Cuando encontramos un error en lo que publicamos, o en la base normativa que usa el copiloto, lo corregimos después de abrir el texto oficial y lo dejamos anotado aquí: cuándo, qué decía, qué dice ahora y en qué fuente nos apoyamos. Esta página se genera sola a partir del registro de correcciones.
La mayoría de las correcciones de septiembre de 2026 salen de una revisión propia de todo lo que publicamos, frase a frase, contra el texto oficial (BOE, DOUE, EUR-Lex). La hemos hecho nosotros, con nuestro agente; no es la revisión de un despacho externo. Cifras, método y límites de la revisión →
¿Has visto un error? Escríbenos a hola@aim-aegis.ai.
Mostrando 61–120 de 1887, de la más reciente a la más antigua.
Decía: (c) la falta de notificación en 72h fue motivo del apercibimiento al Asilo Santo.
Dice: (c) no notificar en 72 horas es infracción del art. 33 RGPD (art. 83.4).
Fuente: No hubo tal apercibimiento: el PS/00208/2024 contra el Asilo de Ancianos Santo Domingo y Santa Eloísa (https://www.aepd.es/documento/ps-00208-2024.pdf) fue por correos sin copia oculta. Lo que dice la norma: arts. 33 y 83.4 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: (c) la AEPD ha sancionado este supuesto con 5.000-12.000 €.
Dice: (c) publicar la imagen sin ese consentimiento es infracción del art. 6 RGPD (art. 83.5).
Fuente: La horquilla «5.000-12.000 €» no tiene fuente. Lo que dice la norma: arts. 6, 7 y 83.5 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: (c) la AEPD ha sancionado supuestos similares con 8.000-40.000 €.
Dice: (c) grabar sin esa base es infracción de los arts. 6 y 9 RGPD (art. 83.5).
Fuente: La horquilla «8.000-40.000 €» no tiene fuente. Lo que dice la norma: arts. 6, 9 y 83.5 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: La notificación tardía a la AEPD (más de 72 horas) es uno de los agravantes más castigados, junto con el volumen de afectados.
Dice: Notificar a la AEPD pasadas las 72 horas sin justificar el retraso es por sí mismo una infracción leve (art. 74.m LOPDGDD), y no notificar, grave (art. 73.r); el número de afectados se tiene en cuenta al graduar la multa (art. 83.2.a RGPD).
Fuente: LOPDGDD, art. 74.m («La notificación incompleta, tardía o defectuosa a la autoridad de protección de datos de la información relacionada con una violación de seguridad de los datos personales […]», leve) y art. 73.r («El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad […]», grave), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a73; RGPD, art. 83.2.a («[…] así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido»), https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02016R0679-20160504 · abierto el 27/09/2026
Decía: 5) conservación 30 días máximo,
Dice: 5) conservación de un mes como máximo,
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026
Decía: (d) caso documentado: Asilo Santo apercibimiento por no notificar en 72h.
Dice: (d) no notificar en 72 horas es infracción del art. 33 RGPD (art. 83.4).
Fuente: No hubo tal apercibimiento: el PS/00208/2024 contra el Asilo de Ancianos Santo Domingo y Santa Eloísa (https://www.aepd.es/documento/ps-00208-2024.pdf) fue por correos sin copia oculta. Lo que dice la norma: arts. 33 y 83.4 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: (a) Investigación AEPD 2024 sobre Sacyl + Colegio Valladolid documentó este procedimiento como problemático;
Dice: (a) en la investigación del PS/00187/2025 la AEPD pidió a Sacyl información sobre este procedimiento de comunicación de incidencias por correo;
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: la AEPD requirió información a la Gerencia Regional de Salud y recibió el procedimiento de comunicación de incidencias por correo; la resolución no lo califica de «problemático» · abierto y comprobado el 27/09/2026
Decía: La notificación tardía y la ausencia de medidas (cifrado, backups) son los agravantes más castigados.
Dice: Notificar tarde sin justificar el retraso es infracción leve (art. 74.m LOPDGDD) y no notificar, grave (art. 73.r); no haber adoptado medidas de seguridad adecuadas al riesgo, como el cifrado o las copias de seguridad, es otra infracción, grave (art. 73.f LOPDGDD, en relación con el art. 32.1 RGPD).
Fuente: LOPDGDD, art. 74.m («La notificación incompleta, tardía o defectuosa a la autoridad de protección de datos de la información relacionada con una violación de seguridad de los datos personales […]», leve) y art. 73.r («El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad […]», grave), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a73; art. 73.f («La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679») · abierto el 27/09/2026
Decía: Riesgo: apercibimiento AEPD + publicación de la infracción (caso Ávila).
Dice: Riesgo: resolución de la AEPD que declara la infracción y ordena medidas, sin multa (art. 77.2 LOPDGDD, redacción vigente desde el 10/05/2023), comunicada al Defensor del Pueblo y publicada en la web de la AEPD con el nombre del ayuntamiento (art. 77.5 y 77.6) (caso Ávila).
Fuente: LOPDGDD (BOE-A-2018-16673), art. 77.2, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» del RGPD (la multa); art. 77.5: se comunican «al Defensor del Pueblo»; art. 77.6: la AEPD «publicará en su página web [...] las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable»; versión vigente desde el 10/05/2023 · abierto el 27/09/2026
Decía: (caso Ávila).
Dice: . Caso real: el Ayuntamiento de Jerez de los Caballeros, por publicar en sus actas de pleno el nombre y el NIF de un vecino (PS/00055/2024).
Fuente: El «caso Ávila» no tiene número de procedimiento ni resolución localizable en aepd.es. Caso comprobado: AEPD, PS/00055/2024, https://www.aepd.es/documento/ps-00055-2024.pdf: «Su nombre completo y dos apellidos figuraban, junto con su Número de Identificación Fiscal (NIF), en más de 20 ocasiones en el Acta de la sesión de Pleno» · abierto y comprobado el 27/09/2026
Decía: conservación máxima 30 días;
Dice: conservación máxima de un mes;
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026
Decía: (no un genérico de dos páginas: la AEPD sancionó eso con 50.000€)
Dice: (no uno que se limite a copiar el RGPD: la AEPD propuso 50.000€ a SAREB porque su contrato de encargo no fijaba cuánto conservaba el encargado los datos, PS/00313/2025)
Fuente: AEPD, PS/00313/2025 (EXP202318311), https://www.aepd.es/documento/ps-00313-2025.pdf: 250.000 € (art. 5.1.f) y 50.000 € (art. 28) a SAREB como responsable; «SAREB ha procedido al pago de la sanción en la cuantía de 180.000,00 euros» (30/07/2025); negligencia «especialmente grave» (art. 83.2.b): los 50.000 € del art. 28 fueron porque «ninguna previsión se incluye en el contrato de encargo acerca del período de conservación de los datos por parte del propio encargado»; la resolución no habla de un contrato «de dos páginas» · abierto el 27/09/2026
Decía: Conservación máxima 30 días salvo prueba de delito.
Dice: Conservación máxima de un mes salvo prueba de delito.
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026
Decía: Multas reales por cookies: de 3.000 € a 90.000 €
Dice: Multas de la AEPD por cookies: de 20.000 € a 90.000 €
Fuente: «Uno de los focos sancionadores más activos» no tiene fuente, y ninguno de los tres casos es de 3.000 €. AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf · abierto el 27/09/2026
Decía: El incumplimiento de cookies es uno de los focos sancionadores más activos de la AEPD. IBERIA fue sancionada con 30.000 € por incumplir la LSSI en la gestión de cookies.
Dice: La AEPD ha multado a empresas por las cookies de sus webs. IBERIA fue sancionada con 30.000 € (PS/00032/2020) por infringir el art. 22.2 LSSI: su web no permitía rechazar las cookies y había que aceptarlas para seguir navegando.
Fuente: «Uno de los focos sancionadores más activos» no tiene fuente, y ninguno de los tres casos es de 3.000 €. AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf · abierto el 27/09/2026
Decía: IBERIA — 30.000€ por incumplir la LSSI en sus cookies, confirmada por la Audiencia Nacional el 17/06/2024.
Dice: IBERIA — 30.000€ (PS/00032/2020) por infringir el art. 22.2 LSSI: su web no permitía rechazar las cookies y había que aceptarlas para seguir navegando.
Fuente: AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00527/2023 (EXP202316795), https://www.aepd.es/documento/ps-00527-2023.pdf: «IMPONER a LOS NIÑOS DE MONTESSORI, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 3.200,00 euros, tras aplicar una reducción del 20%, por reconocimiento de la responsabilidad, sobre la cuantía inicialmente establecida en 4.000,00 euros»; sobre las cookies: «Sin perjuicio de la responsabilidad que pueda corresponder por no cumplir con las obligaciones que sobre la instalación de cookies establece la [...] LSSI -que, en su caso debería ser objeto de tramitación independiente-»; AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf. «Las cookies son el riesgo más probable de inspección» no tiene fuente · abierto el 27/09/2026
Decía: COLEGIO MONTESSORI DE TRES CANTOS — 5.000€ (reducida a 3.000€) por no avisar del uso de cookies ni permitir configurarlas.
Dice: LOS NIÑOS DE MONTESSORI, S.L. (un centro educativo de Tres Cantos) — no fue una multa por cookies: la AEPD le impuso 4.000€, que quedaron en 3.200€ al reconocer su responsabilidad (PS/00527/2023), porque el formulario de contacto de su web recogía datos sin informar (art. 13 RGPD); las cookies de esa web, dice la resolución, se tramitan aparte, por la LSSI.
Fuente: AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00527/2023 (EXP202316795), https://www.aepd.es/documento/ps-00527-2023.pdf: «IMPONER a LOS NIÑOS DE MONTESSORI, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 3.200,00 euros, tras aplicar una reducción del 20%, por reconocimiento de la responsabilidad, sobre la cuantía inicialmente establecida en 4.000,00 euros»; sobre las cookies: «Sin perjuicio de la responsabilidad que pueda corresponder por no cumplir con las obligaciones que sobre la instalación de cookies establece la [...] LSSI -que, en su caso debería ser objeto de tramitación independiente-»; AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf. «Las cookies son el riesgo más probable de inspección» no tiene fuente · abierto el 27/09/2026
Decía: La magnitud crece con el volumen y la reiteración. Para una tienda online con tráfico alto, las cookies son el riesgo más probable de inspección.
Dice: La reiteración agrava la multa: Techpump ya había sido sancionada por lo mismo (PS/00555/2021).
Fuente: AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00527/2023 (EXP202316795), https://www.aepd.es/documento/ps-00527-2023.pdf: «IMPONER a LOS NIÑOS DE MONTESSORI, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 3.200,00 euros, tras aplicar una reducción del 20%, por reconocimiento de la responsabilidad, sobre la cuantía inicialmente establecida en 4.000,00 euros»; sobre las cookies: «Sin perjuicio de la responsabilidad que pueda corresponder por no cumplir con las obligaciones que sobre la instalación de cookies establece la [...] LSSI -que, en su caso debería ser objeto de tramitación independiente-»; AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf. «Las cookies son el riesgo más probable de inspección» no tiene fuente · abierto el 27/09/2026
Decía: Multas reales por cookies: de 3.000€ a 90.000€
Dice: Multas de la AEPD por cookies: de 20.000€ a 90.000€
Fuente: AEPD, PS/00032/2020, https://www.aepd.es/documento/ps-00032-2020.pdf: «IMPONER a la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. [...] una sanción de 30.000 euros [...] por infracción del artículo 22.2. de la LSSI»; la reclamación: «no me da la opción de rechazar las cookies y me dice que tengo que aceptarlas para seguir navegando». No se ha encontrado en fuente oficial accesible la confirmación de la Audiencia Nacional «el 17/06/2024»; la ficha de /sectores/ecommerce ya la retiró (correcciones_W7.json); AEPD, PS/00527/2023 (EXP202316795), https://www.aepd.es/documento/ps-00527-2023.pdf: «IMPONER a LOS NIÑOS DE MONTESSORI, S.L. [...] por una infracción del Artículo 13 del RGPD [...] una multa de 3.200,00 euros, tras aplicar una reducción del 20%, por reconocimiento de la responsabilidad, sobre la cuantía inicialmente establecida en 4.000,00 euros»; sobre las cookies: «Sin perjuicio de la responsabilidad que pueda corresponder por no cumplir con las obligaciones que sobre la instalación de cookies establece la [...] LSSI -que, en su caso debería ser objeto de tramitación independiente-»; AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf. «Las cookies son el riesgo más probable de inspección» no tiene fuente · abierto el 27/09/2026
Decía: INSTALAR cookies no técnicas ANTES del consentimiento es la infracción más común y sancionada del comercio electrónico.
Dice: INSTALAR cookies no técnicas ANTES del consentimiento es lo que la AEPD sancionó a SEAT (PS/00284/2024) y a Techpump (PS/00524/2023).
Fuente: «La infracción más común y sancionada» no tiene fuente (Memoria 2024 de la AEPD, https://www.aepd.es/memorias/memoria-aepd-2024.pdf). AEPD, PS/00524/2023, https://www.aepd.es/documento/ps-00524-2023.pdf (90.000 €, tres webs, art. 22.2 LSSI) y PS/00555/2021, https://www.aepd.es/documento/ps-00555-2021.pdf (la sanción anterior que la resolución cita como reincidencia); SEAT, PS/00284/2024, https://www.aepd.es/documento/ps-00284-2024.pdf · abierto el 27/09/2026
Decía: La AEPD ha apercibido a varios ayuntamientos por notificación tardía o no notificación de brechas de seguridad (Art. 33 RGPD). Casos: ayuntamiento de tamaño medio víctima de ransomware donde la notificación se realizó tras un mes; ayuntamiento que sufrió robo de documentación física y no notificó; ayuntamiento que comunicó brecha por correo ordinario en lugar de Sede Electrónica AEPD. Medidas correctoras tipo: protocolo de notificación 72h documentado, formación específica al personal técnico, plantilla para comunicación AEPD vía Sede Electrónica, ejercicio de simulacro anual de brecha.
Dice: Un ayuntamiento que sufre una brecha de seguridad (un ransomware, el robo de documentación) debe notificarla a la AEPD en 72 horas desde que la conoce, por el formulario de su sede electrónica (Art. 33 RGPD), salvo que sea improbable que suponga un riesgo, y comunicarla a los afectados si el riesgo es alto (Art. 34). Como administración, la AEPD no le impone multa, pero declara la infracción y ordena medidas (art. 77 LOPDGDD). Medidas recomendables: protocolo de notificación en 72 horas documentado, formación específica del personal técnico, plantilla para la comunicación a la AEPD por su sede electrónica y un simulacro anual de brecha.
Fuente: Los tres «casos» de ayuntamientos apercibidos por notificar tarde una brecha no tienen número de procedimiento ni resolución localizable en aepd.es. Lo que dice la norma: arts. 33 y 34 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj; art. 77 LOPDGDD, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77 · abierto y comprobado el 27/09/2026
Decía: Apercibimientos por notificación tardía de brechas
Dice: Brecha de seguridad municipal: notificar en 72 horas
Fuente: Los tres «casos» de ayuntamientos apercibidos por notificar tarde una brecha no tienen número de procedimiento ni resolución localizable en aepd.es. Lo que dice la norma: arts. 33 y 34 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj; art. 77 LOPDGDD, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77 · abierto y comprobado el 27/09/2026
Decía: sobre un uso razonable de las herramientas tecnológicas.
Dice: sobre un uso razonable de las herramientas tecnológicas. La política es obligación del empleador en todo caso, tenga o no representación legal de la plantilla; si la tiene, se le da audiencia antes de aprobarla (art. 88.3).
Fuente: LOPDGDD, art. 88.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a88: «El empleador, previa audiencia de los representantes de los trabajadores, elaborará una política interna dirigida a trabajadores, incluidos los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión […]» · abierto el 27/09/2026
Decía: Casos documentados: San Cristóbal de La Laguna (varios), Ávila y El Puerto de Santa María (PS/00181/2024: la AEPD declaró la infracción del art. 58.1 RGPD por no contestar a sus requerimientos, sin multa).
Dice: Casos con resolución pública: El Puerto de Santa María (PS/00181/2024: la AEPD declaró la infracción del art. 58.1 RGPD por no contestar a sus requerimientos, sin multa), Jerez de los Caballeros (PS/00055/2024: actas de pleno con el nombre y el NIF de un vecino) y Algete (PS/00381/2022: apercibimiento por no tener delegado de protección de datos).
Fuente: Los casos de San Cristóbal de La Laguna («varios») y Ávila no tienen número de procedimiento ni resolución localizable en aepd.es. Casos comprobados: AEPD, PS/00181/2024, https://www.aepd.es/documento/ps-00181-2024.pdf; PS/00055/2024, https://www.aepd.es/documento/ps-00055-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS [...] ha infringido [...] el Artículo 5.1.c) del RGPD»; PS/00381/2022, https://www.aepd.es/documento/ps-00381-2022.pdf: «IMPONER al AYUNTAMIENTO DE ALGETE, [...] por una infracción del Artículo 37 del RGPD, [...] una sanción de apercibimiento» · abierto y comprobado el 27/09/2026
Decía: La DPIA es obligatoria especialmente en casos de tratamiento sistemático y evaluación de aspectos personales, datos sensibles a gran escala, o observación sistemática de zonas accesibles al público a gran escala.
Dice: La DPIA se requiere en particular, sin necesidad de sumar otros criterios, en caso de (art. 35.3): a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar (por ejemplo, descartar candidaturas con un sistema automatizado); b) tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales; c) observación sistemática a gran escala de una zona de acceso público. Para los demás tratamientos se aplican las listas de la AEPD (art. 35.4).
Fuente: RGPD, art. 35.3, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02016R0679-20160504: «La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de: a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar; b) tratamiento a gran escala de las categorías especiales de datos […] o de los datos personales relativos a condenas e infracciones penales […], o c) observación sistemática a gran escala de una zona de acceso público.» · abierto el 27/09/2026
Decía: también se comunicará a éste sin dilación indebida.
Dice: también se comunicará a éste sin dilación indebida (art. 34.1), salvo que los datos afectados estuvieran protegidos con medidas que los hagan ininteligibles para quien no esté autorizado a acceder a ellos, como el cifrado (art. 34.3.a). Toda violación de la seguridad se documenta, con sus hechos, sus efectos y las medidas correctivas adoptadas, se notifique o no (art. 33.5).
Fuente: RGPD, arts. 33.5, 34.1 y 34.3.a, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02016R0679-20160504: art. 34.1 «el responsable del tratamiento la comunicará al interesado sin dilación indebida»; art. 34.3.a «[…] en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado»; art. 33.5 «El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas» · abierto el 27/09/2026
Decía: (art. 113.c, en la redacción del Reglamento (UE) 2026/1744).
Dice: (art. 113.c, en la redacción del Reglamento (UE) 2026/1744). Hasta esa fecha, informar a candidatos y plantilla cuando se usa un sistema de IA para seleccionar o gestionar personal se basa en el RGPD (arts. 13 y 14, incluida la existencia de decisiones automatizadas y la lógica aplicada, art. 13.2.f, y art. 22), en el art. 11 LOPDGDD y en el art. 64.4.d del Estatuto de los Trabajadores: la representación legal tiene derecho a ser informada de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan al acceso y mantenimiento del empleo, incluida la elaboración de perfiles.
Fuente: Reglamento (UE) 2024/1689, art. 113.c.i (https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727); ET, art. 64.4.d, https://www.boe.es/buscar/act.php?id=BOE-A-2015-11430#a64: «d) Ser informado por la empresa de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles»; RGPD, art. 13.2.f (https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02016R0679-20160504); LOPDGDD, art. 11.2 (https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a11) · abierto el 27/09/2026
Decía: 50.
Dice: 50. Calendario: estas obligaciones de alto riesgo se aplican a los sistemas del anexo III (por ejemplo, selección y gestión de personal) desde el 02/12/2027, y a los del anexo I desde el 02/08/2028 (art. 113.c, en la redacción del Reglamento (UE) 2026/1744).
Fuente: Reglamento (UE) 2024/1689 consolidado a 27/07/2026 (CELEX 02024R1689-20260727), arts. 2.1.b, 3.4, 4 y 113.c.i, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02024R1689-20260727: «4) «responsable del despliegue»: una persona física o jurídica… que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional» · abierto el 25/09/2026
Decía: La AEPD ha sancionado la captación desproporcionada de vía pública con multas documentadas que llegan hasta los 20.000 €, por infracción del principio de minimización (Art. 5.1.c RGPD) y del Art. 22.2 LOPDGDD.
Dice: La AEPD impuso 3.000 € a una comunidad cuyas cámaras no enfocaban los portales sino las aceras exteriores de la finca, por infringir el principio de minimización (Art. 5.1.c RGPD), y le ordenó corregir su orientación en un mes (PS/00448/2021); el Art. 22.2 LOPDGDD solo permite captar la vía pública en la medida imprescindible.
Fuente: «Multas documentadas que llegan hasta los 20.000 €» no tiene fuente: no se ha encontrado en aepd.es una resolución contra una comunidad por captar la vía pública con ese importe (la ficha retira el caso «AEPD · vía pública»). Caso comprobado: AEPD, PS/00448/2021, https://www.aepd.es/documento/ps-00448-2021.pdf: «no graban ningún portal ni parecido, sino, las aceras exteriores a la finca»; «IMPONER a COMUNIDAD DE PROPIETARIOS R.R.R., [...] por una infracción del Artículo 5.1.c) del RGPD [...] una multa de 3000€»; LOPDGDD, art. 22.2, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22 · abierto y comprobado el 27/09/2026
Decía: La notificación tardía es uno de los agravantes más castigados.
Dice: Notificar pasadas las 72 horas sin justificar el retraso es por sí mismo una infracción leve (art. 74.m LOPDGDD); no notificar, grave (art. 73.r).
Fuente: LOPDGDD, art. 74.m («La notificación incompleta, tardía o defectuosa a la autoridad de protección de datos de la información relacionada con una violación de seguridad de los datos personales […]», leve) y art. 73.r («El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad […]», grave), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a73 · abierto el 27/09/2026
Decía: El sector dental sufre ataques de ransomware con frecuencia creciente.
Dice: La AEPD impuso 20.000 € a una clínica dental cuyo servidor cifró un ransomware: 15.000 € por no tener medidas adecuadas (art. 32 RGPD) y 5.000 € por notificar la brecha pasadas con creces las 72 horas (art. 33); pagó 12.000 € (PS/00078/2024).
Fuente: «Frecuencia creciente» no tiene fuente. Caso comprobado: AEPD, PS/00078/2024, https://www.aepd.es/documento/ps-00078-2024.pdf: «un ciberincidente de tipo Ransomware que afectó a la disponibilidad y confidencialidad de datos personales»; 15.000 € (art. 32) y 5.000 € (art. 33); «tal notificación se hizo habiendo transcurrido sobradamente el plazo de las 72 horas»; «ha procedido al pago de la sanción en la cuantía de 12000 euros» · abierto y comprobado el 27/09/2026
Decía: y es un motivo de reclamación frecuente
Dice: (retirado: no se pudo verificar contra el texto oficial)
Fuente: «Motivo de reclamación frecuente» no tiene fuente: las Memorias de la AEPD no dan ese dato para las comunidades (https://www.aepd.es/memorias/memoria-aepd-2024.pdf) · abierto y comprobado el 27/09/2026
Decía: Tratar la imagen de un paciente para fines distintos de la asistencia sin esa base es un patrón sancionado.
Dice: Tratar la imagen de un paciente para fines distintos de la asistencia sin esa base es infracción de los arts. 6 y 9 RGPD (art. 83.5).
Fuente: «Patrón sancionado» no tiene fuente: no se ha encontrado en aepd.es una resolución contra una clínica dental por fotos de antes y después (la ficha retira también «18.000 € a una clínica de Madrid»). Lo que dice la norma: arts. 6, 9 y 83.5 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: Análisis agregado de ~15 resoluciones AEPD a residencias o entidades vinculadas (asociaciones, fundaciones, sociedades operadoras) entre 2022 y 2024. Motivos más frecuentes ordenados por incidencia: (1) videovigilancia indebida en habitaciones de residentes (5 casos · multas 8.000-40.000 €); (2) comunicación de datos a familiares no autorizados (4 casos · 2.000-10.000 €); (3) brecha de seguridad sin notificar en 72h (3 casos · apercibimiento o 5.000-15.000 €); (4) imagen de residentes en redes/web sin consentimiento granular (2 casos · 5.000-12.000 €); (5) cesión a terceros sin base jurídica (farmacias, gestoras externas, software SaaS sin contrato Art. 28) (1 caso, PS/00139/2025, a la farmacia: 13.000 €, 7.800 € tras reducciones), aunque en ese caso la AEPD no sancionó una cesión: la farmacia, que preparaba SPD para residentes de centros geriátricos, lo hacía sin su consentimiento y dispensaba pañales sin base de legitimación (art. 6.1 RGPD), y no les informó (art. 14 RGPD). Cuantía media: ~12.500 €. Pérdida de plaza concertada autonómica (efecto colateral): no cuantificada pero documentada en al menos 3 supuestos. Riesgo agregado año fiscal típico para residencia mediana sin DPO: 25-50.000 € en escenario realista.
Dice: Casos de la AEPD en torno a las residencias, cada uno con su resolución: (1) correos a las familias sin copia oculta (PS/00208/2024: 1.000 €, 600 € pagados; arts. 5.1.f y 32 RGPD); (2) la carta de despido de una trabajadora enviada al grupo de WhatsApp de la plantilla (PS/00216/2022: 3.500 €; arts. 5.1.f y 32); (3) el fichaje obligatorio con huella en una residencia municipal, sin información ni evaluación de impacto (PS/00545/2023: sin multa, por ser un ayuntamiento; arts. 9, 13 y 35); (4) no cumplir la orden de la AEPD de dar acceso a la historia clínica de un residente (PS/00175/2021: apercibimiento a una consejería; art. 58.2); (5) la farmacia que preparaba SPD y dispensaba pañales a residentes sin base jurídica ni información (PS/00139/2025: 13.000 €, 7.800 € tras reducciones; arts. 6.1 y 14). No hay una estadística pública de sanciones a residencias que permita hablar de cuantía media o de riesgo anual.
Fuente: El «análisis agregado de ~15 resoluciones», sus cuantías, la «cuantía media ~12.500 €», la «pérdida de plaza concertada documentada en al menos 3 supuestos» y el «riesgo agregado de 25-50.000 €» no tienen fuente. Casos comprobados: https://www.aepd.es/documento/ps-00208-2024.pdf, https://www.aepd.es/documento/ps-00216-2022.pdf, https://www.aepd.es/documento/ps-00545-2023.pdf, https://www.aepd.es/documento/ps-00175-2021.pdf y https://www.aepd.es/documento/ps-00139-2025.pdf · abierto y comprobado el 27/09/2026
Decía: Patrón sancionador AEPD a residencias · cuantías y motivos típicos
Dice: Casos de la AEPD en torno a las residencias, con su procedimiento
Fuente: El «análisis agregado de ~15 resoluciones», sus cuantías, la «cuantía media ~12.500 €», la «pérdida de plaza concertada documentada en al menos 3 supuestos» y el «riesgo agregado de 25-50.000 €» no tienen fuente. Casos comprobados: https://www.aepd.es/documento/ps-00208-2024.pdf, https://www.aepd.es/documento/ps-00216-2022.pdf, https://www.aepd.es/documento/ps-00545-2023.pdf, https://www.aepd.es/documento/ps-00175-2021.pdf y https://www.aepd.es/documento/ps-00139-2025.pdf · abierto y comprobado el 27/09/2026
Decía: Análisis agregado de las resoluciones AEPD a oficinas de farmacia entre 2022 y 2025. Motivos más frecuentes: (1) Archivos paralelos con datos de pacientes fuera del sistema oficial (1 caso documentado · 16.000 €); (2) SPD y pañales a residentes sin base jurídica ni información (1 caso documentado, PS/00139/2025 · 13.000 €, 7.800 € tras reducciones); (3) Videovigilancia con grabación de la pantalla del ordenador donde aparecen datos de pacientes (varios apercibimientos); (4) Programas de fidelización con perfilado de medicamentos sin consentimiento granular (varios casos · cuantías no publicadas); (5) Cesión a terceros (mutuas, aseguradoras) sin base jurídica clara. Cuantía media documentada en sanciones públicas: ~11.000 €. Riesgo agregado anual realista para oficina de farmacia mediana sin DPO: 15-30.000 € en escenario realista, sin contar inspecciones autonómicas de farmacovigilancia que pueden tener consecuencias adicionales.
Dice: Casos de la AEPD contra oficinas de farmacia, cada uno con su resolución: (1) SPD y pañales a residentes sin base jurídica ni información (PS/00139/2025: 13.000 €, 7.800 € tras reducciones; arts. 6.1 y 14 RGPD); (2) el Excel paralelo con la medicación de los pacientes (PS/00187/2025: 16.000 €, 9.600 € tras reducciones; arts. 9, 13 y 32); (3) SPD sin consentimiento, dispensación y cesiones sin base, sin información ni seguridad (PS/00197/2025: 21.000 €; arts. 6, 14 y 32); (4) documentación sanitaria de pacientes tirada una y otra vez a un contenedor de basura (PS/00538/2022: 10.000 €; arts. 5.1.f y 32); (5) cámaras que captaban la calle y grababan las conversaciones con los clientes (PS/00512/2022: 1.000 €, 600 € pagados; art. 5.1.c). No se ha localizado ninguna resolución por cámaras que graben la pantalla del ordenador ni por programas de fidelización, y no hay una estadística pública que permita hablar de cuantía media o de riesgo anual.
Fuente: «Varios apercibimientos» por cámaras sobre la pantalla, «varios casos» de fidelización, la «cuantía media ~11.000 €» y el «riesgo agregado 15-30.000 €» no tienen fuente (la ficha retira también «AEPD · cámara sobre la pantalla» y «AEPD · fidelización con perfilado»). Casos comprobados: https://www.aepd.es/documento/ps-00139-2025.pdf, https://www.aepd.es/documento/ps-00187-2025.pdf, https://www.aepd.es/documento/ps-00197-2025.pdf, https://www.aepd.es/documento/ps-00538-2022.pdf y https://www.aepd.es/documento/ps-00512-2022.pdf · abierto y comprobado el 27/09/2026
Decía: Patrón sancionador AEPD a farmacias · cuantías y motivos
Dice: Casos de la AEPD contra farmacias, con su procedimiento
Fuente: «Varios apercibimientos» por cámaras sobre la pantalla, «varios casos» de fidelización, la «cuantía media ~11.000 €» y el «riesgo agregado 15-30.000 €» no tienen fuente (la ficha retira también «AEPD · cámara sobre la pantalla» y «AEPD · fidelización con perfilado»). Casos comprobados: https://www.aepd.es/documento/ps-00139-2025.pdf, https://www.aepd.es/documento/ps-00187-2025.pdf, https://www.aepd.es/documento/ps-00197-2025.pdf, https://www.aepd.es/documento/ps-00538-2022.pdf y https://www.aepd.es/documento/ps-00512-2022.pdf · abierto y comprobado el 27/09/2026
Decía: (1 caso, PS/00139/2025, a la farmacia: 13.000 €, 7.800 € tras reducciones)
Dice: (1 caso, PS/00139/2025, a la farmacia: 13.000 €, 7.800 € tras reducciones), aunque en ese caso la AEPD no sancionó una cesión: la farmacia, que preparaba SPD para residentes de centros geriátricos, lo hacía sin su consentimiento y dispensaba pañales sin base de legitimación (art. 6.1 RGPD), y no les informó (art. 14 RGPD)
Fuente: AEPD, resolución PS/00139/2025, https://www.aepd.es/documento/ps-00139-2025.pdf: acuerdo de inicio «Por la presunta infracción del artículo 6.1 del RGPD por preparación de SPD sin contar con el consentimiento de los afectados, una multa administrativa de 5.000 euros», otra de 5.000 € «por la dispensación de pañales sin contar con base de legitimación» y 3.000 € por el art. 14 RGPD, «Lo que supone un total de 13.000 euros»; «ha procedido al pago de la sanción en la cuantía de 7.800,00 euros haciendo uso de las dos reducciones» · abierto el 27/09/2026
Decía: completarla por fases (art. 33.4 RGPD).
Dice: completarla por fases (art. 33.4 RGPD). Además de notificar a la AEPD: si la brecha puede entrañar un alto riesgo para las personas afectadas (por ejemplo, datos bancarios, de salud o documentos de identidad sin cifrar), hay que comunicárselo también a ellas sin dilación indebida (art. 34.1 RGPD), salvo que los datos estuvieran cifrados de forma que resulten ininteligibles (art. 34.3.a RGPD); y toda brecha se documenta en el registro interno, se notifique o no (art. 33.5 RGPD). Incumplir cualquiera de las dos cosas es infracción (art. 74.n y 74.ñ LOPDGDD).
Fuente: RGPD, arts. 33.5, 34.1 y 34.3.a, https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:02016R0679-20160504; LOPDGDD, art. 74.n («El incumplimiento de la obligación de documentar cualquier violación de seguridad, exigida por el artículo 33.5») y 74.ñ («El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo […]»), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a74 · abierto el 27/09/2026
Decía: Notificar tarde por 'estar todavía investigando' es infracción agravada; en su lugar se debe notificar con la información disponible y completar por fases (Art.
Dice: Notificar tarde, de forma incompleta o defectuosa es infracción leve (art. 74.m LOPDGDD); no notificar es grave (art. 73.r). Si se notifica pasadas las 72 horas hay que justificar el retraso (art. 33.1 RGPD); lo correcto es notificar con la información disponible y completarla por fases (art.
Fuente: LOPDGDD, arts. 73.r y 74.m, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673; RGPD, art. 33.1 y 33.4 (CELEX 32016R0679) · abierto el 25/09/2026
Decía: Conservación máxima · 30 días + excepciones
Dice: Conservación máxima · un mes + excepciones
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación»; la ley no lo iguala a 30 días · abierto el 27/09/2026
Decía: en el plazo máximo de un mes (30 días) desde su captación
Dice: en el plazo máximo de un mes desde su captación
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación»; la ley no lo iguala a 30 días · abierto el 27/09/2026
Decía: plazo de conservación 30 días,
Dice: plazo de conservación (un mes como máximo),
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» (un mes, no 30 días) · abierto el 27/09/2026
Decía: La AEPD ha sancionado supuestos donde el audio se grabó por configuración por defecto del equipo sin desactivación expresa.
Dice: La AEPD sancionó a una comunidad cuyas cámaras de zonas comunes grababan también sonido: 300 € por el Art. 5.1.c y 300 € por no informar bien (Art. 13 RGPD), con la orden de quitar el sonido o retirar la cámara (PS/00146/2022).
Fuente: No se ha encontrado la resolución en la que el audio «se grabó por configuración por defecto del equipo». Caso comprobado de cámaras con sonido: AEPD, PS/00146/2022, https://www.aepd.es/documento/ps-00146-2022.pdf: «un sistema de videovigilancia que no solo captaría imágenes, sino también sonido»; 300 € por el art. 5.1.c y 300 € por el art. 13 RGPD; «Regularización del sistema evitando la obtención de sonido [...] o retirada de la cámara» · abierto y comprobado el 27/09/2026
Decía: Caso documentado AEPD: residencia sancionada con 5.000 € por publicar foto de fiesta de Navidad con residentes identificables sin consentimiento granular, alegando la cláusula general del contrato.
Dice: Publicar la imagen de un residente sin ese consentimiento es infracción del art. 6 RGPD, de las del art. 83.5.
Fuente: El caso de la foto de Navidad (5.000 €) no tiene número de procedimiento ni resolución localizable en aepd.es (la ficha retira «AEPD · imagen de residentes»). Lo que dice la norma: arts. 6, 7 y 83.5 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: Sanciones AEPD documentadas en este supuesto: 30.000-60.000 €.
Dice: Grabar en una habitación sin esa base es infracción de los arts. 6 y 9 RGPD, de las del art. 83.5.
Fuente: «Sanciones AEPD documentadas: 30.000-60.000 €» no tiene fuente: no se ha encontrado en aepd.es una resolución por cámaras en habitaciones de una residencia (la ficha retira el caso «AEPD · cámaras en zonas privadas»). Lo que dice la norma: arts. 6, 9 y 83.5 RGPD, https://eur-lex.europa.eu/eli/reg/2016/679/oj · abierto y comprobado el 27/09/2026
Decía: Conservación máxima 30 días salvo prueba de delito.
Dice: Conservación máxima de un mes salvo prueba de delito.
Fuente: LOPDGDD, art. 22.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a22: «Los datos serán suprimidos en el plazo máximo de un mes desde su captación» · abierto el 27/09/2026
Decía: La AEPD inició procedimiento sancionador contra el Ayuntamiento de San Cristóbal de La Laguna (Tenerife) en 2024 por no atender debidamente varios requerimientos de información en relación con denuncias ciudadanas sobre tratamiento de datos en expedientes urbanísticos. La AEPD declaró la infracción de los Arts. 31 y 58.1 RGPD (deber de cooperación con la autoridad de control), impuso apercibimiento por aplicación del Art. 77 LOPDGDD y ordenó medidas correctoras: designación efectiva del DPD, formación específica del personal, protocolo de atención a requerimientos AEPD. La publicación de la resolución ha tenido repercusión mediática local.
Dice: La AEPD impuso un apercibimiento al Ayuntamiento de Algete (Madrid) por infringir el art. 37 RGPD, que obliga a todo organismo público a designar un delegado de protección de datos: no había comunicado a la Agencia su DPD y no respondió a sus requerimientos (PS/00381/2022). Le requirió acreditar el nombramiento en un mes. Como administración pública, no se le impuso multa (art. 77 LOPDGDD). Lección: el DPD de un ayuntamiento no es opcional; debe estar nombrado y comunicado a la AEPD, y los requerimientos de la Agencia se contestan.
Fuente: El caso de San Cristóbal de La Laguna (2024) no tiene número de procedimiento ni resolución localizable en aepd.es. Caso comprobado sobre el DPD de un ayuntamiento: AEPD, PS/00381/2022, https://www.aepd.es/documento/ps-00381-2022.pdf: «Ante la falta de comunicación a esta Agencia del delegado de protección de datos (DPD) por parte del AYUNTAMIENTO DE ALGETE»; «IMPONER al AYUNTAMIENTO DE ALGETE, [...] por una infracción del Artículo 37 del RGPD, [...] una sanción de apercibimiento»; «REQUERIR [...] para que en el plazo de un mes acredite [...] el nombramiento de DPD» · abierto y comprobado el 27/09/2026
Decía: Apercibimiento por no atender requerimientos
Dice: Apercibimiento por no tener delegado de protección de datos (art. 37 RGPD)
Fuente: El caso de San Cristóbal de La Laguna (2024) no tiene número de procedimiento ni resolución localizable en aepd.es. Caso comprobado sobre el DPD de un ayuntamiento: AEPD, PS/00381/2022, https://www.aepd.es/documento/ps-00381-2022.pdf: «Ante la falta de comunicación a esta Agencia del delegado de protección de datos (DPD) por parte del AYUNTAMIENTO DE ALGETE»; «IMPONER al AYUNTAMIENTO DE ALGETE, [...] por una infracción del Artículo 37 del RGPD, [...] una sanción de apercibimiento»; «REQUERIR [...] para que en el plazo de un mes acredite [...] el nombramiento de DPD» · abierto y comprobado el 27/09/2026
Decía: La AEPD sancionó con 1.000 € a una comunidad por publicar en el tablón de anuncios, accesible a cualquiera que entrara en el edificio, los datos de un moroso (número de apartamento e importe de la deuda) sin medidas de seguridad que evitaran el acceso de terceros. Infracción del Art. 5.1.f RGPD (integridad y confidencialidad).
Dice: La AEPD sancionó con 1.000 € en total a una comunidad por publicar en el tablón de anuncios, cerrado con llave pero accesible a cualquiera que entrara en el edificio, una lista de apartamentos con el importe de su deuda (entre ellos, el de la reclamante): 700 € por infringir el Art. 5.1.f RGPD (integridad y confidencialidad) y 300 € por el Art. 32 RGPD, por no tener un procedimiento que limitara el uso del tablón a los casos y con los requisitos del art. 9.1.h LPH. Le ordenó además retirar la lista.
Fuente: AEPD, resolución PS/00277/2023, https://www.aepd.es/documento/ps-00277-2023.pdf: «IMPONER a COMUNIDAD DE PROPIETARIOS B.B.B. [...] por una infracción del Artículo 5.1.f) del RGPD [...] una multa de 700,00 €» y «por una infracción del Artículo 32 del RGPD [...] una multa de 300,00 €»; la comunidad «debe disponer de un procedimiento que permita dar cumplimiento a lo previsto en el artículo 9.1 h) de la LPH con carácter previo a la publicación»; ordena la «Retirada del tablón de anuncios» del documento con «una relación de cinco apartamentos, así como sus deudas» · abierto el 27/09/2026
Decía: Doctrina aplicable (Art. 9.h LPH + Sentencia de la Audiencia Nacional 137/2023): el listado de morosos solo puede exponerse cuando la notificación personal al propietario ha resultado fallida, señalando el piso pero NO el nombre y apellidos; el DNI nunca es imprescindible.
Dice: Lo que dice la LPH: la relación de morosos va en la convocatoria de la junta (art. 16.2) y solo puede colocarse en el tablón cuando la notificación personal haya resultado imposible, con diligencia del secretario y el visto bueno del presidente (art. 9.1.h), y con los datos imprescindibles; el DNI nunca lo es.
Fuente: La «Sentencia de la Audiencia Nacional 137/2023» no se ha podido localizar y la ficha /sectores/fincas ya la retiró (correcciones_G2.json); tampoco consta en la LPH que haya que señalar el piso y no el nombre. LPH, art. 16.2 (https://www.boe.es/buscar/act.php?id=BOE-A-1960-10906#adieciseis): «La convocatoria contendrá una relación de los propietarios que no estén al corriente en el pago»; art. 9.1.h: el tablón solo si la notificación «fuese imposible», «con diligencia [...] firmada por quien ejerza las funciones de secretario [...] con el visto bueno del presidente» · abierto y comprobado el 27/09/2026
Decía: Hechos probados: una residencia de ancianos envió múltiples correos electrónicos masivos a familiares de residentes entre 2021 y 2023 SIN utilizar la función de copia oculta (CCO/BCC).
Dice: Hechos (PS/00208/2024): el Asilo de Ancianos Santo Domingo y Santa Eloísa, una residencia, enviaba sus correos a todos los familiares de los residentes a la vez (uno de noviembre de 2023, a 51 destinatarios) SIN utilizar la función de copia oculta (CCO/BCC).
Fuente: AEPD, PS/00208/2024, https://www.aepd.es/documento/ps-00208-2024.pdf: «correo electrónico de fecha 17 de noviembre de 2023 [...] dirigida a 51 destinatarios, con sus direcciones de correo electrónico visibles»; «a pesar de haberlo comunicado en varias ocasiones a la residencia, los emails siguen llegando de la misma manera»; «artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa de 600,00 euros»; «artículo 32 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 400,00 euros»; «cantidad definitiva de 600,00 euros». No consta en la resolución que los envíos fueran «entre 2021 y 2023» · abierto y comprobado el 27/09/2026
Decía: La AEPD aprecia infracción del Art. 32 RGPD (medidas técnicas y organizativas apropiadas) por no implementar el procedimiento más básico de seguridad en correo electrónico. Sanción: 1.000 €.
Dice: La AEPD apreció dos infracciones: del Art. 5.1.f RGPD (confidencialidad: 600 €) y del Art. 32 (medidas técnicas y organizativas apropiadas: 400 €). Total, 1.000 €, que quedó en 600 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario.
Fuente: AEPD, PS/00208/2024, https://www.aepd.es/documento/ps-00208-2024.pdf: «correo electrónico de fecha 17 de noviembre de 2023 [...] dirigida a 51 destinatarios, con sus direcciones de correo electrónico visibles»; «a pesar de haberlo comunicado en varias ocasiones a la residencia, los emails siguen llegando de la misma manera»; «artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa de 600,00 euros»; «artículo 32 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 400,00 euros»; «cantidad definitiva de 600,00 euros». No consta en la resolución que los envíos fueran «entre 2021 y 2023» · abierto y comprobado el 27/09/2026
Decía: En febrero 2024, la AEPD inició investigación sobre el procedimiento iniciado en 2016 entre el Colegio Oficial de Farmacéuticos de Valladolid y centros de salud de Sacyl, mediante el cual las farmacias enviaban incidencias de receta electrónica por correo electrónico a los centros de salud (errores de posología, tratamientos innecesarios, dudas sobre prescripción). El procedimiento permitía resolver incidencias sin hacer regresar al paciente al centro de salud, pero implicaba comunicación de datos de salud por canal NO oficial. La AEPD requirió información al DPD de Sacyl.
Dice: En la investigación del caso del Excel paralelo (PS/00187/2025), la AEPD requirió información a la Gerencia Regional de Salud de Castilla y León; su delegada de protección de datos respondió entre abril y mayo de 2024 y aportó el «Procedimiento de comunicación directa entre las oficinas de farmacia y médicos/enfermeras de los centros de salud» de Sacyl y la comunicación del Colegio Oficial de Farmacéuticos de Valladolid a sus colegiados: las farmacias enviaban por correo electrónico a los centros de salud una plantilla con las incidencias de receta electrónica (ventana de dispensación cerrada, error de posología, tratamiento activo que el paciente no utiliza) para que el médico las resolviera en 48 horas sin que el paciente volviera a consulta.
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: «se recibieron escritos de la DPD de SACYL, los días 1 de abril, 15 de abril, 19 de abril y 24 de mayo, de 2024»; «Procedimiento de comunicación directa entre las oficinas de farmacia y médicos/enfermeras de los centros de salud»; comunicación del «Colegio Oficial de Farmacéuticos de Valladolid»: «Se trata de enviar la plantilla cumplimentada mediante correo electrónico con la incidencia detectada [...] En 48 horas el médico, si lo estima oportuno, resolverá la incidencia». No consta una investigación propia «iniciada en febrero de 2024» ni que el procedimiento empezara en 2016 · abierto y comprobado el 27/09/2026
Decía: Hechos probados: la titular de una oficina de farmacia mantenía durante al menos 6 años (2018-2024) ficheros Excel paralelos al sistema oficial de receta electrónica, donde anotaba y conservaba la información de los formularios de incidencias enviados a centros de salud, junto con nombres, apellidos y notas. Los ficheros estaban alojados en el escritorio de ordenadores del mostrador, accesibles a todo el personal y a clientes que pudieran verlos, sin cifrado, sin copias de seguridad. Los pacientes no estaban informados de este tratamiento adicional.
Dice: Hechos (PS/00187/2025): en una farmacia de Castilla y León, al renovar la medicación de la tarjeta sanitaria de Sacyl se pasaba la tarjeta por el lector con una hoja Excel abierta y se anotaban en ella los datos del paciente (sus códigos de identificación, nombre y apellidos, centro de salud y médico) y la medicación a renovar. Había anotaciones desde 2018; en la inspección de 2024 la AEPD encontró en los ordenadores de los mostradores ficheros con datos hasta febrero de ese año. Los pacientes no estaban informados.
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: «se pasa la tarjeta por el lector teniendo abierto un archivo “Excel”, (…), anotando y almacenando en aquel archivo la medicación que el paciente desea renovar junto a sus datos personales»; hoja con «fechas comprendidas entre el 18/01/2018 y el 22/03/2023»; en la inspección, «en estos ficheros existen datos desde el día 04/10/2023 hasta el 05/02/2024»; infracciones de los artículos 9, 13 y 32 del RGPD; «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros». La resolución no imputa los arts. 6 ni 5.1.f, y no consta que los ficheros fueran «formularios de incidencias» ni que los vieran los clientes · abierto y comprobado el 27/09/2026
Decía: La AEPD aprecia infracción de TRES artículos clave del RGPD: (1) Art. 6 base jurídica (sin consentimiento ni otra base para el tratamiento paralelo); (2) Art. 5.1.f integridad y confidencialidad (datos accesibles, sin cifrado); (3) Art. 13 información al interesado (pacientes no informados). Sanción: 16.000 €.
Dice: La AEPD le imputó tres infracciones del RGPD: el Art. 9 (datos de salud sin una excepción que lo permita: 10.000 €), el Art. 13 (no informar a los pacientes: 3.000 €) y el Art. 32 (falta de medidas de seguridad: 3.000 €). Total, 16.000 €, que quedó en 9.600 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario.
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: «se pasa la tarjeta por el lector teniendo abierto un archivo “Excel”, (…), anotando y almacenando en aquel archivo la medicación que el paciente desea renovar junto a sus datos personales»; hoja con «fechas comprendidas entre el 18/01/2018 y el 22/03/2023»; en la inspección, «en estos ficheros existen datos desde el día 04/10/2023 hasta el 05/02/2024»; infracciones de los artículos 9, 13 y 32 del RGPD; «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros». La resolución no imputa los arts. 6 ni 5.1.f, y no consta que los ficheros fueran «formularios de incidencias» ni que los vieran los clientes · abierto y comprobado el 27/09/2026
Decía: Archivos paralelos con datos de pacientes durante 6 años (2018-2024)
Dice: Excel paralelo con la medicación de los pacientes (2018-2024)
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: «se pasa la tarjeta por el lector teniendo abierto un archivo “Excel”, (…), anotando y almacenando en aquel archivo la medicación que el paciente desea renovar junto a sus datos personales»; hoja con «fechas comprendidas entre el 18/01/2018 y el 22/03/2023»; en la inspección, «en estos ficheros existen datos desde el día 04/10/2023 hasta el 05/02/2024»; infracciones de los artículos 9, 13 y 32 del RGPD; «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros». La resolución no imputa los arts. 6 ni 5.1.f, y no consta que los ficheros fueran «formularios de incidencias» ni que los vieran los clientes · abierto y comprobado el 27/09/2026
Decía: Apercibimiento al Ayuntamiento de Ávila por publicar en el portal de transparencia listas de beneficiarios de ayudas sociales con datos personales identificativos completos (nombre, apellidos, DNI, importe, concepto de la ayuda). La AEPD declaró infracción del Art. 5.1.c RGPD (minimización) y del Art. 8 LOPDGDD (necesidad de norma con rango de ley). Medidas correctoras impuestas: revisión integral de publicaciones del portal de transparencia, anonimización retroactiva de las listas publicadas, protocolo de revisión previa por DPD antes de cualquier publicación.
Dice: La AEPD declaró que el Ayuntamiento de Jerez de los Caballeros (Badajoz) infringió los arts. 5.1.c (minimización) y 32 RGPD por publicar en su web actas de pleno con el nombre, los dos apellidos y el NIF de un vecino que había presentado alegaciones (más de veinte veces en una de ellas), aunque el vecino se había opuesto (PS/00055/2024). Le ordenó anonimizar esos datos en las actas. Como administración, no hubo multa (art. 77 LOPDGDD). Lección: antes de publicar actas, anuncios o listas en la web o en el portal de transparencia, se revisan y se quitan los datos que no son imprescindibles.
Fuente: El apercibimiento al Ayuntamiento de Ávila (2023) por listas de beneficiarios no tiene número de procedimiento ni resolución localizable en aepd.es. Caso comprobado sobre publicación con datos de más: AEPD, PS/00055/2024, https://www.aepd.es/documento/ps-00055-2024.pdf: «Su nombre completo y dos apellidos figuraban, junto con su Número de Identificación Fiscal (NIF), en más de 20 ocasiones en el Acta de la sesión de Pleno»; «DECLARAR que el AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS [...] ha infringido [...] el Artículo 5.1.c) del RGPD [...] el Artículo 32 del RGPD»; «Haber anonimizado adecuadamente el nombre, apellidos y NIF de la parte reclamante» · abierto y comprobado el 27/09/2026
Decía: Apercibimiento por publicación de listas con datos personales
Dice: Actas de pleno en la web con el nombre y el NIF de un vecino
Fuente: El apercibimiento al Ayuntamiento de Ávila (2023) por listas de beneficiarios no tiene número de procedimiento ni resolución localizable en aepd.es. Caso comprobado sobre publicación con datos de más: AEPD, PS/00055/2024, https://www.aepd.es/documento/ps-00055-2024.pdf: «Su nombre completo y dos apellidos figuraban, junto con su Número de Identificación Fiscal (NIF), en más de 20 ocasiones en el Acta de la sesión de Pleno»; «DECLARAR que el AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS [...] ha infringido [...] el Artículo 5.1.c) del RGPD [...] el Artículo 32 del RGPD»; «Haber anonimizado adecuadamente el nombre, apellidos y NIF de la parte reclamante» · abierto y comprobado el 27/09/2026
Decía: Por qué ahora · cinco fuerzas que convergen en 2026 · El mercado RegTech europeo pasa de las plantillas al razonamiento auditable. 2026-2027 es la ventana: cinco fuerzas regulatorias convergen ahora.
Dice: Por qué ahora · cinco fuerzas regulatorias, con su fuente · Cinco cambios normativos de 2026 a 2028 (IA agéntica, Reglamento de IA, NIS2, VeriFactu y la Autoridad del Informante), con su fuente oficial.
Fuente: Las fechas de las fuerzas 02 y 04 van de 2026 a 2028 (Reglamento (UE) 2024/1689, art. 113; RD 1007/2023, disposición final cuarta); «2026-2027 es la ventana» era una predicción sin fuente · comprobado el 27/09/2026