Calculadora de multa RGPD: ¿cuánto podría costarte incumplir?
Publicado el 12 de agosto de 2026 · Actualizado el 13 de agosto de 2026
🧮 Herramienta gratuita · sin registro
Multa máxima teórica aplicable:
Esta calculadora muestra el límite legal máximo según el RGPD, no una predicción de la sanción real. El importe final que impondría la AEPD depende de factores agravantes y atenuantes (duración, intencionalidad, medidas correctoras, reincidencia, etc.) recogidos en las directrices del Comité Europeo de Protección de Datos. No constituye asesoramiento legal.
Si tratas datos personales de clientes, empleados o usuarios —algo que hacen prácticamente todos los negocios, desde una tienda online hasta una clínica—, el Reglamento General de Protección de Datos (RGPD) te obliga a cumplir una serie de garantías. No hacerlo puede salir muy caro, y cada vez es más frecuente: la Agencia Española de Protección de Datos (AEPD) está endureciendo su actuación año tras año.
2025 en cifras: el año más duro de la AEPD hasta ahora
Los datos oficiales dejan pocas dudas sobre la tendencia:
- 299 sanciones impuestas en 2025, por un importe conjunto de entre 40 y 48,1 millones de euros — un 35% más que en 2024.
- 30.931 reclamaciones recibidas por la AEPD en 2025, un 64% más que el año anterior.
- España lleva seis años consecutivos como el país de la Unión Europea con más multas RGPD impuestas.
- Desde la entrada en vigor del RGPD en 2018, la AEPD acumula ya más de 800 resoluciones sancionadoras, con importes que van desde unos pocos miles de euros hasta los 10 millones.
- Los expedientes derivados de brechas de seguridad crecieron un 157% en 2025, sumando cerca de 20 millones de euros en sanciones.
Casos reales que marcaron 2025
Estos son algunos de los expedientes sancionadores más relevantes del año, para que veas cómo se traduce la norma en la práctica:
| Empresa | Importe | Motivo |
|---|---|---|
| Aena | +10.000.000 € | Reconocimiento facial en aeropuertos sin evaluación de impacto (art. 35 RGPD) |
| CaixaBank | 6.000.000 € | Tratamiento de datos sin base jurídica adecuada |
| Vodafone España | +8.000.000 € (acumulado) | Tratamientos sin consentimiento válido y fallos gestionando bajas |
| Carrefour | 3.200.000 € | Deficiencias de seguridad en el tratamiento de datos |
| Ibermutua | 1.000.000 € | Brecha de seguridad por error humano: datos confidenciales de 3.395 personas enviados a 354 destinatarios |
Los patrones más repetidos en las reclamaciones de 2025-2026 son el uso de cookies de seguimiento sin consentimiento y el tratamiento de datos con fines comerciales (llamadas o correos sin base legal clara) — dos cosas que cualquier pyme con una web o un CRM puede estar haciendo sin saberlo. El caso de Aena, además, es un buen ejemplo de dos normativas que se solapan: un sistema de reconocimiento facial no solo es un problema de RGPD, sino que probablemente entraría también en la categoría de alto riesgo del AI Act, con su propio régimen sancionador independiente.
Cómo se calculan las multas del RGPD
El artículo 83 del RGPD fija dos niveles de sanción, y en ambos casos se aplica el importe que sea mayor entre una cifra fija y un porcentaje de la facturación anual mundial del ejercicio anterior:
- Infracciones menos graves: hasta 10.000.000 € o el 2% de la facturación.
- Infracciones graves o muy graves: hasta 20.000.000 € o el 4% de la facturación.
Para una empresa pequeña, el tope fijo suele ser el que manda. Pero a partir de cierta facturación, el porcentaje puede disparar la cifra muy por encima de lo que muchos negocios imaginan — usa la calculadora de arriba para ver tu caso concreto.
Qué tiene en cuenta la AEPD para fijar el importe final
La calculadora te da el techo legal, no una predicción exacta. Las directrices del Comité Europeo de Protección de Datos (EDPB) sobre el cálculo de multas obligan a valorar, entre otros factores:
- La naturaleza, gravedad y duración de la infracción.
- Si fue intencionada o por negligencia.
- Las medidas adoptadas para mitigar el daño.
- El grado de cooperación con la autoridad de control.
- Si es una infracción reincidente.
- El tamaño y la capacidad económica real de la empresa.
Por eso, aunque el tope legal para una infracción grave pueda llegar a millones de euros, la inmensa mayoría de sanciones a autónomos y pequeños negocios se quedan en cifras de cientos o pocos miles de euros — el techo es el límite, no la norma.
Cómo reducir el riesgo
La forma más eficaz de evitar estas cifras no es calcularlas, es no llegar a necesitarlas:
- Ten una base legal clara para cada tratamiento de datos (consentimiento, contrato, interés legítimo…).
- Mantén un registro de actividades de tratamiento actualizado.
- Ten un protocolo de respuesta ante brechas que te permita notificar a la AEPD en menos de 72 horas si ocurre algo — no notificar a tiempo es en sí mismo una infracción independiente de la brecha original.
- Revisa tu web: si usas cookies de analítica o publicidad, necesitas un banner de consentimiento real, no solo un aviso.
- Si tratas datos sensibles a gran escala (salud, biometría, vigilancia), valora si necesitas una evaluación de impacto (EIPD) antes de empezar.
- Comprueba si tu empresa está entre las obligadas a nombrar un DPO: no tenerlo cuando es obligatorio es en sí mismo una infracción grave, como demuestra la sanción de 25.000 € a Glovo por este motivo.
Fuentes
Escrito por José G. · Informático
Informático con más de 30 años de experiencia profesional, 20 de ellos gestionando documentación confidencial —tanto administrativa como sanitaria— en el entorno empresarial. NoLoDigoYo nace de esa experiencia práctica con datos sensibles: cada herramienta se apoya en cifras y fuentes oficiales verificables, no en opinión.
Preguntas frecuentes
¿Esta calculadora me dice la multa exacta que me pondría la AEPD?
No. Muestra el límite legal máximo según el artículo 83 del RGPD. La sanción real depende de factores como la duración de la infracción, si fue intencionada, las medidas correctoras adoptadas y el historial de la empresa, entre otros criterios que valora la AEPD caso por caso. En la práctica, la inmensa mayoría de sanciones a pymes y autónomos quedan muy por debajo del tope legal.
¿Qué diferencia hay entre infracción leve y grave según el RGPD?
Las infracciones menos graves (art. 83.4) tienen un tope de 10 millones de euros o el 2% de la facturación anual mundial, la cifra que sea mayor. Las graves y muy graves (art. 83.5 y 83.6) suben el tope a 20 millones de euros o el 4% de la facturación.
¿Los autónomos también pueden recibir estas multas?
Sí. El RGPD aplica a cualquiera que trate datos personales, incluidos autónomos y pymes. En la práctica, la AEPD suele aplicar sanciones proporcionadas al tamaño del negocio, y desde 2021 incluso puede sustituir la multa por un apercibimiento o un plan de adecuación en infracciones leves de autónomos y micropymes de buena fe.
¿Cuántas multas pone la AEPD al año?
En 2025 la AEPD impuso 299 sanciones por un importe conjunto de en torno a 40-48 millones de euros, un 35% más que en 2024. España encadena ya seis años consecutivos como el país de la UE con más multas RGPD impuestas.
¿Qué pasa si sufro una brecha de seguridad y no la comunico a la AEPD?
No notificar una brecha de seguridad en el plazo de 72 horas (art. 33 RGPD) es en sí misma una infracción sancionable, independientemente de la brecha original. Los expedientes ligados a brechas de seguridad crecieron un 157% en 2025, y solo estos casos sumaron cerca de 20 millones de euros en multas.
¿Cómo sé si mi empresa tiene que hacer una evaluación de impacto (EIPD)?
Es obligatoria cuando el tratamiento de datos supone un riesgo alto para las personas: vigilancia sistemática, tratamiento a gran escala de categorías especiales de datos, o uso de tecnologías como reconocimiento facial. Precisamente por no hacerla, Aena fue sancionada con más de 10 millones de euros en 2025 por implantar reconocimiento facial en aeropuertos sin evaluación de impacto previa.