Datenschutzbehörde (DSB) konstaterar att skyldigheten att svara på en begäran om tillgång är helt oberoende av adressatens kvalificering som personuppgiftsansvarig enligt dataskyddsförordningen (GDPR), och förelägger ELGA att tillhandahålla den registrerade den begärda informationen.
Av beslutet framgår att den registrerade gjort en begäran om tillgång hos ELGA, ett företag med uppdrag att tillhandahålla tjänster inom folkhälsosektorn, inklusive att hålla databaser på uppdrag av det österrikiska hälsoministeriet. ELGA besvarade aldrig denna begäran. Den registrerade lämnade därför in ett klagomål till DSB.
ELGA nekade till att vara personuppgiftsansvarig enligt artikel 4.7 GDPR. Enligt bolaget var den personuppgiftsansvarige det österrikiska hälsoministeriet, som fastställde ändamålen och medlen för den behandling som bolaget utförde, särskilt i samband med vaccinationskampanjer.
Enligt DSB måste begreppet personuppgiftsansvarig enligt artikel 4.7 GDPR hållas åtskilt från skyldigheten att hantera en begäran om tillgång. Detta kan utläsas av det faktum att skyldigheten att reagera, även på ett negativt sätt, gäller vem som helst, och att förekomsten av en behandlingsaktivitet inte är en nödvändig faktor för begäran.
Om mottagaren av begäran om tillgång anser att ett väsentligt svar är antingen materiellt eller rättsligt omöjligt, måste de fortfarande informera den registrerade om skälen till avslaget enligt artikel 12.4 GDPR och om möjligheten att lämna in ett klagomål till dataskyddsmyndigheten. Med andra ord är en skyldighet att reagera avgörande för att den registrerade ska kunna utöva ytterligare rättigheter enligt GDPR.
Mot denna bakgrund beslutade DSB att förelägga ELGA att tillhandahålla den begärda informationen till den registrerade.