¿Cuánto cuesta una multa de la AEPD? Tramos del RGPD y cifras reales de 2025

Una multa de la AEPD puede llegar, según el RGPD, hasta 10 millones de euros o el 2% de la facturación anual mundial en las infracciones del tramo inferior, y hasta 20 millones o el 4% en las del tramo superior (siempre la cuantía que sea mayor). Eso es lo que permite la ley como máximo: en la práctica las sanciones son muy inferiores, y en 2025 la AEPD impuso 48.108.765 € repartidos en 325 resoluciones con multa.

Conviene no confundir las dos cosas. Una es lo que el artículo 83 del RGPD prevé como techo, y otra es lo que la Agencia sanciona de verdad. Esta guía separa ambas, repasa qué se multa más (para saber por dónde priorizar) y llega a la conclusión que interesa a cualquier pyme o autónomo: cumplir cuesta menos que no cumplir. Sin alarmismo, con las cifras oficiales.

Lo que prevé la ley: los dos tramos del artículo 83 del RGPD

El RGPD establece dos niveles de multa administrativa. En los dos, la sanción se calcula como “la cuantía que sea mayor” entre un importe fijo en euros y un porcentaje de la facturación:

• Tramo inferior (artículo 83.4): hasta 10.000.000 € o el 2% del volumen de negocio anual mundial total del ejercicio anterior. Recoge incumplimientos de corte más organizativo, como las obligaciones del responsable y del encargado del tratamiento (por ejemplo, el contrato del artículo 28).
• Tramo superior (artículo 83.5): hasta 20.000.000 € o el 4% del volumen de negocio, la cuantía que sea mayor. Aquí entran las infracciones más graves, como vulnerar los principios básicos del tratamiento o los derechos de las personas.

La fórmula “la que sea mayor” tiene una consecuencia práctica: para una multinacional el porcentaje puede superar de largo los millones fijos, mientras que para una pyme o un autónomo, cuya facturación es pequeña, el tope de referencia es el importe fijo. Pero esto es solo el techo. Son los máximos que autoriza la norma, no una tarifa ni la cantidad que se paga en un caso corriente.

Lo que sancionó de verdad la AEPD en 2025

Aquí es donde el número da un vuelco. Según la Memoria 2025 de la AEPD, ese año:

• Se presentaron 30.931 reclamaciones, un 64% más que el año anterior y máximo histórico.
• Se dictaron 325 resoluciones con multa.
• El total sancionado fue de 48.108.765 €.

Lo primero que se ve es que la mayoría de las reclamaciones no acaba en multa. De casi 31.000 reclamaciones, 325 terminaron en sanción económica. Y si se reparte el importe total entre esas resoluciones, la media aritmética ronda los 148.000 €, aunque esa media engaña: está inflada por un puñado de sanciones muy grandes a compañías grandes (la más alta de 2025, a AENA, superó los 10 millones). La foto realista no es “todas las multas son millonarias”, sino “unas pocas lo son y el resto quedan muy por debajo del máximo legal”.

Por eso la pregunta útil para un negocio pequeño no es cuál es el máximo teórico, sino qué se sanciona más y por qué.

Qué se multa más (y por dónde priorizar)

La Memoria 2025 deja dos pistas claras para ordenar prioridades.

Las brechas de seguridad son las multas grandes. En 2025 se notificaron 2.765 brechas de datos, y son las que están detrás de las sanciones más altas. El caso de Flexicar lo resume: 680.000 € por una brecha, de los cuales 250.000 € fueron precisamente por no tener medidas de seguridad adecuadas (artículo 32) cuando llegó el ciberataque. Es decir, la multa no la provoca el atacante, sino la falta de preparación. Prevenir brechas (con medidas técnicas y organizativas, y con un procedimiento de respuesta) es lo que más dinero evita.

Por número de reclamaciones, el grueso lo concentran los servicios de internet, la videovigilancia y la administración pública. Pero justo detrás aparecen áreas del día a día de cualquier pyme, que son las que aquí interesan:

• Comercio, transporte y hostelería: negocios de trato directo con el público.
• Publicidad: comunicaciones comerciales y perfilado.
• Ficheros de morosidad: inclusiones indebidas en listas de impagados.
• Ámbito laboral: control y datos de empleados.

Y hay un tercer foco que no llega por ninguna fuga masiva: la falta de papeles. La AEPD sanciona la ausencia de garantías formales aunque no haya habido ningún incidente. El caso de SEUR y CITIBOX, donde el grueso de la multa llegó por no tener el contrato de encargado del tratamiento (artículo 28), lo ilustra bien: el “papeleo” que muchas empresas posponen es justo lo que la Agencia revisa.

¿Pueden multar a un autónomo o a una pyme pequeña?

Sí. La AEPD no actúa solo contra grandes corporaciones. Cualquier responsable de un tratamiento de datos, sea una sociedad, una pyme o un autónomo, puede ser sancionado si incumple.

Ahora bien, el importe se modula. La Agencia valora la gravedad de la infracción, si hubo intención o negligencia, el número de afectados, la reincidencia y el volumen de negocio, entre otros factores. Por eso una sanción a un negocio pequeño no equivale al máximo legal de 10 o 20 millones: se ajusta a su realidad. Lo que no cambia es que la infracción existe igual, y que el coste de defenderse y corregir después suele superar con creces lo que habría costado prevenir.

Además, el importe puede reducirse. Por pronto pago y por reconocimiento de responsabilidad la sanción baja, y en algunos casos ambas reducciones se acumulan. En la resolución de SEUR GEOPOST, la multa pasó de 205.000 € a 164.000 € por pronto pago. Sigue siendo mucho dinero: reducir una sanción siempre es más caro que no tenerla.

Por eso la adaptación RGPD para autónomos y pymes existe como servicio con niveles: las obligaciones de fondo son las mismas, pero el alcance (y el coste) se ajusta al tamaño real del negocio.

Cumplir cuesta menos que no cumplir

Aquí está el cálculo que importa. Frente a una posible multa, hay que sumar tres costes que casi nadie contabiliza al principio:

1. La sanción en sí, cuyo suelo no es simbólico incluso en negocios pequeños.
2. El arreglo que tendrás que hacer igual. Tras una sanción, la AEPD te obliga a corregir. Vas a acabar adaptándote de todas formas, pero a destiempo y con la multa ya pagada.
3. El coste reputacional y de tiempo: clientes que preguntan, proveedores que exigen garantías, horas dedicadas a un procedimiento en lugar de al negocio.

Adaptarse de forma proactiva, en cambio, es un coste acotado, conocido y una sola vez (con revisiones cuando cambia algo). No depende de tu suerte ni de que nadie te reclame. Es la diferencia entre una inversión que controlas y un riesgo que no. Y si no sabes qué te falta, una auditoría RGPD te lo dice antes de gastar en corregir a ciegas.

Por dónde empezar

El orden lógico para una pyme o un autónomo es saber primero dónde estás y después corregir lo que falte, empezando por lo que más se sanciona (brechas, videovigilancia, contratos con proveedores, web).

• Si quieres un diagnóstico completo de tu situación, la auditoría RGPD te da el mapa de qué falta y en qué orden atacarlo.
• Si necesitas poner al día toda la operativa de datos, la adaptación de empresa al RGPD cubre tratamientos, seguridad y contratos con proveedores.
• Si tu punto débil es la web (cookies, formularios, textos legales), la adaptación web al RGPD la deja en regla.

Puedes ver todo el catálogo en nuestros servicios de protección de datos. Y si quieres una primera foto sin coste de tu punto de partida, solicita la auditoría gratuita: revisamos por dónde conviene empezar antes de que lo haga la AEPD.