Derecho de información en protección de datos: qué decir al recoger los datos y la información por capas

Tema 12 del temario de Correos (Normas de cumplimiento) · apartado 12.1.3 del documento de referencia

Los artículos 13 y 14 del RGPD obligan al responsable a informar a las personas de quién trata sus datos, para qué y con qué derechos. El artículo 13 se aplica cuando los datos se recogen del propio interesado y el 14 cuando proceden de otra fuente. El documento explica el contenido, los plazos y la forma recomendada de hacerlo: por capas.

Información básica obligatoria

• Identidad y datos de contacto del responsable.
• Fines del tratamiento y su base jurídica.
• Plazo de conservación o, si no es posible, los criterios para fijarlo.
• Derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad.
• Derecho a reclamar ante una autoridad de control.

Información que se añade según el caso

• Datos de contacto del delegado de protección de datos, si se ha designado.
• Datos del representante del responsable, en su caso.
• Los intereses legítimos, si el tratamiento se basa en ellos.
• Destinatarios o categorías de destinatarios.
• Intención de transferir los datos a un tercer país u organización internacional y si hay decisión de adecuación de la Comisión.
• Derecho a retirar el consentimiento, si es la base.
• Existencia de decisiones automatizadas y perfiles.
• Si dar los datos es un requisito legal o contractual, si hay obligación de darlos y qué pasa si no se dan.

Si los datos no vienen del interesado

Además de lo anterior, hay que informar de las categorías de datos y de su origen. El plazo es razonable y como máximo de un mes desde que se obtienen; pero si antes se usan para comunicarse con el interesado, la información se da como tarde en esa primera comunicación, y si se van a comunicar a otro destinatario, como tarde cuando se comuniquen por primera vez.

Cómo se presenta: el enfoque por capas

El responsable debe llevar activamente la información al interesado o dirigirle a ella con un enlace directo o un código QR; nadie tiene que buscarla entre las condiciones de uso de una web. Para evitar la «fatiga informativa», el Grupo de Trabajo del artículo 29 recomienda niveles: en el primero, los fines, la identidad del responsable y los derechos; en el segundo, el resto con detalle.

Por teléfono o en persona, el primer nivel puede darse durante la conversación y el resto enviarse después, por ejemplo la política de privacidad por correo electrónico. La LOPDGDD recoge este sistema en su artículo 11 (BOE consolidado): información básica con identidad del responsable, finalidad y posibilidad de ejercer derechos, más una dirección electrónica u otro medio para acceder al resto.

Dudas frecuentes

¿Qué es la información por capas en protección de datos?

Dar primero una información básica (finalidad, responsable y derechos) y remitir a una segunda capa con el resto de detalles, para no saturar al interesado.

¿Cuándo hay que informar si los datos no los dio el interesado?

En un plazo razonable y como máximo en un mes; antes si se usan para contactar con él o se comunican a otro destinatario.

Relacionado

• Derechos de los interesados
• Principios de la protección de datos
• Delegado de protección de datos
• Consentimiento
• Privacidad en redes sociales
• Tema 12: Normas de cumplimiento

Fuente: documento de referencia de Correos (temario oficial, 31/10/2022), tema 12, apartado 12.1.3, páginas 19-21. Explicado con palabras propias de CorreosOpo. Web privada de estudio, no oficial.