Revisado el · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 8 fuentes oficiales enlazadas
La AEPD ha sancionado la mala destrucción de papel con importes verificados de 600 a 10.000 euros (farmacia: 10.000 €; empresa de transporte: 3.000 €; club deportivo: 600 €). El techo legal del RGPD es de 20 millones de euros o el 4 % de la facturación.
Casos reales verificados
Estas resoluciones son públicas en la web de la AEPD. Los importes corresponden a pymes y personas físicas.
| Caso | Qué pasó | Sanción | Fuente |
|---|---|---|---|
| Empresa de almacenaje y transporte | Documentación de clientes y proveedores abandonada junto a un contenedor de basura, al alcance de terceros. | 3.000 € (art. 32 RGPD) | PS/00464/2020 |
| Farmacia (persona física) | Documentos con datos de salud de pacientes rotos a mano, no triturados, y tirados a un contenedor. | 10.000 € en total: 4.000 € (art. 32) y 6.000 € (art. 5.1.f). Recurso de reposición desestimado. | PS/00538/2022 · reposición |
| Club deportivo | Caja con 1.444 carnés y cientos de fichas, muchas de menores, hallada en un contenedor de basura. | 600 € tras pago voluntario con reconocimiento de responsabilidad, más medidas correctoras. | EXP202414976 |
| Empresa textil (caso previo al RGPD) | Currículums abandonados en la vía pública. | Apercibimiento (no multa), con la ley anterior. | A/00413/2017 |
Qué criterio se desprende
- Los documentos deben destruirse de forma que no se pueda recuperar la información: trituradora adecuada o empresa especializada.
- No basta con romperlos a mano ni dejarlos junto a un contenedor.
- En el caso de la farmacia, su propia normativa interna exigía destructora o empresa homologada, y no se cumplió.
- La AEPD no ha publicado una guía específica de destrucción segura de papel; el criterio sale de sus resoluciones. Su guía de brechas incluye la «eliminación incorrecta de datos personales en formato papel».
El techo legal de las multas
El art. 83 del RGPD permite hasta 10 millones de euros o el 2 % de la facturación anual global por incumplir las obligaciones de seguridad y de encargado, y hasta 20 millones o el 4 % por vulnerar los principios básicos. A efectos de prescripción, la LOPDGDD califica la falta de medidas de seguridad como infracción grave (art. 73) y la vulneración del art. 5 RGPD como muy grave (art. 72).
Cómo evitarlo
Nunca dejes papeles con datos personales en contenedores públicos
Ni siquiera rotos.
Ten un procedimiento escrito de destrucción
Y cúmplelo siempre.
Usa trituradora adecuada o una empresa especializada
Con contrato del art. 28 RGPD y certificado de cada servicio.
Forma a tu equipo
Los casos analizados suelen deberse a descuidos puntuales.
Preguntas frecuentes
¿Cuál es la multa por tirar documentos con datos personales?
Depende del caso y de la gravedad. En las resoluciones de la AEPD que hemos verificado, los importes fueron de 600 a 10.000 euros, pero el RGPD permite hasta 20 millones de euros o el 4 % de la facturación en los casos más graves (art. 83.5).
¿Basta con romper los papeles a mano?
No. En el caso de una farmacia, la AEPD consideró que los documentos rotos a mano y tirados al contenedor no impedían ver la información, y sancionó con un total de 10.000 euros.
¿Cuánto tarda en prescribir la infracción?
Las infracciones muy graves prescriben a los 3 años, las graves a los 2 y las leves al año (arts. 72 a 74 LOPDGDD).
Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.