Las personas tienen derecho a recibir información relativa a como van a ser tratados sus datos personales, tanto si los datos los ha suministrado esa persona, por ejemplo rellenando un formulario, como si se han obtenido de otros mediante una consulta.

El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro.

Para dar cumplimiento a este derecho, la Ley Orgánica 3/2018, 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales distingue entre una información básica y el resto de la información relativa a dicho tratamiento.

Los datos personales que pueden ser tratados por la Universidad de Cádiz normalmente van a ser obtenidos directamente de las personas que se relacionan con ellas y es en ese momento cuando se le suministrará

• la información básica
• y una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información (por ejemplo la parte de atrás del formulario donde se recaben los datos personales).

La información básica que debemos facilitar a las personas afectadas en el formulario donde se solicitan esos datos y en el mismo lugar donde se solicitan o inmediatamente antes o después de la firma en el supuesto de solicitarse en más de una hoja es, al menos, la siguiente:

• La identidad del responsable del tratamiento y de su representante, en su caso.
• La finalidad del tratamiento, es decir, para qué se recaban los datos personales.
• La posibilidad de ejercer los derechos de acceso, de rectificación, de supresión (o derecho al olvido), a la limitación del tratamiento, a la portabilidad de datos, en su caso, a la oposición al tratamiento en caso de tratamientos cuya base legal sea el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos o el interés legítimo, y a no ser objeto de una decisión individual automatizada, incluida la elaboración de perfiles.
• Si los datos van a ser tratados para la elaboración de perfiles, se indicará asimismo esta circunstancia.

La dirección electrónica o cualquier otro medio utilizado para facilitar la información ampliada deberá contener la siguiente información:

• Los datos de contacto del responsable y, en su caso, de su representante.
• Los datos de contacto del delegado de protección de datos, y que figuran al pie de esta página.
• Los destinatarios o las categorías de destinatarios de los datos personales, en su caso
• En su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
• Los destinatarios concretos o categorías de destinatarios (por ejemplo, entidades bancarias), en caso de que los datos personales se comuniquen a otras personas o entidades.
• La intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
• El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo.
• El derecho a presentar una reclamación ante una autoridad de control
• si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos.

Dado que la Universidad de Cádiz es una Administración Pública no puede realizar tratamiento de datos basados en intereses legítimos, como señala el informe jurídico de la Agencia Española de Protección de Datos 2018/175, no será necesario identificar el interés legítimo en que se basaría el tratamiento, en su caso.

Si hay datos que no se han obtenido de la persona afectada, y haya obligación de proporcionarla, además en la información básica hay que suministrar adicionalmente la siguiente información:

• Las categorías de datos objeto de tratamiento.
• Las fuentes de las que procedieran los datos.

En este caso, cuando los datos personales no se han obtenido de las personas afectadas la información básica y el enlace a la dirección electrónica a la información completa se comunicará

• dentro de un plazo razonable, y a más tardar dentro de un mes

,

• si los datos personales han de utilizarse para comunicarse con el interesado como muy tarde, en el momento de la primera comunicación al interesado, o
• si está previsto comunicarlos a otro destinatario, en el momento en que los datos personales sean comunicados por primera vez.

Hay que tener en cuenta que no será necesario comunicar esta información cuando “la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado“. Este sería el supuesto, por ejemplo, del artículo 28 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas cuando establece que “los interesados tienen derecho a no aportar documentos que ya se encuentren en poder de la Administración actuante o hayan sido elaborados por cualquier otra Administración. La administración actuante podrá consultar o recabar dichos documentos salvo que el interesado se opusiera a ello. No cabrá la oposición cuando la aportación del documento se exigiera en el marco del ejercicio de potestades sancionadoras o de inspección.

Para más información puedes consultar la guía de la AEPD para el cumplimiento del deber de informar (enlace externo a la página de la AEPD).