Multas da AEPD por non anonimizar documentos: importes, casos reais e como evitalas

A Axencia Española de Protección de Datos é, polo volume de sancións impostas, unha das autoridades máis activas de Europa. E unha parte crecente desas sancións ten un denominador común: a publicación, cesión ou tratamento de documentos que contiñan datos persoais que debían terse anonimizado e non se anonimizaron, ou se anonimizaron mal. Esta guía explica que importes manexa a AEPD, que casos adoitan acabar en sanción e que podes facer para que a túa empresa non estea entre eles.

Que condutas adoita sancionar a AEPD en materia de anonimización

Tras revisar a casuística recente, as infraccións relacionadas cunha anonimización deficiente encaixan en cinco patróns repetitivos:

1. Publicación de documentos en webs ou portais sen borrar os datos persoais — boletíns oficiais, actas de pleno, listas de admitidos en procesos selectivos, resolucións xudiciais subidas a repositorios.
2. Envío por email ou WeTransfer de documentos laborais con datos de terceiros — nóminas enteiras ao auditor, listas de baixas a un provedor, expedientes disciplinarios compartidos en cadea.
3. Cesión a colaboradores sen encargo de tratamento nin anonimización — un despacho envía documentos ao perito, un centro médico cede historiais a unha empresa de transcrición, unha xestoría entrega o ficheiro de clientes a un informático externo.
4. Fugas de documentos con datos supostamente “anonimizados” — un ficheiro Word no que se borrou o nome pero o control de cambios seguía conservándoo, un PDF con riscados que resultaron ser reversibles.
5. Tratamento para fins distintos do orixinal sen base legal — usar datos recollidos para a xestión de clientes en campañas de marketing, ou ceder datos entre empresas do mesmo grupo sen acreditar a compatibilidade de finalidades.

Tramos de sanción e contías reais

O RXPD establece dous niveis de infracción:

• Infraccións graves (art. 83.4 RXPD): ata 10 millóns de euros ou o 2% do volume de negocio global, o que sexa maior. Inclúen fallos na designación do DPO, incumprimentos formais do encargado do tratamento ou falta de rexistro de actividades.
• Infraccións moi graves (art. 83.5 RXPD): ata 20 millóns de euros ou o 4% do volume de negocio global, o que sexa maior. Inclúen violacións dos principios básicos do tratamento, dos dereitos dos interesados, e transferencias internacionais sen garantías.

A publicación ou cesión indebida de datos sen anonimización cae habitualmente no tramo moi grave por afectar aos principios de licitude, minimización e confidencialidade.

A LOPDGDD introduce ademais criterios de graduación (art. 76) que a AEPD aplica en cada expediente:

• Natureza, gravidade e duración da infracción
• Intencionalidade ou neglixencia
• Medidas adoptadas para paliar os danos
• Grao de cooperación coa autoridade
• Categorías de datos afectados (datos de saúde, menores, etc.)
• Número de afectados

Na práctica, a maioría das sancións por anonimización deficiente movéronse en rangos de 10.000 € a 200.000 €, con picos notablemente superiores cando hai categorías especiais de datos ou un gran volume de afectados.

Casos de referencia recentes

Concellos que publicaron listaxes sen depurar

A AEPD sancionou repetidamente administracións locais que publicaron nas súas sedes electrónicas listaxes de admitidos, sorteos de vivenda pública ou resolucións sancionadoras con nome, DNI e domicilio completos. Os importes nestes casos situáronse habitualmente entre 2.000 € e 15.000 € pola natureza pública do responsable, pero acompañados de requirimentos de rectificación e da publicación da resolución sancionadora.

Bancos que enviaron documentos a destinatarios erróneos

Cando unha entidade financeira lle envía por erro a un cliente o extracto da conta doutro, a sanción non se limita á fuga puntual: a AEPD analiza se os procesos de envío tiñan mecanismos suficientes para previla. As sancións nestes casos superaron os 100.000 € en entidades con volumes masivos.

Despachos profesionais con fuga de expedientes

Un erro frecuente son os emails con listas de destinatarios en copia aberta (en lugar de copia oculta) cando se comunica unha información sensible. Se a información comunicada permite identificar os destinatarios entre si, e o contido revela, por exemplo, que todos son pacientes dunha clínica ou clientes dun avogado especializado, a sanción pode moverse entre os 30.000 € e os 70.000 €.

Empresas que compartiron informes internos sen anonimizar

Os informes de sinistralidade, as avaliacións do desempeño ou as listaxes de baixas compartidos con consultoras externas sen contrato de encargo ou sen anonimizar derivaron en sancións de entre 25.000 € e 60.000 €, agravadas cando os datos eran categorías especiais (saúde, afiliación sindical).

Factores que multiplican o importe

Os expedientes coas sancións máis altas adoitan concentrar varios destes factores:

• Datos de saúde ou categorías especiais afectados (art. 9 RXPD)
• Menores de idade entre os afectados
• Gran volume (máis de 1.000 persoas)
• Difusión pública do documento con datos (web, redes sociais, prensa)
• Reincidencia da organización
• Ausencia de medidas técnicas previas que puidesen previr a fuga
• Falta de cooperación coa AEPD durante a investigación

Pola contra, actúan como atenuantes:

• Detectar e notificar a fuga ao DPO e á AEPD en menos de 72 horas
• Notificar os afectados e ofrecer medidas de mitigación
• Demostrar que existía un procedemento documentado de anonimización
• Acreditar a formación específica do persoal
• Implantar medidas correctoras durante a instrución do expediente

Que medidas técnicas esperan a AEPD e os tribunais

Nas súas resolucións recentes, a AEPD vén esixindo —de facto, aínda que non sempre de forma explícita— que as organizacións que manexan documentos con datos persoais:

1. Teñan un procedemento escrito de anonimización aprobado polo DPO.
2. Apliquen técnicas de anonimización real, non riscado reversible.
3. Conserven un log de auditoría de cada documento anonimizado (data, operario, técnica aplicada).
4. Formen o persoal que manexa os documentos.
5. Avalíen periodicamente o risco de reidentificación sobre os documentos xa anonimizados, especialmente se se acumulan con outras fontes.

Non cumprir estes cinco puntos non é en si unha infracción autónoma, pero a súa ausencia pesa decisivamente na graduación da sanción cando se produce un incidente.

Como reducir o risco de sanción

• Automatiza a anonimización dos fluxos documentais recorrentes (nóminas que van á auditoría, informes que van ao xestor, expedientes que se arquivan).
• Centraliza a saída de documentos nun único punto con control e trazabilidade.
• Esixe un encargo de tratamento por escrito a calquera provedor que reciba documentos con datos persoais.
• Revisa os metadatos antes de publicar ou enviar: control de cambios, autor, data de creación, historiais de edición.
• Forma o persoal de primeira liña: secretaría, bolseiros, administrativos — son quen máis frecuentemente causa fugas involuntarias.

Preguntas frecuentes

Se o documento se publicou por erro e se retirou en poucas horas, evítase a sanción?

A retirada rápida atenúa pero non elimina a sanción. A AEPD valora o tempo de exposición, pero a infracción consúmase desde a publicación. Iso si, reduce significativamente o importe, sobre todo se se combina cunha notificación dilixente.

Pode sancionarme a AEPD se o erro o cometeu un provedor?

Si. Como responsable do tratamento, respondes polas actuacións dos teus encargados se non acreditas ter formalizado un contrato de encargo e ter supervisado o seu cumprimento. O encargado tamén pode ser sancionado, pero iso non te libera.

Existen mínimos por debaixo dos cales a AEPD non sanciona?

Non hai mínimos formais. A AEPD pode arquivar actuacións cando considera que a infracción é moi leve ou hai atenuantes suficientes, pero o criterio é discrecional. Na práctica, as sancións máis baixas documentadas por anonimización foron da orde de 600-1.200 €, con apercibimento en casos de primeira infracción de entidades pequenas.

Canto tarda un expediente sancionador desde a denuncia?

Entre 6 e 18 meses. A AEPD comunica o inicio do expediente, dá trámite de alegacións, pode solicitar información adicional e finalmente dita resolución. A resolución é recorrible ante a Audiencia Nacional.

Conclusión

As multas da AEPD por non anonimizar correctamente non son casos illados nin teóricos: son a consecuencia habitual de procesos documentais que, por comodidade ou descoñecemento, comparten información que debería terse depurado. Anonimizar ben non é só cumprir a norma; é a medida técnica máis eficaz para que a túa empresa nunca sexa unha das noticias do resumo anual da AEPD.

Se queres evitalas, automatiza a anonimización dos teus documentos con anonimiza.do: detecta datos persoais españois, aplica unha eliminación irreversible e xera logs auditables para demostrar o cumprimento ante calquera inspección.