Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

Un requerimiento de la Agencia Española de Protección de Datos (AEPD) es una actuación administrativa que impone obligaciones formales: aportar documentación, explicar procedimientos y justificar decisiones. Que te requieran no significa, por sí mismo, que hayas infringido la ley; la AEPD investiga para comprobar si existe incumplimiento. Lo que determinará si estás en razón o no son varios factores: la solidez de tu documentación (registro de actividades, evaluaciones de impacto, contratos), la existencia de medidas técnicas y organizativas adecuadas y la respuesta que des a los hechos alegados.

Si tienes documentación actualizada y puedes probar que aplicaste principios de minimización, limitación de finalidad y seguridad técnica, tu posición mejorará. En cambio, la ausencia de registros, la falta de contratos o la inexistencia de medidas de seguridad son indicios que la autoridad puede considerar como vulneraciones. También importa la rapidez y la calidad de tu respuesta: una contestación diligente y documentada suele mitigar la percepción de negligencia.

No confundas silencio con estrategia. No responder o responder de forma incompleta agrava la situación. Tampoco improvises: alterar o destruir documentación para mejorar la apariencia puede convertirse en una conducta sancionable.

Cómo se soluciona

1) Lee el requerimiento con atención y identifica el plazo y el alcance.

• Comprueba qué documentos te piden, el periodo que abarca y quién firma el requerimiento.
• Anota específicamente qué ficheros, contratos o procedimientos te solicitan.

2) Reúne la documentación solicitada sin modificarla.

• Exporta registros de actividades, evaluaciones de impacto, contratos con encargados, políticas de seguridad, logs de incidencias y comunicaciones con interesados.
• Conserva originales y realiza copias con marcas de tiempo. No destruyas pruebas ni las edites.

3) Prepara una contestación clara y estructurada.

• Responde punto por punto, adjuntando documentos numerados y referenciados. Explica las medidas adoptadas, quién es responsable y qué actuaciones se llevaron a cabo.
• Si hay errores o incumplimientos previos, reconoce los hechos y detalla las medidas correctoras implementadas; la autoridad valora la cooperación.

4) Involucra a un letrado si hay riesgo real.

• Si el requerimiento apunta a incumplimientos graves, datos especialmente protegidos o posible imposición de sanciones, consulta con un abogado especializado en protección de datos para coordinar la respuesta y preservar derechos.

5) Mantén comunicación documental con la AEPD.

• Si necesitas tiempo para reunir pruebas, solicita ampliación de forma motivada; explica por qué y qué vas a aportar. Hacerlo por escrito deja rastro y muestra colaboración.

6) Prepara medidas internas de remediación.

• Si el requerimiento detecta deficiencias en medidas técnicas, planifica correcciones (parches, acceso restringido, cifrado) y documenta su implantación.

7) Evalúa la necesidad de informar a interesados.

• Si el requerimiento revela una brecha que afecta a los derechos de las personas, valora comunicar a los afectados, siguiendo la evaluación de riesgos.

Qué puede pasar

1) Se arregla con la presentación de la documentación.

• Muchas actuaciones de la AEPD se cierran tras la aportación de documentos y explicaciones convincentes. La autoridad puede archivar si considera que se resolvió la duda o la incongruencia.

2) Acuerdo administrativo o medidas correctoras.

• La AEPD puede requerir la adopción de medidas concretas (mejoras en seguridad, contratos, formularios) y dar un plazo para su cumplimiento. Aceptar y ejecutar esas medidas suele evitar sanciones severas.

3) Procedimiento sancionador.

• Si la investigación concluye que hubo infracción grave y no se corrigió ni se justificó apropiadamente, la AEPD puede iniciar un procedimiento sancionador. En ese escenario, la defensa documentada, la cooperación y las medidas correctoras implantadas pueden influir en la cuantía y naturaleza de la sanción. Si pierdes, la resolución puede imponer sanciones económicas y medidas correctoras; la ejecución de la sanción y la posibilidad de recurso se ajustan al procedimiento administrativo.

¿Y si ganas, cobras?

• En materia de requerimientos y sanciones administrativas no suele haber una “cobranza” a tu favor: ganar significa que la autoridad no aprecia infracción o que se archivó la actuación. Si la AEPD te hubiera solicitado reparación a favor de terceros y la resolución te da la razón, la ejecución dependerá de lo ordenado en la resolución.

Errores que arruinan el caso

• No responder o responder de forma incompleta: agrava la percepción y puede derivar en sanción.
• Alterar o destruir documentos tras recibir el requerimiento: puede considerarse obstrucción y empeorar la sanción.
• No coordinar internamente: faltas de comunicación entre IT, compliance y dirección producen respuestas desordenadas.
• Minimizar el requerimiento ante la autoridad: adoptar una actitud defensiva en vez de colaboradora perjudica la negociación de medidas.
• No preparar medidas correctoras: aportar sólo excusas sin planes de mejora no suele convencer a la autoridad.