欧盟法院关于访问权和个人数据首份副本的规则：公司应...

fabiha01

欧洲联盟法院 (CJEU) 最近就C-307/22 号案件作出了一项裁决，强调了有关 GDPR 第 15 条规定的访问权范围的重要考虑因素。这项裁决对于根据 GDPR 处理个人数据的公司具有重要意义。它声称，GDPR 访问权要求数据控制者免费向数据主体提供其个人数据的初始副本。在本文中，我们对该判决的关键方面进行了总结。

案件
该案件由德国联邦法院（BGH）向欧洲法院（CJEU）提起，起因是一名患者与一名医疗保健从业者之间就获取患者医疗记录的争议。患者寻求免费获得一份医疗档案副本，以评估医疗保健从业者是否有理由承担责任。相反，数据控制者拒绝在患者不承担相关费用的情况下提供该文件（德国民法典第 630f 条）。

BGH 将此事提交给欧洲法院，以寻求澄清 GDPR 第 15 条（访问权）的范围和限制。

欧洲法院的主要法律原则
免费提供第一份副本：欧盟法院裁定，GDPR 要求控制者向数据主体免费提供其数据的初始副本。仅当数据主体寻求额外副本或其请求明显毫无根据和/或过分时，才可要求付款。对于专家来说，对 GDPR 的这种解读并不新鲜，也符合EDPB 关于访问权的指南。
无需事先证明：GDPR 并不要求数据主体在提出数据主体访问请求 (DSAR) 时提供事先证明或具体理由。欧盟法院强调，GDPR 的条款和序言均未明确规定，只有当目的仅仅是为了了解和验证数据处理的合法性时，控制者才可以授予访问权（如 GDPR 序言第 63 条所述）。法院认为，这一原则也适用于本案，尽管访问请求背后的原因（显然）是为了寻求对控制者服务的责任依据。这一立场也符合 EDPB 关于访问权的指南：
根据第63条规定，授予数据主体访问权是为了了解和验证处理的合法性。访问权使数据主体能够根据具体情况，获得更正、删除或阻止个人数据的权利。但是，数据主体没有义务说明理由或证明其请求的合理性。只要满足《GDPR》第15条的要求，请求背后的目的就应被视为无关紧要。 （第 6.1 节）

控制者的经济利益：欧盟法院澄清，不能以数据控制者的经济利益为由，根据第 23(1)(i) 条限制数据控制者发出的数据稳定审查请求。该条款允许“为保护数据主体或他人的权利和自由”而限制数据稳定请求，欧盟法院强调，经济商业利益不能包括在该定义中。
我们的分析
欧洲法院此项裁决中阐明的概念并不代表对 DSAR 解释的突破性转变。相反，重要的是，意大利商业传真列表 欧洲法院应强化欧洲数据保护委员会在上述指南中表达的立场，特别是关于：

数据主体有权免费获得其个人数据的第一份副本；
访问请求背后的目的事实上无关紧要，即使与 GDPR 中明确规定的目的不同且有补充（第 63 条）。
然而，这项裁决为在不同案件中适用解释打开了大门。从实际角度来看，这有开创先例的风险，可能导致数据主体滥用访问权。目前，处理来自数据主体的请求对于企业来说是一项繁重的义务，通常涉及漫长的流程和巨大的成本以确保遵守 GDPR。

数据主体请求访问其个人数据的权利在欧盟中是并且将继续是最重要的。然而，数据主体的过度和滥用请求的趋势日益增长，令人担忧，未来他们可能会在本裁决中规定的原则中寻求正当理由。

要了解此类请求可能涉及的范围，只需想一想当客户请求访问他们持有的有关该客户的所有数据时任何跨国公司必须处理的过程。

在这种情况下，他的所有个人数据都将被收集。例如：文件、发票、购买历史、个人偏好、客户服务互动（如电话记录、聊天记录、电子邮件通信）。为了收集这些数据，最好所有部门（客户服务、营销、IT、销售等）都参与其中。

然后，必须审查所有收集到的数据，以确保其他数据主体的权利不受侵犯，最后，所有信息都应组织成易于理解的格式。对于这项活动，必须有不同的专业人员参与，从法律和隐私专家到 IT 团队。

结论
显然，该公司在时间、精力和资源方面面临的负担是巨大的。

因此，解决以下问题很重要：当数据主体意识到这种情况并且他们的请求的目的与保护他们的权利无关时会发生什么？控制者必须在多大程度上满足这些请求？

相反，欧盟机构难道不应该在维护基本权利和欧盟企业的利益之间找到一个公平的平衡点吗？

观察欧盟机构未来应对企业面临的不可否认的实际挑战的方法的发展将会很有趣，希望它们不仅关注数据主体权利的保护，还关注旨在遵守 GDPR 的欧盟和非欧盟公司的商业利益。