¿Qué debe contener una declaración de privacidad?

Los componentes fijos de una declaración de privacidad

Una declaración de privacidad menciona en la mayoría de los casos quién trata los datos, por qué, y qué derechos tiene el interesado al respecto. En concreto, se trata de la identidad y los datos de contacto de la organización que trata los datos, y de los datos de contacto de un delegado de protección de datos si ha sido designado. Además, se indica para qué fines se utilizan los datos y en qué base legal se realiza ello — por ejemplo, cumplimiento de un contrato, una obligación legal, o un interés legítimo, siendo este último interés también especificado.

Además, la declaración debe indicar a quién se comunican los datos, si se transfieren a un país fuera de la UE, y durante cuánto tiempo se conservan — o, si no es posible establecer un plazo fijo, qué criterios se utilizan para ello. También aparecen los derechos del interesado: acceso, rectificación, supresión, limitación, oposición, portabilidad, y la posibilidad de retirar un consentimiento otorgado. Por último, la declaración menciona el derecho a presentar una reclamación ante la autoridad de control, y — si procede — si el suministro de datos constituye una obligación legal o contractual y cuáles son las consecuencias si alguien no cumple con ello, además de si existe tratamiento automatizado de datos o elaboración de perfiles.

Esto se encuentra en el artículo 13 del RGPD

Esta enumeración procede directamente del artículo 13 del RGPD, que prescribe qué información debe facilitar una organización en el momento en que recaba datos personales directamente del interesado. El RGPD es un reglamento y estos requisitos se aplican por tanto en contenido de la misma manera en todos los Estados miembros; lo que varía es ante qué autoridad de control se materializa en la práctica el derecho de reclamación mencionado — en los Países Bajos la Autoridad de Protección de Datos, en Alemania la autoridad de control del Estado federado donde se encuentra el establecimiento. Para el texto completo de la disposición y para obtener más información, se puede consultar el reglamento mismo, y para la práctica en los Países Bajos el sitio web de la Autoridad de Protección de Datos.