La publicación de la memoria de actuación 2025 de la Agencia Española de Protección de Datos confirma una realidad que desde hace meses ya percibimos los profesionales del sector: la protección de datos ha dejado de ser una cuestión meramente documental para convertirse en un auténtico elemento estratégico de gestión empresarial, reputacional y tecnológica.
Pero hay una cifra que resume perfectamente el escenario actual: 30.931 reclamaciones presentadas durante 2025. Un incremento del 64 % respecto al año anterior.
La AEPD ya no gestiona “casos aislados”: gestiona una avalancha de incidencias
Muchas empresas todavía mantienen la falsa percepción de que “la Agencia no actúa” o que “es muy difícil que inspeccionen”. La realidad es exactamente la contraria.
No solo aumentan los procedimientos; también aumenta su complejidad. La digitalización acelerada, el uso masivo de plataformas cloud, la inteligencia artificial, la automatización de procesos y el crecimiento de los ciberataques están obligando a la Agencia a modernizar sus propios sistemas de gestión.
De hecho, la propia AEPD reconoce que está incorporando herramientas de inteligencia artificial para poder tramitar el creciente volumen de expedientes, especialmente en un contexto donde los recursos humanos no crecen al mismo ritmo que las reclamaciones.
Esta evolución encaja plenamente con el principio de responsabilidad proactiva recogido en el RGPD, que obliga a las organizaciones a adoptar medidas técnicas y organizativas adecuadas al riesgo.
El gran problema de 2025: las brechas de seguridad
Las notificaciones de violaciones de seguridad personal han aumentado un 157 %, pasando de 30 a 77 casos relevantes analizados.
Y detrás de cada brecha hay una historia empresarial real.
Hace apenas unos días, recibimos la llamada de una inmobiliaria que había sufrido un cifrado masivo de información. Un ataque ransomware había bloqueado décadas de información histórica: clientes, operaciones, documentación, contactos y expedientes.
“¿Ahora qué hacemos?” “¿Tenéis copia de seguridad?”
Este tipo de situaciones reflejan perfectamente uno de los grandes errores que seguimos viendo en pequeñas y medianas empresas: todos sabemos lo que debemos hacer en materia de ciberseguridad, pero muchas veces no se implementa hasta que ocurre el incidente.
Cuando una organización sufre una brecha de seguridad, no solo debe valorar el impacto técnico. También debe analizar si existe obligación de notificación ante la autoridad de control conforme a los artículos relativos a violaciones de seguridad del RGPD.
Y aquí aparece un aspecto que muchas empresas desconocen: la llamada “notificación boomerang”.
El efecto “boomerang” de las brechas de seguridad
Notificar una brecha de seguridad es una obligación legal cuando existe riesgo para los derechos y libertades de las personas. Pero esa notificación también puede derivar en una investigación sobre las medidas de seguridad previamente implantadas.
Es decir, la Agencia no solo analiza el incidente, también revisa si la empresa había aplicado medidas preventivas adecuadas.
La memoria refleja que las sanciones derivadas de brechas de seguridad alcanzaron casi los 20 millones de euros:
La ciberseguridad y la protección de datos ya son inseparables. Así lo demuestra también el creciente peso normativo del marco europeo y nacional en materia de seguridad digital.
El caso del proveedor hackeado: cuando el problema viene de terceros
Otro caso especialmente habitual es el de los ataques sufridos por proveedores tecnológicos.
Por eso el RGPD insiste tanto en la necesidad de seleccionar encargados con garantías suficientes y documentar correctamente la relación contractual.
Videovigilancia: el clásico que nunca desaparece
Si hay un área sancionadora que nunca pasa de moda es la videovigilancia.
En 2025 vuelve a situarse entre los sectores con mayor número de procedimientos:
Y precisamente esta semana conocíamos un caso especialmente ilustrativo: una sanción de 1.800 euros a la propietaria de un bar por compartir imágenes de inspectores a través de un grupo de WhatsApp de hosteleros.
La empresaria extrajo imágenes de sus cámaras de seguridad para alertar a otros establecimientos sobre la presencia de inspectores.
El problema no fue solo la difusión de imágenes.
La investigación reveló, además: ocho cámaras activas, ausencia de cartel informativo, acceso remoto desde móviles, captación excesiva de zonas de ocio y terraza, grabación parcial de vía pública y tránsito peatonal.
La sanción se fundamentó en varios principios esenciales del RGPD:
- Principio de minimización de datos
Las cámaras no pueden captar más información de la necesaria para la finalidad perseguida.
La propia guía de videovigilancia de la AEPD insiste en la necesidad de limitar la captación de vía pública y ajustar el encuadre estrictamente al área necesaria.
- Integridad y confidencialidad
No basta con instalar cámaras. También deben existir medidas de seguridad adecuadas para proteger el acceso y la gestión de las grabaciones.
- Deber de información
El famoso cartel de videovigilancia sigue siendo obligatorio. La ausencia de información al interesado continúa siendo una de las infracciones más frecuentes.
La privacidad desde el diseño: la gran asignatura pendiente
“Es muy fácil incumplir.”
Por eso el RGPD introdujo conceptos fundamentales como la privacidad desde el diseño y por defecto.
Esto implica que cualquier organización debe preguntarse, antes de implantar una herramienta tecnológica:
- ¿Es necesaria?
- ¿Cumple con los principios del RGPD?
- ¿Estoy recogiendo más datos de los necesarios?
- ¿Existe una alternativa menos invasiva?
- ¿Qué riesgos genera?
El problema es que la comodidad tecnológica muchas veces nos hace bajar la guardia. Sistemas automáticos, aplicaciones cloud, inteligencia artificial, cámaras inteligentes, herramientas de productividad o automatización comercial suelen implantarse pensando primero en la eficiencia y solo después en la legalidad.
Y ahí es donde empiezan muchos procedimientos sancionadores.
Ignorar a la Agencia sale caro
Otro dato especialmente relevante de la memoria es el incremento de sanciones derivadas simplemente de no atender requerimientos de la Agencia.
Muchas organizaciones todavía creen que ignorar una notificación administrativa “gana tiempo”. La realidad es la contraria.
En numerosos expedientes la infracción inicial era leve, pero la falta de respuesta agravó la sanción.
Existen ya múltiples resoluciones donde el incumplimiento del deber de colaboración añade automáticamente sanciones adicionales de miles de euros.
Incluso errores aparentemente simples, como un envío masivo de correos mostrando destinatarios en copia visible, pueden terminar agravándose si la empresa no responde adecuadamente a la AEPD.
Cumplir no es solo evitar sanciones: es generar confianza
Cumplir correctamente con el RGPD mejora la imagen corporativa, genera confianza, fortalece relaciones con clientes y proveedores, reduce riesgos operativos, mejora la seguridad interna, profesionaliza la organización.
La protección de datos ya forma parte de la cultura empresarial moderna.