Cuando encontramos un error en lo que publicamos, o en la base normativa que usa el copiloto, lo corregimos después de abrir el texto oficial y lo dejamos anotado aquí: cuándo, qué decía, qué dice ahora y en qué fuente nos apoyamos. Esta página se genera sola a partir del registro de correcciones.
La mayoría de las correcciones de septiembre de 2026 salen de una revisión propia de todo lo que publicamos, frase a frase, contra el texto oficial (BOE, DOUE, EUR-Lex). La hemos hecho nosotros, con nuestro agente; no es la revisión de un despacho externo. Cifras, método y límites de la revisión →
Mostrando 1021–1080 de 1887, de la más reciente a la más antigua.
/ · preguntas · «¿Cuánto cuesta?»
Decía:Es un modelo de suscripción pensado para que el cumplimiento sea una línea rentable de tu despacho, no un coste. Lo dimensionamos contigo en la demo según tu cartera — sin permanencias sorpresa ni letra pequeña.
Dice: El diagnóstico, el mapa de obligaciones y los documentos base son gratis, sin tarjeta y sin caducidad. Se paga la vigilancia y la evidencia: desde 9,99 €/mes + IVA, con pago anual de 119,88 € + IVA. Sin permanencia ni cuota de alta.
Fuente: Los precios son públicos en /precios (IVA no incluido); LSSI art. 10.1.f, https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 · comprobado el 27/09/2026
/ · pie
Decía:BIOMAG S.L.U., empresa industrial europea desde 1999
Dice: BIOMAG S.L.U., empresa industrial europea con más de 25 años
Fuente: BORME n.º 227 de 27/11/2025, anuncio 525202 («BIOMAG SL. […] Datos registrales. S 8, H VI 1773, I/A 20»), https://www.boe.es/borme/dias/2025/11/27/pdfs/BORME-A-2025-227-01.pdf · abierto el 27/09/2026. La web daba 1999 en unas páginas y 2008 en otras; hasta confirmar la fecha de constitución se retira el año
/ · cabecera · entradilla
Decía:Te decimos qué te obliga la ley y qué no, con el artículo de cada cosa. Y te generamos los documentos con tus datos, listos para firmar. Sin asesor, sin plantillas genéricas y sin inventarse nada: cada respuesta se comprueba contra el texto legal.
Dice: Te decimos qué te obliga y qué no según tu empresa, con la cita de cada cosa, y te preparamos los documentos con tus datos para que los revises. Los documentos son gratis.
Fuente: Ley 3/1991 de Competencia Desleal, art. 5.1.b: es desleal la información que «pueda inducir a error» sobre «los resultados que pueden esperarse de su utilización», https://www.boe.es/buscar/act.php?id=BOE-A-1991-628; acta de la revisión 3.5, punto 8.4.1: la comprobación automática mira que el artículo citado exista en la norma cargada, no que diga lo que se afirma · abierto el 26/09/2026; RD 901/2020, art. 5.1 (los planes de igualdad «deberán ser objeto de negociación»), https://www.boe.es/buscar/act.php?id=BOE-A-2020-12214
/ · cabecera · cifras
Decía:Casos reales documentados (cifra calculada contando los fragmentos de la base que mencionan una multa con importe)
Dice: (se retira: contar fragmentos que mencionan una multa no es contar casos reales documentados)
Fuente: Ley 3/1991, art. 5.1 (información que puede inducir a error), https://www.boe.es/buscar/act.php?id=BOE-A-1991-628 · comprobado el 27/09/2026
/ · Ve a Atlas razonar sobre tu caso real
Decía:Escribe una duda de cumplimiento y mira cómo responde: con el artículo exacto, cada cita verificada contra la base normativa y su índice de fundamentación a la vista — la métrica que ningún otro asistente legal te enseña. Sin registro.
Dice: Escribe una duda de cumplimiento y mira cómo responde: con el artículo exacto y el recuento de sus citas a la vista: cuántas hemos encontrado en nuestra base normativa y cuáles con su texto oficial. Sin registro.
Fuente: Ley 3/1991 de Competencia Desleal, art. 5.1.b: es desleal la información que «pueda inducir a error» sobre «los resultados que pueden esperarse de su utilización», https://www.boe.es/buscar/act.php?id=BOE-A-1991-628; acta de la revisión 3.5, punto 8.4.1: la comprobación automática mira que el artículo citado exista en la norma cargada, no que diga lo que se afirma · abierto el 26/09/2026 · LEC art. 217.4, https://www.boe.es/buscar/act.php?id=BOE-A-2000-323
/ · Una empresa no solo tiene protección de datos
Decía:Tiene jornada que registrar, planes de igualdad, riesgos laborales, facturación que se vuelve electrónica, un canal de denuncias obligatorio.
Dice: Una empresa no solo tiene protección de datos: tiene jornada que registrar, riesgos laborales y, desde 50 personas, plan de igualdad y canal de denuncias; y la factura electrónica, cuando se fije la fecha.
Fuente: LO 3/2007, art. 45.2 («cincuenta o más trabajadores»), https://www.boe.es/buscar/act.php?id=BOE-A-2007-6115; Ley 2/2023, art. 10.1.a, https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513 · abierto el 26/09/2026
/ · Un catálogo que se actualiza solo
Decía:Un agente revisa a diario el BOE y los textos oficiales de las normas que cubrimos; de lo que cambia, extrae los pasajes citables y los verifica contra la fuente antes de incorporarlos. Lo que puede fundamentar con seguridad entra solo; lo dudoso, no. Sin intervención manual y dentro de la propia plataforma.
Dice: Un agente revisa a diario el BOE y los textos oficiales de las normas que cubrimos; de lo que cambia, extrae los pasajes citables y comprueba que están, literales, en la fuente antes de incorporarlos. Lo dudoso no entra. Sin intervención manual, así que se le puede escapar alguna novedad: por eso también publicamos lo que corregimos.
Fuente: Ley 3/1991, arts. 5.1.b y 7 (omisiones engañosas), https://www.boe.es/buscar/act.php?id=BOE-A-1991-628; mecanismo leído en aegis/modules/regulatory_kb/watch_curator.py · abierto el 26/09/2026
/ · Quién está detrás
Decía:De ahí que cada cita se verifique contra el texto oficial y que el resultado se enseñe, acierte o falle.
Dice: (se retira; la sección «Te dejamos comprobarlo» enseña lo que cualquiera puede comprobar: la fe de erratas, los informes sellados y el radar)
Fuente: Ley 3/1991 de Competencia Desleal, art. 5.1.b: es desleal la información que «pueda inducir a error» sobre «los resultados que pueden esperarse de su utilización», https://www.boe.es/buscar/act.php?id=BOE-A-1991-628; acta de la revisión 3.5, punto 8.4.1: la comprobación automática mira que el artículo citado exista en la norma cargada, no que diga lo que se afirma · abierto el 26/09/2026
/ · Pregunta a Atlas (copiloto de la portada) · respuestas que nombran la herramienta de IA del visitante
Decía:«No, el Reglamento de IA (EU AI Act) no le obliga directamente por usar Atlas internamente para redactar correos» (la herramienta que nombraba el visitante, ChatGPT, se sustituía por el nombre del asistente)
Dice: La respuesta conserva el nombre de la herramienta que nombra el visitante y trata a su empresa como responsable del despliegue (art. 3.4 del Reglamento de IA), con la obligación de alfabetización en IA del art. 4 desde el 02/02/2025.
Fuente: Reglamento (UE) 2024/1689, consolidado a 27/07/2026, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727: art. 3.4 «responsable del despliegue»: «una persona física o jurídica […] que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional»; art. 4.1 «Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal […]»; art. 113.a: capítulos I y II aplicables desde el 2 de febrero de 2025 · abierto el 27/09/2026
/ · Pregunta a Atlas (copiloto de la portada) · respuesta sin fuentes verificadas
Decía:(la respuesta se mostraba como firme, sin ningún aviso, aunque no citara ningún artículo que se encontrara en la base normativa)
Dice: Respuesta sin fuentes verificadas: no cita ningún artículo. No es una respuesta firme: tómala como orientación y compruébala en la norma o con un profesional antes de actuar.
Fuente: Revisión jurídica propia 3.5, acta del 24/09/2026, punto 8.5, corrección 1 («no mostrar como firme una respuesta sin_fuentes»); Ley 3/1991, de Competencia Desleal, art. 5.1, https://www.boe.es/buscar/act.php?id=BOE-A-1991-628#a5: «Se considera desleal por engañosa cualquier conducta que contenga información falsa o información que, aun siendo veraz, por su contenido o presentación induzca o pueda inducir a error a los destinatarios […]» · abierto el 27/09/2026
/ · Para quién · precios
Decía:Gratis para empezar · desde 9,99 €/mes pagando al año
Dice: Gratis para empezar · vigilancia desde 9,99 €/mes + IVA, con pago anual
Fuente: LSSI art. 10.1.f («indicando si incluye o no los impuestos aplicables»), https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 · abierto el 26/09/2026
/ · Opera a escala, bajo tu marca
Decía:Cartera con semáforo, carpetas de inspección, portal del cliente, sello público y auditor externo.
Dice: Cartera con semáforo, carpetas de inspección, portal del cliente, sello público con enlace verificable (no es una certificación) y acceso para un auditor externo.
Fuente: Ley 3/1991, art. 21.1.c y 21.2, https://www.boe.es/buscar/act.php?id=BOE-A-1991-628 · abierto el 26/09/2026
/ · La diferencia entre parafrasear la ley y demostrarla
Decía:AIM ÆGIS hace lo contrario: enseña su razonamiento, cita el artículo concreto y comprueba cada afirmación antes de dártela.
Dice: Por eso Atlas enseña su razonamiento, cita el artículo y te dice qué citas ha encontrado en el texto oficial. Que la cita exista no garantiza que la conclusión valga para tu caso: revísala.
Fuente: Ley 3/1991 de Competencia Desleal, art. 5.1.b: es desleal la información que «pueda inducir a error» sobre «los resultados que pueden esperarse de su utilización», https://www.boe.es/buscar/act.php?id=BOE-A-1991-628; acta de la revisión 3.5, punto 8.4.1: la comprobación automática mira que el artículo citado exista en la norma cargada, no que diga lo que se afirma · abierto el 26/09/2026
Ficha de una fuente normativa · title
Decía:AEPD · Resoluciones contra ayuntamientos 2022-2025 (apercibimientos)
Fuente: LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026
Ficha de una fuente normativa · title
Decía:Guía AEPD enero 2024 + doctrina sancionadora
Dice: Guía de cookies de la AEPD (actualizada en mayo de 2024) + doctrina sancionadora
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies» · abierto el 26/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Aunque la sanción monetaria está sustituida por apercibimiento (Art. 77 LOPDGDD), la AEPD publica la resolución y declara la infracción. Tipologías frecuentes: publicación de actas plenarias con datos personales excesivos, falta de atención a derechos de ciudadanos, videovigilancia sin acuerdo formal o sin cartelería,
Dice: A las administraciones no se les impone multa: la AEPD dicta resolución que declara la infracción y ordena, en su caso, las medidas necesarias (art. 77.2 LOPDGDD), y la publica. Tipologías frecuentes: publicación de actas plenarias con datos personales excesivos, falta de atención a derechos de ciudadanos, videovigilancia sin cartel informativo, falta de respuesta a los requerimientos de la AEPD,
Fuente: LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa); AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa · abierto el 26/09/2026
Ficha de una fuente normativa · abstract_md
Decía:Clasificación según Regla 11 MDR: la mayoría queda en clase IIa (información para decisiones diagnósticas/terapéuticas). Algunos sistemas IA pueden elevarse a IIb si su decisión puede causar deterioro grave. Implicaciones: marcado CE obligatorio por organismo notificado, UDI en etiqueta, vigilancia post-comercialización, registro EUDAMED. Tras Reg 2025/1234 los plazos de transición se han ampliado.
Dice: Clasificación según la Regla 11 del Anexo VIII MDR, que el fabricante aplica a la finalidad prevista (art. 51): clase I, IIa o IIb (o III si las decisiones pueden causar la muerte o un deterioro irreversible). Implicaciones para el fabricante: evaluación de la conformidad y marcado CE, UDI, seguimiento poscomercialización y registro en EUDAMED. Los plazos de transición del art. 120 MDR para productos certificados con las directivas anteriores se ampliaron por el Reglamento (UE) 2023/607.
Fuente: Reglamento (UE) 2017/745 consolidado a 19/07/2026 (CELEX 02017R0745-20260719), art. 51.1 («Los productos se clasificarán en las clases I, IIa, IIb y III, teniendo en cuenta la finalidad prevista [...] de conformidad con el anexo VIII»), Anexo VIII, regla 11 (programas para decisiones diagnósticas o terapéuticas: clase IIa, IIb o III según el impacto; «Todos los demás programas informáticos se clasifican en la clase I»), art. 27.9 (los centros sanitarios registran el UDI de los «productos implantables de la clase III») y art. 83 (seguimiento poscomercialización del fabricante); RD 192/2023, arts. 35.2, 35.3 y 36.6, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: los profesionales notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica», los centros «designarán un responsable de vigilancia» y deben conservar «el UDI de los productos implantables de clase IIa y IIb». Nota: para los implantes, en España la obligación alcanza también a las clases IIa y IIb (art. 36.6 RD 192/2023), no solo a la III; Reglamento (UE) 2017/745 consolidado (CELEX 02017R0745-20260719): lista de actos modificativos (M1 2020/561, M3 2023/607 «de 15 de marzo de 2023», que da la redacción actual de los plazos transitorios del art. 120: 31/12/2027 y 31/12/2028); no existe un «Reg 2025/1234» entre ellos · abierto el 26/09/2026
Ficha de una fuente normativa · abstract_md
Decía:La Guía de enero 2024 (adaptada a los patrones engañosos del CEPD)
Dice: La Guía de cookies de la AEPD (actualizada en mayo de 2024)
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies» · abierto el 26/09/2026
Ficha de una fuente normativa · abstract_md
Decía:SEAT 16.000€
Dice: SEAT 20.000€ propuestos y 12.000€ pagados (PS/00284/2024)
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 por «la utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario y la imposibilidad de modificar el consentimiento prestado», una sola infracción del art. 22.2 LSSI (leve, art. 38.4.g), «sanción inicial de 20.000 euros»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 26/09/2026
Ficha de una fuente normativa · abstract_md
Decía:exigencia probatoria sobre factores agravantes, atenuantes por diligencia documentada.
Dice: exigencia probatoria sobre factores agravantes.
Fuente: CENDOJ (buscador oficial del Poder Judicial), resultado del recurso 1061/2022: «SAN, a 29 de octubre de 2024 - ROJ: SAN 6552/2024 ECLI:ES:AN:2024:6552 [...] Nº Recurso: 1061/2022 RESUMEN: Protección datos carácter personal. Solicitud de acceso». El texto íntegro no se pudo abrir desde aquí (el CENDOJ pide un captcha), así que no se afirma nada sobre su motivación ni sus importes; se retira la «doctrina» de atenuante por diligencia documentada, que no se apoya en ninguna fuente oficial; RGPD (CELEX 32016R0679) art. 83.2.c y 83.2.d · abierto el 26/09/2026
Ficha de una fuente normativa · abstract_md
Decía:y en vigor desde el 26 de marzo de 2025)
Dice: y en vigor desde el 25 de marzo de 2025)
Fuente: Reglamento (UE) 2025/327 (DOUE de 05/03/2025; CELEX 32025R0327), art. 105: «entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea» (25/03/2025), «será aplicable a partir del 26 de marzo de 2027», con fases el 26/03/2029, el 26/03/2031 y el 26/03/2035 (art. 75.5) · abierto el 26/09/2026
Base normativa · TJUE Pankki S (C-579/21)
Decía:Sentencia de junio 2023. El TJUE precisa el contenido del derecho de acceso del Art. 15 RGPD: incluye identidad de personas concretas que han accedido a los datos del interesado y los fines de cada acceso, no solo información genérica. Implicación práctica: los sistemas deben registrar logs de acceso identificables y poder extraerlos en respuesta a solicitudes del Art. 15. Indirectamente refuerza la trazabilidad exigida por la guía AEPD sobre IA agéntica.
Dice: Sentencia de 22 de junio de 2023. El TJUE precisa el contenido del derecho de acceso del Art. 15 RGPD: la información sobre las operaciones de consulta de los datos de una persona, con sus fechas y sus fines, es información que el interesado tiene derecho a obtener. En cambio, el art. 15.1 no le da derecho a conocer la identidad de los empleados que hicieron esas consultas bajo la autoridad del responsable y conforme a sus instrucciones, a menos que esa información sea indispensable para ejercer efectivamente sus derechos, y siempre teniendo en cuenta los derechos y libertades de esos empleados. Implicación práctica: conviene registrar los accesos (fecha y finalidad) para poder responder a las solicitudes del Art. 15.
Fuente: STJUE de 22/06/2023, Pankki S, C-579/21 (ECLI:EU:C:2023:501), fallo: la información sobre las consultas, «relativas a las fechas y a los fines de estas operaciones», debe facilitarse; «En cambio, dicha disposición no consagra tal derecho en lo que respecta a la información relativa a la identidad de los empleados de dicho responsable [...] a menos que esa información sea indispensable para permitir al interesado ejercer efectivamente los derechos», texto en español de la Oficina de Publicaciones (CELEX 62021CJ0579) · abierto el 26/09/2026
Base normativa · MDR Art. 27 aplicado a dental
Decía:(Art. 27 MDR + recomendación AEMPS)
Dice: (art. 27.9 MDR para los implantables de clase III y art. 36.6 RD 192/2023 para los de clase IIa y IIb)
Fuente: Reglamento (UE) 2017/745 consolidado a 19/07/2026 (CELEX 02017R0745-20260719), art. 51.1 («Los productos se clasificarán en las clases I, IIa, IIb y III, teniendo en cuenta la finalidad prevista [...] de conformidad con el anexo VIII»), Anexo VIII, regla 11 (programas para decisiones diagnósticas o terapéuticas: clase IIa, IIb o III según el impacto; «Todos los demás programas informáticos se clasifican en la clase I»), art. 27.9 (los centros sanitarios registran el UDI de los «productos implantables de la clase III») y art. 83 (seguimiento poscomercialización del fabricante); RD 192/2023, arts. 35.2, 35.3 y 36.6, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: los profesionales notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica», los centros «designarán un responsable de vigilancia» y deben conservar «el UDI de los productos implantables de clase IIa y IIb». Nota: para los implantes, en España la obligación alcanza también a las clases IIa y IIb (art. 36.6 RD 192/2023), no solo a la III · abierto el 26/09/2026
Base normativa · MDR Art. 27 aplicado a dental
Decía:Software dental clase IIa o superior también lleva UDI; la clínica registra la versión instalada para vigilancia.
Dice: El software que es producto sanitario también lleva UDI, pero no es implantable: los arts. 27.9 MDR y 36.6 RD 192/2023 no obligan a la clínica a conservar su UDI; anotar la versión instalada es una buena práctica.
Fuente: Reglamento (UE) 2017/745 consolidado a 19/07/2026 (CELEX 02017R0745-20260719), art. 51.1 («Los productos se clasificarán en las clases I, IIa, IIb y III, teniendo en cuenta la finalidad prevista [...] de conformidad con el anexo VIII»), Anexo VIII, regla 11 (programas para decisiones diagnósticas o terapéuticas: clase IIa, IIb o III según el impacto; «Todos los demás programas informáticos se clasifican en la clase I»), art. 27.9 (los centros sanitarios registran el UDI de los «productos implantables de la clase III») y art. 83 (seguimiento poscomercialización del fabricante); RD 192/2023, arts. 35.2, 35.3 y 36.6, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: los profesionales notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica», los centros «designarán un responsable de vigilancia» y deben conservar «el UDI de los productos implantables de clase IIa y IIb». Nota: para los implantes, en España la obligación alcanza también a las clases IIa y IIb (art. 36.6 RD 192/2023), no solo a la III · abierto el 26/09/2026
Base normativa · MDR + Regla 11 aplicada a dental
Decía:Conforme a la Regla 11 del Anexo VIII MDR se clasifican en clase IIa por regla general. Pueden elevarse a clase IIb cuando incluyen
Dice: La clase la fija el fabricante según la finalidad prevista y las reglas del Anexo VIII (art. 51 MDR): por la Regla 11, el programa que da información para decisiones diagnósticas o terapéuticas es de clase IIa, salvo que esas decisiones puedan causar un deterioro grave de la salud o una intervención quirúrgica (clase IIb) o la muerte o un deterioro irreversible (clase III), y los demás programas son de clase I; el software dental puede ser de clase I, IIa o IIb. Puede quedar en clase IIb, por ejemplo, cuando incluye
Fuente: Reglamento (UE) 2017/745 consolidado a 19/07/2026 (CELEX 02017R0745-20260719), art. 51.1 («Los productos se clasificarán en las clases I, IIa, IIb y III, teniendo en cuenta la finalidad prevista [...] de conformidad con el anexo VIII»), Anexo VIII, regla 11 (programas para decisiones diagnósticas o terapéuticas: clase IIa, IIb o III según el impacto; «Todos los demás programas informáticos se clasifican en la clase I»), art. 27.9 (los centros sanitarios registran el UDI de los «productos implantables de la clase III») y art. 83 (seguimiento poscomercialización del fabricante); RD 192/2023, arts. 35.2, 35.3 y 36.6, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: los profesionales notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica», los centros «designarán un responsable de vigilancia» y deben conservar «el UDI de los productos implantables de clase IIa y IIb». Nota: para los implantes, en España la obligación alcanza también a las clases IIa y IIb (art. 36.6 RD 192/2023), no solo a la III · abierto el 26/09/2026
Base normativa · MDR + Regla 11 aplicada a dental
Decía:La clínica dental, al usar software MDR clase IIa o superior, debe verificar el marcado CE, la formación del personal según el manual del fabricante, y registrar la vigilancia post-comercialización de incidentes.
Dice: La clínica dental que usa software que es producto sanitario, sea cual sea su clase, debe comprobar el marcado CE, formar al personal según las instrucciones del fabricante, designar un responsable de vigilancia y notificar los incidentes graves a la AEMPS por su sede electrónica (arts. 35.2 y 35.3 RD 192/2023); el seguimiento poscomercialización es del fabricante (art. 83 MDR).
Fuente: Reglamento (UE) 2017/745 consolidado a 19/07/2026 (CELEX 02017R0745-20260719), art. 51.1 («Los productos se clasificarán en las clases I, IIa, IIb y III, teniendo en cuenta la finalidad prevista [...] de conformidad con el anexo VIII»), Anexo VIII, regla 11 (programas para decisiones diagnósticas o terapéuticas: clase IIa, IIb o III según el impacto; «Todos los demás programas informáticos se clasifican en la clase I»), art. 27.9 (los centros sanitarios registran el UDI de los «productos implantables de la clase III») y art. 83 (seguimiento poscomercialización del fabricante); RD 192/2023, arts. 35.2, 35.3 y 36.6, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: los profesionales notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica», los centros «designarán un responsable de vigilancia» y deben conservar «el UDI de los productos implantables de clase IIa y IIb». Nota: para los implantes, en España la obligación alcanza también a las clases IIa y IIb (art. 36.6 RD 192/2023), no solo a la III · abierto el 26/09/2026
Base normativa · LO 1/2022 Art. 31 + RGPD Art. 28
Decía:La información sobre el inquilino (nombre y vivienda que ocupa) debe ser facilitada por el propietario arrendador conforme al Art. 9.1.f LPH (comunicación de cambios de uso).
Dice: El art. 9.1.f LPH no trata de esto (regula el fondo de reserva): el art. 9.1.h obliga al propietario a comunicar su propio domicilio a efectos de citaciones y notificaciones (en su defecto, valen las entregadas al ocupante del piso). Lo que la comunidad sepa del inquilino (nombre y vivienda que ocupa, si lo necesita para un servicio común) se limita a lo imprescindible (art. 5.1.c RGPD).
Fuente: LPH (BOE-A-1960-10906), art. 9.1, https://www.boe.es/buscar/act.php?id=BOE-A-1960-10906: letra f) «Contribuir [...] a la dotación del fondo de reserva»; letra h) «Comunicar a quien ejerza las funciones de secretario de la comunidad [...] el domicilio en España a efectos de citaciones y notificaciones [...]. En defecto de esta comunicación se tendrá por domicilio [...] el piso o local [...], surtiendo plenos efectos jurídicos las entregadas al ocupante del mismo»; RGPD art. 5.1.c (minimización), CELEX 32016R0679 · abierto el 26/09/2026
Base normativa · EHDS · Calendario de aplicación (rigor de fechas)
Decía:entró en vigor el 26 de marzo de 2025 y es aplicable, con carácter general, a partir del 26 de marzo de 2027; algunas partes, en fases posteriores (2029 y 2031, art. 105).
Dice: entró en vigor el 25 de marzo de 2025 y es aplicable, con carácter general, a partir del 26 de marzo de 2027; algunas partes, en fases posteriores (2029, 2031 y 2035, art. 105).
Fuente: Reglamento (UE) 2025/327 (DOUE de 05/03/2025; CELEX 32025R0327), art. 105: «entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea» (25/03/2025), «será aplicable a partir del 26 de marzo de 2027», con fases el 26/03/2029, el 26/03/2031 y el 26/03/2035 (art. 75.5) · abierto el 26/09/2026
Base normativa · Crossmap comercio electrónico · Caso 1 · 'Activo Google Analytics nada más entrar'
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 por «la utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario y la imposibilidad de modificar el consentimiento prestado», una sola infracción del art. 22.2 LSSI (leve, art. 38.4.g), «sanción inicial de 20.000 euros»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 26/09/2026
Base normativa · Crossmap Talleres · Caso 6 · La web del taller con formulario de cita y cookies
Decía:(1) banner de cookies conforme a la Guía AEPD enero 2024 — botón de rechazar al mismo nivel que aceptar, sin instalar cookies no técnicas antes del consentimiento (la AEPD multó a Techpump con 90.000€ y a SEAT con 16.000€ por incumplir esto);
Dice: (1) si la web usa cookies no técnicas, banner de cookies según la Guía de cookies de la AEPD (actualizada en mayo de 2024) — botón de rechazar al mismo nivel que aceptar, sin instalar cookies no técnicas antes del consentimiento (la AEPD multó a Techpump con 90.000€, y a SEAT le propuso 20.000€, que quedaron en 12.000€ tras las reducciones, PS/00284/2024);
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies»; AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 por «la utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario y la imposibilidad de modificar el consentimiento prestado», una sola infracción del art. 22.2 LSSI (leve, art. 38.4.g), «sanción inicial de 20.000 euros»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 26/09/2026
Base normativa · Crossmap Residencias · Caso 4 · Brecha por extravío de tablet
Decía:(4) notificar a AEPD vía Sede Electrónica antes de 72h con formulario PSN30;
Dice: (4) notificar a la AEPD antes de 72h por el formulario de notificación de brechas de su sede electrónica;
Fuente: Sede electrónica de la AEPD, trámite «Notificación de brechas de datos personales (art. 33 RGPD)», https://sedeaepd.gob.es/sede-electronica-web/vistas/formBrechaSeguridad/procedimientoBrechaSeguridad.jsf: no consta ningún formulario llamado «PSN30» · abierto el 26/09/2026
Base normativa · Crossmap Fincas · Caso 4
Decía:SIN ESTE CONTRATO: el administrador es responsable solidario por las infracciones cometidas en el tratamiento. Es la causa más común de sanción agravada en inspecciones AEPD.
Dice: SIN ESTE CONTRATO se incumple el art. 28.3 RGPD, y en el procedimiento sancionador cada uno responde de la infracción que se le impute a título de dolo o culpa (art. 28.1 Ley 40/2015); la responsabilidad de cada responsable o encargado por todos los daños y perjuicios (art. 82.4 RGPD) es frente a los interesados, para garantizar su indemnización.
Fuente: Ley 40/2015, art. 28.1, https://www.boe.es/buscar/act.php?id=BOE-A-2015-10566#a28: «Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas [...] que resulten responsables de los mismos a título de dolo o culpa»; RGPD (CELEX 32016R0679) art. 28.3 (el encargo «se regirá por un contrato u otro acto jurídico») y art. 82.4 («cada responsable o encargado será considerado responsable de todos los daños y perjuicios, a fin de garantizar la indemnización efectiva del interesado»). Se retira además «Es la causa más común de sanción agravada en inspecciones AEPD», que no tenía fuente · abierto el 26/09/2026
Base normativa · Crossmap Farmacias · Caso 6 · Brecha por pérdida de USB con backup
Decía:(b) Art. 34 RGPD obliga a comunicar a los interesados si hay alto riesgo (datos de salud Art. 9 SIEMPRE son alto riesgo si no están cifrados);
Dice: (b) Art. 34 RGPD obliga a comunicar a los interesados si es probable un alto riesgo (con datos de salud sin cifrar suele haberlo, pero se valora y se documenta caso por caso);
Fuente: RGPD (CELEX 32016R0679) art. 34.1: se comunica al interesado «Cuando sea probable que la violación [...] entrañe un alto riesgo»; art. 34.3.a: no es necesario si se aplicaron medidas que hagan los datos ininteligibles, «como el cifrado». La valoración es caso por caso · abierto el 26/09/2026
Base normativa · Crossmap Farmacias · Caso 1 · SPD para residencia sin contrato escrito
Decía:(c) caso PS/00139/2025 documentado AEPD: farmacia sancionada 6.600 € por situación idéntica (acuerdos verbales, sin consentimiento individual, dispensación sin base legal).
Dice: (c) caso PS/00139/2025 documentado AEPD: por una situación parecida (acuerdos verbales, SPD sin consentimiento de los afectados, pañales sin base de legitimación y sin informar a los residentes), 13.000 €, que quedaron en 7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario.
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracción del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados entre el 1 de marzo de 2023 hasta el 28 de junio de 2023» (5.000 €), del art. 6.1 «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «La suma de las citadas cuantías arroja una cantidad total 13.000,00 euros» y, con la reducción del 40 %, «la cantidad definitiva de 7.800,00 euros»; «No existe contrato por escrito [...] más allá de un acuerdo verbal»; los consentimientos aportados tienen fechas del 28/06/2023 al 01/10/2024; no aparece ningún acceso «con credenciales ajenas» · abierto el 26/09/2026
Base normativa · Crossmap Farmacias · Caso 1 · SPD para residencia sin contrato escrito
Decía:(3) entregar información Art. 13 a cada residente sobre el tratamiento;
Dice: (3) entregar a cada residente la información del Art. 14 RGPD (sus datos llegan a través de la residencia);
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracción del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados entre el 1 de marzo de 2023 hasta el 28 de junio de 2023» (5.000 €), del art. 6.1 «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «La suma de las citadas cuantías arroja una cantidad total 13.000,00 euros» y, con la reducción del 40 %, «la cantidad definitiva de 7.800,00 euros»; «No existe contrato por escrito [...] más allá de un acuerdo verbal»; los consentimientos aportados tienen fechas del 28/06/2023 al 01/10/2024; no aparece ningún acceso «con credenciales ajenas» · abierto el 26/09/2026
Base normativa · Crossmap Ayuntamientos · Caso 3
Decía:Videovigilancia municipal con acuerdo y cartelería
Dice: Videovigilancia municipal: edificios y vía pública
Fuente: LO 4/1997, arts. 1.1 y 3.2, https://www.boe.es/buscar/act.php?id=BOE-A-1997-17574: regula «la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras [...] en lugares públicos» y «Las instalaciones fijas de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado y de las Corporaciones Locales serán autorizadas por el Delegado del Gobierno [...] previo informe de una Comisión cuya presidencia corresponderá al Presidente del Tribunal Superior de Justicia»; LBRL art. 20.1.b, https://www.boe.es/buscar/act.php?id=BOE-A-1985-5392: «La Junta de Gobierno Local existe en todos los municipios con población superior a 5.000 habitantes y en los de menos, cuando así lo disponga su reglamento orgánico o así lo acuerde el Pleno»; LOPDGDD art. 22.3: supresión «en el plazo máximo de un mes» y entrega a la autoridad competente «en un plazo máximo de setenta y dos horas»; LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026
Base normativa · Crossmap Ayuntamientos · Caso 3
Decía:Caso de uso: instalación de cámaras en edificios municipales, parques, mercadillos. Obligaciones convergentes: 1) acuerdo formal de Junta de Gobierno Local o Pleno según competencia (no instalación administrativa directa); 2)
Dice: Caso de uso: instalación de cámaras en edificios municipales, parques, mercadillos. Son dos regímenes: las cámaras de seguridad ciudadana en calles, parques o mercadillos las instalan las Fuerzas y Cuerpos de Seguridad (en el municipio, la Policía Local) con autorización del Delegado del Gobierno, previo informe de una Comisión presidida por el Presidente del Tribunal Superior de Justicia (art. 3.2 LO 4/1997); en edificios e instalaciones municipales rige el art. 22 LOPDGDD. Obligaciones convergentes en edificios: 1) resolución de instalación del órgano municipal competente (la ley no exige un acuerdo de la Junta de Gobierno Local, que solo existe por ley en municipios de más de 5.000 habitantes, art. 20.1.b LBRL); 2)
Fuente: LO 4/1997, arts. 1.1 y 3.2, https://www.boe.es/buscar/act.php?id=BOE-A-1997-17574: regula «la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras [...] en lugares públicos» y «Las instalaciones fijas de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado y de las Corporaciones Locales serán autorizadas por el Delegado del Gobierno [...] previo informe de una Comisión cuya presidencia corresponderá al Presidente del Tribunal Superior de Justicia»; LBRL art. 20.1.b, https://www.boe.es/buscar/act.php?id=BOE-A-1985-5392: «La Junta de Gobierno Local existe en todos los municipios con población superior a 5.000 habitantes y en los de menos, cuando así lo disponga su reglamento orgánico o así lo acuerde el Pleno»; LOPDGDD art. 22.3: supresión «en el plazo máximo de un mes» y entrega a la autoridad competente «en un plazo máximo de setenta y dos horas»; LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026
Base normativa · Crossmap Ayuntamientos · Caso 3
Decía:5) conservación 30 días;
Dice: 5) supresión en un mes como máximo (art. 22.3 LOPDGDD);
Fuente: LO 4/1997, arts. 1.1 y 3.2, https://www.boe.es/buscar/act.php?id=BOE-A-1997-17574: regula «la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras [...] en lugares públicos» y «Las instalaciones fijas de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado y de las Corporaciones Locales serán autorizadas por el Delegado del Gobierno [...] previo informe de una Comisión cuya presidencia corresponderá al Presidente del Tribunal Superior de Justicia»; LBRL art. 20.1.b, https://www.boe.es/buscar/act.php?id=BOE-A-1985-5392: «La Junta de Gobierno Local existe en todos los municipios con población superior a 5.000 habitantes y en los de menos, cuando así lo disponga su reglamento orgánico o así lo acuerde el Pleno»; LOPDGDD art. 22.3: supresión «en el plazo máximo de un mes» y entrega a la autoridad competente «en un plazo máximo de setenta y dos horas»; LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026
Base normativa · Crossmap Ayuntamientos · Caso 3
Decía:9) entrega 72h a FFCC ante incidente. Riesgo: apercibimiento AEPD (caso El Puerto Sta María) + retirada o reorientación obligada.
Dice: 9) si hay que conservar imágenes de un incidente, entrega a la autoridad competente en 72 horas (art. 22.3 LOPDGDD). Riesgo: resolución de la AEPD que declara la infracción y ordena medidas (art. 77.2 LOPDGDD) + retirada o reorientación obligada.
Fuente: LO 4/1997, arts. 1.1 y 3.2, https://www.boe.es/buscar/act.php?id=BOE-A-1997-17574: regula «la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras [...] en lugares públicos» y «Las instalaciones fijas de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado y de las Corporaciones Locales serán autorizadas por el Delegado del Gobierno [...] previo informe de una Comisión cuya presidencia corresponderá al Presidente del Tribunal Superior de Justicia»; LBRL art. 20.1.b, https://www.boe.es/buscar/act.php?id=BOE-A-1985-5392: «La Junta de Gobierno Local existe en todos los municipios con población superior a 5.000 habitantes y en los de menos, cuando así lo disponga su reglamento orgánico o así lo acuerde el Pleno»; LOPDGDD art. 22.3: supresión «en el plazo máximo de un mes» y entrega a la autoridad competente «en un plazo máximo de setenta y dos horas»; LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026
Base normativa · Crossmap Asesorías · Caso 6 · Cartel y web de la asesoría
Decía:(1) banner de cookies conforme Guía AEPD enero 2024 (botón rechazar al mismo nivel — ÆGIS lo genera);
Dice: (1) si la web usa cookies no técnicas, banner de cookies según la Guía de cookies de la AEPD (actualizada en mayo de 2024), con el botón de rechazar al mismo nivel que el de aceptar — ÆGIS lo genera;
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies» · abierto el 26/09/2026
Base normativa · Criterios AEPD Farmacias · Cap. 4 · Dispensación a residencias y SPD
Decía:(2) información Art. 13 RGPD entregada a cada residente individualmente;
Dice: (2) información del Art. 14 RGPD a cada residente (sus datos llegan a través de la residencia);
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracción del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados entre el 1 de marzo de 2023 hasta el 28 de junio de 2023» (5.000 €), del art. 6.1 «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «La suma de las citadas cuantías arroja una cantidad total 13.000,00 euros» y, con la reducción del 40 %, «la cantidad definitiva de 7.800,00 euros»; «No existe contrato por escrito [...] más allá de un acuerdo verbal»; los consentimientos aportados tienen fechas del 28/06/2023 al 01/10/2024; no aparece ningún acceso «con credenciales ajenas» · abierto el 26/09/2026
Base normativa · Criterios AEPD Farmacias · Cap. 4 · Dispensación a residencias y SPD
Decía:Caso documentado: AEPD PS/00139/2025 sancionó a una farmacia con 6.600€ por dispensar pañales a residentes geriátricos con acuerdos verbales con las residencias, sin contratos escritos, sin consentimiento de los residentes, accediendo al sistema sanitario con credenciales ajenas. La farmacia operó sin cobertura legal desde marzo 2023, obteniendo consentimientos retroactivos meses después (julio 2023 - octubre 2024).
Dice: Caso documentado: en el PS/00139/2025 la AEPD sancionó a la titular de una farmacia que preparaba SPD y dispensaba pañales a residentes geriátricos con acuerdos verbales con las residencias y sin contrato escrito: dos infracciones del art. 6.1 RGPD (SPD sin consentimiento de los afectados entre el 1/03/2023 y el 28/06/2023, y pañales sin base de legitimación) y una del art. 14 (falta de información). Total, 13.000 €, que quedó en 7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario. Los consentimientos que aportó tenían fechas del 28/06/2023 en adelante.
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracción del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados entre el 1 de marzo de 2023 hasta el 28 de junio de 2023» (5.000 €), del art. 6.1 «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «La suma de las citadas cuantías arroja una cantidad total 13.000,00 euros» y, con la reducción del 40 %, «la cantidad definitiva de 7.800,00 euros»; «No existe contrato por escrito [...] más allá de un acuerdo verbal»; los consentimientos aportados tienen fechas del 28/06/2023 al 01/10/2024; no aparece ningún acceso «con credenciales ajenas» · abierto el 26/09/2026
Base normativa · Cookies comercio electrónico · Doctrina sancionadora (Iberia, SEAT, Techpump, Colegio Montessori)
Decía:SEAT — 16.000€ (reducida a 12.000€) el 18/09/2024, por dos infracciones: instalar cookies sin consentimiento y hacer imposible borrar las ya aceptadas.
Dice: SEAT — 20.000€ propuestos en el acuerdo de inicio del 18/09/2024, que quedaron en 12.000€ tras reconocer su responsabilidad y pagar voluntariamente (PS/00284/2024), por una infracción del art. 22.2 LSSI: instalar cookies no técnicas sin consentimiento previo e impedir modificar el consentimiento ya prestado.
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 por «la utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario y la imposibilidad de modificar el consentimiento prestado», una sola infracción del art. 22.2 LSSI (leve, art. 38.4.g), «sanción inicial de 20.000 euros»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 26/09/2026
Base normativa · Cookies comercio electrónico · Consentimiento previo (Art. 22.2 LSSI + Guía de cookies de la AEPD)
Decía:y la Guía de cookies de la AEPD (versión julio 2023, exigible desde el 11 de enero de 2024)
Dice: y la Guía de cookies de la AEPD (actualizada en mayo de 2024)
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies» · abierto el 26/09/2026
Base normativa · Cookies comercio electrónico · Banner conforme y patrones engañosos
Decía:La Guía AEPD de enero 2024 incorpora las directrices del CEPD sobre patrones engañosos y prohíbe:
Dice: La Guía de cookies de la AEPD (actualizada en mayo de 2024), que tiene en cuenta el informe del grupo de trabajo del CEPD sobre los banners de cookies, prohíbe:
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies»; AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 por «la utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario y la imposibilidad de modificar el consentimiento prestado», una sola infracción del art. 22.2 LSSI (leve, art. 38.4.g), «sanción inicial de 20.000 euros»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 26/09/2026
Base normativa · Cookies comercio electrónico · Banner conforme y patrones engañosos
Decía:La AEPD sancionó a SEAT con 16.000€ (reducida a 12.000€) precisamente porque las cookies aceptadas eran imposibles de borrar después.
Dice: La AEPD abrió expediente a SEAT (PS/00284/2024) por instalar cookies no técnicas sin consentimiento previo y no permitir modificar el consentimiento ya prestado: propuso 20.000 € y SEAT pagó 12.000 € tras reconocer su responsabilidad y pagar voluntariamente.
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies»; AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 por «la utilización de cookies que no son de naturaleza técnica sin el previo consentimiento del usuario y la imposibilidad de modificar el consentimiento prestado», una sola infracción del art. 22.2 LSSI (leve, art. 38.4.g), «sanción inicial de 20.000 euros»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 26/09/2026
Base normativa · Art. 77 LOPDGDD · régimen sancionador AAPP
Decía:Apercibimiento en lugar de multa · pero declaración de infracción
Dice: Sin multa, pero con declaración de infracción
Fuente: LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa); AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa · abierto el 26/09/2026
Base normativa · Art. 77 LOPDGDD · régimen sancionador AAPP
Decía:la AEPD dictará resolución sancionando con apercibimiento. Esta resolución determinará asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción cometida.
Dice: la autoridad de protección de datos competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción, sin multa (art. 77.2 LOPDGDD, versión vigente desde el 10/05/2023).
Fuente: LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa); AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa · abierto el 26/09/2026
Base normativa · Art. 77 LOPDGDD · régimen sancionador AAPP
Decía:El apercibimiento NO es una exención:
Dice: No imponer multa NO es una exención:
Fuente: LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa); AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa · abierto el 26/09/2026
Base normativa · Art. 77 LOPDGDD · régimen sancionador AAPP
Decía:Casos documentados: San Cristóbal de La Laguna (varios), Ávila, El Puerto de Santa María.
Dice: Casos documentados: San Cristóbal de La Laguna (varios), Ávila y El Puerto de Santa María (PS/00181/2024: la AEPD declaró la infracción del art. 58.1 RGPD por no contestar a sus requerimientos, sin multa).
Fuente: LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa); AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa · abierto el 26/09/2026
Base normativa · AN · Mercadona · SAN de 29/10/2024 (rec. 1061/2022)
Dice: Mercadona · sentencia de la Audiencia Nacional de 29/10/2024 (solicitud de acceso)
Fuente: CENDOJ (buscador oficial del Poder Judicial), resultado del recurso 1061/2022: «SAN, a 29 de octubre de 2024 - ROJ: SAN 6552/2024 ECLI:ES:AN:2024:6552 [...] Nº Recurso: 1061/2022 RESUMEN: Protección datos carácter personal. Solicitud de acceso». El texto íntegro no se pudo abrir desde aquí (el CENDOJ pide un captcha), así que no se afirma nada sobre su motivación ni sus importes; se retira la «doctrina» de atenuante por diligencia documentada, que no se apoya en ninguna fuente oficial; RGPD (CELEX 32016R0679) art. 83.2.c y 83.2.d · abierto el 26/09/2026
Base normativa · AN · Mercadona · SAN de 29/10/2024 (rec. 1061/2022)
Decía:La Audiencia Nacional redujo una multa a Mercadona de €170.000 a €7.000 por considerar que actuó conforme a la normativa de privacidad. Importancia doctrinal: la ejecución diligente de obligaciones formales y la respuesta proactiva a las reclamaciones pesa como atenuante extremo. Caso de éxito de defensa basado en documentación de cumplimiento previa al expediente.
Dice: Sentencia de la Audiencia Nacional de 29/10/2024 (recurso 1061/2022; ECLI:ES:AN:2024:6552), caso Mercadona. El resumen oficial del CENDOJ la describe como protección de datos y solicitud de acceso. Su texto íntegro no se ha contrastado aquí: no la cites como doctrina de que documentar el cumplimiento antes del expediente sea un atenuante, ni cites sus importes, sin leerla. Para graduar una multa, lo que la norma tiene en cuenta son, entre otros factores, las medidas técnicas u organizativas aplicadas (art. 83.2.d RGPD).
Fuente: CENDOJ (buscador oficial del Poder Judicial), resultado del recurso 1061/2022: «SAN, a 29 de octubre de 2024 - ROJ: SAN 6552/2024 ECLI:ES:AN:2024:6552 [...] Nº Recurso: 1061/2022 RESUMEN: Protección datos carácter personal. Solicitud de acceso». El texto íntegro no se pudo abrir desde aquí (el CENDOJ pide un captcha), así que no se afirma nada sobre su motivación ni sus importes; se retira la «doctrina» de atenuante por diligencia documentada, que no se apoya en ninguna fuente oficial; RGPD (CELEX 32016R0679) art. 83.2.c y 83.2.d · abierto el 26/09/2026
Base normativa · AN · Diligencia previa y art. 83.2 RGPD
Decía:Documentación previa de cumplimiento como atenuante
Dice: Medidas de cumplimiento previas: se valoran al graduar la multa (art. 83.2 RGPD)
Fuente: CENDOJ (buscador oficial del Poder Judicial), resultado del recurso 1061/2022: «SAN, a 29 de octubre de 2024 - ROJ: SAN 6552/2024 ECLI:ES:AN:2024:6552 [...] Nº Recurso: 1061/2022 RESUMEN: Protección datos carácter personal. Solicitud de acceso». El texto íntegro no se pudo abrir desde aquí (el CENDOJ pide un captcha), así que no se afirma nada sobre su motivación ni sus importes; se retira la «doctrina» de atenuante por diligencia documentada, que no se apoya en ninguna fuente oficial; RGPD (CELEX 32016R0679) art. 83.2.c y 83.2.d · abierto el 26/09/2026
Base normativa · AN · Diligencia previa y art. 83.2 RGPD
Decía:Doctrina derivada del caso Mercadona (rebaja 170.000€ → 7.000€): la AN reconoce como atenuante extremo la ejecución diligente de obligaciones formales previa al expediente: RAT actualizado, evaluaciones de riesgo documentadas, formación al personal, designación de DPD, respuesta proactiva a reclamaciones. La diligencia debida documentada (Art. 5.2 RGPD — responsabilidad proactiva ejercida) puede reducir sanciones en más de 90%.
Dice: No hay una «doctrina Mercadona» de atenuante por diligencia documentada: la sentencia de la Audiencia Nacional de 29/10/2024 (recurso 1061/2022) trata, según el CENDOJ, de una solicitud de acceso, y no se cita aquí como precedente de ese atenuante. Lo que dice la norma: al decidir la multa y su cuantía se tiene en cuenta, entre otros factores, «el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32» (art. 83.2.d RGPD) y «cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados» (art. 83.2.c). Tener el RAT al día, evaluaciones de riesgo documentadas, formación y DPD es responsabilidad proactiva (art. 5.2 RGPD) que la autoridad puede valorar; ninguna norma fija un porcentaje de rebaja por ello.
Fuente: CENDOJ (buscador oficial del Poder Judicial), resultado del recurso 1061/2022: «SAN, a 29 de octubre de 2024 - ROJ: SAN 6552/2024 ECLI:ES:AN:2024:6552 [...] Nº Recurso: 1061/2022 RESUMEN: Protección datos carácter personal. Solicitud de acceso». El texto íntegro no se pudo abrir desde aquí (el CENDOJ pide un captcha), así que no se afirma nada sobre su motivación ni sus importes; se retira la «doctrina» de atenuante por diligencia documentada, que no se apoya en ninguna fuente oficial; RGPD (CELEX 32016R0679) art. 83.2.c y 83.2.d · abierto el 26/09/2026
Base normativa · AEPD · Resoluciones agregadas residencias 2022-2024
Decía:(1 caso · 6.600 €)
Dice: (1 caso, PS/00139/2025, a la farmacia: 13.000 €, 7.800 € tras reducciones)
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracción del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados entre el 1 de marzo de 2023 hasta el 28 de junio de 2023» (5.000 €), del art. 6.1 «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «La suma de las citadas cuantías arroja una cantidad total 13.000,00 euros» y, con la reducción del 40 %, «la cantidad definitiva de 7.800,00 euros»; «No existe contrato por escrito [...] más allá de un acuerdo verbal»; los consentimientos aportados tienen fechas del 28/06/2023 al 01/10/2024; no aparece ningún acceso «con credenciales ajenas» · abierto el 26/09/2026
Base normativa · AEPD · Patrón sancionador agregado farmacias 2022-2025
Decía:(2) Dispensación SPD a residencias sin consentimiento individual (1 caso documentado · 6.600 €);
Dice: (2) SPD y pañales a residentes sin base jurídica ni información (1 caso documentado, PS/00139/2025 · 13.000 €, 7.800 € tras reducciones);
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracción del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados entre el 1 de marzo de 2023 hasta el 28 de junio de 2023» (5.000 €), del art. 6.1 «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «La suma de las citadas cuantías arroja una cantidad total 13.000,00 euros» y, con la reducción del 40 %, «la cantidad definitiva de 7.800,00 euros»; «No existe contrato por escrito [...] más allá de un acuerdo verbal»; los consentimientos aportados tienen fechas del 28/06/2023 al 01/10/2024; no aparece ningún acceso «con credenciales ajenas» · abierto el 26/09/2026
Base normativa · AEPD · Cookies
Decía:La AEPD ha sostenido reiteradamente que el banner de cookies debe permitir RECHAZAR con la misma facilidad con la que se ACEPTA. La pre-marcación de casillas, los muros de cookies (cookie walls) sin alternativa razonable, los botones de rechazo escondidos en segundos niveles o el patrón oscuro de 'aceptar todo' destacado contra un 'gestionar preferencias' atenuado son infracción del Art. 6.1.a RGPD y de la guía AEPD de cookies (versión vigente).
Dice: Resumen propio (no es una cita literal) de la Guía sobre el uso de las cookies de la AEPD, actualizada en mayo de 2024: la opción de rechazar se ofrece en la misma capa y al mismo nivel que la de aceptar; no son admisibles las casillas premarcadas; no pueden usarse muros de cookies que no ofrezcan una alternativa al consentimiento; y el diseño (colores, contraste) no puede empujar a aceptar. Instalar cookies no técnicas sin informar o sin consentimiento infringe el art. 22.2 LSSI (infracción leve, art. 38.4.g LSSI); si además se tratan datos personales, se aplica también la normativa de protección de datos.
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/guias/guia-cookies.pdf: portada «Guía actualizada en mayo 2024»; tiene en cuenta «el informe adoptado por el grupo de trabajo creado en el seno del CEPD para analizar los banners de cookies»; «La opción para rechazar las cookies deberá ofrecerse en la misma capa y al mismo nivel que la opción para aceptarlas», «en ningún caso son admisibles las opciones premarcadas», «no podrán utilizarse los denominados “muros de cookies” que no ofrezcan una alternativa al consentimiento», «No se podrá empujar claramente al usuario a aceptar las cookies»; LSSI art. 22.2 y art. 38.4.g (infracción leve), https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 · abierto el 26/09/2026
Base normativa · AEPD PS/00439/2024 · cámara en gabinete dental
Decía:La AEPD sancionó con 5.000 € (reducida a 3.000 € por reconocimiento y pago voluntario, diciembre de 2024) a una clínica dental por instalar cámaras dentro del gabinete de atención, que grababan imagen y sonido durante los tratamientos a los pacientes.
Dice: La AEPD sancionó con 5.000 € (reducida a 3.000 € por reconocimiento de responsabilidad y pago voluntario) a una clínica dental por tener cámaras en los gabinetes que grababan de forma continua a los pacientes durante los tratamientos (PS/00439/2024; según la resolución, las grabaciones no tenían sonido).
Fuente: AEPD, PS/00439/2024 (EXP202305156), https://www.aepd.es/documento/ps-00439-2024.pdf: la clínica «Comunica que las grabaciones no contienen sonido»; cámaras orientadas a los gabinetes/quirófanos que graban «de modo constante» a los pacientes; pago de 3.000 € el 3 de junio de 2025 (reducción del 40 % sobre 5.000 €, art. 5.1.c RGPD); acuerdo de inicio de 15/11/2024 · abierto el 26/09/2026
Base normativa · AEPD PS/00181/2024 · El Puerto de Santa María
Decía:Apercibimiento por videovigilancia sin acuerdo formal
Dice: No contestar a los requerimientos de la AEPD (art. 58.1 RGPD)
Fuente: AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa; LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026
Base normativa · AEPD PS/00181/2024 · El Puerto de Santa María
Decía:Apercibimiento al Ayuntamiento de El Puerto de Santa María (Cádiz) por mantener cámaras de videovigilancia en edificios municipales sin acuerdo formal de la Junta de Gobierno Local, sin cartelería conforme al modelo AEPD, y con conservación de imágenes superior a 30 días. La AEPD declaró infracción de los Arts. 5.1.a, 5.1.b, 5.1.c y 13 RGPD + Art. 22 LOPDGDD. Medidas correctoras: acuerdo formal, reorientación de las cámaras que captaban espacios privados, instalación de cartelería conforme modelo AEPD, borrado automático a 30 días, designación de responsable de visualización.
Dice: La AEPD declaró que el Ayuntamiento de El Puerto de Santa María (Cádiz) infringió el art. 58.1 RGPD (infracción tipificada en el art. 83.5 RGPD): no contestó a los requerimientos de información que le dirigió, al investigar una reclamación, sobre un establecimiento de la localidad y las cámaras de videovigilancia de su fachada (PS/00181/2024). Como administración pública, no se le impuso multa (art. 77 LOPDGDD); la resolución se comunicó al Defensor del Pueblo y se hace pública. Lección: los requerimientos de la AEPD se contestan en plazo y por completo, aunque lo investigado no sea un tratamiento municipal.
Fuente: AEPD, resolución PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD»; los requerimientos pedían datos de un establecimiento y la «Comprobación de la existencia de cámaras de videovigilancia en la fachada de dicho establecimiento»; se comunica al Defensor del Pueblo (art. 77.5 LOPDGDD); no hay apercibimiento ni multa; LOPDGDD art. 77.2 (versión vigente desde el 10/05/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa) · abierto el 26/09/2026