En una frase. Las administraciones públicas españolas reciben apercibimientos en lugar de sanciones económicas conforme al art. 77 LOPDGDD, con 280 expedientes a ayuntamientos, ministerios y CCAA en 2025, principalmente por videovigilancia, publicación indebida en BOEs locales y deficiencias en accesos a expedientes.
Puntos clave
- 280 apercibimientos AEPD a administraciones en 2025.
- Ayuntamientos lideran (52%) — videovigilancia y BOEs municipales.
- Ministerios y organismos estatales: 25% — accesos a expedientes.
- CCAA: 18% — sanidad, educación, servicios sociales.
- Art. 77 LOPDGDD: apercibimiento + medidas correctoras obligatorias + DPO obligatorio.
1. Régimen del art. 77 LOPDGDD
El artículo 77 de la LOPDGDD sustituye la sanción económica por apercibimiento cuando el infractor es:
- Administraciones públicas (Estado, CCAA, entes locales).
- Organismos públicos y entidades de derecho público.
- Autoridades administrativas independientes.
- Banco de España.
- Corporaciones de Derecho público con función pública.
- Fundaciones del sector público.
- Universidades públicas.
- Sindicatos y partidos políticos (estos últimos a debate).
El apercibimiento se acompaña de medidas correctoras obligatorias y publicación en el sitio web AEPD. Este régimen contrasta con las multas millonarias al sector privado que recoge nuestro tracker de sanciones AEPD 2025.
2. Por qué no hay multas a administraciones
Razón fundamental: principio de eficiencia presupuestaria. Una multa a un ayuntamiento se paga con fondos públicos que afectan al servicio. El apercibimiento + medidas correctoras + responsabilidad disciplinaria del personal causante es considerado más eficaz por el legislador.
3. Ayuntamientos: tipos de apercibimiento más frecuentes
| Motivo | % expedientes | Medida típica |
|---|---|---|
| Videovigilancia sin EIPD/cartel | 32% | Adecuar cartel, eliminar cámaras |
| Publicación indebida BOE municipal | 18% | Anonimizar publicaciones |
| Acceso indebido a expediente | 14% | Logs + formación |
| WhatsApp con vecinos | 9% | Sustituir por canal oficial |
| Padrón cedido sin base | 8% | Revisión cesiones |
| CCTV escolar mal gestionada | 7% | Cartel + protocolo |
| Otros | 12% | Variable |
4. Publicación en BOEs municipales
La AEPD ha sancionado masivamente la publicación de:
- Nóminas con DNI completo.
- Decretos de personal con datos personales no necesarios.
- Listas de adjudicatarios con DNI completo (debe truncarse).
- Sanciones de tráfico con DNI completo.
- Datos de menores en expedientes escolares.
Regla AEPD: publicar solo lo estrictamente necesario y anonimizar lo demás. DNI truncado conforme a la Disposición adicional séptima LOPDGDD.
5. Acceso a expedientes administrativos
Los funcionarios solo pueden acceder a expedientes con relación competencial directa. Casos sancionados:
- Funcionario que consulta expediente de famoso.
- Empleado que revisa multas de pareja o ex.
- Acceso a padrón sin justificación.
El art. 77 LOPDGDD prevé responsabilidad disciplinaria del funcionario causante además del apercibimiento al ente.
6. CCTV en edificios públicos
Las administraciones deben:
- EIPD obligatoria para CCTV en espacios con afluencia masiva.
- Cartel conforme al modelo AEPD.
- Conservación máxima 30 días.
- Acceso restringido y trazado.
- ENS categoría según criticidad.
Reconocimiento facial en accesos: prohibido en la práctica tras el caso Aena (10 M EUR, sanción al ser SME).
7. Casos relevantes 2024-2025
- Ayuntamiento de Madrid: apercibimiento por CCTV en Plaza Mayor sin cartel adecuado.
- Ayuntamiento de Barcelona: apercibimiento por publicación de DNI en padrón.
- Comunidad de Madrid (Salud): apercibimiento por brecha en sistema de citas con 30.000 afectados.
- Generalitat de Cataluña (Educación): apercibimiento por sistema de notas accesible públicamente.
- Ministerio del Interior: apercibimiento por SIRDEE con accesos no controlados.
8. Sanidad pública y datos clínicos
Mientras la sanidad privada acumula multas económicas —ver sanciones AEPD en sanidad y salud—, los hospitales del SNS reciben apercibimientos por:
- Accesos a historias clínicas sin relación asistencial (caso típico).
- Brechas de seguridad por ransomware.
- Comunicación a familiares sin consentimiento.
- Publicación de imágenes de pacientes en redes oficiales.
Medida correctora habitual: control de accesos con logs, formación obligatoria, DPO con dedicación exclusiva.
9. Centros educativos públicos
Apercibimientos típicos:
- Publicación de notas con DNI en tablón.
- Fotos de alumnos en web sin consentimiento parental.
- WhatsApp profesor-padres no oficial.
- Plataforma de gestión escolar sin contrato art. 28 RGPD.
- Acceso indebido a expediente académico.
Medidas: protocolo de comunicación con familias, plataforma oficial homologada, formación al claustro. Las obligaciones completas del sector se desarrollan en nuestra guía RGPD en centros educativos.
10. DPO obligatorio en administraciones
El art. 37 RGPD y el art. 34 LOPDGDD obligan a designar DPO en TODAS las administraciones públicas. Buenas prácticas:
- Dedicación exclusiva en entes grandes.
- DPO compartido entre municipios pequeños (mancomunidad o diputación).
- Dependencia funcional del órgano de máxima decisión.
- Reporte anual al Pleno o Junta de Gobierno.
11. Brechas en administraciones
Notificación AEPD en 72 horas obligatoria. Casos típicos:
- Ransomware en sistemas municipales.
- Phishing a empleados con compromiso de credenciales.
- Pérdida de dispositivos con datos.
- Errores de configuración en webs públicas.
Procedimiento integrado con CCN-CERT obligatorio para administraciones bajo ENS.
12. Cómo cumplir RGPD en administraciones
- DPO designado con dependencia funcional adecuada.
- Registro de actividades público accesible (art. 31 LOPDGDD).
- Checklist RGPD trimestral.
- ENS categoría adecuada implantado.
- Protocolo de brechas con notificación 72h.
- Formación obligatoria al personal con acceso a datos.
- Auditoría anual interna con muestreo de accesos.
13. Qué implica realmente un apercibimiento
El apercibimiento no es una absolución. La AEPD lo formaliza en una resolución motivada que declara la infracción, impone medidas correctoras con plazo y advierte de las consecuencias del incumplimiento. Si el ente no adopta las medidas en el plazo fijado, la AEPD puede iniciar un nuevo procedimiento por desobediencia y, sobre todo, activar la responsabilidad disciplinaria del personal responsable. A ello se suma el coste reputacional: la resolución se publica con el nombre completo del organismo en el buscador de resoluciones de la AEPD, lo que expone al ayuntamiento o consejería ante ciudadanos, oposición política y medios locales. En la práctica, un apercibimiento a un ayuntamiento pequeño genera más presión política que una multa moderada a una empresa privada.
14. Responsabilidad personal del empleado público
El punto más ignorado del régimen del artículo 77 es que la exención de multa protege al ente, no al empleado. Cuando un funcionario accede sin justificación al expediente de un vecino, a la historia clínica de un famoso o al padrón para fines particulares, el ente recibe apercibimiento pero el empleado se expone a un expediente disciplinario que puede llegar a la suspensión de funciones o la separación del servicio, además de la eventual responsabilidad penal por descubrimiento y revelación de secretos (art. 197 y 198 del Código Penal). Esta doble vía —apercibimiento administrativo al organismo y sanción disciplinaria o penal al individuo— explica por qué el control de accesos con trazabilidad es la medida correctora que la AEPD exige con mayor insistencia.
15. Transparencia frente a protección de datos: el equilibrio
Las administraciones viven una tensión estructural entre la Ley 19/2013 de Transparencia, que obliga a publicar información pública, y el RGPD, que limita la difusión de datos personales. El criterio consolidado de la AEPD y del Consejo de Transparencia es el de proporcionalidad: se publica lo necesario para el control de la actividad pública, se anonimiza o disocia el resto, y se ponderan de forma reforzada las categorías especiales de datos. Publicar una subvención concedida es transparencia; publicar el diagnóstico médico que la justificó es infracción. Dominar este equilibrio es la competencia nuclear del DPO en el sector público.
FAQ
¿Por qué no multan a los ayuntamientos?
El art. 77 LOPDGDD sustituye la sanción económica por apercibimiento + medidas correctoras + responsabilidad disciplinaria del funcionario causante.
¿El funcionario que infringe responde personalmente?
Sí. El art. 77 LOPDGDD prevé responsabilidad disciplinaria conforme al régimen aplicable al empleado público.
¿El DPO es obligatorio en todos los ayuntamientos?
Sí. El art. 34 LOPDGDD lo exige en todas las administraciones públicas sin excepción de tamaño.
¿Dónde se publican los apercibimientos AEPD?
En la sección de resoluciones de la web AEPD. Identifican al ente sancionado con nombre completo.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial