Lo que la ley orgánica añade a los derechos de las personas

La ley permite informar por capas: una información básica en el momento y un medio que lleve de forma sencilla e inmediata a la restante. La identidad sola no basta, porque la capa básica tiene un contenido mínimo; y un aviso de que se puede pedir no da acceso inmediato a nada. Entregarlo todo un mes después no es la vía que abre la ley: la información se da al recoger los datos.

Es el responsable quien tiene que poder acreditar que contestó: el afectado no carga con probar un hecho negativo, que no le respondieron. Aunque el encargado tramite la solicitud o el delegado intervenga, la prueba sigue siendo del responsable.

Atender los derechos es gratuito para el afectado. Las salvedades son las que la propia ley enumera, por remisión al Reglamento y a su art. 13: solicitudes infundadas, excesivas o repetitivas, copias adicionales y medios elegidos por el afectado que encarecen la respuesta. Ninguna permite al responsable fijar un precio general por volumen ni cobrar por año natural, y no existe una tasa de la Agencia por ejercer los derechos.

El responsable tiene que informar de los medios que ofrece, y deben ser fácilmente accesibles, pero eso no convierte su canal en obligatorio: la ley prohíbe denegar el derecho por el solo motivo de que el afectado opte por otro medio. No hay justificación que exigir al afectado ni aviso previo que lo salve.

Para dar por atendido el acceso con un sistema remoto, la ley pide las tres cosas a la vez: que sea directo y seguro, que llegue a todos los datos y que esté disponible de forma permanente. Un acceso parcial, limitado en el tiempo o con horario no cumple, porque deja al afectado sin parte de lo que tiene derecho a ver.

Ante un volumen grande de datos y una petición genérica, la ley deja al responsable pedir que el afectado concrete qué datos o qué tratamientos quiere conocer. Es una aclaración previa, no una forma de rechazar la solicitud, de cobrarla o de atenderla a medias.

La capa básica tiene tres contenidos mínimos: quién es el responsable, para qué se tratan los datos y que el afectado puede ejercer los derechos de los arts. 15 a 22 del RGPD. El plazo de conservación, el delegado y los destinatarios son información que el responsable debe dar, pero puede dejarla para la información restante.

El sistema remoto da por atendido el acceso a los datos, pero no cierra la puerta a lo demás: el afectado conserva el derecho a pedir al responsable la información del art. 15.1 del RGPD que el sistema no ofrezca. No depende de la buena voluntad del responsable ni de acreditar nada ante la Agencia.

Elegir un medio caro cuando se ofrece otro convierte la solicitud en excesiva, y el exceso de costes lo paga quien lo eligió, el afectado. El responsable no tiene que absorberlo ni compartirlo, y el encargado que tramite la solicitud lo hace por cuenta del responsable, no a su costa.

La limitación solo funciona si quien maneja los datos la ve al usarlos: por eso la ley exige que conste con claridad en los propios sistemas de información del responsable. No hay un registro público de datos limitados, y el contrato con el encargado ni el expediente ante la autoridad son el sitio donde se consultan los datos al tratarlos.

Elaborar perfiles no puede quedar escondido en la segunda capa: la información básica tiene que decirlo y, cuando el derecho concurra, avisar de que el afectado puede oponerse a decisiones individuales automatizadas con efectos jurídicos o significativos. El detalle de la lógica y de los cesionarios no es lo que la ley exige subir a la capa básica.

El encargado actúa por cuenta del responsable, así que puede tramitar las solicitudes si el contrato o el acto jurídico que los une lo prevé. No lo decide el afectado al dirigirle la solicitud, no necesita autorización de ninguna autoridad y no sustituye al responsable que se retrasa: lo que decide es lo pactado entre los dos.

La ley concreta qué es una solicitud repetitiva a efectos del RGPD: volver a pedir el acceso dentro de los seis meses siguientes, salvo que haya una causa legítima que lo justifique. Los tres meses quedan cortos y el año, largo; y el corte no es por año natural ni por número de peticiones al año.