Hozzáférési jog az Általános Adatvédelmi Rendelet (GDPR) értelmében: az AVG 15. cikkének hatálya

Az Általános Adatvédelmi Rendelet 15. cikkében foglalt hozzáférési jog, amelyet Hollandiában Algemene Verordening Gegevensbeschermingnek (AVG) neveznek, feljogosítja bármely személyt arra, hogy megkérdezze egy szervezettől, hogy személyes adatokat kezel-e róla, hogy másolatot kapjon ezekről az adatokról, és tájékoztassa őt az adatkezelés céljáról, a címzettekről, a megőrzési időszakról és a forrásról. Az adatkezelőnek egy hónapon belül, ingyenesen kell válaszolnia, és a hozzáférést csak akkor korlátozhatja, ha az mások jogainak és szabadságainak védelme érdekében szükséges. Hollandiában az elutasítást a GDPR végrehajtási törvényének (Uitvoeringswet AVG) 35. cikke értelmében hat héten belül keresettel lehet benyújtani a kerületi bírósághoz.

Az AVG nem egy különálló holland törvény: ez maga a rendelet holland elnevezése, amely közvetlenül alkalmazandó. Amit a holland jog hozzáad, az az Uitvoeringswet AVG, amely kitölti a rendelet által a tagállamoknak hagyott választási lehetőségeket, és meghatározza, hogyan lehet a jogot az Autoriteit Persoonsgegevens és a bíróságok előtt érvényesíteni. Ez a cikk a 15. cikk hatályával, korlátaival és az elutasítást követő eljárással foglalkozik.

Mit ad valójában a 15. cikk?

A 15. cikk (1) bekezdése két olyan jogosultságot tartalmaz, amelyeket gyakran összekevernek. Az első a megerősítés: igen vagy nem válasz arra a kérdésre, hogy feldolgoznak-e az Önre vonatkozó személyes adatokat. A második, amely csak igenlő válasz esetén merül fel, az adatokhoz való hozzáférés, valamint nyolc kiegészítő információ. A 15. cikk (3) bekezdése ezután kiegészíti a másolat biztosításának kötelezettségét.

A 15. cikk (2) bekezdése hozzáteszi, hogy amennyiben személyes adatokat továbbítanak harmadik országba vagy nemzetközi szervezetnek, Ön jogosult arra, hogy tájékoztatást kapjon az adott továbbításra vonatkozóan alkalmazott megfelelő garanciákról. Ezek a tételek együttesen az oka annak, hogy az adatmásolat puszta másolata nem minősül megfelelőségnek: a kontextus nélküli másolat nem felel meg a 15. cikknek.

A személyes adatok tág kategóriába tartoznak, és az adatkezelők rendszeresen túl szűken definiálják őket. Sokkal többet foglalnak magukban, mint egy nevet és egy címet: a viselkedési profilok, az Önről rögzített értékelések és vélemények, a kameraképek, a hívásfelvételek, az eszközazonosítók, a bejelentkezési időbélyegek, az IP-címek és az Önről levont következtetések mind személyes adatoknak minősülnek, amint közvetlenül vagy közvetve Önhöz, mint azonosítható személyhez kapcsolhatók. A GDPR definíciója szándékosan tág, és az adatkezelőre hárul annak magyarázata, hogy valami miért esik ki belőle.

Ki kérdezhet, és kinek kell válaszolnia

A jog az érintettet illeti meg: egy azonosított vagy azonosítható élő természetes személyt. Az életkor, az állampolgárság és a lakóhely nem releváns. Kiskorú nevében szülő vagy törvényes gyám, cselekvőképtelen felnőtt nevében pedig bíróság által kirendelt képviselő járhat el. Bárki másnak írásbeli meghatalmazás szükséges, amelyet az adatkezelő jogosult ellenőrizni. A jog nem éli túl a halált, mivel a rendelet nem vonatkozik az elhunyt személyek adataira, bár a szakmai titoktartásra és az elhunyt beteg orvosi dokumentációjához való hozzáférésre vonatkozó holland szabályok továbbra is lehetőséget adhatnak a hozzátartozóknak.

A kérelem az adatkezelőhöz kerül: ahhoz a félre, amely meghatározza az adatkezelés céljait és eszközeit. Egy bérszámfejtő iroda, egy tárhelyszolgáltató vagy egy utasításra eljáró szoftverszállító adatfeldolgozónak minősül , és a kérelmet továbbítania kell, ahelyett, hogy megválaszolná. Amennyiben két szervezet közösen határozza meg a célokat és az eszközöket, a 26. cikk közös adatkezelővé teszi őket; meg kell állapodniuk egymás között abban, hogy ki kezeli a hozzáférési kérelmeket, és közzé kell tenniük a megállapodás lényegét, de az érintett bármelyikükkel szemben gyakorolhatja a jogát.

A földrajz ritkán jelent akadályt. A rendelet az EU-ban letelepedett adatkezelőkre, valamint az EU-n kívüli adatkezelőkre is vonatkozik, akik árukat vagy szolgáltatásokat kínálnak az EU-ban élő személyeknek, vagy figyelemmel kísérik viselkedésüket. Egy holland állampolgár tehát külföldi platformhoz fordulhat kérelemmel, és az egy hónapos időszak akkor kezdődik, amikor az adatkezelő megkapja azt.

Munkaügyi kontextusban a kérést személyesen a munkavállaló nyújtja be, és ez inkább jog, mint szívesség. A munkáltatóknak számítaniuk kell a hozzáférési kérelmekre az elbocsátási megbeszélésekkel és a teljesítményvitákkal kapcsolatban, és nem szabad az időzítést indokként kezelniük a más válaszadásra.

Mit jelent a másolat?

A Bíróság a 2023. május 4-i C-487/21. sz. ügyben döntött ebben a kérdésben. A 15. cikk (3) bekezdése szerinti másolatnak a kezelt összes személyes adat hű és érthető reprodukciójának kell lennie. Az összefoglaló, a kategóriák táblázata vagy a szervezet által tárolt adatok általános leírása nem teljesíti a kötelezettséget.

Ugyanez az ítélet válaszolt arra a nehezebb kérdésre is, hogy vajon teljes dokumentumokat kell-e átadni. Elvileg a kötelezettség az adatokra vonatkozik, nem pedig az azokat tartalmazó aktára. A Bíróság azonban úgy ítélte meg, hogy dokumentumokból kivonatokat, teljes dokumentumokat vagy adatbázisokból származó kivonatokat kell átadni, ha ez elengedhetetlen ahhoz, hogy az érintett megértse az adatokat és hatékonyan gyakorolhassa jogait. A kontextus is szerepet játszhat a jelentésben: egy értékelésnek csak abban a dokumentumban van értelme, amely keretezi, és egy üres mező önmagában is lehet informatív. Az adatkezelő számára a gyakorlati teszt tehát nem az, hogy egy dokumentum kiadása kényelmes-e, hanem az, hogy az adatok érthetőek maradnak-e nélküle.

Egy második ítélet, a 2023. október 26-i C-307/22. sz. ügy, két olyan érvet távolított el, amelyekre az adatkezelők korábban hivatkoztak. Az érintettnek nem kell indokolnia a kérelmet, és az adatvédelemmel össze nem függő indíték, például a keresetlevél elkészítése, nem teszi a kérelmet visszaélésszerűvé. Az első másolatnak pedig ingyenesnek kell lennie, még akkor is, ha a nemzeti jogszabályok egyébként díjkötelesek lennének a nyilvántartások bemutatásáért.

A kitakarás akkor is jogos, ha egy dokumentum mások személyes adatait is tartalmazza. Egy több alkalmazottat felvevő megbeszélési feljegyzés nyilvánosságra hozható a kollégákra vonatkozó részek eltávolításával vagy semlegesítésével, feltéve, hogy a megmaradt rész továbbra is érthető. Egy olyan dokumentum, amely csak Önt érinti, mint például a szerződése és az Önre vonatkozó általános szerződési feltételek , egyáltalán nem alkalmas kitakarásra.

Határidők, formátum és költségek

A 12. cikk (3) bekezdése egy hónapot biztosít az adatkezelőnek a kérelem kézhezvételétől számítva. Ez az időszak legfeljebb további két hónappal meghosszabbítható, ha a kérelem összetett, vagy ha az adatkezelő több kérelmet kapott, de a hosszabbításról és annak indokairól az első hónapon belül tájékoztatni kell. A hallgatás nem minősül hosszabbításnak. Ha az adatkezelő nem intézkedik a kérelem nyomán, a 12. cikk (4) bekezdése előírja számára, hogy egy hónapon belül nyilatkozzon, és tájékoztassa az érintettet a felügyeleti hatóságnál történő panasztételi és bírósági jogorvoslati jogáról.

Nincs előírt formanyomtatvány. Az e-mailben , levélben, webes űrlapon keresztül vagy szóban benyújtott kérelem egyaránt érvényes, és az adatkezelő nem követelheti meg a saját sablonját feltételként. Amennyiben a kérelmet elektronikusan nyújtják be, a tájékoztatást széles körben használt elektronikus formában kell megadni, kivéve, ha az érintett másként kéri.

A hozzáférés ingyenes. A 15. cikk (3) bekezdése kizárólag ugyanazon adatok további másolataiért teszi lehetővé az adminisztratív költségeken alapuló, észszerű díj felszámítását, a 12. cikk (5) bekezdése pedig észszerű díj felszámítását vagy a kérelem elutasítását teszi lehetővé, ha a kérelem egyértelműen megalapozatlan vagy túlzott, különösen ismétlődő jellege miatt. Az adatkezelőre hárul e jelleg bizonyításának terhe, és a 2023-as esetjog után a küszöb magas: az ismétlés önmagában, továbbiak nélkül, nem elegendő.

A személyazonosság ellenőrzése megengedett, de korlátozott. A 12. cikk (6) bekezdése lehetővé teszi az adatkezelő számára, hogy további információkat kérjen, amennyiben alapos kétségei vannak a kérelmező személyazonosságával kapcsolatban, és legfeljebb ennyit. Amennyiben a kérés ismert számláról érkezik, általában elegendő a meglévő számlaadatokkal való összevetés. Amennyiben valóban szükség van személyazonosító okmányra, a polgári szolgáltatási számot, a fényképet és a géppel olvasható zónát ki kell takarni, és a másolatokat csak addig kell megőrizni, ameddig az ellenőrzés megkívánja. A teljes útlevél-szkennelés szabványos előírása önmagában is szabálysértés, és a biometrikus adatokat tartalmazó személyazonosító okmányokra ismét szigorúbb szabályok vonatkoznak.

Az átvitelnek biztonságosnak kell lennie. Egy teljes személyzeti rekordot tartalmazó, nem védett fájl privát e-mail címre küldése adatvédelmi incidensnek minősül; használjon külön megosztott kulccsal rendelkező védett fájlt, vagy kétfaktoros hitelesítést használó portált.

Mikor korlátozható vagy megtagadható a hozzáférés

A 15. cikk nem abszolút. A 15. cikk (4) bekezdése kimondja, hogy a másolat megszerzésének joga nem érintheti hátrányosan mások jogait és szabadságait, a (63) preambulumbekezdés pedig az üzleti titkokat és a szellemi tulajdont, beleértve a szoftverek szerzői jogait is, mérlegelhető érdekekként nevezi meg. A korlátozás két szempontból szűk: a másolatra vonatkozik, nem pedig az alapul szolgáló információhoz való jogosultságra, és nem eredményezhet általános megtagadást. Összeférhetetlenség esetén az adatkezelőnek a legkevésbé korlátozó utat kell keresnie, ami általában a részleges közzététel kitakarással.

Harmadik féltől származó adatok

A levelezés, a megbeszélések jegyzőkönyvei és a panasziratok általában több személy személyes adatait tartalmazzák. Az adatkezelőnek mérlegelnie kell az érdekeket, nem pedig egyszerűen visszatartania azokat. A gyakorlatban ez azt jelenti, hogy eltávolítják a harmadik felek nevét és elérhetőségi adatait, a személyazonosságot semleges leírással helyettesítik, ahol maga a személyazonosság nem a lényeg, vagy a teljes láncolat helyett egy kivonatot adnak meg. Az adatkezelő azonban nem utasíthatja vissza a teljes dokumentumot azért, mert egy harmadik fél szerepel benne.

Bizalmas információk és szakmai titoktartás

Az üzleti titkok, az árképzési modellek és a forráskód védhető, de a válasz a kalibrálás, nem pedig a hallgatás. Automatizált döntéshozatal esetén az adatkezelő érdemi információkkal tartozik az alkalmazott logikáról és az érintettre gyakorolt ​​következményekről, ami nem ugyanaz, mint az algoritmus nyilvánosságra hozatala. Külön az ügyvédi titoktartási védelem alá tartozó információk védve vannak, és a közzétételi kötelezettségek és a titoktartási védelem közötti kölcsönhatás visszatérő kérdés a tanácsadók számára, amelyet a jelentéstételi kötelezettségekről és a titoktartási védelemről szóló cikkünkben tárgyalunk.

Korlátozások a holland jogban

Az Uitvoeringswet AVG számos, a rendelet 23. cikke alapján elfogadott korlátozást tartalmaz az érintettek jogaira vonatkozóan, olyan célokból, mint a bűncselekmények megelőzése és kivizsgálása, a közfeladatok ellátása, valamint az érintett vagy mások jogainak védelme. Az adatkezelőnek, aki ezek valamelyikére támaszkodik, azt azonosítania kell, alkalmaznia kell a konkrét kérésre, és képesnek kell lennie annak igazolására. Az az általános kijelentés, hogy a közzététel senkinek sem érdeke, nem minősül korlátozásnak.

Az orvosi dokumentáció részben különálló utat követ. A 15. cikkely mellett a holland polgári törvénykönyv kezelési megállapodásokra vonatkozó rendelkezései biztosítják a beteg számára a jogot, hogy megtekinthesse a dokumentációját és másolatot kapjon róla, és a két útvonal egymás mellett létezik, ahelyett, hogy versenyezne egymással.

Kérés kezelése vezérlőként

A legtöbb hiba inkább szervezeti, mint jogi eredetű. Az értékesítési postaládába, fiókirodába vagy telefonhíváson keresztül érkező kérés is elindítja az időzítést, így az első követelmény, hogy a személyzet felismerje és továbbítsa azt. A második, hogy a szervezet tudja, hol találhatók valójában a személyes adatok: a 30. cikk által előírt adatkezelési tevékenységek nyilvántartása a gyakorlati alapja ezek megtalálásának, és egy olyan adatkezelő, amely nem tud a saját rendszereiben keresni, a jó szándék ellenére is elmulasztja a határidőt.

Innentől kezdve a folyamat mechanikus. Igazolni kell a kézhezvételt és rögzíteni kell a dátumot. Arányosan ellenőrizni kell a személyazonosságot. Határozni kell a kérelmezővel a hatókört, ha a kérés nagyon tág, anélkül, hogy ezt a beszélgetést késleltető taktikaként kellene használni. Át kell kutatni a rendszerekben, beleértve az archivált postafiókokat és a jegykezelő eszközöket is. Harmadik féltől származó adatokat kell szerkeszteni egy második szem elől. Írásban kell elküldeni a másolatot a 15. cikk (1) bekezdése szerinti információkkal együtt, és nyilvántartást kell vezetni arról, hogy mit hoztak nyilvánosságra és mit tartottak vissza az indoklással együtt. Ezt a fájlt fogja az Autoriteit Persoonsgegevens kérni, ha panasz érkezik.

Két szokás csökkenti véglegesen a munka mennyiségét: a megőrzési időszakok betartatása, mivel a jogszerűen törölt adatokat soha nem kell nyilvánosságra hozni, valamint a belső feljegyzések írása abban a feltételezésben, hogy az érintett személy elolvashatja azokat.

Mi a teendő, ha a vezérlő nem válaszol

Kezdjen egy dátummal ellátott emlékeztetővel, amely azonosítja az eredeti kérelmet, feltünteti a küldés dátumát, és megjegyzi, hogy a 12. cikk (3) bekezdésében foglalt időszak lejárt. Egy rövid, egy-két hetes határidő ésszerű. A kérelmek jelentős részére ebben a szakaszban válaszolnak, és az emlékeztető létrehozza azt a papír alapú nyomvonalat is, amelyre később szüksége lesz.

Ha ez nem sikerül, két út áll rendelkezésre, és ezek párhuzamosan is alkalmazhatók. Az első a panasz az Autoriteit Persoonsgegevenshez a 77. cikk alapján. A felügyeleti hatóság vizsgálatot indíthat, elrendelheti az adatkezelőnek a megfelelést, büntetéssel járó határozatot szabhat ki, súlyos esetekben pedig közigazgatási bírságot is kiszabhat. Amit nem tesz, az az, hogy személyre szabott kártérítést nem ítél meg, és az időkorlát a szabályozó hatóság, nem pedig a vita időkorlátja.

A második út a bíróság, és Hollandiában ez szokatlanul könnyen elérhető. Az Uitvoeringswet AVG 35. cikke lehetővé teszi az érdekelt fél számára, hogy petícióval forduljon a kerületi bírósághoz, hogy az adatkezelő helyt adjon vagy elutasítsa a kérelmet. A rendelkezés három jellemzője a gyakorlatban számít. A kérelmet az adatkezelő válaszának kézhezvételétől számított hat héten belül kell benyújtani. Amennyiben az adatkezelő a 12. cikk (3) bekezdésében meghatározott határidőn belül nem válaszolt, semmilyen határidő nem vonatkozik. A 35. cikk (4) bekezdése pedig kifejezetten kimondja, hogy a kérelmet nem kell ügyvédnek benyújtania, ami az eljárást képviselet nélküli magánszemélyek számára is elérhetővé teszi, annak ellenére, hogy az ügyben általában tanácsadásra is szükség van.

Sürgős ügyek összefoglaló eljárásban is indíthatók, és a 82. cikk szerinti kártérítési igényt érdemi keresethez lehet csatolni. A kártérítéssel kapcsolatban legyenek reálisak: a Bíróság kimondta, hogy a jogsértés önmagában nem keletkeztet kártérítési jogosultságot, és hogy a kártérítést igénylő személynek tényleges kárt kell bizonyítania, bár a nem vagyoni kár is jogosult lehet rá, és nincs minimális súlyossági küszöb. A hozzáférési ügyekben a kártérítések szerények, és az eljárás értéke az adatok megszerzésében rejlik. A holland bíróságok előtti eljárások előkészítéséről szóló áttekintésünk felvázolja, mire számíthatunk.

Egy működő kérés megfogalmazása

Egy kérésnek nem kell részletesnek lennie, de egy jól körülhatárolt kérésre gyorsabban válaszolnak, és sokkal nehezebb halogatni. Mondja el, hogy ki Ön, és milyen minőségben ismeri Önt a szervezet, hivatkozva egy ügyfél- vagy személyzeti számra. Hivatkozzon kifejezetten a 15. cikkre, hogy később ne legyen vita arról, hogy mit kért. Ha egy meghatározott kérdés érdekli, nevezze meg az időszakot és a rendszereket: levelezés egy megnevezett osztállyal két dátum között, vagy bejegyzések egy adott alkalmazásban. Kérje kifejezetten a 15. cikk (1) bekezdésében szereplő kiegészítő információkat, ne csak az adatokat. És adja meg, hogyan szeretné megkapni azokat.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Őrizze meg az elküldött tételt, jegyezze fel a dátumot, és jegyezze fel a határidőt. Amikor megérkezik a válasz, olvassa el a 15. cikk (1) bekezdésében foglalt nyolc pont alapján, ne csak a mellékleteket nézze meg; a hiányos kiegészítő információk a leggyakoribb és legkönnyebben kifogásolható hibák. Ha az adatok pontatlannak vagy túlzottnak bizonyulnak, a következő természetes lépés a helyesbítés vagy törlés iránti kérelem benyújtása, ugyanazon bizonyítékok alapján.

A hozzáférési jog elvileg egyértelmű, alkalmazása pedig technikai jellegű, mindkét fél részéről. Law & More tanácsot ad azoknak az egyéneknek, akik nem kapnak választ, beleértve az alkalmazottakat és a volt alkalmazottakat, akik személyi aktával szembesülnek, valamint azoknak a szervezeteknek, amelyeknek védhető folyamatra van szükségük a kérelmek, a kitakarások és az elutasítások kezelésére. Meséljen nekünk a helyzetérőlEgy munkanapon belül tájékoztatjuk a lehetőségeiről.

Hogyan Law & More segíthetünk ebben, ezt elmagyarázzuk a mi oldalunkon IT-jogász cimre.