La transparencia, la información al interesado y el derecho de acceso

• Otros dos meses, teniendo en cuenta la complejidad y el número de solicitudes
• Otro mes, teniendo en cuenta la complejidad y el número de solicitudes
• Otros dos meses, siempre que lo autorice la autoridad de control
• Otros tres meses, teniendo en cuenta el volumen de datos del interesado

La prórroga es de dos meses más y solo en caso necesario: lo que la justifica es la complejidad de la solicitud y el número de las que se reciben. La decide el propio responsable, sin permiso de la autoridad de control, y el volumen de datos del interesado no es el criterio que nombra el reglamento.

• Ninguna, porque el origen solo se informa al recoger los datos
• El origen, solo si los datos proceden de una fuente de acceso público
• Cualquier información disponible sobre el origen de esos datos
• La identidad del cedente, siempre que este haya dado su consentimiento

Al ejercer el acceso, el interesado puede saber de dónde vienen sus datos: el reglamento le reconoce cualquier información disponible sobre su origen cuando no se obtuvieron de él. No depende de que la fuente sea pública ni del consentimiento de quien los cedió, y no se agota con la información que se dio al principio.

• En un plazo razonable, y a más tardar en un mes
• En la primera comunicación que le dirija tras recogerlos
• Cuando el interesado se la pida por escrito al responsable
• En el momento en que se obtienen sus datos personales

Si los datos los da el propio interesado, no hay motivo para esperar: la información se le facilita en el mismo momento de recogerlos. Los plazos diferidos solo existen cuando los datos llegan de otra fuente, y el deber de informar no depende de que el interesado lo pida.

• En el momento de la primera comunicación que vaya a dirigirles
• Antes de obtener los datos, a través de la empresa que se los cede
• Un mes después de la primera comunicación que les dirija
• Cuando alguna de ellas responda a la primera comunicación

Si los datos van a usarse para comunicarse con el interesado, esa primera comunicación es la última ocasión de informarle: la información tiene que llegar, como muy tarde, con ella. Esperar a que conteste o dejar pasar un mes después dejaría al interesado recibiendo mensajes de alguien que no sabe por qué tiene sus datos; y el reglamento no traslada el deber a quien los cede.

• Pedirle la información adicional necesaria para confirmar su identidad
• Rechazar la solicitud, porque solo se atiende la presentada en persona
• Pasarla a la autoridad de control para que compruebe su identidad
• Atenderla igualmente, porque no puede pedirle ningún dato adicional

El reglamento le deja pedir la información adicional que haga falta para confirmar la identidad: entregar datos personales a quien no es su titular sería en sí un problema. Pero la duda no le autoriza a rechazar sin más ni a exigir la presencia física, y comprobar la identidad no es tarea de la autoridad de control.

• Solo una copia de los datos, si consta que la empresa los trata
• Una explicación, solo si antes demuestra que la empresa los trata
• Un certificado de la autoridad de control sobre esos tratamientos
• Confirmación de si se tratan o no y, en tal caso, acceso a ellos

El acceso empieza antes que los datos: el interesado tiene derecho a que le confirmen si se tratan o no datos suyos y, si se tratan, a acceder a ellos y a la información que enumera el art. 15.1. No tiene que probar antes que la empresa los trata —para eso sirve la confirmación—, y quien responde es el responsable, no la autoridad de control.

• Cuando los datos tratados pertenezcan a categorías especiales
• Cuando el responsable del tratamiento sea una Administración pública
• Cuando informarle resulte imposible o suponga un esfuerzo desproporcionado
• Cuando el tratamiento de los datos vaya a durar menos de un mes

Una de las dispensas es que comunicar la información sea imposible o exija un esfuerzo desproporcionado, sobre todo en el archivo de interés público, la investigación o la estadística. Aun entonces el responsable tiene que proteger los derechos del interesado, incluso haciendo pública la información. Ni la clase de datos, ni que el responsable sea público, ni la duración del tratamiento eximen por sí solos.

• No: la información se facilita siempre por escrito o por medios electrónicos
• Sí, cuando el responsable lo prefiera, sin necesidad de ninguna petición
• Sí, si lo pide el interesado y se demuestra su identidad por otros medios
• Sí, pero solo cuando la información vaya dirigida específicamente a un niño

La regla es por escrito o por otros medios, incluidos los electrónicos. La vía oral es la excepción y lleva dos condiciones: que la pida el interesado y que su identidad se acredite de otra forma. No es una opción que el responsable elija por comodidad, y lo que el reglamento dice de los niños es que la información dirigida a ellos tiene que ser especialmente clara, no que sea oral.

• Nada, porque ya informó al interesado cuando recogió los datos
• Informarle sobre ese otro fin antes de empezar el tratamiento ulterior
• Informarle sobre ese otro fin en el mes siguiente a empezar a tratarlos
• Comunicar el nuevo fin a la autoridad de control, no al interesado

La información inicial cubre el fin para el que se recogieron los datos. Si aparece otro, el interesado tiene que conocerlo antes de que empiece ese tratamiento ulterior, con la información adicional pertinente: avisar después le quita la ocasión de reaccionar a tiempo. El destinatario es el interesado, no la autoridad de control.