En una frase. El sector telecomunicaciones acumula el 23% del importe sancionador AEPD desde 2018, con Vodafone (8,15 M EUR), Orange y Movistar como reincidentes habituales por activaciones sin consentimiento y deficiencias en atención a derechos.
Puntos clave
- Vodafone España lidera el ranking histórico con 8,15 M EUR acumulados en 50+ procedimientos.
- Orange España: 4,8 M EUR acumulados. Movistar/Telefónica: 3,9 M EUR.
- Infracciones recurrentes: alta sin consentimiento, portabilidad fraudulenta, conservación excesiva.
- Multas medias por expediente: 60.000-200.000 EUR. Sanciones agravadas por reincidencia.
- Procedimiento abreviado aplicado en el 45% de expedientes del sector.
1. Por qué el sector telco concentra las sanciones
Las telecos manejan datos identificativos, de tráfico, localización y facturación de millones de clientes con sistemas heredados, redes de distribución externas y procesos de alta a través de call centers de terceros. Esta combinación produce el caldo de cultivo perfecto para infracciones del RGPD y de la Ley General de Telecomunicaciones. La AEPD considera al sector “particularmente reincidente” desde 2019 y aplica circunstancias agravantes del art. 83.2.e RGPD de forma sistemática. Las telecos encabezan el reparto sectorial del tracker de sanciones AEPD 2025.
2. Vodafone España: caso de estudio
Vodafone acumula la sanción individual más alta del sector: 8,15 M EUR en el Procedimiento PS/00059/2021 por activaciones de líneas sin consentimiento del titular y cesión indebida a empresas de morosidad. Resoluciones posteriores en 2023, 2024 y 2025 por importes entre 70.000 EUR y 4,2 M EUR confirman el patrón de reincidencia. Total acumulado superior a 14 M EUR considerando todas las marcas del grupo.
3. Orange España: portabilidad y altas fraudulentas
Orange ha sido sancionada en 38 procedimientos firmes desde 2019. Importe acumulado: 4,8 M EUR. Casos típicos: portabilidades realizadas sin autorización del titular, contratos con datos suplantados procedentes de DNIs robados o filtrados, y respuestas tardías a derechos ARCO. La AEPD destacó en 2024 la falta de controles internos sobre la red comercial externa.
4. Movistar/Telefónica: deficiencias en información
Telefónica acumula 3,9 M EUR en sanciones desde 2018. Infracciones más sancionadas: información insuficiente en momento de recogida (art. 13 RGPD), conservación de datos más allá del plazo necesario tras baja del servicio, y geolocalización por torres sin base jurídica adecuada en productos de seguros conexos.
5. Tabla comparativa de las grandes telcos
| Operador | Acumulado (EUR) | Expedientes | Sanción mayor |
|---|---|---|---|
| Vodafone | 14.200.000 | 52 | 8.150.000 (2021) |
| Orange | 4.800.000 | 38 | 1.900.000 (2025) |
| Movistar | 3.900.000 | 41 | 600.000 (2022) |
| MásMóvil | 1.700.000 | 22 | 300.000 (2024) |
| Digi | 480.000 | 9 | 120.000 (2025) |
| Yoigo | 320.000 | 7 | 90.000 (2023) |
6. Tipos de infracción dominantes
- Alta sin consentimiento del titular (art. 6.1 RGPD) — 34%
- Inclusión indebida en ficheros de morosidad (Asnef, Badexcug) — 21%
- Información insuficiente (art. 13) — 16%
- Deficiente atención a derechos del interesado — 13%
- Conservación excesiva tras baja — 8%
- Cesiones a terceros sin base — 5%
- Brechas de seguridad no notificadas — 3%
Las campañas comerciales agresivas del sector alimentan además los expedientes por comunicaciones no consentidas que analizamos en sanciones AEPD en marketing y publicidad.
7. Inclusión en ficheros de morosidad
La AEPD ha endurecido criterios sobre inscripción en Asnef o Badexcug. Requisitos cumulativos confirmados en resoluciones recientes: deuda cierta, vencida, exigible, requerimiento previo fehaciente al deudor con margen de respuesta y conservación máxima de 5 años desde el vencimiento. Sanciones típicas: 30.000-150.000 EUR por cada inscripción improcedente.
8. Red comercial externa: el agujero estructural
El 71% de las sanciones a operadores tienen origen en actuaciones de distribuidores autorizados, call centers subcontratados o tiendas multimarca. La AEPD rechaza el argumento de “actuación fuera de control” cuando el operador es responsable del tratamiento conforme al art. 4.7 RGPD. Es imprescindible un contrato de encargado robusto y auditorías periódicas a la red. Se trata de un problema estructural compartido con las comercializadoras eléctricas, como muestran las sanciones AEPD a energía y utilities.
9. Procedimiento abreviado y reducciones
El 45% de los expedientes del sector se cierran por procedimiento abreviado del art. 64 LOPDGDD con reducción acumulable del 40% (20% reconocimiento + 20% pago voluntario). Estrategia rentable cuando los hechos son indiscutibles y el importe inicial supera 50.000 EUR.
10. Marco normativo y criterio del EDPB
La sanción de referencia del sector es la impuesta a Vodafone España, S.A.U.: 8,15 millones EUR (Resolución AEPD PS/00059/2021), la mayor sanción individual firme del sector en España. El importe se explica por la acumulación de infracciones sobre datos tratados con base en el art. 6 del Reglamento (UE) 2016/679 y por la aplicación del agravante de reincidencia del art. 83.2.e.
El sector telco tiene, además, una capa sectorial: la Ley General de Telecomunicaciones (Ley 11/2022) y el régimen de conservación de datos de tráfico. Las Directrices del EDPB sobre corresponsabilidad y sobre el ámbito del legitimate interest son la referencia que la AEPD usa para rechazar el argumento de “actuación del distribuidor fuera de control”: el operador es responsable del tratamiento (art. 4.7 RGPD) y responde por su red comercial. Todas las resoluciones citadas son consultables en el buscador de la AEPD.
11. Portabilidad fraudulenta: el patrón que se repite
La portabilidad sin autorización real del titular concentra buena parte de los expedientes por altas indebidas. El mecanismo típico: un comercial de la red externa cierra una portabilidad con datos de un DNI filtrado o suplantado para cobrar la comisión de captación. Consecuencias para el operador:
- Infracción del art. 6.1 RGPD (tratamiento sin base jurídica del titular real).
- Infracción del art. 5.1.d (exactitud) por operar con identidad no verificada.
- Agravante por afectar a víctima de suplantación de identidad.
La defensa basada en la buena fe del operador no prospera: la AEPD exige controles de verificación de identidad antes de ejecutar la portabilidad, no después de la reclamación.
12. Cómo prevenir sanciones AEPD en telco
- Validación obligatoria del DNI mediante OCR + biometría en altas presenciales y remotas.
- Doble opt-in con grabación o SMS de confirmación en altas telefónicas.
- Auditoría trimestral de la red de distribución.
- Revisión documental antes de inclusión en Asnef o Badexcug.
- Protocolo de brechas de seguridad con notificación AEPD en menos de 72 horas.
- Atención a derechos ARCO en 30 días naturales con trazabilidad de respuesta.
FAQ
¿Por qué sancionan tanto a las telecos?
Por la combinación de tratamiento masivo, red de distribución externa y reincidencia. La AEPD aplica el agravante del art. 83.2.e RGPD por reiteración de infracciones similares.
¿Qué hacer si una teleco me da de alta sin permiso?
Reclame por escrito al servicio de atención al cliente y al DPO del operador. Si no responden en 30 días, presente denuncia ante la AEPD.
¿Cuál es la sanción más alta a una teleco en España?
Vodafone España: 8,15 M EUR en 2021 por activaciones sin consentimiento y cesión a morosidad.
¿Las multas las pagan los distribuidores?
No. El responsable del tratamiento conforme al art. 4.7 RGPD es el operador, no el distribuidor. Las relaciones internas se resuelven civilmente mediante repetición contractual, pero frente a la AEPD y frente al cliente responde siempre el operador.
¿Sirve el procedimiento abreviado para reducir la sanción?
Sí. El art. 64 LOPDGDD permite una reducción acumulable del 40% (20% por reconocimiento de responsabilidad y 20% por pago voluntario). Es la vía habitual cuando los hechos son indiscutibles y el importe inicial supera los 50.000 EUR, pues cerrar el expediente rápido reduce el coste total y el riesgo reputacional.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial