Imagen generada con IA.
¿Qué pasa si, cuando la AEPD llama a tu puerta, simplemente no abres? La respuesta, sorprendentemente, no siempre es la misma. Dos casos recientes muestran cómo ignorar sistemáticamente las comunicaciones de la Agencia Española de Protección de Datos puede terminar de formas radicalmente opuestas: en uno, la estrategia funcionó y la infracción prescribió; en el otro, la pasividad se convirtió en un motivo de sanción independiente, y «muy grave», sobre el asunto original.
Caso 1: el youtuber que logró que su infracción «muy grave» prescribiera
El primer caso, ya conocido, es el de un youtuber investigado por la AEPD cuya infracción había sido calificada como muy grave. En lugar de recepcionar las comunicaciones de la Agencia y afrontar el procedimiento, optó por no recoger las notificaciones que se le enviaban. La estrategia, por incómoda que resulte desde el punto de vista ético, resultó eficaz: el tiempo transcurrido sin que la Agencia pudiera notificar válidamente los trámites del expediente hizo que la infracción acabara prescribiendo, obligando a la AEPD a archivar el caso sin imponer sanción alguna.
Caso 2: la residencia de ancianos sancionada por ignorar 5 requerimientos
El segundo caso, mucho más detallado, afecta a una residencia de ancianos de Bizkaia y muestra que esa misma estrategia puede salir muy mal. Todo arrancó con una reclamación presentada en 2024 por un presunto incumplimiento del RGPD. Para investigarla, la AEPD envió a la empresa un primer requerimiento de información, con un plazo de 15 días hábiles para responder. No hubo respuesta. Envió un segundo requerimiento por vía telemática: tampoco fue recogido a tiempo, aunque la Agencia consideró que la diligencia de notificación había sido válida.
Ante el silencio persistente, la AEPD probó una vía distinta: un tercer requerimiento por correo postal, dirigido al domicilio que figuraba en el Registro Mercantil, junto con una notificación paralela a través de la Dirección Electrónica Habilitada única (DEHú). El envío postal fue devuelto por Correos como «desconocido», pese a tratarse de la dirección social oficial de la empresa. La Agencia insistió con un cuarto requerimiento, que en esta ocasión sí fue recibido, pero que la residencia tampoco respondió. Un quinto y último intento, de nuevo por correo postal, corrió la misma suerte que los anteriores: sin respuesta.
En febrero de 2026, ante la falta absoluta de colaboración tras cinco intentos, la AEPD abrió un procedimiento sancionador, ya no por el asunto original de la reclamación, sino específicamente por el incumplimiento del deber de facilitar información a la autoridad de control, recogido en el artículo 58.1 del RGPD. La conducta fue tipificada como infracción del artículo 83.5.e) del Reglamento y calificada como muy grave conforme al artículo 72.1 de la LOPDGDD. La sanción, resuelta el 28 de abril de 2026, ascendió a 3.000 euros, reducidos a 1.800 euros tras el reconocimiento de responsabilidad y el pago voluntario. Y el problema de fondo no ha desaparecido: la empresa sigue expuesta a un segundo expediente por la cuestión sustantiva de la reclamación original, que la AEPD todavía no ha resuelto.
¿Por qué un caso salió bien y el otro terminó en sanción «muy grave»?
La diferencia entre ambos casos no está en la gravedad de la infracción original, sino en el momento procesal en el que se produce la falta de respuesta. En el caso del youtuber, la inacción afectó a las comunicaciones sobre el fondo del asunto investigado, dentro de un procedimiento cuyo plazo de prescripción corría desde el principio sin que la Agencia lograra interrumpirlo eficazmente. En el caso de la residencia, en cambio, la falta de respuesta se dirigió contra requerimientos previos de información —trámites instrumentales, no el fondo del asunto— y ese tipo de incumplimiento constituye, en sí mismo, una infracción autónoma y expresamente tipificada, independiente de que el asunto original acabe prescribiendo o no.
El abogado especializado en protección de datos Samuel Parra resume así el fenómeno: «es claramente desleal y la desaconsejo totalmente», aunque reconoce que, jurídicamente, la maniobra de no recepcionar notificaciones «es válida porque no está prohibida». Esa doble cara —lícita pero desaconsejable— es precisamente lo que explica que la misma táctica produzca resultados tan distintos según el contexto procesal en el que se aplique.
Los plazos de prescripción del RGPD y la LOPDGDD explicados
La LOPDGDD establece plazos de prescripción distintos según la gravedad de la infracción: tres años para las infracciones muy graves, dos años para las graves y un año para las leves. Estos plazos comienzan a contar desde que se cometió la infracción y se interrumpen, entre otros supuestos, con la notificación válida del inicio del procedimiento sancionador al interesado. Ahí radica la clave: si la Agencia no logra notificar válidamente dentro de ese plazo, la infracción prescribe y el expediente debe archivarse, con independencia de lo grave que fuera la conducta original.
Pero ese mismo RGPD, en su artículo 58.1, otorga a las autoridades de control amplias potestades de investigación, incluyendo la de exigir al responsable o encargado del tratamiento toda la información que necesiten para el ejercicio de sus funciones. No responder a esos requerimientos de información no es un simple retraso procesal: es, en sí mismo, un incumplimiento sancionable de forma independiente, con su propia calificación de gravedad y su propio plazo de prescripción, que empieza a contar de nuevo con cada requerimiento incumplido.
Por qué «jugar» con los plazos es una estrategia de alto riesgo
Los datos de la propia Memoria 2025 de la AEPD ayudan a entender por qué este tipo de situaciones son cada vez más frecuentes: las reclamaciones ciudadanas crecieron un 64% interanual, superando las 30.000 en 2025, mientras que la tasa de resolución de expedientes cayó del 96% en 2024 al 76% en 2025. Con una Agencia cada vez más saturada, la tentación de «ganar tiempo» ignorando comunicaciones puede parecer, sobre el papel, una apuesta razonable.
Pero, como demuestra el caso de la residencia de Bizkaia, esa apuesta puede salir mal de dos formas distintas a la vez: no solo no se evita la sanción por el fondo del asunto —que sigue pendiente—, sino que se añade una segunda sanción, calificada como muy grave, únicamente por la falta de colaboración. La estrategia de no recepcionar notificaciones no es una vía de escape fiable ni predecible: depende de circunstancias procesales que cada empresa no controla, y el coste de equivocarse de cálculo puede ser mucho mayor que el de haber respondido a tiempo. En Dataibérica ayudamos a empresas a gestionar correctamente sus comunicaciones con la AEPD y a responder dentro de plazo a cualquier requerimiento de información, evitando que un problema menor se convierta en una sanción muy grave evitable. Consulta nuestros servicios de protección de datos o contacta con nosotros si tu empresa ha recibido un requerimiento de la Agencia.
Fuente principal: Diario LA LEY.
