La AEPD te ha abierto un expediente por una denuncia

¿Tienes razón?

Tres factores marcan si la denuncia es procedente o meramente formal: la veracidad de los hechos denunciados; tu cumplimiento documental y operativo de la ley de datos personales; y la respuesta que des a la autoridad.

• Veracidad: si la denuncia describe un acceso no autorizado, uso indebido o una filtración y hay pruebas (correos, logs, quejas de afectados), la investigación pesará en contra.

• Cumplimiento documental: contar con aviso de privacidad actualizado, bases para el tratamiento, consentimiento cuando sea necesario y medidas de seguridad documentadas reduce el riesgo. La ausencia de documentos no prueba por sí sola la infracción, pero complica la defensa.

• Respuesta administrativa: cómo y qué aportas a la autoridad influye en la evaluación. Una respuesta ordenada, con evidencias y medidas correctivas, puede inclinar la resolución hacia medidas administrativas menores en lugar de sanción.

Si tienes documentación que demuestra cumplimiento, tu posición es mejor. Si todo es informal y no hay registros, la autoridad puede presumir falta de controles.

Cómo se soluciona

1. Localiza la notificación oficial. Lee con atención el alcance de la investigación: qué hechos, qué ficheros o sistemas se investigan y qué información piden. Anote el número de expediente y el canal de comunicación oficial.

1. Reúne documentación interna. Copias del aviso de privacidad aplicado, registros de consentimientos, políticas de seguridad, bitácoras de accesos, contratos con proveedores, acuerdos de confidencialidad y cualquier reporte de incidentes. Ordene cronológicamente los documentos.

1. Prepare una respuesta motivada. Responda con hechos: explique los procesos de tratamiento, muestre registros y entregue evidencia técnica (logs, respaldos). Si hubo un incidente, describa las medidas correctivas tomadas y la comunicación a titulares.

1. Colabore con la autoridad. Contestar con transparencia y aportar información técnica reduce la probabilidad de sanciones severas. Solicite aclaraciones técnicas si la autoridad pide documentos poco claros.

1. Negociación y acuerdos. La autoridad puede proponer medidas administrativas o recomendaciones. En algunos casos se puede llegar a compromisos de reparación o planes de mejora.

1. Impugnación administrativa o judicial. Si el resolutivo es sancionador y lo considera injusto, existen recursos administrativos o procedimientos judiciales ante los tribunales competentes. Para ello conviene contar con asistencia especializada.

Qué puede hacer usted solo y cuándo buscar ayuda

Usted puede recopilar documentos, generar un informe interno y preparar una respuesta inicial. Debe acudir a un abogado si la autoridad le notifica la intención de sancionar, pide comparecencia formal o si la investigación implica responsabilidad penal o administrativa grave. Un especialista en protección de datos puede coordinar peritajes técnicos y redactar recursos.

Qué puede pasar

1) Archivo o resolución sin sanción. Si la investigación concluye que no hubo infracción o que se subsanó, puede cerrarse sin sanción. La colaboración y la documentación a favor facilitan este desenlace.

2) Recomendaciones o medidas administrativas. La autoridad puede ordenar medidas correctivas: adaptar políticas, capacitar personal, o implementar controles. Estas resoluciones son públicas y pueden afectar reputación.

3) Sanción administrativa. Si se determina incumplimiento grave, la autoridad puede imponer medidas y sanciones administrativas. Si se recurre y se gana, la sanción puede reducirse o anularse; si se pierde, se deberá cumplir la resolución y, eventualmente, asumir la sanción.

Y si gana, ¿cobro? En este contexto no es una reclamación civil sino administrativa: “ganar” suele significar que la autoridad no impone sanción y archiva el expediente. No implica cobro de indemnización, salvo que terceros presenten demandas civiles separadas.

Errores que arruinan el caso

• No localizar la notificación oficial y responder fuera de los canales solicitados.
• Entregar documentación incompleta o desordenada que da la impresión de descontrol.
• Borrar registros o alterar bitácoras; eso se interpreta muy mal y puede agravar la situación.
• No documentar medidas correctivas tras un incidente; la autoridad valora la acción remedial.