Una denuncia internacional por uso indebido de datos puede estallar cuando menos lo esperas.
Da igual si tu sede está fuera de España: si tratas datos de personas en territorio español o prestas servicios a este mercado, el RGPD y la LOPDGDD te alcanzan.
Las multas pueden llegar a 20 millones de euros o el 4 % del volumen de negocio global, y el daño reputacional puede durar años.
La buena noticia: con una respuesta legal estratégica y pruebas de cumplimiento, es posible reducir o evitar sanciones, contener el impacto y blindar tu negocio frente a futuras incidencias.
En este artículo verás qué conductas constituyen uso indebido, qué normas aplican cuando la denuncia proviene del extranjero y cómo actúa la AEPD.
Qué es “uso indebido de datos” según la legislación española
El uso indebido de datos abarca cualquier tratamiento que vulnere los principios del RGPD (licitud, la limitación de la finalidad, la minimización, la exactitud, la seguridad, la transparencia y el consentimiento) y su desarrollo en la LOPDGDD.
Conductas habituales:
- Tratamiento sin base legal o sin consentimiento cuando es exigible (AEPD PS-00489-2022; A-00187-2016).
- Cambio de finalidad o uso para fines incompatibles con la recogida ( STC 10/2023; TC 94/1998).
- Falta de información al afectado ( STC 39/2016; AEPD A-00187-2016).
- Acceso, cesión o comunicación no autorizada (CP, LO 10/1995, art. 197; AEPD PS-00297-2022).
- Conservación excesiva o inadecuada ( STS 412/2020).
- Falta de medidas de seguridad técnicas y organizativas ( RD 311/2022, ENS; AEPD PS-00627-2022).
- Obstaculizar derechos de acceso, rectificación, supresión, oposición, portabilidad o limitación ( STC 292/2000).
- Transferencias internacionales no autorizadas ( STC 42/2022).
- Tratamiento de categorías especiales sin garantías reforzadas (Auto TS 07/11/2019).
- Uso de datos como presión ilegítima, p. ej. inclusión indebida en ficheros de morosidad ( AP Alicante 224/2023).
- No notificar brechas de seguridad cuando procede (infracciones graves/muy graves RGPD).
Marco normativo en denuncias internacionales: lo que realmente se aplica
Reglamento (UE) 2016/679 (RGPD)
- Aplicación directa y extraterritorial: afecta a responsables/encargados no establecidos en la UE si ofrecen bienes/servicios a interesados en la UE o monitorizan su comportamiento.
- Regula derechos, obligaciones, transferencias internacionales, brechas y régimen sancionador (arts. 83.4, 83.5, 83.6).
Ley Orgánica 3/2018 (LOPDGDD)
- Adapta y desarrolla el RGPD en España: derechos digitales, criterios de graduación, procedimiento sancionador, plazos de prescripción.
Ley 34/2002 (LSSI)
- Relevante en servicios de la sociedad de la información y comercio electrónico: webs, apps, redes sociales, marketing digital.
Otras normas complementarias
- Real Decreto 311/2022 (ENS): medidas de seguridad para sector público y, por extensión contractual, privado.
- LO 7/2021 (fines penales): aplica solo si el tratamiento se dirige a prevención/detección/investigación de delitos.
Conclusión práctica: si hay conexión con España (tratamiento en España, afectados en España o servicios ofrecidos aquí), la AEPD es competente y aplica RGPD + LOPDGDD, sumando LSSI en lo digital.
¿Puede una empresa extranjera denunciar a otra en España por uso indebido de datos?
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) reconocen que cualquier persona física cuyos datos personales sean objeto de tratamiento puede presentar una reclamación ante la autoridad de control —en España, la Agencia Española de Protección de Datos (AEPD)— si considera que se ha producido un uso indebido de sus datos.
Además, tanto el RGPD como la LOPDGDD establecen que cualquier persona física o jurídica puede denunciar hechos que puedan constituir una infracción de la normativa de protección de datos, aunque no sea directamente afectada.
Esto significa que una empresa extranjera puede denunciar a otra entidad en España por uso indebido de datos personales, siempre que exista conexión con el territorio español o que los datos tratados afecten a interesados en España.
Procedimiento ante la AEPD: qué esperar y cómo prepararte
La Agencia Española de Protección de Datos (AEPD) es la autoridad encargada de recibir, tramitar y resolver denuncias por uso indebido de datos personales.
Según el RGPD y la LOPDGDD, el procedimiento arranca con la presentación de la denuncia, en la que se exponen los hechos y se aportan las pruebas disponibles.
Esta denuncia puede realizarse por cualquier persona física o jurídica, incluso si no es directamente afectada.
Una vez presentada, la AEPD analiza si la reclamación es admisible y, en caso afirmativo, inicia actuaciones previas para recabar información.
Posteriormente, se abre un procedimiento sancionador si se confirma la existencia de indicios de infracción.
Todo este proceso se aplica también a denuncias procedentes de empresas extranjeras, siempre que el tratamiento de datos esté vinculado con España o afecte a interesados en el territorio.
Sanciones y criterios de graduación: más allá de la cifra
RGPD:
- Hasta 10 M€ o 2 % del volumen global para infracciones graves.
- Hasta 20 M€ o 4 % para las muy graves (se aplica la cifra más alta).
Criterios de graduación: naturaleza, gravedad y duración; intencionalidad o negligencia; medidas para mitigar daños; categoría de datos; modo de conocimiento; cooperación; certificaciones; reincidencia; beneficios obtenidos; circunstancias atenuantes/agravantes previstas en LOPDGDD.
Efectos colaterales: órdenes de cese/eliminación de datos, restricciones al tratamiento, publicación de la sanción (impacto reputacional), y coste interno (proyectos correctivos, auditorías, refuerzo de seguridad).
Caso destacado: cadena de gimnasios Supera sancionada por uso obligatorio de reconocimiento facial
La asociación FACUA-Consumidores en Acción denunció en 2023 que la cadena de gimnasios Supera (empresa Sidecu S.A.), con sede en A Coruña y presencia en 30 centros repartidos en 21 municipios españoles, había implementado el reconocimiento facial como único método de acceso, sin ofrecer alternativas a los usuarios que no deseaban utilizarlo.
¿Qué normativa se vulneró?
La AEPD consideró que:
- Se trataba de un tratamiento de datos biométricos (categoría especial según el RGPD, artículo 9), cuya utilización requiere consentimiento explícito y opciones alternativas.
- Se incurrió en varias infracciones del RGPD.
Cuantía de la sanción
- La AEPD impuso una multa inicial acumulada de 160.000 €, distribuidos en tres infracciones.
- Gracias al reconocimiento de responsabilidad y al pago voluntario, la sanción fue reducida en un 40 %, quedando finalmente en 96.000 €
¿Cómo defenderte ante una denuncia por uso indebido de datos?
Demostrar la existencia de una base legitimadora
Una defensa sólida consiste en acreditar que el tratamiento de datos se realizó con una causa legal que lo justifique, como el consentimiento del interesado, el cumplimiento de una obligación legal, la ejecución de un contrato, la protección de intereses vitales, el interés público o el interés legítimo de la empresa.
Es clave contar con documentación que respalde esta base, ya que la carga de la prueba recae en la parte denunciada.
Cumplir con los deberes de información y transparencia
La empresa debe acreditar que informó de forma clara y completa a los titulares de los datos en el momento de la recogida, explicando quién es el responsable del tratamiento, con qué finalidad se usan los datos, a quién se comunicarán, cuánto tiempo se conservarán y qué derechos asisten a la persona.
Implantar medidas de seguridad adecuadas
Es fundamental demostrar que se han adoptado medidas técnicas y organizativas para proteger la información, proporcionales al riesgo y documentadas de forma interna.
Esto incluye desde protocolos de seguridad informática hasta políticas internas de gestión de datos.
Respetar los derechos de los interesados
Atender en tiempo y forma las solicitudes de acceso, rectificación, supresión, limitación, portabilidad u oposición es un elemento esencial para evitar sanciones.
También puede ser una defensa demostrar que una solicitud era infundada o excesiva.
Impugnar la atribución de responsabilidad
En casos en los que intervienen varias empresas en el tratamiento, es posible alegar que no se tuvo participación en la definición de los fines y medios, o que no se es titular de la plataforma o sistema donde se produjo la infracción.
Detectar defectos procedimentales
Revisar si la autoridad ha respetado los plazos y garantías procesales durante la tramitación del procedimiento puede abrir la puerta a la anulación de la sanción.
Negar la existencia de infracción continuada
Si los hechos no forman parte de un mismo tratamiento, se puede argumentar que no hay infracción continuada y que cada uso indebido, de existir, es un hecho aislado.
Aplicar medidas correctoras inmediatas
Adoptar acciones rápidas una vez detectada la posible infracción, como eliminar los datos, suspender el tratamiento o modificar procedimientos internos, puede ser un factor atenuante en la valoración final.
Conclusión: rapidez, método y trazabilidad para proteger tu negocio
Si demuestras trazabilidad, diligencia y medidas efectivas, la AEPD suele reconocer atenuantes. La diferencia entre una sanción millonaria y una resolución equilibrada suele estar en cómo respondes.
En nuestro despacho defendemos empresas nacionales y extranjeras ante la AEPD, preparamos y negociamos medidas correctoras y diseñamos planes de cumplimiento que reducen el riesgo real y mejoran la confianza de clientes e inversores.
¿Necesitas una respuesta estratégica ya?
Preguntas frecuentes (FAQs)
Sí, si tratas datos de personas en España u ofreces servicios aquí (aplicación extraterritorial del RGPD). La conexión territorial o de efectos habilita la competencia.
Hasta 20 M€ o el 4 % del volumen de negocio global (la mayor de ambas). Las graves, hasta 10 M€ o 2 %.
Sí. Personas físicas o jurídicas pueden denunciar hechos ante la AEPD
RRYP Global, abogados de litigios internacionales.
