- Если персональные данные не были получены от субъекта данных, контролер должен предоставить субъекту данных следующую информацию:
- (a) личность и контактные данные контроллера и, если применимо, представителя контроллера;
- (b) контактные данные ответственного за защиту данных, где это применимо;
- (c) цели обработки, для которых предназначены персональные данные, а также правовое основание для такой обработки;
- (d) категории соответствующих персональных данных;
- (e) получатели или категории получателей персональных данных, если таковые имеются;
- (f) если применимо, что контроллер намеревается передать персональные данные получателю в третьей стране или международной организации, и наличие или отсутствие решения Комиссии о достаточности, или в случае передачи, упомянутой в Статье 46 или 47, или во втором подпараграфе Статьи 49(1), ссылку на соответствующие или подходящие гарантии и способы получения их копии или где они были предоставлены.
- В дополнение к информации, указанной в параграфе 1, контролер должен предоставить субъекту данных следующую информацию, необходимую для обеспечения справедливой и прозрачной обработки в отношении субъекта данных:
- (a) срок, в течение которого будут храниться личные данные, или, если это невозможно, критерии, используемые для определения этого срока;
- (b) если обработка основана на пункте (f) Статьи 6(1), то на законных интересах, преследуемых контролером или третьей стороной;
- (c) наличие права запрашивать у контроллера доступ к персональным данным, их исправление или удаление, или ограничение обработки, касающейся субъекта данных, и возражать против обработки, а также права на переносимость данных;
- (d) если обработка основана на пункте (a) Статьи 6(1) или пункте (a) Статьи 9(2), наличие права на отзыв согласия в любое время, не затрагивая законности обработки, основанной на согласии до его отзыва;
- (e) право подать жалобу в контролирующий орган;
- (f) из какого источника получены персональные данные, и, если применимо, получены ли они из общедоступных источников;
- (g) наличие автоматизированного принятия решений, включая профилирование, упомянутое в Статье 22(1) и (4), и, по крайней мере, в этих случаях, содержательная информация о задействованной логике, а также о значении и предполагаемых последствиях такой обработки для субъекта данных.
- Контроллер должен предоставить информацию, указанную в параграфах 1 и 2:
- (a) в течение разумного периода времени после получения персональных данных, но не позднее чем в течение одного месяца, с учетом конкретных обстоятельств, в которых обрабатываются персональные данные;
- (b) если персональные данные будут использоваться для связи с субъектом данных, то не позднее, чем во время первой связи с этим субъектом данных; или
- (c) если предполагается раскрытие другому получателю, то не позднее, чем в момент первого раскрытия персональных данных.
- Если контролер намеревается продолжить обработку персональных данных с целью, отличной от той, для которой были получены персональные данные, контролер должен предоставить субъекту данных до начала такой дальнейшей обработки информацию об этой другой цели и любую соответствующую дополнительную информацию, указанную в пункте 2.
- Параграфы с 1 по 4 не применяются там и в той мере, где и в какой:
- (a) субъект данных уже обладает этой информацией;
- (b) предоставление такой информации оказывается невозможным или потребует непропорциональных усилий, в частности, при обработке в архивных целях в интересах общества, в целях научных или исторических исследований или в статистических целях, при соблюдении условий и гарантий, указанных в Статье 89(1), или в той мере, в какой обязательство, указанное в пункте 1 настоящей Статьи, может сделать невозможным или серьезно ухудшить достижение целей такой обработки. В таких случаях контролер должен принять соответствующие меры для защиты прав и свобод субъекта данных и его законных интересов, в том числе сделать информацию общедоступной;
- (c) получение или раскрытие данных прямо предусмотрено законодательством Союза или государства-члена, которому подчиняется контроллер и которое предусматривает соответствующие меры для защиты законных интересов субъекта данных; или
- (d) когда персональные данные должны оставаться конфиденциальными в соответствии с обязательством хранить профессиональную тайну, регулируемым законодательством Союза или государства-члена, включая законодательное обязательство хранить тайну.
Статья 14