Perkara 15 Peraturan Perlindungan Data Am—tertanam dalam undang-undang Belanda melalui Algemene Verordening Gegevensbescherming (AVG)—memberi setiap orang hak yang jelas untuk mengetahui sama ada organisasi memproses data peribadi mereka, untuk mendapatkan salinan dan untuk melihat konteks sekeliling seperti tujuan, penerima dan tempoh pengekalan. Hak ini ialah tulang belakang ketelusan dan akauntabiliti: ia membolehkan individu menyemak perkara yang dipegang tentang mereka dan memaksa syarikat untuk memastikan amalan data mereka bersih, didokumenkan dan boleh dipertahankan.
Sama ada anda meminta fail HR anda sendiri atau bersedia untuk menjawab permintaan capaian subjek pelanggan, mengetahui skop dan had tepat Perkara 15 mengurangkan risiko denda, pertikaian dan kerosakan reputasi. Dalam halaman yang berikutnya, kami menterjemah teks undang-undang ke dalam bahasa Inggeris biasa, memandu subjek data melalui templat permintaan langkah demi langkah, membimbing pengawal tentang garis masa, yuran dan tugas redaksi, membenderakan peraturan khusus Belanda yang dikuatkuasakan oleh Autoriteit Persoonsgegevens dan menutup dengan senarai semak praktikal untuk kedua-dua pihak.
Penyahkodan Artikel 15 AVG dalam Bahasa Inggeris Biasa
“Subjek data berhak untuk mendapatkan pengesahan daripada pengawal sama ada data peribadi mengenainya sedang diproses atau tidak, dan, jika demikian, akses kepada data peribadi…” — Perkara 15(1) GDPR
Dalam bahasa yang mudah: anda boleh bertanya kepada mana-mana organisasi “Adakah anda menyimpan data tentang saya? Jika ya, tunjukkan kepada saya apa, mengapa, dengan siapa anda berkongsinya, dan berapa lama anda menyimpannya.” Itulah intipati hak akses di bawah GDPR; skop Perkara 15 AVG di Belanda adalah sama kerana Uitvoeringswet AVG Belanda hanya menyetempatkan penguatkuasaan tanpa mengubah isi kandungannya.
Apabila anda memfailkan permintaan, anda berhak mendapat lapan item konkrit:
- Pengesahan pemprosesan
- Salinan data peribadi
- Tujuan pemprosesan
- Kategori data yang terlibat
- Penerima atau kategori penerima
- Tempoh penyimpanan yang dirancang atau kriteria untuk menentukannya
- Hak GDPR lain yang boleh anda laksanakan
- Perlindungan untuk sebarang pemindahan di luar EEA
Hak tersebut bersifat peribadi—hanya subjek data (atau wakil yang sah) sahaja yang boleh menggunakannya—dan ia adalah mutlak untuk menerima data anda sendiri. Walau bagaimanapun, pengawal boleh mengurangkan atau menolak akses apabila hak asasi lain (rahsia perdagangan, privasi pihak ketiga) akan terjejas.
Teks Undang-undang lwn. Syarat Orang Awam
| Perkara 15 fasal | Apa maksud sebenarnya |
|---|---|
| 15 (1) pengesahan | Tanya "ya/tidak" jika mereka memproses data anda. |
| 15 (1) mengakses | Dapatkan data sebenar serta konteks. |
| 15 (1) (c) penerima | Ketahui siapa yang melihat atau mendapatkan data, di dalam atau di luar firma. |
| 15 (2) pemindahan negara ketiga | Ketahui tentang data yang dihantar di luar EEA dan perlindungan yang digunakan. |
| 15 (3) salinan | Terima maklumat dalam format digital boleh guna semula, secara percuma. |
Sekilas Pandangan Utama
- Berapa lama pengawal boleh mengambil masa? Satu bulan, boleh dilanjutkan kepada tiga untuk kes yang kompleks.
- Bolehkah mereka mengenakan saya? Tidak, melainkan permintaan itu "jelas tidak berasas atau berlebihan."
- Dalam format apakah saya akan menerima data? Fail elektronik selamat (cth, PDF atau CSV) melainkan anda bertanya sebaliknya.
- Adakah saya mesti menggunakan borang khas? Tidak; e-mel, surat atau panggilan telefon juga dikira.
- Bagaimana jika mereka tidak memegang apa-apa pada saya? Mereka mesti menyatakannya secara bertulis dalam tarikh akhir yang sama.
Siapa yang Boleh Menjalankan Hak dan Kepada Siapa?
Di bawah Perkara 4(1) GDPR, subjek data ialah mana-mana orang asli yang masih hidup dan boleh dikenal pasti—sama ada pelanggan, pekerja, pesakit atau murid bawah umur. Setiap daripada mereka boleh menggunakan hak akses di bawah GDPR: skop Perkara 15 AVG tidak mendiskriminasi mengikut umur, kewarganegaraan atau tempat tinggal. Permintaan mesti ditujukan kepada pengawal : pihak yang memutuskan mengapa dan bagaimana data diproses. Penyedia awan atau biro gaji yang hanya menyimpan data ialah pemproses ; ia mesti menyerahkan permintaan kepada pengawal tetapi tidak boleh menolak arahan langsung.
Penduduk Belanda juga boleh menyasarkan permintaan mereka kepada syarikat asing yang menyasarkan pasaran Belanda (cth, rangkaian sosial yang berpangkalan di Ireland). Jam satu bulan bermula pada saat pengawal menerima permintaan, tidak kira di mana pelayannya tinggal.
Situasi Istimewa: Wakil, Orang Mati, Ibu Bapa dan Penjaga
- Bawah umur dan orang dewasa yang tidak berupaya: ibu bapa, penjaga atau kurator boleh bertindak bagi pihak mereka di bawah Buku 1 Kanun Sivil Belanda.
- Sekolah dan majikan: murid dan pekerja diri boleh memfailkan Permintaan Akses Subjek (SAR); wakil adalah pilihan, tidak diperlukan.
- Orang yang meninggal dunia berada di luar GDPR, namun doktor, notari dan penanggung insurans masih mesti mematuhi peraturan kerahsiaan profesional sebelum mendedahkan fail berkaitan.
Tanggungjawab Bersama Pengawal dalam Sistem Dikongsi
Apabila dua atau lebih organisasi bersama-sama menentukan tujuan atau cara pemprosesan (Perkara 26 GDPR)—contohnya, majikan dan vendor perisian HRnya—mereka adalah pengawal bersama . Mereka mesti bersetuju secara telus siapa yang menjawab permintaan Perkara 15, dan memaklumkan subjek data, tetapi setiap satu tetap bertanggungjawab jika pihak yang lain gagal.
Perkara yang Mesti Didedahkan: Data dan Maklumat Tambahan
Apabila anda menggunakan hak akses di bawah GDPR, skop Perkara 15 AVG mewajibkan pengawal untuk menyerahkan dua perkara: data peribadi sebenar dan pakej butiran kontekstual . Anggapkannya sebagai menerima kedua-dua foto dan kapsyennya. Undang-undang tersebut membahagikan tugas pendedahan kepada lapan kelompok, disenaraikan di bawah.
| Seni. 15(1) perkara | Apa yang patut anda terima |
|---|---|
| (a) Pengesahan | Yang jelas Ya tidak sama ada data anda diproses |
| (b) Tujuan | Sebab data wujud (cth, gaji, pemasaran) |
| (c) Kategori | Jenis seperti butiran hubungan, sejarah pembelian, log GPS |
| (d) Penerima | Pasukan dalaman dan rakan kongsi atau pemproses luar |
| (e) Pengekalan | Tempoh atau kriteria yang tepat (cth, “7 tahun untuk undang-undang cukai”) |
| (f) Hak | Peringatan anda boleh membetulkan, memadam, menyekat, membantah, mengadu |
| (g) Sumber | Dari mana data itu datang jika tidak dikumpul daripada anda |
| (h) Pemindahan | Perlindungan untuk sebarang penghantaran di luar EEA |
Data peribadi lebih daripada nama dan nombor. Ia meliputi profil tingkah laku, skor kredit yang disimpulkan, rakaman CCTV, rakaman suara, ID peranti, dan juga metadata yang kelihatan membosankan seperti cap masa log masuk—apa-apa sahaja yang boleh dikaitkan, secara langsung atau tidak langsung, kepada orang yang boleh dikenal pasti.
"Salinan Data Peribadi" Diterangkan
Salinan bermaksud reproduksi yang boleh difahami, bukan fail kertas asal. Jangkakan :
- PDF rekod gaji anda
- Eksport CSV nota CRM
- ZIP dengan fail audio panggilan sokongan
Jika anda menghantar permintaan melalui e-mel, penghantaran lalai juga hendaklah elektronik dan dalam format "biasa digunakan" melainkan anda meminta kertas.
Data Peribadi lwn Dokumen: Tempat Melukis Garis
Pengawal mesti mengekstrak hanya petikan yang berkaitan dengan anda. Contohnya, dalam memo mesyuarat yang mengandungi beberapa pekerja, ucapan lisan anda boleh didedahkan sementara komen rakan sekerja disunting. Sebaliknya, kontrak pekerjaan yang ditandatangani didedahkan sepenuhnya kerana setiap klausa berkaitan dengan anda.
Maklumat Tambahan Wajib
Di luar salinan data, pengawal mesti menerangkan: tujuan, kategori, penerima, pengekalan, hak yang tersedia, sumber data, logik di sebalik keputusan automatik (jika ada), dan pemindahan perlindungan. Perhatikan jawapan yang samar-samar—“untuk tujuan perniagaan” atau “disimpan selagi perlu” tidak mungkin memuaskan Autoriteit Persoonsgegevens. Penjelasan yang komprehensif dan bahasa biasa adalah perisai terbaik terhadap aduan dan denda.
Cara Menyerahkan dan Mengendalikan Permintaan Akses Subjek (SAR) di Belanda
Permintaan Akses Subjek boleh dibuat dengan apa jua cara yang disukai oleh subjek data—melalui telefon, e-mel , surat, DM media sosial atau bot sembang. Perkara 12 GDPR melarang pengawal daripada menuntut borang tertentu, jadi "Saya mahu salinan semua data peribadi yang anda simpan tentang saya" sudah cukup untuk memulakan proses. Walau bagaimanapun, amalan terbaik adalah mengemukakan rekod bertulis supaya kedua-dua pihak boleh menjejaki tarikh akhir. Sebaik sahaja permintaan diterima, pengawal mesti segera (1) mengakui penerimaan dan (2) mencatat tempoh respons selama sebulan . Senyap atau kelewatan selepas bulan pertama itu berisiko untuk aduan Autoriteit Persoonsgegevens (AP) dan kemungkinan denda.
Di bawah ialah subjek data templat dwibahasa yang ringkas dan boleh salin-tampal; tiada jargon undang-undang diperlukan.
Subject: Subject Access Request – Article 15 GDPR/AVG
Dear [Controller],
I hereby request, under Article 15 GDPR/AVG, confirmation of whether you process my personal data.
If so, please provide a copy and the supplementary information listed in Article 15(1)(a-h).
Kind regards,
[Name] | [Email] | [Any reference number]
---
Onderwerp: Verzoek om inzage – Artikel 15 AVG/GDPR
Geachte [Verwerkingsverantwoordelijke],
Ik verzoek u op grond van artikel 15 AVG om bevestiging of u mijn persoonsgegevens verwerkt.
Indien dit het geval is, ontvang ik graag een kopie en de aanvullende informatie zoals genoemd in artikel 15 lid 1 onder a-h.
Met vriendelijke groet,
[Naam] | [E-mail] | [Eventuele referentie]
Pengawal harus mencipta aliran kerja pengambilan yang mudah— peti mel [email protected] , nombor tiket, pengesahan automatik—untuk membuktikan pematuhan kemudian.
Pengesahan Identiti Tanpa Mengumpul Berlebihan
Pengawal mesti "munasabah" dalam menyemak siapa yang bertanya tanpa mengambil lebih banyak data daripada yang diperlukan. AP mengesyorkan:
- Padankan butiran permintaan dengan data akaun sedia ada (nama pengguna, ID pelanggan) jika boleh.
- Jika bukti tambahan tidak dapat dielakkan, minta pasport yang telah disunting atau imbasan lesen memandu dengan BSN, foto dan MRZ digelapkan.
- Jangan sekali-kali menyimpan salinan lebih lama daripada yang diperlukan untuk pengesahan; log fakta cek, kemudian padam fail.
Pembalakan dan Penyimpanan Rekod untuk Kebertanggungjawaban
Log SAR asas memastikan pengawal selia—dan DPO anda—gembira. Rekod:
- Tarikh diterima dan saluran (e-mel, panggilan, dll.)
- Langkah pengesahan identiti diambil
- Skop data yang terdapat
- Pasukan dalaman yang terlibat
- Tarikh dan kaedah balasan + sebarang sambungan yang dituntut
- Ringkasan maklumat yang diberikan atau sebab penolakan
Mengekalkan daftar ini menyokong prinsip "akauntabiliti" Artikel 5 dan memberikan jejak audit sedia dibuat jika AP mengetuk pintu anda.
Garis Masa, Yuran dan Format Penghantaran Pengawal
Apabila waktu bermula, pengawal mempunyai satu bulan untuk menjawab permintaan akses subjek. Mereka boleh melanjutkan tempoh sehingga dua bulan tambahan , tetapi hanya untuk permintaan yang kompleks atau banyak dan mereka mesti menjelaskan kelewatan tersebut dalam bulan pertama. Jika tiada data peribadi disimpan, pengawal masih mesti membalas dalam tarikh akhir yang sama dan menyatakannya secara jelas.
Perkara 12(5) menetapkan peraturan sifar yuran: akses adalah percuma. Caj hanya dibenarkan apabila permintaan "jelas tidak berasas atau berlebihan" — bayangkan seorang pekerja meminta salinan yang sama setiap minggu, atau seorang spammer yang meminta data pada ratusan profil palsu.
Penghantaran mestilah dalam format selamat yang "biasa digunakan". Perbandingan cepat:
| format | Kelebihan | Kekurangan |
|---|---|---|
| PDF yang disulitkan | Boleh dibaca; redaksi mudah | Kata laluan yang lemah mungkin |
| Eksport CSV | Boleh dibaca mesin; saiz kecil | Lebih sukar untuk orang awam |
| Portal selamat | 2FA dan jejak audit | Mahal untuk diselenggara |
Mana-mana laluan yang dipilih, pengawal harus mematuhi keutamaan yang munasabah dan mengelakkan penguncian proprietari.
Penghantaran Selamat dan Pengurangan Data
Jangan sekali-kali menghantar hamparan yang tidak dilindungi melalui e-mel. Gunakan fail yang dilindungi kata laluan (kongsi kunci secara berasingan), portal HTTPS dengan pengesahan dua faktor atau mel berdaftar untuk berkas kertas. Sebelum penghantaran, gosok data pihak ketiga dengan perisian redaksi dan alih keluar medan lebihan. Ini memenuhi Perkara 5(1)(c) pengecilan sambil melindungi rakan sekerja, rahsia perdagangan dan orang ramai.
Alasan Sah untuk Mengehadkan atau Menolak Akses
Perkara 15 adalah kuat, namun tidaklah tidak terbatas. Perenggan 4 dan Resital 63 menjelaskan bahawa pengawal boleh mengurangkan atau menolak pendedahan apabila penyerahan maklumat tersebut akan bercanggah dengan hak asasi lain atau jelas tidak munasabah. Beban pembuktian terletak pada pengawal: anda mesti mendokumentasikan mengapa akses penuh akan menjejaskan kepentingan yang bersaing tersebut dan bagaimana anda mengurangkan impak tersebut (contohnya, penyuntingan separa).
Melindungi Privasi Pihak Ketiga
Pendedahan rangkaian e-mel yang turut menamakan rakan sekerja atau pelanggan boleh mendedahkan data peribadi mereka . Undang-undang kes Belanda (Rb. Midden-Nederland, ECLI:NL:RBMNE:2023:1204) mengesahkan bahawa pengawal boleh mengosongkan atau meringkaskan pengecam pihak ketiga, dengan syarat pemohon masih memahami konteksnya. Teknik:
- Nama garis hitam dan nombor telefon
- Gantikan dengan istilah neutral (“pekerja lain”)
- Bekalkan ekstrak dan bukannya keseluruhan fail
Rahsia Perdagangan, Harta Intelek dan Hak Cipta
Syarikat tidak perlu membuka kimono algoritma mereka. Jika mendedahkan kod sumber, formula harga atau bahan berhak cipta akan mendedahkan pengetahuan sulit, Perkara 15(4) membenarkan respons yang ditentukur. Penyelesaian biasa: terangkan logik keputusan automatik dalam bahasa Inggeris biasa, bukan kod penuh; berikan petikan jadual kontrak, bukan templat proprietari. Sentiasa terangkan sebab pendedahan yang lebih mendalam akan membahayakan kepentingan komersial.
Mencegah Penyalahgunaan Hak
Permintaan jelas tidak berasas atau berlebihan apabila ia berulang, mengganggu atau sengaja membebankan—bayangkan SAR salin-tampal mingguan selepas data penuh telah dihantar. Pengawal kemudiannya boleh:
- Kenakan "yuran yang berpatutan" yang mencerminkan kos pentadbiran, or
- Enggan bertindak sama sekali.
Walau apa pun, anda mesti mewajarkan pendirian secara bertulis dan memaklumkan subjek data tentang hak mereka untuk mengadu kepada Autoriteit Persoonsgegevens.
Mencari Pembetulan: Aduan dan Litigasi di Belanda
Apabila pengawal terlepas markah, subjek data mempunyai pilihan yang cepat dan meningkat untuk menguatkuasakan hak akses di bawah GDPR (skop Perkara 15 AVG).
- Tusukan dalaman. Hantar peringatan bertarikh merujuk Perkara 15 dan tarikh akhir yang telah berlalu; kebanyakan organisasi mematuhi sebaik sahaja digesa.
- Autoriteit Personsgegevens aduan. Fail dalam talian. AP boleh memerintahkan pendedahan, mengenakan bayaran penalti harian, atau mengenakan denda pentadbiran. Kes mudah selalunya ditutup dalam masa tiga bulan.
- Tindakan mahkamah sivil. Di bawah Perkara 82 GDPR mahkamah Belanda boleh memberikan injunksi dan memberi pampasan. Keputusan baru-baru ini telah memberikan €250–€2 500 untuk kesusahan, dengan laluan pantas kort geding pelepasan tersedia untuk pertikaian pekerjaan segera.
Kerjasama Rentas Sempadan dan Kedai Sehenti
A Dutch resident may still complain to the AP even if the controller’s EU headquarters sits elsewhere. The AP forwards the file via the GDPR One-Stop-Shop, and the Lembaga Perlindungan Data Eropah boleh memecahkan sebarang kebuntuan peraturan—jadi geografi bukanlah penghalang untuk mendapatkan data anda.
Rangka Tindakan Pematuhan untuk Organisasi
Proses SAR yang kemas bermula lama sebelum permintaan pertama tiba. Bina perkara penting ini dan 90% sakit kepala akses hilang:
- Terbitkan dasar SAR bahasa Inggeris yang ringkas dan jelas dan tunjukkan kakitangan kepadanya.
- Pastikan Rekod Aktiviti Pemprosesan (RoPA) anda dikemas kini—supaya anda mengetahui tempat tinggal data.
- Tempoh pengekalan peta dan pencetus pemadaman; data basi ialah data yang tidak perlu anda serahkan.
- Kekalkan aliran kerja redaksi langkah demi langkah dengan semakan dwi-kawalan.
- Log setiap permintaan, keputusan dan tarikh akhir untuk Perkara 5 akauntabiliti.
- Jalankan latihan meja tahunan untuk menguji kelajuan, kejelasan dan rantaian arahan.
Latih pejabat hadapan, HR dan IT tentang mengesan dan mencuba permintaan lisan; satu panggilan telefon yang terlepas boleh memulakan jam penalti.
Automasi dan Alat
Gunakan perisian penemuan data, API pengesahan ID dan portal muat turun selamat untuk mencari, membungkus dan menghantar data dengan cepat—sentiasa memberi ruang untuk semakan deria dan konteks manusia.
Penyepaduan dengan Hak Subjek Data Lain
Reka bentuk aliran kerja SAR untuk bercabang kepada tindakan pembetulan, pemadaman atau mudah alih; satu saluran paip yang koheren mengelakkan carian pendua dan jawapan yang tidak konsisten.
Memperkasakan Subjek Data: Petua Praktikal untuk Permintaan Berkesan
SAR yang jelas dan berskop baik menjimatkan masa semua orang dan menjadikannya lebih sukar bagi pengawal untuk berhenti. Cuba taktik ini:
- Mengenalpasti apa anda mahu: “Semua e-mel antara saya dan pengurus Jansen dari 1 Jan – 31 Mac 2024.”
- Sebut di mana ia terletak: "Sistem HR dan tiket meja bantuan."
- Nyatakan format pilihan (CSV, PDF) dan saluran selamat.
- Benderakan segera apabila berkaitan (“akan datang penilaian prestasi pada 15 Okt”).
Setelah data tiba, imbas untuk mencari ralat atau jurang dan segera melancarkan permintaan pembetulan atau pemadaman—menunggang jejak bukti yang sama mengekalkan momentum.
Strategi Peningkatan jika Diabaikan
Hari ke-31 dan masih senyap radio? Pastikan ia sopan tetapi tegas:
Subject: Reminder – Article 15 GDPR/AVG request overdue
Dear [Controller],
On [date] I requested access to my personal data. The one-month term has passed without a response.
Please provide the information within seven days or explain the lawful basis for any refusal.
Failing that, I will file a complaint with the Autoriteit Persoonsgegevens and consider civil action.
Regards,
[Name]
Dokumen setiap langkah (tarikh, e-mel, log telefon). Jika minggu tambahan tamat, buat aduan dalam talian dengan AP dan lampirkan berkas bukti anda; mahkamah dan pengawal selia memihak kepada penuntut yang teratur.
Membungkus Hak Akses Anda
Artikel 15 GDPR/AVG meletakkan individu di tempat duduk pemandu: anda boleh bertanya, melihat dan mencabar perkara yang dilakukan oleh organisasi dengan data anda. Untuk pengawal, prosedur yang jelas, rekod kemas dan suntingan yang wajar bukan pilihan—ia adalah satu-satunya cara untuk mencapai tarikh akhir sebulan dan mengelak silau Autoriteit Persoonsgegevens.
Ingat buku permainan asas:
- permintaan boleh dibuat secara tidak rasmi,
- respons mestilah bebas, tepat pada masanya, dan lengkap,
- had adalah sempit dan mesti dibenarkan,
- pendedahan separa mengatasi penolakan menyeluruh.
Patuhi peraturan tersebut dan hak akses menjadi tugas pematuhan rutin dan bukannya sakit kepala di mahkamah.
Perlukan templat SAR yang dibuat khusus, membantu merungkai data pihak ketiga atau strategi untuk pengawal yang degil? Peguam privasi di Law & More bersedia untuk campur tangan—sama ada anda seorang subjek data yang mencari jawapan atau syarikat yang mencari kepastian.
