Qué hizo Gadisa para recibir la multa de 200.000 euros de la AEPD
La Agencia Española de Protección de Datos (AEPD) publicó el 7 de mayo de 2026 su resolución sancionadora contra Gadisa, propietaria de Gadis, Claudio e Ifa Cash. La multa asciende a 200.000 euros y tiene su origen en una denuncia de FACUA-Consumidores en Acción presentada en enero de 2025.
El caso arranca de una práctica aparentemente inocua: Gadisa enviaba cheques regalo con descuentos personalizados a domicilios de familias beneficiarias del Carné Familiar, un programa de ayudas de la Xunta de Galicia. Los descuentos se calculaban según las compras previas de cada familia, usando datos que la Xunta cedió a Gadisa sin el consentimiento de los afectados. La AEPD apercibió también a la Xunta, pero sin sanción económica. Gadisa recurrirá ante la Audiencia Nacional.
Qué artículo del RGPD infringió Gadisa
La AEPD basó la sanción en el artículo 26 del RGPD (Reglamento UE 2016/679), que regula los corresponsables del tratamiento. Cuando dos entidades determinan conjuntamente los fines del tratamiento de datos, ambas son corresponsables y deben formalizar un acuerdo escrito que distribuya responsabilidades y sea accesible para los afectados.
La AEPD concluyó que no existía acuerdo de corresponsabilidad válido entre Gadisa y la Xunta. Consecuencias: las familias nunca supieron que sus datos se cederían a una empresa privada; Gadisa los incorporó a sus ficheros sin autorización; y no había base jurídica para ese uso comercial de datos administrativos.
Diferencia entre encargado y corresponsable del tratamiento
Un encargado del tratamiento procesa datos siguiendo instrucciones (como un proveedor SaaS o una gestoría). Un corresponsable decide conjuntamente los fines del tratamiento. Gadisa y la Xunta no tenían una relación cliente-proveedor: ambas decidían el uso de datos de ciudadanos, lo que las convierte en corresponsables con todas las obligaciones legales asociadas.
Por qué la AEPD multa a Gadisa pero solo apercibe a la Xunta
Las administraciones públicas no pueden ser multadas económicamente por la AEPD (LOPDGDD), pero sí reciben apercibimientos formales. Gadisa, como empresa privada, sí está expuesta a sanciones. La infracción del artículo 26 puede acarrear hasta 10 millones de euros o el 2% de la facturación global. Según ElDiario.es, la AEPD optó por una sanción moderada al no apreciar dolo claro.
Qué deben hacer las empresas para evitar esta situación
El caso Gadisa afecta a cualquier empresa que comparta datos con administraciones, socios o proveedores. Medidas clave:
- Verifica la base jurídica antes de usar datos que no hayas recogido tú: la fuente pública no otorga automáticamente el derecho de uso.
- Formaliza los acuerdos de corresponsabilidad por escrito (art. 26 RGPD), distribuyendo responsabilidades y haciéndolos accesibles a los interesados.
- No asumas que la administración garantiza el cumplimiento: eres responsable de verificarlo.
- Aplica el principio de limitación de finalidad (art. 5.1.b RGPD): datos de ayudas públicas no pueden usarse para marketing sin base jurídica específica.
- Audita periódicamente tus convenios y acuerdos con terceros que te ceden datos.
Desde DataIbérica ayudamos a las empresas a identificar y formalizar correctamente estas relaciones.
Preguntas frecuentes sobre la multa a Gadisa y la corresponsabilidad
¿Qué son los corresponsables del tratamiento?
Son dos o más entidades que deciden conjuntamente para qué se usan los datos. El artículo 26 del RGPD les obliga a firmar un acuerdo que distribuya responsabilidades y sea accesible para los afectados.
¿Puede mi empresa usar datos cedidos por una administración para fines comerciales?
Solo con base jurídica clara: norma con rango de ley o consentimiento expreso de los interesados para esa finalidad concreta. El uso comercial de datos administrativos sin base jurídica es infracción grave del RGPD.
¿Por qué la Xunta no fue multada si también participó?
Las administraciones públicas no están sujetas a multas económicas de la AEPD según la LOPDGDD. Sí reciben apercibimientos y, en caso de reincidencia, la AEPD puede elevar el asunto o publicar el expediente.
¿Qué hago si descubro que mi empresa usa datos sin acuerdo de corresponsabilidad?
Suspende el tratamiento cuanto antes y regulariza la situación con un especialista. No tener el acuerdo del artículo 26 es infracción grave, independientemente de si el tratamiento era adecuado en otros aspectos.
¿Este caso afecta también a pymes?
Sí. El RGPD no distingue por tamaño. Una pyme que participe en un programa municipal o colabore con una entidad pública puede incurrir exactamente en la misma infracción si no formaliza la corresponsabilidad.
Conclusión: la multa a Gadisa avisa a todas las empresas que comparten datos con terceros
La sanción de 200.000 euros demuestra que la AEPD vigila no solo cómo se recogen los datos, sino cómo se comparten y qué acuerdos se formalizan con los socios. No basta una política de privacidad: hay que identificar las relaciones de corresponsabilidad, dotarlas de soporte jurídico y garantizar que los ciudadanos estén informados.
Si necesitas revisar el cumplimiento de tu empresa, contacta con DataIbérica y te ayudamos a estar protegido antes de que llegue una sanción.
