Una inspección de protección de datos no se prepara imprimiendo políticas nuevas ni creando registros con fecha antigua. Se prepara entendiendo qué datos existen, cómo se usan, qué controles funcionan y qué evidencia puede demostrarlo.
La autoridad puede revisar documentos, pero también puede preguntar por operaciones reales. Una carpeta perfecta que no coincide con la práctica se convierte en evidencia de incumplimiento, no en defensa.
Empieza por el tratamiento real de datos
Identifica qué datos personales recopilas, de quiénes, con qué finalidad, dónde se almacenan, quién accede, con quién se comparten y durante cuánto tiempo se conservan. Distingue datos sensibles, terceros, empleados, clientes y proveedores.
El mapa debe describir lo que realmente ocurre, no lo que el organigrama ideal sugiere. Una cuenta personal usada para recibir documentos, una nube compartida o un proveedor externo también forman parte del tratamiento.
No copies un inventario genérico. La empresa puede tener datos en correos, mensajería, carpetas compartidas, aplicaciones de recursos humanos, grabaciones, respaldos y dispositivos personales autorizados. La fuga puede estar en ese último lugar que nadie escribió.
Revisa documentos contra práctica
Compara aviso de privacidad, contratos, políticas, procedimientos y registros con lo que realmente hacen los equipos. Si la política exige doble aprobación, busca operaciones donde se compruebe. Si exige retención limitada, revisa si los archivos se eliminan según el procedimiento.
Una política sin evidencia de aplicación no acredita cumplimiento. La autoridad puede pedir ejemplos, registros y responsables. Prepara una explicación que conecte regla, acción y prueba, no una afirmación vacía.
También revisa contratos con proveedores: encargados, destinatarios, encargos, subencargos, transferencias y mecanismos de control. El proveedor que administra datos no desaparece de la responsabilidad por estar fuera de la oficina.
Prepara evidencia de controles
Reúne registros de acceso, autenticación, cambios de permisos, alertas, revisiones, respaldos, eliminación, incidentes y remediaciones. Los archivos deben conservar origen y trazabilidad, no solo una tabla preparada para la visita.
Si una medida funciona, debes poder demostrarla con un escenario autorizado o con eventos reales. Si una alerta llega a un buzón sin revisión, eso debe corregirse y documentarse antes de presentarlo como control eficaz.
No ocultes incidentes anteriores. Explica qué ocurrió, cómo se detectó, qué se corrigió y cómo se comprobó la corrección. Una historia con errores y evidencia de aprendizaje es más defendible que una perfección fabricada.
Delimita alcance y confidencialidad
La inspección no debe convertirse en entrega indiscriminada de información de terceros. Define qué sistemas, fechas, operaciones y documentos son relevantes. Prepara copias de consulta con acceso restringido y conserva originales separados.
Si la autoridad pide registros, identifica qué campos son necesarios y qué fuente los produce. Si falta un documento, explica su ausencia con retención y custodia, no lo reconstruyas con fecha anterior.
Para dirección, el alcance evita gasto y exposición innecesaria. Para el abogado, permite revisar autoridad, privacidad y debido proceso. Para el equipo técnico, permite reproducir fuentes y métodos sin alterar producción.
Ensaya preguntas difíciles
Antes de la inspección, formula preguntas que una revisión seria podría hacer: quién accede a datos sensibles, cómo se comprueba doble aprobación, qué pasa con un exempleado, qué ocurre con un respaldo, cómo se notifica un incidente y qué evidencia existe de corrección.
Si la respuesta depende de “lo tenemos escrito”, todavía falta evidencia. Si depende de una captura, hay que saber de dónde salió y qué demuestra. Si no se sabe, se registra como pendiente en lugar de improvisar.
Una inspección preparada no es una actuación teatral. Es la capacidad de mostrar hechos con orden, reconocer límites y presentar correcciones comprobables.