Plazos de sanciones de la AEPD en España

Definición

Los plazos de sanciones de la Agencia Española de Protección de Datos (AEPD) en España se refieren a los periodos de tiempo establecidos legalmente para la prescripción de las infracciones en materia de protección de datos personales y para la prescripción de las sanciones impuestas por la comisión de dichas infracciones. Estos plazos son un elemento fundamental del régimen sancionador administrativo, garantizando la seguridad jurídica tanto para los responsables y encargados del tratamiento de datos como para los propios ciudadanos, cuyos derechos se ven protegidos por la acción de la autoridad de control. Su existencia delimita el periodo durante el cual la AEPD puede iniciar un procedimiento sancionador o ejecutar una sanción ya impuesta.

La prescripción, en este contexto, es una figura jurídica que extingue la posibilidad de perseguir una infracción o de ejecutar una sanción debido al transcurso de un determinado lapso de tiempo sin que se haya producido la acción administrativa correspondiente. No implica que la infracción no haya ocurrido, sino que el Estado pierde la potestad de sancionarla o de hacer efectiva la sanción. La correcta aplicación y cómputo de estos plazos es crucial para la validez de los procedimientos sancionadores y para evitar situaciones de indefensión o de persecución indefinida de conductas.

La protección de datos en España tiene sus raíces en el reconocimiento constitucional del derecho fundamental a la intimidad y a la protección de datos personales, consagrado en el artículo 18.4 de la Constitución Española de 1978. Sin embargo, no fue hasta la Ley Orgánica 5/1992, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal (LORTAD), cuando se estableció un marco normativo específico y se creó la AEPD como autoridad independiente encargada de velar por su cumplimiento. Esta primera ley ya contemplaba un régimen sancionador con sus correspondientes plazos de prescripción.

La evolución social y tecnológica, marcada por la digitalización y la globalización de la información, ha incrementado exponencialmente la relevancia de la protección de datos. La LORTAD fue reemplazada por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), que profundizó en la regulación y en las facultades de la AEPD. Con la entrada en vigor del Reglamento General de Protección de Datos (RGPD) de la Unión Europea en 2018 y la posterior Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el régimen sancionador se ha armonizado a nivel europeo, manteniendo la AEPD un papel central en su aplicación y supervisión. La creciente preocupación ciudadana por la privacidad y el uso ético de sus datos ha impulsado una mayor exigencia en la eficacia y agilidad de los procedimientos sancionadores, haciendo que la gestión de estos plazos sea un punto crítico.

Dimensión política e institucional

La Agencia Española de Protección de Datos (AEPD) es una autoridad administrativa independiente, lo que significa que actúa con autonomía respecto al Gobierno en el ejercicio de sus funciones, incluyendo la potestad sancionadora. Esta independencia es un pilar fundamental del modelo europeo de protección de datos, diseñado para garantizar que la supervisión y el cumplimiento de la normativa no estén sujetos a injerencias políticas o económicas. La AEPD se integra en la red de autoridades de control europeas, colaborando estrechamente con el Comité Europeo de Protección de Datos (CEPD) para la aplicación coherente del RGPD en todo el espacio de la Unión.

La dimensión política de los plazos de prescripción radica en el equilibrio entre la necesidad de una tutela efectiva de los derechos fundamentales y la seguridad jurídica. Unos plazos excesivamente largos podrían generar incertidumbre para las empresas y administraciones, mientras que unos plazos demasiado cortos podrían dificultar la investigación y sanción de infracciones complejas, especialmente en el entorno digital. La definición de estos plazos en la LOPDGDD fue el resultado de un debate legislativo que buscaba conciliar estas tensiones, enmarcado en el contexto de la transposición y adaptación del RGPD al ordenamiento jurídico español. La eficacia de la AEPD en la gestión de estos plazos es, por tanto, un indicador de la fortaleza institucional del sistema de protección de datos en España.

Marco legal en España

El marco legal que rige los plazos de prescripción de las infracciones y sanciones en materia de protección de datos en España se encuentra principalmente en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que complementa y desarrolla el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD). Aunque el RGPD establece las bases del régimen sancionador, remite a los Estados miembros la concreción de ciertos aspectos procedimentales, entre ellos los plazos de prescripción.

El artículo 72 de la LOPDGDD establece los plazos de prescripción de las infracciones:

Las infracciones leves prescriben al año.
Las infracciones graves prescriben a los dos años.
Las infracciones muy graves prescriben a los tres años. El cómputo de estos plazos se inicia desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr cuando finalice la conducta infractora. La interrupción de la prescripción de las infracciones se produce por la iniciación, con conocimiento del interesado, de un procedimiento administrativo de investigación o sancionador, reanudándose el plazo si el expediente permaneciera paralizado durante más de seis meses por causa no imputable al infractor.

Por su parte, el artículo 73 de la LOPDGDD regula la prescripción de las sanciones:

Las sanciones impuestas por infracciones leves prescriben al año.
Las sanciones impuestas por infracciones graves prescriben a los dos años.
Las sanciones impuestas por infracciones muy graves prescriben a los tres años. El plazo de prescripción de las sanciones comienza a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. La interrupción de la prescripción de las sanciones se produce por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a correr el plazo si aquel procedimiento estuviera paralizado durante más de seis meses por causa no imputable al infractor. Estas disposiciones son fundamentales para la seguridad jurídica y la correcta aplicación del derecho sancionador en el ámbito de la protección de datos.

Impacto en la ciudadanía

Los plazos de sanciones de la AEPD tienen un impacto directo y significativo en la ciudadanía, tanto para los titulares de los datos como para las organizaciones y administraciones que los tratan. Para los ciudadanos, la existencia de estos plazos asegura que las reclamaciones que presenten ante la AEPD sean investigadas y, en su caso, sancionadas, dentro de un periodo razonable. Esto fomenta la confianza en el sistema de protección de datos y en la capacidad de la AEPD para hacer valer sus derechos. Si la AEPD no actúa con la diligencia debida y los plazos prescriben, el ciudadano podría ver frustrada la reparación de un daño o la sanción de una conducta ilícita, lo que generaría una sensación de impunidad y desprotección.

Para las empresas, profesionales y administraciones públicas, el conocimiento y respeto de estos plazos es esencial para la seguridad jurídica. Les permite saber hasta cuándo pueden ser objeto de un procedimiento sancionador por una determinada infracción, lo que influye en sus políticas de cumplimiento normativo y en la gestión de riesgos. La prescripción puede liberar a una entidad de una posible sanción económica o de la obligación de adoptar medidas correctoras, si la AEPD no ha iniciado el procedimiento en tiempo y forma. Sin embargo, la complejidad en el cómputo de los plazos, especialmente en infracciones continuadas o de difícil detección, puede generar incertidumbre y la necesidad de un asesoramiento jurídico especializado para evitar incurrir en infracciones o para defenderse adecuadamente en un procedimiento.

Debate actual y relevancia práctica

El debate actual en torno a los plazos de sanciones de la AEPD se centra en la tensión entre la necesidad de una aplicación efectiva de la normativa de protección de datos y la garantía de seguridad jurídica. La complejidad de las infracciones en el entorno digital, que a menudo son transfronterizas, continuadas en el tiempo o difíciles de detectar, plantea desafíos significativos para el cómputo del dies a quo (día inicial) de la prescripción. Determinar el momento exacto en que una infracción "se comete" o "finaliza" puede ser objeto de controversia y de interpretación judicial, lo que añade una capa de incertidumbre tanto para la AEPD como para los sujetos investigados.

La relevancia práctica de estos plazos es innegable. Para la AEPD, implica la necesidad de optimizar sus recursos y procedimientos para iniciar y resolver los expedientes sancionadores con la mayor celeridad posible, evitando que las infracciones queden impunes por el transcurso del tiempo. La carga de trabajo de la AEPD es considerable, y la gestión eficiente de los plazos es un factor crítico para su eficacia. Para las organizaciones, la existencia de estos plazos subraya la importancia de una cultura de cumplimiento proactivo y de la pronta detección y corrección de posibles vulneraciones, así como de una adecuada defensa en caso de ser objeto de un procedimiento. La jurisprudencia de la Audiencia Nacional y del Tribunal Supremo juega un papel crucial en la clarificación de la interpretación y aplicación de estos plazos, aportando criterios que consolidan la doctrina y la seguridad jurídica en esta materia.

Véase también

Jurisdicción	España
Vigencia	Actualizado a 2026