Si compraste una base de datos y ahora recibes reclamaciones

¿Tienes razón?

La cuestión central no es tanto que compraras la base, sino tres cosas: 1) cómo se originaron esos datos (si se recogieron con información y consentimiento adecuados para el fin que pretendes), 2) qué garantías te dio el vendedor en el contrato (cesión válida, inexistencia de bajas, origen lícito) y 3) cómo los estás usando ahora (fines, segmentación, envíos comerciales). Si el vendedor te suministró certificaciones y cláusulas de cesión fehaciente, tu posición puede ser más fuerte; si la compra fue informal y no hay trazabilidad del consentimiento, la reclamación puede alcanzarte directamente.

Además cuenta si has hecho un tratamiento adicional distinto del previsto en la cesión: usar los datos para fines nuevos sin base jurídica adecuada convierte a la compra en un riesgo para ti. No menos importante es si la base incluye categorías especiales (datos de salud, ideología) o perfiles automatizados, porque entonces las obligaciones y los riesgos aumentan.

Por último, la posición administrativa y contractual del vendedor importa: si el vendedor se declaró responsable del tratamiento y se comprometió a subsanar reclamaciones, eso ayuda. Pero esa promesa contractual no sustituye a tu obligación legal frente a la persona afectada: la ley de protección de datos considera responsables y encargados según el control efectivo de los tratamientos.

Cómo se soluciona

1) Detén usos innecesarios. Para protegerte hoy, interrumpe las campañas o procesos con esa base que no sean imprescindibles. Exporta y conserva evidencias antes de borrarlas.

2) Reúne prueba concreta. Busca: contrato de compra; factura y forma de pago; correos o mensajes con el vendedor que describan el origen de los datos; muestras de la base (cabeceras, campos, fecha de generación); y cualquier certificación o auditoría que te haya entregado el vendedor. Si la base venía con etiquetas sobre consentimiento o baja, guarda esas etiquetas.

3) Revisa la base legal. Comprueba si tu uso actual encaja en una base jurídica válida: consentimiento válido, ejecución de un contrato o interés legítimo debidamente ponderado y documentado. Para interés legítimo necesitarás una evaluación que demuestre que tu interés no prevalece de forma desproporcionada sobre los derechos de las personas.

4) Responde a la reclamación por escrito. Contesta a la persona afectada explicando quién eres, qué haces con sus datos y qué medidas tomas. Si la reclamación versa sobre un derecho (acceso, supresión, oposición), trámitala con la documentación y, si procede, incluye la oferta de solución.

5) Reclama al vendedor. Si el contrato prevé indeminizaciones o garantías, exige que responda y que te indemnice por reclamaciones derivadas de datos mal obtenidos. Conserva todas las comunicaciones como prueba.

6) Si hay que escalar, impugna en vía administrativa o judicial. Presenta la reclamación ante la autoridad de control si corresponde y valora la vía civil por daños reputacionales o económicos.

Qué puedes hacer solo: reunir la documentación, detener el uso, responder la reclamación y pedir explicaciones al vendedor. Cuándo necesitas ayuda profesional: para valorar la base jurídica, preparar respuestas legales sólidas, negociar indemnizaciones y litigar si te reclaman cuantías o si la autoridad investiga.

Qué puede pasar

1) Acuerdo administrativo o extrajudicial: muchas reclamaciones se solucionan con la simple eliminación de datos o con un acuerdo por escrito donde el comprador asume compromisos y el proveedor subsana. Es la salida más rápida y la mayoría de las veces la menos costosa.

2) Conciliación o mediación y acuerdo con la persona afectada: puedes ofrecer rectificación, supresión o compensación simbólica. Un acuerdo aceptable hoy puede ser mejor que litigar durante un largo periodo y asumir costes de defensa.

3) Procedimiento ante la autoridad de control o demanda judicial: la persona afectada puede pedir sanciones administrativas ante la autoridad de protección de datos o acudir a la vía civil por daños. Si la resolución te obliga y no puedes pagar, el remedio práctico puede quedarse en un requerimiento de cesación y medidas técnicas. Si pierdes en lo judicial, podrías afrontar costas y, si el juez lo estima, indemnizaciones; si la empresa vendedora fue fraudulenta, la reclamación contra ella puede ser la vía para recuperar costes, pero es otro procedimiento.

Y si ganas, ¿cobras? Una sentencia favorable sólo tiene efecto práctico si la otra parte puede pagar o si el vendedor responde por contrato. Una sentencia administrativa que imponga obligaciones es ejecutable, pero la eficacia depende de la solvencia real de quien debe pagar.

Errores que arruinan el caso

• No conservar la documentación de compra: sin contrato ni correos, demuestras poco y debilitas tu defensa.
• Seguir usando la base mientras hay reclamaciones: agrava el daño y demuestra mala fe o desidia.
• Borrar datos relevantes antes de contestar: destruye prueba que podrías usar frente al vendedor o la autoridad.
• No separar datos por riesgo: tratar categorías especiales sin controles técnicos y organizativos es un error frecuente.
• Responder de forma informal a la persona afectada (por ejemplo solo por WhatsApp) sin dejar constancia formal y fechada.