He recibido una inspección de la AEPD: ¿qué puedo hacer?

¿Tienes razón?

La autoridad no actúa al azar: su facultad depende de la denuncia o control sectorial y de la naturaleza del tratamiento de datos. Tu posición depende de varias cosas:

1. Existencia de políticas y registros. Si tienes políticas de privacidad, bases legales documentadas y registros de tratamientos actualizados, tu posición es mucho más sólida. Si solo hubo prácticas informales, la inspección detectará brechas.

1. Medidas de seguridad implementadas. No basta con decir que aplicas medidas: debes poder demostrar configuraciones, bitácoras, copias de respaldo y protocolos de respuesta a incidentes.

1. Historia de incidentes. Si ya hubo una brecha sin notificación o sin acciones correctivas, la autoridad lo tendrá en cuenta. Si jamás hubo incidentes, eso no te exime de demostrar diligencia.

1. Cooperación con la autoridad. La actitud durante la inspección influye. Cooperar y entregar información ordenada suele atenuar la sanción; obstruirla agrava el problema.

Si cumples buena parte de lo anterior, lo más probable es que la actuación derive en recomendaciones o medidas administrativas. Si estás flojo en varios puntos, puedes enfrentarte a sanciones o requerimientos formales.

Cómo se soluciona

1. Designa un interlocutor y conserva la integridad de la prueba. Nombra a quien responderá a la autoridad; esa persona debe centralizar y conservar los archivos. No borres ni modifiques registros —alterar evidencia puede agravar la situación.

1. Reúne la documentación solicitada y complementaria. Normalmente piden: políticas de privacidad, registros de actividades de tratamiento, contratos con proveedores de servicios que procesan datos, medidas de seguridad (evidencias técnicas: configuraciones, logs, informes de auditoría) y comunicaciones a titulares de datos. Exporta logs, correos y respaldos; no dependas solo de accesos en vivo.

1. Prepara un informe cronológico. Documenta cuándo se implementaron medidas y quién las autorizó. Si hubo incidentes, describe las acciones tomadas: contención, comunicación, mitigación y lecciones aprendidas.

1. Responde por escrito cuando corresponda. Si la autoridad solicita información adicional, responde con documentos organizados, referencias y un responsable identificado. Evita respuestas vagas.

1. Si hay propuestas de medidas o sanciones, revisa opciones administrativas y técnicas. Puedes proponer un plan de cumplimiento con hitos y evidencias. Un abogado puede ayudar a negociar medidas proporcionales y a presentar defensas formales.

Qué puedes hacer sin abogado: reunir y organizar documentación y preparar un informe técnico. Cuándo llamar a un abogado: si la autoridad propone sanciones, requiere cierre de operaciones o pide datos adicionales que impliquen obligaciones legales complejas. En esos casos, la asesoría evita errores formales que cierren vías de defensa.

Qué puede pasar

1. Recomendación o medidas administrativas leves. En muchos casos la autoridad dicta observaciones y pide subsanaciones. Eso obliga a mejorar la documentación y los controles, pero no siempre conlleva sanción económica.

1. Acuerdo con plan de cumplimiento. La autoridad puede aceptar un plan donde ofreces remediar las deficiencias con plazos y evidencias. Un acuerdo así preserva la operación y obliga al control.

1. Sanción formal. Si las fallas son graves —por ejemplo, exposiciones masivas de datos o falta de cooperación— puedes enfrentarte a sanciones administrativas. En un proceso sancionador, la defensa técnica y legal es clave. Si pierdes y la entidad no tiene activos, la sanción puede ser un título difícil de ejecutar; si tiene liquidez, la sanción se cobrará.

Y si ganas, ¿cobras? No aplica igual que en juicios civiles: la autoridad no cobra indemnizaciones a favor tuyo; la consecuencia de una resolución favorable es la inexistencia de sanción y la recuperación reputacional.

Errores que arruinan el caso

• Borrar o modificar logs o correos tras la notificación: parece obstrucción.
• Entregar documentos incompletos o desordenados sin contexto.
• No identificar a un responsable interno que coordine la respuesta.
• Minimizar un incidente cuando existe evidencia técnica clara.
• Firmar compromisos de cumplimiento sin consultar con el equipo técnico y legal.