Denuncia por protección de datos: qué hacer si tu empresa recibe una reclamación ante la AEPD

Un correo o una notificación de la Agencia Española de Protección de Datos (AEPD) suele generar inquietud en cualquier empresa. La primera reacción es pensar en lo peor. Conviene empezar por lo contrario: recibir una denuncia por protección de datos —lo que la normativa llama con precisión una reclamación— no es una sanción, sino el punto de partida de un procedimiento en el que tu organización puede explicarse y demostrar cómo trata los datos. Esta guía aclara qué significa, cómo llega, qué fases tiene y cómo responder desde la óptica de la empresa que la recibe.

"Denuncia" o "reclamación": el término correcto

En el lenguaje cotidiano casi todo el mundo dice "me han denunciado a la AEPD" o "voy a poner una denuncia por protección de datos". Es una expresión comprensible, pero jurídicamente imprecisa. El término que utiliza el Reglamento General de Protección de Datos no es denuncia, sino reclamación.

El art. 77 del RGPD reconoce a todo interesado el derecho a presentar una reclamación ante una autoridad de control —en España, la AEPD— cuando considere que el tratamiento de sus datos personales infringe la normativa. Ese es el mecanismo. No se trata de un proceso penal ni de una acusación en sentido estricto: es el ejercicio de un derecho de la persona dentro de un procedimiento administrativo.

La distinción importa porque cambia el marco mental con el que la empresa debe afrontar el asunto. Una reclamación no presupone culpa. Es una manifestación de que alguien —un cliente, un empleado, un usuario, un antiguo contacto— entiende que algo en el tratamiento de sus datos no ha sido correcto, y traslada esa percepción a la autoridad. A partir de ahí se abre un proceso en el que la organización tiene la oportunidad de explicar cómo actúa y de aportar la documentación que lo respalda.

Cómo llega una reclamación a tu empresa

El interesado presenta su reclamación directamente ante la AEPD, normalmente a través de la sede electrónica de la Agencia. Tu empresa no interviene en ese primer momento: se entera después, cuando la autoridad de control decide dar traslado del asunto.

Ese traslado es la vía habitual por la que una organización descubre que existe una reclamación. La AEPD comunica a la empresa que se ha recibido una reclamación relacionada con sus tratamientos y, con frecuencia, le ofrece la posibilidad de pronunciarse, aportar información o dar respuesta a la cuestión planteada. En organizaciones que cuentan con un Delegado de Protección de Datos (DPD), la Agencia puede canalizar la comunicación a través de esa figura, que actúa como punto de contacto.

Conviene subrayar un matiz que reduce mucha ansiedad: recibir esa comunicación no significa que exista ya una sanción ni que el procedimiento vaya a terminar necesariamente en una. Es una fase de intercambio de información. En bastantes casos, cuando la empresa responde de forma adecuada, documentada y resolviendo la situación de fondo, el asunto puede reconducirse sin mayores consecuencias.

Las fases del procedimiento ante la AEPD

El procedimiento que sigue a una reclamación está regulado en la normativa española de protección de datos (LOPDGDD) y se articula, a grandes rasgos, en varias etapas. Sin entrar en tecnicismos, así es como suele desarrollarse desde la perspectiva de la empresa que recibe el asunto.

La duración y los plazos concretos de cada trámite los fija la normativa de procedimiento administrativo y pueden variar según la complejidad del caso. Lo relevante para la empresa no es memorizar cada etapa, sino entender la lógica de fondo: hay varios momentos en los que la organización puede intervenir, explicarse y aportar pruebas. El procedimiento está diseñado precisamente para que eso ocurra.

Qué revisar si recibes una reclamación

Cuando llega la comunicación de la AEPD, la reacción más útil es ordenada, no impulsiva. Antes de responder conviene reconstruir con calma qué ocurrió y qué documentación respalda la actuación de la empresa. Este checklist ayuda a preparar una respuesta sólida:

• Identifica el tratamiento afectado. ¿A qué actividad se refiere la reclamación: una comunicación comercial, un ejercicio de derechos no atendido, una cesión de datos, una posible brecha? Localízalo en tu Registro de Actividades de Tratamiento.
• Reúne la base jurídica. Comprueba sobre qué base legal (art. 6 RGPD) se apoya ese tratamiento y si estaba correctamente documentada.
• Revisa la información entregada al interesado. ¿Se le facilitó la cláusula informativa del art. 13 RGPD en el primer contacto? ¿Era clara y accesible?
• Verifica los contratos con terceros. Si intervino un proveedor o software, confirma que existe el contrato de encargo del tratamiento (art. 28 RGPD) y qué obligaciones asumía.
• Comprueba el historial de la relación. Correos, solicitudes de derechos, respuestas dadas: reconstruye la traza de lo sucedido con fechas.
• Consulta al DPD si lo tienes. Es la figura que coordina la respuesta y actúa como interlocutor con la Agencia.
• Responde en plazo y por escrito. Con un tono sereno, factual y apoyado en documentación. Nunca dejes sin atender un requerimiento.

El objetivo de esta revisión no es preparar una defensa a la desesperada, sino comprobar si la empresa puede acreditar que trata los datos de forma ordenada. Cuando la respuesta es afirmativa —porque la documentación existe y es coherente—, responder a la AEPD deja de ser un problema y pasa a ser un trámite manejable.

La documentación en regla: tu mejor posición

La diferencia entre afrontar una reclamación con seguridad o con angustia casi siempre se reduce a un factor: si la organización tiene, o no, su documentación de protección de datos al día. No es un detalle formal. Es la prueba tangible de que la empresa se toma en serio el tratamiento de los datos.

Los documentos que sostienen esa posición son los de siempre, y por eso conviene tenerlos vivos antes de que llegue cualquier comunicación:

• El Registro de Actividades de Tratamiento (RAT), que inventaría qué datos maneja la empresa, con qué finalidad y durante cuánto tiempo (art. 30 RGPD).
• Las cláusulas informativas del art. 13, entregadas a clientes, empleados y usuarios en el primer contacto.
• Los contratos con encargados del tratamiento (art. 28) que regulan la relación con proveedores y software.
• La política de seguridad con las medidas técnicas y organizativas del art. 32.
• El protocolo de gestión de brechas, que acredita cómo actúa la empresa ante un incidente de seguridad.

Cuando estos documentos existen, están actualizados y reflejan la actividad real, responder a la AEPD consiste en aportar lo que ya se tiene. Cuando no existen —o describen una empresa que ya no es la actual—, la respuesta se convierte en una carrera contrarreloj para reconstruir a posteriori lo que debería haber estado hecho desde el principio. La documentación en regla no es burocracia: es lo que permite hablar con la autoridad desde una posición ordenada.

Colaborar y demostrar responsabilidad proactiva

El RGPD se construye sobre el principio de responsabilidad proactiva del art. 5.2: no basta con cumplir la normativa, hay que ser capaz de demostrarlo. Una reclamación es, en el fondo, el momento en el que ese principio se pone a prueba. Y la actitud de la empresa pesa tanto como la documentación.

Colaborar con la autoridad de control es siempre la mejor posición. La AEPD dispone de poderes de investigación (art. 58 RGPD) para recabar información y examinar los tratamientos, y atender sus comunicaciones dentro de los plazos indicados forma parte del deber de cooperación de cualquier responsable. Responder de forma diligente, con transparencia y aportando lo que se solicita, transmite exactamente el mensaje que el RGPD espera de una organización: que trata los datos con seriedad y que asume su responsabilidad.

El planteamiento contrario —ignorar los requerimientos, responder tarde o de forma evasiva— nunca mejora la situación; la empeora. Frente a ello, una empresa que reconoce el problema cuando lo hay, lo corrige, documenta la corrección y lo comunica con claridad está haciendo lo correcto y, además, demostrando la responsabilidad proactiva que la norma exige. Esa es la posición más sólida en la que puede situarse cualquier organización.

Cómo Certix te acompaña

Recibir una reclamación no es agradable, pero es perfectamente gestionable cuando la empresa tiene su casa en orden y cuenta con quien la oriente. En Certix acompañamos a las organizaciones en los dos frentes: preparando de antemano la documentación que sostiene la responsabilidad proactiva —RAT, cláusulas, contratos con proveedores, política de seguridad y protocolo de brechas— y ayudando a articular una respuesta ordenada cuando la AEPD traslada un asunto.

El enfoque es el mismo que aplicamos a todo nuestro trabajo: análisis real de la actividad de la empresa, sin plantillas genéricas, y trato directo con un experto en protección de datos. Si quieres revisar en qué punto está tu organización antes de que llegue cualquier comunicación, ese es el mejor momento para hacerlo.

Preguntas frecuentes

¿Recibir una reclamación ante la AEPD significa que mi empresa ya está sancionada?

No. Una reclamación es solo el ejercicio del derecho que el art. 77 RGPD reconoce a cualquier persona para dirigirse a la autoridad de control. Que la AEPD traslade una reclamación a tu empresa no equivale a una sanción ni prejuzga el resultado: abre un proceso en el que la organización puede explicar cómo trata los datos y aportar su documentación. Muchos procedimientos se resuelven sin sanción cuando la empresa acredita que actúa de forma correcta y colabora.

¿Es lo mismo una denuncia que una reclamación en protección de datos?

En el lenguaje cotidiano se habla de denuncia, pero el término legal del RGPD es reclamación. El art. 77 RGPD reconoce a todo interesado el derecho a presentar una reclamación ante la autoridad de control (en España, la AEPD) cuando considera que el tratamiento de sus datos infringe la normativa. La diferencia no es solo terminológica: enmarca el asunto como un derecho del interesado dentro de un procedimiento administrativo, no como un proceso penal.

¿Qué documentación conviene tener preparada para responder bien?

La documentación que sostiene la responsabilidad proactiva del art. 5.2 RGPD: el Registro de Actividades de Tratamiento (art. 30), las cláusulas informativas del art. 13 que se entregan a los interesados, los contratos con encargados del tratamiento (art. 28), la política de seguridad y el protocolo de gestión de brechas. Tener esta documentación al día y coherente con la actividad real permite responder a la AEPD con precisión y demostrar que la organización trata los datos de forma ordenada.

¿Debo colaborar con la AEPD o es mejor no responder?

Colaborar es la mejor posición. La autoridad de control dispone de poderes de investigación (art. 58 RGPD) para recabar información, y atender sus comunicaciones dentro de los plazos indicados forma parte del deber de cooperación. Responder de forma serena, documentada y en plazo, aportando la información que se solicita, demuestra responsabilidad proactiva y sitúa a la empresa en la posición más sólida. Ignorar los requerimientos nunca mejora la situación.

En resumen

Una denuncia por protección de datos —una reclamación, en términos del art. 77 RGPD— no es una sentencia, sino el inicio de un procedimiento en el que tu empresa tiene voz. Que la AEPD dé traslado de un asunto no prejuzga nada: abre la puerta a explicarse. La organización que llega a ese momento con su documentación en regla y con voluntad de colaborar demuestra la responsabilidad proactiva del art. 5.2 y se sitúa en la posición más sólida posible. El mejor momento para preparar esa posición es antes de que llegue la comunicación.

Lecturas relacionadas

• Registro de Actividades de Tratamiento (RAT) — el documento que inventaría todos tus tratamientos.
• Brecha de seguridad: qué hacer — cómo actuar ante un incidente que afecta a datos personales.
• Consultoría de protección de datos de Certix — trato directo con un experto, sin plantillas genéricas.

---

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.