Las sanciones RGPD en la gestión de datos de clientes ya no son cosa solo de grandes bancos o teleoperadoras: en los últimos ejercicios, la Agencia Española de Protección de Datos (AEPD) ha sancionado con cifras de tres y cuatro cifras a clínicas, talleres, academias y despachos que nunca pensaron que un fichero de clientes en un Excel o un CRM mal configurado pudiera acabar en un expediente sancionador.
El problema no suele ser mala fe. Es que el dato del cliente pasa por muchas manos y muchas herramientas —el presupuesto, la factura, el CRM, el WhatsApp de avisos, la hoja de cálculo de cobros pendientes— y en cada salto hay una oportunidad de guardar de más, de compartir de más o de olvidar borrar. Vamos a ver qué dice la normativa, cuánto puede costar en la práctica y qué cambia cuando ese trasiego de datos deja de depender de que alguien se acuerde de hacerlo bien.
Qué son las sanciones RGPD y quién las impone en España
El Reglamento General de Protección de Datos (RGPD) es una norma europea de aplicación directa en España, complementada por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el reglamento al ordenamiento español y regula, entre otras cosas, el procedimiento sancionador.
En España, quien investiga las reclamaciones y, en su caso, abre expediente e impone la multa es la Agencia Española de Protección de Datos (AEPD). Solo en 2025 recibió más de 30.000 reclamaciones, un 64% más que el año anterior, así que la probabilidad de que un cliente descontento presente una no es hipotética: es una tendencia al alza.
La LOPDGDD clasifica las infracciones en leves, graves y muy graves según qué principio del RGPD se haya incumplido (transparencia, seguridad, consentimiento, plazos de conservación, entre otros), pero la cuantía máxima de la multa la fija directamente el artículo 83 del RGPD, no la ley española.
Cuánto puede llegar a costar una sanción RGPD a una pyme
El artículo 83 del RGPD establece dos techos: hasta 10 millones de euros o el 2% de la facturación anual global para infracciones como no tener un encargado de tratamiento en regla, y hasta 20 millones de euros o el 4% de la facturación para las más graves, como tratar datos sin base legal o vulnerar los derechos de los interesados. Se aplica siempre la cifra mayor entre el importe fijo y el porcentaje.
Esos techos están pensados para multinacionales, no para el despacho de gestoría de tu barrio. En la práctica, cuando la AEPD sanciona a una pyme, la cuantía se gradúa según criterios como la naturaleza y gravedad de la infracción, el volumen de datos afectados, la actitud de colaboración de la empresa, las medidas de seguridad ya implantadas y si es reincidente. El resultado suele moverse entre unos cientos de euros y varias decenas de miles, muy lejos de los titulares millonarios.
Además, la ley permite una rebaja acumulativa de hasta el 40% (20% por reconocer la responsabilidad y 20% por pagar de forma voluntaria antes de que la resolución sea firme), algo que muchas pymes acaban aceptando porque prolongar el procedimiento sale más caro en tiempo y en asesoría que asumir la sanción reducida.
| Nivel de infracción | Ejemplos típicos | Cuantía máxima legal |
|---|---|---|
| Leve / grave (art. 83.4 RGPD) | No formalizar el contrato de encargado de tratamiento, no atender un derecho de acceso a tiempo | Hasta 10 M€ o 2% de facturación |
| Muy grave (art. 83.5 RGPD) | Tratar datos de clientes sin base legal, vulnerar principios de seguridad o transparencia | Hasta 20 M€ o 4% de facturación |
Dónde surge el riesgo en el backoffice de una pyme
El dato del cliente rara vez vive en un solo sitio. En un despacho de Burgos, por ejemplo, el nombre, el NIF y la cuenta bancaria de un cliente pueden estar a la vez en el programa de facturación, en una hoja de Excel de seguimiento de cobros, en el histórico de WhatsApp del gestor y en un correo con el presupuesto adjunto. Cada copia es una superficie de riesgo adicional: si se pierde el móvil, si se comparte sin cifrar, si nadie la borra cuando ya no hace falta.
- Presupuestos y facturas con datos de contacto y bancarios guardados sin control de acceso claro.
- Conciliación bancaria manual, donde los extractos con IBAN de clientes circulan por correo o USB.
- Avisos de cobro o citas por WhatsApp que mezclan chats personales y profesionales en el móvil de un empleado.
- Bajas de clientes que nunca se traducen en el borrado o anonimización de sus datos cuando expira el plazo legal.
Este último punto conecta directamente con la conservación documental: no basta con proteger el dato mientras es cliente activo, también hay que saber cuándo toca eliminarlo. Lo explicamos con detalle en el plazo legal de conservación de facturas, que marca el límite a partir del cual mantener ciertos datos deja de tener base legal y empieza a ser un riesgo en sí mismo.
Las infracciones más comunes en la gestión de datos de clientes
Según los expedientes que resuelve la AEPD año tras año, los motivos que más se repiten en pymes no son fugas espectaculares, sino descuidos operativos:
Falta de transparencia
No informar con claridad, en el presupuesto o en el alta como cliente, para qué se van a usar sus datos y durante cuánto tiempo se conservarán.
Conservación indebida
Guardar datos de clientes antiguos, presupuestos no aceptados o candidatos a un servicio mucho más allá del tiempo necesario, sin un criterio de purga automático.
Ausencia de medidas de seguridad razonables
Compartir información bancaria o fiscal por canales sin cifrar, o dar acceso a todo el fichero de clientes a personal que no lo necesita para su trabajo.
Marketing sin consentimiento verificable
Reutilizar el email o el teléfono de un cliente de facturación para campañas comerciales sin haber recabado un consentimiento específico y documentado para ese fin.
Cómo blindar la gestión de datos de clientes sin frenar el negocio
La buena noticia es que casi todos estos riesgos se reducen con procesos, no con más papeleo. Tres principios prácticos marcan la diferencia en el día a día de una pyme:
- Minimizar copias: que el dato bancario o fiscal de un cliente viva en un único sistema trazable, no repartido entre Excel, correo y WhatsApp.
- Automatizar los plazos: que la purga o anonimización de datos que ya no tienen base legal para conservarse no dependa de que alguien se acuerde de hacerlo a mano.
- Registrar quién accede a qué: control de accesos y trazabilidad, especialmente cuando varias personas tocan facturación, cobros y presupuestos.
Aquí es donde automatizar el traspaso de información entre sistemas ayuda más de lo que parece: cuando el mismo dato de cliente fluye de forma controlada entre el presupuesto, la factura y la conciliación bancaria sin que nadie tenga que copiarlo a mano, desaparecen la mayoría de las copias sueltas que hoy generan riesgo. Es justo lo que hace un empleado IA de backoffice gestionado por IberClaw: centraliza el dato, aplica las mismas reglas de acceso y conservación cada vez, y deja rastro de cada operación.
Lo mismo aplica al archivo de la documentación asociada a esos clientes: si quieres ver cómo se automatiza esa parte sin perder el control sobre quién accede a qué, tienes el detalle en cómo automatizar el archivo digital de facturas y documentos.
Automatizar sin perder el control del dato
Automatizar la gestión de datos de clientes no consiste en delegar la responsabilidad en un programa, sino en que ese programa aplique siempre el mismo criterio: qué se guarda, dónde, quién puede verlo y cuándo caduca. Un administrativo con quince tareas a la vez puede olvidarse de anonimizar un cliente dado de baja hace tres años; un proceso automatizado que revisa esos plazos cada semana no.
Antes de automatizar conviene tener claro cuánto cuesta hoy gestionar esos datos a mano frente a hacerlo con un sistema que aplica las reglas de forma constante. Puedes comparar ambos escenarios en la calculadora de coste de un empleado administrativo, que ayuda a poner en números el tiempo (y el riesgo) que hoy se dedica a tareas que podrían estar automatizadas y auditadas.
Si quieres ver cómo encajaría esto en tu negocio concreto —qué datos maneja tu backoffice, por dónde circulan y qué se podría blindar primero— puedes empezar por la página principal de IberClaw o revisar el resto de artículos del blog sobre operativa diaria y normativa de backoffice.
Preguntas frecuentes
¿Una pyme pequeña puede recibir realmente una sanción RGPD?
Sí. La AEPD sanciona cada año a autónomos y pymes, normalmente por reclamaciones de clientes o empleados. Las cuantías suelen ser muy inferiores a los techos legales de millones de euros, pero las multas de tres y cuatro cifras son constantes y afectan sobre todo a negocios con poco margen.
¿Qué diferencia hay entre el RGPD y la LOPDGDD?
El RGPD es el reglamento europeo que fija los principios y las cuantías máximas de sanción, de aplicación directa en toda la UE. La LOPDGDD es la ley española que lo desarrolla, regula el procedimiento sancionador de la AEPD y clasifica las infracciones en leves, graves y muy graves.
¿Cuánto tiempo se pueden conservar los datos de un cliente tras la última factura?
Depende del tipo de dato: la obligación fiscal de conservar facturas tiene un plazo propio, pero los datos personales que ya no sirven a ese fin deben anonimizarse o eliminarse en cuanto dejan de ser necesarios. Conviene revisar el plazo aplicable a cada documento antes de fijar una política de borrado.
¿Basta con tener un aviso de privacidad en la web para cumplir?
No. El aviso de privacidad cubre la información al usuario, pero la AEPD también valora la seguridad real de los sistemas, los contratos con proveedores que tratan datos por cuenta de la empresa (encargados de tratamiento) y si se respetan los plazos de conservación en la práctica, no solo en el papel.
¿Automatizar el backoffice reduce el riesgo de sanción RGPD?
Ayuda mucho cuando la automatización centraliza el dato y aplica reglas de acceso y conservación de forma consistente, en lugar de depender de que cada persona recuerde hacerlo bien cada vez. No sustituye una política de protección de datos, pero elimina buena parte de los descuidos operativos que hoy generan expedientes.
¿Qué debo hacer si recibo una reclamación de un cliente sobre sus datos?
Atenderla dentro de los plazos legales (normalmente un mes), documentar la respuesta y revisar si el origen del problema es puntual o estructural. Si se repite, suele indicar que el dato circula por demasiados sistemas sin un control claro de quién accede a qué.