L'Inspection nationale de la protection des données de Lettonie (DVI) clarifie les conditions dans lesquelles une personne peut obtenir l'identité des employés ayant traité ses données personnelles, en se fondant sur une décision de la Cour de Justice de l'Union Européenne.

Une personne concernée a le droit de connaître les destinataires de ses données, mais les employés d'un organisme ne sont pas considérés comme tels au sens de l'article 15, paragraphe 1, point c) du RGPD lorsqu'ils agissent sous son autorité. Par conséquent, l'organisme n'est pas tenu de révéler leur identité si ces derniers n'ont pas outrepassé leurs fonctions. La jurisprudence (arrêt de la CJUE du 22 juin 2023, affaire C-579/21) reconnaît cependant que cette information peut être nécessaire pour que la personne puisse vérifier la licéité du traitement. La communication de l'identité des employés doit être mise en balance avec la protection de leurs propres droits et libertés.

En cas de doutes persistants sur la légalité du traitement après avoir exercé son droit d'accès, la personne concernée doit déposer une plainte auprès de l'autorité de contrôle, conformément à l'article 77, paragraphe 1 du RGPD. L'autorité est alors en droit d'exiger de l'organisme toutes les informations nécessaires à l'instruction de la plainte, y compris l'identité complète des employés ayant accédé aux données.