Las sanciones de protección de datos a las administraciones públicas siguen en España un régimen específico. Para los responsables y encargados enumerados en el artículo 77.1 de la LOPDGDD, la autoridad competente declara la infracción y puede ordenar medidas para cesar la conducta o corregir sus efectos, excluyendo la multa administrativa del artículo 58.2.i del RGPD. La ausencia de multa no elimina la obligación de cumplir ni convierte la resolución en una recomendación voluntaria.
Conviene utilizar el texto vigente. Desde la modificación de 2023, el artículo 77.2 habla de declaración de infracción y medidas correctivas. Reducir todo el régimen a «un apercibimiento en lugar de una multa» oculta poderes relevantes y puede inducir a ignorar una orden. También hay que identificar qué autoridad controla el tratamiento: no todos los asuntos del sector público español corresponden a la AEPD.
A qué entidades se aplica el artículo 77
El artículo 77 de la LOPDGDD contiene una enumeración de categorías. Incluye la Administración General del Estado, las administraciones autonómicas, las entidades locales, organismos y entidades de derecho público dependientes, autoridades administrativas independientes, Banco de España, fundaciones del sector público, universidades públicas y consorcios. También contempla otros órganos e instituciones expresamente indicados.
La lista incluye corporaciones de derecho público cuando la finalidad del tratamiento se relaciona con potestades de derecho público. Por tanto, importa la actividad concreta, no solo el nombre de la organización. También aparecen grupos parlamentarios y grupos políticos de corporaciones locales; esto no significa que todos los partidos políticos y sindicatos estén incluidos por su sola condición de tales.
Una sociedad mercantil participada por una administración no queda automáticamente dentro del artículo 77 por tener capital público. Deben comprobarse su naturaleza jurídica, la categoría legal y el tratamiento examinado. Del mismo modo, un proveedor privado que presta un servicio municipal no adquiere sin más el régimen sancionador del ayuntamiento. La contratación y el papel como responsable o encargado requieren una evaluación propia.
El artículo menciona órganos jurisdiccionales, pero eso no atribuye a la AEPD competencia sobre tratamientos realizados por tribunales en el ejercicio de su función judicial. El artículo 55.3 del RGPD excluye esos tratamientos de la competencia de las autoridades de control. Alcance del régimen y competencia supervisora son cuestiones diferentes que deben resolverse antes de identificar una vía de reclamación.
AEPD y autoridades autonómicas: identificar el órgano competente
El artículo 57 de la LOPDGDD permite a las autoridades autonómicas ejercer funciones y potestades en los ámbitos previstos, de acuerdo con su normativa. Comprende determinados tratamientos del sector público autonómico y local, servicios vinculados y ejercicio de funciones públicas. Hay que examinar el ámbito territorial, la entidad responsable y la regulación autonómica, sin atribuir cualquier expediente público a la AEPD.
Para un ciudadano, el primer paso práctico es identificar quién decide sobre el tratamiento. El centro donde se entregaron los datos puede formar parte de una consejería, un organismo o una entidad con personalidad propia. La información de protección de datos y el delegado pueden ayudar a localizar al responsable y la autoridad competente. La guía de la AEPD describe su función dentro de ese sistema de supervisión.
La distinción afecta también a la publicidad de las resoluciones. Cuando actúa la AEPD, el artículo 77.6 prevé publicación separada en su web con identificación del responsable o encargado. Para una autoridad autonómica se aplica su normativa específica. No debe darse por hecho que el buscador de la AEPD reúne todas las decisiones del sector público español.
Qué puede ordenar la autoridad además de declarar la infracción
El artículo 58.2 del RGPD contiene distintos poderes correctivos. Según el caso, pueden utilizarse para ordenar la atención de derechos, adecuar operaciones, limitar o prohibir tratamientos o disponer rectificación o supresión. El artículo 77 excluye la multa indicada, pero no convierte el resto de poderes en facultades meramente consultivas.
La resolución debe leerse completa, especialmente su parte dispositiva. Hay que identificar la conducta declarada ilícita, las medidas efectivamente impuestas, el plazo, las comunicaciones requeridas y las vías de recurso. No toda resolución añade nuevas medidas: puede que la corrección ya se haya producido durante el procedimiento. Esa circunstancia no elimina necesariamente la infracción cometida antes.
La razón jurídica de este régimen se encuentra en la opción nacional permitida por el artículo 83.7 del RGPD y concretada por la LOPDGDD. No hace falta atribuir al legislador una motivación presupuestaria no documentada para explicarlo. Las diferencias entre LOPDGDD y RGPD permiten situar esta opción entre las particularidades españolas.
Comparar estas resoluciones con importes del sector privado requiere prudencia. El seguimiento de sanciones AEPD de 2025 puede orientar sobre expedientes, pero una declaración sin multa no indica necesariamente menor gravedad que una sanción económica. Los criterios de comparación deben atender a los hechos, las personas afectadas y las medidas exigidas, además de la cuantía.
Un caso verificado: incumplir una orden de atención de derechos
La resolución PS/00016/2025, expediente EXP202500572, examinó la actuación de la Consejería de Educación de la Junta de Castilla y León tras una orden anterior relativa al derecho de acceso. La AEPD declaró infringido el artículo 58.2, con tipificación en el artículo 83.6 del RGPD. Es un ejemplo de que la supervisión puede continuar después del primer procedimiento.
El problema examinado no consistía únicamente en afirmar que determinados documentos estaban disponibles en un centro. La orden exigía atender o denegar motivadamente el acceso y acreditar las actuaciones ante la Agencia. La resolución analizó respuestas que no demostraban, antes de la apertura del nuevo procedimiento, el cumplimiento en los términos requeridos; parte de la información remitida se refería además a documentación distinta de la solicitada.
La AEPD rechazó expresamente el argumento de que, tras la reforma de 2023, el apercibimiento fuera la única medida posible para una administración. Declaró la infracción y no añadió la medida inicialmente propuesta de comunicar las actuaciones, porque esa información había sido aportada durante la tramitación. El caso distingue la corrección posterior del incumplimiento previo y no autoriza a dar por satisfecha una orden mediante cualquier respuesta.
La memoria de la AEPD correspondiente a 2025 recoge este expediente entre los relacionados con incumplimiento de requerimientos y medidas. La referencia describe una resolución administrativa publicada; no afirma que haya una sentencia posterior firme sobre ella. Para utilizar un caso como precedente operativo, hay que conservar esa diferencia y revisar qué hechos fueron realmente declarados probados.
Publicaciones administrativas: decidir qué información debe salir
La obligación de transparencia no exige publicar íntegramente todos los documentos que integran un expediente. Antes de difundir un acto, deben identificarse el deber de publicación, sus destinatarios, la finalidad y los datos necesarios. Información necesaria para tramitar una ayuda puede ser excesiva en una lista pública de beneficiarios, especialmente si revela salud, vulnerabilidad o situaciones familiares.
La disposición adicional séptima de la LOPDGDD distingue publicación de actos y notificación mediante anuncios. Cuando sea necesaria la publicación de un acto con datos personales, prevé nombre y apellidos junto a cuatro cifras numéricas aleatorias del documento identificativo. Para determinadas notificaciones mediante anuncios, incluida la situación del artículo 44 de la Ley 39/2015, establece identificación exclusivamente mediante el número completo del documento, con las reglas adicionales previstas.
Por eso, «truncar siempre el DNI» no es una instrucción suficiente. Tampoco puede publicarse conjuntamente nombre y apellidos con el número completo del documento identificativo. El equipo debe reconocer qué tipo de actuación realiza y aplicar la regla correspondiente. Después debe revisar anexos, nombres de archivos y versiones anteriores, porque ocultar un dato en el documento principal puede dejarlo expuesto en otro lugar.
La Ley 19/2013 de transparencia, especialmente su artículo 15, añade criterios para el acceso a información que contiene datos personales. Publicidad activa, acceso de un solicitante y ejercicio del derecho de acceso a los propios datos no son procedimientos intercambiables. Identificar la solicitud evita responder con una denegación genérica o facilitar más información personal de la necesaria.
Accesos internos: la pertenencia a la administración no basta
Un empleado necesita acceder a la información pertinente para sus funciones, conforme a las instrucciones y autorizaciones aplicables. Disponer de credenciales válidas no justifica cualquier consulta. Es útil traducir las competencias de cada unidad en perfiles de acceso y revisar los cambios de puesto, suplencias y bajas. Las autorizaciones deben corresponder a la actividad real, no quedar congeladas en el organigrama inicial.
Considérese un supuesto hipotético: una persona de una unidad municipal consulta un expediente de un conocido sin necesidad funcional. La investigación debe determinar qué consultó, por qué podía acceder, qué controles existían y cómo se detectó el hecho. El comportamiento individual y las medidas organizativas se examinan de forma diferenciada; no basta con afirmar que el sistema tenía una contraseña.
Los registros de acceso pueden ayudar a reconstruir los hechos, pero también deben tener finalidad, acceso restringido y conservación justificada. No se trata de acumular trazas indefinidamente. La administración necesita un proceso de revisión y escalado que permita detectar patrones relevantes y documentar las conclusiones, respetando igualmente los derechos del personal y las reglas laborales o funcionariales aplicables.
Videovigilancia y seguridad del edificio público
La instalación de cámaras exige concretar la finalidad y comprobar necesidad, proporcionalidad, ámbito captado e información. El artículo 22 de la LOPDGDD no convierte cualquier cámara municipal en un tratamiento permitido sin más. Debe evitarse captar espacios ajenos o la vía pública más allá de lo admitido. Un cartel tampoco compensa un encuadre desproporcionado o accesos indiscriminados a las grabaciones.
La regla de conservación es un mes como máximo desde la captación, no una equivalencia automática de treinta días. Existe una excepción para conservar imágenes que acrediten actos contra la integridad de personas, bienes o instalaciones. En ese supuesto deben ponerse a disposición de la autoridad competente en un máximo de 72 horas desde que se conoce la existencia de la grabación. Ese plazo de entrega no es la duración de la excepción de conservación.
La evaluación de impacto depende de los criterios del artículo 35, incluida la observación sistemática a gran escala de zonas de acceso público y otros supuestos de alto riesgo. No toda cámara exige una EIPD por el simple hecho de estar en un edificio concurrido. Si se añade reconocimiento biométrico, deben evaluarse además las condiciones específicas del artículo 9 y las demás normas aplicables, sin presumir que una finalidad de seguridad lo autoriza.
El Esquema Nacional de Seguridad debe coordinarse con la protección de datos en su ámbito de aplicación. La categorización de un sistema y sus medidas de seguridad no sustituyen la base jurídica, la información o la evaluación del tratamiento. Un proyecto técnicamente protegido puede seguir siendo excesivo por los datos que recoge o por la finalidad que persigue.
Sanidad y educación: comprobar quién responde y por qué
En sanidad pública conviene identificar la entidad responsable y el régimen que le corresponde antes de hablar de apercibimientos o multas. La supervisión en sanidad y salud abarca situaciones distintas. El acceso a una historia clínica, la atención asistencial y una publicación en redes sociales requieren análisis separados; el consentimiento no es la única base posible de toda actuación sanitaria.
En educación, una reclamación puede implicar al centro, la administración educativa o un proveedor de plataforma. La guía de RGPD para centros educativos desarrolla obligaciones del sector. El caso anterior muestra la importancia de relacionar la respuesta con la solicitud exacta, identificar a quien puede acceder a los datos y acreditar la entrega o la denegación motivada.
Cuando interviene un encargado, el artículo 28 exige un contrato u otro acto jurídico vinculante permitido por el Derecho de la Unión o nacional, con el contenido correspondiente. Un contrato de compra tecnológica que no regula el tratamiento puede ser insuficiente. La administración debe comprobar instrucciones, accesos, subencargados y asistencia para derechos e incidentes, sin confundir la contratación del servicio con una transferencia total de responsabilidad.
Delegado, inventario público y organización de las brechas
Las autoridades y organismos públicos deben designar un delegado de protección de datos conforme al artículo 37 del RGPD, con la excepción prevista para tribunales en su función judicial. En los ayuntamientos no hay una exención por tamaño. Puede designarse un delegado común teniendo en cuenta estructura y dimensión, siempre que pueda desempeñar eficazmente sus funciones.
No existe en el RGPD una exigencia general de dedicación exclusiva para todo delegado público ni de informe anual ante un órgano municipal concreto. Sí deben garantizarse recursos, participación adecuada, independencia funcional y acceso al nivel jerárquico superior. La organización debe evitar que quien asesora tenga que decidir los fines y medios de los mismos tratamientos que supervisa, generando un conflicto de intereses.
El artículo 31.2 de la LOPDGDD exige a los sujetos del artículo 77.1 publicar electrónicamente un inventario de actividades con la información del artículo 30 y su base legal. Se publica la descripción del tratamiento, no los expedientes ni los datos personales tratados. El inventario debe mantenerse coherente con las actividades reales, incluida la puesta en marcha de servicios digitales o nuevos intercambios entre unidades.
Una brecha de datos personales se notifica a la autoridad competente sin dilación indebida y, cuando sea posible, en 72 horas desde que se tenga constancia, salvo que sea improbable que genere riesgo para derechos y libertades. Si se notifica después, deben justificarse los motivos. Todas las brechas se documentan y la comunicación a los afectados por alto riesgo se analiza separadamente. Un incidente técnico no es siempre una brecha de datos personales.
Responsabilidad personal y seguimiento de la resolución
El artículo 77.3 prevé que la autoridad proponga actuaciones disciplinarias cuando existan indicios suficientes. La propuesta no equivale a una sanción automática al empleado ni permite prescindir del procedimiento y las garantías aplicables. Deben distinguirse la infracción de la entidad, la conducta individual y la eventual responsabilidad en otros ámbitos, incluidos los penales cuando concurran sus propios requisitos.
La misma disposición contempla una amonestación con denominación del cargo responsable cuando la infracción sea imputable a autoridades o directivos y se acredite que informes técnicos o recomendaciones no fueron debidamente atendidos. También prevé publicación en el boletín correspondiente. No es correcto afirmar que toda consulta indebida de un empleado activa automáticamente esa medida dirigida a autoridades y directivos.
Para ejecutar una resolución, conviene asignar responsables por medida y conservar pruebas del resultado. Si se exige modificar permisos, la evidencia debe mostrar los accesos resultantes; si se ordena atender un derecho, debe permitir verificar la respuesta al interesado y las comunicaciones a la autoridad. Una revisión organizada del cumplimiento RGPD puede servir para evitar que la corrección quede limitada al expediente más visible.
Recurrir y cumplir requieren decisiones coordinadas. La resolución identifica los recursos y plazos pertinentes; no debe suponerse que la mera intención de recurrir suspende por sí sola cualquier actuación exigida. El responsable del seguimiento necesita conocer las notificaciones, posibles medidas cautelares y cambios del procedimiento para no convertir una controversia jurídica en un nuevo incumplimiento operativo.
Preguntas frecuentes
¿La AEPD puede multar a un ayuntamiento por una infracción del RGPD?
Para un ayuntamiento incluido en el artículo 77.1 se aplica la declaración de infracción y, cuando proceda, medidas correctivas, excluida la multa administrativa indicada por la ley. Eso no elimina otras responsabilidades ni la obligación de ejecutar las órdenes aplicables.
¿Toda entidad pública depende de la AEPD?
No. Debe comprobarse la competencia de las autoridades autonómicas conforme a la LOPDGDD y su normativa, además de las exclusiones del RGPD para determinadas funciones judiciales. La localización física de un servicio no basta para resolver la cuestión.
¿Las resoluciones se publican con el nombre de la entidad?
El artículo 77.6 lo prevé expresamente para las resoluciones de la AEPD relativas a los sujetos enumerados. Cuando actúa una autoridad autonómica, la publicidad sigue su normativa específica. Hay que distinguir la identificación institucional de la protección de datos personales innecesarios dentro del expediente publicado.