Rett til innsyn i henhold til GDPR: hva du får og hvordan du håndhever den

I henhold til artikkel 15 i personvernforordningen (GDPR, på nederlandsk Algemene Verordening Gegevensbescherming eller AVG) kan du spørre enhver organisasjon om den behandler personopplysninger om deg, og i så fall motta en kopi samt informasjon om formål, mottakere, oppbevaringsperiode og kilde. Organisasjonen må svare innen én måned og kostnadsfritt; den kan bare begrense kopien der det er nødvendig for å beskytte andres rettigheter, for eksempel tredjeparters eller forretningshemmeligheters.

Hvis et selskap nekter eller ikke svarer, kan du be tingretten (rechtbank) om en kjennelse i henhold til artikkel 35 i implementeringsloven for GDPR (Uitvoeringswet AVG, UAVG). Du må gjøre dette innen seks uker etter svaret; hvis det ikke kom noe svar i det hele tatt, gjelder ingen frist. Mot et offentlig organ er muligheten til å protestere (bezwaar) i henhold til den generelle forvaltningsrettsloven (Awb).

Hva gir artikkel 15 deg?

Artikkel 15 gir deg to ting: bekreftelse på om dataene dine behandles, og i så fall tilgang til disse dataene med åtte elementer med støttende informasjon. Artikkel 15(3) legger til retten til en kopi.

I henhold til artikkel 15(2) må du også få beskjed om hvilke sikkerhetstiltak som gjelder når dataene dine overføres utenfor EØS. En ren datadump uten denne konteksten oppfyller derfor ikke artikkel 15.

Personopplysninger er en bred kategori. I henhold til GDPR omfatter det vurderinger og meninger som er registrert om deg, kamerabilder, samtaleopptak, IP-adresser, innloggingstider og slutninger trukket om deg, så snart de kan kobles til deg. Den behandlingsansvarlige må forklare hvorfor noe skulle falle utenfor den.

Hvem kan spørre, og hvem må svare?

Retten tilhører den registrerte: en levende, identifiserbar person, uavhengig av alder, nasjonalitet eller bosted. En forelder eller verge kan opptre for en mindreårig; alle andre trenger en skriftlig fullmakt, som den behandlingsansvarlige kan kontrollere.

GDPR gjelder ikke for data om avdøde personer. Pårørende kan fortsatt ha en rettighet i henhold til nederlandske regler, for eksempel om tilgang til en avdød pasients medisinske journal.

Forespørselen går til den behandlingsansvarlige (verwerkingsverantwoordelijke): den parten som bestemmer hvorfor og hvordan data behandles. Et lønnsbyrå, et hostingselskap eller en programvareleverandør som jobber etter instruksjoner er en databehandler og må videreformidle forespørselen. Der to organisasjoner er felles behandlingsansvarlige i henhold til artikkel 26 i GDPR, kan du rette henvendelsen til en av dem.

GDPR gjelder også for behandlingsansvarlige utenfor EU som tilbyr varer eller tjenester til personer i EU eller overvåker deres atferd. Du kan derfor sende en forespørsel til en utenlandsk plattform; énmånedersperioden starter når den mottar forespørselen.

Ansatte kan bruke retten mot arbeidsgiveren sin , for eksempel for å få tilgang til personalmappen deres under en oppsigelse eller arbeidskonflikt. Tidspunktet for forespørselen er ingen grunn til å svare annerledes.

Hva betyr «en kopi»?

En kopi må være en troverdig og forståelig gjengivelse av alle personopplysninger som behandles. EU-domstolen har avgjort at et sammendrag eller en liste over kategorier ikke er nok.

Forpliktelsen gjelder dataene, ikke dokumentene de finnes i. Ifølge EU-domstolen må utdrag fra dokumenter, hele dokumenter eller databaseutdrag fortsatt fremlegges der det er nødvendig for at du skal forstå dataene og utøve dine rettigheter. En vurdering gir for eksempel ofte bare mening innenfor rapporten som den er innrammet i.

EU-domstolen har også avgjort at du ikke trenger å oppgi en begrunnelse for forespørselen din. Et motiv som ikke er relatert til databeskyttelse, for eksempel å forberede et krav mot den behandlingsansvarlige, gjør ikke forespørselen til misbruk, og den første kopien må være gratis.

Sletting er tillatt der et dokument også inneholder andres data. Et møtenotat om flere ansatte kan publiseres uten avsnitt om kolleger, så lenge resten fortsatt er forståelig. Et dokument som bare gjelder deg, for eksempel din kontrakt og de generelle vilkårene som gjelder for deg, kan ikke slettes.

Hvilke frister, format og kostnader gjelder?

Den behandlingsansvarlige må svare innen én måned etter mottakelsen (artikkel 12(3) i GDPR). Den behandlingsansvarlige kan forlenge dette med inntil to måneder ytterligere for komplekse eller mange forespørsler, men må gi deg beskjed om dette, med begrunnelse, innen den første måneden.

Dersom den behandlingsansvarlige bestemmer seg for ikke å handle, krever artikkel 12(4) at den skal varsle deg innen én måned, med begrunnelsen og din rett til å klage til den nederlandske databeskyttelsesmyndigheten (Autoriteit Persoonsgegevens, AP) og til å gå til retten. Taushet er ikke en forlengelse.

Det er ikke noe obligatorisk skjema. En forespørsel via e-post , brev, nettskjema eller muntlig er gyldig, og den behandlingsansvarlige kan ikke kreve sin egen mal. En elektronisk forespørsel besvares elektronisk med mindre du ber om noe annet.

Tilgang er gratis. Et rimelig gebyr er bare tillatt for ytterligere kopier (artikkel 15(3)), eller der en forespørsel er åpenbart grunnløs eller overdreven, særlig fordi den er gjentakende (artikkel 12(5)). Den behandlingsansvarlige må bevise dette, og gjentakelse alene er vanligvis ikke nok.

I henhold til artikkel 12(6) kan den behandlingsansvarlige bare be om ytterligere informasjon dersom den har rimelig tvil om identiteten din. Hvis et ID-dokument virkelig er nødvendig, kan du stryke over borgerservicenummeret (BSN) og bildet. Å kreve en fullstendig passskanning som standard er i seg selv et brudd; biometriske data er underlagt strengere regler.

Kopien må sendes sikkert, for eksempel som en beskyttet fil med passordet sendt separat, eller via en portal med tofaktorautentisering. Å sende en hel personalmappe ubeskyttet til en privat e-postadresse risikerer et datainnbrudd som må vurderes i henhold til artikkel 33 i GDPR.

Når kan tilgang begrenses eller nektes?

I henhold til artikkel 15(4) i GDPR må ikke kopien skade andres rettigheter og friheter. Dette tillater delvis redigering, men aldri en generell avvisning.

I betraktning 63 i GDPR nevnes forretningshemmeligheter og immaterielle rettigheter, inkludert opphavsrett til programvare, som interesser som kan vektes. Grensen gjelder kopien, ikke din rett til informasjonen i artikkel 15(1). Den behandlingsansvarlige må velge den minst restriktive løsningen, som vanligvis er utlevering med skjæring.

Tredjepartsdata

E-poster, møtenotater og klagefiler inneholder ofte data om flere personer. Den behandlingsansvarlige kan fjerne navn og kontaktinformasjon til tredjeparter eller gi et utdrag, men kan ikke holde tilbake et helt dokument fordi en tredjepart er nevnt i det.

Forretningshemmeligheter og juridisk privilegium

Prismodeller og kildekode kan beskyttes, men du har fortsatt krav på meningsfull informasjon om logikken bak enhver automatisert beslutning i henhold til artikkel 15(1)(h). Kommunikasjon som omfattes av taushetsplikt for advokater er beskyttet; se artikkelen vår om rapporteringsplikt og taushetsplikt.

Restriksjoner i nederlandsk lov

Artikkel 41 i UAVG gir en behandlingsansvarlig rett til å sette til side den registrertes rettigheter der det er nødvendig og forholdsmessig, for eksempel av hensyn til nasjonal sikkerhet, etterforskning og rettsforfølgelse av straffbare handlinger, domstolenes uavhengighet eller beskyttelse av den registrerte eller andre. Den behandlingsansvarlige må angi grunnlaget og anvende det på din spesifikke forespørsel; en generell uttalelse er ikke nok.

Medisinske filer følger et parallelt spor. I henhold til artikkel 7:456 i den nederlandske borgerloven (BW) må en helsepersonell gi deg tilgang til og en kopi av filen din, med mindre dette er nødvendig for å beskytte en annen persons personvern. Du kan bruke begge ruter.

Hva kan du gjøre hvis kontrolleren ikke svarer?

Send først en datert purring, og gå deretter til Autoriteit Persoonsgegevens eller retten. Begge rutene kan kjøre samtidig.

I påminnelsen, referer til den opprinnelige forespørselen og datoen for den, oppgi at énmånedsperioden i artikkel 12(3) er utløpt, og sett en kort frist på én eller to uker. Mange forespørsler blir besvart på dette stadiet, og påminnelsen bygger opp papirsporet ditt.

I henhold til artikkel 77 i GDPR kan du sende inn en klage til Autoriteit Persoonsgegevens. AP kan undersøke, pålegge overholdelse, ilegge et pålegg med straff eller bot. De tilkjenner ikke erstatning, og behandlingen av en klage kan ta måneder.

Hvordan fungerer rettsprosessen?

Mot et selskap eller en annen privat part sender du inn en begjæring (verzoekschrift) til tingretten i henhold til artikkel 35 i UAVG. Retten kan pålegge den behandlingsansvarlige å innvilge begjæringen.

• Frist: seks uker etter at du mottok svaret fra den behandlingsansvarlige (artikkel 35(2) i UAVG).
• Ikke svar innen fristene i artikkel 12(3): ingen frist gjelder.
• Du trenger ikke advokat for å sende inn begjæringen (artikkel 35(4) i UAVG).
• Retten kan pålegge partene å fremlegge skriftlig informasjon og dokumenter (artikkel 35(6) i UAVG).

Mot et offentlig organ (bestuursorgaan) teller avgjørelsen på forespørselen din som et avgjørelse (besluit) i henhold til Awb (artikkel 34 UAVG). Du sender deretter inn en innsigelse (bezwaar) innen seks uker (artikkel 6:7 Awb), etterfulgt av en anke til forvaltningsdomstolen.

I hastesaker kan du starte summarisk prosess (kort geding). Et krav om erstatning i henhold til artikkel 82 i GDPR kan legges til, men EU-domstolen krever at du beviser faktisk skade; et brudd alene er ikke nok. Tildelinger i innsynssaker er beskjedne. Vår oversikt over hvordan saksbehandling for en nederlandsk domstol forberedes, forklarer hva du kan forvente.

Hva bør du sjekke som registrert?

En tydelig og velformulert forespørsel besvares raskere og er vanskeligere å utsette. Sjekk disse punktene før og etter at du sender den:

• Du viser eksplisitt til artikkel 15 i GDPR og ber om både kopien og informasjonen i artikkel 15(1)(a)–(h).
• Du identifiserer deg med kunde- eller personalnummeret ditt, og navngir perioden, avdelingene eller systemene du er interessert i.
• Du beholder den sendte forespørselen, noterer deg mottaksdatoen og journalfører fristen på én måned.
• Du sjekker svaret mot alle åtte punktene i artikkel 15(1), ikke bare vedleggene.
• Hvis du mottar et skriftlig avslag fra et selskap, merker du deg seks ukers frist for å sende inn begjæringen til retten.
• Hvis det viser seg at dataene er feil eller overdrevne, følger du opp med en forespørsel om retting (artikkel 16) eller sletting (artikkel 17).

Hva bør du sjekke som kontrollør?

De fleste feil er organisatoriske: en forespørsel sendt til en salgsinnboks eller gjort via telefon starter fortsatt en måneds periode. Sjekk disse punktene:

• De ansatte gjenkjenner en innsynsforespørsel i enhver form og videresender den samme dag til én ansvarlig person.
• Din oversikt over behandlingsaktiviteter (artikkel 30 i GDPR) viser hvor personopplysninger er lagret, inkludert arkiverte postkasser og verktøy for saksbehandling.
• Du bekrefter identitet proporsjonalt og krever aldri en fullstendig passkopi som standard.
• Tredjepartsdata redigeres med en andre sjekk, og hver redigering eller avslag registreres med sitt juridiske grunnlag.
• Du sender kopien med informasjonen i henhold til artikkel 15(1) innen én måned, eller varsler om forlengelse med begrunnelse innen den måneden.
• Du håndhever oppbevaringsperioder: data som er lovlig slettet trenger ikke lenger å utleveres.

Hva kan vi gjøre for deg med en GDPR-forespørsel om tilgang.

Som en del av vår IT- advokatpraksis opptrer vi for både enkeltpersoner og organisasjoner:

• Vi utarbeider innsynsforespørselen eller påminnelsen din, tilpasset dataene og perioden som er relevante for din sak.
• Vi sjekker den behandlingsansvarliges svar mot artikkel 15(1) og identifiserer hva som mangler.
• Vi forbereder og sender inn begjæringen til tingretten i henhold til artikkel 35 i UAVG innen fristen på seks uker, eller innsigelsen mot et offentlig organ.
• Vi utarbeider klagen til Autoriteit Persoonsgegevens.
• For organisasjoner: Vi oppretter en prosedyre for håndtering av forespørsler og gjennomgår strykinger og avslag før de sendes ut.

Sammendrag

• Artikkel 15 i GDPR gir deg bekreftelse, en gratis kopi av dine personopplysninger og åtte elementer med støtteinformasjon.
• Den behandlingsansvarlige må svare innen én måned; en forlengelse på inntil to måneder må kunngjøres innen den første måneden.
• Tilgang kan begrenses for å beskytte andre, vanligvis ved redigering, aldri ved en generell avslag.
• Mot et selskap kan du begjære tingretten i henhold til artikkel 35 i UAVG innen seks uker etter svaret, uten advokat; uten svar gjelder ingen frist.
• Mot et offentlig organ kan du sende inn en innsigelse innen seks uker i henhold til Awb.

Ofte stilte spørsmål