Memoria AEPD 2025: qué dicen 30.931 reclamaciones sobre dónde falla tu empresa

El pasado 6 de mayo la Agencia Española de Protección de Datos publicó su Memoria Anual 2025, y el titular que circuló por todas partes fue el más obvio: más de 30.000 reclamaciones, un 64 % más que el año anterior. Es una cifra impresionante, pero por sí sola no le dice nada útil a un gerente de pyme. Que haya más reclamaciones puede significar muchas cosas: más concienciación ciudadana, más facilidad para reclamar online, o más empresas metiendo la pata.

Lo interesante está en el desglose. Cuando cruzas el importe sancionado con las causas y los sectores, el informe deja de ser un anuario burocrático y se convierte en un mapa bastante preciso de dónde se están equivocando de verdad las empresas españolas. Y el sitio no es el que la mayoría cree. Todos los datos que siguen proceden de la nota de prensa oficial de la AEPD sobre la Memoria Anual 2025.

Las cifras de 2025, sin adornos

Traducido: la Agencia abrió 32.063 casos nuevos en un año. Son unas 85 reclamaciones al día, fines de semana incluidos. Ninguna organización con ese volumen de entrada puede permitirse investigar todo con la misma profundidad, así que prioriza. Y el importe sancionado nos dice qué prioriza.

El titular no es el +64 %: es el +229 % en brechas de datos

De los 48.108.765 € sancionados en 2025, 19.836.603 € corresponden a brechas de datos: más del 40 % del importe total, repartido en solo 46 expedientes, y con un crecimiento del 229 % respecto al año anterior.

Merece la pena releerlo despacio. Cuatro de cada diez euros de multa salieron de 46 procedimientos. La media aritmética supera los 430.000 € por expediente —conviene leerla con cautela, porque unas pocas sanciones grandes tiran de la media—, pero el orden de magnitud es inequívoco: los expedientes por brechas son pocos y caros, mientras que el grueso de las reclamaciones son muchas y baratas.

Esto encaja con cómo funciona el régimen sancionador del RGPD. Las infracciones de seguridad (art. 32) y de notificación de brechas (art. 33) caen en el tramo del art. 83.4: hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial. Pero si el incidente revela además una vulneración del principio de integridad y confidencialidad del art. 5.1.f, el expediente sube al tramo del art. 83.5: hasta 20 millones o el 4 %. Una misma brecha puede instruirse por una vía o por las dos, y la diferencia es un factor dos en el techo de la sanción.

Dónde se concentran los expedientes: la foto por sectores

La Memoria desglosa los expedientes sancionadores resueltos por sector de actividad:

Ojo a la lectura: este desglose cuenta expedientes resueltos por sector, mientras que los 46 expedientes por brechas son un corte distinto —por causa, no por sector—. Cada tabla responde a una pregunta diferente: una dice a quién se sanciona, la otra por qué se paga más.

Videovigilancia y servicios de Internet: el suelo estructural

Los dos sectores que más expedientes acumulan son los mismos de siempre, y ambos bajan ligeramente. Es un suelo estructural: cualquier vecino, cliente o empleado puede ver una cámara y preguntarse qué graba. Los tres fallos que la AEPD encuentra una y otra vez son de manual:

• Cartel informativo ausente o incompleto. El art. 22.4 de la LOPDGDD exige un dispositivo informativo en zona visible que identifique el tratamiento, al responsable y dónde ejercer los derechos.
• Captación de vía pública o de espacios ajenos más allá de lo imprescindible para la finalidad de seguridad.
• Conservación indefinida de las grabaciones. El plazo máximo es de un mes desde la captación, salvo que deban conservarse para acreditar hechos que atenten contra personas, bienes o instalaciones (art. 22.3 LOPDGDD).

Si además enfocan puestos de trabajo, entra el art. 89 LOPDGDD: hay que informar previamente a la plantilla y a sus representantes, y las zonas de descanso están vetadas sin excepción.

Sanidad: la subida más brusca del informe

34 expedientes, un +278 %. Es el mayor incremento de todo el desglose sectorial. Parte de una base pequeña —un +278 % implica multiplicar por casi cuatro—, pero el motivo de fondo es estructural: los datos de salud son categorías especiales del art. 9 RGPD, así que casi cualquier incidente que los afecte se considera de alto riesgo por defecto.

En una clínica, una residencia o un laboratorio los puntos de fallo son siempre los mismos: historiales accesibles por todo el personal sin perfiles diferenciados, informes enviados por correo sin cifrar o al destinatario equivocado, software de gestión clínica alojado fuera de la UE sin analizar la transferencia internacional, y copias de seguridad sin cifrar en discos externos o en la nube personal de alguien.

Si tratas datos de salud y estás valorando incorporar IA al flujo de trabajo —transcripción de consultas, resúmenes de historia clínica—, ese análisis hay que hacerlo antes de conectar nada: en cómo desplegar IA sin enviar datos fuera de la UE desarrollamos la arquitectura on-premise que resuelve buena parte del problema de raíz.

Comercio, transporte y hostelería: +54 %

41 expedientes y un crecimiento del 54 % en el sector que más pymes concentra en España. Aquí no hay departamento de compliance: hay un TPV, una lista de correo, un sistema de reservas, un WhatsApp de empresa y una cámara en la puerta. Los patrones se repiten:

• Listas de correo heredadas sin prueba de consentimiento ni registro de cuándo y cómo se obtuvo.
• Sistemas de reserva y fidelización SaaS contratados sin contrato de encargado de tratamiento.
• Datos de clientes en el móvil personal del encargado de turno, fuera de cualquier control.
• Cesión de datos a terceros —plataformas de reparto, agencias de marketing— sin base jurídica documentada.

Qué es una brecha de datos y cuándo hay que notificarla

Una violación de la seguridad de los datos personales no es solo "nos han hackeado". El RGPD la define como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos. Eso incluye:

• Un ransomware que cifra el servidor de ficheros (pérdida de disponibilidad, aunque nadie se lleve nada).
• Un portátil o un pendrive sin cifrar extraviado en un taxi.
• Un correo masivo con los destinatarios en el campo "Para" en lugar de en copia oculta.
• Un empleado que consulta expedientes por curiosidad, sin necesidad para su puesto.
• Una carpeta compartida en la nube expuesta públicamente por error de configuración.
• Un borrado accidental sin copia de seguridad recuperable.

Los cuatro últimos son los que más se pasan por alto, porque no "parecen" incidentes de seguridad. Lo son.

El plazo de 72 horas del art. 33 empieza antes de lo que crees

El art. 33.1 RGPD obliga a notificar a la autoridad de control sin dilación indebida y, a más tardar, 72 horas después de que se haya tenido constancia de la brecha. Si se notifica más tarde, hay que justificar el retraso. La única excepción es que sea improbable que suponga un riesgo para los derechos y libertades de las personas, y esa valoración hay que documentarla igualmente. Tres confusiones que cuestan caro:

1. "Constancia" no es "informe forense cerrado". El reloj arranca cuando hay certeza razonable de que ha ocurrido un incidente que afecta a datos personales, no cuando termina la investigación. El RGPD permite explícitamente la notificación por fases (art. 33.4): notificas lo que sabes y lo completas después.
2. Las 72 horas son naturales, no laborables. Una brecha detectada un viernes por la tarde vence el lunes por la mañana. Si tu plan depende de que alguien concreto esté en la oficina, no es un plan.
3. Notificar a la AEPD y comunicar a los afectados son obligaciones distintas. La segunda (art. 34) solo aplica cuando la brecha entraña alto riesgo, y ahí no hay plazo tasado en horas: es "sin dilación indebida".

El artículo que casi nadie aplica: el registro de brechas

El art. 33.5 RGPD obliga a documentar todas las violaciones de seguridad, incluidas las que se decida no notificar: los hechos, sus efectos y las medidas correctivas adoptadas. Ese registro es lo que la Agencia pide para verificar que la decisión de no notificar fue razonada y no negligente. Una empresa que dice "nunca hemos tenido una brecha" y no tiene registro está diciendo, en la práctica, "no sabemos si hemos tenido brechas". Son cosas muy distintas ante un expediente.

Las cinco medidas que separan una brecha gestionada de una sancionada

Las cifras de 2025 apuntan a cinco frentes. Ninguno es exótico ni caro; todos requieren decisión y constancia.

1. Registro de actividades de tratamiento (art. 30)

Es el documento del que cuelga todo lo demás: qué datos tratas, con qué finalidad, con qué base jurídica, quién accede, cuánto tiempo los conservas, a quién se los cedes y con qué medidas de seguridad.

Muchas pymes creen estar exentas porque tienen menos de 250 empleados. Casi nunca es cierto. El art. 30.5 mantiene la obligación si el tratamiento entraña un riesgo para los derechos de los interesados, si no es ocasional, o si incluye categorías especiales de datos. Una nómina mensual, una cartera de clientes o un sistema de reservas no son tratamientos ocasionales. En la práctica, casi ninguna empresa con empleados o clientes recurrentes queda fuera.

Sin este registro es imposible cumplir el plazo de 72 horas, porque en plena crisis nadie sabrá qué datos había exactamente en el sistema comprometido ni a cuántas personas afectan.

2. Cifrado y seudonimización (art. 32)

El art. 32 cita expresamente la seudonimización y el cifrado como medidas apropiadas, junto a la capacidad de restaurar el acceso rápidamente tras un incidente y un proceso de evaluación regular de su eficacia.

Pero el argumento definitivo está en el art. 34.3.a: si los datos afectados estaban protegidos con medidas que los hacen ininteligibles para quien no está autorizado —el RGPD menciona el cifrado por su nombre—, no es necesario comunicar la brecha a los afectados.

Traducido a consecuencias reales: un portátil corporativo robado con el disco cifrado es un problema de inventario. El mismo portátil sin cifrar es una brecha notificable, una comunicación a cientos o miles de personas y, con toda probabilidad, un expediente. Activar el cifrado de disco cuesta cero en cualquier sistema operativo moderno.

Mínimos exigibles: cifrado de disco en portátiles y móviles corporativos, TLS en todo tránsito, copias de seguridad cifradas y verificadas con restauraciones de prueba —una copia que nunca se ha restaurado no es una copia— y columnas sensibles cifradas o seudonimizadas en base de datos.

3. Control de accesos y trazabilidad

El acceso indebido por parte de personal interno es una de las brechas más frecuentes y de las más difíciles de negar ante la Agencia, porque queda registrado. O debería. Tres reglas mínimas:

• Mínimo privilegio. Cada persona accede solo a lo que su puesto exige. Que "siempre haya sido así" no es una base jurídica.
• Registro de accesos a datos sensibles, con retención suficiente para investigar y capacidad real de consultarlo. Un log que nadie mira solo sirve para probar en contra.
• Baja inmediata al cese. Las cuentas activas de ex-empleados aparecen en una proporción alarmante de auditorías.

4. Un procedimiento de notificación ensayado

Tener el procedimiento escrito no basta; hay que haberlo ejecutado en seco al menos una vez. Cabe en una página:

• Quién decide. Una persona responsable y un suplente, con teléfono, disponibles fuera de horario.
• Cómo se reporta. Un canal único para que cualquier empleado avise en minutos, sin miedo a represalias. Quien oculta un error por temor a la bronca convierte una incidencia en una sanción.
• Qué se evalúa. Datos afectados, número aproximado de personas, categorías, riesgo y medidas de contención. Con el registro del art. 30 al lado, esto son minutos; sin él, son días.
• Cómo se documenta. Registro de brechas del art. 33.5, se notifique o no.

5. Contratos de encargado de tratamiento (art. 28)

Toda empresa que trate datos personales en tu nombre es un encargado del tratamiento, y con cada una hace falta un contrato con el contenido mínimo del art. 28.3: instrucciones documentadas, confidencialidad, medidas del art. 32, subencargados con autorización previa, asistencia en brechas y derechos, supresión o devolución de los datos al terminar y acceso a la información que demuestre el cumplimiento.

La lista de una pyme típica es más larga de lo que parece: hosting, ERP o CRM en la nube, gestoría laboral, plataforma de email marketing, sistema de reservas, firma electrónica, copias de seguridad, soporte informático y, cada vez más, cualquier API de IA a la que se envíen datos de clientes.

Ese último punto es el que más rápido crece y el que menos gente contempla. Si envías transcripciones, correos o expedientes a un modelo de lenguaje de un tercero, ese proveedor es un encargado de tratamiento: contrato, análisis de transferencia internacional si está fuera del EEE y constancia de qué hace con los datos. Antes de contratar un SaaS con IA embebida merece la pena revisar el árbol de decisión entre software a medida, SaaS y low-code, porque la respuesta depende tanto del control sobre el dato como del precio de la licencia.

126.176 delegados de protección de datos: el dato que casi nadie mira

La Memoria recoge 126.176 delegados de protección de datos registrados ante la AEPD, cifra que desmonta un malentendido frecuente: el DPD no es una figura de grandes corporaciones. Designarlo es obligatorio en los supuestos del art. 37 RGPD y en la lista tasada del art. 34 de la LOPDGDD —centros sanitarios obligados a conservar historias clínicas, centros docentes, aseguradoras, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, entidades de crédito o empresas de seguridad privada—, y muchas pymes están dentro sin saberlo.

Dos matices que se olvidan: el DPD puede ser externo, no hace falta contratar a nadie en plantilla; y la designación debe comunicarse a la AEPD en diez días (art. 34.3 LOPDGDD), igual que los ceses. Un DPD designado internamente pero nunca comunicado es, a efectos de un expediente, un DPD que no existe.

Recurrir no es un plan

De las 38 resoluciones dictadas por la Audiencia Nacional recogidas en la Memoria, el 76 % fueron favorables a la AEPD. Eso cambia el cálculo de "ya recurriremos si nos sancionan": recurrir cuesta dinero, tarda años y sale mal tres de cada cuatro veces. La partida se juega antes, en si existía el registro de actividades, si el disco estaba cifrado, si se notificó dentro de plazo y si hay documentación que lo acredite. Un expediente se gana con los papeles que ya tenías, no con los que redactes después.

Si tienes clientes o filiales en otros países de la UE

Los 1.118 asuntos transfronterizos (+36 %) y, sobre todo, los 47 casos en los que la AEPD actuó como autoridad líder (+114 %, más del doble que el año anterior) confirman que la ventanilla única del RGPD está plenamente activa. Si tu establecimiento principal está en España, la AEPD es tu autoridad principal y coordina la investigación con el resto: una reclamación presentada en Alemania, Francia o Portugal por un tratamiento tuyo acaba llegando aquí. No hay refugio jurisdiccional, y la documentación tiene que resistir la revisión de varias autoridades a la vez.

Plan de 90 días

Este es el orden en que lo abordamos con clientes, priorizado por relación entre riesgo evitado y esfuerzo.

Días 1-30. Saber qué tienes. Inventario de tratamientos y actualización del registro del art. 30. Inventario de encargados, comprobando cuáles tienen contrato firmado con el contenido del art. 28.3. Inventario de dispositivos y de cuáles tienen cifrado de disco activo.

Días 31-60. Cerrar los huecos baratos. Activar cifrado en todos los equipos y copias. Recortar permisos siguiendo mínimo privilegio. Cerrar cuentas de ex-empleados. Firmar los contratos de encargado que falten, exigiendo un plazo de aviso de brecha muy inferior a 72 horas. Verificar la restauración real de una copia de seguridad.

Días 61-90. Prepararse para el mal día. Redactar el procedimiento de respuesta a brechas con responsables, canal de aviso y plantillas. Crear el registro del art. 33.5. Hacer un simulacro con cronómetro y comprobar si se llega a una notificación coherente en menos de 72 horas. Confirmar si te corresponde designar DPD y, si ya lo tienes, si está comunicado a la AEPD.

Lo que las cifras de 2025 realmente enseñan

El +64 % en reclamaciones es la noticia; el +229 % en sanciones por brechas es la lección. La AEPD recibe más casos que nunca y concentra el músculo sancionador en la seguridad del dato y en la respuesta al incidente, no en el detalle formal del aviso de privacidad.

Para una pyme española eso es, paradójicamente, una buena noticia: las medidas que más pesan —cifrado, control de accesos, un registro decente y un procedimiento ensayado— son técnicas, verificables y están al alcance de cualquier empresa que decida dedicarles un trimestre. No dependen de un despacho caro; dependen de hacerlas.

Y conviene no perder de vista el calendario: el AI Act empieza a aplicar sus obligaciones generales el 2 de agosto de 2026, y buena parte de la documentación que exige —inventario de sistemas, gobernanza de datos, trazabilidad, logs— se solapa con la que ya obliga a mantener el RGPD. Quien ordene ahora sus tratamientos llega a agosto con la mitad del trabajo hecho; puedes comprobar qué te aplica con nuestra checklist del AI Act europeo.

Aviso legal: este artículo es informativo y refleja los datos publicados por la AEPD en su Memoria Anual 2025. No sustituye al asesoramiento jurídico personalizado ni a la valoración de un delegado de protección de datos sobre un caso concreto.

¿Necesita ayuda con la parte técnica?

En Lin-ia trabajamos el lado de ingeniería del cumplimiento: inventario técnico de tratamientos y flujos de datos, cifrado y copias verificadas, control de accesos y trazabilidad en las aplicaciones a medida que desarrollamos, y arquitecturas de IA que mantienen el dato dentro de la UE. No hacemos asesoría jurídica: ayudamos a que la infraestructura sostenga lo que tu asesor o tu DPD te exige documentar. Si quieres una revisión honesta de por dónde se te escapan los datos, escríbenos a info@lin-ia.es.

Lecturas relacionadas: IA on-premise sin enviar datos fuera de la UE, checklist del AI Act europeo y automatizaciones con IA para asesorías y despachos.