Recibir un requerimiento de la AEPD pone en marcha un plazo corto y un examen real de tu documentación. La diferencia entre un susto y un problema suele estar en si el RAT, los registros de consentimiento y los contratos de encargo estaban listos antes de que llegara el oficio. Esta guía resume qué hacer, con los plazos verificados contra la norma.
Respuesta directa: un requerimiento de información de la AEPD fija un plazo para responder que el propio documento indica; en la práctica suele ser de 10 días hábiles. Verifica siempre el plazo y la fecha exactos en el requerimiento, porque es el que cuenta. Los plazos en días hábiles se cuentan desde el día siguiente a la notificación (art. 30 Ley 39/2015) y excluyen sábados, domingos y festivos. Cabe solicitar prórroga antes del vencimiento: el art. 32 de la Ley 39/2015 permite una ampliación que no exceda de la mitad del plazo inicial, a criterio del órgano. Un requerimiento de información no es una sanción: es una fase de averiguación que puede acabar en archivo.
¿Cuánto plazo tengo para responder?
El plazo es el que indique el propio requerimiento, y debes leerlo en el documento antes que en cualquier guía. En los requerimientos de información de la AEPD el plazo habitual es de 10 días hábiles, pero la cifra exacta y la fecha de inicio aparecen en el oficio y son las que cuentan a efectos legales.
Para calcular bien el vencimiento conviene tener claro el cómputo. La Ley 39/2015 del Procedimiento Administrativo Común establece que, cuando los plazos se señalan en días hábiles, se excluyen sábados, domingos y festivos, y que el plazo se cuenta a partir del día siguiente a aquel en que tenga lugar la notificación. Texto oficial: Ley 39/2015 (BOE).
Si necesitas más tiempo, puedes solicitar una prórroga antes de que venza el plazo. El artículo 32 de la Ley 39/2015 permite a la Administración conceder, de oficio o a petición de los interesados, una ampliación de los plazos que no exceda de la mitad de los mismos, si las circunstancias lo aconsejan y no se perjudican derechos de tercero. No es automática: la concede el órgano, y la petición debe presentarse antes del vencimiento.
Qué documentación tener lista
Lo que enseñas ante un requerimiento es el cuerpo documental de tu cumplimiento, así que conviene tenerlo actualizado antes, no improvisarlo en 10 días. Como mínimo, prepara:
- Registro de Actividades de Tratamiento (RAT) actualizado (art. 30 RGPD), con finalidades, bases jurídicas, categorías de datos y de interesados, plazos de conservación y medidas de seguridad.
- Registros de consentimiento, cuando esa sea la base jurídica: prueba de que el consentimiento fue libre, específico, informado e inequívoco, y verificable por canal cuando proceda.
- Contratos de encargo de tratamiento (art. 28 RGPD) con todos los encargados (hosting, gestorías, herramientas SaaS), con las cláusulas que el art. 28.3 exige.
- Medidas técnicas y organizativas (art. 32 RGPD): política de seguridad, control de accesos, cifrado donde proceda, copias de seguridad y, en su caso, registro de violaciones de seguridad.
- Información a los interesados (arts. 13-14 RGPD): cláusulas informativas y políticas de privacidad vigentes.
Si llevas varios clientes, el riesgo es que la documentación de uno esté al día y la de otro no. Por eso interesa tener una traza por cliente que diga, en cualquier momento, qué hay y cuándo se revisó.
Cómo se presentan las alegaciones
Las alegaciones y la respuesta al requerimiento se presentan por vía telemática a través de la sede electrónica de la AEPD. La respuesta debe ser ordenada: contestar punto por punto lo solicitado y acompañar la documentación que lo acredite. Una respuesta clara, completa y dentro de plazo es la mejor defensa.
Conviene no confundir dos momentos distintos del procedimiento:
- El requerimiento de información es una actuación previa: la AEPD pide datos para decidir si hay indicios de incumplimiento. Una respuesta diligente puede llevar a que se archive sin más.
- El trámite de alegaciones dentro de un procedimiento sancionador ya abierto tiene su propio plazo. El art. 82 de la Ley 39/2015 fija para el trámite de audiencia un plazo no inferior a 10 ni superior a 15 días para formular alegaciones y presentar documentos.
En ambos casos, responder bien y a tiempo es lo que abre la puerta al archivo de actuaciones.
Lo que enseñas si te inspeccionan: el valor de la traza por cliente
En una inspección no basta con cumplir: hay que poder demostrar que cumplías, y desde cuándo. El principio de responsabilidad proactiva del art. 5.2 RGPD obliga al responsable a estar en condiciones de demostrar el cumplimiento. Para un DPO externo, eso se traduce en una traza por cliente: por cada novedad relevante de la AEPD o del EDPB, dejar constancia de cuándo se revisó, qué clientes de tu cartera afectaba y qué se comprobó.
Esa traza convierte un requerimiento en un trámite manejable. En lugar de reconstruir a contrarreloj qué hiciste y cuándo, abres el expediente del cliente afectado y enseñas la secuencia: la novedad, la fecha de revisión, la fuente oficial y la acción tomada. Es la diferencia entre “creo que estábamos bien” y “aquí está la prueba”.
Preguntas frecuentes
¿Cuánto plazo hay para responder un requerimiento de información de la AEPD?
El requerimiento indica el plazo concreto; en los requerimientos de información de la AEPD suele ser de 10 días hábiles. Verifica siempre el plazo y la fecha exactos en el propio documento, ya que es el que cuenta. Los plazos en días hábiles se cuentan desde el día siguiente a la notificación (Ley 39/2015).
¿Se puede pedir una prórroga del plazo?
Sí. El art. 32 de la Ley 39/2015 permite a la Administración conceder, a petición de los interesados, una ampliación de los plazos que no exceda de la mitad del plazo inicial, siempre que se solicite antes del vencimiento y no se perjudiquen derechos de terceros. La concesión no es automática: queda a criterio del órgano.
¿Qué pasa si no respondo a un requerimiento de la AEPD?
No atender un requerimiento de información puede ser sancionable como infracción autónoma, además de empeorar tu posición en el procedimiento. Siempre es mejor responder en plazo, aunque sea para solicitar prórroga o aportar lo que se tenga, que dejar pasar el plazo.
¿Un requerimiento de información significa que ya hay sanción?
No. Un requerimiento de información es una fase previa de averiguación: la AEPD recaba datos antes de decidir si abre un procedimiento sancionador. Una respuesta diligente y bien documentada puede llevar al archivo de las actuaciones sin sanción.
¿Quieres llegar a cualquier requerimiento con la documentación de cada cliente ya trazada y cada novedad de la AEPD cruzada con tu cartera? Reserva tu plaza en el grupo fundador de Vigía DPO: vigiadpo.com/#reserva.