PS-00041-2019

1/17  Procedimiento Nº: PS/00041/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de octubre de 2018 Don A.A.A. (en adelante, el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos contra la ASOCIACIÓN DE TAXIS RATAVESAN, (en adelante, el reclamado o la Asociación), por considerar vulnerado su derecho de información a raíz de los siguientes hechos: “Soy autónomo del taxi y pertenezco a la ASOCIACIÓN DE TAXIS RATAVESAN, la cual me ha entregado un documento para la autorización de mis datos personales según los artículos 13 y14 del Reglamento General Europeo de Protección de datos 679/2016, de 27 de Abril (RGPD), en este documento se añade un párrafo en el que consiento y autorizo a la ASOCIACIÓN DE TAXIS RATAVESAN a que mis datos personales de contacto puedan cederse a otras entidades, en ningún caso enuncia esas entidades ni para qué se destinarán mis datos. Lo he comunicado al presidente de la ASOCIACIÓN DE TAXIS RATAVESAN, PORQUE ME NIEGO y la contestación que he recibido es que estoy obligado o se me entregaría toda la documentación. Entiendo que se están vulnerando mis derechos, (…)” El reclamante adjunta ejemplar del documento denominado “Documento Legal Nuevo RGPD Europeo Para Asociados de la Asociación de Taxis” que, según indica, le fue entregado para su firma por el reclamado. En este documento se informa, entre otros, de los siguientes aspectos: “que los datos personales que nos ha facilitado, en su condición de miembro asociado, serán tratados por la ASOCIACIÓN DE TAXIS RATAVESAN, como Responsable del tratamiento, a efectos/ con la finalidad de gestión interna de la relación asociación-asociados/cumplir los compromisos entre las partes. Asimismo, se consiente y autoriza expresamente a la ASOCIACIÓN DE TAXIS RATAVESAN, a la gestión y tratamiento de los datos personales con las finalidades anteriormente mencionadas; a que los datos de carácter personal de contacto, puedan cederse a otras entidades, siempre que sean necesarios para favorecer y cumplir los fines propios de la asociación. (…) La ASOCIACIÓN DE TAXIS RATAVESAN, se compromete a no tratar los datos de carácter personal para finalidades diferentes a las pactadas, así como a no cederlos ni a comunicarlos a terceros salvo obligación legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 (…) No se cederán datos a terceros, salvo obligación legal. Los derechos que le asisten son el de presentar una reclamación ante una autoridad de control, el derecho de acceso, rectificación, cancelación, limitación u oposición a su tratamiento (DERECHOS ARCO), a la transparencia de la información, supresión (derecho al olvido), portabilidad de sus datos personales, previa acreditación de su identidad, mediante solicitud/petición remitida por correo postal/correo electrónico, a la dirección postal/correo electrónico dela cooperativa, con dirección en la calle (…)” SEGUNDO: Con fecha 22 de enero de 2019 tiene entrada en esta Agencia escrito del reclamado contestando los siguientes extremos respecto de la información que le fue solicitada en relación con los hechos objeto de reclamación: El reclamado “considera que no se ha producido ningún tipo de incidencia/ en materia de protección de datos personales, y por consiguiente, no ha adoptado ningún tipo de medida/s al respecto, al entender que carece manifiestamente de fundamento la reclamación, ni aporta evidencias o indicios racionales de existencia de infracción.” Que ha actuado legítimamente al remitir al reclamante, Secretario de la anterior Junta Directiva, el documento de consentimiento expreso para los asociados, envío realizado en el marco de las actuaciones seguidas para regularizar los tratamientos de datos personales efectuados al RGPD. - Que con arreglo a lo previsto en el artículo 6 del RGPD y artículos 4 y 8 de la Ley Orgánica 3/2018, no se produce la contradicción comunicada por el reclamante entre los párrafos segundo y último de dicho documento, “ya que las cesiones que se producen, son necesarias y obligatorias, en algunos casos por imperativo legal, con la finalidad de cumplimiento de los propios fines de la propia Asociación (conforme se refleja en los estatutos de la asociación).” - Entre los fines recogidos en los Estatutos se destacan: “La representación, defensa y promoción de los intereses económicos, sociales, profesionales y culturales de sus afiliados ante toda clase de entidades públicas o privadas” y “El establecimiento de servicios propios de interés común y en particular al de la conservación y coordinación del servicio de RADIO-TELEFONO EN LOS VEHÍCULOS AUTO-TAXIS, en conexión con la correspondiente estación transmisora-receptora, para con ello poder atender las solicitudes de servicios de transporte tanto urbanos como interurbanos, que por medio sean solicitados por los usuarios.” Que el proceso de regularización iniciado por el actual equipo directivo tiene origen en la falta de constancia de la licitud de los tratamientos realizados con los datos de los asociados y su cesión a la Federación Regional del Taxi de Canarias (FEDETAX) ya la sociedad SOCOMTAXI, entidades a las cuales pertenecen desde el año 2000 y 2007, respectivamente, conforme se recoge n las correspondientes Actas. Según el reclamado, se integran en FEDETAX como medio para aunar intereses supramunicipales y en SOCOMTAXI, que precisa los datos de los asociados para gestionar y facilitarles los servicios de los clientes. TERCERO: A la vista de la información obrante en el “Documento Legal Nuevo RGPD Europeo Para Asociados de la Asociación de Taxis”, se observa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 -Respecto de la información relativa a los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento (artículo 13.1.

1. c)del RGPD): Si bien se señala que los datos proporcionados serán tratados para la “gestión interna de la relación asociación-asociados/cumplir los compromisos entre las partes.”, y para su cesión ”a otras entidades, siempre que sean necesarios para favorecer y cumplir los fines propios de la asociación.”, sin embargo no se precisa la base jurídica que legitima tales tratamientos para cada una de las finalidades a las que obedecen los mismos. Por otro lado, en el último párrafo del documento se señala que “No se cederán datos a terceros, salvo obligación legal.”, mientras que cuando en el párrafo segundo del documento se indica que la cesión a otras entidades se producirá “siempre que sean necesarios para favorecer y cumplir los fines propios de la asociación.”, existiendo, por tanto, contradicción en tales afirmaciones. -Respecto de la información relativa a los destinatarios o las categorías de destinatarios de los datos personales, en su caso (artículo 13.1.
2. e)del RGPD): No se informa que los datos personales de contacto de los asociados se comunican a FEDETAX y a SOCOMTAXI. -Respecto de la información referida al ejercicio de los derechos (artículo 13.2.
3. b)del RGPD): En cuanto a los datos de contacto ofrecidos para el ejercicio de los derechos reconocidos en los artículos 15 al 21 del RGPD no deberían figurar las referencias a los derechos de cancelación y a la transparencia de la información. Tampoco debería mencionarse los derechos ARCO por remitir a la anterior Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Además, el reclamado no proporciona la dirección de correo electrónico a la que los interesados podrán dirigirse para ejercitar tales derechos. Respecto de la información a la que se refiere el artículo 13.2.
4. e)del RGPD: No se informa si la comunicación de los datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, ni si el interesado está obligado a facilitar los datos personales, así como de las posibles consecuencias de no facilitar tales datos. CUARTO: Consultada con fecha 28 de mayo de 2019 la aplicación de la AEPD que muestra información sobre de antecedentes de sanciones y apercibimientos precedentes, no constan registros previos por infracción a lo previsto en el artículo 13 del RGPD vinculados al reclamado. QUINTO: Con fecha 6 de junio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de Apercibimiento al reclamado, con arreglo a lo dispuesto en los artículos 58.2.
5. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos,( en adelante RGPD), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. En dicho acuerdo, al amparo de lo dispuesto en el artículo 58.2.
6. d)del RGPD, se señalaban las medidas correctivas que podrían imponerse al reclamado en la resolución a adoptar en el procedimiento en caso de confirmarse la existencia de la infracción descrita, así como el plazo que se concedería en dicha resolución para su cumplimiento y justificación del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 SEXTO: Notificado el acuerdo de inicio, con fecha 4 de julio de 2019 se registra de entrada en esta Agencia escrito de alegaciones del reclamado solicitando el archivo del procedimiento sancionador con fundamento, en síntesis, en los siguientes argumentos: -Niega que exista vulneración del artículo 13 del RGPD por su parte, estimando que ha actuado legal y legítimamente al remitir al reclamante, dentro del marco del proceso de regularización al RGPD con fecha anterior al 7 de diciembre de 2018, el documento de consentimiento expreso para los asociados. - Que “La base jurídica que legitima los tratamientos que justifican cada una de las finalidades (son los necesarios para la gestión interna de la relación asociaciónasociados/cumplir los compromisos entre las partes, para favorecer y cumplir los fines propios de la asociación, conforme a lo establecidos en los Estatutos de la propia Asociación, y , en las disposiciones legales de la Ley Orgánica 1/2022, de 22 de marzo, reguladora del Derecho de Asociación, y de la Ley 4/2003, de 28 de febrero, de Asociaciones Canarias. Asimismo, lo anteriormente manifestado, justifica el que no se cederán datos a terceros, salvo obligación legal y para favorecer y cumplir los fines propios de la asociación. (Estatutos de la propia Asociación, y, en las disposiciones legales de la Ley Orgánica 1/2022, de 22 de marzo, reguladora del Derecho de Asociación, y de la Ley 4/2003, de 28 de febrero, de Asociaciones Canarias.)” Todo ello, conforme también, a la normativa vigente europea y española de protección de datos personales, artículo 6 del RGPD y artículos 4 y 8 de la LOPDGDD. - Se aduce que con posterioridad a la formulación de la reclamación, se remitió al reclamante “Documento Legal RGPD Europeo LOPDGDD para Asociados de la Asociación de Taxis” adaptado a la nueva normativa, em el que se recoge la cesión a FEDETAX y a SOCOMTAXI. Se adjunta copia de dicho documento, señalando en relación con el mismo: Que acredita como el reclamado garantiza la protección de los datos de carácter personal y el ejercicio de los derechos reconocidos en os artículos 15 a 21 del RGPD y de los artículos 13 al 18 de la LOPDGCC. Informa que no se cederán datos a terceros, salvo obligación legal. Los derechos que le asisten son el de presentar una reclamación ante una autoridad de control, el derecho de acceso, rectificación, cancelación, limitación u oposición a su tratamiento (Derechos Arco), a la transparencia de la información, supresión (derecho al olvido), portabilidad de sus datos personales, previa acreditación de su identidad, mediante solicitud/petición remitida por correo postal/correo electrónico, a la dirección postal/correo electrónico de la cooperativa. - Se solicita la valoración de lo expuesto en el “Informe sobre las causas que han motivado la incidencia que ha originado la reclamación” que se adjunta, en el que se aclara que la reclamación no se fundamenta en una incidencia /infracción en materia de protección de datos personales ni en un incumplimiento en la legislación vigente en esa materia. SÉPTIMO: Con fecha 28 de noviembre de 2019 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se impusiera al reclamado, de conformidad con lo previsto en el artículo 58.2.
7. b)del RGPD, una sanción de apercibimiento por una infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5.
8. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Asimismo, se proponía a la Directora de la Agencia Española de Protección de Datos que si en el momento de adoptar la resolución que procediera no se hubiera subsanado la situación irregular se ordenase al reclamado, de acuerdo con lo dispuesto en el artículo 58.2.
9. d)del RGPD, la adopción de las medidas necesarias para adecuar la información ofrecida a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios asociados toda la información exigida en el citado precepto y adecuando la ofrecida en el documento examinado a los aspectos puestos de manifiesto en el Fundamento de Derecho IV de la propuesta de resolución. Dicho acto fue notificado al reclamado con fecha 2 de diciembre de 2019. OCTAVO: Con fecha 19 de diciembre de 2019 se registra de entrada en esta Agencia escrito de alegaciones del reclamado a la propuesta de resolución señalando: - Que cumpliendo el apartado segundo de la propuesta de resolución se ha procedido a informar a los socios sobre el tratamiento de sus datos conforme a lo establecido en el artículo 13 del RGPD. Con tal fin se ha entregado a cada uno de ellos la cláusula informativa en protección de datos cuya copia se aporta, quedando constancia de tal entrega mediante firma de tal recepción. Asimismo, se ha expuesto dicho documento en el tablón de la Asociación, lo que se justifica adjuntando documentación acreditativa de tales extremos. - Que con fecha 11 de diciembre de 2019 se remitió al reclamante burofax con acuse de recibo informándole del tratamiento de sus datos conforme establece el artículo 13 del RGPD. Se adjunta burofax remitido y acuse de recibo de fecha 12 de diciembre de 2019, así como copia del documento con el texto enviado por dicho medio. - Que los datos de los socios son cedidos a las entidades encargadas del tratamiento FEDETAX, con el fin de poder gestionar los servicios de representación y defensa, y SOCOMTAXI, con el fin de realizar los servicios de coordinación de gestión de flotas de los vehículos de los socios, de conformidad con los acuerdos aprobado por los socios recogidos en las actas nº 6 de 12 de julio del 2000 y nº 15 de 5 de abril de 2007. Se adjunta copia de los contratos de encargado de tratamiento suscritos con dichas entidades. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 9 de octubre de 2018 se registra de entrada en esta Agencia reclamación formulada por el reclamante contra la ASOCIACIÓN DE TAXIS RATAVESAN exponiendo que el “Documento Legal Nuevo RGPD Europeo Para Asociados de la Asociación de Taxis” que le fue entregado por el reclamado para dar cumplimiento al deber de información establecido en el RGPD no identificaba las entidades a las que podían cederse sus datos personales de contacto ni las finalidades a las que se destinarían dichos datos. SEGUNDO: En los Estatutos Sociales de la Asociación de Taxis RATAVESAN se encuentran “Artículo 2º Los fines de la Asociación serán los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 1. La representación, defensa y promoción de los intereses económicos, sociales, profesionales y culturales de sus afiliados ante toda clase de entidades públicas o privadas” 2. El establecimiento de servicios propios de interés común y en particular al de la conservación y coordinación del servicio de RADIO-TELEFONO EN LOS VEHÍCULOS AUTO-TAXIS, en conexión con la correspondiente estación transmisora-receptora, para con ello poder atender las solicitudes de servicios de transporte tanto urbanos como interurbanos, que por medio sean solicitados por los usuarios 3. Programar las acciones necesarias para conseguir mejoras sociales, laborales y económicas de sus afiliados. 4. Organizar una constante labor formativa y de promoción profesional y cultural de sus afiliados” TERCERO: El reclamado indica la adopción de los siguientes acuerdos, recogidos en la documentación que a continuación se cita: -En el Acta nº 6 de 12 de Junio del 2000 figura que la Asociación se integró en la Federación Regional del Taxi de Canarias (FEDETAX) - En el Acta nº 15 de 5 de Abril de 2007, la Asociación cede los servicios de sus clientes a SOCOMTAXI, entidad que en la actualidad gestiona los datos de los asociados/as para que puedan recibir los servicios. CUARTO: El reclamante, que es miembro asociado de la Asociación, formó parte de la Junta directiva de la misma como Secretario entre junio de 2009 y octubre de 2015. QUINTO: La Junta Directiva actual de la Asociación, nombrada tras las elecciones celebradas el 31 de octubre de 2015, ha manifestado que a los efectos de adecuar al RGPD los tratamientos efectuados con la información de carácter personal obtenida de sus asociados contrató, con fecha 28 de septiembre de 2018, como asesora a la empresa PRODACAN SEXTO: En octubre de 2018 el reclamado facilitó a los miembros asociados el “Documento Legal Nuevo RGPD Europeo Para Asociados de la Asociación de Taxis” para su firma por los mismos. En este documento, aportado por el reclamante, el reclamado informaba, entre otros, de los siguientes aspectos: “que los datos personales que nos ha facilitado, en su condición de miembro asociado, serán tratados por la ASOCIACIÓN DE TAXIS RATAVESAN, como Responsable del tratamiento, a efectos/ con la finalidad de gestión interna de la relación asociación-asociados/cumplir los compromisos entre las partes. Asimismo, se consiente y autoriza expresamente a la ASOCIACIÓN DE TAXIS RATAVESAN, a la gestión y tratamiento de los datos personales con las finalidades anteriormente mencionadas; a que los datos de carácter personal de contacto, puedan cederse a otras entidades, siempre que sean necesarios para favorecer y cumplir los fines propios de la asociación. (…) La ASOCIACIÓN DE TAXIS RATAVESAN, se compromete a no tratar los datos de carácter personal para finalidades diferentes a las pactadas, así como a no cederlos ni a comunicarlos a terceros salvo obligación legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 (…) No se cederán datos a terceros, salvo obligación legal. Los derechos que le asisten son el de presentar una reclamación ante una autoridad de control, el derecho de acceso, rectificación, cancelación, limitación u oposición a su tratamiento (DERECHOS ARCO), a la transparencia de la información, supresión (derecho al olvido), portabilidad de sus datos personales, previa acreditación de su identidad, mediante solicitud/petición remitida por correo postal/correo electrónico, a la dirección postal/correo electrónico dela cooperativa, con dirección en la calle (…)” SÉPTIMO: En junio de 2019 el reclamado ha modificado el “Documento Legal Nuevo RGPD Europeo Para Asociados de la Asociación de Taxis”, introduciendo el siguiente cambio: “Asimismo, se consiente y autoriza expresamente a la ASOCIACIÓN DE TAXIS RATAVESAN, a la gestión y tratamiento de los datos personales con las finalidades anteriormente mencionadas; a que los datos de carácter personal de contacto, puedan cederse a otras entidades, siempre que sean necesarios para favorecer y cumplir los fines propios de la asociación (SOCOMTAXI, FEDETAX, ENTIDADES PÚBLICAS/ENTIDADES PRIVADAS).” FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2, 57.1 y 58.2.
10. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante, RGPD), reconocen a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los artículos 1 y 2.1 del RGPD disponen lo siguiente: “Artículo 1. Objeto 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Artículo 2. Ámbito de aplicación material 1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento; 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; Por lo tanto, de conformidad con dichas definiciones, la recogida, utilización y comunicación de los datos personales facilitados por los asociados al reclamado constituye un tratamiento de datos, respecto del cual el responsable del tratamiento ha de dar cumplimiento a lo previsto en el artículo 13 del RGPD III En el presente supuesto se imputa al reclamado la vulneración del deber de informar previsto en el artículo 13 del RGPD, precepto que determina lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 toda la información indicada a continuación:
11. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
12. b)los datos de contacto del delegado de protección de datos, en su caso;
13. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
14. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
15. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
16. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
17. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
18. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
19. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
20. d)el derecho a presentar una reclamación ante una autoridad de control;
21. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
22. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Dicho precepto debe ponerse en relación con lo establecido en el artículo 12 del RGPD, referido a la “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, que en su apartado 1 se establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” A su vez, ambos preceptos, se relacionan con lo dispuesto en los Considerandos 60 y 61 del citado RGPD, que establecen: “