О чём эта статья

Статья 14 — какую информацию контролёр обязан предоставить субъекту, когда данные получены не от него лично (от третьих лиц, из публичных источников, и т. д.).

14(1) — Обязательная информация

Контролёр обязан сообщить субъекту:

(a) идентичность и контакты контролёра и его представителя; (b) контакты DPO; (c) цели обработки и правовое основание; (d) категории обрабатываемых данных (поскольку субъект сам их не передавал, он не знает, что именно есть у контролёра); (e) получатели данных; (f) факт передачи в третьи страны и механизмы защиты.

14(2) — Дополнительная информация

(a) срок хранения; (b) законные интересы — если применяется 6(1)(f); (c) права субъекта; (d) право отозвать согласие; (e) право подать жалобу; (f) источник данных — откуда контролёр их получил, и если из публично доступных источников — то указать это; (g) существование автоматизированных решений по Art. 22.

14(3) — Сроки

Информация должна быть предоставлена:

(a) в разумные сроки после получения данных, но не позднее одного месяца, учитывая обстоятельства; (b) при первой коммуникации с субъектом — если данные используются для этого; (c) при первом раскрытии данных другому получателю — не позднее самого раскрытия.

14(4) — Дальнейшие цели

Перед обработкой для иной цели — повторное уведомление.

14(5) — Исключения

Уведомление не требуется, если:

(a) субъект уже располагает информацией; (b) уведомление невозможно или потребует непропорциональных усилий, в особенности при обработке для архивных, научных, исторических или статистических целей; (c) получение или раскрытие прямо предусмотрено правом ЕС или государства-члена; (d) данные должны оставаться конфиденциальными в силу профессиональной тайны.

Почему это важно для аудита

Art. 14 — главное оружие против дата-брокеров и AdTech. Они получают данные от партнёров, а не от субъекта напрямую. По Art. 14 они обязаны уведомить субъекта в течение месяца. На практике никто этого не делает — это массовое нарушение всей индустрии.

Каждый дата-брокер, профайлящий вас на основании данных, купленных у других, нарушает Art. 14, если не уведомил вас. Это основание для жалобы.