Una multa de la AEPD puede llegar, según el RGPD, hasta 10 millones de euros o el 2% de la facturación anual mundial en las infracciones del tramo inferior, y hasta 20 millones o el 4% en las del tramo superior (siempre la cuantía que sea mayor). Eso es lo que permite la ley como máximo: en la práctica las sanciones son muy inferiores, y en 2024 la AEPD impuso 35.592.200 € repartidos en 281 resoluciones con multa.
Conviene no confundir las dos cosas. Una es lo que el artículo 83 del RGPD prevé como techo, y otra es lo que la Agencia sanciona de verdad. Esta guía separa ambas, repasa qué se multa más (para saber por dónde priorizar) y llega a la conclusión que interesa a cualquier pyme o autónomo: cumplir cuesta menos que no cumplir. Sin alarmismo, con las cifras oficiales.
Lo que prevé la ley: los dos tramos del artículo 83 del RGPD
El RGPD establece dos niveles de multa administrativa. En los dos, la sanción se calcula como “la cuantía que sea mayor” entre un importe fijo en euros y un porcentaje de la facturación:
- Tramo inferior (artículo 83.4): hasta 10.000.000 € o el 2% del volumen de negocio anual mundial total del ejercicio anterior. Recoge incumplimientos de corte más organizativo, como las obligaciones del responsable y del encargado del tratamiento (por ejemplo, el contrato del artículo 28).
- Tramo superior (artículo 83.5): hasta 20.000.000 € o el 4% del volumen de negocio, la cuantía que sea mayor. Aquí entran las infracciones más graves, como vulnerar los principios básicos del tratamiento o los derechos de las personas.
La fórmula “la que sea mayor” tiene una consecuencia práctica: para una multinacional el porcentaje puede superar de largo los millones fijos, mientras que para una pyme o un autónomo, cuya facturación es pequeña, el tope de referencia es el importe fijo. Pero esto es solo el techo. Son los máximos que autoriza la norma, no una tarifa ni la cantidad que se paga en un caso corriente.
Lo que sancionó de verdad la AEPD en 2024
Aquí es donde el número da un vuelco. Según la Memoria 2024 de la AEPD, ese año:
- Se presentaron 18.855 reclamaciones (19.722 si se cuentan las transfronterizas y las actuaciones de oficio).
- Se dictaron 281 resoluciones con multa.
- El total sancionado fue de 35.592.200 €.
Lo primero que se ve es que la mayoría de las reclamaciones no acaba en multa. De casi 19.000 reclamaciones, 281 terminaron en sanción económica. Y si se reparte el importe total entre esas resoluciones, la media aritmética supera los 126.000 €, aunque esa media engaña: está inflada por un puñado de sanciones muy grandes a compañías grandes. La foto realista no es “todas las multas son millonarias”, sino “unas pocas lo son y el resto quedan muy por debajo del máximo legal”.
Por eso la pregunta útil para un negocio pequeño no es cuál es el máximo teórico, sino qué se sanciona más y por qué.
Qué se multa más (y por dónde priorizar)
La Memoria 2024 deja dos pistas claras para ordenar prioridades.
Las brechas de seguridad son las multas grandes. Los procedimientos por brechas de datos supusieron 13.179.600 €, el 37% del total sancionado, concentrados en apenas 30 procedimientos. Traducido: cuando la sanción es alta, muchas veces hay detrás una fuga o un incidente de seguridad. Prevenir brechas (con medidas técnicas y organizativas, y con un procedimiento de respuesta) es lo que más dinero evita.
Por número de reclamaciones, crecen los temas del día a día. Las materias que más aumentaron fueron:
- Videovigilancia (+19%): cámaras mal señalizadas, que graban vía pública o zonas de terceros.
- Servicios de internet (+8%): webs, apps y plataformas.
- Comercio, transporte y hostelería (+7%): negocios de trato directo con el público.
- Ámbito laboral (+49%): el mayor salto, ligado al control y los datos de empleados.
Y hay un tercer foco que no llega por ninguna fuga masiva: la falta de papeles. La AEPD sanciona la ausencia de garantías formales aunque no haya habido ningún incidente. El caso de SEUR y CITIBOX, donde el grueso de la multa llegó por no tener el contrato de encargado del tratamiento (artículo 28), lo ilustra bien: el “papeleo” que muchas empresas posponen es justo lo que la Agencia revisa.
¿Pueden multar a un autónomo o a una pyme pequeña?
Sí. La AEPD no actúa solo contra grandes corporaciones. Cualquier responsable de un tratamiento de datos, sea una sociedad, una pyme o un autónomo, puede ser sancionado si incumple.
Ahora bien, el importe se modula. La Agencia valora la gravedad de la infracción, si hubo intención o negligencia, el número de afectados, la reincidencia y el volumen de negocio, entre otros factores. Por eso una sanción a un negocio pequeño no equivale al máximo legal de 10 o 20 millones: se ajusta a su realidad. Lo que no cambia es que la infracción existe igual, y que el coste de defenderse y corregir después suele superar con creces lo que habría costado prevenir.
Además, el importe puede reducirse. Por pronto pago y por reconocimiento de responsabilidad la sanción baja, y en algunos casos ambas reducciones se acumulan. En la resolución de SEUR GEOPOST, la multa pasó de 205.000 € a 164.000 € por pronto pago. Sigue siendo mucho dinero: reducir una sanción siempre es más caro que no tenerla.
Cumplir cuesta menos que no cumplir
Aquí está el cálculo que importa. Frente a una posible multa, hay que sumar tres costes que casi nadie contabiliza al principio:
- La sanción en sí, cuyo suelo no es simbólico incluso en negocios pequeños.
- El arreglo que tendrás que hacer igual. Tras una sanción, la AEPD te obliga a corregir. Vas a acabar adaptándote de todas formas, pero a destiempo y con la multa ya pagada.
- El coste reputacional y de tiempo: clientes que preguntan, proveedores que exigen garantías, horas dedicadas a un procedimiento en lugar de al negocio.
Adaptarse de forma proactiva, en cambio, es un coste acotado, conocido y una sola vez (con revisiones cuando cambia algo). No depende de tu suerte ni de que nadie te reclame. Es la diferencia entre una inversión que controlas y un riesgo que no.
Por dónde empezar
El orden lógico para una pyme o un autónomo es saber primero dónde estás y después corregir lo que falte, empezando por lo que más se sanciona (brechas, videovigilancia, contratos con proveedores, web).
- Si quieres un diagnóstico completo de tu situación, la auditoría RGPD te da el mapa de qué falta y en qué orden atacarlo.
- Si necesitas poner al día toda la operativa de datos, la adaptación de empresa al RGPD cubre tratamientos, seguridad y contratos con proveedores.
- Si tu punto débil es la web (cookies, formularios, textos legales), la adaptación web al RGPD la deja en regla.
Puedes ver todo el catálogo en nuestros servicios de protección de datos. Y si quieres una primera foto sin coste de tu punto de partida, solicita la auditoría gratuita: revisamos por dónde conviene empezar antes de que lo haga la AEPD.