जीडीपीआर अंतर्गत माहिती मिळवण्याचा अधिकार: तुम्हाला काय मिळते आणि त्याची अंमलबजावणी कशी करावी

जनरल डेटा प्रोटेक्शन रेग्युलेशनच्या (जीडीपीआर, डच भाषेत अल्गेमेने फेरॉर्डेनिंग गेगेवेन्सबेशरमिंग किंवा एव्हीजी) कलम १५ नुसार, तुम्ही कोणत्याही संस्थेला विचारू शकता की ती तुमच्याबद्दलच्या वैयक्तिक डेटावर प्रक्रिया करते का, आणि तसे असल्यास, तुम्हाला त्याची एक प्रत, तसेच त्यामागील उद्देश, प्राप्तकर्ते, जतन कालावधी आणि स्रोत याबद्दलची माहिती मिळू शकते. संस्थेने एका महिन्याच्या आत आणि विनामूल्य उत्तर देणे बंधनकारक आहे; जिथे इतरांचे हक्क, जसे की तृतीय पक्ष किंवा व्यावसायिक गुपिते, यांचे संरक्षण करण्यासाठी आवश्यक असेल, तिथेच ती संस्था प्रतीची माहिती मर्यादित करू शकते.

जर एखादी कंपनी उत्तर देण्यास नकार देत असेल किंवा उत्तर देत नसेल, तर तुम्ही GDPR अंमलबजावणी कायद्याच्या (Uitvoeringswet AVG, UAVG) कलम ३५ अंतर्गत जिल्हा न्यायालयात (rechtbank) आदेशासाठी अर्ज करू शकता. उत्तर मिळाल्यापासून सहा आठवड्यांच्या आत तुम्हाला तसे करणे आवश्यक आहे; जर अजिबात उत्तर मिळाले नसेल, तर कोणतीही अंतिम मुदत लागू होत नाही. सरकारी संस्थेविरुद्ध, सामान्य प्रशासकीय कायदा अधिनियमांतर्गत (Awb) आक्षेप (bezwaar) घेणे हा मार्ग आहे.

कलम १५ तुम्हाला काय देते?

कलम १५ तुम्हाला दोन गोष्टी देते: तुमच्या डेटावर प्रक्रिया केली जाते की नाही याची पुष्टी, आणि तसे असल्यास, आठ पूरक माहितीसह त्या डेटावर प्रवेश. कलम १५(३) मध्ये प्रतीचा अधिकार जोडला आहे.

कलम १५(२) अंतर्गत, जेव्हा तुमचा डेटा EEA च्या बाहेर हस्तांतरित केला जातो तेव्हा कोणते संरक्षण उपाय लागू होतात हे देखील तुम्हाला सांगितले पाहिजे. त्यामुळे, या संदर्भाशिवाय केवळ डेटा डंप करणे हे कलम १५ ची पूर्तता करत नाही.

वैयक्तिक डेटा ही एक व्यापक श्रेणी आहे. GDPR अंतर्गत , यामध्ये तुमच्याबद्दल नोंदवलेली मूल्यमापन आणि मते, कॅमेरा प्रतिमा, कॉल रेकॉर्डिंग, आयपी पत्ते, लॉग-इन वेळा आणि तुमच्याबद्दल काढलेले निष्कर्ष यांचा समावेश होतो, जे तुमच्याशी जोडले जाऊ शकतात. एखादी गोष्ट या श्रेणीच्या बाहेर का येईल, याचे स्पष्टीकरण नियंत्रकाला द्यावे लागते.

कोण विचारू शकतो, आणि कोणाला उत्तर द्यावे लागेल?

हा अधिकार डेटा धारकाचा आहे: म्हणजेच, वय, राष्ट्रीयत्व किंवा निवासस्थान विचारात न घेता, एक जिवंत, ओळखण्यायोग्य व्यक्ती. अल्पवयीन व्यक्तीसाठी पालक किंवा पालकत्व स्वीकारलेली व्यक्ती काम करू शकते; इतर कोणालाही लेखी अधिकृततेची आवश्यकता असते, जी नियंत्रक तपासू शकतो.

जीडीपीआर मृत व्यक्तींच्या डेटाला लागू होत नाही. डच नियमांनुसार नातेवाईकांना अजूनही मार्ग उपलब्ध असू शकतो, उदाहरणार्थ मृत रुग्णाच्या वैद्यकीय फाईलमध्ये प्रवेश मिळवण्यासाठी.

ही विनंती नियंत्रकाकडे (verwerkingsverantwoordelijke) जाते: म्हणजेच, डेटावर का आणि कशी प्रक्रिया करायची हे ठरवणाऱ्या पक्षाकडे. निर्देशांनुसार काम करणारी पेरोल ब्युरो, होस्टिंग कंपनी किंवा सॉफ्टवेअर पुरवठादार हे प्रोसेसर असतात आणि त्यांनी ही विनंती पुढे पाठवणे आवश्यक आहे. GDPR च्या कलम २६ नुसार जिथे दोन संस्था संयुक्त नियंत्रक आहेत, तिथे तुम्ही त्यापैकी कोणाकडेही संपर्क साधू शकता.

GDPR हे EU बाहेरील अशा नियंत्रकांना देखील लागू होते जे EU मधील लोकांना वस्तू किंवा सेवा देतात किंवा त्यांच्या वर्तनावर देखरेख ठेवतात. त्यामुळे तुम्ही परदेशी प्लॅटफॉर्मवर विनंती पाठवू शकता; एक महिन्याचा कालावधी विनंती मिळाल्यापासून सुरू होतो.

कर्मचारी त्यांच्या मालकाविरुद्ध या अधिकाराचा वापर करू शकतात , उदाहरणार्थ, कामावरून काढून टाकल्यास किंवा कामगिरीच्या वादाच्या वेळी त्यांची वैयक्तिक फाइल मिळवण्यासाठी. विनंतीच्या वेळेमुळे त्याला वेगळे उत्तर देण्याचे काही कारण नाही.

“प्रत” याचा अर्थ काय आहे?

प्रत ही प्रक्रिया केलेल्या सर्व वैयक्तिक माहितीचे अचूक आणि सुगम पुनरुत्पादन असणे आवश्यक आहे. युरोपियन युनियनच्या न्याय न्यायालयाने (CJEU) असा निर्णय दिला आहे की केवळ सारांश किंवा श्रेणींची यादी पुरेशी नाही.

हे बंधन माहितीशी संबंधित आहे, ती ज्या दस्तऐवजांमध्ये आहे त्यांच्याशी नाही. युरोपियन न्यायालयाच्या मते, जिथे तुम्हाला माहिती समजून घेण्यासाठी आणि तुमच्या हक्कांचा वापर करण्यासाठी आवश्यक असेल, तिथे दस्तऐवजांमधील उतारे, संपूर्ण दस्तऐवज किंवा डेटाबेसचे उतारे देणे बंधनकारक आहे. उदाहरणार्थ, एखादे मूल्यांकन अनेकदा केवळ त्याला आधार देणाऱ्या अहवालाच्या चौकटीतच अर्थपूर्ण ठरते.

CJEU ने असाही निर्णय दिला आहे की तुम्हाला तुमच्या विनंतीसाठी कारण देण्याची आवश्यकता नाही. डेटा संरक्षणाशी संबंधित नसलेला हेतू, जसे की नियंत्रकाविरुद्ध दावा तयार करणे, यामुळे विनंती गैरवाजवी ठरत नाही आणि पहिली प्रत विनामूल्य असली पाहिजे.

जेव्हा एखाद्या दस्तऐवजात इतर लोकांची माहिती देखील समाविष्ट असते, तेव्हा त्यातील काही भाग वगळण्याची परवानगी आहे. अनेक कर्मचाऱ्यांविषयीच्या बैठकीची नोंद, सहकाऱ्यांविषयीचे परिच्छेद वगळून प्रसिद्ध केली जाऊ शकते, मात्र उर्वरित मजकूर समजण्याजोगा राहिला पाहिजे. केवळ तुमच्याशी संबंधित असलेला दस्तऐवज, जसे की तुमचा करार आणि तुम्हाला लागू असलेल्या सर्वसाधारण अटी व शर्ती , यांतील मजकूर वगळता येणार नाही.

कोणत्या अंतिम मुदती, स्वरूप आणि खर्च लागू आहेत?

नियंत्रकाने विनंती मिळाल्यापासून एका महिन्याच्या आत उत्तर देणे आवश्यक आहे (कलम 12(3) GDPR). गुंतागुंतीच्या किंवा असंख्य विनंत्यांसाठी ही मुदत आणखी दोन महिन्यांपर्यंत वाढवता येते, परंतु पहिल्या महिन्याच्या आत कारणांसह तुम्हाला तसे कळवणे आवश्यक आहे.

जर नियंत्रकाने कारवाई न करण्याचा निर्णय घेतला, तर कलम 12(4) नुसार त्याने तुम्हाला एका महिन्याच्या आत, त्याची कारणे आणि डच डेटा संरक्षण प्राधिकरणाकडे (Autoriteit Persoonsgegevens, AP) तक्रार करण्याचा व न्यायालयात जाण्याचा तुमचा हक्क यासह कळवणे आवश्यक आहे. मौन म्हणजे मुदतवाढ नव्हे.

कोणतेही अनिवार्य स्वरूप नाही. ईमेल , पत्र, वेब फॉर्म किंवा तोंडी केलेली विनंती वैध आहे आणि नियंत्रक स्वतःच्या नमुन्याचा आग्रह धरू शकत नाही. तुम्ही अन्यथा विनंती केली नसल्यास, इलेक्ट्रॉनिक विनंतीला इलेक्ट्रॉनिक पद्धतीनेच उत्तर दिले जाते.

प्रवेश विनामूल्य आहे. वाजवी शुल्क केवळ पुढील प्रतींसाठी (कलम १५(३)), किंवा जिथे विनंती स्पष्टपणे निराधार किंवा अवाजवी असेल, विशेषतः पुनरावृत्ती होत असल्यामुळे (कलम १२(५)), तेव्हाच आकारले जाईल. नियंत्रकाला ते सिद्ध करावे लागेल, आणि केवळ पुनरावृत्ती सहसा पुरेशी नसते.

कलम १२(६) अंतर्गत, नियंत्रक केवळ तुमच्या ओळखीबद्दल वाजवी शंका असल्यास अतिरिक्त माहिती मागू शकतो. ओळखपत्राची खरोखरच गरज असल्यास, तुम्ही नागरिक सेवा क्रमांक (BSN) आणि फोटो खोडून टाकू शकता. मानक म्हणून संपूर्ण पासपोर्ट स्कॅनची मागणी करणे हे स्वतःच एक उल्लंघन आहे; बायोमेट्रिक डेटा अधिक कठोर नियमांच्या अधीन आहे.

प्रत सुरक्षितपणे पाठवली पाहिजे, उदाहरणार्थ, पासवर्ड वेगळा पाठवून संरक्षित फाईल म्हणून, किंवा द्वि-घटक प्रमाणीकरण असलेल्या पोर्टलद्वारे. संपूर्ण कर्मचारी फाईल असुरक्षितपणे खाजगी ईमेल पत्त्यावर पाठवल्यास डेटा उल्लंघनाचा धोका असतो, ज्याचे मूल्यांकन GDPR च्या कलम ३३ अंतर्गत करणे आवश्यक आहे.

प्रवेश केव्हा मर्यादित किंवा नाकारला जाऊ शकतो?

GDPR च्या कलम 15(4) अंतर्गत, प्रतीमुळे इतरांच्या हक्कांना आणि स्वातंत्र्यांना हानी पोहोचता कामा नये. यामुळे अंशतः संपादनास परवानगी आहे, परंतु संपूर्ण नकार कधीही देता येत नाही.

GDPR च्या प्रस्तावना ६३ मध्ये व्यावसायिक गुपिते आणि बौद्धिक संपदा, ज्यात सॉफ्टवेअर कॉपीराइटचा समावेश आहे, यांना असे हितसंबंध म्हणून नमूद केले आहे ज्यांचे संतुलन साधले जाऊ शकते. ही मर्यादा प्रतीला लागू होते, अनुच्छेद १५(१) मधील माहितीच्या तुमच्या अधिकाराला नाही. नियंत्रकाने सर्वात कमी निर्बंधात्मक उपाय निवडला पाहिजे, जो सहसा संपादनांसह प्रकटीकरण असतो.

तृतीय-पक्ष डेटा

ईमेल, बैठकीच्या नोंदी आणि तक्रारींच्या फाईल्समध्ये अनेकदा अनेक लोकांची माहिती असते. नियंत्रक तृतीय पक्षांची नावे आणि संपर्क तपशील वगळू शकतो किंवा त्याचा उतारा देऊ शकतो, परंतु त्यात तृतीय पक्षाचा उल्लेख आहे म्हणून संपूर्ण दस्तऐवज रोखून ठेवू शकत नाही.

व्यावसायिक गुपिते आणि कायदेशीर विशेषाधिकार

किंमत मॉडेल आणि सोर्स कोड संरक्षित केले जाऊ शकतात, परंतु कलम 15(1)(h) अंतर्गत कोणत्याही स्वयंचलित निर्णयाच्या तर्काबद्दल तुम्हाला अर्थपूर्ण माहिती मिळणे आवश्यक आहे. कायदेशीर व्यावसायिक विशेषाधिकारांतर्गत येणारे संवाद संरक्षित आहेत; अहवाल देण्याची जबाबदारी आणि विशेषाधिकार यावरील आमचा लेख पहा.

डच कायद्यातील निर्बंध

UAVG चे कलम ४१ नियंत्रकाला, आवश्यक आणि प्रमाणशीर असेल तेथे, डेटा धारकाचे अधिकार बाजूला ठेवण्याची परवानगी देते; उदाहरणार्थ, राष्ट्रीय सुरक्षेसाठी, फौजदारी गुन्ह्यांचा तपास आणि खटला चालवण्यासाठी, न्यायालयांच्या स्वातंत्र्यासाठी, किंवा डेटा धारकाचे किंवा इतरांचे संरक्षण करण्यासाठी. नियंत्रकाने कारण नमूद करणे आणि ते तुमच्या विशिष्ट विनंतीला लागू करणे आवश्यक आहे; केवळ एक सामान्य विधान पुरेसे नाही.

वैद्यकीय फायली एका समांतर मार्गाने हाताळल्या जातात. डच नागरी संहितेच्या (BW) कलम ७:४५६ नुसार, सेवा पुरवणाऱ्याने तुम्हाला तुमच्या फाईलमध्ये प्रवेश आणि तिची एक प्रत देणे बंधनकारक आहे, मात्र दुसऱ्या व्यक्तीच्या गोपनीयतेचे संरक्षण करण्यासाठी याची आवश्यकता असल्यास त्याला अपवाद आहे. तुम्ही दोन्ही मार्गांचा वापर करू शकता.

जर कंट्रोलरने प्रतिसाद दिला नाही तर तुम्ही काय करू शकता?

प्रथम दिनांकित स्मरणपत्र पाठवा, त्यानंतर 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) किंवा न्यायालयात जा. दोन्ही मार्ग एकाच वेळी चालू शकतात.

स्मरणपत्रामध्ये, तुमच्या मूळ विनंतीचा आणि तिच्या तारखेचा संदर्भ द्या, कलम 12(3) चा एक महिन्याचा कालावधी संपला आहे असे नमूद करा आणि एक किंवा दोन आठवड्यांची अल्प मुदत निश्चित करा. अनेक विनंत्यांना या टप्प्यावर प्रतिसाद दिला जातो आणि स्मरणपत्रामुळे तुमच्या लेखी पुराव्याचा मागोवा तयार होतो.

GDPR च्या कलम ७७ अंतर्गत तुम्ही Autoriteit Persoonsgegevens कडे तक्रार दाखल करू शकता. AP तपास करू शकते, पालनाचा आदेश देऊ शकते, दंडात्मक कारवाईच्या अधीन असलेला आदेश (शेवटचा आदेश 'ओंडर ड्वांग्सम' अंतर्गत) किंवा दंड आकारू शकते. ते नुकसान भरपाई देत नाही आणि तक्रार हाताळण्यासाठी अनेक महिने लागू शकतात.

न्यायालयीन प्रक्रिया कशी चालते?

एखाद्या कंपनी किंवा इतर खाजगी पक्षाविरुद्ध तुम्ही UAVG च्या कलम ३५ अन्वये जिल्हा न्यायालयात याचिका (verzoekschrift) दाखल करता. न्यायालय नियंत्रकाला विनंती मंजूर करण्याचा आदेश देऊ शकते.

• अंतिम मुदत: तुम्हाला नियंत्रकाचे उत्तर मिळाल्यानंतर सहा आठवड्यांनी (कलम 35(2) UAVG).
• कलम 12(3) च्या कालावधीत उत्तर न दिल्यास: कोणतीही अंतिम मुदत लागू होत नाही.
• याचिका दाखल करण्यासाठी तुम्हाला वकिलाची गरज नाही (अनुच्छेद 35(4) UAVG).
• न्यायालय पक्षकारांना लेखी माहिती आणि कागदपत्रे देण्याचा आदेश देऊ शकते (अनुच्छेद 35(6) UAVG).

सरकारी संस्थेविरुद्ध (bestuursorgaan), तुमच्या विनंतीवरील निर्णय हा Awb (अनुच्छेद 34 UAVG) अंतर्गत एक निर्णय (besluit) म्हणून गणला जातो. त्यानंतर तुम्ही सहा आठवड्यांच्या आत आक्षेप (bezwaar) दाखल करता (अनुच्छेद 6:7 Awb), आणि त्यानंतर प्रशासकीय न्यायालयात अपील करता.

तातडीच्या प्रकरणांमध्ये तुम्ही संक्षिप्त कार्यवाही (kort geding) सुरू करू शकता. GDPR च्या कलम ८२ अंतर्गत नुकसान भरपाईचा दावा जोडला जाऊ शकतो, परंतु CJEU च्या मते तुम्हाला प्रत्यक्ष नुकसान सिद्ध करावे लागते; केवळ उल्लंघन पुरेसे नाही. प्रवेश प्रकरणांमध्ये मिळणारी नुकसान भरपाई माफक असते. डच न्यायालयापुढील कार्यवाहीची तयारी कशी केली जाते, याचा आमचा आढावा तुम्हाला काय अपेक्षा करावी हे स्पष्ट करतो.

डेटा विषय म्हणून तुम्ही काय तपासले पाहिजे?

स्पष्ट आणि सुस्पष्ट विनंतीला लवकर प्रतिसाद मिळतो आणि तिला विलंब लावणे अधिक कठीण असते. विनंती पाठवण्यापूर्वी आणि नंतर, खालील मुद्दे तपासा:

• तुम्ही GDPR च्या कलम 15 चा स्पष्टपणे संदर्भ देता आणि कलम 15(1)(a)-(h) मधील माहिती आणि प्रत दोन्ही मागता.
• तुम्ही तुमचा ग्राहक किंवा कर्मचारी क्रमांक देऊन स्वतःची ओळख पटवता आणि तुम्हाला स्वारस्य असलेल्या कालावधी, विभाग किंवा प्रणालींची नावे सांगता.
• तुम्ही पाठवलेली विनंती जपून ठेवा, ती मिळाल्याची तारीख नोंदवा आणि एक महिन्याची अंतिम मुदत डायरीत लिहून ठेवा.
• तुम्ही उत्तर केवळ संलग्नकांशीच नव्हे, तर कलम 15(1) च्या सर्व आठ बाबींशी पडताळून पहा.
• जर तुम्हाला एखाद्या कंपनीकडून लेखी नकार मिळाला, तर तुम्ही न्यायालयातील याचिकेसाठी असलेल्या सहा आठवड्यांच्या मुदतीची नोंद घ्या.
• जर डेटा चुकीचा किंवा गरजेपेक्षा जास्त असल्याचे आढळल्यास, तुम्ही दुरुस्तीसाठी (कलम 16) किंवा हटवण्यासाठी (कलम 17) विनंती करता.

नियंत्रक म्हणून तुम्ही काय तपासले पाहिजे?

बहुतेक अपयश संघटनात्मक असतात: सेल्स इनबॉक्समध्ये पाठवलेल्या किंवा फोनद्वारे केलेल्या विनंतीसाठी देखील एक महिन्याचा कालावधी सुरू होतो. हे मुद्दे तपासा:

• कर्मचारी कोणत्याही स्वरूपातील प्रवेश विनंतीची दखल घेतात आणि त्याच दिवशी ती एका जबाबदार व्यक्तीकडे पाठवतात.
• तुमच्या प्रक्रिया क्रियाकलापांच्या नोंदी (कलम 30 GDPR) दर्शवतात की वैयक्तिक डेटा कुठे संग्रहित केला जातो, ज्यामध्ये संग्रहित मेलबॉक्स आणि तिकीटिंग साधनांचा समावेश आहे.
• तुम्ही प्रमाणानुसार ओळख पडताळणी करता आणि नेहमीच्या प्रक्रियेनुसार संपूर्ण पासपोर्टच्या प्रतीची कधीही मागणी करत नाही.
• दुसऱ्या तपासणीनंतर तृतीय-पक्षाचा डेटा संपादित केला जातो आणि प्रत्येक संपादन किंवा नकार त्याच्या कायदेशीर कारणासह नोंदवला जातो.
• तुम्ही कलम 15(1) माहितीसह प्रत एका महिन्याच्या आत पाठवा, किंवा त्या महिन्याच्या आत कारणांसह मुदतवाढीची सूचना द्या.
• तुम्ही माहिती जतन करण्याचा कालावधी लागू करता: कायदेशीररित्या हटवलेला डेटा पुन्हा उघड करण्याची आवश्यकता नसते.

जीडीपीआर प्रवेश विनंतीच्या संदर्भात आम्ही तुमच्यासाठी काय करू शकतो?

आमच्या आयटी वकील व्यवसायाचा भाग म्हणून , आम्ही व्यक्ती आणि संस्था या दोघांचेही प्रतिनिधित्व करतो:

• आम्ही तुमच्या प्रकरणासाठी महत्त्वाच्या असलेल्या डेटा आणि कालावधीनुसार तुमची माहिती मिळवण्याची विनंती किंवा स्मरणपत्र तयार करतो.
• आम्ही नियंत्रकाच्या उत्तराची कलम 15(1) नुसार तपासणी करतो आणि त्यात काय कमी आहे ते ओळखतो.
• आम्ही सहा आठवड्यांच्या मुदतीत UAVG च्या कलम 35 अंतर्गत जिल्हा न्यायालयात याचिका तयार करून दाखल करतो, किंवा सरकारी संस्थेविरुद्ध आक्षेप दाखल करतो.
• आम्ही तक्रारीचा मसुदा Autoriteit Personsgegevens कडे तयार करतो.
• संस्थांसाठी: आम्ही विनंती हाताळण्याची प्रक्रिया स्थापित करतो आणि वगळलेली माहिती व नकार पाठवण्यापूर्वी त्यांचे पुनरावलोकन करतो.

सारांश

• GDPR च्या कलम 15 नुसार तुम्हाला पुष्टीकरण, तुमच्या वैयक्तिक डेटाची एक विनामूल्य प्रत आणि आठ पूरक माहिती दिली जाते.
• नियंत्रकाने एका महिन्याच्या आत उत्तर दिले पाहिजे; दोन महिन्यांपर्यंतची मुदतवाढ त्याच पहिल्या महिन्याच्या आत जाहीर केली पाहिजे.
• इतरांचे संरक्षण करण्यासाठी प्रवेश मर्यादित केला जाऊ शकतो, सहसा माहिती वगळून, पण कधीही सरसकट नकार देऊन नाही.
• एखाद्या कंपनीविरुद्ध तुम्ही उत्तर मिळाल्यापासून सहा आठवड्यांच्या आत, वकिलाशिवाय, UAVG च्या कलम 35 अंतर्गत जिल्हा न्यायालयात याचिका दाखल करू शकता; उत्तर न दिल्यास, कोणतीही मुदत लागू होत नाही.
• सरकारी संस्थेविरुद्ध तुम्ही एडब्ल्यूबी अंतर्गत सहा आठवड्यांच्या आत आक्षेप दाखल करता.

सतत विचारले जाणारे प्रश्न