1. Если персональные данные получены не от субъекта данных, то контроллер должен предоставить субъекту данных следующую информацию:
- идентификацию и контактную информацию контроллера и, при необходимости, его представителя;
- контактные данные специалиста по защите, если допустимо;
- цели обработки, для которых предназначены персональные данные, а также юридическое основание для обработки;
- категории соответствующих персональных данных;
- получатели или категории получателей персональных данных, если таковые имеются;
- если применимо – информацию о намерении контроллера отправлять персональные данные третьей стране или международной организации, и информацию о наличии или отсутствии решения Комиссии о достаточности уровня защиты, или в указанных в Статье 46 или 47, или в части второй пункта 1 Статьи 49 случае отправки – ссылку на соответствующие или применимые гарантии и информацию о том, каким образом можно получить копию данных, или о том, где они могут быть доступны.
2. В дополнение к указанной в пункте 1, информации, контроллер предоставляет субъекту данных далее указанную информацию, необходимую для обеспечения честной и обозримой обработки в отношении субъекта данных:
- период, в течение которого персональные данные будут храниться, или если это не представляется возможным, то критерии для определения указанного периода;
- законные интересы контроллера или третьей стороны, если обработка основывается на подпункте f) пункта 1 статьи 6;
- существование права потребовать у контроллера доступ к персональным данным, касающимся субъекта данных, и их исправление или удаление или ограничение обработки или права на возражение против обработки, а также права на переносимость данных;
- в случае, если обработка основывается на подпункт a) пункта 1 Статьи 6 или пункт a) пункта 2 Статьи 9 – право в любой момент отозвать согласие, не влияющее на законность обработки, осуществленной до предоставленного отзыва;
- право подачи жалобы в надзорное учреждение;
- информацию о том, из какого источника получены персональные данные и, если применимо, получены ли данные из публично доступных источников;
- наличие системы автоматизированного принятия решения, включая профилирование, указанное в пункте 1 и 4 Статьи 22, и, по меньшей мере, в упомянутых случаях, полноценную информацию о заключённой в ней логике, а также о значимости и предполагаемых последствиях такой обработки для субъекта данных.
3. Контроллер предоставляет в пункте 1 и 2 указанную информацию:
- в разумный срок после получения персональных данных, но, самое позднее, в течение месяца, с учётом конкретных условий обработки персональных данных;
- если персональные данные предусмотрено использовать для связи с субъектом данных, то самое позднее – во время первого взаимодействия с субъектом данных; или
- самое позднее, во время первого распространения персональных данных, если предусмотрено их распространение другому получателю.
4. Если контроллер в дальнейшем намеревается обрабатывать персональные данные в других целях, отличных от целей, для которых персональные данные были собраны, то контроллер до указанной дальнейшей обработки информирует субъект данных об упомянутой иной цели и предоставляет ему всю соответствующую дополнительную информацию, указанную в пункте 2.
5. Пункты 1–4 пункты настоящей статьи применяются, если и поскольку:
- в распоряжении субъекта данных уже имеется соответствующая информация;
- оказывается, что предоставление указанной информации невозможно или оно требует непропорционально большого усилия, в частности, для обработки в целях архивирования в интересах общества, в целях научных или исторических исследований или в статистических целях, с учётом условий и гарантий, указанных в пункте 1 статьи 89, или, постольку, обязанности, указанные в пункте 1 настоящей статьи, могут сделать не позволить или негативно повлиять на достижение целей указанной обработки. В таких случаях контроллер должен принять соответствующие меры для защиты прав, свобод и законных интересов субъекта данных, включая доведение информации до всеобщего сведения;
- получение или распространение информации чётко предусмотрена правовыми актами Союза или государства-члена ЕС, применимыми в отношении контроллера и которые обеспечивают соответствующие меры для защиты законных интересов субъекта данных; или
- если персональные данные должны оставаться конфиденциальной информацией, соблюдая обязанность сохранения служебной тайны, регулируемой правовыми актами Союза или государства-члена ЕС, включая установленные уставом обязательство сохранения тайны.