Дело C‑487/21

F. F.

срещу

Österreichische Datenschutzbehörde и CRIF GmbH

(Преюдициално запитване, отправено от Bundesverwaltungsgericht (Австрия)

Решение на Съда (първи състав) от 4 май 2023 година

„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Право на достъп на субекта на данни до неговите данни, които са в процес на обработване — Член 15, параграф 3 — Предоставяне на копие от данните — Понятието „копие“ — Понятието „информация“

Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на достъп на субекта на данни до неговите данни, които са в процес на обработване — Предоставяне на копие от данните — Понятието „копие“ — Предоставяне на субекта на данни на точна и разбираема реплика на тези данни — Копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни — Включване — Условие

(съображения 58 и 60, член 12, параграф 1 и член 15, параграф 1 и параграф 3, първо изречение от Регламент 2016/679 на Европейския парламент и на Съвета)

(вж. т. 21, 28, 32 и 36—45; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на достъп на субекта на данни до неговите данни, които са в процес на обработване — Предоставяне на копие от данните — Понятието „информация“ — Лични данни, които администраторът трябва да предостави под формата на копие — Включване

(член 15, параграф 3, трето изречение от Регламент 2016/679 на Европейския парламент и на Съвета)

(вж. т. 48—53; т. 2 от диспозитива)

Резюме

ОРЗД: правото да се получи „копие“ на личните данни предполага на съответното физическо лице да се предостави точно и разбираемо възпроизвеждане на всички тези данни

Това право предполага получаването на копие от извлечения от документи и дори от цели документи или извлечения от бази данни, които съдържат посочените данни, ако това е необходимо, за да може съответното лице да упражни ефективно правата, които му предоставя този регламент

CRIF е агенция за търговски консултантски услуги, която по искане на свои клиенти предоставя информация за кредитоспособността на трети лица. За тази цел агенцията обработва личните данни на жалбоподателя в главното производство, физическо лице. Последният отправя искане до CRIF на основание Общия регламент за защита на данните ( 1 ) да получи достъп до свързаните с него лични данни. Освен това той иска да му бъде предоставено копие от документи, а именно имейлите и извлеченията от бази данни, които в частност съдържат неговите данни, „в стандартен технически формат“.

В отговор на това искане CRIF изпраща на жалбоподателя в главното производство обобщен списък на личните му данни, които са в процес на обработване. Тъй като счита, че CRIF е трябвало да му изпрати копие от всички документи, съдържащи данните му, като имейлите и извлеченията от бази данни, жалбоподателят в главното производство подава жалба до Österreichische Datenschutzbehörde (австрийски орган за защита на данните). Този орган отхвърля жалбата с мотива, че CRIF не е нарушила правото на достъп до личните данни на жалбоподателя в главното производство.

Bundesverwaltungsgericht (Федерален административен съд, Австрия), пред когото жалбоподателят в главното производство обжалва решението за отхвърляне, взето от споменатия орган, има съмнения за обхвата на задължението по член 15, параграф 3, първо изречение от ОРЗД на субекта на данните да се предостави „копие“ от личните му данни, които са в процес на обработване. Тази юрисдикция се пита в частност дали въпросното задължение е изпълнено, когато администраторът предава личните данни под формата на таблица в обобщен вид, или това задължение предполага и изпращането на извлечения от документи или дори на цели документи, както и на извлечения от бази данни, в които са възпроизведени тези данни. Освен това запитващата юрисдикция иска уточнения за конкретния обхват на понятието „информация“ в член 15, параграф 3, трето изречение от ОРЗД ( 2 ).

В решението си Съдът уточнява съдържанието и обхвата на правото на достъп на субекта на данни до личните му данни, които са в процес на обработване. В тази насока той постановява, че правото да се получи от администратора „копие“ от личните данни, които са в процес на обработване съгласно член 15, параграф 3, първо изречение от ОРЗД, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с ОРЗД права, като се подчертава, че в това отношение трябва да се вземат предвид правата и свободите на други лица. Съдът също така уточнява, че съдържащото се в член 15, параграф 3, първо изречение от ОРЗД понятие „информация“ се отнася изключително до личните данни, копие от които администраторът трябва да предостави съгласно първото изречение от този параграф.

Съображения на Съда

Съдът най-напред прави граматическо, систематично и телеологично тълкуване на член 15, параграф 3, първо изречение от ОРЗД, който предвижда правото на субекта на данни да получи копие от личните му данни, които са в процес на обработване.

По отношение на текста на член 15, параграф 3, първо изречение от ОРЗД Съдът отбелязва, че доколкото в тази разпоредба не е дадено определение на понятието „копие“, следва да се отчете обичайното значение на това понятие, което обозначава точната реплика или транскрипция на оригинал, така че просто общото описание на данните, които са в процес на обработване, или препращането към категории лични данни не би отговаряло на това определение. От текста на цитираната разпоредба следва също, че задължението за съобщаване се свързва с личните данни, които са предмет на разглежданото обработване. Въз основа на текстуалния анализ на същата разпоредба Съдът приема, че тази разпоредба предоставя на субекта на данните правото да получи точна реплика на личните му данни, разбирани в широк смисъл, които са предмет на операции, които трябва да бъдат квалифицирани като обработване от страна на администратора.

Що се отнася до контекста на член 15, параграф 3, първо изречение от ОРЗД, Съдът отбелязва, че член 15 от ОРЗД определя в параграф 1 предмета и приложното поле на правото на достъп, признато на субекта на данни. В член 15, параграф 3 от ОРЗД се уточняват практическите условия за изпълнение на задължението на администратора, като по-специално в първото изречение се посочва формата, под която администраторът трябва да предостави личните данни, които са в процес на обработване, а именно „копие“. Ето защо член 15 от ОРЗД няма как да се тълкува в смисъл, че в параграф 3, първо изречение от него предвижда право, отделно от залегналото в параграф 1 от него. Впрочем Съдът уточнява, че терминът „копие“ се отнася не до документа като такъв, а до личните данни, които той съдържа и които трябва да са пълни. Следователно копието трябва да съдържа всички лични данни, които са в процес на обработване.

Колкото до целите на член 15 от ОРЗД, Съдът изтъква, че правото на достъп, предвидено в тази разпоредба, трябва да позволи на субекта на данните да провери дали свързаните с него данни са точни и дали се обработват законосъобразно.

Освен това според Съда от ОРЗД ( 3 ) следва, че администраторът е длъжен да предприеме подходящи мерки, за да предостави на субекта на данните цялата посочена информация в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, и че информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства, освен ако субектът на данните не поиска тя да бъде предоставена устно. Оттук следва, че копието от личните данни, които са в процес на обработване, което администраторът е длъжен да предостави, трябва да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по ОРЗД, и следователно трябва да възпроизвежда изцяло и точно тези данни.

Ето защо, за да се гарантира, че така предоставената информация е лесна за разбиране, възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване, може да се окаже задължително. По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т.е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни.

В случай на конфликт между упражняването на правото на пълен и цялостен достъп до личните данни, от една страна, и правата или свободите на други лица, от друга, според Съда трябва да се намери баланс със съответните права и свободи. Доколкото е възможно, трябва да се изберат начини за предоставяне на лични данни, които не нарушават правата или свободите на други лица, като се има предвид, че подобни съображения не следва да представляват отказ за предоставяне на цялата информация на субекта на данни.

По-нататък, Съдът обсъжда въпроса за обхвата на понятието „информация“, съдържащо се в член 15, параграф 3, трето изречение от ОРЗД. Действително, тази разпоредба не уточнява какво трябва да се разбира под термина „информация“, но от контекста ѝ следва, че визираната с този термин „информация“ по необходимост са личните данни, копие от които администраторът трябва да предостави в съответствие с първото изречение от този параграф.

( 1 ) Член 15 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

( 2 ) Съгласно член 15, параграф 3, трето изречение от ОРЗД, когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго.

( 3 ) По-конкретно от съображения 58 и 60 и член 12, параграф 1 от този регламент.