En el artículo 14 del Reglamento General de Protección de Datos (RGPD) se establecen los requisitos de información cuando los datos personales no se han obtenido directamente del interesado.
La transparencia es uno de los pilares del RGPD, ello implica que el responsable del tratamiento de los datos debe proporcionar información clara y accesible. En el caso de que los datos no hayan sido facilitados directamente por el interesado, el responsable ha de indicar en su política de privacidad la fuente de la que provienen, ya sea pública o privada y las categorías de datos personales procesados.
Esta comunicación debe realizarse en un plazo razonable, a más tardar dentro de un mes, o bien, en el momento de la primera comunicación que se realice con el interesado.
El apartado 14.5 del RGPD establece excepciones a la obligación de informar cuando los datos no provienen del interesado. Los supuestos, entre otros, son que el interesado ya tenga la información, cuando exista una imposibilidad de informar o suponga esfuerzos desproporcionados en el caso de uso con fines históricos, científicos o estadísticos, o si revelar la información afectara negativamente los objetivos del tratamiento.
IMPORTANTE
No es obligatorio informar cuando los datos personales sean confidenciales sobre la base de la obligación de secreto profesional regulada por el Derecho de la Unión o Estados Miembros.