Article 17. Informations à fournir lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne intéressée

Article 17. Informations à fournir lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne intéressée

1. Lorsque les données à caractère personnel n'ont pas été obtenues auprès de la personne intéressée, le responsable du traitement doit lui fournir les informations suivantes :

a) L'identité et les coordonnées du responsable et, le cas échéant, de son représentant.

b) Les coordonnées du délégué à la protection des données, s'il y en a un.

c) Les finalités et les traitements auxquels sont destinées les données à caractère personnel et de la base juridique du traitement.

d) Les catégories de données à caractère personnel traitées.

e) Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel.

f) Le cas échéant, l'intention du responsable d'effectuer un transfert international des données à caractère personnel collectées et l'existence ou l'absence d'une décision d'adéquation conformément à l'article 43, ou, dans le cas des transferts visés à l'article 44 ou à l'article 45, paragraphe 2, la référence aux garanties adéquates ou appropriées et aux moyens d'en obtenir une copie, ou au fait qu'elles ont été fournies.

2. Outre les informations visées au paragraphe 1, le responsable du traitement doit fournir à la personne intéressée les informations suivantes, nécessaires pour garantir un traitement loyal et transparent de ses données :

a) Le délai pendant lequel les données à caractère personnel seront conservées ou, lorsque cela n'est pas possible, les critères utilisés pour déterminer ce délai.

b) Les intérêts du responsable ou d'un tiers lorsque le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les droits et libertés fondamentaux de la personne intéressée qui exigent une protection des données à caractère personnel, notamment lorsqu'il s'agit d'un mineur.

c) Le droit de demander au responsable du traitement l'accès aux données à caractère personnel relatives à la personne intéressée, leur rectification ou leur effacement, la limitation de leur traitement ou le droit de s'y opposer, ainsi que le droit à la portabilité des données.

d) Lorsque le traitement est fondé sur la lettre

a) du paragraphe 1 de l'article 6, ou sur la lettre

a) du paragraphe 2 de l'article 9, l'existence du droit de retirer le consentement à tout moment, sans que cela porte atteinte à la licéité du traitement fondé sur le consentement effectué avant son retrait.

e) Le droit d'introduire une réclamation auprès de l'autorité de contrôle.

f) La source d'où proviennent les données à caractère personnel et, le cas échéant, si elles proviennent de sources accessibles au public.

g) L'existence de décisions automatisées, y compris le profilage ; et au moins dans ce cas, des informations utiles concernant la logique sous-jacente ainsi que l'importance et les conséquences prévues de ce traitement pour la personne intéressée doivent être fournies à celle-ci.

3. Le responsable du traitement doit fournir à la personne intéressée les informations visées aux paragraphes 1 et 2 :

a) Dans un délai maximal d'un mois après l'obtention des données à caractère personnel, eu égard aux circonstances particulières dans lesquelles ces données sont traitées.

b) Si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne intéressée, au plus tard au moment de leur première communication.

c) S'il est envisagé de communiquer les données à caractère personnel à un autre destinataire, au plus tard au moment de leur première communication.

4. Lorsque le responsable du traitement a l'intention d'effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle elles ont été collectées, il doit fournir à la personne intéressée, avant ce traitement ultérieur, des informations au sujet de cette autre finalité et toute autre information pertinente, conformément au paragraphe 2.

5. Les dispositions des paragraphes 1 à 4 ne s'appliquent pas lorsque :

a) La personne intéressée dispose déjà de ces informations.

b) La communication de ces informations se révèle impossible ou exigerait des efforts disproportionnés, notamment pour le traitement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, sans préjudice de disposer de mesures techniques et organisationnelles destinées à garantir le respect du principe de minimisation des données à caractère personnel, pouvant inclure la pseudonymisation si ces finalités peuvent ainsi être atteintes ; ou si l'obligation prévue au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ; étant entendu que, dans ces cas, le responsable doit prendre des mesures appropriées pour protéger les droits, les libertés et les intérêts légitimes de la personne intéressée.

c) L'obtention ou la communication est expressément prévue par la réglementation à laquelle le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne intéressée.

d) Les données à caractère personnel doivent rester confidentielles en vertu d'une obligation de secret professionnel ou de nature statutaire.

6. Lorsque le responsable du traitement envisage le traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle elles ont été initialement collectées, le responsable du traitement doit fournir à la personne intéressée des informations au sujet de cette nouvelle finalité et toute autre information pertinente, conformément au paragraphe 2.

7. Les administrations publiques peuvent se communiquer des données à caractère personnel en informant la personne intéressée sans que son consentement soit nécessaire, pour autant que l'Administration publique requérante justifie que les données demandées sont nécessaires et proportionnées à l'exercice de ses compétences dans le cadre de l'instruction d'une procédure administrative ; ou qu'elles sont liées à des finalités scientifiques, historiques ou statistiques. Si l'Administration publique requérante ne justifie pas ce qui est exposé ci-dessus, l'Administration publique requise doit en refuser la communication.