Inspección de la AEPD: qué pasa y cómo prepararte

«Nos ha llegado una carta de la Agencia Española de Protección de Datos». Es una de las llamadas que más nervios genera en una empresa, y es normal: casi nadie sabe qué viene después. La buena noticia es que el proceso está muy reglado, tiene plazos claros y, si tienes la documentación al día, se responde con bastante tranquilidad.

En esta guía te explicamos cómo empieza una actuación de la AEPD, qué suele pedir, qué plazos hay y, sobre todo, qué puedes hacer hoy para que, si llega, no te pille sin nada.

¿Cómo empieza una actuación de la AEPD?

Hay tres puertas de entrada principales:

• Una reclamación. Es, con diferencia, la más frecuente. Un cliente que pidió que borraras sus datos y le seguiste escribiendo, un trabajador que se queja de una cámara, un vecino al que enfoca tu videovigilancia. Cualquier persona puede reclamar ante la autoridad de control (artículo 77 del RGPD).
• Una brecha de seguridad que has notificado tú. La AEPD puede revisar cómo la gestionaste y qué medidas tenías.
• Por iniciativa propia. La Agencia también actúa de oficio, por ejemplo con planes de inspección sobre un sector concreto o a raíz de noticias.

El primer paso: el traslado de la reclamación

Cuando llega una reclamación, antes de decidir si la admite, la AEPD suele trasladarla a la empresa (o a su delegado de protección de datos, si lo tiene) para que explique qué ha pasado y qué ha hecho para resolverlo. Este trámite está previsto en la ley:

«La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento [...], en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes» (artículo 65.4 de la LOPDGDD).

Este es el momento más importante. Una respuesta clara, a tiempo y con pruebas de que has atendido al reclamante y corregido lo que fallaba puede hacer que el asunto no vaya a más. Una respuesta tardía, vaga o inexistente suele tener el efecto contrario.

Después, la Agencia decide si admite o no la reclamación a trámite. Si la admite, puede abrir actuaciones previas de investigación (artículo 67 de la LOPDGDD) y, si ve indicios de infracción, un procedimiento sancionador.

Qué te pueden pedir

Los inspectores tienen amplias facultades para pedir información y documentos, e incluso para acceder a instalaciones y sistemas (artículo 58.1 del RGPD y artículos 52 y 53 de la LOPDGDD). Además, existe un deber de colaboración: no contestar o poner trabas no es una opción. En la práctica, lo que más se pide es:

• Registro de actividades de tratamiento (artículo 30 del RGPD): qué datos tratas, para qué, de quién, a quién se comunican y cuánto tiempo se guardan.
• Textos informativos: la política de privacidad de la web, las cláusulas de formularios, contratos y facturas, los carteles de las cámaras.
• Contratos de encargado del tratamiento con la gestoría, el informático, el proveedor de software o la empresa de seguridad (artículo 28 del RGPD).
• Análisis de riesgos y medidas de seguridad (artículo 32 del RGPD): contraseñas, copias, permisos de acceso, cifrado.
• Pruebas de cómo atendiste al reclamante: cuándo recibiste su solicitud, qué le contestaste y cuándo.
• Registro de brechas, si el asunto tiene que ver con una incidencia de seguridad (artículo 33.5 del RGPD).

Ojo con las notificaciones electrónicas

Las empresas (sociedades, asociaciones y demás personas jurídicas) están obligadas a relacionarse con la Administración por medios electrónicos (artículo 14.2 de la Ley 39/2015). Eso significa que la carta de la AEPD no llega al buzón, sino a la Dirección Electrónica Habilitada única (DEHú) o a la sede electrónica, normalmente con un aviso por correo.

Si pasan diez días naturales sin que abras la notificación, se entiende rechazada y el procedimiento sigue adelante (artículo 43.2 de la Ley 39/2015). Muchas empresas se enteran tarde de un requerimiento por este motivo. Revisa quién recibe esos avisos y que el correo asociado esté vigilado.

Cómo responder bien a un requerimiento

1. Anota la fecha de notificación y calcula el plazo desde el primer día.
2. Entiende qué se pregunta. Responde a cada punto, en orden, sin rodeos.
3. Aporta documentos, no solo explicaciones: registros, capturas, correos, contratos.
4. Si algo fallaba, reconócelo y corrígelo antes de contestar. Explica qué has cambiado y cómo evitarás que se repita.
5. Atiende al reclamante si su derecho sigue pendiente. Es lo primero que la Agencia comprueba.
6. Si necesitas más tiempo, pídelo por escrito y dentro de plazo.

¿Y si acaba en sanción?

No todas las actuaciones terminan en multa. El RGPD da a la autoridad varias herramientas: puede dirigir un apercibimiento, ordenar que adaptes un tratamiento en un plazo o imponer una multa (artículo 58.2 del RGPD). Para graduar la multa se tienen en cuenta, entre otros factores, la gravedad, si hubo intención o negligencia, las medidas que tomaste para reducir el daño y tu grado de cooperación (artículo 83.2 del RGPD).

Además, si el procedimiento llega a una propuesta de sanción económica, la Ley 39/2015 (artículo 85) prevé reducciones por reconocer la responsabilidad y por pagar de forma voluntaria antes de la resolución. Es una decisión que conviene valorar con calma y con asesoramiento.

Cómo prepararte antes de que llegue la carta

La mejor defensa en una inspección es poder enseñar, en poco tiempo, que la protección de datos se gestiona de verdad en tu empresa. Esta es la carpeta que te recomendamos tener lista:

• Registro de actividades de tratamiento actualizado y que refleje lo que haces hoy, no lo que hacías hace cinco años.
• Cláusulas informativas en web, formularios, contratos y carteles.
• Contratos de encargado firmados con todos los proveedores que acceden a datos.
• Análisis de riesgos y una lista sencilla de las medidas de seguridad que aplicas.
• Un procedimiento para atender derechos y un registro de las solicitudes recibidas.
• Un registro de incidencias y brechas, aunque esté vacío.
• Una persona de referencia que sepa dónde está todo y quién revisa las notificaciones electrónicas.

Si quieres saber en qué punto estás, puedes empezar con nuestro test de protección de datos o encargar una auditoría de protección de datos que revise todo lo anterior y te diga qué corregir primero. En sectores con datos sensibles, como las clínicas y centros sanitarios, o con muchos datos de terceros, como las asesorías y gestorías, merece especialmente la pena tenerlo al día.