Gli articoli 13 e 14 contengono entrambi una disposizione che impone al titolare del trattamento d’informare l’interessato qualora intenda trattare ulteriormente i dati personali che lo riguardano per una finalità diversa da quella per cui sono stati raccolti/ottenuti. In tal caso, “prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2”. Tali disposizioni danno concreta attuazione al principio di cui all’articolo 5, paragrafo 1, lettera b), secondo cui i dati personali devono essere raccolti per finalità determinate, esplicite e legittime ed è vietato trattarli successivamente in modo incompatibile con tali finalità. La seconda parte dell’articolo 5, paragrafo 1, lettera b), afferma che un ulteriore trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali. Qualora i dati personali siano ulteriormente trattati per finalità compatibili con quelle iniziali (l’articolo 6, paragrafo 4, regola la questione), trovano applicazione l’articolo 13, paragrafo 3, e l’articolo 14, paragrafo 4. Le disposizioni di questi articoli che impongono di informare l’interessato dell’ulteriore trattamento supportano la posizione assunta nel regolamento, secondo cui l’interessato dovrebbe ragionevolmente attendersi, al momento e nel contesto della raccolta dei dati personali, che possa avere luogo un trattamento per una particolare finalità. In altre parole, l’interessato non dovrebbe essere colto di sorpresa dalla finalità del trattamento dei dati personali che lo riguardano.
Nella parte in cui si riferiscono alla fornitura di “ogni ulteriore informazione pertinente di cui al paragrafo 2”, l’articolo 13, paragrafo 3, e l’articolo 14, paragrafo 4, possono essere interpretati a prima vista come se lasciassero al titolare del trattamento una certa libertà di valutazione circa la portata e le categorie particolari d’informazioni di cui al rispettivo paragrafo 2 (ovvero, a seconda del caso, articolo 13, paragrafo 2, o articolo 14, paragrafo 2) che dovrebbero essere fornite all’interessato (il considerando 61 parla a tale proposito di “altre informazioni necessarie”). La posizione prestabilita è comunque che tutte le informazioni di cui a detto paragrafo dovrebbero essere fornite all’interessato, salvo che una o più categorie d’informazioni non esistano o non siano applicabili.
Il Gruppo raccomanda che i titolari del trattamento, per essere trasparenti, corretti e responsabili, considerino di mettere a disposizione degli interessati, nella rispettiva dichiarazione/informativa sulla privacy, informazioni sull’analisi di compatibilità svolta ai sensi dell’articolo 6, paragrafo 4, qualora la nuova finalità del trattamento si fondi su una base giuridica diversa dal consenso o da un atto legislativo dell’Unione o degli Stati membri (in altre parole, una spiegazione del modo in cui il trattamento per una finalità diversa sia compatibile con la finalità iniziale). L’intento è offrire agli interessati la possibilità di valutare la compatibilità dell’ulteriore trattamento e delle garanzie fornite e di decidere se esercitare o no i loro diritti, ad es., tra gli altri, il diritto di limitazione di trattamento o il diritto di opporsi al trattamento. Laddove i titolari del trattamento scelgano di non includere tali informazioni nella dichiarazione/informativa sulla privacy, il Gruppo raccomanda che esplicitino agli interessati il fatto che tali informazioni possono essere ottenute su richiesta.
Connessa all’esercizio dei diritti dell’interessato è la questione della tempestività. Come evidenziato sopra, la fornitura d’informazioni in maniera tempestiva è un elemento di vitale importanza degli obblighi di trasparenza di cui agli articoli 13 e 14, intrinsecamente legato al concetto di trattamento corretto. Le informazioni relative all’ulteriore trattamento devono essere fornite “prima di tale ulteriore trattamento”. Il Gruppo ritiene che tra la comunicazione e l’inizio del trattamento debba intercorrere un periodo di tempo ragionevole, e non che il trattamento cominci non appena l’interessato riceve la comunicazione. Ciò garantisce agli interessati i vantaggi pratici del principio della trasparenza, offrendo loro una possibilità significativa di valutare l’ulteriore trattamento (e potenzialmente esercitare i loro diritti al riguardo). Quale sia un termine ragionevole dipende dalle circostanze specifiche. Il principio della correttezza impone che più invasivo (o meno atteso) è l’ulteriore trattamento, più lungo debba essere il periodo. Allo stesso modo, il principio di responsabilizzazione implica che i titolari del trattamento siano in grado di dimostrare che le conclusioni cui sono giunti circa la tempistica della fornitura delle informazioni sono giustificate nel caso specifico e che la tempistica è nel complesso corretta nei confronti degli interessati.
