Στο άρθρο 15 παρ. 1 του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων – εφεξής ΓΚΠΔ), ορίζεται ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, έχει δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και σε μια σειρά από πληροφορίες.

Σύμφωνα με την αιτιολογική σκέψη 63 του ΓΚΠΔ «Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας.»

Για την εφαρμογή του δικαιώματος πρόσβασης κρίσιμες είναι οι ρυθμίσεις του άρθρου 12 του ΓΚΠΔ. Ο υπεύθυνος επεξεργασίας οφείλει να παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. Η εν λόγω προθεσμία μπορεί να παραταθεί κατά δύο ακόμη μήνες, εφόσον απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας του αιτήματος και του αριθμού των αιτημάτων. Ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για την εν λόγω παράταση εντός μηνός από την παραλαβή του αιτήματος, καθώς και για τους λόγους της καθυστέρησης.

Έτσι, για παράδειγμα, όπως έχει κρίνει η Αρχή, εάν ένας φορέας έχει επιβάλει πρόστιμο σε ένα φυσικό πρόσωπο, τα στοιχεία βεβαίωσης του προστίμου το αφορούν και το εν λόγω φυσικό πρόσωπο θεωρείται ως υποκείμενο των δεδομένων και όχι ως τρίτος, σύμφωνα με τους ορισμούς του άρθρου 4 παρ. 1 και 10.

Επίσης, η Αρχή έχει κρίνει ότι αίτημα εικονιζόμενου προσώπου για πρόσβαση σε βιντεοσκοπημένο υλικό πρέπει να αντιμετωπίζεται ως αίτημα δικαιώματος πρόσβασης και να ικανοποιείται εντός της οριζόμενης από το νόμο προθεσμίας.

Κατ’ ακολουθία, ο υπεύθυνος επεξεργασίας, στην περίπτωση άσκησης δικαιώματος πρόσβασης, είναι, κατ’ αρχήν, υποχρεωμένος να παρέχει στον αιτούντα πλήρες αντίγραφο των προσωπικών του δεδομένων, με την επιφύλαξη της παρ. 4 του άρθρου 15 του ΓΚΠΔ, για την περίπτωση που η παροχή αντιγράφου ενδέχεται να επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων, οπότε κατά την ικανοποίηση του δικαιώματος πρόσβασης πρέπει να εξετάσει αν απαιτούνται μέτρα προστασίας των δικαιωμάτων τρίτων, όπως για παράδειγμα ανωνυμοποίηση δεδομένων.

Το δικαίωμα πρόσβασης επιτρέπει στο υποκείμενο των δεδομένων να λαμβάνει γνώση των δεδομένων του και των πληροφοριών για την επεξεργασία για να είναι σε θέση να επαληθεύει τη νομιμότητά της, ενώ επιπλέον δεν χρήζει αιτιολόγησης από το υποκείμενο των δεδομένων. Στο πλαίσιο αυτό, η Αρχή έχει επιβάλει πρόστιμα της τάξεως των 1.000 ευρώ για καθυστερημένη ικανοποίηση δικαιώματος πρόσβασης ενώ για μη ικανοποίηση έχουν επιβληθεί πρόστιμα από 5.000 έως 20.000 ευρώ, λαμβανομένων υπόψη του πλήθους των διατάξεων του ΓΚΠΔ που παραβιάστηκαν από τον υπεύθυνο επεξεργασίας σε συνάρτηση με τη βαρύτητα της παραβίασης και τον ετήσιο κύκλο εργασιών της επιχείρησής του.