Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

No existe una respuesta única: lo que importa es qué le pide la autoridad y qué documentación tiene para justificar su actuación. Un requerimiento no es una condena: es una investigación inicial. Tres factores determinan su exposición: la naturaleza de los datos implicados, la magnitud del tratamiento y la diligencia demostrable en sus políticas y medidas de seguridad. Si cuenta con contratos, registros de actividades y evidencias de medidas técnicas y organizativas, estará en mejor posición. Si carece de documentación o la evidencia muestra incumplimientos, el riesgo de sanción administrativa aumenta.

Cómo se soluciona

1. Lea el requerimiento y determine el alcance.

• Identifique exactamente qué información solicita la autoridad: periodos, tratamientos, incidentes, contratos con proveedores o políticas internas. Anote plazos (sin publicarlos en su comunicación externa) y cualquier forma requerida de remisión.

1. Reúna la documentación de forma organizada.

• Contratos con proveedores y subcontratistas que intervienen en el tratamiento.
• Políticas de privacidad y avisos, registros de actividades de tratamiento, acuerdos de confidencialidad, inventario de bases de datos.
• Pruebas de medidas técnicas: copias de informes de auditoría, informes de cifrado, controles de acceso y registros de accesos relevantes.
• Registros de incidentes y comunicaciones con titulares si los hubo.

1. Prepare una respuesta clara y profesional.

• Redacte un índice y entregue la documentación ordenada según el requerimiento. Acompañe con una memoria explicativa que describa cómo funciona el tratamiento y qué medidas se implementan.
• Evite respuestas evasivas. Si no dispone de algún documento, explique por qué y qué medidas está tomando para obtenerlo o implementarlo.

1. Evalúe la necesidad de asistencia técnica y legal.

• Involucre al responsable de seguridad de la información para validar datos técnicos y a un abogado para revisar la respuesta, preservar confidencialidades y negociar el formato de entrega.

1. Si hay obligaciones pendientes, implemente medidas correctoras.

• Documente las medidas adoptadas tras el requerimiento: cambios en políticas, contrataciones, capacitaciones o refuerzos técnicos.

1. Mantenga comunicación registrable con la autoridad.

• Si necesita aclaraciones o más tiempo proceda mediante canales formales. Registre todas las comunicaciones.

Qué puede hacer usted sin abogado: reunir y estructurar la documentación, describir procesos e implementar medidas técnicas urgentes. Necesitará abogado si la autoridad inicia un procedimiento sancionador, si hay posibilidad de medidas cautelares que afecten su operativa, o si necesita negociar el alcance de la información a aportar por confidencialidad o secreto profesional.

Qué puede pasar

1) Se arregla con documentación y mejoras. En muchos casos la autoridad cierra el expediente tras recibir la información y verificar medidas correctoras. Si demuestra diligencia, el resultado suele ser favorable para la continuidad de la actividad.

2) Acuerdo o requerimiento de medidas. La autoridad puede ordenar medidas correctoras o supervisión adicional. Aceptar y ejecutar medidas puede evitar sanciones mayores y restablecer la confianza.

3) Procedimiento sancionador. Si la documentación muestra incumplimientos graves o reiterados, puede iniciarse un procedimiento sancionador. En un proceso sancionador, si pierde, enfrentará posibles sanciones administrativas y la carga de costas asociadas; la ejecución de sanciones puede tener efectos reputacionales y financieros. Incluso una resolución favorable no garantiza compensación si la otra parte es insolvente.

Si gana, ¿cobro? En el ámbito administrativo no suele haber “cobro” a favor del investigado; si su actuación dio lugar a reclamaciones civiles, recuperar daños depende de la solvencia y de las pruebas sobre responsabilidad del tercero.

Errores que arruinan el caso

• Responder tarde o de forma desordenada: entrega documentación incompleta sin índice convierte el expediente en un problema mayor.
• Enviar copias parciales sin explicar la falta de otros documentos.
• Ocultar o alterar información técnica; si se descubre, agrava la desconfianza ante la autoridad.
• No documentar las medidas adoptadas tras el requerimiento: la ausencia de un registro demuestra inacción.
• No coordinar la respuesta entre área legal y técnica: respuestas contradictorias dañan la defensa.