Marco competencial: quién regula el alquiler turístico

La regulación de las viviendas de uso turístico corresponde principalmente a las comunidades autónomas, que establecen los requisitos de habilitación, las condiciones del inmueble, y en muchos casos las limitaciones zonales o de densidad aplicables en determinados municipios.

Requisitos habituales para operar legalmente

• Obtención de la licencia o habilitación turística correspondiente en la comunidad autónoma.
• Cumplimiento de requisitos mínimos de habitabilidad y equipamiento del inmueble.
• Registro en el censo de viviendas turísticas correspondiente, cuando la normativa lo exija.
• Cumplimiento de las normas de convivencia y régimen de comunidad de propietarios, si el inmueble está en un edificio con otros vecinos.

Limitaciones introducidas por comunidades de propietarios

La normativa de propiedad horizontal permite a las comunidades de vecinos limitar o condicionar el alquiler turístico mediante acuerdo con mayorías cualificadas, una vía que numerosas comunidades han utilizado para restringir esta actividad en sus edificios, generando disputas frecuentes entre propietarios que ya destinaban su vivienda a este uso y la comunidad que decide restringirlo posteriormente.

Regulación municipal específica

Muchos ayuntamientos, especialmente en zonas de alta presión turística, han introducido restricciones adicionales: zonificación que limita el alquiler turístico a determinadas áreas, límites de densidad de viviendas turísticas por zona, o incluso moratorias temporales a nuevas licencias.

Obligaciones fiscales asociadas a esta actividad

Más allá de la habilitación turística, el alquiler vacacional genera obligaciones fiscales específicas: declaración de los ingresos en el IRPF (como rendimiento del capital inmobiliario o de actividad económica según cómo se organice la gestión), y posible sujeción a IVA si se prestan servicios propios de la industria hotelera (limpieza periódica, cambio de ropa de cama, recepción).

Riesgos de operar sin la habilitación correspondiente

Alquilar turísticamente sin la licencia exigida puede conllevar sanciones administrativas significativas, además del riesgo de que las plataformas de intermediación retiren el anuncio si detectan la falta de habilitación, en cumplimiento de sus propias políticas de verificación.

Preguntas frecuentes

¿Necesito licencia turística si alquilo mi vivienda solo unas semanas al año?
Depende de la normativa autonómica concreta; algunas exigen habilitación independientemente de la frecuencia, mientras otras contemplan matices según el volumen de la actividad.

¿Mi comunidad de vecinos puede prohibir el alquiler turístico si ya lo venía haciendo?
Puede limitarlo mediante acuerdo con la mayoría cualificada exigida legalmente, aunque los efectos sobre quienes ya ejercían la actividad pueden tener matices específicos que conviene analizar.

Operar en el alquiler turístico exige cumplir un marco normativo en constante evolución, tanto autonómico como municipal y de comunidad de propietarios. Para fiscalidad inmobiliaria aplicada a esta actividad, revisamos contigo el cumplimiento normativo y fiscal antes de empezar a operar.

La entrada Normativa del alquiler turístico en España se publicó primero en Torreon Legal.

IVA: aplicable a la vivienda nueva

Cuando se adquiere una vivienda de obra nueva directamente al promotor (primera transmisión), la operación tributa por IVA, con un tipo reducido específico para viviendas, distinto del tipo general aplicable a otros bienes y servicios.

ITP: aplicable a la segunda mano

Las transmisiones de viviendas usadas (segundas y posteriores transmisiones) tributan por el Impuesto sobre Transmisiones Patrimoniales, con un tipo que varía según la comunidad autónoma donde se ubique el inmueble, ya que es un tributo cedido con capacidad normativa autonómica.

AJD: el impuesto que acompaña a la formalización notarial

El Impuesto de Actos Jurídicos Documentados grava la formalización en escritura pública de determinados actos, entre ellos la compraventa cuando está sujeta a IVA (vivienda nueva) y la constitución de hipoteca, con tipos que también varían según la comunidad autónoma.

Por qué no se pagan IVA e ITP simultáneamente en la misma operación

Ambos impuestos son, en principio, incompatibles entre sí para una misma transmisión: si aplica IVA (vivienda nueva), no aplica ITP; si aplica ITP (segunda mano), no aplica IVA. Sin embargo, el AJD sí puede acompañar a la operación sujeta a IVA, mientras que las operaciones sujetas a ITP no generan AJD adicional por la propia transmisión.

El caso especial de la hipoteca

Desde una reforma normativa relevante, el sujeto pasivo del AJD en la constitución de hipotecas es la entidad prestamista (el banco), no el prestatario, lo que ha modificado sustancialmente quién asume este coste en la práctica frente al régimen anterior.

Bonificaciones autonómicas a considerar

Muchas comunidades autónomas aplican tipos reducidos de ITP o AJD para determinados colectivos (jóvenes, familias numerosas, personas con discapacidad) o para determinados tipos de vivienda (protegida, habitual), por lo que conviene verificar las bonificaciones vigentes en la comunidad autónoma concreta antes de calcular el coste fiscal de la operación.

Cómo calcular el coste fiscal total de la compra

• Verificar si la vivienda es de obra nueva (IVA + AJD) o de segunda mano (ITP).
• Consultar el tipo aplicable en la comunidad autónoma correspondiente.
• Revisar si aplica alguna bonificación específica según tu situación personal o el tipo de vivienda.

Preguntas frecuentes

¿El tipo de ITP es el mismo en toda España?
No, varía según la comunidad autónoma, ya que es un tributo cedido con capacidad normativa propia sobre el tipo aplicable.

¿Puedo aplicar alguna bonificación si soy joven o familia numerosa?
Muchas comunidades autónomas contemplan bonificaciones específicas para estos colectivos, con requisitos particulares que conviene verificar en cada caso concreto.

Calcular correctamente estos impuestos antes de comprar evita sorpresas en el presupuesto final de la operación. Para fiscalidad inmobiliaria bien planificada desde el primer momento, revisamos contigo el cálculo exacto según tu situación concreta.

La entrada Impuestos al comprar una vivienda: ITP, AJD e IVA se publicó primero en Torreon Legal.

Impuestos que gravan la adquisición

Según se trate de vivienda nueva o de segunda mano, la operación tributa por IVA (obra nueva) o por el Impuesto sobre Transmisiones Patrimoniales, ITP (segunda mano), además del Impuesto de Actos Jurídicos Documentados, AJD, aplicable a la formalización notarial de la escritura de compraventa e hipoteca.

Gastos adicionales a la propia compraventa

• Notaría y Registro de la Propiedad, con aranceles regulados según el valor de la operación.
• Gestoría para la tramitación de impuestos y trámites registrales.
• Tasación del inmueble, especialmente si se financia con hipoteca.
• Comisión de la inmobiliaria, si interviene un intermediario en la operación.

La plusvalía municipal: un impuesto que paga el vendedor, no el comprador

Aunque no afecta directamente al comprador, conviene conocer que la venta de un inmueble urbano genera el Impuesto sobre el Incremento de Valor de los Terrenos de Naturaleza Urbana (plusvalía municipal), a cargo del vendedor, salvo pacto en contrario entre las partes que conviene reflejar expresamente en el contrato.

Fiscalidad continuada tras la compra

Una vez adquirido el inmueble, aparecen obligaciones fiscales recurrentes: el Impuesto sobre Bienes Inmuebles (IBI) de carácter municipal, y en su caso, la imputación de rentas inmobiliarias en el IRPF si el inmueble no constituye vivienda habitual y no está alquilado.

Revisión de cargas y deudas pendientes sobre el inmueble

Antes de firmar, es fundamental verificar en el Registro de la Propiedad que el inmueble está libre de cargas (hipotecas, embargos) no informadas por el vendedor, o negociar expresamente cómo se gestionarán si existen, ya que estas cargas pueden transmitirse junto con la propiedad si no se cancelan antes de la compraventa.

Financiación y deducciones fiscales asociadas

Si la compra se financia mediante hipoteca, conviene revisar si el comprador puede beneficiarse de alguna deducción fiscal vigente, ya que la deducción general por inversión en vivienda habitual se eliminó para adquisiciones posteriores a 2013, manteniéndose únicamente para quienes ya la venían aplicando en compras anteriores a esa fecha.

Errores frecuentes al comprar un inmueble

• No presupuestar correctamente los gastos e impuestos adicionales al precio de compra, que pueden suponer un porcentaje significativo adicional.
• No verificar cargas registrales antes de firmar el contrato de arras o la escritura.
• Desconocer si aplica IVA o ITP según el tipo de vivienda, lo que afecta al importe total a desembolsar.

Preguntas frecuentes

¿Quién paga los impuestos de la compraventa, comprador o vendedor?
El ITP o IVA de la adquisición corresponde al comprador; la plusvalía municipal corresponde, salvo pacto distinto, al vendedor.

¿Puedo negociar quién paga cada gasto de la operación?
Sí, muchos de estos gastos pueden pactarse libremente entre las partes, aunque conviene reflejarlo expresamente por escrito para evitar disputas posteriores.

Conocer con antelación toda la fiscalidad asociada a una compraventa evita sorpresas económicas una vez cerrada la operación. Para más información aquí sobre cómo planificar correctamente tu próxima compra inmobiliaria, una revisión previa de estos aspectos es el primer paso antes de firmar cualquier compromiso.

La entrada Fiscalidad inmobiliaria: lo que debes saber antes de comprar se publicó primero en Torreon Legal.

Si sufres una brecha de seguridad, el RGPD te da 72 horas para reaccionar. Te explico qué hacer paso a paso para reducir daños y evitar sanciones.

Brecha de seguridad: no es “solo un hackeo”
Cuando hablamos de brecha de seguridad en protección de datos, mucha gente piensa en un “ciberataque de película”. Pero en el RGPD una brecha puede ser algo mucho más cotidiano:

Te roban un portátil con datos de clientes.
Mandas un email con datos personales al destinatario equivocado.
Se filtra un Excel con nóminas.
Un empleado comparte una carpeta sin querer.
Tu proveedor (encargado del tratamiento) sufre un incidente.

Y sí: aunque no haya “hackers”, si hay pérdida, acceso no autorizado, destrucción o divulgación de datos personales, estás ante una brecha.

La clave: lo que hagas en las primeras 72 horas marca la diferencia entre “incidente controlado” y “problema serio con la AEPD”.

Qué exige el RGPD (y por qué lo de las 72 horas es tan importante)
El RGPD obliga a notificar a la autoridad de control (en España, la AEPD) determinadas brechas de seguridad.

Plazo: sin dilación indebida y, si es posible, en un máximo de 72 horas desde que tienes constancia.

Ojo con esto: el reloj empieza cuando “tienes constancia”, no cuando ocurrió el incidente.

Además, en algunos casos también tendrás que comunicar la brecha a las personas afectadas.

Paso 0 (antes de correr): confirma si realmente hay brecha
Parece obvio, pero en el caos del momento se cometen dos errores típicos:

No hacer nada “porque no estamos seguros”.
Notificar a lo loco sin tener información mínima.

Lo correcto es activar un mini-protocolo interno:

Recoge hechos: qué ha pasado, cuándo se detecta, quién lo detecta.
Identifica sistemas afectados: email, CRM, servidor, nube, móvil, etc.
Determina si hay datos personales implicados.

Si hay datos personales y ha habido acceso/pérdida/divulgación no autorizada, trátalo como brecha hasta que se demuestre lo contrario.

Paso 1 (0–6 horas): contén el incidente y evita que vaya a más
Objetivo: parar la hemorragia.

Acciones típicas (según el caso):

Cambiar contraseñas y revocar accesos.
Cerrar sesiones abiertas.
Aislar equipos comprometidos.
Bloquear cuentas sospechosas.
Desactivar enlaces públicos.
Recuperar copias de seguridad si procede.
Contactar con el proveedor tecnológico si el incidente es en su plataforma.

Consejo práctico: documenta todo lo que haces (hora, acción, responsable). Esto luego te salva.

Paso 2 (0–24 horas): evalúa el riesgo para las personas
El RGPD no te pide “notifica todo”. Te pide que valores el riesgo para los derechos y libertades de las personas.

Preguntas clave:

Qué tipo de datos se han visto afectados (identificativos, bancarios, salud, menores…).
Cuántas personas están afectadas.
Si los datos estaban cifrados o pseudonimizados.
Si el acceso fue interno o externo.
Si hay posibilidad de suplantación de identidad, fraude, extorsión, daño reputacional, etc.

Regla rápida:

Datos sensibles + acceso no autorizado = riesgo alto casi seguro.
Datos básicos pero en volumen grande = riesgo medio/alto.
Datos cifrados y sin posibilidad real de acceso = riesgo bajo.

Paso 3 (antes de 72 horas): decide si hay que notificar a la AEPD
Tienes que notificar a la AEPD si es probable que la brecha suponga un riesgo para los derechos y libertades de las personas.

Si el riesgo es poco probable, no se notifica… pero OJO: debes documentar igualmente la brecha y tu decisión.

Qué incluir en la notificación (mínimos RGPD)

Naturaleza de la brecha (qué ha pasado).
Categorías y número aproximado de afectados.
Categorías y número aproximado de registros.
Consecuencias probables.
Medidas adoptadas o propuestas para remediar y mitigar.

Si no tienes todo en 72 horas, puedes notificar con lo que tengas y ampliar después. Lo importante es no quedarte quieto.

Paso 4 (si aplica): comunica a los afectados (sin meter más miedo del necesario)
Debes comunicar la brecha a las personas afectadas cuando sea probable que entrañe un alto riesgo.

Esto suele pasar, por ejemplo, si:

Se han filtrado contraseñas.
Hay datos bancarios.
Hay datos de salud.
Hay datos que permiten fraude o suplantación.

Cómo comunicar bien:

Claro y directo: qué ha pasado.
Qué datos pueden estar afectados.
Qué riesgos reales existen.
Qué medidas has tomado.
Qué pueden hacer ellos (cambiar contraseña, vigilar movimientos, etc.).
Canal de contacto para dudas.

Evita el típico texto “legal” que no entiende nadie. Aquí la transparencia es tu aliada.

Paso 5 (72 horas en adelante): aprende, corrige y deja el sistema mejor
Una brecha es una señal. Si la ignoras, se repite.

Checklist post-incidente:

Revisión de accesos y permisos.
Formación rápida al equipo (errores comunes: emails, enlaces, contraseñas).
Mejoras técnicas: 2FA, cifrado, backups, logs.
Revisión de contratos con encargados del tratamiento.
Actualizar el Registro de Actividades (si procede).
Revisar si necesitas una Evaluación de Impacto (DPIA) en tratamientos de riesgo.

Documento obligatorio: registro interno de brechas
Aunque no notifiques a la AEPD, el RGPD exige llevar un registro interno de brechas.

Qué debe incluir:

Fecha y hora de detección.
Descripción.
Datos afectados.
Evaluación de riesgo.
Decisión de notificar o no.
Medidas tomadas.

Esto, en una inspección, es de lo primero que te piden.

Errores que más se ven (y que salen caros)

Esperar a “tenerlo claro” y dejar pasar el plazo.
No documentar nada.
No evaluar el riesgo (decidir por intuición).
No tener control sobre proveedores.
No comunicar a afectados cuando toca.

Mini-guía para PYMES y autónomos: protocolo simple de 1 página
Si quieres algo práctico, aquí tienes un protocolo básico:

Detecto incidente → lo registro.
Contengo (cierro accesos, cambio contraseñas, bloqueo).
Evalúo riesgo (tipo de datos + volumen + medidas de seguridad).
Decido: notificar AEPD sí/no.
Si riesgo alto: informo a afectados.
Registro todo y mejoro medidas.

Cómo te ayuda Torreón Legal
Si te pasa una brecha, lo peor es improvisar. En Torreón Legal te ayudamos a:

Tener un protocolo de brechas listo para usar.
Definir responsables internos y pasos claros.
Preparar la documentación para justificar decisiones.
Revisar contratos con proveedores y medidas técnicas mínimas.

Porque la diferencia entre “me ha pasado algo” y “me han sancionado” muchas veces está en cómo reaccionas.

Preguntas frecuentes (FAQ)

¿Cuándo empiezan a contar las 72 horas del RGPD?
Desde que tienes constancia razonable de que ha ocurrido una brecha con datos personales.

¿Tengo que notificar siempre a la AEPD?
No. Solo si es probable que suponga un riesgo para las personas. Si no notificas, debes documentar la decisión.

¿Y si el incidente lo sufre mi proveedor?
Sigue siendo tu responsabilidad como responsable del tratamiento. El proveedor debe informarte sin dilación, pero tú decides y notificas si procede.

¿Qué pasa si notifico tarde?
Puede considerarse incumplimiento del RGPD y agravar el problema en caso de inspección.

¿Puedo notificar con información incompleta?
Sí. Notifica en plazo con lo que tengas y amplía después.

La entrada Brechas de seguridad y RGPD: qué hacer en las primeras 72 horas (paso a paso) se publicó primero en Torreon Legal.

¿Tu empresa necesita Delegado de Protección de Datos? Te explico cuándo es obligatorio en España, qué funciones tiene y cómo nombrarlo sin liarla con la AEPD.

DPD, DPO… ¿de qué estamos hablando exactamente?
El Delegado de Protección de Datos (DPD) —también llamado DPO por sus siglas en inglés (Data Protection Officer)— es la figura que asesora y supervisa el cumplimiento del RGPD y la LOPDGDD dentro de una organización.

Pero ojo: no es “un papel más”. Si estás obligado a tenerlo y no lo nombras (o lo nombras mal), te estás metiendo en un lío.

Y si no estás obligado, nombrarlo “por postureo” también puede salirte caro si luego no cumples con lo que implica.

Cuándo es obligatorio nombrar un DPD en España
El RGPD marca los casos generales, y la LOPDGDD en España concreta y amplía supuestos.

En la práctica, necesitas DPD si encajas en alguno de estos escenarios:

1) Si eres una autoridad u organismo público
Salvo tribunales en su función judicial.

2) Si tu actividad principal implica observación habitual y sistemática de personas a gran escala
Ejemplos típicos:

Empresas que hacen tracking masivo de comportamiento online.
Plataformas que perfilan usuarios para publicidad.
Servicios que monitorizan geolocalización de forma continua.

3) Si tratas categorías especiales de datos a gran escala
Hablamos de datos sensibles: salud, biométricos, ideología, religión, orientación sexual, etc.

Ejemplos:

Clínicas y centros sanitarios con volumen.
Empresas de prevención de riesgos con vigilancia de la salud.
Aseguradoras en ciertos tratamientos.

4) Supuestos específicos de la LOPDGDD (España)
La LOPDGDD incluye una lista de entidades que deben nombrar DPD. Algunos ejemplos comunes:

Centros docentes que ofrezcan enseñanzas regladas.
Universidades.
Entidades que exploten redes y presten servicios de comunicaciones electrónicas.
Prestadores de servicios de la sociedad de la información cuando elaboren perfiles a gran escala.
Entidades financieras y aseguradoras.
Empresas de seguridad privada.
Federaciones deportivas cuando traten datos de menores.

Importante: no es solo “por sector”, es por el tipo de tratamiento y el alcance. Si dudas, se analiza caso a caso.

¿Y si soy autónomo o una PYME pequeña?
La mayoría de autónomos y PYMES NO están obligados a tener DPD.

Pero hay excepciones:

Si tratas datos sensibles de forma relevante.
Si haces monitorización sistemática.
Si por tu actividad encajas en los supuestos de la LOPDGDD.

Ejemplo claro: una clínica pequeña puede no tratar “a gran escala”, pero sigue manejando datos de salud. Aquí hay que ver volumen, naturaleza del tratamiento y riesgos.

Qué hace un DPD (funciones reales, no teoría)
Un DPD no es un “pararrayos” para que la empresa se despreocupe. El responsable del tratamiento sigue siendo responsable.

Funciones típicas del DPD:

Informar y asesorar sobre obligaciones RGPD/LOPDGDD.
Supervisar el cumplimiento (políticas, auditorías, formación).
Asesorar en Evaluaciones de Impacto (DPIA).
Cooperar con la AEPD.
Actuar como punto de contacto con la autoridad y con los interesados.

Traducción: es la figura que te ayuda a no ir a ciegas y a tener un sistema de cumplimiento que aguante una inspección.

Qué requisitos debe cumplir (y errores típicos)
Independencia
El DPD debe poder actuar con autonomía. No puede estar “atado” por conflictos de interés.

Error típico: nombrar DPD al responsable de IT, al director de RRHH o al director financiero cuando toman decisiones sobre tratamientos. Puede considerarse conflicto.

Conocimientos
Debe tener conocimientos especializados en protección de datos y práctica del RGPD.

Acceso a recursos
Debe tener tiempo, herramientas y acceso a la información.

Error típico: nombrarlo “en un documento” y no darle ni un minuto ni acceso a nada.

Cómo nombrar un DPD paso a paso (bien hecho)

1) Decide si es interno o externo
Interno: empleado de la empresa.
Externo: servicio profesional (muy habitual en PYMES).

2) Formaliza el nombramiento
Documento de designación + definición de funciones + canal de contacto.

3) Comunícalo dentro de la organización
Que el equipo sepa quién es, para qué sirve y cuándo se le consulta.

4) Notifica el DPD a la AEPD
En España, la designación debe comunicarse a la AEPD.

5) Publica sus datos de contacto
En tu web (aviso legal / privacidad) y en comunicaciones donde aplique.

Qué pasa si no lo nombras cuando es obligatorio
Riesgos típicos:

Sanciones.
Agravamiento en caso de inspección.
Mala gestión de brechas y reclamaciones.
Falta de trazabilidad documental.

Y lo peor: cuando llega un problema (brecha, reclamación, inspección), ya vas tarde.

¿Nombrar DPD te “cubre” ante sanciones?
No. Te ayuda a hacer las cosas bien, a documentarlo y a reaccionar rápido.

Pero si la empresa incumple, el responsable sigue respondiendo.

Checklist rápida: ¿puede que necesites DPD?

Tratas datos de salud o biométricos de forma relevante.
Haces perfiles o monitorización continua de usuarios.
Tienes volumen alto de datos o afectados.
Estás en un sector “marcado” por la LOPDGDD (financiero, telecom, educación reglada, seguridad privada…).

Si has marcado 1 o más, merece la pena revisarlo.

Cómo te ayuda Torreón Legal
En Torreón Legal te ayudamos a:

Analizar si estás obligado a nombrar DPD.
Preparar el nombramiento y la documentación.
Definir funciones, canal de contacto y política interna.
Dejar tu cumplimiento montado para que no dependa de improvisar.

Porque aquí no se trata de “tener un DPD”, sino de tener un sistema que te quite riesgos de encima.

Preguntas frecuentes (FAQ)

¿Un autónomo puede ser DPD de sí mismo?
En teoría podría si cumple requisitos y no hay conflicto, pero en la práctica suele ser mala idea: falta independencia y recursos. Lo normal es externalizar.

¿Tengo que publicar el nombre del DPD?
Debes facilitar un canal de contacto del DPD. Puede ser un email/medio de contacto, no necesariamente el nombre público si se gestiona bien.

¿Es obligatorio notificar el DPD a la AEPD?
Sí, en España la designación del DPD debe comunicarse a la AEPD.

¿Puedo nombrar DPD a mi responsable de informática?
Depende. Si decide sobre medios y fines del tratamiento, puede haber conflicto de interés.

La entrada Delegado de Protección de Datos (DPD/DPO) en España: cuándo lo necesitas y cómo nombrarlo bien se publicó primero en Torreon Legal.

Si tienes una web de empresa (aunque sea pequeña), seguramente ya te han dicho: «pon un banner de cookies y listo». Y claro, lo pones, eliges una plantilla bonita y a otra cosa.

El problema es que en España el tema cookies no es decorativo. Es uno de los puntos donde más se equivoca la gente, y donde más fácil es que te caiga un requerimiento o una sanción. No porque seas mala persona, sino porque hay mucho «banner de pega» que parece cumplir… pero no cumple.

En este artículo vamos a lo práctico: qué obligaciones reales tienes con cookies, qué fallos típicos cometen autónomos y pymes, qué riesgos hay si lo haces mal, y cómo dejarlo bien montado sin volverte loco.

1) Lo básico: cookies, RGPD y la norma «de verdad» que te aplica

Cuando hablamos de cookies, se mezclan varias normas:

• RGPD (Reglamento General de Protección de Datos)
• LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales)
• LSSI-CE (Ley de Servicios de la Sociedad de la Información)
• Y, en España, los criterios de la AEPD (Agencia Española de Protección de Datos), que marcan el estándar práctico.

La idea clave es esta:

• Si una cookie es necesaria para que la web funcione (por ejemplo, recordar el carrito o mantener la sesión), normalmente no necesitas consentimiento.
• Si una cookie no es necesaria (analítica, publicidad, remarketing, medición avanzada, etc.), necesitas consentimiento previo.

Y «previo» significa previo de verdad: no vale instalarla y luego preguntar.

2) ¿Por qué es tan importante? Porque es lo más visible (y lo más denunciable)

La protección de datos tiene muchas partes que no se ven: contratos con proveedores, registros internos, medidas de seguridad…

Pero las cookies están en la cara del usuario. Cualquier persona puede:

• Entrar en tu web
• Ver el banner
• Comprobar si hay cookies cargadas antes de aceptar

Y si alguien se enfada (o si un competidor quiere tocarte las narices), es un punto fácil para denunciar.

Además, muchas inspecciones y revisiones empiezan por la web, porque es lo más rápido de auditar.

3) Errores típicos en banners de cookies (los que más veo en pymes)

Error 1: «Aceptar» grande y «Rechazar» escondido

En España, el criterio es claro: rechazar debe ser igual de fácil que aceptar.

Si pones:

• Botón verde gigante «Aceptar»
• Y para rechazar hay que entrar en «Configurar», abrir 3 pestañas y desmarcar cosas

…eso se considera consentimiento no válido.

Error 2: Cookies no esenciales cargadas antes de aceptar

Este es el clásico: instalas Google Analytics, Meta Pixel, TikTok Pixel o herramientas similares y, aunque el usuario no haya aceptado, ya están cargando.

Eso es un «no» bastante claro.

Error 3: «Seguir navegando» como consentimiento

Hace años se veía mucho: «Si sigues navegando, aceptas».

Hoy, en general, no es válido. El consentimiento debe ser una acción afirmativa clara.

Error 4: No informar bien (o informar con textos genéricos)

La política de cookies no puede ser un copia-pega que no dice:

• Qué cookies usas
• Para qué
• Quién es el tercero (si aplica)
• Duración
• Cómo retirar el consentimiento

Error 5: No poder cambiar la elección fácilmente

El usuario debe poder:

• Cambiar su configuración
• Retirar el consentimiento

Y eso debería estar accesible (por ejemplo, un botón flotante o un enlace fijo).

4) ¿Qué cookies suelen usar autónomos y pymes (y cuáles requieren consentimiento)?

Para aterrizarlo, aquí van ejemplos típicos:

Cookies necesarias (normalmente sin consentimiento)

• Cookies de sesión
• Cookies para seguridad (por ejemplo, anti-fraude)
• Cookies para recordar preferencias técnicas básicas

Cookies no necesarias (con consentimiento)

• Analítica: Google Analytics, Matomo (según configuración), Hotjar
• Publicidad/remarketing: Meta Pixel, Google Ads, TikTok Pixel
• Medición avanzada y atribución: herramientas de tracking
• Widgets de terceros: mapas, vídeos, chat embebido (dependiendo de cómo carguen)

Ojo: que una cookie sea «analítica» no la convierte en «inofensiva». Si identifica o perfila, entra en terreno sensible.

5) Riesgos reales de hacerlo mal (más allá del susto)

A) Requerimientos y sanciones

La AEPD puede:

• Requerirte cambios
• Abrir procedimiento
• Sancionar

Y aunque muchas sanciones a pymes no son millonarias, sí pueden doler.

B) Pérdida de confianza

Un banner agresivo o engañoso genera rechazo. Y si tu negocio depende de la confianza (servicios profesionales, salud, legal, asesoría…), peor.

C) Problemas con campañas

Si tu web está mal configurada, puedes:

• Medir mal
• Atribuir mal ventas
• Tener datos contaminados

Y al final gastas dinero en publicidad sin saber qué funciona.

6) Cómo montar un banner de cookies bien (sin complicarte)

Aquí va una guía práctica:

Paso 1: Inventario de cookies

Antes de poner el banner, hay que saber qué hay:

• Qué herramientas tienes instaladas
• Qué cookies cargan
• Si cargan antes o después del consentimiento

Paso 2: Clasificación correcta

Separar:

• Necesarias
• Preferencias
• Analítica
• Marketing

Paso 3: Consentimiento real

El banner debería tener:

• «Aceptar»
• «Rechazar»
• «Configurar»

Y que «Rechazar» sea visible y fácil.

Paso 4: Bloqueo previo

Las cookies no esenciales deben estar bloqueadas hasta que el usuario acepte.

Paso 5: Registro del consentimiento

Debes poder demostrar que el usuario consintió (muchas herramientas lo registran).

Paso 6: Acceso para cambiar la elección

Un enlace o botón tipo «Cambiar cookies» siempre visible.

7) Caso típico: «Solo tengo un formulario y Analytics»

Muchos negocios dicen: «yo solo tengo Analytics para ver visitas».

Aun así:

• Si Analytics carga sin consentimiento, mal.
• Si no informas bien, mal.
• Si no permites rechazar fácil, mal.

Y lo peor: es un fallo fácil de detectar.

8) Checklist rápido para saber si tu web está en riesgo

Si respondes «sí» a alguna, hay que revisar:

1. ¿Se cargan cookies de analítica/marketing antes de aceptar?
2. ¿El botón «Rechazar» está escondido o no existe?
3. ¿Tu política de cookies es genérica y no refleja lo que usas?
4. ¿No hay forma fácil de cambiar la elección?
5. ¿Tienes herramientas de terceros (maps, vídeos, chat) que cargan sin control?

Conclusión

En España, las cookies son uno de los puntos donde más fácil es meter la pata con RGPD. Y lo peor es que mucha gente cree que lo tiene «hecho», cuando en realidad tiene un banner que no cumple.

La buena noticia: arreglarlo suele ser más sencillo de lo que parece, pero hay que hacerlo bien: inventario, bloqueo previo, consentimiento real y documentación clara.

Si quieres dejar tu web cubierta y evitar sustos, en Torreón Legal te ayudamos a preparar y mantener tu documentación y configuración de cumplimiento para que puedas trabajar tranquilo.

La entrada Cookies y RGPD en España para pymes: el banner mal puesto te puede meter en un lío se publicó primero en Torreon Legal.

Una brecha de seguridad no es solo «me han hackeado». En RGPD, brecha es cualquier incidente que provoque:

• destrucción,
• pérdida,
• alteración,
• acceso no autorizado,
• o divulgación indebida

…de datos personales.

Y aquí viene lo importante: cuando pasa, el reloj corre. En muchos casos, tienes 72 horas para notificar a la autoridad de control (en España, la AEPD). Si te quedas parado, improvisas o lo tapas, el problema se multiplica.

En esta guía te explico qué hacer paso a paso, con un enfoque práctico para pymes y autónomos.

1) Primero: calma. Segundo: confirma si es brecha de datos personales

Antes de entrar en pánico, responde a estas preguntas:

• ¿Hay datos personales implicados? (clientes, empleados, leads, proveedores…)
• ¿Se han visto comprometidos confidencialidad, integridad o disponibilidad?
• ¿Ha habido acceso por alguien que no debía?

Ejemplos típicos de brecha en negocios pequeños:

• te roban el portátil con datos de clientes
• un empleado envía un Excel con datos a un destinatario equivocado
• un proveedor te avisa de un acceso no autorizado
• ransomware que cifra tu servidor
• un formulario web expone datos por un fallo

Si hay datos personales afectados, trátalo como brecha hasta que demuestres lo contrario.

2) Las 72 horas: qué significa exactamente

Las 72 horas empiezan a contar desde que tienes conocimiento de la brecha (no desde que ocurrió).

Ojo: «tener conocimiento» no es tener todos los detalles. Es saber que probablemente ha habido un incidente con datos personales.

Por eso, lo peor que puedes hacer es esperar a «tenerlo todo claro» para empezar.

3) Paso a paso: qué hacer en las primeras horas

Paso 1: Contener el incidente

Objetivo: que no vaya a más.

• cambia contraseñas y revoca accesos
• desconecta sistemas comprometidos (si procede)
• bloquea cuentas sospechosas
• activa copias de seguridad / planes de recuperación
• contacta con tu proveedor (hosting, CRM, email, etc.)

Si no tienes equipo técnico, apóyate en tu proveedor IT o en el soporte de la herramienta.

Paso 2: Documentar desde el minuto 1

Aunque al final no tengas que notificar, documenta.

Apunta:

• fecha y hora en que detectas el incidente
• cómo lo detectas
• sistemas afectados
• categorías de datos implicados
• número aproximado de afectados
• medidas que estás tomando

Esto te salva si luego hay reclamación.

Paso 3: Evaluar el riesgo para las personas

El RGPD no obliga a notificar «todo», obliga a notificar cuando la brecha puede suponer un riesgo para los derechos y libertades.

Riesgo alto típico:

• datos bancarios
• credenciales de acceso
• datos de salud
• menores
• datos que puedan causar fraude, suplantación o daño reputacional

Riesgo más bajo (pero ojo):

• datos mínimos y cifrados
• datos sin posibilidad real de identificar a alguien

Aquí es donde muchas pymes fallan: o notifican sin criterio o no notifican cuando toca.

4) ¿Cuándo hay que notificar a la AEPD?

Debes notificar a la AEPD si es probable que la brecha suponga un riesgo.

Y si no notificas, debes poder justificarlo.

La notificación suele incluir:

• naturaleza de la brecha
• categorías y volumen de datos
• número de afectados (aproximado)
• consecuencias probables
• medidas adoptadas
• datos de contacto

Si no tienes toda la info en 72 horas, se puede notificar de forma inicial y ampliar después, pero no te quedes quieto.

5) ¿Cuándo hay que informar a los afectados?

Si la brecha es probable que suponga un alto riesgo para las personas, además de la AEPD, tienes que comunicarlo a los afectados sin dilación indebida.

Ejemplo: filtración de contraseñas, datos bancarios o datos sensibles.

La comunicación debe ser clara:

• qué ha pasado
• qué datos pueden estar afectados
• qué riesgos hay
• qué medidas has tomado
• qué pueden hacer ellos (cambiar contraseña, vigilar movimientos, etc.)

No vale con un texto genérico para cubrir expediente.

6) Errores típicos que te meten en un lío

1. Ocultar la brecha «para que no se enteren»
2. Esperar a tener todos los detalles para actuar
3. No documentar nada
4. No revisar si el proveedor es encargado y qué obligaciones tiene
5. Comunicar a afectados tarde o con mensajes confusos
6. No tener un procedimiento interno (aunque sea simple)

7) Qué deberías tener preparado ANTES de que pase

Porque va a pasar (a ti o a un proveedor). Y cuando pasa, no hay tiempo.

Checklist mínimo:

• inventario de tratamientos (RAT)
• listado de proveedores con acceso a datos
• contratos de encargo al día
• procedimiento de gestión de brechas
• plantilla de registro de incidentes
• plan de copias y recuperación
• responsables internos (quién decide y quién ejecuta)

Con eso, la diferencia entre «susto» y «catástrofe» es enorme.

8) Cómo te ayuda Torreón Legal

En Torreón Legal te dejamos el cumplimiento montado para que, si un día hay brecha:

• sepas qué hacer y en qué orden
• tengas el procedimiento y el registro listos
• tengas proveedores y contratos bien atados
• puedas justificar decisiones (notificar/no notificar)

La idea es simple: menos improvisación, menos riesgo y más tranquilidad.

FAQ rápida

¿Siempre hay que notificar una brecha a la AEPD?

No siempre. Depende del riesgo. Pero si no notificas, tienes que poder justificarlo.

¿Y si la brecha la sufre mi proveedor (hosting, CRM, etc.)?

Puede afectarte igual. Por eso es clave tenerlos identificados y con obligaciones claras.

¿Qué pasa si notifico fuera de plazo?

No es automático que te sancionen, pero te deja en mala posición. Lo importante es actuar rápido y documentar.

La entrada Brechas de seguridad y RGPD: qué hacer en las primeras 72 horas (sin meter la pata) se publicó primero en Torreon Legal.

¿Usas Google, Mailchimp, Dropbox o un CRM en la nube? Puede que estés haciendo transferencias internacionales de datos sin saberlo. Te explico cuándo son legales y cómo cubrirte.

Transferencia internacional: el “detalle” que muchas PYMES se saltan
Cuando una empresa pequeña oye “transferencias internacionales de datos”, suele pensar:

“Eso es para multinacionales.”
“Yo no mando datos fuera de España.”
“Yo solo uso herramientas online.”

Y justo ahí está el problema: hoy, usar herramientas online es, muchas veces, enviar datos fuera del Espacio Económico Europeo (EEE)… aunque tú no lo hagas “a mano”.

Ejemplos típicos:

Email marketing (Mailchimp, ActiveCampaign, etc.).
CRM en la nube.
Herramientas de analítica.
Atención al cliente (tickets, chat).
Copias de seguridad en proveedores con servidores fuera del EEE.
Videollamadas y grabaciones.

Si hay datos personales y el proveedor (o sus subencargados) acceden desde fuera del EEE, puede haber transferencia internacional.

Y sí: esto es un punto que la AEPD mira cada vez más.

Qué dice el RGPD (en cristiano)
El RGPD permite transferir datos fuera del EEE solo si se garantiza un nivel de protección “equivalente” al europeo.

Hay tres grandes vías:

1) Decisión de adecuación
La Comisión Europea declara que un país ofrece un nivel adecuado de protección.

Ejemplos conocidos (pueden variar con el tiempo):

Reino Unido (tras Brexit, con adecuación).
Suiza.
Japón.

Si el país tiene adecuación, la transferencia es más sencilla.

2) Garantías adecuadas
Si no hay adecuación, necesitas garantías, como:

Cláusulas Contractuales Tipo (SCC).
Normas Corporativas Vinculantes (BCR) (más típico en grandes empresas).

En PYMES, lo habitual es SCC + medidas adicionales.

3) Excepciones (ocasionales)
Casos puntuales: consentimiento explícito, ejecución de contrato, reclamaciones legales, interés público…

Ojo: estas excepciones no son para “montar un sistema” permanente. Son para casos concretos.

El elefante en la habitación: EEUU y los proveedores “de siempre”
Muchísimas herramientas populares tienen matriz en EEUU o usan subprocesadores allí.

Esto no significa “prohibido”, pero sí significa:

Tienes que revisar base legal de la transferencia.
Tienes que documentar.
Tienes que firmar el contrato correcto.
Y, en algunos casos, aplicar medidas adicionales.

Cómo saber si estás transfiriendo datos fuera del EEE
Checklist rápida:

¿Tu proveedor indica dónde están sus servidores?
¿Tiene subencargados fuera del EEE?
¿El soporte técnico puede acceder desde fuera?
¿Hay almacenamiento, backups o logs en terceros países?
¿Tu herramienta usa servicios de terceros (CDN, analítica, etc.)?

Lo normal es que esto esté en:

DPA (Data Processing Addendum) del proveedor.
Listado de subprocesadores.
Política de privacidad / seguridad.

Qué documentación necesitas (lo que te pedirán si hay inspección)
Para estar cubierto, lo mínimo es:

1) Contrato de encargo del tratamiento (art. 28 RGPD)
Si el proveedor trata datos por tu cuenta, necesitas contrato.

2) Base de la transferencia internacional
Adecuación o SCC (lo más habitual).

3) Evaluación de riesgos (TIA)
En muchos casos, especialmente con SCC, se recomienda (y en la práctica se espera) una Transfer Impact Assessment (TIA):

Qué datos se transfieren.
A qué país.
Qué riesgos hay.
Qué medidas aplicas.

4) Registro de Actividades (RAT)
Reflejar proveedores y transferencias.

5) Información al usuario
Tu política de privacidad debe indicar:

Qué proveedores usas.
Si hay transferencias internacionales.
Qué garantías aplicas.

Errores típicos que meten a las PYMES en líos

“Mi proveedor es famoso, así que estará bien.”
No revisar subencargados.
No firmar SCC o firmarlas sin saber qué cubren.
No actualizar la política de privacidad.
No documentar nada (y luego no poder probarlo).

Cómo evitar transferencias “sin darte cuenta” (estrategia práctica)

1) Haz inventario de herramientas
Email, CRM, facturación, hosting, analítica, backups, soporte.

2) Prioriza las que tocan datos “sensibles” o de alto volumen
Clientes, empleados, salud, menores, bancarios.

3) Pide al proveedor su DPA/SCC y lista de subprocesadores
Y guárdalo.

4) Si puedes, elige proveedores con servidores en la UE
A veces cuesta un poco más, pero reduce riesgo y papeleo.

5) Documenta la decisión
Aunque sea una ficha simple por proveedor: país, base legal, medidas.

Medidas adicionales (cuando toca)
Dependiendo del caso, pueden ser:

Cifrado fuerte (y que el proveedor no tenga la clave).
Pseudonimización.
Minimización de datos.
Control de accesos.
Logs y auditoría.

No siempre son obligatorias, pero en ciertos escenarios son lo que marca la diferencia.

Cómo te ayuda Torreón Legal
En Torreón Legal te ayudamos a:

Detectar si estás haciendo transferencias internacionales sin saberlo.
Revisar proveedores y contratos (DPA/SCC).
Documentar TIAs de forma práctica.
Actualizar tu política de privacidad y tu RAT.

Porque esto no va de “cumplir por cumplir”. Va de que, si mañana te preguntan, puedas enseñar papeles y dormir tranquilo.

Preguntas frecuentes (FAQ)

¿Usar Google Workspace implica transferencias internacionales?
Depende de la configuración, región de datos y subprocesadores. Hay que revisarlo caso a caso.

¿Si mi proveedor tiene servidores en la UE ya está?
No siempre. Puede haber accesos desde fuera o subencargados fuera. Hay que revisar el ecosistema.

¿Necesito consentimiento para transferencias internacionales?
No necesariamente. Lo habitual es usar SCC o adecuación. El consentimiento explícito es una excepción, no la norma.

La entrada Transferencias internacionales de datos: cuándo son legales y cómo evitarlas sin darte cuenta se publicó primero en Torreon Legal.

¿Sabes si tu empresa cumple con toda la normativa? Te enseño cómo hacer una auditoría interna de cumplimiento sin gastar una fortuna en consultores externos.

El problema: «Creemos que cumplimos, pero no estamos seguros»
Muchas PYMES tienen esta conversación:

«¿Tenemos todo en orden?»
«Creo que sí, pero no lo sé con certeza.»
«¿Y si viene una inspección?»

Y ahí empieza el pánico.

Lo cierto es que una auditoría interna de cumplimiento no tiene por qué ser cara ni complicada. Puede hacerla alguien de tu equipo con una guía clara.

Qué es una auditoría interna de cumplimiento (y por qué importa)
Una auditoría interna es una revisión sistemática de tu empresa para verificar que:

Cumples con la normativa aplicable (laboral, fiscal, protección de datos, etc.).
Tienes documentación en regla.
Tus procesos son seguros.
Identificas riesgos antes de que se conviertan en problemas.

No es lo mismo que una auditoría externa (que hace un tercero independiente). Una auditoría interna es más informal, pero igual de útil.

Ventajas:

Detectas problemas antes de una inspección.
Ahorras dinero (no pagas consultores).
Conoces mejor tu propia empresa.
Tienes documentación de que «hiciste deberes».
Puedes priorizar qué arreglar primero.

Áreas clave a revisar (checklist)

1) Cumplimiento laboral
¿Tienes contratos de trabajo actualizados?
¿Están registrados en la Seguridad Social?
¿Tienes nóminas correctas?
¿Hay registro de jornada?
¿Está actualizado el convenio colectivo?
¿Tienes documentación de vacaciones, bajas, etc.?
¿Hay evaluación de riesgos laborales?

2) Protección de datos (RGPD)
¿Tienes política de privacidad?
¿Sabes qué datos personales tratas?
¿Tienes consentimientos registrados?
¿Hay contratos con proveedores (DPA)?
¿Tienes registro de actividades (RAT)?
¿Hay procedimiento para brechas de seguridad?
¿Está designado un DPO si es necesario?

3) Fiscal y contable
¿Están al día las declaraciones (IVA, IRPF, etc.)?
¿Tienes facturas y recibos organizados?
¿Hay registros de ingresos y gastos?
¿Cumples con retenciones?
¿Tienes libro de registro de bienes de inversión?

4) Seguridad y privacidad física
¿Hay control de acceso a datos sensibles?
¿Se destruyen documentos confidenciales correctamente?
¿Hay política de contraseñas?
¿Está el servidor/hosting protegido?
¿Hay backups regulares?

5) Cumplimiento sectorial (si aplica)
Dependiendo de tu sector (sanidad, finanzas, comercio, etc.), hay normativas específicas.

6) Documentación general
¿Tienes política de privacidad publicada?
¿Tienes aviso legal en web?
¿Tienes política de cookies?
¿Tienes términos de servicio (si vendes online)?
¿Está actualizada la información de contacto?

Cómo hacer la auditoría (paso a paso)

Paso 1: Forma un equipo pequeño
No necesitas mucha gente. Con 2-3 personas (de diferentes áreas si es posible) es suficiente.

Paso 2: Reúne documentación
Antes de revisar, junta todo lo que tengas:

Contratos de trabajo.
Nóminas de los últimos 12 meses.
Declaraciones fiscales.
Políticas y protocolos.
Registros de acceso.
Listado de herramientas y proveedores.
Documentación de seguridad.

Paso 3: Usa una checklist
Para cada área, ve punto por punto:

¿Lo tienes?
¿Está actualizado?
¿Es correcto?
¿Hay riesgo si falta?

Paso 4: Documenta hallazgos
Haz un registro simple:

Área.
Hallazgo (qué falta o está mal).
Riesgo (qué podría pasar).
Prioridad (alto, medio, bajo).
Acción (qué hay que hacer).
Responsable.
Fecha estimada.

Paso 5: Prioriza
No puedes arreglarlo todo a la vez. Prioriza:

Alto: riesgos legales graves (sanciones, inspecciones).
Medio: incumplimientos menores, mejoras de proceso.
Bajo: optimizaciones, documentación complementaria.

Paso 6: Haz un plan de acción
Para cada hallazgo prioritario:

Qué hay que hacer.
Quién lo hace.
Cuándo.
Cómo verificar que está hecho.

Paso 7: Revisa y documenta
Una vez arreglado, verifica que la acción se completó. Guarda pruebas (emails, documentos, etc.).

Errores típicos en auditorías internas

«Hacerla sin preparación.»
Necesitas documentación. Si no la tienes, es una señal de que hay problema.

«Ser demasiado indulgente.»
Es fácil decir «esto está bien» cuando es tu propia empresa. Sé crítico.

«No documentar nada.»
Si no hay registro, para la AEPD o una inspección, es como si no hubiera pasado.

«Arreglarlo todo a la vez.»
Imposible. Prioriza.

«No asignar responsables.»
Si nadie es responsable, nada se arregla.

«Hacerla una sola vez.»
Las auditorías internas deben ser periódicas (al menos anualmente).

Herramientas que pueden ayudarte

Hojas de cálculo (Excel, Google Sheets): para documentar hallazgos.
Plantillas de checklist: hay muchas disponibles online.
Documentos compartidos: para que el equipo colabore.
Calendario: para dar seguimiento a acciones.

Cuándo hacer una auditoría interna

Idealmente, anualmente.
Después de cambios grandes (nueva herramienta, nuevo proveedor, cambio de estructura).
Antes de una inspección (si la esperas).
Cuando hay cambios en la normativa.

Cómo te ayuda Torreón Legal
En Torreón Legal podemos:

Diseñar una checklist personalizada para tu empresa.
Revisar documentación específica (contratos, políticas, etc.).
Ayudarte a priorizar hallazgos.
Preparar un plan de acción realista.

Porque una auditoría interna bien hecha es la mejor defensa contra sorpresas.

Preguntas frecuentes (FAQ)

¿Es obligatorio hacer auditorías internas?
No es obligatorio por ley, pero es una buena práctica. Además, si hay inspección, tener registro de que «hiciste deberes» te ayuda.

¿Cuánto tiempo lleva?
Depende del tamaño de la empresa. Una PYME pequeña: 1-2 semanas. Una mediana: 1-2 meses.

¿Necesito un auditor externo?
No necesariamente. Una interna es suficiente para empezar. Un auditor externo es más profundo, pero más caro.

¿Qué pasa si encuentro problemas graves?
Documenta y crea un plan de acción. Luego, arréglalo. Tener un plan es mejor que no hacer nada.

¿Puedo hacer auditoría de solo una parte (ej: datos)?
Sí. Puedes hacer auditorías parciales. Pero idealmente, deberías revisar todas las áreas.

La entrada Auditorías internas de cumplimiento: cómo revisar tu empresa sin contratar a nadie se publicó primero en Torreon Legal.

¿Cuánto cuesta incumplir la normativa? Desde multas por RGPD hasta sanciones laborales, te muestro los riesgos reales y cuánto dinero está en juego.

El «detalle» que muchas PYMES ignoran: las sanciones son reales y son caras
Hay una frase que oigo mucho:

«Bueno, si nos multan, pagamos y listo.»

No. No es así.

Las sanciones por incumplimiento normativo no son una «molestia». Son un riesgo financiero serio que puede hundir una empresa pequeña.

Y lo peor: muchas veces se pueden evitar.

Tipos de sanciones (y cuánto cuestan)

1) Sanciones por RGPD (Protección de Datos)
El RGPD es probablemente lo que más miedo da, y con razón.

Las multas van hasta:

20 millones de euros O
4% de la facturación anual global (lo que sea mayor).

Ejemplos reales:

Amazon: 746 millones (incumplimiento de consentimiento).
Google: 50 millones (transferencias internacionales sin garantías).
Meta: 1.200 millones (transferencias de datos a EEUU).

«Pero eso son grandes empresas», dirás.

Cierto. Pero hay multas para PYMES también:

Hasta 10 millones O
2% de facturación (para incumplimientos graves).

Ejemplos de lo que te multa:

No tener política de privacidad.
No tener consentimientos registrados.
No responder a solicitudes de acceso de datos.
Transferencias internacionales sin garantías.
Brechas de seguridad sin notificar.
No tener DPA con proveedores.

2) Sanciones laborales
El derecho laboral es otro campo minado.

Multas por:

No registrar jornada: 300-3.000 euros por trabajador.
Incumplimiento de convenio: 300-3.000 euros.
Falta de contrato escrito: 300-3.000 euros.
Discriminación: hasta 10.000 euros.
Acoso laboral: hasta 10.000 euros.
Falta de evaluación de riesgos: 300-3.000 euros.

Pero eso no es todo. Si hay inspección y encuentran problemas:

Cotizaciones no pagadas: recargo de 20%.
Horas extras no pagadas: tienes que pagar + intereses.
Vacaciones no disfrutadas: tienes que pagar.

3) Sanciones fiscales
Hacienda también tiene su parte:

Declaración de IVA incorrecta: 3-15% de la cuota.
Ingresos no declarados: 50% de la deuda.
Retenciones no realizadas: 20% de la deuda.
Facturas falsas: hasta 300% de la deuda.

Y si es «fraude», pueden ir a por ti penalmente.

4) Sanciones por incumplimiento de normativa sectorial
Dependiendo de tu sector:

Comercio electrónico (falta de términos de servicio, política de cookies): 10.000-100.000 euros.
Sanidad (incumplimiento de privacidad, seguridad): hasta 100.000 euros.
Finanzas (blanqueo de capitales, KYC): hasta 1 millón.
Comercio (etiquetado, publicidad engañosa): 10.000-100.000 euros.

5) Sanciones penales (lo más grave)
En algunos casos, no solo hay multa administrativa. También hay delito penal:

Fraude fiscal: cárcel + multa.
Falsificación de documentos: cárcel + multa.
Blanqueo de capitales: cárcel + multa.
Acoso laboral grave: cárcel + multa.

Esto no es «solo dinero». Es cárcel.

Costos indirectos (lo que nadie cuenta)

Además de la multa, hay otros costos:

1) Costos legales
Abogados, defensas, recursos: 5.000-50.000 euros (mínimo).

2) Reputación
Pérdida de clientes, confianza, marca dañada.

3) Tiempo
Inspecciones, declaraciones, recursos: cientos de horas.

4) Operacionales
Tener que parar operaciones, reorganizar procesos, sistemas nuevos.

5) Seguros
Algunos seguros no cubren incumplimientos «conocidos» o «negligentes».

Casos reales (para que veas que no es teoría)

Caso 1: PYME de 10 empleados sin contrato escrito
Multa: 3.000 euros x 10 = 30.000 euros.
Más: cotizaciones no pagadas (recargo 20%), horas extras, vacaciones.
Total: 80.000-100.000 euros.

Caso 2: Tienda online sin política de cookies
Multa: 50.000 euros (por AEPD).
Más: costos de implementación de solución.
Total: 70.000 euros.

Caso 3: Empresa con datos personales sin DPA
Multa: 100.000-500.000 euros (dependiendo de gravedad).
Total: 100.000+ euros.

Caso 4: Empresa sin registro de jornada
Multa: 3.000 euros.
Más: horas extras no pagadas (5 años atrás): 200.000 euros.
Total: 203.000 euros.

Cómo evitar sanciones (estrategia práctica)

1) Haz un inventario de normativa aplicable
¿Qué leyes te afectan? (laboral, fiscal, RGPD, sectorial, etc.)

2) Revisa cumplimiento
¿Cumples? ¿Qué falta?

3) Prioriza
Arregla lo más grave primero (riesgo alto, multa alta).

4) Documenta
Guarda pruebas de que «hiciste deberes»:

Contratos.
Políticas.
Registros.
Decisiones.

5) Actualiza periódicamente
La normativa cambia. Revisa anualmente.

6) Considera seguros
Algunos seguros cubren sanciones administrativas (no penales).

7) Busca asesoría
Un asesor/abogado puede costar 1.000-5.000 euros, pero te ahorra 100.000+.

Qué hacer si ya tienes un problema

Si ya hay inspección o multa:

1) No ignores notificaciones.
2) Busca abogado inmediatamente.
3) Documenta todo.
4) Prepara recurso si es posible.
5) Negocia si hay opción.

Cómo te ayuda Torreón Legal
En Torreón Legal te ayudamos a:

Identificar normativa aplicable a tu empresa.
Revisar cumplimiento actual.
Crear documentación que te proteja.
Implementar políticas y procesos.
Estar preparado para inspecciones.

Porque evitar una multa es mucho más barato que pagarla.

Preguntas frecuentes (FAQ)

¿Pueden multar a autónomos?
Sí, igual que a empresas. A veces incluso más, porque no tienen «departamento legal».

¿Cuánto tiempo prescriben las sanciones?
Depende. Laborales: 4 años. Fiscales: 4-5 años. RGPD: sin límite claro (pero sí hay prescripción).

¿Si pago la multa, se acaba?
Generalmente sí. Pero si hay reincidencia, la siguiente multa es mayor.

¿Puedo recurrir una multa?
Sí, pero tienes poco tiempo (generalmente 30 días). Necesitas abogado.

¿El seguro cubre sanciones?
Algunos sí, pero no todos. Y hay exclusiones (fraude, negligencia conocida).

La entrada Sanciones por incumplimiento normativo: cuánto te puede costar no estar en regla se publicó primero en Torreon Legal.