He recibido una inspección de la AEPD: ¿qué puedo hacer?

¿Tienes razón?

No se trata de tener o no «razón» en abstracto: lo que importa es qué muestre la inspección en cuanto a cumplimiento. Tres cosas determinan el resultado:

1) ¿Tienes documentación mínima de los tratamientos? Registros de actividades, bases jurídicas, políticas y contratos con encargados son la primera línea de defensa. Si existen y están actualizados, reduces el riesgo.

2) ¿Se ha gestionado correctamente el deber de información y los derechos de los interesados? Si tienes canales activos para atender accesos o reclamaciones y pruebas de cómo se resolvieron, la AEPD podrá valorar esto positivamente.

3) ¿Has operado con encargados o transferencias sin contrato o sin medidas de seguridad adecuadas? Eso suele generar observaciones graves. También influyen las medidas técnicas de seguridad: cifrado, controles de acceso y copias de seguridad.

Si tu documentación es incompleta, la inspección no es necesariamente el fin: puedes tener margen para regularizar. Si hay vulneraciones de seguridad que afecten a muchos afectados o negligencia clara, las consecuencias serán más serias.

Cómo se soluciona

1. Designa un interlocutor y organiza la documentación. Tú: identifica quién hablará con la AEPD y reúne los registros de actividades de tratamiento, las políticas de privacidad, contratos con encargados, evaluaciones de impacto (si las hay), registros de incidentes y pruebas de medidas técnicas (logs, auditorías). Copia todo en un soporte seguro y prepara un índice.

1. Revisa la notificación de inspección. Lee qué solicita exactamente: documentación específica, acceso a sistemas o entrevistas. No supongas: responde a lo solicitado y pregunta por escrito si algo no queda claro. Mantén toda la correspondencia por escrito.

1. No destruyas ni alters evidencias. Conserva logs, correos y backups. Exporta información de sistemas y haz capturas razonables. Si algo puede explicarse por un proceso interno, documenta ese proceso y quién lo ejecutó.

1. Prepara respuestas técnicas y legales. El responsable técnico debe describir las medidas de seguridad y los registros de mantenimiento. El jurídico debe revisar cláusulas contractuales, bases de legitimación y registros de consentimientos. Si detectas incumplimientos materiales, documenta las acciones correctoras ya puestas en marcha.

1. Solicita asesoramiento especializado si hay riesgo de sanción o si la inspección solicita información sensible que afecte a secretos empresariales. Un abogado puede atender la diligencia, coordinar la entrega y preparar alegaciones con carácter técnico y jurídico.

1. Presenta alegaciones por escrito si la AEPD formula propuestas de resolución. Las alegaciones deben ser concretas, aportar documentación probatoria y explicar medidas remediales. Conserva comprobantes de entrega y certificación de los envíos.

Qué puede pasar

1) Se cierra sin sanción tras subsanación. En muchos casos, la AEPD pide documentación adicional o medidas concretas y la situación se corrige mediante las acciones presentadas. Esto evita sanciones y constituye una rectificación administrativa.

2) Acuerdo o resolución con medidas. La AEPD puede imponer medidas concretas de adecuación —por ejemplo, adaptación contractual o refuerzo de medidas técnicas— acompañadas de plazos para su cumplimiento. Aceptar y ejecutar un plan puede ser preferible a litigar.

3) Procedimiento sancionador. Si la AEPD aprecia infracciones graves, puede abrir un expediente sancionador. En ese caso la empresa puede presentar alegaciones y prueba; si hay resolución sancionadora, existe la vía contenciosa-administrativa para recurrir. Importa evaluar la solvencia de la empresa y la existencia de medidas correctoras, porque la naturaleza del resultado depende mucho de ello.

Y si ganas, ¿cobras? En sanciones administrativas no hay “cobro” a favor del inspeccionado; lo relevante es evitar o rebajar la sanción y demostrar la corrección de las deficiencias. Si el problema son reclamaciones de interesados, incluso si la AEPD archiva, pueden quedar acciones civiles que exigirán recursos para su ejecución.

Errores que arruinan la inspección

• Borrar registros o logs pensando que «ocultan» la falta; eso agrava la impresión de falta de colaboración.
• No centralizar la respuesta: respuestas dispersas o contradictorias crean desconfianza.
• Entregar documentación incompleta sin explicar procesos: deja la interpretación en manos de la autoridad.
• Subestimar la necesidad de apoyo técnico para explicar medidas de seguridad; la AEPD valora pruebas técnicas concretas.
• No documentar correcciones: si corriges, hazlo por escrito y con pruebas de ejecución.