En 2025 la AEPD recibió 30.931 denuncias. El número más alto de su historia. Un 64% más que el año anterior. Y las multas RGPD en España ese año sumaron 48 millones de euros en sanciones.
Lo que más llama la atención de esas cifras no es el volumen económico. Es que la mayoría de los expedientes que acaban en sanción son contra empresas medianas y pequeñas, no contra grandes corporaciones. Contra empresas que pensaban que el RGPD era una burocracia para las empresas grandes.
Por qué hay tantas denuncias y por qué siguen subiendo
Denunciar a una empresa ante la AEPD es gratuito, no requiere abogado y se hace online en diez minutos. Eso lo sabe cada vez más gente. Un cliente que recibió publicidad que no pidió, un usuario que no encuentra la forma de darse de baja, un exempleado que sabe que la empresa no tiene los contratos en regla. El umbral para denunciar es bajísimo y la conciencia ciudadana sobre los derechos de protección de datos ha subido mucho.
En 2026 la tendencia se acelera porque a las denuncias del RGPD se suman las del AI Act. La AEPD ya abrió 147 expedientes por uso de inteligencia artificial en solo quince meses, con un incremento del 340% respecto a 2024. Y la AESIA, el supervisor español del AI Act, tiene capacidad sancionadora plena desde agosto de este año.
Los tres motivos que concentran el 80% de las sanciones
El primero es el marketing sin consentimiento válido. Enviar emails publicitarios a listas compradas, reutilizar contactos de clientes antiguos sin renovar el consentimiento, usar el email de un formulario de contacto para enviar newsletters que nadie pidió. Es el motivo número uno de sanción y el más evitable.
El segundo es la videovigilancia mal configurada. Cámaras sin cartel informativo visible, apuntando a la vía pública más de lo necesario, o grabando zonas comunes sin haber informado a las personas afectadas. La AEPD tiene protocolos específicos para inspeccionar esto y actúa rápido cuando recibe una denuncia.
El tercero, y el que más está creciendo, es no notificar las brechas de seguridad en plazo. Cuando una empresa sufre un acceso no autorizado a datos personales tiene 72 horas para notificarlo a la AEPD. Muchas no lo hacen porque no saben que están obligadas, o porque prefieren no llamar la atención. Esa decisión suele costar más caro que la brecha en sí.
Lo que no se calcula cuando llega una sanción
La multa es el coste visible. Pero hay más: el tiempo del equipo dedicado a responder el expediente, los honorarios de abogados si el asunto se complica, el daño reputacional si el caso se hace público, y la obligación de implementar las medidas correctoras que dicte la resolución, que a veces implican cambiar procesos enteros.
Una adaptación RGPD completa cuesta entre cinco y veinte veces menos que gestionar un expediente sancionador. Si quieres saber en qué situación está tu empresa ahora mismo antes de que llegue una denuncia, puedes empezar por ver qué incluye la adaptación RGPD que ofrecemos o, si prefieres ir directo, solicitar un presupuesto personalizado.
