L’art.14 del GDPR riguarda le informazioni da fornire all’interessato qualora i suoi dati personali non siano stati raccolti presso di lui ma risultano acquisiti da altre fonti.
Analogamente a quanto avviene per l’art.13, le informazioni devono riguardare:
-
dati del titolare del trattamento
-
dati del responsabile della protezione dei dati
-
finalità del trattamento
-
categorie di dati trattati
-
base giuridica del trattamento
-
eventuali interessi legittimi perseguiti
-
destinatari e categorie di destinatari
-
il trasferimento di dati all’estero
In aggiunta a tali informazioni, il titolare del trattamento deve fornire all’interessato l’informazione in merito a:
-
il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
-
l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
-
l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
-
il diritto di proporre reclamo a un’autorità di controllo;
-
la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico;
-
l’esistenza di un processo decisionale automatizzato, compresa la profilazione e informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
L’art.14, a differenza del 13, prescrive che il titolare deve fornire le informazioni elencate sopra:
-
entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati;
-
nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, al più tardi al momento della prima comunicazione all’interessato
-
nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali
L’obbligo del titolare di dare informazioni all’interessato non sussiste se:
-
l’interessato dispone già delle informazioni
-
comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato
-
l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento
-
i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell’Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge
