He recibido una inspección de la AEPD: ¿qué puedo hacer?

¿Tienes razón?

Recibir una inspección de la autoridad de protección de datos (la Superintendencia de Industria y Comercio en Colombia) no es automática señal de culpa, pero sí exige preparación. Cuatro factores determinan si va a tener problemas: la existencia de políticas y registros de tratamiento, la proporcionalidad entre lo que dice y lo que practica, la providencia del control de accesos técnicos (copias de seguridad, cifrado, logs) y los contratos con encargados del tratamiento (proveedores de hosting, servicios en la nube). Si tiene documentos que prueben que siguió procedimientos razonables —politicas, informes de seguridad, contratos que obligan a los proveedores— su posición es mejor. Si no hay nada escrito o hay prácticas claras de exposición de datos, la inspección puede derivar en requerimientos formales o sanciones.

No convertir la inspección en una urgencia destructiva: destruir logs, borrar bases o modificar registros empeora la situación y puede considerarse obstrucción. Mantenga todo tal como está y documente lo que se haga después.

Cómo se soluciona

1. Mantenga evidencia y reúna documentación.

• No borre ni altere archivos, bases de datos, correos o logs. Haga copias forenses si es posible.
• Reúna políticas de privacidad, autorizaciones, formatos de consentimiento, registros de bases de datos y cualquier análisis de riesgos o DPIA que tenga.
• Prepare contratos con encargados (proveedores de hosting, proveedores de SaaS) y prueba de medidas técnicas (backups, cifrado, control de accesos).

1. Use el derecho de petición y pida aclaraciones por escrito.

• Si no está claro el alcance de la inspección o la información requerida, presente un derecho de petición preguntando por los documentos concretos que solicitan y el fundamento. La entidad está obligada a responder y eso le da un marco documental para su defensa.

1. Documente todas las actuaciones internas.

• Registre las reuniones internas, quién tuvo acceso y qué documentos se entregaron. Si entrega información, hágalo con constancia de recibido y mantenga copias.

1. Evalúe medidas correctivas inmediatas y proporcionales.

• Si la inspección detecta fallas menores, implemente medidas técnicas y organizativas que mitiguen el riesgo y prepare un informe de acciones correctivas que puede entregar a la autoridad. No todo requiere cambios radicales; a veces basta con políticas nuevas y evidencia de formación.

1. Consulte con un abogado especializado en protección de datos.

• Un abogado puede ayudar a responder requerimientos formales, preparar argumentos legales y, si procede, negociar alternativas de cumplimiento o presentar recursos administrativos.

Qué puede hacer hoy: deje intactos los datos, recopile la documentación básica y presente un derecho de petición si necesita precisión sobre el alcance de la inspección.

Qué puede pasar

1) Se resuelve con observaciones y medidas: La salida más común es que la autoridad emita requerimientos para adaptar prácticas y pida pruebas de cumplimiento. Implementando medidas y entregando un plan de cumplimiento muchas empresas normalizan su situación sin sanciones graves.

2) Acuerdo o conciliación administrativa: En casos intermedios, la empresa y la autoridad pueden pactar medidas correctivas con plazos y supervisión. Esto evita un proceso sancionatorio extenso y permite demostrar buena fe.

3) Sanción y sanción económica: Si la autoridad encuentra incumplimientos graves —por ejemplo, exposición masiva de datos o falta total de controles— puede abrir un procedimiento sancionatorio que puede terminar en multas. Si pierde el expediente, la empresa puede impugnar mediante los recursos administrativos y eventualmente frente a la jurisdicción contencioso-administrativa. Tenga en cuenta que una sanción es ejecutable sobre el patrimonio de la persona jurídica.

Y si gana, ¿cobro? En asuntos administrativos no hay una “cobranza” similar a lo civil: una resolución a favor puede anular sanciones o requerimientos, pero la reparación de reputación y los costos de defensa siguen siendo reales.

Errores que arruinan el caso

• Borrar o modificar datos tras la inspección: eso puede agravar la responsabilidad y constituir obstrucción.
• Responder sin pruebas o con información incompleta: contestar de forma improvisada puede dar lugar a conclusiones erróneas.
• No pedir por escrito el alcance de la inspección: perderá la oportunidad de delimitar la petición y de organizar una defensa documentada.
• No revisar contratos con proveedores de cloud: muchos problemas vienen de proveedores que no cumplen sus obligaciones contractuales.
• Ignorar la necesidad de evidencia técnica: no basta decir que se hacen backups; hay que poder demostrarlos.