DERECHO DIGITAL · ACTUACIÓN ANTE LA AEPD
Un requerimiento de la AEPD exige ordenar el expediente, preservar evidencias y responder con precisión dentro del plazo indicado. La prioridad no es enviar muchos documentos, sino construir una respuesta coherente, verificable y alineada con la actividad real de la empresa.
¿Has recibido un requerimiento de la AEPD?
Revisamos la petición, el alcance de la información y el plan de respuesta antes de que la empresa conteste.
Respuesta breve
Cuando la AEPD pide información, la empresa debe identificar el expediente y el plazo, delimitar exactamente qué se solicita, conservar las evidencias relevantes y coordinar una respuesta única. Un requerimiento no equivale por sí solo a una sanción, pero una contestación incompleta, contradictoria o fuera de plazo puede complicar la defensa. La revisión debe conectar hechos, documentos, responsables y medidas aplicadas.
Por Álvaro Ruipérez Candón · arc@scandoup.com · Actualizado: 19 de octubre de 2026.
PRIMERA LECTURA
Qué comprobar antes de contestar
Expediente y alcance
Comprueba el número de expediente, la unidad que firma, la empresa destinataria, la representación y cada pregunta o documento solicitado. Separa lo que la AEPD pide expresamente de la información que solo sería útil como contexto.
Plazo y canal
Anota la fecha de recepción y el plazo que aparece en la comunicación. Utiliza el canal indicado y conserva justificantes de envío, anexos y versiones finales. Si existe una dificultad objetiva, debe valorarse de inmediato, no cuando el plazo ya ha vencido.
Hechos verificables
Antes de redactar, contrasta qué ocurría realmente en las fechas relevantes: tratamientos, proveedores, accesos, incidencias, responsables y decisiones. La respuesta debe distinguir entre situación histórica, corrección posterior y medidas que aún están en curso.
ORDEN DE TRABAJO
Cómo preparar una respuesta sólida
1. Crear un mapa de la petición
Conviene transformar la comunicación en una tabla interna con cuatro columnas: solicitud, responsable, documento de soporte y estado. Así se detectan pronto las preguntas sin dueño, los anexos que faltan y las respuestas que dependen de varias áreas. El mapa también evita que cada equipo conteste por separado con criterios distintos.
2. Reunir evidencias, no solo políticas
La AEPD puede necesitar entender cómo funciona el tratamiento en la práctica. Por eso es útil reunir registros de actividades, cláusulas informativas, contratos de encargado, análisis de riesgos, EIPD cuando proceda, controles de acceso, registros de incidentes, tickets, actas de formación y evidencias de revisión. Una política genérica no demuestra por sí sola que el control se aplicaba.
3. Redactar con separación entre hechos y valoración
La empresa debe explicar qué sucedió, qué conocía en cada momento, qué medidas estaban vigentes y qué se ha cambiado después. Las conclusiones jurídicas deben apoyarse en esos hechos. Si existe incertidumbre, es preferible identificarla y explicar cómo se está verificando antes que presentar una afirmación absoluta que luego no pueda sostenerse.
4. Revisar proveedores y responsables
Muchos requerimientos dependen de servicios cloud, plataformas de marketing, soporte, recursos humanos o software de IA. Hay que comprobar qué proveedor intervenía, con qué instrucciones, qué datos podía consultar, si había subencargados y qué evidencias de seguridad o asistencia conserva. El artículo 28 del RGPD exige que la relación con el encargado quede regulada, pero el documento firmado debe corresponderse con la operativa real.
5. Cerrar la respuesta con un plan
Cuando existan deficiencias, la empresa puede explicar medidas correctoras con responsables y fechas realistas. No conviene prometer resultados imposibles ni presentar como completada una acción que todavía está en fase de implantación. Un plan claro permite distinguir la situación investigada de la mejora posterior y facilita demostrar seguimiento.
ENFOQUE DE DEFENSA
Errores que suelen aumentar el riesgo
Los problemas más habituales no son únicamente la falta de un documento. También aparecen respuestas que no contestan a la pregunta concreta, anexos sin fecha ni contexto, versiones incompatibles de un mismo procedimiento, silencio sobre proveedores, afirmaciones de cumplimiento total sin evidencia o explicaciones que mezclan hechos de distintos periodos.
La empresa debería designar una persona coordinadora, limitar las versiones que circulan internamente y dejar constancia de quién valida la respuesta. Cuando hay una brecha, una reclamación de un interesado o un tratamiento de alto riesgo, conviene revisar además si existen obligaciones específicas de notificación, información o evaluación.
El asesoramiento RGPD para empresas puede ayudar a convertir la comunicación en un plan de respuesta, evidencias y correcciones sin sustituir la interlocución que corresponda con la autoridad.
Checklist de actuación
- Identificar expediente, destinatario, representación y plazo exacto.
- Convertir cada petición en una tarea con responsable y documento de soporte.
- Preservar contratos, registros, logs, tickets, políticas y versiones relevantes.
- Separar hechos históricos, medidas que ya existían y correcciones posteriores.
- Revisar encargados, subencargados, transferencias y sistemas de IA implicados.
- Validar una única respuesta final y conservar el justificante de presentación.
Preguntas frecuentes
¿Recibir un requerimiento de la AEPD significa que la empresa ya está sancionada?
No. Un requerimiento puede formar parte de actuaciones de investigación o inspección y no equivale por sí mismo a una resolución sancionadora. La empresa debe leer el expediente y el alcance concreto de la comunicación.
¿Qué pasa si no tenemos alguno de los documentos que solicita la AEPD?
Debe identificarse qué falta, por qué no existe o quién puede reconstruirlo, y explicarlo con precisión. No conviene crear documentos retroactivos que aparenten haber existido en una fecha anterior.
¿Puede responder directamente el DPO o el departamento de cumplimiento?
Puede coordinar la preparación, pero la respuesta debe validarse por la organización responsable y por las personas con conocimiento de los hechos. En expedientes complejos es recomendable una revisión jurídica antes de presentar.
Fuentes oficiales y criterio aplicado
AEPD · Procedimientos de inspección de datos
Reglamento General de Protección de Datos · texto oficial en EUR-Lex
Contenido informativo y general. No sustituye el análisis del expediente, contrato, sistema o circunstancias concretas de cada empresa. Consulta: 19 de octubre de 2026.
Responde con orden y criterio
Si la empresa necesita revisar el requerimiento, la documentación o el plan de corrección, podemos ordenar el trabajo antes de presentar la respuesta.