Az általános adatvédelmi rendelet 15. cikke – amelyet az Algemene Verordening Gegevensbescherming (AVG) révén ágyazott be a holland jogba – minden személynek egyértelmű jogot biztosít arra, hogy megtudja, egy szervezet feldolgozza-e a személyes adatait, hogy másolatot kapjon, és hogy megtekinthesse a környező kontextust, például a célokat, a címzetteket és a megőrzési időszakokat. Ez a jog az átláthatóság és az elszámoltathatóság gerincét képezi: lehetővé teszi az egyének számára, hogy ellenőrizzék, mit tárolnak róluk, és arra kényszeríti a vállalatokat, hogy adatkezelési gyakorlatukat tisztán, dokumentálva és védhetően tartsák.

Akár saját HR-fájlt igényel, akár egy ügyfél hozzáférési kérelmének megválaszolására készül, a 15. cikk pontos hatályának és korlátainak ismerete csökkenti a bírságok, viták és hírnévkárosodás kockázatát. A következő oldalakon lefordítjuk a jogi szöveget közérthető angolra, lépésről lépésre végigvezetjük az érintetteket egy kérelemsablonon, útmutatást adunk az adatkezelőknek a határidőkről, díjakról és a kitakarási kötelezettségekről, megjelöljük az Autoriteit Persoonsgegevens által érvényesített hollandiai szabályokat, és mindkét fél számára gyakorlati ellenőrzőlistákkal zárjuk.

Az AVG 15. cikkének dekódolása egyszerű angol nyelven

„Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult a személyes adatokhoz hozzáférést kapni…” — 15. cikk (1) bekezdés GDPR

Egyszerűen fogalmazva: bármelyik szervezetet megkérdezheted „Tárolnak rólam adatokat? Ha igen, mutassák meg, hogy mit, miért, kivel osztják meg, és mennyi ideig őrzik meg őket.” Ez a GDPR szerinti hozzáférési jog lényege; az AVG 15. cikkének hatálya Hollandiában azonos, mivel a holland Uitvoeringswet AVG csupán lokalizálja a végrehajtást anélkül, hogy a lényeget megváltoztatná.

Amikor kérelmet nyújt be, nyolc konkrét elemre jogosult:

1. Feldolgozás megerősítése
2. A személyes adatok másolata
3. A feldolgozási célok
4. Érintett adatkategóriák
5. Címzettek vagy címzett kategóriák
6. Tervezett tárolási időszak vagy annak meghatározásának kritériumai
7. Egyéb, az Ön által gyakorolható GDPR-jogok
8. Az EGT-n kívüli adattovábbításokra vonatkozó biztosítékok

A jog személyes jellegű – csak az érintett (vagy egy érvényes képviselője) hivatkozhat rá – és az abszolút a saját adataid átvételéhez. Az adatkezelők azonban korlátozhatják vagy megtagadhatják a hozzáférést, ha más alapvető jogok (üzleti titkok, harmadik felek magánélete) sérülnének.

Jogi szöveg vs. közérthető kifejezések

Kulcsszavak egy pillantásra

• Mennyi ideig tarthat egy vezérlő? Egy hónap, összetett esetekben háromra bővíthető.
• Felszámíthatnak? Nemkivéve, ha a kérés „egyértelműen megalapozatlan vagy túlzott”.
• Milyen formátumban fogom megkapni az adatokat? Biztonságos elektronikus fájl (pl. PDF vagy CSV), kivéve, ha másképp kéri.
• Kell használnom egy speciális nyomtatványt? NemAz e-mail, a levél, vagy akár egy telefonhívás is számít.
• Mi van, ha semmi információjuk sincs rólam? Ezt írásban kell jelezniük ugyanazon határidőn belül.

Ki gyakorolhatja a jogot, és kivel szemben?

Az Általános Adatvédelmi Rendelet 4. cikkének (1) bekezdése értelmében érintett bármely élő, azonosítható természetes személy – legyen az ügyfél, alkalmazott, beteg vagy kiskorú tanuló. Mindegyikük élhet a GDPR szerinti hozzáférési jogával: az AVG 15. cikkének hatálya nem tesz különbséget életkor, állampolgárság vagy lakóhely szerint. A kérelmeket a következőhöz kell címezni: ellenőr: a párt, amelyik dönt miért és a hogyan az adatokat feldolgozzák. Egy felhőszolgáltató vagy bérszámfejtési iroda, amely csupán tárolja az adatokat, egy processzor; továbbítania kell a kérést a vezérlőnek, de nem utasíthatja vissza a közvetlen utasítást.

A hollandiai lakosok kérésüket egy olyan külföldi vállalathoz is intézhetik, amely a holland piacot célozza meg (pl. egy ír székhelyű közösségi hálózat). Az egy hónapos elszámolás attól a pillanattól kezdődik, amikor az adatkezelő megkapja a kérést, függetlenül attól, hogy hol találhatók a szerverei.

Különleges helyzetek: Képviselők, elhunyt személyek, szülők és gyámok

• Kiskorúak és cselekvőképtelen felnőttek: a holland Polgári Törvénykönyv 1. könyve értelmében szülő, gyám vagy gondnok járhat el nevükben.
• Iskolák és munkáltatók: tanulók és alkalmazottak maguk benyújthat hozzáférési kérelmet (SAR); a képviselők bevonása opcionális, nem kötelező.
• Az elhunyt személyek nem tartoznak a GDPR hatálya alá, de az orvosoknak, közjegyzőknek és biztosítóknak továbbra is tiszteletben kell tartaniuk a szakmai titoktartási szabályokat, mielőtt nyilvánosságra hozzák a kapcsolódó dokumentumokat.

Az adatkezelők közös felelőssége megosztott rendszerekben

Amikor két vagy több szervezet közösen meghatározzák az adatkezelés céljait vagy eszközeit (GDPR 26. cikk) – például egy munkáltató és annak HR-szoftver-szállítója – ők közös adatkezelőkÁtláthatóan meg kell állapodniuk abban, hogy ki válaszol a 15. cikk szerinti megkeresésekre, és erről tájékoztatniuk kell az érintettet, de mindegyik fél felelős marad, ha a másik elrontja a dolgot.

Amit közzé kell tenni: Adatok és kiegészítő információk

Amikor a GDPR szerinti hozzáférési jogra hivatkozik, az AVG 15. cikkének hatálya két dolog átadására kötelezi az adatkezelőt: a tényleges személyes adatok és egy csomag kontextuális részletekGondoljon rá úgy, mintha mind a fotót, mind a hozzá tartozó feliratot megkapná. A jogszabály nyolc kategóriába sorolja a közzétételi kötelezettséget, amelyeket alább sorolunk fel.

A személyes adat többet jelent, mint név és szám. Ide tartoznak a viselkedési profilok, a kikövetkeztetett hitelminősítések, a térfigyelő kamerák felvételei, a hangfelvételek, az eszközazonosítók, sőt még az olyan látszólag unalmas metaadatok is, mint a bejelentkezési időbélyegek – bármi, ami közvetlenül vagy közvetve egy azonosítható személyhez köthető.

A „Személyes adatok másolata” magyarázata

A másolat érthető reprodukciót jelent, nem az eredeti papír alapú fájlt. Elvárások:

• PDF formátumú bérszámfejtés
• CRM-jegyzetek CSV-exportálása
• ZIP fájl a támogatási hívások hangfájljaival
  Ha e-mailben küldte a kérést, az alapértelmezett kézbesítésnek is elektronikusnak és „általánosan használt” formátumban kell lennie, kivéve, ha papíralapút kér.

Személyes adatok vs. dokumentumok: hol húzzuk meg a határt

Az adatkezelőknek csak azokat a részleteket kell kinyerniük, amelyek Önre vonatkoznak. Például egy több alkalmazottat tartalmazó megbeszélési feljegyzésben az Ön szóbeli megjegyzései közzétehetők, míg a kollégák megjegyzései kitakarva maradnak. Ezzel szemben egy aláírt... munkaszerződés teljes egészében nyilvánosságra kerül, mivel minden záradék Önt érinti.

Kötelező kiegészítő információk

Az adatmásolaton túl az adatkezelőnek ki kell térnie a következőkre: célok, kategóriák, címzettek, megőrzés, rendelkezésre álló jogok, adatforrások, az automatizált döntések mögött meghúzódó logika (ha van ilyen), valamint az adattovábbítási garanciák. Figyeljen a homályos válaszokra – az „üzleti célokra” vagy a „szükség esetén tárolandó” válaszok valószínűleg nem elégítik ki az Autoriteit Persoonsgegevens követelményeit. Az átfogó, közérthető magyarázatok a legjobb védelem a panaszok és bírságok ellen.

Hogyan kell benyújtani és kezelni az adathozzáférési kérelmet (SAR) Hollandiában

Az Adatkezelő Hozzáférési Kérelmét az érintett bármilyen módon benyújthatja – telefonon, email, levél, közösségi médiás DM, vagy akár chatbot. Az Általános Adatvédelmi Rendelet 12. cikke tiltja az adatkezelőknek, hogy meghatározott nyomtatványt kérjenek, így a „Szeretném a rólam tárolt összes személyes adat másolatát” elég az óra elindításához. A legjobb gyakorlat azonban az írásos feljegyzés benyújtása, hogy mindkét fél nyomon követhesse a határidőket. A kérelem beérkezése után az adatkezelőnek haladéktalanul (1) vissza kell igazolnia a kézhezvételt, és (2) naplóznia kell a kérelem beérkezését. egy hónap válaszadási időszak. Az első hónap utáni hallgatás vagy késedelem az Autoriteit Persoonsgegevens (AP) panaszát és potenciális bírságokat von maga után.

Az alábbiakban egy tömör, kétnyelvű sablon található, amelyet az érintettek másolhatnak és beilleszthetnek; nincs szükség jogi zsargonra.

Subject: Subject Access Request – Article 15 GDPR/AVG

Dear [Controller],

I hereby request, under Article 15 GDPR/AVG, confirmation of whether you process my personal data. 
If so, please provide a copy and the supplementary information listed in Article 15(1)(a-h).

Kind regards,
[Name] | [Email] | [Any reference number]

---

Onderwerp: Verzoek om inzage – Artikel 15 AVG/GDPR

Geachte [Verwerkingsverantwoordelijke],

Ik verzoek u op grond van artikel 15 AVG om bevestiging of u mijn persoonsgegevens verwerkt. 
Indien dit het geval is, ontvang ik graag een kopie en de aanvullende informatie zoals genoemd in artikel 15 lid 1 onder a-h.

Met vriendelijke groet,
[Naam] | [E-mail] | [Eventuele referentie]

A vezérlőknek egyszerű beviteli munkafolyamatot kell létrehozniuk—[e-mail védett] postafiók, jegyszám, automatikus visszaigazolás – a későbbi megfelelés igazolására.

Személyazonosság-ellenőrzés túlzott adatgyűjtés nélkül

Az adatkezelőnek „észszerűen” kell ellenőriznie, hogy ki kérdez, anélkül, hogy több adatot gyűjtene, mint amennyire szüksége van. Az AP a következőket javasolja:

• Ahol csak lehetséges, hasonlítsa össze a kérés részleteit a meglévő fiókadatokkal (felhasználónév, ügyfél-azonosító).
• Ha a további igazolás elkerülhetetlen, kérjen kitakart útlevelet, vagy jogosítvány beolvasása a BSN, a fotó és az MRZ elsötétült.
• Soha ne őrizd meg a másolatokat a szükségesnél hosszabb ideig; jegyezd fel az ellenőrzés tényét, majd töröld a fájlt.

Naplózás és nyilvántartás az elszámoltathatóság érdekében

Egy alapvető SAR-naplóval a szabályozó hatóságok – és az adatvédelmi tisztviselő – is elégedettek lehetnek.

1. Beérkezés dátuma és csatornája (e-mail, hívás stb.)
2. Személyazonosság-ellenőrzési lépések megtétele
3. A tárolt adatok köre
4. Belső csapatok bevonása
5. A válaszadás dátuma és módja + az esetlegesen igényelt hosszabbítások
6. A megadott információk összefoglalása vagy az elutasítás okai

A nyilvántartás vezetése támogatja az 5. cikk szerinti „elszámoltathatóság” elvét, és kész ellenőrzési nyomvonalat biztosít, ha az AP kopogtat az ajtónkon.

Adatkezelők határidői, díjai és kézbesítési formátumai

Amikor az óra elindul, a vezérlőknek van egy hónap hogy válaszoljanak egy hozzáférési kérelemre. Egyszer meghosszabbíthatók akár két további hónap, de csak összetett vagy számos kérés esetén és a az első hónapon belül meg kell indokolniuk a késedelem okát. Ha nem tárolnak személyes adatokat, az adatkezelőnek akkor is ugyanezen határidőn belül válaszolnia kell, és ezt kifejezetten közölnie kell.

A 12. cikk (5) bekezdése díjmentességet határoz meg: a hozzáférés ingyenes. Díj felszámítása csak akkor engedélyezett, ha az igény fennáll. „egyértelműen megalapozatlan vagy túlzott”– képzeljünk el egy alkalmazottat, aki minden héten azonos másolatokat kér, vagy egy spammert, aki több száz hamis profil adatait kéri le.

A kézbesítésnek „általánosan használt” biztonságos formátumban kell történnie. Gyors összehasonlítás:

Bármelyik utat is választják, az adatkezelőknek tiszteletben kell tartaniuk az ésszerű preferenciákat, és el kell kerülniük a tulajdonosi függőséget.

Biztonságos átvitel és adatminimalizálás

Soha ne küldjön védelem nélküli táblázatokat e-mailben. Használjon jelszóval védett fájlokat (a kulcsot külön ossza meg), HTTPS portálokat kétfaktoros hitelesítéssel, vagy ajánlott levelet a papírkötegekhez. Küldés előtt tisztítsa meg a harmadik féltől származó adatokat szerkesztőszoftverrel, és távolítsa el a felesleges mezőket. Ez megfelel az 5. cikk (1)(c) bekezdésének minimalizálási követelményének, miközben védi a munkatársakat, az üzleti titkokat és a szemtanúkat.

A hozzáférés korlátozásának vagy megtagadásának jogos indokai

A 15. cikk erőteljes, de nem korlátlan. A (4) bekezdés és a (63) preambulumbekezdés egyértelművé teszi, hogy az adatkezelő korlátozhatja vagy akár megtagadhatja a nyilvánosságra hozatalt, ha az információ átadása ütközne más alapvető jogokkal, vagy egyértelműen ésszerűtlen lenne. A bizonyítási teher az adatkezelőt terheli: Önnek kell... dokumentum miért ásná alá a teljes hozzáférés ezeket az egymással versengő érdekeket, és hogyan enyhítette a hatást (pl. részleges kitakarás).

Harmadik felek adatainak védelme

Egy olyan e-mail lánc közzététele, amely kollégákat vagy ügyfeleket is megnevez, felfedheti azok személyes adatok. A holland esetjog (Rb. Midden-Nederland, ECLI:NL:RBMNE:2023:1204) megerősíti, hogy az adatkezelők törölhetik vagy összefoglalhatják a harmadik fél azonosítókat, feltéve, hogy a kérelmező továbbra is érti a kontextust. Technikák:

• Fekete vonalú nevek és telefonszámok
• Cserélje ki semleges kifejezésekkel („másik alkalmazott”)
• Kivonatok megadása a teljes fájl helyett

Üzleti titkok, szellemi tulajdon és szerzői jog

A vállalatoknak nem kell megnyitniuk algoritmikus kimonójukat. Ha a forráskód, az árképzési képletek vagy a szerzői joggal védett anyagok felfedése bizalmas know-how-t fedne fel, a 15. cikk (4) bekezdése kalibrált választ tesz lehetővé. Tipikus megkerülő megoldás: az automatizált döntés logikáját egyszerű angol nyelven kell leírni, nem a teljes kódot; a szerződéses jegyzék részleteit kell megadni, nem a saját sablont. Mindig el kell magyarázni, hogy miért sértené a kereskedelmi érdekeket a részletesebb közzététel.

A jogokkal való visszaélés megelőzése

Egy kérés az nyilvánvalóan megalapozatlan vagy túlzott amikor ismétlődő, zaklató vagy szándékosan terhelő – gondoljunk csak a heti másol-beillesztett SAR-okra, miután a teljes adatmennyiséget már leszállították. Az adatkezelők ilyenkor:

1. „Ésszerű díjat” számítson fel, amely tükrözi az adminisztratív költségeket, or
2. Teljesen tagadd meg a cselekvést.
   Akárhogy is, írásban kell indokolnia álláspontját, és tájékoztatnia kell az érintettet arról a jogáról, hogy panaszt nyújthat be az Autoriteit Persoonsgegevenshez.

Jogorvoslat kérése: Panaszok és peres eljárások Hollandiában

Amikor az adatkezelő elvéti a kellő időt, az érintetteknek gyors, fokozatos lehetőségek állnak rendelkezésükre a GDPR szerinti hozzáférési joguk érvényesítésére (az AVG 15. cikkének hatálya).

1. Belső lökés. Küldjön egy dátummal ellátott emlékeztetőt, amelyben hivatkozik a 15. cikkre és a lejárt határidőre; a legtöbb szervezet a felszólítás után eleget tesz a kérésnek.
2. Autoriteit Persoonsgegevens panasz. Online benyújtható. Az AP elrendelheti a dokumentumok nyilvánosságra hozatalát, napi bírságot szabhat ki, vagy közigazgatási bírságot szabhat ki. Az egyszerű ügyek gyakran három hónapon belül lezárulnak.
3. Polgári bírósági eljárás. Az Általános Adatvédelmi Rendelet 82. cikke értelmében holland bíróságok elrendelhet bírósági végzéseket és kártérítést ítélhet meg. A legutóbbi ítéletek 250–2500 eurót ítéltek meg nehéz helyzetben lévő személyek kárára, gyorsított eljárással. összefoglaló eljárás Sürgős foglalkoztatási kérdések esetén könnyítések igényelhetők.

Határokon átnyúló együttműködés és az egyablakos ügyintézés

Egy holland állampolgár akkor is panaszt tehet az AP-nél, ha az adatkezelő EU-s székhelye máshol található. Az AP a GDPR-on keresztül továbbítja a fájlt. Az egyablakos, És a Európai Adatvédelmi Testület áttörheti a szabályozási patthelyzetet – így a földrajzi elhelyezkedés nem jelent akadályt az adatok megszerzésében.

Megfelelőségi terv szervezetek számára

Egy rendezett SAR-folyamat már jóval az első kérés megérkezése előtt elkezdődik. Építsd fel ezeket az alapvető elemeket, és a hozzáféréssel kapcsolatos problémák 90%-a megszűnik:

• Tegyél közzé egy rövid, közérthető angol nyelvű SAR-politikát, és hívd fel rá a személyzet figyelmét.
• Tartsa naprakészen az Adatfeldolgozási Tevékenységek Nyilvántartását (RoPA) – így tudni fogja, hol találhatók az adatai.
• Térképezze fel a megőrzési időszakokat és a törlési eseményeket; az elavult adatok olyan adatok, amelyeket soha nem kell átadnia.
• Lépésről lépésre haladó szerkesztési munkafolyamatot tarthat fenn kettős ellenőrzéssel.
• Naplózza az 5. cikk szerinti összes kérelmet, döntést és határidőt felelősségre vonhatóság.
• Évente végezzen asztali gyakorlatokat a sebesség, az érthetőség és a parancslánc tesztelésére.

Képezze a recepciós, a HR-es és az IT-részleget a szóbeli kérések észlelésére és prioritási sorrendbe állítására; egyetlen nem fogadott telefonhívás is elindíthatja a büntetést.

Automatizálás és eszközök

Használjon adatfelderítő szoftvereket, személyazonosság-ellenőrző API-kat és biztonságos letöltési portálokat az adatok gyors megtalálásához, csomagolásához és továbbításához – mindig hagyva teret az emberi érzékszervi ellenőrzésnek és a kontextus figyelembevételének.

Integráció az adatalanyok egyéb jogaival

Tervezze meg a SAR-munkafolyamatot úgy, hogy az helyesbítési, törlési vagy hordozhatósági műveletekre ágazzjon el; egyetlen koherens folyamat elkerülje a duplikált kereséseket és az inkonzisztens válaszokat.

Az adatalanyok felhatalmazása: Gyakorlati tippek a hatékony kérelmekhez

Egy egyértelmű, jól meghatározott SAR mindenkinek időt takarít meg, és megnehezíti az irányító számára a fékezést. Próbálja ki ezeket a taktikákat:

• Pinpoint mit azt szeretné: „Minden e-mail köztem és Jansen menedzser között 2024. január 1. és március 31. között.”
• Említés ahol ez áll rajta: „HR rendszer és ügyfélszolgálati jegyek”.
• Mondja el előnyben részesített formátum (CSV, PDF) és biztonságos csatorna.
• Jelölje meg a sürgősséget, ha releváns („közelgő” teljesítmény-értékelés október 15-én”).

Amint megérkeznek az adatok, keressünk hibákat vagy hiányosságokat, és azonnal indítsunk helyesbítési vagy törlési kérelmet – ugyanazon bizonyítékok nyomvonalának követése fenntartja a lendületet.

Eszkalációs stratégia figyelmen kívül hagyás esetén

31. nap és még mindig csend van? Légy udvarias, de határozott:

Subject: Reminder – Article 15 GDPR/AVG request overdue

Dear [Controller],

On [date] I requested access to my personal data. The one-month term has passed without a response. 
Please provide the information within seven days or explain the lawful basis for any refusal. 
Failing that, I will file a complaint with the Autoriteit Persoonsgegevens and consider civil action.

Regards,
[Name]

Dokumentáljon minden lépést (dátumok, e-mailek, telefonhívások). Ha a plusz hét lejár, nyújtson be online panaszt az AP-hez, és csatolja a bizonyítékcsomagot; a bíróságok és a szabályozó hatóságok a jól szervezett felpereseket részesítik előnyben.

A hozzáférési jog lezárása

A GDPR/AVG 15. cikkelye az egyéneket helyezi a vezetőülésbe: megkérdezheted, láthatod és kifogásolhatod, hogy egy szervezet mit tesz az adataiddal. Az adatkezelők számára az egyértelmű eljárások, a rendezett nyilvántartások és az ésszerű kitakarások nem opcionálisak – ezek az egyetlen módja annak, hogy betartsák az egy hónapos határidőt és elkerüljék az Autoriteit Persoonsgegevens pillantását.

Emlékezz az alapvető forgatókönyvre:

• a kérés lehet informális,
• a válasznak szabadnak, időszerűnek és teljesnek kell lennie,
• a korlátok szűkek, és indokolni kell őket,
• A részleges tájékoztatás jobb, mint a teljes elutasítás.

Tartsa be ezeket a szabályokat, és a hozzáférési jog rutinszerű megfelelési feladattá válik a tárgyalótermi fejfájás helyett.

Szüksége van egy személyre szabott SAR-sablonra, segítségre a harmadik féltől származó adatok kibogozásában, vagy stratégiára egy makacs adatkezelő számára? Az adatvédelmi ügyvédek a következő cégnél: Law & More készen állnak a közbelépésre – akár adatalanyként keres válaszokat, akár vállalatként bizonyosságra vágyik.