RGPD – Unidad II : 1.2 Derechos del interesado – Derecho a la Información

1. DERECHOS DEL INTERESADO

EL RGPD regula en el Capítulo III los derechos del interesado en materia de protección de datos los cuales quedan descritos en los art. 15 a 20 y en los considerandos 58 a 71. Como veremos más adelante, el RGPD introduce nuevos derechos a los ya existentes en nuestra normativa de protección de datos (los comúnmente denominados derechos ARCO por el acrónimo de Acceso, Rectificación, Cancelación y Oposición) como son el derecho a la portabilidad del dato y el derecho a la limitación en el tratamiento.

1.2 DERECHO A LA INFORMACIÓN

El derecho a la información se regula en los art. 13 y 14 así como en los considerandos 60 a 62 del RGPD. A diferencia de la Directiva la obligación de información que tenían los responsables del tratamiento de datos pasa a ser un derecho del interesado y no un deber u obligación del responsable.

El derecho a ser informado y su contenido se divide en dos, en función del origen de la obtención del dato:

1.2.1 Datos obtenidos del interesado:

El art.13 incrementa la información que ha de facilitarse al interesado.

Artículo 13: Información que deberá facilitarse cuando los datos personales se obtengan del interesado

1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
   1. la identidad y los datos de contacto del responsable y, en su caso, de su representante;
   2. los datos de contacto del Delegado de Protección de Datos, en su caso;
   3. los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
   4. cuando el tratamiento se base en el artículo 6, apartado 1, letra f) (Interés legítimo), los intereses legítimos del responsable o de un tercero;
   5. los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
   6. en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 (Transferencias mediante garantías adecuadas) o 47 (Normas corporativas vinculantes) o el artículo 49 (Excepciones para situaciones específicas), apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
   1. el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
   2. la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
   3. cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a) (Consentimiento), o el artículo 9, apartado 2, letra a) (Consentimiento explícito categorías especial datos), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
   4. el derecho a presentar una reclamación ante una autoridad de control;
   5. si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
   6. la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, (Decisiones individuales automatizadas, incluida la elaboración de perfiles) y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.

Podríamos clasificarla en información Fija y Variable, siendo la primera aquella información que siempre se ha de facilitar al interesado y Variable aquella información que varía en función de que la misma sea aplicable al supuesto de hecho o al concreto responsable de tratamiento de que se trate.

Información Fija:

• Identidad y datos de contacto del responsable y, en su caso, de su representante.
• La finalidad del tratamiento y la base jurídica para el tratamiento del mismo.
• Plazos de conservación de los datos o criterios para determinar el plazo.
• De la posibilidad de solicitar el ejercicio de derechos: acceso, rectificación, supresión, limitación, oposición y portabilidad.
• El derecho a revocar el consentimiento.
• El derecho a presentar reclamación ante la Autoridad de Control.

Información Variable:

• Identidad del Delegado de Protección de Datos.
• Del interés legítimo del responsable o un tercero, en el caso de uso de dichos supuestos de tratamiento.
• De los destinatarios en caso de que existan.
• De las transferencias internacionales incluyendo información sobre las garantías adoptadas.
• De la existencia de decisiones individualizadas automatizadas.
• La existencia de comunicaciones de datos, bien por requisito legal o contractual, y de la obligación a facilitar dichos datos y las consecuencias de la negativa a facilitarlos.

La referida información no será de aplicación en los supuestos en los que interesado ya disponga de la misma.

1.2.2 Datos No obtenidos del interesado

En el art.14 se establece la información que se deberá facilitar cuando los datos no hayan sido recabados u obtenidos del interesado. En estos casos el responsable deberá facilitar en el plazo de 1 mes (se modifica el plazo de 3 meses de nuestra normativa) además de la información anterior del art. 13 la siguiente información:

• El origen de los datos.
• Las categorías de datos.

Se aclara además que en estos supuestos de no obtención directa del interesado el plazo para informar es de un mes con dos excepciones:

• Si trata el dato para comunicarse con el afectado, se deberá informar antes o a más tardar en la primera comunicación que se dirija.
• Si se realiza el tratamiento para facilitárselo a un tercero, se deberá informar antes de la comunicación o a más tardar en el momento en que los datos sean comunicados por primera vez (lo que era el antiguo art. 27 de la LOPD)

Adicionalmente, se establece que en los casos en los que se proyecte realizar un tratamiento posterior para una finalidad distinta a la de la recogida y obtención del dato, se deberá informar con anterioridad a dicho tratamiento de toda la información recogida en dichos arts. 13 y 14.

Por último, en el art. 14.5 se establecen los supuestos o excepciones respecto al deber de información al interesado:

14. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
    1. el interesado ya disponga de la información;
    2. la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1 (Investigación científica o estadística), o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
    3. la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
    4. cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.

Al igual que en el supuesto de obtención directa del interesado, no será necesario informar en los casos en los que el interesado ya dispone de dicha información, ni en los siguientes supuestos:

• Resulte imposible o suponga un esfuerzo desproporcionado en caso de tratamiento con fines de archivo, estadísticos o de investigación científica o histórica. Se entiende por el considerando 62 que para que se dé esta circunstancia es necesario tener en consideración el número de interesados, la antigüedad de los casos y las garantías adoptadas.
• Exista una Previsión legal expresa de tratamiento o prohibición de revelación, con medidas oportunas de protección.
• Obligación de secreto legal o profesional.

1.2.3 Guía de la AEPD para el cumplimiento del deber de informar.

En relación con el deber de información la AEPD de datos ha publicado unas Guías para el cumplimiento del deber de informar en donde destaca la división de la información por capas o niveles, de forma similar a como se venía realizando con las cookies. Así la AEPD recomienda dividir la información en dos capas, de tal forma que una primera capa se informe de la información básica y resumida del tratamiento de datos en el mismo momento y en el mismo medio en el que se recojan los datos, para a continuación remitir a un segundo nivel o segunda capa en donde se incluirá de forma detallada el resto de obligaciones de información. Esta segunda capa podrá ser un medio distinto más adecuado para su presentación y comprensión pudiendo tratarse incluso de un archivo descargable. El cuadro resumen publicado por la AEPD sería el siguiente:

De esta manera ala AEPD recomienda presentar siempre los cinco primeros epígrafes (“Responsable”, “Finalidad”, “Legitimación”, “Destinatarios” y “Derechos”), añadiendo el epígrafe “Procedencia” únicamente cuando los datos no procedan del propio interesado. El objetivo por tanto por un lado es facilitar la tarea del Responsable del Tratamiento a la hora de diseñar sus procedimientos y formularios de recogida de datos, y por otro, conseguir que las personas interesadas obtengan la información más relevante de forma rápida y simplificada en una primera capa, pero sin que ello suponga ningún menoscabo de los principios de licitud, lealtad y transparencia que establece el RGPD.

Un ejemplo de Cláusula de información en formato papel podría ser el siguiente:

Otra ejemplo de cláusula de información en formato electrónico podría ser el siguiente:

CONCLUSIONES

• Información fija a facilitar: Datos del responsable, finalidad y base jurídica del tratamiento, plazo de conservación, ejercicio de derechos, posibilidad de revocar el consentimiento y posibilidad de reclamación.
• Información variable: Cesiones o comunicaciones, Delegado de PD, Interés legítimo, Transferencias internacionales y decisiones automatizadas.
• En caso de no obtener la información del interesado se deberá informar en el plazo de 1 mes añadiendo información sobre el origen de los datos y las categorías de datos obtenidas.
• Se recomienda por las Autoridades de control dividir la información en dos capas, una de primer nivel con la información básica resumida y otra de segundo nivel con información adicional detallada.