Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

Lo que importa no es si estás bien o mal, sino qué pide exactamente la autoridad y qué pruebas conectan contigo. Dos factores clave determinan tu posición: la precisión del requerimiento (qué hechos y qué periodo cubre) y la fortaleza de tu documentación interna (políticas, registros, copias de comunicaciones, registros de acceso). Si tienes políticas y registros actualizados y puedes demostrar diligencia, tu posición es mucho más sólida. Si no tienes nada documentado, la autoridad puede interpretar que no cumpliste con obligaciones básicas.

Otro elemento es la gravedad de lo que motivó el requerimiento: una consulta informativa de un titular suele tratarse de forma distinta que un aviso de filtración con daño. También cuenta si la autoridad ha sancionado casos similares en tu sector: precedentes pueden indicar el riesgo de una sanción mayor.

Cómo se soluciona

1. Lee y clasifica el requerimiento. Identifica qué información piden y por qué. Separa lo que puedes entregar inmediatamente de lo que requiere búsqueda interna.

1. Nombra a un responsable interno para la respuesta. Designa a una persona que coordine la recopilación de documentación: políticas de privacidad, contratos con terceros, registros de tratamiento, logs de acceso, y comunicaciones con titulares.

1. Reúne la documentación solicitada. Exporta registros técnicos (logs, backups), contratos y evidencias de medidas de seguridad. Genera un índice de lo entregado para que quede constancia de lo aportado.

1. Prepara una respuesta clara y ordenada. Acompaña cada documento con una nota que explique qué es y cómo responde al requerimiento. Si hay limitaciones para entregar algo (por ejemplo, por secreto industrial), explícalo con argumentos y ofrece alternativas.

1. Registra internamente todas las acciones. Mantén un expediente con fechas y responsables de cada entrega; esa trazabilidad es clave si hay un procedimiento posterior.

1. Evalúa admitir errores y proponer medidas correctoras. Si identificas fallos, es mejor proponer un plan de remediación concreto que negarlos sin más. Las autoridades valoran la colaboración y las medidas proactivas.

1. Si no sabes cómo preparar la respuesta, busca ayuda especializada. Un abogado con experiencia en protección de datos te ayudará a seleccionar y presentar la documentación, a redactar redactos técnicos y jurídicos, y a negociar con la autoridad.

Qué puedes hacer solo: clasificar el requerimiento, reunir documentación básica y preparar un índice de entrega. Cuándo necesitas abogado: si el requerimiento sugiere una infracción grave, si ya existe un procedimiento sancionador, o si hay riesgo reputacional significativo.

Qué puede pasar

1) Se cierra con respuesta documental. Muchas investigaciones administrativas se solucionan cuando el afectado entrega pruebas que explican los hechos y demuestran medidas correctoras. Una respuesta bien documentada suele evitar sanciones mayores.

2) Acuerdo o imposición de medidas correctoras. La autoridad puede pedir cambios concretos en tus procesos y exigir pruebas de cumplimiento. Un acuerdo que describa plazos y medidas puede sustituir una sanción económica en algunos casos.

3) Procedimiento sancionador. Si la autoridad concluye que hubo incumplimiento grave, puede iniciar un procedimiento formal que puede terminar en sanción. En ese escenario, es clave la defensa técnica y documental: la ausencia de pruebas y de medidas correctoras aumenta el riesgo de condena.

Y si ganas, ¿cobras? En procedimientos contra tu organización, la autoridad no adjudica “dinero a cobrar” a tu favor; la resolución puede absolverte o imponer medidas a otra parte. En cualquier caso, la atención debe centrarse en contener el daño operativo y reputacional.

Errores que arruinan el caso

• Responder de forma imprecisa o incompleta: entregar documentos sin índice ni explicación complica la evaluación.
• Borrar o modificar registros tras recibir el requerimiento: eso se interpreta muy mal y puede agravar la situación.
• No coordinar a un responsable: respuestas fragmentadas y contradictorias dañan tu posición.
• Ocultar la verdad cuando hay fallos técnicos: admitir y proponer remediaciones suele ser mejor estrategia.
• No documentar las medidas implementadas tras el requerimiento: si dices que arreglaste algo, prueba que lo hiciste.