Cómo hacer una recogida de firmas legal: paso a paso

Para que una recogida de firmas sea legal en España necesitas tres cosas: finalidad documentada, cumplimiento del RGPD y un sistema que permita verificar la identidad de quien firma. Si falta cualquiera de las tres, la iniciativa puede ser rechazada o, peor, derivar en una sanción económica.

No es algo teórico. En 2024, la Agencia Española de Protección de Datos (AEPD) impuso €35,6 millones en multas a través de 281 resoluciones sancionadoras, el importe anual más alto de su historia (AEPD, 2025). España ya lidera el ranking europeo en número de sanciones RGPD, con 932 multas desde 2018, más que Italia y Alemania juntas.

Crear una recogida de firmas es sencillo. Hacerla bien, de modo que te la acepten y no acabes con una denuncia encima, requiere seguir unos pasos concretos. Esta guía te los explica todos.

Lo más importante antes de seguir

• España lidera Europa en multas RGPD: 932 sanciones entre 2018-2025, más que Italia (148) y Alemania (144) juntas (CMS Law, 2025).
• La AEPD ya sancionó a un sindicato con €2.000 por publicar firmas manuscritas de afiliados sin anonimizar (Eurovima, 2022).
• El 41,1% de las Iniciativas Legislativas Populares en España caducan por no alcanzar las 500.000 firmas requeridas (Maldita.es, 2024).
• Una recogida sin aviso RGPD visible no tiene validez administrativa y puede generar una denuncia ante la AEPD.

Cómo crear una recogida de firmas legal: paso a paso

Change.org tiene 577 millones de usuarios globales, pero las plataformas populares no sustituyen los requisitos legales en España. Para que tu petición sea válida ante una administración, necesitas preparar el proceso antes de recoger la primera firma. Estos son los pasos, en orden:

1. Define la finalidad exacta. ¿Para qué se recogen las firmas? ¿Ante qué organismo se presentarán? Escríbelo en dos o tres líneas. Esta definición es el fundamento legal de toda la iniciativa.
2. Prepara el texto de protección de datos. Obligatorio. Tiene que incluir quién recoge los datos, con qué fin, durante cuánto tiempo y cómo pueden ejercerse los derechos RGPD (acceso, supresión, rectificación).
3. Diseña la hoja o formulario con datos mínimos. Solo lo imprescindible para identificar al firmante y acreditar que es una persona real.
4. Añade la cláusula RGPD en la misma hoja. No en un documento aparte que nadie va a leer.
5. Establece un sistema de verificación de identidad. Básico para iniciativas informales; certificado o por DNI electrónico para trámites oficiales.
6. Configura almacenamiento seguro. Carpeta bajo llave para papel; plataforma con cifrado para digital.
7. Controla los duplicados desde el primer día. El mismo DNI apareciendo dos veces puede invalidar toda la recogida.
8. Define el organismo receptor. Ayuntamiento, Congreso, Comisión Europea... El destino condiciona los requisitos formales.

Cada paso tiene su lógica. No es burocracia vacía: si te saltas uno, la administración puede rechazar la recogida entera aunque hayas reunido miles de firmas.

Checklist legal antes de empezar

Antes de imprimir una hoja o activar un formulario online, comprueba que tienes todos los elementos obligatorios. Este checklist resume los requisitos mínimos según el RGPD y la normativa española:

Qué hace legal a una recogida de firmas

Una recogida de firmas es legal cuando cumple tres pilares básicos definidos por el RGPD y la Ley Orgánica de Protección de Datos. En España, las reclamaciones relacionadas con tratamiento indebido de datos personales crecieron un 43% entre 2022 y 2023, un récord histórico tres años consecutivos (AEPD, 2024). Las recogidas de firmas mal gestionadas entran directamente en esa categoría.

• Finalidad clara y legítima. Tienes que explicar por qué recoges las firmas y qué harás con ellas. Sin esto, no hay base legal para el tratamiento de datos.
• Protección de datos. Las firmas son datos personales. El RGPD se aplica desde el momento en que recoges el primer nombre.
• Identificación verificable. Debe existir algún mecanismo que demuestre que cada firma corresponde a una persona real. Sin trazabilidad, la iniciativa es impugnable.

¿Qué pasa si falta uno de estos tres elementos? En el mejor caso, la administración rechaza las firmas. En el peor, recibes una denuncia ante la AEPD. Las infracciones por falta de base legal o exceso de datos son las más frecuentes en España según el GDPR Enforcement Tracker de CMS Law.

España tiene 932 sanciones RGPD desde 2018, el número más alto de Europa en términos absolutos. Esto no significa que la AEPD sea especialmente agresiva: la mayoría de infracciones en el ámbito de recogidas de firmas son por descuidos evitables, no por conductas dolosas.

Qué datos puedes pedir (y cuáles no)

El RGPD establece el principio de minimización de datos: solo puedes recoger lo estrictamente necesario para la finalidad declarada. Pedir más de lo necesario no es "ser precavido"; es una infracción directa. La AEPD ha sancionado este tipo de exceso en múltiples ocasiones, incluidas multas a entidades civiles y sindicatos por campos innecesarios en sus formularios.

Los datos habituales y aceptados en una recogida de firmas son:

• Nombre y apellidos. Siempre necesario.
• DNI o documento equivalente. Imprescindible si buscas validez administrativa. Para iniciativas informales, puedes prescindir de él.
• Dirección o municipio. Solo si el ámbito territorial de la petición lo justifica.
• Firma manuscrita o digital. El elemento identificador central.

Lo que no debes pedir sin justificación: teléfono, email, profesión, estado civil o cualquier dato que no sea necesario para identificar al firmante. Si lo pides, tienes que poder explicar por qué lo necesitas. Y si la AEPD te pregunta y no tienes respuesta, eso ya es sancionable.

Cómo cumplir con el RGPD en tu recogida de firmas

En 2024, la AEPD impuso €35,6 millones en multas a través de 281 resoluciones sancionadoras, el importe más alto de su historia. Las infracciones más comunes: falta de base legal, exceso de datos y almacenamiento inseguro. Las tres son perfectamente evitables con una preparación mínima (AEPD, 2025).

Para una recogida de firmas, el cumplimiento RGPD implica cuatro obligaciones concretas:

• Informar a los firmantes de quién recoge sus datos, con qué finalidad y durante cuánto tiempo se conservarán. Esta información tiene que aparecer en la propia hoja o formulario, antes de que firmen.
• Recoger solo datos necesarios. El exceso de datos es la infracción más fácil de evitar y una de las más sancionadas. Si no puedes justificar un campo, no lo pongas.
• Garantizar almacenamiento seguro. Para papel: carpeta cerrada, acceso restringido, ningún documento circulando por grupos de WhatsApp. Para digital: plataforma con cifrado y control de acceso verificable.
• Eliminar los datos cuando ya no sean necesarios. Una vez presentada la petición, los datos de los firmantes no tienen por qué seguir en tu poder. Guárdalos solo el tiempo justificado por la finalidad declarada.

Si recoges las firmas online, la plataforma que uses debe estar alojada en servidores que cumplan la normativa europea. No vale cualquier formulario de terceros sin garantías adecuadas bajo el RGPD.

Un dato que sorprende: aunque el número de resoluciones con multa bajó de 378 (2022) a 281 (2024), el importe total subió un 71%. La AEPD está concentrando sus esfuerzos en infracciones más graves y mejor documentadas, no en multas pequeñas por descuidos menores. Eso cambia el cálculo de riesgo para cualquier organizador de peticiones.

Hoja de recogida de firmas: modelo y plantilla completa

La hoja de recogida de firmas es el documento que reúne todos los requisitos legales en un solo lugar. No hace falta contratar a nadie para diseñarla. Sí hace falta incluir cinco elementos concretos: sin ninguno de ellos, el documento pierde validez legal o administrativa.

Esta es la estructura que funciona, tanto para papel como para formulario digital:

• Título claro: "Recogida de firmas para [descripción de la causa]". Sin ambigüedades sobre qué se pide.
• Finalidad (2-3 líneas): Qué se solicita, a qué organismo se presentará y cuál es el objetivo concreto.
• Responsable del tratamiento: Nombre completo de la entidad u organizador, con datos de contacto. Sin esto, el firmante no sabe a quién reclamar si quiere ejercer sus derechos RGPD.
• Tabla de firmantes: Columnas para nombre y apellidos, DNI o identificador, municipio, firma y fecha. La fecha importa: algunas iniciativas tienen plazos legales estrictos.
• Cláusula RGPD en la misma página: Texto corto con finalidad, base legal, plazo de conservación y cómo ejercer los derechos (acceso, supresión, rectificación, portabilidad). Tiene que estar en la hoja que firma la persona, no en un cartel detrás de la mesa o en un folleto aparte.

¿Puedes añadir el logo de tu asociación o un encabezado más elaborado? Sí, sin problema. Pero no puedes eliminar ninguno de esos cinco elementos. Son el mínimo legal.

Un apunte práctico: si vas a circular la hoja por varias mesas o locales, numera cada hoja y lleva un registro de cuántas tienes en circulación. Eso facilita el control de duplicados y te da trazabilidad si alguien cuestiona la recogida.

Recogida de firmas física: pasos concretos

La recogida en papel sigue siendo válida y, en muchos contextos vecinales o locales, es la opción más práctica. Lo que ha cambiado es que el RGPD también se aplica al papel. Muchas organizaciones cometen el error de asumir que "si no hay sistema informático, no hay obligación de protección de datos". Es un error costoso.

• Usa una hoja clara con título de la causa, finalidad y datos del responsable del tratamiento. Todo en el mismo documento.
• Incluye la cláusula RGPD en la misma hoja. No en un cartel detrás de la mesa, no en un folleto aparte. En la hoja que firma la persona.
• Pide solo los datos necesarios. Cada campo extra que no puedas justificar es una infracción potencial. Evita añadir columnas "por si acaso".
• Verifica la identidad de forma razonable. Para iniciativas informales, basta con comprobar que los datos tienen coherencia (DNI con formato válido, nombres plausibles). Para trámites oficiales, se requiere verificación más estricta.
• Controla duplicados desde el primer día. Un Excel básico con los DNIs recogidos es suficiente para detectar repeticiones antes de que se conviertan en un problema.
• Guarda los documentos físicos bajo llave. Acceso restringido a las personas del equipo organizador. Ninguna foto circulando por WhatsApp o Telegram.
• Entrega las firmas solo al organismo definido, en el plazo y formato que corresponda.

La validez de la recogida depende de que puedas demostrar, si alguien lo impugna, que cada firma corresponde a una persona identificable que fue informada del tratamiento de sus datos.

Recogida de firmas online y en línea: pasos concretos

Las firmas digitales son tan válidas como las físicas, siempre que el sistema permita verificar que hay personas reales detrás y que esas personas aceptaron el aviso de privacidad antes de firmar. En España, el 23% de los ciudadanos de 16 a 74 años ya participó en actividades cívicas y políticas online en 2024, según el INE. La recogida de firmas en línea no es el futuro: es el presente.

Para crear una recogida de firmas online que sea legalmente sólida, estos son los pasos:

1. Elige una plataforma segura. Cifrado de datos, control de acceso y servidores en la UE o con garantías equivalentes (cláusulas contractuales tipo). Plataformas como Change.org, Avaaz o formularios propios con Google Forms y Typeform pueden usarse, pero cada una tiene sus condiciones RGPD que debes revisar antes de activar el formulario.
2. Implementa verificación de identidad según el objetivo. Para una petición informal: confirmación por email es suficiente. Para una iniciativa con validez administrativa: puede necesitarse DNI electrónico u otro sistema certificado.
3. Incluye el aviso RGPD antes del botón de firma. No a mitad del formulario, no en unos términos y condiciones que nadie lee. Antes de que el usuario haga clic en "firmar", tiene que haber visto la información básica de protección de datos y haberla aceptado activamente.
4. Configura control de duplicados. Por email verificado, por identificador de sesión o, si la plataforma lo permite, por DNI. Un mismo email o documento solo puede firmar una vez.
5. Define quién accede a los datos y durante cuánto tiempo. Solo las personas del equipo organizador que lo necesiten. Limita los accesos desde el primer día.
6. Exporta y conserva evidencias. Fecha y hora de cada firma, registro de consentimiento, logs de acceso. Si presentas la recogida ante una administración, te pedirán estos justificantes.

Una nota sobre plataformas externas: usar Change.org o plataformas similares es perfectamente válido para presión pública o comunicación ciudadana. Pero para una iniciativa con efectos jurídicos (ILP, petición municipal formal, Iniciativa Ciudadana Europea), la administración suele exigir un sistema propio o certificado, no un formulario de terceros.

Iniciativas ciudadanas oficiales: qué exige la ley

Si tu objetivo no es una petición informal sino una propuesta legislativa formal, los requisitos son mucho más estrictos. En España, solo el 2,8% de las Iniciativas Legislativas Populares presentadas desde 1986 han llegado a ser aprobadas. El motivo más frecuente de fracaso no es la falta de apoyo ciudadano: es no alcanzar las 500.000 firmas válidas en el plazo legal (Maldita.es, 2024). Ese 41,1% de iniciativas que caducan por falta de firmas refleja, en parte, recogidas mal organizadas que generan firmas no contabilizables.

• Iniciativa Legislativa Popular (ILP) en España: 500.000 firmas de ciudadanos inscritos en el Censo Electoral, recogidas en un plazo de 9 meses (prorrogable 3 meses más). Las hojas deben seguir el modelo oficial establecido por la Junta Electoral Central.
• Petición municipal o autonómica: Cada administración tiene sus propios requisitos de formato, número mínimo de firmas y nivel de verificación. Consulta el reglamento de participación ciudadana de tu ayuntamiento o comunidad autónoma antes de empezar.
• Iniciativa Ciudadana Europea (ICE): 1 millón de firmas en al menos 7 países de la UE, con umbrales mínimos por país. Para España, el mínimo es de 43.920 firmas verificadas, según los umbrales actualizados en julio de 2024 por la Comisión Europea. De las 121 iniciativas registradas desde 2012, solo 14 han alcanzado ese millón (11,6%).

¿Qué pasa si tu recogida de firmas no cumple la ley?

Las consecuencias no son solo teóricas. La AEPD ya ha sancionado a organizaciones civiles por gestionar mal los datos de sus firmantes. En 2022, un sindicato recibió una multa de €2.000 por publicar actas con firmas manuscritas de afiliados sin anonimizar, vulnerando el principio de minimización de datos del artículo 5.1.c del RGPD (Eurovima, 2022). Otro sindicato fue multado con €5.000 por compartir datos de afiliados sin autorización en un grupo de WhatsApp (Economist&Jurist, 2022).

En términos prácticos, los riesgos son tres:

• Rechazo administrativo. La administración puede rechazar toda la recogida aunque hayas reunido miles de firmas, si no se cumplen los requisitos formales o si hay dudas sobre la autenticidad de los datos.
• Sanciones RGPD. Si recoges o conservas datos personales sin informar correctamente a los firmantes, sin base legal o sin almacenamiento seguro, estás expuesto a una denuncia. Las multas por infracciones graves del RGPD pueden llegar hasta €20 millones o el 4% de la facturación global (RGPD, Art. 83.5). Para entidades pequeñas, las sanciones reales son muy inferiores, pero la AEPD puede emitir apercibimientos que ya constan en el expediente.
• Invalidación por autenticidad. Si no puedes demostrar que cada firma corresponde a una persona real que consintió el tratamiento de sus datos, toda la iniciativa es impugnable en cualquier momento.

En la práctica, el problema rara vez es "que te falte un papel". El problema es no poder demostrar finalidad, consentimiento y autenticidad cuando alguien lo exige. Y ese momento llega más a menudo de lo que parece.

Errores comunes que invalidan una recogida de firmas

Lo que hemos visto con más frecuencia en recogidas que acaban siendo rechazadas o denunciadas son siempre los mismos fallos. Ninguno es complicado de evitar, pero hay que conocerlos de antemano.

• Recoger datos que no son necesarios. Pedir el teléfono "por si acaso" o la profesión "para el informe" sin justificación legal es una infracción directa del principio de minimización.
• No informar del tratamiento de datos, o hacerlo de forma que nadie pueda leerlo. Letra pequeña al pie de página, enlace a una política de privacidad genérica que no menciona la recogida específica, o aviso RGPD en un documento separado que el firmante no ve.
• Almacenamiento descuidado. Hojas fotografiadas con el móvil y enviadas por WhatsApp, documentos en carpetas sin contraseña, archivos Excel compartidos con personas no autorizadas. Todo eso es sancionable.
• Usar plataformas online sin revisar sus condiciones RGPD. No todos los formularios gratuitos cumplen la normativa europea. Antes de activar cualquier formulario de terceros, revisa dónde se alojan los datos y en qué condiciones.
• No controlar duplicados. Si la administración detecta el mismo DNI varias veces, puede impugnar toda la recogida, no solo las entradas duplicadas.
• Usar las firmas para una finalidad diferente a la declarada. Esto es una infracción RGPD directa. También puede generar responsabilidad civil frente a los firmantes.

Si quieres que la recogida tenga peso real, evita estos errores desde el inicio. No es difícil. Pero hay que saberlos antes de empezar, no después de que te rechacen las firmas.

Preguntas frecuentes

¿Puede cualquier persona lanzar una recogida de firmas en España?

Sí. No hace falta ser una entidad jurídica, tener registro oficial ni contar con un abogado. Cualquier ciudadano puede organizar una recogida de firmas, tanto física como en línea, siempre que cumpla el RGPD y tenga una finalidad legítima. Para iniciativas con efectos jurídicos formales (ILP, petición municipal oficial), las exigencias de verificación y formato son más estrictas, pero el derecho a promoverlas sigue siendo universal.

¿Las firmas online son igual de válidas que las físicas?

Sí, siempre que el sistema permita verificar la identidad del firmante y registre el consentimiento informado. Para una petición informal o de presión ciudadana, una confirmación por email es suficiente. Para una ILP u otra iniciativa con efectos jurídicos, puede exigirse verificación por DNI electrónico u otros sistemas certificados. La validez no depende del soporte (papel o digital) sino de la trazabilidad y el cumplimiento RGPD.

¿Puedo pedir solo nombre y firma, sin DNI?

Depende de la finalidad. Para iniciativas informales (presión pública, peticiones ciudadanas sin efecto jurídico directo), sí puedes limitarte a nombre y firma. Para trámites oficiales con validez administrativa, en la mayoría de los casos se exige el DNI u otro identificador para verificar que el firmante existe en el Censo Electoral o en el registro correspondiente. Si tienes dudas, consulta el reglamento del organismo receptor antes de diseñar tu hoja.

¿Se pueden usar las firmas para más de una causa?

No. Las firmas solo pueden usarse para la finalidad que se informó a los firmantes en el momento de recogerlas. Usarlas para una campaña diferente, para enviar comunicaciones posteriores o para cualquier otro fin no declarado es una infracción del RGPD. Si más adelante necesitas usarlos para otra finalidad, tendrías que obtener un nuevo consentimiento explícito de cada firmante.

¿Hay sanciones reales si no cumplo el RGPD en mi recogida de firmas?

Sí, y ya ha ocurrido. La AEPD sancionó a un sindicato con €2.000 por publicar firmas manuscritas de afiliados en actas sin anonimizar (2022). Otro fue multado con €5.000 por compartir datos de firmantes sin autorización por WhatsApp ese mismo año. Las multas máximas bajo el RGPD son de €20 millones o el 4% de la facturación global para infracciones graves, aunque para entidades pequeñas o sin ánimo de lucro las sanciones reales suelen ser muy inferiores. La AEPD también puede emitir apercibimientos sin multa en primera instancia.

¿Cuántas firmas necesito para una Iniciativa Legislativa Popular en España?

La ILP requiere 500.000 firmas válidas de ciudadanos inscritos en el Censo Electoral, recogidas en un plazo de 9 meses (prorrogable otros 3). Las firmas deben seguir el modelo oficial de la Junta Electoral Central. Solo 4 de las 143 ILPs presentadas desde 1986 han sido aprobadas (2,8%), y el 41,1% han caducado por no alcanzar el umbral mínimo de firmas (Maldita.es, 2024).

¿Qué es la Iniciativa Ciudadana Europea y cuántas firmas exige?

La Iniciativa Ciudadana Europea (ICE) es un mecanismo de la UE que permite a los ciudadanos proponer cambios legislativos directamente a la Comisión Europea. Requiere 1 millón de firmas en al menos 7 países de la UE. Para España, el umbral mínimo es de 43.920 firmas verificadas, actualizado en julio de 2024. De las 121 iniciativas registradas desde 2012, solo 14 han alcanzado ese millón (11,6%), según el ECI Forum.

⚠️ Este artículo es meramente informativo y no constituye asesoramiento financiero, legal ni fiscal. Puedes consultar nuestra exención de responsabilidad para mayor detalle. Antes de tomar decisiones económicas, consulta con un profesional cualificado.