Wat is een verzoek om toegang tot gegevens van een persoon?

Een verzoek om toegang tot gegevens van een betrokkene (DSAR) is een formeel schriftelijk verzoek van een persoon . De betrokkene . . aan een organisatie, die die organisatie vraagt een kopie van de persoonsgegevens die zij over hen heeft te verstrekken. DSAR's zijn een hoeksteen van de wetgeving inzake gegevensbescherming, waardoor individuen een directe manier krijgen om te zien welke informatie wordt verwerkt en te controleren of deze op wettige, eerlijke en transparante wijze wordt behandeld. In de Ierse context is het recht op toegang vastgelegd in artikel 15 van de Algemene Verordening Gegevensbescherming (AVG) en verder verduidelijkt door de Wet Gegevensbescherming 2018.

Persoonsgegevens omvatten bijna alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon. Dit omvat namen, identificatienummers, locatiegegevens, online-identificaties, en alle factoren die specifiek zijn voor die persoon fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit. Een DSAR kan om welke reden dan ook worden gemaakt . nieuwsgierigheid, bezorgdheid over nauwkeurigheid, voorbereiding voor geschillen, of gewoon om een fundamenteel recht uit te oefenen. Ongeacht het motief, organisaties moeten elke DSAR serieus te behandelen en te reageren binnen strikte tijdlijnen.

Het rechtskader voor DSAR's in Ierland

Het gegevensbeschermingslandschap van Ierland wordt in de eerste plaats gevormd door de AVG (Verordening (EU) 2017/57) en de nationale uitvoeringswetgeving, de Data Protection Act 2018. De Ierse Commissie voor gegevensbescherming (DPC) is de onafhankelijke toezichthoudende autoriteit die verantwoordelijk is voor de handhaving van deze wetten en die richtsnoeren geeft over de behandeling van DSAR's.

Belangrijkste bepalingen van de AVG

Artikel 15 van de AVG geeft elke betrokkene het recht om van een voor de verwerking verantwoordelijke bevestiging te verkrijgen van de vraag of persoonsgegevens over hem worden verwerkt, en, in voorkomend geval, van de toegang tot die gegevens. De voor de verwerking verantwoordelijke moet tevens een kopie van de gegevens die worden verwerkt, samen met bepaalde aanvullende informatie verstrekken:

  • De doeleinden van de verwerking.
  • De categorieën van persoonsgegevens die in kwestie zijn opgenomen.
  • De ontvangers (of categorieën ontvangers) aan wie de persoonsgegevens zijn of zullen worden bekendgemaakt, met name ontvangers in derde landen of internationale organisaties.
  • De beoogde periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of, indien niet mogelijk, de criteria die worden gebruikt om die periode te bepalen.
  • Het bestaan van het recht om rectificatie of verwijdering te verzoeken, beperking van de verwerking of bezwaar tegen verwerking.
  • Het recht om een klacht in te dienen bij de DPC.
  • Wanneer de gegevens niet bij de betrokkene zijn verzameld, zijn er geen beschikbare gegevens over de bron.
  • Het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, en zinvolle informatie over de betrokken logica, alsmede de betekenis en de beoogde gevolgen.

De Wet op de Gegevensbescherming 2018 voegt enkele Ierse specifieke bepalingen toe. Zo staat artikel 61 van de Wet een verwerkingsverantwoordelijke toe om te weigeren aan een DSAR te voldoen wanneer het verzoek betrekking zou hebben op het openbaar maken van informatie over een ander individu, tenzij die persoon toestemming heeft gegeven of het redelijk is om te voldoen zonder zijn toestemming. De Wet voorziet ook in vrijstellingen voor bepaalde soorten verwerking, zoals onderzoek, archivering en misdaadpreventie, hoewel deze moeten worden toegepast eng.

Het recht op een kopie en het antwoord op de vraag

De verwerkingsverantwoordelijke moet een kopie van de persoonsgegevens die worden verwerkt, verstrekken. Het eerste exemplaar is kosteloos; een redelijke vergoeding kan alleen worden aangerekend voor latere kopieën of voor verzoeken die kennelijk ongegrond of buitensporig zijn. De gegevens moeten worden verstrekt in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm, in duidelijke en duidelijke taal. Waar mogelijk moeten de gegevens elektronisch worden verstrekt in een algemeen gebruikt formaat zoals een PDF-, CSV- of JSON-bestand.

Hoe een DSAR indienen in Ierland

Elke persoon kan een DSAR rechtstreeks aan een organisatie. Er is geen specifieke vorm of magische zin vereist . . een eenvoudige e-mail of schriftelijke brief duidelijk te verklaren het verzoek is voldoende. Echter, om ervoor te zorgen dat het verzoek efficiënt wordt verwerkt, is het het beste om:

  • Adres van het verzoek aan de functionaris voor gegevensbescherming van de organisatie (DPO) of de aangewezen contactpersoon voor gegevensbescherming, indien bekend.
  • Geef voldoende persoonlijke gegevens zodat de organisatie de identiteit kan verifiëren (bv. volledige naam, e-mailadres, rekeningnummer of referentienummer).
  • Vermeld het type gegevens of de duur van de betrokken periode, vooral als de organisatie over een groot aantal gegevens beschikt (bv. . .Alle persoonsgegevens die tussen januari 2023 en januari 2024 zijn verwerkt.
  • Vermeld een voorkeursformaat voor de respons (bv. elektronisch of papier).

De organisatie kan om een aanvullend identiteitsbewijs verzoeken voordat zij reageert. Dit is toegestaan zolang het verzoek evenredig is. Bijvoorbeeld, het vragen om een paspoortkopie is redelijk; het vragen om een origineel document dat duur is om te verkrijgen kan als buitensporig worden beschouwd. De organisatie moet ook de ontvangst van de DSAR bevestigen en de volgende stappen uitleggen, inclusief de verwachte tijdlijn.

Wat organisaties moeten doen als ze een DSAR ontvangen

Zodra een DSAR is ontvangen, moet de organisatie (de verwerkingsverantwoordelijke) zonder onnodige vertraging en in ieder geval binnen een maand na ontvangst handelen. De klok begint te tikken op de dag waarop het verzoek arriveert . . indien de organisatie de identiteit moet verifiëren, wordt de tijdlijn onderbroken totdat de verificatie voltooid is. De periode van één maand kan met nog eens twee maanden worden verlengd wanneer het verzoek complex is of wanneer de betrokkene meerdere verzoeken heeft ingediend. Indien een verlenging nodig is, moet de organisatie de betrokkene binnen de eerste maand informeren, met opgave van de redenen voor de vertraging.

Hier zijn de essentiële stappen voor het omgaan met een DSAR in Ierland:

  • Valideer het verzoek: Bevestig dat het inderdaad een DSAR is en dat de aanvrager zichzelf heeft geïdentificeerd.
  • Verifiëren identiteit: Gebruik redelijke maatregelen om ervoor te zorgen dat de persoon die het verzoek doet, is wie ze beweren te zijn. Dit kan inhouden dat interne gegevens gecontroleerd worden, een paspoort gevraagd wordt of dat er gebruik gemaakt wordt van twee-factor authenticatie.
  • Zoek naar de gegevens: Zoek alle persoonlijke gegevens die in de organisatie worden bewaard .Zoek niet alleen in het primaire IT-systeem, maar ook in e-mails, cloudopslag, archieven, back-ups (indien opgehaald), papieren bestanden, CCTV-beelden, en alle systemen van derden gebruikt.
  • Review en redact: Voordat de gegevens worden vrijgegeven, moet de organisatie de gegevens herzien om persoonsgegevens van derden te verwijderen die niet rechtmatig kunnen worden gedeeld, of informatie die een misdaadonderzoek of gerechtelijke procedure zou kunnen schaden. De organisatie moet het recht van toegang van de betrokkene in evenwicht brengen met de rechten van anderen.
  • Bezorgt het antwoord: Stuur de gegevens in een duidelijk formaat, samen met de aanvullende informatie die vereist is bij artikel 15. Inclusief een begeleidende brief waarin wordt uitgelegd wat is verstrekt en eventuele vrijstellingen waarop wordt vertrouwd.
  • Documentatie alles: Houd een intern logboek bij van de DSAR, de stappen die zijn genomen, en de reden voor elke beslissing. Dit is van vitaal belang voor verantwoordingsplicht en voor het verdedigen van elke klacht bij de DPC.

Uitdagingen in de behandeling van DSAR's

DSAR's kunnen hulpbronnenintensiever zijn, vooral voor organisaties met uitgestrekte data-ecosystemen, legacysystemen of een hoog personeelsverloop.

  • Gegevensontdekking: Persoonsgegevens kunnen worden verspreid over meerdere databases, gedeelde schijven, e-mailaccounts en zelfs interne chatplatforms. Zonder een juiste data-mapping kan het lokaliseren van de relevante gegevens weken duren.
  • Deel en complexiteit: Een enkele DSAR kan duizenden documenten omvatten. Het beoordelen, redacteren en ineenvouwen van dit materiaal binnen een maand is vaak uiterst moeilijk.
  • Gegevens van derden: Het discisseren van gegevens van een individu kan onbedoeld informatie over een andere persoon onthullen (bijvoorbeeld een collega zijn salaris of een klacht van een klant). De organisatie moet beslissen of ze moeten reacteren, weigeren of toestemming vragen.
  • Mandelijk ongegronde of buitensporige verzoeken: De AVG staat een organisatie toe een redelijke vergoeding te weigeren of in rekening te brengen voor verzoeken die kennelijk ongegrond of buitensporig zijn. Echter, de bewijslast ligt bij de organisatie, en de bar is hoog. De DPC verwacht dat controllers concreet bewijs van misbruik tonen, niet alleen ongemak.
  • Binnenlandse verzoeken: Indien de betrokkene in een ander EU-land gevestigd is, moet de organisatie nog steeds voldoen aan de eisen en mogelijk ook coördineren met andere verwerkingsverantwoordelijken of gegevensverwerkers.
  • Werknemersverzoeken: Werknemers kunnen DSAR's maken op elk moment, ook tijdens een tuchtprocedure of na het verlaten van de baan. Deze verzoeken zijn vaak gevoelig en tijdgevoelig, waarbij zorgvuldig omgegaan moet worden om conflicten met het arbeidsrecht te voorkomen.

Beste praktijken voor organisaties

Om DSAR's efficiënt te beheren en de handhaving van DPC's te voorkomen, moeten Ierse organisaties de volgende praktijken toepassen:

1. Een inventaris van persoonlijke gegevens bijhouden

Een gegevensinventaris of gegevenskaart die registreert welke persoonsgegevens worden verzameld, waar deze worden opgeslagen, wie toegang heeft en hoe lang deze bewaard blijft, is het enige meest nuttige hulpmiddel om te reageren op DSAR's. Zonder deze gegevens wordt zoeken naar gegevens een brandboor. De inventaris moet worden bijgewerkt en regelmatig worden herzien.

2. Een DSAR-beleid en -procedure uitvoeren

Formaliseren van het proces: een DSAR-eigenaar (vaak de DPO) aan te wijzen, rollen en verantwoordelijkheden te definiëren, interne termijnen vast te stellen (bv. binnen 20 dagen reageren om een buffer toe te staan), en templateletters te maken voor erkenning, identiteitscontrole, uitbreidingen en definitieve reacties. Train alle medewerkers die een DSAR ontvangen . Vooral front-line klantenservice en HR teams .Zo herkennen ze er onmiddellijk een en sturen ze het door naar de juiste persoon.

3. Gebruik technologie om zoekopdrachten te automatiseren

Gebruik maken van e-discovery tools, data loss preventie platforms, of speciale DSAR management software om te zoeken tussen systemen, vlag persoonlijke gegevens, en automatiseren redactie. Voor organisaties die gebruik maken van een moderne data platform zoals Directus, het bouwen van een DSAR workflow die de database queries en export relevante gegevens kan drastisch verminderen handmatige inspanning. Echter, elke geautomatiseerde oplossing moet worden getest om ervoor te zorgen dat het alle relevante velden te vangen.

4. Pas Vrijstellingen zorgvuldig toe

De AVG en de Wet Gegevensbescherming 2018 voorzien in beperkte vrijstellingen van het recht op toegang . . bijvoorbeeld om het juridisch beroepsgeheim te beschermen, om te voorkomen dat strafrechtelijke onderzoeken worden belemmerd of wanneer de gegevens onderworpen zijn aan een wettelijk bindende vertrouwelijkheidsovereenkomst. Vertrouw niet op algemene vrijstellingen; elke zaak moet individueel worden beoordeeld en de redenen voor weigering of beperking van toegang moeten worden gedocumenteerd en aan de betrokkene worden meegedeeld.

5. Proactief communiceren

Als een DSAR langer dan een maand duurt, licht de betrokkene dan in binnen de eerste maand en leg uit waarom. Als er gegevens worden achtergehouden, leg dan de rechtsgrondslag uit. Een betrokkene die zich in de lus houdt, is veel minder waarschijnlijk dat hij een klacht bij de DPC escaleert. Omgekeerd is stilte of ongevoeligheid de veiligste manier om regelgeving te controleren.

6. Monitor en leer

Volg DSAR volumes, draaitijden en soorten verzoeken. Gebruik deze gegevens om terugkerende probleemgebieden te identificeren . Bijvoorbeeld, als veel verzoeken betrekking hebben op HR-gegevens, overwegen om de manier waarop medewerkers gegevens worden georganiseerd. Regelmatig het DSAR-proces te bekijken en bij te werken in overeenstemming met DPC-richtlijnen.

Recente ontwikkelingen en richtsnoeren voor de ontwikkeling van de ontwikkelingslanden

De DPC heeft verscheidene handhavingsbesluiten en richtsnoeren uitgevaardigd die bepalen hoe DSAR's in Ierland worden behandeld.

  • Inschrijving op de vergoeding: De DPC heeft verklaard dat vergoedingen beperkt moeten blijven tot administratieve kosten en alleen toegestaan zijn voor kennelijk ongegronde of buitensporige verzoeken. Een algemene administratievergoeding voor alle DSAR's is niet rechtmatig.
  • Oriëntatie voor geautomatiseerde besluitvorming: Wanneer een DSAR betrekking heeft op geautomatiseerde beslissingen of profilering, moet de organisatie zinvolle informatie verstrekken over de logica achter de beslissing, niet alleen een kopie van de gegevens. Dit is vooral relevant voor organisaties die AI of machine learning gebruiken.
  • Versterkingsacties: De DPC heeft organisaties die niet binnen de periode van één maand op DSAR's reageerden of die onvolledige antwoorden zonder de juiste rechtvaardiging hebben gegeven, aanzienlijke boetes opgelegd. Zo werd in 2023 een grote Ierse luchtvaartmaatschappij een boete opgelegd van 400.000 euro omdat zij niet adequaat op meerdere DSAR's had gereageerd.
  • Interactie met andere rechten: De DPC heeft verduidelijkt dat het recht op toegang andere wettelijke verplichtingen, zoals het beroepsgeheim of verzoeken om toegang van betrokkenen door een andere persoon, niet overtreedt. Organisaties moeten de rechten in evenwicht brengen en moeten mogelijk een andere partij om toestemming vragen of om een andere partij te verzoeken.

Voor de meest actuele richtsnoeren moeten organisaties regelmatig de officiële website van DPC

Waarom DSAR's Matter Beyond Compliance

Naast de wettelijke verplichting, versterkt een goed verzorgde DSAR het vertrouwen. Wanneer een individu een organisatie vraagt . .Wat weet u over mij? . en ontvangt een volledige, duidelijke en tijdige reactie, het toont aan dat de organisatie neemt privacy serieus. In de huidige data-gedreven wereld, dat vertrouwen is een concurrentievoordeel. Voor opvoeders en studenten, het begrijpen van DSARs is niet alleen over het kennen van de wet . . Het gaat over het in staat stellen van individuen om hun fundamentele recht om hun eigen informatie te controleren uit te oefenen. Door het inbedden van een cultuur van transparantie en respect voor persoonsgegevens, Ierse organisaties kunnen sterkere relaties met klanten, werknemers en het publiek op te bouwen.