Si buscas cuánto sanciona la AEPD, probablemente esperas una lista de nombres propios. Este artículo hace otra cosa, y es más útil: parte de las cifras que la propia Agencia Española de Protección de Datos ha publicado en su Memoria de actuación 2025, presentada el 6 de mayo de 2026, para responder a la pregunta que de verdad importa. No cuánto pagó una empresa concreta, sino dónde caen las multas y qué las provoca.
El titular: 48.108.765 euros en sanciones durante 2025. Y algo más revelador que el importe, las 30.931 reclamaciones recibidas, un 64% más que el año anterior y la cifra más alta de la historia de la Agencia.
2025 en cifras: el año del récord
La Memoria dibuja una autoridad desbordada por su propio éxito. A las 30.931 reclamaciones presentadas directamente hay que sumar 1.118 casos transfronterizos llegados de otras autoridades europeas, un 36% más, y 14 actuaciones iniciadas de oficio. En total, 32.063 entradas nuevas a Inspección en un solo año.
La AEPD reconoce en su propio texto que esa carga «no se ha visto acompasada por un incremento proporcional en la evolución de la plantilla». Su respuesta, recogida en el Plan estratégico 2025-2030, es priorizar: concentrar la acción «en las áreas de mayor impacto sobre la dignidad y los derechos de las personas».
Eso tiene una consecuencia práctica para cualquier empresa. Una autoridad que prioriza no persigue menos, persigue más selectivamente y con más profundidad. La propia Memoria lo explica sin rodeos: a raíz de una reclamación por un hecho aparentemente aislado, la Agencia descubre con frecuencia «una manera de proceder general del responsable por tratarse de problemas sistémicos».
Dicho de otro modo: la reclamación de un solo usuario molesto puede abrir la puerta a una revisión de todo tu tratamiento de datos.
Para dimensionar el contexto europeo, el agregador independiente Enforcement Tracker sitúa a España como la autoridad más activa de la Unión por número de casos registrados, con más de mil expedientes contabilizados. No es una percepción: es el volumen real.
Dónde caen realmente las multas
Aquí está el dato que deberías mirar antes que ningún otro. Dos terceras partes del importe total de sanciones de 2025 se concentran en tres categorías:
- servicios de internet
- comercio, transporte y hostelería
- brechas de seguridad
Si tu actividad encaja en alguna de las dos primeras, estás estadísticamente en la zona caliente. Y la tercera no es un sector, es un tipo de fallo: le puede pasar a cualquiera.
Por número de procedimientos finalizados en 2025, el orden es distinto:
| Área de actividad | Procedimientos | Variación |
|---|---|---|
| Videovigilancia | 81 | −4% |
| Servicios de internet | 77 | −3% |
| Quiebras de datos personales | 46 | +229% |
| Comercio, transporte y hostelería | 41 | +54% |
| Sanidad | 34 | +278% |
La lectura es doble. La videovigilancia sigue siendo el primer motivo de expediente en número, pero está estancada. Lo que se dispara son las quiebras de datos y la sanidad, con crecimientos de tres cifras.
Vale la pena separar las dos métricas. Videovigilancia genera muchos expedientes de importe modesto, típicamente cámaras mal orientadas o sin cartel informativo. Servicios de internet genera menos expedientes pero mucho más caros. Si te preocupa el número de sustos, mira la primera columna. Si te preocupa la factura, mira la concentración del importe.
Las brechas de seguridad, el riesgo que más creció
Es el capítulo más contundente de la Memoria. Los procedimientos sancionadores o de apercibimiento por brechas de datos personales pasaron de 30 en 2024 a 77 en 2025, un incremento del 157%. Y derivaron en sanciones por 19.836.603 euros, es decir el 40% de todo lo sancionado en el año.
Cuarenta por ciento del importe total, para un tipo de incidente que la mayoría de empresas considera mala suerte y no incumplimiento.
Esa es precisamente la confusión que sale cara. Una brecha no se sanciona por haber ocurrido, sino por lo que revela: medidas técnicas insuficientes según el artículo 32 del RGPD, ausencia de notificación en el plazo de 72 horas del artículo 33, o falta de comunicación a los afectados cuando el riesgo lo exigía, según el artículo 34.
La propia AEPD ofrece herramientas gratuitas para esto, y la Memoria detalla su uso: Comunica-Brecha RGPD registró 15.214 accesos en 2025 y Asesora-Brecha RGPD otros 9.237. Son públicas y no cuestan nada.
Recurrir casi nunca funciona
Un dato que rara vez aparece en los artículos sobre multas, y que debería pesar en cualquier decisión: de las 38 sentencias dictadas por la Audiencia Nacional en 2025 sobre recursos interpuestos contra resoluciones de la Agencia, el 76% fueron inadmitidas o desestimadas.
Tres de cada cuatro recursos fracasan. La estrategia de «ya recurriremos si nos sancionan» tiene, en números, una probabilidad de éxito de en torno al 24%, tras meses de procedimiento y costes de abogado que no recuperas.
Prevenir no es solo más barato en abstracto. Es más barato en concreto.
Qué hacer con esto: tus opciones reales
Ninguna de las cifras anteriores te dice qué hacer un lunes por la mañana. Esto sí.
Contratar a un abogado especialista. Es la vía más sólida si tu tratamiento de datos es complejo, si haces perfilado, si tratas datos de salud o biométricos, o si operas en varios países. Un despacho especializado en protección de datos en España cobra habitualmente entre 1.000 y 3.000 euros por la documentación completa de un sitio web, y más si hay auditoría. Para una pyme con un tratamiento estándar, suele ser desproporcionado.
Copiar los documentos de otra web. Es lo que hace mucha gente y es la peor opción de todas. Una política de privacidad describe tus tratamientos: qué datos recoges, con qué base jurídica, quiénes son tus encargados, cuánto tiempo los conservas. Copiada de otro sitio, describe los tratamientos de otro. Ante una reclamación, ese documento no te protege, te delata — y el artículo 5.2 del RGPD te obliga a poder demostrar el cumplimiento, no solo a afirmarlo.
Usar las herramientas gratuitas de la AEPD. Facilita y Facilita Emprende son reales, públicas y útiles: 51.979 y 6.571 accesos respectivamente en 2025. Cubren bien el análisis de riesgo y el registro de actividades. No generan, en cambio, los textos legales publicables de tu web.
Usar un generador especializado. WebLegal produce política de privacidad, política de cookies, condiciones de uso y condiciones de venta adaptadas a tu actividad real, a tu jurisdicción y a los datos que efectivamente recoges, en pago único desde 19,90 € y sin suscripción. Antes de decidir nada, puedes escanear tu sitio gratis y ver qué falta: no hace falta registrarse.
Si tienes tienda online, el orden de prioridades cambia un poco y lo desarrollamos en nuestro plan de acción RGPD para e-commerce en 10 pasos. Y si eres autónomo, la lista concreta de documentos obligatorios para tu sitio web resume lo mínimo exigible.
Lo que estas cifras no dicen
Conviene ser honesto con los límites del ejercicio. La Memoria publica agregados, no una lista de sancionados con importes. Los artículos que circulan con «las 15 mayores multas» suelen apoyarse unos en otros sin fuente primaria, y algunos importes que hemos intentado verificar no aparecen en ninguna resolución pública.
Si necesitas un precedente concreto, la vía fiable es el buscador de resoluciones de la AEPD, que publica las decisiones íntegras. Es la única fuente que permite citar un caso sin repetir un rumor.
Tampoco extrapoles el importe medio. Una sanción de servicios de internet y una de videovigilancia viven en escalas distintas, y promediar las dos no describe el riesgo de nadie.
Conclusión
Las cifras de 2025 dibujan un escenario claro: más reclamaciones que nunca, una autoridad que prioriza los casos de mayor impacto, y un importe sancionador concentrado en tres categorías donde probablemente encaje tu negocio si vendes en internet.
El punto que más cambia la ecuación no es el techo de 20 millones del artículo 83, que casi ninguna pyme verá. Es la combinación de dos datos: las brechas de seguridad ya representan el 40% de lo sancionado, y tres de cada cuatro recursos fracasan ante la Audiencia Nacional.
Es decir: el riesgo real no es la multa espectacular que sale en prensa, sino el expediente ordinario que empieza con la reclamación de un usuario, destapa un problema sistémico y termina sin salida procesal.
Escanea tu sitio gratis y comprueba qué te falta →
Preguntas frecuentes
¿Cuánto sancionó la AEPD en 2025?
48.108.765 euros en total, según la Memoria de actuación 2025 publicada por la propia Agencia el 6 de mayo de 2026. Dos terceras partes de ese importe se concentran en tres categorías de casos: servicios de internet; comercio, transporte y hostelería; y brechas de seguridad.
¿Cuál es la multa máxima que puede imponer la AEPD?
El artículo 83 del RGPD fija dos niveles. Las infracciones del primer nivel llegan hasta 10 millones de euros o el 2% del volumen de negocio anual global, la cifra que sea mayor. Las del segundo nivel llegan hasta 20 millones o el 4%. En la práctica, la mayoría de sanciones a pymes se mueve muy por debajo de esos techos, pero el porcentaje sobre facturación es lo que convierte una infracción en un problema existencial para una empresa grande.
¿Qué actividad genera más procedimientos sancionadores en España?
La videovigilancia, con 81 procedimientos finalizados en 2025, seguida de los servicios de internet con 77. Pero el crecimiento más fuerte está en otro sitio: las quiebras de datos personales subieron un 229% y la sanidad un 278%.
¿Merece la pena recurrir una sanción de la AEPD?
Las estadísticas no invitan al optimismo. De las 38 sentencias dictadas por la Audiencia Nacional en 2025 sobre recursos contra resoluciones de la Agencia, el 76% fueron inadmitidas o desestimadas. Prevenir sale mucho más barato que litigar.
¿Basta con tener una política de privacidad para estar en regla?
No. Los documentos legales son la parte visible del cumplimiento, y son obligatorios, pero las sanciones más cuantiosas de 2025 vinieron de brechas de seguridad: casi 20 millones de euros, el 40% del total. Necesitas documentos correctos y medidas técnicas que respalden lo que esos documentos prometen. Sobre la parte documental, tienes el detalle de las normas y sanciones de la política de cookies y del aviso legal.
¿La AEPD sanciona a autónomos y pequeñas empresas?
Sí. El tamaño no exime: el RGPD, la LOPDGDD y la LSSI se aplican igual a un autónomo que a una multinacional. Lo que cambia es la cuantía, que se gradúa según el artículo 83.2 del RGPD teniendo en cuenta la gravedad, la intencionalidad y la cooperación con la Agencia.
Fuente de las cifras: Agencia Española de Protección de Datos, nota de prensa y Memoria de actuación 2025, publicadas el 6 de mayo de 2026. Contexto europeo: Enforcement Tracker. Este artículo es informativo y no constituye asesoramiento jurídico.
