Has recibido una notificación de inspección de la autoridad de protección de datos: pasos a seguir

¿Tienes razón?

La clave para evaluar tu posición ante una inspección de protección de datos son tres elementos: 1) la naturaleza y alcance de la notificación; 2) el grado de cumplimiento documental (políticas, registros de tratamiento, contratos con proveedores); y 3) las medidas técnicas y organizativas implementadas. Si tienes políticas y registros actualizados y capacidad de demostrar diligencia, tu posición será mejor que si operas sin documentación.

Naturaleza de la notificación: la autoridad puede notificar una inspección routine, una investigación tras una denuncia de un titular, o una investigación relacionada con un incidente de seguridad. Identifica si la inspección solicita documentación previa o si será una visita in situ. Esa distinción cambia la preparación.

Documentación: la existencia de políticas de privacidad, registros de actividades de tratamiento, registros de accesos, cláusulas contractuales con proveedores y evidencia de análisis de riesgos y medidas de seguridad son determinantes. La falta de registros suele ser lo que más preocupa a una autoridad.

Medidas técnicas y organizativas: backups, cifrado, control de accesos, y protocolos de respuesta a incidentes son valorados. No basta con decir que existen; hay que poder demostrar implementación y trazabilidad.

Cómo se soluciona

1. Lee la notificación con calma (tú o con jurídico): identifica el alcance, las peticiones documentales y las fechas señaladas. Si la notificación es ambigua, solicita aclaraciones por escrito.

1. Designa un responsable de la respuesta (tú): apunta a la persona interna que coordinará la entrega de documentación y el contacto con la autoridad. Si tienes delegado de protección de datos, que sea la cara visible.

1. Preserva evidencia (tú): no borres logs, copias de seguridad ni registros que la autoridad pueda solicitar. No realices cambios masivos en sistemas que destruyan historiales. Si piensas adecuar procesos, documenta cada cambio.

1. Reúne la documentación solicitada (tú con soporte técnico): políticas de privacidad, registros de tratamientos, contratos con proveedores que manejen datos, protocolos de respuesta a incidentes, evaluaciones de impacto y medidas de seguridad. Extrae los logs relevantes y guarda copias.

1. Prepara una respuesta escrita y ordenada (con abogado o consultor): acompaña cada documento con un índice, fechas y explicación de cómo se cumplen las obligaciones relevantes. Si hay lagunas, explica qué medidas correctivas se están implementando y aporta evidencias de inicio de corrección.

1. Coopera en la visita o en la remisión de documentos (tú): la colaboración documentada suele jugar a favor. Si la autoridad solicita acceso in situ, acompaña a un responsable técnico y jurídico.

1. Valora medidas internas inmediatas (tú): si identificas un incidente o riesgo grave, actúa para mitigarlo y documenta todas las acciones.

Qué puede pasar

1) La inspección concluye sin sanción formal. Si demuestras diligencia, la autoridad puede emitir recomendaciones y pedir medidas de mejora sin imponer sanciones.

2) Procedimiento con acuerdo o medidas correctivas. La autoridad puede ordenar medidas concretas, supervisar su implementación o acordar plazos de cumplimiento. Un acuerdo puede incluir la obligación de remediar prácticas y presentar informes periódicos.

3) Sanción administrativa o procedimiento sancionatorio. En casos de incumplimiento grave o negligente, la autoridad puede iniciar un procedimiento que termine en sanción. Si afrontas un procedimiento y pierdes, puedes incurrir en multas o medidas que afecten operaciones. Además, una investigación puede derivar en responsabilidad civil frente a titulares afectados.

Y si ganas, ¿cobras? Este punto no suele aplicarse directamente en inspecciones: las resoluciones buscan cumplimento y reparación. Sin embargo, si la autoridad demuestra incumplimiento en un tercero que te causó daño, podrías perseguir responsabilidades en otra vía.

Errores que arruinan el caso

• Borrar o alterar registros antes de entregarlos; cualquier indicio de manipulación daña la credibilidad.
• No designar un responsable que coordine la respuesta y deje constancia de las entregas.
• Entregar documentos incompletos sin índice o explicación; la autoridad puede interpretarlo como ocultamiento.
• Subestimar la inspección y no contar con apoyo técnico o jurídico en la fase de respuesta.
• Intentar negociar condiciones informales con inspectores fuera del canal formal; deja todo por escrito.