Dans quel délai informer une personne dont on a obtenu les données par un tiers ?
Lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, les informations requises doivent être communiquées au plus tard un mois après l’obtention des données. Si ces données sont communiquées avant l’échéance de ce délai, l’information doit être donnée au plus tard lors de la communication.
La règle vise aussi les données obtenues auprès d’un tiers: le responsable du traitement doit informer la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non. Lorsque les données ne sont pas collectées directement auprès de la personne concernée, le délai est fixé au plus tard un mois après qu’il a obtenu les données personnelles. Il faut donc vérifier à partir de quand les données ont été obtenues et si l’information a été transmise dans ce délai.[1]
L’information à communiquer dans ce cas comprend au moins l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises. Si les données n’ont pas été collectées auprès de la personne concernée, il faut en outre indiquer les catégories de données traitées. Lorsque des données personnelles sont communiquées à l’étranger, il faut également communiquer le nom de l’État ou de l’organisme international concerné et, le cas échéant, les garanties prévues à l’art. 16, al. 2, ou l’application d’une des exceptions prévues à l’art. 17.[1]
Une règle particulière s’applique si les données personnelles sont communiquées avant l’échéance de ce délai: dans ce cas, la personne concernée doit être informée au plus tard lors de la communication. Il convient donc de vérifier non seulement la date d’obtention des données, mais aussi si une transmission à des destinataires intervient avant l’expiration du délai d’un mois, y compris, le cas échéant, une communication à l’étranger.[1]
Cette réponse résume le texte légal cité tel que publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur ainsi que toute modification ultérieure avant d’agir.[1]