La AEPD te ha abierto un expediente por una denuncia

¿Tienes razón?

No existe un veredicto inmediato: el resultado depende de tres elementos básicos que la AEPD valorará al instruir el expediente:

1) Prueba documental de cumplimiento. Registros de actividades, contratos con encargados, evaluaciones de impacto, políticas de privacidad y evidencias de consentimiento o bases legales robustas. Si aportas documentación coherente y completa, reduces el riesgo de sanción.

2) Gravedad de la denuncia. Si la denuncia describe una vulneración técnica puntual o una política defectuosa generalizada, la AEPD lo ponderará en la instrucción. Incidentes que afecten a gran número de interesados o a datos sensibles suelen ser tratados con mayor dureza.

3) Medidas adoptadas y comportamiento empresarial. Las acciones de mitigación y la cooperación con la autoridad pesan a favor de la empresa. Demostrar que has investigado, notificado cuando procedía y tomado medidas correctoras mejora la valoración.

Si la documentación y las medidas son convincentes, es posible que la AEPD archive o imponga medidas correctoras en lugar de sanción. Si hay negligencia grave, el expediente puede acabar con una resolución sancionadora.

Cómo se soluciona

1. Lee atentamente el expediente y plazos procesales. Revisa la denuncia y los hechos que se te imputan. Identifica qué pruebas pide la autoridad y qué documentación aporta el denunciante.

1. Reúne la documentación probatoria. Junta registros de actividades, contratos con encargados, políticas de privacidad, evidencias de la base jurídica de tratamientos, comunicaciones con los interesados y registros de incidentes. Si hubo brecha de seguridad, documenta el análisis forense y las medidas tomadas.

1. Prepara y presenta alegaciones fundamentadas. Redacta alegaciones que respondan punto por punto a la denuncia, aportando pruebas y explicando medidas adoptadas. Si hay errores formales o desconexiones en la denuncia, señala las inconsistencias.

1. Documenta medidas correctoras ya adoptadas. Si has procedido a subsanar, aporta evidencias: nuevas cláusulas contractuales, actualización de registros, formaciones realizadas, auditorías técnicas o cambios en configuraciones.

1. Siempre conserva la cadena documental. Mantén copia certificada de todo lo que presentes y solicita acuse de recibo para tus aportaciones.

1. Considera asesoramiento legal y técnico. Un abogado especializado puede preparar alegaciones, coordinar peritos y asegurar que las pruebas técnicas se presenten correctamente. Un técnico forense o auditor informático puede elaborar informes periciales que respalden tu defensa.

1. Valora la negociación. En expedientes con deficiencias subsanables, proponer un plan de adecuación y cooperación puede evitar sanciones o reducirlas. En casos complejos, prepara la defensa contenciosa si procede.

Qué puede pasar

1) Archivo del expediente. Si la AEPD considera que la denuncia no encuentra respaldo probatorio o las medidas adoptadas son adecuadas, puede archivar. Esto suele ocurrir cuando falta relación causal entre la conducta denunciada y el daño alegado.

2) Resolución con medidas correctoras. La autoridad puede imponer medidas no sancionadoras para adecuar procesos y procedimientos: actualización de contratos, políticas o prácticas técnicas. Cumplirlas atenúa el riesgo de sanción posterior.

3) Inicio de procedimiento sancionador. Si hay infracción acreditada y grave, se puede abrir la fase sancionadora. En esa fase se pueden imponer multas y otras medidas. En caso de resolución sancionadora, queda la vía contencioso-administrativa para recurrir. El resultado depende de la documentación aportada, la calidad de la defensa y las pruebas técnicas.

Y si ganas, ¿cobras? En este contexto no hay cobro para el investigado: la meta es evitar sanciones y restablecer el cumplimiento. Si la AEPD obliga a reparar daños a terceros, la ejecución dependerá de la sentencia o del acuerdo que alcance la autoridad.

Errores que arruinan la defensa

• No contestar o contestar tarde: dejar sin respuesta la instrucción debilita tu posición.
• Aportar documentos incompletos o desordenados: dificulta que la AEPD valore positivamente tu defensa.
• No documentar medidas correctoras: hacer cambios verbales sin evidencia escrita resta credibilidad.
• Subestimar la necesidad de peritaje técnico cuando hay alegaciones de brecha o vulneración técnica.
• Confundir cooperación con admisión automática de hechos: cooperar es recomendable, pero siempre con documentación y, si procede, con asistencia legal.