noyb wygrywa w TSUE: Prawo do informacji musi obejmować kontekst - w niektórych przypadkach również dokumenty i fragmenty baz danych
Wczoraj Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł, że użytkownicy muszą nie tylko otrzymać kopię swoich nieprzetworzonych danych, ale także kontekst danych w zrozumiały sposób. Może to również obejmować dokumenty zawierające dane osobowe. Termin "kopia" oznacza wierną i dokładną reprodukcję rzeczywistych danych.
Zwykła lista surowych danych czy wierna kopia? Początkowy spór prawny dotyczył wniosku o udzielenie informacji na podstawie art. 15 RODO do agencji informacji kredytowej CRIF - którą Noyb z powodzeniem ścigał również za inne naruszenia ochrony danych. CRIF odpowiedział osobie, której dane dotyczą, jedynie listą przetwarzanych na jej temat danych. Osoba, której dane dotyczą, która zażądała kopii wszystkich dotyczących jej danych, w tym wyciągów z bazy danych, złożyła skargę do austriackiego organu ochrony danych. Sprawa ostatecznie trafiła do austriackiego Federalnego Sądu Administracyjnego, który zwrócił się do TSUE z kilkoma pytaniami prejudycjalnymi dotyczącymi zakresu prawa do otrzymania "kopii danych" na podstawie art. 15 ust. 3 RODO.
RODO wymaga, aby użytkownik rozumiał przetwarzanie danych. W swoim orzeczeniu TSUE podkreśla, że celem RODO jest wzmocnienie i precyzyjne określenie praw osób, których dane dotyczą. Prawo dostępu ma szczególne znaczenie w tym kontekście, ponieważ umożliwia osobom, których dane dotyczą, korzystanie z dalszych praw, takich jak usunięcie, sprostowanie lub sprzeciw - co byłoby możliwe tylko w ograniczonym zakresie bez znajomości konkretnych przetwarzanych danych.
Max Schrems:"Cieszymy się, że TSUE podkreśla znaczenie prawa dostępu. Bez kontekstu przetwarzania, osoby, których dane dotyczą, często nie są w stanie zrozumieć, co jest przechowywane na ich temat"
Wyciągi z baz danych i dokumenty mogą być niezbędne. Ważne jest również, że TSUE podkreśla potrzebę kontekstualizacji dostarczanych informacji. Nie wystarczy, że firmy prześlą zwykłą listę surowych danych. Dane muszą być dostarczone osobie, której dane dotyczą, w całości, w kontekście i zgodnie z oryginałem. Jest to szczególnie ważne w przypadku danych, które są generowane na podstawie innych danych - tak jak w omawianym przypadku, w którym oceny kredytowe zostały obliczone na podstawie danych osoby, której dane dotyczą. W tym przypadku, jak podkreśla TSUE, regularnie konieczne będzie dostarczanie fragmentów dokumentów, całych dokumentów, a nawet fragmentów baz danych. W przeciwnym razie osobie, której dane dotyczą, trudno jest zrozumieć prawdziwe znaczenie danych, ale także wtedy, gdy dane są zmanipulowane, niespójne lub dostarczone tylko częściowo.
Max Schrems:"Orzeczenie kładzie kres niezgodnej z prawem praktyce polegającej na dostarczaniu jedynie zrzutu danych bez żadnych dalszych wyjaśnień. Zwłaszcza w przypadku bardziej złożonego przetwarzania, firmy muszą zapewnić pełną zrozumiałość przetwarzanych danych - w razie potrzeby również poprzez dostarczenie wyciągu z bazy danych lub kopii dokumentów"
