RGPD para PYMEs: Multas AEPD y Cómo Cumplir en 2026

El RGPD no es solo cosa de grandes empresas

Uno de los malentendidos más extendidos entre las PYMEs españolas es pensar que el Reglamento General de Protección de Datos solo aplica a grandes corporaciones o a empresas que manejan millones de datos. No es así.

El Reglamento (UE) 2016/679 (RGPD), aplicable desde el 25 de mayo de 2018, obliga a cualquier organización —sea cual sea su tamaño— que trate datos personales de ciudadanos de la Unión Europea. Complementariamente, en España aplica la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), que adapta el RGPD al ordenamiento nacional.

Si tienes clientes, empleados o proveedores cuyos datos almacenas, gestionas o usas para comunicarte con ellos, el RGPD te aplica.

---

Lo que está sancionando la AEPD

La Agencia Española de Protección de Datos (AEPD) es el organismo supervisor en España, y en los últimos años ha dejado claro que actúa con contundencia. Las resoluciones publicadas en 2024 y 2025 incluyen sanciones a empresas de todo tamaño:

• Compañías telefónicas y de seguros multadas con cientos de miles de euros por ceder datos a terceros sin consentimiento.
• Empresas de cobro de deudas sancionadas por tratar datos de morosos sin base legal suficiente.
• PYMEs del sector servicios multadas por no atender en plazo los derechos de acceso y supresión de sus clientes.
• Farmacias y clínicas sancionadas por exponer datos de salud sin las medidas de seguridad adecuadas.

El RGPD establece dos niveles de multa: hasta 10 millones de euros o el 2% del volumen de negocio anual para infracciones menos graves, y hasta 20 millones de euros o el 4% para las más graves (como tratar datos sin base legal o vulnerar los derechos de los interesados).

---

Qué necesita tu PYME para cumplir con el RGPD

Registro de actividades de tratamiento

El artículo 30 del RGPD obliga a llevar un registro interno que documente qué datos se tratan, con qué finalidad, durante cuánto tiempo, y con qué medidas de seguridad. No hay que enviárselo a nadie, pero debe estar disponible si la AEPD lo pide.

Política de privacidad y avisos legales

Cualquier formulario web, hoja de contacto o recogida de datos debe ir acompañado de información clara sobre quién trata los datos, para qué, durante cuánto tiempo y qué derechos tiene el interesado.

Base legal para cada tratamiento

No basta con recoger datos: necesitas una base legal que lo justifique. Las más habituales son el consentimiento expreso (art. 6.1.a RGPD), la ejecución de un contrato (art. 6.1.b), el cumplimiento de una obligación legal (art. 6.1.c) o el interés legítimo (art. 6.1.f).

Contratos con encargados del tratamiento

Si usas proveedores externos que tienen acceso a datos de tus clientes —gestoría, software de facturación, plataforma de email marketing— necesitas formalizar un contrato de encargado del tratamiento (art. 28 RGPD) con cada uno de ellos.

Atención de los derechos ARCO-POL

Los interesados pueden ejercer sus derechos de Acceso, Rectificación, Cancelación/Supresión, Oposición, Portabilidad, Limitación del tratamiento y a no ser objeto de decisiones automatizadas. Debes tener un procedimiento para responderlos en el plazo legal (generalmente 1 mes).

---

Cuándo es obligatorio el Delegado de Protección de Datos (DPO)

El artículo 37 del RGPD y el artículo 34 de la LOPD-GDD establecen que la designación de un Delegado de Protección de Datos es obligatoria en tres supuestos:

1. Entidades públicas (salvo tribunales en ejercicio de su función judicial).
2. Empresas cuya actividad principal requiera tratamiento a gran escala de categorías especiales de datos (salud, ideología, origen racial, datos sindicales, etc.).
3. Organizaciones que realicen una observación habitual y sistemática a gran escala de interesados (por ejemplo, empresas de seguridad con cámaras, plataformas de seguimiento de usuarios).

La mayoría de las PYMEs no están obligadas a designar DPO, pero sí es recomendable en sectores como salud, educación o recursos humanos.

---

Brechas de seguridad: tienes 72 horas

El artículo 33 del RGPD establece que, cuando se produzca una violación de seguridad que afecte a datos personales, debes notificarla a la AEPD en el plazo máximo de 72 horas desde que tengas conocimiento de ella, salvo que sea improbable que suponga un riesgo para los afectados.

Si la brecha puede ocasionar daños graves a los afectados (discriminación, pérdidas económicas, robo de identidad), también debes comunicársela directamente a esas personas sin dilación indebida.

No notificar una brecha en plazo es, por sí mismo, una infracción sancionable.

---

Los 5 errores más frecuentes en PYMEs españolas

1. Política de privacidad copiada de internet sin adaptar a la actividad real de la empresa.
2. No tener contratos con los proveedores tecnológicos (el gestor de correo, el CRM, la nube).
3. Consentimiento implícito o genérico: una casilla premarcada o un texto que dice "al usar este formulario aceptas nuestra política" no vale.
4. No tener procedimiento para atender derechos: cuando un cliente pide que borres sus datos y nadie sabe qué hacer.
5. Ignorar a los empleados: los datos de la plantilla también son datos personales y necesitan su propia base legal y sus propios documentos.

---

ALY Abogados: protección de datos para empresas en Las Palmas

Cumplir con el RGPD no tiene por qué ser un laberinto burocrático, pero sí requiere hacerlo bien desde el principio. Una política de privacidad mal redactada o la ausencia de contratos con encargados puede costar mucho más caro que la asesoría preventiva.

En ALY Abogados ayudamos a PYMEs de Gran Canaria y Canarias a adaptar su funcionamiento al RGPD y la LOPD-GDD: desde el registro de actividades hasta los contratos con proveedores, pasando por la formación básica del equipo.

El despacho está liderado por Lázaro Héctor Amable Méndez, abogado colegiado n.º 5.231 del ICALPA. Consulta sin compromiso llamando al 633 572 607 o a través de nuestro formulario. La primera consulta es gratuita.