Art. 13 Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade | GDPR regulation | GDPR

This article establishes the information disclosure obligations that apply to controllers when personal data is collected directly from the data subject.

It sets out two tiers of mandatory information that must be provided at the point of collection: a first tier covering foundational identity and processing details, and a second tier covering additional information needed to ensure fair and transparent processing.

The article also addresses the scenario where a controller wishes to use the data for a new purpose, requiring fresh disclosure before that further processing begins.

It is closely connected to Article 14, which mirrors these obligations for situations where data is not collected directly from the data subject.

Important points:

Controllers must provide data subjects with a defined set of information at the moment personal data is collected, covering who is collecting it, why, on what legal basis, and who it may be shared with.
Provide data subjects with additional transparency information at the same time, including storage periods, their rights, and details of any automated decision-making.
Where further processing for a different purpose is intended, controllers must inform the data subject before that processing takes place.

1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:
  1. Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.
  2. Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.
  3. Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.
  4. Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.
  5. Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.
  6. I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.
▼C1ModificationCorrectedParagraph 2 corrected by a corrigendum to Regulation (EU) 2016/679. Published in the Official Journal 23 May 2018.▲
1. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling:
  Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
  Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten till dataportabilitet.
  Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, att det föreligger en rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.
  Rätten att inge klagomål till en tillsynsmyndighet.
  Huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas.
  Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
1. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.
1. Punkterna 1, 2 och 3 ska inte tillämpas om och i den mån den registrerade redan förfogar över informationen.

Artikel 13 Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade

Relevant recitals