AEPD · RGPD · Gestión del riesgo
La memoria oficial de la AEPD permite identificar tendencias, pero no convierte una estadística anual en la probabilidad de sanción de una empresa. La prevención debe partir de tratamientos, riesgos y evidencias concretas.
Qué dice exactamente la Memoria AEPD 2025
La Agencia indica que los procedimientos sancionadores terminados con multa aumentaron de 281 a 326. También señala que dos terceras partes del importe total se concentraron en tres categorías: servicios de internet; comercio, transporte y hostelería; y brechas de seguridad.
La mayor multa citada en la memoria corresponde a AENA SME, S.A., por 10.043.002 euros, vinculada al artículo 35 del RGPD. La siguiente fue de cuatro millones de euros a XFERA MÓVILES, S.A.U. por infracciones de los artículos 5.1.f) y 32. Estos casos no deben extrapolarse mecánicamente a otra empresa: ilustran la relevancia de evaluar impactos y proteger la confidencialidad e integridad de los datos.
Para revisar una exposición concreta, nuestro servicio de abogados de protección de datos y RGPD para empresas analiza tratamientos, contratos, seguridad, brechas y capacidad de acreditación.
Cómo interpretar las cifras sin sacar conclusiones falsas
Un procedimiento no equivale a una multa media aplicable a todos
El artículo 83 del RGPD exige valorar la naturaleza, gravedad y duración de la infracción; el número de personas afectadas; el daño; la intencionalidad; las medidas adoptadas; el grado de responsabilidad; la cooperación y otras circunstancias. Por eso no es correcto presentar una media anual como el coste probable de cualquier incumplimiento.
El tamaño de la empresa no elimina la obligación
El RGPD se aplica a responsables y encargados con independencia de que sean grandes compañías, pymes o profesionales. Sin embargo, la medida concreta debe ser adecuada al riesgo y al contexto. Una pequeña empresa no necesita replicar la estructura de una multinacional, pero sí conocer sus tratamientos, atender derechos, controlar proveedores y responder ante incidentes.
Las brechas no siempre terminan en sanción
Una brecha de seguridad debe registrarse y evaluarse. La notificación a la AEPD procede cuando sea probable que exista un riesgo para los derechos y libertades; la comunicación a las personas se reserva para el alto riesgo. La existencia de una brecha no demuestra por sí sola una infracción, pero la falta de medidas, análisis o documentación puede agravar el problema.
Áreas que conviene revisar
| Área | Evidencia útil | Problema frecuente |
|---|---|---|
| Base jurídica y finalidad | Mapa de tratamientos y criterio documentado | Reutilizar datos para fines no previstos |
| Encargados | Contratos, subencargados y controles | Confiar solo en una cláusula genérica |
| Seguridad | Análisis de riesgos, accesos, registros y pruebas | Permisos excesivos o ausencia de trazabilidad |
| EIPD | Cribado y evaluación cuando exista alto riesgo | Implantar primero y evaluar después |
| Brechas | Protocolo, cronología, evaluación y decisiones | Esperar a tener una investigación perfecta |
| Derechos | Canal, responsables, plazos y respuestas | No localizar los datos o responder tarde |
Checklist práctico de prevención
- Actualizar el registro de actividades y asignar responsables internos.
- Revisar finalidades, bases jurídicas y textos de información.
- Identificar proveedores que tratan datos y comprobar sus contratos.
- Limitar accesos y conservar trazabilidad suficiente.
- Evaluar si nuevos proyectos requieren una EIPD antes de su despliegue.
- Ensayar el procedimiento de brechas y la toma de decisiones en 72 horas.
- Comprobar que el canal de derechos funciona de extremo a extremo.
- Documentar correcciones, formación y supervisión periódica.
Qué aporta una auditoría útil
Una auditoría no debería limitarse a recopilar plantillas. Debe contrastar la documentación con los sistemas, los flujos reales y las decisiones del negocio. El resultado útil es una lista priorizada: qué corregir primero, quién debe hacerlo, qué evidencia conservar y cuándo volver a comprobarlo.
En una investigación, poder explicar el tratamiento y demostrar medidas concretas resulta más valioso que una declaración genérica de cumplimiento. La responsabilidad proactiva exige que el control exista y que pueda acreditarse.
Preguntas frecuentes
¿Cuántas multas impuso la AEPD en 2025?
La memoria oficial señala 326 procedimientos sancionadores que finalizaron con la imposición de multa. El dato no incluye del mismo modo archivos, apercibimientos u otras decisiones.
¿Una brecha de datos implica siempre una sanción?
No. Deben analizarse los hechos, el riesgo, las medidas previas y la respuesta. Toda brecha debe documentarse, pero no todas se notifican ni todas terminan en multa.
¿Qué debería corregir primero una empresa?
Los tratamientos de mayor riesgo y las carencias que afectan a datos sensibles, gran volumen, decisiones relevantes, accesos amplios o capacidad de respuesta ante incidentes.
Fuentes oficiales
- AEPD, Memoria anual 2025.
- AEPD, memorias anuales de actividad.
- Reglamento (UE) 2016/679, artículos 33, 34, 35 y 83.
Fuentes consultadas el 25 de septiembre de 2026. Los importes y referencias se reproducen según la Memoria AEPD 2025. Este artículo no sustituye el análisis de una resolución o tratamiento concreto.
Revisa el riesgo RGPD de tu empresa
ScandoUp Global Legal ayuda a priorizar medidas, preparar evidencias y responder ante requerimientos o incidentes con un análisis ligado a los tratamientos reales.