Tu asesoría, responsable y encargada: qué te exige cada papel.

Un proveedor de SAREB que trataba datos por su cuenta (Stratesys, su encargado del tratamiento) sufrió un ciberataque en 2023 y se sustrajeron datos de los que SAREB era responsable. La AEPD imputó a SAREB dos infracciones: 250.000 € por no garantizar la seguridad de los datos (art. 5.1.f RGPD), porque el contrato de encargo enumeraba objetivos y no medidas concretas, no dio instrucciones al proveedor y no comprobó que las cumpliera (el contrato preveía auditorías, pero no acreditó ninguna); y 50.000 € por el art. 28 RGPD, porque el contrato no fijaba cuánto tiempo conservaba el encargado los datos: un contrato de encargo no puede limitarse a reproducir el art. 28. De 300.000 €, SAREB pagó 180.000 € el 30/07/2025 con las reducciones por reconocer su responsabilidad y pagar voluntariamente.

CausaContrato de encargo sin medidas concretas, sin supervisión del encargado y sin plazo de conservación (arts. 5.1.f y 28 RGPD)

La AEPD sancionó a un encargado (Gesterpool, que hacía venta telefónica para Naturgy) con 10.000 € por subcontratar el servicio sin autorización del responsable (art. 28 RGPD) y con otros 5.000 € por no colaborar con la investigación de la AEPD (art. 58.1): 15.000 € en total (PS/00668/2022). El responsable revocó todos los accesos y puso fin a la relación.

CausaSubencargo no autorizado (Art. 28.2) · típico del software cloud sin permiso del cliente

Una gestoría (Muñoz y Corrales Asesores, S.L.) escribió por correo postal a la hija de un fallecido para ofrecerle sus servicios de trámites tras la defunción, y adjuntó el certificado de defunción de su padre, obtenido del Registro Civil sin su consentimiento. La AEPD le impuso 1.000 € por tratar sus datos sin base jurídica (art. 6.1 RGPD) y otros 1.000 € por no informarle del tratamiento de unos datos que no le había pedido a ella (art. 14 RGPD). La AEPD recuerda que las «fuentes de acceso público» no son, en el RGPD, una base jurídica para tratar datos.

CausaCaptación de clientes con datos obtenidos del Registro Civil, sin base jurídica ni información (arts. 6.1 y 14 RGPD)

Quien había contratado los servicios fiscales de un asesor (a través de Abacosur Asesoría) para resolver una reclamación de la Agencia Tributaria pidió el justificante de lo presentado, y recibió el de otro cliente, con sus datos. La AEPD impuso al asesor 2.000 € por la falta de confidencialidad (art. 5.1.f RGPD) y 1.000 € por no tener medidas de seguridad adecuadas (art. 32), y le requirió medidas para que no se repitiera.

CausaJustificante fiscal de un cliente entregado a otro (arts. 5.1.f y 32 RGPD)

Una clienta que tenía contratada la asesoría fiscal con Avalos Consultores, S.L. recibió en 2020 una factura de otra gestoría con los datos que había dado en 2017 a la primera, sin haber autorizado ese traspaso ni haber sido informada. La AEPD impuso 4.000 € a Avalos Consultores por comunicar sus datos a un tercero sin base jurídica (art. 6 RGPD). Pasar los datos de un cliente a otra asesoría necesita una base jurídica y que el cliente lo sepa.

CausaDatos de una clienta cedidos a otra gestoría sin base jurídica (art. 6 RGPD)

Para hacer la declaración de la renta de una clienta, la gestoría Inmarán Asesores, S.L. recibió por correo su DNI, su declaración anterior y su contrato de alquiler; la única información que le dio fue una leyenda al pie de sus correos que hablaba de «gestionar las comunicaciones». La AEPD le impuso 2.000 € por no informar como exige el art. 13 RGPD de para qué trataba esos datos, y le ordenó corregirlo en un mes.

CausaDocumentación fiscal de una clienta tratada sin informarle de la finalidad (art. 13 RGPD)