Empresa no hizo evaluación de impacto de privacidad necesaria

¿Tienes razón?

Que usted sospeche que la empresa no hizo la evaluación de impacto de privacidad es comprensible, pero si su posición prospera depende de tres cosas claras:

1. Qué tipo de datos se tratan. Los tratamientos especiales —como datos de salud, antecedentes penales, o perfiles a gran escala— suelen obligar a una evaluación por el riesgo que plantean. Si la empresa maneja solo datos básicos de contacto, la exigencia puede no aplicarse.

1. La finalidad y la tecnología usada. Si la compañía está usando herramientas que perfilan a las personas, toma decisiones automatizadas relevantes, o combina bases de datos para sacar inferencias, eso aumenta la probabilidad de que una evaluación fuera necesaria.

1. Documentación y prueba: si la empresa no puede mostrar un registro que explique la naturaleza del tratamiento, las medidas técnicas y organizativas y el análisis de riesgos, su omisión puede ser relevante. No basta con que le digan verbalmente que «se hizo»: necesita un documento o prueba escrita.

Si reúne evidencia sobre estos tres puntos, su reclamación tiene peso. Si no, su posición todavía puede ser válida, pero tendrá que trabajar más en reunir pruebas y en exigir transparencia.

Cómo se soluciona

1) Reúna evidencia inmediata

• Busque cualquier comunicación escrita donde declaren para qué usan sus datos: contratos, correos, formularios web, políticas de privacidad. Guarde capturas de pantalla y exporte las conversaciones de aplicaciones. Si firmó autorizado algún tratamiento, escanee ese documento.
• Anote las fechas en que detectó el uso problemático, qué funciones tecnológicas participaban (por ejemplo, análisis automatizado, cámaras, biometría) y quién dentro de la empresa lo gestionaba.

2) Pida información por escrito

• Envíe una solicitud formal a la empresa pidiendo: a) si hicieron evaluación de impacto de privacidad; b) copia del documento; c) medidas adoptadas para mitigar riesgos; d) quién es el responsable de privacidad. Preserve el envío y la respuesta.
• Si la empresa responde con generalidades, pida especificaciones concretas: qué riesgos identificaron y qué medidas técnicas aplicaron.

3) Revisión técnica mínima

• Si puede, pida a un técnico o a un abogado especializado que revise la documentación para ver si la evaluación existe y es suficiente. Un especialista sabrá identificar lagunas: por ejemplo, falta de análisis de riesgos, ausencia de medidas de seguridad concretas o ausencia de seguimiento.

4) Reclamación administrativa o ante la autoridad competente

• Si obtiene evidencia de omisión o de un análisis claramente insuficiente, puede presentar una queja ante la autoridad de protección de datos correspondiente en Ecuador, adjuntando la documentación. La autoridad puede investigar y ordenar medidas correctoras.

5) Vía civil o administrativa

• Si la omisión ha provocado daño (por ejemplo, exposición de datos sensibles, discriminación por decisiones automatizadas, o perjuicio económico), puede valorar una reclamación por daños ante la vía civil o solicitar la intervención administrativa que requiera medidas de subsanación.

Qué puede hacer usted solo y qué necesita profesional

• Usted puede recopilar pruebas, exigir información por escrito y presentar una queja administrativa. Para evaluar la suficiencia técnica de una evaluación de impacto o para reclamar daños cuantificados, conviene asesoría especializada.

Qué puede pasar

1) Se arregla con una carta o con la entrega de documentación

Lo más habitual es que la empresa responda entregando documentación o completando la evaluación tras su requerimiento. En muchos casos, la defensa de la empresa es que la evaluación existía o que las medidas correctoras se implementaron a partir de su advertencia. Un resultado así evita litigio y restablece derechos sin coste judicial.

2) Acuerdo o medidas administrativas

Si la autoridad investiga, puede ordenar a la empresa que adopte medidas concretas: completar la evaluación, implantar controles, limitar tratamientos o entregar información a las personas afectadas. La empresa y la persona pueden llegar a un acuerdo que incluya revisiones periódicas y garantías. Un acuerdo puede ser ventajoso porque soluciona el riesgo real sin necesidad de demostrar un daño económico para reclamar indemnización.

3) Proceso judicial y riesgo de perder

Si se inicia un juicio por daños y perjuicios, el resultado depende de probar el daño y la relación causal con la omisión. Si usted pierde, la sentencia puede desestimar la reclamación; en algunos casos la parte perdedora asume las costas, dependiendo del tribunal y de si la demanda tuvo fundamento. Además, una sentencia favorable no garantiza la ejecución si la empresa es insolvente.

¿Y si gana, cobra?

Ganar no siempre equivale a cobrar. Una sentencia que le reconozca una indemnización vale sobre el papel, pero la ejecución depende de la capacidad económica del demandado. Por eso muchos casos se resuelven con medidas correctoras o acuerdos que incluyen pago inmediato.

Errores que arruinan el caso

• No conservar la documentación original: borrar correos, no hacer capturas de pantalla o no exportar chats hace difícil demostrar lo que pasaba.
• Limitar la reclamación a una queja verbal; si no queda constancia escrita, la empresa puede negar todo.
• Firmar un acuerdo de confidencialidad o un documento donde acepta el tratamiento sin leerlo: algunos textos cierran puertas si aceptan expresamente el uso de datos.
• No separar la evidencia técnica de la narrativa: confundir su percepción con hechos verificables (por ejemplo, «creo que usaron un algoritmo») en lugar de aportar indicios técnicos.
• Esperar a que el problema se arregle solo: si hay riesgo real, documentarlo y actuar es clave.