Me llegó una intimación o denuncia a la AAIP

¿Tienes razón?

La cuestión no es sólo si la denuncia está fundada, sino qué elementos la sustentan. Tres cosas marcan la diferencia: qué datos personales se alegan (si son sensibles o no), cómo y cuándo se obtuvieron, y qué medidas de seguridad y de información aplicaste. Si los datos son públicos o el titular dio un consentimiento claro y verificable, tu posición suele ser más sólida. Si no informaste, no implementaste medidas básicas de seguridad o respondiste mal a un pedido de acceso del titular, la AAIP puede entender que tu actuación no fue adecuada.

También importa la documentación: contratos, políticas de privacidad publicadas en el sitio, registros de backups, copias de comunicaciones con el titular y comprobantes de la base legal invocada. Si no tenés nada escrito y actuaste verbalmente, la situación complica tu defensa, pero no la imposibilita: la Agencia valora el comportamiento y las medidas adoptadas tras la intimación.

Finalmente, el contexto operativo pesa: un error puntual y reparable (por ejemplo, una filtración limitada que fue corregida) suele tratarse distinto a una política sistemática de recolección indebida de datos para fines distintos a los informados.

Cómo se soluciona

1) Reuní toda la documentación técnica y administrativa que pruebe cómo gestionaste los datos. Esto incluye: el flujo de datos, registros de acceso a sistemas, logs de servidores relevantes, backups, versiones de la política de privacidad publicadas con fechas, contratos con proveedores de hosting o subcontratistas y el registro de consentimientos cuando existan. Exportá chats o correos en formato legible y guardá capturas con la fecha visible.

2) Respondé la intimación siguiendo el procedimiento indicado por la AAIP. La respuesta debe explicar de forma ordenada y documentada la base legal para el tratamiento, las medidas de seguridad adoptadas y las acciones correctivas ya implementadas, si las hubo. Si la Agencia solicita medidas específicas, confirmá por escrito qué hiciste y adjuntá evidencia.

3) Si la denuncia incluye una solicitud de acceso, rectificación, supresión o bloqueo (derechos ARCO), atendela: identificá la petición, comprobá identidad del solicitante y remití la información o el motivo de la negativa con la fundamentación. Conservá copia de la comunicación enviada.

4) Si detectás una vulneración, activá el plan de respuesta a incidentes: aislá sistemas afectados, preservá logs, realizá análisis forense si podés y documentá cada paso. Informá a la AAIP lo que corresponda en la respuesta, con evidencias de las acciones.

5) Evaluá si hay que renegociar contratos con proveedores que manejan datos en tu nombre y exigí cláusulas de seguridad y confidencialidad, así como evidencia de cumplimiento técnico. Si trabajás con subcontratistas sin documentación, ordená auditorías o exigí su certificación.

6) Qué podés hacer solo y qué requiere ayuda profesional: podés recopilar la prueba básica y responder con un informe ordenado. Necesitás un abogado cuando la denuncia sea compleja, cuando haya riesgo de sanción económica relevante o cuando deba coordinarse una defensa técnica legal robusta (peritajes, negociación con la Agencia o impugnación administrativa).

Qué puede pasar

1) Se resuelve con la respuesta administrativa: muchas denuncias terminan porque la empresa prueba la base legal, corrige la práctica o actualiza la documentación y las políticas. Esto suele ser lo más frecuente si hay voluntad de corrección y pruebas claras. Un acuerdo administrativo puede implicar medidas de adecuación y una fiscalización posterior.

2) Conciliación o acuerdo con el denunciante: puede llegarse a una solución extrajudicial que incluya compromisos de corrección, compensación simbólica o la implementación de medidas técnicas y de compliance. A veces un acuerdo es preferible a litigios largos porque reduce costos y reputación.

3) Procedimiento sancionatorio ante la AAIP y posible vía judicial: si la Agencia entiende que hubo infracción grave, puede iniciar un proceso sancionatorio. En caso de sanción administrativa, la ejecución depende de los activos y la capacidad del sujeto responsable; una sentencia o resolución contra un insolvente puede quedar como una deuda difícil de cobrar. Si llegás a juicio y perdés, además del eventual pago, puede haber costas y publicidad negativa. La carga de la prueba y la calidad de los peritajes técnicos suelen decidir el resultado.

Y si ganás, ¿cobrás? Una resolución favorable restaura derechos y puede obligar a la otra parte a cumplir medidas, pero la efectividad práctica depende de la situación económica del adversario. Ganar no siempre significa recupero inmediato de gastos o daños si la contraparte es insolvente.

Errores que arruinan el caso

• Borrar logs o registros relevantes sin justificativo técnico: destruye la principal evidencia para tu defensa.
• No documentar la cadena de decisiones: medidas implementadas sin respaldo documental son difíciles de probar.
• Responder informalmente por canales no oficiales y sin respaldo técnico (un correo suelto sin adjuntar logs o sin firma responsable).
• Subcontratar servicios críticos sin contrato que regule tratamiento y seguridad de datos.
• No tomar medidas correctivas cuando la vulneración es evidente: la falta de remedio agrava la valoración de la Agencia.