La transparencia, la información al interesado y el derecho de acceso

Si los datos van a usarse para comunicarse con el interesado, esa primera comunicación es la última ocasión de informarle: la información tiene que llegar, como muy tarde, con ella. Esperar a que conteste o dejar pasar un mes después dejaría al interesado recibiendo mensajes de alguien que no sabe por qué tiene sus datos; y el reglamento no traslada el deber a quien los cede.

Una copia puede arrastrar datos de terceros —una grabación, un correo con otras personas—, y por eso el reglamento pone el límite en los derechos y libertades de los demás. No exige acreditar ningún interés para pedirla ni la limita a un periodo de años, y tampoco impone el papel: si la solicitud se hace por medios electrónicos, la copia va en un formato electrónico de uso común salvo que el interesado pida otra cosa.

Quien recibe los datos de otro no tiene al interesado delante, y por eso el reglamento le da margen: un plazo razonable según las circunstancias del tratamiento, con un tope de un mes desde que los obtiene. Tres meses exceden ese tope, y el deber no espera a que el interesado pregunte.

El reglamento le deja pedir la información adicional que haga falta para confirmar la identidad: entregar datos personales a quien no es su titular sería en sí un problema. Pero la duda no le autoriza a rechazar sin más ni a exigir la presencia física, y comprobar la identidad no es tarea de la autoridad de control.

La prórroga es de dos meses más y solo en caso necesario: lo que la justifica es la complejidad de la solicitud y el número de las que se reciben. La decide el propio responsable, sin permiso de la autoridad de control, y el volumen de datos del interesado no es el criterio que nombra el reglamento.

Atender y hacerlo gratis es la regla, así que quien se aparta de ella carga con justificarlo: es el responsable quien tiene que demostrar que la solicitud era manifiestamente infundada o excesiva. El interesado no tiene que probar que su petición era razonable, y ni la autoridad de control ni el delegado suplen la prueba que le toca al responsable.

La regla es por escrito o por otros medios, incluidos los electrónicos. La vía oral es la excepción y lleva dos condiciones: que la pida el interesado y que su identidad se acredite de otra forma. No es una opción que el responsable elija por comodidad, y lo que el reglamento dice de los niños es que la información dirigida a ellos tiene que ser especialmente clara, no que sea oral.

Una de las dispensas es que comunicar la información sea imposible o exija un esfuerzo desproporcionado, sobre todo en el archivo de interés público, la investigación o la estadística. Aun entonces el responsable tiene que proteger los derechos del interesado, incluso haciendo pública la información. Ni la clase de datos, ni que el responsable sea público, ni la duración del tratamiento eximen por sí solos.

El plazo ordinario es de un mes desde que se recibe la solicitud, y el reglamento añade que la respuesta llegue sin dilación indebida: el mes es un tope, no un tiempo de espera al que el responsable tenga derecho. Los diez días hábiles no aparecen en el art. 12.3, y los plazos más largos solo caben si se prorroga, con motivo y avisando.

La información inicial cubre el fin para el que se recogieron los datos. Si aparece otro, el interesado tiene que conocerlo antes de que empiece ese tratamiento ulterior, con la información adicional pertinente: avisar después le quita la ocasión de reaccionar a tiempo. El destinatario es el interesado, no la autoridad de control.

Quien rellena un formulario tiene que saber si los datos son obligatorios y qué pasa si no los da: el reglamento exige informar de si la comunicación es un requisito legal o contractual, o necesario para contratar, de si hay obligación de facilitarlos y de las consecuencias de no hacerlo. Decirle que no pasa nada sería falso aquí, y limitarse a «es obligatorio» omite las consecuencias.

El acceso empieza antes que los datos: el interesado tiene derecho a que le confirmen si se tratan o no datos suyos y, si se tratan, a acceder a ellos y a la información que enumera el art. 15.1. No tiene que probar antes que la empresa los trata —para eso sirve la confirmación—, y quien responde es el responsable, no la autoridad de control.

La regla es la gratuidad, y el reglamento solo la rompe ante solicitudes manifiestamente infundadas o excesivas, sobre todo por repetitivas. Entonces el responsable elige entre dos salidas: cobrar un canon ligado a los costes administrativos o no actuar. Un responsable no sanciona a nadie, no necesita que decida la autoridad de control y el reglamento no prevé suspender el plazo.

Si los datos los da el propio interesado, no hay motivo para esperar: la información se le facilita en el mismo momento de recogerlos. Los plazos diferidos solo existen cuando los datos llegan de otra fuente, y el deber de informar no depende de que el interesado lo pida.