Este seguimiento reúne una selección de actuaciones de la AEPD verificadas en fuentes oficiales hasta el 29 de septiembre de 2026. Incluye una resolución sancionadora firmada y publicada en 2026, una publicación de grandes multas en el BOE y una advertencia preventiva. Se separan porque no tienen el mismo significado jurídico ni deben sumarse como si fueran sanciones homogéneas.
El objetivo es ayudar a interpretar decisiones y extraer consecuencias para una organización. No es un registro exhaustivo en tiempo real ni ofrece un total anual acumulado. La fecha de publicación de una noticia o del BOE no demuestra que la sanción se impusiera ese año, y una resolución administrativa publicada tampoco acredita por sí sola el resultado definitivo de un recurso judicial.
Una decisión de 2026: exactitud de datos en Xfera
El buscador oficial de resoluciones identifica PS/00627/2025 con fecha de firma de 14 de agosto de 2026 y publicación de 21 de septiembre de 2026. El número terminado en 2025 no determina por sí solo el año de la resolución. El documento corresponde al expediente EXP202521184 y declara la terminación del procedimiento por pago voluntario.
En la resolución PS/00627/2025, la AEPD examina la vinculación del DNI de una clienta con datos de otra persona en un contrato enviado en julio de 2024. La infracción afecta al principio de exactitud del artículo 5.1.d del RGPD. El documento confirma una sanción de 8.000 euros y aplica una reducción del veinte por ciento por pago voluntario, sin reconocimiento de responsabilidad, hasta 6.400 euros.
La cifra reducida y la cifra confirmada describen etapas distintas del mismo expediente; sumarlas duplicaría el importe. La resolución señala firmeza administrativa desde su notificación y contempla la posibilidad de recurso contencioso. Por ello, este seguimiento acredita la decisión administrativa y el pago que documenta, sin atribuirle una firmeza judicial no comprobada.
Para una empresa, el caso plantea una cuestión concreta: cómo se detectan y corrigen asociaciones erróneas entre identidades. Actualizar un dato después de una reclamación no elimina automáticamente la posible infracción anterior. La revisión operativa debería comprobar el origen del error, los documentos generados, sus destinatarios y si la corrección alcanza todos los sistemas que reutilizan la información.
Grandes multas publicadas en el BOE en marzo
La Resolución de 4 de marzo de 2026, publicada en el BOE el 20 de marzo, recoge sanciones superiores a un millón de euros conforme al artículo 76.4 de la LOPDGDD. Es una publicación de información identificativa sobre infractores, infracciones e importes; no debe confundirse con la fecha original de cada resolución sancionadora.
El anexo incluye a IDCQ HOSPITALES Y SANIDAD, S. L. U., con 1.200.000 euros: 100.000 por el artículo 9, 100.000 por el artículo 6 y un millón por el artículo 25 del RGPD. También recoge a AENA, S. M. E., S. A., con 10.043.002 euros por el artículo 35, y a HYUNDAI MOTOR ESPAÑA, S. L. U., con 1.600.000 euros por el artículo 5.1.f.
Estos datos permiten identificar las obligaciones concernidas, pero el breve anexo no explica todos los hechos, razonamientos ni posibles recursos de cada asunto. No sería correcto inferir de él que todas las infracciones ocurrieron en marzo de 2026 o que las tres multas fueron confirmadas judicialmente. Tampoco representa el universo de sanciones del año: la publicación responde a un umbral y a condiciones legales específicos.
En el caso de Aena, la resolución PS/00431/2024 permite precisar el contexto de identificación biométrica para accesos aeroportuarios. Su parte dispositiva impone el importe indicado por el artículo 35 y confirma la suspensión temporal del tratamiento hasta disponer de una evaluación de impacto adecuada en los términos exigidos. No se trata simplemente de pagar por utilizar una tecnología y continuar sin corregirla.
La consecuencia útil para otro proyecto es distinguir la evaluación previa de una justificación preparada al final. Una evaluación de impacto debe describir las operaciones reales, su necesidad, proporcionalidad, riesgos y medidas. La existencia de documentación del proveedor o de una alternativa de acceso no determina por sí sola el cumplimiento de todas las exigencias del responsable. La decisión concreta debe leerse con su alcance, sin extender su resultado a cualquier uso de biometría.
Una advertencia publicada en septiembre no es otra multa
La advertencia AI/00009/2026, firmada el 16 de septiembre y publicada el 23 de septiembre de 2026 según el buscador oficial, aborda una herramienta prevista para evaluar candidaturas y movilidad interna. La empresa aparece anonimizada en el documento. No corresponde inventar su identidad ni añadir un importe que la autoridad no ha impuesto.
La AEPD utiliza el artículo 58.2.a para advertir sobre operaciones previstas que podrían infringir el RGPD. Subraya protección desde el diseño, transparencia, evaluación de riesgos y análisis de la intervención humana. El documento no declara que toda utilización de inteligencia artificial para selección esté prohibida ni que cualquier puntuación automática constituya necesariamente una decisión del artículo 22.
Esta actuación merece seguimiento por su contenido preventivo, pero debe figurar separada de las multas. En una base de datos interna, un campo de «tipo de actuación» evitaría incluirla en una suma económica o presentarla como condena por una infracción ya acreditada. También permite detectar obligaciones de diseño antes de que aparezca un expediente sancionador.
Las fechas y estados que necesita cada entrada
Un seguimiento fiable distingue cuándo ocurrieron los hechos, cuándo se inició el procedimiento, cuándo se firmó la decisión y cuándo se hizo pública. Puede añadir la fecha del pago o de una resolución posterior cuando esté acreditada. El número de expediente ayuda a localizar el asunto, pero no sustituye esos campos ni garantiza que todos los documentos relacionados se hayan publicado juntos.
En un ejemplo hipotético, una conducta de 2024 da lugar a un procedimiento numerado en 2025, una resolución en 2026 y una sentencia posterior. Según el criterio elegido, puede pertenecer a distintas series temporales. La comparación con el seguimiento de sanciones de 2025 solo resulta válida si se utiliza la misma fecha de referencia y se explica cómo se tratan revisiones y anulaciones.
También debe distinguirse propuesta de sanción, resolución, terminación por pago, recurso de reposición y sentencia. Una propuesta no es todavía la decisión final del procedimiento, mientras que un pago reducido no convierte por sí solo todos los hechos en una admisión del responsable. La redacción del documento y su parte dispositiva prevalecen sobre el titular de una noticia.
Para actualizar un caso es recomendable conservar la entrada anterior y añadir la decisión que modifica su estado, en vez de sustituir silenciosamente el importe. Así se puede explicar por qué una suma o una comparación cambió. Cuando no se ha localizado una resolución judicial posterior, la formulación precisa es que no se ha verificado aquí ese resultado, sin asegurar que no exista recurso.
Reducciones: por qué no se aplica siempre un cuarenta por ciento
El fundamento general de las reducciones por reconocimiento y pago es el artículo 85 de la Ley 39/2015 del Procedimiento Administrativo Común, no una regla automática de la LOPDGDD. El precepto contempla las condiciones de terminación y reducciones de al menos el veinte por ciento, acumulables, en los supuestos que regula, con determinación en la notificación de inicio.
La efectividad de esas reducciones está condicionada al desistimiento o renuncia de acciones o recursos en vía administrativa contra la sanción. Debe revisarse qué opción se ejercitó realmente, en qué momento y con qué consecuencias. El expediente de Xfera ilustra una reducción del veinte por ciento por pago sin reconocimiento, de modo que atribuirle una rebaja del cuarenta por ciento alteraría el resultado documentado.
La eventual terminación por pago no permite ignorar la reposición de la situación alterada u otras consecuencias contempladas legalmente. Una organización debe analizar por separado el importe, las medidas correctivas y sus plazos, además de las vías de impugnación. Pagar una sanción no equivale a obtener autorización para mantener el mismo tratamiento.
Al comparar expedientes, conviene presentar tanto el importe anterior a la reducción como el importe finalmente exigido o pagado que esté acreditado. Si solo se conoce una de esas cifras, debe indicarse. Mezclar importes propuestos en unos casos y reducidos en otros produce una clasificación aparentemente precisa, pero jurídicamente poco útil.
Competencia de la autoridad y régimen del responsable
La AEPD como autoridad de control tiene competencias que deben diferenciarse de las de otras autoridades españolas y europeas. En asuntos transfronterizos intervienen las reglas de competencia y cooperación del RGPD. Las autoridades autonómicas actúan dentro del ámbito que les atribuye la normativa; no es correcto describir todas sus competencias como limitadas exclusivamente a su propia administración.
El artículo 57 de la LOPDGDD contempla, entre otros supuestos, tratamientos de entidades públicas autonómicas o locales y determinados tratamientos de personas físicas o jurídicas para funciones públicas o servicios públicos de su competencia. Para atribuir un caso deben comprobarse el responsable, la operación y el título competencial, sin decidir únicamente por el domicilio geográfico de la empresa.
El artículo 77 establece un régimen específico para las categorías de responsables y encargados que enumera. En esos casos contempla declaración de infracción, medidas correctivas y otras consecuencias, con exclusión de la multa administrativa del artículo 58.2.i en los términos previstos. No es una exención del RGPD ni una regla para toda entidad que reciba financiación pública.
Una empresa pública mercantil, una administración y un contratista privado pueden tener regímenes diferentes. Por eso debe evitarse usar «sector público» como explicación suficiente del resultado económico. El análisis de las diferencias entre RGPD y LOPDGDD ayuda a ubicar la norma nacional sin perder las obligaciones europeas que siguen aplicándose.
Del artículo infringido al problema que debe corregirse
El número de artículo es un punto de partida, no un diagnóstico operativo completo. Dos expedientes sobre el artículo 6 pueden referirse a finalidades, fuentes y relaciones completamente distintas. Dos decisiones sobre seguridad pueden cuestionar permisos, diseño, detección o reacción. La revisión debe leer los hechos probados y el razonamiento que conecta esas circunstancias con el incumplimiento.
En comercio electrónico y retail, una empresa puede revisar la separación entre compra, publicidad y creación de perfiles. En videovigilancia, las preguntas recaen sobre finalidad, campo de captación, información, acceso y conservación. La existencia de un cartel o de un texto de privacidad no demuestra por sí sola la licitud completa de esos tratamientos.
Los casos de marketing y publicidad requieren además examinar el canal, la procedencia del contacto y la prueba de la habilitación. Los de energía y suministros pueden combinar contratación, datos de consumo y seguridad de proveedores. Trasladar un control de un sector a otro exige comprobar qué riesgo y qué regla son realmente comparables.
En educación, la presencia de menores y el contexto institucional influyen en la evaluación. En hostelería y turismo, las obligaciones sectoriales de identificación no justifican cualquier copia o uso comercial de la documentación. Estos vínculos sirven para profundizar en decisiones concretas, no para deducir una multa típica por pertenecer a un sector.
Importes máximos, graduación y estadísticas
Los máximos de las sanciones del RGPD no son importes automáticos. El artículo 83 distingue categorías de infracciones y, para empresas, compara los umbrales fijos con porcentajes del volumen de negocio mundial anual del ejercicio anterior, aplicando el mayor cuando corresponda. Además, la multa debe ser efectiva, proporcionada y disuasoria en cada caso.
La graduación atiende a factores como naturaleza, gravedad, duración, carácter intencional o negligente, medidas para paliar daños, cooperación y categorías de datos afectadas, según el precepto. No resulta correcto concluir que una infracción debe sancionarse siempre con una cifra porque otro expediente cite el mismo artículo. Tampoco debe confundirse el tamaño de una empresa con una responsabilidad automática por cualquier incidente.
Las categorías de infracciones de la LOPDGDD cumplen funciones específicas, entre ellas la prescripción en los términos legales. No constituyen una tabla universal que asigne a cada error un precio fijo. Debe leerse la regla nacional junto con el artículo europeo infringido y la motivación de la autoridad.
Una estadística anual exige definir qué incluye: decisiones firmadas, publicaciones, sanciones impuestas, pagos o actuaciones de otra clase. También debe evitar duplicar varios documentos de un mismo procedimiento y explicar recursos que alteren el resultado. Las entradas seleccionadas aquí permiten análisis cualitativo, pero no sostienen porcentajes sectoriales, medias nacionales ni afirmaciones de que una autoridad es «la que más multa» sin una serie comparable.
Utilizar el seguimiento para una revisión concreta
El paso útil después de leer una decisión es identificar si existe una operación comparable en la organización y qué evidencia permitiría demostrar su control. En el caso de exactitud, puede ser la validación de identidades y la propagación de correcciones; en una evaluación de impacto, la descripción previa del tratamiento y sus decisiones; en una advertencia preventiva, la revisión de un proyecto antes de activarlo.
Una revisión de cumplimiento en España puede organizar esas comprobaciones y asignar responsables, sin prometer que completar un documento elimina el riesgo de sanción. Las prioridades deben responder a los datos tratados, las personas afectadas y los fallos observados. El seguimiento se vuelve útil cuando transforma una resolución en una pregunta verificable y una acción ajustada al proceso real.