La SIC nos abrió investigación por datos de donantes y beneficiarios

¿Tienes razón?

Su posición depende de tres cosas: la base legal para el tratamiento de datos (consentimiento, cumplimiento de obligaciones contractuales, interés legítimo, entre otras), la documentación que pruebe que informó a las personas cómo usaría sus datos (política de privacidad, avisos) y las medidas de seguridad aplicadas para proteger la información. Si usted recogió datos con consentimiento informado, usó esos datos conforme al aviso, y adoptó medidas razonables de seguridad, su defensa es robusta. Si los datos fueron transferidos a terceros sin autorización, se conservaron en sistemas sin controles y hubo una fuga, su exposición aumenta.

También es relevante el tipo de datos: datos sensibles (salud, situación jurídica, filiación religiosa, etcétera) requieren mayor justificación y cuidados. Además, identifique si la investigación parte de una denuncia de afectados, de una supervisión rutinaria o de una auditoría de una entidad financiadora; la estrategia cambia según el origen.

Cómo se soluciona

1. Conservación del requerimiento: guarde el original y registre la fecha de recepción. No conteste de forma improvisada; planifique la respuesta.

1. Reúna políticas y registros: copia de la política de privacidad publicada, formatos de consentimiento firmados o aceptados electrónicamente, registros de transferencias de datos a terceros y contratos que obliguen a esos terceros a proteger la información.

1. Prepare evidencia técnica: registros de acceso a bases de datos, medidas de cifrado, respaldos, planes de contingencia y cualquier reporte de incidentes. Si hubo una filtración, documente el alcance y las acciones tomadas.

1. Aclare el fin del tratamiento: explique por escrito cómo la colección y uso de datos se vincula con los fines estatutarios de la asociación (por ejemplo, entrega de apoyos, rendición de cuentas ante financiadores, recepción de donativos deducibles).

1. Si faltó consentimiento o existió una transferencia irregular, proponga medidas correctoras: rectificación, supresión, acuerdos de confidencialidad con terceros o mejoras técnicas. Muchas autoridades valoran la colaboración y las acciones de mitigación.

1. Evalúe la necesidad de avisar a las personas afectadas: si hubo una violación de datos, la ley o la autoridad pueden requerir notificación; prepare modelos de comunicación que expliquen qué ocurrió y qué se hará para proteger a los titulares.

1. Si la autoridad impone sanciones o resoluciones adversas, considere impugnarlas con asesoría jurídica y técnica.

Qué debe hacer la asociación sin abogado: recopilar y ordenar la documentación, preservar registros técnicos y responder formalmente a la autoridad con su expediente. Cuándo requerir abogado: cuando la investigación amenaza con sanciones económicas o administrativas, o si la autoridad exige medidas que impliquen decisiones legales complejas.

Qué puede pasar

1) Se cierra sin sanción tras aclaraciones. Si la asociación acredita medidas y muestra cooperación, la autoridad puede archivar la investigación.

2) Se alcanza un acuerdo administrativo que exige medidas correctivas. La autoridad puede imponer la obligación de mejorar prácticas, formación y contratos con terceros. Esto suele ser preferible a una sanción onerosa.

3) Resolución sancionadora. La autoridad puede imponer multas o medidas coercitivas si encuentra infracciones graves, especialmente en el manejo de datos sensibles o en caso de negligencia repetida. La asociación puede impugnar la resolución en vía administrativa o judicial.

Y si gana, ¿cobro? En causas de datos personales no suele haber "cobro" como en materia fiscal; una resolución favorable restituye la reputación y evita multas, pero los daños reputacionales y la pérdida de confianza pueden tener consecuencias prácticas sobre donaciones.

Errores que arruinan el caso

• No conservar consentimientos ni avisos de privacidad.

• Responder con información incompleta o contradictoria a la autoridad.

• Entregar datos de terceros sin contratos que obliguen a la confidencialidad.

• Minimizar un incidente de seguridad en vez de documentarlo y mitigarlo.

• Borrar registros de acceso o logs tras recibir el requerimiento.