Transparencia e información al afectado.

1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
3. La identidad del responsable del tratamiento y de su representante, en su caso.
4. La finalidad del tratamiento.
5. La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.

Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.

3. Cuando los datos personales no hubieran sido obtenidos del afectado, el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.

En estos supuestos, la información básica incluirá también:

1. Las categorías de datos objeto de tratamiento.
2. Las fuentes de las que procedieran los datos.

Vea nuestro curso de LOPD GDD

1. Principio de transparencia

El principio de transparencia establece que la información y las comunicaciones relacionadas con el tratamiento de datos personales deben ser fácilmente accesibles y comprensibles para los interesados. Esto significa que los responsables del tratamiento deben proporcionar la información de manera clara, concisa y en un lenguaje sencillo, especialmente si se trata de menores.

2. Información que debe proporcionarse al afectado

El RGPD distingue entre dos escenarios en los que se debe proporcionar información a los afectados:

A. Recogida de datos directamente del interesado (artículo 13 del RGPD)

Cuando los datos personales se recopilan directamente del interesado, el responsable del tratamiento debe proporcionarle la siguiente información en el momento de la recogida:

1. Identidad y datos de contacto del responsable del tratamiento: Incluyendo, si es aplicable, los datos de contacto del delegado de protección de datos (DPO).
2. Finalidades del tratamiento: Explicar claramente para qué se van a utilizar los datos personales.
3. Base jurídica del tratamiento: Indicar si el tratamiento se basa en el consentimiento del interesado, en la ejecución de un contrato, en el cumplimiento de una obligación legal, etc.
4. Destinatarios o categorías de destinatarios: Indicar si los datos personales se compartirán con terceros.
5. Transferencias internacionales: Informar si los datos se transferirán a un tercer país u organización internacional y, en su caso, las garantías adecuadas o apropiadas para proteger los datos.
6. Plazo de conservación: Indicar cuánto tiempo se conservarán los datos personales o, si no es posible, los criterios utilizados para determinar ese plazo.
7. Derechos del interesado: Informar sobre los derechos que tiene el interesado, como el derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como el derecho a retirar el consentimiento en cualquier momento.
8. Derecho a presentar una reclamación: Indicar que el interesado puede presentar una reclamación ante una autoridad de control, como la Agencia Española de Protección de Datos.
9. Obligación o no de proporcionar los datos: Indicar si la provisión de datos es un requisito legal o contractual, o un requisito necesario para celebrar un contrato, y las posibles consecuencias de no proporcionar dichos datos.
10. Existencia de decisiones automatizadas: Informar si se realizarán decisiones automatizadas, incluida la elaboración de perfiles, y proporcionar información significativa sobre la lógica aplicada y las consecuencias de dicho tratamiento.

B. Recogida de datos no directamente del interesado (artículo 14 del RGPD)

Cuando los datos personales no se recogen directamente del interesado, el responsable debe proporcionar la misma información que en el escenario anterior, además de:

1. Categorías de datos personales tratados: Explicar qué tipo de datos personales se están tratando.
2. Fuente de los datos: Informar sobre el origen de los datos y, si es aplicable, si provienen de fuentes accesibles al público.

Esta información debe proporcionarse en un plazo razonable, que no exceda de un mes, o en el momento de la primera comunicación con el interesado, o cuando los datos se comuniquen por primera vez a un tercero.

3. Excepciones a la obligación de información

Existen ciertas excepciones en las que no es necesario proporcionar esta información al interesado, por ejemplo:

• Si el interesado ya dispone de la información.
• Cuando la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado(en cuyo caso, el responsable deberá adoptar medidas adecuadas para proteger los derechos del interesado, como hacer pública la información).
• Cuando la obtención o comunicación de los datos está expresamente prevista por la legislación aplicable.

4. Medios para proporcionar la información

La información debe proporcionarse de manera escrita o por otros medios, incluida la vía electrónica. Cuando lo solicite el interesado, la información puede darse verbalmente, siempre y cuando se acredite la identidad del interesado por otros medios.

5. Consecuencias del incumplimiento

El incumplimiento del deber de transparencia e información puede dar lugar a sanciones por parte de las autoridades de protección de datos, además de afectar la confianza de los usuarios y la reputación del responsable del tratamiento.