Multas RGPD a pymes: cuánto pueden ser y cómo reducir el riesgo

Las multas RGPD a pymes preocupan a muchos negocios pequeños, a menudo por titulares con cifras millonarias. La realidad es más matizada. Aquí explicamos cómo funcionan las sanciones de protección de datos y qué importes fija la norma. También, qué fallos suelen acabar en un expediente de la AEPD.

No es asesoramiento jurídico. Es una guía para entender el sistema y saber dónde poner el foco. Cada caso concreto conviene revisarlo con un profesional.

Cómo funcionan las multas RGPD a pymes y autónomos

En España se aplican dos normas a la vez. El Reglamento General de Protección de Datos (RGPD) es europeo y fija las cuantías máximas. La Ley Orgánica 3/2018 (LOPDGDD) lo adapta y añade la clasificación de las infracciones y sus plazos de prescripción.

La Agencia Española de Protección de Datos (AEPD) es quien investiga y sanciona. Puede actuar por una reclamación de un cliente, un empleado o un vecino, o por iniciativa propia.

No toda infracción termina en multa. Según el Comité Europeo de Protección de Datos, las autoridades pueden imponer medidas adecuadas y proporcionadas. Van desde advertencias y apercibimientos hasta órdenes de corregir el tratamiento y multas administrativas.

Lo que sí exige el RGPD es que cada multa sea «efectiva, proporcionada y disuasoria» en el caso concreto. Por eso una misma infracción no cuesta lo mismo a una multinacional que a un autónomo. Es la clave para entender las multas RGPD en pymes.

¿Cuánto es la multa por no cumplir la LOPD? Importes máximos del RGPD

Mucha gente sigue hablando de «la LOPD». Sin embargo, los importes de las sanciones de protección de datos los fija el artículo 83 del RGPD. Hay dos escalones.

1. 01
   Hasta 10 millones de euros o el 2 % de la facturaciónArtículo 83.4. Se aplica a determinadas obligaciones del responsable y del encargado del tratamiento.
2. 02
   Hasta 20 millones de euros o el 4 % de la facturaciónArtículo 83.5. Incluye los principios básicos del tratamiento, como los del artículo 5, y las condiciones del consentimiento.

En las empresas, el porcentaje se calcula sobre el volumen de negocio anual global. Se aplica la cifra de mayor cuantía entre el importe fijo y el porcentaje.

Conviene leer bien la palabra «hasta». Son techos legales, no tarifas. Las directrices 04/2022 del Comité Europeo de Protección de Datos lo tienen en cuenta. Prevén que la autoridad pueda ajustar la cuantía de partida según el tamaño de la empresa. Para las de menor facturación, ese ajuste puede ser muy grande.

Infracciones RGPD leves, graves y muy graves: plazos de prescripción

El RGPD no clasifica las infracciones por gravedad. Lo hace la LOPDGDD en sus artículos 72, 73 y 74. Esa clasificación sirve, sobre todo, para saber cuánto tiempo tiene la AEPD para actuar.

• Muy graves: prescriben a los tres años. Entre ellas, tratar datos vulnerando los principios y garantías del artículo 5 del RGPD.
• Graves: prescriben a los dos años. Aquí aparecen, por ejemplo, incumplimientos en la notificación de brechas de seguridad.
• Leves: prescriben al año. Son las de carácter más formal y menor impacto.

Un matiz importante: que una infracción sea «leve» no significa que tenga una multa pequeña predefinida. El importe se fija siempre con los criterios del artículo 83 del RGPD. La sanción ya impuesta también prescribe, en plazos que dependen de su cuantía.

Cómo se calculan las multas RGPD: criterios de graduación

El artículo 83.2 del RGPD enumera los factores que la autoridad debe valorar en cada caso. El artículo 76 de la LOPDGDD añade otros propios. Estos son los que más pesan en una pyme.

1. 01
   Naturaleza, gravedad y duraciónNo es lo mismo un error puntual que una práctica que se repite durante años.
2. 02
   Personas afectadas y daños sufridosCuenta el número de interesados y el perjuicio que han podido sufrir.
3. 03
   Intencionalidad o negligenciaUn descuido no se valora igual que una decisión consciente de saltarse la norma.
4. 04
   Medidas para paliar el dañoCorregir el fallo en cuanto se detecta es un argumento a favor.
5. 05
   Infracciones anteriores y cooperaciónEl historial previo y la colaboración con la AEPD durante el expediente influyen en la cuantía.
6. 06
   Categorías de datosLos datos de salud y otros especialmente protegidos elevan el riesgo, algo clave en clínicas y centros sanitarios.
7. 07
   Factores de la LOPDGDDEl artículo 76.2 cita, entre otros, el carácter continuado de la infracción y la vinculación de la actividad con el tratamiento de datos. También, disponer de un delegado de protección de datos sin estar obligado.

Reducciones por reconocer la infracción y pagar

Una vez abierto el procedimiento, la Ley 39/2015 permite reducir la multa. Su artículo 85 prevé reducciones de, al menos, el 20 % por reconocer la responsabilidad y por pagar voluntariamente antes de la resolución. Son acumulables.

A cambio, la empresa debe renunciar a recurrir en vía administrativa. Antes de aceptarlo, conviene valorarlo con calma y con asesoramiento.

Infracciones RGPD más habituales en pymes y autónomos

La mayoría de expedientes y multas RGPD a pymes no nacen de grandes filtraciones. Nacen de fallos cotidianos que cualquiera puede detectar con una revisión.

• Videovigilancia mal planteada. Cámaras que captan la vía pública, zonas comunes o puestos de trabajo de forma permanente, o carteles informativos incompletos.
• Publicidad sin consentimiento. La LSSI prohíbe enviar correos comerciales no solicitados ni autorizados, salvo a clientes previos sobre productos similares y con opción sencilla de baja.
• Web sin textos legales o con cookies sin consentimiento. Formularios sin información sobre el tratamiento y cookies no técnicas instaladas antes de que el usuario acepte.
• Brechas no notificadas. Un ordenador robado, un correo enviado a quien no debía o una web hackeada que no se comunica ni se documenta.
• No atender los derechos. Ignorar a quien pide acceder a sus datos, borrarlos o dejar de recibir publicidad.

Videovigilancia: un ejemplo real

En la resolución PS/00439/2024, la AEPD analizó las cámaras de una clínica dental constituida como sociedad limitada. Algunas grababan a pacientes en los gabinetes durante el tratamiento y otras, de forma continua, a los empleados en sus puestos.

La Agencia lo consideró contrario al principio de minimización de datos. Propuso multas de 5.000 € y 3.000 € y ordenó reorientar las cámaras. La empresa se acogió a las reducciones por reconocimiento y pago voluntario.

Cookies y comunicaciones comerciales

Aquí entra también la LSSI (Ley 34/2002). Su artículo 22.2 exige consentimiento informado para instalar cookies, salvo las técnicas o estrictamente necesarias para el servicio que pide el usuario. Esta ley tiene su propio régimen de infracciones y sanciones.

¿Tu web es antigua o nadie la revisa? Un servicio de mantenimiento web ayuda a tener al día el banner de cookies y los formularios.

Brechas de seguridad

Según la AEPD, el responsable debe notificar la brecha «sin dilación indebida y en un plazo máximo de 72 horas» desde que tiene constancia. No es necesario si es improbable que suponga un riesgo para las personas.

Además, todas las brechas deben documentarse, se notifiquen o no. Si te ha pasado con la web, revisa qué hacer cuando tienes una web WordPress hackeada.

Derechos de los interesados

El plazo para responder es de un mes desde que llega la solicitud. Se puede ampliar dos meses más por complejidad o volumen, avisando al interesado dentro del primer mes y explicando el motivo.

Cómo reducir el riesgo de multas RGPD en tu pyme

No existe el riesgo cero frente a las multas RGPD, pero sí un cumplimiento razonable y documentado. Esta lista sirve como punto de partida para revisar tu negocio.

• Revisa qué datos tratas, para qué y con qué base jurídica: clientes, empleados, proveedores y contactos de la web.
• Pon al día los textos legales de la web: aviso legal, política de privacidad, política de cookies y cláusulas en cada formulario.
• Comprueba que el banner de cookies bloquea las no técnicas hasta que el usuario acepta.
• Envía publicidad solo a quien la ha autorizado o es cliente, e incluye siempre una forma sencilla de darse de baja.
• Orienta las cámaras solo a lo imprescindible y coloca el cartel informativo en un lugar visible.
• Firma contratos de encargado con quien trata datos por ti: gestoría, hosting, programa de facturación o agencia.
• Ten un protocolo para brechas y un registro donde anotarlas, aunque no haya que notificarlas.
• Prepara un procedimiento para responder a los derechos en plazo y forma al equipo para que sepa reconocer una solicitud.

La seguridad técnica también forma parte del cumplimiento. Copias de seguridad, contraseñas robustas y equipos actualizados reducen la probabilidad de una brecha. Si quieres profundizar, revisa las medidas de ciberseguridad para empresas.

Por último, comprueba si tu actividad te obliga a nombrar delegado. Lo explicamos en detalle en si es obligatorio tener delegado de protección de datos. Aunque no lo sea, puede ayudarte a mantener el cumplimiento al día.

Preguntas frecuentes

Fuentes: Reglamento (UE) 2016/679 (EUR-Lex) · Ley Orgánica 3/2018 (BOE) · Ley 34/2002, LSSI (BOE) · CEPD: multas · CEPD: Directrices 04/2022 · AEPD: notificación de brechas · AEPD: plazo para atender derechos · Resolución AEPD PS/00439/2024