¿Qué se considera un incumplimiento LOPD y RGPD?
Se consideran incumplimientos el no respetar las obligaciones establecidas en el marco normativo de protección de datos español y europeo. Las infracciones más habituales incluyen: ausencia de política de privacidad, falta de contratos con proveedores que tratan datos, inexistencia de registro de actividades, información insuficiente a los usuarios, no atender los derechos en plazo, envío de comunicaciones comerciales sin consentimiento y medidas de seguridad inadecuadas.
Cualquier persona afectada puede presentar una reclamación ante la AEPD, que también puede investigar de oficio o a partir de denuncias de competidores.
Tipos de infracciones y sanciones por incumplimiento LOPD y RGPD
Existe una confusión muy extendida sobre cómo se calculan las multas en materia de protección de datos. Para entenderlo bien hay que separar dos planos que conviven: la tipificación de conductas que hace la ley española y los límites económicos reales, que vienen fijados por el Reglamento europeo.
Qué hace la LOPDGDD: tipificar, no cuantificar
La Ley Orgánica 3/2018 (LOPDGDD) clasifica las conductas infractoras en leves, graves y muy graves en sus artículos 72 a 74. Esa clasificación, sin embargo, no fija cuantías económicas. Su función es estrictamente otra:
- Determinar los plazos de prescripción de las infracciones y de las sanciones (art. 78 LOPDGDD): 1, 2 o 3 años según la categoría.
- Identificar conductas concretas del ordenamiento español que, después, se encajan en los rangos sancionadores del RGPD.
Dicho de otro modo: cuando se lee que una infracción es "muy grave" según la LOPDGDD, eso indica plazos de prescripción y el tipo de conducta, pero no la horquilla de la multa.
De dónde salen los importes: el art. 83 RGPD
Los límites económicos máximos de las sanciones administrativas están en el artículo 83 del RGPD, que establece dos rangos. En ambos rige la misma regla: la multa puede llegar hasta una cuantía fija en euros o hasta un porcentaje del volumen de negocio anual global del ejercicio anterior, optándose siempre por la cuantía de mayor valor entre ambas opciones.
Primer rango (art. 83.4 RGPD): hasta 10 millones de euros o el 2 % del volumen de negocio anual global, la cuantía mayor. Afecta a obligaciones del Encargado del tratamiento (art. 28), notificación de brechas (arts. 33-34), evaluaciones de impacto (art. 35) y designación de Delegado de Protección de Datos (arts. 37-39).
Segundo rango (art. 83.5 RGPD): hasta 20 millones de euros o el 4 % del volumen de negocio anual global, la cuantía mayor. Cubre vulneraciones de principios básicos (art. 5), bases jurídicas del tratamiento (art. 6), consentimiento (art. 7), datos de categoría especial (art. 9), derechos de los interesados (arts. 12-22) y transferencias internacionales (cap. V).
| Rango sancionador | Base normativa | Cuantía máxima | Tipo de infracción habitual |
|---|---|---|---|
| Primer rango | Art. 83.4 RGPD | Hasta 10 millones € o el 2% del volumen de negocio anual global (la cuantía mayor) | Incumplimientos del Encargado del tratamiento (art. 28), notificación de brechas (arts. 33-34), evaluación de impacto (art. 35), designación de DPD (arts. 37-39). |
| Segundo rango | Art. 83.5 RGPD | Hasta 20 millones € o el 4% del volumen de negocio anual global (la cuantía mayor) | Vulneración de principios básicos (art. 5), bases jurídicas (art. 6), consentimiento (art. 7), datos de categoría especial (art. 9), derechos de los interesados (arts. 12-22), transferencias internacionales (cap. V). |
| Tipificación LOPDGDD | Arts. 72-74 LOPDGDD | No fija cuantías. Solo categoriza leves/graves/muy graves a efectos de prescripción (art. 78). | Identifica conductas concretas del ordenamiento español que se subsumen en los rangos del art. 83 RGPD. |
Además de la multa económica, la AEPD dispone de un abanico de medidas correctivas previstas en el art. 58 RGPD: apercibimientos, órdenes de adecuación del tratamiento, limitaciones temporales o definitivas, órdenes de notificación a los afectados y publicación de la resolución sancionadora.
"Las multas no caen del cielo. Casi siempre hay señales previas que nadie atendió. Por eso el acompañamiento continuo no es un lujo: es lo que marca la diferencia."
Mario P. Talamillo · Socio director, Certix®
Consecuencias reales de no cumplir con la normativa de protección de datos
Daño reputacional: Las resoluciones sancionadoras de la AEPD son públicas y quedan indexadas en buscadores. Esto disuade a clientes potenciales y daña las relaciones establecidas.
Restricciones comerciales: Cada vez más empresas exigen el cumplimiento del RGPD como requisito antes de firmar contratos con proveedores y socios.
Exigencia de responsabilidad: la responsabilidad recae sobre la empresa como responsable del tratamiento. Por eso la mejor posición no es el miedo a la sanción, sino poder demostrar una gestión diligente y documentada: es la lógica de la responsabilidad proactiva del art. 5.2 RGPD, que valora que la organización actúe bien y pueda acreditarlo.
Cómo evitar el incumplimiento LOPD en tu empresa
- Realiza una auditoría de los datos que tratas y su base jurídica
- Mantén actualizado el registro de actividades de tratamiento
- Crea y actualiza la política de privacidad adaptada a tu actividad real
- Firma contratos de encargado de tratamiento con todos los proveedores que acceden a datos personales
- Establece procedimientos claros para atender solicitudes de derechos
- Desarrolla un protocolo de respuesta ante brechas de seguridad
Para organizaciones que están obligadas a ello, designar un Delegado de Protección de Datos externo es una solución eficiente para supervisar el cumplimiento continuo sin necesidad de recursos internos dedicados.
La formación del personal reduce significativamente los riesgos derivados de errores humanos o desconocimiento de las obligaciones.