He recibido una inspección de la AEPD: ¿qué puedo hacer?

¿Tienes razón?

Lo que importa cuando llega una inspección es menos la forma del escrito que el contenido y la capacidad de responder con documento. Tres factores determinan si está en buena posición:

1) ¿Tiene políticas y registros de tratamiento? Si su empresa mantiene políticas de privacidad, registros de actividades de tratamiento y pruebas de consentimiento o bases jurídicas, puede justificar la mayoría de las decisiones operativas. Si no existe documentación, su posición es débil.

2) ¿Puede probar las medidas técnicas y organizativas? Evidencias de copias de seguridad, auditorías de acceso, cifrado o controles de acceso son fundamentales. La autoridad busca demostrar que usted ha adoptado medidas razonables para proteger datos.

3) ¿Cómo fue la comunicación con los titulares de datos? Si hay quejas registradas y usted posee los registros de respuesta (correos, formularios, rectificaciones), puede mostrar que atendió las reclamaciones. Si hay notificaciones de vulneraciones sin reacción, eso agrava la situación.

Si responde con documentación coherente y trazable, su posición mejora. Si carece de registros, el problema será explicar por qué no existen medidas básicas.

Cómo se soluciona

1. Conserve todo tal como está. No borre correos, logs ni registros. Exporta y guarda la comunicación de la autoridad y cualquier acceso que haya habido a sistemas desde que recibió la notificación. Esto es algo que puede hacer usted mismo: exportar correos, logs del servidor y capturas de pantalla.

1. Reúna la documentación inmediata. Busque y entregue, si se lo solicitan o para su propio análisis, las políticas de privacidad, avisos a usuarios, formularios de consentimiento, contratos con procesadores de datos (proveedores de hosting, servicios en la nube) y los registros de actividades de tratamiento. Si tiene acuerdos con proveedores que incluyan cláusulas de protección de datos, reúna esos contratos.

1. Designe un responsable interno y un interlocutor legal. Identifique quién en la empresa detenta la información sobre el tratamiento y centralice las preguntas. Si no tiene un responsable de datos, nombre temporalmente a la persona con mejor conocimiento técnico y documental.

1. Prepare una respuesta factual. Responda siempre por escrito, con documentos adjuntos que acrediten lo declarado. Evite largas explicaciones sin respaldo documental. Señale las medidas adoptadas y, cuando proceda, los planes de mejora.

1. Si hay una brecha de seguridad, haga una investigación interna. Documente lo sucedido: cuándo se detectó, qué datos afectó, quiénes fueron notificados y qué remedios aplicó. Esa cronología demuestra diligencia.

1. Pida asesoría técnica y legal si la inspección pone en juego sanciones o si le solicitan información compleja (acceso a servidores, logs con datos de terceros). Usted puede intentar la primera respuesta, pero en casos de riesgo de sanción o de acusaciones formales es prudente contar con abogado especializado.

Qué puede pasar

1) Inspección cerrada con observaciones y medidas. Con frecuencia la autoridad señala incumplimientos leves y exige medidas de corrección. Se acuerda un plan de actuación y la empresa lo ejecuta para cerrar el expediente. Este resultado no es raro si la empresa demuestra voluntad y da pruebas de corrección.

2) Acuerdo formal y resoluciones administrativas. En casos con incumplimientos más graves puede llegarse a una resolución que imponga obligaciones de cumplimiento, auditorías externas o medidas similares. Muchas veces hay margen para negociar plazos de adaptación y medidas compensatorias.

3) Procedimiento sancionador. Si la autoridad considera que hubo negligencia grave o mala fe, puede iniciarse un expediente sancionador. En ese supuesto se analizan las sanciones previstas por la normativa aplicable y el resultado depende de pruebas, diligencia demostrable y defensa técnico-jurídica. Si pierde la defensa, la condena puede incluir multas y obligaciones correctoras.

Y si gana, ¿cobro? En inspecciones y procedimientos administrativos, la cuestión no es «cobrar» sino limpiar la reputación y evitar sanciones. Una resolución favorable normaliza su actividad; la ejecución de sanciones depende del patrimonio de la empresa y de la autoridad para ejecutar medidas.

Errores que arruinan el caso

• Borrar o alterar registros tras recibir la notificación. Eso se interpreta como obstrucción.
• Responder verbalmente sin documentación que lo respalde.
• No centralizar la información: múltiples interlocutores dan respuestas contradictorias.
• Entregar a la autoridad información sensible sin asesoría técnica, como claves o accesos innecesarios.
• No notificar internamente a quienes gestionan los datos y perder la oportunidad de corregir fallos simples.