Mi empresa enfrenta sanción de la SIC por incumplir la ley de datos

¿Tienes razón?

Que la autoridad haya abierto un expediente no implica culpabilidad. Lo que determina si su empresa está en peligro son estos puntos:

• Existencia de bases documentales: políticas, avisos de privacidad, contratos con encargados y registros de tratamiento.
• Prácticas demostrables: registros de accesos, copias de medidas técnicas y organizativas, evidencias de capacitación al personal.
• Notificaciones y comunicaciones: si notificó a titulares sobre transferencias o vulneraciones cuando correspondía.
• Impacto real en titulares: si hubo filtración, uso indebido o daño, la postura de la autoridad será más rigurosa.

Si usted puede presentar documentación completa que pruebe diligencia y medidas razonables, su defensa se fortalece. Si la empresa carece de registros o sus prácticas fueron informales, la exposición crece.

Cómo se soluciona

1. Reúna la documentación de inmediato

• Localice avisos de privacidad, registros de transferencias, contratos con encargados, bitácoras de acceso y evidencias de medidas técnicas (cifrado, respaldos, control de accesos).
• Reúna evidencias de cumplimiento: actas de auditoría, listas de acceso, políticas internas y registro de capacitación al personal.

1. Prepare una respuesta técnica y legal

• Elabore un informe que explique los procesos de tratamiento cuestionados: quién toma decisiones, cuál es la base legal y qué controles existían.
• Si hubo una vulneración, documente el alcance, las acciones correctivas y las comunicaciones a afectados.

1. Coordine con el área técnica

• Asegure logs, realice back-ups forenses y preserve evidencia electrónica. No elimine registros ni realice alteraciones que impidan el análisis técnico.

1. Negociación y colaboración con la autoridad

• La cooperación documentada suele mejorar la posición. Responda con transparencia y ofrezca medidas correctivas concretas.
• Si conviene, proponga un plan de mitigación y cumplimiento supervisado.

1. Consideraciones laborales y de relaciones públicas

• Prepare mensajes internos y externos. Limite la divulgación pública hasta tener una estrategia clara.

Acciones sin abogado: recoger evidencia y coordinar con TI. Con abogado: preparar la defensa legal, negociar con la autoridad y representar a la empresa en el procedimiento.

Qué puede pasar

1) Cierre sin sanción tras corrección

Si la autoridad constata que las deficiencias son subsanables y la empresa coopera, puede resolverse mediante medidas correctivas y supervisión. Esta salida reduce costo reputacional y económico.

2) Acuerdo con medidas y posible multa

La autoridad puede imponer medidas correctivas y sanciones administrativas. Un acuerdo puede contemplar obligaciones de mejorar las prácticas y controles.

3) Sanción y procedimiento administrativo formal

En caso de incumplimiento grave o reiterado, puede imponerse una sanción administrativa y ordenarse medidas más severas. Si la empresa no cumple, puede haber consecuencias adicionales. En juicio, si la empresa pierde, la ejecución depende de la posibilidad material de pago y de otras medidas administrativas.

Y si gana, ¿cobro? Una resolución favorable significa que la autoridad no impone medidas; no obstante, los afectados particulares pueden aún iniciar acciones civiles. La ejecución contra terceros dependerá de su solvencia.

Errores que arruinan el caso

• Destruir o alterar logs y correos: borrar evidencia electrónica complica la defensa y puede agravar la sospecha.
• No documentar las acciones correctivas: sin pruebas de que corrigió, la autoridad ve incumplimiento continuado.
• Responder de forma improvisada públicamente: declaraciones sin control pueden perjudicar la posición legal.
• No involucrar a TI desde el inicio: retrasar la preservación forense impide reconstruir incidentes.
• Minimizar el incidente internamente: subestimar daños lleva a respuestas insuficientes ante la autoridad.