Respuesta breve
La Agencia Española de Protección de Datos (AEPD) puede investigar y corregir tratamientos sometidos al RGPD y a la legislación española. No sanciona una tecnología por su nombre, sino incumplimientos concretos: falta de base jurídica o transparencia, datos excesivos, ausencia de consentimiento válido, seguridad insuficiente, derechos desatendidos o falta de evaluación de impacto.
La publicidad comportamental puede infringir simultáneamente las reglas de cookies y el RGPD. La vigilancia laboral debe ser necesaria, proporcionada e informada; grabar sonido, zonas de descanso o controlar permanentemente eleva el riesgo. Una huella o plantilla facial usada para identificar es dato biométrico especialmente protegido y requiere una excepción del artículo 9, además de base jurídica y, normalmente, evaluación previa.
Solo cabe informar de una deuda si es cierta, vencida, exigible, no está sometida a reclamación vinculante y se cumplen aviso y notificación. Una obligación de publicidad administrativa tampoco autoriza difundir datos excesivos o indefinidamente.
Tras una brecha, el responsable debe contenerla, documentarla, evaluar el riesgo y notificar a la AEPD en 72 horas cuando proceda; si hay alto riesgo, informa también a las personas sin demora. Notificar no equivale a confesar una infracción: la Agencia examina por separado seguridad y respuesta.
Qué puede hacer la AEPD
El (RGPD), la (LOPDGDD) y, para cookies, la (LSSI) forman el marco principal.
La AEPD puede pedir información, inspeccionar, advertir, apercibir, ordenar atención de derechos, rectificación o supresión, limitar o prohibir tratamientos e imponer multas. El RGPD fija máximos de 10 millones de euros o 2 % del negocio mundial para ciertas obligaciones y de 20 millones o 4 % para principios, bases y derechos, aplicándose la cifra mayor. No son tarifas automáticas: naturaleza, duración, intención, afectados, daño, cooperación, reincidencia y medidas correctoras influyen.
Las administraciones incluidas en el artículo 77 LOPDGDD reciben normalmente declaración de infracción, apercibimiento y órdenes, no multa administrativa. Que no exista multa no convierte la resolución en absolución ni elimina responsabilidades disciplinarias o correctivas.
Publicidad comportamental y cookies
Antes de instalar cookies publicitarias o identificadores no necesarios, el artículo 22.2 LSSI exige información clara y consentimiento. Continuar navegando, una casilla premarcada o un botón destacado para aceptar sin rechazo equivalente no bastan. Retirar debe ser tan accesible como consentir.
Después hay que justificar el tratamiento: finalidad determinada, base del artículo 6 RGPD, información sobre terceros y perfilado, conservación mínima y mecanismo de oposición. El interés legítimo no legitima automáticamente seguir a una persona entre sitios. La oposición al marketing directo y al perfilado relacionado debe detener ese uso. Datos sensibles o decisiones exclusivamente automatizadas exigen garantías adicionales.
El acceso al terminal y el tratamiento posterior son operaciones distintas: cumplir la regla de cookies no sustituye la base, transparencia y derechos exigidos por el RGPD.
— y RGPD
En , cookies de Google no necesarias se instalaban antes del consentimiento y no podían rechazarse correctamente. La AEPD sancionó a Openbank con 2.500 euros bajo la LSSI, considerando la corrección posterior.
Vigilancia en el trabajo
El empresario puede controlar obligaciones laborales, pero sigue sujeto a licitud, necesidad, proporcionalidad y transparencia. Los artículos 87 y 89 LOPDGDD exigen informar de forma expresa, clara y concisa sobre dispositivos digitales y videovigilancia. No caben cámaras en vestuarios, aseos, comedores o descanso. Grabar sonido solo se admite ante riesgos relevantes para seguridad y con intervención mínima.
Hay que definir finalidad antes de grabar, limitar campo, acceso y conservación y evitar reutilizar un sistema de seguridad para productividad sin justificarlo. Un cartel puede cubrir la captación flagrante de un acto ilícito en ciertos casos, pero no sanea vigilancia secreta general ni una finalidad incompatible.
En , se usaron imagen y sonido de una trabajadora en contexto disciplinario. Aunque conocía las cámaras, el uso concreto carecía de base suficiente. La multa por el artículo 6 RGPD fue de 6.000 euros. Que una grabación resulte útil como prueba laboral no decide por sí solo si su tratamiento cumplió protección de datos.
Huella, rostro y otros biométricos
Una plantilla de huella o facial destinada a identificar inequívocamente es categoría especial del artículo 9 RGPD. Se necesitan simultáneamente una base del artículo 6 y una excepción del artículo 9. En empleo, el consentimiento suele ser débil por el desequilibrio entre las partes; una cláusula contractual tampoco crea por sí sola necesidad legal.
El responsable debe demostrar que el objetivo no puede lograrse razonablemente con tarjeta, código u otra alternativa menos intrusiva, aplicar privacidad desde el diseño y realizar una evaluación de impacto antes del alto riesgo. Debe controlar plantillas, cifrado, conservación, proveedores, falsos resultados y alternativa para quien no pueda usar el sistema.
En , una empresa logística empleó huella para acceso y presencia sin evaluación de impacto previa. Se propuso multa de 20.000 euros por el artículo 35; el procedimiento terminó tras pago voluntario reducido a 16.000.
Ficheros de solvencia y deudas discutidas
El artículo 20 LOPDGDD presume lícito el sistema de información crediticia solo si el acreedor —o quien actúe por él— aporta datos de una deuda cierta, vencida y exigible, superior al mínimo reglamentario de 50 euros y no discutida mediante reclamación administrativa, judicial o arbitral vinculante. La deuda no puede mantenerse más de cinco años desde su vencimiento.
El acreedor debe advertir de la posible inclusión al contratar o requerir pago. El sistema comunica la inclusión y bloquea el acceso durante 30 días desde la notificación. Acreedor y operador deben responder por exactitud, actualización, supresión y derechos según su papel; “el fichero lo hizo” no elimina responsabilidad.
En , una entidad financiera comunicó una deuda genuinamente controvertida y pendiente de resolución. La AEPD consideró inexistente la base del artículo 6 e impuso 200.000 euros.
Publicidad legal no significa difusión ilimitada
Una administración, juzgado, colegio o empresa puede tener obligación de publicar, pero debe identificar exactamente la norma, finalidad, destinatarios, datos y plazo. El principio de minimización exige ocultar información innecesaria, aplicar las reglas de identificadores de la disposición adicional séptima LOPDGDD y retirar o desindexar cuando termina la finalidad.
Transparencia pública y protección de datos deben ponderarse. Publicar un resultado no siempre justifica anexos, dirección, firma, salud, expediente completo o buscabilidad abierta. Tampoco puede sustituirse una notificación personal disponible por exposición masiva sin base.
En , el Ayuntamiento de Moncada publicó en internet actas de un proceso selectivo con identificación excesiva de un reclamante. La AEPD declaró infracción del artículo 5.1.c RGPD y ordenó corregirla bajo el régimen de autoridades públicas.
Seguridad y respuesta a brechas
Una brecha es pérdida, alteración, divulgación o acceso accidental o ilícito. El plan correcto separa cuatro deberes:
- contener, investigar y conservar evidencia;
- documentar siempre hechos, efectos y remedios;
- notificar a la AEPD sin demora y, si es posible, dentro de 72 horas cuando no sea improbable un riesgo;
- comunicar a los afectados sin demora cuando el riesgo sea alto, salvo cifrado eficaz, neutralización posterior u otra excepción legal.
El responsable debe documentar todas las violaciones de seguridad, incluidos hechos, efectos y medidas correctivas, de modo que la autoridad pueda verificar el cumplimiento.
—
El encargado avisa al responsable sin demora. Si faltan datos dentro de 72 horas, puede notificarse por fases y explicar el retraso. La evaluación debe considerar tipo y volumen, facilidad de identificación, consecuencias y vulnerabilidad; guardar silencio porque “no ocurrió daño probado” no es análisis suficiente.
En , un tercero accedió a datos de identidad mediante credenciales municipales comprometidas. La AEPD apercibió a la Dirección General de la Policía por confidencialidad, seguridad insuficiente y falta de comunicación a afectados de alto riesgo. Otros expedientes de brecha fueron archivados tras respuesta adecuada: el incidente no genera responsabilidad objetiva, pero puede revelar controles o reacción deficientes.
Conclusión
La AEPD sanciona fallos jurídicos y organizativos demostrables, no meros usos de tecnología. Antes de publicidad, vigilancia o biometría deben fijarse finalidad, base, información, proporcionalidad y evaluación. Antes de reportar deuda o publicar datos deben verificarse condiciones y minimización. Y antes de una crisis debe existir un plan capaz de decidir, documentar y comunicar dentro de horas, no semanas.
Fuentes
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.