Denuncia por protección de datos: que facer se a túa empresa recibe unha reclamación ante a AEPD

Un correo ou unha notificación da Axencia Española de Protección de Datos (AEPD) adoita xerar inquietude en calquera empresa. A primeira reacción é pensar no peor. Convén empezar polo contrario: recibir unha denuncia por protección de datos —o que a normativa chama con precisión unha reclamación— non é unha sanción, senón o punto de partida dun procedemento no que a túa organización pode explicarse e demostrar como trata os datos. Esta guía aclara que significa, como chega, que fases ten e como responder desde a óptica da empresa que a recibe.

"Denuncia" ou "reclamación": o termo correcto

Na linguaxe cotiá case todo o mundo di "denunciáronme á AEPD" ou "vou poñer unha denuncia por protección de datos". É unha expresión comprensible, pero xuridicamente imprecisa. O termo que utiliza o Regulamento Xeral de Protección de Datos non é denuncia, senón reclamación.

O art. 77 do RGPD recoñece a todo interesado o dereito a presentar unha reclamación ante unha autoridade de control —en España, a AEPD— cando considere que o tratamento dos seus datos persoais infrinxe a normativa. Ese é o mecanismo. Non se trata dun proceso penal nin dunha acusación en sentido estrito: é o exercicio dun dereito da persoa dentro dun procedemento administrativo.

A distinción importa porque cambia o marco mental co que a empresa debe afrontar o asunto. Unha reclamación non presupón culpa. É unha manifestación de que alguén —un cliente, un empregado, un usuario, un antigo contacto— entende que algo no tratamento dos seus datos non foi correcto, e traslada esa percepción á autoridade. A partir de aí ábrese un proceso no que a organización ten a oportunidade de explicar como actúa e de achegar a documentación que o respalda.

Como chega unha reclamación á túa empresa

O interesado presenta a súa reclamación directamente ante a AEPD, normalmente a través da sede electrónica da Axencia. A túa empresa non intervén nese primeiro momento: enteirase despois, cando a autoridade de control decide dar traslado do asunto.

Ese traslado é a vía habitual pola que unha organización descobre que existe unha reclamación. A AEPD comunica á empresa que se recibiu unha reclamación relacionada cos seus tratamentos e, con frecuencia, ofrécelle a posibilidade de pronunciarse, achegar información ou dar resposta á cuestión formulada. En organizacións que contan cun Delegado de Protección de Datos (DPD), a Axencia pode canalizar a comunicación a través desa figura, que actúa como punto de contacto.

Convén subliñar un matiz que reduce moita ansiedade: recibir esa comunicación non significa que exista xa unha sanción nin que o procedemento vaia rematar necesariamente nunha. É unha fase de intercambio de información. En bastantes casos, cando a empresa responde de forma adecuada, documentada e resolvendo a situación de fondo, o asunto pode reconducirse sen maiores consecuencias.

As fases do procedemento ante a AEPD

O procedemento que segue a unha reclamación está regulado na normativa española de protección de datos (LOPDGDD) e articúlase, a grandes rasgos, en varias etapas. Sen entrar en tecnicismos, así é como adoita desenvolverse desde a perspectiva da empresa que recibe o asunto.

A duración e os prazos concretos de cada trámite fíxaos a normativa de procedemento administrativo e poden variar segundo a complexidade do caso. O relevante para a empresa non é memorizar cada etapa, senón entender a lóxica de fondo: hai varios momentos nos que a organización pode intervir, explicarse e achegar probas. O procedemento está deseñado precisamente para que iso ocorra.

Que revisar se recibes unha reclamación

Cando chega a comunicación da AEPD, a reacción máis útil é ordenada, non impulsiva. Antes de responder convén reconstruír con calma que ocorreu e que documentación respalda a actuación da empresa. Este checklist axuda a preparar unha resposta sólida:

• Identifica o tratamento afectado. A que actividade se refire a reclamación: unha comunicación comercial, un exercicio de dereitos non atendido, unha cesión de datos, unha posible brecha? Localízao no teu Rexistro de Actividades de Tratamento.
• Reúne a base xurídica. Comproba sobre que base legal (art. 6 RGPD) se apoia ese tratamento e se estaba correctamente documentada.
• Revisa a información entregada ao interesado. Facilitóuselle a cláusula informativa do art. 13 RGPD no primeiro contacto? Era clara e accesible?
• Verifica os contratos con terceiros. Se interveu un provedor ou software, confirma que existe o contrato de encargo do tratamento (art. 28 RGPD) e que obrigas asumía.
• Comproba o historial da relación. Correos, solicitudes de dereitos, respostas dadas: reconstrúe a traza do sucedido con datas.
• Consulta ao DPD se o tes. É a figura que coordina a resposta e actúa como interlocutor coa Axencia.
• Responde en prazo e por escrito. Cun ton sereno, factual e apoiado en documentación. Nunca deixes sen atender un requirimento.

O obxectivo desta revisión non é preparar unha defensa á desesperada, senón comprobar se a empresa pode acreditar que trata os datos de forma ordenada. Cando a resposta é afirmativa —porque a documentación existe e é coherente—, responder á AEPD deixa de ser un problema e pasa a ser un trámite manexable.

A documentación en regra: a túa mellor posición

A diferenza entre afrontar unha reclamación con seguridade ou con angustia case sempre se reduce a un factor: se a organización ten, ou non, a súa documentación de protección de datos ao día. Non é un detalle formal. É a proba tanxible de que a empresa se toma en serio o tratamento dos datos.

Os documentos que sosteñen esa posición son os de sempre, e por iso convén telos vivos antes de que chegue calquera comunicación:

• O Rexistro de Actividades de Tratamento (RAT), que inventaría que datos manexa a empresa, con que finalidade e durante canto tempo (art. 30 RGPD).
• As cláusulas informativas do art. 13, entregadas a clientes, empregados e usuarios no primeiro contacto.
• Os contratos con encargados do tratamento (art. 28) que regulan a relación con provedores e software.
• A política de seguridade coas medidas técnicas e organizativas do art. 32.
• O protocolo de xestión de brechas, que acredita como actúa a empresa ante un incidente de seguridade.

Cando estes documentos existen, están actualizados e reflicten a actividade real, responder á AEPD consiste en achegar o que xa se ten. Cando non existen —ou describen unha empresa que xa non é a actual—, a resposta convértese nunha carreira contrarreloxo para reconstruír a posteriori o que debería estar feito desde o principio. A documentación en regra non é burocracia: é o que permite falar coa autoridade desde unha posición ordenada.

Colaborar e demostrar responsabilidade proactiva

O RGPD constrúese sobre o principio de responsabilidade proactiva do art. 5.2: non abonda con cumprir a normativa, hai que ser capaz de demostralo. Unha reclamación é, no fondo, o momento no que ese principio se pon a proba. E a actitude da empresa pesa tanto como a documentación.

Colaborar coa autoridade de control é sempre a mellor posición. A AEPD dispón de poderes de investigación (art. 58 RGPD) para recabar información e examinar os tratamentos, e atender as súas comunicacións dentro dos prazos indicados forma parte do deber de cooperación de calquera responsable. Responder de forma dilixente, con transparencia e achegando o que se solicita, transmite exactamente a mensaxe que o RGPD espera dunha organización: que trata os datos con seriedade e que asume a súa responsabilidade.

O formulamento contrario —ignorar os requirimentos, responder tarde ou de forma evasiva— nunca mellora a situación; empéora. Fronte a iso, unha empresa que recoñece o problema cando o hai, corríxeo, documenta a corrección e o comunica con claridade está facendo o correcto e, ademais, demostrando a responsabilidade proactiva que a norma esixe. Esa é a posición máis sólida na que pode situarse calquera organización.

Como Certix te acompaña

Recibir unha reclamación non é agradable, pero é perfectamente xestionable cando a empresa ten a súa casa en orde e conta con quen a oriente. En Certix acompañamos ás organizacións nos dous frontes: preparando de antemán a documentación que sostén a responsabilidade proactiva —RAT, cláusulas, contratos con provedores, política de seguridade e protocolo de brechas— e axudando a articular unha resposta ordenada cando a AEPD traslada un asunto.

O enfoque é o mesmo que aplicamos a todo o noso traballo: análise real da actividade da empresa, sen modelos xenéricos, e trato directo cun experto en protección de datos. Se queres revisar en que punto está a túa organización antes de que chegue calquera comunicación, ese é o mellor momento para facelo.

Preguntas frecuentes

Recibir unha reclamación ante a AEPD significa que a miña empresa xa está sancionada?

Non. Unha reclamación é só o exercicio do dereito que o art. 77 RGPD recoñece a calquera persoa para dirixirse á autoridade de control. Que a AEPD traslade unha reclamación á túa empresa non equivale a unha sanción nin prexulga o resultado: abre un proceso no que a organización pode explicar como trata os datos e achegar a súa documentación. Moitos procedementos resólvense sen sanción cando a empresa acredita que actúa de forma correcta e colabora.

É o mesmo unha denuncia que unha reclamación en protección de datos?

Na linguaxe cotiá fálase de denuncia, pero o termo legal do RGPD é reclamación. O art. 77 RGPD recoñece a todo interesado o dereito a presentar unha reclamación ante a autoridade de control (en España, a AEPD) cando considera que o tratamento dos seus datos infrinxe a normativa. A diferenza non é só terminolóxica: enmarca o asunto como un dereito do interesado dentro dun procedemento administrativo, non como un proceso penal.

Que documentación convén ter preparada para responder ben?

A documentación que sostén a responsabilidade proactiva do art. 5.2 RGPD: o Rexistro de Actividades de Tratamento (art. 30), as cláusulas informativas do art. 13 que se entregan aos interesados, os contratos con encargados do tratamento (art. 28), a política de seguridade e o protocolo de xestión de brechas. Ter esta documentación ao día e coherente coa actividade real permite responder á AEPD con precisión e demostrar que a organización trata os datos de forma ordenada.

Debo colaborar coa AEPD ou é mellor non responder?

Colaborar é a mellor posición. A autoridade de control dispón de poderes de investigación (art. 58 RGPD) para recabar información, e atender as súas comunicacións dentro dos prazos indicados forma parte do deber de cooperación. Responder de forma serena, documentada e en prazo, achegando a información que se solicita, demostra responsabilidade proactiva e sitúa á empresa na posición máis sólida. Ignorar os requirimentos nunca mellora a situación.

En resumo

Unha denuncia por protección de datos —unha reclamación, en termos do art. 77 RGPD— non é unha sentenza, senón o inicio dun procedemento no que a túa empresa ten voz. Que a AEPD dea traslado dun asunto non prexulga nada: abre a porta a explicarse. A organización que chega a ese momento coa súa documentación en regra e con vontade de colaborar demostra a responsabilidade proactiva do art. 5.2 e sitúase na posición máis sólida posible. O mellor momento para preparar esa posición é antes de que chegue a comunicación.

Lecturas relacionadas

• Rexistro de Actividades de Tratamento (RAT) — o documento que inventaría todos os teus tratamentos.
• Brecha de seguridade: que facer — como actuar ante un incidente que afecta a datos persoais.
• Consultoría de protección de datos de Certix — trato directo cun experto, sen modelos xenéricos.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.