Transparencia e Información.
(Artículos 12-14 del RGPD y Artículos 11 y 12 de la LO 3/2018).
Principio de transparencia en el tratamiento.
El principio de transparencia en el tratamiento se menciona en el contexto de los principios relativos al tratamiento establecidos en el Artículo 5 del RGPD. Este principio requiere que los datos personales sean tratados de manera lícita, leal y transparente en relación con el interesado.
La Ley Orgánica 3/2018 adapta al Derecho español el principio de transparencia del reglamento europeo y regula el derecho de los afectados a ser informados. Introduce el concepto de «información por capas», que permite ofrecer:
- Una información básica al afectado.
- Una dirección electrónica u otro medio para acceder de forma sencilla e inmediata a la información restante.
Obligación del responsable de facilitar información clara.
El responsable del tratamiento debe tomar las medidas necesarias para proporcionar al interesado toda la información relativa al tratamiento de sus datos de forma:
- Concisa,
- Transparente,
- Inteligible y
- De fácil acceso,
- Con un lenguaje claro y sencillo, especialmente en el caso de información dirigida a niños.
Esta obligación también se recoge en el Capítulo 3 del RGPD y en el Título III de la LO 3/2018.
Formas de facilitar la información.
- La información debe proporcionarse por escrito o por medios electrónicos.
- Si lo solicita el interesado, puede facilitarse verbalmente, siempre que se acredite su identidad.
- El responsable debe informar de los medios a disposición del afectado para ejercer sus derechos, los cuales deben ser fácilmente accesibles.
Información a facilitar según la obtención de los datos.
Cuando los datos se obtienen del interesado.
(Artículo 13 del RGPD y Artículos 11.1 y 11.2 de la LO 3/2018).
Información básica.
El responsable debe facilitar, en el momento de obtener los datos personales, la siguiente información:
- Identidad del responsable del tratamiento y de su representante, si lo hubiera.
- Finalidad del tratamiento.
- Derechos del interesado: acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y derecho a no ser objeto de decisiones automatizadas.
En caso de elaboración de perfiles, se informará además:
- Que los datos se usarán para ese fin.
- El derecho del afectado a oponerse a decisiones automatizadas con efectos jurídicos o significativos.
Información adicional (Artículo 13 del RGPD).
Además, se facilitará al interesado:
- Datos de contacto del delegado de protección de datos, si existe.
- Fines y base jurídica del tratamiento.
- En su caso, intereses legítimos del responsable o terceros.
- Destinatarios o categorías de destinatarios de los datos.
- Transferencias internacionales y si existe una decisión de adecuación o garantías adecuadas.
- Plazo de conservación de los datos o criterios utilizados.
- Existencia del derecho a acceder, rectificar, suprimir, limitar, oponerse y portar los datos.
- Si se basa en consentimiento, el derecho a retirarlo en cualquier momento.
- Derecho a reclamar ante una autoridad de control.
- Si la comunicación de datos es un requisito legal o contractual, y las consecuencias de no facilitarlos.
- Existencia de decisiones automatizadas o elaboración de perfiles, lógica aplicada y consecuencias previstas.
Nota: El responsable puede cumplir su deber proporcionando información básica y una dirección para acceder a la información completa.
Cuando los datos no se obtienen del interesado.
(Artículo 14 del RGPD y Artículos 11.3 y 11.4 de la LO 3/2018).
El responsable deberá proporcionar:
- Identidad y datos de contacto del responsable y su representante, en su caso.
- Contacto del delegado de protección de datos, si lo hubiera.
- Fines y base jurídica del tratamiento.
- Categorías de datos personales tratadas.
- Destinatarios de los datos, si procede.
- Información sobre transferencias internacionales y garantías si se realizan.
- Plazo de conservación o criterios para determinarlo.
- Intereses legítimos, si procede.
- Existencia de los derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad.
- Si se basa en el consentimiento, derecho a retirarlo en cualquier momento.
- Derecho a reclamar ante una autoridad de control.
- Fuente de los datos personales y si proceden de fuentes accesibles al público.
- Existencia de decisiones automatizadas o elaboración de perfiles, lógica aplicada y consecuencias previstas.
Cumplimiento del deber de informar.
- Debe cumplirse sin requerimiento previo del interesado.
- El responsable debe acreditar que cumplió con este deber.
- Puede proporcionarse información básica (identidad del responsable, finalidad y derechos) y un enlace o medio para acceder a la información completa.
Tratamiento ulterior.
Si se planea un tratamiento ulterior para una finalidad distinta, se deberá informar al interesado antes de dicho tratamiento.
Excepciones a la obligación de informar.
No se aplica la obligación de informar cuando:
- El interesado ya dispone de la información.
- La comunicación es imposible o supone un esfuerzo desproporcionado, especialmente en tratamientos con fines de archivo en interés público, investigación científica o histórica, o estadísticos.
- Lo establece el Derecho de la Unión o de los Estados miembros que se aplique al responsable.
- La comunicación compromete el secreto profesional exigido por norma legal.
Uso de iconos normalizados para la información.
La información al interesado puede acompañarse de iconos normalizados que:
- Sean visibles, inteligibles y legibles.
- En formato electrónico, deben ser legibles mecánicamente.
La Comisión Europea puede adoptar actos delegados para definir:
- La información que deben presentar los iconos.
- Los procedimientos para proporcionarlos.