La Agencia Española de Protección de Datos (AEPD) presentó el 6 de mayo de 2026 su Memoria de Actuación del año 2025, y los datos no dejan lugar a dudas: el cumplimiento de la normativa de protección de datos en España nunca ha estado tan vigilado como ahora. Con 30.931 reclamaciones registradas —el número más alto de toda su historia— y más de 48 millones de euros en sanciones, 2025 marcó un punto de inflexión para las empresas españolas. ¿Está tu organización preparada para un escenario en el que cualquier incumplimiento puede derivar en una reclamación formal ante la autoridad de control?
Los datos de la Memoria AEPD 2025: cifras sin precedentes
Según la nota de prensa oficial de la AEPD, los principales indicadores de 2025 son los siguientes:
- 30.931 reclamaciones recibidas en 2025, frente a las 18.885 de 2024. Esto supone un incremento del 64% en tan solo un año.
- 48.108.765 euros en sanciones impuestas durante 2025, un aumento del 35% respecto al ejercicio anterior.
- 77 procedimientos sancionadores por brechas de seguridad, lo que representa un incremento del 157% respecto a los 30 casos de 2024. Estas infracciones generaron casi 20 millones de euros en multas (19.836.603 euros).
- El 64% del importe total de sanciones se concentra en tres categorías: servicios de internet, comercio/transporte/hostelería y brechas de datos.
¿Qué explica este aumento tan pronunciado?
La AEPD atribuye el récord de reclamaciones a varios factores combinados: una mayor conciencia ciudadana sobre los derechos de protección de datos, la expansión del uso de herramientas digitales en las empresas, y la creciente complejidad de los tratamientos de datos —especialmente en áreas como el marketing digital, la inteligencia artificial y la videovigilancia. La agencia también ha mejorado sus canales de denuncia, haciendo más accesible para cualquier ciudadano la presentación de reclamaciones.
Qué tipo de infracciones generan más reclamaciones y sanciones
El análisis de la Memoria 2025 permite identificar tres grandes focos de riesgo para las empresas:
1. Brechas de seguridad: el área de mayor crecimiento
El crecimiento más espectacular se produce en los procedimientos por brechas de datos personales: se multiplicaron por dos y medio en un año. Una brecha de seguridad en los sistemas de una empresa —ya sea por ciberataque, error humano o fallo técnico— genera ahora una probabilidad mucho mayor de procedimiento sancionador. El RGPD obliga a notificar cualquier brecha a la AEPD en un plazo de 72 horas (artículo 33 del Reglamento UE 2016/679), y las multas por omisión o notificación tardía se han disparado.
2. Marketing sin consentimiento y cookies
El uso indebido de datos para finalidades comerciales sin base jurídica válida y el incumplimiento de la normativa de cookies continúa siendo el origen de miles de reclamaciones cada año. Muchas empresas siguen usando el interés legítimo como base legal para el envío de comunicaciones comerciales en casos donde el RGPD exige consentimiento explícito.
3. Videovigilancia
La instalación de cámaras de seguridad sin cumplir con los requisitos de información y señalización, o con un período de conservación de imágenes superior al permitido (máximo 30 días en la mayoría de casos), genera un número elevado de reclamaciones de particulares y empleados.
Para más contexto sobre el panorama sancionador, puede consultar el análisis de LegalToday sobre la Memoria AEPD 2025 o el análisis de El Derecho.
Qué implica para las empresas españolas este escenario
El mensaje que transmite la Memoria AEPD 2025 es inequívoco: el riesgo de recibir una reclamación —y eventualmente una sanción— es hoy más elevado que en cualquier momento anterior. Este escenario tiene implicaciones directas y prácticas para cualquier empresa que trate datos personales de clientes, empleados o usuarios:
Mayor probabilidad de inspección reactiva
La AEPD ya no actúa solo de oficio. Con más de 30.000 reclamaciones anuales, el organismo recibe denuncias de ciudadanos, empleados y competidores con una frecuencia muy superior a la de hace cinco años. Basta con que un cliente insatisfecho, un ex-empleado o un competidor presente una reclamación para que se abra una investigación.
Las brechas de datos se investigan más y se sancionan más
El aumento del 157% en procedimientos por brechas de datos no es solo un dato estadístico: es una señal de que la AEPD ha reforzado sus recursos y procesos para perseguir este tipo de infracciones. Una brecha de datos no notificada o mal gestionada puede derivar en sanciones de hasta 10 millones de euros o el 2% de la facturación global (artículo 83 del RGPD). Si la brecha es especialmente grave —afecta a datos sensibles o hay negligencia—, el límite es 20 millones de euros o el 4%.
El tamaño de la empresa no es una protección
Un análisis de las sanciones de 2025 revela que las multas no se concentran solo en grandes corporaciones. Autónomos, pequeñas y medianas empresas, comunidades de vecinos y entidades sin ánimo de lucro también han recibido resoluciones sancionadoras. La AEPD aplica el principio de proporcionalidad, pero eso no equivale a impunidad para las organizaciones más pequeñas.
Cómo preparar tu empresa para reducir el riesgo
En un contexto de máxima vigilancia regulatoria, el cumplimiento proactivo del RGPD es la mejor estrategia de gestión del riesgo. Estos son los pasos fundamentales:
- Revisar y actualizar el registro de actividades de tratamiento para identificar qué datos se tratan, con qué finalidad y sobre qué base jurídica.
- Implementar un protocolo de gestión de brechas que permita detectar, evaluar y notificar incidentes en menos de 72 horas.
- Auditar la política de cookies y los formularios de consentimiento para asegurarse de que cumplen con los requisitos actuales de la AEPD.
- Formar al personal sobre sus obligaciones en materia de protección de datos, especialmente en las áreas de mayor riesgo (RRHH, marketing, atención al cliente).
- Contar con un Delegado de Protección de Datos (DPO) si tu organización está obligada a ello, o con un asesor especializado si no lo está.
En DataIbérica te ayudamos a evaluar el nivel de cumplimiento de tu empresa y a poner en marcha las medidas necesarias. Consulta nuestros servicios de protección de datos y cumplimiento RGPD.
Preguntas frecuentes sobre la AEPD y las sanciones RGPD
¿Cuánto puede multar la AEPD a mi empresa?
Las multas del RGPD tienen dos niveles. Para infracciones graves (como incumplir las bases jurídicas del tratamiento), el límite es 10 millones de euros o el 2% del volumen de negocio global anual. Para infracciones muy graves (como vulnerar los derechos de los interesados o cometer brechas graves), el límite es 20 millones de euros o el 4% de la facturación. La AEPD aplica criterios de proporcionalidad y puede reducir las multas por reconocimiento de responsabilidad o colaboración activa.
¿Cualquier persona puede presentar una reclamación ante la AEPD?
Sí. Cualquier ciudadano puede presentar una reclamación ante la AEPD de forma gratuita si considera que sus derechos de protección de datos han sido vulnerados. Esto incluye clientes, empleados, proveedores y cualquier persona cuyos datos trate la empresa. El canal de reclamaciones está disponible en la web oficial de la AEPD.
¿Qué debo hacer si mi empresa sufre una brecha de datos?
Debes notificar la brecha a la AEPD en un máximo de 72 horas desde que tengas conocimiento de ella (artículo 33 del RGPD), salvo que sea improbable que suponga un riesgo para las personas afectadas. Si la brecha implica un alto riesgo, también debes informar a los afectados. Es imprescindible documentar el incidente, sus causas, las medidas adoptadas y los datos implicados.
¿Una empresa pequeña puede recibir una multa de la AEPD?
Sí. La AEPD sanciona a empresas de todos los tamaños, incluyendo autónomos, pymes y asociaciones. En 2025 se han registrado sanciones a muy diversos tipos de organizaciones. La proporcionalidad implica que la multa se ajusta al tamaño y capacidad económica, pero no elimina la responsabilidad ni la sanción.
¿Qué sectores tienen mayor riesgo de reclamación ante la AEPD?
Según los datos de la Memoria 2025, los sectores con mayor volumen de reclamaciones y sanciones son los servicios de internet (incluyendo e-commerce y plataformas digitales), el comercio, la hostelería y el transporte. También destacan las entidades financieras, las empresas de telecomunicaciones y el sector sanitario.
Conclusión: el cumplimiento RGPD ya no es opcional
Los datos de la Memoria AEPD 2025 son una llamada de atención para cualquier empresario o directivo español: el control del cumplimiento en materia de protección de datos es más intenso que nunca, los ciudadanos reclaman sus derechos con más frecuencia y las sanciones siguen creciendo. La buena noticia es que el cumplimiento del RGPD es alcanzable con un enfoque ordenado, un asesoramiento adecuado y la voluntad de hacer las cosas bien. Si necesitas revisar el cumplimiento de tu empresa o poner en marcha un plan de adecuación, contacta con DataIbérica y te asesoraremos sin compromiso.
