Sanciones de la AEPD a despachos de abogados: casos reales y cuánto costaron

Existe la idea de que las multas del RGPD son cosa de grandes tecnológicas — cifras de millones que salen en prensa y que nunca tocarán a un despacho de tres personas. La realidad es la contraria: la Agencia Española de Protección de Datos sanciona con regularidad a despachos pequeños y medianos, por errores cotidianos que cualquiera puede cometer un martes por la tarde con prisa.

Estos son casos reales, publicados por la prensa jurídica española. Ninguno involucra a un “chapucero”: involucran a profesionales normales haciendo cosas normales.

El burofax al destinatario equivocado: 2.000 €

Un despacho envió un burofax que contenía datos personales sin el consentimiento del interesado, y la AEPD lo sancionó con 2.000 euros. Es el arquetipo de sanción a despachos: no hace falta un hackeo ni una filtración masiva — basta una comunicación indebida de datos, un documento que llega a quien no debía.

La lección incomoda porque es universal: cada email con un escrito adjunto, cada burofax, cada expediente compartido es una oportunidad de cometer esta infracción. La verificación del destinatario y la minimización de los datos que viajan en cada documento no son burocracia: son el airbag.

La foto del letrado en la web: 5.000 €

En 2024, la AEPD multó con 5.000 euros a un despacho por publicar en su web la fotografía de uno de sus letrados sin su consentimiento. Y en un caso similar, la sanción fue de 8.000 euros por incluir la foto de un socio de otro despacho.

El detalle relevante: la imagen es un dato personal, y el consentimiento para tratarla debe existir y poder demostrarse — también cuando el interesado es un compañero de profesión. El RGPD no distingue entre “datos de clientes” y “datos de los nuestros”.

El fallo dentro de casa: cuando el afectado es del propio equipo

En 2025, la AEPD sancionó a un despacho por vulnerar la protección de datos dentro de su propio equipo. Es la categoría de riesgo más olvidada: pensamos en el RGPD como algo que protege a los clientes frente al exterior, pero las obligaciones alcanzan a cómo se tratan los datos de empleados y colaboradores, y a quién accede internamente a qué expedientes.

Un despacho donde todo el mundo puede abrir cualquier expediente no es un despacho con buen ambiente: es una brecha esperando fecha.

Lo que estos casos tienen en común

Ninguna de estas sanciones vino de un ciberataque sofisticado. Vinieron de procesos manuales sin red de seguridad: enviar sin verificar, publicar sin consentimiento documentado, acceder sin control. Y las cuantías — 2.000, 5.000, 8.000 euros — pueden parecer asumibles hasta que se suma el coste real: el procedimiento sancionador, las horas dedicadas, y sobre todo el daño reputacional de que la sanción sea pública. Para un despacho pequeño, que tu nombre aparezca en una resolución de la AEPD es más caro que la multa.

Conviene recordar además el techo legal: el RGPD contempla multas de hasta 20 millones de euros o el 4 % de la facturación global para las infracciones más graves. Los casos de despachos se mueven en miles de euros porque la AEPD gradúa según gravedad y tamaño — pero el margen hacia arriba existe.

Cómo reducir el riesgo esta misma semana

La prevención realista para un despacho pequeño no pasa por contratar un departamento de compliance, sino por tres hábitos:

1. Ningún documento con datos reales sale del despacho sin necesidad. Si el escrito va a un perito, a un compañero para consulta, a una formación o a una IA, viaja anonimizado. Los datos reales solo cuando el destinatario los necesita de verdad. (Aquí está la diferencia entre anonimizar y seudonimizar, que conviene tener clara.)
2. Verificación de destinatario como ritual, no como intención. Dos segundos mirando el “Para:” antes de enviar han evitado más sanciones que cualquier software.
3. Deja evidencia de lo que haces bien. Registro de actividades, consentimientos documentados, control de accesos. Ante una inspección, la diligencia demostrable es la mejor defensa.

Para revisar tu situación completa en 10 minutos, tienes nuestro Checklist RGPD para despachos — 24 puntos accionables, gratis.

Y para el hábito número uno, exactamente para eso existe ALPAU: detecta los datos personales de tus escritos y los sustituye por marcadores reversibles, en tu propio ordenador, antes de que el documento salga por ningún cable.

Fuentes: resoluciones y casos publicados por Confilegal y Economist & Jurist. Este artículo es divulgativo y no constituye asesoramiento jurídico.