Si compraste una base de datos y ahora recibes reclamaciones

¿Tienes razón?

Su posición depende de tres cosas principales. Primero: el origen de la base de datos. Si el vendedor obtuvo el consentimiento informado y verificable de las personas para los usos que usted pretende darles, su riesgo es menor. Si la base fue compilada sin consentimiento o procedente de fuentes públicas sin legitimidad para el tratamiento comercial, usted asume la carga de defensa. Segundo: el contrato de compraventa o cesión. Debe contener garantías claras sobre conformidad con la normativa de datos y cláusulas de indemnización si el vendedor incumple. Tercero: el uso que usted está haciendo. Tratar datos para finalidades distintas a las autorizadas amplía su responsabilidad.

Si no conserva documentos que acrediten el origen y las cesiones, su posición es más débil pero no necesariamente desesperada: otras pruebas (registros de actividad, comunicaciones con clientes, facturas) pueden ayudar a reconstruir la cadena de consentimiento.

Cómo se soluciona

1. Reúna la documentación: contrato de compra, facturas, comunicaciones con el vendedor, etiquetas o metadatos del fichero original, muestras de formularios o páginas web donde se recogieron datos y cualquier cláusula de aceptación. Exporte chats y correos con el vendedor y con usuarios. Guárdelo en formato que no se pierda (PDF, captura con fecha).
2. Inventar un histórico operativo: extraiga registros técnicos (logs), listas de campañas realizadas, muestras de mensajes enviados y segmentaciones. Haga capturas y cópielas a un soporte externo.
3. Analice la finalidad: describa por escrito para qué usa los datos y qué bases legales invoca (consentimiento, cumplimiento de contrato, interés legítimo). Si invoca consentimiento, busque evidencia de que fue válido: quién lo pidió, cuándo y sobre qué finalidad.
4. Notifique al vendedor por escrito reclamando indemnización o subsanación si el contrato la prevé. Adjunte la reclamación que recibió y pida explicaciones sobre el origen de los datos. En muchos casos el contrato obliga al vendedor a responder.
5. Responda a la reclamación del titular. Si la reclamación requiere acceso, rectificación, supresión u oposición, atiéndala por escrito aportando el análisis realizado. Use canales trazables y exporte la comunicación.
6. Si procede, implemente medidas correctoras: dejar de usar determinados campos, borrar registros señalados, ajustar campañas o actualizar avisos de privacidad y formularios de consentimiento. Documente cada medida.
7. Si la reclamación escala, considere la mediación o presentar una defensa técnica ante la autoridad competente. En casos de riesgo elevado, busque asesoría de un abogado especialista en protección de datos.

Qué puede hacer usted solo: reunir pruebas, contestar solicitudes de titulares y documentar medidas. Cuándo necesita abogado: cuando el vendedor niega responsabilidad, cuando la autoridad inicia actuación, o cuando la reclamación incluye daños y perjuicios.

Qué puede pasar

1) Se arregla con una carta: Muchas reclamaciones se resuelven con una respuesta motivada al titular o con que el vendedor aclare el origen. Si usted prueba que tomó medidas y que la cesión tenía garantías, es habitual que la disputa quede en un intercambio de correos.

2) Acuerdo o conciliación: Puede haber una negociación con el vendedor para que asuma costes o para que se pacte una compensación al titular. Un acuerdo rápido puede ser preferible si evita riesgo reputacional y cuotas de defensa más altas.

3) Actuación administrativa o demanda: Si el titular denuncia ante la autoridad o inicia un reclamo civil, la cuestión pasa a instancias públicas. Si pierde, puede haber sanciones, órdenes de cesión o reparación y obligaciones de publicación de medidas. Además, si la contraparte (vendedor) es insolvente, una sentencia favorable puede ser difícil de cobrar.

Y si gana, ¿cobro? Ganar solo determina responsabilidad de la otra parte; si esa parte es insolvente o no localizable, ejecutar la sentencia puede ser complejo y costoso.

Errores que arruinan el caso

1) Tirar correos o contratos con el vendedor. Sin prueba documental es muy difícil atribuir la responsabilidad. 2) No exportar registros técnicos antes de que se purguen: logs y metadatos desaparecen con rotaciones automáticas. 3) Contestar a la reclamación sin coordinar con el vendedor si su contrato exige notificación previa. 4) Seguir usando la base mientras hay una investigación abierta: agrava la exposición. 5) Firmar cláusulas de responsabilidad con proveedores sin revisar garantías de conformidad con la Ley de Protección de Datos.