AEPD: funciones, poderes y régimen sancionador

La Agencia Española de Protección de Datos (AEPD) es la autoridad administrativa independiente que vela en España por el cumplimiento de la normativa europea y nacional de protección de datos. Es la autoridad de control prevista en los arts. 51-59 RGPD, cuyo régimen interno desarrolla la LOPDGDD (LO 3/2018) en los arts. 44-65 y cuyo Estatuto aprueba el RD 389/2021. Esta guía sistematiza naturaleza, órganos, funciones del art. 57 RGPD, poderes del art. 58 RGPD, procedimientos y régimen sancionador de las multas del art. 83 RGPD, con cita literal, jurisprudencia STJUE y STS Sala 3.ª actualizada a 2026 y casos prácticos del CNP y demás cuerpos.

Marco normativo

Naturaleza jurídica de la AEPD (art. 44 LOPDGDD)

Lo que se pregunta tal cual

El literal, subrayado como en el temario

LOPDGDD · Art. 44.1

«1. La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal, de las previstas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones».

1. Independiente no quiere decir aislada: según el mismo 44.1, se relaciona con el Gobierno a través del Ministerio de Justicia, pero no recibe instrucciones.
2. De ámbito estatal: junto a ella hay autoridades autonómicas (art. 57). La AEPD es la representante común de todas en el Comité Europeo (art. 44.2).
3. Sus actos y disposiciones ponen fin a la vía administrativa y se recurren directamente ante la Sala de lo Contencioso de la Audiencia Nacional (art. 48.6).

Subrayado lo esencialBoli la palabra trampa

Primer párrafo del art. 44.1 LOPDGDD, tal cual. Su nombre oficial es «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente».

→ La STC 192/2024 confirma la independencia funcional reforzada de la AEPD: no recibe órdenes del Gobierno y sus resoluciones están sujetas a control judicial, además del control parlamentario.

Órganos de la AEPD (arts. 47-49 LOPDGDD + RD 389/2021)

Mandato Presidente/a: 5 años renovable por otros 5; nombramiento por RD del Consejo de Ministros tras audiencia y ratificación por la Comisión de Justicia: tres quintos en primera votación o mayoría absoluta en segunda, con votos favorables de al menos dos grupos parlamentarios (art. 48.3 LOPDGDD).

Autoridades autonómicas

• Autoritat Catalana de Protecció de Dades (APDCAT).
• Autoridad Vasca de Protección de Datos (AVPD).
• Consejo de Transparencia y Protección de Datos de Andalucía (CTPD-A).

Su ámbito comprende los tratamientos del sector público autonómico y local, los realizados en el ejercicio de funciones públicas de esas competencias y los expresamente previstos en los Estatutos de Autonomía (art. 57 LOPDGDD). La AEPD conserva la competencia residual y la cooperación europea con el Comité Europeo de Protección de Datos (CEPD).

Artículo 57 RGPD literal: funciones (selección)

«1. Sin perjuicio de las demás funciones establecidas en el presente Reglamento, incumbirá a cada autoridad de control en su territorio:

a) controlar la aplicación del presente Reglamento y hacerlo aplicar;
b) promover la sensibilización del público y su comprensión de los riesgos, normas, garantías y derechos en relación con el tratamiento;
c) asesorar, con arreglo al Derecho de los Estados miembros, al Parlamento nacional, al Gobierno y a otras instituciones y organismos sobre las medidas legislativas y administrativas relativas a la protección de los derechos y libertades de las personas físicas con respecto al tratamiento;
d) promover la sensibilización de los responsables y encargados del tratamiento acerca de las obligaciones que les incumben en virtud del presente Reglamento;
e) previa solicitud, facilitar información a cualquier interesado en relación con el ejercicio de sus derechos en virtud del presente Reglamento...
f) tratar las reclamaciones presentadas por un interesado o por un organismo, organización o asociación...
g) cooperar, en particular compartiendo información, con otras autoridades de control y prestar asistencia mutua con el fin de garantizar la coherencia en la aplicación y ejecución del presente Reglamento;
h) llevar a cabo investigaciones sobre la aplicación del presente Reglamento, en particular basándose en información recibida de otra autoridad de control u otra autoridad pública...».

Artículo 58 RGPD literal: poderes (selección)

Lo que se pregunta tal cual

El literal, subrayado como en el temario

RGPD · Art. 58.1 y 58.2

«1. Cada autoridad de control dispondrá de todos los poderes de investigación indicados a continuación:

a) ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
b) llevar a cabo investigaciones en forma de auditorías de protección de datos;
c) llevar a cabo una revisión de las certificaciones expedidas...
d) notificar al responsable o encargado del tratamiento las presuntas infracciones del presente Reglamento;
e) obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
f) obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.

1. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

a) dirigir a todo responsable o encargado del tratamiento una advertencia cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Reglamento;
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
c) ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
e) ordenar al responsable del tratamiento que comunique al interesado las violaciones de la seguridad de los datos personales;
f) imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
g) ordenar la rectificación o supresión de datos personales o la limitación de tratamiento...
h) retirar una certificación u ordenar al organismo de certificación que retire una certificación...
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;
j) ordenar la suspensión de los flujos de datos hacia un destinatario situado en un tercer país o hacia una organización internacional».

1. Advertencia (58.2.a): el tratamiento todavía no se ha hecho y puede infringir. Apercibimiento (58.2.b): ya ha infringido. Ninguno de los dos es una multa.
2. La multa es la letra i: puede ir sola o además de cualquier otra medida del apartado.
3. El segundo bloque («Cada autoridad de control dispondrá de todos los siguientes poderes correctivos») es el apartado 2: el 58.2.

Subrayado lo esencialBoli la palabra trampa

Selección del art. 58 RGPD tal cual la recoge el artículo (los puntos suspensivos son suyos).

Art. 58 RGPD · investigar y corregir

La inspección, en tres escenas

58.1.a · que le den la información58.1.b y e · auditar y ver los datos58.1.f · entrar en los locales

Los diez poderes correctivos del 58.2, en cuatro grupos

a · b

Avisar

Advertencia si el tratamiento previsto puede infringir; apercibimiento si ya ha infringido.

c · d · e · g

Ordenar

Atender los derechos, ajustar el tratamiento en un plazo, comunicar la brecha a los interesados, rectificar o suprimir datos.

f · h · j

Limitar o cortar

Limitación temporal o definitiva, incluida la prohibición; retirar una certificación; suspender los flujos a un tercer país.

i

Multar

Multa del art. 83, además o en lugar de las demás. A los sujetos del art. 77.1 LOPDGDD no se les impone.

Procedimientos sancionadores en la LOPDGDD

Artículo 83 RGPD literal: multas administrativas (apartados clave)

Lo que se pregunta tal cual

El literal, subrayado como en el temario

RGPD · Art. 83.4, 83.5 y 83.6

«4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía».

«5. Las infracciones de las disposiciones siguientes se sancionarán... con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía».

«6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará... con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía».

1. 83.4 (10 M€ o 2 %): obligaciones del responsable y del encargado (arts. 8, 11, 25 a 39, 42 y 43): seguridad, brechas, registro, delegado…
2. 83.5 (20 M€ o 4 %): los principios y las bases (arts. 5, 6, 7 y 9), los derechos de los interesados (arts. 12 a 22) y las transferencias internacionales (arts. 44 a 49).
3. 83.6: desobedecer una resolución del 58.2 se paga con el techo alto, el mismo del 83.5.

Subrayado lo esencialBoli la palabra trampa

Los tres apartados, tal cual los cita el artículo (los puntos suspensivos son suyos). El porcentaje se calcula sobre el volumen de negocio total anual global del ejercicio anterior.

Régimen sancionador LOPDGDD: infracciones y prescripción

Ejemplos de muy graves (art. 72): tratamiento sin base legal, tratamiento ilícito de categorías especiales, omisión sustancial del deber de informar, transferencia internacional sin garantías, incumplimiento de resoluciones AEPD, obstaculización deliberada de la inspección.

Ejemplos de graves (art. 73): tratamiento sin medidas técnicas adecuadas, falta de DPD obligatorio, ausencia de RAT, falta de cooperación con AEPD, omisión de la notificación de una brecha a la autoridad de control, incumplimiento de obligaciones del encargado.

Ejemplos de leves (art. 74): incumplimientos formales menores, inexactitud no relevante en formularios.

Prescripción de sanciones (art. 78 LOPDGDD)

No confundir prescripción de infracción (por categoría) con prescripción de sanción (por cuantía). Una sanción por infracción leve de 50.000 € prescribe en 2 años, no en 1.

Régimen específico sector público (art. 77 LOPDGDD)

Cuando el responsable o encargado es una Administración Pública, una autoridad administrativa independiente u otro sujeto enumerado en el art. 77.1 LOPDGDD, la AEPD no impone multa administrativa. En su lugar:

1. Dicta resolución declarando la infracción.
2. Acuerda las medidas correctoras necesarias.
3. Propone la iniciación de actuaciones disciplinarias cuando existan indicios suficientes.
4. Publica la resolución en su página web; la publicación en el BOE procede en el supuesto específico de amonestación del art. 77.3.

Esta vía es la habitual contra organismos del CNP, GC, Ministerio del Interior, Servicios Sociales, Ayuntamientos, etc.

Caso práctico 1 — Reclamación frente a Comisaría por video-grabación

Particular reclama ante la AEPD: en una comparecencia en Comisaría de Madrid por tráfico, le grabaron en sala con cámara visible sin información previa sobre tratamiento. La grabación se conservó 6 meses sin justificación.

Subsunción y respuesta de la AEPD:

• Régimen aplicable: LO 7/2021 si el tratamiento responde a fines penales o a la protección frente a amenazas para la seguridad pública por una autoridad competente. Si es asistencia ciudadana o tráfico administrativo, RGPD/LOPDGDD, supuesto desarrollado a continuación.
• Infracción: del deber de información (art. 13 RGPD + art. 11 LOPDGDD) y de limitación del plazo de conservación (art. 5.1.e RGPD).
• Plazo del procedimiento: 12 meses (art. 64 LOPDGDD).
• Sector público: art. 77 LOPDGDD → declaración de infracción + medidas correctivas + propuesta de actuaciones disciplinarias al CNP si existen indicios suficientes. No hay multa económica.
• Resolución publicada en la web de la AEPD.

Caso práctico 2 — Brecha de seguridad en gran empresa con multa máxima del 2%

Operadora telefónica española con facturación 2.500 M€ sufre filtración de datos personales de 8 millones de clientes (DNI, dirección, datos bancarios, llamadas) por brecha no notificada en plazo de 72 h (art. 33 RGPD).

Subsunción y respuesta de la AEPD:

• Infracción grave del art. 73.r LOPDGDD si se omite la notificación de la brecha; si únicamente se notifica fuera de plazo, leve del art. 74.m.
• Adicional: omisión de medidas técnicas y organizativas adecuadas (art. 32 RGPD).
• Multa máxima posible por las infracciones de los arts. 32 y 33: art. 83.4.a) RGPD — hasta 10 M€ o 2% del volumen de negocio mundial = 50 M€ → la mayor.
• Procedimiento: art. 64 LOPDGDD (12 meses) con garantías de la Ley 39/2015 PAC y la Ley 40/2015 LRJSP.
• Criterios de graduación: art. 83.2 RGPD (naturaleza, gravedad, duración, número de afectados, daño, intencionalidad, cooperación, etc.).
• Prohibición de contratar: no es automática por una infracción de protección de datos; requiere encaje en el art. 71 LCSP y determinación de su alcance y duración conforme al art. 72.

Caso práctico 3 — Cooperación europea «one-stop-shop»

Empresa francesa con sede en París trata datos de usuarios en toda la UE. La AEPD recibe reclamación de un usuario español.

Subsunción y respuesta de la AEPD:

• Mecanismo one-stop-shop (art. 56 RGPD): la autoridad líder es la CNIL francesa (lugar establecimiento principal).
• La AEPD actúa como autoridad de control interesada (art. 4.22 RGPD): traslada la reclamación a la CNIL, mantiene contacto con el usuario español.
• Cooperación ex art. 60 RGPD y resolución vinculante del CEPD si hay desacuerdos.
• Mecanismo de coherencia (arts. 63-67 RGPD): el CEPD puede emitir decisión vinculante con eficacia europea.
• Plazo orientativo: 6-12 meses según la complejidad y el procedimiento ante la autoridad líder.

Arts. 56, 60 y 65 RGPD · la ventanilla única

Una reclamación, dos autoridades y un comité

reclamación · usuario españolAEPD · interesadaCNIL · principal, art. 56CEPD · art. 65

1. 1Reclama en casa

   El usuario puede reclamar ante la autoridad de su residencia habitual, su trabajo o el lugar de la infracción (art. 77 RGPD): la AEPD.

2. 2Pasa a la principal

   La del establecimiento principal de la empresa (art. 56): la CNIL. La AEPD es autoridad «interesada» (art. 4.22).

3. 3Proyecto de decisión

   La CNIL lo consulta con las interesadas; tienen 4 semanas para una objeción pertinente y motivada (art. 60.4).

4. 4Si no hay acuerdo

   Mecanismo de coherencia: el Comité Europeo adopta una decisión vinculante (art. 65.1.a).

Seis trampas reales de examen

Cómo lo preguntan en el test

Las seis trampas, en la hoja de examen

Hoja de examenProtección de datos · AEPD

1. «La AEPD impone multa al CNP por brecha de datos» → FALSO. El art. 77 LOPDGDD excluye las multas para los sujetos de su apartado 1; se sustituyen por declaración de infracción + medidas correctivas + propuesta de actuaciones disciplinarias si existen indicios suficientes.

2. «La prescripción de la sanción es la misma que la de la infracción» → FALSO. Las infracciones prescriben por categoría (3/2/1 años); las sanciones, por cuantía (3/2/1 años pero según importe: hasta 40k, 40k-300k, >300k).

3. «El apercibimiento es una sanción económica menor» → FALSO. El apercibimiento es poder correctivo del art. 58.2.b RGPD, no sanción. Puede acompañarse de medidas correctoras pero no es multa.

4. «La AEPD depende del Gobierno» → FALSO. Es autoridad administrativa independiente (art. 44 LOPDGDD); se relaciona con el Gobierno a través del Ministerio de Justicia pero no recibe órdenes. La STC 192/2024 confirma esta independencia funcional reforzada.

5. «El mandato de la Presidencia AEPD es de 4 años» → FALSO. Es de 5 años renovable por otros 5 (art. 48.5 LOPDGDD), con nombramiento mediante RD del Consejo de Ministros tras audiencia y ratificación parlamentaria conforme al art. 48.3 LOPDGDD.

6. «Las sanciones de la LOPDGDD son las del art. 83 RGPD sin más» → MATIZADO. El RGPD fija los máximos (10/20 M€ o 2/4% facturación mundial). La LOPDGDD tipifica las conductas concretas (arts. 72-74) y regula procedimiento, prescripción y régimen sector público. El art. 83.7 RGPD permite a los Estados regular el régimen de las administraciones públicas.

Jurisprudencia clave

• STC 192/2024: independencia funcional reforzada de la AEPD.
• STC 17/2013: alcance del derecho fundamental del art. 18.4 CE.
• STS Sala 3.ª 1432/2024: AEPD competente sobre tratamiento LED de FCS.
• STS Sala 3.ª 1893/2023: graduación de multas y criterios del art. 83.2 RGPD.
• STJUE Deutsche Wohnen (C-807/21, 2023): las sanciones del art. 83 RGPD requieren culpa o negligencia, no responsabilidad objetiva.
• STJUE Schufa (C-634/21, 2023): decisión automatizada y derechos del art. 22 RGPD.
• STJUE Wirtschaftsakademie (C-210/16, 2018): corresponsabilidad y cooperación entre autoridades.
• STJUE Google (C-460/20, 2022): retirada de enlaces a información manifiestamente inexacta y derecho al olvido.

Reformas recientes y horizonte normativo

• RD 389/2021: Estatuto AEPD en vigor; refuerzo de Inspección y División de Innovación Tecnológica.
• Reglamento (UE) 2024/1689 IA Act: la AEPD coopera con la nueva autoridad española de IA en supervisión de sistemas de alto riesgo que traten datos personales.
• Reglamento (UE) 2023/2854 Data Act: nuevas obligaciones y AEPD como autoridad coordinadora con CNMC.

Recomendaciones para el examen

1. AEPD = autoridad administrativa independiente (art. 44 LOPDGDD).
2. Funciones art. 57 RGPD; poderes art. 58 RGPD.
3. Multas art. 83.4 (10M/2%) y 83.5-6 (20M/4%) — siempre la mayor.
4. Procedimientos LOPDGDD: 12 meses (general) / 6 meses (derechos y correctivas).
5. Infracciones: muy graves 3 años, graves 2, leves 1.
6. Sanciones: 1/2/3 años por cuantía (40k/300k).
7. Sujetos del art. 77.1 LOPDGDD: no multa; declaración + medidas + propuesta disciplinaria si existen indicios suficientes.
8. Mandato Presidencia: 5+5 años; nombramiento RD Consejo Ministros con audiencia y ratificación parlamentaria conforme al art. 48.3 LOPDGDD.

Clave de examen

Primero memoriza la regla troncal y después las excepciones. En test, el fallo habitual no está en desconocer el tema, sino en confundir órgano, plazo, efecto jurídico o norma aplicable cuando el enunciado cambia una palabra.

Fuentes oficiales

• LOPDGDD LO 3/2018: BOE-A-2018-16673.
• RGPD (UE) 2016/679: DOUE L 119/1.
• RD 389/2021 Estatuto AEPD: BOE-A-2021-9175.
• LO 7/2021 art. 48: BOE-A-2021-8806.
• Web AEPD: www.aepd.es.
• CEPD/EDPB: edpb.europa.eu.

Posts hermanos

• RGPD: principios y bases jurídicas
• LOPDGDD LO 3/2018: ámbito y novedades
• LO 7/2021 protección datos policial
• Delegado de Protección de Datos (DPD)
• Brecha de seguridad: notificación 72 h
• Habeas corpus: LO 6/1984

Última revisión: 27 de mayo de 2026. Norma vigente y Estatuto AEPD tras RD 389/2021. Jurisprudencia actualizada a STC 192/2024 y STJUE Deutsche Wohnen (C-807/21).