Si te comunican una inspección y quieres preparar la documentación

¿Tienes razón?

Recibir una notificación de inspección administrativa por asuntos de datos personales no prueba culpabilidad; lo que define su situación son tres factores concretos:

1. Existencia de documentación mínima: si tiene políticas, registros de tratamiento, acuerdos de encargado y matriz de riesgos, podrá demostrar cumplimiento formal. Sin ellos, la inspección se centra en ausencia de cumplimiento.

1. Implementación real de medidas de seguridad: la autoridad revisa evidencia de controles técnicos y organizativos —logs, copias de seguridad, registros de acceso—. Documentación sin práctica no sustituye la falta de medidas.

1. Cooperación y trazabilidad: cómo responde ante la inspección (nombre de interlocutor, entrega de información, actas firmadas) define en gran parte la gestión del proceso. Si tiene interlocutor y protocolos, su posición será más sólida.

Si cumple con estas tres piezas, la inspección suele limitarse a aclaraciones y a recomendaciones; si falta una, la inspección puede abrir un proceso sancionatorio o ordenarle medidas correctivas.

Cómo se soluciona

1) Active un responsable de inspección.

• Designe a una persona interna que sea punto único de contacto y que conozca los tratamientos de datos y dónde están los datos críticos. Comuníque a la autoridad el nombre de ese interlocutor.

2) Solicite el alcance de la inspección y prepare un inventario documental.

• Pida por escrito (derecho de petición si lo desea formalizar) el objeto y alcance. Prepare: políticas de privacidad, registro de actividades de tratamiento o matrices de tratamiento, contratos con encargados, análisis de riesgo, protocolos de respuesta a incidentes, registros de formación y copias de comunicaciones con titulares.

3) Centralice evidencias técnicas.

• Exporte logs de acceso, copias de respaldos, evidencias de cifrado, diagramas de flujo de datos, y documentación de proveedores en la nube. Si usa terceros, reúna los contratos que acrediten la subcontratación y las medidas exigidas.

4) Haga un resumen ejecutivo.

• Prepare un documento breve que explique cómo protege datos sensibles, quién es responsable en cada proceso y cómo responde a solicitudes de titulares. Esto ayuda a la autoridad a comprender rápidamente su esquema.

5) Acompañe con pruebas de cumplimiento operativo.

• Entregue actas de capacitaciones, registros de incidentes y evidencia de seguimientos. Si tiene auditorías internas o externas, inclúyalas.

6) Revise y no destruya nada.

• No elimine o altere registros tras la notificación. Cualquier modificación posterior puede considerarse obstrucción.

7) Prepare una estrategia de comunicación interna.

• Informe a las áreas involucradas (TI, atención al cliente, cumplimiento) sobre la documentación exigida y evite comunicaciones públicas que puedan complicar la inspección.

8) Evalúe asistencia externa.

• Para evaluar riesgos, responder formalmente y negociar medidas, un abogado con experiencia en protección de datos y privacidad le ayudará a redactar actas, a coordinar la entrega y, si procede, a negociar medidas o a preparar defensa administrativa.

Qué puede pasar

1) Cierre con observaciones y recomendaciones.

• Si su documentación y prácticas son suficientes o subsanables, la autoridad puede emitir observaciones y exigir medidas correctivas sin sanción inicial. Suele ser la salida más rápida y menos lesiva.

2) Acuerdo o medidas administrativas.

• Si hay incumplimientos parciales, puede alcanzarse un acuerdo para implementar mejoras con supervisión posterior o una conciliación administrativa que incluya programas de cumplimiento.

3) Procedimiento sancionatorio.

• En caso de incumplimientos graves o reiterados la autoridad puede abrir proceso sancionatorio que podría terminar en multas u órdenes de adecuación. Si pierde, quien responde puede ser la persona jurídica y, en supuestos extremos, responsables específicos.

Y si la autoridad determina incumplimiento y usted corrige, ¿sirve para evitar sanción? La corrección demuestra buena fe y puede atenuar sanciones, pero no garantiza su ausencia si la infracción es grave.

Errores que arruinan el caso

• Eliminar registros tras recibir la notificación: se interpreta como obstrucción.
• No designar un interlocutor: provoca entregas parciales y descoordinación.
• Entregar documentación sin verificar su integridad: documentos incompletos o contradictorios empeoran la situación.
• No incluir pruebas técnicas: políticas sin logs o evidencia técnica son insuficientes.
• No coordinar con proveedores: la falta de contratos con encargados hará que la autoridad cuestione sus subcontrataciones.