Respuesta
En el momento de recopilar los datos, deben decir claramente a las personas de las que estén recopilando datos, por lo menos lo siguiente:
- quiénes son (su información de contacto y la de su delegado de protección de datos, si lo tienen),
- para qué utilizarán sus datos personales (fines),
- las categorías de datos personales de que se trate,
- la justificación jurídica del tratamiento de los datos,
- durante cuánto tiempo conservarán los datos,
- quién más puede recibirlos,
- si los datos personales se transferirán a un destinatario de fuera de la UE,
- que tienen derecho a una copia de los datos (derecho de acceso a los datos personales) y otros derechos básicos del ámbito de la protección de datos (véase la lista completa de derechos),
- su derecho a presentar una reclamación ante una autoridad de protección de datos,
- su derecho a retirar el consentimiento en todo momento,
- en su caso, la existencia de decisiones automatizadas y la lógica aplicada, además de las consecuencias que conlleva.
Véase toda la lista de información que debe proporcionarse.
Esta información puede facilitarse por escrito o, si procede, verbalmente a solicitud de la persona cuando se demuestre la identidad del interesado por otros medios o por medios electrónicos. Ello debe hacerse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo y de forma gratuita.
Cuando los datos se hayan obtenido de otra empresa u organización, deberán proporcionar la información anterior a la persona a más tardar en el plazo de un mes a partir de la obtención de los datos personales; o, en caso de que ustedes se comuniquen con la persona, en el momento que los datos se utilicen para la comunicación; o, si se prevé revelarlos a otra empresa, en el momento que se revelen por primera vez.
Asimismo, deben informar a la persona de las categorías de datos y la fuente de la que se obtuvieron; y, si se obtuvieron de fuentes de acceso público, suministrar también esta información. En circunstancias específicas enumeradas en el artículo 13, apartado 4, y el artículo 14, apartado 5, del Reglamento general de protección de datos pueden estar exentos de la obligación de informar a la persona. Verifiquen si están en alguno de estos escenarios.