noyb vinner i Europadomstolen: Rätten till information måste omfatta sammanhanget - i vissa fall även dokument och databasutdrag
Igår slog Europeiska unionens domstol (EU-domstolen) fast att användare inte bara måste få en kopia av sina rådata, utan också sammanhanget för uppgifterna på ett begripligt sätt. Detta kan även omfatta de dokument som innehåller personuppgifter. Begreppet "kopia" innebär en sann och exakt återgivning av de faktiska uppgifterna.
Enbart en förteckning över rådata eller en riktig kopia? Den inledande rättsliga tvisten gällde en begäran om information enligt artikel 15 i GDPR till kreditupplysningsföretaget CRIF - som noyb också framgångsrikt har åtalat för andra dataskyddsöverträdelser. CRIF svarade den registrerade med en enkel förteckning över de uppgifter som behandlats om honom. Den registrerade, som begärde en kopia av alla uppgifter som rörde honom, inklusive databasutdrag, lämnade in ett klagomål till den österrikiska dataskyddsmyndigheten. Målet hamnade så småningom hos Österrikes federala förvaltningsdomstol, som ställde flera frågor till EU-domstolen för ett förhandsavgörande om omfattningen av rätten att få en "kopia av uppgifter" enligt artikel 15.3 i GDPR.
GDPR kräver att användaren förstår behandlingen. I sitt avgörande betonar EU-domstolen att syftet med GDPR är att stärka och exakt definiera de registrerades rättigheter. Rätten till tillgång är särskilt viktig i detta sammanhang, eftersom den gör det möjligt för registrerade att utöva ytterligare rättigheter, t.ex. radering, rättelse eller invändning - vilket endast skulle vara möjligt i begränsad utsträckning utan kännedom om de specifika uppgifter som behandlas.
Max Schrems:"Vi är glada över att EU-domstolen betonar vikten av rätten till tillgång. Utan sammanhanget för behandlingen är det ofta omöjligt för de registrerade att förstå vad som lagras om dem."
Databasutdrag och dokument kan vara nödvändiga. Det är också viktigt att EU-domstolen understryker behovet av att sätta den information som lämnas i ett sammanhang. Det är inte tillräckligt att företag skickar en lista med rådata. Uppgifterna måste tillhandahållas den registrerade i sin helhet, i sitt sammanhang och vara trogna originalet. Detta är särskilt viktigt för uppgifter som genereras från andra uppgifter - som i det aktuella fallet, där kreditvärdigheten beräknades utifrån den registrerades uppgifter. Här kommer det regelbundet att vara viktigt att tillhandahålla utdrag ur dokument, hela dokument eller till och med databasutdrag, vilket EU-domstolen betonar. Det är annars svårt för den registrerade att förstå uppgifternas verkliga innebörd, men också om uppgifterna är manipulerade, inkonsekventa eller endast delvis tillhandahållna.
Max Schrems:"Avgörandet sätter stopp för den olagliga praxisen att helt enkelt tillhandahålla en dumpning av uppgifter utan några ytterligare förklaringar. Särskilt när det gäller mer komplexa behandlingar måste företagen se till att de behandlade uppgifterna är helt begripliga - om nödvändigt även genom att tillhandahålla ett databasutdrag eller en kopia av dokument."
