Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

Recibir un requerimiento de la autoridad de protección de datos no significa automáticamente que haya sanción; significa que hay preguntas que usted debe contestar y hechos que debe documentar. Tres factores condicionan su riesgo.

1) ¿Qué le piden? Si el requerimiento solicita información general sobre políticas y medidas, suele ser una comprobación. Si pide datos sobre un incidente concreto o documentación probatoria, indica que existe un foco de interés mayor.

2) Calidad de su documentación. La autoridad valorará si su empresa puede demostrar políticas, registros de tratamiento, análisis de riesgo y medidas técnicas. Si su documentación es inconsistente o inexistente, su posición será más vulnerable.

3) Cooperación y actitud. La normativa valora la colaboración. Una respuesta clara, completa y entregada por canales formales suele atenuar la percepción negativa; ocultar información o destruir pruebas agrava la situación.

Recuerde que la autoridad busca verificar cumplimiento y proteger derechos. Trate el requerimiento con la seriedad que exige: responder mal o no responder agrava riesgos.

Cómo se soluciona

1) Preservación inicial y registro interno.

• Conserve el requerimiento original y registre la fecha de recepción en su expediente interno. No destruya ni altere documentos relacionados con el asunto que motiva el requerimiento.

2) Identifique el alcance y las solicitudes concretas.

• Lea cuidadosamente lo que pide: documentos, bitácoras, lista de tratamientos, medidas de seguridad, o explicaciones sobre incidentes. Haga un inventario de la información exacta requerida.

3) Reúna la documentación solicitada.

• Busque políticas de privacidad, informes de riesgo, contratos con encargados, registros de tratamientos, evidencias de autorizaciones, y logs de acceso. Si la documentación no existe, documente por escrito las razones y los pasos que se van a tomar para subsanar la deficiencia.

4) Prepare una respuesta formal, clara y completa.

• Responda punto por punto. Adjunte los documentos en el formato que la autoridad acepte y deje constancia de quién firma y la función de la persona que responde.

5) No elimine ni altere evidencias.

• Evite la tentación de 'limpiar' sistemas. La alteración de evidencia puede convertir un incumplimiento en un procedimiento sancionatorio más grave.

6) Si tiene dudas, busque asesoría especializada.

• Un abogado experto en protección de datos puede revisar la respuesta, preparar anexos técnicos y negociar con la autoridad si hace falta. Además, puede ayudar a diseñar medidas de cumplimiento para cerrar brechas detectadas.

Qué puede hacer usted sin abogado: conservar el requerimiento, reunir documentación y preparar una respuesta básica son tareas internas. Si la autoridad anuncia sanciones, citaciones más formales o la petición es compleja, entonces conviene asesoría.

Qué puede pasar

1) Archivo o cierre tras subsanación. Si la autoridad considera que las observaciones se corrigen con la documentación y medidas aportadas, el requerimiento puede cerrarse tras la subsanación. Esto es común cuando faltan documentos formales que la organización puede aportar.

2) Acuerdo de cumplimiento o medidas correctoras. La autoridad puede requerir la adopción de medidas específicas —por ejemplo, ajustes en políticas, auditorías o programas de formación— y dejar un plazo para su ejecución. Cumplir y documentar las acciones reduce el riesgo de sanciones mayores.

3) Procedimiento sancionatorio. Si la autoridad detecta incumplimientos graves, negligencia o falta de cooperación, puede abrir un proceso sancionatorio y eventualmente imponer sanciones administrativas. En caso de reclamación judicial, la carga probatoria juega un papel importante.

Y si gana, ¿cobra? Una resolución administrativa que ordene indemnizaciones depende de procedimientos civiles o de ejecución. Además, la efectividad de cualquier reparación económica se relaciona con la solvencia del responsable.

Errores que arruinan el caso

• No conservar el requerimiento ni registrar la fecha de recepción: dificulta demostrar que respondió en términos de colaboración.
• Borrar logs o correos antes de preparar la respuesta: destruye pruebas críticas.
• Responder de forma genérica sin aportar documentos concretos: muestra falta de control y puede provocar mayor escrutinio.
• No coordinar con el área técnica: respuestas legales sin soporte técnico frecuentemente se desmienten.
• Ignorar la oportunidad de negociar medidas correctoras: una postura defensiva puede endurecer la actuación de la autoridad.