Mi empresa ha recibido una solicitud de información de la Agencia Española de Protección de Datos, ¿qué puede pasar?

Sin perjuicio de que la empresa estará obligada a contestar a los requerimientos de información efectuados por la AEPD, debemos tener en cuenta que, normalmente, constituyen la antesala de un procedimiento sancionador.

Así, lo más habitual cuando recibimos un requerimiento de información de la AEPD es que, previamente, haya habido una denuncia y nos soliciten que aportemos determinada información sobre la fuente de los datos, relación existente o clausulas firmadas con un determinado afectado o interesado.

A nadie escapa que, el fin de este tipo de requerimientos, es comprobar las circunstancias del caso concreto y si existen indicios suficientes para iniciar un procedimiento sancionador.

Este tipo de requerimientos, suelen se parte de las llamadas Actuaciones Previas, reguladas en el artículo 55 de la Ley 39/2015 y que permite a las Administraciones, en nuestro caso, a la AEPD abrir un periodo de información con los fines arriba indicados. Si lo que se decide es sobre la oportunidad o no de iniciar un procedimiento sancionador, el periodo de actuaciones previas estará orientado a delimitar los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros.

Por este motivo, es importante que las empresas cuenten con una política de protección de datos que sea bien conocida por sus empleados, de forma que se garantice que siempre se cumplirán con los deberes de información y transparencia previstos en el RGPD. Conocer bien los tratamientos que se llevan a cabo en la empresa y disponer de clausulados, formularios y leyendas estándar a través de las cuales informar a los interesados, puede evitar cometer infracciones de la normativa de protección de datos, así como facilitar la labor de recuperar la información y respuesta a la AEPD en caso de que efectúe un requerimiento de información.

Como cualquier otro requerimiento de la Administración, se debe contestar dentro del plazo concedido al efecto, normalmente de diez días hábiles, de lo contrario se entenderá por no contestado.

Si para recopilar la documentación o recuperar la información que solicita la AEPD necesitamos más plazo, es posible pedir una ampliación del mismo, en virtud del artículo 32 de la Ley 39/2015, si bien la ampliación nunca excederá de la mitad del plazo original.

Una vez contestado el requerimiento de información realizado por la AEPD, si del mismo se desprende que nuestra empresa ha cumplido con los deberes derivados de la normativa de protección de datos, queda justificada de forma razonable nuestra actuación o que, a pesar de que haya habido algún tipo de infracción no somos los responsables, la AEPD normalmente archivará las actuaciones.

De no ser así o existir lagunas en nuestra respuesta, puede suceder que recibamos requerimientos de información adicionales o que la AEPD acuerde la apertura de un procedimiento sancionador. En este caso, recibiremos el correspondiente acuerdo de incoación del procedimiento que deberá indicar los siguientes extremos:

1. Identificación de la persona o personas presuntamente responsables.
2. Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que, en su caso, pudieran corresponder.
3. Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
4. Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad.
5. En su caso, medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador.
6. Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio.

Es necesario respetar el plazo concedido para formular alegaciones, puesto que transcurrido el mismo sin presentar las alegaciones, el acuerdo de incoación puede ser considerado como propuesta de resolución, siempre y cuando, el acuerdo se haya pronunciado sobre la responsabilidad imputada. 

Se debe recordar que, de conformidad con lo dispuesto en el artículo 53 de la Ley 39/2015, la empresa tendrá derecho a acceder al estado del procedimiento, así como a obtener copias de los documentos e informaciones que obren en el mismo. Por lo que es conveniente, según se reciba el acuerdo de incoación, solicitar el acceso al expediente a fin de revisar la documentación contenida en el mismo  y poder formular, en su caso, las alegaciones que sean oportunas, así como aportar las correspondientes pruebas tanto a los hechos contenidos en el Acuerdo de incoación, como en el expediente.

Es conveniente, asimismo solicitar la ampliación del plazo para contestar, de acuerdo, con lo comentado anteriormente, en previsión de retrasos como consecuencia del examen de documentación adicional y, en su caso, la recopilación de las pruebas que se vayan a aportar junto con las alegaciones. En este sentido, será válido cualquier medio de prueba admitido en derecho, las cuales serán valoradas de conformidad con lo dispuesto en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil.

Concluida la instrucción, si el instructor aprecia que concurre alguna de las siguientes circunstancias:

1. Inexistencia de los hechos que pudieran constituir la infracción.
2. Los hechos no han quedado acreditados.
3. Los hechos que si han quedado probados no constituyen, de modo manifiesto, una infracción administrativa.
4. No existe o no es posible identificar a la persona o personas responsables o bien quedan exentos de responsabilidad.
5. La infracción ha prescrito.

Podrá ordenar el archivo de las actuaciones sin necesidad de emitir propuesta de resolución.

De no ser así, el órgano instructor formulará una propuesta de resolución que deberá ser notificada a los interesados. Dicha propuesta deberá fijar el plazo para formular alegaciones, así como hacer referencia a los documentos e informaciones que se estimen pertinentes. Si no se hubiera solicitado el acceso en el momento de la recepción del acuerdo de incoación o en la propuesta de resolución se incluyeran nuevos documentos, obtenidos como consecuencia de la instrucción, se puede solicitar el acceso y copia de los mismos en virtud del citado artículo 55 de la Ley 39/2015.

Adicionalmente, la propuesta de resolución deberá contener de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, así como  determinar la infracción que dichos hechos constituyan, la identificación del responsable o responsables  de la infracción y la sanción propuesta.

Deberá, asimismo hacer referencia a la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, así como las medidas provisionales que, en su caso, se hubieran adoptado.

De nuevo es importante respetar los plazos concedidos por la AEPD para formular alegaciones, por cuanto si no se presentan, la propuesta se considerará la resolución del procedimiento.

En todo caso, la Resolución que emita la AEPD deberá cumplir con los requisitos fijados en la Ley 39/2015. A estos efectos, debe tenerse en cuenta que no podrá contener hechos distintos de los determinados en el curso del procedimiento.

No obstante lo anterior, sería  posible que la AEPD considere que la infracción o la sanción revisten mayor gravedad que la determinada en la propuesta de resolución, en cuyo caso, es necesario que notifique dicha decisión al inculpado para que aporte cuantas alegaciones estime convenientes en el plazo de quince días.

En caso de que la Resolución sea sancionadora, al tratarse de un acto que pone fin a la vía administrativa[1], podremos interponer recurso potestativo de reposición en el plazo de un mes desde la resolución o acudir directamente a la vía contencioso-administrativa en el plazo de dos meses desde la resolución. En este sentido, cabe destacar que los actos de la AEPD son directamente ejecutivos y, por tanto, en caso de presentar recurso contencioso-administrativo se podrá solicitar la suspensión cautelar de la ejecución del acto.

La ley 39/2015 no establece plazo expreso para la resolución de los procedimientos sancionadores, en consecuencia, resultará de aplicación el plazo  general de tres meses previsto en el artículo 21 de la citada disposición legal. No obstante, con carácter excepcional, sería posible ampliar el plazo de resolución en virtud del artículo 23 de la Ley 39/2015, siempre y cuando se den las circunstancias recogidas en el mismo[2].

Trascurrido el plazo sin resolución por parte de la AEPD, el procedimiento caduca y se declarará el archivo de las actuaciones. No obstante, si la infracción no ha prescito, la AEPD puede incoar nuevo procedimiento sancionador por los mismos hechos de acuerdo con el artículo 95 de la Ley 39/2015. En estos caso, la AEPD puede incorpora al nuevo procedimiento los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. Si bien, deberán respetarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.