Piekļuves tiesības saskaņā ar GDPR: Uz ko attiecas AVG 15. pants

Vispārīgās datu aizsardzības regulas 15. pants, kas Nīderlandes tiesību aktos ir iestrādāts ar Algemene Verordening Gegevensbescherming (AVG) starpniecību, piešķir ikvienai personai nepārprotamas tiesības uzzināt, vai organizācija apstrādā viņu personas datus, saņemt to kopiju un redzēt apkārtējo kontekstu, piemēram, mērķus, saņēmējus un glabāšanas periodus. Šīs tiesības ir pārredzamības un atbildības pamatā: tās ļauj personām pārbaudīt, kas par viņām tiek glabāts, un liek uzņēmumiem uzturēt savu datu apstrādes praksi tīru, dokumentētu un aizstāvamu.

Neatkarīgi no tā, vai pieprasāt savu personāla daļu vai gatavojaties atbildēt uz klienta pieprasījumu par piekļuvi datiem, precīzas 15. panta darbības jomas un ierobežojumu pārzināšana samazina naudas sodu, strīdu un reputācijas kaitējuma risku. Turpmākajās lappusēs mēs tulkojam juridisko tekstu vienkāršā angļu valodā, soli pa solim iepazīstinām datu subjektus ar pieprasījuma veidni, konsultējam pārziņus par termiņiem, maksām un rediģēšanas pienākumiem, atzīmējam Nīderlandei raksturīgos noteikumus, ko piemēro Autoriteit Persoonsgegevens, un noslēdzam ar praktiskiem kontrolsarakstiem abām pusēm.

15. panta AVG atšifrēšana vienkāršā angļu valodā

“Datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai tiek apstrādāti viņa personas dati, un, ja tādi tiek apstrādāti, piekļuvi šiem personas datiem…” — VDAR 15. panta 1. punkts

Vienkāršoti sakot: jūs varat jautāt jebkurai organizācijai : “Vai jūs glabājat datus par mani? Ja jā, parādiet man, kādus datus, kāpēc, ar ko jūs tos kopīgojat un cik ilgi jūs tos glabājat.” Tā ir piekļuves tiesību būtība saskaņā ar GDPR; AVG 15. panta darbības joma Nīderlandē ir identiska, jo Nīderlandes Uitvoeringswet AVG tikai lokalizē izpildi, nemainot būtību.

Iesniedzot pieprasījumu, jums ir tiesības uz astoņiem konkrētiem punktiem:

1. Apstrādes apstiprinājums
2. Personas datu kopija
3. Apstrādes mērķi
4. Iesaistītās datu kategorijas
5. Saņēmēji vai saņēmēju kategorijas
6. Plānotais uzglabāšanas periods vai kritēriji tā noteikšanai
7. Citas VDAR tiesības, kuras varat īstenot
8. Drošības pasākumi jebkādai pārsūtīšanai ārpus EEZ

Šīs tiesības ir personiskas — uz tām var atsaukties tikai datu subjekts (vai tā likumīgs pārstāvis), un tās ir absolūtas attiecībā uz savu datu saņemšanu. Tomēr pārziņi var ierobežot vai atteikt piekļuvi, ja tas aizskartu citas pamattiesības (komercnoslēpumi, trešo personu privātums).

Juridiskais teksts salīdzinājumā ar vienkāršu terminoloģiju

Galvenās līdzņemamās lietas īsumā

• Cik ilgu laiku kontrolieris var aizņemt? Viens mēnesis, sarežģītos gadījumos to var pagarināt līdz trim.
• Vai viņi var mani apsūdzēt? Nē, ja vien pieprasījums nav “acīmredzami nepamatots vai pārmērīgs”.
• Kādā formātā es saņemšu datus? Droša elektroniska datne (piemēram, PDF vai CSV), ja vien jūs nelūdzat citādi.
• Vai man ir jāizmanto īpaša veidlapa? Nēe-pasts, vēstule vai pat telefona zvans ir svarīgs.
• Ko darīt, ja viņiem par mani nav nekādas informācijas? Viņiem tas jāpaziņo rakstiski tajā pašā termiņā.

Kas var īstenot tiesības un pret ko?

Saskaņā ar VDAR 4. panta 1. punktu datu subjekts ir jebkura dzīva, identificējama fiziska persona — klients, darbinieks, pacients vai nepilngadīgs skolēns. Ikviens no viņiem var izmantot piekļuves tiesības saskaņā ar VDAR: AVG 15. panta darbības joma nediskriminē pēc vecuma, tautības vai dzīvesvietas. Pieprasījumi jāadresē pārzinim : pusei, kas izlemj , kāpēc un kā dati tiek apstrādāti. Mākoņpakalpojumu sniedzējs vai algu aprēķināšanas birojs, kas tikai uzglabā datus, ir apstrādātājs ; tam ir jānodod pieprasījums pārzinim, bet tas nevar atteikt tiešus norādījumus.

Nīderlandes iedzīvotāji var arī adresēt savu pieprasījumu ārvalstu uzņēmumam, kas orientējas uz Nīderlandes tirgu (piemēram, Īrijā bāzēts sociālais tīkls). Viena mēneša termiņš sākas brīdī, kad pārzinis saņem pieprasījumu, neatkarīgi no tā, kur atrodas tā serveri.

Īpašas situācijas: pārstāvji, mirušās personas, vecāki un aizbildņi

• Nepilngadīgie un rīcībnespējīgi pieaugušie: saskaņā ar Nīderlandes Civilkodeksa 1. grāmatu viņu vārdā var rīkoties vecāks, aizbildnis vai kurators.
• Skolas un darba devēji: skolēni un darbinieki paši var iesniegt datu subjekta piekļuves pieprasījumu (SAR); pārstāvji ir neobligāti, bet gan brīvprātīgi.
• Mirušas personas neietilpst GDPR darbības jomā, tomēr ārstiem, notāriem un apdrošinātājiem joprojām ir jāievēro profesionālās noslēpuma ievērošanas noteikumi, pirms tie atklāj ar viņiem saistītus dokumentus.

Kontrolieru kopīgā atbildība koplietotās sistēmās

Ja divas vai vairākas organizācijas kopīgi nosaka apstrādes mērķus vai līdzekļus (VDAR 26. pants), piemēram, darba devējs un tā HR programmatūras pārdevējs, tās ir kopīgi pārziņi . Tām ir pārredzami jāvienojas par to, kas atbild uz 15. panta pieprasījumiem, un jāinformē datu subjekts, taču katra saglabā atbildību, ja otra organizācija neizdodas.

Kas ir jāatklāj: dati un papildinformācija

Kad jūs izmantojat piekļuves tiesības saskaņā ar GDPR, AVG 15. panta darbības joma uzliek pārzinim pienākumu nodot divas lietas: faktiskos personas datus un kontekstuālu detaļu paketi . Iedomājieties, ka saņemat gan fotoattēlu, gan tā parakstu. Likumdošanas akti sadala izpaušanas pienākumu astoņās grupās, kas uzskaitītas turpmāk.

Personas dati ir kas vairāk nekā tikai vārds un numurs. Tie ietver uzvedības profilus, secinātus kredītreitingus, videonovērošanas ierakstus, balss ierakstus, ierīču ID un pat šķietami garlaicīgus metadatus, piemēram, pieteikšanās laika zīmogus — jebko, ko var tieši vai netieši saistīt ar identificējamu personu.

“Personas datu kopijas” skaidrojums

Kopija nozīmē saprotamu reprodukciju, nevis oriģinālo papīra failu. Sagaidiet :

• Jūsu algas uzskaites PDF fails
• CRM piezīmju CSV eksports
• ZIP fails ar atbalsta zvanu audio failiem
  Ja pieprasījumu nosūtījāt pa e-pastu, noklusējuma piegādei arī jābūt elektroniskai un “vispārēji izmantotā” formātā, ja vien nepieprasāt papīra formātu.

Personas dati pret dokumentiem: kur novilkt robežu

Pārziņiem ir jāizvelk tikai tie fragmenti, kas attiecas uz jums. Piemēram, sapulces piezīmē, kurā piedalās vairāki darbinieki, jūsu mutiskās piezīmes var tikt atklātas, savukārt kolēģu komentāri tiek rediģēti. Turpretī parakstīts darba līgums tiek atklāts pilnībā, jo katrs punkts attiecas uz jums.

Obligātā papildinformācija

Papildus datu kopijai pārzinim ir jāpaskaidro: mērķi, kategorijas, saņēmēji, saglabāšana, pieejamās tiesības, datu avoti, automatizētu lēmumu loģika (ja tāda ir) un pārsūtīšanas drošības pasākumi. Pievērsiet uzmanību neskaidrām atbildēm — “uzņēmējdarbības vajadzībām” vai “glabāt tik ilgi, cik nepieciešams”, visticamāk, neapmierinās Autoriteit Persoonsgegevens. Visaptveroši, vienkāršā valodā sniegti skaidrojumi ir labākais aizsargs pret sūdzībām un naudas sodiem.

Kā iesniegt un apstrādāt datu subjekta piekļuves pieprasījumu (SAR) Nīderlandē

Pieprasījumu piekļūt datiem datu subjekts var iesniegt jebkādā veidā, kas viņam patīk — pa tālruni, e-pastu , vēstuli, tiešo ziņojumu sociālajos medijos vai pat tērzēšanas robotprogrammatūru. GDPR 12. pants aizliedz pārziņiem pieprasīt konkrētu veidlapu, tāpēc laika atskaitei pietiek ar frāzi “Es vēlos saņemt visu jūsu rīcībā esošo personas datu kopiju”. Tomēr labākā prakse ir iesniegt rakstisku ierakstu, lai abas puses varētu sekot līdzi termiņiem. Kad pieprasījums ir saņemts, pārzinim nekavējoties (1) jāapstiprina saņemšana un (2) jāreģistrē viena mēneša atbildes sniegšanas periods. Klusēšana vai kavēšanās pēc šī pirmā mēneša rada Autoriteit Persoonsgegevens (AP) sūdzību un iespējamus naudas sodus.

Zemāk ir sniegta kodolīga, divvalodu veidne, ko datu subjekti var kopēt un ielīmēt; nav nepieciešams juridiskais žargons.

Subject: Subject Access Request – Article 15 GDPR/AVG

Dear [Controller],

I hereby request, under Article 15 GDPR/AVG, confirmation of whether you process my personal data. 
If so, please provide a copy and the supplementary information listed in Article 15(1)(a-h).

Kind regards,
[Name] | [Email] | [Any reference number]

---

Onderwerp: Verzoek om inzage – Artikel 15 AVG/GDPR

Geachte [Verwerkingsverantwoordelijke],

Ik verzoek u op grond van artikel 15 AVG om bevestiging of u mijn persoonsgegevens verwerkt. 
Indien dit het geval is, ontvang ik graag een kopie en de aanvullende informatie zoals genoemd in artikel 15 lid 1 onder a-h.

Met vriendelijke groet,
[Naam] | [E-mail] | [Eventuele referentie]

Kontrolieriem jāizveido vienkārša datu uzņemšanas darbplūsma — [email protected] pastkastīte, pieteikuma numurs, automātiska apstiprināšana —, lai vēlāk pierādītu atbilstību.

Identitātes pārbaude bez pārmērīgas datu vākšanas

Pārvaldniekam ir jābūt “saprātīgam”, pārbaudot, kas jautā, neiegūstot vairāk datu, nekā nepieciešams. AP iesaka:

• Cik vien iespējams, saskaņojiet pieprasījuma informāciju ar esošiem konta datiem (lietotājvārdu, klienta ID).
• Ja papildu pierādījumi nav iespējami, pieprasiet rediģētu pasi vai vadītāja apliecības skenēšana ar aptumšotu BSN, fotoattēlu un MRZ.
• Nekad neglabājiet kopijas ilgāk, nekā nepieciešams pārbaudei; reģistrējiet pārbaudes faktu un pēc tam izdzēsiet failu.

Reģistrēšana un uzskaite atbildības nodrošināšanai

Vienkāršs SAR žurnāls nodrošina regulatoru un jūsu datu aizsardzības speciālista apmierinātību. Ieraksts:

1. Saņemšanas datums un kanāls (e-pasts, zvans utt.)
2. Veiktās identitātes verifikācijas darbības
3. Atrodamo datu apjoms
4. Iesaistītās iekšējās komandas
5. Atbildes datums un metode + visi pieprasītie pagarinājumi
6. Sniegtās informācijas kopsavilkums vai atteikuma iemesli

Šī reģistra uzturēšana atbalsta 5. panta “atbildības” principu un nodrošina gatavu audita taku, ja AP klauvē pie jūsu durvīm.

Kontrolieru termiņi, maksas un piegādes formāti

Sākot skaitīt laiku, pārziņiem ir viens mēnesis, lai atbildētu uz datu subjekta piekļuves pieprasījumu. Viņi var pagarināt termiņu vienu reizi par diviem papildu mēnešiem , bet tikai sarežģītu vai daudzu pieprasījumu gadījumā , un viņiem pirmā mēneša laikā ir jāpaskaidro kavēšanās. Ja personas dati netiek glabāti, pārzinim joprojām ir jāatbild tajā pašā termiņā un tas ir skaidri jānorāda.

12. panta (5) punktā ir noteikts nulles maksas noteikums: piekļuve ir bez maksas. Maksa ir atļauta tikai tad, ja pieprasījums ir “acīmredzami nepamatots vai pārmērīgs” — iedomājieties darbinieku, kurš katru nedēļu pieprasa identiskas kopijas, vai surogātpasta izplatītāju, kurš pieprasa datus simtiem viltotu profilu.

Piegādei jābūt “vispārēji izmantotā” drošā formātā. Īss salīdzinājums:

Neatkarīgi no izvēlētā maršruta, dispečeriem ir jāievēro saprātīgas vēlmes un jāizvairās no īpašumtiesību ierobežošanas.

Droša pārraide un datu samazināšana

Nekad nesūtiet neaizsargātas izklājlapas pa e-pastu. Izmantojiet ar paroli aizsargātus failus (kopīgojiet atslēgu atsevišķi), HTTPS portālus ar divfaktoru autentifikāciju vai ierakstītu pastu papīra pakām. Pirms pārsūtīšanas iztīriet trešo pušu datus, izmantojot rediģēšanas programmatūru, un noņemiet liekos laukus. Tas atbilst 5. panta (1)(c) punkta prasībām, vienlaikus aizsargājot kolēģus, komercnoslēpumus un garāmgājējus.

Likumīgi iemesli piekļuves ierobežošanai vai atteikšanai

15. pants ir spēcīgs, tomēr ne neierobežots. 4. punktā un 63. apsvērumā ir skaidri norādīts, ka pārzinis var sašaurināt vai pat atteikt informācijas izpaušanu, ja informācijas nodošana būtu pretrunā ar citām pamattiesībām vai būtu acīmredzami nepamatota. Pierādīšanas pienākums ir pārzinim: jums ir jādokumentē, kāpēc pilnīga piekļuve apdraudētu šīs konkurējošās intereses un kā jūs mazinājāt ietekmi (piemēram, daļēja rediģēšana).

Trešo pušu privātuma aizsardzība

Atklājot e-pasta ķēdi, kurā minēti arī kolēģi vai klienti, var tikt atklāti viņu personas dati. Nīderlandes tiesu prakse (Rb. Midden-Nederland, ECLI:NL:RBMNE:2023:1204) apstiprina, ka pārziņi var dzēst vai apkopot trešo pušu identifikatorus, ja vien pieprasītājs joprojām saprot kontekstu. Metodes:

• Melnās līnijas vārdi un tālruņu numuri
• Aizstāt ar neitrāliem terminiem (“cits darbinieks”)
• Sniedziet izvilkumus visa faila vietā

Komercnoslēpumi, intelektuālais īpašums un autortiesības

Uzņēmumiem nav jāatver savs algoritmiskais kimono. Ja pirmkoda, cenu noteikšanas formulu vai autortiesībām pakļauta materiāla atklāšana varētu atmaskot konfidenciālu zinātību, 15. panta 4. daļa atļauj kalibrētu atbildi. Tipisks risinājums: vienkāršā angļu valodā aprakstīt automatizēta lēmuma loģiku, nevis pilnu kodu; sniegt līguma grafika izrakstus, nevis patentētu veidni. Vienmēr paskaidrot, kāpēc dziļāka izpaušana kaitētu komerciālajām interesēm.

Tiesību ļaunprātīgas izmantošanas novēršana

Pieprasījums ir acīmredzami nepamatots vai pārmērīgs, ja tas ir atkārtots, uzmācīgs vai apzināti apgrūtinošs — piemēram, iknedēļas kopēti un ielīmēti SAR pēc tam, kad visi dati jau ir piegādāti. Šādā gadījumā pārziņi var:

1. Iekasēt “saprātīgu maksu”, kas atspoguļo administratīvās izmaksas, or
2. Pilnībā atteikties rīkoties.
   Jebkurā gadījumā jums rakstiski jāpamato sava nostāja un jāinformē datu subjekts par viņa tiesībām iesniegt sūdzību Autoriteit Personsgegevens.

Kompensācijas meklēšana: sūdzības un tiesvedība Nīderlandē

Ja pārzinis neizpilda savus pienākumus, datu subjektiem ir ātras, eskalējošas iespējas īstenot piekļuves tiesības saskaņā ar VDAR (AVG 15. panta darbības joma).

1. Iekšējs grūdiens. Nosūtiet datētu atgādinājumu, atsaucoties uz 15. pantu un pagājušo termiņu; lielākā daļa organizāciju izpilda prasības, tiklīdz tās tiek pieprasītas.
2. Autoriteit Persoonsgegevens sūdzība. Iesniegt tiešsaistē. AP var pieprasīt informācijas izpaušanu, uzlikt dienas soda maksājumus vai piemērot administratīvus sodus. Vienkāršas lietas bieži vien tiek slēgtas trīs mēnešu laikā.
3. Civiltiesas prasība. Saskaņā ar VDAR 82. pantu Holandes tiesas var izdot rīkojumus un piespriest kompensāciju. Nesenie nolēmumi ir piešķīruši 250–2500 eiro par finansiālām grūtībām, paredzot paātrinātu izskatīšanu. saīsināts process atvieglojumi pieejami steidzamu nodarbinātības rindu gadījumā.

Pārrobežu sadarbība un vienas pieturas aģentūra

Nīderlandes iedzīvotājs joprojām var iesniegt sūdzību AP, pat ja pārziņa ES galvenā mītne atrodas citur. AP pārsūta lietu, izmantojot GDPR vienas pieturas aģentūru , un Eiropas Datu aizsardzības kolēģija var pārvarēt jebkuru normatīvo strupceļu, tāpēc ģeogrāfija nav šķērslis jūsu datu iegūšanai.

Atbilstības plāns organizācijām

Sakārtots SAR process sākas ilgi pirms pirmā pieprasījuma saņemšanas. Izveidojiet šos būtiskos elementus, un 90% piekļuves problēmu izzudīs:

• Publicējiet īsu, vienkāršā angļu valodā uzrakstītu SAR politiku un norādiet uz to darbiniekus.
• Regulāri atjauniniet apstrādes darbību reģistrus (RoPA), lai jūs zinātu, kur atrodas dati.
• Kartējiet saglabāšanas periodus un dzēšanas aktivizētājus; novecojuši dati ir dati, kurus jums nekad nav jānodod.
• Uzturēt pakāpenisku rediģēšanas darbplūsmu ar divkāršu kontroli pārskatīšanai.
• Reģistrēt katru 5. panta pieprasījumu, lēmumu un termiņu atbildība.
• Katru gadu veiciet galda treniņus, lai pārbaudītu ātrumu, skaidrību un komandķēdi.

Apmāciet klientu apkalpošanas, personāla un IT darbiniekus verbālu pieprasījumu atpazīšanā un izskatīšanā; pat viens neatbildēts telefona zvans var iedarbināt soda laika atskaiti.

Automatizācija un rīki

Izmantojiet datu atklāšanas programmatūru, ID verifikācijas API un drošus lejupielādes portālus, lai ātri atrastu, iesaiņotu un pārsūtītu datus, vienmēr atstājot vietu cilvēka pārbaudei un konteksta noteikšanai.

Integrācija ar citām datu subjekta tiesībām

Izstrādājiet SAR darbplūsmu tā, lai tā sadalītos labošanas, dzēšanas vai pārnesamības darbībās; viens saskaņots process novērš dublētu meklēšanu un nekonsekventas atbildes.

Datu subjektu pilnvarošana: praktiski padomi efektīviem pieprasījumiem

Skaidrs, precīzi noteikts SAR ietaupa visu laiku un apgrūtina dispečeram iespēju apturēt lidojumu. Izmēģiniet šīs taktikas:

• Precīzi ko jūs vēlaties: “Visas e-pasta vēstules starp mani un vadītāju Jansenu no 2024. gada 1. janvāra līdz 31. martam.”
• Pieminēt kur tur teikts: “Personāla vadības sistēmas un palīdzības dienesta pieprasījuma iesniegšana”.
• Norādiet savu vēlamais formāts (CSV, PDF) un drošs kanāls.
• Atzīmēt steidzamību, ja tas ir svarīgi (“gaidāms”). izrādes apskats 15. oktobrī").

Kad dati ir pieejami, skenējiet, vai nav kļūdu vai nepilnību, un nekavējoties iesniedziet labošanas vai dzēšanas pieprasījumu — izmantojot vienu un to pašu pierādījumu taku, tiek saglabāts impulss.

Eskalācijas stratēģija ignorēšanas gadījumā

31. diena un joprojām klusums? Saglabājiet pieklājību, bet stingrību:

Subject: Reminder – Article 15 GDPR/AVG request overdue

Dear [Controller],

On [date] I requested access to my personal data. The one-month term has passed without a response. 
Please provide the information within seven days or explain the lawful basis for any refusal. 
Failing that, I will file a complaint with the Autoriteit Persoonsgegevens and consider civil action.

Regards,
[Name]

Dokumentējiet katru soli (datumus, e-pastus, telefona žurnālus). Ja papildu nedēļa beidzas, iesniedziet sūdzību tiešsaistē AP un pievienojiet pierādījumu paketi; tiesas un regulatori dod priekšroku labi organizētiem prasītājiem.

Jūsu piekļuves tiesību noslēgšana

GDPR/AVG 15. pants nosaka indivīdiem vadību: jūs varat jautāt, redzēt un apstrīdēt organizācijas rīcību ar jūsu datiem. Pārziņiem skaidras procedūras, sakārtota uzskaite un saprātīga rediģēšana nav izvēles iespēja — tas ir vienīgais veids, kā ievērot viena mēneša termiņu un izvairīties no Autoriteit Persoonsgegevens atspēriena.

Atcerieties pamata rokasgrāmatu:

• pieprasījums var būt neformāls,
• atbildei jābūt brīvai, savlaicīgai un pilnīgai,
• robežas ir šauras un tām jābūt pamatotām,
• Daļēja atklāšana ir labāka par pilnīgu atteikumu.

Ievērojiet šos noteikumus, un piekļuves tiesības kļūs par ikdienas atbilstības uzdevumu, nevis par tiesas zāles galvassāpēm.

Vai nepieciešama pielāgota SAR veidne, palīdzība trešo pušu datu atšķetināšanā vai stratēģija spītīgam pārzinim? Privātuma advokāti uzņēmumā Law & More ir gatavi iejaukties — neatkarīgi no tā, vai esat datu subjekts, kas meklē atbildes, vai uzņēmums, kas meklē pārliecību.