Nelle situazioni in cui il titolare del trattamento ottiene i dati non direttamente dall’interessato ma, ad esempio, da soggetti terzi o da fonti pubblicamente accessibili, questi deve comunque fornire le informazioni indicate dall’art. 14 GDPR (rubricato: “Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato), salvo che l’interessato non disponga già delle informazioni, il titolare sia tenuto per legge ad ottenere o comunicare tali dati o altrimenti sia tenuto ad obblighi di segreto professionale o ulteriori obblighi di segretezza previsti dalla legge. L’ulteriore ipotesi di esonero dall’obbligo di informare il soggetto interessato prevista dall’art. 14, paragrafo 5, lettera c), ovverosia l’impossibilità o lo sforzo sproporzionato, viene rimessa alla valutazione del titolare stesso e non più ad un giudizio del Garante, e deve essere debitamente documentata in forza del principio di accountability.

I contenuti che devono essere inseriti sono gli stessi dell’informativa per l’ipotesi in cui i dati sono raccolti direttamente presso l’interessato, con l’aggiunta dell’indicazione della fonte di provenienza di tali dati, ovverosia:

1. l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
2. i dati di contatto del responsabile della protezione dei dati, ove applicabile;
3. le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
4. le categorie di dati personali in questione;
5. gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
6. ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un destinatario in un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, secondo comma, il riferimento alle garanzie adeguate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dove sono stati resi disponibili;
7. il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
8. qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
9. l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
10. qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca;
11. il diritto di proporre reclamo a un’autorità di controllo;
12. la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico;
13. l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.

Circa i tempi, l’art. 14 GDPR, nel paragrafo 3, indica un termine ragionevole (al più tardi, entro un mese) in considerazione delle circostanze in cui i dati sono trattati, oppure al momento della comunicazione dei dati o all’interessato o ad altri destinatari.

Restano ferme le prescrizioni in caso di trattamenti per finalità diverse ed ulteriori e dunque l’obbligo (analogamente all’art. 13 GDPR) in tal caso di rinnovare l’informativa, nonché le indicazioni di forma e linguaggio di cui all’art. 12 GDPR.