La AEPD te ha abierto un expediente por una denuncia

¿Tienes razón?

Que la apertura de un expediente implique que estás obligado no es automático. Hay tres ejes que determinan la fuerza de tu posición: la credibilidad y sustentación de la denuncia, la existencia de registros y políticas que prueben tu buen hacer, y la proporcionalidad de la medida según la naturaleza del hecho denunciado. Si la denuncia se basa en una queja sin evidencia y vos contás con registros de tratamiento, consentimientos y medidas de seguridad, podés tener una defensa sólida. Si, en cambio, el denunciante aporta pruebas de una brecha o de uso indebido y no tenés registros que lo contrarresten, tu riesgo aumenta.

La autoridad suele abrir expediente para investigar y pedir descargo; no siempre termina en sanción. Lo decisivo será el material probatorio y la capacidad de acreditar que actuaste conforme a principios de tratamiento de datos.

Cómo se soluciona

1. Identificá el alcance de la denuncia. Leé la notificación y definí exactamente qué hechos se imputan: filtración, uso no consentido, falta de acceso a datos por parte del titular, etc. Esa precisión te permite centrar la defensa.

1. Reuní la documentación pertinente. Adjuntá políticas de privacidad vigentes, registros de tratamientos, registros de incidentes, contratos con terceros, copias de consentimientos y cualquier comunicación con el denunciante. Exportá logs y backups que muestren accesos y acciones técnicas relevantes.

1. Prepará un descargo por escrito y con soporte. Respondé punto por punto, aportando pruebas y fechas. Si tomaste medidas correctivas, describilas y adjuntá evidencias (informes técnicos, facturas por consultoría o parches aplicados). Si los hechos imputados no sucedieron, presentá evidencia que lo demuestre.

1. Solicitá peritajes técnicos si la cuestión lo requiere. Un informe pericial independiente sobre la ocurrencia o inexistencia de una brecha, o sobre las medidas de seguridad, puede ser decisivo.

1. Participá en las instancias procesales que la autoridad establezca. Contestá requerimientos adicionales y aportá documentación complementaria cuando se solicite.

1. Evaluá acuerdos de remediación. Si la autoridad ofrece medidas alternativas (acciones correctivas supervisadas, auditorías externas), analizá si son preferibles a un enfrentamiento prolongado. A veces aceptar medidas concretas reduce la exposición y el costo reputacional.

1. Comunicá internamente y con clientes según sea necesario. Si la denuncia afecta derechos de terceros, planificá comunicaciones cuidadosas y coordinadas con asesoría legal.

Acciones que podés hacer sin abogado: reunir documentos, preparar un primer borrador de descargo y conservar evidencia técnica. Necesitás abogado cuando la autoridad anuncia la posibilidad de sanción, cuando hay riesgo de acciones civiles por parte de afectados, o cuando el caso plantea cuestiones complejas de jurisdicción o transferencia internacional de datos.

Qué puede pasar

1) Se desestima la denuncia o se archiva el expediente. Si la denuncia no encuentra respaldo probado, la autoridad puede cerrar el expediente sin más consecuencias. Esto suele ocurrir cuando se demuestra que no hubo vulneración o que las medidas eran razonables.

2) Se acuerdan medidas de cumplimiento o supervisión. La autoridad puede imponer obligaciones de remediación, auditorías o programas de capacitación que debés cumplir bajo supervisión. Aceptar un plan de cumplimiento puede ser más eficiente que litigar.

3) Procedimiento sancionatorio. Si la investigación concluye por incumplimiento grave, puede iniciarse un proceso sancionatorio que termine en multa o en otras medidas administrativas. Si perdés, la ejecución de la sanción dependerá de la normativa aplicable y de la situación patrimonial.

Y si ganás, ¿cobrás? En el marco administrativo, “ganar” significa evitar sanción o que se anule la imputación; no hay una compensación económica automática por haber sido investigado. En demandas civiles conexas, una sentencia favorable puede implicar resarcimiento, pero su ejecución depende de la solvencia de la contraparte.

Errores que arruinan el caso

• No contestar la notificación o hacerlo con respuestas vagas sin evidencia.
• No documentar medidas correctivas cuando se adoptan.
• Permitir que el denunciante acceda a información sensible sin autorización.
• No coordinar con el equipo técnico para preservar logs y respaldos.
• Hacer declaraciones públicas que admitan hechos no probados sin consultar asesoría legal.