Artículo 12 del RGPD: transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

Las preguntas de Auxiliar administrativo de la Comunidad de Madrid que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el RGPD, ¿puede el responsable facilitar verbalmente la información sobre el tratamiento?

No: la información se facilita siempre por escrito o por medios electrónicos
Sí, cuando el responsable lo prefiera, sin necesidad de ninguna petición
Sí, si lo pide el interesado y se demuestra su identidad por otros medios
Sí, pero solo cuando la información vaya dirigida específicamente a un niño

La regla es por escrito o por otros medios, incluidos los electrónicos. La vía oral es la excepción y lleva dos condiciones: que la pida el interesado y que su identidad se acredite de otra forma. No es una opción que el responsable elija por comodidad, y lo que el reglamento dice de los niños es que la información dirigida a ellos tiene que ser especialmente clara, no que sea oral.

Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, un responsable necesita prorrogar el plazo para atender una solicitud de supresión. ¿Cuándo debe comunicárselo al interesado?

Al vencer la prórroga, junto con la respuesta definitiva
En cualquier momento antes de responder, sin dar motivos
Una vez vencido el plazo inicial, si la solicitud era compleja
Dentro del plazo inicial, indicando los motivos de la dilación

La prórroga no se toma en silencio: el responsable tiene que avisar dentro del mismo plazo que tenía para responder, contado desde la recepción, y explicar por qué se retrasa. Avisar al final, con la respuesta, deja al interesado sin saber durante meses qué pasa con su solicitud; y un aviso sin motivos no cumple, por compleja que sea la solicitud.

El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, una persona ejerce ante el responsable su derecho de acceso. Salvo prórroga, ¿en qué plazo máximo debe informarle el responsable de sus actuaciones sobre la solicitud?

En diez días hábiles desde la recepción de la solicitud
En dos meses desde la recepción de la solicitud
En un mes desde la recepción de la solicitud
En tres meses desde la recepción de la solicitud

El plazo ordinario es de un mes desde que se recibe la solicitud, y el reglamento añade que la respuesta llegue sin dilación indebida: el mes es un tope, no un tiempo de espera al que el responsable tenga derecho. Los diez días hábiles no aparecen en el art. 12.3, y los plazos más largos solo caben si se prorroga, con motivo y avisando.

sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿cuánto puede prorrogarse el plazo para responder a una solicitud de ejercicio de derechos, y atendiendo a qué?

Otros dos meses, teniendo en cuenta la complejidad y el número de solicitudes
Otro mes, teniendo en cuenta la complejidad y el número de solicitudes
Otros dos meses, siempre que lo autorice la autoridad de control
Otros tres meses, teniendo en cuenta el volumen de datos del interesado

La prórroga es de dos meses más y solo en caso necesario: lo que la justifica es la complejidad de la solicitud y el número de las que se reciben. La decide el propio responsable, sin permiso de la autoridad de control, y el volumen de datos del interesado no es el criterio que nombra el reglamento.

Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, si el responsable decide no dar curso a la solicitud de un interesado, ¿qué tiene que comunicarle, además de las razones?

Que puede pedir que revise la decisión el Comité Europeo de Protección de Datos
Que puede reclamar ante una autoridad de control y ejercitar acciones judiciales
Que puede presentar la misma solicitud por un medio distinto del que utilizó
Que puede recurrir en alzada ante el órgano superior del responsable

Negarse no cierra el asunto: el responsable tiene que explicar por qué no actúa y decirle al interesado las dos vías que le quedan, la reclamación ante una autoridad de control y la vía judicial. El Comité Europeo de Protección de Datos no revisa las solicitudes de los interesados, el reglamento no prevé un recurso de alzada, y repetir la solicitud por otro medio no es lo que hay que comunicarle.

de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales

Reglamento (UE) 2016/679, de 27 de abril

Ver 3 preguntas más

Según el RGPD, un responsable tiene dudas razonables sobre si quien le pide el acceso es de verdad el interesado. ¿Qué puede hacer?

Pedirle la información adicional necesaria para confirmar su identidad
Rechazar la solicitud, porque solo se atiende la presentada en persona
Pasarla a la autoridad de control para que compruebe su identidad
Atenderla igualmente, porque no puede pedirle ningún dato adicional

El reglamento le deja pedir la información adicional que haga falta para confirmar la identidad: entregar datos personales a quien no es su titular sería en sí un problema. Pero la duda no le autoriza a rechazar sin más ni a exigir la presencia física, y comprobar la identidad no es tarea de la autoridad de control.

cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, cuando el responsable sostiene que una solicitud de derechos es manifiestamente infundada o excesiva, ¿a quién corresponde demostrarlo?

El interesado que presentó la solicitud
La autoridad de control, si el interesado reclama
El delegado de protección de datos del responsable
El propio responsable del tratamiento

Atender y hacerlo gratis es la regla, así que quien se aparta de ella carga con justificarlo: es el responsable quien tiene que demostrar que la solicitud era manifiestamente infundada o excesiva. El interesado no tiene que probar que su petición era razonable, y ni la autoridad de control ni el delegado suplen la prueba que le toca al responsable.

El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ante una solicitud de ejercicio de derechos manifiestamente infundada o excesiva, ¿qué puede hacer el responsable?

Dar por suspendido el plazo de respuesta hasta que el interesado la justifique
Cobrar un canon razonable según los costes administrativos o negarse a actuar
Imponer al interesado una sanción proporcionada al coste que le ha causado
Trasladarla a la autoridad de control para que decida si debe atenderse

La regla es la gratuidad, y el reglamento solo la rompe ante solicitudes manifiestamente infundadas o excesivas, sobre todo por repetitivas. Entonces el responsable elige entre dos salidas: cobrar un canon ligado a los costes administrativos o no actuar. Un responsable no sanciona a nadie, no necesita que decida la autoridad de control y el reglamento no prevé suspender el plazo.

Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá: a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud.

Reglamento (UE) 2016/679, de 27 de abril