Si has recibido requerimiento de la autoridad de protección de datos

¿Tienes razón?

Que la autoridad le requiera no significa que haya incumplido. Lo que determina su riesgo son tres aspectos: el alcance del requerimiento (qué información piden), la existencia de documentación que pruebe sus políticas y medidas, y la veracidad de su respuesta.

1) Alcance del requerimiento. Si piden sólo documentación general (políticas, registros de actividades), puede ser un control rutinario. Si piden accesos, logs, o información de usuarios, el asunto es más serio.

2) Documentación disponible. Contar con políticas de privacidad, contratos con encargados, registros de actividades de tratamiento y pruebas de medidas técnicas facilita defender su cumplimiento. La ausencia de esa documentación incrementa el riesgo de sanción.

3) Historia de incidentes. Si hubo quejas previas o incidentes de seguridad, la autoridad puede interpretar que existe un patrón. Una queja aislada tratada con diligencia tiene menos probabilidades de acabar en sanción que un historial sin corrección.

Recibir un requerimiento es el momento de mostrar diligencia: documentar, cooperar y no destruir evidencia. La forma y el fondo de su respuesta serán clave para el resultado.

Cómo se soluciona

1. Lea y archive el requerimiento (usted): abra el documento y guárdelo en un lugar seguro. No responda de inmediato hasta entender exactamente lo que piden; guardar fecha y hora del requerimiento es crucial.

1. Reúna la documentación solicitada (usted y con apoyo interno): compile políticas de privacidad, contratos con proveedores, registros de actividades, evaluaciones de impacto, pruebas de consentimiento y logs de incidentes. Exporte todo en formatos no editables y registre quién accede a esos documentos.

1. Identifique responsables internos (usted): designe quién será el interlocutor oficial con la autoridad. Eso evita mensajes contradictorios. Mantenga una cadena de custodia de los documentos.

1. No destruyas ni alteres evidencia (usted y equipo técnico): cualquier intento de eliminar datos o modificar registros puede interpretarse como obstrucción y agravar la situación. Conserve respaldos y logs originales.

1. Prepare una respuesta técnica y jurídica (necesita abogado): redacte respuesta documentada que explique procesos, medidas adoptadas y entregue lo requerido. Un abogado especializado revisará el contenido para evitar admisiones innecesarias y para argumentar conformidad con la normativa aplicable.

1. Coopere pero protege información confidencial (necesita abogado): si la autoridad solicita datos sensibles o información que contenga secretos comerciales, su abogado negociará límites de acceso o solicitudes específicas que permitan proteger derechos de terceros.

1. Aplique medidas correctoras si identificó fallos (usted y experto): si la investigación interna muestra deficiencias, implemente medidas técnicas y organizativas y documente cada acción. La adopción de correcciones suele atenuar sanciones.

1. Prepare recursos y negociación (abogado): si la autoridad propone sanciones, su abogado evaluará defensas, solicitará audiencias y negociará medidas alternativas o reducciones en función de la cooperación y las correcciones implementadas.

Qué puede pasar

1) Cierre sin consecuencias. Si la documentación demuestra cumplimiento o los fallos son menores y fueron subsanados, la autoridad puede cerrar el expediente sin imponer medidas.

2) Acuerdo o medidas administrativas. La autoridad puede proponer medidas correctoras, auditorías o apercibimientos que se ejecutan sin procedimiento contencioso. Alcanzar un acuerdo puede ser más rápido y menos costoso que litigar.

3) Sanción o procedimiento contencioso. Si se aprecia incumplimiento grave, puede abrirse un procedimiento sancionatorio. En ese caso, las defensas técnicas y el historial de diligencia son fundamentales. Si pierde, la ejecución depende de la decisión y de la capacidad de la entidad para cumplirla.

Y si ganas, ¿cobras? En procedimientos administrativos no suele haber "cobro" a su favor: lo normal es terminar con medidas de no repetición o con la anulación de la sanción. La recuperación económica frente a la Administración es excepcional y depende de circunstancias muy concretas.

Errores que arruinan el caso

• Destruir o alterar registros tras recibir el requerimiento: esto se ve como obstrucción y empeora el resultado.
• Responder sin pruebas: admitir hechos sin soporte documental o prometer medidas que no puede demostrar.
• Comunicaciones públicas sin consenso legal: dar explicaciones públicas que admitan responsabilidad antes de consultar a su abogado.
• No designar un interlocutor único: múltiples versiones disminuyen la credibilidad.
• No documentar las correcciones aplicadas: aplicar cambios sin evidenciarlos es perder ventaja negociadora.