Dret d'accés en virtut del RGPD: l'abast de l'article 15 de l'AVG

El dret d'accés de l'article 15 del Reglament general de protecció de dades, conegut als Països Baixos com a Algemene Verordening Gegevensbescherming (AVG), permet a qualsevol persona preguntar a una organització si processa dades personals sobre ella, rebre una còpia d'aquestes dades i ser informada de les finalitats, els destinataris, el període de conservació i la font. El responsable del tractament ha de respondre en el termini d'un mes, de manera gratuïta, i només pot limitar l'accés quan sigui necessari per protegir els drets i les llibertats dels altres. Als Països Baixos, es pot presentar una denegació al tribunal de districte mitjançant una petició en el termini de sis setmanes en virtut de l'article 35 de la Llei d'implementació del RGPD (Uitvoeringswet AVG).

L'AVG no és una llei neerlandesa independent: és el nom neerlandès del Reglament en si, que s'aplica directament. El que afegeix la legislació neerlandesa és l'Uitvoeringswet AVG, que completa les opcions que el Reglament deixava als estats membres i estableix com s'exerceix aquest dret davant l'Autoriteit Persoonsgegevens i els tribunals. Aquest article tracta de l'abast de l'article 15, els seus límits i el procediment que segueix a una denegació.

Què et proporciona realment l'article 15

L'article 15(1) conté dos drets que sovint es confonen. El primer és la confirmació: una resposta afirmativa o negativa a la pregunta de si s'estan processant dades personals que us concerneixen. El segon, que només sorgeix si la resposta és afirmativa, és l'accés a aquestes dades juntament amb vuit elements d'informació suplementària. L'article 15(3) afegeix l'obligació de proporcionar-ne una còpia.

L'article 15(2) afegeix que quan es transfereixen dades personals a un tercer país o a una organització internacional, teniu dret a ser informats de les garanties adequades en què es basa aquesta transferència. Junts, aquests elements són la raó per la qual un abocament de dades simple no compleix la normativa: la còpia sense el context no compleix l'article 15.

Les dades personals són una categoria àmplia i els responsables del tractament les defineixen sovint de manera massa restringida. Abasta molt més que un nom i una adreça: perfils de comportament, avaluacions i opinions enregistrades sobre tu, imatges de càmeres, enregistraments de trucades, identificadors de dispositius, marques de temps d'inici de sessió, adreces IP i inferències extretes sobre tu, totes elles qualifiquen tan bon punt es puguin vincular, directament o indirectament, a tu com a persona identificable. La definició del RGPD és deliberadament àmplia i la càrrega d'explicar per què alguna cosa queda fora d'aquesta categoria recau en el responsable del tractament.

Qui pot preguntar i qui ha de respondre

El dret pertany a l'interessat: una persona física viva identificada o identificable. L'edat, la nacionalitat i la residència són irrellevants. Un pare o tutor legal pot actuar en nom d'un menor, i un representant designat pel tribunal pot actuar en nom d'un adult que no tingui capacitat. Qualsevol altra persona necessita una autorització escrita, i un responsable del tractament té dret a verificar-la. El dret no sobreviu a la mort, perquè el Reglament no s'aplica a les dades de les persones difuntes, tot i que les normes neerlandeses sobre secret professional i sobre accés a l'historial mèdic d'un pacient difunt encara poden donar una via als familiars.

La sol·licitud es dirigeix ​​al responsable del tractament: la part que determina les finalitats i els mitjans del tractament. Una agència de nòmines, una empresa d'allotjament o un proveïdor de programari que actua seguint instruccions és un encarregat del tractament i ha de transmetre la sol·licitud en lloc de respondre-hi. Quan dues organitzacions determinen conjuntament les finalitats i els mitjans, l'article 26 les converteix en responsables conjunts del tractament; han d'acordar entre elles qui gestiona les sol·licituds d'accés i posa a disposició l'essència d'aquest acord, però l'interessat pot exercir el dret contra qualsevol d'elles.

La geografia rarament és un obstacle. El Reglament s'aplica als responsables establerts a la UE, i també als responsables fora d'aquesta que ofereixen béns o serveis a persones de la UE o controlen el seu comportament. Per tant, un resident neerlandès pot adreçar una sol·licitud a una plataforma estrangera, i el termini d'un mes comença a començar quan aquest responsable la rep.

En el context laboral, la sol·licitud la fa l'empleat personalment, i és un dret més que no pas un favor. Els empresaris haurien d'esperar que les sol·licituds d'accés es produeixin al voltant de debats sobre acomiadaments i disputes sobre el rendiment, i no haurien de tractar el moment com una raó per respondre de manera diferent.

Què significa una còpia

El Tribunal de Justícia va resoldre aquest punt en l'assumpte C-487/21 de 4 de maig de 2023. Una còpia en virtut de l'article 15(3) ha de ser una reproducció fidel i intel·ligible de totes les dades personals que es tracten. Un resum, una taula de categories o una descripció general del que té l'organització no satisfan l'obligació.

La mateixa sentència va respondre a la qüestió més difícil de si s'han de lliurar documents complets. En principi, l'obligació es refereix a les dades, no a l'expedient en què es troben. Però el Tribunal va sostenir que s'han de proporcionar extractes de documents, documents complets o extractes de bases de dades quan això sigui indispensable per permetre que l'interessat comprengui les dades i exerceixi els seus drets de manera efectiva. El context pot formar part del significat: una avaluació només té sentit en el document que l'emmarca, i un camp buit pot ser en si mateix informatiu. Per tant, la prova pràctica per a un responsable del tractament no és si és convenient publicar un document, sinó si les dades continuen sent intel·ligibles sense ell.

Una segona sentència, l'assumpte C-307/22 de 26 d'octubre de 2023, va eliminar dos arguments en què es basaven els responsables del tractament. L'interessat no ha d'indicar un motiu per a la sol·licitud, i un motiu no relacionat amb la protecció de dades, com ara la preparació d'una reclamació, no fa que la sol·licitud sigui abusiva. I la primera còpia ha de ser gratuïta, fins i tot quan la legislació nacional permetria un cost per la producció de registres.

L'escriptura continua sent legítima quan un document també conté dades personals d'altres persones. Una acta de reunió que registra diversos empleats es pot publicar amb els passatges relatius als companys eliminats o neutralitzats, sempre que el que quedi encara sigui comprensible. Un document que només us afecta a vosaltres, com ara el vostre contracte i els termes i condicions generals que se us apliquen, no es presta en absolut a l'escriptura.

Terminis, format i cost

L'article 12(3) atorga al responsable del tractament un mes a partir de la recepció de la sol·licitud. Aquest termini es pot prorrogar fins a dos mesos més quan la sol·licitud sigui complexa o quan el responsable hagi rebut diverses sol·licituds, però la pròrroga i els motius d'aquesta s'han de comunicar durant el primer mes. El silenci no és una pròrroga. Si el responsable no actua sobre la sol·licitud, l'article 12(4) exigeix ​​que ho comuniqui en el termini d'un mes i que informi l'interessat del dret a presentar una reclamació davant d'una autoritat de control i a interposar un recurs judicial.

No hi ha cap formulari prescrit. Una sol·licitud per correu electrònic , per carta, a través d'un formulari web o feta oralment és igualment vàlida, i un responsable del tractament no pot exigir la seva pròpia plantilla com a condició. Quan la sol·licitud es fa electrònicament, la informació s'ha de proporcionar en un formulari electrònic d'ús comú, tret que l'interessat sol·liciti el contrari.

L'accés és gratuït. L'article 15(3) permet una tarifa raonable basada en els costos administratius només per a còpies posteriors de les mateixes dades, i l'article 12(5) permet una tarifa raonable o una denegació quan una sol·licitud és manifestament infundada o excessiva, en particular pel seu caràcter repetitiu. El responsable del tractament té la càrrega de demostrar aquest caràcter, i després de la jurisprudència del 2023 el llindar és alt: la repetició per si sola, sense més, no és suficient.

La verificació d'identitat està permesa però limitada. L'article 12(6) permet al responsable del tractament sol·licitar informació addicional quan tingui dubtes raonables sobre la identitat del sol·licitant, i no més. Quan la sol·licitud prové d'un compte conegut, normalment és suficient comparar-la amb les dades del compte existent. Quan un document d'identitat sigui realment necessari, el número de servei al ciutadà, la fotografia i la zona llegible per màquina s'han de tapar, i qualsevol còpia s'ha de conservar només durant el temps que requereixi la comprovació. Exigir un escaneig complet del passaport com a estàndard és en si mateix una infracció, i els documents d'identitat que contenen dades biomètriques tornen a patir normes més estrictes.

La transmissió ha de ser segura. Enviar un fitxer desprotegit que conté un registre personal complet a una adreça de correu electrònic privada és una violació de dades a punt de produir-se; utilitzeu un fitxer protegit amb la clau compartida per separat o un portal amb autenticació de dos factors.

Quan l'accés pot ser limitat o denegat

L'article 15 no és absolut. L'article 15(4) estableix que el dret a obtenir una còpia no ha d'afectar negativament els drets i les llibertats dels altres, i el considerant 63 anomena els secrets comercials i la propietat intel·lectual, inclosos els drets d'autor del programari, com a interessos que es poden ponderar. La limitació és estreta en dos aspectes: s'aplica a la còpia en lloc del dret subjacent a la informació, i no pot resultar en una denegació general. Quan existeixi un conflicte, el responsable del tractament ha de buscar la via menys restrictiva, que normalment és la divulgació parcial amb redacció.

Dades de tercers

La correspondència, les notes de reunió i els expedients de queixes solen contenir dades personals de més d'una persona. El responsable del tractament ha d'equilibrar els interessos, no simplement ocultar-los. A la pràctica, això significa eliminar els noms i les dades de contacte de tercers, substituir una identitat per una descripció neutra quan la identitat en si mateixa no és el punt clau, o proporcionar un extracte en lloc de tota la cadena. El que el responsable del tractament no pot fer és rebutjar tot el document perquè hi apareix un tercer.

Informació confidencial i privilegi professional

Els secrets comercials, els models de preus i el codi font es poden protegir, però la resposta és la calibració en lloc del silenci. Quan es tracta d'una decisió automatitzada, el responsable del tractament ha de proporcionar informació significativa sobre la lògica aplicada i les conseqüències per a l'interessat, cosa que no és el mateix que divulgar l'algoritme. Per separat, la informació coberta pel secret professional dels advocats està protegida, i la interacció entre els deures de divulgació i el secret professional és un problema recurrent per als assessors, que tractem al nostre article sobre les obligacions d'informació i el secret professional.

Restriccions en la legislació neerlandesa

La Llei de protecció de dades dels interessats (Uitvoeringswet AVG) conté diverses restriccions sobre els drets dels interessats adoptades en virtut de l'article 23 del Reglament, amb finalitats com la prevenció i investigació d'infraccions penals, la supervisió per part d'organismes públics i la protecció de l'interessat o dels drets d'altres persones. Un responsable del tractament que es basi en una d'aquestes restriccions ha d'identificar-la, aplicar-la a la sol·licitud específica i poder justificar-la. Una declaració general que la divulgació no és en interès de ningú no és una restricció.

Els historials mèdics segueixen una via parcialment separada. Juntament amb l'article 15, les disposicions de l'acord de tractament del Codi Civil neerlandès donen al pacient el dret d'inspeccionar i obtenir una còpia del seu expedient, i les dues vies coexisteixen en lloc de competir.

Gestionar una sol·licitud com a controlador

La majoria dels errors són organitzatius més que legals. Una sol·licitud que arriba a una safata d'entrada de vendes, a una sucursal o en una trucada telefònica encara fa engegar el rellotge, de manera que el primer requisit és que el personal en reconegui una i la redirigi. El segon és que l'organització sàpiga on es troben realment les dades personals: el registre d'activitats de tractament que exigeix ​​l'article 30 és la base pràctica per localitzar-les, i un responsable del tractament que no pot cercar en els seus propis sistemes no complirà el termini independentment de les bones intencions.

A partir d'aquí, el procés és mecànic. Acusar recepció i registrar la data. Verificar la identitat proporcionalment. Definir l'abast amb el sol·licitant quan la sol·licitud sigui molt àmplia, sense utilitzar aquesta conversa com a tàctica dilatòria. Cercar els sistemes, incloent-hi les bústies arxivades i les eines de tiquets. Redactar les dades de tercers sota una segona mirada. Enviar la còpia juntament amb la informació de l'article 15(1), per escrit, i mantenir un registre del que es va revelar i del que es va retenir amb els motius. Aquest fitxer és el que demanarà l'Autoritat de Responsabilitat Social si es presenta una queixa.

Dos hàbits redueixen el volum de treball de manera permanent: fer complir els períodes de retenció, perquè les dades suprimides legalment no s'han de divulgar mai, i escriure notes internes partint de la suposició que la persona afectada les pot llegir.

Què cal fer si el controlador no respon

Comenceu amb un recordatori datat que identifiqui la sol·licitud original, indiqui la data d'enviament i indiqui que el període de l'article 12(3) ha expirat. Un termini curt d'una o dues setmanes és raonable. Una proporció important de sol·licituds es responen en aquesta fase, i el recordatori també crea el rastre de paper que necessitareu més endavant.

Si això falla, hi ha dues vies obertes i es poden utilitzar en paral·lel. La primera és una queixa a l'Autoriteit Persoonsgegevens en virtut de l'article 77. L'autoritat de control pot investigar, ordenar al responsable que compleixi, imposar una ordre subjecta a una multa i, en casos greus, una multa administrativa. El que no fa és atorgar-te res personalment, i el termini és el d'un regulador més que no pas el d'una disputa.

La segona via és la via judicial, i als Països Baixos és inusualment accessible. L'article 35 de la Uitvoeringswet AVG permet a una part interessada sol·licitar al tribunal de districte mitjançant una petició una ordre que el responsable concedeixi o denegui la sol·licitud. Tres característiques d'aquesta disposició importen a la pràctica. La petició s'ha de presentar en un termini de sis setmanes a partir de la recepció de la resposta del responsable. Quan el responsable no respon dins dels terminis de l'article 12(3), no s'aplica cap límit de termini. I l'article 35(4) estableix expressament que la petició no ha de ser presentada per un advocat, cosa que fa que el procediment estigui disponible per a les persones sense representació, tot i que el substància normalment es necessita assessorament.

Els casos urgents també es poden presentar en procediments sumaris, i una reclamació d'indemnització en virtut de l'article 82 es pot adjuntar a una reclamació substantiva. Pel que fa als danys i perjudicis, sigueu realistes: el Tribunal de Justícia ha dictaminat que una infracció no crea per si mateixa un dret a una indemnització, i que la persona que reclama ha de demostrar un dany real, tot i que els danys no materials poden qualificar-se i no hi ha un llindar mínim de gravetat. Les indemnitzacions en els casos d'accés són modestes, i el valor del procediment rau en l'obtenció de les dades. La nostra visió general de com es preparen els procediments davant d'un tribunal neerlandès estableix què cal esperar.

Fer una sol·licitud que funcioni

Una sol·licitud no ha de ser elaborada, però una de ben abastada es respon més ràpidament i és molt més difícil d'ajornar. Digueu qui sou i en quina capacitat us coneix l'organització, citant un número de client o de personal. Consulteu l'article 15 explícitament, de manera que no hi hagi cap discussió posterior sobre el que heu demanat. Quan us interessi un problema definit, indiqueu el període i els sistemes: correspondència amb un departament concret entre dues dates o entrades en una aplicació específica. Demaneu expressament la informació complementària de l'article 15(1), no només les dades. I indiqueu com voleu rebre-la.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Guarda l'element enviat, anota la data i anota la data límit. Quan arribi la resposta, compara-la amb els vuit elements de l'article 15(1) en comptes de mirar només els fitxers adjunts; la informació complementària incompleta és el defecte més comú i el més fàcil de impugnar. Si les dades resulten ser inexactes o excessives, el següent pas natural és una sol·licitud de rectificació o supressió, basada en les mateixes proves.

El dret d'accés és senzill en principi i d'aplicació tècnica, per a ambdues parts de la sol·licitud. Law & More assessora a persones que no reben respostes, inclosos empleats i exempleats que s'enfronten a un expedient de personal, i organitzacions que necessiten un procés defensable per gestionar sol·licituds, redacció i denegacions. Explica'ns la teva situacióUs informarem de les vostres opcions en el termini d'un dia laborable.

Com Law & More us pot ajudar amb això s'explica al nostre advocat informàtic