Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

Recibir un requerimiento administrativo implica que la autoridad investiga un posible incumplimiento, pero no determina culpabilidad de entrada. Lo que importa es si puedes demostrar con registros, políticas y pruebas técnicas que cumpliste con las obligaciones: avisos de privacidad publicados, consentimientos capturados, bitácoras de tratamiento, contratos con proveedores y medidas de seguridad implementadas. Si tus sistemas generan auditorías y registros, tu respuesta puede mostrar cumplimiento. Si falta documentación o hay fallas técnicas, el requerimiento puede derivar en medidas correctivas o sanciones.

Evalúa qué tipo de información pide la autoridad: si solicita políticas, evidencia de consentimiento, bitácoras técnicas o informes de seguridad. Identifica plazos internos para coordinar la respuesta y quién en tu organización tiene la información requerida. La calidad de la respuesta define en gran medida el curso del procedimiento.

Cómo se soluciona

1) Reúne inmediatamente al equipo responsable. Designa a la persona que centralice la respuesta y recopile la documentación: legal, TI, privacidad y seguridad.

2) Conserva la evidencia original. No elimines registros, no sobrescribas bitácoras ni destruyas respaldos. La preservación de evidencia es clave; cualquier alteración puede agravar la situación.

3) Analiza el requerimiento con detalle. Desglosa cada solicitud de información y asigna responsables para obtenerla. Si falta algo, documenta por qué y qué medidas tomarás para suplir la carencia.

4) Prepara respuestas claras y completas. Aporta políticas, registros de consentimiento, bitácoras de acceso, contratos con proveedores y medidas técnicas de seguridad. Si hay incidentes previos, documenta las acciones correctivas ya implementadas.

5) Busca asesoría legal especializada si el requerimiento implica alegaciones de infracción, riesgo de sanciones o si hay elementos técnicos complejos. Un abogado ayuda a articular la defensa y a coordinar peritajes técnicos.

6) Colabora con la autoridad. Responder con transparencia y mostrar voluntad de corregir fallas suele ser favorable. Si propones medidas concretas de remediación, inclúyelas en la respuesta.

7) Prepara plan de comunicación interna y externa. Determina qué informar a clientes y al personal, y cómo manejar consultas públicas, sin revelar información sensible ni comprometer la investigación.

8) Tras la respuesta, sigue recopilando datos y mantén registros de todas las comunicaciones con la autoridad. Eso facilita posibles recursos o alegatos posteriores.

Si la entidad es pequeña y no tiene un departamento jurídico, considerar asesoría externa desde el principio reduce riesgo de respuestas incompletas.

Qué puede pasar

1) Archivo o corrección. Si la autoridad considera que tu respuesta demuestra cumplimiento o que las fallas fueron subsanables, puede cerrar la investigación con requerimientos de corrección. A menudo esto implica emitir instrucciones para mejorar procedimientos y documentar su implementación.

2) Acuerdo o medidas administrativas. La autoridad puede acordar medidas que exijan adoptar controles, mejorar políticas y presentar informes de cumplimiento. En ocasiones, se alcanzan soluciones administrativas que evitan sanciones mayores.

3) Sanción o procedimiento judicial. Si hay pruebas de incumplimiento grave o reiterado, la autoridad puede imponer medidas coercitivas o sanciones administrativas. Si la materia deriva a lo penal o a procedimientos civiles, la defensa técnica y legal será decisiva. Si la empresa pierde, las consecuencias pueden incluir multas y obligaciones de remediación; la ejecución de las resoluciones varía según la capacidad de la organización.

Y si ganas, ¿cobras? En este contexto la pregunta es distinta: la resolución suele imponer medidas a la organización. La efectividad de cualquier reparación depende de la capacidad de cumplimiento y de la supervisión posterior.

Errores que arruinan el caso

• Borrar o alterar bitácoras y registros tras recibir el requerimiento: eso puede interpretarse como obstrucción y agravar las sanciones.
• Responder de forma parcial o improvisada sin coordinación técnica: respuestas incompletas dan una mala imagen y dificultan la defensa.
• No documentar las medidas de remediación adoptadas: si dices que corregiste, prueba con evidencia concreta.
• Subestimar la dimensión técnica: entregar explicaciones vagas sobre arquitecturas o modelos sin documentación técnica reduce la credibilidad.
• No solicitar asesoría cuando el requerimiento incluye alegaciones complejas o riesgo de sanción: una defensa tardía suele ser menos eficaz.