Mil euros por no tener un cartel

Mil euros por no tener un cartel. En el expediente PS/00226/2021 de la AEPD, una peluquería tenía videovigilancia sin el distintivo informativo. La resolución impuso una multa de 1.000 euros por infringir el artículo 13 del RGPD y ordenó adaptar el sistema.

Al graduar la sanción, la Agencia tuvo en cuenta el pequeño tamaño del establecimiento y que no constaban infracciones previas. También señaló el tiempo que había transcurrido desde la entrada en vigor del RGPD. Ser pequeño formó parte de la valoración; no evitó la sanción en ese caso.

Qué obliga exactamente, y por qué no basta el cartel

La obligación es informar sobre el tratamiento de datos. En videovigilancia, el distintivo visible es una parte concreta de esa información. La ficha de la AEPD para establecimientos públicos indica qué debe contener y exige mantener disponible la información restante. Colocar cualquier aviso de «hay cámaras» no completa por sí solo el deber.

La comprobación práctica es mirar el acceso como lo haría quien entra por primera vez: si puede ver el distintivo, si identifica al responsable y si sabe dónde ejercer sus derechos y obtener más información. No sustituye la revisión del resto del sistema de cámaras.

El mostrador es otro sitio donde conviene separar obligaciones

En el PS/00562/2025, una visitante de un gimnasio relató que había facilitado datos para un acceso de un día y después recibió SMS publicitarios. El expediente recoge que respondió con la instrucción de baja indicada y recibió nuevos mensajes. La sanción se refiere al artículo 21.1 de la LSSI-CE.

Ahí hay dos preguntas diferentes. Una es qué información recibe alguien cuando facilita sus datos. Otra, si puedes usar su contacto para mandarle publicidad. Informar correctamente no convierte cualquier uso posterior en lícito. Y que una reclamación describa una falta de información no significa que la resolución haya sancionado también ese hecho: hay que leer qué infracción declara.

Para correo y medios electrónicos equivalentes, el artículo 21 de la LSSI-CE exige solicitud o autorización previa, salvo la excepción de relación contractual anterior con sus condiciones: obtención lícita del contacto, productos o servicios propios similares y posibilidad sencilla y gratuita de oposición. No basta con tener el número.

La baja tiene que llegar al sistema que envía

El PS/00411/2024, sobre una empresa de asesoramiento energético, recoge mensajes de WhatsApp posteriores a las solicitudes de supresión. La infracción analizada bajo el artículo 21.1 se refiere al envío de comunicaciones electrónicas; no conviene extenderla sin más a las llamadas mencionadas en la reclamación.

En el PS/00424/2021, relativo a cursos en línea, la AEPD impuso 2.000 euros por correos comerciales contrarios al artículo 21 de la LSSI-CE. Había, además, otra sanción por el derecho de supresión del artículo 17 del RGPD. Los 2.000 euros no eran el total del expediente.

Los cuatro casos no tienen la misma obligación ni el mismo canal. Sí invitan a revisar tres piezas que a menudo se gestionan por separado: la información al recoger datos, la base que permite el uso previsto y la ejecución de las bajas.

Qué revisar en el siguiente formulario

Comprueba que la información corresponda al tratamiento real y que sea accesible al recoger el dato. Una frase sobre quién lo guarda no siempre contiene toda la información necesaria; puede haber una primera capa clara y una segunda con el detalle.

Si pides consentimiento para publicidad, usa una opción separada, voluntaria y sin marcar por defecto. Que alguien no la acepte no debería impedirle pedir una cita por ese motivo. Guarda evidencia de lo que aceptó y cuándo.

Después prueba la baja con un contacto ficticio: debe dejar de recibir lo que ha rechazado en todos los sistemas implicados. Contestar «ya está» y mantenerlo en otra lista no resuelve el problema.

Qué no dicen estas resoluciones

Una sanción es un caso, no una estadística. Estos expedientes no dicen cuántos negocios reciben multas ni qué probabilidad tienes tú. Tampoco permiten calcular tu importe: las circunstancias y las reducciones de cada procedimiento importan.

He separado lo que muestran los documentos de las comprobaciones que propongo. Ninguna lista breve garantiza cumplir toda la normativa ni permite decir que se arregla en una tarde. Para decidir qué exige tu tratamiento concreto, hace falta revisarlo con sus datos, sus usos y sus canales delante.