Статья 16. Информация, которая должна предоставляться, если персональные данные получены не от субъекта данных

Статья 16
Информация, которая должна предоставляться, если персональные данные получены не от субъекта данных

1. Если персональные данные получены не от субъекта данных, контролер должен предоставить субъекту данных следующую информацию:

(a) идентификационные и контактные данные контролера;

(b) контактные данные инспектора по защите персональных данных;

(c) цели обработки, для которых предназначаются персональные данные, а также правовые основания для обработки;

(d) категории соответствующих персональных данных;

(e) информацию о получателях или категориях получателей персональных данных, при их наличии;

(f) если это применимо, информацию о том, что контролер намерен передать персональные данные получателю в третьей стране или международной организации, а также наличие или отсутствие решения Европейской Комиссии о достаточности принятых мер по защите данных, или в случае передачи, указанной в Статье 48, - ссылку на соответствующие или достаточные меры защиты и способы получения копии данных или место, в котором они могут быть предоставлены.

2. В дополнение к информации, указанной в параграфе 1, контролер должен предоставить субъекту данных следующую информацию, необходимую для обеспечения справедливой и прозрачной обработки в отношении субъекта данных:

(a) о сроке, в течение которого будут храниться персональные данные, или, если это не представляется возможным, критериях для определения указанного срока;

(b) о существовании права на запрос к контролеру о доступе к персональным данным и об их исправлении или удалении или ограничении обработки в отношении субъекта данных, или, если это применимо, о представлении возражения против обработки, или о праве на перенос данных;

(c) если обработка основывается на пункте (d) Статьи 5(1) или на пункте (a) Статьи 10(2), о существовании права на отзыв согласия в любой момент, без влияния на законность обработки, основанной на согласии до его отзыва;

(d) о праве подачи жалобы Европейскому инспектору по защите данных;

(e) об источнике получения персональных данных и, если это применимо, о том, получены ли данные из источников, доступных для общественности;

(f) о наличии автоматизированного процесса принятия решений, в том числе о формировании профиля, указанного в Статье 24(1) и (4), и по крайней мере в указанных случаях - достоверную информацию о соответствующей логической схеме, а также о значимости и предполагаемых последствиях указанной обработки для субъекта данных.

3. Контролер должен предоставить информацию, указанную в параграфах 1 и 2:

(a) в течение разумного периода времени после получения персональных данных, но не позднее одного месяца с учетом особых обстоятельств обработки персональных данных;

(b) если персональные данные должны использоваться для общения с субъектом данных, не позднее момента первого обращения к указанному субъекту данных; или

(c) если предполагается раскрытие информации другому получателю, не позднее момента первоначального раскрытия персональных данных.

4. Если контролер намерен в дальнейшем обрабатывать персональные данные в целях, отличных от целей, для которых они были получены, перед последующей обработкой контролер должен предоставить субъекту данных информацию об указанных иных целях, а также любую релевантную дополнительную информацию, указанную в параграфе 2.

5. Параграфы 1 - 4 не должны применяться, если и поскольку:

(a) субъект данных уже располагает информацией;

(b) предоставление указанной информации оказывается невозможным или требует непропорционального усилия, в частности, для обработки в целях архивирования в общественных интересах, в целях научного или исторического исследования или в целях статистики, или поскольку обязательство, указанное в параграфе 1 настоящей Статьи, может сделать невозможным или может негативно отразиться на достижении целей указанной обработки;

(c) получение или раскрытие информации прямо установлено законодательством Союза, которое обеспечивает надлежащие меры для защиты законных интересов субъекта данных; или

(d) персональные данные должны оставаться конфиденциальными с учетом обязательства о соблюдении профессиональной тайны, регулируемого законодательством Союза, включая установленные законодательством обязательства о сохранении тайны.

6. В случаях, указанных в пункте (b) параграфа 5, контролер должен принять надлежащие меры для защиты прав и свобод и законных интересов субъекта данных, в том числе при обнародовании информации.