Știai că ai dreptul să afli ce date cu caracter personal sunt prelucrate despre tine, în ce scop sunt utilizate, de unde au fost obținute și cui au fost transmise? Acest drept, cunoscut drept dreptul de acces, este prevăzut de art. 15 din Regulamentul (UE) 2016/679 („GDPR”).
Cum se formulează o cerere de acces la datele personale? Ce informații poate solicita persoana vizată? Poate operatorul să ceară o copie a actului de identitate? În cât timp trebuie să răspundă și ce poate face persoana vizată dacă operatorul refuză cererea sau nu răspunde?
În cele ce urmează analizăm principalele reguli privind cererea de acces la datele personale, atât din perspectiva persoanei vizate, cât și din perspectiva operatorului.
1. Ce este dreptul de acces la datele personale?
Art. 15 GDPR conferă persoanei vizate dreptul de a obține de la operator confirmarea dacă datele sale cu caracter personal sunt sau nu prelucrate.
În cazul în care operatorul prelucrează date care privesc persoana vizată, aceasta are dreptul să obțină acces la datele respective și la o serie de informații referitoare la modul în care acestea sunt prelucrate.
Dreptul de acces este unul dintre principalele mecanisme prin care persoana vizată poate verifica dacă datele sale sunt prelucrate în mod legal și transparent.
Exercitarea dreptului de acces nu presupune, în principiu, ca persoana vizată să demonstreze existența unei încălcări a GDPR sau să justifice motivul pentru care dorește să afle ce date sunt prelucrate despre ea.
2. Ce informații poate solicita persoana vizată în baza art. 15 GDPR?
În temeiul dreptului de acces, persoana vizată poate solicita confirmarea existenței prelucrării și, dacă datele sunt prelucrate, poate solicita informații precum:
- scopurile prelucrării;
- categoriile de date cu caracter personal prelucrate;
- destinatarii sau categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele;
- perioada pentru care datele vor fi stocate sau, dacă aceasta nu poate fi stabilită, criteriile utilizate pentru determinarea acesteia;
- informații privind dreptul de a solicita rectificarea sau ștergerea datelor, restricționarea prelucrării ori dreptul de a se opune prelucrării;
- informații privind dreptul de a depune o plângere la o autoritate de supraveghere;
- atunci când datele nu sunt colectate direct de la persoana vizată, orice informații disponibile privind sursa acestora;
- existența unui proces decizional automatizat, inclusiv crearea de profiluri, dacă este cazul, precum și informații relevante cu privire la logica utilizată și consecințele preconizate;
- informații privind transferurile de date către țări terțe sau organizații internaționale, dacă este cazul.
3. Poate persoana vizată să solicite o copie a datelor personale?
Da. Art. 15 alin. (3) GDPR prevede dreptul persoanei vizate de a obține o copie a datelor cu caracter personal care fac obiectul prelucrării.
Acest drept este important deoarece permite persoanei vizate să verifice concret ce informații despre aceasta sunt deținute și prelucrate de operator.
În cazul în care persoana vizată solicită copii suplimentare, operatorul poate percepe o taxă rezonabilă bazată pe costurile administrative.
Trebuie însă făcută o distincție între dreptul de a obține o copie a datelor cu caracter personal și dreptul de a primi, în orice situație, copii integrale ale tuturor documentelor în care apar aceste date.
4. Dreptul de acces înseamnă acces la toate documentele?
Nu în mod automat. Dreptul de acces vizează datele cu caracter personal ale persoanei vizate și informațiile prevăzute de art. 15 GDPR. Acest drept nu trebuie confundat cu un drept general de acces la toate documentele sau la toate informațiile deținute de operator.
În anumite situații, datele cu caracter personal pot apărea în documente care conțin și informații referitoare la alte persoane, secrete comerciale, informații confidențiale sau alte elemente protejate de lege.
Operatorul trebuie să țină seama de drepturile și libertățile altor persoane atunci când soluționează cererea de acces.
În funcție de circumstanțele concrete, acest lucru poate presupune, de exemplu, anonimizarea sau eliminarea anumitor informații înainte de transmiterea unei copii.
Prin urmare, faptul că numele unei persoane apare într-un document nu înseamnă automat că aceasta are dreptul să primească documentul integral.
5. Poate operatorul să solicite o copie a actului de identitate?
Operatorul poate solicita informații suplimentare pentru verificarea identității persoanei vizate atunci când există îndoieli rezonabile cu privire la identitatea acesteia.
Această verificare trebuie însă să fie proporțională cu riscul și cu natura solicitării.
Prin urmare, solicitarea unei copii a actului de identitate nu ar trebui tratată ca o formalitate obligatorie în absolut toate situațiile. Dimpotrivă, în funcție de context, identitatea ar putea fi verificată și prin alte mijloace.
GDPR urmărește, pe de o parte, să împiedice divulgarea datelor către o persoană neautorizată și, pe de altă parte, să evite colectarea unor date suplimentare care nu sunt necesare pentru soluționarea cererii.
6. În cât timp trebuie să răspundă operatorul?
Aceasta este una dintre cele mai importante reguli ale procedurii.
Potrivit art. 12 alin. (3) GDPR, operatorul trebuie să comunice persoanei vizate informații privind măsurile luate în urma cererii fără întârzieri nejustificate și, în orice caz, în cel mult o lună de la primirea cererii.
În cazul în care cererea este complexă sau există un număr mare de cereri, termenul poate fi prelungit cu maximum două luni.
Operatorul trebuie însă să informeze persoana vizată despre prelungire în termen de o lună de la primirea cererii și să prezinte motivele întârzierii.
Este important de subliniat că prelungirea nu este automată. Operatorul trebuie să aibă în vedere complexitatea și numărul cererilor și să informeze persoana vizată în termenul inițial.
7. Este gratuită cererea de acces?
În principiu, da, exercitarea dreptului de acces este gratuită.
Există însă situații în care operatorul poate percepe o taxă rezonabilă sau poate refuza să dea curs cererii, atunci când poate demonstra că aceasta este vădit nefondată sau excesivă, în special din cauza caracterului repetitiv.
De asemenea, în cazul solicitării unor copii suplimentare ale datelor, operatorul poate percepe o taxă rezonabilă, raportată la costurile administrative.
Faptul că o persoană formulează mai multe solicitări nu înseamnă, prin el însuși, că acestea sunt excesive sau abuzive. Caracterul vădit nefondat sau excesiv trebuie analizat în concret.
8. Ce trebuie să facă operatorul dacă refuză cererea de acces?
Operatorul nu poate ignora o cerere de acces.
În cazul în care nu dă curs solicitării, operatorul trebuie să informeze persoana vizată, în termenul aplicabil, cu privire la motivele pentru care nu ia măsurile solicitate.
De asemenea, persoana vizată trebuie informată cu privire la posibilitatea de a depune o plângere la autoritatea de supraveghere și de a se adresa instanței.
Prin urmare, un răspuns prin care operatorul se limitează să comunice că „cererea nu poate fi soluționată” fără o justificare adecvată poate ridica probleme din perspectiva obligațiilor prevăzute de GDPR.
9. Ce poate face persoana vizată dacă operatorul nu răspunde?
Dacă operatorul nu răspunde în termenul legal sau răspunsul primit este incomplet ori nejustificat, persoana vizată poate analiza posibilitatea formulării unei plângeri către autoritatea de supraveghere competentă.
În funcție de situația concretă, persoana vizată poate avea și posibilitatea de a se adresa instanței.
Este recomandat să păstreze:
- cererea transmisă operatorului;
- dovada transmiterii;
- eventualele solicitări suplimentare de identificare;
- răspunsul primit;
- orice corespondență ulterioară.
Aceste documente pot fi importante pentru demonstrarea demersurilor efectuate și a datei la care cererea a fost transmisă.
10. Ce trebuie să știe operatorii despre cererile de acces?
Din perspectiva operatorului, gestionarea cererilor de acces nu ar trebui tratată ca o simplă activitate administrativă.
Operatorul trebuie să poată identifica rapid:
- data la care a fost primită cererea;
- identitatea solicitantului;
- dreptul exercitat;
- sistemele și bazele de date relevante;
- datele cu caracter personal care intră în sfera cererii;
- temeiurile juridice ale prelucrării;
- eventualele restricții sau excepții aplicabile;
- destinatarii datelor, după caz;
- perioada de stocare;
- informațiile care trebuie comunicate persoanei vizate.
De asemenea, operatorul trebuie să poată demonstra modul în care a soluționat cererea și respectarea termenelor prevăzute de GDPR.
O procedură internă clară este deosebit de importantă pentru operatorii care primesc în mod frecvent solicitări de acces.
Aveți nevoie de asistență pentru exercitarea drepturilor GDPR?
Formularea unei cereri GDPR poate părea simplă, însă situația devine mai complexă atunci când operatorul nu răspunde, solicită informații suplimentare nejustificate, refuză accesul la date sau invocă existența unei obligații de păstrare.
Cabinetul de avocat „Stan Elisabeta-Florina” oferă asistență juridică în materia protecției datelor cu caracter personal, inclusiv pentru formularea și transmiterea cererilor întemeiate pe GDPR, analizarea răspunsurilor operatorilor, formularea plângerilor către autoritatea de supraveghere și reprezentarea în litigii privind protecția datelor.
Informațiile prezentate în acest articol au caracter general și nu reprezintă consultanță juridică pentru o situație concretă.