Sag C-487/21

F.F.

mod

Österreichische Datenschutzbehörde og CRIF GmbH

(anmodning om præjudiciel afgørelse indgivet af Bundesverwaltungsgerichtshof (Østrig))

Domstolens dom (Første Afdeling) af 4. maj 2023

»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – den registreredes ret til sine personoplysninger, der er genstand for behandling – artikel 15, stk. 3 – udlevering af en kopi af oplysningerne – begrebet »kopi« – begrebet »oplysninger««

1. Beskyttelse af fysiske personer i forbindelse med behandlingen af personoplysninger – forordning 2016/679 – den registreredes ret til sine personoplysninger – udlevering af en kopi af oplysningerne – begrebet kopi – udlevering af en nøjagtig og forståelig reproduktion af oplysningerne til den pågældende – kopi af uddrag af dokumenter, såvel som hele dokumenter eller uddrag fra databaser, som bl.a. indeholder de nævnte oplysninger – omfattet – betingelse

   (Europa-Parlamentets og Rådets forordning 2016/679, 58. og 60. betragtning, art. 12, stk. 1, og art. 15, stk. 1 og 3, første punktum)

   (jf. præmis 21, 28, 32, 36-45 og domskonkl. 1)

2. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til sine personoplysninger, der er genstand for behandling – udlevering af en kopi af oplysningerne – begrebet »oplysninger« – personoplysninger, der videregives i form af en kopi fra den dataansvarlige – omfattet

   (Europa-Parlamentets og Rådets forordning 2016/679, art. 15, stk. 3, tredje punktum)

   (jf. præmis 48-53 og domskonkl. 2)

Resumé

Databeskyttelsesforordningen: Retten til at få en »kopi« af personoplysninger indebærer, at der udleveres en nøjagtig og forståelig gengivelse af alle disse oplysninger til den registrerede

Denne ret indebærer retten til at få kopi af uddrag af dokumenter, hele dokumenter eller endda uddrag fra databaser, som indeholder de nævnte oplysninger, hvis dette er nødvendigt for at gøre det muligt for den registrerede effektivt at udøve de rettigheder, som vedkommende er tillagt ved denne forordning

CRIF GmbH er et kreditoplysningsbureau, som ved kundernes anmodning udleverer kreditoplysninger om tredjemænd. I dette øjemed behandlede bureauet personoplysninger om sagsøgeren i hovedsagen for den forelæggende ret, der er privatperson. Sidstnævnte anmodede på grundlag af den generelle forordning om databeskyttelse ( 1 ) CRIF om at få adgang til de personoplysninger, der vedrørte ham. Han anmodede desuden om at få udleveret en kopi af dokumenterne, dvs. e-mails og udskrifter fra databaser, der bl.a. indeholdt hans data, »i et teknisk standardformat«.

Som svar på denne anmodning fremsendte CRIF i sammenfattet form en liste over de personoplysninger, der var genstand for behandling, til sagsøgeren i hovedsagen. Da sagsøgeren i hovedsagen var af den opfattelse, at CRIF burde have fremsendt en kopi af alle de dokumenter, der indeholdt sagsøgerens personoplysninger, såsom e-mails og udskrifter af databaser, indgav han en klage til Österreichische Datenschutzbehörde (den østrigske databeskyttelsesmyndighed). Databeskyttelsesmyndigheden afslog klagen ved afgørelse af 11. september 2019 med den begrundelse, at den dataansvarlige ikke havde tilsidesat den pågældendes ret til indsigt i sine personoplysninger.

Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig), for hvilken sagsøgeren i hovedsagen havde anlagt sag til prøvelse af denne myndigheds afgørelse om afslag, var i tvivl om rækkevidden af den forpligtelse, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, til at udlevere en »kopi« af den pågældendes personoplysninger, der er genstand for behandling, til den registrerede. Den forelæggende ret ønskede navnlig oplyst, om denne forpligtelse er opfyldt, når den dataansvarlige videregiver personoplysningerne i form af en oversigtstabel, eller om forpligtelsen ligeledes indebærer fremsendelse af uddrag af dokumenter eller hele dokumenter samt uddrag fra databaser, hvori disse oplysninger er gengivet. Den forelæggende ret ønskede endvidere en præcisering af, hvad begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, nærmere bestemt omfatter ( 2 ).

Domstolen præciserede i sin dom indholdet og rækkevidden af den registreredes ret til de personoplysninger, som er genstand for behandling. Domstolen var i denne henseende af den opfattelse, at den registreredes ret til at modtage en »kopi« af de personoplysninger, der er genstand for behandling hos den dataansvarlige i henhold til databeskyttelsesforordningens artikel 15, stk. 3, første punktum, indebærer, at den registrerede får udleveret en nøjagtig og forståelig gengivelse af alle disse oplysninger. Denne ret forudsætter retten til at få en kopi af uddrag af dokumenter eller af hele dokumenter eller uddrag fra databaser, som bl.a. indeholder de nævnte oplysninger, hvis udleveringen af en sådan kopi er nødvendig for at gøre det muligt for den registrerede effektivt at udøve de rettigheder, som vedkommende er tillagt ved databeskyttelsesforordningen, idet det fremhæves, at der i denne henseende skal tages hensyn til andres rettigheder og friheder. Domstolen præciserede i øvrigt, at begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, udelukkende vedrører de personoplysninger, som den dataansvarlige skal udlevere en kopi af i henhold til dette stykkes første punktum.

Domstolens bemærkninger

I første omgang foretog Domstolen en ordlydsfortolkning samt en systematisk og teleologisk fortolkning af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, som fastsætter den registreredes ret til at få en kopi af sine personoplysninger, der er genstand for behandling.

Hvad angår ordlyden af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, bemærkede Domstolen, at selv om denne bestemmelse ikke indeholder en definition af begrebet »kopi«, skal der tages hensyn til dette udtryks sædvanlige betydning, som betegner en nøjagtig gengivelse eller afskrift af en original, således at en rent generel beskrivelse af de oplysninger, der gøres til genstand for behandling, eller en henvisning til kategorier af personoplysninger ikke svarer til denne definition. Det fremgår desuden af denne bestemmelses ordlyd, at underretningspligten vedrører de personoplysninger, der er genstand for den pågældende behandling. Efter at have foretaget en ordlydsbaseret analyse af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, fastslog Domstolen, at denne bestemmelse giver den registrerede retten til at få udleveret en nøjagtig reproduktion af sine personoplysninger – opfattet i bred forstand – som er genstand for aktiviteter, der kan kvalificeres som behandling udført af den konkrete dataansvarlige.

Hvad angår den sammenhæng, hvori databeskyttelsesforordningens artikel 15, stk. 3, første punktum, indgår, bemærkede Domstolen, at genstanden for og anvendelsesområdet for den registreredes ret til indsigt defineres i databeskyttelsesforordningens artikel 15, stk. 1. Databeskyttelsesforordningens artikel 15, stk. 3, præciserer de praktiske foranstaltninger til opfyldelse af den dataansvarliges forpligtelse, idet det bl.a. i første punktum præciseres, i hvilken form den dataansvarlige skal levere de personoplysninger, der behandles, dvs. i form af en »kopi«. Som følge heraf kan databeskyttelsesforordningens artikel 15 ikke fortolkes således, at den i stk. 3, første punktum, skulle bekræfte en særskilt ret ud over den, som fremgår af bestemmelsens stk. 1. Domstolen præciserede i øvrigt, at begrebet »kopi« ikke henviser til et dokument som sådan, men til de personoplysninger, som det indeholder, og som skal være fuldstændige. Kopien skal derfor indeholde alle de personoplysninger, som er genstand for behandling.

Hvad angår de formål, som forfølges i databeskyttelsesforordningens artikel 15, bemærkede Domstolen, at retten til indsigt i henhold til denne artikel skal gøre det muligt for den registrerede at sikre, at personoplysningerne om den pågældende er korrekte og behandles lovligt.

Derudover fremgår det ifølge Domstolen af databeskyttelsesforordningen ( 3 ), at den dataansvarlige er forpligtet til at træffe passende foranstaltninger for at give den registrerede enhver oplysning i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, og at oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk, medmindre den registrerede anmoder om, at de gives mundtligt. Det følger heraf, at den kopi af personoplysninger, der er genstand for behandling, som den dataansvarlige skal udlevere, skal udvise alle de karakteristika, der gør det muligt for den registrerede effektivt at udøve sine rettigheder i henhold til databeskyttelsesforordningen, og derfor skal gengive disse oplysninger fuldstændigt og nøjagtigt.

For at sikre, at de således tilvejebragte oplysninger er lette at forstå, kan det således vise sig nødvendigt at reproducere uddrag af dokumenter eller dokumenter eller endda uddrag fra databaser, der bl.a. indeholder de personoplysninger, der er genstand for behandling. Navnlig når personoplysninger genereres på grundlag af andre oplysninger, eller når sådanne oplysninger hidrører fra fritekstfelter, dvs. manglende angivelse af en oplysning om den registrerede, er den sammenhæng, hvori disse oplysninger behandles, et nødvendigt element for at give den registrerede en gennemsigtig adgang til og en letforståelig præsentation af disse oplysninger.

I tilfælde af konflikt mellem udøvelsen af en fuld og uindskrænket ret til indsigt i personoplysninger og andres rettigheder eller frihedsrettigheder fastslog Domstolen, at det er nødvendigt at foretage en afvejning af de modstående rettigheder. I det omfang, det er muligt, skal der vælges måder for udlevering af personoplysningerne, som ikke krænker andres rettigheder eller frihedsrettigheder, under hensyntagen til, at disse vurderinger ikke må resultere i en afvisning af at give al information til den registrerede.

I anden omgang behandlede Domstolen spørgsmålet om, hvad begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, omfatter. Selv om denne bestemmelse ikke præciserer, hvad der skal forstås ved udtrykket »oplysninger«, følger det af den sammenhæng, hvori det indgår, at de »oplysninger«, som den omhandler, nødvendigvis svarer til de personoplysninger, som den dataansvarlige skal udlevere en kopi af i henhold til dette stykkes første punktum.

( 1 ) – Artikel 15 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

( 2 ) – I henhold til databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, udleveres oplysningerne i en almindeligt anvendt elektronisk form, hvis den registrerede indgiver anmodningen elektronisk, medmindre den registrerede anmoder om andet.

( 3 ) – Nærmere bestemt 58. og 60. betragtning til og artikel 12, stk. 1, i databeskyttelsesforordningen.