A Autoridade de Proteção de Dados da Bélgica (APD) determinou que um controlador deve conceder a um solicitante de crédito acesso a todos os documentos pessoais consultados durante a análise de seu pedido de crédito. A decisão surgiu após a recusa de um pedido de crédito, levando o sujeito dos dados a exercer seu direito de acesso junto ao controlador e apresentar uma queixa ao Ombudsman de Serviços Financeiros. O controlador forneceu ao solicitante o conteúdo completo de seu próprio arquivo, mas limitou-se a compartilhar as identidades e detalhes de contato dos controladores dos outros dois arquivos consultados: o registro de crédito individual central e um arquivo de uma empresa financeira, instruindo o solicitante a entrar em contato com esses controladores para acessar esses documentos.

O reclamante argumentou que as informações fornecidas eram incompletas, pois não incluíam o "propósito do crédito" e uma imagem de seu documento de identidade. Após comunicação adicional, o controlador admitiu possuir dados adicionais recebidos como parte da queixa do sujeito dos dados ao Ombudsman de Serviços Financeiros. Diante disso, o sujeito dos dados apresentou uma queixa à APD.

A APD concluiu que o controlador não cumpriu plenamente com o Artigo 15(1) do GDPR, que assegura ao sujeito dos dados o direito de obter do controlador a confirmação da existência de processamento de seus dados pessoais e, se for o caso, acesso a esses dados. A decisão enfatizou que o controlador processou uma imagem do documento de identidade do sujeito dos dados e não forneceu uma cópia em resposta ao pedido, violando o Artigo 15(3) do GDPR.

Além disso, a APD destacou que o direito de acesso tem o objetivo de permitir ao sujeito dos dados estar ciente e verificar a legalidade do processamento, apoiando, portanto, o direito de retificação. Sem acesso aos dois outros arquivos consultados, o sujeito dos dados não poderia determinar a necessidade de contatar os controladores desses arquivos para exercer seu direito de retificação.

A APD ordenou ao controlador que cumprisse com o pedido de acesso do sujeito dos dados, concedendo-lhe acesso a todos os dados pessoais que o concernem, bem como uma cópia dos dados em questão.

Com informações GDPRHub