Las sanciones de protección de datos son una de las formas más fáciles de llevarte una multa como autónomo sin darte cuenta, porque las obligaciones no vienen de una sola norma sino de tres que conviven. El Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos y garantía de derechos digitales (LOPDGDD) y la Ley de Servicios de la Sociedad de la Información (LSSI), que es la que regula, entre otras cosas, las cookies de tu web.
Esta guía repasa qué se sanciona hoy, cuánto puede costar y cómo evitarlo si eres autónomo o tienes un negocio pequeño.
Contenido
Quién puede sancionarte y con qué normas
La autoridad que vigila el cumplimiento de estas normas en España es la Agencia Española de Protección de Datos (AEPD), un organismo público independiente. Actúa tanto de oficio como a partir de denuncias de clientes, empleados o competidores, y puede abrir un procedimiento sancionador contra cualquier autónomo o empresa que trate datos personales, no solo contra grandes compañías.
Cuánto puede costar una sanción de protección de datos
El artículo 83 del RGPD establece dos niveles de multa según la gravedad de la infracción:
- hasta 10 millones de euros (o el 2% de la facturación anual global si es mayor) para las infracciones del primer nivel, como no tener un registro de actividades de tratamiento o no notificar una brecha de seguridad a tiempo.
- hasta 20 millones de euros (o el 4% de la facturación anual global) para las infracciones más graves, como tratar datos sin base legal o vulnerar los derechos de los ciudadanos.
Estas cifras están pensadas para disuadir a grandes multinacionales, pero la propia AEPD aplica el principio de proporcionalidad cuando sanciona a autónomos y pequeños negocios. Así que en la práctica las multas a este colectivo se mueven en cifras muy inferiores a esos máximos legales, normalmente de unos pocos cientos a unos pocos miles de euros, según el caso.
Puedes consultar las resoluciones sancionadoras reales de la AEPD, con el importe exacto de cada caso, en su buscador público de resoluciones, donde también se puede filtrar por tipo de infracción y por año.
La reducción del 40% si reconoces la infracción y pagas pronto
Al igual que ocurre con las sanciones de Hacienda, la normativa de protección de datos prevé una reducción sobre el importe de la sanción si el expedientado reconoce su responsabilidad y paga voluntariamente antes de que termine el procedimiento, en línea con el régimen general de reducciones que recoge la Ley 39/2015 del Procedimiento Administrativo Común para todo el derecho administrativo sancionador.
Si te llega una propuesta de resolución de la AEPD y estás de acuerdo con los hechos, conviene valorar con un abogado o tu gestoría si te compensa acogerte a esa reducción en vez de recurrir.
Los motivos más frecuentes por los que la AEPD sanciona a autónomos y pequeños negocios
Revisando el buscador de resoluciones de la AEPD, los motivos se repiten con patrones muy similares en negocios pequeños:
- Cámaras de videovigilancia mal informadas. Instalar una cámara que graba a clientes, empleados o la vía pública sin el distintivo informativo obligatorio, o con un ángulo que capta espacio público más allá de lo necesario para la seguridad del propio negocio. La propia AEPD explica en su guía sobre videovigilancia que «el responsable del tratamiento deberá informar (…) de la existencia del tratamiento», mediante un distintivo informativo ubicado en zonas videovigiladas, con independencia de que además exista una política de privacidad accesible con la información completa.
- Uso de WhatsApp o grupos de clientes sin base legal ni información adecuada. Añadir a un cliente a un grupo de difusión o de WhatsApp sin haber recabado antes su consentimiento explícito, o compartir su número con terceros dentro de ese grupo.
- Email marketing sin consentimiento o sin comprobar la Lista Robinson. Enviar comunicaciones comerciales por correo electrónico a personas que no dieron su consentimiento expreso para recibir publicidad, o sin comprobar antes si figuran inscritas en el servicio de exclusión publicitaria conocido como Lista Robinson.
- Pedir el DNI o hacer fotos sin necesidad ni base legal. Solicitar una fotocopia del DNI o tomar una fotografía a un cliente para un trámite que no lo requiere legalmente, o conservar esa documentación más tiempo del necesario.
- No informar adecuadamente en la web. No tener una política de privacidad visible y completa que explique qué datos se recogen a través de un formulario de contacto, una newsletter o una tienda online, y con qué finalidad.
- No notificar una brecha de seguridad en plazo. El RGPD obliga a notificar a la AEPD cualquier brecha de seguridad que suponga un riesgo para las personas afectadas en un plazo de 72 horas desde que se tiene conocimiento de ella, salvo que sea improbable que suponga un riesgo.
Sanciones por incumplir la ley de cookies
Si tu web usa cookies de analítica, publicidad o redes sociales (la inmensa mayoría de las webs con Google Analytics o píxel de Meta las usan), estás dentro del régimen sancionador de la LSSI, que es el que regula las cookies. Sigue siendo un motivo habitual de sanción, así que conviene tenerlo controlado.
La propia LSSI, en su portal oficial de información, clasifica las infracciones en tres niveles: leves, con multa de hasta 30.000 euros; graves, de 30.001 a 150.000 euros; y muy graves, de 150.001 a 600.000 euros.
No informar correctamente sobre el uso de cookies antes de que el usuario dé su consentimiento, o no ofrecerle una forma igual de sencilla de rechazarlas que de aceptarlas, se considera una infracción grave dentro de este régimen (artículo 22.2 de la LSSI).
Si tu web usa cookies no esenciales, necesitas un banner de consentimiento que cumpla estos requisitos: no basta con un simple aviso informativo sin opción real de rechazo.
Cuánto tiempo tiene la AEPD para sancionarte
La LOPDGDD fija plazos de prescripción distintos según la gravedad de la infracción: las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves al año, contados desde que se cometió la infracción o, en el caso de infracciones continuadas, desde que cesó la conducta infractora.
Pasado ese plazo sin que se haya iniciado un procedimiento, la AEPD ya no puede sancionar por esos hechos, aunque conviene no confiar en esta vía para regularizar tarde una situación de incumplimiento.
Cómo evitar las sanciones de protección de datos siendo autónomo
- Tener una política de privacidad completa y accesible desde cualquier formulario de tu web, adaptada a lo que realmente haces con los datos que recoges.
- Configurar el banner de cookies para que rechazar sea tan fácil como aceptar, y para que no se instale ninguna cookie no esencial antes de que el usuario decida.
- Informar con un distintivo visible si tienes cámaras de videovigilancia, y revisar que su ángulo no capte más espacio público del estrictamente necesario.
- Pedir consentimiento explícito antes de añadir a un cliente a un grupo de WhatsApp o enviarle comunicaciones comerciales, y comprobar la Lista Robinson antes de una campaña de email marketing.
- No pedir ni conservar documentación identificativa (DNI, fotografías) más allá de lo que exige el trámite concreto.
- Tener protocolo para detectar y notificar una brecha de seguridad en menos de 72 horas si llega a ocurrir.
Sanciones de protección de datos y sanciones de Hacienda: no es lo mismo
Aunque ambas las paga el mismo autónomo, las sanciones de protección de datos y las sanciones de Hacienda responden a autoridades y normas completamente distintas: mientras Hacienda sanciona incumplimientos fiscales, la AEPD sanciona el mal uso de datos personales, con independencia de que estés al día con tus impuestos.
Y si además tienes trabajadores, debes revisar también las sanciones laborales (LISOS) y las sanciones de la Seguridad Social, porque los cuatro organismos (Hacienda, Seguridad Social, Inspección de Trabajo y AEPD) pueden actuar de forma independiente sobre el mismo negocio.
Preguntas frecuentes sobre sanciones de protección de datos para autónomos
¿Cuánto puede llegar a costar una sanción de la AEPD a un autónomo?
El RGPD fija máximos legales de hasta 20 millones de euros, pero la AEPD aplica el principio de proporcionalidad con autónomos y pequeños negocios, por lo que en la práctica las sanciones a este colectivo suelen ser mucho más bajas. Puedes consultar importes reales de casos resueltos en el buscador público de resoluciones de la AEPD.
¿Es obligatorio el banner de cookies?
Sí, y es uno de los motivos de sanción más frecuentes entre pequeños negocios. La LSSI clasifica el incumplimiento como infracción grave, con multas de hasta 150.000 euros en ese nivel, aunque a un autónomo no se le aplica ese máximo salvo un caso excepcional.
¿Puedo reducir el importe de una sanción de la AEPD?
Sí, reconocer la infracción y pagar voluntariamente antes de que termine el procedimiento puede reducir el importe final, siguiendo el régimen general de reducciones del derecho administrativo sancionador.
¿Cuánto tiempo tiene la AEPD para sancionarme por algo que ya pasó?
Depende de la gravedad: un año para infracciones leves, dos para las graves y tres para las muy graves, contados desde que se cometió el hecho o desde que cesó si fue continuado.
¿Necesito un Delegado de Protección de Datos si soy autónomo?
No es obligatorio en la mayoría de los casos para autónomos, salvo que tu actividad implique un tratamiento a gran escala o de categorías especiales de datos. Consulta el criterio actualizado en la web de la AEPD si tienes dudas sobre tu caso concreto.
Resumen: lo que debe recordar un autónomo sobre la protección de datos
Si tienes una web con formulario de contacto, cookies de analítica o publicidad, cámaras en tu local, o envías comunicaciones comerciales a clientes, estás dentro del ámbito de vigilancia de la AEPD, aunque seas un negocio pequeño.
Revisar hoy tu política de privacidad, tu banner de cookies y cómo informas de tus cámaras es la forma más barata de evitar una sanción que, aunque no llegue a los máximos legales, sigue siendo un coste evitable.
Artículos relacionados
Verdades y mentiras de la Lista Robinson
Cuándo no se aplican sanciones por infracciones tributarias: guía clara para evitar multas
Guía definitiva sobre la sanción de Hacienda: cómo calcularla, reducirla y evitar errores comunes