Los principios del tratamiento y su licitud

• Notificar a la autoridad de control cada tratamiento antes de empezar a realizarlo
• Responder del cumplimiento de los principios del tratamiento y ser capaz de demostrarlo
• Designar un delegado de protección de datos para cada actividad de tratamiento
• Someter cada año sus tratamientos a una auditoría externa e independiente

La responsabilidad proactiva tiene dos caras: el responsable responde de que se cumplan los principios del apartado 1 y tiene que ser capaz de demostrarlo. No es una notificación previa de los tratamientos a la autoridad, ni impone por sí misma un delegado o una auditoría externa: cómo demuestra el cumplimiento lo decide el responsable con los instrumentos que el Reglamento le da.

• El interesado, si luego niega haberlo dado
• El responsable del tratamiento
• El encargado que recogió los datos
• La autoridad de control, si hay reclamación

La carga de la prueba es del responsable: si se apoya en el consentimiento, tiene que poder demostrar que el interesado consintió. No le toca al interesado probar que no lo dio, ni se traslada al encargado que trata los datos por cuenta del responsable o a la autoridad de control.

• Su licitud no se ve afectada
• Pasa a ser ilícito desde el principio
• Debe revisarlo la autoridad de control
• Solo es lícito si lo confirma el responsable

La retirada produce efectos hacia delante: lo tratado mientras el consentimiento estaba vigente sigue siendo lícito. No convierte en ilícito lo anterior ni obliga a que nadie lo revise o lo confirme. El interesado, además, tiene que ser informado de esta regla antes de dar su consentimiento.

• Por escrito, en todo caso
• Por el medio que fije el responsable
• Tan fácil como darlo
• Con un preaviso razonable

El Reglamento mide la retirada con el consentimiento mismo: será tan fácil retirarlo como darlo. Exigir un escrito a quien consintió con un clic, imponer un preaviso o dejar que el responsable elija un medio más engorroso rompen esa igualdad.

• Sí, porque la necesita para atender los derechos que ejerza el interesado
• Sí, salvo que el tratamiento tenga exclusivamente fines estadísticos
• No está obligado a mantenerla, obtenerla ni tratarla con esa finalidad
• Solo si la autoridad de control se lo requiere de forma expresa

El Reglamento no obliga a identificar a nadie solo para poder cumplirlo: si los fines no requieren (o ya no requieren) la identificación, el responsable no tiene que mantener, obtener ni tratar información adicional con ese único objeto. Lo contrario obligaría a tratar más datos de los necesarios, justo lo que el Reglamento quiere evitar.

• Hace nulo el consentimiento en todo caso, sin necesidad de evaluar nada más
• Ninguno, porque el cliente siempre puede no contratar el servicio
• Se tiene en cuenta al evaluar si el consentimiento se dio libremente
• Solo pesa si el servicio se ofrece directamente a un niño

El artículo 7.4 no prohíbe por sí mismo esa condición, sino que obliga a tenerla en cuenta «en la mayor medida posible» al evaluar si el consentimiento se dio libremente. Por eso no es irrelevante, aunque el cliente pueda no contratar; pero tampoco es una nulidad automática que ahorre la evaluación, y vale para cualquier interesado, no solo para los niños.

• Exigir en todo caso un documento oficial que acredite la filiación del niño
• Obtener la conformidad previa del Ministerio Fiscal en cada caso
• Pedir a la autoridad de control que haga esa comprobación
• Esfuerzos razonables para verificarlo, según la tecnología disponible

El Reglamento impone una obligación de medios, no de resultado: el responsable hará esfuerzos razonables para verificar el consentimiento del titular de la patria potestad o tutela, teniendo en cuenta la tecnología disponible. No fija un documento concreto ni traslada la comprobación a un tercero, sea el Ministerio Fiscal o la autoridad de control.

• Al que realizan las autoridades públicas en el ejercicio de sus funciones
• Al que afecta a los datos personales de un niño, cualquiera que sea su edad
• Al que lleva a cabo un encargado por cuenta del responsable
• Al que se realiza con fines de mercadotecnia directa dirigida a clientes

El párrafo segundo del artículo 6.1 excluye expresamente la letra f) para las autoridades públicas en el ejercicio de sus funciones: su tratamiento tiene que apoyarse en otra base, como la misión de interés público o el ejercicio de poderes públicos. Los datos de un niño no excluyen el interés legítimo: son un elemento que pesa en la ponderación («en particular cuando el interesado sea un niño»), no una prohibición.

• Invalida la declaración entera
• Solo deja de vincular si se reclama
• No es vinculante esa parte
• Vincula hasta que se retire el consentimiento

La solicitud de consentimiento tiene que distinguirse claramente de los demás asuntos, de forma inteligible y con un lenguaje claro y sencillo, y la parte que infrinja el Reglamento no es vinculante. La consecuencia recae sobre esa parte, no sobre la declaración entera, y no depende de que el interesado reclame ni de que retire su consentimiento.