Datu-babeseko salaketa: zer egin zure enpresak AEPDren aurrean erreklamazio bat jasotzen badu

Datuak Babesteko Espainiako Agentziaren (AEPD) mezu edo jakinarazpen batek kezka sortu ohi du edozein enpresatan. Lehen erreakzioa okerrena pentsatzea da. Kontrakotik hastea komeni da: datu-babeseko salaketa bat —araudiak zehaztasunez erreklamazio deitzen duena— jasotzea ez da zigor bat, baizik eta prozedura baten abiapuntua, non zure erakundeak azaldu eta datuak nola tratatzen dituen froga dezakeen. Gida honek argitzen du zer esan nahi duen, nola iristen den, zer fase dituen eta nola erantzun jasotzen duen enpresaren ikuspegitik.

"Salaketa" ala "erreklamazioa": termino zuzena

Eguneroko hizkeran ia mundu guztiak esaten du "AEPDra salatu naute" edo "datu-babeseko salaketa bat jarriko dut". Adierazpen ulergarria da, baina juridikoki inprezisoa. Datuak Babesteko Erregelamendu Orokorrak erabiltzen duen terminoa ez da salaketa, baizik eta erreklamazioa.

RGPDren 77. art.ak interesatu orori aitortzen dio kontrol-agintaritza baten aurrean erreklamazioa aurkezteko eskubidea —Espainian, AEPD— bere datu pertsonalen tratamenduak araudia urratzen duela uste duenean. Hori da mekanismoa. Ez da prozesu penal bat, ezta zentzu hertsian akusazio bat ere: pertsonaren eskubide baten erabilera da prozedura administratibo baten barruan.

Bereizketak garrantzia du, enpresak gaia aurre egiteko izan behar duen kokaera mentala aldatzen baitu. Erreklamazio batek ez du errua aurreikusten. Norbaitek —bezero batek, langile batek, erabiltzaile batek, aspaldiko kontaktu batek— bere datuen tratamenduan zerbait zuzena izan ez dela ulertzen duela eta pertzepzio hori agintaritzari helarazten diola erakusten du. Hortik aurrera prozesu bat irekitzen da, non erakundeak nola jokatzen duen azaltzeko eta hura babesten duen dokumentazioa aurkezteko aukera duen.

Nola iristen den erreklamazio bat zure enpresara

Interesatuak bere erreklamazioa zuzenean AEPDren aurrean aurkezten du, normalean Agentziaren egoitza elektronikoaren bidez. Zure enpresak ez du lehen une horretan parte hartzen: geroago jakiten du, kontrol-agintaritzak gaia helaraztea erabakitzen duenean.

Helarazte hori da erakunde batek erreklamazio bat dagoela deskubritzeko ohiko bidea. AEPDk enpresari jakinarazten dio bere tratamenduei lotutako erreklamazio bat jaso dela eta, sarritan, hitza hartzeko, informazioa aurkezteko edo planteatutako gaiari erantzuteko aukera eskaintzen dio. Datuen Babeseko Ordezkari (DBO) bat duten erakundeetan, Agentziak figura horren bidez bidera dezake komunikazioa, kontaktu-puntu gisa jarduten baitu.

Antsietate asko murrizten duen ñabardura bat azpimarratzea komeni da: komunikazio hori jasotzeak ez du esan nahi jada zigor bat dagoenik, ezta prozedura ezinbestean zigor batekin amaituko denik ere. Informazioa trukatzeko fase bat da. Kasu askotan, enpresak modu egokian, dokumentatuan eta funtsezko egoera konponduz erantzuten duenean, gaia ondorio handiagorik gabe bideratu daiteke.

AEPDren aurreko prozeduraren faseak

Erreklamazio baten ondorengo prozedura Espainiako datu-babeseko araudian (LOPDGDD) arautua dago eta, oro har, hainbat etapatan egituratzen da. Teknizismoetan sartu gabe, honela garatu ohi da gaia jasotzen duen enpresaren ikuspegitik.

Tramite bakoitzaren iraupena eta epe konkretuak prozedura administratiboko araudiak finkatzen ditu eta kasuaren konplexutasunaren arabera alda daitezke. Enpresarentzat garrantzitsuena ez da etapa bakoitza buruz ikastea, baizik eta funtsezko logika ulertzea: hainbat une daude non erakundeak parte hartu, azaldu eta frogak aurkez ditzakeen. Prozedura hori gertatzeko diseinatuta dago hain zuzen ere.

Zer berrikusi erreklamazio bat jasotzen baduzu

AEPDren komunikazioa iristen denean, erreakziorik baliagarriena antolatua da, ez inpultsiboa. Erantzun aurretik lasaitasunez berreraikitzea komeni da zer gertatu zen eta zer dokumentaziok babesten duen enpresaren jarduna. Checklist honek erantzun sendo bat prestatzen laguntzen du:

• Identifikatu eragindako tratamendua. Zeri egiten dio erreferentzia erreklamazioak: merkataritza-komunikazio bati, artatu gabeko eskubide-ariketa bati, datu-lagapen bati, urraketa posible bati? Kokatu zure Tratamendu Jardueren Erregistroan.
• Bildu oinarri juridikoa. Egiaztatu zein oinarri legalen gainean (RGPD 6. art.) sostengatzen den tratamendu hori eta ondo dokumentatuta zegoen.
• Berrikusi interesatuari emandako informazioa. Eman al zitzaion RGPD 13. art.aren klausula informatzailea lehen harremanean? Argia eta eskuragarria al zen?
• Egiaztatu hirugarrenekiko kontratuak. Hornitzaile edo software batek parte hartu bazuen, baieztatu tratamenduaren enkarguaren kontratua dagoela (RGPD 28. art.) eta zer betebehar hartzen zituen bere gain.
• Egiaztatu harremanaren historia. Mezuak, eskubide-eskaerak, emandako erantzunak: berreraiki gertatutakoaren arrastoa datekin.
• Kontsultatu DBOari baldin baduzu. Erantzuna koordinatzen duen eta Agentziarekin solaskide gisa jarduten duen figura da.
• Erantzun epearen barruan eta idatziz. Tonu lasai, faktual eta dokumentazioan oinarritutakoa. Inoiz ez utzi errekerimendu bat artatu gabe.

Berrikuspen honen helburua ez da azken orduko defentsa bat prestatzea, baizik eta egiaztatzea enpresak datuak modu antolatuan tratatzen dituela froga dezakeen. Erantzuna baiezkoa denean —dokumentazioa dagoelako eta koherentea delako—, AEPDri erantzutea arazo bat izateari uzten dio eta tramite kudeagarri bat bihurtzen da.

Dokumentazioa egunean: zure posiziorik onena

Erreklamazio bati segurtasunez edo larritasunez aurre egitearen arteko aldea ia beti faktore batera murrizten da: erakundeak bere datu-babeseko dokumentazioa egunean duen ala ez. Ez da xehetasun formal bat. Enpresak datuen tratamendua serio hartzen duela frogatzen duen froga ukigarria da.

Kokaera hori sostengatzen duten dokumentuak beti berdinak dira, eta horregatik komeni da bizirik izatea edozein komunikazio iritsi aurretik:

• Tratamendu Jardueren Erregistroa (TJE), enpresak zer datu erabiltzen dituen, zer helbururekin eta zenbat denboraz inbentariatzen duena (RGPD 30. art.).
• 13. art.aren klausula informatzaileak, bezero, langile eta erabiltzaileei lehen harremanean emandakoak.
• Tratamenduaren enkargatzaileekiko kontratuak (28. art.) hornitzaile eta softwarearekiko harremana arautzen dutenak.
• 32. art.aren neurri tekniko eta antolakuntzakoekin segurtasun-politika.
• urraketak kudeatzeko protokoloa, enpresak segurtasun-gertakari baten aurrean nola jokatzen duen egiaztatzen duena.

Dokumentu horiek existitzen direnean, eguneratuta daudenean eta benetako jarduera islatzen dutenean, AEPDri erantzutea jada dagoena aurkeztea da. Existitzen ez direnean —edo jada oraingoa ez den enpresa bat deskribatzen dutenean—, erantzuna hasieratik egin behar zena a posteriori berreraikitzeko denboraren aurkako lasterketa bihurtzen da. Dokumentazioa egunean izatea ez da burokrazia: agintaritzarekin kokaera antolatu batetik hitz egiteko aukera ematen duena da.

Lankidetzan aritu eta erantzukizun proaktiboa frogatu

RGPDa 5.2 art.aren erantzukizun proaktiboaren printzipioaren gainean eraikitzen da: ez da nahikoa araudia betetzea, hori frogatzeko gai izan behar da. Erreklamazio bat da, funtsean, printzipio hori probara jartzen den unea. Eta enpresaren jarrerak dokumentazioak beste pisu du.

Kontrol-agintaritzarekin lankidetzan aritzea beti da posiziorik onena. AEPDk ikerketa-ahalmenak ditu (RGPD 58. art.) informazioa biltzeko eta tratamenduak aztertzeko, eta bere komunikazioei adierazitako epeen barruan erantzutea edozein arduradunen lankidetza-betebeharraren parte da. Modu arduratsuan, gardentasunez eta eskatzen dena aurkeztuz erantzuteak RGPDak erakunde batengandik espero duen mezua transmititzen du zehazki: datuak seriotasunez tratatzen dituela eta bere erantzukizuna bere gain hartzen duela.

Kontrako planteamenduak —errekerimenduei jaramonik ez egitea, berandu edo modu iheskorrean erantzutea— inoiz ez du egoera hobetzen; okertu egiten du. Horren aurrean, arazo bat dagoenean aitortzen duen, zuzentzen duen, zuzenketa dokumentatzen duen eta argitasunez komunikatzen duen enpresak zuzen jokatzen ari da eta, gainera, arauak eskatzen duen erantzukizun proaktiboa frogatzen ari da. Hori da edozein erakundek koka dezakeen posiziorik sendoena.

Nola laguntzen dizun Certix-ek

Erreklamazio bat jasotzea ez da atsegina, baina erabat kudeagarria da enpresak bere etxea ordenatuta duenean eta orientatzen duen norbait duenean. Certix-en erakundeei bi fronteetan laguntzen diegu: aldez aurretik erantzukizun proaktiboa sostengatzen duen dokumentazioa prestatuz —TJE, klausulak, hornitzaileekiko kontratuak, segurtasun-politika eta urraketen protokoloa— eta erantzun antolatu bat artikulatzen lagunduz AEPDk gai bat helarazten duenean.

Ikuspegia gure lan guztiari aplikatzen dioguna da: enpresaren jardueraren benetako azterketa, txantiloi generikorik gabe, eta trato zuzena datu-babeseko aditu batekin. Zure erakundea zer puntutan dagoen berrikusi nahi baduzu edozein komunikazio iritsi aurretik, hori da egiteko unerik onena.

Ohiko galderak

AEPDren aurrean erreklamazio bat jasotzeak esan nahi al du nire enpresa jada zigortuta dagoela?

Ez. Erreklamazio bat RGPDren 77. art.ak edozein pertsonari kontrol-agintaritzara jotzeko aitortzen dion eskubidearen erabilera baino ez da. AEPDk erreklamazio bat zure enpresari helaraztea ez da zigor bat, ezta emaitza aurreikustea ere: prozesu bat irekitzen du, non erakundeak azal dezakeen nola tratatzen dituen datuak eta bere dokumentazioa aurkez dezakeen. Prozedura asko zigorrik gabe ebazten dira enpresak modu zuzenean jokatzen duela eta lankidetzan aritzen dela egiaztatzen duenean.

Salaketa eta erreklamazioa gauza bera al dira datu-babesean?

Eguneroko hizkeran salaketaz hitz egiten da, baina RGPDren lege-terminoa erreklamazioa da. RGPDren 77. art.ak interesatu orori aitortzen dio kontrol-agintaritzaren (Espainian, AEPD) aurrean erreklamazioa aurkezteko eskubidea, bere datuen tratamenduak araudia urratzen duela uste duenean. Aldea ez da soilik terminologikoa: gaia interesatuaren eskubide gisa kokatzen du prozedura administratibo baten barruan, ez prozesu penal gisa.

Zer dokumentazio komeni da prest izatea ondo erantzuteko?

RGPDren 5.2 art.aren erantzukizun proaktiboa sostengatzen duen dokumentazioa: Tratamendu Jardueren Erregistroa (30. art.), interesatuei ematen zaizkien 13. art.aren klausula informatzaileak, tratamenduaren enkargatzaileekiko kontratuak (28. art.), segurtasun-politika eta urraketak kudeatzeko protokoloa. Dokumentazio hori egunean eta benetako jarduerarekin koherentea izateak AEPDri zehaztasunez erantzuteko eta erakundeak datuak modu antolatuan tratatzen dituela frogatzeko aukera ematen du.

AEPDrekin lankidetzan aritu behar dut ala hobe da ez erantzutea?

Lankidetzan aritzea da jarrerarik onena. Kontrol-agintaritzak ikerketa-ahalmenak ditu (RGPD 58. art.) informazioa biltzeko, eta bere komunikazioei adierazitako epeen barruan erantzutea lankidetza-betebeharraren parte da. Modu lasaian, dokumentatuan eta epearen barruan erantzuteak, eskatzen den informazioa emanez, erantzukizun proaktiboa frogatzen du eta enpresa posiziorik sendoenean kokatzen du. Errekerimenduei jaramonik ez egiteak inoiz ez du egoera hobetzen.

Laburbilduz

Datu-babeseko salaketa bat —erreklamazio bat, RGPDren 77. art.aren terminoetan— ez da epai bat, baizik eta prozedura baten hasiera, non zure enpresak ahotsa duen. AEPDk gai bat helaraztea ez da ezer aurreikustea: azaltzeko atea irekitzen du. Une horretara bere dokumentazioa egunean eta lankidetzan aritzeko borondatearekin iristen den erakundeak 5.2 art.aren erantzukizun proaktiboa frogatzen du eta koka daitekeen posiziorik sendoenean jartzen da. Kokaera hori prestatzeko unerik onena komunikazioa iritsi aurretik da.

Irakurketa lotuak

• Tratamendu Jardueren Erregistroa (TJE) — zure tratamendu guztiak inbentariatzen dituen dokumentua.
• Segurtasun-urraketa: zer egin — nola jokatu datu pertsonalei eragiten dien gertakari baten aurrean.
• Certix-en datu-babeseko aholkularitza — trato zuzena aditu batekin, txantiloi generikorik gabe.

---

Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.