Nařízení (EU) 2016/679 (GDPR) · Kapitola III · Práva subjektu údajů
Čl. 15 · Právo subjektu údajů na přístup k osobním údajům
Znění
Právo subjektu údajů na přístup
- Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
a) účely zpracování;
b) kategorie dotčených osobních údajů;
c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích;
d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby;
e) existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování;
f) právo podat stížnost u dozorového úřadu;
g) veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů;
h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
-
Pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46, které se vztahují na předání.
-
Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.
-
Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Právo na přístup, potvrzení o zpracování, informace o něm a kopie zpracovávaných údajů. Kopie nesmí zasáhnout do práv jiných. V praxi nejčastěji uplatňované právo a vstupní brána ke sporům. Subjekt má právo vědět, kdy a proč se do jeho údajů nahlíželo (C-579/21 Pankki S), a u automatizovaného rozhodování dostat srozumitelné vysvětlení použitého postupu, obchodní tajemství přitom není absolutní překážka (C-203/22).
Související ustanovení: čl. 12 (lhůty, bezplatnost, ověření); čl. 11 (bez identifikace); čl. 20 (přenositelnost); čl. 22 (automatizované rozhodování); čl. 23 (omezení)
Judikatura: C-154/21 Österreichische Post; C-579/21 Pankki S; C-203/22 Dun & Bradstreet; C-487/21 Österreichische Datenschutzbehörde (podoba kopie)
Obsah výkladu
I.Dvě roviny jednoho práva1 II.Kopie podle odstavce 34 III.Práva jiných osob (odst. 4)8 IV.Automatizované rozhodování (odst. 1 písm. h)10I. Dvě roviny jednoho práva
1 Nejčastěji uplatňované právo a nejčastější vstupní brána k dalším sporům. Má dvě roviny: potvrzení, zda se údaje zpracovávají, a v kladném případě přístup k údajům samotným plus osm okruhů informací o zpracování.
2 Informační okruhy z odstavce 1 se v praxi opomíjejí; odpověď se často omezí na výpis údajů. Chybí pak zejména příjemci, doba uložení a zdroj údajů, tedy právě to, co má pro žadatele největší cenu.
3 Právo se nevztahuje na dokumenty jako takové. Předmětem je osobní údaj, ne spis. Neznamená to ale, že správce smí poslat holý seznam položek; ve věci C-487/21 Soudní dvůr uvedl, že kopie musí být poskytnuta v podobě, která umožní subjektu práva účinně vykonat, a je-li to nezbytné pro srozumitelnost, i formou výňatků z dokumentů.
II. Kopie podle odstavce 3
4 „Správce poskytne kopii zpracovávaných osobních údajů.” Za další kopie lze účtovat přiměřený poplatek podle administrativních nákladů; první kopie je bezplatná.
5 Slovo „další” se vztahuje na opakované kopie téhož, ne na rozsah. Je-li údajů mnoho, první kopie je bezplatná i tak. Jedinou výjimkou je čl. 12 odst. 5: je-li žádost zjevně nedůvodná nebo nepřiměřená, zejména opakuje-li se, může správce uložit přiměřený poplatek i za ni, anebo žádost odmítnout. Důkazní břemeno zjevné nedůvodnosti nese správce.
6 U elektronické žádosti se informace poskytují v běžně používané elektronické formě, nepožádá-li subjekt jinak. Trvat na osobním převzetí v sídle správce je tedy vadné.
7 Právo na přístup zahrnuje i informaci o tom, kdy a proč se do údajů nahlíželo. Ve věci C-579/21 Pankki S Soudní dvůr uzavřel, že subjekt má právo znát informace o operacích nahlížení včetně jejich dat a účelů; totožnost konkrétních zaměstnanců, kteří nahlíželi, se sděluje jen tehdy, je-li to nezbytné pro účinný výkon práv, a při zohlednění jejich práv.
III. Práva jiných osob (odst. 4)
8 Odstavec 4 stanoví, že právem získat kopii nesmějí být nepříznivě dotčena práva a svobody jiných osob. Je to pojistka, ne výluka: správce má údaje jiných osob začernit nebo vyjmout, ne odmítnout celou žádost.
9 Obchodní tajemství sem patří také, ale není absolutní překážkou. Řešením je poskytnout údaje s vynecháním chráněných částí a případně vysvětlit, co bylo vynecháno a proč.
IV. Automatizované rozhodování (odst. 1 písm. h)
10 Písmeno h) žádá u automatizovaného rozhodování podle čl. 22 „smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování”.
11 Ve věci C-203/22 Soudní dvůr upřesnil, že jde o vysvětlení postupu a zásad, kterými se rozhodnutí řídilo, srozumitelné pro subjekt, ne o vydání algoritmu. Obchodní tajemství přitom není důvodem k úplnému odepření: sporné informace se poskytnou dozorovému úřadu nebo soudu, který poměří zájmy a rozhodne o rozsahu sdělení subjektu.