El deber de informar al RGPD: la primera capa de información

Transcurrido más de un año desde la plena aplicación del Reglamento General de Protección de Datos (“RGPD”), todavía sorprende el bajo grado de cumplimiento en relación al deber de informar cuando se recogen datos personales en un entorno web, y especialmente a la primera capa informativa que exige la normativa y de la cual hablaremos aquí.

Son habituales las conversaciones con clientes o desarrolladores webs, en que estos te manifiestan su sorpresa cuando se los hablas de la información en “dos capas”. “Pues yo no lo he visto en ninguna parte” o “Primera noticia”, su respuestas muy habituales.

El deber de la información en dos capas, es una obligación que la propia AEPD se encargó de dejar muy clara incluso antes del fatídico 25 de mayo de 2018 y lo hizo en su Guía del Deber de Informar.

Deber de informar al RGPD: ¿Qué quiere decir la información en dos capas?

Esencialmente el que esto significa, es que los titulares de páginas web u otros entornos digitales donde se recojan datos, tienen que facilitar la información mínima a los usuarios en dos formatos diferentes. Cómo decimos aquí hablaremos de la información de la primera capa o información básica, puesto que es en la que se observa un grado de cumplimiento más bajo.

Información básica (Primera Capa):

Este es el punto donde más “peleas” tenemos los abogados con los diseñadores web y es que la guía exige que esta información mínima esté al “mismo campo de visión” del lugar donde se recogen los datos. Por lo tanto hace falta que la información que a continuación se indica, esté al mismo lugar visual del lugar donde se pidan los datos (habitualmente un formulario). El que tendría que mostrarse en este lugar es:

– Los datos básicos del titular de la web. Denominación social cumplida, si el titular de la web es una empresa o entidad o nombre cumplido, si fuera un autónomo.
– Qué se pretende hacer con los datos. Hay que analizar bien realmente qué se pretende hacer con los datos. Es decir que si recogemos datos en un formulario con la intención de resolver las dudas que nos planteen, la finalidad es esta, ahora si queremos usar estos datos para informar a los contactos de futuras promociones comerciales, ya tenemos una segunda finalidad.
– Qué nos permite tratar los datos. Él RGPD prevé seis supuestos en que el tratamiento de datos es lícito. El consentimiento es solo uno de estos seis. Es habitual que aquí se pose consentimiento por defecto pero hay que pensar el siguiente: si decimos que tratamos los datos por qué tenemos el consentimiento: (1) hay que obtenerlo de manera exprés y (2) el consentimiento es revocable por definición, por lo tanto hay que preguntarnos qué pasaría si quién nos ha dado el consentimiento para tratar sus datos, lo retirara. Por lo tanto, analizáis bien los seis supuestos y seáis rigurosos con la opción escogida. Entre los más habituales que la gente se deja hay: el cumplimiento de un contrato entre el titular de la web y quien mujer los datos o el cumplimiento de una obligación legal.
– Los destinatarios de los datos. Los proveedores de servicios, no su destinatarios. Los departamentos de la misma empresa, tampoco. Hay que entender como destinatario cualquiera tercero que acceda a los datos para hacer un uso de manera independiente. Pensar también, si los datos recogidos se ceden también a las Administraciones Públicas.
– Los derechos del interesados. No tiene demasiado misterio. Los derechos su en esencia siempre los mismos.
Un enlace a la Política de Privacidad entera. Menos misterio todavía, enlace al texto cumplido o segunda capa informativa de la que hablaremos en el siguiente tabla.

Acabamos con un ejemplo de procedimiento sancionador de la AEPD contra la Real Federación Española de Fútbol para no incluir la información mínima en el proceso de recogida de datos. En este caso se archivó el procedimiento puesto que en el transcurso del mismo la RFEF modificó los términos y contenido de su Política de Privacidad.

Si quieres más información sobre este o cualquier otro tema, ¡no dudes en contactar con nosotros!

Información sobre protección de datos

Denominación social
LEGAL IT GLOBAL 2017, SLP
Finalidad
Prestar el servicio.
Envío del Boletín informativo.
Legitimización
Cumplimiento de la prestación del servicio.
Consentimiento.
Destinatarios
Tus datos no serán compartidos con ningún tercero, salvo aquellos proveedores de servicios con los que disponemos de un contrato de servicios vigente.
Derechos
Puedes acceder, rectificar o suprimir los datos, así como ejercer los derechos que se mencionan en nuestra Política de Privacidad.
Más información
Consulta la Política de Privacidad.