Transparencia e informacion al afectado en la LOPDGDD (Art. 11)

El mapa del tema

Apartado	Supuesto	Lo que decide en examen
11.1	Datos obtenidos del afectado	cabe informacion basica + remision al resto
11.2	Contenido minimo de la informacion basica	responsable, finalidad y derechos RGPD 15-22
11.2, parrafo 2	Elaboracion de perfiles	hay que informar tambien de esa circunstancia y del derecho de oposicion a decisiones automatizadas cuando proceda
11.3	Datos no obtenidos del afectado	misma logica de doble capa + anadir categorias y fuentes

Este canonico cubre solo el art. 11 de la LOPDGDD. No entra todavia en el contenido de los derechos concretos de acceso, rectificacion o supresion, que pertenecen a los arts. 12 a 18.

La logica del articulo: informar, pero sin obligar a soltarlo todo a la vez

La LOPDGDD no rebaja el deber de informacion del RGPD. Lo que hace es permitir una forma practica de cumplirlo: cuando los datos se obtienen del afectado, el responsable puede facilitar una informacion basica y, para el resto, indicar una direccion electronica u otro medio que permita acceder de forma sencilla e inmediata a la informacion completa.

La clave de examen esta en no confundir esta tecnica con una dispensa. El responsable:

• si informa, pero puede hacerlo por capas;
• no puede omitir la informacion basica;
• no puede remitir a un medio dificil, oculto o indirecto.

Si la pregunta sugiere que basta con "colgarlo en la web" sin mas, sospecha: el art. 11 exige que el acceso a la informacion restante sea sencillo e inmediato.

Que incluye siempre la informacion basica

El apartado 2 fija un minimo cerrado. La informacion basica debe contener, al menos:

• la identidad del responsable del tratamiento y, en su caso, de su representante;
• la finalidad del tratamiento;
• la posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD.

Aqui hay varias trampas habituales:

• el art. 11 habla de la posibilidad de ejercer derechos, no de desarrollar ya el regimen completo de cada uno;
• menciona al representante solo en su caso, no siempre;
• no sustituye los arts. 13 y 14 RGPD: es una via de cumplimiento practico de ese deber.

El dato que cambia el examen: elaboracion de perfiles

Si los datos obtenidos del afectado van a usarse para elaboracion de perfiles, la informacion basica debe decirlo expresamente. No vale esconderlo en una segunda capa oscura ni tratarlo como un detalle irrelevante.

Y hay una segunda obligacion enlazada: el afectado debe ser informado de su derecho a oponerse a la adopcion de decisiones individuales automatizadas que produzcan efectos juridicos sobre el o le afecten significativamente de modo similar, cuando ese derecho concurra conforme al art. 22 RGPD.

De aqui salen dos ideas de examen:

• no toda automatizacion activa automaticamente el mismo derecho en cualquier caso;
• la ley no obliga a prometer ese derecho si no concurre, pero si concurre hay que informar de el.

Cuando los datos no proceden del afectado

El apartado 3 replica la estructura de doble capa para los datos no obtenidos del afectado: el responsable puede facilitar la informacion basica y remitir al resto por una direccion electronica u otro medio de acceso sencillo e inmediato.

Pero en este escenario hay dos anadidos obligatorios:

• las categorias de datos objeto de tratamiento;
• las fuentes de las que procedieran los datos.

Esta es la diferencia mas preguntable entre el 11.1 y el 11.3. Si el dato viene del propio afectado, la ley no exige en ese punto informar de las fuentes; si no viene de el, si.

Comparativa rapida que evita errores

Situacion	Siempre hay informacion basica	Hay remision a mas informacion	Hay extras obligatorios
Datos obtenidos del afectado	Si	Si, si el acceso es sencillo e inmediato	Si hay perfiles, informar de esa circunstancia y del derecho de oposicion cuando proceda
Datos no obtenidos del afectado	Si	Si, si el acceso es sencillo e inmediato	Categorias de datos y fuentes

Trampas de examen

• "La LOPDGDD sustituye el deber de informacion por un enlace." Falso: permite una informacion basica mas un acceso sencillo e inmediato al resto.
• "La informacion basica solo debe identificar al responsable." Falso: tambien incluye finalidad y derechos RGPD 15-22.
• "Si hay perfiles, basta con decirlo en la politica de privacidad extensa." Falso: esa circunstancia entra ya en la informacion basica.
• "Siempre hay que informar del derecho a oponerse a decisiones automatizadas." Falso: hay que informarlo cuando concurra ese derecho.
• "Si los datos vienen de un tercero, la informacion basica es igual que si vinieran del afectado." Falso: hay que anadir categorias y fuentes.
• "La remision al resto de informacion solo puede hacerse por direccion electronica." Falso: puede ser direccion electronica u otro medio que permita acceso sencillo e inmediato.

Chuleta final

• Art. 11.1: datos del afectado = informacion basica + remision al resto.
• No es dispensa: el acceso al resto debe ser sencillo e inmediato.
• Minimo basico: responsable, representante en su caso, finalidad y derechos 15-22 RGPD.
• Perfiles: si los hay, hay que decirlo en la informacion basica.
• Decision automatizada: informar del derecho de oposicion cuando concurra.
• Art. 11.3: datos no obtenidos del afectado = misma logica de doble capa.
• Extras obligatorios si no vienen del afectado: categorias de datos y fuentes.
• La pregunta clasica es distinguir dato obtenido del afectado frente a dato obtenido de tercero.

Preguntas frecuentes

¿La informacion basica puede ser muy breve?

Si, pero no vacia. Debe contener al menos la identidad del responsable y de su representante en su caso, la finalidad y la posibilidad de ejercer los derechos de los arts. 15 a 22 RGPD.

¿Que significa acceso sencillo e inmediato?

Que la persona no tenga que hacer una busqueda compleja o pasar por pasos opacos para llegar a la informacion restante. El articulo permite simplificar, no esconder.

¿Por que se insiste tanto en la elaboracion de perfiles?

Porque cambia el nivel de riesgo para el afectado. Por eso la ley obliga a informar de esa circunstancia ya en la capa basica y, cuando proceda, del derecho a oponerse a decisiones automatizadas con efectos juridicos o similares.