Si te comunican una inspección y quieres preparar la documentación

¿Tienes razón?

Que te hayan notificado una inspección no prueba responsabilidad ni culpabilidad. Lo que determina si estás en posición favorable son, sobre todo: 1) qué dice la notificación (alcance, sujetos, documentos solicitados); 2) si tus registros y políticas están actualizados y reflejan la operativa real; 3) si existen contratos con proveedores que involucren transferencia o encargo de datos; y 4) cómo se han implementado las medidas de seguridad que prometes en tus políticas. Si cuentas con procedimientos escritos y evidencias de cumplimiento te será mucho más sencillo demostrar la diligencia debida; si no, la inspección sirve para que el órgano verifique la falta de esos elementos.

Comprueba la notificación: quién la firma, si proviene del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos (INAI) o de una autoridad local, el periodo que cubre la revisión y la lista exacta de materias o personas sujetas. Esa lectura define todo lo demás: no es lo mismo una solicitud general que una revisión sobre un incidente concreto.

Cómo se soluciona

1) Lee y copia la notificación. Pide a quien la recibió que escanee y comparta con el responsable legal y con la persona que lleve protección de datos. Busca la identificación del órgano que la emite. Esto lo puedes hacer sin abogado.

2) Identifica el alcance. Haz una lista concreta: solicitudes de registros de actividades, contratos de encargado, avisos de privacidad, evidencias de medidas de seguridad, evidencias de consentimiento, bitácoras de accesos, políticas internas. Marca qué documentos ya existen y dónde están.

3) Reúne la documentación original. Prioriza: registro de actividades de tratamiento, avisos de privacidad vigentes, contratos de transferencia o encargo, evidencia de consentimientos (formularios, logs), evidencia de medidas técnicas y organizativas (copias de inventario de activos, políticas de respaldo, bitácoras de accesos, pruebas de cifrado), registros de incidentes y respuesta.

4) Conserva cadena de custodia. Exporta logs y correos con metadatos; no edites archivos. Si vas a entregar copias, adjunta una carta que explique el origen de cada uno.

5) Prepara un resumen ejecutivo. Redacta un documento breve que explique tu actividad de tratamiento, los fines, bases jurídicas y terceros con quienes compartes datos. Indica quiénes son los responsables y encargados dentro de la organización.

6) Designa interlocutor. Nombrar una persona que atienda la inspección evita contradicciones. Esa persona debe tener competencia técnica y acceso a la documentación.

7) Revisa contratos con proveedores. Localiza cláusulas sobre tratamiento, subencargados y medidas de seguridad; si faltan, anota cómo se manejan en la práctica.

8) No improvises. Si falta algo, documenta el porqué y qué remedios estás implementando. Los órganos valoran la diligencia y las acciones correctoras.

9) Si tienes dudas sobre alcance legal o prefieres asistencia para la entrega, consulta a un abogado especializado en protección de datos. El abogado puede negociar el volumen de información, preparar entregas parciales y acompañar en visitas.

Qué puede pasar

1) Se arregla con aclaraciones o entrega de documentación. Muchas inspecciones terminan con requerimientos de información adicionales que se resuelven entregando registros y explicaciones. Eso suele evitar sanciones graves si no hay incumplimiento relevante y si demuestras corrección.

2) Acuerdo o medida administrativa. La autoridad puede ordenar medidas correctivas (por ejemplo, actualizar avisos, firmar contratos, mejorar seguridad) y supervisar su cumplimiento. A veces se acuerda un plan de atención. Un acuerdo puede implicar obligaciones vinculantes que conviene documentar y cumplir.

3) Procedimiento sancionador. Si la inspección detecta incumplimientos graves, puede iniciar un procedimiento sancionador. En ese caso la autoridad recabará pruebas y podrá imponer sanciones administrativas. Si esto sucede y pierdes, puede haber multas y obligaciones de reparar o modificar prácticas; la ejecución depende de la resolución y de la solvencia de la organización.

Y si ganas, ¿cobras? En inspecciones administrativas no hay “cobro” directo a favor de particulares: lo que se decide es la responsabilidad del sujeto obligado y las sanciones. Si la autoridad reconoce una violación que perjudicó a alguien, esa persona puede tener la vía civil o laboral para reclamar daños, que es cuestión distinta y depende de la capacidad de la entidad para indemnizar.

Errores que arruinan el caso

• Entregar documentos modificados sin dejar constancia de cambios. Esto daña la credibilidad.
• No conservar metadatos ni exportar logs: una copia de pantalla sin metadatos es menos valor probatorio.
• Designar interlocutores sin conocimiento técnico que contradigan las pruebas.
• Destruir o eliminar registros “porque no sirven”: borrar evidencia es gravísimo.
• Responder de forma verbal sin dejar constancia por escrito de lo entregado y a quién se entregó.