En una frase. Cuando la AEPD abre actuaciones contra una organización, primero envía un requerimiento de información, y si detecta indicios abre un procedimiento sancionador con potestades de inspección reguladas en los arts. 51 a 53 de la LOPDGDD; la mejor defensa es tener preparada de antemano la documentación básica —registro de tratamientos, contratos de encargado y registro de brechas— que la Agencia pide siempre primero.
Puntos clave
- La inspección suele empezar por un requerimiento de información, no por una visita sorpresa.
- Los arts. 51-53 LOPDGDD regulan las potestades de investigación de la AEPD.
- El personal inspector tiene condición de agente de la autoridad y puede acceder a instalaciones y sistemas.
- Lo primero que se pide es el registro de actividades del tratamiento (art. 30) y los contratos de encargado.
- El procedimiento admite reducciones de hasta el 40% por reconocimiento y pago voluntario.
1. Cómo empieza una inspección
Al contrario de lo que suele temerse, la AEPD rara vez inicia con una visita sin previo aviso. El cauce ordinario es un requerimiento de información dentro de unas actuaciones previas de investigación (art. 67 LOPDGDD), en las que la Agencia pide documentación y explicaciones antes de decidir si abre expediente sancionador. Estas actuaciones pueden originarse por una reclamación de un afectado, por una denuncia, por una brecha notificada o de oficio a raíz de una campaña sectorial.
Responder bien a este primer requerimiento es decisivo: una respuesta completa y documentada puede cerrar las actuaciones sin sanción; una respuesta pobre o su ausencia conduce a la apertura del procedimiento. El recorrido completo desde la reclamación se explica en la guía de la AEPD como autoridad de control y, desde la perspectiva del afectado, en cómo presentar una denuncia ante la AEPD.
2. Las potestades de investigación (arts. 51-53 LOPDGDD)
La LOPDGDD dota a la AEPD de amplias potestades:
- Art. 51: potestades de investigación conforme al art. 58 RGPD (requerir información, realizar investigaciones y auditorías).
- Art. 52: el personal inspector tiene la condición de agente de la autoridad y está sujeto a deber de secreto.
- Art. 53: potestad de acceder a los locales, equipos y medios de tratamiento, con las garantías correspondientes cuando se trata del domicilio constitucionalmente protegido.
En la práctica, esto significa que la Agencia puede exigir documentación, entrevistar a responsables y, en casos justificados, personarse en las instalaciones. La colaboración es obligatoria; la obstrucción constituye una infracción autónoma.
3. Fases del procedimiento sancionador
| Fase | Contenido | Plazo |
|---|---|---|
| Actuaciones previas | Requerimiento e investigación | Hasta 12 meses (art. 67) |
| Inicio del procedimiento | Acuerdo de inicio con hechos imputados | — |
| Alegaciones | La empresa responde y aporta prueba | 10 días hábiles |
| Propuesta de resolución | Se concreta la infracción y la sanción | — |
| Resolución | Decisión final, agota la vía administrativa | Máx. 9 meses (art. 64.3) |
Contra la resolución cabe recurso potestativo de reposición ante la propia AEPD o recurso contencioso-administrativo ante la Audiencia Nacional. El régimen de importes y su graduación se detalla en la guía de sanciones del RGPD.
4. Qué documentación piden primero
La AEPD tiene un patrón de requerimiento muy reconocible. Lo primero que solicita, casi siempre, es:
- El registro de actividades del tratamiento (art. 30 RGPD).
- Los contratos de encargado del art. 28 con proveedores relevantes.
- Las cláusulas informativas y la prueba de la base jurídica (consentimientos, contratos).
- El registro interno de brechas y las notificaciones realizadas.
- La política de seguridad y las medidas técnicas y organizativas.
- La designación del delegado de protección de datos, si procede.
Una organización que tenga estos seis elementos ordenados afronta la inspección con una posición sólida. La ausencia de cualquiera de ellos es, por sí misma, un indicio de incumplimiento.
5. Cómo prepararse antes de que llegue
La preparación se hace antes, no durante. Una auditoría de RGPD con metodología completa permite detectar y corregir las carencias que la Agencia buscaría. El objetivo es que, el día del requerimiento, la documentación exista, esté actualizada y sea coherente entre sí: que el registro de tratamientos coincida con la política de privacidad, que los encargados declarados tengan contrato firmado y que las brechas figuren en el registro interno.
Mantener ese expediente vivo es más fácil con una plataforma que centralice el registro, los contratos y las evidencias en lugar de reconstruirlos a contrarreloj; Legiscope es una de las opciones europeas orientadas a ese fin. Las resoluciones publicadas en la sede de la AEPD permiten anticipar qué preguntará la Agencia en cada sector.
6. Medidas cautelares y provisionales
Durante las actuaciones, la AEPD puede adoptar medidas provisionales cuando exista riesgo para los derechos de los afectados: por ejemplo, ordenar el bloqueo temporal de un tratamiento, la retirada de un contenido o la suspensión de un flujo de datos mientras se resuelve el expediente. Estas medidas, previstas en el art. 56 LOPDGDD y en el art. 66 RGPD, no prejuzgan el resultado final, pero obligan a la organización a actuar de inmediato. Ignorarlas agrava notablemente la posición y puede constituir una infracción adicional por falta de colaboración.
Por eso la respuesta a un requerimiento no es solo documental: incluye valorar si conviene corregir voluntariamente la conducta antes de que la Agencia imponga una medida. Una empresa que, al recibir el requerimiento, subsana el defecto —reorienta una cámara, retira un tratamiento sin base, atiende el derecho que se le reclamaba— demuestra diligencia y cooperación, dos de los factores del art. 83.2 RGPD que reducen la sanción. La reacción rápida y documentada es, en muchos expedientes, la diferencia entre un archivo y una multa.
7. Reducciones y decisión de recurrir
Si el procedimiento avanza y hay infracción real, la LOPDGDD permite reducir la sanción hasta un 40% acumulando el reconocimiento de responsabilidad (20%) y el pago voluntario (20%), a cambio de renunciar a recurrir (art. 85). La decisión de reconocer o litigar depende de la solidez de la posición y del importe en juego; conviene valorarla con la documentación completa a la vista.
FAQ
¿La AEPD puede presentarse sin avisar en mi empresa?
Es infrecuente. Lo habitual es que inicie con un requerimiento de información en actuaciones previas. No obstante, el art. 53 LOPDGDD le permite acceder a locales y equipos con las garantías correspondientes, por lo que la potestad existe aunque su uso sea excepcional. La colaboración es obligatoria.
¿Qué es lo primero que pide la AEPD en una inspección?
El registro de actividades del tratamiento (art. 30), los contratos de encargado del art. 28, las cláusulas informativas con prueba de la base jurídica y el registro interno de brechas. Tener estos documentos ordenados y coherentes entre sí es la mejor defensa ante un requerimiento.
¿Cuánto dura un procedimiento sancionador de la AEPD?
Las actuaciones previas pueden extenderse hasta 12 meses (art. 67 LOPDGDD) y el procedimiento sancionador, una vez iniciado, tiene un plazo máximo de resolución de 9 meses (art. 64.3). Los plazos reales varían según la complejidad y la carga de la Agencia.
¿Conviene reconocer la infracción y pagar?
Depende del caso. Reconocer y pagar reduce la sanción hasta un 40% pero implica renunciar a recurrir; recurrir mantiene abierta la posibilidad de archivo o reducción pero alarga el procedimiento. La decisión debe tomarse con toda la documentación a la vista y valorando la solidez de la posición.
Del lado del ciudadano, consulta cómo se presenta una denuncia ante la AEPD.
Referencias oficiales: AEPD, Reglamento General de Protección de Datos (EUR-Lex), LOPDGDD (BOE).
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial