Τι είναι αίτημα πρόσβασης προσωπικών δεδομένων

Ένα αίτημα πρόσβασης προσωπικών δεδομένων είναι η άσκηση του δικαιώματος ενός προσώπου να μάθει αν ένας οργανισμός επεξεργάζεται τα δεδομένα του, να λάβει αντίγραφο και να πάρει τις πληροφορίες που εξηγούν την επεξεργασία, χωρίς επίσημο έντυπο, τέλος ή ειδική νομική διατύπωση ¹.

Σύντομη απάντηση

Αίτημα πρόσβασης προσωπικών δεδομένων υπάρχει όταν ένα πρόσωπο ζητά τις προσωπικές πληροφορίες που τηρεί ένας οργανισμός ή εξηγήσεις για τη χρήση τους. Μπορεί να φτάσει με email, τηλεφωνικά ή αυτοπροσώπως, χωρίς φόρμα και χωρίς τη λέξη DSAR. Καταγράψτε αμέσως την παραλαβή, ορίστε υπεύθυνο και διατηρήστε τα σχετικά δεδομένα ενώ επιβεβαιώνετε ταυτότητα και εύρος.

Τελευταία ενημέρωση: 28 Αυγούστου 2026

Το δικαίωμα είναι ευρύτερο από ένα αντίγραφο αρχείου

Η απάντηση δεν είναι απλώς εξαγωγή ενός εγγράφου ή λήψη στιγμιότυπου από το CRM, επειδή το πρόσωπο δικαιούται αντίγραφο των προσωπικών του δεδομένων και τις βασικές πληροφορίες που χρειάζεται για να καταλάβει τι κάνει ο οργανισμός, για ποιους σκοπούς και υπό ποιες συνθήκες ². Το αντίγραφο πρέπει να είναι πιστή και κατανοητή αναπαραγωγή των δεδομένων, όχι απόσπασμα χωρίς νόημα ³.

Το αντίγραφο πρέπει να επιτρέπει στο πρόσωπο να ελέγξει νομιμότητα και ακρίβεια, ενώ κωδικοί χωρίς υπόμνημα, εσωτερικές συντομογραφίες και αποκομμένα πεδία που δεν αποκαλύπτουν σε ποιον αναφέρονται μπορεί να μην είναι κατανοητά. Μια σύντομη επεξήγηση του συστήματος συχνά κάνει την εξαγωγή χρήσιμη χωρίς να μετατρέπει την απάντηση σε νομικό δοκίμιο.

Η απάντηση αφορά προσωπικά δεδομένα, όχι κάθε έγγραφο που αναφέρει το όνομα. Ένα email μπορεί να περιέχει δεδομένα του αιτούντος, γνώμες για αυτόν, επιχειρηματικές πληροφορίες και δεδομένα τρίτων. Η ομάδα εντοπίζει το σχετικό προσωπικό περιεχόμενο και αποφασίζει τον κατάλληλο τρόπο παροχής του.

Ένα αίτημα μπορεί να φτάσει οπουδήποτε

Η μορφή δεν καθορίζει την εγκυρότητα: ένας πελάτης μπορεί να γράψει «στείλτε μου ό,τι έχετε για μένα» σε λογαριασμό υποστήριξης, ένας πρώην εργαζόμενος να το ζητήσει τηλεφωνικά ή ένας επισκέπτης να ζητήσει το βίντεο CCTV στο οποίο εμφανίζεται. Αν το μήνυμα ζητά τα προσωπικά δεδομένα του προσώπου, η προθεσμία μπορεί να έχει αρχίσει ακόμη και αν κανείς δεν χρησιμοποίησε τη λέξη DSAR.

Για αυτό χρειάζεται απλή εσωτερική διαδρομή. Οι ομάδες πωλήσεων, υποστήριξης, ανθρώπινου δυναμικού και υποδοχής αναγνωρίζουν το νόημα, καταγράφουν το πρωτότυπο αίτημα και το προωθούν στον ορισμένο ιδιοκτήτη την ίδια ημέρα. Δεν ζητούν από τον άνθρωπο να ξαναγράψει σε ειδική φόρμα ως προϋπόθεση αναγνώρισης.

Η ταυτότητα ελέγχεται αναλογικά όταν υπάρχει εύλογη αμφιβολία. Ο οργανισμός ζητά μόνο όσα πρόσθετα στοιχεία είναι αναγκαία και αποφεύγει να δημιουργήσει νέο κίνδυνο συλλέγοντας υπερβολικά έγγραφα ταυτότητας. Η εξουσιοδότηση αντιπροσώπου ελέγχεται χωριστά από την ταυτότητα του ίδιου του αιτούντος.

Η προθεσμία ενός μήνα χρειάζεται ιδιοκτήτη

Ο μήνας δεν είναι στόχος για την τελευταία ημέρα. Είναι ανώτατο όριο μέσα στο οποίο πρέπει να ολοκληρωθούν αναγνώριση, αναζήτηση, έλεγχος, ασφαλής παράδοση και η απαιτούμενη επεξήγηση, επομένως το λειτουργικό χρονοδιάγραμμα αρχίζει κατά την παραλαβή.

Σε σύνθετο αίτημα ή όταν το ίδιο πρόσωπο υποβάλλει πολλά αιτήματα, μπορεί να χρειάζεται έως δύο επιπλέον μήνες. Η παράταση δεν εφαρμόζεται σιωπηρά: ο αιτών ενημερώνεται μέσα στον πρώτο μήνα για την παράταση και τους λόγους. Ένα μεγάλο γραμματοκιβώτιο δεν κάνει από μόνο του το αίτημα σύνθετο· η αιτιολόγηση συνδέεται με την πραγματική εργασία.

Η αναζήτηση ακολουθεί τα δεδομένα, όχι ένα σύστημα

Η ερώτηση «πού τηρούμε δεδομένα αυτού του ανθρώπου;» σπάνια έχει μία απάντηση. CRM, κοινόχρηστοι δίσκοι, email, συστήματα υποστήριξης, λογιστική, HR, κινητές συσκευές και αρχεία προμηθευτών μπορεί να περιέχουν διαφορετικά κομμάτια. Το σχέδιο αναζήτησης συνδέει τον αιτούντα με αναγνωριστικά όπως παραλλαγές ονόματος, διευθύνσεις email, αριθμούς πελάτη και σχετικά χρονικά διαστήματα.

Η αναζήτηση πρέπει να είναι εύλογη και τεκμηριωμένη, όχι απεριόριστη ούτε επιφανειακή, και για κάθε πιθανό χώρο ο ιδιοκτήτης καταγράφει γιατί είναι σχετικός, ποιος έψαξε, με ποιους όρους, πότε και ποιο αποτέλεσμα παραδόθηκε για έλεγχο. Αν ένα σύστημα αποκλείστηκε, το αρχείο εξηγεί γιατί δεν αναμενόταν να περιέχει δεδομένα.

Τα δεδομένα που κρατά εκτελών την επεξεργασία για λογαριασμό της επιχείρησης δεν εξαφανίζονται από το εύρος. Η σύμβαση και η διαδικασία πρέπει να επιτρέπουν έγκαιρη αναζήτηση, εξαγωγή και ασφαλή μεταφορά στον υπεύθυνο επεξεργασίας.

Η αναζήτηση σε email χρειάζεται περισσότερη σκέψη από ένα όνομα στο γενικό πεδίο. Το πρόσωπο μπορεί να αναφέρεται με αρχικά, αριθμό υπόθεσης, προηγούμενη διεύθυνση ή μέσα σε συνημμένο, ενώ τα δεδομένα του μπορεί να βρίσκονται στο σώμα μηνύματος άλλου εργαζομένου. Ο ιδιοκτήτης δοκιμάζει αντιπροσωπευτικά αποτελέσματα, προσαρμόζει όρους που παράγουν θόρυβο και καταγράφει τους περιορισμούς του εργαλείου, αντί να παρουσιάζει μια μηδενική αναζήτηση ως απόδειξη απουσίας.

Η ομάδα πρέπει επίσης να αποφασίσει μορφή εξαγωγής από την αρχή. Μια βάση σε ακατανόητο τεχνικό αρχείο ή εκατοντάδες εικόνες χωρίς σειρά δυσκολεύουν τον έλεγχο και αυξάνουν τον κίνδυνο παράλειψης. Αριθμημένο ευρετήριο, σαφής ονομασία πηγής και αντιστοίχιση των διορθώσεων βοηθούν τόσο τον αιτούντα όσο και τον τελικό ποιοτικό έλεγχο.

Ο έλεγχος προστατεύει και άλλους ανθρώπους

Η παροχή των δεδομένων του αιτούντος δεν πρέπει να μετατραπεί σε παραβίαση δεδομένων τρίτων, καθώς ένα παράπονο εργαζομένου μπορεί να κατονομάζει μάρτυρες, ένα νήμα email να περιέχει πελάτες και το CCTV να δείχνει πολλούς ανθρώπους. Η ομάδα εξετάζει αν μπορεί να απομονώσει το σχετικό απόσπασμα, να ψευδωνυμοποιήσει ή να καλύψει τρίτους και να διατηρήσει ακόμη κατανοητή απάντηση.

Η στάθμιση δεν είναι αυτόματη διαγραφή κάθε ονόματος. Εξετάζει το είδος της πληροφορίας, την εμπιστευτικότητα, τις εύλογες προσδοκίες, τυχόν συγκατάθεση του τρίτου και αν είναι λογικό να δοθεί χωρίς αυτή. Η απόφαση καταγράφεται ανά κατηγορία υλικού, ώστε παρόμοια στοιχεία να αντιμετωπίζονται συνεπώς.

Υπάρχουν επίσης περιορισμοί που το άρθρο 23 του Κανονισμού επιτρέπει στο ενωσιακό ή στο εθνικό δίκαιο, αλλά χρειάζονται συγκεκριμένη βάση και στενή εφαρμογή ¹. Η φράση «νομικό απόρρητο» ή «εσωτερική πληροφορία» δεν αρκεί ως γενική σφραγίδα. Το μη εξαιρούμενο μέρος εξακολουθεί να παρέχεται όπου είναι δυνατό.

Το «προδήλως υπερβολικό» είναι απαιτητικό συμπέρασμα

Ένα αίτημα δεν γίνεται προδήλως υπερβολικό επειδή είναι άβολο, ευρύ ή προέρχεται από δυσαρεστημένο πρώην εργαζόμενο, και ο οργανισμός φέρει το βάρος να δείξει γιατί, λαμβάνοντας υπόψη τις συγκεκριμένες περιστάσεις, ο χαρακτήρας ή η επανάληψη υπερβαίνει προδήλως την εύλογη άσκηση του δικαιώματος.

Πριν εξεταστεί τέλος ή άρνηση, ο ιδιοκτήτης συζητά το εύρος με τον αιτούντα, εξηγεί πού βρίσκεται ο όγκος και ζητά χρήσιμα στοιχεία όπως χρονικό διάστημα, πρόσωπα ή διαδικασία. Η διευκρίνιση βοηθά την αναζήτηση, αλλά δεν επιτρέπεται να χρησιμοποιηθεί ως απαίτηση να εγκαταλείψει το πρόσωπο νόμιμο μέρος του αιτήματος.

Η επανάληψη αξιολογείται με το διάστημα, τυχόν νέα δεδομένα, αλλαγές στη σχέση και την πρόθεση που προκύπτει από στοιχεία, όχι με υποψία. Ένα νέο αίτημα μετά από σημαντική εργασιακή διαδικασία μπορεί να έχει ουσιαστικά διαφορετικό περιεχόμενο. Κάθε απόφαση για τέλος ή άρνηση χρειάζεται αιτιολόγηση και ενημέρωση για καταγγελία και δικαστική προσφυγή.

Το αρχείο της απόφασης πρέπει να δείχνει τις εναλλακτικές που εξετάστηκαν. Μερική απάντηση, σταδιακή παράδοση, συμφωνημένη προτεραιότητα ή στενότερη αναζήτηση μπορεί να ικανοποιούν το δικαίωμα χωρίς τη σοβαρή συνέπεια της άρνησης. Αν η επιχείρηση επιλέξει την άρνηση, κατονομάζει τα πραγματικά στοιχεία που κάνουν το αίτημα προδήλως και όχι απλώς σχετικά υπερβολικό, καθώς και τον τρόπο με τον οποίο ο άνθρωπος μπορεί να αμφισβητήσει το συμπέρασμα.

Τρεις ενέργειες την ημέρα της παραλαβής

Πρώτον, διατηρήστε το πρωτότυπο αίτημα και καταγράψτε την ώρα σε κεντρικό μητρώο, ακόμη αν το εύρος παραμένει ασαφές· δεύτερον, ορίστε ονομαστικό ιδιοκτήτη που ελέγχει ταυτότητα, υπολογίζει την προθεσμία και επικοινωνεί με το πρόσωπο. Τρίτον, στείλτε εντολή διατήρησης στα συστήματα και στους ανθρώπους που είναι πιθανό να έχουν σχετικά δεδομένα, χωρίς να σταματήσετε νόμιμες επιχειρηματικές λειτουργίες πέρα από το αναγκαίο.

Μέχρι το τέλος της ημέρας ο ιδιοκτήτης πρέπει να γνωρίζει τι ζητήθηκε, ποια αβεβαιότητα υπάρχει, πότε λήγει η βασική προθεσμία και ποιος θα χαρτογραφήσει τα συστήματα. Αυτή η μικρή απόδειξη ελέγχου είναι πιο χρήσιμη από μια αυτόματη επιβεβαίωση που υπόσχεται απάντηση αλλά δεν αναθέτει την εργασία.

Στην Ελλάδα η καταγγελία υποβάλλεται στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Ο σύνδεσμος δείχνει την αρμόδια διαδρομή· το ίδιο το δικαίωμα πρόσβασης εξακολουθεί να απορρέει από τα άρθρα 12 και 15 του Κανονισμού και όχι από εθνικό κανόνα που προστίθεται σε αυτό το κοινό κείμενο.

Η πρώτη επικοινωνία δεν χρειάζεται να προδικάζει το αποτέλεσμα. Επιβεβαιώνει την παραλαβή, δίνει ασφαλές σημείο επαφής και ζητά μόνο πραγματικά αναγκαία διευκρίνιση ή ταυτοποίηση. Παράλληλα, η ομάδα κρατά κατάλογο αποφάσεων για πηγές, τρίτους και πιθανές εξαιρέσεις, ώστε η τελική απάντηση να μπορεί να εξηγηθεί χωρίς ανακατασκευή της διαδικασίας από αποσπασματικά email.