En una frase. La AEPD es la autoridad de control con mayor volumen sancionador de la Unión Europea, con más de 1.000 procedimientos resueltos desde 2018 y competencia sobre cualquier responsable establecido en España o que trate datos de residentes españoles.
Puntos clave
- La AEPD se crea por la LOPD de 1992 y se reorganiza por la LOPDGDD (Ley Orgánica 3/2018).
- Es una autoridad administrativa independiente del Gobierno, con personalidad jurídica propia y presupuesto autónomo.
- En 2025 impuso 299 sanciones por importe acumulado cercano a 40 M EUR.
- Competencias: inspección, sanción, autorización, mediación, asesoramiento normativo y representación en el CEPD.
- Plazo de prescripción: 1 año (leves), 2 años (graves), 3 años (muy graves) según LOPDGDD art. 78.
1. Origen y marco normativo de la AEPD
La Agencia Española de Protección de Datos fue creada por la LOPD de 1992 como autoridad de control independiente, anticipándose en seis años a la Directiva 95/46/CE. El RGPD y la LOPDGDD consolidan su estatuto: independencia funcional, financiera y orgánica, designación parlamentaria del presidente y del adjunto, mandato de cinco años no renovable.
La sede está en Madrid (calle Jorge Juan 6). Cataluña, País Vasco y Andalucía cuentan con autoridades autonómicas (APDCAT, AVPD, CTPDA) con competencias limitadas al sector público autonómico y local respectivo.
2. Estructura interna
| Órgano | Función |
|---|---|
| Presidencia | Dirección, representación, resoluciones sancionadoras |
| Adjunto/a | Sustitución y apoyo a presidencia |
| Consejo Consultivo | Asesoramiento (representantes ministeriales, autonómicos, sociales) |
| Subdirección General de Inspección | Investigación y procedimientos sancionadores |
| Subdirección General de Registro | Notificaciones, censos, publicidad |
| Gabinete Jurídico | Resoluciones, defensa procesal |
| Unidad de Tecnologías | Análisis técnico, ciberseguridad |
3. Competencias materiales
El artículo 47 de la LOPDGDD enumera competencias de inspección, sancionadoras, normativas, de asesoramiento y de cooperación. Entre las más relevantes:
- Investigar de oficio o por denuncia cualquier tratamiento.
- Imponer las sanciones del artículo 83 RGPD hasta 20 M EUR o 4% facturación global.
- Autorizar cláusulas contractuales tipo y normas corporativas vinculantes.
- Aprobar códigos de conducta y mecanismos de certificación.
- Emitir informes preceptivos sobre proyectos normativos que afecten al tratamiento.
- Representar a España en el Comité Europeo de Protección de Datos (CEPD).
4. Procedimiento sancionador: fases
- Actuaciones previas de investigación. Plazo máximo 12 meses. La AEPD puede requerir información, realizar inspecciones in situ y solicitar auxilio judicial.
- Acuerdo de inicio. Notificación al presunto responsable con propuesta de calificación e importe.
- Alegaciones. Plazo de 10 días hábiles ampliable.
- Propuesta de resolución. Tras instrucción, antes de resolución definitiva.
- Resolución. Plazo máximo 9 meses desde inicio (LOPDGDD art. 64). Caduca si se supera.
- Recurso potestativo de reposición. Un mes ante la AEPD.
- Recurso contencioso-administrativo. Dos meses ante la Audiencia Nacional.
El procedimiento abreviado del artículo 64.2 LOPDGDD permite resolución directa cuando los hechos son claros y reconocidos, con reducción del 20% por pago voluntario y otro 20% por reconocimiento de responsabilidad.
5. Clasificación de infracciones (LOPDGDD art. 72-74)
6. Criterios de graduación
El artículo 83.2 RGPD y el 76 LOPDGDD enumeran factores agravantes y atenuantes: naturaleza, gravedad, duración, intencionalidad, número de afectados, categorías de datos, cooperación, reincidencia, beneficio económico obtenido, vinculación con actividad profesional, volumen de negocio. La AEPD publica desde 2024 un baremo orientativo que ha aumentado la previsibilidad de las multas.
7. Casos emblemáticos recientes
- Aena (2025): 10+ M EUR por sistemas de reconocimiento facial sin EIPD previa.
- Vodafone España (2021-2024): más de 8 M EUR acumulados por tratamientos sin consentimiento.
- CaixaBank (2021): 6 M EUR por base jurídica inadecuada.
- BBVA (2020): 5 M EUR por información de tratamiento insuficiente.
- Endesa (2023): 6,1 M EUR por falta de medidas técnicas y organizativas; el sector eléctrico concentra expedientes recurrentes, como muestran las sanciones AEPD a energía y utilities.
El escrutinio se extiende también a sectores emergentes: las sanciones AEPD a fintech y entidades de pago crecen año tras año.
8. Cooperación europea y mecanismo de ventanilla única
Cuando un tratamiento afecta a interesados en varios Estados miembros, se aplica el mecanismo de ventanilla única del artículo 56 RGPD. La AEPD actúa como autoridad principal cuando el establecimiento principal del responsable está en España, o como autoridad afectada en el resto de casos. En 2024 la AEPD lideró 28 procedimientos transfronterizos y participó como afectada en más de 200.
9. Denuncias y reclamaciones
Cualquier interesado puede reclamar ante la AEPD (sede electrónica). La AEPD valora primero si el responsable ha respondido al ejercicio previo de derechos. Si no, suele inadmitir y exigir que se intente con el responsable antes. Esto elimina aproximadamente el 40% de reclamaciones según los informes anuales.
10. Servicios de utilidad gratuita
La AEPD ofrece herramientas que reducen la carga de cumplimiento: Facilita RGPD (auto-evaluación para pymes), Gestiona EIPD (asistente de evaluación de impacto), Comunica-Brecha RGPD (notificación de violaciones), Pacto Digital y guías sectoriales (RRHH, sanidad, videovigilancia, cookies, IA).
11. Cómo prepararse para una inspección AEPD
12. Tendencias 2025-2026
La AEPD ha priorizado en su plan estratégico la inteligencia artificial generativa, el sector sanitario, los menores en plataformas digitales, las cookies y trazadores publicitarios —ámbito donde se concentran las sanciones AEPD en marketing y publicidad— y los sistemas biométricos. El reglamento europeo de IA refuerza su papel como autoridad nacional notificante para sistemas de alto riesgo que tratan datos personales.
13. Control judicial de las resoluciones de la AEPD
Las resoluciones sancionadoras de la AEPD no son la última palabra. Agotada la vía administrativa mediante el recurso potestativo de reposición, el responsable puede acudir a la Sala de lo Contencioso-Administrativo de la Audiencia Nacional en el plazo de dos meses. La Audiencia Nacional ha anulado o reducido sanciones relevantes cuando la AEPD no acreditó suficientemente la culpabilidad o graduó la multa sin motivación adecuada, y el Tribunal Supremo unifica doctrina en casación. Esta cadena de control garantiza que el volumen sancionador de la AEPD —el mayor de la Unión Europea— se someta a revisión judicial efectiva. Para las empresas, la lección práctica es doble: documentar la diligencia debida durante el procedimiento y reservar la defensa contenciosa para los casos con base sólida, no para los expedientes de hechos reconocidos donde el procedimiento abreviado reduce el importe hasta un 40%.
14. Relación con otras autoridades y supervisores sectoriales
La AEPD no opera en aislamiento. Coordina con el Banco de España y la CNMV en el sector financiero, con la CNMC en telecomunicaciones y energía, y con el Centro Criptológico Nacional en materia de ciberseguridad del sector público. En el ámbito laboral, sus criterios sobre videovigilancia y control de la actividad se cruzan con la Inspección de Trabajo y con los derechos digitales de los trabajadores reconocidos en la LOPDGDD. Esta arquitectura de cooperación explica por qué un mismo incidente —una brecha en un banco, por ejemplo— puede generar expedientes paralelos ante varios supervisores con plazos y sanciones independientes.
Véase también: denuncia ante la AEPD y inspección de la AEPD.
FAQ
¿Puede la AEPD inspeccionar sin previo aviso?
Sí. Las actuaciones de investigación pueden iniciarse de oficio sin notificación previa. La AEPD puede personarse en locales del responsable con auxilio policial si es necesario.
¿La AEPD sanciona al sector público?
El artículo 77 LOPDGDD impide multas económicas a administraciones públicas. La AEPD impone apercibimientos y obligaciones de adopción de medidas, y publica las resoluciones.
¿Las autoridades autonómicas pueden sancionarme?
Solo si es responsable del sector público autonómico o local en Cataluña, País Vasco o Andalucía. El sector privado siempre depende de la AEPD.
¿Cuánto dura un procedimiento sancionador?
12 meses de investigación más 9 meses de resolución, con posible suspensión. La caducidad por superar el plazo es causa frecuente de archivo.
¿Se publican todas las resoluciones?
Sí. La AEPD publica todas las resoluciones sancionadoras en su sitio web, anonimizando datos personales pero no la identidad del responsable.