1. Is-suġġett tad-data għandu d-dritt li jikseb mingħand il-kontrollur konferma dwar jekk id-data personali li tikkonċerna lilu hijiex qiegħda tiġi proċessata jew le, u, fejn dan ikun il-każ, l-aċċess għad-data personali u l-informazzjoni li ġejja:
(c) ir-riċevituri jew il-kategoriji ta’ riċevituri li lilhom tkun ġiet żvelata jew ser tiġi żvelata d-data personali, b’mod partikolari riċevituri f’pajjiżi terzi jew organizzazzjonijiet internazzjonali;
(d) fejn possibbli, il-perijodu mbassar li matulu d-data personali tkun ser tinħażen, jew jekk mhux possibbli, il-kriterji użati biex jiġi ddeterminat dak il-perijodu;
(e) l-eżistenza tad-dritt li jitlob mingħand il-kontrollur rettifika jew tħassir tad-data personali jew restrizzjoni tal-ipproċessar tad-data personali rigward is-suġġett tad-data jew li joġġezzjona għal tali pproċessar;
(g) fejn id-data personali ma tinġabarx mis-suġġett tad-data, kwalunkwe informazzjoni disponibbli rigward is-sors tagħhom;
2. Fejn id-data personali tkun trasferita lil pajjiż terz jew lil organizzazzjoni internazzjonali, is-suġġett tad-data għandu d-dritt li jiġi informat rigward is-salvagwardji adatti skont l-Artikolu 46 rigward it-trasferiment.
ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.
Here is the relevant paragraphs to article 15(2) GDPR:
7.3.2 Determining information for PII principals
Control
The organization should determine and document the information to be provided to PII principals regarding the processing of their PII and the timing of such a provision.
Implementation guidance
The organization should determine the legal, regulatory and/or business requirements for when information is to be provided to the PII principal (e.g. prior to processing, within a certain time from when it is requested, etc.) and for the type of information to be provided.
[…]
Sign in
to read the full text
3. Il-kontrollur għandu jipprovdi kopja tad-data personali li tkun qiegħda tiġi pproċessata. Għal aktar kopji mitluba mis-suġġett tad-data, il-kontrollur jista’ jimponi tariffa raġonevoli bbażata fuq l-ispejjeż amministrattivi. Fejn is-suġġett tad-data jagħmel it-talba b’mezzi elettroniċi, u sakemm ma jkunx mitlub mod ieħor mis-suġġett tad-data, l-informazzjoni għandha tiġi pprovduta f’forma elettronika użata b’mod komuni.
(RU)
ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).
Приводим соответствующий параграф к статье 15(3) GDPR:
8.3.1 Обязательства по отношению к субъектам ПИИ
Средство управления
Организация должна обеспечить клиента механизмами выполнения своих обязательств, связанных с принципами ПИИ.
Руководство по внедрению
Обязанности контролера ПИИ могут быть определены законодательством, регламентом и / или договором.
[…]
Sign in
to read the full text
4. Id-dritt li tinkiseb kopja msemmija fil-paragrafu 3 ma għandux jaffettwa b’mod negattiv id-drittijiet u l-libertajiet ta’ oħrajn.
This paragraph emphasizes that while individuals have the right to obtain a copy of their personal data (as outlined in paragraph 3 of Article 15), this right should not harm or infringe upon the rights and freedoms of other individuals. In other words, when fulfilling a data subject’s request for a copy of their data, the data controllers must strike a balance. They should ensure that providing this access does not negatively impact the privacy, rights, or freedoms of other individuals whose data may be intertwined with the requester’s data.
Concern: Request to access my personal data
Dear Madam, Dear Sir,
I would like to know if you have any data concerning me, processed manually or by automated means, whether stored in digital databases or paper files…
[…]
Sign in
to read the full text
ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.
Here is the relevant paragraphs to article 15 GDPR:
7.3.2 Determining information for PII principals
Control
The organization should determine and document the information to be provided to PII principals regarding the processing of their PII and the timing of such a provision.
Implementation guidance
The organization should determine the legal, regulatory and/or business requirements for when information is to be provided to the PII principal (e.g. prior to processing, within a certain time from when it is requested, etc.) and for the type of information to be provided.
[…]
Sign in
to read the full text
(63) Suġġett tad-data għandu jkollu d-dritt ta' aċċess għal data li tkun inġabret dwaru, u li jeżerċita dak id-dritt faċilment u f'intervalli raġonevoli, sabiex ikun jaf dwar, u jivverifika, il-legalità tal-ipproċessar. Dan jinkludi d-dritt tas-suġġetti tad-data li jkollhom aċċess għad-data dwar saħħithom, pereżempju d-data fir-reġistri mediċi tagħhom li jkun fihom informazzjoni bħal dijanjosi, riżultati ta' eżamijiet, valutazzjonijiet mit-tobba li qed jittrattawhom u kwalunkwe kura jew intervent ipprovdut. Kull suġġett tad-data għandu għalhekk ikollu d-dritt li jkun jaf u jikseb komunikazzjoni b'mod partikolari fir-rigward tal-għanijiet li għalihom tkun qiegħda tiġi pproċessata d-data personali, fejn possibbli il-perijodu li għalih id-data personali tiġi pproċessata, ir-riċevituri tad-data personali, il-loġika involuta fi kwalunkwe pproċessar awtomatiku tad-data personali u, għallinqas meta bbażata fuq it-tfassil ta' profili, il-konsegwenzi ta' dan l-ipproċessar. Fejn possibbli, il-kontrollur għandu jkun jista' jipprovdi aċċess mill-bogħod għal sistema sikura li tipprovdi lis-suġġett tad-data b'aċċess dirett għad-data personali tiegħu. Dak id-dritt ma għandux jaffettwa negattivament id-drittijiet jew il-libertajiet ta' persuni oħrajn, inklużi sigrieti tan-negozju jew proprjetà intellettwali u b'mod partikolari d-dritt tal-awtur li jipproteġi s-software. Madankollu, ir-riżultat ta' dawn il-kunsiderazzjonijiet m'għandux ikun rifjut li tiġi provduta l-informazzjoni kollha lis-suġġett tad-data. Fejn il-kontrollur jipproċessa kwantità kbira ta' informazzjoni rigward is-suġġett tad-data, il-kontrollur għandu jkun jista' jitlob li qabel ma tingħata din l-informazzjoni, is-suġġett tad-data jispeċifika l-informazzjoni jew l-attivitajiet ta' pproċessar li għalihom tkun tirreferi t-talba.
(64) Il-kontrollur għandu juża l-miżuri kollha raġonevoli sabiex jivverifika l-identità ta' suġġett tad-data li jitlob aċċess, b'mod partikolari fil-kuntest ta' servizzi online u identifikaturi online. Il-kontrollur m'għandux iżomm id-data personali għall-għan uniku li jkun jista' jirreaġixxi għal talbiet potenzjali.
Information Commissioner’s Office, Right of Access (2020).
EDPB, Guidelines 8/2020 on the targeting of social media users (2020).
EDPB, Guidelines 3/2019 on Processing of Personal Data through Video Devices (2020).
EDPB, Guidelines 02/2021 on Virtual Voice Assistants (2021).
EDPB, Guidelines 01/2022on data subject rights – Right of access (2022).
CJEU, College van burgemeester en wethouders van Rotterdam/Rijkeboer, C-553/07 (2009).
CJEU, Nowak/Data Protection Commissioner, C-434/16 (2017).