Sobre el deber de informar al interesado basado en dos capas
Actualmente está proliferando mucho el facilitar la información del tratamiento basándose en la doble capa, por lo que consideramos oportuno establecer unos criterios mínimos para decidirnos por el uso de este recurso.
Primero que nada, advertir que no está prohibido dar la información completa, al contrario, el GDPR tiene como primer principio tratar los datos de manera lícita, leal y transparente en relación con el interesado, y un modo de hacerlo es informando de todo lo que obliga el artículo 13 del GDPR "Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación..."
A nuestro entender, solo debe usarse la doble capa en los casos en que la información del tratamiento sea extensa y siempre que se pueda acceder a ella de forma inmediata en el momento de facilitar los datos (electrónicamente o mediante un documento a parte a disposición del interesado), especialmente cuando el tratamiento precisa del consentimiento explícito del interesado.
El artículo 11.1 de la LOPDGDD dispone: "Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información".
La doble capa es una opción muy interesante para tratamientos complejos, pero para tratamientos sencillos (los más comunes) con tres frases más de las que obliga la LOPDGDD en la primera capa, ya estaría facilitada toda la información. La LOPDGDD obliga a poner en la primera capa la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos. El GDPR obliga a poner, además, la legitimación, los criterios de conservación y las cesiones de datos.
También puede ser una opción a elegir en páginas web, donde ofrecer mucha información para solicitar el consentimiento puede desvirtuar el diseño de la página web y, a veces, hasta no ser suficientemente transparente por demasiada información. En estos casos es aconsejable solicitar el consentimiento para cada fin que lo precise facilitando la información mínima que establece el artículo 11 LOPDGDD, con un enlace a la restante información (política de privacidad).
Siguiendo con las páginas web, otra opción sería la de solicitar el consentimiento para la instalación de cookies analíticas mediante un banner. En este caso, igual que en el anterior, se facilitará la información mínima con un enlace a la restante información (política de cookies).