Guía RGPD 2026: multas de la AEPD y cómo evitarlas

La destrucción inadecuada de documentos de papel sigue siendo una de las mayores causas de expedientes sancionadores por parte de la Agencia Española de Protección de Datos (AEPD). Muchas empresas creen erróneamente que tirar documentos con nombres, teléfonos o DNI a los contenedores urbanos azules no acarrea riesgos, cuando en realidad constituye una infracción Grave o Muy Grave según la LOPDGDD 3/2018 y el RGPD.

¿Qué exige el RGPD en relación con los archivos físicos?

El artículo 32 del RGPD establece expresamente la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Esto incluye la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas y servicios de tratamiento.

1. Destrucción irreconstruible: Los documentos con datos personales deben ser triturados de forma que sea técnicamente imposible recomponerlos. La referencia técnica exige habitualmente para datos confidenciales el Nivel P-4 o P-5 (microcorte).
2. Cadena de custodia blindada: Desde que el documento se deposita para tirar hasta que se quema o recicla, debe existir un registro ininterrumpido de custodia con contenedores de seguridad cerrados con llave.
3. Certificado de Destrucción: Toda empresa contratista de destrucción actúa como Encargado del Tratamiento (Art. 28 RGPD) y debe emitir un Certificado de Destrucción Oficial que especifique la cantidad procesada, fecha y nivel de trituración.

¿Cuáles son las sanciones de la AEPD?

El artículo 83 del RGPD prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global y, para las infracciones más graves, de hasta 20 millones de euros o el 4 %. La cuantía concreta depende de la gravedad, del número de afectados y de las medidas adoptadas.

En Destrucción Confidencial Certificada, con sede en Sant Vicenç dels Horts (Barcelona), entregamos tras cada trituración un certificado de destrucción que acredita, ante cualquier inspección de la AEPD, que la destrucción se realizó con garantías. Puedes ver cómo funciona en nuestro servicio de destrucción de documentos confidenciales.

Cómo se clasifican las infracciones en España

La LOPDGDD distingue entre infracciones muy graves (artículo 72), graves (artículo 73) y leves (artículo 74). La falta de medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos figura como infracción grave en el artículo 73. Tirar documentos con datos personales sin destruir es un caso típico de fallo de seguridad.

Si los documentos aparecen fuera de la empresa

Si documentos con datos personales aparecen en un contenedor, en la vía pública o en manos de terceros, puede tratarse de una violación de la seguridad de los datos. Cuando suponga un riesgo para los derechos de las personas, el responsable debe notificarla a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tuvo conocimiento (artículo 33 del RGPD), y valorar si debe avisar a los afectados.

Lista de comprobación para una empresa

• Existe un procedimiento escrito de destrucción de documentos con datos personales.
• Los empleados saben qué va a los contenedores de seguridad y qué no.
• Hay contenedores cerrados y las llaves están controladas.
• El proveedor tiene firmado un contrato de encargado del tratamiento (artículo 28 del RGPD).
• Se archivan los certificados de destrucción con fecha, cantidad y nivel de trituración.
• Antes de destruir se comprueban los plazos de conservación aplicables.
• Se revisa el procedimiento al menos una vez al año.