Lo que la ley orgánica añade a los derechos de las personas

• La posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD
• El plazo durante el que se conservarán sus datos personales
• Los datos de contacto del delegado de protección de datos
• Los destinatarios o las categorías de destinatarios de sus datos

La capa básica tiene tres contenidos mínimos: quién es el responsable, para qué se tratan los datos y que el afectado puede ejercer los derechos de los arts. 15 a 22 del RGPD. El plazo de conservación, el delegado y los destinatarios son información que el responsable debe dar, pero puede dejarla para la información restante.

• En un registro público de la Agencia Española de Protección de Datos
• En los sistemas de información del propio responsable
• En el contrato firmado entre el responsable y el encargado
• En el expediente del afectado ante la autoridad de control

La limitación solo funciona si quien maneja los datos la ve al usarlos: por eso la ley exige que conste con claridad en los propios sistemas de información del responsable. No hay un registro público de datos limitados, y el contrato con el encargado ni el expediente ante la autoridad son el sitio donde se consultan los datos al tratarlos.

• Cuando se ejerce más de una vez en un plazo de tres meses
• Cuando se ejerce más de dos veces en un plazo de un año
• Cuando se ejerce más de una vez en un plazo de seis meses
• Cuando se ejerce más de una vez dentro del mismo año natural

La ley concreta qué es una solicitud repetitiva a efectos del RGPD: volver a pedir el acceso dentro de los seis meses siguientes, salvo que haya una causa legítima que lo justifique. Los tres meses quedan cortos y el año, largo; y el corte no es por año natural ni por número de peticiones al año.

• Un acceso directo y seguro a la totalidad de los datos, de modo permanente
• Una consulta de los datos más relevantes durante el plazo de un mes
• Un acceso a todos los datos, pero solo en el horario de atención al público
• Una copia descargable de los datos del último año, previa solicitud

Para dar por atendido el acceso con un sistema remoto, la ley pide las tres cosas a la vez: que sea directo y seguro, que llegue a todos los datos y que esté disponible de forma permanente. Un acceso parcial, limitado en el tiempo o con horario no cumple, porque deja al afectado sin parte de lo que tiene derecho a ver.

• El origen de los datos y la fecha en que se los facilitó al responsable
• La fecha en que el responsable empezó a tratar los datos que quiere corregir
• El perjuicio que le causa la inexactitud y su valoración económica
• A qué datos se refiere y la corrección que haya de realizarse

Para que el responsable pueda corregir, el afectado le dice qué datos están mal y cómo deben quedar, y acompaña la documentación justificativa cuando sea precisa. No tiene que explicar de dónde salieron los datos ni cuándo empezó su tratamiento, ni probar un perjuicio.

• Cuando lo prevea el contrato o acto jurídico que lo vincula al responsable
• Cuando el afectado lo elija como destinatario de su solicitud
• Cuando el responsable no las haya atendido dentro del plazo previsto
• Cuando lo autorice la autoridad de protección de datos competente

El encargado actúa por cuenta del responsable, así que puede tramitar las solicitudes si el contrato o el acto jurídico que los une lo prevé. No lo decide el afectado al dirigirle la solicitud, no necesita autorización de ninguna autoridad y no sustituye al responsable que se retrasa: lo que decide es lo pactado entre los dos.

• Solo personalmente por el afectado, que tiene que identificarse ante el responsable
• Directamente por el afectado o por medio de representante legal o voluntario
• Por el afectado o su representante legal; el voluntario, solo para el acceso
• Por el afectado o su representante, previa autorización de la Agencia

La ley admite las dos clases de representación: la legal, que viene dada por la ley, como la de los padres de un menor, y la voluntaria, la que el afectado otorga a quien elige. No la limita a un derecho concreto ni la somete a la autorización de nadie.

• La identidad del responsable y nada más, si el afectado no pide otra cosa
• La información completa, siempre que se la entregue en el mes siguiente a la recogida
• Una información básica y una dirección electrónica u otro medio de acceso al resto
• Un aviso de que puede pedir la información por escrito cuando lo desee

La ley permite informar por capas: una información básica en el momento y un medio que lleve de forma sencilla e inmediata a la restante. La identidad sola no basta, porque la capa básica tiene un contenido mínimo; y un aviso de que se puede pedir no da acceso inmediato a nada. Entregarlo todo un mes después no es la vía que abre la ley: la información se da al recoger los datos.

• Denegar la solicitud por excesiva hasta que el cliente la presente de nuevo
• Cobrarle un canon por el volumen de datos que tendrá que entregarle
• Pedirle que especifique los datos o actividades de tratamiento a que se refiere
• Entregarle solo un resumen de sus datos y dar la solicitud por atendida

Ante un volumen grande de datos y una petición genérica, la ley deja al responsable pedir que el afectado concrete qué datos o qué tratamientos quiere conocer. Es una aclaración previa, no una forma de rechazar la solicitud, de cobrarla o de atenderla a medias.