GDPR:n nojalla yleisimmin käytetty oikeus on oikeus saada pääsy omiin henkilötietoihin, joita yritykset käsittelevät. Loppujen lopuksi on usein välttämätöntä tietää, onko olemassa virheellisiä tai laittomia henkilötietoja, jotka on korjattava tai poistettava. Uusi analyysi noyb tapauksista osoittaa: Vain 16,5 % kaikista tietojen saantipyynnöistä noyb on lähettänyt yrityksille viimeisen 8 vuoden aikana, sai tyydyttävän vastauksen, kun taas 53,7 % vastauksista oli puutteellisia – ja lähes 30 % jäi kokonaan vastaamatta. Toisin sanoen: vaikka yritykset lobbaavat Brysselissä kansalaisten oikeuden rajoittamiseksi väitetyn ”väärinkäytön” vuoksi, todellinen ongelma on juuri näiden yritysten sääntöjen noudattamatta jättäminen.
”Väärinkäyttöä” eivät harjoita rekisteröidyt, vaan yritykset. Voimakkaan lobbaustason (erityisesti saksalaisen teollisuuden taholta) seurauksena Euroopan komission ”Digital Omnibus” -ehdotuksessa todetaan, että GDPR:n mukaisia rekisteröityjen oikeuksia on tarpeen rajoittaa. Ehdotettuihin muutoksiin sisältyy erityisesti oikeuden saada pääsytietoihin rajoittaminen ( 12 artiklan 5 kohdassa ja 15) ”tietosuojatarkoituksiin”, mikä perustellaan tämän oikeuden väitetysti laajalle levinneellä ”väärinkäytöllä”. Tämä tarkoittaa esimerkiksi sitä, että jos työntekijä käyttää tietojen saamista koskevaa pyyntöä työriidassa, joka koskee maksamattomia työtunteja – esimerkiksi saadakseen todistuksen tekemistään työtunneista – työnantaja voisi hylätä pyynnön ”väärinkäytöksenä”. Käytännössä tämä rajoittaisi huomattavasti eurooppalaisten oikeuksia yrityksiä vastaan.
Max Schrems: ”Euroopan komissio on langennut voimakkaasti väärinkäytetyn lobbaajien narratiivin pauloihin, jonka mukaan oikeutta saada pääsy tietoihin ”käytetään väärin” jatkuvasti, vaikka todellisuudessa juuri yritykset rikkovat näitä lakeja.”
Todelliset luvut: 83,5 % tietojen saamista koskevista pyynnöistä jää ilman asianmukaista vastausta. Käytännössä pääsyoikeutta koskeva pääongelma ei kuitenkaan ole ”väärinkäytöksiin” perustuvat valitukset, vaan se, että valtava määrä pyyntöjä jää ilman asianmukaista vastausta. Tämä selittää myös, miksi merkittävä osa viranomaisille osoitetuista valituksista koskee sitä, ettei tietopyyntöihin ole annettu täydellistä vastausta. Saadaksesi lisätietoa siitä, miten yritykset käsittelevät pääsyoikeutta, noyb analysoi 121 tietojen saantipyyntöä, jotka on jätetty liittyen noyb:tä tapauksiin liittyen vuodesta 2018 lähtien*. Tulokset ovat selkeät: vain 16,5 % pyynnöistä sai tyydyttävän vastauksen, kun taas 53,7 % oli puutteellisia – ja lähes 30 % jäi kokonaan vastaamatta. Kaiken kaikkiaan 83,5 % pyynnöistä jäi vastaamatta lain mukaisesti.
Suuret teknologiayritykset keräävät tietojasi, mutta eivät halua antaa sinulle pääsyä niihin. On huomionarvoista, että suuri osa analysoiduista tietopyyntöistä kohdistui suuriin teknologiayrityksiin, joilla on yleensä automatisoidut työkalut pyyntöjen käsittelyyn. Siitä huolimatta suurin osa pyynnöistä sai joko puutteellisen vastauksen tai ei vastausta lainkaan. Havaitsemme tämän ongelman kaikissa noyb tapauksissa – ja tulokset olisivat todennäköisesti vielä huonompia rekisteröidyille, joilla ei ole oikeudellista edustajaa tai resursseja lähettää useita seurantapyyntöjä. Tapauksemme TikTokia, AliExpressiä ja WeChatia ovat tästä erinomainen esimerkki: huolimatta useista seurantapyynnöistä, jotka koskivat puutteellista vastausta tietojen saantipyyntöön, yritykset eivät vieläkään täyttäneet alkuperäistä pyyntöä. Tämän vuoksi valituksen tekijöiden oli mahdotonta tarkistaa, oliko heidän tietojaan käsitelty GDPR:n mukaisesti. Toinen hyvä esimerkki on tapauksemme mainosvälittäjä Xandria (Microsoftin tytäryhtiö) vastaan nostettu tapaus, jossa vastausprosentti tietojen saantia ja poistamista koskeviin pyyntöihin oli vuonna 2022 hämmästyttävät 0 %.
Tietojen saantipyynnöt eivät ole merkittävää työmäärää. Samaan aikaan äskettäin julkaistu noyb tutkimus tuli selväksi, että suurin osa (yli 70 %) yrityksissä työskentelevistä tietosuojavastaavista (DPO) katsoo, että rekisteröityjen oikeudet – ja erityisesti oikeus saada pääsy tietoihin – eivät aiheuta merkittävää työmäärää, vaikka ne ovatkin hyödyllinen väline ihmisten oikeuksien suojelemiseksi.
Mikään ei ole vielälopullista. Onneksi komission ehdotukset GDPR:n muuttamiseksi ovat juuri sitä: ehdotuksia. Digitaalista omnibus-pakettia käsitellään parhaillaan Euroopan parlamentissa ja neuvostossa, ja se on jo kohdannut merkittävää vastustusta. noyb työskentelee jatkuvasti rekisteröityjen oikeuksien säilyttämiseksi ja vahvistamiseksi. Tämä analyysi osoittaahan selvästi, että viranomaisten toimissa tietojen saantioikeuden täytäntöönpanossa (ja noudattamisessa) on jo nyt puutteita. Lisärajoitukset vahingoittaisivat miljoonia ihmisiä Euroopassa.
*Huomautus menetelmistä: analysoimme kaikki noyb:n tapauksiin liittyvät tietojen saantipyynnöt vuodesta 2018 lähtien. Sen jälkeen varmistimme, että mukaan otettiin enintään kaksi pyyntöä yritystä kohden, jotta tulokset eivät vääristyisi. Näin jäljelle jäi 121 tietojen saantipyyntöä.
