Que el RGPD existe, todo el mundo lo sabe. Que la AEPD sanciona, también. Pero cuando preguntas a un autónomo si su negocio cumple con la normativa de protección de datos, la respuesta más habitual es “creo que sí” o, directamente, “no tengo ni idea”. Ese desconocimiento tiene un precio.
Las multas por incumplimiento del RGPD no son anecdóticas ni se limitan a las grandes empresas. La Agencia Española de Protección de Datos ha sancionado a clínicas, academias, inmobiliarias, autónomos de todo tipo y comunidades de vecinos. El tamaño del negocio no es un escudo.
Cuánto puede ser la multa
El RGPD establece dos niveles de sanción:
Infracciones leves y graves: hasta 10 millones de euros o el 2% de la facturación global anual, la cantidad que sea mayor.
Infracciones muy graves: hasta 20 millones de euros o el 4% de la facturación global anual.
Para un autónomo o una pyme, estos números parecen alejados de la realidad. Pero la AEPD también aplica sanciones reducidas para pequeños negocios, y ahí es donde el dato se vuelve relevante: las multas reales a autónomos en España oscilan habitualmente entre 1.000 y 10.000 euros, con una media que ronda los 2.000 euros para infracciones de tipo medio.
Dos mil euros por no tener un aviso de privacidad correcto en el formulario de contacto de tu web. O por no firmar el contrato de encargado de tratamiento con tu gestor. O por usar un sistema de videovigilancia sin cartel informativo.
Riesgo real vs coste de cumplir
Multa media AEPD a autónomos y pymes: 2.000€
Adaptación RGPD completa con Adapta RGPD: desde 119€
Diferencia: 1.881€ que puedes evitar hoy mismo
Por qué sancionan más de lo que parece
La AEPD no sale a buscar autónomos para multarles. El 90% de los expedientes sancionadores se abren por denuncia de un particular: un cliente que no fue informado correctamente de cómo se usarían sus datos, un ex empleado, un competidor.
Y ahí está el problema. Cualquier persona puede presentar una reclamación ante la AEPD de forma gratuita y en pocos minutos. Si tienes un cliente insatisfecho, un empleado con quien terminas mal, o simplemente alguien que conoce sus derechos, puede ser suficiente para abrir un expediente contra tu negocio.
Una vez abierto, la AEPD solicita documentación. Si no puedes acreditar que cumples con la normativa, la sanción llega.
Qué infracciones son las más comunes
Las que más aparecen en las resoluciones publicadas por la AEPD para pequeños negocios son estas:
No informar correctamente a los clientes. La política de privacidad de tu web o el texto del formulario no menciona quién es el responsable del tratamiento, con qué base legal se tratan los datos o cuánto tiempo se conservan.
No tener contrato con proveedores que acceden a datos. Tu gestor fiscal, tu asesoría, la empresa que gestiona tu email marketing o tu software de facturación acceden a datos de tus clientes. Con todos ellos debes tener firmado un contrato de encargado de tratamiento.
Videovigilancia sin cartel. Si tienes cámaras en tu local o negocio y no hay cartel informativo visible, incumples el RGPD aunque las cámaras sean solo de seguridad.
Envío de publicidad sin consentimiento. Mandar emails comerciales a clientes sin que hayan dado su consentimiento explícito o sin darles opción a darse de baja es una de las infracciones que más denuncias genera.
No atender las solicitudes de derechos. Si alguien te pide que elimines sus datos y no lo haces en el plazo legal (un mes), estás incumpliendo.
La documentación que te protege
En un expediente sancionador, lo único que cuenta es lo que puedes acreditar por escrito. La AEPD no acepta “siempre lo hemos hecho así” ni “somos un negocio pequeño”. Necesitas poder presentar el registro de actividades de tratamiento, las políticas de privacidad, los contratos con proveedores y el consentimiento de quien recibe tus comunicaciones comerciales.
Eso es exactamente lo que incluye la adaptación RGPD completa: toda la documentación personalizada para tu tipo de negocio, lista en menos de 24 horas.
Qué hacer si ya has recibido una notificación de la AEPD
Si la AEPD ya te ha notificado el inicio de un expediente, tienes un plazo para presentar alegaciones. Adaptarte en ese momento sigue siendo útil, porque demuestra voluntad de cumplimiento y puede reducir la sanción. Pero lo ideal es no llegar a ese punto.
La normativa de protección de datos no desaparece ni se relaja. Cumplirla desde el principio es lo más barato, lo más rápido y lo que mejor duerme.
