Multas de la AEPD a páginas web: casos reales y cuantías

La AEPD multa a páginas web sobre todo por tres motivos: instalar cookies sin un consentimiento válido (multas de hasta 30.000 € por infracción leve de la LSSI-CE), recoger datos en formularios sin informar como exige el artículo 13 del RGPD y no proteger los datos o no notificar a tiempo una brecha de seguridad. En los casos que recogemos aquí, todos publicados por la propia Agencia, las cuantías van de 2.000 € para una web pequeña a 600.000 € por una brecha.

Cada caso lleva su número de procedimiento y el enlace a la resolución en aepd.es, para que puedas leerla entera.

Qué multas puede poner la AEPD a una web

La Agencia Española de Protección de Datos aplica dos normas distintas cuando revisa una web:

• La LSSI-CE, para las cookies. Usar cookies sin informar o sin el consentimiento que exige el artículo 22.2 es una infracción leve (artículo 38.4.g), con multa de hasta 30.000 €. Si se reincide en los tres años siguientes a una resolución firme, pasa a grave (artículo 38.3.i), con multa de 30.001 a 150.000 €, según el artículo 39 de la LSSI-CE.
• El RGPD, para todo lo demás. El artículo 83 del RGPD fija multas de hasta 10 millones de euros o el 2 % de la facturación global (por ejemplo, por falta de seguridad o por no notificar una brecha) y de hasta 20 millones o el 4 % (por ejemplo, por no informar o tratar datos sin base legal). Son máximos: la cuantía real depende de la gravedad, la duración, el tamaño de la empresa y otros criterios del propio artículo.

Un matiz útil: los datos del aviso legal (artículo 10 de la LSSI-CE) no los sanciona la AEPD, sino la Secretaría de Estado de Digitalización e Inteligencia Artificial, según el artículo 43 de esa ley. Lo explicamos en la guía sobre el aviso legal.

Cuánto multa la AEPD: las cifras de 2025

Según la Memoria 2025 de la AEPD, la Agencia impuso en resolución definitiva 325 multas por un total de 48.108.765 €, un 35 % más que en 2024. «Servicios de Internet» fue el área con mayor importe (11.383.560 €), y las multas por quiebras de seguridad sumaron 9.838.003 €. Los procedimientos sancionadores o de apercibimiento por brechas pasaron de 30 a 77.

Casos reales de multas por cookies

Sin botón de rechazar: Iberia, 30.000 €

En el procedimiento PS/00032/2020, resuelto el 16 de octubre de 2020, la AEPD multó con 30.000 € a Iberia por infringir el artículo 22.2 de la LSSI-CE. La reclamación de partida decía que la web no daba la opción de rechazar las cookies y obligaba a aceptarlas para seguir navegando. La empresa recurrió y la AEPD desestimó el recurso de reposición.

«Si continúas navegando, aceptas»: Vueling, 30.000 € (18.000 € pagados)

En el procedimiento PS/00300/2019, el banner de la web decía que seguir navegando suponía aceptar las cookies, solo ofrecía la opción «Aceptar y continuar navegando» y remitía a la configuración del navegador para rechazarlas. La sanción propuesta fue de 30.000 €. La empresa reconoció su responsabilidad y pagó de forma voluntaria, lo que le permitió aplicar dos reducciones y pagar 18.000 €.

Banner poco claro y sin forma de retirar el consentimiento: Massimo Dutti, 5.000 €

En el procedimiento PS/00051/2023, resuelto el 13 de junio de 2023, la AEPD comprobó que la web no instalaba cookies no necesarias antes del consentimiento. Aun así, impuso 5.000 € porque la primera capa del banner describía las finalidades de forma genérica y no había un mecanismo permanente para retirar el consentimiento una vez dado. El recurso de reposición se desestimó.

Sin banner en una web pequeña: un despacho, 2.000 €

En el procedimiento PS/00030/2022, iniciado de oficio, la Agencia sancionó con 2.000 € a una empresa de servicios jurídicos. Su web cargaba cookies de terceros en la primera visita, no tenía banner ni panel para gestionarlas, y su política de cookies no identificaba las cookies que usaba, su finalidad ni su duración. Es un buen recordatorio de que el tamaño no protege: también se revisan webs pequeñas.

Casos reales por formularios sin información

Formulario de contacto sin política de privacidad: una persona que trabaja por cuenta propia, 2.000 €

En el procedimiento PS/00357/2022 (EXP202206542), la AEPD multó con 2.000 € a una persona que trabajaba por cuenta propia por infringir el artículo 13 del RGPD. Entre los hechos comprobados, su web tenía al menos un formulario que pedía datos personales sin informar sobre su tratamiento. Además de la multa, le ordenó completar la información de privacidad en un plazo de 30 días.

Formulario de registro sin identificar al responsable: un medio digital, 10.000 €

En el procedimiento PS/00546/2023, la web de un medio digital tenía un formulario de registro cuyo enlace a la política de privacidad no identificaba al responsable real del tratamiento. La AEPD impuso 10.000 € por infracción del artículo 13 del RGPD y ordenó adoptar medidas correctoras en un mes.

Un caso por seguridad y brecha

Datos de tarjetas y aviso tardío: Air Europa, 600.000 €

En el procedimiento PS/00179/2020, por un acceso no autorizado a datos de contacto y de tarjetas bancarias que afectó a unas 489.000 personas, la AEPD impuso 500.000 € por falta de medidas de seguridad (artículo 32 del RGPD) y 100.000 € por notificar la brecha 41 días después de conocerla, cuando el artículo 33 fija un máximo de 72 horas. La empresa recurrió y la Agencia desestimó el recurso.

Qué enseñan estos casos

• Rechazar debe ser igual de fácil que aceptar. «Seguir navegando» no es consentir, y mandar a la configuración del navegador no es una forma de rechazar.
• No basta con no instalar cookies antes de tiempo: el banner tiene que explicar bien las finalidades y debe haber una forma permanente de cambiar de opinión.
• Cada formulario necesita su información y debe decir quién es el responsable real.
• Las webs pequeñas también se sancionan, con cuantías menores pero reales, y la Agencia puede actuar de oficio.
• La multa no es lo único: la AEPD suele ordenar corregir lo que falla en un plazo concreto.
• Una brecha se gestiona en horas, no en semanas.

Reducciones y recursos

Como en el caso de Vueling, la Ley 39/2015, del procedimiento administrativo común prevé en su artículo 85 reducciones de al menos el 20 % por reconocer la responsabilidad y otro 20 % por pagar de forma voluntaria antes de la resolución, que pueden acumularse. Reconocer y pagar supone renunciar a recurrir en vía administrativa contra la sanción. Antes de decidir, conviene que lo valore una persona experta en la materia.

Cómo evitar una multa de la AEPD en tu web

1. Revisa el banner de cookies: rechazar al mismo nivel que aceptar, nada instalado antes de decidir y un enlace permanente para cambiar la elección. Te lo explicamos en la guía del banner de cookies.
2. Pon la información básica y el enlace a la política de privacidad junto a cada formulario.
3. Comprueba que la política identifica al responsable real y está al día. Si tienes dudas sobre el conjunto, repasa los requisitos legales de una página web.
4. Mantén la web actualizada y segura, y ten preparado qué hacer si hay una brecha.

Cómo comprobarlo

El diagnóstico gratuito de XEVIA analiza la página de inicio de tu web desde fuera, como lo haría cualquier visita. Detecta, entre otras cosas, herramientas de seguimiento sin gestor de consentimiento visible, cookies de analítica o publicidad instaladas en la primera visita, formularios sin información de privacidad, casillas premarcadas y si la web enlaza el aviso legal y las políticas de privacidad y cookies. También puedes usar la herramienta para comprobar las cookies de tu web.

Es una revisión automática y orientativa: no prueba el botón de rechazar en todos los navegadores, no revisa todas las páginas ni ve tus contratos o tus procesos internos. No es una declaración de cumplimiento ni de incumplimiento.

Preguntas frecuentes

¿Quién puede denunciar mi web ante la AEPD?

Cualquier persona puede presentar una reclamación ante la AEPD. Además, como muestra el caso PS/00030/2022, la Agencia también puede actuar de oficio.

¿La AEPD avisa antes de multar?

No siempre. A veces traslada primero la reclamación a la empresa para que responda; otras veces abre directamente el procedimiento. En todos los casos hay un acuerdo de inicio y un plazo para presentar alegaciones.

¿Dónde puedo consultar las resoluciones?

La AEPD publica sus resoluciones en su buscador de resoluciones, con filtros por artículo infringido.

¿Se van a endurecer las normas de cookies?

La Comisión Europea ha propuesto cambios en el Digital Omnibus, como rechazar con un solo clic, pero son propuestas en negociación. Seguimos su estado en el Observatorio XEVIA.

Si has recibido un requerimiento o quieres revisar tu web antes de que llegue, XEVIA cuenta con un equipo de abogados expertos en derecho digital: cuéntanos tu caso.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.