He recibido una inspección de la AEPD: ¿qué puedo hacer?

¿Tienes razón?

Lo que determina qué puedes y debes hacer son tres cosas: la identidad y facultades de la autoridad, el objeto del requerimiento y la forma en que te notificaron. Si la autoridad es federal o local, su competencia varía; si se presenta con orden escrita con firma competente, sus facultades para revisar o requerir documentos son mayores que si simplemente solicita información. También determina tu posición que el requerimiento esté motivado por una queja concreta o por una supervisión rutinaria.

Además, tu cumplimiento contractual y tus políticas de protección de datos importan: tener políticas, registros de tratamiento, avisos de privacidad y medidas de seguridad documentadas mejora tu capacidad de responder. Si no tienes documentación o controles, la inspección puede derivar en sanciones administrativas.

Cómo se soluciona

1. Identifica la autoridad y pide la acreditación. Solicita por escrito la identificación del funcionario y el documento que acredite la facultad de inspección o el requerimiento. Conserva copia de todo lo entregado y de las notificaciones.

1. Lee con detalle el alcance del requerimiento. Si pide información específica, prepara solo lo solicitado y evita entregar material no solicitado. Si la petición es ambigua, pide que se precise por escrito.

1. Reúne la documentación obligatoria. Busca avisos de privacidad, registros de las operaciones de tratamiento, bases de datos, contratos con proveedores que procesan datos, evaluaciones de impacto y medidas de seguridad implementadas. Si tu empresa usa proveedores cloud, solicita también sus certificaciones y evidencia de cumplimiento.

1. Designa un interlocutor responsable. Nomina a una persona interna o externa para recibir notificaciones y coordinar la respuesta técnica y legal. Documenta todas las comunicaciones y pide acuse de recibo cuando entregues información.

1. Si la autoridad solicita acceso a sistemas, exige que la visita sea documentada y pide acta de inspección. Registra qué se revisó, quién estuvo presente y qué copias de información se tomaron. Evita permitir exámenes sin supervisión técnica; acompaña la revisión con personal de TI.

1. Evalúa la necesidad de asesoría. Un abogado con experiencia en protección de datos y cumplimiento te ayuda a interpretar la facultad de la autoridad, preparar las respuestas y negociar plazos o alcances. Si la autoridad anuncia sanciones, el asesoramiento es clave para construir defensa y acuerdos.

Acciones que puedes llevar a cabo sin abogado: recabar y organizar los documentos solicitados, pedir acreditación, designar interlocutor y documentar la visita. Necesitarás abogado si la autoridad inicia procedimientos sancionadores, solicita medidas cautelares o si la reclamación implica riesgos penales o multas significativas.

Qué puede pasar

1) Se cierra con observaciones y medidas administrativas. En inspecciones rutinarias suele ocurrir que la autoridad exige correcciones y planes de mejora; se documenta el hallazgo y se fija un seguimiento. A veces se pide evidencia adicional para comprobar la implementación de medidas.

2) Acuerdo o regularización. Puedes llegar a acuerdos con la autoridad para corregir deficiencias mediante un programa de cumplimiento o sanciones administrativas reducidas. Regularizar procesos y documentar las medidas suele ser la salida práctica para empresas que quieren evitar escalada.

3) Procedimiento sancionador. Si la autoridad determina incumplimientos graves, puede iniciarse un procedimiento que derive en sanciones administrativas y en la obligación de subsanar. En casos extremos, si hay conductas que constituyen delito, la actuación puede derivar en investigación penal. Si en un procedimiento pierdes, podrías soportar sanciones y la obligación de aplicar medidas correctivas; si ganas, la resolución te exonera pero la disputa puede haber causado desgaste y costes.

Si la autoridad resuelve a tu favor, la empresa recupera tranquilidad, pero la reputación puede verse afectada mientras dure el proceso.

Errores que arruinan el caso

• Entregar más información de la solicitada sin registrar qué se entregó.
• No pedir acreditación formal del funcionario; aceptar gestos informales facilita irregularidades.
• Dejar que la inspección proceda sin personal técnico que supervise accesos a sistemas.
• Borrar o alterar registros antes de entregarlos; eso puede agravar las consecuencias.
• No documentar la visita con acta firmada: sin firma, queda tu palabra contra la de la autoridad.