1.

Články 12 a 15 nařízení (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“) ( 2 ) přiznávají subjektům údajů rozsáhlá práva na přístup, pokud jde o zpracovávané osobní údaje. Uvedená ustanovení mimo jiné vyžadují, aby správci poskytli subjektům údajů bezplatně kopii takových údajů.

2.

Mohou subjekty údajů požadovat přístup ke svým osobním údajům na základě ustanovení GDPR pro jiné účely, než jsou účely související s ochranou údajů? Smí členské státy omezit právo na získání kopie údajů tím, že v některých konkrétních případech ukládají subjektům údajů povinnost uhradit náklady, které správci údajů vznikly v souvislosti s pořízením kopií? Mají správci poskytovat kopie všech dokumentů obsahujících osobní údaje, nebo mohou sestavit údaje požadované subjekty údajů?

3.

Takto v podstatě zní hlavní otázky, které byly vzneseny v rámci žádosti o rozhodnutí o předběžné otázce podané Bundesgerichtshof (Spolkový soudní dvůr, Německo) ve věci týkající se možnosti pacienta získat bezplatně kopie dokumentů obsažených v jeho lékařské dokumentaci.

4.

Body 4, 13 a 63 odůvodnění GDPR znějí takto:

5.

Článek 12 GDPR, nadepsaný „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“, stanoví:

„1.   Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování […]

2.   Správce usnadňuje výkon práv subjektu údajů podle článků 15 až 22. […]

3.   Správce poskytne subjektu údajů na žádost podle článků 15 až 22 informace o přijatých opatřeních, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. […]

[…]

5.   Informace podle článků 13 a 14 a veškerá sdělení a veškeré úkony podle článků 15 až 22 a 34 se poskytují a činí bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď:

Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.

[…]“.

6.

Článek 15 GDPR, nadepsaný „Právo subjektu údajů na přístup k osobním údajům“, stanoví:

„1.   Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:

[…]

3.   Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. […]

4.   Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.“

7.

Článek 23 odst. 1 GDPR, který se týká „Omezení“, stanoví:

„1.   Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 […] jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:

[…]

[…]

[…]“.

8.

Ustanovení § 630f Bürgerliches Gesetzbuch (německý občanský zákoník; dále jen „BGB“), nadepsané „Dokumentace léčby“, stanoví:

„(1)   Ošetřující je za účelem dokumentace povinen vést zdravotnickou dokumentaci v papírové nebo elektronické podobě v bezprostřední časové souvislosti s léčbou. […]

(2)   Ošetřující je povinen zaznamenat do zdravotnické dokumentace veškerá opatření, která jsou z odborného hlediska podstatná pro současnou a budoucí léčbu, a jejich výsledky, zejména anamnézu, diagnózy, vyšetření, výsledky vyšetření, nálezy, léčby a jejich účinky, zákroky a jejich účinky, souhlasy a poučení. Lékařské zprávy musí být vloženy do zdravotnické dokumentace.

[…]“

9.

Ustanovení § 630g BGB, nadepsané „Náhled do zdravotnické dokumentace“, uvádí:

„(1)   Pacientovi musí být na vyžádání neprodleně umožněno nahlédnout do své zdravotnické dokumentace, nebrání-li tomu závažné léčebné důvody nebo jiná závažná práva třetích osob. […]

(2)   Pacient může požadovat rovněž elektronické opisy své zdravotnické dokumentace. Ošetřujícímu musí uhradit vzniklé náklady.

[…]“.

10.

DW (žalobce v původním řízení) využil služeb stomatologické péče u FT (žalovaná v původním řízení). V návaznosti na své podezření na nesprávný lékařský postup DW požádal FT, aby mu bezplatně poskytla kopie veškeré zdravotnické dokumentace, která se ho týkala a měla FT k dispozici. FT měla za to, že kopii zdravotnické dokumentace by musela poskytnout pouze tehdy, uhradil-li by pacient náklady.

11.

DW podal proti FT žalobu k Amtsgericht (okresní soud, Německo), který jeho žalobě vyhověl. FT podala k Landgericht (zemský soud, Německo) opravný prostředek, jenž byl zamítnut s odůvodněním, že skutečnost, že DW požádal o informace za účelem prověření, zda mu náleží nároky z titulu právní odpovědnosti lékaře, nevylučuje jeho práva podle článku 15 GDPR.

12.

Ve svém opravném prostředku „Revision“ podaném k Bundesgerichtshof (Spolkový soudní dvůr) se FT domáhala zrušení rozsudku Landgericht (zemský soud) a zamítnutí žaloby DW. Podle Bundesgerichtshof (Spolkový soudní dvůr) závisí úspěch opravného prostředku „Revision“ na tom, zda se odvolací soud dopustil nesprávného právního posouzení, když konstatoval, že žaloba – jak tvrdil DW – je podle ustanovení GDPR opodstatněná.

13.

Bundesgerichtshof (Spolkový soudní dvůr) uvádí, že podle ustanovení vnitrostátního práva FT není povinna poskytnout DW bezplatně kopie jeho zdravotnické dokumentace. Nárok DW na jejich bezplatné poskytnutí však může vyplývat – jak uvedl Landgericht (zemský soud) – přímo z čl. 15 odst. 3 GDPR ve spojení s čl. 12 odst. 5 uvedeného nařízení. Bundesgerichtshof (Spolkový soudní dvůr) se proto s ohledem na své pochybnosti o správném výkladu uvedených ustanovení rozhodl řízení přerušit a položit Soudnímu dvoru následující předběžné otázky:

14.

V projednávané věci předložila písemná vyjádření lotyšská vláda a Komise.

15.

Podstatou první otázky předkládajícího soudu je, zda musí být čl. 12 odst. 5 a čl. 15 odst. 3 GDPR vykládány v tom smyslu, že správce údajů je povinen poskytnout subjektu údajů bezplatně kopii jeho osobních údajů, pokud subjekt údajů nepožaduje tuto kopii pro účely uvedené v první větě bodu 63 odůvodnění GDPR (a sice, aby byl informován o jejich zpracování a mohl si ověřit jeho zákonnost), ale pro jiný účel, jako je prověření existence nároků z titulu právní odpovědnosti lékaře.

16.

Uvedená otázka se v podstatě týká toho, zda má subjekt údajů podle ustanovení GDPR právo získat od správce údajů kopii svých osobních údajů, pokud je jeho žádost podána za účelem dosažení cílů, které jsou sice legitimní, ale nesouvisejí s ochranou údajů.

17.

Mám za to, že právo na přístup, jež GDPR přiznává subjektům údajů, není podmíněno jejich záměrem použít dotčené údaje pro takové účely související s ochranou údajů, jako jsou účely uvedené v bodě 63 odůvodnění. Jazykový, kontextuální a systematický výklad příslušných ustanovení GDPR tento názor podporuje.

18.

Ze znění článku 12 ani článku 15 GDPR především nelze žádné takové omezení vyvodit. Uvedená dvě ustanovení stanoví – v jakési souhře – povinnost správce údajů poskytnout přístup ke zpracovávaným osobním údajům a právo subjektu údajů požadovat takový přístup ( 3 ). Žádné z těchto dvou ustanovení nestanoví povinnost, aby subjekt údajů uvedl důvody své žádosti o přístup, ani neponechává správci údajů na zvážení, zda bude tyto důvody požadovat a posuzovat.

19.

Článek 12 GDPR ukládá správci povinnost „[přijmout] vhodná opatření, aby poskytl […] veškeré informace […] a učinil veškerá sdělení“, o které se jedná, a „[usnadnit] výkon práv subjektu údajů“ ( 4 ). Ustanovení článku 12 se ve skutečnosti týkají především způsobu a časového rozmezí, v rámci nichž by měl správce údajů mimo jiné poskytnout přístup ( 5 ). Jediné výjimky z povinnosti správce jednat neprodleně jsou tyto: (i) vyžádání dodatečných informací nebo odmítnutí vyhovět žádosti v případě důvodných pochybností o totožnosti subjektů údajů ( 6 ) a (ii) uložení přiměřeného poplatku nebo odmítnutí vyhovět žádosti v případě zjevně nedůvodných nebo nepřiměřených žádostí ( 7 ).

20.

Článek 15 GDPR je také formulován velmi široce a poskytuje subjektům údajů rozsáhlé formy přístupu: právo získat od správce potvrzení, zda osobní údaje, které se subjektu týkají, jsou či nejsou zpracovávány, a pokud tomu tak je, právo získat v tomto ohledu podrobné informace ( 8 ); a právo získat kopii zpracovávaných osobních údajů ( 9 ). Pro výkon práva subjektu údajů na přístup podle článku 15 GDPR není stanovena žádná výslovná podmínka ani omezení.

21.

Výše uvedené se liší od toho, co je stanoveno v ostatních ustanoveních nařízení, která se týkají jiných práv subjektů údajů. Například čl. 17 odst. 3 GDPR stanoví situace, kdy se právo být zapomenut, formulované v odstavcích 1 a 2 téhož článku, „neuplatní“. Článek 20 GDPR, který se týká práva na přenositelnost údajů, má podobnou strukturu, přičemž výjimky jsou stanoveny v odstavci 3 tohoto ustanovení. V článku 21 odst. 6 GDPR jsou zase stanoveny podmínky, za nichž jsou subjekty údajů za určitých zvláštních okolností oprávněny uplatnit své právo vznést námitku, jak je stanoveno v odstavci 1 tohoto článku.

22.

Na podkladě těchto skutečností podle mého názoru nelze bod 63 odůvodnění vykládat tak, že zavádí podmínku nebo omezení ohledně výkonu práva na přístup zakotveného v článku 15 GDPR, které nejsou ve znění tohoto ustanovení (ani v souvisejícím článku 12 GDPR) nikterak zmíněna.

23.

Mám za to, že bod 63 odůvodnění má spíše zdůraznit význam práva na přístup v systematice GDPR. Uvedené právo je ve skutečnosti nástrojem a nezbytným předpokladem pro účinný výkon mnoha dalších práv, která GDPR přiznává subjektům údajů ( 10 ). Jednotlivci mohou mít jen stěží možnost „kontrolovat své vlastní osobní údaje“ – jak se s důrazem uvádí v bodě 7 odůvodnění GDPR – pokud jim není známo, „zda a jaké“ osobní údaje se zpracovávají a „proč“. To by mohlo vysvětlovat, proč bod 63 odůvodnění uvádí, že subjekty údajů by měly mít právo na přístup, „aby [byly] o jejich zpracování [informovány] a [mohly] si ověřit jeho zákonnost“ ( 11 ). Znění bodu 63 odůvodnění může být možná poněkud nejasné, ale podle mého názoru z něj nevyplývá, že právo na přístup je přiznáváno pouze pro účely v něm uvedené.

24.

Jen na okraj poznamenávám, že pro správce údajů by bylo často nemožné zkontrolovat takovou podmínku, a tudíž by pro subjekt údajů bylo snadné ji obcházet, neboť by závisela na subjektivním úmyslu dotčené osoby ( 12 ).

25.

Kromě toho sdílím názor předkládajícího soudu, že z bodu 44 rozsudku ve věci YS a další ( 13 ) nelze vyvodit odlišný výklad článku 15 GDPR. V uvedené pasáži Soudní dvůr – s odkazem na ustanovení směrnice 95/46/ES ( 14 ), předchůdkyni GDPR – uvedl, že „jak vyplývá z […] odůvodnění této směrnice, subjekt údajů má za účelem provedení potřebných ověření […] právo na přístup k údajům, jež se ho týkají a jsou předmětem zpracovávání“ ( 15 ).

26.

Soudní dvůr přitom v podstatě neučinil nic jiného, než že citoval znění bodu 41 odůvodnění směrnice 95/46, jehož formulace je podobná formulaci bodu 63 odůvodnění GDPR. Kromě toho – jak správně poznamenal předkládající soud – Soudní dvůr byl ve věci YS a další požádán, aby objasnil pojem „osobní údaje“ za účelem určení rozsahu přístupu. Zkoumaná otázka vyvolává jinou právní otázku, – a sice zda účel požadovaného přístupu může mít vliv na možnost poskytnutí přístupu – přičemž se nedomnívám, že ve vztahu k tomuto aspektu lze v uvedeném rozsudku nalézt jakékoliv užitečné vodítko.

27.

Výklad článku 15 GDPR předložený v tomto stanovisku potvrzuje rovněž čl. 8 odst. 2 Listiny základních práv Evropské unie (dále jen „Listina“), jehož předmětem je „Ochrana osobních údajů“ a který stanoví, že: „Každý má právo na přístup k údajům, jež o něm byly shromážděny, a má právo na jejich opravu.“ ( 16 ). Podle všeho je právo na přístup v Listině vymezeno jako samostatné právo, které je logicky spjato s možností nebo záměrem držitele práva uplatnit jiná práva (jako je právo na opravu ( 17 )), ale nikterak nezbytně na nich nezávisí.

28.

Konečně dodávám, že uvedený výklad článku 15 GDPR navrhl rovněž Evropský sbor pro ochranu osobních údajů ve svých „Pokynech 01/2022 k právům subjektů údajů – Právo na přístup“ ( 18 ). Bod 13 těchto pokynů stanoví: „[S]právci by neměli posuzovat ‚proč‘ subjekt údajů žádá o přístup, ale pouze ‚o co‘ subjekt údajů žádá […] a zda disponují osobními údaji týkajícími se této osoby […] [S]právce by například neměl odepřít přístup z důvodu nebo pro podezření, že by subjekt údajů mohl požadované údaje použít pro účely své obhajoby u soudu v případě propuštění nebo obchodního sporu se správcem“.

29.

Je zajímavé, že příklad uvedený v těchto pokynech do značné míry odpovídá skutkovým okolnostem věci projednávané předkládajícím soudem. Skutečnost, že žalobce v původním řízení požadoval přístup ke svým osobním údajům obsaženým v lékařské dokumentaci – což je situace výslovně předvídaná v bodě 63 odůvodnění GDPR ( 19 ) – za účelem zvážení, zda podat žalobu pro nesprávný lékařský postup – tedy cíl, který předkládající soud správně označuje za „legitimní“ ( 20 ) – tudíž neopravňuje správce k tomu, aby žádost subjektu údajů odmítl.

30.

S ohledem na výše uvedené navrhuji, aby Soudní dvůr odpověděl na první předběžnou otázku tak, že čl. 12 odst. 5 a čl. 15 odst. 3 GDPR musí být vykládány v tom smyslu, že správce údajů je povinen poskytnout subjektu údajů kopii jeho osobních údajů, a to i v případě, že subjekt údajů nepožaduje kopii pro účely uvedené v bodě 63 odůvodnění GDPR, ale pro jiný účel, který s ochranou údajů nesouvisí.

31.

Podstatou druhé otázky předkládajícího soudu je, zda čl. 23 odst. 1 GDPR umožňuje, aby vnitrostátní právní úprava přijatá před vstupem GDPR v platnost omezila právo subjektů údajů na bezplatné poskytnutí kopie osobních údajů zpracovávaných správcem tím, že je na subjektech údajů požadována úhrada nákladů, které správci v této souvislosti vznikly.

32.

Na úvod je třeba zdůraznit, že není pochyb o tom, že podle pravidel GDPR mají subjekty údajů v zásadě právo obdržet od správce první kopii svých zpracovávaných údajů bezplatně. To výslovně vyplývá z čl. 12 odst. 5 GDPR, který stanoví, že informace poskytované na základě mimo jiné článku 15 uvedeného nařízení „se poskytují a činí bezplatně“ a pouze za žádosti, které jsou „zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují“ může správce „uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s učiněním požadovaných úkonů“.

33.

Vyplývá to rovněž, byť implicitně, z čl. 15 odst. 3 GDPR, podle něhož „za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů“ ( 21 ). To zcela nepochybně znamená, že za první kopii, o kterou subjekt údajů požádá, nelze účtovat poplatek.

34.

Podle čl. 23 odst. 1 GDPR nicméně unijní nebo vnitrostátní právo „může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 […] jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit“ některý z cílů uvedených v tomto článku. Jedním takovým cílem je veřejné zdraví uvedené pod písmenem e) a dalším jsou „[práva a svobody] druhých“ uvedené pod písmenem i).

35.

Po zdůraznění tohoto aspektu nyní přistoupím ke klíčové otázce, kterou nastolila zkoumaná otázka, jež si podle mého názoru vyžaduje kladnou odpověď.

36.

Zaprvé je nesporné, že právo subjektů údajů na přístup k jejich osobním údajům – stanovené v článku 15 GDPR – je jedním z práv, která spadají do oblasti působnosti čl. 23 odst. 1 GDPR, a jeho rozsah lze tudíž omezit prostřednictvím legislativního opatření Unie nebo členského státu ( 22 ).

37.

Zadruhé pokud mohou členské státy obecně omezit rozsah práva na přístup například tím, že ho vyloučí v určitých situacích nebo ve vztahu k určitým údajům, měly by mít rovněž možnost – v souladu se zásadou a maiore ad minus ( 23 ) – zavést poměrně úzké omezení jeho výkonu. Omezena je totiž jen jedna forma přístupu (právo získat kopii údajů), a to pouze tím, že je podmíněna úhradou nákladů, které správcům vznikly, ze strany subjektů údajů.

38.

Zatřetí je takové omezení, jako je dotčené omezení – výslovně stanovené v občanském zákoníku nebo rovnocenném právním nástroji –stanoveno „v legislativním opatření“, jak vyžaduje čl. 23 odst. 1 GDPR. Uvedená podmínka odráží podmínku stanovenou v čl. 52 odst. 1 Listiny, podle níž musí být omezení základních práv „stanoveno zákonem“.

39.

V této souvislosti dodávám, že skutečnost, že sporná vnitrostátní právní úprava byla přijata před vstupem GDPR v platnost, je podle mého názoru pro určení, zda tato právní úprava splňuje podmínky stanovené v čl. 23 odst. 1 GDPR, jednoznačně irelevantní. Jak poznamenala Komise, uvedené ustanovení, a ostatně ani žádné jiné ustanovení GDPR, nevyžaduje, aby byla omezující opatření Evropské unie nebo členských států zahrnuta do legislativních nástrojů ad hoc, a tím spíše ne do nástrojů přijatých po vstupu GDPR v platnost. Členské státy tudíž mohou zachovat i zavést omezení, která splňují požadavky čl. 23 odst. 1 GDPR. Srovnání různých jazykových verzí tohoto ustanovení uvedený názor potvrzuje ( 24 ).

40.

Začtvrté vzhledem k relativně nevýznamné povaze dotčeného omezení zmíněné v bodě 37 výše se domnívám, že taková vnitrostátní právní úprava, jako je dotčená právní úprava, zjevně nezasahuje do „podstaty“ tohoto práva (další požadavek stanovený v čl. 23 odst. 1 GDPR i v čl. 52 odst. 1 Listiny). Uvedená právní úprava nezbavuje fyzické osoby nucleus durus jejich práva na ochranu údajů. Je dokonce obtížné si mimo jiné představit situace – v rámci těch, které upravuje dotčená vnitrostátní právní úprava – kdy by výše těchto nákladů byla natolik významná, že by se povinnost subjektů údajů nést je prakticky rovnala odepření přístupu.

41.

Zapáté se mi zdá, že taková vnitrostátní právní úprava, jako je dotčená právní úprava, sleduje cíle, které jsou přípustné podle čl. 23 odst. 1 GDPR a z širšího hlediska legitimní podle unijního práva.

42.

S výhradou ověření ze strany předkládajícího soudu tomuto rozumím tak, že cílem příslušné vnitrostátní právní úpravy je odrazovat od zbytečných nebo neopodstatněných žádostí o kopie, aby byly i) chráněny hospodářské zájmy lékařů, kteří často pracují v rámci podniků o jedné osobě nebo v malých týmech, a tím ii) zajištěno, že lékaři budou při výkonu své profesní činnosti věnovat (většinu) svého času svým hlavním lékařským úkolům, a nikoli výkonu administrativních úkonů, kterým se lze vyhnout.

43.

Druhý cíl souvisí s cílem ochrany veřejného zdraví. Článek 23 odst. 1 v rámci písm. e) výslovně předpokládá omezení nezbytná k zajištění „[důležitých cílů] obecného veřejného zájmu Unie nebo členského státu“, jako je „veřejné zdraví“. To je v souladu s článkem 35 Listiny, nadepsaným „Ochrana zdraví“, který stanoví, že „[k]aždý má právo na přístup k preventivní zdravotní péči a na obdržení lékařské péče za podmínek stanovených vnitrostátními právními předpisy a zvyklostmi. Při vymezování a provádění všech politik a činností Evropské unie je zajištěn vysoký stupeň ochrany lidského zdraví“ ( 25 ).

44.

Je pravda, že první cíl je určen k ochraně (soukromého) zájmu určitých osob – lékařů, kteří v situaci dotčené v projednávané věci vystupují jako správci údajů – a má hospodářskou povahu. Ani jeden z těchto aspektů však neznamená, že omezení práva na přístup je v zásadě nepřijatelné.

45.

Článek 23 odst. 1 GDPR totiž pod písm. i) dovoluje omezení nezbytná k zajištění „práv a svobod druhých“. Je zajímavé, že tytéž pojmy lze nalézt také v čl. 15 odst. 4 a v bodě 63 odůvodnění GDPR, které právě v souvislosti s právem na získání kopie zpracovávaných údajů uvádějí, že tímto právem by neměla být „nepříznivě dotčena práva a svobody jiných osob“.

46.

Předně podotýkám, že čl. 15 odst. 4, čl. 23 odst. 1 písm. i) a bod 63 odůvodnění GDPR odkazují na „práva a svobody jiných osob“ ( 26 ), a nikoli – jak je tomu v jiných ustanoveních nařízení – „třetích stran“ ( 27 ). To rovněž logicky znamená, že podle uvedeného ustanovení mohou být přijatelná omezení nezbytná k ochraně určitých práv správce ( 28 ).

47.

Dále pak skutečnost, že jeden ze zájmů chráněných dotčenou vnitrostátní právní úpravou má hospodářskou povahu, sama o sobě neznamená, že by tento zájem nemohl odůvodňovat omezení podle čl. 23 odst. 1 GDPR. Bod 4 odůvodnění GDPR je v tomto ohledu zcela jasný: „právo na ochranu osobních údajů není právem absolutním [a] […] v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména […] svobodu podnikání […]“ ( 29 ).

48.

V této souvislosti připomínám, že hlava II Listiny (nadepsaná „Svobody“) zahrnuje různá práva hospodářské povahy: kromě již zmíněné svobody podnikání (článek 16 Listiny) lze nalézt také „právo svobodné volby povolání a právo pracovat“ (článek 15 Listiny) a právo na vlastnictví (článek 17 Listiny). Základní práva hospodářské povahy nelze považovat za méně významná ve srovnání s jinými (občanskými, sociálními nebo politickými) právy. Není třeba znát díla Ludwiga von Misese ( 30 ), abychom pochopili, že všechna tato práva jsou neoddělitelně spjata: jejich požívání musí jít ruku v ruce, neboť odnětí hospodářských práv by nevyhnutelně ovlivnilo možnost jednotlivců plně využívat svých občanských, sociálních a politických práv a naopak.

49.

Kromě toho, jak poznamenal předkládající soud, bod 13 odůvodnění GDPR podporuje členské státy v tom, „aby specifické potřeby mikropodniků a malých a středních podniků zohledňovaly při uplatňování [nařízení]“. Členské státy tak mohou zohlednit specifické vlastnosti podniků omezené velikosti a samostatně výdělečně činných osob, jako je tomu často v případě lékařů.

50.

V důsledku výše uvedeného nemám potíže dospět k závěru, že čl. 23 odst. 1 GDPR připouští nejen omezení zaměřená na ochranu veřejného zdraví, ale také omezení, jejichž cílem je ochrana určitých základních hospodářských práv jednotlivců ( 31 ), včetně práv správců.

51.

Konečně však platí, že vnitrostátní právní úprava omezující právo na přístup k osobním údajům je podle čl. 23 odst. 1 GDPR přípustná pouze tehdy, pokud ji lze považovat za „nezbytné a přiměřené opatření“, jehož cílem je zajistit některý z veřejných zájmů, které jsou v daném ustanovení uvedeny. Předmětné ustanovení tak vyžaduje – v souladu se zavedenou zásadou – aby byl proveden „test přiměřenosti“ omezení, který musí být odůvodněn.

52.

Za účelem ověření přiměřenosti omezení je třeba přezkoumat tři kumulativní požadavky. Opatření musí být způsobilé zajistit uskutečnění sledovaného cíle („způsobilost“) a nesmí překračovat meze toho, co je nezbytné k jeho dosažení („nezbytnost“). Kromě toho musí být vnitrostátní opatření „přiměřené stricto sensu“, což znamená, že musí nastolit spravedlivou rovnováhu mezi dotčenými zájmy (tedy zájmem, který stát sleduje dotčeným opatřením, a zájmem osob, které jsou jím negativně dotčeny) ( 32 ).

53.

Domnívám se, že nejlepší předpoklady pro provedení posouzení otázky, zda jsou konkrétní vnitrostátní opatření odchylující se od obecných pravidel unijního práva v souladu se zásadou proporcionality, mají často vnitrostátní soudy. Nicméně s cílem pomoci předkládajícímu soudu vyřešit spor, který projednává, nabízím následující úvahy.

54.

Především se mi zdá, že taková vnitrostátní právní úprava, jako je dotčená úprava, je v zásadě způsobilá k dosažení cílů sledovaných vnitrostátním zákonodárcem, což znamená, že podle všeho může významně přispět k jejich dosažení. Požadavek, aby subjekty údajů uhradily administrativní náklady spojené s vyhotovením požadovaných kopií, je totiž skutečně může odradit od podávání zbytečných nebo neopodstatněných žádostí o přístup. To znamená, že se snižuje pravděpodobnost, že lékaři budou muset vynakládat svůj čas a zdroje na administrativní úkony, kterým se lze vyhnout.

55.

Dále pak to, zda taková vnitrostátní právní úprava, jako je dotčená úprava, nepřekračuje meze toho, co je nezbytné k dosažení jejích cílů, nebo zda nenastoluje spravedlivou rovnováhu mezi dotčenými zájmy, představují podle mého názoru problematiku, která není tak jednoznačná, a bude si tedy vyžadovat důkladnější posouzení ze strany předkládajícího soudu.

56.

V tomto ohledu opětovně zdůrazňuji ( 33 ) relativně nevýznamnou povahu dotčeného omezení. Zatímco článek 15 GDRP přiznává subjektům údajů různé formy přístupu, sporná vnitrostátní právní úprava omezuje jen jednu z těchto forem (právo na získání kopie údajů), a to pouze tím, že ji podmiňuje úhradou nákladů, které správcům v této souvislosti vznikly, ze strany subjektů údajů.

57.

Komise nicméně vyjádřila určité pochybnosti o nezbytnosti dotčené vnitrostátní právní úpravy, přičemž poukázala na skutečnost, že se vztahuje na všechny žádosti o přístup k lékařské dokumentaci bez ohledu na profesní postavení a druh činnosti dotčeného lékaře: tento může být osoba samostatně výdělečně činná, samostatně či v rámci lékařského sdružení, nebo zaměstnanec, například ve veřejné nemocnici či velké soukromé klinice.

58.

Připouštím, že některé argumenty Komise mají určitou váhu. Může být vskutku pravda, že všechny situace, na které se vztahuje dotčená vnitrostátní právní úprava, nemusí být pro účely čl. 23 odst. 1 písm. e) a i) GDPR zcela srovnatelné. Například velká lékařská sdružení, nemocnice a soukromé kliniky obvykle disponují specializovaným personálem a vybavením, aby mohly vykonávat všechny administrativní úkony spojené s poskytováním lékařských služeb. Není tedy zřejmé, že by i v těchto případech měla taková vnitrostátní právní úprava, jako je dotčená úprava, ten následek, že by lékaři nemuseli nést zbytečné výdaje nebo využívat svůj cenný čas k provádění nikoliv nezbytných úředních úkonů.

59.

Kromě toho, na rozdíl od lékařů povinných uplatňovat veřejně stanovené sazby, lékaři, kteří si smí svobodně stanovit své sazby na úrovni, jež považují za přiměřenou, mohou nahradit dodatečné náklady zvýšením svých sazeb, a tím tyto náklady „rozložit“ mezi všechny své pacienty, uznají-li takový postup za vhodný. Někteří lékaři tedy mohou patrně vyžadovat vyšší úroveň „legislativní ochrany“ než jiní.

60.

Na druhou stranu si však nejsem jist, zda by pravidlo, které by s lékaři a proto i s pacienty zacházelo odlišně v závislosti na tom, zda lékaři například a) jsou osoby samostatně výdělečně činné nebo zaměstnanci, b) pracují – použiji-li terminologii bodu 13 odůvodnění GDPR – v „mikropodnicích a malých a středních podnicích“ nebo pro velké nemocnice a kliniky nebo c) jsou vázáni veřejnými sazbami nebo si mohou sazby volně stanovit, bylo praktické či rozumné a spravedlivé.

61.

Nalézt správná kritéria pro odlišení situací, kdy by náklady měli nést pacienti, od situací, kdy by náklady měli nést lékaři, aby bylo co nejlépe dosaženo cílů stanovených vnitrostátní právní úpravou, není snadný úkol. Ještě důležitější je, že jakékoli takové rozlišování by přinášelo určité obtíže (a případně i zdroj nejasností), pokud jde o situace, které se vzhledem k obvykle poměrně omezenému množství dostupných finančních prostředků pravděpodobně snáze řídí jasným pravidlem automatického uplatňování.

62.

Jak konstatoval Soudní dvůr, členským státům nelze upírat možnost sledovat cíle ve veřejném zájmu zavedením obecných a jednoduchých pravidel, která budou pro uživatele jednoduše pochopitelná a použitelná a snadno uplatňovatelná a kontrolovatelná ze strany příslušných orgánů ( 34 ). Obecněji řečeno, jak jsem uvedl ve svém nedávném stanovisku, po členských státech nelze požadovat, aby přijaly – v zájmu přiměřenosti – alternativní opatření, jejichž provedení či účinnost je nejistá nebo vedla-li by k neúnosné (organizační nebo finanční) zátěži pro tyto státy ( 35 ).

63.

Konečně nelze vyloučit ani nepříznivý účinek pravidla s omezenějším rozsahem, než je takové pravidlo, jaké je dotčeno v projednávané věci: pacienti by mohli být motivováni k tomu, aby navštěvovali spíše větší kliniky (které poskytují kopie lékařské dokumentace bezplatně) než menší lékařská sdružení (jež za tyto kopie vyžadují dodatečnou platbu).

64.

Bylo by totiž možné zpochybnit i celkovou spravedlnost či jinými slovy přiměřenost alternativních pravidel. Z pohledu lékařů se může konkrétně uzpůsobené pravidlo, které pouze chrání nezávislé lékaře a malé ordinace od takových nákladů, jevit jako rozumné: chrání „nejslabší“ odborníky. Je-li však totéž opatření posuzováno z pohledu pacientů, může působit odlišně. Byli by to totiž ti pacienti, kteří vyhledávají lékařské služby ve velkých nemocnicích a klinikách, zejména v těch, kde si lékaři mohou svobodně stanovit své sazby na úrovni považované jimi za přiměřenou, kteří by měli prospěch z takového pravidla. Je tomu tak navzdory skutečnosti, že i) tito pacienti mohou být často majetnější než pacienti, kteří využívají služeb místních samostatně výdělečně činných lékařů, a ii) náklady vynaložené na kopie lékařských záznamů budou pravděpodobně představovat velmi malou (případně zanedbatelnou) část celkových nákladů, které tito pacienti vynakládají za lékařské služby, oproti pacientům, kteří vyhledávají lékařské služby v rámci vnitrostátního zdravotnického systému (obvykle bezplatně nebo za nízké poplatky). Lze tedy tvrdit, že k ochraně „nejslabších odborníků“ by docházelo na úkor „nejslabších spotřebitelů“.

65.

S ohledem na výše uvedené skutečnosti tedy nejsem na rozdíl od Komise přesvědčen, že univerzální přístup, který zvolila německá legislativa, překračuje meze toho, co je nezbytné k dosažení cílů sledovaných dotčenou vnitrostátní právní úpravou. Nedokázal jsem nalézt žádné alternativní opatření, jež by bylo méně omezující vůči právu na ochranu údajů fyzických osob a zároveň stejně účinné pro zajištění zájmů, které má dotčená vnitrostátní právní úprava chránit.

66.

Neshledávám ani žádnou skutečnost, která by nasvědčovala tomu, že se německé legislativě nepodařilo nastolit správnou rovnováhu mezi různými dotčenými zájmy.

67.

Jistě by bylo možné tvrdit, že rovnováhu mezi různými dotčenými zájmy, pokud jde o poskytování kopií osobních údajů, nastolil unijní normotvůrce: správce údajů musí první kopii poskytnout bezplatně a může požadovat úhradu poplatku pouze při nepřiměřenosti nebo za další kopie. Široké znění čl. 23 odst. 1 a bodu 13 odůvodnění GDPR však takový restriktivní výklad neumožňuje. Ani bod 63 odůvodnění, který výslovně odkazuje na právo subjektů údajů na přístup k údajům o „svém zdravotním stavu“, neobsahuje v tomto ohledu žádný konkrétní odkaz.

68.

A co je důležitější, nelze přehlédnout, že v oblasti ochrany a zlepšování lidského zdraví má Evropská unie pouze podpůrnou pravomoc ( 36 ). Podle ustálené judikatury Soudního dvora přísluší členským státům rozhodnout o úrovni, na které zamýšlí zajistit ochranu veřejného zdraví, a o způsobu, jímž má být této úrovně dosaženo. Vzhledem k tomu, že v jednotlivých členských státech se tato úroveň může lišit, je třeba členským státům přiznat prostor pro uvážení ( 37 ).

69.

Po zvážení různých dotčených zájmů německá legislativa rozhodla, že pokud jde o žádosti pacientů o kopie lékařské dokumentace adresované lékařům, existují důvody domnívat se, že vzniklé náklady by měly nést subjekty údajů, a nikoli správci. Mám za to, že se jedná o politické rozhodnutí, které vzhledem k tomu, že není zjevně iracionální nebo nepřijatelné, spadá do prostoru pro uvážení dotčeného členského státu. Přezkum této volby je v každém případě úkolem, jenž přísluší předkládajícímu soudu, a nikoli Soudnímu dvoru.

70.

Zcela jistě však existuje aspekt, který by předkládající soud měl podle mého názoru ověřit. Domnívám se, že v situacích, jako jsou situace upravené dotčenou vnitrostátní právní úpravou, je nezbytné, aby náklady, jejichž náhradu mohou lékaři od pacientů požadovat, byly přísně omezeny na skutečné náklady na vyhotovení a zpřístupnění požadovaných kopií. To znamená, že nahraditelné náklady jsou pouze ty, které se týkají materiálu (jako je papír, toner do tiskáren či kopírovacích strojů nebo USB paměťové jednotky atd.) a práce potřebné k předmětnému účelu. Mám za to, že tyto náklady nemohou zahrnovat jakýkoli zisk odborníků ( 38 ). Vzhledem k současnému stavu digitalizace dokumentů a archivů bych byl překvapen (a pojal bych tedy podezření), pokud by částka, kterou si lékaři za tímto účelem běžně účtují, přesáhla několik eur.

71.

S ohledem na výše uvedené navrhuji, aby Soudní dvůr odpověděl na druhou předběžnou otázku tak, že čl. 23 odst. 1 GDPR dovoluje vnitrostátní právní úpravu, jež ukládá pacientům, kteří žádají o kopie svých osobních údajů obsažených v lékařské dokumentaci, povinnost uhradit lékařům vynaložené náklady, pokud je omezení práva na přístup při zohlednění všech relevantních okolností nezbytné a přiměřené cílům ochrany veřejného zdraví a svobody podnikání lékařů. Vnitrostátnímu soudu zejména přísluší ověřit, zda se náklady, jejichž náhradu mohou lékaři od pacientů požadovat, přísně omezují na náklady skutečně vynaložené v tomto ohledu.

72.

Konečně podstatou třetí otázky předkládajícího soudu je, zda mají být v souvislosti se vztahem lékaře a pacienta vykládán obrat „kopie zpracovávaných osobních údajů“ uvedený v první větě čl. 15 odst. 3 GDPR v tom smyslu, že přiznávají subjektu údajů obecné právo získat úplnou kopii dokumentů obsažených v jeho lékařské dokumentaci.

73.

Stěžejní otázku, kterou projednávaná věc nastoluje, řešil – podle mého názoru přesvědčivě – generální advokát G. Pitruzzella ve svém nedávném stanovisku ve věci F. F ( 39 ).

74.

V této věci předkládající soud požádal Soudní dvůr o objasnění rozsahu práva na přístup, které subjektům údajů přiznává článek 15 GDPR. Za účelem řešení této otázky se generální advokát G. Pitruzzella zabýval mimo jiné pojmem „kopie“ ve smyslu čl. 15 odst. 3 a 4 GDPR. Po jazykovém, kontextuálním a teleologickém výkladu uvedeného ustanovení dospěl k následujícím závěrům, které jsou pro projednávanou věc relevantní.

75.

Zaprvé pojem „kopie“ uvedený v čl. 15 odst. 3 a 4 GDPR musí být chápán jako „věrná reprodukce osobních údajů požadovaných subjektem údajů ve srozumitelné podobě, v hmotném a trvalém formátu, která subjektu údajů umožní účinně vykonávat jeho právo na přístup k jeho osobním údajům, mít úplnou znalost všech svých osobních údajů, které jsou zpracovávány“. Generální advokát G. Pitruzzella dodal, že „přesná forma kopie se určuje podle zvláštností každého případu, a zejména podle typu osobních údajů, k nimž je požadován přístup, a podle potřeb subjektu údajů“ ( 40 ).

76.

Zadruhé čl. 15 odst. 3 GDPR „nepřiznává subjektu údajů obecné právo získat kopii části nebo celého dokumentu obsahujícího osobní údaje subjektu údajů nebo výpis z této databáze, pokud jsou osobní údaje zpracovávány v databázi“. Generální advokát G. Pitruzzella však rovněž upřesnil, že „toto ustanovení […] nevylučuje, že části dokumentů nebo celé dokumenty či výpisy z databází musí být subjektu údajů poskytnuty, pokud je to nezbytné k zajištění plné srozumitelnosti zpracovávaných osobních údajů, k nimž je požadován přístup“ ( 41 ).

77.

Z důvodu hospodárnosti řízení zde nebudu opakovat důvody, které generálního advokáta G. Pitruzzella k uvedenému postoji vedly. Postačí říci, že v tomto ohledu plně sdílím jeho názor. Konečně GDPR není právním předpisem o přístupu k dokumentům, ale o ochraně údajů. Proto se zaměřuje především na zajištění přístupu k údajům, nikoliv k dokumentům, jež údaje obsahují. Zatímco v některých případech může z druhého aspektu nutně vyplývat aspekt první, není tomu tak vždy.

78.

Mám nicméně za to, že v souladu se zásadou transparentnosti ( 42 ) a s požadavkem, aby informace byly poskytovány „stručným, transparentním, srozumitelným a snadno přístupným způsobem“ ( 43 ), je možné, pokud jde o dokumenty obsažené v lékařské dokumentaci, že pro právo na získání kopie zpracovávaných údajů může být často nutností právo na poskytnutí (částečné nebo úplné) kopie původních dokumentů. Domnívám se, zvláště pokud se jedná o výsledky analýz nebo testů (které obvykle zahrnují řadu technických údajů či snímků), že bude-li lékařům (nebo jejich zaměstnancům) umožněno shrnout nebo sestavit tyto údaje, aby mohly být poskytnuty v souhrnné podobě, může to vést k riziku, že některé relevantní údaje budou opomenuty ( 44 ) nebo uvedeny nesprávně ( 45 ), respektive že v každém případě bude pro subjekty údajů (tedy pacienty) obtížnější ověřit jejich přesnost a úplnost.

79.

Patrně z tohoto důvodu, jak již bylo uvedeno, bod 63 odůvodnění GDPR výslovně uvádí, že právo na přístup k osobním údajům „zahrnuje právo subjektů údajů na přístup k údajům o svém zdravotním stavu, například k údajům ve své lékařské dokumentaci, která obsahuje například informace o diagnóze, výsledky vyšetření, posudky ošetřujících lékařů a údaje o veškeré léčbě a provedených ošetřeních nebo zákrocích“.

80.

Zdá se tedy, že sama legislativa EU zdůraznila význam toho, aby přístup fyzických osob k osobním údajům týkajícím se jejich zdraví byl nejen snadno srozumitelný, ale také co nejúplnější a nejpřesnější. Současně je zřejmé, že lékařská dokumentace může obsahovat různé dokumenty, které neobsahují osobní údaje pacientů (například vědecké články týkající se patologických stavů nebo léčebných postupů). Pacienti zjevně nemají na základě GDPR právo na přístup k informacím obsaženým v těchto článcích, a tudíž ani právo na jejich kopii.

81.

V této souvislosti poznamenávám, že dotčená vnitrostátní právní úprava – jejíž reforma je, pokud je mi známo, projednávána příslušnými vnitrostátními orgány ( 46 ) – může pacientům přiznávat právo na přístup k lékařské dokumentaci, a zejména na získání kopií dokumentů v ní obsažených, které jde nad rámec práva uznaného podle GDPR.

82.

Nevidím žádný důvod, proč by takové pojetí práva na přístup nemělo být z hlediska unijního práva možné, vzhledem ke skutečnosti, že by spadalo do oblasti práva, jež není na unijní úrovni upravena. Mohu-li to posoudit, neexistuje ani žádná zjevná kolize s pravidly GDPR. Nemusím však zdůrazňovat, že právo na přístup k lékařské dokumentaci, které jde nad rámec práva přiznaného GDPR, by se v tomto rozsahu řídilo pouze vnitrostátní právní úpravou. To znamená, že je na vnitrostátní právní úpravě, aby určila rozsah tohoto práva (například druh dotčených dokumentů) a způsob, jakým má být přístup poskytnut (například bezplatně nebo za náhradu vynaložených nákladů).

83.

Navrhuji proto, aby Soudní dvůr odpověděl na třetí otázku tak, že v souvislosti se vztahem mezi lékařem a pacientem nelze obrat „kopie zpracovávaných osobních údajů“ uvedené v čl. 15 odst. 3 GDPR vykládat v tom smyslu, že subjektu údajů přiznávají obecné právo získat úplnou kopii všech dokumentů obsažených v jeho lékařské dokumentaci. Výše uvedené nevylučuje možnost, že správce může být nucen poskytnout subjektům údajů částečnou nebo úplnou kopii určitých dokumentů. Tak tomu bude v případě, kdy bude kopie dokumentu nezbytná k zajištění srozumitelnosti poskytnutých údajů a k tomu, aby byl subjekt údajů schopen ověřit, že poskytnuté údaje jsou úplné a přesné.

84.

Závěrem navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Bundesgerichtshof (Spolkový soudní dvůr, Německo) následovně:

„Článek 12 odst. 5 a čl. 15 odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládány v tom smyslu, že správce údajů je povinen poskytnout subjektu údajů kopii jeho osobních údajů, a to i v případě, že subjekt údajů nepožaduje kopii pro účely uvedené v bodě 63 odůvodnění GDPR, ale pro jiný účel, který s ochranou údajů nesouvisí.

Článek 23 odst. 1 GDPR dovoluje vnitrostátní právní úpravu, jež ukládá pacientům, kteří žádají o kopie svých osobních údajů obsažených v lékařské dokumentaci, povinnost uhradit lékařům vynaložené náklady, pokud je omezení práva na přístup při zohlednění všech relevantních okolností shledáno za nezbytné a přiměřené cílům ochrany veřejného zdraví a svobody podnikání lékařů. Vnitrostátnímu soudu zejména přísluší ověřit, zda se náklady, jejichž náhradu mohou lékaři od pacientů požadovat, přísně omezují na náklady skutečně vynaložené v tomto ohledu.

V souvislosti se vztahem mezi lékařem a pacientem nelze obrat „kopie zpracovávaných osobních údajů“ uvedený v čl. 15 odst. 3 GDPR vykládat v tom smyslu, že subjektu údajů přiznávají obecné právo získat úplnou kopii dokumentů obsažených v jeho lékařské dokumentaci. Správce je však povinen poskytnout subjektu údajů částečnou nebo úplnou kopii dokumentů, je-li to nezbytné k zajištění srozumitelnosti poskytnutých údajů a k tomu, aby byl subjekt údajů schopen ověřit, že poskytnuté údaje jsou úplné a přesné.“