Cuánto multa la AEPD a un pequeño negocio y por qué motivos

Las multas que salen en las noticias son de millones, y casi siempre de grandes empresas. Es fácil pensar que a un negocio pequeño no le va a tocar. Pero la AEPD también sanciona a comercios, clínicas y comunidades de propietarios, con importes que, para ellos, duelen.

Las cifras

En 2025 la AEPD impuso 299 sanciones económicas por un total de unos 40 millones de euros, un 14 % más que el año anterior. En esa suma pesan casos enormes, como los 10 millones a Aena por el uso de biometría en aeropuertos. El dato que importa a un pequeño negocio es la tendencia: más sanciones y más vigilancia.

Los dos niveles de multa

El RGPD fija dos techos:

• Hasta 10 millones de euros o el 2 % de la facturación anual mundial, para fallos como no llevar el registro de actividades, no avisar de una brecha o no firmar contrato con un proveedor que trata tus datos.
• Hasta 20 millones de euros o el 4 %, para infracciones más serias: tratar datos sin base legal, no atender derechos de las personas o hacer transferencias ilegales.

Estos son los máximos. A una pyme no se le imponen, pero marcan el nivel de gravedad.

Lo que se ve en la práctica

Según los repasos que hemos consultado, las sanciones a comunidades de propietarios, clínicas y pequeños comercios suelen moverse entre 1.000 y 100.000 euros. Los motivos más repetidos:

• Cámaras de videovigilancia sin cartel o mal orientadas.
• Acceso indebido a historiales clínicos o a datos de clientes por parte de empleados.
• Envío de publicidad por correo o WhatsApp sin consentimiento.
• No contestar a quien pide acceder a sus datos o borrarlos.

Apercibimiento o multa

No todo termina en multa. En infracciones leves, sobre todo si es la primera y se corrige rápido, la AEPD puede limitarse a un apercibimiento. Pero eso depende de que demuestres que habrías cumplido de haber sabido cómo, y para eso necesitas documentación.

Plazos

Las infracciones leves prescriben al año, las graves a los dos años y las muy graves a los tres. Una mala práctica de hace dos años todavía se puede sancionar.

Qué reduce el riesgo

Tener el registro de actividades, los contratos con proveedores, el cartel de las cámaras, una política de privacidad actual y un procedimiento para atender derechos. Nada de eso es caro, y es lo primero que revisa un inspector.