Has recibido una notificación de inspección de la autoridad de protección de datos: pasos a seguir

¿Tienes razón?

Recibir la notificación no prueba culpabilidad. Lo que determina si estás bien o mal es, principalmente, tres cosas: qué concreta la autoridad en la notificación (ámbito y alcance), si tus tratamientos y bases jurídicas están documentados y si puedes presentar pruebas que demuestren cumplimiento (políticas, evaluaciones de impacto, contratos y registros de actividades). Si la notificación enumera solo una comprobación de documentación, tu posición puede ser defendible con papeles; si anuncia una inspección con acceso físico o técnico a sistemas y apunta a brechas concretas, la situación es más delicada y exigiría respuestas técnicas y legales coordinadas. Otra variable decisiva es la naturaleza de los datos: tratamientos de categorías especiales o datos de menores atraen mayor escrutinio que los datos de contacto simples. Por último, la existencia de medidas de seguridad razonables y registros de acciones correctoras mejoran mucho tu posición.

Cómo se soluciona

1. Lee la notificación y describe la demanda exacta. Copia la fecha, el órgano emisor y lo que piden: documentación, acceso a sistemas, entrevistas. Mantén la notificación original y haz una copia.
2. Conserva la prueba. NO borres ni modifiques nada. Exporta correos, registros de acceso, copias de bases de datos y logs del servidor. Si hay mensajería instantánea, usa la función de exportar o haz capturas con fecha y ubicuidad. Haz un inventario de lo que conservas.
3. Reúne la documentación básica: registro de actividades de tratamiento, políticas de privacidad, contratos con encargados, cláusulas tipo y, si procede, evaluaciones de impacto y medidas de seguridad implementadas. Si faltan documentos, documenta ahora la situación y las medidas que has tomado.
4. Designa interlocutores. Determina quién responderá en nombre de la entidad y quién facilitará acceso técnico. Si tienes un delegado de protección de datos (DPO), notifícalo inmediatamente.
5. Prepara la respuesta por escrito. Redacta una explicación clara sobre la organización del tratamiento, la base jurídica y las medidas de seguridad. Adjunta la documentación solicitada organizada y etiquetada. Si no puedes aportar algo, explica por qué y qué medidas correctoras implementas.
6. Si la inspección incluye acceso técnico, coordina con tu equipo de TI para exportar logs y preparar un entorno de consulta que no ponga en riesgo la integridad de los sistemas.
7. Considera asesoría externa. Un abogado especialista en protección de datos puede revisar la respuesta y acompañar en la comunicación con la autoridad. Un perito informático puede preservar evidencia y producir informes técnicos.

Qué puedes hacer solo: reunir y exportar documentación, conservar la evidencia y redactar una explicación básica. Qué conviene que haga un profesional: analizar riesgos legales, revisar redacciones sensibles, negociar el alcance de la inspección y preparar defensas técnicas.

Qué puede pasar

1. Se cierra con requerimiento documental: la autoridad pide información y, tras recibirla, decide no sancionar. Esto ocurre con frecuencia cuando la empresa aporta documentación creíble y remediación.
2. Acuerdo/medidas obligatorias: la autoridad puede ordenar que adoptes medidas correctoras o comunicar un procedimiento sancionador con posibilidad de acuerdo. Un acuerdo puede incluir obligaciones de cumplimiento y auditorías; a veces aceptar medidas es preferible a un proceso largo.
3. Procedimiento sancionador y posible sanción: si la inspección detecta incumplimientos relevantes, puede iniciarse un procedimiento sancionador. En ese caso, la fase administrativa lleva a decisiones que pueden imponer sanciones económicas y obligaciones de corrección. Si pierdes un recurso administrativo, la ejecución dependerá de la solvencia de la entidad: una resolución firme contra una empresa insolvente puede quedarse en papel.

Y si ganas, ¿cobras? En procedimientos administrativos la “victoria” suele ser la anulación de la actuación o la inexistencia de sanción; no hay cobro en sentido indemnizatorio salvo que solicites y consigas una indemnización por daños concretos en vía civil.

Errores que arruinan el caso

• Borrar o modificar registros tras la notificación: destruye tu credibilidad y puede ser sancionable.
• No coordinar respuesta técnica y legal: una explicación legal sin soporte técnico o viceversa queda coja.
• Entregar documentación desorganizada o incompleta: obliga a más requerimientos y da mala imagen.
• Responder verbalmente sin registrar la conversación: todo debe quedar por escrito.
• Subestimar la notificación: pensar que “no pasará nada” y dejar transcurrir el tiempo sin preparar defensa.