Ret til indsigt i henhold til GDPR: anvendelsesområdet for artikel 15 i AVG

Retten til indsigt i artikel 15 i den generelle forordning om databeskyttelse, kendt i Holland som Algemene Verordening Gegevensbescherming (AVG), giver enhver person ret til at spørge en organisation, om den behandler personoplysninger om dem, til at modtage en kopi af disse oplysninger og til at få oplyst formålene, modtagerne, opbevaringsperioden og kilden. Den dataansvarlige skal svare inden for en måned gratis og må kun begrænse adgangen, hvis det er nødvendigt for at beskytte andres rettigheder og friheder. I Holland kan en afslag indbringes for byretten ved en begæring inden for seks uger i henhold til artikel 35 i implementeringsloven af ​​GDPR (Uitvoeringswet AVG).

AVG er ikke en separat hollandsk lov: det er den hollandske betegnelse for selve forordningen, som finder direkte anvendelse. Det, hollandsk lov tilføjer, er Uitvoeringswet AVG, som udfylder de valgmuligheder, som forordningen giver medlemsstaterne, og fastsætter, hvordan retten håndhæves for Autoriteit Persoonsgegevens og domstolene. Denne artikel omhandler anvendelsesområdet for artikel 15, dens begrænsninger og proceduren efter en afvisning.

Hvad artikel 15 rent faktisk giver dig

Artikel 15(1) indeholder to rettigheder, der ofte forveksles. Den første er bekræftelse: et ja- eller nej-svar på spørgsmålet om, hvorvidt personoplysninger vedrørende dig behandles. Den anden, som kun opstår, hvis svaret er ja, er adgang til disse oplysninger sammen med otte supplerende oplysninger. Artikel 15(3) tilføjer derefter forpligtelsen til at udlevere en kopi.

Artikel 15(2) tilføjer, at når personoplysninger overføres til et tredjeland eller en international organisation, har du ret til at blive informeret om de passende sikkerhedsforanstaltninger, der anvendes i forbindelse med denne overførsel. Tilsammen er disse punkter årsagen til, at en ren datadump ikke er i overensstemmelse med reglerne: kopien uden kontekst opfylder ikke artikel 15.

Personoplysninger er en bred kategori, og dataansvarlige definerer den ofte for snævert. Det dækker langt mere end et navn og en adresse: adfærdsprofiler, vurderinger og meninger registreret om dig, kamerabilleder, opkaldsoptagelser, enhedsidentifikatorer, login-tidsstempler, IP-adresser og slutninger draget om dig kvalificerer alle, så snart de kan forbindes direkte eller indirekte med dig som en identificerbar person. GDPR- definitionen er bevidst bred, og byrden for at forklare, hvorfor noget falder uden for den, ligger hos den dataansvarlige.

Hvem kan spørge, og hvem skal svare

Retten tilhører den registrerede: en identificeret eller identificerbar levende fysisk person. Alder, nationalitet og bopæl er irrelevante. En forælder eller værge kan handle på vegne af en mindreårig, og en retsudpeget repræsentant kan handle på vegne af en voksen, der mangler myndig myndighed. Enhver anden person skal have en skriftlig tilladelse, og en dataansvarlig har ret til at verificere den. Retten gælder ikke efter dødsfaldet, da forordningen ikke gælder for afdøde personers oplysninger, selvom hollandske regler om tavshedspligt og om adgang til en afdød patients lægejournal stadig kan give pårørende en mulighed.

Anmodningen går til den dataansvarlige: den part, der fastlægger formålene og midlerne til behandlingen. Et lønbureau, et hostingfirma eller en softwareleverandør, der handler efter instruks, er en databehandler og skal videregive anmodningen i stedet for at besvare den. Hvor to organisationer i fællesskab fastlægger formålene og midlerne, gør artikel 26 dem til fælles dataansvarlige; de ​​skal aftale indbyrdes, hvem der håndterer anmodninger om adgang, og gøre essensen af ​​denne aftale tilgængelig, men den registrerede kan udøve retten over for en af ​​dem.

Geografi er sjældent en hindring. Forordningen gælder for dataansvarlige, der er etableret i EU, og også for dataansvarlige uden for EU, der tilbyder varer eller tjenesteydelser til personer i EU eller overvåger deres adfærd. En nederlandsk statsborger kan derfor rette en anmodning til en udenlandsk platform, og perioden på en måned starter, når den dataansvarlige modtager den.

I ansættelsessammenhæng fremsættes anmodningen personligt af medarbejderen, og det er en rettighed snarere end en tjeneste. Arbejdsgivere bør forvente anmodninger om aktindsigt i forbindelse med afskedigelsesforhandlinger og præstationstvister og bør ikke behandle tidspunktet som en grund til at svare anderledes.

Hvad en kopi betyder

Domstolen afgjorde dette punkt i sag C-487/21 af 4. maj 2023. En kopi i henhold til artikel 15(3) skal være en trofast og forståelig gengivelse af alle de personoplysninger, der behandles. Et resumé, en tabel over kategorier eller en generel beskrivelse af, hvad organisationen er i besiddelse af, opfylder ikke forpligtelsen.

Den samme dom besvarede det vanskeligere spørgsmål om, hvorvidt hele dokumenter skal udleveres. I princippet vedrører forpligtelsen dataene, ikke den fil, de befinder sig i. Men Domstolen fastslog, at uddrag af dokumenter, hele dokumenter eller uddrag fra databaser skal gives, når det er nødvendigt for at den registrerede kan forstå dataene og effektivt udøve sine rettigheder. Kontekst kan være en del af betydningen: en vurdering giver kun mening i det dokument, der indrammer den, og et tomt felt kan i sig selv være informativt. Den praktiske test for en dataansvarlig er derfor ikke, om et dokument er bekvemt at frigive, men om dataene forbliver forståelige uden det.

En anden dom, sag C-307/22 af 26. oktober 2023, fjernede to argumenter, som de dataansvarlige plejede at støtte sig til. Den registrerede behøver ikke at angive en grund til anmodningen, og et motiv, der ikke er forbundet med databeskyttelse, såsom at udarbejde en klage, gør ikke anmodningen til misbrug. Og den første kopi skal være gratis, selv hvor national lovgivning ellers ville tillade et gebyr for fremstilling af optegnelser.

Redigering er fortsat berettiget, når et dokument også indeholder andre personers personoplysninger. Et mødenotat, der optager flere medarbejdere, kan frigives, uden at passager vedrørende kolleger er fjernet eller neutraliseret, forudsat at det resterende stadig er forståeligt. Et dokument, der kun vedrører dig, såsom din kontrakt og de generelle vilkår og betingelser, der gælder for dig, egner sig slet ikke til redigering.

Frister, format og omkostninger

Artikel 12(3) giver den dataansvarlige en måned fra modtagelsen af ​​anmodningen. Denne periode kan forlænges med op til yderligere to måneder, hvis anmodningen er kompleks, eller hvis den dataansvarlige har modtaget en række anmodninger, men forlængelsen og begrundelsen herfor skal meddeles inden for den første måned. Tavshed er ikke en forlængelse. Hvis den dataansvarlige ikke reagerer på anmodningen, kræver artikel 12(4), at den dataansvarlige giver besked inden for en måned og informerer den registrerede om retten til at klage til en tilsynsmyndighed og til at søge retsmiddel.

Der er ingen foreskrevet formular. En anmodning pr . e-mail , pr. brev, via en webformular eller mundtlig er lige gyldig, og en dataansvarlig må ikke kræve sin egen skabelon som en betingelse. Når anmodningen fremsættes elektronisk, skal oplysningerne gives i en almindeligt anvendt elektronisk form, medmindre den registrerede anmoder om andet.

Adgang er gratis. Artikel 15(3) tillader et rimeligt gebyr baseret på administrative omkostninger kun for yderligere kopier af de samme data, og artikel 12(5) tillader et rimeligt gebyr eller et afslag, hvis en anmodning er åbenbart grundløs eller overdreven, især på grund af dens gentagne karakter. Den dataansvarlige har bevisbyrden for denne karakter, og efter retspraksis fra 2023 er tærsklen høj: gentagelse alene, uden mere, er ikke nok.

Identitetsverifikation er tilladt, men begrænset. Artikel 12(6) giver den dataansvarlige mulighed for at anmode om yderligere oplysninger, hvis denne har rimelig tvivl om anmoderens identitet, og ikke mere end det. Hvis anmodningen kommer fra en kendt konto, er det normalt tilstrækkeligt at sammenligne den med eksisterende kontooplysninger. Hvis et identitetsdokument er virkelig nødvendigt, bør borgerservicenummeret, fotografiet og den maskinlæsbare zone være mørklagt, og enhver kopi bør kun opbevares, så længe kontrollen kræver det. At kræve en fuldstændig passcanning som standard er i sig selv en overtrædelse, og identitetsdokumenter, der indeholder biometriske data, er igen underlagt strengere regler.

Overførslen skal være sikker. At sende en ubeskyttet fil, der indeholder en hel personalejournal, til en privat e-mailadresse er et databrud, der venter på at ske; brug en beskyttet fil, hvor nøglen deles separat, eller en portal med tofaktorgodkendelse.

Når adgang kan begrænses eller nægtes

Artikel 15 er ikke absolut. Artikel 15(4) fastslår, at retten til at få en kopi ikke må krænke andres rettigheder og friheder, og betragtning 63 nævner forretningshemmeligheder og intellektuel ejendom, herunder softwareophavsret, som interesser, der kan afvejes. Begrænsningen er snæver i to henseender: den gælder for kopien snarere end for den underliggende ret til information, og den kan ikke resultere i en generel afvisning. Hvor der foreligger en konflikt, skal den dataansvarlige søge den mindst restriktive vej, som normalt er delvis videregivelse med redigering.

Tredjeparts data

Korrespondance, mødenotater og klagefiler indeholder normalt personoplysninger for mere end én person. Den dataansvarlige skal afveje interesserne, ikke blot tilbageholde. I praksis betyder det at fjerne navne og kontaktoplysninger på tredjeparter, erstatte en identitet med en neutral beskrivelse, hvor selve identiteten ikke er pointen, eller levere et uddrag i stedet for hele kæden. Hvad den dataansvarlige ikke må gøre, er at afvise hele dokumentet, fordi en tredjepart optræder i det.

Fortrolige oplysninger og professionelt tavshedspligt

Forretningshemmeligheder, prismodeller og kildekode kan beskyttes, men svaret er kalibrering snarere end tavshed. Når der er tale om en automatiseret beslutning, skylder den dataansvarlige meningsfuld information om den anvendte logik og konsekvenserne for den registrerede, hvilket ikke er det samme som at videregive algoritmen. Separat er oplysninger, der er omfattet af tavshedspligt, beskyttet, og samspillet mellem oplysningspligt og tavshedspligt er et tilbagevendende problem for rådgivere, hvilket vi diskuterer i vores artikel om indberetningsforpligtelser og tavshedspligt.

Begrænsninger i hollandsk lov

Uitvoeringswet AVG indeholder en række begrænsninger af registreredes rettigheder, der er vedtaget i henhold til artikel 23 i forordningen, med henblik på f.eks. forebyggelse og efterforskning af strafbare handlinger, tilsyn fra offentlige organer og beskyttelse af den registrerede eller andres rettigheder. En dataansvarlig, der benytter sig af en af ​​disse begrænsninger, skal identificere den, anvende den på den specifikke anmodning og kunne begrunde den. En generel erklæring om, at videregivelse ikke er i nogens interesse, er ikke en begrænsning.

Patientjournaler følger et delvist separat spor. Udover artikel 15 giver bestemmelserne om behandlingsaftaler i den hollandske borgerlige lovbog en patient ret til at inspicere og få en kopi af sin journal, og de to muligheder eksisterer side om side snarere end konkurrerer.

Håndtering af en anmodning som dataansvarlig

De fleste fejl er organisatoriske snarere end juridiske. En anmodning, der ankommer til en salgsindbakke, en filial eller i et telefonopkald, starter stadig uret, så det første krav er, at personalet genkender en og dirigerer den. Det andet er, at organisationen ved, hvor personoplysninger rent faktisk befinder sig: den registrering af behandlingsaktiviteter, der kræves i henhold til artikel 30, er det praktiske grundlag for at finde dem, og en dataansvarlig, der ikke kan søge i sine egne systemer, vil misse fristen uanset gode intentioner.

Derfra er processen mekanisk. Bekræft modtagelsen og registrer datoen. Bekræft identiteten forholdsmæssigt. Definer omfanget med anmoderen, hvor anmodningen er meget bred, uden at bruge den samtale som en forsinkende taktik. Søg i systemerne, herunder arkiverede postkasser og ticketværktøjer. Redigér tredjepartsdata under et andet par øjne. Send kopien sammen med oplysningerne i henhold til artikel 15(1) skriftligt, og før en fortegnelse over, hvad der blev videregivet, og hvad der blev tilbageholdt med begrundelsen. Det er denne fil, som Autoriteit Persoonsgegevens vil bede om, hvis der følger en klage.

To vaner reducerer arbejdsmængden permanent: håndhævelse af opbevaringsperioder, fordi data, der er lovligt slettet, aldrig behøver at blive videregivet, og skrivning af interne notater ud fra den antagelse, at den pågældende person kan læse dem.

Hvad skal man gøre, hvis controlleren ikke svarer

Start med en dateret påmindelse, der identificerer den oprindelige anmodning, angiver datoen den blev sendt, og bemærker, at perioden i artikel 12(3) er udløbet. En kort frist på en eller to uger er rimelig. En betydelig andel af anmodningerne besvares på dette tidspunkt, og påmindelsen skaber også det papirspor, du får brug for senere.

Hvis det mislykkes, er der to muligheder, som kan anvendes parallelt. Den første er en klage til Autoriteit Persoonsgegevens i henhold til artikel 77. Tilsynsmyndigheden kan undersøge, pålægge den dataansvarlige at overholde betingelserne, pålægge et påbud med tvangsbøde og i alvorlige tilfælde en administrativ bøde. Den tilkender dig ikke noget personligt, og tidsfristen er en tilsynsmyndigheds snarere end en tvists.

Den anden vej er retten, og i Holland er den usædvanligt tilgængelig. Artikel 35 i Uitvoeringswet AVG giver en interesseret part mulighed for at ansøge byretten ved en begæring om, at den dataansvarlige skal imødekomme eller afvise anmodningen. Tre elementer i denne bestemmelse har betydning i praksis. Begæringen skal indgives inden for seks uger efter modtagelsen af ​​den dataansvarliges svar. Hvis den dataansvarlige ikke har svaret inden for de i artikel 12(3) anførte frister, gælder der slet ingen frist. Og artikel 35(4) bestemmer udtrykkeligt, at begæringen ikke behøver at indgives af en advokat, hvilket gør proceduren tilgængelig for personer uden repræsentation, selvom substansen normalt drager fordel af rådgivning.

Hastesager kan også anlægges i summarisk retssag, og et krav om erstatning i henhold til artikel 82 kan kombineres med et substantivt krav. Vær realistisk vedrørende erstatning: Domstolen har fastslået, at en krænkelse ikke i sig selv skaber ret til erstatning, og at den person, der fremsætter kravet, skal påvise faktisk skade, selvom ikke-økonomisk skade kan være berettiget, og der ikke er nogen minimumsgrænse for alvorlighed. Tildelinger i aktindsigtssager er beskedne, og værdien af ​​proceduren ligger i at indhente dataene. Vores oversigt over, hvordan sager ved en hollandsk domstol forberedes, viser, hvad man kan forvente.

At lave en anmodning, der virker

En forespørgsel behøver ikke at være detaljeret, men en velafgrænset en besvares hurtigere og er langt sværere at udsætte. Fortæl, hvem du er, og i hvilken egenskab organisationen kender dig, og angiv et kunde- eller personalenummer. Henvis eksplicit til artikel 15, så der ikke senere opstår uenigheder om, hvad du bad om. Hvis du er interesseret i et defineret problem, skal du angive perioden og systemerne: korrespondance med en navngiven afdeling mellem to datoer eller poster i en specifik applikation. Bed udtrykkeligt om de supplerende oplysninger i artikel 15(1), ikke kun om dataene. Og angiv, hvordan du ønsker at modtage dem.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Gem den afsendte forsendelse, noter datoen, og skriv fristen i kalenderen. Når svaret modtages, skal det sammenlignes med de otte punkter i artikel 15(1) i stedet for kun at se på bilagene; ufuldstændige supplerende oplysninger er den mest almindelige mangel og den nemmeste at anfægte. Hvis dataene viser sig at være unøjagtige eller overdrevne, er det naturlige næste skridt en anmodning om berigtigelse eller sletning, baseret på de samme beviser.

Retten til aktindsigt er principielt enkel og teknisk i anvendelse på begge sider af anmodningen. Law & More rådgiver personer, der ikke får svar, herunder medarbejdere og tidligere medarbejdere, der konfronteres med en personalemappe, og organisationer, der har brug for en forsvarlig proces til håndtering af anmodninger, redigering og afslag. Fortæl os om din situationVi giver dig besked om dine muligheder inden for én arbejdsdag.

Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .