El deber de información sobre el tratamiento de datos personales

El deber de información a los interesados sobre el tratamiento de sus datos por parte del Responsable del Tratamiento se ha convertido en uno de los pilares fundamentales del Reglamento General de Protección de Datos y es la principal expresión del principio de transparencia de la norma.

Las distintas empresas, con motivo de su actividad diaria, pueden obtener datos personales por parte del propio interesado (formularios en papel; checkbox en formularios web; navegación web (cookies); etc.) o por terceros (cesiones legítimas entre empresas; datos obtenidos desde fuentes de acceso público; etc.). El mencionado Reglamento establece la información que el Responsable deberá proporcionarse a los interesados en ambos casos.

Datos obtenidos del propio interesado (art. 13 RGPD): identidad y datos de contacto del responsable y en su caso, del representante y de del Delegado de Protección de Datos; los fines del tratamiento de los datos y la base jurídica que los legitima; los intereses legítimos del responsable o del tercero (en caso de que un tratamiento se base en el interés legítimo); los destinatarios o categorías de destinatarios de los datos personales; la previsión de transferencias a terceros países (fuera del Espacio Económico Europeo); el plazo o criterios de conservación de tales datos; mencionar los derechos que asisten al interesado en el tratamiento de sus datos personales (acceso, rectificación, supresión, oposición, limitación de su tratamiento, o el derecho a la portabilidad de los datos); el derecho a retirar el consentimiento prestado; el derecho a presentar una reclamación ante la Autoridad de Control; la necesidad de comunicar los datos y las consecuencias de no facilitar tales datos; y la existencia, en su caso, de decisiones automatizadas en el tratamiento de datos, incluida la elaboración de perfiles.

Toda esta información deberá facilitarse al interesado en el momento en el que se soliciten los datos y siempre de forma previa. En el caso de que el Responsable decida posteriormente realizar un tratamiento de los datos de los que dispone con un fin distinto para el que se recogieron, deberá proporcionar información al interesado sobre ese otro fin y el resto de información adicional según los puntos detallados.

Por otro lado, cuando el Responsable haya obtenido los datos de terceros (art. 14 RGPD), este deberá informar al interesado de los mismos extremos explicados anteriormente, añadiendo la fuente de procedencia de los datos y las categorías de datos que se van a tratar.

Este último hecho es bastante habitual en el ámbito turístico en el que distintas empresas hoteleras y de transporte reciben datos de Agencias de Viajes, o lo que es lo mismo, obtienen datos personales a través de terceros para la consecución del servicio contratado por parte del turista.

El deber de información en estos casos deberá aportarse por parte del Responsable del Tratamiento dentro de un plazo razonable y, en cualquier caso: antes de un mes desde la obtención de los datos personales; antes o en la primera comunicación que realicen con el interesado; o antes de comunicar los datos por primera vez a otros destinatarios.

Como podemos observar, la cantidad de información que puede obtener un interesado de acuerdo con lo descrito puede provocar un efecto negativo y de confusión dicho sujeto, quebrando con ello el principio de transparencia que mencionábamos al inicio. Por tal motivo, la Ley Orgánica de Protección de Datos y Garantías de los Derechos Digitales permite en su art. 11 llevar a cabo la denominada “información por capas” que consiste en aportar una capa informativa básica sobre el tratamiento de los datos personales de forma concisa y con la finalidad de facilitar la comprensión al interesado de las operaciones que se realizarán sobre sus datos (como por ejemplo un breve apartado incluido en un contrato), y posteriormente remitirle a una segunda capa informativa, en la cual se detallen de forma precisa el resto de información respecto al tratamiento de los datos personales (como por ejemplo, una política de privacidad o de protección de datos contenida en su página web).

José Manuel Cañedo

Abogado

jcanedo@binauramonlex.com