Reg van toegang onder die AVG: die omvang van artikel 15 AVG

Die reg op toegang in artikel 15 van die Algemene Verordening Gegevensbeskerming, in Nederland bekend as die Algemene Verordening Gegevensbeskerming (AVG), gee enige individu die reg om 'n organisasie te vra of dit persoonlike data oor hulle verwerk, om 'n afskrif van daardie data te ontvang, en om die doeleindes, die ontvangers, die bewaringstydperk en die bron meegedeel te word. Die beheerder moet binne een maand gratis antwoord en mag slegs toegang beperk waar dit nodig is om die regte en vryhede van ander te beskerm. In Nederland kan 'n weiering binne ses weke per petisie na die distrikshof gebring word kragtens artikel 35 van die AVG-implementeringswet (Uitvoeringswet AVG).

Die AVG is nie 'n aparte Nederlandse wet nie: dit is die Nederlandse naam vir die Verordening self, wat direk van toepassing is. Wat die Nederlandse reg byvoeg, is die Uitvoeringswet AVG, wat die keuses wat die Verordening aan lidstate gelaat het, invul en uiteensit hoe die reg voor die Autoriteit Persoonsgegevens en die howe afgedwing word. Hierdie artikel handel oor die omvang van artikel 15, die beperkings daarvan en die prosedure wat op 'n weiering volg.

Wat artikel 15 jou eintlik gee

Artikel 15(1) bevat twee regte wat dikwels verwar word. Die eerste is bevestiging: 'n ja- of nee-antwoord op die vraag of persoonlike data aangaande u verwerk word. Die tweede, wat slegs ontstaan ​​as die antwoord ja is, is toegang tot daardie data tesame met agt items van aanvullende inligting. Artikel 15(3) voeg dan die verpligting by om 'n afskrif te verskaf.

Artikel 15(2) voeg by dat waar persoonlike data na 'n derde land of 'n internasionale organisasie oorgedra word, u geregtig is om ingelig te word oor die toepaslike waarborge waarop vir daardie oordrag staatgemaak word. Saam is hierdie items die rede waarom 'n blote data-dump nie voldoening bied nie: die kopie sonder die konteks voldoen nie aan artikel 15 nie.

Persoonlike data is 'n breë kategorie, en beheerders definieer dit gereeld te eng. Dit dek veel meer as 'n naam en 'n adres: gedragsprofiele, assesserings en menings wat oor jou opgeneem is, kamerabeelde, oproepopnames, toestelidentifiseerders, aanmeldtydstempels, IP-adresse en afleidings wat oor jou gemaak word, kwalifiseer almal sodra hulle direk of indirek aan jou as 'n identifiseerbare persoon gekoppel kan word. Die AVG- definisie is doelbewus wyd, en die las om te verduidelik waarom iets daarbuite val, berus by die beheerder.

Wie kan vra, en wie moet antwoord

Die reg behoort aan die data-onderwerp: 'n geïdentifiseerde of identifiseerbare lewende natuurlike persoon. Ouderdom, nasionaliteit en verblyf is irrelevant. 'n Ouer of wettige voog kan namens 'n minderjarige optree, en 'n hof-aangestelde verteenwoordiger kan namens 'n volwassene wat nie bevoegd is nie, optree. Enigiemand anders benodig 'n skriftelike magtiging, en 'n beheerder is geregtig om dit te verifieer. Die reg oorleef nie die dood nie, want die Verordening is nie van toepassing op die data van oorlede persone nie, hoewel Nederlandse reëls oor professionele geheimhouding en toegang tot 'n oorlede pasiënt se mediese lêer steeds aan familielede 'n roete kan gee.

Die versoek gaan na die beheerder: die party wat die doeleindes en die middele van die verwerking bepaal. 'n Loonburo, 'n gasheermaatskappy of 'n sagtewareverskaffer wat op instruksies optree, is 'n verwerker en moet die versoek deurgee eerder as om dit te beantwoord. Waar twee organisasies gesamentlik die doeleindes en middele bepaal, maak artikel 26 hulle gesamentlike beheerders; hulle moet onderling ooreenkom wie toegangsversoeke hanteer en die kern van daardie reëling beskikbaar stel, maar die betrokke persoon kan die reg teen enigeen van hulle uitoefen.

Geografie is selde 'n hindernis. Die Verordening is van toepassing op beheerders wat in die EU gevestig is, en ook op beheerders buite dit wat goedere of dienste aan mense in die EU aanbied of hul gedrag monitor. 'n Nederlandse inwoner kan dus 'n versoek aan 'n buitelandse platform rig, en die tydperk van een maand begin wanneer daardie beheerder dit ontvang.

In die werkskonteks word die versoek deur die werknemer persoonlik gerig, en dit is 'n reg eerder as 'n guns. Werkgewers behoort toegangsversoeke rondom ontslagbesprekings en prestasiegeskille te verwag, en behoort nie die tydsberekening as 'n rede te beskou om anders te antwoord nie.

Wat 'n kopie beteken

Die Hof van Justisie het hierdie punt in Saak C-487/21 van 4 Mei 2023 beslis. 'n Kopie kragtens artikel 15(3) moet 'n getroue en verstaanbare reproduksie wees van al die persoonlike data wat verwerk word. 'n Opsomming, 'n tabel van kategorieë of 'n algemene beskrywing van wat die organisasie besit, voldoen nie aan die verpligting nie.

Dieselfde uitspraak het die moeiliker vraag beantwoord of volledige dokumente oorhandig moet word. In beginsel het die verpligting betrekking op die data, nie die lêer waarin hulle is nie. Maar die Hof het bevind dat uittreksels uit dokumente, volledige dokumente of uittreksels uit databasisse verskaf moet word waar dit onontbeerlik is om die betrokke persoon in staat te stel om die data te verstaan ​​en hul regte effektief uit te oefen. Konteks kan deel van die betekenis wees: 'n assessering maak slegs sin in die dokument wat dit raam, en 'n leë veld kan self insiggewend wees. Die praktiese toets vir 'n beheerder is dus nie of 'n dokument gerieflik is om vry te stel nie, maar of die data daarsonder verstaanbaar bly.

'n Tweede uitspraak, Saak C-307/22 van 26 Oktober 2023, het twee argumente waarop beheerders gebruik het om staat te maak, verwyder. Die datasubjek hoef nie 'n rede vir die versoek te vermeld nie, en 'n motief wat nie met databeskerming verband hou nie, soos die voorbereiding van 'n eis, maak die versoek nie misbruikend nie. En die eerste kopie moet gratis wees, selfs waar nasionale wetgewing andersins 'n fooi vir die vervaardiging van rekords sou toelaat.

Redaksie bly geldig waar 'n dokument ook ander mense se persoonlike data bevat. 'n Vergadernota wat verskeie werknemers opneem, kan vrygestel word met die gedeeltes rakende kollegas verwyder of geneutraliseer, mits wat oorbly steeds verstaanbaar is. 'n Dokument wat slegs jou raak, soos jou kontrak en die algemene bepalings en voorwaardes wat op jou van toepassing is, leen hom glad nie tot redigering nie.

Sperdatums, formaat en koste

Artikel 12(3) gee die beheerder een maand vanaf ontvangs van die versoek. Daardie tydperk kan met tot twee verdere maande verleng word indien die versoek kompleks is of indien die beheerder 'n aantal versoeke ontvang het, maar die verlenging en die redes daarvoor moet binne die eerste maand meegedeel word. Stilswye is nie 'n verlenging nie. Indien die beheerder nie op die versoek reageer nie, vereis artikel 12(4) dat hy dit binne een maand moet sê en die betrokke persoon in kennis moet stel van die reg om by 'n toesighoudende owerheid te kla en 'n geregtelike regsmiddel te soek.

Daar is geen voorgeskrewe vorm nie. 'n Versoek per e-pos , per brief, deur middel van 'n webvorm, of mondelings gerig, is ewe geldig, en 'n beheerder mag nie op sy eie sjabloon as 'n voorwaarde aandring nie. Waar die versoek elektronies gerig word, moet die inligting in 'n algemeen gebruikte elektroniese vorm verskaf word, tensy die betrokke persoon anders versoek.

Toegang is gratis. Artikel 15(3) laat 'n redelike fooi toe gebaseer op administratiewe koste slegs vir verdere kopieë van dieselfde data, en artikel 12(5) laat 'n redelike fooi of 'n weiering toe waar 'n versoek klaarblyklik ongegrond of oordrewe is, veral as gevolg van die herhalende karakter daarvan. Die beheerder dra die las om daardie karakter aan te toon, en na die 2023-regspraak is die drempel hoog: herhaling alleen, sonder meer, is nie genoeg nie.

Identiteitsverifikasie word toegelaat, maar is beperk. Artikel 12(6) laat die beheerder toe om bykomende inligting aan te vra waar hy redelike twyfel het oor die identiteit van die versoeker, en nie meer as dit nie. Waar die versoek van 'n bekende rekening afkomstig is, is dit gewoonlik voldoende om dit met bestaande rekeningbesonderhede te vergelyk. Waar 'n identiteitsdokument werklik nodig is, moet die burgerdiensnommer, die foto en die masjienleesbare sone verduister word, en enige kopie moet slegs behou word vir so lank as wat die kontrole vereis. Om 'n volledige paspoortskandering as standaard te vereis, is op sigself 'n oortreding, en identiteitsdokumente wat biometriese data bevat , trek weer strenger reëls aan.

Oordrag moet veilig wees. Om 'n onbeskermde lêer wat 'n volledige personeelrekord bevat na 'n privaat e-posadres te stuur, is 'n datalek wat wag om te gebeur; gebruik 'n beskermde lêer met die sleutel wat apart gedeel word, of 'n portaal met tweefaktor-verifikasie.

Wanneer toegang beperk of geweier kan word

Artikel 15 is nie absoluut nie. Artikel 15(4) bepaal dat die reg om 'n kopie te bekom nie die regte en vryhede van ander nadelig mag beïnvloed nie, en oorweging 63 noem sakegeheime en intellektuele eiendom, insluitend sagteware-kopiereg, as belange wat opgeweeg kan word. Die beperking is in twee opsigte eng: dit is van toepassing op die kopie eerder as op die onderliggende reg op inligting, en dit kan nie tot 'n algehele weiering lei nie. Waar 'n botsing bestaan, moet die beheerder na die minste beperkende roete soek, wat normaalweg gedeeltelike openbaarmaking met redigering is.

Derdeparty-data

Korrespondensie, vergaderingnotas en klagtelêers bevat gewoonlik die persoonlike data van meer as een persoon. Die beheerder moet die belange balanseer, nie bloot weerhou nie. In die praktyk beteken dit die verwydering van name en kontakbesonderhede van derde partye, die vervanging van 'n identiteit met 'n neutrale beskrywing waar die identiteit self nie die punt is nie, of die verskaffing van 'n uittreksel eerder as die hele ketting. Wat die beheerder nie mag doen nie, is om die hele dokument te weier omdat 'n derde party daarin verskyn.

Vertroulike inligting en professionele voorreg

Handelsgeheime, prysmodelle en bronkode kan beskerm word, maar die antwoord is kalibrasie eerder as stilswye. Waar 'n outomatiese besluit betrokke is, is die beheerder betekenisvolle inligting verskuldig oor die toegepaste logika en die gevolge vir die datasubjek, wat nie dieselfde is as die openbaarmaking van die algoritme nie. Afsonderlik word inligting wat onder regsberoepsvoorreg val, beskerm, en die interaksie tussen openbaarmakingspligte en voorreg is 'n herhalende kwessie vir adviseurs, wat ons bespreek in ons artikel oor verslagdoeningsverpligtinge en voorreg.

Beperkings in die Nederlandse reg

Die Uitvoeringswet AVG bevat 'n aantal beperkings op die regte van data-onderwerpe wat ingevolge artikel 23 van die Regulasie aangeneem is, vir doeleindes soos die voorkoming en ondersoek van kriminele oortredings, toesig deur openbare liggame, en die beskerming van die data-onderwerp of die regte van ander. 'n Beheerder wat op een hiervan staatmaak, moet dit identifiseer, dit op die spesifieke versoek toepas en dit kan regverdig. 'n Algemene stelling dat openbaarmaking nie in enigiemand se belang is nie, is nie 'n beperking nie.

Mediese rekords volg 'n gedeeltelik aparte spoor. Saam met artikel 15 gee die behandelingsooreenkomsbepalings van die Nederlandse Burgerlike Wetboek 'n pasiënt die reg om hul lêer te inspekteer en 'n afskrif daarvan te bekom, en die twee roetes bestaan ​​eerder saam as om mee te ding.

Hanteer 'n versoek as 'n beheerder

Die meeste mislukkings is organisatories eerder as wettig. 'n Versoek wat by 'n verkoopsposbus, 'n takkantoor of in 'n telefoonoproep aankom, laat die klok steeds begin, dus is die eerste vereiste dat personeel een herken en dit aanstuur. Die tweede is dat die organisasie weet waar persoonlike data eintlik is: die rekord van verwerkingsaktiwiteite wat deur artikel 30 vereis word, is die praktiese grondslag vir die opspoor daarvan, en 'n beheerder wat nie sy eie stelsels kan deursoek nie, sal die sperdatum mis ongeag goeie bedoelings.

Van daar af is die proses meganies. Erken ontvangs en teken die datum aan. Verifieer identiteit proporsioneel. Definieer die omvang met die versoeker waar die versoek baie breed is, sonder om daardie gesprek as 'n vertragingstaktiek te gebruik. Deursoek die stelsels, insluitend geargiveerde posbusse en kaartjie-instrumente. Redigeer derdeparty-data onder 'n tweede paar oë. Stuur die kopie saam met die artikel 15(1)-inligting skriftelik, en hou 'n rekord van wat bekend gemaak is en wat weerhou is, met die redes. Daardie lêer is wat die Autoriteit Persoonsgegevens sal vra indien 'n klag volg.

Twee gewoontes verminder die volume werk permanent: die afdwing van bewaringsperiodes, want data wat wettiglik verwyder is, hoef nooit bekend gemaak te word nie, en die skryf van interne notas met die aanname dat die betrokke persoon dit mag lees.

Wat om te doen as die beheerder nie antwoord nie

Begin met 'n gedateerde herinnering wat die oorspronklike versoek identifiseer, die datum waarop dit gestuur is, aandui en aandui dat die tydperk in artikel 12(3) verstryk het. 'n Kort sperdatum van een of twee weke is redelik. 'n Beduidende deel van die versoeke word op hierdie stadium beantwoord, en die herinnering skep ook die papierspoor wat jy later sal benodig.

Indien dit misluk, is twee roetes oop en kan hulle parallel gebruik word. Die eerste is 'n klagte by die Autoriteit Persoonsgegevens kragtens artikel 77. Die toesighoudende gesag kan ondersoek instel, die beheerder gelas om te voldoen, 'n bevel oplê onderhewig aan 'n boete en, in ernstige gevalle, 'n administratiewe boete. Wat dit nie doen nie, is om jou enigiets persoonlik toe te ken, en die tydskaal is dié van 'n reguleerder eerder as dié van 'n dispuut.

Die tweede roete is die hof, en in Nederland is dit buitengewoon toeganklik. Artikel 35 van die Uitvoeringswet AVG laat 'n belanghebbende party toe om per petisie by die distrikshof aansoek te doen vir 'n bevel dat die beheerder die versoek toestaan ​​of weier. Drie kenmerke van daardie bepaling is in die praktyk van belang. Die petisie moet binne ses weke na ontvangs van die beheerder se antwoord ingedien word. Waar die beheerder nie binne die tydperke van artikel 12(3) geantwoord het nie, geld geen tydsbeperking nie. En artikel 35(4) bepaal uitdruklik dat die petisie nie deur 'n prokureur ingedien hoef te word nie, wat die prosedure beskikbaar stel vir individue sonder verteenwoordiging, al baat die inhoud gewoonlik by advies.

Dringende sake kan ook in summiere verrigtinge aanhangig gemaak word, en 'n eis om vergoeding kragtens artikel 82 kan by 'n substantiewe eis gevoeg word. Wat skadevergoeding betref, wees realisties: die Hof van Justisie het beslis dat 'n oortreding nie op sigself 'n reg op vergoeding skep nie, en dat die persoon wat eis werklike skade moet aantoon, hoewel nie-materiële skade kan kwalifiseer en daar geen minimum drempel van erns is nie. Toekennings in toegangsake is beskeie, en die waarde van die prosedure lê in die verkryging van die data. Ons oorsig van hoe verrigtinge voor 'n Nederlandse hof voorberei word, stel uiteen wat om te verwag.

'n Versoek maak wat werk

’n Versoek hoef nie uitgebreid te wees nie, maar ’n goed omvattende een word vinniger beantwoord en is baie moeiliker om te vertraag. Sê wie jy is en in watter hoedanigheid die organisasie jou ken, en noem ’n kliënt- of personeelnommer. Verwys eksplisiet na artikel 15, sodat daar later geen argument is oor wat jy gevra het nie. Waar jy in ’n gedefinieerde kwessie belangstel, noem die tydperk en die stelsels: korrespondensie met ’n genoemde departement tussen twee datums, of inskrywings in ’n spesifieke toepassing. Vra uitdruklik vir die aanvullende inligting in artikel 15(1), nie net vir die data nie. En meld hoe jy dit wil ontvang.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Bewaar die gestuurde item, noteer die datum en teken die sperdatum aan. Wanneer die antwoord aankom, lees dit teen die agt items in artikel 15(1) eerder as om net na die aanhangsels te kyk; onvolledige aanvullende inligting is die mees algemene gebrek en die maklikste om te betwis. Indien die data onakkuraat of oordadig blyk te wees, is die natuurlike volgende stap 'n versoek om regstelling of uitwissing, gebaseer op dieselfde bewyse.

Die reg op toegang is eenvoudig in beginsel en tegnies in toepassing, aan beide kante van die versoek. Law & More adviseer individue wat nie antwoorde kry nie, insluitend werknemers en voormalige werknemers wat 'n personeellêer in die gesig staar, en organisasies wat 'n verdedigbare proses benodig vir die hantering van versoeke, redigering en weierings. Vertel ons van jou situasieOns sal jou binne een werksdag van jou opsies laat weet.

Hoe Law & More kan jou hiermee help, word op ons verduidelik IT-prokureur bladsy.