Sanciones reales de la AEPD a pymes: casos y lecciones

Sumario

1. ¿Cuántas multas pone la AEPD y por qué importe?
2. ¿La AEPD también sanciona a negocios pequeños?
3. Caso 1 — ¿Qué pasó con la cámara de un bar sin cartel?
4. Caso 2 — ¿Qué pasó al consultar un fichero de morosos sin motivo?
5. Caso 3 — ¿Qué pasó con una llamada comercial no pedida?
6. ¿Qué tienen en común los tres casos?
7. ¿Se puede reducir una multa una vez empezado el expediente?
8. ¿Cómo evitas estar en esta lista?
9. Preguntas frecuentes
10. Fuentes y metodología

¿Cuántas multas pone la AEPD y por qué importe?

En 2024 la AEPD dictó 281 resoluciones con multa, un 23 % menos que en 2023 (367), pero el importe total subió un 19 %: de 29.817.410 € a 35.592.200 € (Memoria Anual 2024 de la AEPD, apartado 9.1). Ese año la AEPD recibió 18.855 reclamaciones (un 13 % menos que en 2023).

Las multas más grandes de 2024 —varios millones de euros— son de bancos, eléctricas y operadoras: CaixaBank, Iberdrola, Telefónica, BBVA, Orange. Esas cifras salen en prensa y hacen ruido, pero no representan lo que le pasa a un negocio pequeño. Las multas superiores a 1 millón de euros a personas jurídicas se publican además en el Boletín Oficial del Estado, por exigencia de la LOPDGDD.

¿La AEPD también sanciona a negocios pequeños?

Sí. Entre las 281 resoluciones de 2024 hay bares, pequeñas empresas de seguridad, tiendas y autónomos, con multas de cientos o pocos miles de euros por fallos concretos: un cartel de videovigilancia mal puesto, una llamada comercial sin consentimiento, un dato usado sin motivo legal. No hemos encontrado una estadística oficial de la AEPD que desglose qué porcentaje exacto de esas 281 multas corresponde a pymes y autónomos frente a grandes empresas, así que no lo afirmamos como cifra cerrada. Lo que sí podemos mostrar son casos reales y verificables, con la resolución pública de cada uno.

Caso 1 — ¿Qué pasó con la cámara de un bar sin cartel?

Expediente EXP202316991 (resolución PS-00161-2024). Los hechos ocurrieron en 2022 y 2023; la AEPD resolvió el expediente en 2025.

Un negocio de ocio nocturno tenía dos cámaras que grababan toda la sala: barra, mesas y zona de clientes. El cartel informativo estaba incompleto, sin decir quién era el responsable del tratamiento ni cómo ejercer los derechos. Además, unas imágenes de las cámaras acabaron publicadas en Facebook sin que nadie diera su consentimiento.

La AEPD impuso dos multas de 500 € cada una: una por captar más zona de la necesaria (art. 5.1.c RGPD, principio de minimización) y otra por no informar bien con el cartel (art. 13 RGPD). Total: 1.000 €. Además, ordenó al negocio reorientar las cámaras para grabar solo la caja y la entrada, no toda la sala. La AEPD archivó la parte de la denuncia sobre la publicación en Facebook por no poder acreditar quién la había subido.

Lee la resolución completa (PDF, aepd.es)

Caso 2 — ¿Qué pasó al consultar un fichero de morosos sin motivo?

Expediente EXP202312994 (resolución PS-00034-2024), mayo de 2024.

Una empresa (Arrendamientos Deudores, S.L., con un volumen de negocio de 157.978 € en 2020, claramente una pyme) consultó los datos de una persona en ASNEF, un fichero de morosidad, para valorar un riesgo económico. Cuando la AEPD le pidió que justificara esa consulta, la empresa no pudo acreditar ningún contrato ni relación previa con esa persona que lo justificara: sin esa relación, consultar el fichero no tenía base legal (art. 6.1 RGPD).

La multa de partida era de 2.000 €. Se redujo un 40 % —20 % por reconocer la responsabilidad y 20 % por pago voluntario dentro de plazo— y quedó en 1.200 €.

Lee la resolución completa (PDF, aepd.es)

Caso 3 — ¿Qué pasó con una llamada comercial no pedida?

Expediente EXP202312711 (resolución PS-00084-2024). La llamada fue en 2023; la AEPD abrió el procedimiento sancionador en mayo de 2024.

Una empresa de marketing (Adverbis Spain, S.L.) hizo una llamada automática a un número que estaba en la Lista Robinson, el registro de personas que no quieren publicidad. La persona que recibió la llamada pidió que pararan. Adverbis alegó que era una llamada B2B, sin ánimo comercial hacia consumidores, y que el número estaba en directorios públicos. La AEPD no lo aceptó: la llamada incumplía la Ley General de Telecomunicaciones (art. 66.1.b), norma que la AEPD también aplica en este tipo de casos.

La multa: 5.000 €.

Lee la resolución completa (PDF, aepd.es)

¿Qué tienen en común los tres casos?

Tres cosas, y ninguna es "mala suerte":

• El fallo es concreto y visible desde fuera. Un cartel a medio rellenar, una llamada que no debía hacerse, una consulta sin justificación por escrito. No hace falta una brecha de seguridad grande para acabar en una resolución: basta un papel que falta.
• El expediente empieza casi siempre por una reclamación de una persona concreta, no por una inspección sorpresa. Los tres casos arrancan con alguien —un cliente, un vecino, quien recibió la llamada— que presenta una queja ante la AEPD.
• El importe es proporcional al tamaño del fallo, no al miedo que da la palabra "RGPD". 500 €, 1.000 €, 1.200 €, 5.000 €: lejos de los 20 millones que a veces se citan como titular. El RGPD fija esos máximos en el artículo 83 (hasta 10 millones de euros o el 2 % de la facturación mundial anual, y hasta 20 millones o el 4 %, según la infracción), pero son el techo legal, no lo habitual para un negocio pequeño que responde cuando le preguntan.

¿Se puede reducir una multa una vez empezado el expediente?

Sí, y el caso 2 lo muestra con números reales. Cuando la AEPD abre un procedimiento sancionador, el negocio puede reconocer su responsabilidad y pagar la multa propuesta dentro de plazo. Cada una de esas dos acciones da una reducción del 20 %, acumulables: hasta un 40 % menos del importe de partida (art. 85 de la Ley 39/2015, del Procedimiento Administrativo Común, aplicado por la AEPD en sus resoluciones). Esto no sustituye el asesoramiento de tu gestoría si te llega una notificación de la AEPD: es información general, no una instrucción para tu caso.

¿Cómo evitas estar en esta lista?

Los tres casos de este artículo se podían haber evitado con documentos que se preparan en minutos, no en semanas:

• Si tienes cámaras, el cartel informativo tiene que llevar los tres datos que pide la AEPD: quién es el responsable, dónde ejercer los derechos y dónde ampliar información. Genera tu cartel de videovigilancia con el modelo oficial de la AEPD en un par de minutos.
• Si envías publicidad o llamas a clientes, comprueba primero que tienes su consentimiento para ese canal concreto y que no están en la Lista Robinson.
• Si consultas un fichero de morosidad o cualquier dato de un tercero, deja por escrito el motivo legal antes de hacerlo, no después de que te lo pregunten.

Tranquilia genera estos documentos y el resto de tu carpeta RGPD a partir de un cuestionario de 15 minutos, con el motivo legal de cada uno ya escrito. Prueba gratis con 2 empresas, sin tarjeta y sin límite de tiempo.

Preguntas frecuentes

¿Cuánto dinero puede multar la AEPD a una pyme?

Depende de la infracción y de cómo responda el negocio. En los tres casos reales de este artículo, las multas van de 500 € a 5.000 €. El RGPD fija máximos legales de hasta 10 millones de euros o el 2 % de la facturación mundial, y hasta 20 millones o el 4 %, según el artículo 83 del RGPD, pero esas cifras son el techo, no lo habitual para un negocio pequeño.

¿La AEPD inspecciona negocios al azar?

En los tres casos de este artículo, el expediente empieza por una reclamación de una persona concreta, no por una inspección sorpresa. La AEPD también puede actuar de oficio, pero el origen más común en estos casos es una queja.

¿Puedo reducir una multa si reconozco el fallo?

Sí. Reconocer la responsabilidad y pagar dentro de plazo puede reducir la multa hasta un 40 % en total, como muestra el caso 2 de este artículo (de 2.000 € a 1.200 €).

¿Dónde se publican las resoluciones reales de la AEPD?

En el buscador de resoluciones de aepd.es, con el número de expediente y el texto completo. Las multas superiores a 1 millón de euros a empresas se publican además en el BOE.

¿Esto significa que Tranquilia te deja "legal" ante la AEPD?

No. Tranquilia organiza el trabajo y prepara los documentos correctos, con las referencias legales de cada uno. La decisión y la firma son tuyas o de tu gestoría. No es una certificación oficial ni un dictamen jurídico.

Fuentes y metodología

Los tres casos de este artículo son resoluciones públicas de la AEPD, citadas con su número de expediente y enlazadas al PDF original en aepd.es. Las cifras de 2024 (281 multas, 35.592.200 €, 18.855 reclamaciones) vienen de la Memoria Anual 2024 de la AEPD. Los máximos legales del artículo 83 vienen del texto del RGPD en EUR-Lex. No incluimos ninguna cifra, caso o estadística que no hayamos podido verificar contra una fuente oficial: si un dato no estaba confirmado, lo hemos dejado fuera en vez de aproximarlo.

Artículo elaborado por Tranquilia by GRAC SA. Fecha de publicación: 16 de julio de 2026. Última revisión: 16 de julio de 2026. Este contenido tiene fines informativos y no constituye asesoramiento jurídico individualizado.