Política de privacidad: qué debe incluir en España

Lo que tiene que decir

La ley no exige un documento llamado así: exige informar a la persona al recoger sus datos. La política de privacidad es la forma habitual de hacerlo.

Según el artículo 13 del RGPD, al recoger los datos de la propia persona hay que informarle de:

1. quién es el responsable y cómo contactar con él y, en su caso, con su representante;
2. los datos de contacto del delegado de protección de datos, si lo hay;
3. para qué se usarán los datos y con qué base jurídica;
4. los intereses legítimos del responsable o de un tercero, si esa es la base jurídica;
5. los destinatarios o las categorías de destinatarios, si los hay;
6. si se van a transferir a un tercer país o a una organización internacional y si hay decisión de adecuación de la Comisión;
7. si no la hay, en los casos que prevé el artículo, las garantías aplicadas y cómo obtener una copia;
8. cuánto tiempo se conservarán o, cuando no sea posible decirlo, con qué criterio se decide;
9. los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad;
10. si el tratamiento se basa en el consentimiento, que puede retirarse en cualquier momento sin afectar a lo tratado antes;
11. el derecho a reclamar ante una autoridad de control;
12. si dar los datos es un requisito legal o contractual, o necesario para firmar un contrato, si la persona está obligada a darlos y qué pasa si no lo hace;
13. si hay decisiones automatizadas, incluida la elaboración de perfiles, de las del artículo 22; en esos casos, la lógica aplicada, su importancia y sus consecuencias previstas.

Si después se quieren usar los datos para otro fin, hay que informar antes de hacerlo (art. 13.3). Y nada de esto se aplica en la medida en que la persona ya disponga de la información (art. 13.4).

Si los datos no vienen de la persona

Si los datos se obtienen de otra fuente, se aplica el artículo 14 del RGPD. La lista es parecida, pero no incluye si dar los datos es obligatorio. Y añade qué categorías de datos se tratan y de qué fuente proceden, incluido si es de acceso público.

Hay que informar en un plazo razonable y, a más tardar, en un mes (art. 14.3.a). Antes, si los datos se usan para contactar con la persona (en la primera comunicación) o se ceden a otro (en la primera cesión) (art. 14.3.b y c).

No hace falta si informar resulta imposible o supone un esfuerzo desproporcionado, entre otras excepciones del artículo 14.5. Pero entonces hay que adoptar medidas para proteger a la persona, por ejemplo hacer pública la información.

Información por capas

La LOPDGDD permite dar primero una información básica y un enlace o medio para consultar el resto de forma sencilla e inmediata (art. 11.1). La capa básica debe contener, al menos:

• la identidad del responsable y, en su caso, de su representante;
• la finalidad del tratamiento;
• la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD.

Si los datos se van a usar para elaborar perfiles, la capa básica también tiene que decirlo. En ese caso, también hay que informar del derecho a oponerse a las decisiones automatizadas con efectos jurídicos o significativos, cuando exista ese derecho (art. 11.2). La información por capas vale también cuando los datos no vienen de la persona; entonces la capa básica incluye además las categorías de datos y sus fuentes (art. 11.3).

Cómo tiene que estar escrita

En forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo (art. 12.1 RGPD).

Qué pasa si falta

No informar es una infracción muy grave (art. 72.1.h LOPDGDD) y dar una información incompleta es leve (art. 74.a LOPDGDD). La LOPDGDD las clasifica para la prescripción. En los dos casos la multa máxima es la del artículo 83.5 del RGPD. Llega hasta 20 millones de euros o, en empresas, hasta el 4 % de la facturación anual mundial del ejercicio anterior, la cifra mayor. Las administraciones públicas no reciben multa (art. 77 LOPDGDD). Está todo en multas por protección de datos en España.