1. Όταν τα δεδομένα δεν έχουν συλλεγεί παρά τω υποκειμένω των δεδομένων, ο υπεύθυνος της επεξεργασίας οφείλει, κατά την καταχώρηση των δεδομένων ή σε περίπτωση που προβλέπεται η ανακοίνωση των δεδομένων σε τρίτον, και το αργότερο κατά την πρώτη ανακοίνωσή τους, να παρέχει στο υποκείμενο των δεδομένων τουλάχιστον τις κατωτέρω απαριθμούμενες πληροφορίες, εκτός εάν το υποκείμενο έχει ήδη ενημερωθεί:
α) την ταυτότητα του υπευθύνου της επεξεργασίας,
β) τους σκοπούς της επεξεργασίας,
γ) τις κατηγορίες των σχετικών δεδομένων,
δ) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων,
ε) την ύπαρξη δικαιώματος πρόσβασης στα δεδομένα που το αφορούν και δικαιώματος διόρθωσης αυτών των δεδομένων,
στ) οποιαδήποτε συμπληρωματική πληροφορία, όπως:
i) τη νομική βάση της επεξεργασίας για την οποία προορίζονται τα δεδομένα,
ii) τις προθεσμίες διατήρησης των δεδομένων,
iii) το δικαίωμα προσφυγής, ανά πάσα στιγμή, στον ευρωπαίο επόπτη προστασίας δεδομένων,
iv) την προέλευση των δεδομένων, εκτός εάν ο υπεύθυνος της επεξεργασίας δεν δύναται να αποκαλύψει το στοιχείο αυτό για λόγους επαγγελματικού απορρήτου,
στο μέτρο που, λαμβανομένων υπόψη των ειδικών συνθηκών υπό τις οποίες συλλέγονται τα δεδομένα, αυτές οι συμπληρωματικές πληροφορίες είναι αναγκαίες, για τη διασφάλιση της θεμιτής επεξεργασίας των δεδομένων έναντι του υποκειμένου των δεδομένων.
2. Η παράγραφος 1 δεν εφαρμόζεται όταν, ιδίως στην περίπτωση της επεξεργασίας για σκοπούς στατιστικούς ή ιστορικής ή επιστημονικής έρευνας, η ενημέρωση του υποκειμένου των δεδομένων αποδεικνύεται αδύνατη ή προϋποθέτει δυσανάλογες προσπάθειες ή εάν η καταχώρηση ή η ανακοίνωση των δεδομένων προβλέπεται ρητώς από την κοινοτική νομοθεσία. Στις περιπτώσεις αυτές, το όργανο ή ο οργανισμός της Κοινότητας προβλέπει τις κατάλληλες εγγυήσεις αφού ζητήσει τη γνώμη του ευρωπαίου επόπτη προστασίας δεδομένων.
