Cuadro de sanciones que impone la LOPD a través de la Agencia española de Protección de datos:
| GRADO | INFRACCIONES | SANCIONES |
| Leves | No atender la solicitud de rectificación o cancelación. | De 601 a 60.101 € |
| No facilitar a la Agencia de Protección de Datos la información que ésta solicite. | ||
| No solicitar la inscripción de un fichero con datos personales. | ||
| Recoger datos personales infringiendo el derecho de información de los afectados. | ||
| Incumplir el deber de secreto. | ||
|
Graves |
Recoger datos personales de titularidad pública. |
De 60.101 € a 300.506 €
|
| Recoger datos de titularidad privada o de carácter personal con una finalidad distinta al objeto legítimo por el que se recaban. | ||
| Recoger datos sin consentimiento expreso de los afectados cuanto éste sea necesario. | ||
| Tratar los datos personales en contra de los principios y garantías recogidos en la LOPD o en sus disposiciones de desarrollo. | ||
| Impedir el derecho de acceso o de oposición y no facilitar la información requerida por los afectados. | ||
| No cambiar los datos incorrectos o no efectuar las rectificaciones o cancelaciones. | ||
| Infringir el deber de secreto. | ||
| No implantar las medidas de seguridad necesarias para garantizar el adecuado tratamiento de los datos. | ||
| No remitir a la AEPD las notificaciones solicitadas en el plazo requerido. | ||
| Obstruir el ejercicio de la función inspectora de la AEPD. | ||
| No inscribir el fichero en el Registro General de Protección de Datos cuando sea requerido por el Director de la AEPD. | ||
| Incumplir el deber de información cuando los datos hayan sido recabados de una persona distinta del afectado. | ||
|
Muy Graves |
Recoger datos personales de forma engañosa y fraudulenta. |
De 300.506 € a 601.012 €
|
| Ceder datos personales fuera de los casos en los que está permitido. | ||
| Recabar y tratar datos personales que revelen la ideología, afiliación sindical, religión o creencias sin el consentimiento expreso del afectado. | ||
| Recabar y tratar datos personales que hagan referencia al origen racial, a la salud y a la vida sexual cuando el afectado no lo haya autorizado expresamente. | ||
| Infringir la prohibición de crear ficheros con el fin de almacenar datos personales que revelen la ideología, afiliación sindical, religión, creencias, origen racial o étnico o vida sexual. | ||
| No cesar en el uso ilegítimo de un tratamiento de datos personales cuando lo requiera el director de la AEPD. | ||
| No recabar la autorización del director de la AEPD para realizar una transferencia internacional de datos. | ||
| Tratar los datos personales de manera ilegítima o contra los principios y las garantías aplicables, siempre que ello impida o vaya en contra de derechos fundamentales. | ||
| Vulnerar el deber de secreto de los datos especialmente protegidos. | ||
| No atender u obstaculizar sistemáticamente el ejercicio de los derechos de acceso, rectificación, cancelación u oposición. | ||
| No atender sistemáticamente el derecho de información en la recogida de datos personales. |
A tener en cuenta:
Una vez que la Agencia Española de Protección de Datos (AEPD) determina que la empresa ha cometido una infracción leve, grave o muy grave, la cuantía de las sanciones se determina teniendo en cuenta factores como los beneficios obtenidos por la empresa, la intencionalidad, la reincidencia al infringir la normativa y los daños y perjuicios ocasionados a los interesados y a terceras personas.
Las infracciones que pudiera cometer una empresa en materia de protección de datos prescriben: las muy graves a los tres años, las graves a los dos años y las leves al año. El plazo de prescripción empieza a contar desde el día en que se comete la infracción.
Tenga en cuenta que las resoluciones de la AEPD son firmes en la vía administrativa, por lo que contra ellas sólo se puede interponer un recurso de reposición o bien un recurso contencioso-administrativo ante la Audiencia Nacional.
El procedimiento sancionador lo inicia la Agencia siempre de oficio, si considera que hay pruebas de que su empresa ha infringido la LOPD.