La información de privacidad es el único documento del RGPD que ve cada visitante del sitio web de una empresa de software, y el que más a menudo se escribe como prosa sobre lo mucho que importa la privacidad. El Reglamento no pide prosa. El artículo 13 lista la información que un responsable facilita cuando los datos personales se recogen del interesado, en el momento en que se obtienen; el artículo 14 lista la información facilitada cuando los datos no se han obtenido del interesado, en un mes. Ambos son listas de contenidos, cada uno con su propia letra, y una información está completa cuando cada contenido que el tratamiento de la empresa activa tiene una respuesta. Este artículo lee las dos listas contra el catálogo que StandardOS mantiene del Reglamento y la página gratuita que redacta la información a partir de las respuestas, una entrada por contenido.

El artículo 13: doce contenidos en el punto de recogida

El artículo 13, apartado 1, nombra seis contenidos facilitados en todo caso: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento y la base jurídica de cada uno; d) cuando la base es el interés legítimo del artículo 6, apartado 1, letra f), los intereses perseguidos; e) los destinatarios o categorías de destinatarios; f) en su caso, la intención del responsable de transferir los datos a un tercer país o a una organización internacional, con la decisión de adecuación o las garantías y dónde obtener una copia de ellas. El artículo 13, apartado 2, nombra seis contenidos adicionales necesarios para garantizar un tratamiento leal y transparente: a) el plazo de conservación o los criterios para determinarlo; b) la existencia de los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad; c) cuando la base es el consentimiento, el derecho a retirarlo; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de los datos es un requisito legal o contractual, o un requisito necesario para celebrar un contrato, y las consecuencias de no facilitarlos; f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, con información significativa sobre la lógica y las consecuencias. El artículo 13, apartado 3, añade que un fin ulterior se anuncia antes de que empiece ese tratamiento ulterior, y el artículo 13, apartado 4, levanta la obligación cuando el interesado ya dispone de la información.

El artículo 14: trece contenidos, un mes, cuatro excepciones

El artículo 14, apartado 1, nombra seis contenidos: el responsable y su representante, el delegado de protección de datos, los fines y la base jurídica, las categorías de datos personales de que se trate, los destinatarios, y las transferencias con sus garantías; el artículo 14, apartado 2, nombra siete adicionales: el plazo de conservación, los intereses legítimos cuando son la base, los derechos, el derecho a retirar el consentimiento, el derecho a reclamar, la fuente de los datos y si proceden de fuentes de acceso público, y las decisiones automatizadas. El momento es el artículo 14, apartado 3: en un plazo razonable tras obtener los datos y a más tardar en un mes, o en el momento de la primera comunicación con el interesado si los datos se usan para comunicarse con él, o cuando los datos se comuniquen por primera vez a otro destinatario si está prevista una comunicación, lo que ocurra primero. El artículo 14, apartado 5, levanta la obligación en cuatro casos: el interesado ya dispone de la información; facilitarla resulta imposible o supondría un esfuerzo desproporcionado, en particular para archivo, investigación o estadística, con las medidas que el responsable adopta en su lugar; la obtención o la comunicación está expresamente establecida por ley con medidas adecuadas; o los datos están sujetos al secreto profesional. Una empresa de software que enriquece un alta con datos comprados a un proveedor, recibe la lista de usuarios de un cliente o extrae un perfil público está bajo el artículo 14 para esos datos, y la excepción "ya dispone de la información" no se aplica a una persona que nunca ha oído hablar de la empresa.

Siete de los contenidos son el registro de actividades de tratamiento

Una empresa de software que ha escrito su registro de actividades de tratamiento ya ha respondido siete de los contenidos: el nombre y los datos de contacto del responsable (artículo 30, apartado 1, letra a)), los fines (30, apartado 1, letra b)), las categorías de datos personales (30, apartado 1, letra c)), los destinatarios (30, apartado 1, letra d)), las transferencias y sus garantías (30, apartado 1, letra e)), los plazos de conservación (30, apartado 1, letra f)), y el representante y el delegado donde existen (30, apartado 1, letra a)). La base jurídica por fin es la columna que el registro no tiene y la información sí, y es la que más a menudo falla: una información que nombra "intereses legítimos" para todo sin nombrar el interés no ha respondido al artículo 13, apartado 1, letra d). Los derechos son los mismos en toda información y se leen de los artículos 15 a 22; la reclamación es el artículo 77; la retirada del consentimiento es el artículo 7, apartado 3. El orden que funciona es el registro primero y la información copiada de él, que es para lo que está hecha la página gratuita: cada contenido tal como lo redacta el Reglamento, una respuesta bajo cada uno, y la información redactada con el contenido como encabezado, de modo que nada se afirme por silencio y un contenido sin responder se escriba como no indicado.

Forma, lenguaje y momento

El artículo 12, apartado 1, fija la forma: concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, por escrito o por otros medios, incluidos los electrónicos. Una información de quince páginas de prosa falla en la primera palabra; una información que es una lista de los doce contenidos con una frase bajo cada uno los supera todos. El momento es el punto de recogida: el formulario de alta enlaza la información antes de pulsar el botón, el banner de cookies nombra los fines antes del consentimiento, la página de candidaturas nombra el plazo de conservación antes de la carga. Para los datos del artículo 14 el momento es el primer mensaje a la persona o el mes, lo que ocurra primero, así que los datos del proveedor de enriquecimiento se anuncian en el primer correo que los usa. La herramienta de transferencias aporta la respuesta al contenido de transferencias para cada destinatario fuera del EEE, y la determinación de obligaciones dice si la empresa tiene un representante o un delegado que nombrar.

Qué hacer con ello

Escriba el registro, después responda los contenidos a partir de él, después ponga la información donde se recogen los datos. Para cada formulario del sitio y cada pantalla del producto que recoge datos personales, nombre el contenido de la información que lo cubre y compruebe que es accesible desde allí. Para cada fuente de datos personales que no es la persona, nombre el primer mensaje o el mes y envíe la información del artículo 14 para entonces. Conserve la versión de la información que una persona vio el día en que la vio, porque un cambio de fin reinicia la obligación y la autoridad pregunta qué versión se aplicaba. StandardOS redacta la información a partir del registro y conserva las versiones; la página gratuita redacta la primera.