En 2025 la AEPD recibió 30.931 denuncias. El número más alto de su historia. Un 64% más que el año anterior. Y las multas RGPD en España ese año sumaron 48 millones de euros en sanciones.
El dato que más crece son las brechas de seguridad: los procedimientos sancionadores pasaron de 30 a 77 y concentraron el 40% del importe sancionado. El RGPD se aplica a empresas de cualquier tamaño.
Por qué hay tantas denuncias y por qué siguen subiendo
Denunciar a una empresa ante la AEPD es gratuito, no requiere abogado y se hace online en diez minutos. Eso lo sabe cada vez más gente. Un cliente que recibió publicidad que no pidió, un usuario que no encuentra la forma de darse de baja, un exempleado que sabe que la empresa no tiene los contratos en regla. El umbral para denunciar es bajísimo y la conciencia ciudadana sobre los derechos de protección de datos ha subido mucho.
En 2026 la tendencia puede acelerarse porque al RGPD se suma el uso de inteligencia artificial: la propia AEPD señala en su Memoria 2025 que las reclamaciones son cada vez más complejas por el influjo de la IA. La AESIA es el supervisor español del AI Act, aunque su régimen sancionador depende de una ley nacional que sigue en tramitación.
Tres motivos de sanción muy frecuentes
El primero es el marketing sin consentimiento válido. Enviar emails publicitarios a listas compradas, reutilizar contactos de clientes antiguos sin renovar el consentimiento, usar el email de un formulario de contacto para enviar newsletters que nadie pidió. Es uno de los motivos más habituales y de los más evitables.
El segundo es la videovigilancia mal configurada. Cámaras sin cartel informativo visible, apuntando a la vía pública más de lo necesario, o grabando zonas comunes sin haber informado a las personas afectadas. La AEPD tiene protocolos específicos para inspeccionar esto y actúa rápido cuando recibe una denuncia.
El tercero, y el que más está creciendo, es no notificar las brechas de seguridad en plazo. Cuando una empresa sufre un acceso no autorizado a datos personales tiene 72 horas para notificarlo a la AEPD. Muchas no lo hacen porque no saben que están obligadas, o porque prefieren no llamar la atención. Esa decisión suele costar más caro que la brecha en sí.
Lo que no se calcula cuando llega una sanción
La multa es el coste visible. Pero hay más: el tiempo del equipo dedicado a responder el expediente, los honorarios de abogados si el asunto se complica, el daño reputacional si el caso se hace público, y la obligación de implementar las medidas correctoras que dicte la resolución, que a veces implican cambiar procesos enteros.
Adaptarse a tiempo suele costar bastante menos que gestionar un expediente sancionador. Si quieres saber en qué situación está tu empresa ahora mismo antes de que llegue una denuncia, puedes empezar por ver qué incluye la adaptación RGPD que ofrecemos o, si prefieres ir directo, solicitar un presupuesto personalizado.
