Las sanciones de la AEPD a ecommerce y retail deben leerse a partir de los hechos y de la resolución concreta. Una tienda puede incumplir las reglas de cookies, tratar datos sin base suficiente, desatender derechos o aplicar medidas de seguridad inadecuadas. Que concurran varios ámbitos normativos no implica que todo expediente termine con dos multas ni que exista una tarifa por tipo de negocio.
Este análisis combina un caso sancionado del comercio minorista con un expediente de cookies que terminó archivado. La finalidad es explicar qué acredita cada documento y cómo trasladar sus enseñanzas a una tienda. Los ejemplos no constituyen un ranking de infracciones ni una estadística sobre las causas más frecuentes de las reclamaciones.
1. Cómo leer una resolución antes de comparar importes
Empiece por identificar al responsable, la actividad examinada y el periodo de los hechos. El número de expediente puede corresponder a un año distinto del incidente o de la resolución. Una brecha ocurrida en 2023 puede dar lugar a un procedimiento iniciado en 2025. Comparar únicamente el año del nombre del PDF puede atribuir una sanción al periodo equivocado y distorsionar cualquier análisis sectorial.
Después separe reclamación, actuaciones de investigación, acuerdo de inicio y resolución. El inicio contiene imputaciones y una posible sanción que todavía deben tramitarse. Una resolución de terminación por reconocimiento y pago tiene una situación procesal diferente de un acuerdo de archivo. Tampoco debe confundirse la terminación administrativa con una sentencia firme que confirme el fondo del asunto.
Finalmente, compruebe la parte dispositiva. Allí se identifica qué se declara, cuánto se impone o confirma, qué reducción se aplica y si se ordenan medidas adicionales. Una publicación puede reproducir íntegramente el acuerdo de inicio antes de la decisión final; quedarse en sus primeras páginas conduce a errores. La guía de inspección y procedimiento ante la AEPD sitúa estas fases y ayuda a organizar la respuesta del comercio.
2. Sprinter: importe inicial y pago reducido
La resolución PS/00373/2025, expediente EXP202401683, se refiere a Sprinter y a una brecha de 2023. El acuerdo de inicio se adoptó el 22 de octubre de 2025. El documento final declara las infracciones y confirma una cuantía total de 2.600.000 euros; tras reconocimiento de responsabilidad y pago voluntario, aplica una reducción del 40 %, quedando en 1.560.000 euros. El pago figura realizado el 5 de noviembre de 2025.
Son magnitudes distintas: 2,6 millones es la cuantía confirmada antes de las reducciones y 1,56 millones la definitiva reducida en esa terminación. La resolución también aborda medidas correctivas. No debe describirse simplemente como una multa de 2,6 millones íntegramente pagada ni como una sentencia judicial. La fuente consultada permite acreditar esa terminación administrativa; no se afirma aquí una revisión judicial posterior.
Para una tienda, la comparación útil no consiste en calcular qué proporción de esa cifra le correspondería. Debe preguntarse qué evidencia tiene de sus controles antes del incidente, cómo reconstruye la cronología y quién decide las comunicaciones. Una política aprobada después puede servir para corregir, pero no acredita por sí misma que las medidas estaban implantadas cuando ocurrió el acceso indebido.
La documentación operativa debería permitir distinguir controles existentes, controles que fallaron y mejoras posteriores. Un inventario sin fechas puede ser difícil de relacionar con el momento investigado. Como recomendación, vincule las decisiones de seguridad a responsables y evidencias verificables, y conserve las versiones necesarias para explicar el periodo relevante. Esto no garantiza una exención, pero permite presentar hechos comprobables en lugar de afirmaciones genéricas.
3. Glovo: un archivo no es una sanción
En el expediente AI/00140/2025 sobre Glovo, la AEPD examinó cuestiones de cookies. La resolución recoge una comprobación de diciembre de 2024 y cambios comunicados en enero de 2025. Una comprobación posterior del 29 de abril de 2025 no constató incumplimiento. El motivo dispositivo del archivo fue la prescripción de la posible infracción, no la imposición de una multa.
Por tanto, sería incorrecto utilizar este documento como ejemplo de sanción económica por cookies. También sería impreciso afirmar que se archivó exclusivamente porque la empresa corrigió su web: la corrección forma parte del relato, pero la resolución identifica la prescripción como razón del archivo. La fuente acredita ese resultado administrativo; no convierte cualquier demora o corrección de otra tienda en una garantía de archivo.
Este contraste explica por qué una lista de expedientes debe registrar el tipo de resultado, además del nombre de la empresa. Antes de sumar importes o extraer tendencias, distinga multa, apercibimiento, archivo y orden de adecuación. El seguimiento de sanciones AEPD debe utilizarse con esa cautela metodológica y contrastando cada entrada con su resolución original.
4. LSSI y RGPD: obligaciones que hay que separar
La Ley 34/2002, LSSI regula, entre otras materias, el acceso o almacenamiento de información en terminales y determinadas comunicaciones comerciales electrónicas. El RGPD regula el tratamiento de datos personales. Un identificador de seguimiento puede conectar ambos ámbitos, pero la aplicación de cada precepto depende de la operación y de los hechos acreditados.
No se deduce automáticamente una infracción del artículo 6 RGPD cada vez que un banner incumple el artículo 22.2 LSSI. Es necesario identificar el tratamiento de datos personales y su fundamento. Tampoco debe anunciarse una doble sanción automática: la calificación, concurrencia y respuesta sancionadora requieren análisis jurídico. Las reglas y límites de las sanciones del RGPD no sustituyen el régimen propio de la LSSI.
En una revisión interna puede resultar útil mantener dos preguntas separadas. Primero, si la tienda está autorizada para almacenar o leer información en el dispositivo o enviar el mensaje. Segundo, si el tratamiento de datos que realiza después es lícito, transparente y limitado. El artículo sobre la LSSI en el comercio electrónico desarrolla el primer marco; la documentación de privacidad debe cubrir el segundo sin confundirlos.
5. Cookies: demostrar el comportamiento real
El artículo 22.2 LSSI exige información y consentimiento, salvo los supuestos técnicos exceptuados en el propio precepto. Entre ellos están la transmisión de una comunicación y lo estrictamente necesario para un servicio expresamente solicitado. Que una herramienta ayude al negocio no la convierte en necesaria para el servicio pedido por el usuario. Analice qué hace cada tecnología y cuándo comienza a funcionar.
La guía de cookies de la AEPD desarrolla cómo presentar las opciones de aceptar, rechazar y configurar. Un rechazo que obliga a recorrer pantallas adicionales mientras aceptar exige una sola acción plantea un problema de facilidad de elección. Las casillas premarcadas y la mera continuación de la navegación tampoco equivalen a un consentimiento válido. Estas exigencias deben conectarse con la configuración técnica efectiva.
Como evidencia práctica, conserve una versión fechada del banner y de la política, el inventario de etiquetas y una comprobación de qué solicitudes se envían antes y después de cada elección. Una captura de pantalla no demuestra por sí sola que los rastreadores están bloqueados. Si una agencia gestiona las etiquetas, acuerde quién autoriza cambios y cómo se detecta una activación accidental tras una campaña.
La comprobación debería incluir la retirada del consentimiento y las variantes relevantes de la web, por ejemplo móvil, páginas promocionales y checkout integrado. Un mismo dominio puede cargar tecnologías distintas según la ruta. La guía del banner de cookies conforme a la AEPD permite trasladar estas preguntas a la interfaz, evitando reducir el trabajo a añadir un botón visible.
6. Correos comerciales y bajas
El artículo 21 LSSI prohíbe los mensajes publicitarios o promocionales electrónicos no solicitados ni expresamente autorizados, con la excepción prevista para una relación contractual previa. Esta exige obtención lícita de los contactos y comunicaciones sobre productos o servicios de la propia empresa similares a los contratados. Debe ofrecerse oposición sencilla y gratuita al recoger los datos y en cada comunicación, en los términos de la ley.
Una persona que deja una dirección para consultar gastos de envío no se convierte por ello en cliente anterior. Tampoco autoriza necesariamente una secuencia de recordatorios de carrito. Clasifique el contenido y la finalidad real del mensaje. Si el comercio utiliza el interés legítimo como base de algún tratamiento bajo el RGPD, sigue teniendo que cumplir la regla de la LSSI aplicable al canal.
Ante una oposición a marketing directo, el artículo 21 RGPD exige cesar el tratamiento para ese fin, incluida la elaboración de perfiles vinculada. Compruebe que la baja llega a las listas importadas y a las campañas programadas. Conservar una referencia mínima para impedir nuevos envíos puede requerir una justificación propia; no permite mantener activo todo el perfil comercial. El análisis de sanciones en marketing y publicidad complementa este aspecto.
7. Seguridad y brechas: decisiones con umbrales distintos
El artículo 32 RGPD exige medidas adecuadas al riesgo. Sufrir un ataque no demuestra automáticamente que toda medida fuera inadecuada, ni contratar una solución de seguridad acredita por sí solo el cumplimiento. El comercio debe poder explicar sus decisiones: acceso a cuentas, privilegios del personal, protección de bases de datos, recuperación y revisión de los controles. La evaluación debe relacionarse con los datos y las posibles consecuencias para las personas.
Para contraseñas, no conviene usar indistintamente cifrado y almacenamiento seguro. La guía técnica de OWASP sobre almacenamiento de contraseñas recomienda funciones de hash apropiadas para contraseñas y sal, evitando texto claro y cifrado reversible como solución ordinaria. Es una recomendación técnica, no una fórmula legal que garantice ausencia de responsabilidad. También importan recuperación de cuenta, limitación de intentos y protección de administradores.
Una brecha de datos personales incluye destrucción, pérdida, alteración, divulgación o acceso no autorizados en los términos del RGPD. Puede afectar a disponibilidad sin que se haya probado una publicación en internet. Una caída técnica sin afectación a datos personales no es automáticamente una brecha de este tipo. Registre qué se conoce, qué falta por confirmar y por qué se ha adoptado cada decisión, sin esperar a disponer de una reconstrucción perfecta.
La notificación a la autoridad competente se realiza sin dilación indebida y, de ser posible, dentro de las 72 horas desde que el responsable tiene constancia, salvo que sea improbable que la brecha constituya un riesgo para derechos y libertades. Si se notifica después, deben explicarse los motivos del retraso. El artículo 33 permite facilitar información gradualmente cuando no pueda proporcionarse toda a la vez, sin dilación indebida. No se trata de un plazo aproximado.
La comunicación a las personas del artículo 34 es una decisión distinta, ante probable alto riesgo, sin dilación indebida y con sus excepciones. No tiene un plazo general de 72 horas idéntico al de la notificación a la autoridad. Todas las brechas de datos personales deben documentarse, también cuando no se notifican. La AEPD explica los destinatarios y umbrales, y la guía de notificación de brechas ayuda a preparar el expediente operativo.
8. Altas, suplantaciones y derechos desatendidos
Verificar una cuenta no implica pedir siempre un documento de identidad. La medida debe ser proporcionada al riesgo y evitar recopilar más datos de los necesarios. Confirmar el control de un correo puede reducir errores de escritura, pero no demuestra necesariamente la identidad civil de quien compra. En operaciones de mayor riesgo pueden ser necesarias medidas adicionales, que deberán evaluarse según su finalidad y consecuencias.
Cuando alguien denuncia que otro ha utilizado su dirección o identidad, preserve la evidencia pertinente y limite las acciones que puedan agravar el daño. No revele a un reclamante no verificado el historial completo de la cuenta. Separe el análisis de exactitud, posible fraude y derechos. La respuesta adecuada puede incluir corregir un contacto, bloquear temporalmente una operación o investigar la base del tratamiento; no hay una única medida obligatoria para todo registro de usuario.
En derechos, el plazo general para informar sobre las actuaciones es sin dilación indebida y, como máximo, un mes desde la recepción. La ampliación de otros dos meses debe ser necesaria por complejidad o número de solicitudes, con aviso motivado dentro del primer mes. Si no se actúa, el artículo 12.4 exige explicar las razones sin demora y dentro de un mes, indicando reclamación y tutela judicial. Una bandeja sin revisar no suspende esos deberes.
Una solicitud de borrar la cuenta tampoco implica borrar automáticamente facturas sujetas a conservación legal. Distinga el cierre de acceso, la supresión de perfiles y los datos necesarios para obligaciones o reclamaciones. La guía sobre derecho de supresión ayuda a motivar una respuesta parcial. Explicar qué permanece y por qué suele ser más útil que responder con una referencia genérica a la política de privacidad.
9. Reseñas, tickets y atención al cliente
Las reseñas pueden incluir datos del autor, empleados o terceros. El comercio debe analizar el tratamiento que decide realizar mediante su propio sistema, sin asumir que toda opinión externa le convierte en responsable de cualquier publicación ajena. La respuesta pública a una crítica puede crear una nueva divulgación: publicar el domicilio del comprador o detalles de su pedido para desmentirlo requiere una valoración propia y puede ser innecesario.
Una medida práctica es permitir que el equipo responda públicamente sin mostrar datos del expediente privado y ofrecer un canal para continuar la conversación. Defina cuándo retirar datos de terceros que no aportan nada a la opinión y cómo gestionar solicitudes contrapuestas. La protección de datos no equivale a borrar automáticamente toda reseña negativa, ni la libertad de expresión autoriza a divulgar cualquier información de un cliente.
10. Corregir y responder sin prometer una reducción
Conserve la evidencia necesaria para reconstruir los hechos y corrija los problemas activos de forma controlada. No sustituya una versión antigua por una nueva fingiendo que siempre estuvo implantada. Si la AEPD requiere información, responda al contenido y plazo del requerimiento y explique las limitaciones reales de los datos disponibles. El plan de mejoras debe indicar responsables y cómo se comprobará su aplicación.
La cooperación, las medidas para mitigar daños y otras circunstancias pueden valorarse según el régimen aplicable. No existe una regla por la que presentar un procedimiento escrito reduzca automáticamente la multa. Las reducciones por reconocimiento y pago del artículo 85 de la Ley 39/2015 tienen sus condiciones, incluidas las relativas a acciones o recursos administrativos. Pagar tampoco elimina necesariamente las medidas correctivas.
Para pasar del análisis de expedientes a la organización diaria, utilice la guía de RGPD para ecommerce en España. Mantenga separados hechos comprobados, hipótesis técnicas y decisiones legales. Esa distinción permite corregir con precisión y evita presentar como cumplimiento demostrado lo que todavía es una medida pendiente.