Lo que la ley orgánica añade a los derechos de las personas

Para no volver a enviarle publicidad hace falta saber a quién no enviársela: por eso, cuando la supresión nace de oponerse a la mercadotecnia directa, el responsable puede guardar los datos identificativos imprescindibles para evitarlo. No le sirven para ofrecerle otros productos, que sería otra vez mercadotecnia.

Atender los derechos es gratuito para el afectado. Las salvedades son las que la propia ley enumera, por remisión al Reglamento y a su art. 13: solicitudes infundadas, excesivas o repetitivas, copias adicionales y medios elegidos por el afectado que encarecen la respuesta. Ninguna permite al responsable fijar un precio general por volumen ni cobrar por año natural, y no existe una tasa de la Agencia por ejercer los derechos.

La ley concreta qué es una solicitud repetitiva a efectos del RGPD: volver a pedir el acceso dentro de los seis meses siguientes, salvo que haya una causa legítima que lo justifique. Los tres meses quedan cortos y el año, largo; y el corte no es por año natural ni por número de peticiones al año.

El sistema remoto da por atendido el acceso a los datos, pero no cierra la puerta a lo demás: el afectado conserva el derecho a pedir al responsable la información del art. 15.1 del RGPD que el sistema no ofrezca. No depende de la buena voluntad del responsable ni de acreditar nada ante la Agencia.

Es el responsable quien tiene que poder acreditar que contestó: el afectado no carga con probar un hecho negativo, que no le respondieron. Aunque el encargado tramite la solicitud o el delegado intervenga, la prueba sigue siendo del responsable.

Ante un volumen grande de datos y una petición genérica, la ley deja al responsable pedir que el afectado concrete qué datos o qué tratamientos quiere conocer. Es una aclaración previa, no una forma de rechazar la solicitud, de cobrarla o de atenderla a medias.

Quien recibe sus datos de otro no sabe qué datos tiene el responsable ni de dónde salen, y por eso la capa básica suma esas dos piezas a las comunes. La ley no pide justificar por qué no se recogieron del afectado, ni presupone que hubo un consentimiento para cederlos.

La ley permite informar por capas: una información básica en el momento y un medio que lleve de forma sencilla e inmediata a la restante. La identidad sola no basta, porque la capa básica tiene un contenido mínimo; y un aviso de que se puede pedir no da acceso inmediato a nada. Entregarlo todo un mes después no es la vía que abre la ley: la información se da al recoger los datos.

El responsable tiene que informar de los medios que ofrece, y deben ser fácilmente accesibles, pero eso no convierte su canal en obligatorio: la ley prohíbe denegar el derecho por el solo motivo de que el afectado opte por otro medio. No hay justificación que exigir al afectado ni aviso previo que lo salve.

La limitación solo funciona si quien maneja los datos la ve al usarlos: por eso la ley exige que conste con claridad en los propios sistemas de información del responsable. No hay un registro público de datos limitados, y el contrato con el encargado ni el expediente ante la autoridad son el sitio donde se consultan los datos al tratarlos.

Para dar por atendido el acceso con un sistema remoto, la ley pide las tres cosas a la vez: que sea directo y seguro, que llegue a todos los datos y que esté disponible de forma permanente. Un acceso parcial, limitado en el tiempo o con horario no cumple, porque deja al afectado sin parte de lo que tiene derecho a ver.

La capa básica tiene tres contenidos mínimos: quién es el responsable, para qué se tratan los datos y que el afectado puede ejercer los derechos de los arts. 15 a 22 del RGPD. El plazo de conservación, el delegado y los destinatarios son información que el responsable debe dar, pero puede dejarla para la información restante.

Para que el responsable pueda corregir, el afectado le dice qué datos están mal y cómo deben quedar, y acompaña la documentación justificativa cuando sea precisa. No tiene que explicar de dónde salieron los datos ni cuándo empezó su tratamiento, ni probar un perjuicio.