Si compraste una base de datos y ahora recibes reclamaciones

¿Tienes razón?

Que haya recibido reclamaciones no significa que esté condenado. Tres factores determinan si su posición es sólida: el origen de la base, el alcance de los consentimientos (si los hay) y lo que pactó con el vendedor. Si la base fue generada por el vendedor con consentimientos expresos que cubren los fines que usted pretende, su posición es más favorable. Si la base es una agregación comprada en bruto sin evidencia de consentimiento o sin cláusulas contractuales claras, su riesgo aumenta. También pesa el uso: hacer llamadas comerciales masivas, transferir datos a terceros o procesar categorías sensibles eleva el control de riesgo.

Compruebe también si en la compra hay cláusulas que asignan responsabilidades por reclamaciones o que obligan al vendedor a garantizar la licitud de los datos. En la práctica, muchas empresas creen que transferir el riesgo al vendedor les protege por completo; no siempre es así: frente a un titular o frente a la autoridad de protección de datos, la persona que decide cómo se usan los datos suele ser responsable de la debida diligencia y de las medidas de mitigación.

Finalmente, el tamaño y la naturaleza de las reclamaciones importan. Reclamaciones puntuales por derechos de acceso o supresión son diferentes de querellas colectivas o denuncias a la autoridad. Tome nota: la existencia de reclamaciones es a menudo señal de fallos en el ciclo de cumplimiento: falta de transparencia, ausencia de canales para ejercer derechos, o usos incompatibles con los fines declarados.

Cómo se soluciona

1. Paralice usos nuevos y evalúe el alcance inmediato. Si está realizando campañas, deténgalas hasta verificar la legalidad. Esta es una acción que usted puede hacer ahora y que reduce exposición.
2. Reúna la documentación de la compra: contrato de compraventa, facturas, correos o mensajes donde se pactaron las condiciones, y cualquier fichero adjunto que la acompañe (listas, etiquetas de consentimiento, metadatos). Si existen comprobantes de consentimiento o cláusulas de privacidad que acompañaban a la base, expórtelos y guárdelos fuera del sistema de trabajo.
3. Inventario: haga una lista clara de qué datos tiene, su fuente, los fines para los cuales los usa, y con quién los ha compartido. Incluya formatos (Excel, CRM, CSV) y copias de las muestras. Exporte conversaciones que justifiquen la compra (WhatsApp, correo). Esto es material probatorio útil.
4. Conteste las reclamaciones de forma formal y trazable. Para reclamos de titulares, use comunicaciones con constancia de recibido o respuesta por correo con acuse, explicando la base jurídica y los pasos para ejercer derechos. No improvise respuestas que admitan hechos que desconoce.
5. Evaluación de licitud: contraste los fines reales con los consentimientos existentes. Si detecta incompatibilidad, deje de procesar esos datos para ese fin y proponga a los titulares alternativas (por ejemplo, nuevo consentimiento, o cesar el contacto).
6. Contratos y garantías: revise el contrato de compraventa y busque cláusulas que obliguen al vendedor a responder por incumplimientos o a indemnizar. Si el vendedor no cumplió, puede haber acciones contractuales, pero eso no elimina la necesidad de resolver las reclamaciones frente a los titulares.
7. Comunicación con la autoridad: si la situación escala a una investigación de la autoridad de protección de datos, coopere aportando la documentación reunida. La actitud proactiva y las medidas correctoras suelen contar a favor.

De lo que puede encargarse usted solo: paralizar campañas, reunir documentación básica, responder reclamaciones sencillas y exportar pruebas. Es aconsejable contar con apoyo profesional cuando no exista documentación de consentimiento, cuando la base contenga categorías sensibles, cuando hay múltiples reclamaciones o cuando el vendedor niega responsabilidad.

Qué puede pasar

1) Se arregla con carta o corrección inmediata. En muchos casos, una respuesta motivada al titular, la rectificación de un listado y la supresión o actualización de datos resuelven la queja. Esto es común, práctico y evita escalada.

2) Acuerdo o conciliación. Si hay afectación real y el titular pide reparación, pueden pactar un acuerdo que incluya la supresión, compensación simbólica o medidas de mitigación. Para la empresa, aceptar un acuerdo puede ser razonable: llega a una solución más rápida, evita costos de procedimiento y limita la exposición reputacional.

3) Procedimiento ante la autoridad o demanda civil. La autoridad puede iniciar investigación administrativa y, si confirma infracción, imponer medidas correctoras. Si el caso lleva a juicio, puede haber costas y riesgos reputacionales. Incluso ganando, cobrar frente a un vendedor insolvente o frente a un titular que no tiene bienes puede resultar difícil; una sentencia no siempre garantiza efectivo inmediato.

Y si gana, ¿cobra? Depende: una sentencia favorable contra usted obliga a la otra parte a cumplir, pero la ejecución depende de la capacidad económica del obligado. Por eso, muchas empresas priorizan acuerdos ejecutables sobre sentencias largas.

Errores que arruinan el caso

• No paralizar las campañas: seguir procesando aumenta pruebas en su contra y agrava reclamaciones.
• Borrar comunicaciones originales o metadatos que prueban la compra: destruir evidencia destruye su defensa.
• Responder improvisando y admitiendo hechos sin comprobarlos: reconocer responsabilidad por un mensaje mal redactado puede ser decisivo.
• Confiar únicamente en cláusulas del vendedor sin comprobar los consentimientos realmente recogidos: la responsabilidad práctica recae en quien usa los datos.
• No registrar las medidas correctoras tomadas: si luego llega la autoridad, no tener constancia de mitigación empeora la posición.