Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

Recibir un requerimiento de la autoridad de protección de datos no implica de inmediato culpa, pero sí obliga a colaborar. Lo que determina tu situación son cuatro factores: 1) el motivo del requerimiento —denuncia, inspección rutinaria o seguimiento de una brecha—; 2) la exactitud y suficiencia de la información que te piden; 3) la capacidad documental para demostrar las medidas adoptadas; y 4) si existe un incumplimiento evidente (falta de bases legales, datos sensibles expuestos, ausencia de contrato con encargados).

Si puedes aportar documentación que respalde tu cumplimiento —políticas internas, registros de acceso, contratos de tratamiento, evaluaciones de riesgo— tu posición será más sólida. Si no tienes documentación, el requerimiento puede desencadenar sanciones o medidas de supervisión.

No confundas la respuesta técnica con una admisión: contestar de forma incompleta o alterar documentos empeora la situación.

Cómo se soluciona

1) Conserva y centraliza la documentación solicitada (lo que deberías hacer hoy).

• Reúne contratos, políticas de privacidad, registros de acceso, registros de consentimientos, evaluaciones de impacto, auditorías y comunicaciones con titulares. Haz copias completas y sella las originales cuando sea posible.
• No alters ni elimines registros; cualquier modificación posterior puede interpretarse como obstrucción.

2) Lee con detalle el requerimiento.

• Identifica exactamente qué te piden, el alcance temporal y los formatos solicitados. Anota las preguntas y prepara un índice de los documentos que corresponderán a cada punto.

3) Prepara una respuesta organizada.

• Ordena la documentación por secciones y añade un índice explicativo. Redacta respuestas claras y concisas para cada pregunta: qué datos trataste, la base legal, finalidades, destinatarios y medidas de seguridad implementadas.

4) Aporta evidencia técnica.

• Incluye logs, registros de backups, políticas de acceso y certificados de seguridad. Si hubo subcontratación, adjunta contratos de tratamiento y cláusulas de subcontratación.

5) Si no tienes algo, explica con evidencia por qué no existe.

• Si falta un documento clave, no inventes. Explica la razón y las medidas que vas a tomar para corregir la ausencia.

6) Evalúa la necesidad de apoyo externo.

• Un abogado especializado te ayudará a estructurar la respuesta, a preservar derechos y a preparar una estrategia que minimice sanciones. También puede negociar plazos razonables o acuerdos de subsanación.

7) Envía y guarda constancia.

• Remite la respuesta por el medio que indique la autoridad y conserva el acuse o comprobante de entrega.

Qué puedes hacer sin abogado y cuándo llamar a uno:

• Sin abogado: reunir documentación, exportar logs, preparar respuestas descriptivas básicas.
• Con abogado: integrar la respuesta técnica y legal, redactar justificativos formales, negociar medidas correctivas y representar en procedimientos administrativos.

Qué puede pasar

1) Se cierra sin medidas formales: la autoridad acepta la documentación y no impone sanciones.

• Si demuestras diligencia y cumplimiento, la autoridad puede determinar que no corresponderá sanción y darte recomendaciones para mejorar.

2) Requerimiento con medidas de subsanación o acuerdo.

• La autoridad puede pedir correcciones concretas (mejoras en seguridad, contratos o protocolos) y supervisar su cumplimiento. Este camino evita un proceso sancionatorio más severo y suele ser común cuando hay fallas formales pero no daños graves.

3) Procedimiento sancionatorio o traslado a otras instancias.

• Si la autoridad aprecia incumplimiento grave o insuficiente colaboración, puede abrir un procedimiento sancionador. En la vía administrativa podrías enfrentar multas o medidas obligatorias. En casos con afectaciones significativas, podría derivarse a acciones civiles.

Y si ganas, ¿cobras? Si el procedimiento deriva en una sanción a un tercero y obtienes reparación, cobrar dependerá de la solvencia del sancionado. Si eres la parte requerida, una resolución favorable no implica cobro, sino el cierre del procedimiento.

Errores que arruinan el caso

• Alterar o eliminar registros después de recibir el requerimiento. Esto se interpreta como obstrucción y empeora la valoración.
• Responder de manera desordenada y sin evidencia: repetir frases vagamente explicativas sin adjuntar documentación técnica.
• No identificar claramente a un responsable interno que centralice la respuesta, lo que genera contradicciones.
• No solicitar aclaraciones si el requerimiento es ambiguo; adivinar lo que piden puede llevar a errores.
• Ignorar asesoría legal cuando el requerimiento sugiere incumplimientos o riesgos de sanción.