Revisado el · Elaborado por el equipo de ByeFile a partir de los textos oficiales · 9 fuentes oficiales enlazadas
¿Qué multa hay por tirar documentos con datos personales a la basura? Depende del caso, pero las vistas por la AEPD a pymes y personas físicas van de 600 € a 10.000 €. Por ejemplo, 3.000 € a una empresa por documentación junto a un contenedor (PS/00464/2020) y 10.000 € a una farmacia (PS/00538/2022). El techo legal es mucho mayor: 10 M€ o el 2 % (art. 83.4 RGPD) y 20 M€ o el 4 % (art. 83.5).
14 preguntas y respuestas
¿Qué multa hay por tirar documentos con datos personales a la basura?
Depende del caso, pero las vistas por la AEPD a pymes y personas físicas van de 600 € a 10.000 €. Por ejemplo, 3.000 € a una empresa por documentación junto a un contenedor (PS/00464/2020) y 10.000 € a una farmacia (PS/00538/2022). El techo legal es mucho mayor: 10 M€ o el 2 % (art. 83.4 RGPD) y 20 M€ o el 4 % (art. 83.5).
¿Cuáles son las sanciones del RGPD por no destruir bien los datos?
El RGPD prevé multas de hasta 10 M€ o el 2 % del volumen de negocio anual (art. 83.4, que cubre los arts. 25 a 39) y de hasta 20 M€ o el 4 % (art. 83.5, que incluye los principios del art. 5). Son techos, no tarifas: en los casos publicados de papel en contenedores, las multas fueron de 600 € a 10.000 €.
¿Qué multas ha puesto la AEPD por documentos hallados en contenedores?
Entre las verificadas: 3.000 € a una empresa de almacenaje y transporte (PS/00464/2020), 10.000 € a una farmacia (PS/00538/2022: 4.000 € por el art. 32 y 6.000 € por el art. 5.1.f) y 600 € a un club deportivo (EXP202414976). Antes del RGPD, Levi Strauss recibió un apercibimiento (A/00413/2017) por currículums abandonados.
¿Cuáles son los casos reales de multas por papeles confidenciales abandonados?
Hay cuatro bien documentados. Una empresa de almacenaje y transporte, multada con 3.000 €, dejó documentos de clientes junto a un contenedor. Una farmacia, 10.000 €, tiró documentos con datos de salud de pacientes rotos a mano. Un club deportivo, 600 €, abandonó 1.444 carnés y fichas. Y una empresa textil, antes del RGPD, recibió un apercibimiento (no una multa) por currículums en la calle.
¿Qué pasa si encuentran historias clínicas o documentos en la calle?
La AEPD puede abrir un procedimiento sancionador, y si los datos son de salud el riesgo es mayor. Una farmacia fue multada con 10.000 € (PS/00538/2022) tras tirarse a un contenedor documentos de pacientes rotos a mano. Además, es una brecha que hay que notificar a la AEPD sin dilación indebida y, de ser posible, en 72 horas, salvo que sea improbable que suponga riesgo (art. 33.1 RGPD).
¿Qué infracciones del RGPD son leves, graves y muy graves por falta de destrucción?
La LOPDGDD las clasifica a efectos de prescripción. Son muy graves, con prescripción de 3 años, las vulneraciones de los principios del art. 5 RGPD (art. 72). Son graves, 2 años, no adoptar medidas de seguridad apropiadas o quebrantarlas por falta de diligencia (art. 73.f y 73.g). Las leves prescriben al año (art. 74). En el caso de la farmacia, el art. 32 fue grave y el 5.1.f muy grave.
¿Qué es una brecha de seguridad por pérdida de documentos en papel?
Es un incidente en el que se pierden, se destruyen mal o llegan a terceros documentos en papel con datos personales. La AEPD incluye expresamente entre los tipos de brecha la «eliminación incorrecta de datos personales en papel». Un ejemplo claro es dejar papeles sin triturar junto a un contenedor.
¿Hay que notificar a la AEPD si se pierden documentos físicos?
Sí, salvo que sea improbable que la pérdida suponga un riesgo para las personas. El plazo es sin dilación indebida y, de ser posible, 72 horas desde que tienes constancia (RGPD, art. 33.1). Si el riesgo es alto, hay que comunicarlo también a los afectados (art. 34), y no notificar cuando procede es una infracción grave (LOPDGDD, art. 73.r).
¿Qué riesgos tiene reciclar un ordenador sin borrar el disco duro?
Que quien lo reciba pueda acceder a los datos que contenía, lo que sería una brecha de confidencialidad. Si tratas datos personales, el RGPD exige seguridad adecuada (art. 5.1.f) y, en el sector público, el ENS (mp.si.5) pide borrado seguro que no permita recuperar la información o no reutilizar el soporte. ByeFile no afirma destruir discos duros; consúltanos qué soportes podemos tratar.
¿Puede alguien recuperar datos de un móvil o un disco que he vendido?
Puede ser posible si el borrado no ha sido seguro; borrar archivos de la forma habitual no siempre impide su recuperación. Por eso el ENS exige, para soportes que se reutilicen, un borrado que no permita recuperar la información, y si no es posible, no reutilizar el soporte (mp.si.5.1). Si tienes dudas, no lo vendas sin un borrado certificado.
¿Qué es el dumpster diving y cómo me afecta?
Es rebuscar en la basura para encontrar información útil, como facturas, fichas o copias de DNI. Te afecta si tiras papeles con datos sin destruirlos. Los casos reales de la AEPD vienen justo de ahí: documentos junto a un contenedor (PS/00464/2020), recetas rotas a mano en un contenedor (PS/00538/2022) o carnés en un contenedor (EXP202414976).
¿Puede un empleado ser responsable si tira documentos confidenciales?
Las sanciones de la AEPD de nuestra ficha recayeron sobre el responsable del tratamiento: la empresa, la farmacéutica o el club. Si el empleado responde laboralmente depende de su contrato, el convenio y las circunstancias, y no podemos darte una regla general. Lo prudente es dar instrucciones y medios claros, como un contenedor seguro, para que nadie tire papeles a la basura.
¿Qué responsabilidad tiene la empresa si el proveedor de destrucción falla?
La empresa sigue siendo responsable del tratamiento y debe poder demostrar que eligió bien (RGPD, arts. 5.2 y 28.1). Por eso conviene contratar a un encargado con garantías y firmar el contrato del art. 28.3, que incluye la supresión de los datos y las auditorías. Un certificado de cada destrucción ayuda a acreditar la diligencia, aunque no garantiza evitar una sanción.
¿Qué es el robo de identidad por documentos desechados?
Es usar datos personales sacados de papeles tirados, como nombre, DNI o dirección, para hacerse pasar por otra persona. No tenemos cifras verificadas de este fenómeno, pero el riesgo explica por qué la AEPD sanciona abandonar documentos en contenedores, como en el caso de 1.444 carnés y fichas de un club (EXP202414976). Triturar o destruir de forma certificada elimina ese riesgo.
Esta información es divulgativa y no sustituye al asesoramiento jurídico. Los plazos pueden variar según tu sector y tu comunidad autónoma: si tienes dudas, consúltalo con tu asesor o con la AEPD.