Un procedimiento sancionador de la Agencia Española de Protección de Datos (AEPD) dura como máximo doce meses desde el acuerdo de inicio, puede acabar en apercibimiento o en multa, y la multa se reduce un 20 % si reconoces la responsabilidad en el plazo de alegaciones y otro 20 % si pagas antes de la resolución: un 40 % a cambio de no recurrir. Los topes del Reglamento General de Protección de Datos (RGPD) son de 10 millones o el 2 % de la facturación mundial para unas infracciones y de 20 millones o el 4 % para otras, pero la cifra real se gradúa por la gravedad, la intención y el daño. Se recurre ante la Audiencia Nacional.
Cómo llega la AEPD a tu negocio
Por iniciativa propia o por la reclamación de un cliente, un trabajador o un vecino (art. 64.2). La Agencia inadmite la reclamación si no va de protección de datos, carece de fundamento o no aporta indicios (art. 65.2 de la Ley Orgánica 3/2018, LOPDGDD), y puede inadmitirla si, tras una advertencia suya, adoptaste medidas correctoras sin perjuicio para el afectado (art. 65.3). Antes puede remitirte la reclamación para que contestes en un mes (art. 65.4), y tiene tres meses para notificar la admisión (art. 65.5). Admitida, puede abrir actuaciones previas de investigación de hasta dieciocho meses (art. 67.2). Después, el acuerdo de inicio concreta los hechos, la infracción y la sanción posible (art. 68) y abre un procedimiento de doce meses como máximo; pasado ese plazo, caduca (art. 64.2). Si opta por el apercibimiento, el procedimiento es de seis meses (art. 64.3). Cómo se alega la caducidad.
Infracciones, prescripción y tres casos típicos
| Gravedad (LOPDGDD) | Ejemplos | Prescribe |
|---|---|---|
| Muy grave (art. 72) | Tratar datos sin base de licitud o vulnerando los principios del art. 5 RGPD, consentimiento inválido, usar los datos para otra finalidad | 3 años |
| Grave (art. 73) | Datos de menores sin consentimiento válido, no tener el registro de actividades, no designar delegado de protección de datos cuando es obligatorio | 2 años |
| Leve (art. 74) | Infracciones formales: no dar toda la información de los arts. 13 y 14 RGPD, no publicar los datos del delegado | 1 año |
Cámaras: puedes grabar para la seguridad de personas y bienes, captando la vía pública solo en lo imprescindible, borrando en un mes salvo que haya que conservar para acreditar un hecho, y con un cartel visible que identifique el tratamiento y al responsable (art. 22 LOPDGDD). Cámaras y grabaciones: qué es legal. Cookies: instalarlas sin información o sin consentimiento es infracción leve de la Ley 34/2002 (LSSI), con multa de hasta 30.000 € (arts. 22.2, 38.4.g y 39.1.c), que sanciona la AEPD (art. 43.1) y prescribe a los seis meses (art. 45). Aviso legal y cookies de tu web. Publicidad: enviar correos comerciales sin cumplir el art. 21 LSSI es leve (hasta 30.000 €), y grave, de 30.001 a 150.000 €, si el envío es masivo o insistente (arts. 38.3.c y 38.4.d).
Cuánto puede ser la multa
El art. 83 RGPD fija dos techos: hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, la cifra mayor, por incumplir las obligaciones del responsable y del encargado (arts. 8, 11, 25 a 39, 42 y 43), y hasta 20 millones o el 4 % por vulnerar los principios y la licitud del tratamiento, los derechos de los interesados o las transferencias internacionales (art. 83.5). La cuantía se decide caso por caso según la naturaleza, gravedad y duración, el número de afectados y el daño, la intención o negligencia, las medidas para paliarlo, las infracciones anteriores y la cooperación con la Agencia (art. 83.2). Para una infracción leve, o si la multa sería una carga desproporcionada para una persona física, cabe un apercibimiento (considerando 148 y art. 58.2.b RGPD), y la LOPDGDD prevé un procedimiento propio para dirigirlo junto con una orden de corregir (art. 64.3). La sanción prescribe al año si no supera 40.000 €, a los dos años hasta 300.000 € y a los tres por encima (art. 78).
Las dos rebajas del 20 %
En el acuerdo de inicio, la AEPD fija el plazo para alegar y, aplicando el art. 85 de la Ley 39/2015, ofrece un 20 % si reconoces tu responsabilidad dentro del plazo de alegaciones y otro 20 % si pagas antes de la resolución, acumulables; ambas exigen renunciar expresamente a cualquier recurso en vía administrativa y comunicarle por escrito a cuál te acoges. En el expediente EXP202407562, iniciado en febrero de 2025, la multa propuesta era de 1.000 €: 800 € con una rebaja y 600 € con las dos, que fue lo que se pagó. Ejemplo: una propuesta de 5.000 € se queda en 3.000 € si reconoces y pagas. Pagar no impide que te ordene corregir el tratamiento.
Decide antes de pagar. Si aceptas las rebajas, la resolución es firme desde que se notifica y no cabe reposición. Si no, la resolución pone fin a la vía administrativa (art. 48.6 LOPDGDD): un mes para reposición potestativa o dos meses para recurrir ante la Audiencia Nacional (disposición adicional cuarta.5 de la Ley 29/1998). La multa puede suspenderse cautelarmente si comunicas a la Agencia que vas a recurrir al contencioso; según sus propias resoluciones, debes acreditarle la interposición en dos meses o la suspensión termina (art. 90.3 de la Ley 39/2015). Suspender una multa mientras recurres.
Qué alegar
- La base de licitud. El consentimiento es solo una de las bases del art. 6 RGPD: si tratabas los datos para ejecutar un contrato, cumplir una obligación legal o por un interés legítimo, alégalo.
- Lo que corregiste. Las medidas para paliar el daño y la cooperación con la Agencia pesan en la cuantía (art. 83.2.c y f RGPD) y pueden llevar la reclamación a la inadmisión (art. 65.3 LOPDGDD).
- El apercibimiento. Pídelo expresamente si la infracción es formal, es la primera y ya está subsanada.
Lo práctico: registro de actividades de tratamiento, cláusulas informativas en formularios y web, cartel de videovigilancia, aviso de cookies que informe y pida el consentimiento antes de instalarlas (art. 22.2 LSSI), lista de bajas de publicidad y contratos con los proveedores que traten datos. Y responde a quien ejerza sus derechos en un mes (art. 12.3 RGPD). Protección de datos para negocios.
Preguntas que nos hacéis cada semana
Soy autónomo con una tienda. ¿Puede multarme la AEPD?
Sí: el régimen sancionador alcanza a cualquier responsable o encargado del tratamiento (art. 70 LOPDGDD). Según la naturaleza de los hechos, la Agencia puede optar por un apercibimiento con orden de corregir en lugar de una multa (art. 64.3).
Si pago con el 40 % de rebaja, ¿puedo recurrir después?
No en vía administrativa: la rebaja exige renunciar a cualquier recurso (art. 85.3 de la Ley 39/2015), y la resolución es firme desde su notificación.
¿Cuánto puede durar todo el proceso?
Hasta tres meses para admitir la reclamación, hasta dieciocho de actuaciones previas y doce de procedimiento desde el acuerdo de inicio (arts. 64, 65 y 67 LOPDGDD).
¿Dónde se recurre una multa de la AEPD?
Ante la Audiencia Nacional, en dos meses, con reposición potestativa previa de un mes. El recurso contencioso contra una multa.
Te llama un abogado de multas y tráfico
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de multas y tráfico →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Protección de datos para negocios
→ Aviso legal y cookies en tu web
→ Cámaras y grabaciones: qué es legal
→ Cookies y consentimiento
→ Suspender una multa mientras recurres
→ Caducidad del expediente sancionador
Marco legal: arts. 48.6, 64, 65, 67, 68, 70, 72 a 74 y 78 de la Ley Orgánica 3/2018 (LOPDGDD) · arts. 6, 12.3, 58.2 y 83 y considerando 148 del Reglamento (UE) 2016/679 · arts. 21, 22, 38, 39, 43 y 45 de la Ley 34/2002 (LSSI) · arts. 85 y 90.3 de la Ley 39/2015 · disposición adicional cuarta de la Ley 29/1998 · resolución de la AEPD en el expediente EXP202407562. Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.