamación, no durante.