Cada vez más autónomos y pequeños negocios se enfrentan a reclamaciones por protección de datos que pueden acabar en denuncias, inspecciones o peticiones de indemnización por errores mínimos. Solo en 2025, las reclamaciones ante la Agencia Española de Protección de Datos (AEPD) aumentaron un 64%, superando las 30.900 denuncias, mientras que sectores como comercio, transporte y hostelería registraron un fuerte incremento de procedimientos sancionadores.
Algunas incluso utilizan solicitudes masivas o repetitivas para intentar provocar fallos formales y reclamar después una compensación económica. Ante esta situación, el Tribunal de Justicia de la Unión Europea (TJUE) acaba de avalar que los negocios puedan rechazar peticiones abusivas y no tengan que indemnizar, si no existe un daño real acreditado.
Y es que las sanciones superaron el pasado año los 48 millones de euros, lo que refleja la creciente presión que soportan negocios y profesionales por cualquier incidencia relacionada con los datos personales. Un escenario especialmente delicado para autónomos y micropymes, que suelen disponer de menos recursos técnicos y jurídicos para afrontar este tipo de conflictos.
- El TJUE avala rechazar solicitudes abusivas de acceso a datos personales
- La sentencia reduce el riesgo de reclamaciones contra autónomos
- Cuándo una pequeña empresa puede negarse a facilitar datos
- Cómo pueden protegerse los autónomos frente a los abusos en protección de datos
El TJUE avala rechazar solicitudes abusivas de acceso a datos personales
La nueva doctrina del TJUE quedó fijada en la sentencia C-526/2024, dictada el pasado mes de abril, que aclara el alcance del derecho de acceso recogido en el Reglamento General de Protección de Datos (RGPD). Es decir, la potestad que tiene cualquier persona de solicitar qué datos personales conserva una sociedad y cómo los utiliza.
Hasta ahora, muchos negocios optaban por atender prácticamente cualquier petición para evitar conflictos, inspecciones o posibles sanciones. Sin embargo, la justicia europea recuerda que el propio RGPD ya contempla límites cuando las solicitudes son “manifiestamente infundadas o excesivas”.
En el caso analizado por el tribunal europeo, concerniente a una cadena alemana de ópticas, se estudiaron las solicitudes reiteradas de acceso a datos personales por parte de un particular que podían utilizarse con una finalidad distinta a la protección efectiva de la privacidad. La sentencia recuerda que este derecho no puede convertirse en un mecanismo de presión contra las empresas, ni utilizarse “para provocar errores formales que posteriormente sirvan de base para reclamar compensaciones económicas”.
En particular, los magistrados euroeos considera que puede existir abuso cuando las solicitudes son repetitivas, excesivas, desproporcionadas o persiguen objetivos ajenos a la protección de los datos personales. En estos supuestos, el autónomo responsable del tratamiento puede negarse a facilitar los datos solicitados o incluso exigir el pago de los costes administrativos derivados de la gestión.
Por otra parte, la sentencia introduce otro criterio a tener presente por los autónomos: una infracción meramente formal del RGPD no basta por sí sola para reclamar una indemnización económica. Esto es, el tribunal establece que, para que exista derecho a compensación, el afectado debe acreditar un daño real y efectivo, ya sea material o moral.
Esto significa que un simple error técnico, documental o administrativo, sin consecuencias demostrables para el usuario, no genera automáticamente la obligación de indemnizar.
La sentencia reduce el riesgo de reclamaciones contra autónomos
La decisión del TJUE puede tener un impacto directo en miles de pequeños negocios que manejan datos personales tanto de clientes como de empleados y proveedores. Sobre todo, en sectores como los despachos profesionales o las clínicas privadas, enormemente afectados por el elevado volumen de información que administran diariamente y la sensibilidad de los mismos. Más aún cuando la gestión de reclamaciones de este tipo puede requerir incluso asesoramiento jurídico externo.
La resolución europea no elimina las obligaciones de cumplimiento del RGPD, pero sí deja claro que el ejercicio de los derechos de protección de datos no puede utilizarse de forma abusiva. En la práctica, esto permite a los autónomos rechazar solicitudes acompañadas de amenazas de denuncia o de reclamaciones económicas cuando existan indicios razonables de abuso, siempre que puedan justificar adecuadamente su decisión.
Cuándo una pequeña empresa puede negarse a facilitar datos
Los expertos en protección de datos llevan tiempo alertando de determinadas prácticas que utilizan la normativa de protección de datos como mecanismo de presión frente a empresas y profesionales. Un ejemplo evidente de un intento de abuso se da cuando un comercio online recibe varias solicitudes consecutivas de un mismo cliente pidiendo la copia íntegra de todos los correos relacionados con sus pedidos, así como un historial completo del tratamiento de sus datos, incluso tras haberse facilitado ya previamente.
Con el criterio fijado por el TJUE, el negocio podría valorar si existe un uso abusivo del derecho de acceso. Si concluye que la petición es excesiva, repetitiva o carente de finalidad legítima, podría rechazarla o limitarla, dejando constancia de los motivos. Eso sí, los especialistas recuerdan que la negativa no puede ser arbitraria. El negocio debe justificar adecuadamente por qué considera abusiva la solicitud y conservar pruebas documentales en caso de inspección o reclamación posterior.
También existen casos en los que se reclaman indemnizaciones automáticas por defectos puramente formales, aunque no exista un daño efectivo. En concreto, algunas reclamaciones se basan en retrasos mínimos en la respuesta, errores documentales sin impacto real o incidencias técnicas que no generan consecuencias para el afectado.
Asimismo, se han detectado estrategias consistentes en solicitar información muy amplia o desproporcionada con el objetivo de localizar cualquier incumplimiento menor que pueda aprovecharse posteriormente para una reclamación.
Cómo pueden protegerse los autónomos frente a los abusos en protección de datos
De nuevo, la sentencia del TJUE no reduce las obligaciones legales en materia de protección de datos, pero sí refuerza la importancia de una gestión ordenada y documentada. Los especialistas recomiendan a los autónomos mantener actualizado el registro de actividades de tratamiento, revisar los textos legales y establecer protocolos internos para responder a solicitudes de acceso o supresión de datos.
Como práctica general, también resulta buena estrategia limitar directamente la recogida de información al mínimo necesario. Junto a esto, no olvidarse de utilizar sistemas de almacenamiento seguros; así como controlar quién tiene acceso a los datos dentro del negocio.
En caso de recibir solicitudes reiteradas o sospechosas, conviene analizar cada situación individualmente y dejar constancia escrita con vistas a justificar una eventual negativa. Por otra parte, como ya contó este diario la AEPD dispone de herramientas específicas para facilitar el cumplimiento normativo de pequeños negocios y emprendedores, especialmente en materia de análisis de riesgos y adaptación básica al RGPD.
