Al pensar en las sanciones de la Agencia Española de Protección de Datos (AEPD), muchas veces imaginamos multas a gigantes tecnológicos o a importantes entidades financieras. Sin embargo, cada año las resoluciones de la agencia muestran que no solo las grandes empresas reciben sanciones importantes, sino que también hay casos con los que cualquier pyme o autónomo se podría encontrar en su día a día si no cumple con la normativa.
En este artículo vamos a hacer un recorrido por algunas de las sanciones más relevantes de 2025, para extraer de ellas las lecciones que cualquier organización debería aplicar si quiere cumplir la ley.
Las 5 sanciones más cuantiosas de 2025
1. Aena: 10 millones de euros
Una de las sanciones más importantes de 2025 fue la de AENA, el gestor aeroportuario español, que recibió una multa de 10.043.002 euros por desplegar sistemas de reconocimiento facial en varios aeropuertos sin contar con una Evaluación de Impacto en Protección de Datos (EIPD) válida, como exige el RGPD para tratamientos de datos sensibles (categoría especial).
Lección clave: el uso de datos biométricos requiere un análisis riguroso previo (EIPD) cuando hay riesgo elevado para los derechos fundamentales.
2. Generali: 5 millones de euros
La siguiente sanción que vamos a comentar fue impuesta a la aseguradora Generali, que recibió una multa de 5.000.000 euros por una fuga de datos masiva vinculada a fallos en las medidas de seguridad y en la protección de datos personales de clientes y exclientes.
El caso ilustra cómo una brecha en sistemas críticos, sobre todo cuando se maneja información sensible, puede terminar en una sanción de gran cuantía.
Lección clave: medidas preventivas como el cifrado, el acceso restringido y las auditorías periódicas son fundamentales.
3. Sprinter Megacentros del Deporte: 1,5 millones de euros
La cadena deportiva Sprinter fue sancionada con 1.560.000 euros por infracciones en el tratamiento de datos personales, en particular vinculadas a procesos de captación y uso de datos de clientes sin las debidas garantías de transparencia y legitimación del tratamiento.
Lección clave: incluso en actividades cotidianas como la gestión de clientes o programas de fidelización, hay que mantener criterios claros de información, consentimiento o base legal.
4. Orange: 1,2 millones de euros
En 2025, Orange fue sancionada con 1.200.000 euros por tratar datos personales más allá de lo que correspondía a la finalidad originalmente informada y sin garantías suficientes de transparencia y licitud.
Lección clave: los cambios de propósito requieren reevaluación de la base legal y nueva información al interesado.
5. LaLiga: 1 millón de euros
La Liga de Fútbol Profesional recibió una sanción de 1.000.000 euros por el uso de tecnologías de reconocimiento biométrico sin cumplir con los requisitos exigidos por la normativa, como la realización de una EIPD ajustada a los riesgos.
Lección clave: antes de implantar este tipo de tecnologías, es imprescindible realizar una EIPD y contar con garantías adicionales.
Sanciones de 2025 que afectan especialmente a las pymes
Más allá de las grandes cifras, en 2025 también hemos visto muchas sanciones derivadas de errores que pueden ocurrir fácilmente en organizaciones pequeñas, si no se gestionan bien los datos en el día a día.
A continuación, te mostramos las causas más representativas de sanciones en pymes este 2025:
– Multa a un restaurante por incluir un número personal en un grupo de WhatsApp sin consentimiento
El local incluyó el número de teléfono personal de un trabajador en un grupo de WhatsApp sin contar con una base legal válida ni el consentimiento del afectado.
Según la resolución, la empresa utilizó un grupo de mensajería instantánea como canal de comunicación laboral, incorporando el teléfono personal del empleado sin ofrecer una alternativa ni informar adecuadamente sobre el tratamiento de sus datos.
Aunque la sanción económica fue reducida (500 euros), la Agencia deja claro que el uso de herramientas habituales como WhatsApp no queda fuera del ámbito del RGPD, y que el hecho de tratarse de una empresa pequeña o de un uso “práctico” no exime del cumplimiento de la normativa.
Lección clave: las herramientas informales también implican tratamiento de datos personales y deben cumplir el RGPD, especialmente en entornos laborales y en pymes.
– 5.000 euros por exigir un “selfie” con DNI sin justificación legal
La multa, de 5.000 euros, se dirigió a una empresa de alojamientos turísticos que pidió a un cliente que enviara una fotografía tipo “selfie” junto con su DNI como condición para completar el registro en la reserva.
La AEPD verificó que no existía base legal que amparara la recogida de esta información sensible, y que la medida excedía notablemente la información exigida por la normativa aplicable (como el Real Decreto 933/2021 sobre registro de viajeros). En consecuencia, sancionó a la empresa con una multa de 5.000 euros.
Lección clave: solicitar más datos de los necesarios puede constituir una violación del principio de minimización de datos del RGPD y no debe estar simplemente fundada en procedimientos internos o prácticos.
– Ejemplo extra: cómo los protocolos internos y los acuerdos contractuales pueden evitar sanciones
Como nota positiva, destacamos aquí la adecuada actuación de una pyme, que le llevó a evitar una multa por parte de la AEPD. El caso se inicia a partir de la reclamación interpuesta por parte de un cliente de una empresa de mensajería, que indicaba que se había entregado a un tercero no autorizado un paquete a su nombre en el que figuraban sus datos personales.
Sin embargo, la agencia concluyó en su resolución que, aunque hubo exposición de datos, esta no se le podía imputar a la empresa porque contaba con protocolos contractuales y medidas organizativas dirigidas a evitar este tipo de hechos. Por tanto, la decisión del repartidor se valoró como una actuación aislada ajena a un fallo de la empresa.
Lección clave: la existencia de protocolos internos y acuerdos contractuales puede ser un factor clave para evitar sanciones, siempre que queden acreditados y se demuestre que cumplen con las obligaciones del responsable del tratamiento.
Conclusiones prácticas de las sanciones de la AEPD en 2025
A partir de estas sanciones reales publicadas en 2025, desde APDTIC extraemos varias conclusiones que creemos que son muy útiles para cualquier empresa, especialmente para las pymes:
- No es necesario ser una multinacional para estar en riesgo.
- La base legal y la transparencia no son opcionales.
- Las consecuencias técnicas y legales van de la mano.
- Los datos sensibles necesitan una protección reforzada.
- La prevención es siempre más eficiente (y barata) que la reacción.
