Me hicieron un reclamo por protección de datos

¿Tienes razón?

Tu responsabilidad depende de tres cosas: la existencia de una base legal para el tratamiento, la exactitud y la finalidad del dato utilizado, y si respetaste los derechos del titular (acceso, rectificación, supresión, oposición y portabilidad, en la medida aplicable).

Primero, identifica qué dato se reclama: ¿es un dato personal simple, un dato sensible (por ejemplo, salud) o un dato de empresa? Los datos sensibles exigen mayores medidas de seguridad y justificación explícita. Segundo, comprueba si el titular dio consentimiento válido o si otro fundamento legal ampara el tratamiento (ejecución de contrato, cumplimiento de obligación legal, interés legítimo debidamente ponderado). Tercero, revisa el registro de tratamiento: quién accedió, cuándo y con qué propósito; si existe registro de cesiones a terceros y si hubo medidas de seguridad razonables.

Si puedes demostrar la base legal, la transparencia y las medidas de seguridad, tu posición mejora mucho. Si hubo error o incumplimiento —por ejemplo, una filtración o uso distinto del consentimiento—, es mejor reconocer el incidente y corregirlo. La reacción rápida y documentada reduce riesgo sancionador y el daño reputacional.

Cómo se soluciona

1. Localiza y conserva la información relevante. Exporta correos, logs de sistemas, consentimientos firmados o electrónicos, contratos con proveedores y cualquier registro de acceso. Si hubo eliminación accidental, documenta la causa y el alcance.

1. Analiza el reclamo con un responsable interno de datos o, si no existe, con la persona encargada del sistema. Determina la tipología del dato y la base legal invocada. Identifica si hay terceros implicados (proveedores de servicios en la nube, aliados comerciales).

1. Responde por escrito al reclamante. Reconoce recepción, describe las acciones que vas a tomar para investigar y qué medidas provisionales ofreces (por ejemplo, bloqueo del dato o acceso restringido). Mantén un registro de la comunicación.

1. Si corresponde, inicia medidas internas: revocar accesos, restaurar copias seguras, actualizar consentimientos y preparar un informe técnico del incidente. Si hay transferencia internacional de datos, verifica contratos y mecanismos de protección.

1. Si la persona eleva la queja ante la autoridad competente o ante INDECOPI (cuando corresponda), coopera y aporta toda la documentación solicitada. Si hay riesgo sancionador, busca asesoría especializada para negociar medidas correctivas y poner en marcha un plan de cumplimiento.

Qué puedes hacer solo y cuándo necesitas abogado

• Tú solo: reunir registros, comunicarse con la persona afectada y adoptar medidas técnicas inmediatas (revocar accesos, aislar sistemas). Documenta todo.
• Necesitas abogado si la autoridad inicia procedimiento sancionador, si hay potencial multa relevante, si hay reclamación colectiva, o si la situación afecta contratos con terceros. Un abogado redacta respuestas formales, negocia con la autoridad y asesora sobre obligación de reportar brechas.

Qué puede pasar

1) Se arregla con explicación y corrección. Muchísimos reclamos se resuelven porque la empresa corrige el error y ofrece pruebas de que tomó medidas. Un compromiso por escrito y acciones concretas suelen calmar al reclamante.

2) Conciliación o mediación administrativa. Si la disputa no se resuelve, puede llegarse a un acuerdo supervisado por la autoridad o por INDECOPI, con medidas de cumplimiento y compromisos de mejora internos.

3) Procedimiento sancionador o demanda civil. La autoridad puede imponer medidas correctivas y, en casos graves, sanciones administrativas. En paralelo, el titular puede demandar por daños y perjuicios. Si pierdes en un proceso sancionador, las consecuencias pueden ser económicas y reputacionales.

Si ganas, la autoridad puede archivar la queja; si hay sentencia civil favorable, cobrar dependerá de la solvencia del demandado.

Errores que arruinan el caso

• No conservar registros de consentimiento o accesos.
• Borrar comunicaciones con el reclamante o con proveedores sin registrar la razón.
• No documentar las medidas técnicas adoptadas tras la detección de un incidente.
• Responder informalmente y prometer acciones que luego no se cumplen.
• Subestimar la posibilidad de que una queja lleve inspección administrativa o sanción.