noyb vyhrává u Soudního dvora EU: Právo na informace musí zahrnovat kontext - v některých případech i dokumenty a výpisy z databází
Soudní dvůr Evropské unie (SDEU) včera rozhodl, že uživatelé musí obdržet nejen kopii nezpracovaných údajů, ale také jejich kontext ve srozumitelné podobě. To může zahrnovat i dokumenty, které obsahují osobní údaje. Pojem "kopie" znamená věrnou a přesnou reprodukci skutečných údajů.
Pouhý výpis nezpracovaných údajů, nebo věrná kopie? Původní právní spor se týkal žádosti o informace podle článku 15 GDPR podané agentuře CRIF, která poskytuje úvěrové informace - a kterou noyb úspěšně stíhá i za jiná porušení ochrany údajů. CRIF odpověděla subjektu údajů pouhým výčtem údajů, které o něm zpracovávala. Subjekt údajů, který požadoval kopii všech údajů, které se ho týkají, včetně výpisů z databáze, podal stížnost rakouskému úřadu pro ochranu osobních údajů. Případ nakonec skončil u rakouského Spolkového správního soudu, který předložil SDEU několik předběžných otázek týkajících se rozsahu práva obdržet "kopii údajů" podle čl. 15 odst. 3 GDPR.
GDPR vyžaduje, aby byl uživatel se zpracováním srozuměn. SDEU ve svém rozhodnutí zdůrazňuje, že účelem GDPR je posílit a přesně vymezit práva subjektů údajů. Právo na přístup má v této souvislosti zvláštní význam, neboť umožňuje subjektům údajů uplatnit další práva, jako je právo na výmaz, opravu nebo námitku - což by bez znalosti konkrétních zpracovávaných údajů bylo možné pouze v omezené míře.
Max Schrems:"Těší nás, že Soudní dvůr EU zdůrazňuje význam práva na přístup. Bez kontextu zpracování je pro subjekty údajů často nemožné pochopit, co je o nich uchováváno."
Výpisy z databází a dokumenty mohou být nezbytné. Je také důležité, že SDEU zdůrazňuje nutnost kontextualizace poskytovaných informací. Nestačí, aby společnosti zaslaly pouhý seznam nezpracovaných údajů. Údaje musí být subjektu údajů poskytnuty v plném rozsahu, v kontextu a věrně podle originálu. To je důležité zejména u údajů, které jsou generovány z jiných údajů - jako v tomto případě, kdy bylo úvěrové skóre vypočteno na základě údajů subjektu údajů. Zde bude pravidelně nezbytné poskytovat výňatky z dokumentů, celé dokumenty nebo dokonce výňatky z databází, jak zdůrazňuje SDEU. V opačném případě je pro subjekt údajů obtížné pochopit skutečný význam údajů, ale také v případě, že jsou údaje zmanipulované, nekonzistentní nebo poskytnuté pouze částečně.
Max Schrems:"Rozsudek ukončuje nezákonnou praxi pouhého poskytování výpisu údajů bez jakéhokoli dalšího vysvětlení. Zejména v případě složitějších zpracování musí společnosti zajistit úplnou srozumitelnost zpracovávaných údajů - v případě potřeby také poskytnutím výpisu z databáze nebo kopie dokumentů."
