Las multas de la AEPD pueden llegar a 20 millones de euros o al 4% de la facturación anual global de la empresa, la cifra que sea mayor (art. 83 del RGPD). En España, la LOPDGDD clasifica las infracciones en leves, graves y muy graves, y la mayoría de sanciones reales a pymes y autónomos se mueven en tramos muy inferiores a ese máximo. Además, existen reducciones de hasta el 40% por reconocer la responsabilidad y pagar pronto.
Respuesta rápida
El RGPD fija dos topes: hasta 10 M€ o 2% de facturación para infracciones menos graves y hasta 20 M€ o 4% para las más graves. La AEPD modula la cuantía según la gravedad, el alcance y la cooperación. Reconocer la responsabilidad y pagar voluntariamente reduce la multa hasta un 40%. En muchos casos la primera respuesta es un apercibimiento, no una sanción económica.
Datos clave
- ■Tope superior: 20 M€ o 4% de la facturación anual global (art. 83.5 RGPD)
- ■Tope inferior: 10 M€ o 2% (art. 83.4 RGPD)
- ■Reducción: hasta 40% (20% reconocimiento de responsabilidad + 20% pago voluntario)
- ■Prescripción: infracciones leves 1 año, graves 2 años, muy graves 3 años (art. 78 LOPDGDD)
- ■Actividad 2025: la AEPD cerró el año con unas 30.900 reclamaciones y cerca de 48 M€ en multas, su récord histórico
En este artículo
Si tienes una empresa o eres autónomo y tratas datos personales, el régimen sancionador es la otra cara del cumplimiento. Si lo que buscas es adaptar tu actividad, te interesa la guía de RGPD para autónomos dentro de la sección de protección de datos. Aquí nos centramos en cuánto multa la AEPD y cómo reducir el riesgo.
¿Cuánto puede multar la AEPD?
La AEPD puede imponer multas de hasta 20 millones de euros o el 4% del volumen de negocio anual total a escala mundial del ejercicio anterior, optando por la cantidad superior. Lo establece el artículo 83 del Reglamento General de Protección de Datos.
Ese tope máximo es el titular alarmante, pero conviene contextualizarlo: se reserva para las infracciones más graves de grandes corporaciones. La inmensa mayoría de expedientes contra pymes y autónomos terminan en cuantías de cientos o pocos miles de euros, y muchos ni siquiera en multa, sino en apercibimiento.
Tramos de infracción de la LOPDGDD
La Ley Orgánica 3/2018 (LOPDGDD) clasifica las infracciones en tres niveles, con plazos de prescripción distintos. Esta es la referencia que usa la AEPD para encuadrar cada conducta:
| Nivel | Ejemplos | Tope | Prescribe |
|---|---|---|---|
| Leve | Incumplir deberes formales o de información | Hasta 10 M€ o 2% | 1 año |
| Grave | Tratar datos sin base legal; no atender derechos | Hasta 10 M€ o 2% | 2 años |
| Muy grave | Tratar datos sensibles ilícitamente; transferencias indebidas | Hasta 20 M€ o 4% | 3 años |
Lo que dice la ley
Los arts. 72 a 74 de la LOPDGDD detallan qué conductas son muy graves, graves y leves; el art. 78 fija la prescripción (1, 2 y 3 años) y el art. 76 los criterios de graduación. El RGPD prevalece, pero la LOPDGDD concreta el régimen para España.
Cómo decide la AEPD la cuantía exacta
La AEPD no aplica el tope de forma automática: modula la multa según una lista de criterios del art. 83.2 RGPD y el art. 76 LOPDGDD. Pesan la gravedad, el número de afectados, la intencionalidad, las medidas adoptadas para mitigar el daño y, muy especialmente, el grado de cooperación con la Agencia.
-
+
Agravan la multa
La intencionalidad, la reincidencia, el gran número de afectados, el tratamiento de datos sensibles y el beneficio económico obtenido.
-
−
Atenúan la multa
Actuar de buena fe, cooperar con la AEPD, haber adoptado medidas técnicas y organizativas previas y haber paliado el daño a los afectados.
¿Te ha llegado un requerimiento o una propuesta de sanción de la AEPD?
La respuesta en plazo y la estrategia (alegaciones, reducciones, apercibimiento) marcan la diferencia. Te orientamos sin compromiso.
Reducciones por reconocimiento y pronto pago
Si recibes una propuesta de sanción, puedes reducir la multa hasta un 40% acumulando dos descuentos: un 20% por reconocer la responsabilidad y otro 20% por el pago voluntario antes de la resolución. A cambio, renuncias a recurrir y la sanción queda firme.
Es una decisión que conviene valorar con cuidado: si la infracción es discutible, puede compensar más alegar y, en su caso, recurrir; si la responsabilidad es clara, la reducción ahorra dinero y cierra el expediente. No hay una respuesta única, depende del caso.
Cómo evitar la sanción de la AEPD
La mejor defensa frente a una multa es el cumplimiento previo y documentado. Buena parte de las sanciones nacen de no atender los derechos de los ciudadanos —como el derecho al olvido— o de tratamientos mal planteados, como la videovigilancia en el trabajo sin información previa. Estas son las medidas que la AEPD valora como atenuantes y que, sobre todo, evitan que la infracción llegue a producirse:
- Registro de actividades de tratamiento y bases de legitimación claras para cada finalidad.
- Información transparente y consentimientos válidos (sin casillas premarcadas).
- Atención de los derechos de acceso, rectificación, supresión y oposición en el plazo de un mes.
- Medidas de seguridad y protocolo de notificación de brechas en 72 horas (art. 33 RGPD).
- Contratos de encargado de tratamiento con tus proveedores.
¿Necesitas revisar tu caso concreto?
Tribuna Legal te orienta gratis sobre cómo responder a la AEPD o adecuar tu empresa al RGPD. Sin compromiso.
Preguntas frecuentes sobre las multas de la AEPD
¿Cuál es la multa máxima de la AEPD?
20 millones de euros o el 4% de la facturación anual global de la empresa, la cifra que sea mayor, para las infracciones más graves (art. 83.5 RGPD). Las menos graves tienen un tope de 10 M€ o 2%.
¿La AEPD multa a autónomos y pequeñas empresas?
Sí, pero las cuantías reales suelen ser de cientos o pocos miles de euros, muy lejos de los topes máximos. En muchos casos la primera respuesta es un apercibimiento sin multa económica.
¿Se puede reducir una multa de protección de datos?
Sí: hasta un 40%, sumando un 20% por reconocer la responsabilidad y otro 20% por el pago voluntario antes de la resolución. A cambio, renuncias a recurrir y la sanción queda firme.
¿Cuándo prescribe una infracción de protección de datos?
Según el art. 78 LOPDGDD, las infracciones leves prescriben en 1 año, las graves en 2 años y las muy graves en 3 años, contados desde que se cometió la infracción.
¿Qué es un apercibimiento de la AEPD?
Es una advertencia formal sin multa económica, que la AEPD puede imponer en lugar de la sanción cuando la infracción es leve y el infractor coopera. Suele acompañarse de la obligación de adoptar medidas correctoras.
¿Puedo recurrir una multa de la AEPD?
Sí. Las resoluciones de la AEPD agotan la vía administrativa y pueden recurrirse ante la Audiencia Nacional (jurisdicción contencioso-administrativa) en el plazo de dos meses.
Glosario rápido
- AEPD
- Agencia Española de Protección de Datos, autoridad de control que investiga, requiere y sanciona los incumplimientos del RGPD y la LOPDGDD en España.
- Apercibimiento
- Advertencia formal sin multa económica que la AEPD puede imponer en infracciones leves cuando el responsable coopera y corrige.
- Responsable del tratamiento
- Persona o entidad que decide los fines y medios del tratamiento de datos. Es quien responde frente a la AEPD.
- Brecha de seguridad
- Incidente que provoca la destrucción, pérdida o acceso no autorizado a datos personales. Debe notificarse a la AEPD en 72 horas.
Fuentes oficiales consultadas
-
Reglamento General de Protección de Datos (UE 2016/679), art. 83
EUR-Lex -
LO 3/2018 (LOPDGDD), arts. 72-78
BOE — Texto consolidado -
Agencia Española de Protección de Datos — Resoluciones y memorias
aepd.es
Última actualización: junio de 2026 — Incorpora los topes del art. 83 RGPD, los tramos y prescripciones de la LOPDGDD y los datos de actividad sancionadora de la AEPD del ejercicio 2025.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico personalizado. Las cuantías y procedimientos pueden verse afectados por cambios normativos o por circunstancias del caso. Si necesitas orientación, contacta con Tribuna Legal para una consulta gratuita.
