Multas por no destruir documentación: lo que de verdad sanciona la AEPD

Tirar a la basura documentación con datos personales sin destruirla es una infracción del RGPD, y la Agencia Española de Protección de Datos la sanciona con regularidad. No hace falta que alguien use esos datos: basta con que hayan quedado accesibles.

Lo que sigue no es teoría. Son tres expedientes reales de la AEPD, con sus importes, y lo que tienen en común quizá te suene: en ninguno hubo mala fe. Hubo prisa, un traslado, una limpieza y la idea de que romper unos papeles a mano ya era suficiente.

Qué dice el RGPD sobre destruir documentación

Ningún artículo del RGPD dice «destruirás los documentos con una trituradora». Lo que establece son dos obligaciones de las que se deduce todo lo demás.

La primera es el principio de integridad y confidencialidad del artículo 5.1.f: los datos personales deben tratarse de forma que se garantice una seguridad adecuada, incluida la protección contra el acceso no autorizado. La segunda es el artículo 32, sobre seguridad del tratamiento, que obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo.

La clave está en una idea que mucha gente pasa por alto: la destrucción es una operación de tratamiento más. El propio reglamento la nombra expresamente al definir qué es tratar datos, junto a recoger, conservar o consultar. Dicho de otro modo, tus obligaciones sobre un documento no terminan cuando decides deshacerte de él: terminan cuando ese documento deja de ser legible. Lo que ocurra entre una cosa y la otra sigue siendo responsabilidad tuya.

Hasta dónde pueden llegar las multas

Las multas administrativas por incumplimiento del RGPD se mueven en dos tramos, según el artículo 83:

• Hasta 10 millones de euros o el 2% del volumen de negocio anual global, la cifra que resulte mayor, para infracciones como las del artículo 32 (medidas de seguridad insuficientes).
• Hasta 20 millones de euros o el 4% del volumen de negocio anual global, para las infracciones de los principios del artículo 5, donde entra la confidencialidad.

Y aquí conviene bajar a la realidad, porque esas cifras asustan pero despistan. Tirar documentación sin destruir suele imputarse por el artículo 5.1.f, que es el tramo alto. Pero la AEPD gradúa cada sanción según la gravedad, el número de afectados, el tipo de datos, la intencionalidad y el tamaño de la organización. En la práctica, a una pyme no le van a caer veinte millones.

Le van a caer entre varios cientos y varias decenas de miles de euros, más el expediente, más la obligación de acreditar medidas correctoras, más la publicidad de una resolución que queda publicada. Para la mayoría de empresas, eso duele bastante antes de llegar a los millones.

Tres casos reales de la AEPD

1. La farmacia que rompió los papeles a mano: 10.000 euros

Es el caso más instructivo de todos. Una denuncia aportó a la AEPD decenas de imágenes y vídeos de documentación depositada en un contenedor de basura doméstico a lo largo de varios meses. Había recetas, facturas, albaranes, informes clínicos, nombres de pacientes y direcciones de centros médicos. La Guardia Civil accedió al contenedor y confirmó lo denunciado.

Los documentos no estaban intactos: estaban rotos a mano, en cuatro trozos grandes. Lo bastante rotos como para que alguien pensara que ya estaba hecho, y lo bastante enteros como para reconstruirlos sin esfuerzo.

El detalle que lo convierte en ejemplar: la farmacia tenía destructora. Y su propia política de seguridad establecía que la documentación con datos personales debía destruirse con ella o entregarse a una empresa de destrucción homologada. No fue un problema de medios ni de desconocimiento. Fue que el procedimiento escrito no se cumplió en el día a día.

La AEPD apreció infracción de los artículos 32 y 5.1.f, y resolvió con 10.000 euros. La farmacia recurrió en reposición y la Agencia desestimó el recurso.

2. Los reconocimientos médicos abandonados en la calle: 100.000 euros

Una empresa que realizaba reconocimientos médicos a agentes de la Policía Nacional y de la Guardia Civil acabó con la documentación de 18 agentes abandonada en la vía pública, dentro de una caja, cerca del domicilio de una empleada. Un ciudadano dio el aviso.

Aquí no falló la destrucción: falló la cadena de custodia. La documentación salió de las instalaciones de la empresa y nadie controló dónde acabó. La AEPD valoró que se trataba de datos de salud, que son categoría especial, y que la organización no detectó la brecha por sí misma. Infracción del artículo 5.1.f y 100.000 euros de sanción.

3. El club de fútbol con las fichas de los menores

La Policía Local encontró una caja de cartón abandonada en un contenedor junto a las instalaciones de un club. Dentro, documentación de jugadores, en su mayoría menores de edad: nombres, direcciones, fotografías, documentos de identidad e informes médicos de lesiones. La explicación fue que alguien dejó la caja a la vista durante una limpieza.

La multa fue de las pequeñas y se redujo aún más porque el club reconoció su responsabilidad y pagó voluntariamente. Pero el expediente existe, la resolución está publicada y el club tuvo que acreditar medidas correctoras. Cuando hay menores y datos de salud de por medio, la cifra es lo de menos.

Un apunte honesto: no siempre hay multa

Un abogado dejó dos bolsas junto a unos contenedores con escrituras, poderes notariales, sentencias, copias de DNI y testamentos de sus clientes. El SEPRONA lo denunció y la AEPD abrió expediente por infracción del artículo 32.1… y resolvió con un apercibimiento, sin sanción económica, al considerar que una multa supondría una carga desproporcionada.

Conviene decirlo, porque la alternativa es exagerar y perder credibilidad. La AEPD no multa siempre. Lo que sí hace siempre es abrir expediente, instruirlo, exigir medidas correctoras y publicar la resolución con los hechos.

Qué tienen en común todos estos casos

Ninguno es una historia de espionaje industrial. Son descuidos de martes por la tarde, y por eso son tan fáciles de repetir.

• No hubo intención de filtrar nada. Hubo una limpieza, una mudanza y alguien con prisa.
• El soporte seguía siendo legible. La infracción no es tirar papel: es tirar papel del que aún se pueden leer datos.
• Varios tenían los medios y el procedimiento. La farmacia tenía destructora y política escrita. Lo que falló fue la ejecución diaria, no el papel del manual.
• El riesgo salió por la puerta. En dos de los casos, los documentos abandonaron las instalaciones antes de acabar donde acabaron. Nadie controlaba ese tramo.
• Los datos de salud agravan mucho. Son categoría especial del artículo 9, y la diferencia entre una multa simbólica y una de cinco cifras suele estar ahí.
• Casi nadie se enteró por sí mismo. Las denuncias llegaron de un vecino, de la Guardia Civil, de la Policía Local. La organización se enteró cuando ya había expediente.

Qué no te protege

• Romper los documentos a mano. Es exactamente lo que hizo la farmacia de los 10.000 euros. Si se puede reconstruir, no está destruido.
• El contenedor azul. El reciclaje convencional no es destrucción segura: el documento viaja legible y pasa por varias manos.
• La trituradora de oficina para todo. Sirve para el volumen del día a día, pero muchas cortan en tiras anchas que se recomponen, y ninguna aguanta el vaciado de un archivo. Conviene mirar qué nivel de seguridad da la tuya.
• Encargarle la caja a alguien de confianza. El caso de los 100.000 euros empieza exactamente así.
• Haberlo borrado del ordenador. Si el expediente sigue en papel en una estantería, el borrado digital no te cubre. Y al revés también: destruir el papel y dejar el escaneado en un servidor o en el correo de alguien deja el riesgo intacto.

Cómo se evita, y qué prueba te deja

La parte preventiva es sencilla y cabe en cinco decisiones:

1. Un contenedor cerrado donde se genera el papel. Si la papelera está más cerca que el contenedor de seguridad, el papel acaba en la papelera.
2. Un responsable con nombre. «Que lo tire quien lo vea» significa que nadie responde cuando la AEPD pregunta.
3. Nunca sacarlo por tu cuenta. La recogida la hace el gestor, no un empleado en su coche camino de casa.
4. Un nivel de destrucción acorde al dato. No es lo mismo un albarán que un informe clínico. La norma DIN 66399 define niveles de seguridad precisamente para esto.
5. Guardar el certificado. Y aquí está lo importante.

El RGPD funciona por responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo. Si la AEPD te pregunta qué hiciste con un expediente de 2022, la respuesta útil no es «lo destruimos». Es un certificado de destrucción que dice qué se destruyó, cuándo, con qué método y quién lo hizo.

Esa es la diferencia práctica entre las dos columnas de este artículo. Las empresas sancionadas no pudieron acreditar nada. Algunas incluso tenían el procedimiento escrito, pero ninguna tenía el papel que demostrara haberlo seguido.

Contacta con nosotros

Ninguna de las empresas de las que hemos hablado quería infringir el RGPD. Simplemente no tenían montado el circuito, y el día que hizo falta improvisaron. El circuito es barato comparado con cualquiera de esas multas, y mucho más barato que la conversación con un cliente cuyos datos aparecieron en un contenedor.

En Delete montamos ese circuito completo: contenedores cerrados en tus instalaciones, recogida en los plazos que necesites, destrucción certificada con el nivel de seguridad que exija cada tipo de documento, reciclaje del material resultante y el certificado que acredita todo el proceso. Trabajamos con empresas y administraciones en España y Portugal, y somos Centro Especial de Empleo, así que cada kilo destruido también genera empleo de calidad.

Si ahora mismo no sabrías responder quién saca el papel de tu oficina ni dónde acaba, merece la pena dedicarle diez minutos. ¡Contáctanos!