La Agencia Española de Protección de Datos opina que la mayoría de los que hacen una denuncia se equivocan

El titular de este post no es una afirmación, es una opinión que emito en base a los números que muestra la Agencia Española de Protección de Datos (AEPD).

Mesa redonda en la sección de emprendimiento de ENISE26, INCIBE

¿Qué probabilidad existe de que la AEPD inspeccione una startup?

Espero no haber sido muy imprudente el pasado 23 de septiembre en la mesa de debate y opinión titulada "¿Cómo ser ciberseguros en el emprendimiento?" durante el encuentro anual de ciberseguridad organizado por INCIBE, ENISE26.

La mesa trataba de dar consejos a emprendedores para que desde el diseño se considere la ciberseguridad, no obstante, una de las preguntas introdujo estándares, reglamentos, y el enorme listado de reglas y normas que se necesita cumplir en España y Europa. Específicamente en cuanto al reglamento de protección de datos, hice una afirmación que quizá sea poco popular. En mi opinión, la probabilidad de que la AEPD termine examinando y penalizando a una startup es tan remota como la probabilidad de acertar la lotería navideña.

Hice la aclaración que no digo que no cumpla, digo que cumpla lo necesario sin volverse locos, porque no le va a tocar, y si le toca será poca cosa.

¿Qué mensajes envía la AEPD?

Yo creo que la AEPD deja varios mensajes claros:

• Denunciar es una pérdida de tiempo y recursos
• Los que denuncian en su mayoría no tienen ni idea de lo que denuncian
• Las denuncias hacen perder el tiempo y recursos a la AEPD

Los números son los siguientes, extraídos de la última memoria publicada por la misma AEPD:

AEPD: reclamaciones y expedientes sancionadores
2024 y 2025 · Datos de la Memoria anual 2025

Año	Reclamaciones entrantes (R)	Procedimientos sancionadores resueltos (P)	«Éxito»* P / R × 100	«Errores de ciudadanos»* 100 − P / R × 100
2024	18.855	362	1,92 %	98,08 %
2025	30.931	431	1,39 %	98,61 %

* Los porcentajes comparan volúmenes anuales; no representan tasas reales de éxito ni errores de los ciudadanos. Los procedimientos resueltos incluyen archivos y pueden corresponder a reclamaciones de años anteriores.

En el año 2024 se registraron 18.855 y se sancionaron 362, es decir, menos de un 2 %. Otra forma de verlo para mí, es que más de un 98 % de los ciudadanos que presentaron una denuncia se equivocaban, no tenían la razón, denunciaron por denunciar. En el año 2025 se registraron 30.931 y se sancionaron 431, tan solo un 1,39 %.

Tome en cuenta que posiblemente el 100 % de los casos que se resolvieron en 2024 se registraron el año anterior o dos años antes. Pero viendo los datos, la proporción y los porcentajes son muy equivalentes. Dudo que la variación sea mayor a un 0,5 %.

Por otro lado, hay un dato con el que no cuento, no tengo datos y me encantaría encontrarlo. Me gustaría saber cuántos casos se presentaron por medio de bufetes legales. Me gustaría conocer el dato porque eso cambiaría muchísimo las probabilidades que tiene un ciudadano normal.

La memoria de la AEPD me resulta muy confusa, pero saco mis conclusiones asumiendo cantidades similares debido a los importes. En 2024 si se divide la recaudación neta entre el número de expedientes que resultaron con una sanción, el promedio es de 79.516,86 € y en 2025 el promedio fue 90.299,08 €. Con estos importes promedio está claro que se trata de grandes empresas, es imposible que se trate de una startup.

¿Merece la pena denunciar?

En el año 2024 más de 18.000 personas hicieron un esfuerzo enorme, porque es realmente difícil poner una denuncia, y el resultado es que perdieron el tiempo. En el año 2025 perdieron el tiempo más de 30.000 personas. Ni que decir de quienes tuvieron que invertir dinero.

Por otro lado, ninguno de los perjudicados que sí tuvieron éxito con su denuncia recibieron algo de las multas, el dinero se lo queda todo el gobierno. Es decir, el gobierno se queda el dinero que cobra por las infracciones que cometen contra la ciudadanía.

Yo creo que sí merece la pena denunciar. Si se tiene razón, se hace, no porque pueda ganar, sino porque es lo correcto.

El profesor Ricard Martínez cuestiona que el miedo a las multas de protección de datos se corresponda con el riesgo real de recibir una sanción en España. Así lo expresa en su artículo en la revista Tecnología y Sentido Común que se publicó este mes.

Los argumentos del profesor Martínez son:

• Más reclamaciones no implica más multas. Cita 30.931 reclamaciones en 2025, un 64 % más que el año anterior, pero señala que muchas se inadmiten o archivan.
• Los procedimientos que llegan al final son relativamente pocos: entre 170 y casi 400 al año en el período analizado. Además, pueden acabar en un apercibimiento, sin multa.
• Las estadísticas no bastan para saber cuánto se cumple realmente la normativa. Ricard plantea si los archivos reflejan falta de infracción, problemas para probarla o cuestiones que quedan fuera de la competencia de la Agencia.
• Se da una paradoja: el miedo a las sanciones frena usos de datos que podrían ser legítimos, mientras que en las administraciones públicas —donde, según señala, el riesgo de multa no opera igual— tampoco parece impulsar suficientemente el cumplimiento.

Desde luego no es la ciudadanía la que necesita arreglo. Las probabilidades de que le toque a una startup son realmente remotas.

Sigo recomendando:

1. Denuncie, porque si es verdad, es lo correcto.
2. En el caso de la empresa y la startup, cumpla.