El Informe 685/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda las dificultades que una entidad enfrenta para cumplir con el deber de informar a los afectados sobre el tratamiento de sus datos personales, conforme al artículo 5 de la Ley Orgánica 15/1999. La entidad consultante posee una base de datos con información de aproximadamente 47,000 clientes, pero no especifica cómo obtuvieron estos datos ni si fueron proporcionados directamente por los interesados o de otras fuentes.
El informe subraya que el deber de informar a los afectados sobre el tratamiento de sus datos es una obligación establecida desde hace tiempo. La Ley Orgánica 15/1999, vigente desde el 14 de enero de 2000, y su predecesora, la Ley Orgánica 5/1992, ya imponían esta obligación en el momento de la recogida de los datos. Por lo tanto, la entidad debería haber informado a los afectados desde hace muchos años, y no es admisible alegar dificultades actuales para cumplir con una obligación tan antigua.
El artículo 5.4 de la Ley Orgánica 15/1999 establece que, si los datos no fueron recabados directamente del interesado, este debe ser informado dentro de los tres meses siguientes al registro de los datos. La entidad debería haber cumplido con esta obligación hace casi nueve años, dependiendo de la fecha de obtención de los datos.
El informe también señala que el deber de información no admite excepciones, por lo que no se puede invocar el elevado coste del cumplimiento de esta obligación. Sin embargo, el artículo 5.5 de la Ley Orgánica 15/1999 permite eximir del deber de informar si hacerlo resulta imposible o exige esfuerzos desproporcionados, pero esto requiere un procedimiento específico ante la AEPD.
En caso de que la entidad trate los datos habitualmente para enviar información sobre sus productos, no sería razonable considerar que el esfuerzo para informar a los clientes sea desproporcionado, ya que podría incluir la información necesaria en la siguiente comunicación publicitaria.
Finalmente, el informe recuerda que el deber de información debe llevarse a cabo mediante un medio que permita acreditar su cumplimiento, y el responsable del fichero debe conservar el soporte que acredite esta información mientras persista el tratamiento de los datos. Esto puede hacerse mediante medios informáticos o telemáticos, garantizando la integridad de los soportes originales.
En resumen, la AEPD enfatiza la importancia de cumplir con el deber de información desde el momento de la recogida de los datos, sin excepciones, y establece los procedimientos necesarios para solicitar exenciones en casos específicos. La entidad consultante debe adaptarse a estas normativas para asegurar la protección de los datos personales de sus clientes.