Sanciones de la AEPD por publicar documentos con datos personales

La Agencia Española de Protección de Datos (AEPD) puede sancionar tanto a empresas como a Administraciones cuando se publican documentos con datos personales sin anonimizar. En este artículo verás qué tipo de sanciones aplica, cuánto pueden llegar a ser y qué casos reales lo demuestran.

Marco jurídico

La AEPD actúa al amparo del RGPD y de la LOPDGDD 3/2018. Publicar documentos con datos personales sin base legal ni anonimización adecuada suele considerarse una infracción de los artículos 5 (principios), 6 (licitud) y 32 (seguridad) del RGPD.

Cuantía de las multas

• Infracciones leves: hasta 40.000 €.
• Infracciones graves: hasta 300.000 € o 2% de la facturación mundial.
• Infracciones muy graves: hasta 20 millones € o 4% de la facturación mundial.

Régimen especial para el sector público (art. 77 LOPDGDD)

Las Administraciones incluidas en el artículo 77 no reciben multa económica, pero sí resolución declarando la infracción, medidas correctoras obligatorias, comunicación al Defensor del Pueblo y posible propuesta de actuaciones disciplinarias. Ver análisis completo del artículo 77.

Casos reales

• Sanción de 15.000 € a una empresa por publicar documentos con datos identificativos sin base legal.
• Caso Los Alcázares: acta de Pleno con nombre y deuda de un vecino.
• Sentencia publicada con DNI visible.
• Envío por correo de datos de salud sin anonimizar.

Cómo evitar la sanción: proceso de anonimización

1. Identifica qué documentos se publican o comparten fuera.
2. Define categorías de datos que hay que anonimizar por defecto.
3. Usa una herramienta que anonimice la capa de texto real y limpie metadatos.
4. Documenta el proceso y quién revisa cada versión.
5. Formación continua al personal responsable.

Cómo ayuda anonimIA

anonimIA reduce el riesgo de sanción automatizando la detección, la anonimización y el registro auditable de cada documento publicado.