Tyskland: Domstol klargör rätten till tillgång enligt artikel 15 GDPR

Finansdomstolen i Berlin-Brandenburg anser att de registrerade måste specificera de uppgifter som begärs enligt artikel 15.1 i dataskyddsförordningen (GDPR) när den personuppgiftsansvarige behandlar stora mängder uppgifter, och att en begäran om alla typer av uppgifter under en period av mer än 50 år är överdriven.

Av domen framgår att den registrerade år 2020 begärde tillgång till uppgifter om honom från skattemyndigheten (den personuppgiftsansvarige) efter att en skatterevision utförts på hans fru. Den personuppgiftsansvarige svarade att de uppgifter som behandlades i detta sammanhang inte berörde den registrerade. I februari 2021 rapporterade den personuppgiftsansvarige ett dataintrång till den behöriga tillsynsmyndigheten. I samband med skatterevisionen hade handläggaren skickat den registrerades mobiltelefonnummer till hustruns arbetsmejladress via okrypterad mejl utan ett samtycke. Därefter lämnade den registrerade in ett klagomål till den tyska federala dataskyddsmyndigheten (Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, BfDI). I mars 2021 väckte den registrerade en talan om rätten till tillång enligt artikel 15 GDPR där han önskade få information om alla uppgifter som den personuppgiftsansvarige lagrat sedan 1972, en kopia på uppgifterna och radering av alla uppgifter. Finansdomstolen i Berlin-Brandenburg avslog helt och hållet den registrerades yrkande.

Efter en genomgång av ärendet konstaterade domstolen följande. För det första, när det gäller den registrerades rätt till tillgång i enlighet med artikel 15.1 GPDR, ansåg domstolen att den registrerade inte hade rätt till det begärda obegränsade och ospecificerade utlämnandet av uppgifter. Domstolen konstaterade att denna rätt mot personuppgiftsansvariga som behandlar stora mängder uppgifter endast existerar om begäran är tillräckligt specificerad. Domstolen avvisade den registrerades invändan som huvudsakligen hänvisade till bestämmelsens ordalydelse, och förde istället ett systematiskt resonemang. Domstolen använde sig av skäl 63.7 GDPR och en jämförelse med artikel 14.5 (b) GDPR enligt vilken uppfyllandet av informationsskyldigheten gentemot en person som berörs av en insamling av uppgifter från tredje part kan utelämnas om tillhandahållandet av denna information visar sig vara omöjligt eller skulle kräva en oproportionerligt stor ansträngning. Här betonade domstolen att vissa forskare till och med tillämpar artikel 14.5 (b) GDPR analogt med artikel 15.1 GDPR, även om domstolen inte själv skapade någon analogi. Domstolen hävdade särskilt att om artikel 15.1 GDPR skulle tolkas brett kan utövandet av omfattande rättigheter av en jämförelsevis liten grupp registrerade (skattebetalare) få till följd att nivån på skyddet av personuppgifter för en större grupp registrerade (även skattebetalare) inte når upp till den nivå som unionslagstiftaren har avsett på grund av skattemyndigheternas oundvikligen begränsade resurser.

Vidare ansåg domstolen att begäran var överdriven enligt artikel 12.5 GDPR, oavsett om artikel 15.1 GDPR skulle tolkas snävt eller brett. Domstolen konstaterade att begäran var överdriven både i tidsmässig mening, eftersom den gällde sammanläggning av uppgifter under 50 år, och i materiell mening. Domstolen tolkade beviljandet av specifik information som något kvalitativt annorlunda i förhållande till den ospecificerade och obegränsade begäran om tillhandahållande av en kopia av uppgifterna. Därför avvisade domstolen hela yrkandet i stället för att bevilja det med avseende på specifik information.

För det andra, när det gäller den registrerades rätt till en kopia enligt artikel 15.3 dataskyddsförordningen, ansåg domstolen att den registrerade inte hade rätt att få kopior av personuppgifter i form av (elektroniska) kopior av hela filer. Domstolen hävdade att artikel 15.1 och 15.3 GDPR inte innehåller två oberoende rättigheter utan en enda rättighet. Enligt domstolen innehåller därför artikel 15.3 GDPR endast en rätt till kataloginformation enligt artikel 15.1 (a-h) GDPR. Domstolen bekräftade därmed att begäran var överdriven även i detta avseende.

För det tredje avvisade domstolen den registrerades rätt till radering och invändning enligt artiklarna 17.1 (d) och 21.1 GDPR då domstolen ansåg att det inte hade skett någon olaglig behandling av personuppgifter eftersom behandlingen grundade sig på artikel 6.1 (e) GDPR och § 29b.1 i den tyska skattelagstiftningen (Abgabenordnung, AO). Dessutom var rätten till radering utesluten enligt § 29b(1) AO.

Du kan läsa domen, endast tillgänglig på tyska, här.

Relaterade nyheter

Områden

I fokus

Länder

Taggar

Populära kurser

Expertis

Gå kurs med oss

06 OKT

Säkerhet för
icke-tekniker

Få en övergripande introduktion till säkerhet vid behandling av personuppgifter.

13 OKT

Privacy by Design
& Privacy by Default

Öka dina kunskaper om GDPR:s krav på inbyggt dataskydd och dataskydd som standard.

10 NOV

Artificiell intelligens & personuppgifter

Få en genomgång av de viktigaste reglerna för AI ur ett dataskyddsperspektiv.