Has recibido una notificación de inspección de la autoridad de protección de datos: pasos a seguir

¿Tienes razón?

Tener motivos para preocuparse o no depende de tres cosas: la conformidad documental de sus tratamientos, la existencia y eficacia de medidas de seguridad, y la trazabilidad de consentimientos o bases legales. Si mantiene políticas claras, registros de tratamiento, contratos con proveedores y medidas técnicas y organizativas documentadas, su posición es razonablemente sólida. Si sus procedimientos son informales o no ha podido documentar decisiones sobre consentimientos, la inspección puede detectar incumplimientos.

En Ecuador, la autoridad competente puede requerir documentación y realizar actuaciones de verificación. La mejor defensa es la prevención: registros, políticas de privacidad, acuerdos con responsables y encargados y un plan de respuesta ante incidentes. Pero una inspección también es una oportunidad para corregir y negociar medidas proporcionales con la autoridad.

Cómo se soluciona

1. Lea la notificación y determine su alcance. Identifique quién firma el requerimiento y qué documentación o acciones pide; anote los plazos comunicados en el propio documento.

1. Preservación de pruebas. Inmovilice los sistemas relacionados con la solicitud y haga copias forenses si se reclaman evidencias técnicas. No borre registros ni modifique logs. Archive archivos y correos relevantes en un lugar seguro.

1. Designación de interlocutor. Nombre a una persona interna responsable de coordinar la respuesta y de comunicarse con la autoridad. Ese interlocutor centraliza la entrega de documentación y evita contradicciones.

1. Reúna la documentación básica: políticas de privacidad, registros de actividades de tratamiento, contratos con proveedores de servicios y encargados, pruebas de consentimiento o bases jurídicas, evaluaciones de impacto si las hay, y medidas de seguridad implementadas. Si hay incidentes previos, incluya los informes y acciones correctoras.

1. Prepare una respuesta formal y ordenada. Acompañe la documentación con un índice y explicaciones claras para facilitar la inspección. Si hay carencias, explique las medidas de remediación previstas.

1. Evalúe la necesidad de asistencia técnica y legal. Involucre al equipo de TI para los aspectos técnicos y considere asesoría legal cuando la inspección pueda derivar en sanciones o cuando haya dudas sobre el alcance de la petición.

1. Coopere sin facilitar información innecesaria. Entregue lo solicitado y no más; documente cada envío y conserve copias. Si la autoridad solicita acceso a sistemas en vivo, pida dejar constancia del alcance y de las acciones a ejecutar.

Qué puede hacer usted mismo: reunir políticas, exportar registros y designar interlocutor. Necesitará abogado si la inspección se complica, si hay riesgo de sanción o si conviene negociar medidas correctoras.

Qué puede pasar

1. La inspección concluye con observaciones menores y medidas correctoras. La autoridad puede requerir que usted actualice políticas o implemente controles; muchas actuaciones terminan aquí, con instrucciones de cumplimiento.

1. Acuerdo o plan de cumplimiento supervisado. Puede alcanzarse un plan donde usted corrige las deficiencias en términos pactados con la autoridad. Esto evita sanciones mayores y permite una salida ordenada.

1. Procedimiento sancionador. Si se detectan incumplimientos graves o reiterados, la autoridad puede abrir un procedimiento administrativo que puede acabar en sanción. Si ello ocurre y usted es condenado, existen recursos; si pierde un procedimiento, puede también enfrentarse a medidas de ejecución.

Y si gana, ¿cobra? No aplica literalmente: la inspección no es una reclamación de cantidades, sino una verificación. Una resolución favorable evita sanciones pero no genera compensación automática.

Errores que arruinan el caso

• Borrar registros o logs tras recibir la notificación: parece ocultación y agrava la situación.
• Entregar documentación sin índice ni contexto: dificulta la revisión y provoca más requerimientos.
• No designar un interlocutor, lo que genera respuestas contradictorias.
• Contestar sin consultar al equipo técnico sobre la información solicitada: las respuestas inexactas crean problemas posteriores.
• No documentar los envíos: si hay disputa sobre lo entregado, sin comprobantes pierde argumento.