He recibido una inspección de la AEPD: ¿qué puedo hacer?

¿Tienes razón?

No se puede afirmar a ciegas si la inspección implica culpabilidad. Lo que importa es: qué alcance tiene la inspección (documental, acceso a sistemas o entrevistas), qué registros y políticas tenés para justificar tus tratamientos de datos, si hubo incidentes de seguridad previamente notificados y cómo respondiste, y si existen transferencias internacionales o proveedores que implican riesgos adicionales. Si tenés políticas de privacidad actualizadas, registros de consentimiento o bases legales claras y pruebas de medidas de seguridad, tu posición mejora. Si todo está improvisado, la inspección puede derivar en requerimientos formales o sanciones administrativas.

En Argentina, las autoridades suelen buscar pruebas de cumplimiento: documentación, registros de incidentes, contratos con proveedores que tratan datos y evidencias de capacitación del personal. No confundir inspección con sanción: la inspección es un proceso investigativo que puede terminar en medidas administrativas, pero también en recomendaciones o en la simple solicitud de subsanación.

Cómo se soluciona

1. Organizá la cadena de custodia. Identificá quién recibió la notificación y nombrá a la persona responsable de la respuesta. No destruyas información ni formatees sistemas; preservá logs, backups y comunicaciones relevantes. Hacé copias seguras de la documentación que te pidan y documentá la entrega.

1. Reuní la documentación que suele pedirse: políticas de privacidad, registros de tratamientos, contratos con proveedores de hosting y servicios en la nube, acuerdos de transferencia de datos, registros de incidentes y reportes de mitigación, pruebas de consentimiento cuando corresponda, y documentación técnica sobre medidas de seguridad implementadas. Exportá correos y chats relevantes y guardá evidencias firmadas cuando existan.

1. Respondé por escrito con cuidado. Si la autoridad te exige datos concretos, entregá la información solicitada de forma ordenada y con un índice. Evitá dar explicaciones vagas: mejor decir “se adjunta documento X que muestra…” que enviar afirmaciones sin respaldo. Si hay información reservada o secretos comerciales, marcala y justificá la confidencialidad en la respuesta.

1. Auditá internamente lo que la autoridad está investigando. Hacé un diagnóstico técnico sobre vulnerabilidades y medidas correctivas ya aplicadas. Prepará un plan de remediación escrito si detectás fallas.

1. Comunicá con prudencia. Informá internamente a quienes deban saberlo y consultá con asesoría legal antes de dar declaraciones públicas. Evitá mensajes que reconozcan hechos no documentados.

1. Si la inspección origina un procedimiento administrativo, seguí las instancias procesales que correspondan: responder requerimientos adicionales, presentar descargo por escrito y aportar pruebas. Un abogado con experiencia en protección de datos y procedimientos administrativos puede ayudar a estructurar el descargo y a negociar medidas alternativas.

1. Implementá mejoras y documentalas. Si asumís compromisos para corregir deficiencias, hacelo por escrito y con evidencias: pagos a consultoras, parches aplicados, certificaciones o planes de capacitación. Eso suele influir favorablemente en la resolución.

Acciones que podés hacer sin abogado: preservar datos, reunir documentación solicitada, exportar logs y correos, y preparar un resumen de lo que ocurrió. Necesitás abogado cuando la autoridad abre un procedimiento sancionatorio, cuando la inspección deriva en requerimientos complejos sobre transferencias internacionales, o si la empresa enfrenta multas potenciales y quiere negociar medidas alternativas.

Qué puede pasar

1) Se arregla mediante entrega de documentación o cumplimiento puntual. Muchas inspecciones terminan con la autoridad aceptando aclaraciones técnicas y solicitando correcciones. La medida no siempre implica sanción; puede bastar con acreditar que se tomaron medidas y que se corregirá lo detectado.

2) Acuerdo administrativo o medidas supervisorias. La autoridad puede imponer medidas de cumplimiento, exigir auditorías externas o acuerdos de remediación. Firmar un compromiso puede ser mejor que litigar largo y duro: evita incertidumbre y suele acotar el costo reputacional.

3) Procedimiento sancionatorio. Si la autoridad aprecia incumplimientos graves, puede iniciar un expediente que puede terminar en sanciones administrativas, publicaciones o restricciones en el tratamiento de datos. Si perdés ese procedimiento, puede haber multas y obligaciones de reparación; la ejecución de la sanción dependerá de la capacidad económica y de la existencia de bienes ejecutables.

Y si ganás, ¿cobrás? En un procedimiento administrativo no hay “cobro” en sentido civil: ganar significa que no hay sanción o que se atenúan medidas. Si la autoridad impone una sanción, su ejecución práctica depende de la estructura patrimonial de la empresa.

Errores que arruinan el caso

• Borrar logs o sobrescribir sistemas tras recibir la notificación.
• Entregar información desordenada sin índice o sin soportes comprobables.
• Hacer declaraciones públicas sin validar con asesoría legal.
• No documentar medidas de remediación acordadas internamente.
• No revisar contratos con proveedores; muchas veces la responsabilidad deriva de subcontratistas.