Dreptul de acces prevăzut de Regulamentul general privind protecția datelor permite unei persoane să afle dacă o organizație îi prelucrează datele și să primească o copie a acestora. Datele personale sunt informații despre o persoană identificată sau identificabilă. Pot include numele, adresa, identificatorii unui cont, o adresă IP ori informații medicale asociate unei persoane. Cererea privește datele solicitantului, nu întreaga documentație a unei organizații.
Prelucrarea are un sens mai larg decât publicarea informațiilor. Include colectarea, înregistrarea, stocarea, consultarea, modificarea, transmiterea și ștergerea datelor. O companie care păstrează informațiile despre clienți poate desfășura astfel o prelucrare chiar dacă nu le afișează public. Dreptul de acces poate fi exercitat în raport cu această activitate, iar răspunsul trebuie să precizeze dacă există date care îl privesc pe solicitant.
Cui se adresează cererea și ce trebuie să conțină răspunsul
Organizația care stabilește scopul și modul prelucrării este operatorul de date. O firmă care prelucrează informațiile în numele său are rolul de persoană împuternicită. Această diferență explică de ce cererea de acces este tratată în cadrul responsabilității operatorului, chiar dacă unele informații sunt stocate ori gestionate tehnic de un furnizor. Responsabilul cu protecția datelor, atunci când există, poate constitui un punct de contact pentru persoanele vizate.
Potrivit explicațiilor Comisiei Europene, răspunsul are trei componente: confirmarea prelucrării, copia datelor personale și informațiile despre prelucrare. O simplă prezentare a politicii de confidențialitate nu furnizează singură copia datelor individuale. Confirmarea că există un cont sau o relație contractuală reprezintă, de asemenea, numai o parte a răspunsului. Informația generală despre serviciu și datele efectiv păstrate despre solicitant au funcții diferite în această procedură.
Informațiile însoțitoare privesc scopurile prelucrării, categoriile de date, destinatarii sau categoriile de destinatari și perioada de păstrare. Dacă durata nu poate fi indicată direct, sunt explicate criteriile folosite pentru stabilirea ei. Răspunsul include existența drepturilor de rectificare, ștergere, restricționare ori opoziție și posibilitatea unei plângeri la autoritatea de supraveghere. Aceste detalii permit persoanei să înțeleagă utilizarea informațiilor sale, dincolo de conținutul propriu-zis al copiei.
Când informațiile nu au fost obținute direct de la persoana vizată, dreptul de acces cuprinde și informațiile disponibile despre sursa lor. Pentru decizii automatizate, inclusiv crearea de profiluri, sunt prevăzute informații semnificative despre logica implicată și consecințele preconizate. Dacă datele sunt transferate în afara Uniunii Europene, persoana poate afla garanțiile corespunzătoare aplicate transferului. Nu toate organizațiile desfășoară însă fiecare dintre aceste activități.
Întinderea copiei și transmiterea ei
Rezumatul orientărilor Comitetului European pentru Protecția Datelor precizează că persoana poate cere toate datele sale sau numai o parte. Nu trebuie să explice de ce dorește accesul. Copia trebuie să fie completă, corectă și actuală în raport cu momentul cererii. Originea informațiilor și forma în care sunt păstrate nu justifică, prin ele însele, excluderea unor date personale din răspunsul oferit solicitantului.
Pentru o solicitare electronică, informațiile se furnizează într-un format electronic utilizat în mod obișnuit, dacă persoana nu cere altfel. Organizația trebuie să permită cereri electronice atunci când prelucrează datele prin asemenea mijloace. Formatul răspunsului trebuie să permită accesul la informații; alegerea unei forme de transmitere nu schimbă obligația de a răspunde cererii. Copia datelor și accesul temporar la o pagină cu informații nu sunt automat echivalente.
Orientările europene admit răspunsul prin poștă, prin mijloace electronice sau prin instrumente de autoservire, cu protejarea datelor la transmitere. Organizația trebuie să identifice informațiile care aparțin solicitantului și să se asigure că le comunică persoanei potrivite. Dacă există îndoieli rezonabile asupra identității, poate cere informații suplimentare pentru autentificare. Nu poate însă solicita mai multe date decât sunt necesare acestui scop și nici utiliza această verificare pentru alte finalități.
Termenul, costurile și drepturile altor persoane
Răspunsul se dă fără întârzieri nejustificate și cel târziu într-o lună de la primirea cererii. Pentru cereri complexe, termenul poate fi prelungit cu încă două luni, dar persoana trebuie informată despre prelungire în prima lună. Prelungirea nu operează ca termen obișnuit pentru fiecare solicitare. Regula se raportează la primirea cererii, nu la data la care solicitantul a început să folosească serviciul sau și-a creat contul.
Prima copie este gratuită. Pentru copii suplimentare, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. Separat, cererile vădit nefondate sau excesive pot justifica o taxă ori refuzul de a acționa. Organizația are sarcina de a demonstra caracterul nefondat sau excesiv. Repetarea unei solicitări trebuie examinată în context; existența unor cereri anterioare nu suprimă, prin ea însăși, toate drepturile persoanei asupra datelor sale.
Copia poate conține informații care privesc și alte persoane. Înaintea comunicării, operatorul trebuie să țină seama de drepturile și libertățile acestora, precum și de secretele comerciale și proprietatea intelectuală. Această examinare privește conținutul concret care urmează să fie transmis. Nu înseamnă că orice document cu mai multe nume poate fi respins integral, fără analizarea posibilității de protejare a informațiilor care aparțin altor persoane.
Comitetul European pentru Protecția Datelor explică faptul că protejarea drepturilor altora poate necesita eliminarea ori mascarea unor informații din copie. Restricția nu trebuie să ducă automat la refuzarea întregului acces. Este posibilă și exercitarea dreptului printr-un reprezentant, cu verificările corespunzătoare. Astfel, identitatea solicitantului, întinderea mandatului și protecția datelor din răspuns reprezintă elemente distincte ale soluționării cererii, fiecare legat de situația concretă.
Accesul și portabilitatea sunt drepturi distincte. Portabilitatea privește, în condițiile regulamentului, date prelucrate pe baza consimțământului sau a unui contract și presupune un format utilizat în mod obișnuit, care poate fi citit automat. Obținerea unei copii prin acces nu transformă orice informație într-un set care trebuie transferat automat către alt furnizor. Persoana poate folosi datele primite pentru a identifica inexactități și pentru a cere rectificarea lor.
Atunci când respinge o cerere, organizația trebuie să comunice motivele refuzului și să informeze persoana despre dreptul de a depune o plângere la autoritatea de protecție a datelor și de a solicita o cale de atac în instanță. Refuzul este astfel însoțit de o explicație procedurală, nu numai de o notificare că informațiile nu vor fi trimise. Documentele cererii și răspunsul primit descriu obiectul demersului ulterior.