Una inspección de la Agencia Española de Protección de Datos (AEPD) no avisa con antelación suficiente para improvisar. Cuando el requerimiento llega, la empresa dispone de un margen muy estrecho para ordenar su respuesta. En nuestra práctica, la diferencia entre una resolución sin sanción y una multa significativa suele radicarse en lo que la dirección hizo, o no hizo, antes de recibir ese primer escrito.
El marco aplicable a cualquier empresa que trate datos personales en España descansa sobre dos pilares. El primero es el Reglamento General de Protección de Datos (RGPD), de aplicación directa en toda la Unión Europea. El segundo es la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), que lo complementa y adapta al ordenamiento español. La autoridad de control competente es la AEPD.
Muchas empresas continúan operando bajo la creencia de que incluir una cláusula de privacidad en su sitio web equivale a cumplir con el RGPD. Esta es la suposición más peligrosa del ámbito del cumplimiento normativo en materia de datos. El marco exige bastante más: un registro de actividades de tratamiento activo, una base jurídica identificada para cada tratamiento, un protocolo documentado para la notificación de brechas de seguridad y, en determinados supuestos, la designación de un delegado de protección de datos.
¿Y qué examina la AEPD cuando abre una actuación inspectora? Fundamentalmente, si la empresa puede demostrar –no solo afirmar– que cumple. El principio de responsabilidad proactiva, conocido en la práctica como accountability, traslada la carga probatoria al responsable del tratamiento. La empresa no solo debe cumplir: debe poder acreditarlo en cualquier momento.
En nuestra experiencia asesorando a empresas en España, este punto es el que con mayor frecuencia deja desprotegidas a organizaciones que, de buena fe, habían adoptado medidas técnicas y organizativas. El problema no era la ausencia de medidas, sino la ausencia de evidencia documental de esas medidas.
Una actuación inspectora de la AEPD puede iniciarse de oficio, a instancia de denuncia de un particular, o como consecuencia de la notificación de una brecha de seguridad. Independientemente del origen, la secuencia procesal sigue un patrón reconocible que la dirección debe conocer antes de que ocurra.
El primer contacto formal es habitualmente un requerimiento de información. La AEPD solicita documentación específica: registros de tratamiento, contratos con encargados, evaluaciones de impacto si las hubiera, registros de formación del personal o logs de acceso a sistemas. El plazo para responder lo fija la normativa aplicable, y su incumplimiento agrava la situación de partida.
La respuesta a este requerimiento inicial es, quizás, el momento más importante de toda la actuación. Una respuesta incompleta genera nuevas solicitudes. Una respuesta imprecisa puede interpretarse como indicativa de incumplimiento sistémico. Y una respuesta que revela carencias no identificadas previamente compromete la posición de la empresa para las fases siguientes.
Si la AEPD detecta indicios de infracción, abre un procedimiento sancionador. En ese momento, la empresa tiene derecho a presentar alegaciones. Este es el espacio jurídico donde la defensa puede resultar más eficaz: una argumentación bien construida, respaldada en documentación actualizada y en la conducta diligente de la empresa, puede traducirse en una reducción sustancial de la sanción propuesta o, en algunos casos, en el archivo del procedimiento.
El Tribunal Supremo ha consolidado el criterio de que la colaboración activa y la corrección voluntaria de los incumplimientos durante el procedimiento son circunstancias que la autoridad de control debe valorar al graduar la sanción. Esto no es solo teoría: en nuestra práctica hemos observado que las empresas que acreditan haber adoptado medidas correctoras antes de la resolución final obtienen resultados notablemente mejores que aquellas que esperan a la sanción para reaccionar.
La resolución de la AEPD puede archivar el expediente, apercibir a la empresa o imponer una sanción. Frente a la resolución, la empresa dispone de vías de revisión: primero en vía administrativa –si el procedimiento lo permite– y posteriormente en la vía contencioso-administrativa. Los plazos para ejercitar estas acciones son breves y su incumplimiento tiene consecuencias irreversibles.
Conviene plantearse una pregunta directa: ¿tiene su empresa hoy la documentación necesaria para responder a un requerimiento de la AEPD en el plazo que fija la normativa? Si la respuesta no es un sí inequívoco, el riesgo es real y presente.
Una empresa de tecnología aplicada al sector salud, con sede en España y operaciones en varias comunidades autónomas, recibió un requerimiento de la AEPD tras la denuncia de un ex empleado. La denuncia señalaba un acceso indebido a datos de pacientes por parte de personal sin autorización. La empresa trataba, entre otros, datos de salud de categoría especialmente protegida.
Cuando el requerimiento llegó a dirección, la situación era la siguiente: existía una política de privacidad publicada en la web, algunos contratos de encargados de tratamiento firmados, y una formación inicial de personal realizada dos años atrás. Sin embargo, no había un registro de actividades de tratamiento actualizado, no existía un protocolo formal de gestión de brechas y los registros de acceso a los sistemas no se conservaban de forma sistemática. Tampoco había un canal de denuncias interno operativo.
El equipo de Velarde & Vidal fue incorporado al proceso desde el momento en que la empresa recibió el requerimiento inicial. Las actuaciones se organizaron en tres líneas simultáneas.
La primera línea fue la respuesta inmediata al requerimiento. Se recopiló y ordenó toda la documentación existente, se identificaron las carencias y se redactó una respuesta que, siendo completa y veraz, situaba los hechos en su contexto real: la brecha era de alcance limitado, habitual en el sector, y no había datos exfiltrados. La comunicación con la AEPD fue colaborativa desde el primer momento.
La segunda línea fue la corrección acelerada de las deficiencias. En paralelo al procedimiento, se implantó un registro de actividades de tratamiento completo, se activó un protocolo de gestión de brechas de seguridad, se renovaron los contratos con encargados y se formó al personal en los procedimientos actualizados. Todo ello quedó documentado con fecha cierta.
La tercera línea fue la preparación de las alegaciones. Se argumentó que la empresa había adoptado, desde la recepción del requerimiento, un programa de corrección integral. Se acreditó la buena fe, la ausencia de daño material a los afectados y la diligencia posterior. Asimismo, se incorporó al expediente la evidencia del nuevo protocolo de notificación de brechas, alineado con el requisito de comunicación a la AEPD en el plazo de setenta y dos horas desde que se tiene conocimiento de la brecha.
El procedimiento concluyó sin sanción económica. La AEPD emitió un apercibimiento con requerimiento de medidas correctoras, todas ellas ya implantadas en el momento de la resolución. La empresa no fue sancionada pecuniariamente.
¿Cuál fue el factor determinante? No fue la ausencia de incumplimiento inicial, que existía. Fue la respuesta organizada, documentada y proactiva. La AEPD valora la corrección voluntaria. Lo que el expediente no puede mostrar es omisión, ocultación o pasividad.
Tres lecciones se desprenden de este caso. Primera: la documentación de cumplimiento no puede construirse cuando llega la inspección; debe estar viva antes. Segunda: la colaboración con la autoridad desde el primer requerimiento mejora el resultado de forma consistente. Tercera: el asesoramiento jurídico temprano no es un coste adicional; es la diferencia entre un apercibimiento y una sanción de consecuencias relevantes para el negocio.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. El patrón que observamos en los procedimientos sancionadores es siempre el mismo: quienes llegan con documentación, con un programa activo y con disposición colaborativa obtienen resoluciones que permiten continuar operando sin el impacto reputacional y económico de una sanción pública.
La pregunta que con mayor frecuencia nos plantean los directores generales y los responsables legales de empresas medianas es cuál es el nivel mínimo de preparación exigible. La respuesta no admite una cifra única, pero sí un conjunto de elementos que la práctica inspectora de la AEPD ha consolidado como requisitos verificables.
Un programa de adaptación al RGPD que contemple todos estos elementos no es un proyecto puntual. Es un sistema de cumplimiento continuo. Las empresas que lo tratan como un proyecto cerrado suelen descubrir, en el peor momento, que el sistema se ha quedado obsoleto.
Para profundizar en el modelo de cumplimiento aplicable a su organización, puede consultar nuestra práctica de Protección de datos y compliance, donde desarrollamos los elementos del programa y las vías de implantación.
Existe una percepción extendida entre las empresas medianas: el asesoramiento jurídico en protección de datos se contrata cuando llega la inspección o cuando se produce una brecha. Esta lógica tiene un coste oculto enorme.
Cuando el asesoramiento se incorpora después de que la AEPD ha abierto expediente, el margen de maniobra es reducido. La documentación existente es la que es; no puede mejorarse retroactivamente con credibilidad. Las medidas adoptadas tras el inicio del procedimiento se valoran, pero mucho menos que las medidas preexistentes. Y el tiempo disponible para construir una defensa sólida es el que el procedimiento permite, no el que la empresa necesita.
El asesoramiento temprano actúa en tres planos distintos. En primer lugar, identifica los tratamientos de mayor riesgo antes de que sean objeto de inspección, permitiendo corregirlos sin presión procedimental. En segundo lugar, construye la capa documental que convierte el cumplimiento real en cumplimiento demostrable. En tercer lugar, prepara a la organización para responder con rapidez y coherencia cuando el requerimiento llegue.
En nuestra experiencia, el coste de un programa de cumplimiento preventivo es sistemáticamente inferior al coste de gestionar un procedimiento sancionador, incluidos los recursos y la eventual sanción. A esto hay que añadir el coste reputacional, especialmente relevante en sectores regulados como salud, finanzas o tecnología, donde la publicación de una resolución sancionadora de la AEPD tiene un impacto directo en la relación con clientes y socios.
El compliance penal, además, tiene una interacción directa con el programa de protección de datos. Cuando la empresa puede acreditar que disponía de un sistema de control y que la brecha se produjo a pesar de ese sistema, la posición de los administradores y directivos mejora sustancialmente frente a una eventual responsabilidad penal. Para entender esta dimensión en profundidad, el análisis sobre tecnología y software en el ámbito del compliance penal desarrolla las implicaciones específicas para empresas tecnológicas y operadoras de datos.
En nuestra práctica hemos identificado un conjunto recurrente de errores que transforman situaciones manejables en procedimientos de resultado incierto. Conocerlos es, en sí mismo, una herramienta de gestión del riesgo.
La primera reacción de muchas empresas ante un requerimiento de la AEPD es delegarlo al responsable de TI o al responsable de cumplimiento interno. Ambos tienen información relevante, pero ninguno de los dos está en posición de evaluar las implicaciones jurídicas de cada afirmación que la empresa incluya en su respuesta. Una afirmación técnicamente correcta puede ser jurídicamente perjudicial si se formula sin el contexto adecuado.
La AEPD contrasta la coherencia entre los documentos aportados. Un registro de tratamientos que no coincide con los contratos de encargados, o una política de privacidad que menciona tratamientos no documentados en el registro, genera sospechas sobre la fiabilidad del conjunto del programa. La coherencia interna de la documentación es un elemento de defensa en sí mismo.
La notificación de brechas de seguridad a la AEPD debe realizarse en el plazo de setenta y dos horas desde que el responsable tiene conocimiento de ella. Incumplir este plazo no solo genera una infracción adicional: debilita toda la argumentación posterior sobre la diligencia de la empresa. Un protocolo de detección y notificación de brechas no es una formalidad; es un elemento central de la defensa.
El cumplimiento normativo en materia de datos no se "hace" una vez. Los tratamientos cambian, los proveedores cambian, la normativa evoluciona y las guías de la AEPD se actualizan. Una empresa que implantó su programa en 2018 y no lo ha revisado desde entonces opera, a todos los efectos prácticos, sin programa de cumplimiento actualizado.
Un porcentaje relevante de los procedimientos sancionadores de la AEPD se inician por denuncia de un empleado, ex empleado o cliente. La existencia de un canal de denuncias interno operativo, que permita resolver internamente las quejas relacionadas con el tratamiento de datos antes de que lleguen a la autoridad, es tanto una exigencia del compliance penal como una herramienta de prevención en el ámbito de protección de datos.
El siguiente listado refleja los elementos que la AEPD verifica con mayor frecuencia en sus actuaciones inspectoras. No es exhaustivo, pero cubre los focos de mayor riesgo para una empresa mediana que trata datos personales en el desarrollo ordinario de su actividad.
Si desea contrastar el estado de su programa actual con las exigencias de la normativa vigente, nuestra comparativa sobre auditoría interna frente a auditoría externa de cumplimiento proporciona criterios de decisión para elegir el modelo de evaluación más adecuado a su organización.
La defensa ante una inspección de la AEPD tiene conexión directa con otras áreas de cumplimiento que la empresa debe gestionar de forma integrada. El compliance penal determina la responsabilidad de los administradores cuando se produce una brecha o una infracción de datos; un programa de protección de datos bien construido es también un elemento del modelo de exención de responsabilidad penal corporativa. Por otra parte, la gestión del canal de denuncias y la implantación de políticas de privacidad para empleados conectan directamente con el ámbito laboral, especialmente en lo relativo al tratamiento de datos de trabajadores y a la vigilancia digital en el entorno de trabajo.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.