Cuando encontramos un error en lo que publicamos, o en la base normativa que usa el copiloto, lo corregimos después de abrir el texto oficial y lo dejamos anotado aquí: cuándo, qué decía, qué dice ahora y en qué fuente nos apoyamos. Esta página se genera sola a partir del registro de correcciones.
La mayoría de las correcciones de septiembre de 2026 salen de una revisión propia de todo lo que publicamos, frase a frase, contra el texto oficial (BOE, DOUE, EUR-Lex). La hemos hecho nosotros, con nuestro agente; no es la revisión de un despacho externo. Cifras, método y límites de la revisión →
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: las Gerencias de Atención Primaria de Valladolid implantaron en 2017 «un procedimiento que permitiera a las oficinas de farmacia comunicar [...] posibles incidencias», que «contemplaba la comunicación [...] a través de correo electrónico» con el CIP/CIPA del paciente; lo sancionado fue el archivo paralelo (art. 9), la falta de información (art. 13) y de seguridad (art. 32) · abierto el 25/09/2026
Decía:Farmacia que dispensaba pañales a residentes geriátricos accediendo al sistema sanitario con credenciales ajenas, con acuerdos verbales con las residencias y sin consentimiento individual de los residentes. Dos infracciones muy graves (Art. 83.5 RGPD), multa reducida a 6.600 € por pago voluntario. Resolución pública en aepd.es/documento/ps-00139-2025.pdf.
Dice: Caso real (PS/00139/2025): la AEPD sancionó a la titular de una farmacia que preparaba SPD y dispensaba pañales a residentes de centros geriátricos sin base jurídica ni consentimiento de los afectados y sin informarles: dos infracciones del art. 6.1 RGPD y una del art. 14. Multa total de 13.000 €, que quedó en 7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario. También le ordenó adoptar medidas en tres meses. Resolución pública en aepd.es/documento/ps-00139-2025.pdf.
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracciones del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados» (5.000 €) y «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «cantidad total 13.000,00 euros [...] reducción de un 40% [...] cantidad definitiva de 7.800,00 euros»; «ORDENAR [...] en el plazo de 3 meses». No figura el acceso «con credenciales ajenas» · abierto el 25/09/2026
Decía:Tratamiento de datos de salud (Art. 9) sin base legal en dispensación a residencias
Dice: Tratamiento sin base jurídica (Art. 6.1 RGPD) + falta de información (Art. 14 RGPD)
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracciones del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados» (5.000 €) y «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «cantidad total 13.000,00 euros [...] reducción de un 40% [...] cantidad definitiva de 7.800,00 euros»; «ORDENAR [...] en el plazo de 3 meses». No figura el acceso «con credenciales ajenas» · abierto el 25/09/2026
Decía:Tratamiento sin base jurídica + falta de seguridad (Art. 5.1.f) + falta de información (Art. 13)
Dice: Datos de salud sin base (Art. 9) + falta de información (Art. 13) + falta de seguridad (Art. 32)
Fuente: AEPD, PS/00187/2025 (EXP202313747), https://www.aepd.es/documento/ps-00187-2025.pdf: farmacia de Castilla y León (Sacyl) que anotaba en ficheros «Excel», al pasar la tarjeta sanitaria, datos de pacientes y de su medicación; art. 13 (3.000 €), art. 9 (10.000 €) y art. 32 RGPD (3.000 €); «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros»; «durante el período comprendido entre 2018 y 2024» · abierto el 25/09/2026
Decía:Comunicación de datos de salud por canal no oficial (Art. 9 + Art. 32 RGPD)
Dice: Copias paralelas de datos de salud al comunicar incidencias (Arts. 9, 13 y 32 RGPD)
Fuente: AEPD, PS/00187/2025, https://www.aepd.es/documento/ps-00187-2025.pdf: las Gerencias de Atención Primaria de Valladolid implantaron en 2017 «un procedimiento que permitiera a las oficinas de farmacia comunicar [...] posibles incidencias», que «contemplaba la comunicación [...] a través de correo electrónico» con el CIP/CIPA del paciente; lo sancionado fue el archivo paralelo (art. 9), la falta de información (art. 13) y de seguridad (art. 32) · abierto el 25/09/2026
Decía:Oficina de farmacia sancionada con 16.000 € por recopilar datos personales y de salud de pacientes en un archivo Excel paralelo al sistema oficial de receta, en ordenadores accesibles, sin medidas de seguridad adecuadas ni información a los pacientes. Resolución pública de la AEPD.
Dice: Una farmacia de Castilla y León fue sancionada (PS/00187/2025) por anotar en hojas Excel, entre 2018 y 2024, datos de pacientes y de su medicación al pasar la tarjeta sanitaria: infracciones de los arts. 9 (10.000 €), 13 (3.000 €) y 32 RGPD (3.000 €). Total 16.000 €, que quedó en 9.600 € por reconocimiento de responsabilidad y pago voluntario.
Fuente: AEPD, PS/00187/2025 (EXP202313747), https://www.aepd.es/documento/ps-00187-2025.pdf: farmacia de Castilla y León (Sacyl) que anotaba en ficheros «Excel», al pasar la tarjeta sanitaria, datos de pacientes y de su medicación; art. 13 (3.000 €), art. 9 (10.000 €) y art. 32 RGPD (3.000 €); «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros»; «durante el período comprendido entre 2018 y 2024» · abierto el 25/09/2026
/sectores/farmacias · Plantilla «Protocolo de brecha de seguridad · 72h» (descripción)
Decía:Workflow paso a paso adaptado a farmacia: registro hora, valoración (datos Art. 9 → siempre alto riesgo si sin cifrar), formulario PSN30 AEPD, comunicación a pacientes, comunicación al Colegio Oficial y CCAA si aplica.
Dice: Workflow paso a paso adaptado a farmacia: registro hora, valoración del riesgo caso por caso (con datos de salud sin cifrar suele ser alto), formulario de notificación de brechas de la sede electrónica de la AEPD, comunicación a pacientes, comunicación al Colegio Oficial y CCAA si aplica.
Fuente: Sede electrónica de la AEPD, «Notificación de brechas de datos personales (art. 33 RGPD)», https://sedeaepd.gob.es/sede-electronica-web/vistas/formBrechaSeguridad/procedimientoBrechaSeguridad.jsf; no consta ningún formulario llamado «PSN30»; RGPD art. 33.1 (72 horas) · abierto el 25/09/2026 || RGPD (CELEX 32016R0679) art. 34.1: se comunica al interesado cuando «sea probable que la violación [...] entrañe un alto riesgo»; art. 34.3.a: no es necesario si los datos se hicieron ininteligibles, «como el cifrado» · abierto el 25/09/2026
/sectores/farmacias · Caso «SPD para residencia geriátrica…» (sanción típica; se retira además la «cuantía probable en repetición», que no tenía fuente)
Decía:PS/00139/2025: 6.600 € documentado. Cuantía probable en repetición: 10-25.000 €.
Dice: PS/00139/2025: 13.000 € (7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario).
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracciones del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados» (5.000 €) y «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «cantidad total 13.000,00 euros [...] reducción de un 40% [...] cantidad definitiva de 7.800,00 euros»; «ORDENAR [...] en el plazo de 3 meses». No figura el acceso «con credenciales ajenas» · abierto el 25/09/2026
/sectores/farmacias · Caso «SPD para residencia geriátrica…» (qué exige la normativa)
Decía:RGPD Art. 9 (categoría especial · datos de salud) · Art. 6.1.b ejecución de contrato · Art. 9.2.h asistencia sanitaria · información Art. 13 RGPD. La farmacia ES RESPONSABLE del tratamiento de los datos de los residentes (no encargada de la residencia). El caso PS/00139/2025 sancionó exactamente este supuesto.
Dice: RGPD Art. 9 (categoría especial · datos de salud) · Art. 6.1.b ejecución de contrato · Art. 9.2.h asistencia sanitaria · información Art. 14 RGPD (los datos llegan a través de la residencia). La farmacia ES RESPONSABLE del tratamiento de los datos de los residentes (no encargada de la residencia). La AEPD sancionó un supuesto parecido (PS/00139/2025): SPD y pañales para residentes sin base jurídica ni información a los afectados.
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: infracciones del art. 6.1 RGPD «por la preparación de SPD sin contar con el consentimiento de los afectados» (5.000 €) y «por la dispensación de pañales sin contar con base de legitimación» (5.000 €) y del art. 14 RGPD (3.000 €); «cantidad total 13.000,00 euros [...] reducción de un 40% [...] cantidad definitiva de 7.800,00 euros»; «ORDENAR [...] en el plazo de 3 meses». No figura el acceso «con credenciales ajenas» · abierto el 25/09/2026 || AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: por los mismos hechos (datos de residentes recibidos a través de la residencia) la AEPD aplicó el art. 14 RGPD, no el 13 · abierto el 25/09/2026
/sectores/farmacias · Caso «SPD para residencia geriátrica…» (cómo lo resuelve AIM ÆGIS)
Decía:El agente te dice que NO empieces sin contrato escrito + consentimiento individual de cada residente o de su representante legal acreditado. Te facilita la plantilla DPA-SPD-residencia, el modelo de consentimiento individual, y la cláusula informativa Art. 13. Te recuerda que la facturación a la residencia no sustituye al consentimiento del titular.
Dice: El agente te dice que NO empieces sin contrato escrito + consentimiento individual de cada residente o de su representante legal acreditado. Te facilita la plantilla DPA-SPD-residencia, el modelo de consentimiento individual, y la cláusula informativa del Art. 14. Te recuerda que la facturación a la residencia no sustituye al consentimiento del titular.
Fuente: AEPD, PS/00139/2025 (EXP202414352), https://www.aepd.es/documento/ps-00139-2025.pdf: por los mismos hechos (datos de residentes recibidos a través de la residencia) la AEPD aplicó el art. 14 RGPD, no el 13 · abierto el 25/09/2026
/sectores/farmacias · Caso «Excel paralelo con datos de pacientes» (sanción típica)
Decía:Caso real documentado: 16.000 € por 6 años de tratamiento.
Dice: Caso real documentado (PS/00187/2025): 16.000 €, 9.600 € tras las reducciones, por un Excel paralelo entre 2018 y 2024.
Fuente: AEPD, PS/00187/2025 (EXP202313747), https://www.aepd.es/documento/ps-00187-2025.pdf: farmacia de Castilla y León (Sacyl) que anotaba en ficheros «Excel», al pasar la tarjeta sanitaria, datos de pacientes y de su medicación; art. 13 (3.000 €), art. 9 (10.000 €) y art. 32 RGPD (3.000 €); «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros»; «durante el período comprendido entre 2018 y 2024» · abierto el 25/09/2026
/sectores/farmacias · Caso «Excel paralelo con datos de pacientes» (cómo lo resuelve AIM ÆGIS)
Decía:El agente identifica que es exactamente el caso AEPD del Excel paralelo (16.000 € durante 6 años). Te indica: (1) eliminar el Excel inmediatamente; (2) si necesitas rastrear incidencias usa el propio sistema oficial o un log cifrado y separado; (3) revisar todos los escritorios de ordenadores en la oficina; (4) política escrita de prohibición de archivos paralelos.
Dice: El agente identifica que es exactamente el caso AEPD del Excel paralelo (PS/00187/2025: 16.000 €, que quedaron en 9.600 € tras las reducciones, por un Excel mantenido entre 2018 y 2024). Te indica: (1) eliminar el Excel inmediatamente; (2) si necesitas rastrear incidencias usa el propio sistema oficial o un log cifrado y separado; (3) revisar todos los escritorios de ordenadores en la oficina; (4) política escrita de prohibición de archivos paralelos.
Fuente: AEPD, PS/00187/2025 (EXP202313747), https://www.aepd.es/documento/ps-00187-2025.pdf: farmacia de Castilla y León (Sacyl) que anotaba en ficheros «Excel», al pasar la tarjeta sanitaria, datos de pacientes y de su medicación; art. 13 (3.000 €), art. 9 (10.000 €) y art. 32 RGPD (3.000 €); «cantidad total 16.000,00 euros [...] cantidad definitiva de 9.600,00 euros»; «durante el período comprendido entre 2018 y 2024» · abierto el 25/09/2026
/sectores/farmacias · Caso «Brecha por extravío de USB…» (qué exige la normativa)
Decía:Art. 33 RGPD notificación en 72h · Art. 34 RGPD comunicación a interesados si alto riesgo (datos de salud Art. 9 → siempre alto riesgo sin cifrado).
Dice: Art. 33 RGPD notificación en 72h · Art. 34 RGPD comunicación a interesados si hay alto riesgo: con datos de salud sin cifrar suele haberlo, pero se valora y documenta caso por caso, y no hace falta si estaban cifrados de forma robusta (Art. 34.3.a).
Fuente: RGPD (CELEX 32016R0679) art. 34.1: se comunica al interesado cuando «sea probable que la violación [...] entrañe un alto riesgo»; art. 34.3.a: no es necesario si los datos se hicieron ininteligibles, «como el cifrado» · abierto el 25/09/2026
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 con «una sanción inicial de 20.000 euros» por la infracción del art. 22.2 LSSI, «leve» (art. 38.4.g), por cookies no técnicas sin consentimiento previo y «la imposibilidad de modificar el consentimiento prestado»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 25/09/2026
/sectores/ecommerce · Sanciones documentadas (importe de la tarjeta de SEAT)
Decía:16.000 €
Dice: 20.000 €
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: «una sanción inicial de 20.000 euros»; pagados 12.000 € el 08/10/2024 con las dos reducciones · abierto el 25/09/2026
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 con «una sanción inicial de 20.000 euros» por la infracción del art. 22.2 LSSI, «leve» (art. 38.4.g), por cookies no técnicas sin consentimiento previo y «la imposibilidad de modificar el consentimiento prestado»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 25/09/2026
Decía:La AEPD sancionó a SEAT con 16.000 € (reducida a 12.000 € por reducciones) el 18 de septiembre de 2024 por dos infracciones de cookies: implantarlas a través de la web sin consentimiento del usuario, y hacer IMPOSIBLE borrarlas después de haberlas aceptado. La retirada del consentimiento debe ser tan fácil como darlo.
Dice: La AEPD abrió expediente sancionador a SEAT el 18/09/2024 (PS/00284/2024) por una infracción del art. 22.2 LSSI: instalar cookies no técnicas antes de obtener el consentimiento y no permitir modificar el consentimiento durante la navegación. Propuso una multa de 20.000 €; SEAT pagó 12.000 € el 08/10/2024 tras aplicar las reducciones por reconocimiento de responsabilidad y pago voluntario. Retirar el consentimiento debe ser tan fácil como darlo.
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 con «una sanción inicial de 20.000 euros» por la infracción del art. 22.2 LSSI, «leve» (art. 38.4.g), por cookies no técnicas sin consentimiento previo y «la imposibilidad de modificar el consentimiento prestado»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 25/09/2026
Decía:Cookies sin consentimiento + imposibilidad de retirar el consentimiento (LSSI)
Dice: Cookies no técnicas antes del consentimiento y sin poder modificarlo durante la navegación (art. 22.2 LSSI)
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 con «una sanción inicial de 20.000 euros» por la infracción del art. 22.2 LSSI, «leve» (art. 38.4.g), por cookies no técnicas sin consentimiento previo y «la imposibilidad de modificar el consentimiento prestado»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 25/09/2026
/sectores/ecommerce · Plantilla «Política de privacidad de tienda online» (descripción)
Decía:Política de privacidad completa con las transferencias internacionales informadas, la lógica del perfilado y los derechos del comprador.
Dice: Política de privacidad completa con las transferencias internacionales informadas, los perfiles que se elaboran y con qué fin, y los derechos del comprador.
Fuente: RGPD (CELEX 32016R0679): art. 4.4 («elaboración de perfiles»); art. 22.1 (decisiones «basada[s] únicamente en el tratamiento automatizado [...] que produzca[n] efectos jurídicos [...] o le afecte significativamente»); art. 13.2.f (la «información significativa sobre la lógica aplicada» se refiere a las decisiones del «artículo 22, apartados 1 y 4»); art. 21 (oposición); LSSI art. 22.2 (consentimiento para cookies) · abierto el 25/09/2026
/sectores/ecommerce · Plantilla «Cláusula informativa de perfilado y retargeting» (descripción)
Decía:Información de la lógica del perfilado y la publicidad personalizada con el derecho de oposición claro, conforme Art. 13 y 22 RGPD.
Dice: Información sobre la elaboración de perfiles y la publicidad personalizada (qué se hace y con qué fin), con el derecho de oposición claro, conforme a los Arts. 13 y 21 RGPD.
Fuente: RGPD (CELEX 32016R0679): art. 4.4 («elaboración de perfiles»); art. 22.1 (decisiones «basada[s] únicamente en el tratamiento automatizado [...] que produzca[n] efectos jurídicos [...] o le afecte significativamente»); art. 13.2.f (la «información significativa sobre la lógica aplicada» se refiere a las decisiones del «artículo 22, apartados 1 y 4»); art. 21 (oposición); LSSI art. 22.2 (consentimiento para cookies) · abierto el 25/09/2026
/sectores/ecommerce · Plantilla «Cláusula informativa de perfilado y retargeting» (base legal)
Decía:Art. 13 + Art. 22 RGPD
Dice: Art. 13 + Art. 21 RGPD
Fuente: RGPD (CELEX 32016R0679): art. 4.4 («elaboración de perfiles»); art. 22.1 (decisiones «basada[s] únicamente en el tratamiento automatizado [...] que produzca[n] efectos jurídicos [...] o le afecte significativamente»); art. 13.2.f (la «información significativa sobre la lógica aplicada» se refiere a las decisiones del «artículo 22, apartados 1 y 4»); art. 21 (oposición); LSSI art. 22.2 (consentimiento para cookies) · abierto el 25/09/2026
/sectores/ecommerce · Plantilla «Banner y política de cookies…» (base legal)
Decía:Art. 22.2 LSSI-CE + Guía AEPD enero 2024
Dice: Art. 22.2 LSSI-CE + Guía de cookies de la AEPD (act. mayo 2024)
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/documento/guia-cookies.pdf: portada «MAYO 2024 · Guía actualizada en mayo 2024»; no existe una versión de enero de 2024 · abierto el 25/09/2026
/sectores/ecommerce · Plantilla de banner (título)
Decía:Banner y política de cookies conforme AEPD 2024
Dice: Banner y política de cookies conforme a la guía de la AEPD (mayo 2024)
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/documento/guia-cookies.pdf: portada «MAYO 2024 · Guía actualizada en mayo 2024»; no existe una versión de enero de 2024 · abierto el 25/09/2026
/sectores/ecommerce · Caso «Retargeting…» (sanción típica)
Decía:Perfilado sin base ni información: infracción del Art. 13-22 RGPD
Dice: Perfilado sin base ni información: infracción de los Arts. 6, 13 y 21 RGPD
Fuente: RGPD (CELEX 32016R0679): art. 4.4 («elaboración de perfiles»); art. 22.1 (decisiones «basada[s] únicamente en el tratamiento automatizado [...] que produzca[n] efectos jurídicos [...] o le afecte significativamente»); art. 13.2.f (la «información significativa sobre la lógica aplicada» se refiere a las decisiones del «artículo 22, apartados 1 y 4»); art. 21 (oposición); LSSI art. 22.2 (consentimiento para cookies) · abierto el 25/09/2026
/sectores/ecommerce · Caso «Retargeting…» (qué exige la normativa)
Decía:Art. 22 RGPD (perfilado) + consentimiento de cookies de terceros
Dice: Elaboración de perfiles (Art. 4.4 RGPD) · consentimiento para píxeles y cookies de terceros (Art. 22.2 LSSI) · información y derecho de oposición (Arts. 13 y 21 RGPD) · Art. 22 RGPD solo si hay decisiones automatizadas con efectos jurídicos o similares
Fuente: RGPD (CELEX 32016R0679): art. 4.4 («elaboración de perfiles»); art. 22.1 (decisiones «basada[s] únicamente en el tratamiento automatizado [...] que produzca[n] efectos jurídicos [...] o le afecte significativamente»); art. 13.2.f (la «información significativa sobre la lógica aplicada» se refiere a las decisiones del «artículo 22, apartados 1 y 4»); art. 21 (oposición); LSSI art. 22.2 (consentimiento para cookies) · abierto el 25/09/2026
/sectores/ecommerce · Caso «Retargeting…» (cómo lo resuelve AIM ÆGIS)
Decía:ÆGIS razona que es perfilado: el retargeting con píxeles de terceros se basa en el consentimiento del banner (si no acepta, no se hace); las recomendaciones propias pueden ampararse en interés legítimo con oposición clara. Hay que informar de la lógica del perfilado en la política de privacidad. Te documenta la base jurídica.
Dice: ÆGIS razona que es elaboración de perfiles: el retargeting con píxeles o cookies de terceros requiere consentimiento previo (si no acepta, no se hace); las recomendaciones propias pueden ampararse en interés legítimo con oposición clara. En la política de privacidad debes informar de que elaboras perfiles, con qué finalidad y cómo oponerse. Las garantías reforzadas del art. 22 RGPD (incluida la explicación de la lógica) solo se aplican si el perfil sirve para decisiones automatizadas con efectos jurídicos o similares, como denegar una compra o fijar precios individualizados. Te documenta la base jurídica.
Fuente: RGPD (CELEX 32016R0679): art. 4.4 («elaboración de perfiles»); art. 22.1 (decisiones «basada[s] únicamente en el tratamiento automatizado [...] que produzca[n] efectos jurídicos [...] o le afecte significativamente»); art. 13.2.f (la «información significativa sobre la lógica aplicada» se refiere a las decisiones del «artículo 22, apartados 1 y 4»); art. 21 (oposición); LSSI art. 22.2 (consentimiento para cookies) · abierto el 25/09/2026
/sectores/ecommerce · Caso «Google Analytics y el píxel de Meta se activan al entrar» (qué exige la normativa)
Decía:Art. 22.2 LSSI-CE · Guía AEPD cookies enero 2024
Dice: Art. 22.2 LSSI-CE · Guía de cookies de la AEPD (act. mayo 2024)
Fuente: AEPD, «Guía sobre el uso de las cookies», https://www.aepd.es/documento/guia-cookies.pdf: portada «MAYO 2024 · Guía actualizada en mayo 2024»; no existe una versión de enero de 2024 · abierto el 25/09/2026
/sectores/ecommerce · Caso «Google Analytics y el píxel de Meta se activan al entrar» (cómo lo resuelve AIM ÆGIS)
Decía:ÆGIS te explica que la analítica comercial y los píxeles de terceros no son cookies técnicas y exigen consentimiento PREVIO: hay que bloquear esos scripts hasta la aceptación y poner 'Rechazar' al mismo nivel que 'Aceptar'. Es justo lo que la AEPD sancionó a Techpump (90.000 €) y SEAT (16.000 €). Te genera el banner conforme y la política de cookies.
Dice: ÆGIS te explica que la analítica comercial y los píxeles de terceros no son cookies técnicas y exigen consentimiento PREVIO: hay que bloquear esos scripts hasta la aceptación y poner 'Rechazar' al mismo nivel que 'Aceptar'. Es justo lo que la AEPD sancionó a Techpump (90.000 €) y SEAT (multa propuesta de 20.000 €; pagó 12.000 €). Te genera el banner conforme y la política de cookies.
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 con «una sanción inicial de 20.000 euros» por la infracción del art. 22.2 LSSI, «leve» (art. 38.4.g), por cookies no técnicas sin consentimiento previo y «la imposibilidad de modificar el consentimiento prestado»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 25/09/2026
/sectores/ecommerce · Cabecera (subtítulo)
Decía:Las cookies son el foco nº1 de sanciones de la AEPD al comercio online: Iberia 30.000 €, SEAT 16.000 €, Techpump 90.000 €. Y detrás vienen el perfilado y el retargeting, las transferencias internacionales de tu pasarela y tu hosting, y las brechas de datos de clientes que el volumen multiplica. ÆGIS razona sobre el banner conforme (rechazar tan fácil como aceptar), qué proveedor saca datos del EEE y con qué garantía, y cómo responder una brecha en 72 horas — con la documentación citada y defendible.
Dice: Las cookies son el foco nº1 de sanciones de la AEPD al comercio online: Iberia 30.000 €, SEAT 20.000 € (pagó 12.000 €), Techpump 90.000 €. Y detrás vienen el perfilado y el retargeting, las transferencias internacionales de tu pasarela y tu hosting, y las brechas de datos de clientes que el volumen multiplica. ÆGIS razona sobre el banner conforme (rechazar tan fácil como aceptar), qué proveedor saca datos del EEE y con qué garantía, y cómo responder una brecha en 72 horas — con la documentación citada y defendible.
Fuente: AEPD, PS/00284/2024 (EXP202309901), https://www.aepd.es/documento/ps-00284-2024.pdf: acuerdo de inicio de 18/09/2024 con «una sanción inicial de 20.000 euros» por la infracción del art. 22.2 LSSI, «leve» (art. 38.4.g), por cookies no técnicas sin consentimiento previo y «la imposibilidad de modificar el consentimiento prestado»; «En fecha 8 de octubre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones» · abierto el 25/09/2026
Decía:Cámara en zona de tratamiento: 5.000 € (reducible) · no atender derechos del paciente: ~5.000 € · captación laboral excesiva: ~3.000 €
Dice: Cámara en zona de tratamiento: 5.000 € (reducible) · no cumplir un requerimiento de la AEPD sobre el acceso a la historia: 5.000 € (2015) · captación laboral excesiva: ~3.000 €
Fuente: AEPD, PS/00520/2014 (R/00751/2015), https://www.aepd.es/documento/ps-00520-2014.pdf: tras la tutela TD/00894/2013, que instó a entregar la historia «incluyendo las radiografías panorámicas», se impuso «por una infracción del artículo 37.1.f) de la LOPD [...] una multa de 5.000 €» (no atender el requerimiento de la AEPD) · abierto el 25/09/2026
Fuente: AEPD, PS/00439/2024 (EXP202305156), https://www.aepd.es/documento/ps-00439-2024.pdf: acuerdo de inicio de 15/11/2024; cámaras en los gabinetes que graban «de modo constante» a los pacientes (hechos probados; la clínica declaró que «las imágenes grabadas no contienen sonido»); por las cámaras en gabinetes, «reducción de un 40% [...] cantidad definitiva de 3.000 euros» (pago del 03/06/2025); por la «captación excesiva de los puestos de trabajo», «reducción de un 20% [...] 2.400 euros»; ambas, infracción del art. 5.1.c RGPD · abierto el 25/09/2026
Fuente: AEPD, PS/00439/2024 (EXP202305156), https://www.aepd.es/documento/ps-00439-2024.pdf: acuerdo de inicio de 15/11/2024; cámaras en los gabinetes que graban «de modo constante» a los pacientes (hechos probados; la clínica declaró que «las imágenes grabadas no contienen sonido»); por las cámaras en gabinetes, «reducción de un 40% [...] cantidad definitiva de 3.000 euros» (pago del 03/06/2025); por la «captación excesiva de los puestos de trabajo», «reducción de un 20% [...] 2.400 euros»; ambas, infracción del art. 5.1.c RGPD · abierto el 25/09/2026
/sectores/dental · Sanciones documentadas (cámara en gabinete; se corrige además «imagen y sonido»: según la resolución, las grabaciones no tenían sonido, y el pago fue en junio de 2025, no en diciembre de 2024)
Decía:La AEPD sancionó con 5.000 € (reducida a 3.000 € por pago voluntario, dic. 2024) a una clínica dental por instalar cámaras dentro del gabinete de atención, grabando imagen y sonido durante los tratamientos a los pacientes. Vulnera el principio de minimización (Art. 5.1.c RGPD): es un tratamiento desproporcionado para la finalidad de seguridad.
Dice: La AEPD sancionó a una clínica dental (PS/00439/2024) con 5.000 € por tener cámaras en los gabinetes que grababan de forma continua a los pacientes durante los tratamientos. Vulnera el principio de minimización (Art. 5.1.c RGPD): es un tratamiento desproporcionado para la finalidad de seguridad. La multa quedó en 3.000 € por reconocimiento de responsabilidad y pago voluntario (reducción del 40 %).
Fuente: AEPD, PS/00439/2024 (EXP202305156), https://www.aepd.es/documento/ps-00439-2024.pdf: acuerdo de inicio de 15/11/2024; cámaras en los gabinetes que graban «de modo constante» a los pacientes (hechos probados; la clínica declaró que «las imágenes grabadas no contienen sonido»); por las cámaras en gabinetes, «reducción de un 40% [...] cantidad definitiva de 3.000 euros» (pago del 03/06/2025); por la «captación excesiva de los puestos de trabajo», «reducción de un 20% [...] 2.400 euros»; ambas, infracción del art. 5.1.c RGPD · abierto el 25/09/2026
Decía:En el mismo expediente, la AEPD impuso una segunda sanción de 3.000 € (reducida a 2.400 €) por la captación excesiva de los puestos de trabajo del personal de la clínica. Vigilar a los empleados exige información previa y proporcionalidad (Art. 89 LOPDGDD + Art. 20.3 ET).
Dice: En el mismo expediente (PS/00439/2024), la AEPD impuso otros 3.000 € por captar en exceso los puestos de trabajo del personal (minimización, Art. 5.1.c RGPD), reducidos a 2.400 € por pago voluntario (reducción del 20 %). Vigilar a los empleados exige información previa y proporcionalidad (Art. 89 LOPDGDD + Art. 20.3 ET).
Fuente: AEPD, PS/00439/2024 (EXP202305156), https://www.aepd.es/documento/ps-00439-2024.pdf: acuerdo de inicio de 15/11/2024; cámaras en los gabinetes que graban «de modo constante» a los pacientes (hechos probados; la clínica declaró que «las imágenes grabadas no contienen sonido»); por las cámaras en gabinetes, «reducción de un 40% [...] cantidad definitiva de 3.000 euros» (pago del 03/06/2025); por la «captación excesiva de los puestos de trabajo», «reducción de un 20% [...] 2.400 euros»; ambas, infracción del art. 5.1.c RGPD · abierto el 25/09/2026
Dice: Captación excesiva de los puestos de trabajo (Art. 5.1.c RGPD; marco laboral: Art. 89 LOPDGDD)
Fuente: AEPD, PS/00439/2024 (EXP202305156), https://www.aepd.es/documento/ps-00439-2024.pdf: acuerdo de inicio de 15/11/2024; cámaras en los gabinetes que graban «de modo constante» a los pacientes (hechos probados; la clínica declaró que «las imágenes grabadas no contienen sonido»); por las cámaras en gabinetes, «reducción de un 40% [...] cantidad definitiva de 3.000 euros» (pago del 03/06/2025); por la «captación excesiva de los puestos de trabajo», «reducción de un 20% [...] 2.400 euros»; ambas, infracción del art. 5.1.c RGPD · abierto el 25/09/2026
/sectores/dental · Sanciones documentadas (causa)
Decía:No atender el derecho de acceso a la historia clínica ni el requerimiento de la AEPD
Dice: No cumplir el requerimiento de la AEPD de entregar la historia clínica (art. 37.1.f LOPD 1999)
Fuente: AEPD, PS/00520/2014 (R/00751/2015), https://www.aepd.es/documento/ps-00520-2014.pdf: tras la tutela TD/00894/2013, que instó a entregar la historia «incluyendo las radiografías panorámicas», se impuso «por una infracción del artículo 37.1.f) de la LOPD [...] una multa de 5.000 €» (no atender el requerimiento de la AEPD) · abierto el 25/09/2026
Decía:Clínica dental sancionada con 5.000 € por negarse a entregar a una paciente su historia clínica (incluidas las radiografías panorámicas) tras ejercer el derecho de acceso, y por no atender el requerimiento de la AEPD. Lo último que debe hacer una entidad ante un requerimiento de la AEPD es no responderlo.
Dice: Precedente (PS/00520/2014, resolución de 2015, con la LOPD de 1999, ya derogada): tras ordenar la AEPD a una clínica dental que entregara a una paciente su historia clínica completa, incluidas las radiografías panorámicas, la clínica no cumplió el requerimiento y fue sancionada con 5.000 €. Con el RGPD, no atender el derecho de acceso (arts. 12 y 15 RGPD) y no responder a la AEPD (art. 58.1 RGPD) son infracciones del art. 83.5 RGPD.
Fuente: AEPD, PS/00520/2014 (R/00751/2015), https://www.aepd.es/documento/ps-00520-2014.pdf: tras la tutela TD/00894/2013, que instó a entregar la historia «incluyendo las radiografías panorámicas», se impuso «por una infracción del artículo 37.1.f) de la LOPD [...] una multa de 5.000 €» (no atender el requerimiento de la AEPD) · abierto el 25/09/2026 || AEPD, PS/00520/2014 (R/00751/2015), https://www.aepd.es/documento/ps-00520-2014.pdf; RGPD arts. 12, 15, 58.1 y 83.5 (CELEX 32016R0679) · abierto el 25/09/2026 || AEPD, PS/00520/2014 (R/00751/2015), https://www.aepd.es/documento/ps-00520-2014.pdf; RGPD arts. 12, 15, 58.1 y 83.5 (CELEX 32016R0679) · abierto el 25/09/2026
/sectores/dental · Plantilla de inventario de software (descripción)
Decía:Plantilla de inventario con marcado CE, UDI, versión instalada, fecha de actualización, personal formado y vigilancia post-comercialización.
Dice: Plantilla de inventario con marcado CE, versión instalada, fecha de actualización, personal formado, responsable de vigilancia y registro de incidentes graves notificados a la AEMPS.
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
/sectores/dental · Plantilla de inventario de software (base legal)
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
/sectores/dental · El mercado
Decía:~12.000 clínicas dentales privadas en España · 28.000-30.000 dentistas colegiados activos.
Dice: Unos 43.700 dentistas colegiados en España (INE, 2025).
Fuente: INE, Estadística de Profesionales Sanitarios Colegiados 2025 (nota de prensa de 27/05/2026), https://www.ine.es/dyngs/Prensa/EPSC2025.htm: «Dentistas» 42.860 (2024) y 43.672 (2025). El número de clínicas (~12.000) no se ha podido contrastar con una fuente oficial y se retira · abierto el 25/09/2026
/sectores/dental · Caso «Ejercicio de derecho de acceso del paciente» (el problema)
Decía:Un paciente pide copia de su historia. Si entregas resumen sin radiografías ni ortopantomografías, la AEPD te sanciona por entrega incompleta (cf. PS/00520/2014, 5.000 € por no atender el derecho de acceso).
Dice: Un paciente pide copia de su historia. Si entregas un resumen sin radiografías ni ortopantomografías, no atiendes bien el derecho de acceso y te expones a sanción (cf. PS/00520/2014: 5.000 € a una clínica que no cumplió el requerimiento de la AEPD de entregar la historia completa con las radiografías).
Fuente: AEPD, PS/00520/2014 (R/00751/2015), https://www.aepd.es/documento/ps-00520-2014.pdf: tras la tutela TD/00894/2013, que instó a entregar la historia «incluyendo las radiografías panorámicas», se impuso «por una infracción del artículo 37.1.f) de la LOPD [...] una multa de 5.000 €» (no atender el requerimiento de la AEPD) · abierto el 25/09/2026
/sectores/dental · Caso de software dental (título)
Decía:Software CAD/CAM y planificación de implantes (MDR clase IIa)
Dice: Software CAD/CAM y planificación de implantes (producto sanitario)
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
/sectores/dental · Caso de software dental (sanción típica)
Decía:Variable AEMPS + responsabilidad civil
Dice: Régimen sancionador de productos sanitarios + responsabilidad civil
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
/sectores/dental · Caso de software dental (qué exige la normativa)
Decía:Verificación marcado CE conforme MDR Reg 2017/745 · formación del personal según manual del fabricante · registro UDI del software instalado · vigilancia post-comercialización · notificación de incidentes al fabricante y a AEMPS.
Dice: Comprobar el marcado CE como producto sanitario (Reglamento (UE) 2017/745) · usarlo conforme a sus instrucciones y formar al personal · notificar los incidentes graves a la AEMPS por su sede electrónica (art. 35.2 RD 192/2023) · designar un responsable de vigilancia del centro (art. 35.3) · la vigilancia postcomercialización y las acciones correctivas son del fabricante · si fabricas prótesis a medida en la clínica, licencia previa de funcionamiento (art. 10 RD 192/2023).
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
/sectores/dental · Caso de software dental (el problema)
Decía:El software que usas para planificar implantes y diseñar prótesis CAD/CAM es producto sanitario MDR clase IIa. ¿Verificas el marcado CE? ¿Tienes registrada la formación del personal? ¿Reportas incidentes al fabricante?
Dice: El software que usas para planificar implantes y diseñar prótesis CAD/CAM suele ser producto sanitario: su clase (I, IIa o IIb) la fija el fabricante según su finalidad. ¿Verificas el marcado CE? ¿Tienes registrada la formación del personal? ¿Sabes a quién notificar un incidente grave?
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
/sectores/dental · Caso de software dental (cómo lo resuelve AIM ÆGIS)
Decía:Inventario de software dental con marcado CE · checklist de verificación previo a la compra · registro de formación del personal · workflow de notificación de incidentes (FSCA, MDR Art. 87) · documentación lista para inspección AEMPS.
Dice: Inventario de software dental con marcado CE · checklist de verificación previo a la compra · registro de formación del personal · workflow de notificación de incidentes graves a la AEMPS · designación del responsable de vigilancia.
Fuente: Reglamento (UE) 2017/745 (consolidado 02017R0745-20260719) art. 27.9: los centros sanitarios registran el UDI de los «productos implantables de la clase III»; RD 192/2023, https://www.boe.es/buscar/act.php?id=BOE-A-2023-7416: art. 35.1 (las notificaciones del cap. VII del MDR son de los fabricantes), 35.2 (los profesionales sanitarios notifican los incidentes graves «a la Agencia Española de Medicamentos y Productos Sanitarios, a través de su sede electrónica»), 35.3 (los centros sanitarios «designarán un responsable de vigilancia») y 10.1 (licencia previa para fabricar productos a medida) · abierto el 25/09/2026
Decía:Subcontratar a un freelance o a otra firma sin autorización del cliente y sin contrato en cadena incumple el Art. 28.4: la confidencialidad prometida al cliente se rompe aguas abajo.
Dice: Subcontratar a un freelance o a otra firma sin autorización del cliente y sin contrato en cadena incumple el Art. 28.2 (autorización previa y por escrito del cliente) y el 28.4 (contrato con el subencargado): la confidencialidad prometida al cliente se rompe aguas abajo.
Fuente: RGPD (CELEX 32016R0679) art. 28.2: «El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable»; art. 28.4: se impondrán al otro encargado «las mismas obligaciones de protección de datos» y «el encargado inicial seguirá siendo plenamente responsable» · abierto el 25/09/2026
Decía:Tratar datos de clientes sin contrato de encargo del Art. 28 expone directamente al encargado: desde 2018 el prestador responde por sí mismo, no solo el responsable que le contrata.
Dice: Si tratas datos de tus clientes sin contrato de encargo del Art. 28, tú mismo, como encargado, puedes ser sancionado: el RGPD te impone obligaciones propias (arts. 28 a 33) y multas de hasta 10 M€ o el 2 % de la facturación (art. 83.4), además de las del cliente responsable.
Fuente: RGPD (CELEX 32016R0679) art. 83.4.a: multas de «10 000 000 EUR como máximo» o «2 %» por «las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43»; la LOPD de 1999 (art. 43.1, BOE-A-1999-23750) ya sometía a «los encargados de los tratamientos» al régimen sancionador · abierto el 25/09/2026
Decía:Subencargado sin autorización ni contrato (Art. 28.4 RGPD)
Dice: Subencargado sin autorización ni contrato (Art. 28.2 y 28.4 RGPD)
Fuente: RGPD (CELEX 32016R0679) art. 28.2: «El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable»; art. 28.4: se impondrán al otro encargado «las mismas obligaciones de protección de datos» y «el encargado inicial seguirá siendo plenamente responsable» · abierto el 25/09/2026
/sectores/consultoria · Caso «Subcontratas a un freelance para un proyecto» (qué exige la normativa)
Decía:Art. 28.4 RGPD: autorización del responsable y contrato espejo con el subencargado.
Dice: Autorización previa y por escrito del cliente, específica o general (Art. 28.2 RGPD), y contrato con el subencargado que le imponga las mismas obligaciones de protección de datos que tú tienes con el cliente (Art. 28.4). Si el subencargado incumple, respondes tú ante el cliente.
Fuente: RGPD (CELEX 32016R0679) art. 28.2: «El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable»; art. 28.4: se impondrán al otro encargado «las mismas obligaciones de protección de datos» y «el encargado inicial seguirá siendo plenamente responsable» · abierto el 25/09/2026
Decía:Campañas a leads y antiguos clientes sin consentimiento, o cesión a aseguradoras, vulneran el Art. 21 LSSI-CE.
Dice: Enviar campañas por email o SMS a leads o antiguos clientes sin consentimiento previo, fuera de la excepción de clientes con productos similares, vulnera el Art. 21 LSSI-CE. Ceder sus datos a aseguradoras u otras entidades sin base jurídica ni información previa vulnera el RGPD (Arts. 6 y 13-14).
Fuente: LSSI art. 21.1 y 21.2, https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758#a21: prohibidas las comunicaciones comerciales electrónicas «que previamente no hubieran sido solicitadas o expresamente autorizadas», salvo relación contractual previa y productos «similares»; la cesión de datos a terceros se rige por el RGPD (arts. 6 y 13-14, CELEX 32016R0679) · abierto el 25/09/2026
Decía:Administraciones públicas: la AEPD no impone multa económica, sino apercibimiento (Art. 77 LOPDGDD)
Dice: Administraciones públicas: la AEPD no les impone multas (art. 77 LOPDGDD)
Fuente: LOPDGDD art. 77.2 (redacción de la Ley 11/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» (multa); art. 64.3: la AEPD «podrá dirigir un apercibimiento, así como ordenar [...] las medidas correctivas»; art. 77.3 (actuaciones disciplinarias) y 77.6 (publicación «con expresa indicación de la identidad») · abierto el 25/09/2026
Decía:Apercibimiento + declaración pública de la infracción + obligación de medidas correctoras
Dice: Según el caso: apercibimiento con medidas correctoras (art. 64.3 LOPDGDD) o resolución que declara la infracción y ordena las medidas necesarias (art. 77.2 LOPDGDD). Se publican con el nombre de la entidad y pueden dar lugar a actuaciones disciplinarias.
Fuente: LOPDGDD art. 77.2 (redacción de la Ley 11/2023), https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a77: la autoridad «dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar [...] con excepción de la prevista en el artículo 58.2.i» (multa); art. 64.3: la AEPD «podrá dirigir un apercibimiento, así como ordenar [...] las medidas correctivas»; art. 77.3 (actuaciones disciplinarias) y 77.6 (publicación «con expresa indicación de la identidad») · abierto el 25/09/2026
Fuente: AEPD, resolución de procedimiento sancionador PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD»; el Ayuntamiento no contestó a los requerimientos sobre las cámaras de un comercio. PA/00024/2024 (el enlace que se daba) es un apercibimiento a la titular de un bar de Badalona · abierto el 25/09/2026
Decía:Apercibimiento al Ayuntamiento de El Puerto de Santa María en relación con videovigilancia y por obstaculizar la potestad de investigación de la AEPD. Resolución pública en aepd.es/documento/pa-00024-2024.pdf. Las administraciones reciben apercibimiento, no multa.
Dice: La AEPD declaró que el Ayuntamiento de El Puerto de Santa María infringió el art. 58.1 RGPD: no contestó a sus requerimientos de información sobre las cámaras de un comercio de la localidad (PS/00181/2024, expediente EXP202405368). Como es una administración, no hubo multa. Lección: los requerimientos de la AEPD se contestan en plazo y por completo. Resolución pública en aepd.es/documento/ps-00181-2024.pdf.
Fuente: AEPD, resolución de procedimiento sancionador PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD»; el Ayuntamiento no contestó a los requerimientos sobre las cámaras de un comercio. PA/00024/2024 (el enlace que se daba) es un apercibimiento a la titular de un bar de Badalona · abierto el 25/09/2026 · Nota: no se publica la fecha «13/02/2025» de la corrección propuesta porque no figura en el PDF oficial (PS/00181/2024); se cita el número de procedimiento, que sí es oficial.
Decía:Videovigilancia + falta de cooperación con la autoridad de control (Art. 13 + Art. 31 RGPD)
Dice: No atender los requerimientos de información de la AEPD (Art. 58.1 RGPD)
Fuente: AEPD, resolución de procedimiento sancionador PS/00181/2024 (EXP202405368), https://www.aepd.es/documento/ps-00181-2024.pdf: «DECLARAR que el AYUNTAMIENTO DE EL PUERTO DE SANTA MARÍA [...] ha infringido lo dispuesto en el Artículo 58.1 del RGPD»; el Ayuntamiento no contestó a los requerimientos sobre las cámaras de un comercio. PA/00024/2024 (el enlace que se daba) es un apercibimiento a la titular de un bar de Badalona · abierto el 25/09/2026
Decía:Workflow desde detección hasta cierre. Doble notificación AEPD (Sede Electrónica) + INCIBE-CERT/CCN-CERT. Coordinación con Diputación/Mancomunidad. Comunicación a ciudadanos. Registro Art. 33.5.
Dice: Workflow desde detección hasta cierre. Doble notificación: AEPD o autoridad autonómica (datos personales) y CCN-CERT (ENS). Coordinación con Diputación/Mancomunidad. Comunicación a ciudadanos. Registro Art. 33.5.
Fuente: RD 311/2022 art. 33.2, https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191#a33: «las entidades del sector público notificarán al CCN aquellos incidentes que tengan un impacto significativo»; el art. 33.7 reserva INCIBE-CERT a las organizaciones del sector privado; RGPD art. 33 (72 horas); Directiva (UE) 2022/2555 (NIS2) sin norma de transposición publicada en el BOE a 25/09/2026 (acta de la revisión 3.5, punto 4) · abierto el 25/09/2026
Fuente: RD 311/2022 art. 33.2, https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191#a33: «las entidades del sector público notificarán al CCN aquellos incidentes que tengan un impacto significativo»; el art. 33.7 reserva INCIBE-CERT a las organizaciones del sector privado; RGPD art. 33 (72 horas); Directiva (UE) 2022/2555 (NIS2) sin norma de transposición publicada en el BOE a 25/09/2026 (acta de la revisión 3.5, punto 4) · abierto el 25/09/2026
/sectores/ayuntamientos · Plantilla «Designación efectiva del Delegado de Protección de Datos» (descripción)
Decía:Plantillas de designación interna, externalizada y compartida vía Diputación/Mancomunidad. Funciones Art. 39 RGPD. Comunicación a AEPD vía Sede Electrónica y publicación en portal.
Dice: Plantillas de designación interna, externalizada y compartida vía Diputación/Mancomunidad. Funciones Art. 39 RGPD. Comunicación en 10 días a la AEPD o a la autoridad autonómica competente (art. 34.3 LOPDGDD) y publicación en el portal.
Fuente: RGPD art. 37.1.a (CELEX 32016R0679): se designará DPD siempre que «el tratamiento lo lleve a cabo una autoridad u organismo público»; LOPDGDD art. 34.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a34: comunicarán «en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas» las designaciones, nombramientos y ceses; el art. 34.1.b se refiere a centros docentes y universidades · abierto el 25/09/2026
/sectores/ayuntamientos · Plantilla «Designación efectiva del Delegado de Protección de Datos» (base legal)
Fuente: RGPD art. 37.1.a (CELEX 32016R0679): se designará DPD siempre que «el tratamiento lo lleve a cabo una autoridad u organismo público»; LOPDGDD art. 34.3, https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673#a34: comunicarán «en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas» las designaciones, nombramientos y ceses; el art. 34.1.b se refiere a centros docentes y universidades · abierto el 25/09/2026