Mi empresa enfrenta sanción de la SIC por incumplir la ley de datos

¿Tienes razón?

La cuestión de si la empresa estará sancionada depende de cuatro factores claros: 1) la existencia y calidad de políticas internas y registros de tratamiento; 2) si se adoptaron medidas técnicas y organizativas proporcionalmente adaptadas al riesgo; 3) la conducta posterior al incidente o hallazgo (colaboración y mitigación); y 4) la carga de la prueba documental. Si su empresa tiene políticas mínimas formalizadas y puede probar que aplicó controles razonables, su exposición puede reducirse. Si no hay documentación o hubo negligencia clara, la probabilidad de sanción sube.

Tener un programa de cumplimiento documentado no es solo un elemento de defensa: es la principal forma de mitigar sanciones y de demostrar diligencia debida. La Superintendencia valora auditorías, evidencias de formación al personal, contratos con terceros y respuestas internas frente a incidentes. La falta de estas pruebas complica mucho la defensa.

Cómo se soluciona

1) Reúna todo el expediente interno. Pida a las áreas responsables (seguridad, legal, TI, outsourcing) las políticas de protección de datos, registros de tratamiento, acuerdos con proveedores, reportes de incidentes y cualquier auditoría o certificación. Exporte correos relevantes y preserva logs del sistema que muestren acciones tomadas tras el incidente.

2) Solicite copia de los cargos. Mediante comunicación formal, pida a la Superintendencia o al funcionario que le informe exactamente qué se le imputa. En muchas ocasiones la autoridad comparte pruebas o requerimientos; conocerlos es clave para construir la estrategia.

3) Prepare una defensa escrita. Responda con documentación, explicaciones técnicas y planes de remediación. Si hubo una vulneración, explique las medidas adoptadas para contenerla y prevenirla. La cooperación suele pesar favorablemente.

4) Evaluación técnica independiente. Contrate peritaje externo para auditar el incidente y generar un informe técnico que identifique causas y medidas correctivas. Esto ayuda a desmontar acusaciones sobre negligencia y a mostrar diligencia.

5) Negociación y medidas correctivas. En la práctica administrativa se pueden presentar planes de acción, compromisos de mejora y programas de cumplimiento para reducir la severidad de la sanción. La presentación voluntaria de medidas puede ser valorada por la autoridad.

6) Recurso judicial. Si la resolución de la Superintendencia es adversa, existe la vía judicial para impugnarla ante la jurisdicción contenciosa administrativa. En paralelo, prepare la defensa técnica y jurídica para evitar ejecución inmediata de sanciones que puedan dañar la operación.

Qué hace la empresa sola y cuándo necesita abogado: la recopilación documental y la adopción de medidas inmediatas pueden gestionarse internamente, pero la preparación de la defensa ante la Superintendencia, la negociación de medidas y la representación en sede administrativa y judicial requieren abogado con experiencia en derecho de datos y procedimientos ante la Superintendencia. Si la empresa está en riesgo reputacional o la multa puede amenazar la continuidad, busque asesoría especializada.

Qué puede pasar

1) Se cierra con medidas administrativas. Con frecuencia la autoridad acepta planes de remediación acompañados de requisitos de seguimiento; esto evita sanciones drásticas si la empresa demuestra mejora.

2) Acuerdo o resolución con sanción mitigada. Puede haber una resolución que imponga medidas y sanciones controladas; en muchos casos, el monto y la severidad dependen de la colaboración y de la gravedad del incumplimiento.

3) Resolución sancionatoria mayor y recurso judicial. Si la Superintendencia impone una sanción fuerte y la empresa la impugna, se abre la vía judicial. Si la empresa pierde en lo contencioso, deberá ejecutar la sanción y responder por costas administrativas. Si la empresa no tiene solvencia, la ejecución puede limitarse, pero la sanción reputacional permanece.

Y si gana, ¿cobra? En el contexto sancionatorio, “ganar” suele significar anulación o reducción de la sanción; no hay cobro a terceros, salvo que exista responsabilidad civil derivada y un demandante privado que exija reparación.

Errores que arruinan el caso

• Destruir o modificar registros relevantes en respuesta a la investigación.
• No documentar las medidas adoptadas tras el incidente.
• Responder de forma improvisada sin pruebas técnicas que respalden la versión.
• Confiar únicamente en explicaciones verbales y no aportar evidencia escrita.
• No activar peritaje independiente que desmonte aseveraciones técnicas de la autoridad.