Cuando encontramos un error en lo que publicamos, o en la base normativa que usa el copiloto, lo corregimos después de abrir el texto oficial y lo dejamos anotado aquí: cuándo, qué decía, qué dice ahora y en qué fuente nos apoyamos. Esta página se genera sola a partir del registro de correcciones.
La mayoría de las correcciones de septiembre de 2026 salen de una revisión propia de todo lo que publicamos, frase a frase, contra el texto oficial (BOE, DOUE, EUR-Lex). La hemos hecho nosotros, con nuestro agente; no es la revisión de un despacho externo. Cifras, método y límites de la revisión →
Mostrando 1–60 de 1887, de la más reciente a la más antigua.
Base normativa · Reforma de registro horario digital (en tramitación)
Decía:A fecha de abril de 2026 NO está aprobado: el Consejo de Estado emitió un dictamen contrario el 23 de marzo de 2026 y la tramitación está estancada por discrepancias sobre protección de datos, coste y certificación; su aplicación podría posponerse.
Dice: A 12/10/2026 NO está aprobado ni publicado en el BOE: el Consejo de Estado emitió dictamen desfavorable (n.º 188/2026, de 19 de marzo de 2026, conocido el 23 de marzo); la aprobación se aplazó a septiembre y no se produjo, y el 05/10/2026 se convocaron elecciones generales para el 29 de noviembre.
Fuente: Dictamen del Consejo de Estado n.º 188/2026, Comisión Permanente, sesión de 19/03/2026 (copia publicada en https://www.laboral-social.com/sites/laboral-social.com/files/188_2026.pdf); aplazamiento a septiembre: Legal Today, 27/07/2026; referencia del Consejo de Ministros del 06/10/2026 en lamoncloa.gob.es sin el real decreto; convocatoria de elecciones del 05/10/2026 para el 29/11/2026 (varias fuentes de prensa) · abierto el 12/10/2026. La base decía «23 de marzo», que es cuando se conoció, no la fecha del dictamen.
Decía:OpenRouter (pasarela de IA), que envía cada petición al modelo: Qwen3-Max (Alibaba Cloud International) o Gemini (Google)
Dice: OpenRouter (pasarela de IA), que envía cada petición al modelo: Qwen3-Max (Alibaba Cloud International) o Gemini (Google); y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic)
Fuente: Lo que hace el código: aegis/core/llm.py, call_llm_vision usa por defecto anthropic/claude-sonnet-4.5 hasta la v1.404.786 y anthropic/claude-haiku-5.5 desde la v1.404.787 (los dos de Anthropic, a través de OpenRouter), y aegis/modules/igualdad/nominas_escaneadas.py la llama para leer nóminas escaneadas. Los documentos solo nombraban Qwen3-Max y Gemini · comprobado el 08/10/2026
/aegis/rat · transferencias de la IA
Decía:OpenRouter (EE. UU.) y los modelos Qwen3-Max (Alibaba Cloud International, fuera de la UE, región pendiente de confirmar) y Gemini (Google): Google figura en el DPF; OpenRouter y Alibaba no (comprobado el 21/09/2026).
Dice: OpenRouter (EE. UU.) y los modelos Qwen3-Max (Alibaba Cloud International, fuera de la UE, región pendiente de confirmar) y Gemini (Google), y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic): Google figura en el DPF; OpenRouter y Alibaba no (comprobado el 21/09/2026); la de Anthropic, pendiente de comprobar a 08/10/2026.
Fuente: Lo que hace el código: aegis/core/llm.py, call_llm_vision usa por defecto anthropic/claude-sonnet-4.5 hasta la v1.404.786 y anthropic/claude-haiku-5.5 desde la v1.404.787 (los dos de Anthropic, a través de OpenRouter), y aegis/modules/igualdad/nominas_escaneadas.py la llama para leer nóminas escaneadas. Los documentos solo nombraban Qwen3-Max y Gemini · comprobado el 08/10/2026
/aegis/dpia · encargados
Decía:(Qwen3-Max en Alibaba Cloud International y Gemini en Google; OpenRouter y Alibaba no figuran en la lista del DPF)
Dice: (Qwen3-Max en Alibaba Cloud International y Gemini en Google; y, para leer las nóminas escaneadas, Claude Haiku 5.5 de Anthropic; OpenRouter y Alibaba no figuran en la lista del DPF y la de Anthropic está pendiente de comprobar)
Fuente: Lo que hace el código: aegis/core/llm.py, call_llm_vision usa por defecto anthropic/claude-sonnet-4.5 hasta la v1.404.786 y anthropic/claude-haiku-5.5 desde la v1.404.787 (los dos de Anthropic, a través de OpenRouter), y aegis/modules/igualdad/nominas_escaneadas.py la llama para leer nóminas escaneadas. Los documentos solo nombraban Qwen3-Max y Gemini · comprobado el 08/10/2026
/aegis/dpa-modelo · subencargados
Decía:con los modelos Qwen3-Max (Alibaba Cloud International) y Gemini (Google):
Dice: con los modelos Qwen3-Max (Alibaba Cloud International) y Gemini (Google) y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic):
Fuente: Lo que hace el código: aegis/core/llm.py, call_llm_vision usa por defecto anthropic/claude-sonnet-4.5 hasta la v1.404.786 y anthropic/claude-haiku-5.5 desde la v1.404.787 (los dos de Anthropic, a través de OpenRouter), y aegis/modules/igualdad/nominas_escaneadas.py la llama para leer nóminas escaneadas. Los documentos solo nombraban Qwen3-Max y Gemini · comprobado el 08/10/2026
/aegis/alfabetizacion · qué modelos usa
Decía:a través de OpenRouter: Qwen3-Max (Alibaba Cloud International) y Gemini (Google).
Dice: a través de OpenRouter: Qwen3-Max (Alibaba Cloud International) y Gemini (Google) y, para leer las nóminas escaneadas, Claude Haiku 5.5 (Anthropic).
Fuente: Lo que hace el código: aegis/core/llm.py, call_llm_vision usa por defecto anthropic/claude-sonnet-4.5 hasta la v1.404.786 y anthropic/claude-haiku-5.5 desde la v1.404.787 (los dos de Anthropic, a través de OpenRouter), y aegis/modules/igualdad/nominas_escaneadas.py la llama para leer nóminas escaneadas. Los documentos solo nombraban Qwen3-Max y Gemini · comprobado el 08/10/2026
Ficha de una fuente normativa · title
Decía:Brechas de datos en e-commerce · clientes y datos de pago (Art. 33-34, caso Bizum)
Dice: Brechas de datos en e-commerce · clientes y datos de pago (arts. 32 a 34 RGPD, caso Bizum)
Fuente: AEPD, PS/00283/2025, https://www.aepd.es/documento/ps-00283-2025.pdf: «aparecían publicados 2.634 registros de los datos pseudoanonimizados del número de móvil y el "alias"»; «vulneración del artículo 32 del RGPD [...] multa administrativa por un importe de 100.000,00 euros»; «la cantidad definitiva de 80.000,00 euros»; al graduarla, «el número de afectados -que superan los 20.000-»: el caso Bizum es del art. 32, no de los arts. 33 y 34 · abierto el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Las cookies son el foco nº1 de sanciones de la AEPD al comercio online. La Guía de cookies de la AEPD (actualizada en mayo de 2024) exige consentimiento informado y explícito antes de instalar cookies no técnicas, con rechazo tan fácil como la aceptación. Doctrina: Iberia 30.000€, SEAT 20.000€ propuestos y 12.000€ pagados (PS/00284/2024), Techpump 90.000€.
Dice: Las cookies sin un consentimiento válido le han costado multas de la AEPD a webs comerciales. La Guía de cookies de la AEPD (actualizada en mayo de 2024) exige consentimiento informado y explícito antes de instalar cookies no técnicas, con rechazo tan fácil como la aceptación. Casos: Iberia 30.000 € (PS/00032/2020), SEAT 20.000 € propuestos y 12.000 € pagados (PS/00284/2024) y Techpump 90.000 € (PS/00524/2023).
Fuente: «Foco nº1» no tiene fuente: la Memoria 2024 de la AEPD (https://www.aepd.es/memorias/memoria-aepd-2024.pdf) no ordena así las sanciones al comercio online, y la web ya lo retiró (correcciones_W7.json). AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf · abierto el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Caso Bizum: 80.000€ por una brecha que afectó a 20.000 usuarios.
Dice: Caso Bizum (PS/00283/2025): multa de 100.000 €, 80.000 € tras el pago voluntario, por no tener medidas de seguridad adecuadas al riesgo (art. 32 RGPD); para fijarla, la AEPD tuvo en cuenta que los afectados superaban los 20.000.
Fuente: AEPD, PS/00283/2025, https://www.aepd.es/documento/ps-00283-2025.pdf: «aparecían publicados 2.634 registros de los datos pseudoanonimizados del número de móvil y el "alias"»; «vulneración del artículo 32 del RGPD [...] multa administrativa por un importe de 100.000,00 euros»; «la cantidad definitiva de 80.000,00 euros»; al graduarla, «el número de afectados -que superan los 20.000-» · abierto el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Los recordatorios de revisión, las campañas de email/SMS y la fidelización son el segundo foco de sanciones en el sector.
Dice: Los recordatorios de revisión, las campañas por email, SMS o WhatsApp y la fidelización tienen sus propias reglas: la AEPD multó con 3.000 € a un taller que metió a unas 150 personas en un grupo de WhatsApp sin su consentimiento (PS/00298/2023).
Fuente: «El segundo foco de sanciones en el sector» no tiene fuente. AEPD, PS/00298/2023 (EXP202305306), https://www.aepd.es/documento/ps-00298-2023.pdf: ILUROBOX, S.L., «Nuestra actividad principal: Taller mecánico de reparación de vehículos y motocicletas»; incluyó al reclamante «junto a otras 150 personas más, en un grupo de WhatsApp»; «IMPONER a ILUROBOX, S.L. [...] por una infracción del artículo 6.1 del RGPD [...] una multa de 3.000 euros» · abierto el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Permite tipificar los incumplimientos más frecuentes con tramo sancionador real. Más de 200 resoluciones acumuladas con importe agregado superior a 1,5 M€. Importe medio €7.500. Los tipos infraccionales más habituales son: videovigilancia ilícita (40%), tablón sin amparo legal (25%), morosos con datos excesivos (15%), WhatsApp sin consentimiento (10%), brechas de seguridad por robo de documentación (10%).
Dice: Casos con resolución pública comprobada: morosos en el tablón (PS/00277/2023, 1.000 €; PS/00034/2020, 10.000 €), cámaras que graban la acera (PS/00448/2021, 3.000 €), cámaras con sonido y un cartel incompleto (PS/00146/2022, 600 €), grabaciones de las cámaras difundidas por WhatsApp (PS/00379/2022, 2.000 €) y una administradora de fincas que subcontrató la nube sin autorización de la comunidad (PS/00251/2025, 1.100 €).
Fuente: «Más de 200 resoluciones», «1,5 M€», «importe medio 7.500 €» y los porcentajes por tipo no tienen fuente: la AEPD no publica ese recuento y no se ha podido reconstruir. Se sustituyen por los casos comprobados de la ficha /sectores/fincas: https://www.aepd.es/documento/ps-00277-2023.pdf, https://www.aepd.es/documento/ps-00034-2020.pdf, https://www.aepd.es/documento/ps-00448-2021.pdf, https://www.aepd.es/documento/ps-00146-2022.pdf, https://www.aepd.es/documento/ps-00379-2022.pdf y https://www.aepd.es/documento/ps-00251-2025.pdf · abierto y comprobado el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Total agregado documentado en investigaciones públicas: ~250.000 € en 20+ resoluciones. Importes medios: €10.000-30.000 con casos máximos de €60.000. Tipologías más frecuentes: brechas de seguridad (ransomware, robo de equipos), accesos indebidos a historias, falta de notificación AEPD 72h, ausencia de contrato Art. 28 con proveedor de software de gestión, consentimiento defectuoso para fotos antes/después con fines publicitarios.
Dice: Casos con resolución pública comprobada: cámaras en los gabinetes y sobre los puestos de trabajo (PS/00439/2024, 8.000 €), un ransomware sin medidas adecuadas y notificado tarde (PS/00078/2024, 20.000 €), la copia del DNI para devolver un cobro y el delegado de protección de datos (PS/00253/2023, 30.000 €), publicidad tras pedir la baja (PS/00078/2022, 7.000 €), una llamada a la Lista Robinson (PS/00172/2024, 5.000 €) y la historia clínica no entregada (PS/00520/2014, 5.000 €, con la ley de 1999).
Fuente: «~250.000 € en 20+ resoluciones», los importes medios y las «tipologías más frecuentes» no tienen fuente. Se sustituyen por los casos comprobados de la ficha /sectores/dental: https://www.aepd.es/documento/ps-00439-2024.pdf, https://www.aepd.es/documento/ps-00078-2024.pdf, https://www.aepd.es/documento/ps-00253-2023.pdf, https://www.aepd.es/documento/ps-00078-2022.pdf, https://www.aepd.es/documento/ps-00172-2024.pdf y https://www.aepd.es/documento/ps-00520-2014.pdf · abierto y comprobado el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Tipologías frecuentes: publicación de actas plenarias con datos personales excesivos, falta de atención a derechos de ciudadanos, videovigilancia sin cartel informativo, falta de respuesta a los requerimientos de la AEPD, cesiones a otras AAPP sin base jurídica adecuada, falta de notificación de brechas. Casos mediáticos: San Cristóbal de La Laguna (Tenerife), Ávila, El Puerto de Santa María (Cádiz).
Dice: Casos con resolución pública comprobada: actas de pleno con el nombre y el NIF de un vecino (Jerez de los Caballeros, PS/00055/2024), cámaras municipales sin cartel que graban la calle (Olivenza, PS/00569/2022), no contestar a los requerimientos de la AEPD (El Puerto de Santa María, PS/00181/2024), no tener delegado de protección de datos (Algete, PS/00381/2022), datos de salud y el DNI de empleados en el tablón (Hoyo de Manzanares, PS/00071/2024) y un decreto con datos de salud enviado a toda la jefatura (Zamora, PS/00044/2022).
Fuente: Los «casos mediáticos» de San Cristóbal de La Laguna y Ávila no tienen número de procedimiento ni resolución localizable en aepd.es, y las «tipologías frecuentes» no tienen fuente. Se sustituyen por los casos comprobados de la ficha /sectores/ayuntamientos: https://www.aepd.es/documento/ps-00055-2024.pdf, https://www.aepd.es/documento/ps-00569-2022.pdf, https://www.aepd.es/documento/ps-00181-2024.pdf, https://www.aepd.es/documento/ps-00381-2022.pdf, https://www.aepd.es/documento/ps-00071-2024.pdf y https://www.aepd.es/documento/ps-00044-2022.pdf · abierto y comprobado el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Compendio de las resoluciones AEPD más relevantes sobre residencias de mayores y centros geriátricos en el periodo 2022-2025. Permite cuantificar el riesgo regulatorio real del sector mediante sanciones documentadas.
Dice: Resoluciones de la AEPD sobre residencias de mayores y su entorno, cada una comprobada en aepd.es: correos a las familias sin copia oculta (PS/00208/2024), una carta de despido en el WhatsApp de la plantilla (PS/00216/2022), el fichaje con huella en una residencia municipal (PS/00545/2023), una historia clínica no entregada por las residencias públicas de Asturias (PS/00175/2021) y la farmacia que preparaba la medicación de los residentes (PS/00139/2025).
Fuente: «Permite cuantificar el riesgo regulatorio real del sector» no se sostiene con los casos localizados. Casos comprobados: https://www.aepd.es/documento/ps-00208-2024.pdf, https://www.aepd.es/documento/ps-00216-2022.pdf, https://www.aepd.es/documento/ps-00545-2023.pdf, https://www.aepd.es/documento/ps-00175-2021.pdf y https://www.aepd.es/documento/ps-00139-2025.pdf · abierto y comprobado el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Compendio de las resoluciones AEPD más relevantes a farmacias y oficinas farmacéuticas en 2022-2025. Permite cuantificar el riesgo regulatorio real del sector mediante sanciones documentadas.
Dice: Resoluciones de la AEPD contra oficinas de farmacia, cada una comprobada en aepd.es: SPD y pañales a residentes sin base (PS/00139/2025), el Excel paralelo con la medicación de los pacientes (PS/00187/2025), SPD, dispensación y cesiones sin base (PS/00197/2025), documentos de pacientes en un contenedor (PS/00538/2022) y cámaras que grababan la calle y el sonido (PS/00512/2022).
Fuente: «Permite cuantificar el riesgo regulatorio real del sector» no se sostiene con los casos localizados. Casos comprobados: https://www.aepd.es/documento/ps-00139-2025.pdf, https://www.aepd.es/documento/ps-00187-2025.pdf, https://www.aepd.es/documento/ps-00197-2025.pdf, https://www.aepd.es/documento/ps-00538-2022.pdf y https://www.aepd.es/documento/ps-00512-2022.pdf · abierto y comprobado el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:La notaría combina dos exigencias adicionales a la PBC: el Esquema Nacional de Seguridad (por la función pública y los sistemas electrónicos notariales) y un régimen de protección de datos singular sobre el protocolo notarial.
Dice: Además de la PBC, la notaría tiene un régimen de protección de datos singular sobre el protocolo notarial; para la seguridad de sus sistemas electrónicos, el Esquema Nacional de Seguridad es un buen marco de referencia, aunque no la obliga directamente salvo que preste servicios por contrato al sector público.
Fuente: RD 311/2022, art. 2 (https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191#a2): ámbito del ENS, el sector público y los proveedores del sector privado que le prestan servicios (art. 2.3); coherente con la ficha /sectores/notarias · abierto y comprobado el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:(30 días salvo proceso judicial)
Dice: (un mes desde su captación, salvo que deban conservarse para acreditar actos contra personas, bienes o instalaciones)
Fuente: El plazo legal es «un mes», no 30 días, y la excepción no es un «proceso judicial»: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22 (bloque a2-4 de la API de legislación consolidada del BOE): «Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones» · abierto el 27/09/2026
Ficha de una fuente normativa · abstract_md
Decía:conservación máxima 30 días,
Dice: conservación máxima de un mes,
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026
Base normativa · comercio electrónico · Datos de pago, cifrado y caso Bizum
Decía:La AEPD sancionó a BIZUM con 80.000€ por una brecha que permitió acceder a información personal de más de 20.000 usuarios: el volumen de afectados es un factor agravante directo.
Dice: La AEPD sancionó a BIZUM (PS/00283/2025) por no tener medidas de seguridad adecuadas al riesgo (art. 32 RGPD): 2.634 registros con el número de móvil y el alias de usuarios aparecieron publicados en una web. La multa, de 100.000 €, quedó en 80.000 € por pago voluntario; para fijarla, la AEPD tuvo en cuenta que los afectados superaban los 20.000.
Fuente: AEPD, PS/00283/2025, https://www.aepd.es/documento/ps-00283-2025.pdf: «aparecían publicados 2.634 registros de los datos pseudoanonimizados del número de móvil y el "alias"»; «vulneración del artículo 32 del RGPD [...] multa administrativa por un importe de 100.000,00 euros»; «la cantidad definitiva de 80.000,00 euros»; al graduarla, «el número de afectados -que superan los 20.000-» · abierto el 27/09/2026
Base normativa · Videovigilancia taller · Control laboral de los mecánicos (Art. 89 LOPDGDD + Art. 20.3 ET)
Decía:La AEPD ha sancionado (1.000€) la presencia de cámaras de control laboral sin información previa a la plantilla ni cartel adecuado.
Dice: La AEPD multó con 1.000 € a un bar que no informaba de la cámara de su salón y le ordenó informar a la plantilla (PS/00509/2024), y propuso 12.000 € (9.600 € pagados) a un restaurante que usó vídeos de un camarero para sancionarle sin haberle informado (PS/00401/2018).
Fuente: AEPD, PS/00509/2024 (EXP202410112), https://www.aepd.es/documento/ps-00509-2024.pdf: «IMPONER a BAR EL ANDÉN M.ROJO, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 1000€» y le ordena acreditar el cartel y «la forma de informar al conjunto de empleados»; AEPD, PS/00401/2018, https://www.aepd.es/documento/ps-00401-2018.pdf: 12.000 € propuestos por el art. 5.1.a RGPD, 9.600 € pagados; el caso de 1.000 € «de control laboral» no tiene procedimiento en aepd.es (retirado de la ficha de talleres en correcciones_W7.json) · abierto el 27/09/2026
Base normativa · Videovigilancia taller · Conservación máxima de un mes
Decía:Las imágenes se borran en 30 días salvo incidencia documentada
Dice: Las imágenes se borran en un mes como máximo, salvo incidencia documentada
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación [...] las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica» (el fragmento decía «30 días» y que las imágenes «se bloquean») · abierto el 27/09/2026
Base normativa · Videovigilancia taller · Conservación máxima de un mes
Decía:en el plazo máximo de UN MES (30 días) desde su captación
Dice: en el plazo máximo de UN MES desde su captación
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación [...] las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica» (el fragmento decía «30 días» y que las imágenes «se bloquean») · abierto el 27/09/2026
Base normativa · Videovigilancia taller · Conservación máxima de un mes
Decía:se ponen a disposición de la autoridad competente en 72 horas y se bloquean.
Dice: se ponen a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tenga conocimiento de la grabación (a estas imágenes no se les aplica la obligación de bloqueo del art. 32 LOPDGDD).
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación [...] las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica» (el fragmento decía «30 días» y que las imágenes «se bloquean») · abierto el 27/09/2026
Base normativa · Videovigilancia taller · Conservación máxima de un mes
Decía:borrado automático a los 30 días.
Dice: borrado automático antes de que se cumpla un mes desde la captación.
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación [...] las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica» (el fragmento decía «30 días» y que las imágenes «se bloquean») · abierto el 27/09/2026
Decía:El cartel de videovigilancia es obligatorio y visible — su ausencia es la sanción más frecuente
Dice: El cartel de videovigilancia es obligatorio y tiene que verse
Fuente: «Su ausencia es la sanción más frecuente» no tiene fuente. AEPD, PS/00096/2024 (EXP202306065), https://www.aepd.es/documento/ps-00096-2024.pdf: el cartel «detrás de una persiana, con lo cual este cartel solo podía ser visible cuando el establecimiento estuviera abierto»; 1.000 € propuestos, 600 € pagados; AEPD, PS/00509/2024 (EXP202410112), https://www.aepd.es/documento/ps-00509-2024.pdf: «IMPONER a BAR EL ANDÉN M.ROJO, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 1000€» y le ordena acreditar el cartel y «la forma de informar al conjunto de empleados»; AEPD, PS/00007/2023, https://www.aepd.es/documento/ps-00007-2023.pdf: «aun el caso de tratarse de una cámara “simulada”, la misma debe estar orientada preferentemente hacia espacio privativo [...] al tratarse de cámaras que no están obteniendo imágenes, no se está efectuando tratamiento de datos, por lo que no se observa infracción a la normativa de protección de datos». No se ha encontrado en aepd.es una multa «desde 1.000 €» por poner carteles sin cámaras reales · abierto el 27/09/2026
Decía:La AEPD ha sancionado repetidamente la falta de cartel o un cartel oculto: un comercio fue multado con 1.000€ (reducido a 600€) por tener el aviso tapado tras la persiana, visible solo con la tienda abierta.
Dice: La AEPD sanciona la falta de cartel o un cartel que no se ve: a una empresa cuyo único aviso quedaba detrás de la persiana de cierre, visible solo con el local abierto, le propuso 1.000 €, que quedaron en 600 € con las reducciones (PS/00096/2024); y a un bar, 1.000 € por no informar de la cámara de su salón (PS/00509/2024).
Fuente: «Su ausencia es la sanción más frecuente» no tiene fuente. AEPD, PS/00096/2024 (EXP202306065), https://www.aepd.es/documento/ps-00096-2024.pdf: el cartel «detrás de una persiana, con lo cual este cartel solo podía ser visible cuando el establecimiento estuviera abierto»; 1.000 € propuestos, 600 € pagados; AEPD, PS/00509/2024 (EXP202410112), https://www.aepd.es/documento/ps-00509-2024.pdf: «IMPONER a BAR EL ANDÉN M.ROJO, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 1000€» y le ordena acreditar el cartel y «la forma de informar al conjunto de empleados»; AEPD, PS/00007/2023, https://www.aepd.es/documento/ps-00007-2023.pdf: «aun el caso de tratarse de una cámara “simulada”, la misma debe estar orientada preferentemente hacia espacio privativo [...] al tratarse de cámaras que no están obteniendo imágenes, no se está efectuando tratamiento de datos, por lo que no se observa infracción a la normativa de protección de datos». No se ha encontrado en aepd.es una multa «desde 1.000 €» por poner carteles sin cámaras reales · abierto el 27/09/2026
Decía:Poner carteles SIN cámaras reales también es ilícito (simula un tratamiento inexistente y genera falsa sensación de control): multas desde 1.000€.
Dice: Una cámara simulada, que no capta imágenes, no es un tratamiento de datos: la AEPD no ve en ella infracción de la normativa de protección de datos, aunque recuerda que debe orientarse al espacio propio porque puede intimidar a terceros (PS/00007/2023).
Fuente: «Su ausencia es la sanción más frecuente» no tiene fuente. AEPD, PS/00096/2024 (EXP202306065), https://www.aepd.es/documento/ps-00096-2024.pdf: el cartel «detrás de una persiana, con lo cual este cartel solo podía ser visible cuando el establecimiento estuviera abierto»; 1.000 € propuestos, 600 € pagados; AEPD, PS/00509/2024 (EXP202410112), https://www.aepd.es/documento/ps-00509-2024.pdf: «IMPONER a BAR EL ANDÉN M.ROJO, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 1000€» y le ordena acreditar el cartel y «la forma de informar al conjunto de empleados»; AEPD, PS/00007/2023, https://www.aepd.es/documento/ps-00007-2023.pdf: «aun el caso de tratarse de una cámara “simulada”, la misma debe estar orientada preferentemente hacia espacio privativo [...] al tratarse de cámaras que no están obteniendo imágenes, no se está efectuando tratamiento de datos, por lo que no se observa infracción a la normativa de protección de datos». No se ha encontrado en aepd.es una multa «desde 1.000 €» por poner carteles sin cámaras reales · abierto el 27/09/2026
Base normativa · Titularidad Real · Plazos y actualización
Decía:y comunicar al RCTIR cualquier cambio (entrada o salida de socios que crucen el umbral del 25 %, cambio de administrador cuando este sea el titular real, reestructuraciones) dentro del plazo establecido.
Dice: y declarar cualquier cambio (entrada o salida de socios que crucen el umbral del 25 %, cambio de administrador cuando este sea el titular real, reestructuraciones). Las fundaciones, asociaciones y demás personas jurídicas que no declaran su titularidad real a través del Registro Mercantil u otro registro, por no estar regulada esa vía, la declaran directamente al Registro Central de Titularidades Reales (RCTIR): deben actualizarla en el plazo máximo de diez días desde el cambio y presentar además una declaración anual en enero, aunque no haya cambios (art. 1.4 del Reglamento aprobado por el RD 609/2023). Las sociedades mercantiles la declaran en el Registro Mercantil con el depósito de cuentas y, si cambia después, con una nueva declaración de identificación de la titularidad real (art. 3.3); el RCTIR recibe esos datos del Registro Mercantil (art. 1.3).
Fuente: RD 609/2023 (BOE-A-2023-16159), Reglamento del Registro Central de Titularidades Reales, art. 1.4, https://www.boe.es/buscar/act.php?id=BOE-A-2023-16159: las personas jurídicas que no hayan declarado su titularidad real a través del Registro Mercantil u otros registros «deberán declarar por medios electrónicos al Registro Central de Titularidades Reales [...] en el plazo máximo de un mes desde su constitución [...] y posteriormente actualizar los datos en el plazo máximo de diez días cuando se produzcan cambios en la titularidad real. En todo caso, se realizará una declaración anual por medios electrónicos en el mes de enero»; art. 3.3: son fiables los datos «procedentes de los depósitos de cuentas y nuevas declaraciones de identificación de la titularidad real en caso de cambios en la titularidad real una vez depositadas las cuentas en el Registro Mercantil»; art. 1.3 (el registro centraliza la información de los Registros Mercantiles); Ley 10/2010 (BOE-A-2010-6737), art. 4 bis.1: obligación de «obtener, conservar y actualizar la información del titular o los titulares reales»; versión consolidada vigente (texto original, en vigor desde el 19/09/2023) · abierto el 27/09/2026
Base normativa · Talleres · Fidelización, perfilado y cesión de datos
Decía:es una cesión indebida, una de las infracciones que la AEPD repite en sus resoluciones de 2024.
Dice: es una cesión indebida.
Fuente: «Una de las infracciones que la AEPD repite en sus resoluciones de 2024» no tiene fuente (Memoria 2024 de la AEPD, https://www.aepd.es/memorias/memoria-aepd-2024.pdf) · abierto el 27/09/2026
Base normativa · Talleres · Comunicaciones comerciales (Art. 21 LSSI-CE)
Decía:La AEPD sanciona con frecuencia el email/SMS comercial sin consentimiento.
Dice: La AEPD multó con 3.000 € a un taller mecánico que metió a unas 150 personas, entre ellas alguien que solo le había escrito por unas llantas, en un grupo de WhatsApp para enviarles comunicaciones sin su consentimiento, dejando a la vista el teléfono de todos (PS/00298/2023, art. 6.1 RGPD).
Fuente: «Con frecuencia» no tiene fuente; la ficha de /sectores/talleres retiró el mismo caso sin procedimiento (correcciones_W7.json). AEPD, PS/00298/2023 (EXP202305306), https://www.aepd.es/documento/ps-00298-2023.pdf: ILUROBOX, S.L., «Nuestra actividad principal: Taller mecánico de reparación de vehículos y motocicletas»; incluyó al reclamante «junto a otras 150 personas más, en un grupo de WhatsApp»; «IMPONER a ILUROBOX, S.L. [...] por una infracción del artículo 6.1 del RGPD [...] una multa de 3.000 euros» · abierto el 27/09/2026
Base normativa · Sanciones AEPD cookies 2024-2025
Decía:IBERIA, 30.000 € por incumplir la LSSI en sus cookies, confirmada por la Audiencia Nacional el 17/06/2024;
Dice: IBERIA, 30.000 € (PS/00032/2020) por no permitir rechazar las cookies de su web (art. 22.2 LSSI);
Fuente: AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00527/2023 (EXP202316795), https://www.aepd.es/documento/ps-00527-2023.pdf: «IMPONER a LOS NIÑOS DE MONTESSORI, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 3.200,00 euros, tras aplicar una reducción del 20%, por reconocimiento de la responsabilidad, sobre la cuantía inicialmente establecida en 4.000,00 euros»; sobre las cookies: «Sin perjuicio de la responsabilidad que pueda corresponder por no cumplir con las obligaciones que sobre la instalación de cookies establece la [...] LSSI -que, en su caso debería ser objeto de tramitación independiente-» · abierto el 27/09/2026
Base normativa · Sanciones AEPD cookies 2024-2025
Decía:COLEGIO MONTESSORI DE TRES CANTOS, 5.000 € (reducida a 3.000 €) por no avisar del uso de cookies ni permitir configurarlas.
Dice: y, aunque no por cookies, LOS NIÑOS DE MONTESSORI (un centro educativo de Tres Cantos): 4.000 €, 3.200 € tras reconocer su responsabilidad (PS/00527/2023), porque el formulario de contacto de su web recogía datos sin informar (art. 13 RGPD); la resolución deja las cookies de esa web para un procedimiento aparte, por la LSSI.
Fuente: AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00527/2023 (EXP202316795), https://www.aepd.es/documento/ps-00527-2023.pdf: «IMPONER a LOS NIÑOS DE MONTESSORI, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 3.200,00 euros, tras aplicar una reducción del 20%, por reconocimiento de la responsabilidad, sobre la cuantía inicialmente establecida en 4.000,00 euros»; sobre las cookies: «Sin perjuicio de la responsabilidad que pueda corresponder por no cumplir con las obligaciones que sobre la instalación de cookies establece la [...] LSSI -que, en su caso debería ser objeto de tramitación independiente-» · abierto el 27/09/2026
Base normativa · Residencias · brecha de seguridad y notificación en 72 horas (arts. 33 y 34 RGPD)
Decía:Hechos: en octubre de 2024 la AEPD inició procedimiento sancionador contra el Asilo de Ancianos Santo (asociación sin ánimo de lucro) por una brecha de seguridad informática (acceso no autorizado a sistema de gestión) que afectaba a datos de residentes incluyendo categoría especial Art. 9 RGPD (datos de salud, medicación, planes de cuidados). La residencia tuvo conocimiento del incidente y NO lo notificó a la AEPD en el plazo de 72 horas (Art. 33 RGPD). El procedimiento se resolvió por apercibimiento (no sanción económica) considerando la condición de entidad sin ánimo de lucro, el carácter no lucrativo de la asociación, la cooperación posterior, y las medidas correctoras adoptadas. PERO: el apercibimiento es público y queda en el historial sancionador, agravando futuras sanciones. Lección: incluso residencias pequeñas sin ánimo de lucro están obligadas a notificación de brecha en 72h y deben tener protocolo escrito.
Dice: Una residencia que sufre una brecha con datos de residentes (salud, medicación, planes de cuidados: categoría especial, Art. 9 RGPD) debe notificarla a la AEPD en 72 horas desde que la conoce, salvo que sea improbable que suponga un riesgo (Art. 33 RGPD), y comunicarla a los afectados si el riesgo es alto (Art. 34). No notificar es infracción del Art. 33 (art. 83.4 RGPD); la LOPDGDD la califica de grave (art. 73.r) y notificar tarde sin justificarlo, de leve (art. 74.m). Ser una residencia pequeña o una entidad sin ánimo de lucro no exime. Lección: protocolo escrito de brechas, con quién decide y cómo se notifica por la sede electrónica de la AEPD.
Fuente: No existe el caso descrito: el procedimiento de la AEPD contra el Asilo de Ancianos Santo Domingo y Santa Eloísa (PS/00208/2024, https://www.aepd.es/documento/ps-00208-2024.pdf) no fue por una brecha no notificada ni terminó en apercibimiento: fue por enviar correos a las familias sin copia oculta (arts. 5.1.f y 32 RGPD), 1.000 €, 600 € pagados. Lo que dice la norma: arts. 33, 34 y 83.4 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj; arts. 73.r y 74.m LOPDGDD, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 · abierto y comprobado el 27/09/2026
Base normativa · Residencias · brecha de seguridad y notificación en 72 horas (arts. 33 y 34 RGPD)
Decía:Brecha de seguridad en residencia · falta de notificación a AEPD
Dice: Brecha de seguridad en una residencia: notificar a la AEPD en 72 horas
Fuente: No existe el caso descrito: el procedimiento de la AEPD contra el Asilo de Ancianos Santo Domingo y Santa Eloísa (PS/00208/2024, https://www.aepd.es/documento/ps-00208-2024.pdf) no fue por una brecha no notificada ni terminó en apercibimiento: fue por enviar correos a las familias sin copia oculta (arts. 5.1.f y 32 RGPD), 1.000 €, 600 € pagados. Lo que dice la norma: arts. 33, 34 y 83.4 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj; arts. 73.r y 74.m LOPDGDD, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 · abierto y comprobado el 27/09/2026
Base normativa · RGPD Art. 9
Decía:siempre con base en el Derecho de la UE o nacional y garantías adecuadas.
Dice: siempre con base en el Derecho de la UE o nacional y garantías adecuadas. En España, el solo consentimiento del afectado no basta para levantar la prohibición cuando la finalidad principal del tratamiento sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1 LOPDGDD).
Fuente: LOPDGDD, art. 9.1, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a9: «A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.» · abierto el 27/09/2026
Base normativa · RGPD Art. 28.2 y 28.4 · Subencargo (subcontratación)
Decía:la AEPD sancionó a un encargado con 15.000€ por subcontratar sin la autorización expresa, previa y escrita del responsable (caso Naturgy 2023).
Dice: la AEPD impuso a un encargado (Gesterpool, que hacía venta telefónica para Naturgy) 10.000€ por subcontratar sin la autorización previa y escrita del responsable, y otros 5.000€ por no colaborar con su investigación (PS/00668/2022).
Fuente: AEPD, PS/00668/2022 (EXP202105473), https://www.aepd.es/documento/ps-00668-2022.pdf: «Por la presunta infracción del artículo 28 del RGPD [...] una sanción por importe de 10.000 euros» y «Por la presunta infracción del artículo 58.1 del RGPD [...] 5.000 euros»: 15.000 € en total, no 15.000 € por el subencargo · abierto el 27/09/2026
Base normativa · RD 901/2020 Arts. 9-11 · Vigencia y registro
Decía:Debe revisarse cuando lo exija el calendario, cuando lo acuerde la comisión o ante cambios sustanciales, con una evaluación intermedia y otra final.
Dice: Además de las revisiones que prevea su calendario, debe revisarse en todo caso cuando lo exijan los resultados del seguimiento y la evaluación; cuando la Inspección de Trabajo constate que no se ajusta a los requisitos legales o es insuficiente; en caso de fusión, absorción, transmisión o modificación del estatus jurídico de la empresa; ante cualquier incidencia que modifique sustancialmente la plantilla, los métodos de trabajo, la organización o los sistemas retributivos; y cuando una resolución judicial condene a la empresa por discriminación por razón de sexo o declare el plan inadecuado (art. 9.2 RD 901/2020). Su seguimiento incluye al menos una evaluación intermedia y otra final, además de las que acuerde la comisión de seguimiento (art. 9.6).
Fuente: RD 901/2020 (BOE-A-2020-12214), art. 9.2, https://www.boe.es/buscar/act.php?id=BOE-A-2020-12214#a9: «los planes de igualdad deberán revisarse, en todo caso, cuando concurran las siguientes circunstancias: a) [...] resultados del seguimiento y evaluación [...] b) Cuando se ponga de manifiesto su falta de adecuación a los requisitos legales y reglamentarios o su insuficiencia como resultado de la actuación de la Inspección de Trabajo y Seguridad Social. c) En los supuestos de fusión, absorción, transmisión o modificación del estatus jurídico de la empresa. d) Ante cualquier incidencia que modifique de manera sustancial la plantilla [...] e) Cuando una resolución judicial condene a la empresa por discriminación directa o indirecta por razón de sexo o cuando determine la falta de adecuación del plan»; art. 9.6: «se realizará al menos una evaluación intermedia y otra final, así como cuando sea acordado por la comisión de seguimiento»; versión vigente desde el 14/01/2021 · abierto el 27/09/2026
Base normativa · Notarías · ENS (RD 311/2022) como marco de referencia
Decía:El ENS (RD 311/2022) aplica a las entidades del sector público y a quienes prestan servicios o manejan información para el sector público mediante sistemas electrónicos. La actividad notarial tiene naturaleza de función pública y se apoya en sistemas electrónicos conectados (Índice Único, firma electrónica notarial, sede electrónica del Notariado, comunicaciones con administraciones). Por ello la dimensión de seguridad de la información notarial debe gobernarse con los criterios del ENS: categorización del sistema por las cinco dimensiones (confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad), análisis de riesgos y medidas de los tres marcos.
Dice: El ENS (RD 311/2022) se aplica a todo el sector público (art. 2.1, con la delimitación del art. 2 de la Ley 40/2015) y a los sistemas de las entidades del sector privado cuando presten servicios o provean soluciones a las entidades del sector público para el ejercicio de sus competencias (art. 2.3). La notaría ejerce una función pública, pero no es una entidad del sector público: el ENS no la obliga directamente, salvo que preste servicios por contrato a una administración. Sí es un buen marco de referencia para la seguridad de sus sistemas electrónicos conectados (Índice Único, firma electrónica notarial, comunicaciones con administraciones): categorización por las cinco dimensiones (confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad), análisis de riesgos y medidas de los tres marcos. Lo que sí la obliga es el Art. 32 RGPD: medidas de seguridad adecuadas al riesgo.
Fuente: La ficha /sectores/notarias ya dice que «el ENS (RD 311/2022) no obliga directamente a la notaría salvo que preste servicios por contrato al sector público (art. 2.3)»; la base del copiloto decía lo contrario. RD 311/2022, art. 2 (https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191#a2); Ley 40/2015, art. 2 (https://www.boe.es/buscar/act.php?id=BOE-A-2015-10566#a2) · abierto y comprobado el 27/09/2026
Base normativa · Notarías · ENS (RD 311/2022) como marco de referencia
Decía:Por qué una notaría entra en el ámbito del ENS
Dice: El ENS y la notaría: marco de referencia, no obligación directa
Fuente: La ficha /sectores/notarias ya dice que «el ENS (RD 311/2022) no obliga directamente a la notaría salvo que preste servicios por contrato al sector público (art. 2.3)»; la base del copiloto decía lo contrario. RD 311/2022, art. 2 (https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191#a2); Ley 40/2015, art. 2 (https://www.boe.es/buscar/act.php?id=BOE-A-2015-10566#a2) · abierto y comprobado el 27/09/2026
Base normativa · MiCA · Obligaciones de emisores y CASP
Decía:En España, la autoridad competente es la CNMV (y el Banco de España para los EMT).
Dice: En España, la autoridad competente es la CNMV; el Banco de España supervisa, inspecciona y sanciona lo relativo a los emisores de fichas de dinero electrónico (EMT) y a las fichas referenciadas a activos (ART) (art. 251.h de la Ley 6/2023, de los Mercados de Valores y de los Servicios de Inversión).
Fuente: Ley 6/2023 (BOE-A-2023-7053), art. 251.h, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7053: la CNMV es la autoridad competente del «Reglamento (UE) [...] relativo a los mercados de criptoactivos» y «Sin perjuicio de lo anterior, el Banco de España ejercerá las funciones de supervisión, inspección y sanción en relación con las obligaciones previstas en el citado Reglamento en lo que se refiere a los emisores de fichas de dinero electrónico y a las fichas referenciadas a activos»; versión vigente desde el 07/04/2023 (única) · abierto el 27/09/2026
Base normativa · Ley 39/2006 · DA 7ª · Confidencialidad y régimen sancionador
Decía: Casos documentados: residencias suspendidas o con plaza concertada retirada por la CCAA tras sanción AEPD firme. La pérdida de plaza concertada típicamente supera económicamente la propia multa AEPD.
Dice: (retirado: no se pudo verificar contra el texto oficial)
Fuente: No se ha encontrado en fuente oficial ningún caso de residencia suspendida o sin plaza concertada tras una sanción firme de la AEPD, ni dato sobre lo que cuesta la pérdida de plaza: se retira. La acumulación de regímenes sí tiene base: Ley 39/2006, https://www.boe.es/buscar/act.php?id=BOE-A-2006-21990, y RGPD · abierto y comprobado el 27/09/2026
Base normativa · Ley 34/2002 Art. 10 (LSSI)
Decía:y, en su caso, los datos de inscripción registral y los datos de la autorización y el colegio profesional si la actividad lo requiere.
Dice: y, en su caso, los datos de inscripción registral; los de la autorización administrativa y del órgano que la supervisa, si la actividad la requiere; si ejerce una profesión regulada, el colegio profesional y el número de colegiado, el título, el Estado en que se expidió y las normas profesionales aplicables; si la web hace referencia a precios, información clara y exacta sobre el precio, indicando si incluye o no los impuestos aplicables y, en su caso, los gastos de envío; y los códigos de conducta a los que esté adherido y cómo consultarlos (art. 10.1 LSSI).
Fuente: Ley 34/2002 (LSSI, BOE-A-2002-13758), art. 10.1, https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758#a10: letras c) «los datos relativos a dicha autorización y los identificativos del órgano competente encargado de su supervisión», d) profesión regulada (colegio y número de colegiado, título, Estado de expedición y normas profesionales), f) «Cuando el servicio de la sociedad de la información haga referencia a precios, se facilitará información clara y exacta sobre el precio del producto o servicio, indicando si incluye o no los impuestos aplicables y, en su caso, sobre los gastos de envío» y g) «Los códigos de conducta a los que, en su caso, esté adherido y la manera de consultarlos electrónicamente»; versión vigente desde el 11/05/2014 · abierto el 27/09/2026
Base normativa · Ley 31/1995 Art. 18
Decía:En empresas con representación, la información puede canalizarse a través de los representantes, sin perjuicio de informar directamente a cada trabajador sobre los riesgos de su puesto.
Dice: En las empresas con representantes de los trabajadores, el empresario facilita esta información a través de ellos, pero debe informar directamente a cada trabajador de los riesgos específicos de su puesto o función y de las medidas de protección y prevención aplicables a esos riesgos (art. 18.1).
Fuente: Ley 31/1995 (BOE-A-1995-24292), art. 18.1, https://www.boe.es/buscar/act.php?id=BOE-A-1995-24292#a18: «En las empresas que cuenten con representantes de los trabajadores, la información a que se refiere el presente apartado se facilitará por el empresario a los trabajadores a través de dichos representantes; no obstante, deberá informarse directamente a cada trabajador de los riesgos específicos que afecten a su puesto de trabajo o función y de las medidas de protección y prevención aplicables a dichos riesgos»; texto original vigente desde el 10/02/1996 · abierto el 27/09/2026
Base normativa · Ley 31/1995 Art. 14 + 16
Decía:El deber alcanza a toda empresa con al menos una persona trabajadora.
Dice: El deber alcanza a toda empresa con al menos una persona trabajadora. La ley se aplica a las relaciones laborales del Estatuto de los Trabajadores (art. 3.1) y el deber de protección es respecto de «los trabajadores a su servicio» (art. 14.2): quien trabaja como autónomo sin personas asalariadas no tiene las obligaciones de empresario (evaluación de riesgos, plan de prevención, organización preventiva), aunque sí los deberes de cooperación y de información cuando trabaja en un centro con otras empresas (art. 24.5). La ley no tiene un precepto que excluya expresamente a los autónomos: su art. 1 es un único párrafo y el art. 3.1 deja a salvo «los derechos y obligaciones que puedan derivarse para los trabajadores autónomos».
Fuente: Ley 31/1995, arts. 1, 3.1, 14.2 y 24.5, https://www.boe.es/buscar/act.php?id=BOE-A-1995-24292 (texto consolidado, aegis/modules/regulatory_kb/literales/BOE-A-1995-24292.json): art. 3.1 «[…] y de los derechos y obligaciones que puedan derivarse para los trabajadores autónomos»; art. 14.2 «el empresario deberá garantizar la seguridad y la salud de los trabajadores a su servicio»; art. 24.5 «Los deberes de cooperación y de información e instrucción recogidos en los apartados 1 y 2 serán de aplicación respecto de los trabajadores autónomos que desarrollen actividades en dichos centros de trabajo» · abierto el 27/09/2026
Base normativa · LPH Art. 9.1.h
Decía:o en lugar visible de uso general habilitado al efecto.
Dice: o en lugar visible de uso general habilitado al efecto, con diligencia expresiva de la fecha y motivos por los que se procede a esta forma de notificación, firmada por quien ejerza las funciones de secretario de la comunidad, con el visto bueno del presidente. La notificación practicada de esta forma producirá plenos efectos jurídicos en el plazo de tres días naturales.
Fuente: Ley 49/1960 de Propiedad Horizontal (BOE-A-1960-10906), art. 9.1.h, párrafo segundo, https://www.boe.es/buscar/act.php?id=BOE-A-1960-10906: «[...] en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto, con diligencia expresiva de la fecha y motivos por los que se procede a esta forma de notificación, firmada por quien ejerza las funciones de secretario de la comunidad, con el visto bueno del presidente. La notificación practicada de esta forma producirá plenos efectos jurídicos en el plazo de tres días naturales»; artículo noveno en su versión vigente desde el 16/06/2022 (BOE-A-2022-9838) · abierto el 27/09/2026
Base normativa · LOTT · Tarjeta de transporte
Decía:Para servicios internacionales con vehículos entre 2,5 y 3,5 t se exigen además los requisitos reforzados del art. 43.2 LOTT.
Dice: Para transporte internacional con vehículos de más de 2,5 t y hasta 3,5 t se exigen además, desde el 21/05/2022, los requisitos de establecimiento, honorabilidad, capacidad financiera y competencia profesional del Reglamento (CE) 1071/2009 (art. 1.4, letras a y a bis, en la redacción del Reglamento (UE) 2020/1055); el art. 43.2 LOTT los exige por encima de 3,5 t.
Fuente: LOTT (BOE-A-1987-17803), art. 43.2, https://www.boe.es/buscar/act.php?id=BOE-A-1987-17803: los requisitos de la reglamentación de la UE se exigen «cuando la autorización habilite para la realización de [...] transporte de mercancías en vehículos o conjuntos de vehículos con capacidad de tracción propia cuya masa máxima autorizada sea superior a 3,5 toneladas» (versión vigente desde el 28/12/2022); Reglamento (CE) 1071/2009, versión consolidada 02009R1071-20220221 (CELLAR), art. 1.4: no se aplica a las empresas que operen con vehículos de hasta 3,5 t «que realicen exclusivamente transportes nacionales» (letra a) ni a las de vehículos «cuya masa total de carga autorizada no sea superior a 2,5 toneladas» (letra a bis); Reglamento (UE) 2020/1055 (CELEX 32020R1055): exención de los vehículos de hasta 3,5 t en transporte internacional solo «hasta el 21 de mayo de 2022»; RD 1211/1990 (ROTT, BOE-A-1990-24442), arts. 33.2.d (≤ 2 t) y 155.2.e (≤ 3,5 t), vigentes · abierto el 27/09/2026
Base normativa · LOPDGDD Art. 34
Decía:; centros sanitarios;
Dice: ; centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes (se exceptúan los profesionales de la salud que, aun estando obligados a mantenerlas, ejerzan su actividad a título individual: art. 34.1.l);
Fuente: LOPDGDD, art. 34.1.l, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a34: «l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.» (texto consolidado del BOE, aegis/modules/regulatory_kb/literales/BOE-A-2018-16673.json) · abierto el 27/09/2026
Base normativa · LO 8/2021 Art. 57
Decía:Será requisito para el acceso y ejercicio a las profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad, el no haber sido condenado por sentencia firme por cualquier delito contra la libertad e indemnidad sexuales, ni por delitos de trata de seres humanos. A tal efecto, quien pretenda el acceso a tales profesiones, oficios o actividades deberá acreditar esta circunstancia mediante la aportación de una certificación negativa del Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos. La obligación se extiende tanto a personal asalariado como a voluntariado.
Dice: Art. 57.1: «Será requisito para el acceso y ejercicio de cualesquiera profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad, el no haber sido condenado por sentencia firme por cualquier delito contra la libertad e indemnidad sexuales tipificados en el título VIII de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, así como por cualquier delito de trata de seres humanos tipificado en el título VII bis del Código Penal. A tal efecto, quien pretenda el acceso a tales profesiones, oficios o actividades deberá acreditar esta circunstancia mediante la aportación de una certificación negativa del Registro Central de delincuentes sexuales». Según el art. 57.2, cuentan todas las profesiones, oficios y actividades, «retribuidas o no», que conllevan un trato repetido, directo y regular con menores (también el voluntariado), y el art. 57.3 prohíbe a las empresas y entidades darles ocupación a quienes tengan antecedentes en el Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos.
Fuente: BOE, Ley Orgánica 8/2021 (BOE-A-2021-9347), texto consolidado: el art. 48 trata de las entidades que realizan actividades deportivas o de ocio con menores; el requisito de no tener condenas por delitos sexuales ni de trata y la certificación negativa del Registro Central están en el art. 57 (apartados 1 a 3), versión vigente desde el 25/06/2021 (API de legislación consolidada del BOE, bloque a5-9) · abierto el 27/09/2026
Base normativa · L 2/2023 Arts. 7 y 9 · procedimiento
Decía:Deben preverse canales escritos y verbales, y a petición del informante, una reunión presencial dentro de un plazo máximo de siete días.
Dice: El canal interno debe permitir comunicar por escrito o verbalmente, o de las dos formas (la ley no exige las dos; art. 7.2), y, a solicitud del informante, también mediante una reunión presencial dentro del plazo máximo de siete días.
Fuente: Ley 2/2023 (BOE-A-2023-4513), art. 7.2, https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513#a7: «El canal interno deberá permitir realizar comunicaciones por escrito o verbalmente, o de las dos formas. [...] A solicitud del informante, también podrá presentarse mediante una reunión presencial dentro del plazo máximo de siete días»; texto vigente desde el 13/03/2023, sin modificaciones (índice del BOE consolidado) · abierto el 27/09/2026
Base normativa · Doctrina AEPD Encargados · Magnitud agregada y marco sancionador
Decía:La AEPD impuso en 2024 sanciones por un total agregado de 4,7 millones de euros por infracciones relacionadas con la relación responsable-encargado (ausencia de contrato de encargo, autorización irregular de subencargados, deficiencias de supervisión).
Dice: Ejemplos: Gesterpool, como encargado, 15.000 € (PS/00668/2022); SAREB, como responsable, 300.000 € por su contrato de encargo y la falta de seguridad de su encargado (PS/00313/2025).
Fuente: Memoria 2024 de la AEPD, https://www.aepd.es/memorias/memoria-aepd-2024.pdf, apartado 9: 281 multas por 35.592.200 € y su desglose por áreas de actividad; no trae un agregado de 4,7 M€ por la relación responsable-encargado (retirado de /sectores/asesorias en correcciones_W7.json). Los ejemplos que lo sustituyen: AEPD, PS/00668/2022 (EXP202105473), https://www.aepd.es/documento/ps-00668-2022.pdf: «Por la presunta infracción del artículo 28 del RGPD [...] una sanción por importe de 10.000 euros» y «Por la presunta infracción del artículo 58.1 del RGPD [...] 5.000 euros»: 15.000 € en total, no 15.000 € por el subencargo; AEPD, PS/00313/2025 (EXP202318311), https://www.aepd.es/documento/ps-00313-2025.pdf: 250.000 € (art. 5.1.f) y 50.000 € (art. 28) a SAREB como responsable; «SAREB ha procedido al pago de la sanción en la cuantía de 180.000,00 euros» (30/07/2025); negligencia «especialmente grave» (art. 83.2.b) · abierto el 27/09/2026
Base normativa · Doctrina AEPD Encargados · Caso subencargo no autorizado · 15.000€
Decía:La AEPD sancionó con 15.000€ a un encargado que prestaba servicios de asesoría y apoyo comercial (captación de clientes, venta telefónica) bajo la condición de encargado del tratamiento, y que subcontrató parte del servicio sin la autorización expresa, previa y escrita del responsable, infringiendo la prohibición contractual y el Art. 28.2 RGPD.
Dice: La AEPD sancionó a Gesterpool (PS/00668/2022), que hacía venta telefónica para Naturgy como encargado del tratamiento y subcontrató parte del servicio sin la autorización previa y escrita del responsable: 10.000€ por el Art. 28 RGPD y otros 5.000€ por no colaborar con la investigación de la AEPD (Art. 58.1), 15.000€ en total.
Fuente: AEPD, PS/00668/2022 (EXP202105473), https://www.aepd.es/documento/ps-00668-2022.pdf: «Por la presunta infracción del artículo 28 del RGPD [...] una sanción por importe de 10.000 euros» y «Por la presunta infracción del artículo 58.1 del RGPD [...] 5.000 euros»: 15.000 € en total, no 15.000 € por el subencargo · abierto el 27/09/2026
Base normativa · Doctrina AEPD Encargados · Caso no devolución/supresión al fin del servicio · Art. 28.3.g
Decía:La AEPD ha sancionado supuestos en que el encargado (típicamente una empresa de servicios informáticos o una asesoría) no devolvió ni suprimió los datos del responsable al finalizar la prestación, reteniendo equipos o información, infringiendo el Art. 28.3.g RGPD
Dice: Si el encargado (típicamente una empresa de servicios informáticos o una asesoría) no devuelve ni suprime los datos del responsable al finalizar la prestación, y retiene equipos o información, incumple el Art. 28.3.g RGPD
Fuente: No se ha encontrado en aepd.es un procedimiento sancionador para este caso; la ficha de /sectores/asesorias ya lo retiró (correcciones_W7.json). Lo que sí dice la norma: RGPD art. 28.3.g, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto el 27/09/2026
Base normativa · Doctrina AEPD Encargados · Caso contrato genérico + falta seguridad · 300.000€
Decía:La AEPD impuso una multa total de 300.000€ a una entidad por dos infracciones en su relación con un proveedor encargado:
Dice: La AEPD impuso una multa total de 300.000€ a SAREB (PS/00313/2025), como responsable, por dos infracciones en su relación con un proveedor encargado que sufrió un ciberataque:
Fuente: AEPD, PS/00313/2025 (EXP202318311), https://www.aepd.es/documento/ps-00313-2025.pdf: 250.000 € (art. 5.1.f) y 50.000 € (art. 28) a SAREB como responsable; «SAREB ha procedido al pago de la sanción en la cuantía de 180.000,00 euros» (30/07/2025); negligencia «especialmente grave» (art. 83.2.b) · abierto el 27/09/2026
Base normativa · Doctrina AEPD Encargados · Caso contrato genérico + falta seguridad · 300.000€
Decía:La AEPD consideró conducta negligente.
Dice: La AEPD consideró grave la negligencia; SAREB pagó 180.000 € el 30/07/2025 con las reducciones por reconocer su responsabilidad y pagar voluntariamente.
Fuente: AEPD, PS/00313/2025 (EXP202318311), https://www.aepd.es/documento/ps-00313-2025.pdf: 250.000 € (art. 5.1.f) y 50.000 € (art. 28) a SAREB como responsable; «SAREB ha procedido al pago de la sanción en la cuantía de 180.000,00 euros» (30/07/2025); negligencia «especialmente grave» (art. 83.2.b) · abierto el 27/09/2026
Base normativa · Datos Hostelería · videovigilancia y wifi para clientes
Decía:conservación máxima de 30 días,
Dice: conservación máxima de un mes,
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026
Base normativa · DSA Art. 30-32 · mercados en línea y trazabilidad del comerciante (KYBC)
Decía:Es la obligación más relevante para una tienda que actúa como intermediario de terceros vendedores.
Dice: Estas obligaciones (arts. 29 a 32) no se aplican a los mercados en línea que sean microempresas o pequeñas empresas según la Recomendación 2003/361/CE, ni durante los doce meses siguientes a perder esa condición, salvo que hayan sido designados plataformas en línea de muy gran tamaño (art. 29). Para una tienda que no es micro ni pequeña empresa y actúa como intermediario de terceros vendedores, es la obligación más relevante.
Fuente: Reglamento (UE) 2022/2065 (DSA, CELEX 32022R2065, sin modificaciones consolidadas), art. 29.1, https://eur-lex.europa.eu/eli/reg/2022/2065/oj: «La presente sección no se aplicará a los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes que sean microempresas o pequeñas empresas tal como se definen en la Recomendación 2003/361/CE» ni «durante los doce meses siguientes a la pérdida de esa condición [...] excepto si son plataformas en línea de muy gran tamaño»; art. 29.2 (sí se aplica a las designadas de muy gran tamaño); texto en español leído en CELLAR · abierto el 27/09/2026
Base normativa · Crossmap comercio electrónico · Caso 5 · Brecha: hackean la base de datos de clientes
Decía:El volumen es agravante (cf. Bizum 80.000€, 20.000 usuarios).
Dice: El número de afectados cuenta al fijar la multa: en el caso Bizum (PS/00283/2025, 80.000 € pagados) la AEPD tuvo en cuenta que superaban los 20.000; y a una tienda online de ropa cuyos clientes aparecieron publicados en un foro le propuso 31.000 €, también por avisarles tarde (PS/00464/2024).
Fuente: AEPD, PS/00283/2025, https://www.aepd.es/documento/ps-00283-2025.pdf: «aparecían publicados 2.634 registros de los datos pseudoanonimizados del número de móvil y el "alias"»; «vulneración del artículo 32 del RGPD [...] multa administrativa por un importe de 100.000,00 euros»; «la cantidad definitiva de 80.000,00 euros»; al graduarla, «el número de afectados -que superan los 20.000-»; AEPD, PS/00464/2024 (EXP202315109), https://www.aepd.es/documento/ps-00464-2024.pdf: tienda online de ropa; multas propuestas de 20.000 € (art. 5.1.f), 5.000 € (art. 32), 1.000 € (art. 34) y 5.000 € (art. 28); «HO ha procedido al pago de la sanción en la cuantía de 18.600,00 euros» · abierto el 27/09/2026
Base normativa · Crossmap comercio electrónico · Caso 2 · Checkbox de registro y newsletter
Decía: La AEPD sancionó a una tienda online por no incluir el checkbox de aceptación en el formulario de registro.
Dice: (retirado: no se pudo verificar contra el texto oficial)
Fuente: No se ha encontrado en aepd.es un procedimiento sancionador para este caso; la ficha de /sectores/ecommerce ya lo retiró (correcciones_W7.json) · abierto el 27/09/2026
Base normativa · Crossmap Talleres · Caso 6 · La web del taller con formulario de cita y cookies
Decía: (la AEPD sancionó a una tienda online por no incluirlo)
Dice: (retirado: no se pudo verificar contra el texto oficial)
Fuente: La sanción a «una tienda online por no incluir» la casilla no tiene procedimiento en aepd.es (retirada de las fichas en correcciones_W7.json) · abierto el 27/09/2026
Base normativa · Crossmap Talleres · Caso 1 · Cámara que enfoca la acera y el coche del vecino
Decía:conservación 30 días, y constancia en el RAT
Dice: conservación de un mes como máximo, y constancia en el RAT
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026