Un correu o una notificació de l'Agència Espanyola de Protecció de Dades (AEPD) sol generar inquietud en qualsevol empresa. La primera reacció és pensar en el pitjor. Convé començar pel contrari: rebre una denúncia per protecció de dades —el que la normativa anomena amb precisió una reclamació— no és una sanció, sinó el punt de partida d'un procediment en què la teva organització pot explicar-se i demostrar com tracta les dades. Aquesta guia aclareix què significa, com arriba, quines fases té i com respondre des de l'òptica de l'empresa que la rep.
En 15 segons
- La "denúncia" és el terme col·loquial; el legal és reclamació, un dret de tot interessat (art. 77 RGPD).
- Que l'AEPD et doni trasllat d'una reclamació no és una sanció ni prejutja el resultat.
- La millor posició és col·laborar i demostrar responsabilitat proactiva (art. 5.2 RGPD).
- Tenir la documentació en regla —RAT, clàusules, contractes, protocol de bretxes— permet respondre amb solvència.
"Denúncia" o "reclamació": el terme correcte
En el llenguatge quotidià gairebé tothom diu "m'han denunciat a l'AEPD" o "posaré una denúncia per protecció de dades". És una expressió comprensible, però jurídicament imprecisa. El terme que fa servir el Reglament General de Protecció de Dades no és denúncia, sinó reclamació.
L'art. 77 del RGPD reconeix a tot interessat el dret a presentar una reclamació davant una autoritat de control —a Espanya, l'AEPD— quan consideri que el tractament de les seves dades personals infringeix la normativa. Aquest és el mecanisme. No es tracta d'un procés penal ni d'una acusació en sentit estricte: és l'exercici d'un dret de la persona dins d'un procediment administratiu.
La distinció importa perquè canvia el marc mental amb què l'empresa ha d'afrontar l'assumpte. Una reclamació no pressuposa culpa. És una manifestació que algú —un client, un empleat, un usuari, un antic contacte— entén que alguna cosa en el tractament de les seves dades no ha estat correcta, i trasllada aquesta percepció a l'autoritat. A partir d'aquí s'obre un procés en què l'organització té l'oportunitat d'explicar com actua i d'aportar la documentació que ho avala.
Com arriba una reclamació a la teva empresa
L'interessat presenta la seva reclamació directament davant l'AEPD, normalment a través de la seu electrònica de l'Agència. La teva empresa no intervé en aquest primer moment: se n'assabenta després, quan l'autoritat de control decideix donar trasllat de l'assumpte.
Aquest trasllat és la via habitual per la qual una organització descobreix que existeix una reclamació. L'AEPD comunica a l'empresa que s'ha rebut una reclamació relacionada amb els seus tractaments i, sovint, li ofereix la possibilitat de pronunciar-se, aportar informació o donar resposta a la qüestió plantejada. En organitzacions que compten amb un Delegat de Protecció de Dades (DPD), l'Agència pot canalitzar la comunicació a través d'aquesta figura, que actua com a punt de contacte.
Convé subratllar un matís que redueix molta ansietat: rebre aquesta comunicació no significa que existeixi ja una sanció ni que el procediment hagi d'acabar necessàriament en una. És una fase d'intercanvi d'informació. En força casos, quan l'empresa respon de manera adequada, documentada i resolent la situació de fons, l'assumpte es pot reconduir sense majors conseqüències.
Les fases del procediment davant l'AEPD
El procediment que segueix una reclamació està regulat en la normativa espanyola de protecció de dades (LOPDGDD) i s'articula, a grans trets, en diverses etapes. Sense entrar en tecnicismes, així és com sol desenvolupar-se des de la perspectiva de l'empresa que rep l'assumpte.
| Fase | Què passa | Què pot fer l'empresa |
|---|---|---|
| Presentació | L'interessat presenta la seva reclamació davant l'AEPD (art. 77 RGPD). L'empresa encara no intervé. | — |
| Trasllat | L'AEPD comunica a l'empresa l'existència de la reclamació i, sovint, li dona l'oportunitat de respondre. | Analitzar el cas, recopilar la documentació i donar una resposta clara i en termini. |
| Valoració | L'Agència valora la reclamació i la informació rebuda per decidir com continuar. | Aportar la informació que aclareixi els fets i, si escau, esmenar la situació de fons. |
| Actuacions prèvies d'investigació | L'AEPD pot recaptar informació i requerir documentació en exercici dels seus poders d'investigació (art. 58 RGPD). | Atendre els requeriments dins del termini indicat i col·laborar de manera diligent. |
| Resolució | L'Agència resol. El procediment pot acabar de diferents maneres segons el que s'hagi acreditat. | Revisar la resolució i aplicar les mesures o millores que corresponguin. |
La durada i els terminis concrets de cada tràmit els fixa la normativa de procediment administratiu i poden variar segons la complexitat del cas. El rellevant per a l'empresa no és memoritzar cada etapa, sinó entendre la lògica de fons: hi ha diversos moments en què l'organització pot intervenir, explicar-se i aportar proves. El procediment està dissenyat precisament perquè això passi.
Què revisar si reps una reclamació
Quan arriba la comunicació de l'AEPD, la reacció més útil és ordenada, no impulsiva. Abans de respondre convé reconstruir amb calma què va passar i quina documentació avala l'actuació de l'empresa. Aquest checklist ajuda a preparar una resposta sòlida:
- Identifica el tractament afectat. A quina activitat es refereix la reclamació: una comunicació comercial, un exercici de drets no atès, una cessió de dades, una possible bretxa? Localitza'l al teu Registre d'Activitats de Tractament.
- Reuneix la base jurídica. Comprova sobre quina base legal (art. 6 RGPD) es recolza aquest tractament i si estava correctament documentada.
- Revisa la informació lliurada a l'interessat. Se li va facilitar la clàusula informativa de l'art. 13 RGPD en el primer contacte? Era clara i accessible?
- Verifica els contractes amb tercers. Si va intervenir un proveïdor o programari, confirma que existeix el contracte d'encàrrec del tractament (art. 28 RGPD) i quines obligacions assumia.
- Comprova l'historial de la relació. Correus, sol·licituds de drets, respostes donades: reconstrueix el rastre del que ha passat amb dates.
- Consulta el DPD si en tens. És la figura que coordina la resposta i actua com a interlocutor amb l'Agència.
- Respon en termini i per escrit. Amb un to serè, factual i recolzat en documentació. No deixis mai sense atendre un requeriment.
L'objectiu d'aquesta revisió no és preparar una defensa a la desesperada, sinó comprovar si l'empresa pot acreditar que tracta les dades de manera ordenada. Quan la resposta és afirmativa —perquè la documentació existeix i és coherent—, respondre a l'AEPD deixa de ser un problema i passa a ser un tràmit manejable.
La documentació en regla: la teva millor posició
La diferència entre afrontar una reclamació amb seguretat o amb angoixa gairebé sempre es redueix a un factor: si l'organització té, o no, la seva documentació de protecció de dades al dia. No és un detall formal. És la prova tangible que l'empresa es pren de debò el tractament de les dades.
Els documents que sostenen aquesta posició són els de sempre, i per això convé tenir-los vius abans que arribi qualsevol comunicació:
- El Registre d'Activitats de Tractament (RAT), que inventaria quines dades maneja l'empresa, amb quina finalitat i durant quant de temps (art. 30 RGPD).
- Les clàusules informatives de l'art. 13, lliurades a clients, empleats i usuaris en el primer contacte.
- Els contractes amb encarregats del tractament (art. 28) que regulen la relació amb proveïdors i programari.
- La política de seguretat amb les mesures tècniques i organitzatives de l'art. 32.
- El protocol de gestió de bretxes, que acredita com actua l'empresa davant d'un incident de seguretat.
Quan aquests documents existeixen, estan actualitzats i reflecteixen l'activitat real, respondre a l'AEPD consisteix a aportar el que ja es té. Quan no existeixen —o descriuen una empresa que ja no és l'actual—, la resposta es converteix en una cursa contrarellotge per reconstruir a posteriori el que hauria d'haver estat fet des del principi. La documentació en regla no és burocràcia: és el que permet parlar amb l'autoritat des d'una posició ordenada.
"Una reclamació davant l'AEPD no es guanya amb por ni amb silenci, s'afronta amb documentació. L'empresa que pot ensenyar el seu RAT, les seves clàusules i els seus contractes al dia ja ha respost la meitat de les preguntes abans que se les facin."
Mario P. Talamillo · Soci director, Certix®
Col·laborar i demostrar responsabilitat proactiva
El RGPD es construeix sobre el principi de responsabilitat proactiva de l'art. 5.2: no n'hi ha prou amb complir la normativa, cal ser capaç de demostrar-ho. Una reclamació és, en el fons, el moment en què aquest principi es posa a prova. I l'actitud de l'empresa pesa tant com la documentació.
Col·laborar amb l'autoritat de control és sempre la millor posició. L'AEPD disposa de poders d'investigació (art. 58 RGPD) per recaptar informació i examinar els tractaments, i atendre les seves comunicacions dins dels terminis indicats forma part del deure de cooperació de qualsevol responsable. Respondre de manera diligent, amb transparència i aportant el que se sol·licita, transmet exactament el missatge que el RGPD espera d'una organització: que tracta les dades amb serietat i que assumeix la seva responsabilitat.
El plantejament contrari —ignorar els requeriments, respondre tard o de manera evasiva— mai no millora la situació; l'empitjora. Davant d'això, una empresa que reconeix el problema quan n'hi ha, el corregeix, documenta la correcció i el comunica amb claredat està fent el correcte i, a més, demostrant la responsabilitat proactiva que la norma exigeix. Aquesta és la posició més sòlida en què pot situar-se qualsevol organització.
Com t'acompanya Certix
Rebre una reclamació no és agradable, però és perfectament gestionable quan l'empresa té la casa en ordre i compta amb qui l'orienti. A Certix acompanyem les organitzacions en els dos fronts: preparant per endavant la documentació que sosté la responsabilitat proactiva —RAT, clàusules, contractes amb proveïdors, política de seguretat i protocol de bretxes— i ajudant a articular una resposta ordenada quan l'AEPD trasllada un assumpte.
L'enfocament és el mateix que apliquem a tota la nostra feina: anàlisi real de l'activitat de l'empresa, sense plantilles genèriques, i tracte directe amb un expert en protecció de dades. Si vols revisar en quin punt està la teva organització abans que arribi qualsevol comunicació, aquest és el millor moment per fer-ho.
Preguntes freqüents
Rebre una reclamació davant l'AEPD significa que la meva empresa ja està sancionada?
No. Una reclamació és només l'exercici del dret que l'art. 77 RGPD reconeix a qualsevol persona per adreçar-se a l'autoritat de control. Que l'AEPD traslladi una reclamació a la teva empresa no equival a una sanció ni prejutja el resultat: obre un procés en què l'organització pot explicar com tracta les dades i aportar la seva documentació. Molts procediments es resolen sense sanció quan l'empresa acredita que actua de manera correcta i col·labora.
És el mateix una denúncia que una reclamació en protecció de dades?
En el llenguatge quotidià es parla de denúncia, però el terme legal del RGPD és reclamació. L'art. 77 RGPD reconeix a tot interessat el dret a presentar una reclamació davant l'autoritat de control (a Espanya, l'AEPD) quan considera que el tractament de les seves dades infringeix la normativa. La diferència no és només terminològica: emmarca l'assumpte com un dret de l'interessat dins d'un procediment administratiu, no com un procés penal.
Quina documentació convé tenir preparada per respondre bé?
La documentació que sosté la responsabilitat proactiva de l'art. 5.2 RGPD: el Registre d'Activitats de Tractament (art. 30), les clàusules informatives de l'art. 13 que es lliuren als interessats, els contractes amb encarregats del tractament (art. 28), la política de seguretat i el protocol de gestió de bretxes. Tenir aquesta documentació al dia i coherent amb l'activitat real permet respondre a l'AEPD amb precisió i demostrar que l'organització tracta les dades de manera ordenada.
He de col·laborar amb l'AEPD o és millor no respondre?
Col·laborar és la millor posició. L'autoritat de control disposa de poders d'investigació (art. 58 RGPD) per recaptar informació, i atendre les seves comunicacions dins dels terminis indicats forma part del deure de cooperació. Respondre de manera serena, documentada i en termini, aportant la informació que se sol·licita, demostra responsabilitat proactiva i situa l'empresa en la posició més sòlida. Ignorar els requeriments mai no millora la situació.
En resum
Una denúncia per protecció de dades —una reclamació, en termes de l'art. 77 RGPD— no és una sentència, sinó l'inici d'un procediment en què la teva empresa té veu. Que l'AEPD doni trasllat d'un assumpte no prejutja res: obre la porta a explicar-se. L'organització que arriba a aquest moment amb la seva documentació en regla i amb voluntat de col·laborar demostra la responsabilitat proactiva de l'art. 5.2 i se situa en la posició més sòlida possible. El millor moment per preparar aquesta posició és abans que arribi la comunicació.
Lectures relacionades
- Registre d'Activitats de Tractament (RAT) — el document que inventaria tots els teus tractaments.
- Bretxa de seguretat: què fer — com actuar davant d'un incident que afecta dades personals.
- Consultoria de protecció de dades de Certix — tracte directe amb un expert, sense plantilles genèriques.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.
La teva empresa està preparada per respondre a una reclamació?
A Certix posem al dia la teva documentació de protecció de dades i t'acompanyem si l'AEPD trasllada un assumpte a la teva organització.
Parlar amb un consultor