“Eso no me va a pasar a mí, mi web es pequeña” es la reacción más común cuando hablamos de sanciones de la AEPD con clientes PYME. Los datos dicen otra cosa: la Agencia Española de Protección de Datos no reserva su actividad sancionadora solo para grandes corporaciones, y el patrón de infracciones más repetido no requiere una web compleja para cometerse.
Esta guía repasa los patrones reales de sanción documentados y qué aprender de ellos, sin necesidad de haber pasado por la experiencia tú mismo. No es asesoría legal, sino la lectura de un equipo que revisa y configura estos elementos en las webs de sus clientes cada semana.
Para el detalle de cómo implementar correctamente cada elemento legal, consulta LSSI y RGPD en WordPress: Aviso Legal, Cookies y Formularios.
Los números de 2025, en contexto
En 2025, la AEPD dictó 299 resoluciones y sumó más de 40 millones de euros en multas. Estas cifras no representan solo a grandes empresas, una parte significativa de la actividad sancionadora de la agencia recae sobre PYMEs y autónomos con presencia web básica, precisamente porque los errores más comunes (banner de cookies mal configurado, formularios sin consentimiento) no dependen del tamaño del negocio.
| Tipo de infracción | Multa máxima |
|---|---|
| LSSI: cookies sin consentimiento adecuado | Hasta 30.000€ |
| RGPD: infracción leve | Variable, según el caso |
| RGPD: infracción grave | Hasta 20 millones de euros o el 4% de la facturación anual |
Conviene leer esa tabla con una idea en la cabeza: los topes son el techo, no lo habitual, y lo que de verdad se repite en las webs pequeñas no es la infracción exótica, sino los cuatro patrones que vienen a continuación. Los cuatro se corrigen sin abogado y casi siempre en una tarde de trabajo bien hecho.
Patrón de infracción 1: banner de cookies con rechazo dificultado
El patrón más repetido en las resoluciones documentadas es el banner de cookies que ofrece un botón grande y prominente de “Aceptar” mientras esconde la opción de rechazo en un enlace secundario, un menú desplegable, o un segundo clic adicional. La AEPD considera esto una práctica que dificulta indebidamente el ejercicio del derecho a rechazar, equiparable en la práctica a no ofrecer opción real de rechazo.
Qué aprender: el botón de “Rechazar todo” debe tener exactamente la misma prominencia visual (tamaño, color, posición) que el de “Aceptar todo”. No basta con que técnicamente exista la opción, su accesibilidad visual importa tanto como su existencia.
Cómo se comprueba en la práctica: abre tu web en una ventana de incógnito y, sin leer el texto, mira solo los botones. Si tu ojo va directo al de aceptar y tienes que buscar el de rechazar, ya tienes el problema. La prueba honesta es que un visitante pueda rechazar con el mismo número de clics y el mismo esfuerzo visual con que acepta. Revisa también que no haya casillas de finalidades premarcadas: el consentimiento marcado por defecto no cuenta como consentimiento.
Patrón de infracción 2: cookies cargadas antes del consentimiento
Otro patrón habitual: el banner de cookies existe y parece correctamente configurado, pero un análisis técnico revela que Google Analytics u otros scripts de terceros ya se cargan y depositan cookies antes de que el usuario tome ninguna decisión, a menudo porque el script está insertado directamente en el código del tema en lugar de gestionarse a través del propio sistema de consentimiento.
Qué aprender: no basta con tener un banner, hay que verificar técnicamente que ningún script no esencial se ejecuta hasta que el consentimiento se ha dado explícitamente. Esto requiere revisar el código, no solo la apariencia visual del banner.
Cómo se comprueba en la práctica: abre las herramientas de desarrollo del navegador, pestaña Red (Network) y Aplicación (Application > Cookies), y carga tu web sin tocar el banner. Si ves peticiones a dominios de analítica o publicidad, o cookies de terceros ya depositadas antes de aceptar, ese es el fallo. La causa casi siempre es la misma: alguien pegó el código de seguimiento directamente en el tema o en el <head> en vez de dejar que lo dispare el gestor de consentimiento solo cuando toca. La solución no es tapar el banner, es mover ese disparo dentro del sistema de consentimiento.
Patrón de infracción 3: formularios sin base legal clara para el tratamiento
Formularios de contacto o de solicitud de presupuesto que recogen datos personales sin checkbox de consentimiento explícito, o con una política de privacidad que no explica con claridad la finalidad real del tratamiento de esos datos.
Qué aprender: cada dato que recoges debe tener una finalidad declarada y un consentimiento verificable. Si tu formulario pide más datos de los estrictamente necesarios para la finalidad declarada, eso también puede considerarse un problema de proporcionalidad en el tratamiento.
Cómo se comprueba en la práctica: haz inventario de todos los formularios de la web (contacto, presupuesto, newsletter, comentarios, checkout si hay tienda) y, para cada uno, responde tres preguntas: qué datos pide, para qué los usa realmente y dónde acaban esos datos. Si un formulario pide el teléfono “por si acaso” cuando solo vas a responder por email, sobra. Cada campo debe justificarse por la finalidad, y esa finalidad debe estar enlazada y explicada en la política de privacidad desde el propio formulario.
Patrón de infracción 4: conservación de datos sin límite definido
Empresas que recogen datos de formularios o registros de usuario y los conservan indefinidamente, sin un criterio claro de cuánto tiempo se guardan ni un proceso para eliminarlos cuando ya no son necesarios para la finalidad original.
Qué aprender: la política de privacidad debe especificar un plazo de conservación concreto, y debería existir un proceso (aunque sea manual) para eliminar datos que ya han superado ese plazo o cuya finalidad ya no aplica.
Cómo se comprueba en la práctica: entra en tu propio WordPress y mira dónde se acumulan datos personales de verdad. Los plugins de formularios suelen guardar cada envío en la base de datos indefinidamente, además de mandarlo por correo, mucha gente no sabe que ese histórico existe. Define un plazo por finalidad, déjalo escrito en la política de privacidad, y establece una rutina (aunque sea recordarlo en el calendario) para purgar lo caducado. Un dato que ya no necesitas y sigues guardando es solo riesgo sin contrapartida.
Cómo autoauditar tu web antes de que lo haga otro
Reunir las cuatro comprobaciones anteriores en un mismo recorrido te da una autoauditoría que cualquiera puede hacer sin conocimientos legales:
- Prueba del banner a ciegas. En incógnito, valora si aceptar y rechazar tienen el mismo peso visual y el mismo coste de clics.
- Prueba de red. Con las herramientas del navegador, confirma que no se carga ningún script ni cookie no esencial antes del consentimiento.
- Inventario de formularios. Lista cada formulario y justifica campo a campo por qué pides cada dato.
- Rastro de la política de privacidad. Comprueba que es accesible desde cada punto donde recoges datos y que refleja la realidad actual (proveedores, finalidades, plazos), no una plantilla de hace años.
- Prueba de derechos. Simula que un usuario te pide acceder o borrar sus datos: ¿sabrías dónde están y cómo atender la solicitud dentro del plazo? Si la respuesta es “tendría que buscarlo”, ese es un frente abierto.
Cómo se inicia habitualmente una investigación de la AEPD
No siempre es una inspección proactiva de la agencia. Los patrones habituales de origen de una investigación incluyen:
- Una denuncia directa de un usuario que sintió que su solicitud de derechos (acceso, supresión) no fue atendida correctamente.
- Una denuncia de un competidor o de una asociación de consumidores.
- Auditorías sectoriales puntuales que la AEPD realiza sobre un tipo concreto de web o servicio.
Esto significa que el riesgo no depende únicamente de si tu web “parece” cumplir, un solo usuario descontento con cómo gestionaste su solicitud de datos puede iniciar el proceso. Por eso la gestión de las solicitudes de derechos ARCO importa tanto como el banner: es el frente que más veces se traduce en una denuncia real, y es el que más se descuida porque no se ve en la web.
Qué hacer si recibes una notificación de la AEPD
Recibir una comunicación de la agencia no equivale a una sanción, pero tampoco es algo que se pueda ignorar. Con la cautela de que esto no es asesoría jurídica, el orden práctico de actuación suele ser:
- No dejar pasar el plazo indicado en la propia notificación. El documento que recibes señala qué se te pide y en cuánto tiempo; la peor respuesta posible es el silencio.
- Reunir la documentación que demuestre lo que sí haces: capturas del banner, configuración del gestor de consentimiento, textos legales publicados, registro de cómo atiendes las solicitudes de derechos.
- Corregir de inmediato lo que esté mal configurado, aunque la infracción ya haya ocurrido: dejar de acumular tiempo con la configuración incorrecta activa siempre juega a favor.
- Valorar asesoramiento legal en cuanto la comunicación va más allá de un simple requerimiento informativo.
La conclusión operativa es sencilla: lo que te evita el susto no es reaccionar bien a la notificación, sino haber dejado por escrito y bien configurado el cumplimiento antes de que llegue.
Cómo reducir el riesgo de forma práctica
| Acción preventiva | Qué evita |
|---|---|
| Auditar el banner de cookies con herramientas de análisis técnico, no solo visualmente | Scripts cargados antes del consentimiento sin que se note a simple vista |
| Dar la misma prominencia visual a “Aceptar” y “Rechazar” | El patrón de rechazo dificultado, el más repetido en las resoluciones |
| Responder cualquier solicitud de derechos ARCO en el plazo legal | Denuncias por falta de respuesta, causa habitual de investigación |
| Inventariar formularios y justificar cada campo por su finalidad | Recogida de datos desproporcionada o sin base legal clara |
| Revisar la política de privacidad tras cualquier cambio de proveedor externo | Información desactualizada sobre dónde van los datos |
| Documentar internamente cuánto tiempo se conservan los datos y por qué | Conservación indefinida sin justificación |
| Purgar periódicamente datos caducados de plugins de formularios | Histórico oculto de datos personales acumulándose en la base de datos |
El error de fondo: cumplir sin poder demostrarlo
Casi todos los patrones anteriores comparten una misma raíz. No es que la mayoría de las PYMEs quieran incumplir, es que confunden “tener un banner” o “tener una política de privacidad” con cumplir, cuando lo que se exige es poder demostrar que cumples: que el rechazo funciona de verdad, que ningún script se salta el consentimiento, que atiendes las solicitudes a tiempo, que borras lo caducado. Una web puede tener todos los textos legales y aun así fallar en la práctica técnica. Por eso la revisión que de verdad protege no es leer los textos, es comprobar el comportamiento real de la web, y dejar constancia de que se ha comprobado.
Preguntas Frecuentes
¿Las sanciones de la AEPD solo afectan a empresas grandes? No. Una parte significativa de la actividad sancionadora recae sobre PYMEs y autónomos, precisamente por errores comunes de configuración que no dependen del tamaño del negocio.
¿Cuánto tiempo tiene una empresa para responder a una solicitud de derechos de un usuario? El RGPD establece plazos concretos de respuesta; no atenderlos dentro de ese plazo es en sí mismo un motivo habitual de denuncia ante la AEPD.
¿Una denuncia de un solo usuario puede iniciar una investigación completa? Sí, es uno de los orígenes más habituales de investigación, independientemente del tamaño de la empresa denunciada.
¿Cómo puedo verificar técnicamente si mi web carga cookies antes del consentimiento? Con las herramientas de desarrollo del navegador (pestaña Red/Network), puedes ver qué peticiones y cookies se generan nada más cargar la página, antes de interactuar con el banner de cookies.
¿Existe algún periodo de gracia tras detectar un error de configuración? No hay garantía de ningún periodo de gracia, el riesgo existe desde el momento en que la configuración incumple, independientemente de si ya ha sido detectado por la agencia.
¿Corregir un error tras recibir una denuncia evita la sanción? Puede influir en la resolución final, pero no garantiza evitar la sanción, la infracción ya se produjo durante el tiempo en que la configuración incorrecta estuvo activa.
¿Qué papel juega el hosting o el país donde están los servidores en estas sanciones? No exime de responsabilidad al titular de la web, la ubicación del servidor no sustituye el cumplimiento del RGPD por parte de quien recoge y trata los datos.
¿Necesito un asesor legal para evitar estos errores? Para los patrones más comunes (banner de cookies, formularios, política de privacidad), una implementación técnica cuidadosa siguiendo esta guía cubre la mayoría de casos. Para situaciones más complejas (tratamiento de datos sensibles, transferencias internacionales), sí conviene asesoramiento legal específico.
¿Sirve de algo un plugin de cookies “todo en uno” si no lo configuro? Poco. Un plugin de gestión de consentimiento instalado con la configuración por defecto reproduce a menudo justo los fallos que sancionan: aceptar destacado, scripts que se disparan antes de tiempo. La herramienta ayuda, pero solo si la configuras para que el rechazo sea real y bloquee de verdad lo no esencial hasta el consentimiento.
¿Y si copio la política de privacidad de otra web parecida a la mía? Es uno de los errores más frecuentes. Una política copiada describe el tratamiento de datos de otro, no el tuyo: otros proveedores, otras finalidades, otros plazos. En cuanto no refleja lo que tu web hace de verdad, deja de protegerte y se convierte en una prueba en contra.
¿Basta con hacer la autoauditoría una vez? No. Cada cambio relevante (un plugin nuevo, un cambio de proveedor de analítica, un formulario añadido, un rediseño) puede reintroducir un fallo que ya habías corregido. Lo sensato es repetir el recorrido de forma periódica y siempre después de tocar la web.
Conclusión
Los patrones de sanción de la AEPD no son sorprendentes ni requieren errores complejos, se repiten una y otra vez en los mismos puntos: banners de cookies con rechazo dificultado, scripts cargados antes del consentimiento, y formularios sin base legal clara. Conocer estos patrones es la forma más directa de evitarlos.
Si prefieres que revisemos estos puntos en tu web de forma preventiva, en Avantys lo incluimos dentro de la supervisión continua en Gestión WordPress.
Artículos relacionados
- Seguridad y cumplimiento legal en WordPress
- LSSI y RGPD en WordPress: aviso legal, cookies y formularios
- Cómo saber si tu WordPress ha sido hackeado
- LSSI y RGPD en tiendas WooCommerce
- Mantenimiento y actualizaciones de WordPress sin sustos
¿Y si tu WordPress lo lleváramos nosotros?
Actualizaciones, seguridad, backups verificados, staging y rendimiento, gestionado de forma continua por una persona que responde, donde ya lo tengas o te lo montamos. Auditoría gratuita de tu web actual.
