L'article 15 del Reglament general de protecció de dades —incorporat a la legislació neerlandesa a través de l'Algemene Verordening Gegevensbescherming (AVG)— atorga a tothom el dret inequívoc a descobrir si una organització processa les seves dades personals, obtenir-ne una còpia i veure el context circumdant, com ara les finalitats, els destinataris i els períodes de conservació. Aquest dret és la base de la transparència i la responsabilitat: permet a les persones comprovar què es conserva sobre elles i obliga les empreses a mantenir les seves pràctiques de dades netes, documentades i defensables.
Tant si sol·liciteu el vostre propi fitxer de recursos humans com si us prepareu per respondre a una sol·licitud d'accés a dades d'un client, conèixer l'abast i els límits exactes de l'article 15 redueix el risc de multes, disputes i danys a la reputació. A les pàgines següents, traduïm el text legal a un anglès senzill, guiem els interessats a través d'una plantilla de sol·licitud pas a pas, guiem els responsables del tractament sobre els terminis, les tarifes i els deures de redacció, marquem les normes específiques neerlandeses que aplica l'Autoriteit Persoonsgegevens i tanquem amb llistes de control pràctiques per a ambdues parts.
Desxifrant l'article 15 de l'AVG en anglès planer
«L'interessat tindrà dret a obtenir del responsable del tractament confirmació sobre si s'estan tractant o no dades personals que el concerneixin i, si és el cas, accés a les dades personals...» — Article 15(1) del RGPD
En termes senzills: podeu preguntar a qualsevol organització : "Emmagatzemeu dades sobre mi? Si és així, mostreu-me què, per què, amb qui les compartiu i quant de temps les conserveu". Aquesta és l'essència del dret d'accés en virtut del RGPD; l'abast de l'article 15 de l'AVG als Països Baixos és idèntic perquè la Uitvoeringswet AVG neerlandesa simplement localitza l'aplicació sense canviar-ne la substància.
Quan presenteu una sol·licitud, teniu dret a vuit elements concrets:
- Confirmació del processament
- Una còpia de les dades personals
- Les finalitats del processament
- Categories de dades implicades
- Destinataris o categories de destinataris
- Període d'emmagatzematge previst o els criteris per determinar-lo
- Altres drets del RGPD que podeu exercir
- Garanties per a qualsevol transferència fora de l'EEE
El dret és personal —només l'interessat (o un representant vàlid) el pot invocar— i és absolut pel que fa a la recepció de les vostres pròpies dades. Tanmateix, els responsables del tractament poden retallar o denegar l'accés quan es veurien perjudicats altres drets fonamentals (secrets comercials, privadesa de tercers).
Text legal vs. termes per a no professionals
| Clàusula de l'article 15 | Què significa realment |
|---|---|
| 15 (1) confirmació | Pregunta "sí/no" si processen les teves dades. |
| 15 (1) access | Obtén les dades reals més el context. |
| 15 (1) (c) destinataris | Esbrinar qui veu o obté les dades, dins o fora de l'empresa. |
| 15 (2) transferències a tercers països | Informa't sobre les dades enviades fora de l'EEE i les proteccions utilitzades. |
| 15 (3) copy | Rebeu la informació en un format digital reutilitzable, de manera gratuïta. |
Punts clau per emportar d'un cop d'ull
- Quant de temps pot trigar un controlador? Un mes, ampliable a tres per a casos complexos.
- Em poden cobrar? no, tret que la sol·licitud sigui «manifestament infundada o excessiva».
- En quin format rebré les dades? Fitxer electrònic segur (per exemple, PDF o CSV) tret que demanis el contrari.
- He de fer servir un formulari especial? no; un correu electrònic, una carta o fins i tot una trucada telefònica compten.
- Què passa si no tenen res contra mi? Ho han de dir per escrit dins del mateix termini.
Qui pot exercir aquest dret i envers qui?
Segons l'article 4(1) del RGPD, una persona interessada és qualsevol persona física viva i identificable, ja sigui client, empleat, pacient o alumne menor d'edat. Cadascun d'ells pot invocar el dret d'accés en virtut del RGPD: l'abast de l'article 15 de l'AVG no discrimina per edat, nacionalitat o residència. Les sol·licituds s'han d'adreçar al responsable del tractament : la part que decideix per què i com es processen les dades. Un proveïdor de núvol o una agència de nòmines que simplement emmagatzema les dades és un encarregat del tractament ; ha de transmetre la sol·licitud al responsable del tractament però no pot rebutjar instruccions directes.
Els residents neerlandesos també poden dirigir la seva sol·licitud a una empresa estrangera que tingui com a objectiu el mercat neerlandès (per exemple, una xarxa social amb seu a Irlanda). El rellotge d'un mes comença en el moment en què el controlador rep la sol·licitud, independentment d'on resideixin els seus servidors.
Situacions especials: Representants, persones difuntes, pares i tutors
- Menors d'edat i adults incapacitats: un pare, tutor o curador pot actuar en nom seu segons el Llibre 1 del Codi Civil neerlandès.
- Escoles i ocupadors: alumnes i empleats ells mateixos es pot presentar una sol·licitud d'accés a la informació (SAR); els representants són opcionals, no obligatoris.
- Les persones difuntes no estan subjectes al RGPD, però els metges, notaris i asseguradores han de respectar les normes de secret professional abans de divulgar els fitxers relacionats.
Responsabilitat conjunta dels controladors en sistemes compartits
Quan dues o més organitzacions determinen conjuntament les finalitats o els mitjans del tractament (article 26 del RGPD), per exemple, un empresari i el seu proveïdor de programari de recursos humans, són responsables conjunts del tractament . Han d'acordar de manera transparent qui respon a les sol·licituds de l'article 15 i informar l'interessat, però cadascuna continua sent responsable si l'altra falla.
Què s'ha de divulgar: dades i informació complementària
Quan invoqueu el dret d'accés en virtut del RGPD, l'abast de l'article 15 de l'AVG obliga el responsable del tractament a lliurar dues coses: les dades personals reals i un conjunt de detalls contextuals . Imagineu-ho com rebre tant la foto com el seu peu de foto. La legislació divideix el deure de divulgació en vuit categories, que s'enumeren a continuació.
| Art. 15(1), punt | Què hauries de rebre |
|---|---|
| (a) Confirmació | Un clar sí / no si es processen les vostres dades |
| (b) Finalitats | Els motius pels quals existeixen les dades (per exemple, nòmines, màrqueting) |
| (c) Categories | Tipus com ara dades de contacte, historial de compres, registres GPS |
| (d) Destinataris | Equips interns i socis externs o processadors |
| (e) Retenció | Període o criteri exacte (per exemple, "7 anys per a la legislació tributària") |
| (f) Drets | Recordatori que podeu rectificar, suprimir, restringir, oposar-vos o reclamar |
| (g) Font | D'on provenen les dades si no s'han recollit de vostè |
| (h) Transferències | Mesures de seguretat per a qualsevol enviament fora de l'EEE |
Les dades personals són més que un nom i un número. Inclouen perfils de comportament, puntuacions de crèdit inferides, imatges de CCTV, enregistraments de veu, identificadors de dispositius i fins i tot metadades aparentment avorrides, com ara marques de temps d'inici de sessió, és a dir, qualsevol cosa que es pugui vincular, directament o indirectament, a una persona identificable.
Explicació de la "còpia de les dades personals"
Una còpia significa una reproducció intel·ligible, no l'arxiu original en paper. Cal tenir en compte que:
- Un PDF del vostre registre de nòmines
- Exportació a CSV de notes del CRM
- ZIP amb fitxers d'àudio de trucades d'assistència
Si heu enviat la sol·licitud per correu electrònic, el lliurament per defecte també hauria de ser electrònic i en un format "d'ús comú", tret que sol·liciteu paper.
Dades personals vs. documents: on cal establir el límit
Els controladors només han d'extreure els fragments que us afecten. Per exemple, en una nota de reunió que conté diversos empleats, es poden revelar els vostres comentaris orals mentre que els comentaris dels companys es poden redactar. Per contra, un contracte laboral signat es revela íntegrament perquè totes les clàusules us afecten.
Informació suplementària obligatòria
Més enllà de la còpia de dades, el responsable del tractament ha d'explicar: finalitats, categories, destinataris, retenció, drets disponibles, fonts de dades, lògica darrere de les decisions automatitzades (si n'hi ha) i garanties de transferència. Vigileu les respostes vagues: "amb finalitats comercials" o "emmagatzemat el temps que sigui necessari" probablement no satisfaran l'Autoritat de Protecció de Persones. Les explicacions completes i en un llenguatge planer són el millor escut contra les queixes i les multes.
Com presentar i gestionar una sol·licitud d'accés a dades personals (SAR) als Països Baixos
Una sol·licitud d'accés a la informació personal es pot fer de la manera que vulgui l'interessat: per telèfon, correu electrònic , carta, missatge directe a les xarxes socials o fins i tot un robot de xat. L'article 12 del RGPD prohibeix als responsables del tractament exigir un formulari específic, de manera que el text "Vull una còpia de totes les dades personals que teniu sobre mi" és suficient per engegar el rellotge. Tanmateix, la millor pràctica és registrar un registre escrit perquè ambdues parts puguin fer un seguiment dels terminis. Un cop rebuda la sol·licitud, el responsable del tractament ha de (1) acusar recepció immediatament i (2) registrar el període de resposta d'un mes . El silenci o el retard després d'aquest primer mes comporta el risc d'una denúncia a l'Autoritat de Responsables de les Persones (AP) i possibles multes.
A continuació es mostra una plantilla concisa i bilingüe que els subjectes de dades poden copiar i enganxar; no cal argot legal.
Subject: Subject Access Request – Article 15 GDPR/AVG
Dear [Controller],
I hereby request, under Article 15 GDPR/AVG, confirmation of whether you process my personal data.
If so, please provide a copy and the supplementary information listed in Article 15(1)(a-h).
Kind regards,
[Name] | [Email] | [Any reference number]
---
Onderwerp: Verzoek om inzage – Artikel 15 AVG/GDPR
Geachte [Verwerkingsverantwoordelijke],
Ik verzoek u op grond van artikel 15 AVG om bevestiging of u mijn persoonsgegevens verwerkt.
Indien dit het geval is, ontvang ik graag een kopie en de aanvullende informatie zoals genoemd in artikel 15 lid 1 onder a-h.
Met vriendelijke groet,
[Naam] | [E-mail] | [Eventuele referentie]
Els controladors haurien de crear un flux de treball d'admissió senzill (bústia de correu electrònic [email protected] , número de tiquet, confirmació automatitzada) per demostrar el compliment més endavant.
Verificació d'identitat sense sobre-recollida
El controlador ha de ser "raonable" a l'hora de comprovar qui ho demana sense obtenir més dades de les que necessita. L'AP recomana:
- Fes coincidir els detalls de la sol·licitud amb les dades del compte existent (nom d'usuari, ID de client) sempre que sigui possible.
- Si cal evitar proves addicionals, sol·liciteu un passaport redactat o escaneig del carnet de conduir amb la BSN, la foto i la MRZ tapats.
- No guardeu mai còpies més temps del necessari per a la verificació; registreu el fet de la comprovació i després elimineu el fitxer.
Registre i manteniment de registres per a la rendició de comptes
Un registre SAR bàsic manté els reguladors (i el vostre DPO) contents. Registre:
- Data de recepció i canal (correu electrònic, trucada, etc.)
- Mesures de verificació d'identitat realitzades
- Àmbit de les dades ubicades
- Equips interns implicats
- Data i mètode de resposta + qualsevol pròrroga sol·licitada
- Resum de la informació proporcionada o motius de la denegació
Mantenir aquest registre dóna suport al principi de "responsabilitat" de l'article 5 i proporciona una pista d'auditoria ja preparada si l'AP truca a la vostra porta.
Terminis, tarifes i formats de lliurament dels controladors
Quan comença el termini, els responsables del tractament tenen un mes per respondre a una sol·licitud d'accés. Poden ampliar el termini una vegada fins a dos mesos addicionals , però només per a sol·licituds complexes o nombroses , i han d'explicar el retard durant el primer mes. Si no es conserven dades personals, el responsable del tractament ha de respondre dins del mateix termini i indicar-ho explícitament.
L'article 12(5) estableix una regla de zero tarifes: l'accés és gratuït. Només es permet un càrrec quan una demanda és "manifestament infundada o excessiva" : penseu en un empleat que demana còpies idèntiques cada setmana o un remitent de correu brossa que sol·licita dades de centenars de perfils falsos.
El lliurament ha de ser en un format segur "d'ús comú". Una comparació ràpida:
| format | pros | Contres |
|---|---|---|
| PDF xifrat | Llegible; fàcil redacció | Possibles contrasenyes febles |
| Exportació CSV | Llegible per màquina; mida petita | Més difícil per als laics |
| Portal segur | 2FA i pista d'auditoria | Costós de mantenir |
Sigui quina sigui la ruta escollida, els controladors han de respectar les preferències raonables i evitar el bloqueig de la propietat.
Transmissió segura i minimització de dades
No envieu mai fulls de càlcul sense protecció per correu electrònic. Feu servir fitxers protegits amb contrasenya (compartiu la clau per separat), portals HTTPS amb autenticació de dos factors o correu certificat per a paquets de paper. Abans de la transmissió, elimineu les dades de tercers amb programari de redacció i elimineu els camps sobrants. Això compleix amb la minimització de l'article 5(1)(c) alhora que protegeix els companys de feina, els secrets comercials i els espectadors.
Motius legítims per restringir o denegar l'accés
L'article 15 és potent, però no il·limitat. El paràgraf 4 i el considerant 63 deixen clar que un responsable del tractament pot retallar o fins i tot denegar la divulgació quan el lliurament de la informació xoqui amb altres drets fonamentals o sigui clarament irracional. La càrrega de la prova recau en el responsable del tractament: heu de documentar per què l'accés complet perjudicaria aquests interessos contraposats i com heu mitigat l'impacte (per exemple, la redacció parcial).
Protecció de la privadesa de tercers
La divulgació d'una cadena de correu electrònic que també anomena col·legues o clients pot revelar les seves dades personals. La jurisprudència neerlandesa (Rb. Midden-Nederland, ECLI:NL:RBMNE:2023:1204) confirma que els responsables del tractament poden ocultar o resumir els identificadors de tercers, sempre que el sol·licitant encara entengui el context. Tècniques:
- Noms i números de telèfon de línia negra
- Substitueix per termes neutres ("un altre empleat")
- Proporcioneu extractes en lloc de tot el fitxer
Secrets comercials, propietat intel·lectual i drets d'autor
Les empreses no necessiten obrir el seu quimono algorítmic. Si revelar el codi font, les fórmules de preus o el material protegit per drets d'autor exposaria coneixements tècnics confidencials, l'article 15(4) permet una resposta calibrada. Solució alternativa típica: descriure la lògica d'una decisió automatitzada en un anglès planer, no el codi complet; donar fragments d'un calendari contractual, no la plantilla de propietat. Expliqueu sempre per què una divulgació més profunda perjudicaria els interessos comercials.
Prevenció de l'abús de drets
Una sol·licitud és manifestament infundada o excessiva quan és repetitiva, assetjadora o deliberadament onerosa; penseu en les comunicacions de comunicació d'avís i reclamacions setmanals que es poden copiar i enganxar després que ja s'hagin lliurat totes les dades. Aleshores, els responsables del tractament poden:
- Cobrar una "tarifa raonable" que reflecteixi el cost administratiu, or
- Rebutjar actuar completament.
En qualsevol cas, heu de justificar la vostra postura per escrit i informar l'interessat del seu dret a presentar una reclamació a l'Autoritat de Reclamacions.
Sol·licitud de reparació: queixes i litigis als Països Baixos
Quan un responsable del tractament falla, els interessats tenen opcions ràpides i progressives per fer valer el dret d'accés en virtut del RGPD (l'abast de l'article 15 de l'AVG).
- Empenta interna. Envieu un recordatori amb data que faci referència a l'article 15 i al termini transcorregut; la majoria d'organitzacions compleixen un cop se us demana.
- Queixa de l'Autoritéit Persoonsgegevens. Presenta la sol·licitud en línia. L'AP pot ordenar la divulgació, imposar pagaments de multes diàries o imposar multes administratives. Els casos senzills sovint es tanquen en tres mesos.
- Acció judicial civil. Segons l'article 82 del RGPD tribunals holandesos pot concedir mesures cautelars i indemnitzacions. Sentències recents han concedit entre 250 i 2.500 € per ajudes socials, amb via accelerada procediment sumari ajuda disponible per a conflictes laborals urgents.
Cooperació transfronterera i la finestreta única
Un resident neerlandès encara pot presentar una queixa a l'AP fins i tot si la seu del responsable del tractament es troba en un altre lloc de la UE. L'AP reenvia l'expedient a través de la finestreta única del RGPD i el Comitè Europeu de Protecció de Dades pot trencar qualsevol bloqueig normatiu, de manera que la geografia no és un obstacle per obtenir les vostres dades.
Pla de compliment per a organitzacions
Un procés SAR ordenat comença molt abans que arribi la primera sol·licitud. Crea aquests elements essencials i el 90% dels problemes d'accés desapareixeran:
- Publiqueu una política SAR breu i senzilla en anglès i orienteu el personal cap a ella.
- Mantingueu els vostres registres d'activitats de processament (RoPA) actualitzats per saber on resideixen les dades.
- Mapeu els períodes de retenció i els activadors de supressió; les dades obsoletes són dades que no cal lliurar mai.
- Mantingueu un flux de treball de redacció pas a pas amb revisió de doble control.
- Registra totes les sol·licituds, decisions i terminis per a l'article 5 responsabilitat.
- Realitzeu simulacres anuals per posar a prova la velocitat, la claredat i la cadena de comandament.
Formeu la recepció, els recursos humans i els departaments d'informàtica sobre la detecció i el triatge de les sol·licituds verbals; una trucada telefònica perduda pot iniciar el rellotge de penalització.
Automatització i eines
Utilitzeu programari de descobriment de dades, API de verificació d'identitat i portals de descàrrega segurs per trobar, empaquetar i transmetre dades ràpidament, deixant sempre espai per a la comprovació de sentit humà i el context.
Integració amb altres drets dels subjectes de dades
Dissenyeu el flux de treball SAR per ramificar-lo en accions de rectificació, esborrat o portabilitat; un canal coherent evita les cerques duplicades i les respostes inconsistents.
Empoderament dels interessats: consells pràctics per a sol·licituds efectives
Un SAR clar i ben abastat estalvia temps a tothom i dificulta que el controlador s'aturi. Proveu aquestes tàctiques:
- Identificar Què voleu: "Tots els correus electrònics entre mi i el gerent Jansen de l'1 de gener al 31 de març de 2024".
- Esmentar where es troba: "Sistema de recursos humans i tiquets d'assistència".
- Indiqueu el vostre format preferit (CSV, PDF) i canal segur.
- Marca la urgència quan sigui pertinent ("properament") revisió del rendiment el 15 d'octubre").
Un cop arribin les dades, busqueu errors o llacunes i envieu immediatament una sol·licitud de rectificació o esborrat: seguir el mateix rastre de proves manté l'impuls.
Estratègia d'escalada si s'ignora
Dia 31 i encara silenci per ràdio? Mantingueu-ho educat però ferm:
Subject: Reminder – Article 15 GDPR/AVG request overdue
Dear [Controller],
On [date] I requested access to my personal data. The one-month term has passed without a response.
Please provide the information within seven days or explain the lawful basis for any refusal.
Failing that, I will file a complaint with the Autoriteit Persoonsgegevens and consider civil action.
Regards,
[Name]
Documenta cada pas (dates, correus electrònics, registres telefònics). Si la setmana addicional s'acaba, presenta una queixa en línia a l'AP i adjunta el teu conjunt de proves; els tribunals i els reguladors afavoreixen els demandants ben organitzats.
Conclusió del vostre dret d'accés
L'article 15 del RGPD/AVG posa les persones al capdavant: podeu preguntar, veure i qüestionar què fa una organització amb les vostres dades. Per als responsables del tractament, els procediments clars, els registres ordenats i les redaccions sensates no són opcionals: són l'única manera de complir el termini d'un mes i esquivar les crítiques de l'Autoritat de Control de Persones.
Recordeu el manual bàsic:
- la sol·licitud pot ser informal,
- la resposta ha de ser lliure, oportuna i completa,
- els límits són estrets i s'han de justificar,
- La revelació parcial és millor que la negativa general.
Seguiu aquestes normes i el dret d'accés esdevindrà una tasca de compliment rutinària en lloc d'un maldecap judicial.
Necessiteu una plantilla SAR a mida, ajuda per desentranyar dades de tercers o una estratègia per a un controlador tossut? Els advocats de privadesa de Law & More esteu preparats per intervenir, tant si sou un subjecte de dades que busca respostes com una empresa que busca certesa.
