Gli articoli 13 e 14 stabiliscono quali informazioni devono essere fornite all’interessato nella fase iniziale del ciclo del trattamento. L’articolo 13 si applica al caso in cui i dati sono raccolti presso l’interessato. Sono compresi i dati personali che:
• l’interessato fornisce consapevolmente al titolare del trattamento (ad es. quando compila un modulo online) oppure
• il titolare del trattamento raccoglie presso l’interessato mediante osservazione (ad es. utilizzando dispositivi o software per catturare dati in modo automatizzato quali telecamere, apparecchiature di rete, tracciamento Wi-Fi, sensori RFID o di altro tipo).
L’articolo 14 trova applicazione qualora i dati personali non siano stati ottenuti presso l’interessato. Sono compresi i dati personali che il titolare del trattamento ha ottenuto da altre fonti quali:
• titolari del trattamento terzi;
• fonti pubblicamente disponibili;
• intermediari di dati;
• altri interessati.
Per quanto riguarda la tempistica della fornitura di queste informazioni, la tempestività è un elemento di fondamentale importanza dell’obbligo di trasparenza e dell’obbligo di trattare i dati in maniera corretta. Qualora trovi applicazione l’articolo 13, ai sensi del suo paragrafo 1 le informazioni devono essere fornite “nel momento in cui i dati personali sono ottenuti”. Nel caso di dati personali ottenuti indirettamente ai sensi dell’articolo 14, le tempistiche entro cui le informazioni devono essere fornite all’interessato sono stabilite al medesimo articolo, paragrafo 3, lettere da a) a c), come segue:
• il requisito generale è che le informazioni siano fornite entro “un termine ragionevole” dall’ottenimento dei dati personali e non più tardi di un mese, “in considerazione delle specifiche circostanze in cui i dati personali sono trattati” (articolo 14, paragrafo 3, lettera a));
• il limite generale di un mese di cui all’articolo 14, paragrafo 3, lettera a), può essere ulteriormente accorciato ai sensi dell’articolo 14, paragrafo 3, lettera b), il quale prevede la situazione in cui i dati sono destinati alla comunicazione con l’interessato. In tal caso, le informazioni devono essere fornite al più tardi al momento della prima comunicazione con l’interessato. Se la prima comunicazione si verifica prima del limite di un mese dall’ottenimento dei dati personali, le informazioni devono essere fornite al più tardi al momento della prima comunicazione con l’interessato, nonostante non sia trascorso un mese dal momento dell’ottenimento dei dati. Se la prima comunicazione con l’interessato si verifica più di un mese dopo l’ottenimento dei dati personali, l’articolo 14, paragrafo 3, lettera a), continua a trovare applicazione; le informazioni di cui all’articolo 14 devono quindi essere fornite all’interessato al più tardi entro un mese dal loro ottenimento;
• il limite generale di un mese di cui all’articolo 14, paragrafo 3, lettera a), può anche essere accorciato ai sensi dell’articolo 14, paragrafo 3, lettera c), il quale prevede la situazione in cui i dati sono comunicati a un altro destinatario (che si tratti o meno di un terzo). In tal caso, le informazioni devono essere fornite al più tardi al momento della prima comunicazione. Se la comunicazione si verifica prima del limite di un mese, le informazioni devono essere fornite al più tardi al momento della prima comunicazione, nonostante non sia trascorso un mese dal momento dell’ottenimento dei dati. Analogamente alla situazione dell’articolo 14, paragrafo 3, lettera b), se la comunicazione dei dati personali si verifica più di un mese dopo il loro ottenimento, l’articolo 14, paragrafo 3, lettera a), continua a trovare applicazione; le informazioni di cui all’articolo 14 devono quindi essere fornite all’interessato al più tardi entro un mese dal loro ottenimento.
Il limite massimo di tempo entro il quale le informazioni di cui all’articolo 14 devono essere fornite all’interessato è in ogni caso di un mese. Tuttavia, i principi di correttezza e responsabilizzazione di cui al regolamento impongono al titolare del trattamento di decidere il momento in cui fornire le informazioni di cui all’articolo 14 considerando sempre le ragionevoli aspettative degli interessati e l’effetto che il trattamento potrebbe avere sugli stessi e sulla loro capacità di esercitare i diritti di cui godono in relazione al trattamento. Il principio della responsabilizzazione impone al titolare del trattamento di dimostrare la motivazione alla base della decisione assunta e di giustificare la scelta del momento in cui fornire le informazioni. In pratica, può essere difficile adempiere tali obblighi quando si forniscono informazioni all’“ultimo momento”. A tale proposito, il considerando 39 precisa, tra l’altro, che le persone interessate dovrebbero essere “sensibilizzate ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali, nonché alle modalità di esercizio dei loro diritti relativi a tale trattamento”. Il considerando 60 fa anch’esso riferimento al fatto che, nel contesto dei principi di trattamento corretto e trasparente, l’interessato dev’essere informato dell’esistenza del trattamento e delle sue finalità. Per tutti questi motivi, la posizione del Gruppo è che, conformemente al principio di correttezza, il titolare del trattamento dovrebbe ove possibile fornire le informazioni all’interessato con largo anticipo rispetto ai limiti di tempo previsti. I paragrafi 30, 31 e 48 riportano ulteriori considerazioni sull’adeguatezza del periodo che intercorre tra la comunicazione del trattamento agli interessati e il momento in cui il trattamento avviene.