Una denuncia ante la AEPD se tramita habitualmente como una reclamación por una posible vulneración de la normativa de protección de datos. Puede servir para reclamar por un derecho no atendido o para poner en conocimiento de la autoridad un tratamiento que afecta a tus datos. Elegir bien el motivo, identificar al responsable y aportar pruebas comprensibles resulta más útil que pedir una multa concreta sin explicar qué ha sucedido.
Esta guía distingue el recorrido del ciudadano de la respuesta de la organización reclamada. Presentar una reclamación no implica que exista una infracción probada ni garantiza una sanción. La AEPD examina su competencia, la admisión y el cauce procedimental aplicable. La reclamación tampoco sustituye una solicitud de indemnización ante los tribunales ni la notificación que debe realizar un responsable cuando sufre una brecha de datos personales.
Comprobar si el problema corresponde a protección de datos
El artículo 77 del RGPD reconoce al interesado el derecho a reclamar si considera que el tratamiento de sus datos infringe el Reglamento. Puede hacerlo, en particular, ante la autoridad del Estado miembro de su residencia habitual, lugar de trabajo o lugar de la supuesta infracción. Los asuntos transfronterizos pueden requerir cooperación entre autoridades. Que la empresa tenga su sede fuera de España no impide automáticamente presentar una reclamación ante la AEPD.
Describe la operación discutida: publicación de una fotografía, envío de publicidad, comunicación de información a otra entidad o negativa a facilitar acceso. Un desacuerdo sobre el precio de un contrato o la calidad del servicio no se convierte por sí solo en una infracción de protección de datos. Puede haber varios problemas en los mismos hechos, pero conviene separar qué solicitas a cada organismo y qué pruebas sustentan cada pretensión.
La AEPD no supervisa indistintamente todas las entidades presentes en España. Las autoridades autonómicas tienen ámbitos propios definidos por la legislación, y el reparto depende del tratamiento y de la entidad, no solo del domicilio de quien reclama. La guía de la AEPD como autoridad de control explica este marco. Si dudas, identifica con precisión al responsable en lugar de atribuirlo únicamente a la marca que aparece en una página web.
Cuándo debes dirigirte antes al responsable
Si reclamas porque no se ha atendido un derecho, primero debes haberlo ejercido ante el responsable por un medio que permita acreditarlo. No basta con preguntar a la AEPD qué información conserva una empresa: es la empresa la que debe recibir inicialmente esa solicitud. La orientación oficial sobre derechos no atendidos permite reclamar cuando no haya respuesta en plazo o la respuesta recibida resulte insatisfactoria.
El responsable debe informar sobre las medidas adoptadas sin dilación indebida y, normalmente, dentro de un mes desde la recepción. Puede ampliar hasta dos meses más cuando sea necesario por la complejidad o el número de solicitudes, pero debe comunicar la ampliación y sus motivos dentro del primer mes. Si no actúa, debe informar sin dilación y, como máximo, en ese mes sobre los motivos y las posibilidades de reclamar y acudir a la vía judicial. Guarda también esa respuesta negativa si existe.
Los derechos de protección de datos no exigen utilizar una fórmula sacramental. Sí conviene indicar con claridad qué pides y a qué datos se refiere. Si buscas una copia de tus datos, diferéncialo de una petición para eliminarlos. Las solicitudes contradictorias o excesivamente vagas pueden generar aclaraciones evitables. La guía del derecho de acceso ayuda a precisar el contenido de la petición y a conservar la evidencia de su envío.
Para otras posibles infracciones, no existe un requisito general de haber reclamado siempre antes a la empresa. Puede ser útil resolver un error directamente, pero no transformes esa posibilidad en una obligación universal. Tampoco debes esperar a completar un intercambio ordinario cuando concurran circunstancias que justifiquen utilizar un canal urgente específico. Valora la naturaleza del problema y sigue las instrucciones oficiales correspondientes al tipo de reclamación.
La intervención del delegado de protección de datos es otro cauce
Cuando exista un delegado de protección de datos, puedes acudir a él antes de reclamar ante la autoridad. El artículo 37 de la LOPDGDD prevé que comunique la decisión adoptada en un plazo máximo de dos meses desde la recepción de esa reclamación. Este cauce no convierte en dos meses el plazo general de respuesta del responsable a una solicitud de derechos del artículo 12 del RGPD. Conviene identificar cuál de las dos actuaciones se ha presentado.
La AEPD también puede trasladar una reclamación al delegado o a mecanismos de resolución extrajudicial antes de admitirla. Cuando no existan esos cauces, puede remitirla al responsable o encargado en los términos legales. En los supuestos de remisión de los artículos 37.2 y 65.4, la respuesta debe darse en un mes. El traslado es una oportunidad para analizar y acreditar lo ocurrido; no es una declaración de culpabilidad ni una invitación a ignorar el asunto hasta que se abra un procedimiento sancionador.
Como reclamante, conserva el mensaje completo y la fecha de respuesta. Si la entidad afirma haber eliminado una publicación, comprueba el resultado y comunica los hechos posteriores que sean relevantes. No es necesario repetir íntegramente la reclamación cada vez: relaciona la documentación nueva con el número de expediente. Eso permite que la autoridad valore la corrección y cualquier problema que continúe pendiente.
Preparar pruebas que permitan reconstruir los hechos
Organiza una cronología breve con fechas, canales y participantes. Añade después documentos numerados que correspondan a cada hecho. Para una publicación, conserva la dirección de la página, la fecha y una captura que muestre el contexto. Para un mensaje comercial, guarda el contenido y los datos técnicos disponibles que permitan identificar su origen. Una captura recortada puede perder precisamente la información necesaria para comprobar quién publicó o envió algo.
Distingue lo que has observado de lo que deduces. Si recibiste información destinada a otra persona, puedes explicar el envío y aportar el documento de forma proporcionada, pero no afirmar sin pruebas que toda una base de datos se ha divulgado. La autoridad puede investigar a partir de indicios; no necesitas realizar por tu cuenta una auditoría ni acceder a sistemas ajenos. Obtener nuevas pruebas mediante una intrusión no es una forma adecuada de preparar el expediente.
Evita incorporar datos innecesarios de terceros. Puede bastar con ocultar partes de un documento sin valor probatorio, manteniendo lo que acredita el hecho. Explica las ocultaciones para que no se interpreten como una modificación del contenido relevante. Si aportas información especialmente sensible, utiliza el canal previsto y limita copias y destinatarios. El objetivo es demostrar la posible infracción sin reproducir innecesariamente la exposición que denuncias.
Presentar el formulario adecuado y guardar el justificante
La página oficial sobre cómo reclamar distingue formularios para derechos no atendidos, publicidad, videovigilancia, morosidad y otras materias. Utiliza el que corresponda y revisa sus requisitos documentales. El formulario ayuda a recoger datos necesarios para investigar; enviar únicamente un relato genérico a un buzón informativo puede no equivaler a presentar una reclamación registrada.
La presentación es preferentemente telemática, sin perjuicio de las reglas de los artículos 14 y 16.4 de la Ley 39/2015. Las personas obligadas a relacionarse electrónicamente deben respetar ese régimen. Las personas físicas no obligadas disponen de las alternativas legalmente previstas. Consulta las instrucciones actuales si necesitas presentación presencial o postal, evitando copiar direcciones antiguas de resoluciones publicadas hace años. Presentar personalmente una reclamación no requiere contratar abogado.
Comprueba identidad, representación cuando actúes por otra persona, datos de contacto y anexos antes de firmar. Al terminar, conserva el justificante de registro y una copia exacta de lo presentado. Si un archivo no se incorporó correctamente, subsana por el cauce indicado y explica a qué expediente pertenece. Una confirmación de que has guardado un borrador no debe confundirse con la constancia de presentación efectiva.
Los plazos no son una única cuenta atrás
La regulación de los artículos 64 a 67 de la LOPDGDD distingue varias fases. La decisión sobre admisión, inadmisión o remisión a la autoridad principal debe notificarse en tres meses conforme al artículo 65.5 de la LOPDGDD. Si no se notifica en ese plazo, continúa la tramitación en los términos de la ley, sin impedir un archivo posterior expreso. No significa que los hechos denunciados hayan quedado probados.
Cuando el procedimiento se refiere exclusivamente a un derecho no atendido, el plazo para resolver es de seis meses desde la notificación al reclamante del acuerdo de admisión. Si se investiga otra posible infracción, puede haber actuaciones previas durante un máximo de dieciocho meses desde la admisión o desde el acuerdo de inicio de oficio. Esa fase no es todavía el procedimiento sancionador y puede terminar en archivo o en un acuerdo de inicio.
El procedimiento destinado a determinar una posible infracción tiene una duración máxima de doce meses desde el acuerdo de inicio. El cauce de apercibimiento previsto en el artículo 64.3 tiene un máximo de seis meses. Existen reglas de suspensión, entre ellas las vinculadas a cooperación europea, que deben examinarse en el expediente. No sumes estos periodos como si describieran una duración garantizada de cualquier reclamación; importa cuál sea el procedimiento realmente seguido.
Qué puede decidir la Agencia y qué no concede al reclamante
La autoridad puede inadmitir una reclamación en los supuestos legales, investigar, archivar, ordenar medidas correctoras o declarar una infracción. La existencia de indicios suficientes para investigar no equivale al resultado final. Del mismo modo, que una empresa corrija el problema puede influir en la valoración, pero no borra automáticamente una infracción ya cometida. La resolución debe examinar los hechos y el régimen aplicable, no limitarse a confirmar la expectativa inicial de una de las partes.
La multa administrativa no se entrega al reclamante. La indemnización del artículo 82 del RGPD requiere sus propios presupuestos, incluido un daño material o inmaterial y su relación causal con la infracción, y se hace valer por la vía judicial correspondiente. La AEPD no es un tribunal que cuantifique esa compensación. Explicar qué perjuicio has sufrido puede ser relevante para los hechos, pero no convierte una petición económica en una competencia indemnizatoria de la Agencia.
Tampoco existe un derecho a obtener la sanción concreta que prefieras. La información publicada en el seguimiento de sanciones de 2025 puede servir para localizar resoluciones, pero los importes de otros casos no son una tarifa. Deben distinguirse hechos, normas, medidas y estado de los recursos. La guía de sanciones del RGPD desarrolla los criterios de graduación y evita equiparar automáticamente infracciones aparentemente parecidas.
Si tu organización recibe un traslado o requerimiento
Identifica primero el documento: puede tratarse de un traslado previo, una petición de información, un acuerdo de inicio o una propuesta de resolución. Cada actuación tiene efectos y plazos propios. Registra la fecha de notificación, asigna una persona responsable y comprueba qué documentación se solicita. La falta de respuesta no demuestra automáticamente la infracción de fondo, pero el deber de colaboración debe cumplirse y su incumplimiento puede tener consecuencias propias.
Contesta los hechos con evidencias contemporáneas, diferenciando lo que existía cuando ocurrió el problema de lo que se ha corregido después. No presentes una política recién creada como si hubiera estado vigente desde el inicio. Un checklist de cumplimiento en España ayuda a localizar documentación, pero la respuesta debe ajustarse al requerimiento concreto. La guía de inspección de la AEPD desarrolla cómo coordinar pruebas, responsables y seguimiento.
Si se abre un procedimiento con sanción pecuniaria, las reducciones se regulan en el artículo 85 de la Ley 39/2015, no en el artículo 85 de la LOPDGDD. En los supuestos legales, reconocimiento de responsabilidad y pago voluntario permiten reducciones de al menos un 20 % cada una, acumulables, que deben figurar en la notificación de inicio. Su efectividad se condiciona a desistir o renunciar a acciones o recursos en vía administrativa contra la sanción; no debe describirse como una renuncia general a toda tutela judicial.
Diferenciar una reclamación de una notificación de brecha
Una persona afectada puede reclamar por la exposición de sus datos. El responsable, por su parte, tiene un deber distinto de notificación de brechas a la AEPD cuando se cumplen los requisitos del artículo 33. No puede utilizar el formulario de reclamación del ciudadano para dar por cumplida esa obligación, ni esperar a que alguien reclame para iniciar la evaluación del incidente.
El responsable notifica a la autoridad competente sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tiene conocimiento, salvo que sea improbable que la brecha entrañe riesgo para los derechos y libertades. Si la notificación se retrasa, debe acompañarse de los motivos de la demora. Todas las brechas de datos personales se documentan, aunque no se notifiquen. La comunicación a los afectados depende del alto riesgo del artículo 34 y se realiza sin dilación indebida cuando procede. Como reclamante, puedes aportar la comunicación recibida, pero su existencia no demuestra por sí sola que todo el tratamiento haya sido ilícito.
Preguntas frecuentes
¿Puedo reclamar sin haber contactado nunca con la empresa?
Depende del motivo. Para reclamar por un derecho no atendido necesitas haberlo ejercido previamente y acreditar la falta de respuesta en plazo o una respuesta insatisfactoria. Para denunciar otro tratamiento presuntamente ilícito no existe una obligación universal de agotar primero una reclamación privada. Identifica el tipo de asunto y aporta pruebas o indicios suficientes para que la autoridad pueda examinarlo.
¿Tengo que esperar tres meses para que la AEPD haga algo?
No. Los tres meses se refieren a la decisión de admisión y actuaciones relacionadas previstas legalmente; no constituyen un periodo mínimo de espera. La Agencia puede actuar antes, pedir documentación o dar traslado. Si el asunto continúa después, los plazos dependen de la fase y del procedimiento. Conserva las notificaciones porque permiten identificar qué cómputo resulta aplicable.
¿Una empresa puede evitar toda consecuencia si paga pronto?
No. El pago voluntario tiene efectos concretos y condicionados sobre un procedimiento con sanción pecuniaria. No convierte el tratamiento en lícito ni elimina necesariamente las medidas necesarias para corregirlo. La decisión de reconocer responsabilidad, pagar o impugnar requiere leer el acuerdo y sus condiciones. No debe tomarse únicamente a partir del porcentaje mencionado en otra resolución.
Marco europeo: Reglamento General de Protección de Datos, texto oficial.