Contexto: la AEPD en 2026, más activa que nunca
El RGPD cumple en 2026 ocho años en vigor, y las autoridades de protección de datos europeas han consolidado sus criterios interpretativos tras años de jurisprudencia del Tribunal de Justicia de la UE y resoluciones del Comité Europeo de Protección de Datos (CEPD). La AEPD publicó en su memoria anual 2025 un total de 247 resoluciones sancionadoras con importes que sumaron más de 42 millones de euros, consolidando la tendencia al alza iniciada tras la pandemia.
En 2026, la actividad sancionadora se concentra en tres ejes: el uso no consentido de datos para marketing, las brechas de seguridad con notificación deficiente o tardía, y el incumplimiento de los derechos de los interesados (acceso, supresión, portabilidad). Los sectores con mayor número de expedientes son telecomunicaciones, banca y seguros, administración pública y comercio electrónico.
Causas más frecuentes de sanción por la AEPD en 2026
Comunicaciones comerciales sin consentimiento válido
El consentimiento para comunicaciones comerciales debe ser libre, específico, informado e inequívoco (art. 7 RGPD). Las casillas premarcadas, los consentimientos genéricos en condiciones generales y la presunción de opt-in continúan siendo las causas de sanción más frecuentes. La AEPD ha clarificado en 2026 que el legítimo interés no puede invocarse de forma genérica para justificar el marketing directo cuando exista una alternativa de consentimiento más apropiada.
Brechas de seguridad sin notificación en plazo
El art. 33 RGPD obliga a notificar a la autoridad supervisora en 72 horas desde que el responsable tenga conocimiento de la brecha, si esta puede suponer un riesgo para los derechos de los interesados. Los retrasos en la detección interna, la comunicación tardía de proveedores (encargados del tratamiento) al responsable y la falta de procedimientos documentados de respuesta a incidentes son las causas más frecuentes de sanción en este apartado.
Incumplimiento de derechos ARCO+
El plazo máximo para responder a solicitudes de acceso, rectificación, cancelación u oposición (y los derechos ampliados de portabilidad y limitación) es de un mes, ampliable a tres en casos complejos con comunicación al interesado. La falta de respuesta, las respuestas incompletas o la negativa sin causa justificada son infracciones directas del RGPD que la AEPD sanciona con celeridad creciente en 2026.
Transferencias internacionales sin garantías adecuadas
El uso de servicios en la nube de proveedores estadounidenses (Google Workspace, Microsoft 365, Salesforce, AWS) ha generado incertidumbre jurídica recurrente. El Marco de Privacidad UE-EE.UU. vigente desde 2023 resolvió parcialmente la situación, pero las organizaciones que usan proveedores no adheridos al marco o transferencias a terceros países sin salvaguardias adecuadas (cláusulas contractuales tipo, normas corporativas vinculantes) continúan en riesgo de sanción.
Impacto sobre pymes, autónomos y administraciones públicas
Un error frecuente es asumir que las sanciones RGPD solo afectan a grandes corporaciones. La AEPD sanciona también a pymes, autónomos y ayuntamientos. En 2025, el 41% de las resoluciones sancionadoras afectaron a pequeñas empresas o autónomos, con importes que van desde los 1.000 hasta los 50.000 euros. Las administraciones públicas no pueden ser multadas con los importes máximos del RGPD (4% del volumen de negocio global), pero sí reciben apercibimientos que obligan a adoptar medidas correctoras.
En el sector sanitario, las brechas de confidencialidad de historias clínicas y la cesión no autorizada de datos a terceros (laboratorios, aseguradoras) son los motivos de sanción más recurrentes, con especial atención a los datos biométricos y de salud por su categoría especial bajo el art. 9 RGPD.
Qué debería hacer una empresa para evitar sanciones AEPD
- Revisar todas las bases legales de tratamiento: verificar que cada actividad de tratamiento tiene una base jurídica documentada y válida (consentimiento, contrato, obligación legal, interés legítimo debidamente evaluado).
- Actualizar el registro de actividades de tratamiento: el art. 30 RGPD lo exige para organizaciones con más de 250 empleados o cuando el tratamiento suponga riesgo elevado. En la práctica, toda empresa que trate datos de forma regular debería mantenerlo actualizado.
- Implementar un procedimiento de respuesta a brechas: con responsables designados, plazos claros (detección → evaluación → notificación AEPD en 72 h → notificación afectados si procede) y plantillas de notificación preparadas.
- Revisar contratos con encargados del tratamiento: proveedores cloud, gestoría, servicios de RRHH, plataformas de email marketing. El art. 28 RGPD exige contratos de encargo que incluyan garantías de seguridad y obligaciones de notificación de incidentes.
- Proteger datos críticos con cifrado y controles de acceso: especialmente categorías especiales (salud, biometría, origen racial, creencias). El cifrado no elimina la obligación de notificación en una brecha, pero puede excluirla si los datos son ininteligibles para el atacante.
- Documentar las evaluaciones de impacto (EIPD): para tratamientos de alto riesgo (perfilado, videovigilancia masiva, datos de categoría especial). La documentación es la mejor defensa ante una inspección de la AEPD.
- Contactar con un especialista en caso de brecha: el perito informático puede determinar el alcance técnico real de la brecha, qué datos fueron expuestos y durante cuánto tiempo, información esencial para la notificación a la AEPD.
Preguntas frecuentes
¿Cuál es la multa máxima que puede imponer la AEPD?
El RGPD establece dos tramos: infracciones menos graves con multas de hasta 10 millones de euros o el 2% del volumen de negocio global anual (el mayor de ambos); infracciones graves con hasta 20 millones de euros o el 4% del volumen global. En España, la LOPDGDD permite una tramitación abreviada con reducción del 20% si se paga voluntariamente en plazo.
¿Debo contratar a un Delegado de Protección de Datos (DPD)?
El RGPD lo exige cuando: la organización es un organismo público o autoridad pública; el tratamiento requiere observación habitual y sistemática a gran escala; o se tratan categorías especiales de datos a gran escala. Muchas empresas nombran un DPD voluntariamente para mejorar su gestión del cumplimiento, aunque no estén obligadas.
¿Cuánto tiempo tengo para notificar una brecha a la AEPD?
72 horas desde que el responsable del tratamiento tenga conocimiento de ella, si existe riesgo para los derechos y libertades de las personas. El plazo se computa desde el momento en que la organización (no el proveedor) conoce el incidente. Si el encargado del tratamiento detecta la brecha primero, debe comunicarla al responsable sin dilación indebida.
¿Puede la AEPD sancionar sin que haya existido una brecha?
Sí. Muchas sanciones de la AEPD no derivan de brechas de seguridad, sino de incumplimientos en el tratamiento: comunicaciones comerciales sin consentimiento, cookies ilegales, acceso a datos sin base legal, respuesta inadecuada a derechos de los interesados. La brecha es solo uno de los muchos supuestos sancionables.
¿Qué papel juega el perito informático en un expediente sancionador de la AEPD?
El perito puede elaborar un informe técnico que acredite: las medidas de seguridad implementadas, el alcance real de la brecha, la fecha exacta de detección, las acciones correctoras adoptadas y la diligencia técnica de la organización. Este informe puede ser determinante para reducir la sanción o demostrar que se actuó con la diligencia debida.
¿Las pymes tienen que cumplir el RGPD igual que las grandes empresas?
Sí, aunque el RGPD contempla algunas exenciones de documentación formal para empresas con menos de 250 empleados cuando el tratamiento es ocasional y no supone riesgo. En la práctica, cualquier empresa que gestione datos de clientes, empleados o proveedores debe aplicar los principios básicos del RGPD, independientemente de su tamaño.
¿Cómo puedo verificar si mi política de cookies es conforme al RGPD?
La AEPD publicó en 2023 su Guía sobre el uso de cookies, con criterios actualizados. Los puntos clave son: banner de cookies con opciones claras de aceptar/rechazar al mismo nivel, sin patrones de diseño engañosos (dark patterns), sin cookies analíticas o de publicidad activas antes de obtener el consentimiento, y política de cookies accesible y actualizada con todos los cookies utilizados.
¿Qué ocurre si un proveedor sufre una brecha con mis datos?
Como responsable del tratamiento, la obligación de notificación a la AEPD sigue siendo tuya: el contrato de encargo debe obligar al proveedor a notificarte sin dilación, y desde ese momento empiezan a correr tus 72 horas. Una brecha en el encargado no te exime de responsabilidad ante la AEPD si el contrato de encargo no reunía las garantías exigidas por el art. 28 RGPD.
¿Tu empresa tiene documentadas sus medidas de protección de datos?
El cumplimiento del RGPD no es un proyecto puntual, sino un proceso continuo que requiere revisión regular. Muchas organizaciones descubren sus brechas de cumplimiento solo cuando reciben una queja de un cliente o una inspección de la AEPD. ¿Cuál es el aspecto del RGPD que más dificultades genera en tu organización? Compartir experiencias prácticas ayuda a toda la comunidad profesional a mejorar colectivamente.
¿Necesitas asesoramiento técnico en protección de datos?
En CiberPerito360 y NYXQLAB elaboramos informes periciales técnicos para expedientes de la AEPD, analizamos el alcance de brechas de datos personales y asesoramos sobre medidas de seguridad adecuadas al nivel de riesgo de tu tratamiento. Consulta con nuestros peritos informáticos especializados en protección de datos.
Referencias
AEPD — Resoluciones Sancionadoras | RGPD — Art. 33 Notificación de Brecha | AEPD — Guía sobre el Uso de Cookies 2023 | CEPD — Directrices sobre Brechas de Datos Personales | BOE — LOPDGDD Ley Orgánica de Protección de Datos
Andrés Torres
Perito Informático Judicial en España. Experto en peritaje digital, análisis forense y ciberseguridad. Fundador de CiberPerito360.