Has recibido una notificación de inspección de la autoridad de protección de datos: pasos a seguir

¿Tienes razón?

La situación depende de varios elementos que definen si la inspección es rutinaria o el inicio de una acción sancionadora:

• El alcance de la inspección. Algunas inspecciones son generales y otras están limitadas a un sistema, tratamiento o periodo concreto. La orden o notificación debe contener el objeto del acto de inspección; identifíquelo.

• La competencia de la autoridad que notifica. Verifique que la autoridad que solicita la inspección corresponde al ámbito del tratamiento y del sujeto fiscalizado.

• La documentación disponible. Si tiene inventarios de tratamiento, políticas, registros de incidentes y contratos con proveedores, podrá atender con solvencia la inspección. La ausencia de documentación complica la defensa.

• La conducta previa. Si ha recibido quejas o avisos de incidentes y no ha actuado, la inspección puede ser más severa. En cambio, contar con registro de acciones correctivas y planes de mitigación mejora su posición.

Si la notificación especifica áreas concretas, su primera tarea es concentrarse en la evidencia relacionada con esos puntos. Si es amplia, prepare documentación general y responsables por área.

Cómo se soluciona

1. Copie y archive la notificación. Anote el nombre del funcionario, el área y el alcance de la inspección.

1. Designe un responsable interno para recibir a los inspectores. Ese responsable debe conocer dónde están los sistemas, la documentación y quién puede firmar acuses de recibo.

1. Reúna la documentación básica: registro de tratamientos, avisos de privacidad vigentes, políticas de seguridad, contratos con proveedores que manejan datos, bitácoras de acceso, registros de incidentes y planes de mitigación.

1. Prepare un espacio y equipos para facilitar la revisión: acceso controlado a salas, credenciales de personal y copias de respaldo de la documentación solicitada. Evite entregar equipos sin inventario ni copia previa.

1. No obstruya la inspección. Colabore en los límites que marca la notificación, pero documente todo lo que entrega y pida constancia firma de recepción.

1. Si la autoridad solicita accesos a sistemas, coordine con su equipo de TI para crear cuentas temporales con privilegios necesarios y registre todas las acciones durante la inspección.

1. Registre la inspección: haga actas internas, tome notas y conserve toda la correspondencia con la autoridad.

1. Tras la visita, revise las observaciones y adopte medidas correctivas documentadas. Comuníquelas internamente y mantenga evidencias de implementación.

Acciones inmediatas: designar responsable, reunir documentación y asegurar copias. Acciones para especialista: acompañamiento legal y pericial en caso de hallazgos graves.

Qué puede pasar

1. Observaciones y plan de mejora. Lo más frecuente es que la autoridad emita observaciones y solicite un plan de remediación. Implementar ese plan y documentarlo suele cerrar el procedimiento.

1. Requerimiento formal o medida administrativa. Si encuentra incumplimientos significativos, la autoridad puede requerir acciones concretas o imponer medidas administrativas. En muchos casos la negociación sobre el alcance de las medidas es posible.

1. Sanción. Si la inspección demuestra incumplimiento grave, puede iniciarse un procedimiento sancionador. Si la resolución le es adversa, podría imponerse multa y obligaciones de reparación. Si pierde en un procedimiento contencioso, deberá cumplir las medidas y afrontar costas.

Y si gana, ¿cobro? Ganar frente a una autoridad suele traducirse en la no imposición de sanciones o en la revocación de medidas; no implica una “retribución” económica al inspeccionado.

Errores que arruinan el caso

• Entregar equipos o documentos sin inventario. No dar constancia de lo entregado impide precisar lo que la autoridad realmente revisó.

• Obstaculizar o confrontar sin estrategia. La confrontación sin documentación ni asesoría suele empeorar la situación.

• No preparar al personal. Que quienes atiendan no conozcan los sistemas o la documentación genera errores y contradicciones.

• No documentar acuerdos. Si la autoridad hace observaciones verbales, pida que se plasmen por escrito para evitar sorpresas.