Si la AEPD llama a la puerta: cómo preparar el despacho para una inspección

Un martes por la mañana llaman a la puerta del despacho. Se identifican como personal de la Agencia Española de Protección de Datos y piden ver cómo se gestionan los datos de las comunidades. La recepcionista no sabe qué hacer, el administrador está en una junta y la documentación está en una carpeta que nadie recuerda quién organizó.

Una inspección no se prepara el día que llega. Se prepara teniendo a mano, ordenado y actualizado lo que la normativa exige, y sabiendo quién atiende a la autoridad y cómo. Le contamos qué puede pasar y qué conviene tener listo.

Qué es una inspección y cómo puede llegar

La AEPD tiene poderes de investigación: el artículo 58.1 del RGPD (se abre en una ventana nueva) le permite ordenar que se le facilite información, realizar auditorías y acceder a los datos personales y a los locales del responsable o del encargado. La LOPDGDD (se abre en una ventana nueva) regula esta actividad y establece el deber de colaboración de quienes tratan datos.

En la práctica, una actuación de investigación puede adoptar formas distintas:

• Un requerimiento escrito de información o documentación, con un plazo para contestar.
• Una visita al despacho o a la comunidad por parte de personal de inspección.
• Una petición de acceso a sistemas o ficheros concretos.

Puede nacer de una reclamación, de una brecha comunicada o de una actuación de oficio de la propia Agencia. No hace falta que haya habido una infracción para recibirla.

Qué debe tener preparado

Estos son los documentos que previsiblemente le pedirán. Si los tiene localizados, la visita es una conversación; si no, es un problema.

• Registro de actividades de tratamiento actualizado, el del despacho y el de cada comunidad para la que actúe. Tiene un artículo propio sobre este registro.
• Contratos de encargado firmados con cada comunidad y con sus propios proveedores: informática, gestoría laboral, almacenamiento en la nube.
• Cláusulas informativas que se entregan a vecinos, empleados y proveedores.
• Análisis de riesgos y descripción de las medidas de seguridad: lo explicamos en otro artículo.
• Protocolo de atención de derechos y registro de las solicitudes recibidas y sus respuestas.
• Procedimiento de brechas y registro de incidentes, aunque no hayan sido notificables.
• Evidencias de formación o información al personal, y compromisos de confidencialidad.
• Documentación de videovigilancia, si hay cámaras: acuerdo, cartel, control de acceso a las imágenes.

No se trata de tener muchos papeles, sino de que cada uno corresponda a algo que realmente se hace.

Quién atiende y qué se le dice

Decida antes quién es el interlocutor. Una sola persona, con autoridad para decidir, que sepa dónde está cada documento. El resto del personal debe saber que, si llega alguien de la Agencia, se le atiende con cortesía, se avisa a esa persona y no se improvisa.

Qué hacer cuando llegan

• Pida la acreditación y anote nombres y fecha.
• Pida, si no se le entregó, que la petición conste por escrito: qué se solicita y en qué plazo.
• Actúe con colaboración. Negarse a facilitar el acceso es, por sí mismo, una infracción prevista en el RGPD.
• Entregue lo que se pida, ni más ni menos. Si hay dudas sobre si algo está comprendido en la petición, consúltelo con su asesor.
• Si necesita más tiempo para reunir algo, dígalo por escrito y proponga una fecha. Es mejor eso que no contestar.

Qué no hacer

• No retire, borre ni «retoque» documentos. Si algo no existe, es mejor reconocerlo y explicar qué va a hacer para corregirlo.
• No discuta en ese momento con el personal de inspección sobre la legalidad de la actuación. Cualquier discrepancia se plantea después, por la vía y con el asesoramiento adecuados.
• No facilite datos de terceros que no se hayan pedido.

Ensayar antes de que pase

Una buena práctica es hacer un simulacro. Una vez al año, alguien ajeno al día a día pide al despacho lo que pediría la AEPD y se cronometra cuánto se tarda en reunirlo. Casi siempre aparecen tres o cuatro cosas: un contrato sin firmar, una comunidad sin cláusula, un registro con fecha antigua.

Anótelas y corríjalas. Así, si llega la inspección real, las lagunas ya estarán cerradas y usted podrá mostrar, además, que revisa periódicamente.

Después de la inspección

La actuación puede cerrarse sin más consecuencias, derivar en un requerimiento para que adapte determinados tratamientos o dar lugar a un procedimiento sancionador. Qué ocurre depende de lo que se encuentre y de cómo se haya respondido. Si es el último caso, puede ver cómo puede terminar un expediente.

Un detalle que se olvida: los encargados y proveedores

Si la Agencia pide documentación sobre un tratamiento que usted hace por cuenta de una comunidad, la comunidad, como responsable, también tiene que poder responder. Conviene que el despacho y el presidente sepan quién contesta a qué, y que el contrato de encargado recoja que el administrador colaborará en esos casos. Lo mismo vale al revés: si un proveedor suyo (informático, gestor laboral) trata datos a su cargo, debería poder facilitarle con rapidez lo que necesite para responder. Averiguar eso el día de la inspección es tarde; hacerlo ahora es una llamada y un correo.

En resumen

• Una inspección puede empezar con un requerimiento escrito o con una visita, y colaborar es obligatorio.
• Tenga localizados el registro de actividades, los contratos de encargado, las cláusulas, el análisis de riesgos, los protocolos y las evidencias de formación.
• Designe un interlocutor, pida acreditación y que la petición conste por escrito.
• Nunca retoque documentos: reconocer una carencia y corregirla se valora mejor que ocultarla.
• Un simulacro anual descubre las lagunas antes que la Agencia.

Si quiere saber cuánto tardaría hoy su despacho en reunir esa documentación, el mejor momento para averiguarlo es antes de que se lo pidan.