Me abrieron proceso por manejo de datos personales ante la SIC

¿Tienes razón?

Aquí la pregunta no es tanto si usted tiene razón, sino si su política de tratamiento y sus actuaciones cumplen con la normativa de protección de datos y si puede probarlo. Lo que cuenta son tres pruebas: las bases legales invocadas para cada tratamiento de datos, las políticas y avisos entregados a los titulares (clientes, empleados, proveedores), y los registros de actividades de tratamiento (quién accedió, por qué y con qué medidas de seguridad). Si puede demostrar que para cada dato existe una base legal adecuada (consentimiento, ejecución de contrato, obligación legal, interés legítimo debidamente ponderado, etc.) y que informó a los titulares y protegió los datos, su posición será fuerte. Si no hay registros, ni políticas, ni evidencia de medidas técnicas, la SIC tendrá terreno para imponer sanciones administrativas.

También importa la respuesta que dio ante la queja: si respondió con diligencia y colaboró, eso suaviza el cuadro. Si ocultó incidentes de seguridad o no atendió solicitudes de titulares, la sanción es más probable.

Cómo se soluciona

1. Solicite copia del expediente o la comunicación.

• Responda formalmente y pida copia completa de las denuncias o hallazgos. En la respuesta incluya quién será su contacto y los documentos que va a aportar.

1. Reúna la documentación de cumplimiento.

• Copie las políticas de privacidad vigentes, los avisos de tratamiento, contratos con cláusulas de datos, registros de tratamiento, matrices de riesgo, y evidencia de medidas de seguridad técnicas y organizativas. También reúna respuestas a solicitudes de derechos de los titulares y reportes de incidentes.

1. Prepare una relación cronológica.

• Explique cuándo y cómo se obtuvieron los datos, qué se hizo con ellos y qué medidas de seguridad existían. Aporte evidencia técnica: logs de acceso, backups y registros de auditoría.

1. Si hubo incidente de seguridad, notifíquelo correctamente.

• Si no lo ha hecho y el incidente es relevante, evalúe la obligación de notificar a los titulares y a la autoridad según la normativa. Una notificación sincera y con medidas correctivas es preferible a la ocultación.

1. Negocie con la autoridad si hay observaciones.

• La SIC puede requerir medidas de subsanación. Cumplir y demostrar implementación suele reducir sanciones. En algunos casos, la conciliación administrativa u ofertas de cumplimiento son opciones prácticas.

1. Preparar defensa administrativa o judicial.

• Si la SIC inicia proceso sancionatorio, coordine defensa técnica y legal, incluyendo peritajes sobre medidas de seguridad y políticas implementadas.

Usted puede recopilar documentos y responder iniciales por su cuenta, pero cuando la SIC formaliza cargos o hay riesgo de sanción relevante, necesita abogado con experiencia en protección de datos. Si no tiene recursos, investigue la posibilidad de asistencia jurídica gratuita.

Qué puede pasar

1) Se corrige con medidas y sin sanción. Si se comprueba cumplimiento parcial y usted implementa medidas de remediación, la autoridad puede limitarse a exigir correcciones y supervisarlas.

2) Se llega a un acuerdo administrativo. La SIC suele pactar medidas de mitigación: planes de adecuación, auditorías y, en algunos casos, multas revisadas tras cumplimiento.

3) Sanción administrativa. Si hay incumplimientos graves y pruebas de negligencia, la SIC puede imponer sanciones que incluyen multas y obligaciones de corrección. Si pierde, además de la sanción, le pueden imponer medidas de seguimiento.

Y si gana, ¿cobra? Aquí no se trata de cobrar: el asunto es evitar o reducir la sanción. Una decisión favorable puede significar archivo de la investigación o desestimación.

Errores que arruinan el caso

• No conservar registros de tratamiento ni logs de acceso. Sin ellos, no puede sostener su defensa.
• Ocultar incidentes de seguridad o retrasar notificaciones a titulares y a la autoridad.
• No documentar consentimientos o bases legales; el consentimiento sin registro no prueba nada.
• No contar con contratos vigentes con proveedores que procesan datos por encargo. Eso genera responsabilidad subsidiaria.
• Intentar negociar fuera de canales formales sin dejar constancia escrita: la prueba importa.