La Agencia Española de Protección de Datos (AEPD) impuso multas por un total de 48 millones de euros en 2025, un 35 % más que el año anterior. Y aquí viene el dato que sorprende a muchos empresarios: el 72 % de las sanciones recaen sobre pymes y autónomos, no sobre grandes corporaciones.
España es, además, el país europeo con más resoluciones sancionadoras por incumplimiento del RGPD. Eso significa que la AEPD actúa, que investiga las denuncias que recibe —más de 30.000 en 2025— y que ninguna empresa es demasiado pequeña para recibir una multa.
Si tienes un negocio en Valencia, este artículo te interesa. Repasamos los casos reales más relevantes, con importes y explicación de qué salió mal. Porque conocer los errores de otros es la forma más barata de no repetirlos.
¿Cuánto puede sancionar la AEPD?
Antes de entrar en casos concretos, conviene tener claros los rangos. El RGPD y la LOPDGDD establecen tres niveles:
- Infracciones leves: hasta 40.000 €
- Infracciones graves: de 40.001 € a 300.000 €
- Infracciones muy graves: hasta 20 millones de euros o el 4 % de la facturación anual global (la cifra mayor)
Para una pyme, una sanción de 20.000 € puede ser devastadora. Para una gran empresa, una multa de millones puede serlo aún más en términos reputacionales.
Caso 1: La aseguradora que expuso a 1,6 millones de clientes — 5.000.000 €
Una de las sanciones más sonadas del año pasado afectó a Generali, la conocida aseguradora. La AEPD le impuso una multa de 5 millones de euros tras una brecha de seguridad que comprometió los datos personales de 1,6 millones de usuarios.
Qué falló: Medidas de seguridad insuficientes para proteger un volumen masivo de datos sensibles de clientes.
Lección para empresas valencianas: No se necesita una brecha de ese tamaño para recibir una sanción. Lo que la AEPD evalúa es si la empresa tenía las medidas técnicas y organizativas adecuadas antes del incidente. Si no las tenías, el importe de la multa se agrava.
Caso 2: Una empresa de logística en Valencia — 50.000 €
Este caso sucedió aquí, en la Comunitat Valenciana. Grupo Transaher, una empresa de transporte y logística, instaló cámaras de videovigilancia en el comedor de sus empleados. Las cámaras grababan la zona de paso y las máquinas expendedoras. La empresa argumentó que había sufrido robos y actos de vandalismo.
La AEPD no lo consideró justificación suficiente. La multa fue de 50.000 euros.
Qué falló: El artículo 89.2 de la LOPDGDD prohíbe expresamente instalar cámaras en zonas de descanso de los trabajadores. El comedor, aunque sea frecuentado por eterceros, sigue siendo un espacio privado de los empleados. La AEPD consideró que existían medidas menos intrusivas para prevenir los robos.
Lección Antes de instalar cualquier sistema de videovigilancia, especialmente en entornos laborales, es obligatorio un análisis legal previo. No basta con poner carteles informativos.
Caso 3: La cadena de gimnasios y el reconocimiento facial — 96.000 €
Una cadena de gimnasios implantó un sistema de control de acceso basado en reconocimiento facial en sustitución de la tarjeta de socio. La AEPD la sancionó con 96.000 euros.
Qué falló: Los datos biométricos son una categoría especial de datos que requiere, como mínimo, el consentimiento explícito del interesado y una evaluación de impacto previa. La cadena no había realizado ninguno de los dos pasos.
Otro caso similar afectó a un gimnasio que pasó de pulseras a huellas dactilares para el acceso: multa de 27.000 euros, con el agravante de que las huellas de los últimos 100 socios dados de baja no habían sido eliminadas del sistema.
Lección: Los datos biométricos (huella, iris, reconocimiento facial) están en la misma categoría que los datos de salud. Tratarlos sin la base legal adecuada es una infracción grave.
Caso 4: La farmacia con Excel como sistema de gestión — 16.000 €
Una farmacia fue sancionada con 16.000 euros por almacenar datos de salud de sus pacientes en hojas de cálculo de Excel sin ninguna garantía de seguridad: sin cifrado, sin control de accesos, sin copia de seguridad protegida.
Qué falló: Los datos de salud son datos especialmente sensibles según el artículo 9 del RGPD. Su tratamiento requiere medidas de seguridad reforzadas. Un archivo Excel en el escritorio del ordenador no cumple ningún requisito.
Lección: La herramienta importa. Si tu negocio trata datos de salud —una clínica, una óptica, una farmacia, un fisioterapeuta— necesitas un sistema con controles de acceso, cifrado y registro de operaciones.
Caso 5: El taller que añadió a 151 clientes a un grupo de WhatsApp — 3.000 €
Un taller mecánico creó un grupo de WhatsApp e incluyó en él a 151 personas sin su consentimiento, exponiendo los números de teléfono de todos al resto del grupo.
La multa fue de solo 3.000 euros, pero el daño reputacional y la pérdida de confianza de los clientes probablemente superaron con creces esa cifra.
Qué falló: Incorporar a alguien en un grupo de mensajería implica comunicar su número a todos los participantes. Eso es una cesión de datos que requiere base legal. Sin consentimiento previo, es una infracción.
Lección: Las herramientas de comunicación cotidianas —WhatsApp, correo electrónico en copia, listas de difusión— también están sujetas al RGPD. Crear grupos con clientes requiere su consentimiento explícito o el uso de listas de difusión donde los destinatarios no se vean entre sí.
Caso 6: La Liga de Fútbol Profesional y los datos biométricos — 1.000.000 €
La AEPD impuso una multa de 1 millón de euros a LaLiga por exigir datos biométricos a los socios de clubes para la compra de abonos. El uso de datos biométricos sin alternativa real para el usuario fue considerado una infracción grave.
¿Qué tienen en común todos estos casos?
Revisando las resoluciones de la AEPD, emergen tres patrones constantes:
- Falta de base legal: se tratan datos sin que exista consentimiento, contrato o interés legítimo documentado.
- Ausencia de medidas de seguridad adecuadas: los datos están accesibles sin control, sin cifrado, sin registros.
- Desconocimiento de las categorías especiales: datos de salud, biométricos y sindicales requieren protección reforzada que muchas empresas ignoran.
La buena noticia es que los tres problemas tienen solución, y no requiere inversiones millonarias. Requiere un asesoramiento profesional puntual y procesos bien definidos.
¿Tu empresa está expuesta?
Si tienes dudas sobre si tu empresa cumple con la normativa, estas son las señales de alerta más frecuentes:
- No tienes un Registro de Actividades de Tratamiento actualizado.
- Tus empleados no han sido formados en protección de datos.
- No tienes contratos de encargo de tratamiento con tus proveedores (gestoría, informático, software en la nube).
- Tus formularios web no incluyen la cláusula de protección de datos correcta.
- Nunca has hecho una evaluación de impacto (EIPD) y tratas datos sensibles.
En Protección de Datos Valencia llevamos empresas de todos los tamaños a cumplimiento de forma práctica y sin burocracia innecesaria. Si quieres saber exactamente qué riesgo tiene tu negocio, solicita una consulta gratuita: te hacemos un diagnóstico sin compromiso.
Fuentes: Resoluciones AEPD PS-00445-2022, Memoria AEPD 2025, resoluciones públicas disponibles en aepd.es
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.