Imagen generada con IA.
Cuando una empresa comete un solo error de protección de datos, pero ese error incumple a la vez dos o más artículos del RGPD, ¿debe pagar una multa por cada infracción o una única sanción que las englobe todas? La pregunta parece técnica, pero mueve millones de euros. El Tribunal Supremo ha admitido a trámite un recurso de casación que obligará, por primera vez, a fijar una doctrina unificada sobre este punto, y el caso elegido para hacerlo es el de CaixaBank frente a la Agencia Española de Protección de Datos (AEPD).
El recurso de casación de CaixaBank contra la AEPD
El origen está en una resolución sancionadora de la AEPD del 5 de enero de 2021. CaixaBank había ofrecido a sus clientes un nuevo contrato marco pensado, entre otras cosas, para recabar su consentimiento al tratamiento de datos. La Agencia examinó esa práctica y apreció dos infracciones distintas del RGPD dentro de la misma operación: una información deficiente a los interesados, que vulneraba los artículos 13 y 14, y un consentimiento inválido precisamente por esa mala información, contrario al artículo 6. La AEPD impuso dos sanciones separadas: 4 millones de euros por la primera infracción y 2 millones por la segunda, hasta sumar 6 millones.
CaixaBank recurrió ante la Audiencia Nacional, que le dio la razón en un punto decisivo: apreció que existía un concurso medial entre ambas conductas, es decir, que la falta de información no era un hecho aislado sino el medio a través del cual se logró el consentimiento viciado. Aplicando esa lógica, el tribunal redujo la sanción a la infracción más grave y absorbió la otra, en lugar de mantener las dos multas por separado.
La AEPD no estuvo de acuerdo con ese criterio y llevó el asunto al Tribunal Supremo mediante un recurso de casación, pidiendo que el Alto Tribunal fije de una vez cómo debe interpretarse el artículo 83.3 del RGPD cuando varias infracciones concurren en un mismo tratamiento de datos. La Sala de lo Contencioso-Administrativo, integrada por los magistrados Pablo Lucas Murillo de la Cueva, Diego Córdoba Castroverde, José Luis Requero Ibáñez, Rafael Toledano Cantero y Ángeles Huet De Sande, ha admitido el recurso al apreciar interés casacional objetivo para formar jurisprudencia.
La pregunta clave: varias infracciones en un mismo tratamiento, ¿una sanción o varias?
El artículo 83.3 del RGPD establece que, si un responsable o encargado infringe varias disposiciones del Reglamento «en la misma operación de tratamiento o en operaciones de tratamiento vinculadas», la sanción total no debe superar el importe fijado para la infracción más grave. El problema es que el precepto no aclara cómo se traduce ese límite en la práctica: ¿significa que solo se puede imponer una sanción, la de la infracción más grave, absorbiendo el resto? ¿O significa simplemente que se pueden mantener varias sanciones siempre que, sumadas, no superen ese techo?
Son dos formas de leer la misma norma con resultados muy distintos. El modelo de absorción, que aplicó la Audiencia Nacional en el caso CaixaBank, trata las infracciones encadenadas como una sola conducta sancionable, aunque toque varios artículos. El modelo acumulativo, que es el que venía aplicando la AEPD en sus resoluciones, sanciona cada infracción de forma independiente, respetando eso sí el límite máximo de la más grave como techo conjunto. El Tribunal Supremo tendrá que decidir cuál de los dos enfoques es el correcto, y su respuesta se convertirá en doctrina vinculante para toda España.
Por qué esto puede cambiar el cálculo de multas millonarias
La diferencia entre un modelo y otro no es solo teórica. Cuantas más infracciones concurrentes aprecie la AEPD en un mismo expediente sancionador, mayor es la disparidad entre lo que resultaría de sumar sanciones independientes y lo que resultaría de aplicar el criterio de absorción. En expedientes con varias infracciones muy graves —piénsese en casos recientes como el de una gran empresa sancionada simultáneamente por falta de base jurídica y por incumplir el deber de información en un mismo tratamiento de datos—, la factura final puede duplicarse o reducirse a la mitad según qué doctrina se aplique.
Para las empresas, esto introduce un elemento de incertidumbre en cualquier previsión de riesgo sancionador: hoy, dos empresas que cometan exactamente los mismos errores pueden acabar pagando cifras muy distintas según si su expediente se resuelve antes o después de la sentencia del Supremo, o según qué sala o instancia revise el caso. Fijar un criterio único no solo da seguridad jurídica a los sancionados, también condiciona cómo la propia AEPD redactará sus futuras resoluciones y cómo calculará el importe de las multas cuando aprecie varias infracciones conectadas entre sí.
Qué dice la doctrina actual de la AEPD
Hasta ahora, la práctica habitual de la Agencia ha sido imponer una sanción diferenciada por cada infracción que detecta dentro de un mismo expediente, siempre que pueda individualizarse el incumplimiento de cada artículo del RGPD, y respetando el tope del artículo 83.3 solo como límite agregado en los casos más claros de concurso medial. Es el criterio que aplicó en el propio caso CaixaBank al separar la infracción de información (artículos 13 y 14) de la infracción de base jurídica del consentimiento (artículo 6).
Frente a esa práctica administrativa, la jurisprudencia de la Audiencia Nacional ha ido marcando una línea distinta en varios pronunciamientos, apreciando concurso medial cuando más de una infracción responde en realidad a una sola conducta instrumental —la falta de información como medio para lograr un consentimiento inválido es el ejemplo perfecto— y aplicando entonces el criterio de absorción para evitar lo que los tribunales consideran una doble sanción por los mismos hechos. Esta tensión entre el criterio administrativo de la AEPD y el criterio judicial de la Audiencia Nacional es, precisamente, lo que el Tribunal Supremo va a resolver con este recurso.
Qué pueden hacer las empresas mientras se resuelve
Mientras no haya sentencia, lo más sensato es no dar por hecho ningún criterio y centrar los esfuerzos en evitar que se produzcan varias infracciones encadenadas en un mismo tratamiento, con independencia de cómo acabe calculándose la sanción si algo falla. Esto implica revisar, tratamiento por tratamiento, que la base jurídica esté correctamente identificada y documentada en el Registro de Actividades de Tratamiento (RAT), y que el deber de información se cumpla de forma completa y específica, sin dejarlo todo a una cláusula genérica de la política de privacidad.
Si tu empresa ya está inmersa en un procedimiento sancionador de la AEPD con varias infracciones imputadas por unos mismos hechos, merece la pena plantear en las alegaciones el argumento del concurso medial, apoyándose en los precedentes de la Audiencia Nacional, aunque conviene ser consciente de que el criterio puede cambiar en cuanto se dicte la sentencia del Supremo. En Dataibérica podemos revisar tu RAT y tus procedimientos para detectar combinaciones de riesgos que hoy podrían traducirse en varias sanciones superpuestas, y ayudarte a corregirlas antes de que lleguen a convertirse en un expediente.
Conclusión
El pulso entre la AEPD y CaixaBank ante el Tribunal Supremo va mucho más allá de este caso concreto: definirá cómo se calculan las multas del RGPD en toda España cuando varias infracciones nacen del mismo tratamiento de datos. Hasta que llegue esa sentencia, la mejor defensa sigue siendo la misma de siempre: una base jurídica bien documentada y una información a los interesados que no deje huecos, para que la pregunta de «una multa o varias» ni siquiera llegue a plantearse.
Si quieres revisar la base jurídica y el deber de información de tus tratamientos de datos antes de que sean objeto de una inspección, contacta con Dataibérica y lo analizamos sin compromiso.
Fuente principal: Confilegal — La AEPD y CaixaBank, frente a frente: el Supremo decidirá si varias infracciones del RGPD originan una multa o varias (08/01/2026).
