–

за F.F., от M. Schrems,

–

за Österreichische Datenschutzbehörde, от A. Jelinek и M. Schmidl, в качеството на представители,

–

за CRIF GmbH, от L. Feiler и M. Raschhofer, Rechtsanwälte,

–

за австрийското правителство, от G. Kunnert, A. Posch и J. Schmoll, в качеството на представители,

–

за чешкото правителство, от O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,

–

за италианското правителство, от G. Palmieri, в качеството на представител, подпомагана от M. Russo, avvocato dello Stato,

–

за Европейската комисия, от A. Bouchagiar, M. Heller и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между F.F. и Österreichische Datenschutzbehörde (австрийски орган за защита на данните) (наричан по-нататък „DSB“) относно отказа на този орган да задължи CRIF GmbH да изпрати на F.F. копие от документите и извлеченията от бази данни, съдържащи в частност личните му данни, които са в процес на обработване.

3

Съображения 10, 11, 26, 58, 60 и 63 от ОРЗД гласят:

[…]

[…]

[…]

[…]

4

Съгласно член 4 от този регламент:

„За целите на настоящия регламент:

[…]“.

5

Член 12 („Прозрачна информация, комуникация и условия за упражняването на правата на субекта на данни“) от същия регламент предвижда:

„1.   Администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства.

[…]

3.   Администраторът предоставя на субекта на данни информация относно действията, предприети във връзка с искане по членове 15—22, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. […] Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

[…]“.

6

Съгласно член 15 („Право на достъп на субекта на данните“) от ОРЗД:

„1.   Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация:

2.   Когато личните данни се предават на трета държава или на международна организация, субектът на данните има право да бъде информиран относно подходящите гаранции по член 46 във връзка с предаването.

3.   Администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго.

4.   Правото на получаване на копие, посочено в параграф 3, не влияе неблагоприятно върху правата и свободите на други лица“.

7

Член 16 („Право на коригиране“) от ОРЗД гласи:

„Субектът на данни има право да поиска от администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването субектът на данните има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация“.

8

Член 17 („Право на изтриване (право „да бъдеш забравен“) от посочения регламент предвижда в параграф 1:

„Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни […]

[…]“.

9

CRIF е агенция за търговски консултантски услуги, която по искане на свои клиенти предоставя информация за кредитоспособността на трети лица. За тази цел агенцията обработва личните данни на жалбоподателя в главното производство.

10

На 20 декември 2018 г. последният отправя искане до CRIF на основание член 15 от ОРЗД да получи достъп до свързаните с него лични данни. Освен това той иска да му бъде предоставено копие от документи, а именно имейлите и извлеченията от бази данни, които в частност съдържат неговите данни, „в стандартен технически формат“.

11

В отговор на това искане CRIF изпраща на жалбоподателя в главното производство обобщен списък на личните му данни, които са в процес на обработване.

12

Тъй като счита, че CRIF е трябвало да му изпрати копие от всички документи, съдържащи данните му, като имейлите и извлеченията от бази данни, жалбоподателят в главното производство подава жалба до DSB.

13

С решение от 11 септември 2019 г. DSB отхвърля тази жалба с мотива, че CRIF не е нарушила правото на достъп до личните данни на жалбоподателя в главното производство.

14

Запитващата юрисдикция, пред която жалбоподателят в главното производство обжалва това решение, има съмнения за обхвата на член 15, параграф 3, първо изречение от ОРЗД. Тя се пита в частност дали предвиденото в тази разпоредба задължение за предоставяне на „копие“ от личните данни е изпълнено, когато администраторът предава личните данни под формата на таблица в обобщен вид, или това задължение предполага и изпращането на извлечения от документи или дори на цели документи, както и на извлечения от бази данни, в които са възпроизведени тези данни.

15

По-конкретно, тази юрисдикция поставя въпроса дали член 15, параграф 3, първо изречение от ОРЗД определя само формата, в която трябва да се гарантира правото на достъп до информацията по член 15, параграф 1 от този регламент, или първата разпоредба предвижда самостоятелно право на субекта на данните на достъп до информацията за контекста, в който се обработват неговите данни, под формата на копие от извлечения от документи или дори от цели документи или извлечения от бази данни, които в частност съдържат тези данни.

16

Освен това запитващата юрисдикция иска да се установи дали понятието „информация“ в член 15, параграф 3, трето изречение от ОРЗД обхваща и информацията по член 15, параграф 1, букви а)—з) от този регламент, и дори допълнителна информация като свързаните с данните метаданни, или се отнася само до „личните данни, които са в процес на обработване“, посочени в член 15, параграф 3, първо изречение от същия регламент.

17

При тези условия Bundesverwaltungsgericht (Федерален административен съд, Австрия) решава да спре производството и да постави на Съда следните преюдициални въпроси:

18

С първите си три въпроса, които следва да се разгледат заедно, запитващата юрисдикция по същество иска да се установи дали член 15, параграф 3, първо изречение от ОРЗД във връзка с принципа на прозрачност, предвиден в член 12, параграф 1 от този регламент, трябва да се тълкува в смисъл, че правото да се получи копие от личните данни, които са в процес на обработване, предполага на субекта на данните да се предостави не само копие от тези данни, но и копие от извлеченията от документи или дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни. Тази юрисдикция иска по-специално да се установи обхватът на това право.

19

Най-напред следва да се припомни, че съгласно постоянната практика на Съда, за да се тълкува определена разпоредба от правото на Съюза, трябва да се вземат предвид не само нейният текст, в съответствие с обичайното му значение в общоупотребимия език, но и контекстът ѝ, както и целите на правната уредба, от която тя е част (вж. в този смисъл решения от 2 декември 2021 г., Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, т. 19 и цитираната съдебна практика, и от 7 септември 2022 г., Staatssecretaris van Justitie en Veiligheid (Характер на правото на пребиваване по член 20 ДФЕС), C‑624/20, EU:C:2022:639, т. 28).

20

Видно от формулировката на член 15, параграф 3, първо изречение от ОРЗД, администраторът „предоставя копие от личните данни, които са в процес на обработване“.

21

Доколкото в ОРЗД не е дадено определение на така използваното понятие „копие“, следва да се отчете обичайното значение на това понятие, което, както отбелязва генералният адвокат в точка 30 от заключението си, обозначава точната реплика или транскрипция на оригинал, затова просто общото описание на данните, които са в процес на обработване, или препращането към категории лични данни не би отговаряло на това определение. От текста на член 15, параграф 3, първо изречение от този регламент следва също, че задължението за съобщаване се свързва с личните данни, които са предмет на разглежданото обработване.

22

Съгласно член 4, точка 1 от ОРЗД „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано“, като се уточнява, че „физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

23

Употребата на израза „всяка информация“ в определението на понятието „лични данни“, залегнало в тази разпоредба, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга“ съответното лице (вж. по аналогия решение от 20 декември 2017 г., Nowak, C‑434/16, EU:C:2017:994, т. 34).

24

В тази насока е постановено, че дадена информация засяга физическо лице, което е идентифицирано или може да бъде идентифицирано, ако поради своето съдържание, крайна цел или последици тя е свързана с лице, което може да бъде идентифицирано (вж. в този смисъл решение от 20 декември 2017 г., Nowak, C‑434/16, EU:C:2017:994, т. 35).

25

Що се отнася до възможността за „идентифициране“ на дадено физическо лице, в съображение 26 от ОРЗД се уточнява, че „следва да се вземат предвид всички средства, като например подбирането на лица за извършване на проверка, с които е най-вероятно да си послужи администраторът или друго лице, за да идентифицира пряко или непряко даденото физическо лице“.

26

В този смисъл, както по същество отбелязва генералният адвокат в точки 36—39 от заключението си, широкото определение на понятието „лични данни“ обхваща не само данните, събрани и съхранявани от администратора, но и всяка информация, резултат от обработване на лични данни, които засягат лице, което е идентифицирано или може да бъде идентифицирано, като оценката на неговата платежоспособност или готовност за плащане.

27

В тази насока следва да се добави, че законодателят на Съюза е желал да придаде широк обхват на понятието „обработване“ дефинирано в член 4, точка 2 от ОРЗД, като е изброил неизчерпателно определени операции (вж. в този смисъл решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработване на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т. 35).

28

Ето защо от текстуалния анализ на член 15, параграф 3, първо изречение от ОРЗД става ясно, че тази разпоредба предоставя на субекта на данните правото да получи точна реплика на личните му данни, разбирани в широк смисъл, които са предмет на операции, които трябва да бъдат квалифицирани като обработване от страна на администратора.

29

При това положение се налага изводът, че на първите три въпроса не може да се даде отговор въз основа само на текста на същата разпоредба, защото в него няма никаква индикация за евентуално право да се получи не само копие от личните данни, които са в процес на обработване, но и копие от извлеченията от документи или дори от цели документи, или от извлечения от бази данни, които в частност съдържат тези данни.

30

Досежно контекста на член 15, параграф 3, първо изречение от ОРЗД следва да се отбележи, че член 15 от ОРЗД, озаглавен „Право на достъп на субекта на данните“, определя в параграф 1 предмета и приложното поле на правото на достъп, признато на субекта на данни, и закрепва правото на субекта на данните да получи от администратора достъп до личните му данни, както и информацията, посочена в букви а)—з) от този параграф.

31

В член 15, параграф 3 от ОРЗД се уточняват практическите условия за изпълнение на задължението на администратора, като по-специално в първото изречение се посочва формата, под която администраторът трябва да предостави „личните данни, които са в процес на обработване“, а именно — „копие“. Освен това съгласно третото изречение от този параграф, когато е подадено искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго.

32

Ето защо член 15 от ОРЗД няма как да се тълкува в смисъл, че в параграф 3, първо изречение от него предвижда право, отделно от залегналото в параграф 1 от него. Както впрочем отбелязва Европейската комисия в писменото си становище, терминът „копие“ се отнася не до документа като такъв, а до личните данни, които той съдържа и които трябва да са пълни. Следователно копието трябва да съдържа всички лични данни, които са в процес на обработване.

33

По отношение на целите на член 15 от ОРЗД следва да се отбележи, че целта на ОРЗД, както се уточнява в съображение 11 от него, е да се укрепят и подробно да се опишат правата на субектите на данни. В тази насока член 15 от цитирания регламент предвижда право на получаване на копие, за разлика от член 12, буква a), второ тире от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), в което се изисква само „съобщение […] в разбираема форма относно данните, които се обработват“. От своя страна съображение 63 от ОРЗД уточнява, че „[в]сяко физическо лице следва да има право на достъп до събраните лични данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да бъде осведомено за обработването и да провери законосъобразността му“.

34

В този смисъл правото на достъп, предвидено в член 15 от ОРЗД, трябва да позволи на субекта на данните да провери дали свързаните с него данни са точни и дали се обработват законосъобразно (вж. в този смисъл решение от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни), C‑154/21, EU:C:2023:3, т. 37 и цитираната съдебна практика).

35

В частност това право на достъп е необходимо, за да може субектът на данните евентуално да упражни правото си на коригиране, правото си на изтриване (право „да бъдеш забравен“) и правото си на ограничаване на обработването, които са му признати съответно в членове 16, 17 и 18 от ОРЗД, правото си на възражение срещу обработване на неговите лични данни, предвидено в член 21 от ОРЗД, и правото си на иск в случай на претърпени вреди, предвидено в членове 79 и 82 от ОРЗД (решение от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни), C‑154/21, EU:C:2023:3, т. 38 и цитираната съдебна практика).

36

Уместно е да се отбележи също, че съгласно съображение 60 от ОРЗД принципите на добросъвестно и прозрачно обработване изискват субектът на данни да бъде информиран за съществуването на операция по обработване и за нейните цели, като се подчертава, че администраторът следва да предостави на субекта на данните всяка допълнителна информация, която е необходима, за да се гарантира добросъвестно и прозрачно обработване на данните, като се вземат предвид конкретните обстоятелства и контекст, в които се обработват личните данни.

37

Освен това в съответствие с упоменатия от запитващата юрисдикция принцип на прозрачност, на който се позовава съображение 58 от ОРЗД и който изрично е закрепен в член 12, параграф 1 от този регламент, всяка информация, адресирана до субекта на данните, трябва да е кратка, прозрачна, разбираема и лесно достъпна, на ясен и прост език.

38

Както отбелязва генералният адвокат в точки 54 и 55 от заключението си, от тази разпоредба следва, че администраторът е длъжен да предприеме подходящи мерки, за да предостави на субекта на данните цялата информация, посочена, наред с другото, в член 15 от ОРЗД, в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, и че информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства, освен ако субектът на данните не поиска тя да бъде предоставена устно. Тази разпоредба, израз на принципа на прозрачност, има за цел да гарантира, че субектът на данните е в състояние напълно да разбере изпратената му информация.

39

Ето защо копието от личните данни, които са в процес на обработване, което администраторът е длъжен да предостави съгласно член 15, параграф 3, първо изречение от ОРЗД, трябва да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно трябва да възпроизвежда изцяло и точно тези данни.

40

Това тълкуване е в съзвучие с целта на този регламент, която — видно от съображение 10 от него — е по-специално да се гарантира високо ниво на защита на физическите лица в Съюза и съответно да се гарантира последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на тези лица във връзка с обработването на лични данни (вж. в този смисъл решение от 9 февруари 2023 г., X‑FAB Dresden, C‑453/21, EU:C:2023:79, т. 25 и цитираната съдебна практика).

41

Всъщност, за да се гарантира, че така предоставената информация е лесна за разбиране, както изисква член 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване, може — както отбелязва генералният адвокат в точки 57 и 58 от заключението си — да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост.

42

По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т.е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни.

43

Освен това съгласно член 15, параграф 4 от ОРЗД във връзка със съображение 63 от този регламент правото на получаване на копие, посочено в параграф 3, не следва да влияе неблагоприятно върху правата и свободите на други лица, включително върху търговската тайна или интелектуалната собственост, и по-специално върху авторското право за защита на софтуера.

44

Ето защо, както подчертава генералният адвокат в точка 61 от заключението си, в случай на конфликт между упражняването на правото на пълен и цялостен достъп до лични данни, от една страна, и правата или свободите на други лица, от друга, трябва да се намери баланс със съответните права и свободи. Доколкото е възможно, трябва да се изберат начини за предоставяне на лични данни, които не нарушават правата или свободите на други лица, като се има предвид, че както е посочено в съображение 63 от ОРЗД, подобни съображения „не следва да представляват отказ за предоставяне на цялата информация на съответния субект на данни“.

45

С оглед на изложеното дотук на първия, втория и третия преюдициален въпрос следва да се отговори, че член 15, параграф 3, първо изречение от ОРЗД

трябва да се тълкува в смисъл, че

правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица.

46

С този въпрос запитващата юрисдикция по същество иска да се установи дали член 15, параграф 3, трето изречение от ОРЗД трябва да се тълкува в смисъл, че съдържащото се в него понятие „информация“ се отнася изключително до личните данни, копие от които администраторът трябва да предостави съгласно първото изречение от този параграф, или то препраща и към цялата информация, посочена в параграф 1 от този член, и дори обхваща и елементи, които надхвърлят тази информация, като метаданните.

47

Както бе припомнено в точка 19 от настоящото решение, за тълкуването на разпоредба от правото на Съюза трябва да се вземат предвид не само нейният текст, но и контекстът ѝ, както и целите на правната уредба, от която тя е част.

48

Действително, в тази насока в член 15, параграф 3, трето изречение от ОРЗД се посочва само, че „когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма“, без да се уточнява какво следва да се разбира под „информация“, но съгласно първото изречение от този параграф „администраторът предоставя копие от личните данни, които са в процес на обработване“.

49

Ето защо от контекста на член 15, параграф 3, трето изречение от ОРЗД следва, че визираната в него „информация“ по необходимост са личните данни, копие от които администраторът трябва да предостави в съответствие с първото изречение от този параграф.

50

Това тълкуване се потвърждава от целите на член 15, параграф 3 от ОРЗД, които — както бе припомнено в точка 31 от настоящото решение — са да се определят практическите правила за изпълнение на задължението на администратора да предостави копие от личните данни, които са в процес на обработване. Следователно тази разпоредба не създава право, отделно от правото на субекта на данни да получи точна и разбираема реплика на тези данни, което му позволява ефективно да упражни правата, предоставени му от този регламент.

51

Уместно е да се отбележи, че никоя разпоредба от цитирания регламент не въвежда разлика в третирането на дадено искане в зависимост от формата, в която това искане е подадено, така че обхватът на правото на получаване на копие не може да варира съобразно тази форма.

52

Впрочем следва също да се отбележи, че съгласно член 12, параграф 3 от ОРЗД, когато искането е подадено с електронни средства, информацията по член 15, включително споменатата в член 15, параграф 1, букви а)—з), се предоставя с електронни средства, освен ако субектът на данни не е поискал друго.

53

С оглед на изложеното дотук на четвъртия преюдициален въпрос следва да се отговори, че член 15, параграф 3, трето изречение от ОРЗД

трябва да се тълкува в смисъл, че:

съдържащото се в него понятие „информация“ се отнася изключително до личните данни, копие от които администраторът трябва да предостави съгласно първото изречение от този параграф.

54

Тъй като за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (първи състав) реши: