Una inspección de la AEPD exige entender qué actuación se ha notificado antes de reunir documentos. Un traslado de reclamación, un requerimiento de información y un acuerdo de inicio sancionador tienen funciones distintas. Ninguno debe contestarse con una carpeta genérica sin relacionarla con los hechos. La respuesta útil identifica el tratamiento investigado, acredita lo ocurrido y explica las correcciones con sus fechas reales.
Esta guía está dirigida a la organización requerida. La perspectiva del ciudadano se desarrolla en la denuncia ante la AEPD. Aquí importa coordinar a quienes conocen los sistemas, a quienes deciden sobre el tratamiento y a quienes preparan la respuesta jurídica. Colaborar con la autoridad es compatible con ejercer los derechos de defensa; no obliga a dar por probadas imputaciones que deban discutirse.
Identificar la fase antes de responder
La actuación puede originarse en una reclamación, una investigación de oficio, un incidente conocido por la autoridad o un plan de auditoría preventiva. No existe una secuencia universal en la que siempre se pida primero el mismo documento. El artículo 54 de la LOPDGDD contempla planes sectoriales, mientras que las actuaciones previas del artículo 67 buscan precisar hechos y circunstancias antes de decidir si procede iniciar un procedimiento.
El traslado previo de una reclamación permite examinar el problema antes de su admisión en los supuestos del artículo 65. Un requerimiento de investigación solicita información necesaria para esclarecerlo. El acuerdo de inicio delimita hechos imputados, posible infracción, persona o entidad responsable y eventual sanción. Una propuesta de resolución supone una fase posterior. Lee el encabezamiento y la parte dispositiva, junto con el plazo y el cauce de contestación.
La guía de la AEPD como autoridad de control ayuda a situar esas funciones, pero la actuación concreta manda sobre un resumen general. Si la entidad cree que corresponde otra autoridad, debe fundamentarlo sin ignorar el requerimiento. La competencia puede depender del responsable y del tratamiento, así como de las reglas europeas para asuntos transfronterizos. La ubicación física de una oficina no resuelve por sí sola esa cuestión.
Registrar la notificación y comprobar su autenticidad
Anota la fecha de puesta a disposición y la de acceso a la notificación, el expediente y la persona que recibió el aviso. Comprueba la representación de quien contestará y la disponibilidad del certificado necesario. Para una persona obligada a relacionarse electrónicamente, dejar el buzón sin supervisión puede producir consecuencias aunque el correo de aviso se pierda. El artículo 43 de la Ley 39/2015 regula el rechazo por falta de acceso durante diez días naturales cuando la notificación electrónica sea obligatoria o se haya elegido expresamente.
La AEPD ha publicado un aviso de seguridad sobre suplantaciones. Contrasta el documento en su sede mediante el código seguro de verificación cuando lo incorpore y utiliza direcciones oficiales. Una petición de pago recibida por correo no debe ejecutarse por su apariencia gráfica. Comprobar autenticidad es una medida operativa; no debe convertirse en una excusa para dejar transcurrir el plazo de una notificación válida.
Crea un calendario con el vencimiento aplicable y una fecha interna de revisión anterior. Distingue días hábiles, naturales y plazos por meses conforme a la norma y al acto recibido. No calcules todas las respuestas usando los diez días citados en otra resolución. Si se necesita ampliación, estudia si es jurídicamente posible, solicita lo procedente antes del vencimiento y no des por concedida una prórroga por haberla pedido.
Qué puede investigar la Agencia
Los artículos 51 a 53 bis de la LOPDGDD complementan las potestades del artículo 58 del RGPD. El artículo 51 identifica al personal competente y reconoce a los funcionarios investigadores la condición de agentes de la autoridad, con deber de secreto. El artículo 52 establece el deber de colaboración. No deben intercambiarse esas referencias al describir el fundamento de una actuación.
El artículo 53 permite recabar información, inspeccionar, exigir la exhibición o envío de documentos y datos, obtener copias y examinar equipos y programas sujetos a investigación. Puede requerirse la ejecución de tratamientos o procedimientos de gestión y soporte. Por eso, una respuesta puramente documental puede no bastar: la autoridad puede necesitar comprobar cómo funciona una aplicación y qué información resulta accesible realmente.
Para acceder a un domicilio constitucionalmente protegido se necesita consentimiento o autorización judicial. Esa garantía no significa que cualquier instalación de una empresa pueda excluirse automáticamente de la inspección. Identifica el alcance de la actuación y solicita intervención jurídica cuando proceda, manteniendo una actitud de colaboración. Tampoco es correcto asegurar que una visita sin aviso nunca ocurrirá o que las inspecciones se realizan exclusivamente por escrito.
El artículo 53 bis permite actuaciones mediante videoconferencia u otros sistemas que reúnan sus condiciones de seguridad y evidencia. Su utilización requiere la conformidad del inspeccionado sobre el medio y sobre la fecha y hora. Preparar una sesión remota incluye saber quién compartirá pantalla, qué información se mostrará y cómo se conservará lo intercambiado, sin confundir esta modalidad con una autorización ilimitada para acceder a todos los sistemas.
Conservar evidencia antes de cambiar el sistema
Designa una coordinación y pide a cada área que preserve los elementos relevantes para el periodo investigado. Pueden ser mensajes, registros de acceso, versiones de formularios, autorizaciones, contratos o configuraciones. Evita borrados rutinarios de evidencia necesaria, pero delimita el alcance de la conservación: una reclamación puntual no justifica almacenar indefinidamente todos los datos de la organización. Documenta el motivo, el acceso y la revisión de esa preservación.
Separa hechos comprobados, explicaciones técnicas e hipótesis pendientes. Si un registro no permite saber quién descargó un archivo, dilo y explica qué otras evidencias existen. No reconstruyas una certeza que el sistema no ofrece. Una cronología debe indicar de dónde procede cada fecha: ticket, notificación, registro del servidor o declaración de una persona. Las discrepancias merecen análisis antes de enviar versiones incompatibles entre sí.
Como ejemplo hipotético, una cámara captó una zona excesiva y ya se ha reorientado. Conserva pruebas suficientes del encuadre anterior y de la fecha del cambio, junto con la explicación de la corrección. No presentes una imagen actual como demostración de cómo estaba instalada meses atrás. Corregir el tratamiento puede ser necesario de inmediato; preservar evidencia y explicar el cambio permiten hacerlo sin alterar retrospectivamente los hechos.
Elegir los documentos según la cuestión investigada
El registro de actividades de tratamiento ayuda a identificar finalidad, categorías de personas, destinatarios, conservación y medidas generales. Debe coincidir con lo que sucede en los sistemas. El artículo 30.5 no crea una exención general para empresas de menos de 250 personas: la excepción no cubre actividades no ocasionales, tratamientos que puedan entrañar riesgo para derechos y libertades o que incluyan categorías de los artículos 9 o 10. Examina la actividad relevante, no solo la plantilla total.
Si se investiga la base jurídica, aporta el soporte que corresponda. El consentimiento requiere evidencia de la elección y de la información facilitada; una obligación legal exige identificar la norma aplicable. La existencia de un contrato comercial no basta para invocar el artículo 6.1.b: el tratamiento debe ser necesario para el contrato con la persona interesada o para medidas precontractuales solicitadas por ella. No sustituyas ese análisis por una lista de bases alternativas sin justificar.
En un asunto de derechos importan la solicitud recibida, las comprobaciones proporcionadas de identidad, las búsquedas, la respuesta y su envío. Si el responsable no actúa, el artículo 12.4 exige comunicar motivos y posibilidades de reclamación y tutela judicial sin dilación y, como máximo, en un mes desde la recepción. Una respuesta preparada después de la intervención de la AEPD no acredita por sí sola que se cumpliera a tiempo.
Cuando intervengan proveedores encargados, el artículo 28 exige contrato u otro acto jurídico vinculante conforme al Derecho de la Unión o de un Estado miembro, por escrito, incluido el formato electrónico. El modelo de contrato de encargado permite contrastar el contenido, pero la autoridad puede necesitar también evidencias de instrucciones, controles y funcionamiento. Adjuntar unas condiciones comerciales no demuestra automáticamente que cubran el servicio investigado.
Seguridad, brechas y responsabilidad interna
Para una posible brecha, reúne la cronología del conocimiento, evaluación de riesgos, medidas, comunicaciones y decisiones sobre notificación. Todas las brechas de datos personales deben documentarse, aunque no sea obligatorio notificarlas. No todo fallo informático constituye una brecha de datos personales; importa si se produjo una violación de seguridad con los efectos previstos en el artículo 4.12 del RGPD.
La notificación a la autoridad competente se realiza sin dilación indebida y, de ser posible, dentro de las 72 horas desde el conocimiento, salvo que sea improbable que exista riesgo para los derechos y libertades. Si se presenta después, debe explicar los motivos. La comunicación a afectados depende del alto riesgo del artículo 34 y tiene condiciones propias. La guía de notificación de brechas a la AEPD desarrolla esa decisión, que no debe aplazarse hasta recibir una reclamación.
El delegado de protección de datos puede asesorar y actuar como contacto con la autoridad, pero no absorbe las responsabilidades de dirección, sistemas y responsables operativos. La designación del DPO en España depende de los supuestos legales aplicables. Si la entidad no está obligada y no ha designado uno voluntariamente, no debe simular una designación anterior para completar una carpeta. Debe explicar su estructura real y el fundamento de su análisis.
Los plazos vigentes de cada procedimiento
La decisión de admisión, inadmisión o remisión a la autoridad principal se notifica en tres meses conforme al artículo 65.5. La continuación de la tramitación por falta de notificación en ese periodo no prueba la infracción. Cuando el procedimiento se refiere exclusivamente a un derecho no atendido, el artículo 64.1 fija seis meses desde la notificación al reclamante del acuerdo de admisión. No es el mismo cómputo que el de un expediente sancionador.
Las actuaciones previas del artículo 67.2 pueden durar hasta dieciocho meses desde el acuerdo de admisión o desde el acuerdo que decide su inicio de oficio. Si después se inicia un procedimiento para determinar una posible infracción, el artículo 64.2 fija un máximo de doce meses desde el acuerdo de inicio. Los antiguos límites de doce meses de investigación y nueve de procedimiento ya no describen la redacción vigente de estos preceptos.
El cauce de apercibimiento y medidas correctivas del artículo 64.3 tiene una duración máxima de seis meses desde el acuerdo de inicio. El artículo 64.5 contempla suspensiones, incluidas las vinculadas a información y cooperación europeas. La lectura del expediente debe considerar esas incidencias y las reglas aplicables. No se puede sumar cifras como si todas las fases fueran obligatorias o utilizar el tiempo transcurrido desde la reclamación como único indicador de caducidad.
La caducidad del procedimiento no equivale a declarar que el tratamiento fue lícito. Tampoco debe confundirse con la prescripción de una infracción. Si se plantea una alegación temporal, necesita la cronología completa y la identificación del efecto jurídico correspondiente. Mantén separados el plazo para responder a un requerimiento, la duración máxima de una fase y los plazos de recurso: cada uno sirve a una decisión distinta.
Redactar alegaciones comprensibles y verificables
Organiza la respuesta siguiendo las preguntas o imputaciones del documento recibido. Para cada una, presenta la posición de la entidad, el hecho que la sostiene y el anexo pertinente. Si se discute una conclusión técnica, explica qué demuestra la prueba y cuáles son sus límites. Entregar miles de páginas sin índice ni relación con la cuestión puede dificultar la comprobación de una defensa que sí tiene fundamento.
Distingue la situación investigada de las mejoras posteriores. Una medida nueva puede mostrar reacción y reducir efectos sin demostrar cumplimiento previo. La cooperación y las actuaciones para mitigar daños forman parte de los criterios de valoración del artículo 83.2 del RGPD, pero no garantizan archivo ni una reducción matemática. La guía de sanciones del RGPD desarrolla esos factores y los límites máximos, que tampoco son una tarifa automática.
Antes de presentar, comprueba fechas, versiones, identidad de las entidades y referencias a anexos. Revisa que no se hayan incluido datos ajenos innecesarios y que las ocultaciones no impidan entender la prueba requerida. Conserva el escrito firmado, los archivos enviados y el justificante de registro. Si falta información que debe aportar un proveedor, explica la situación con precisión y gestiona el cumplimiento del requerimiento sin inventar documentos inexistentes.
Medidas provisionales y decisiones sobre la multa
El artículo 69 de la LOPDGDD regula medidas provisionales necesarias y proporcionadas para proteger el derecho, entre ellas el bloqueo cautelar y la atención del derecho solicitado en los términos legales. No es el artículo 56 de esa ley, que trata relaciones internacionales. Una medida puede exigir cambios antes de la resolución final: identifica su alcance, plazo y modo de acreditar el cumplimiento.
Las reducciones por reconocimiento y pago voluntario se regulan en el artículo 85 de la Ley 39/2015. Cuando concurren sus condiciones, las reducciones son de al menos un 20 % cada una y acumulables; deben estar determinadas en la notificación de inicio. No proceden como descuento general por responder pronto a una inspección ni deben atribuirse al artículo 85 de la LOPDGDD.
Su efectividad exige desistir o renunciar a acciones o recursos en vía administrativa contra la sanción. No debe describirse como una renuncia indiscriminada a toda tutela judicial. Revisa qué se reconoce, cuál es la cuantía propuesta, qué efectos tiene el pago y qué medidas siguen pendientes. El pago no convierte en lícito el tratamiento ni elimina automáticamente obligaciones correctoras. Una decisión económica exige comprender también las consecuencias jurídicas del expediente concreto.
Ejecutar la resolución y cerrar el problema operativo
La resolución puede archivar, declarar una infracción o imponer medidas y, cuando corresponda, una multa. Lee la parte dispositiva y el régimen de recursos, sin copiar plazos de otra resolución. Una impugnación no debe tratarse como suspensión automática de todos sus efectos. La entidad necesita valorar la ejecutividad y las vías de suspensión que resulten aplicables, además de cumplir las actuaciones que continúen siendo exigibles.
Convierte cada medida en una actuación verificable: quién cambia el sistema, quién confirma el resultado y qué evidencia se remitirá. Si se exige atender un derecho, acredita la respuesta efectiva; si se modifica un acceso, comprueba los permisos reales. Una auditoría de RGPD puede revisar procesos relacionados, pero no debe sustituir la corrección concreta ordenada por un informe general sin ejecución.
Preguntas frecuentes
¿Es obligatorio entregar siempre el mismo expediente documental?
No existe un paquete universal que resuelva cualquier investigación. Debes atender el requerimiento y aportar la documentación pertinente. Algunas obligaciones dependen del tratamiento y de la entidad. Si un documento no es exigible en el caso, explica el motivo con fundamento; si falta pese a ser necesario, no presentes esa ausencia como una exención.
¿Corregir el error garantiza que se archive la investigación?
No. La corrección puede detener efectos y resultar relevante para valorar la conducta, pero una infracción anterior puede seguir siendo examinada. Documenta qué cambió y cuándo, manteniendo la evidencia necesaria de la situación investigada. Tampoco la falta de respuesta demuestra automáticamente el incumplimiento de fondo, aunque pueda vulnerar el deber de colaboración.
¿Cuánto dura la inspección?
Depende del cauce y sus incidencias. Las actuaciones previas tienen el límite de dieciocho meses y el procedimiento del artículo 64.2, doce meses desde su acuerdo de inicio, con las suspensiones legalmente previstas. Los procedimientos de derechos y de apercibimiento tienen reglas propias. Revisa los actos del expediente para identificar el plazo aplicable, sin confundir duración máxima con duración esperable.
Marco europeo: Reglamento General de Protección de Datos, texto oficial.