El sistema de sanciones del RGPD en España
El Reglamento General de Protección de Datos (RGPD) establece en su artículo 83 un régimen sancionador en dos niveles que se aplica directamente en toda la UE. En España, la Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente para imponer estas sanciones.
| Nivel | Precepto | Tope absoluto | Tope porcentual |
|---|---|---|---|
| Infracciones muy graves | Art. 83.5 RGPD | 20 000 000 € | 4 % facturación global anual |
| Infracciones graves | Art. 83.4 RGPD | 10 000 000 € | 2 % facturación global anual |
| Infracciones leves (LOPDGDD) | Arts. 73–74 LOPDGDD | 40 000 € | Sin tope porcentual |
La LOPDGDD (Ley Orgánica 3/2018) clasifica las infracciones del RGPD en muy graves (art. 72), graves (art. 73) y leves (art. 74), y complementa los criterios de graduación del art. 83.2 RGPD con los del art. 76 de la propia ley. Se aplica siempre el importe más alto entre el tope absoluto y el porcentual.
Cómo calcula la AEPD el importe de la sanción
Desde 2022, la AEPD aplica las Directrices 04/2022 del EDPB (Comité Europeo de Protección de Datos), que articulan un proceso en cinco pasos:
- Paso 1: identificar las operaciones de tratamiento infractoras y su naturaleza.
- Paso 2: determinar si el responsable o encargado es quien debe responder.
- Paso 3: fijar el importe de partida según el tramo de facturación de la entidad y la gravedad de la infracción.
- Paso 4: ajustar el importe por los factores agravantes y atenuantes del art. 83.2 RGPD.
- Paso 5: verificar que la sanción sea efectiva, proporcionada y disuasoria, y que no supere el tope legal.
La calculadora aplica una versión simplificada de este proceso, usando los rangos habituales observados en las resoluciones de la AEPD entre 2021 y 2025 y ajustando por los factores que seleccionas.
Principales factores de graduación (art. 83.2 RGPD)
El artículo 83.2 RGPD enumera diez criterios que la AEPD debe ponderar al fijar el importe:
- La naturaleza, la gravedad y la duración de la infracción.
- El carácter doloso o negligente de la infracción.
- Las medidas tomadas para paliar los daños.
- El grado de responsabilidad, teniendo en cuenta las medidas técnicas y organizativas.
- Cualquier infracción anterior del responsable o encargado.
- El grado de cooperación con la autoridad de control.
- Las categorías de datos afectados (datos especiales, de menores).
- La forma en que la autoridad tuvo conocimiento de la infracción.
- El cumplimiento de los mecanismos de certificación o códigos de conducta.
- Cualquier otro factor agravante o atenuante aplicable al caso.
Límites importantes que la calculadora no puede cubrir
- Las sanciones a Administraciones Públicas tienen un régimen especial bajo la LOPDGDD: se tramita mediante apercibimiento y no con multa directa.
- El RGPD permite imponer sanciones separadas por varias infracciones concurrentes; esta calculadora solo estima una.
- La prescripción de las infracciones: muy graves (3 años), graves (2 años), leves (1 año), desde la fecha de comisión o de la última actuación si es continuada.
- Las medidas cautelares que puede adoptar la AEPD (suspensión del tratamiento, bloqueo de datos) con independencia de la sanción económica.
- El reconocimiento de responsabilidad antes de resolución puede reducir la multa hasta en un 20 %.