Enligt artikel 15 i den allmänna dataskyddsförordningen (GDPR, på nederländska Algemene Verordening Gegevensbescherming eller AVG) kan du fråga vilken organisation som helst om den behandlar personuppgifter om dig, och i så fall få en kopia samt information om ändamål, mottagare, lagringsperiod och källa. Organisationen måste svara inom en månad och kostnadsfritt; den får endast begränsa kopian om det behövs för att skydda andras rättigheter, såsom tredje parts eller affärshemligheter.
Om ett företag vägrar eller inte svarar kan du begära ett beslut från tingsrätten (rechtbank) enligt artikel 35 i implementeringslagen för GDPR (Uitvoeringswet AVG, UAVG). Du måste göra det inom sex veckor efter att du fått svaret; om det inte kom något svar alls gäller ingen tidsfrist. Mot en myndighet är möjligheten att invända (bezwaar) enligt den allmänna förvaltningslagen (Awb).
Innehållsförteckning
Vad ger artikel 15 dig?
Artikel 15 ger dig två saker: bekräftelse på om dina uppgifter behandlas, och i så fall tillgång till dessa uppgifter med åtta kompletterande uppgifter. Artikel 15(3) lägger till rätten till en kopia.
| Artikeln 15 (1) | Vad den registeransvarige måste berätta för dig |
|---|---|
| (A) | Syften med behandlingen |
| (B) | De berörda kategorierna av personuppgifter |
| (C) | Mottagarna eller kategorierna av mottagare, inklusive alla utanför EES |
| (D) | Lagringsperioden, eller de kriterier som används för att fastställa den |
| (E) | Rätten att begära rättelse, radering eller begränsning, och att invända |
| (F) | Rätten att klaga till en tillsynsmyndighet |
| (G) | Om uppgifterna inte samlades in från dig: all tillgänglig information om deras källa |
| (H) | Allt automatiserat beslutsfattande, inklusive profilering, med meningsfull information om logiken och konsekvenserna |
Enligt artikel 15(2) måste du också informeras om vilka skyddsåtgärder som gäller när dina uppgifter överförs utanför EES. En ren datadump utan detta sammanhang uppfyller därför inte artikel 15.
Personuppgifter är en bred kategori. Enligt GDPR omfattar den bedömningar och åsikter som registrerats om dig, kamerabilder, samtalsinspelningar, IP-adresser, inloggningstider och slutsatser som dragits om dig, så snart de kan kopplas till dig. Den personuppgiftsansvarige måste förklara varför något skulle falla utanför den.
Vem kan fråga, och vem måste svara?
Rätten tillhör den registrerade: en levande, identifierbar person, oavsett ålder, nationalitet eller bosättning. En förälder eller vårdnadshavare kan företräda en minderårig; alla andra behöver ett skriftligt tillstånd, vilket den personuppgiftsansvarige kan kontrollera.
GDPR gäller inte uppgifter om avlidna personer. Anhöriga kan fortfarande ha en möjlighet enligt nederländska regler, till exempel om tillgång till en avliden patients medicinska journal.
Begäran går till den personuppgiftsansvarige (verwerkingsverantwoordelijke): den part som bestämmer varför och hur uppgifter behandlas. En lönebyrå, ett webbhotellsföretag eller en programvaruleverantör som arbetar enligt instruktioner är personuppgiftsbiträde och måste vidarebefordra begäran. Om två organisationer är gemensamt personuppgiftsansvariga enligt artikel 26 i GDPR kan du rikta dig till endera av dem.
GDPR gäller även för personuppgiftsansvariga utanför EU som erbjuder varor eller tjänster till personer i EU eller övervakar deras beteende. Du kan därför skicka en begäran till en utländsk plattform; enmånadersperioden börjar löpa när den tar emot begäran.
Anställda kan använda rätten mot sin arbetsgivare , till exempel för att få tillgång till deras personalakt vid en uppsägning eller prestationstvist. Tidpunkten för begäran är ingen anledning att bemöta den annorlunda.
Vad betyder "en kopia"?
En kopia måste vara en korrekt och begriplig återgivning av alla personuppgifter som behandlas. Europeiska unionens domstol (EU-domstolen) har slagit fast att en sammanfattning eller en lista över kategorier inte är tillräckligt.
Skyldigheten gäller uppgifterna, inte de dokument de finns i. Enligt EU-domstolen måste utdrag ur dokument, hela dokument eller databasutdrag fortfarande tillhandahållas om det behövs för att du ska kunna förstå uppgifterna och utöva dina rättigheter. En bedömning är till exempel ofta bara meningsfull inom ramen för den rapport som den utgör.
EU-domstolen har också beslutat att du inte behöver ange skäl för din begäran. Ett motiv som inte är relaterat till dataskydd, såsom att förbereda ett krav mot den registeransvarige, gör inte begäran till missbruk, och den första kopian måste vara gratis.
Bortradering är tillåtet där ett dokument även innehåller andra personers uppgifter. En mötesanteckning om flera anställda kan lämnas ut utan att styckena om kollegor tas bort, så länge resten förblir begripligt. Ett dokument som endast berör dig, såsom ditt avtal och de allmänna villkor som gäller för dig, kan inte redigeras.
Vilka deadlines, format och kostnader gäller?
Den personuppgiftsansvarige måste svara inom en månad efter mottagandet (artikel 12(3) i GDPR). För komplexa eller många förfrågningar kan den personuppgiftsansvarige förlänga detta med upp till ytterligare två månader, men måste meddela dig detta, med motiveringar, inom den första månaden.
Om den personuppgiftsansvarige beslutar att inte agera, krävs det enligt artikel 12(4) att den personuppgiftsansvarige inom en månad ska meddela dig detta, med angivande av skälen och din rätt att klaga till den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens, AP) och att vända sig till domstol. Tystnad är inte en förlängning.
Det finns inget obligatoriskt formulär. En begäran via e-post , brev, webbformulär eller muntligt är giltig, och den personuppgiftsansvarige får inte kräva en egen mall. En elektronisk begäran besvaras elektroniskt om du inte begär annat.
Åtkomsten är gratis. En rimlig avgift medges endast för ytterligare kopior (artikel 15(3)), eller om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av att den är upprepad (artikel 12(5)). Den registeransvarige måste bevisa detta, och enbart upprepning är vanligtvis inte tillräckligt.
Enligt artikel 12(6) får den registeransvarige endast begära ytterligare information om den har rimliga tvivel om din identitet. Om en ID-handling verkligen behövs kan du stryka över medborgarnumret (BSN) och fotot. Att kräva en fullständig passskanning som standard är i sig ett intrång; biometriska uppgifter är föremål för strängare regler.
Kopian måste skickas säkert, till exempel som en skyddad fil med lösenordet skickat separat, eller via en portal med tvåfaktorsautentisering. Att skicka en hel personalmapp oskyddad till en privat e-postadress riskerar ett dataintrång som måste bedömas enligt artikel 33 i GDPR.
När kan åtkomst begränsas eller nekas?
Enligt artikel 15(4) i GDPR får kopian inte skada andras rättigheter och friheter. Detta medger delvis redigering, men aldrig ett generellt avslag.
Skäl 63 i GDPR nämner affärshemligheter och immateriella rättigheter, inklusive upphovsrätt till programvara, som intressen som kan vägas in. Gränsen gäller kopian, inte din rätt till informationen i artikel 15(1). Den personuppgiftsansvarige måste välja den minst restriktiva lösningen, vilket vanligtvis är utlämnande med borttagningar.
Tredjepartsdata
E-postmeddelanden, mötesanteckningar och klagomålsfiler innehåller ofta uppgifter om flera personer. Den personuppgiftsansvarige kan ta bort namn och kontaktuppgifter till tredje part eller tillhandahålla ett utdrag, men får inte undanhålla ett helt dokument för att en tredje part nämns i det.
Affärshemligheter och juridisk sekretess
Prissättningsmodeller och källkod kan skyddas, men du har fortfarande rätt till meningsfull information om logiken bakom alla automatiserade beslut enligt artikel 15(1)(h). Kommunikation som omfattas av advokatsekretess är skyddad; se vår artikel om rapporteringsskyldigheter och sekretess.
Begränsningar i nederländsk lag
Artikel 41 i UAVG tillåter en registeransvarig att åsidosätta registrerades rättigheter när det är nödvändigt och proportionerligt, till exempel för nationell säkerhet, utredning och lagföring av brott, domstolarnas oberoende eller skyddet av den registrerade eller andra. Den registeransvarige måste ange grunden och tillämpa den på din specifika begäran; ett allmänt uttalande räcker inte.
Medicinska journaler följer ett parallellt spår. Enligt artikel 7:456 i den nederländska civillagen (BW) måste en vårdgivare ge dig tillgång till och en kopia av din journal, såvida det inte behövs för att skydda en annan persons integritet. Du kan använda båda vägarna.
Vad kan du göra om handkontrollen inte svarar?
Skicka först en daterad påminnelse och gå sedan till Autoriteit Persoonsgegevens eller domstolen. Båda vägarna kan köras samtidigt.
I påminnelsen, hänvisa till din ursprungliga begäran och dess datum, ange att enmånadsperioden i artikel 12(3) har löpt ut och sätt en kort tidsfrist på en eller två veckor. Många förfrågningar besvaras i detta skede, och påminnelsen bygger upp ditt pappersspår.
Enligt artikel 77 i GDPR kan du lämna in ett klagomål till Autoriteit Persoonsgegevens. AP kan utreda, besluta om efterlevnad, utfärda ett föreläggande som är förenat med vite eller böter. Den utdömer inte ersättning, och handläggningen av ett klagomål kan ta månader.
Hur fungerar domstolsförfarandet?
Mot ett företag eller annan privat part lämnar du in en ansökan (verzoekschrift) till tingsrätten enligt artikel 35 UAVG. Domstolen kan ålägga den registeransvarige att bifalla begäran.
- Sista anmälningsdatum: sex veckor efter att du mottagit den registeransvariges svar (artikel 35(2) i UAVG).
- Inget svar inom tidsfristerna i artikel 12(3): ingen tidsfrist gäller.
- Du behöver ingen advokat för att lämna in ansökan (artikel 35(4) i UAVG).
- Domstolen kan ålägga parterna att lämna skriftlig information och dokument (artikel 35(6) i UAVG).
Mot ett myndighetsorgan (bestuursorgaan) räknas beslutet på din begäran som ett beslut (besluit) enligt Awb (artikel 34 UAVG). Du lämnar sedan in ett invändning (bezwaar) inom sex veckor (artikel 6:7 Awb), följt av ett överklagande till förvaltningsdomstolen.
I brådskande fall kan du inleda ett summariskt förfarande (kort geding). Ett ersättningsanspråk enligt artikel 82 i GDPR kan läggas till, men EU-domstolen kräver att du bevisar faktisk skada; ett intrång i sig räcker inte. Utdelningar i mål om tillgång är blygsamma. Vår översikt över hur förfaranden vid en nederländsk domstol förbereds förklarar vad du kan förvänta dig.
Vad bör du kontrollera som registrerad?
En tydlig och välformulerad förfrågan besvaras snabbare och är svårare att stoppa. Kontrollera dessa punkter före och efter att du skickar den:
- Du hänvisar uttryckligen till artikel 15 GDPR och ber om både kopian och informationen i artikel 15(1)(a)-(h).
- Du identifierar dig med ditt kund- eller personalnummer och namnger den period, de avdelningar eller system du är intresserad av.
- Du sparar den skickade begäran, noterar mottagningsdatumet och dagbokar tidsfristen på en månad.
- Du jämför svaret med alla åtta punkter i artikel 15(1), inte bara bilagorna.
- Om du får ett skriftligt avslag från ett företag, noterar du att tidsfristen för domstolsansökan är sex veckor.
- Om uppgifterna visar sig vara felaktiga eller överdrivna, följer du upp med en begäran om rättelse (artikel 16) eller radering (artikel 17).
Vad bör man kontrollera som kontrollant?
De flesta misslyckanden är organisatoriska: en förfrågan som skickas till en säljinkorg eller görs via telefon börjar fortfarande gälla enmånadersperioden. Kontrollera dessa punkter:
- Personalen känner igen en åtkomstförfrågan i alla former och vidarebefordrar den samma dag till en ansvarig person.
- Din register över behandlingsaktiviteter (artikel 30 GDPR) visar var personuppgifter lagras, inklusive arkiverade brevlådor och ärendehanteringsverktyg.
- Du verifierar identitet proportionellt och kräver aldrig en fullständig passkopia som standard.
- Tredjepartsuppgifter redigeras med en andra kontroll, och varje redigering eller vägran registreras med dess rättsliga grund.
- Du skickar in kopian med informationen enligt artikel 15(1) inom en månad, eller anmäler en förlängning med motiveringar inom den månaden.
- Du tillämpar lagringsperioder: uppgifter som lagligen raderats behöver inte längre lämnas ut.
Vad kan vi göra för dig med en GDPR-åtkomstförfrågan?
Som en del av vår IT-juristpraktik agerar vi för både individer och organisationer:
- Vi utformar din begäran om åtkomst eller påminnelse, anpassad till de uppgifter och den period som är relevant för ditt ärende.
- Vi kontrollerar den registeransvariges svar mot artikel 15(1) och identifierar vad som saknas.
- Vi förbereder och lämnar in ansökan till tingsrätten enligt artikel 35 UAVG inom sexveckorsfristen, eller invändningen mot ett myndighetsorgan.
- Vi upprättar klagomålet till Autoriteit Persoonsgegevens.
- För organisationer: vi upprättar en rutin för hantering av förfrågningar och granskar borttagningar och avslag innan de skickas ut.
Sammanfattning
- Artikel 15 GDPR ger dig bekräftelse, en kostnadsfri kopia av dina personuppgifter och åtta kompletterande information.
- Den registeransvarige måste svara inom en månad; en förlängning på upp till två månader måste meddelas inom den första månaden.
- Åtkomst kan begränsas för att skydda andra, vanligtvis genom bortredigering, aldrig genom en generell vägran.
- Mot ett företag kan du inom sex veckor efter svaret ansöka hos tingsrätten enligt artikel 35 i UAVG, utan advokat; utan svar gäller ingen tidsfrist.
- Mot en myndighet kan du lämna in en invändning inom sex veckor enligt Awb.
Vanliga frågor och svar
Måste jag förklara varför jag vill ha mina uppgifter?
Nej. Du behöver inte ange någon orsak för en begäran om åtkomst enligt artikel 15 i GDPR, och ett motiv som att förbereda ett krav gör inte begäran till otillbörlig.
Hur lång tid har en organisation på sig att svara?
En månad från mottagandet (artikel 12(3) i GDPR). Den kan förlänga detta med upp till två månader för komplexa eller många förfrågningar, men måste meddela dig detta med motivering inom den första månaden.
Kan en organisation ta betalt för en kopia?
Det första exemplaret är gratis. En rimlig administrativ avgift medges endast för ytterligare kopior, eller om en begäran är uppenbart ogrundad eller orimlig.
Behöver jag en advokat för att gå till domstol?
Nej. Enligt artikel 35(4) i UAVG behöver en ansökan till tingsrätten inte lämnas in av en advokat. Ansökan måste lämnas in inom sex veckor efter svaret; om inget svar lämnades gäller ingen tidsfrist.
