Karapatan sa pag-access sa ilalim ng GDPR: ang saklaw ng artikulo 15 AVG

Ang karapatan sa pag-access sa artikulo 15 ng General Data Protection Regulation, na kilala sa Netherlands bilang Algemene Verordening Gegevensbescherming (AVG), ay nagbibigay ng karapatan sa sinumang indibidwal na magtanong sa isang organisasyon kung pinoproseso nito ang personal na data tungkol sa kanila, makatanggap ng kopya ng mga data na iyon, at masabihan ng mga layunin, mga tatanggap, panahon ng pagpapanatili at pinagmulan. Ang controller ay dapat sumagot sa loob ng isang buwan, nang walang bayad, at maaari lamang limitahan ang pag-access kung kinakailangan ang paggawa nito upang protektahan ang mga karapatan at kalayaan ng iba. Sa Netherlands, ang isang pagtanggi ay maaaring dalhin sa korte ng distrito sa pamamagitan ng petisyon sa loob ng anim na linggo sa ilalim ng artikulo 35 ng GDPR Implementation Act (Uitvoeringswet AVG).

Ang AVG ay hindi isang hiwalay na batas ng Netherlands: ito ang pangalang Dutch para sa Regulasyon mismo, na direktang naaangkop. Ang idinagdag ng batas ng Netherlands ay ang Uitvoeringswet AVG, na pumupuno sa mga pagpipiliang iniwan ng Regulasyon sa mga estadong miyembro at nagtatakda kung paano ipinapatupad ang karapatan sa harap ng Autoriteit Persoonsgegevens at ng mga korte. Tinatalakay ng artikulong ito ang saklaw ng artikulo 15, ang mga limitasyon nito, at ang pamamaraan na kasunod ng isang pagtanggi.

Ano nga ba ang ibinibigay sa iyo ng artikulo 15?

Ang Artikulo 15(1) ay naglalaman ng dalawang karapatan na kadalasang nalilito. Ang una ay kumpirmasyon: isang sagot na oo o hindi sa tanong kung ang personal na datos tungkol sa iyo ay pinoproseso. Ang pangalawa, na lumilitaw lamang kung ang sagot ay oo, ay ang pag-access sa mga datos na iyon kasama ang walong aytem ng karagdagang impormasyon. Pagkatapos ay idinaragdag ng Artikulo 15(3) ang obligasyon na magbigay ng isang kopya.

Idinagdag pa ng Artikulo 15(2) na kung saan ang personal na datos ay inililipat sa isang ikatlong bansa o isang internasyonal na organisasyon, may karapatan kang maabisuhan tungkol sa mga naaangkop na pananggalang na pinagbabatayan para sa paglilipat na iyon. Ang mga bagay na ito ang dahilan kung bakit ang isang bare data dump ay hindi sumusunod sa mga kinakailangan: ang kopya nang walang konteksto ay hindi nakakatugon sa artikulo 15.

Malawak ang kategorya ng personal na datos, at madalas itong binibigyang-kahulugan nang masyadong makitid ng mga controller. Higit pa ito sa pangalan at address: ang mga profile ng pag-uugali, mga pagtatasa at opinyon na naitala tungkol sa iyo, mga larawan ng camera, mga recording ng tawag, mga identifier ng device, mga timestamp ng pag-login, mga IP address at mga hinuha na nabuo tungkol sa iyo ay kwalipikado lahat sa sandaling maiugnay ang mga ito, direkta o hindi direkta, sa iyo bilang isang makikilalang tao. Sadyang malawak ang kahulugan ng GDPR , at ang pasanin ng pagpapaliwanag kung bakit ang isang bagay ay nasa labas nito ay nakasalalay sa controller.

Sino ang maaaring magtanong, at sino ang dapat sumagot

Ang karapatan ay pagmamay-ari ng data subject: isang natukoy o makikilalang buhay na natural na tao. Ang edad, nasyonalidad, at paninirahan ay hindi mahalaga. Ang isang magulang o legal na tagapag-alaga ay maaaring kumilos para sa isang menor de edad, at ang isang kinatawan na hinirang ng korte ay maaaring kumilos para sa isang nasa hustong gulang na walang kapasidad. Ang sinumang iba pa ay nangangailangan ng nakasulat na pahintulot, at ang isang controller ay may karapatang beripikahin ito. Ang karapatan ay hindi mananatili pagkamatay, dahil ang Regulasyon ay hindi nalalapat sa datos ng mga namatay, bagaman ang mga patakaran ng Dutch sa propesyonal na paglilihim at sa pag-access sa medikal na file ng isang namatay na pasyente ay maaari pa ring magbigay ng ruta sa mga kamag-anak.

Ang kahilingan ay mapupunta sa controller: ang partido na nagtatakda ng mga layunin at paraan ng pagproseso. Ang isang kawanihan ng payroll, isang kumpanya ng hosting o isang supplier ng software na kumikilos batay sa mga tagubilin ay isang processor , at dapat ipasa ang kahilingan sa halip na sagutin ito. Kung saan ang dalawang organisasyon ay magkasamang nagtatakda ng mga layunin at paraan, ginagawa silang magkasamang controller ng artikulo 26; dapat silang magkasundo sa pagitan ng kanilang mga sarili kung sino ang humahawak sa mga kahilingan sa pag-access at ilalahad ang esensya ng kaayusang iyon, ngunit maaaring gamitin ng data subject ang karapatan laban sa alinman sa kanila.

Bihirang maging balakid ang heograpiya. Ang Regulasyon ay nalalapat sa mga controller na itinatag sa EU, at gayundin sa mga controller sa labas nito na nag-aalok ng mga produkto o serbisyo sa mga tao sa EU o nagmomonitor ng kanilang pag-uugali. Samakatuwid, maaaring ipadala ng isang residenteng Dutch ang isang kahilingan sa isang dayuhang plataporma, at ang isang buwang panahon ay magsisimula kapag natanggap ito ng controller na iyon.

Sa konteksto ng trabaho, ang kahilingan ay personal na ginagawa ng empleyado, at ito ay isang karapatan sa halip na isang pabor. Dapat asahan ng mga employer ang mga kahilingan sa pag-access kaugnay ng mga talakayan tungkol sa pagpapaalis at mga hindi pagkakaunawaan sa pagganap, at hindi dapat ituring ang tiyempo bilang dahilan upang sumagot nang naiiba.

Ano ang ibig sabihin ng kopya

Napagkasunduan ng Hukuman ng Hustisya ang puntong ito sa Kaso C-487/21 noong ika-4 ng Mayo 2023. Ang isang kopya sa ilalim ng artikulo 15(3) ay dapat na isang tapat at maliwanag na reproduksyon ng lahat ng personal na datos na pinoproseso. Ang isang buod, isang talaan ng mga kategorya, o isang pangkalahatang paglalarawan ng kung ano ang hawak ng organisasyon ay hindi nakakatugon sa obligasyon.

Sinagot ng parehong hatol ang mas mahirap na tanong kung dapat bang ipasa ang buong dokumento. Sa prinsipyo, ang obligasyon ay tungkol sa datos, hindi sa file na kinalalagyan nito. Ngunit ipinasiya ng Korte na ang mga sipi mula sa mga dokumento, buong dokumento, o mga sipi mula sa mga database ay dapat ibigay kung saan ito ay lubhang kailangan upang maunawaan ng paksa ng datos ang datos at magamit nang epektibo ang kanilang mga karapatan. Ang konteksto ay maaaring maging bahagi ng kahulugan: ang isang pagtatasa ay may katuturan lamang sa dokumentong bumubuo rito, at ang isang walang laman na patlang ay maaari ring maging nakapagbibigay-kaalaman. Samakatuwid, ang praktikal na pagsubok para sa isang controller ay hindi kung ang isang dokumento ay madaling ilabas, kundi kung ang datos ay mananatiling mauunawaan kung wala ito.

Ang pangalawang hatol, ang Case C-307/22 noong ika-26 ng Oktubre 2023, ay nag-alis ng dalawang argumentong dating pinagbabatayan ng mga tagakontrol. Hindi kailangang maglahad ng dahilan ang paksa ng datos para sa kahilingan, at ang motibong walang kaugnayan sa proteksyon ng datos, tulad ng paghahanda ng isang paghahabol, ay hindi nangangahulugang mapang-abuso ang kahilingan. At ang unang kopya ay dapat na libre, kahit na kung saan pinahihintulutan ng pambansang batas ang singil para sa paggawa ng mga rekord.

Ang pag-redaksyon ay nananatiling lehitimo kung ang isang dokumento ay naglalaman din ng personal na datos ng ibang tao. Ang isang tala ng pagpupulong na nagtatala ng ilang empleyado ay maaaring ilabas kasama ang mga sipi tungkol sa mga kasamahan na tinanggal o inalis, basta't ang natitira ay mauunawaan pa rin. Ang isang dokumentong para lamang sa iyo, tulad ng iyong kontrata at ang mga pangkalahatang tuntunin at kundisyon na naaangkop sa iyo, ay hindi maaaring i-redaksyon.

Mga deadline, format at gastos

Ang Artikulo 12(3) ay nagbibigay sa controller ng isang buwan mula sa pagtanggap ng kahilingan. Ang panahong iyon ay maaaring pahabain nang hanggang dalawang buwan pa kung ang kahilingan ay masalimuot o kung ang controller ay nakatanggap ng ilang kahilingan, ngunit ang pagpapalawig at ang mga dahilan nito ay dapat ipaalam sa loob ng unang buwan. Ang katahimikan ay hindi isang pagpapalawig. Kung ang controller ay hindi kikilos sa kahilingan, ang artikulo 12(4) ay nag-aatas dito na sabihin ito sa loob ng isang buwan at ipaalam sa data subject ang karapatang magreklamo sa isang superbisor na awtoridad at humingi ng isang hudisyal na remedyo.

Walang itinakdang porma. Ang kahilingan sa pamamagitan ng email , liham, web form, o pasalita ay pantay na balido, at hindi maaaring igiit ng isang controller ang sarili nitong template bilang isang kondisyon. Kung ang kahilingan ay ginawa nang elektroniko, ang impormasyon ay dapat ibigay sa isang karaniwang ginagamit na elektronikong anyo maliban kung ang paksa ng datos ay humiling ng iba.

Libre ang pag-access. Pinapayagan ng Artikulo 15(3) ang makatwirang bayad batay sa mga gastos sa administrasyon para lamang sa mga karagdagang kopya ng parehong datos, at pinapayagan naman ng artikulo 12(5) ang makatwirang bayad o pagtanggi kung saan ang isang kahilingan ay malinaw na walang batayan o labis, lalo na dahil sa paulit-ulit na katangian nito. Ang tagakontrol ang may responsibilidad na ipakita ang katangiang iyon, at pagkatapos ng batas ng kaso noong 2023, mataas na ang limitasyon: ang pag-uulit lamang, nang walang dagdag, ay hindi sapat.

Pinapayagan ngunit may limitasyon ang beripikasyon ng pagkakakilanlan. Pinahihintulutan ng Artikulo 12(6) ang controller na humiling ng karagdagang impormasyon kung mayroon itong makatwirang pagdududa tungkol sa pagkakakilanlan ng humihiling, at hindi hihigit doon. Kung ang kahilingan ay nagmumula sa isang kilalang account, ang pagtutugma nito sa mga umiiral na detalye ng account ay karaniwang sapat na. Kung ang isang dokumento ng pagkakakilanlan ay tunay na kinakailangan, ang numero ng serbisyo ng mamamayan, ang litrato at ang machine-readable zone ay dapat na itimin, at ang anumang kopya ay itatago lamang hangga't kinakailangan ng tseke. Ang pag-aatas ng isang buong pag-scan ng pasaporte bilang pamantayan ay isang paglabag mismo, at ang mga dokumento ng pagkakakilanlan na naglalaman ng biometric data ay muling nangangailangan ng mas mahigpit na mga patakaran.

Dapat na ligtas ang pagpapadala. Ang pagpapadala ng isang hindi protektadong file na naglalaman ng buong rekord ng tauhan sa isang pribadong email address ay isang paglabag sa datos na naghihintay pang mangyari; gumamit ng isang protektadong file na ang susi ay nakabahagi nang hiwalay, o isang portal na may two-factor authentication.

Kapag maaaring limitahan o tanggihan ang pag-access

Hindi absolute ang Artikulo 15. Nakasaad sa Artikulo 15(4) na ang karapatang makakuha ng kopya ay hindi dapat makaapekto nang masama sa mga karapatan at kalayaan ng iba, at binabanggit sa resital 63 ang mga lihim ng negosyo at intelektwal na ari-arian, kabilang ang copyright ng software, bilang mga interes na maaaring timbangin. Makitid ang limitasyon sa dalawang aspeto: naaangkop ito sa kopya sa halip na sa pinagbabatayang karapatan sa impormasyon, at hindi ito maaaring magresulta sa isang pangkalahatang pagtanggi. Kung mayroong salungatan, dapat hanapin ng controller ang pinakasimpleng ruta, na karaniwang bahagyang pagsisiwalat na may redaction.

Third-party na data

Ang mga sulat, tala ng pagpupulong, at mga file ng reklamo ay karaniwang naglalaman ng personal na datos ng higit sa isang tao. Dapat balansehin ng controller ang mga interes, hindi lamang basta itago. Sa pagsasagawa, nangangahulugan ito ng pag-aalis ng mga pangalan at detalye ng pakikipag-ugnayan ng mga ikatlong partido, pagpapalit ng pagkakakilanlan ng isang neutral na paglalarawan kung saan ang pagkakakilanlan mismo ay hindi ang punto, o pagbibigay ng isang sipi sa halip na ang buong kadena. Ang maaaring hindi gawin ng controller ay ang pagtanggi sa buong dokumento dahil may ikatlong partido na lumilitaw dito.

Kumpidensyal na impormasyon at pribilehiyong propesyonal

Maaaring protektahan ang mga sikreto sa kalakalan, mga modelo ng pagpepresyo, at source code, ngunit ang sagot ay ang pagkakalibrate sa halip na ang pananahimik. Kung saan kasangkot ang isang awtomatikong desisyon, ang controller ay may utang na makabuluhang impormasyon tungkol sa lohikang inilapat at ang mga kahihinatnan para sa data subject, na hindi katulad ng pagsisiwalat ng algorithm. Hiwalay, ang impormasyong sakop ng pribilehiyo ng legal na propesyonal ay pinoprotektahan, at ang interaksyon sa pagitan ng mga tungkulin sa pagsisiwalat at pribilehiyo ay isang paulit-ulit na isyu para sa mga tagapayo, na aming tatalakayin sa aming artikulo tungkol sa mga obligasyon sa pag-uulat at pribilehiyo.

Mga paghihigpit sa batas ng Olandes

Ang Uitvoeringswet AVG ay naglalaman ng ilang mga paghihigpit sa mga karapatan ng data subject na pinagtibay sa ilalim ng artikulo 23 ng Regulasyon, para sa mga layunin tulad ng pag-iwas at pagsisiyasat ng mga kriminal na pagkakasala, pangangasiwa ng mga pampublikong katawan, at proteksyon ng data subject o mga karapatan ng iba. Ang isang controller na umaasa sa isa sa mga ito ay dapat tukuyin ito, ilapat ito sa partikular na kahilingan, at mabigyang-katwiran ito. Ang isang pangkalahatang pahayag na ang pagsisiwalat ay hindi para sa interes ng sinuman ay hindi isang paghihigpit.

Ang mga rekord medikal ay sumusunod sa isang bahagyang hiwalay na landas. Kasabay ng artikulo 15, ang mga probisyon ng kasunduan sa paggamot ng Dutch Civil Code ay nagbibigay sa isang pasyente ng karapatang mag-inspeksyon at kumuha ng kopya ng kanilang file, at ang dalawang ruta ay magkakasamang umiiral sa halip na magkumpetensya.

Paghawak ng isang kahilingan bilang isang controller

Karamihan sa mga pagkabigo ay organisado sa halip na legal. Ang isang kahilingan na dumating sa isang sales inbox, isang sangay ng tanggapan o sa isang tawag sa telepono ay nagsisimula pa rin ng oras, kaya ang unang kinakailangan ay kilalanin ng mga kawani ang isa at iruta ito. Ang pangalawa ay alam ng organisasyon kung saan talaga nakalagay ang personal na data: ang talaan ng mga aktibidad sa pagproseso na kinakailangan ng artikulo 30 ay ang praktikal na pundasyon para sa paghahanap ng mga ito, at ang isang controller na hindi maaaring maghanap sa sarili nitong mga sistema ay hindi makakaabot sa deadline anuman ang mabuting intensyon.

Mula roon, ang proseso ay mekanikal. Kilalanin ang pagtanggap at itala ang petsa. Patunayan ang pagkakakilanlan nang proporsyonal. Tukuyin ang saklaw kasama ang humihiling kung saan ang kahilingan ay napakalawak, nang hindi ginagamit ang pag-uusap na iyon bilang isang taktika sa pagpapaliban. Hanapin ang mga sistema, kabilang ang mga naka-archive na mailbox at mga tool sa pag-ticket. I-redact ang data ng ikatlong partido sa ilalim ng pangalawang pares ng mga mata. Ipadala ang kopya kasama ang impormasyon ng artikulo 15(1), sa pamamagitan ng pagsulat, at itago ang isang talaan ng kung ano ang isiniwalat at kung ano ang itinago kasama ang mga dahilan. Ang file na iyon ang hihingin ng Autoriteit Persoonsgegevens kung may sumunod na reklamo.

Dalawang gawi ang permanenteng nakakabawas sa dami ng trabaho: ang pagpapatupad ng mga panahon ng pagpapanatili ng mga gawain, dahil ang datos na legal na binura ay hindi na kailangang ibunyag, at ang pagsulat ng mga panloob na tala sa pag-aakalang maaaring basahin ito ng taong pinag-uusapan.

Ano ang gagawin kung hindi sumasagot ang controller

Magsimula sa isang paalala na may petsa na tumutukoy sa orihinal na kahilingan, nakasaad ang petsa kung kailan ito ipinadala, at isinasaad na ang panahon sa artikulo 12(3) ay natapos na. Ang isang maikling deadline na isa o dalawang linggo ay makatwiran. Isang malaking bahagi ng mga kahilingan ang nasasagot sa yugtong ito, at ang paalala ay lumilikha rin ng landas ng papel na kakailanganin mo sa ibang pagkakataon.

Kung mabigo iyon, may dalawang ruta na bukas at maaari itong gamitin nang sabay. Ang una ay isang reklamo sa Autoriteit Persoonsgegevens sa ilalim ng artikulo 77. Maaaring imbestigahan ng awtoridad na nangangasiwa, utusan ang controller na sumunod, magpataw ng utos na may kaakibat na multa at, sa mga malubhang kaso, multang administratibo. Ang hindi nito ginagawa ay magbigay sa iyo ng anumang personal, at ang takdang panahon ay para sa isang regulator sa halip na isang hindi pagkakaunawaan.

Ang pangalawang ruta ay ang korte, at sa Netherlands ay hindi ito karaniwang madaling ma-access. Ang Artikulo 35 ng Uitvoeringswet AVG ay nagpapahintulot sa isang interesadong partido na mag-aplay sa korte ng distrito sa pamamagitan ng petisyon para sa isang utos na pagbigyan o tanggihan ng controller ang kahilingan. Tatlong katangian ng probisyong iyon ang mahalaga sa pagsasagawa. Ang petisyon ay dapat ihain sa loob ng anim na linggo mula sa pagtanggap ng sagot ng controller. Kung ang controller ay hindi sumagot sa loob ng mga panahon ng artikulo 12(3), walang limitasyon sa oras na nalalapat. At ang artikulo 35(4) ay malinaw na nagtatakda na ang petisyon ay hindi kailangang ihain ng isang abogado, na ginagawang magagamit ang pamamaraan sa mga indibidwal nang walang representasyon, kahit na ang nilalaman ay karaniwang nakikinabang sa payo.

Maaari ring isampa ang mga agarang kaso sa mga summary proceedings, at ang isang paghahabol para sa kabayaran sa ilalim ng artikulo 82 ay maaaring isama sa isang substantive claim. Tungkol sa mga danyos, maging makatotohanan: ipinasiya ng Court of Justice na ang isang paglabag ay hindi mismo lumilikha ng karapatan sa kabayaran, at ang taong naghahabol ay dapat magpakita ng aktwal na pinsala, bagama't maaaring maging kwalipikado ang mga di-materyal na pinsala at walang minimum na limitasyon ng kalubhaan. Ang mga hatol sa mga access case ay katamtaman, at ang halaga ng pamamaraan ay nakasalalay sa pagkuha ng datos. Ang aming pangkalahatang-ideya kung paano inihahanda ang mga paglilitis sa harap ng isang korte ng Dutch ay nagtatakda kung ano ang aasahan.

Paggawa ng isang kahilingan na gumagana

Hindi kailangang maging detalyado ang isang kahilingan, ngunit ang isang mahusay ang saklaw ay mas mabilis na masasagot at mas mahirap pigilan. Sabihin kung sino ka at sa anong kapasidad ka kilala ng organisasyon, na binabanggit ang numero ng customer o tauhan. Sumangguni nang malinaw sa artikulo 15, upang walang pagtatalo sa bandang huli tungkol sa iyong hiniling. Kung interesado ka sa isang tinukoy na isyu, pangalanan ang panahon at ang mga sistema: pakikipag-ugnayan sa isang pinangalanang departamento sa pagitan ng dalawang petsa, o mga entry sa isang partikular na aplikasyon. Humingi nang malinaw para sa karagdagang impormasyon sa artikulo 15(1), hindi lamang para sa datos. At sabihin kung paano mo ito gustong matanggap.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Itago ang ipinadalang aytem, ​​itala ang petsa, at itala ang huling araw. Kapag dumating ang sagot, basahin ito laban sa walong aytem sa artikulo 15(1) sa halip na tingnan lamang ang mga kalakip; ang hindi kumpletong karagdagang impormasyon ang pinakakaraniwang depekto at pinakamadaling hamunin. Kung ang datos ay lumabas na hindi tumpak o labis, ang natural na susunod na hakbang ay ang kahilingan para sa pagwawasto o pagbura, na nakabatay sa parehong ebidensya.

Ang karapatan sa pag-access ay direkta sa prinsipyo at teknikal sa aplikasyon, sa magkabilang panig ng kahilingan. Law & More nagpapayo sa mga indibidwal na hindi nakakakuha ng mga sagot, kabilang ang mga empleyado at dating empleyado na humaharap sa isang personal na file, at mga organisasyon na nangangailangan ng isang maipagtatanggol na proseso para sa paghawak ng mga kahilingan, redaksyon, at pagtanggi. Kung ikaw ay nahaharap sa isang deadline sa ilalim ng artikulo 12(3), o ang anim na linggong panahon sa ilalim ng artikulo 35 ng Uitvoeringswet AVG ay tumatakbo, makipag-ugnayan Law & More para talakayin ang posisyon.