El deber de informar al interesado sobre el tratamiento de sus datos personales
El Reglamento General de Protección de Datos (RGPD) establece un amplio marco de protección en mateira de tratamiento de datos personales. Entre los aspectos esenciales de esta regulación se encuentra el el deber de informar al interesado acerca del tratamiento de sus datos personales.
En este sentido, lo primero que debe señalarse es que no estamos ante un mero “deber” del responsable o encargado del tratamiento de los datos. Esto se corresponde con un auténtico derecho del interesado frente a aquellos y erga omnes. La protección de los datos personales constituye un derecho fundamental en la Unión Europea y el principio de transparencia ocupa una posición esencial dentro de su regulación.
Esta materia, el RGPD está presidido precisamente por el principio de transparencia, que obliga a los responsables del tratamiento a facilitar a los interesados determinada información sobre el uso de sus datos personales.
Esta obligación se encuentre regulada fundamental en los artículos 12,13 y 14 del RGPD y, en España, se complementa con lo previsto en el artículo 11 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
En este artículo se aborda el deber de informar al interesado a partir de cinco cuestiones: qué datos se utilizar, quien los trata, para qué, cómo y cuando debe facilitarse la información.
¿Qué contenido tiene este deber de informar al interesado?
La información que debe comunicarse al interesado debe permitirle conocer de forma clara y transparente los principales circusntancias relativas al tratamente de sus datos personales.
Entre otras cuestiones, deberá informase sobre:
- Qué datos personales se van a recoger y/o tratar.
- La identificación y datos de contacto del responsable del tratamiento, y, en su caso, de su representante y del delegado de Protección de datos (DPO).
- La finalidad para la que se recogen y tratan los datos.
- La base jurídica que legitima el tratamiento, como puede ser el consentimiento del interesado, el cumplimiento de una obligación legal, la existencia de interés legítimo o la ejecución de un contrato, entre otras.
- Los destinatarios o categorías de destinatarios de los datos y, en su caso, la existencia de cesiones o transferencias de los datos.
- Los derechos que asisten al interesado, entre ellos, los derechos de acceso, rectificación, cancelación, oposición, supresión, limitación del tratamiento y la portabilidad cuando resulten aplicables.
- La procedencia de los datos, cuando no se hayan obtenido directamente del interesado.
- El plazo durante el cual se van a conservar estos datos y cuando eso no sea posible, los criterios para poder determinar este plazo
- El derecho a presentar una reclamación ante el órgano de control, que en España es la Agencia Española de Protección de Datos (AEPD), sin perjuicio de las autoridades autonómicas competentes.
- La existencia, en su caso, de decisiones automatizadas, incluida elaboración perfiles, y la información exigida por el RGPD sobre este tipo de tratamientos.
La información concreta que deba facilitarse dependerá, entre otros factores, de si los datos se han obtenido directamente del interesado o proceden de otras fuentes.
¿Quién debe cumplir el deber de informar al interesado?
El responsable del tratamiento o, en su caso, su representante es quien debe garantizar el cumplimiento del deber de información establecido en los artículos 13 y 14 del RGPD.
Por tanto, corresponde al responsable adoptar las medidas necesarias para que la información sobre el tratamiento de los datos personales se facilite al interesado conforme a los requisitos establecidos por la normativa de protección de datos.
¿Cómo debe cumplir el deber de informar al interesado?
El artículo 12 del RGPD establece que la información debe facilitarse de forma concisa, transparente, inteligible y fácilmente accesible, utilizando un lenguaje claro y sencillo.
Una de las fórmulas utilizadas para dar cumplimiento a esta obligación es la denominada información por capas o niveles, prevista asimismo en el artículo 11 de la LOPDGDD y recomendada por la Agencia Española de Protección de Datos.
Este sistema permite estructurar la información en dos niveles:
- Primer nivel: información básica y resumida. Debe ponerse a disposición del interesado en el mismo momento y medio en el que se recaben sus datos personales.
- Segundo nivel: información adicional y detallada. El interesado debe poder acceder de forma sencilla e inmediata al resto de la información exigida por la normativa, por ejemplo, mediante un enlace a una política de privacidad.
De esta forma, se pretende facilitar al interesado una información comprensible y accesible sin perjuicio de que pueda consultar posteriormente todos los detalles relativos al tratamiento.
¿Existen excepciones al deber de informar al interesado?
La normativa contempla determinadas excepciones al deber de informar al interesado.
Cuando los datos personales se obtienen directamente del interesado, no será necesario facilitar nuevamente aquella información de la que ya disponga.
Cuando los datos no hayan sido obtenidos directamente del interesado, tampoco será necesario facilitar la información, entre otros supuestos, cuando:
- El interesado ya disponga de dicha información.
- La comunicación resulte imposible o exija un esfuerzo desproporcionado, especialmente en determinados tratamientos con fines de archivo en interés público, investigación científica o histórica o fines estadísticos, siempre que concurran las condiciones y garantías establecidas legalmente.
- La obtención o comunicación de los datos esté expresamente establecida por el Derecho de la Unión Europea o de los Estados miembros, siempre que se contemplen medidas adecuadas para proteger los intereses legítimos del interesado.
- Los datos personales deban permanecer confidenciales en virtud de una obligación de secreto profesional regulada legalmente.
La aplicación de cualquiera de estas excepciones del deber de informar al interesado deberá analizarse atendiendo a las circunstancias concretas del tratamiento.
FAQ sobre el deber de informar al interesado sobre el tratamiento de sus datos personales
¿Qué es el deber de informar al interesado?
El deber de informar al interesado es la obligación del responsable del tratamiento de facilitar a la persona afectada información clara sobre cómo se van a tratar sus datos personales. Esta obligación deriva principalmente de los artículos 12, 13 y 14 del RGPD.
¿Qué información debe facilitarse al interesado?
La información debe incluir, entre otros aspectos, la identidad del responsable del tratamiento, la finalidad del uso de los datos, la base jurídica, los destinatarios, el plazo de conservación, los derechos del interesado y, cuando proceda, la existencia de decisiones automatizadas o transferencias internacionales.
¿Quién debe cumplir el deber de informar al interesado?
El responsable del tratamiento es quien debe garantizar el cumplimiento del deber de información y adoptar las medidas necesarias para facilitar al interesado la información exigida por la normativa.
¿Cómo debe facilitarse la información al interesado?
La información debe proporcionarse de forma concisa, transparente, inteligible y fácilmente accesible, utilizando un lenguaje claro y sencillo. Puede estructurarse mediante un sistema de información por capas, con una primera información básica y otra más detallada.
¿Cuándo debe cumplirse el deber de informar al interesado?
Cuando los datos se obtienen directamente del interesado, la información debe facilitarse en el momento de su recogida. Si los datos proceden de otras fuentes, debe proporcionarse dentro de un plazo razonable y, como máximo, en el plazo de un mes, salvo que deba informarse antes por producirse una primera comunicación o cesión.
¿Qué ocurre si los datos no se han obtenido directamente del interesado?
En ese caso, el responsable debe informar también sobre la procedencia de los datos y cumplir con las obligaciones específicas previstas en el artículo 14 del RGPD.
¿Existen excepciones al deber de informar al interesado?
Sí. Entre otros supuestos, puede no ser necesario facilitar determinada información cuando el interesado ya disponga de ella o, en determinados casos de datos obtenidos de terceros, cuando la comunicación resulte imposible o suponga un esfuerzo desproporcionado, exista una previsión legal específica o sea aplicable una obligación de secreto.
¿Qué derechos tiene el interesado respecto de sus datos personales?
El interesado puede ejercer, cuando proceda, los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, además de las garantías aplicables frente a determinadas decisiones automatizadas.
¿Por qué es importante cumplir correctamente el deber de informar al interesado?
Porque permite que las personas conozcan quién trata sus datos, para qué se utilizan y cuáles son sus derechos, y constituye una manifestación esencial de los principios de transparencia y lealtad establecidos por el RGPD.
¿Necesita asesoramiento? Acceda a nuestras áreas relacionadas con el deber de informar al interesado sobre el tratamiento de sus datos personales:
