Der Oberste Gerichtshof (OGH) anser att rätten till tillgång omfattar information om mottagare i händelse av en personuppgiftsincident enligt dataskyddsförordningen (GDPR).
Av domen framgår att den personuppgiftsansvarige driver testlaboratorier och tillhandahåller medicinska diagnostiska tjänster. I augusti 2021 skickade företagets tidigare VD ett e-postmeddelande med ett bifogat Excel-blad som innehöll mer än 24 000 testresultat tillsammans med personuppgifter om de testade personerna till minst en person utanför företaget. Det bifogade Excel-bladet vidarebefordrades sedan till två tidningar som därefter rapporterade om incidenten. Den klagande begärde tillgång till sina personuppgifter, men fick inte någon information om incidenten. Enligt den klagande var informationen ofullständig, vilket utgjorde en överträdelse av artiklarna 15.1 (c) och 34 GDPR.
OGH konstaterade att den personuppgiftsansvarige var skyldig att tillhandahålla den begärda informationen om den inträffade personuppgiftsincidenten på grundval av artikel 15 GDPR. Enligt OGH omfattar rätten till tillgång inte bara information om de vanliga mottagarna av personuppgifterna, utan även all information om obehörigt utlämnande, till exempel vid en personuppgiftsincident, då denna information är nödvändig för att säkerställa att de registrerades rättigheter är praktiskt effektiva och att rättsliga åtgärder, särskilt skadeståndskrav enligt artikel 82 GDPR, kan vidtas på ett effektivt sätt.