–

den lettiske regering ved K. Pommere, som befuldmægtiget,

–

Europa-Kommissionen ved A. Bouchagiar, F. Erlbacher og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 12, stk. 5, artikel 15, stk. 3, og artikel 23, stk. 1, litra i), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Denne anmodning er blevet indgivet i forbindelse med en tvist mellem FT og DW vedrørende et afslag fra FT, der er tandlæge, på at give sin patient en første kopi af dennes patientjournal gratis.

3

Fjerde betragtning til databeskyttelsesforordningen har følgende ordlyd:

»[...] Retten til beskyttelse af personoplysninger er ikke en absolut ret; den skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Denne forordning overholder alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i [Den Europæiske Unions charter om grundlæggende rettigheder] som forankret i traktaterne, navnlig [...] frihed til at oprette og drive egen virksomhed [...]«

4

10. og 11. betragtning til databeskyttelsesforordningen er affattet således:

5

Følgende fremgår af 13. betragtning til databeskyttelsesforordningen:

»[...] Derudover opfordres EU-institutionerne og ‑organerne samt medlemsstaterne og deres tilsynsmyndigheder til at tage hensyn til mikrovirksomheders og små og mellemstore virksomheders særlige behov i forbindelse med anvendelsen af denne forordning. [...]«

6

I 58. betragtning til databeskyttelsesforordningen er følgende præciseret:

»Princippet om gennemsigtighed kræver, at enhver oplysning, som er rettet til offentligheden eller den registrerede, er kortfattet, lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog og endvidere, hvis det er passende, visualisering. Sådanne oplysninger kan gøres tilgængelige i elektronisk form, f.eks. når de er rettet mod offentligheden, via et websted. Dette er især relevant i situationer, hvor den hastige vækst i antallet af aktører og den anvendte teknologis kompleksitet gør det vanskeligt for den registrerede at vide og forstå, om, af hvem og til hvilket formål der indsamles personoplysninger om vedkommende, såsom i forbindelse med annoncering på internettet. Eftersom børn bør nyde særlig beskyttelse, bør alle oplysninger og meddelelser, hvis behandling er rettet mod et barn, være i et så klart og enkelt sprog, at et barn let kan forstå dem.«

7

Følgende er angivet i 59. betragtning til databeskyttelsesforordningen:

»Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i henhold til denne forordning, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og udøvelsen af retten til indsigelse. [...]«

8

63. betragtning til databeskyttelsesforordningen er affattet således:

»En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Dette omfatter registreredes ret til indsigt i deres helbredsoplysninger, f.eks. data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget. [...]«

9

Databeskyttelsesforordningens artikel 4 fastsætter følgende:

»I denne forordning forstås ved:

1)   »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

2)   »behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse.

[...]«

10

Databeskyttelsesforordningens artikel 12 bestemmer følgende:

»1.   Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.

2.   Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. [...]

[...]

5.   Oplysninger, der gives i henhold til artikel 13 og 14, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 15-22 og 34, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:

Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.

[...]«

11

Databeskyttelsesforordningens artikel 15 fastsætter følgende:

»1.   Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:

2.   Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.

3.   Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.

4.   Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.«

12

Nævnte forordnings artikel 16 og 17 fastsætter henholdsvis den registreredes ret til at få berigtiget urigtige personoplysninger (ret til berigtigelse) og under visse omstændigheder retten til sletning af sådanne oplysninger (retten til sletning eller »retten til at blive glemt«).

13

Samme forordnings artikel 18 med overskriften »Ret til begrænsning af behandling« bestemmer følgende i stk. 1:

»Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:

14

Databeskyttelsesforordningens artikel 21 med overskriften »Ret til indsigelse« fastsætter i stk. 1, følgende:

»Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.«

15

Databeskyttelsesforordningens artikel 23, stk. 1, har følgende ordlyd:

»EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, kan ved lovgivningsmæssige foranstaltninger begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22 og 34 samt artikel 5, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til:

[...]

[...]«

16

Ifølge § 630f i Bürgerliches Gesetzbuch (den tyske borgerlige lovbog, herefter »BGB«) har den behandlende person med henblik på dokumentation pligt til at føre patientjournal i papirform eller elektronisk, og patientjournalen skal føres umiddelbart i forlængelse af behandlingen. Den behandlende person har pligt til at registrere alle de foranstaltninger, der fagligt set er væsentlige for den nuværende og fremtidige behandling, og resultaterne heraf, i patientjournalen, navnlig anamnesen, diagnoser, undersøgelser, undersøgelsesresultater, vurderinger, terapier og virkninger heraf, indgreb og virkninger heraf, underretninger af patienten og dennes samtykke. Den behandlende person skal opbevare patientjournalen i ti år efter behandlingens afslutning, forudsat at andre bestemmelser ikke foreskriver andre opbevaringsperioder.

17

I henhold til BGB’s § 630g, stk. 1, første punktum, skal patienten efter anmodning omgående gives fuld indsigt i den patientjournal, der vedrører ham eller hende, medmindre væsentlige terapeutiske forhold eller betydelige rettigheder hos andre parter taler imod dette. Ifølge BGB’s § 630g, stk. 2, første punktum, kan patienten også forlange at få udleveret elektroniske kopier af patientjournalen. Henset til bemærkningerne til loven skal dette forstås således, at patienten kan vælge mellem at kræve, at der fremlægges fysiske eller elektroniske kopier. BGB’s § 630g, stk. 2, andet punktum, bestemmer, at patienten skal godtgøre den behandlende person de afholdte omkostninger.

18

DW modtog tandbehandling af FT. Da DW nærede mistanke om, at der var begået fejl i forbindelse med den behandling, han havde modtaget, anmodede han FT om at få udleveret en gratis første kopi af sin patientjournal. FT meddelte DW, at hun kun ville imødekomme hans anmodning på betingelse af, at han afholdt udgifterne i forbindelse med udleveringen af kopien af patientjournalen, således som det er fastsat i national ret.

19

DW anlagde et søgsmål mod FT. Både i første instans og i appelsagen blev der givet medhold i DW’s anmodning om vederlagsfrit at få udleveret en første kopi af sin patientjournal. Disse afgørelser støttede sig på en fortolkning af den gældende nationale lovgivning i lyset af databeskyttelsesforordningens artikel 12, stk. 5, og artikel 15, stk. 1 og 3.

20

Bundesgerichtshof (forbundsdomstol, Tyskland), ved hvilken FT har iværksat revisionsanke, er af den opfattelse, at afgørelsen af tvisten afhænger af den fortolkning, der bør anlægges af databeskyttelsesforordningens bestemmelser.

21

Den forelæggende ret har anført, at en patient i henhold til national ret kan få udleveret en kopi af sin patientjournal på betingelse af, at den behandlende person får godtgjort udgifterne i forbindelse hermed.

22

Det kunne imidlertid følge af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, sammenholdt med artikel 12, stk. 5, første punktum, at den dataansvarlige, i det foreliggende tilfælde den praktiserende tandlæge, er forpligtet til gratis at udlevere en første kopi af patientens journal til denne.

23

For det første har den forelæggende ret anført, at DW har anmodet om en første kopi af sin patientjournal med henblik på at gøre et ansvar gældende over for FT. Et sådant formål har ingen sammenhæng med det formål, der er nævnt i 63. betragtning til databeskyttelsesforordningen, som fastsætter en ret til indsigt i personoplysninger med henblik på at forvisse sig om og kontrollere lovligheden af behandlingen af disse oplysninger. Ordlyden af databeskyttelsesforordningens artikel 15 gør imidlertid ikke udøvelsen af retten til udlevering betinget af en sådan begrundelse. Desuden kræver denne bestemmelse ikke, at den registrerede begrunder sin anmodning om udlevering.

24

For det andet har den forelæggende ret fremhævet, at databeskyttelsesforordningens artikel 23, stk. 1, gør det muligt at vedtage nationale lovgivningsmæssige foranstaltninger, der begrænser rækkevidden af de forpligtelser og rettigheder, der er omhandlet i denne forordnings artikel 12-22, for at sikre et af de i denne bestemmelse fastsatte formål. I det foreliggende tilfælde har FT påberåbt sig det formål om beskyttelse af andres rettigheder og frihedsrettigheder, der fremgår af databeskyttelsesforordningens artikel 23, stk. 1, litra i), og gjort gældende, at takstordningen i BGB’s § 630g, stk. 2, andet punktum, er en nødvendig og forholdsmæssig foranstaltning med henblik på at beskytte de behandlende personers legitime interesser, som generelt gør det muligt at forebygge grundløse kopianmodninger fra de berørte patienter.

25

Dels blev BGB’s § 630g, stk. 2, andet punktum, imidlertid vedtaget, før databeskyttelsesforordningen trådte i kraft.

26

Dels tager takstordningen i BGB’s § 630g, stk. 2, andet punktum, primært sigte på at beskytte de behandlende personers økonomiske interesser. Det skal derfor afgøres, om disse sidstnævntes interesse i at blive fritaget for de omkostninger og byrder, der er forbundet med udlevering af kopier af oplysninger, falder ind under andres rettigheder og frihedsrettigheder i den forstand, hvori udtrykket er anvendt i databeskyttelsesforordningens artikel 23, stk. 1, litra i). En systematisk overførsel til patienterne af udgifterne i forbindelse med kopieringer af deres patientjournaler kan i øvrigt forekomme for vidtgående, eftersom en sådan overførsel ikke tager hensyn til størrelsen af de faktisk afholdte udgifter eller til de særlige omstændigheder i forbindelse med hver enkelt anmodning.

27

For det tredje, og for så vidt som DW har anmodet om at få udleveret en kopi af alle de helbredsdokumenter, der angår ham, dvs. af sin patientjournal, er den forelæggende ret i tvivl om rækkevidden af retten til at modtage en kopi af de personoplysninger, der behandles, således som fastsat i databeskyttelsesforordningens artikel 15, stk. 3. I denne henseende kunne denne ret tilgodeses ved, at der blev udleveret et sammendrag af de oplysninger, som tandlægen havde behandlet. De i databeskyttelsesforordningen omhandlede formål om gennemsigtighed og kontrol af lovligheden synes imidlertid at tale for en udlevering af en kopi af alle de oplysninger, som den dataansvarlige råder over i ubearbejdet form, dvs. af samtlige helbredsdokumenter vedrørende patienten, for så vidt som de indeholder sådanne oplysninger.

28

På denne baggrund har Bundesgerichtshof (forbundsdomstol) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:

29

Med sit første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 12, stk. 5, og artikel 15, stk. 1 og 3, skal fortolkes således, at forpligtelsen til vederlagsfrit at give den registrerede en første kopi af de personoplysninger om vedkommende, der behandles, gælder for den dataansvarlige, selv når denne anmodning er begrundet i et formål, der ikke har nogen sammenhæng med de formål, der er nævnt i 63. betragtning, første punktum, til denne forordning.

30

Det skal indledningsvis bemærkes, at det følger af fast retspraksis, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den ordning, som den udgør en del af (dom af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger), C-154/21, EU:C:2023:3, præmis 29).

31

Hvad for det første angår ordlyden af de relevante bestemmelser skal det i første omgang bemærkes, at databeskyttelsesforordningens artikel 12, stk. 5, opstiller det princip, hvorefter den registreredes udøvelse af retten til indsigt i de oplysninger om vedkommende, der behandles, og i de hermed forbundne oplysninger ikke medfører nogen udgifter for den registrerede. I denne bestemmelse nævnes desuden to grunde til, at en dataansvarlig enten kan opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger eller afvise at efterkomme en anmodning. Disse grunde vedrører tilfælde af retsmisbrug, hvor den registreredes anmodninger er »åbenbart grundløse« eller »overdrevne«, især fordi de gentages.

32

I denne henseende har den forelæggende ret udtrykkeligt anført, at den registreredes anmodning ikke havde karakter af misbrug.

33

I anden omgang er den registreredes ret til indsigt i de oplysninger om vedkommende, der behandles, og i de hermed forbundne oplysninger – som udgør en integrerende del af retten til beskyttelse af personoplysninger – sikret ved databeskyttelsesforordningens artikel 15, stk. 1. I henhold til denne bestemmelses ordlyd har registrerede ret til indsigt i de personoplysninger om de pågældende, som behandles.

34

Desuden fremgår det af databeskyttelsesforordningens artikel 15, stk. 3, at den dataansvarlige udleverer en kopi af de personoplysninger, der behandles, og at denne kan opkræve et rimeligt gebyr for yderligere kopier, som den registrerede anmoder om. I denne forbindelse præciserer databeskyttelsesforordningens artikel 15, stk. 4, at artikel 15, stk. 3, tillægger denne person en »ret«. Den dataansvarlige kan derfor kun kræve en sådan betaling, når den registrerede allerede har modtaget en gratis første kopi af sine oplysninger og på ny anmoder herom.

35

Som Domstolen allerede har fastslået, følger det af den ordlydsbaserede analyse af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, at bestemmelsen giver den registrerede ret til at få udleveret en nøjagtig gengivelse af sine personoplysninger – opfattet i bred forstand – som er genstand for aktiviteter, der kan kvalificeres som »behandling udført af den konkrete dataansvarlige« (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 28).

36

Det fremgår derfor af databeskyttelsesforordningens artikel 12, stk. 5, sammenholdt med dennes artikel 15, stk. 1 og 3, dels, at den registrerede har ret til at modtage en første vederlagsfri kopi af de personoplysninger om vedkommende, der behandles, dels at den dataansvarlige på visse betingelser har mulighed for at opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger eller afvise at efterkomme en anmodning, hvis anmodningen er åbenbart grundløs eller overdreven.

37

I det foreliggende tilfælde skal det bemærkes, at en tandlæge, der foretager de behandlingsaktiviteter, der er omhandlet i databeskyttelsesforordningens artikel 4, nr. 2, vedrørende oplysninger om sine patienter, skal anses for at være en »dataansvarlig« som omhandlet i denne forordnings artikel 4, nr. 7), der er underlagt de forpligtelser, som denne egenskab indebærer, navnlig ved at sikre indsigt i personoplysninger på de registreredes anmodning.

38

Det må konstateres, at hverken ordlyden af databeskyttelsesforordningens artikel 12, stk. 5, eller af denne forordnings artikel 15, stk. 1 og 3, gør det til en betingelse for at udlevere en gratis første kopi af personoplysninger, at disse personer påberåber sig en begrundelse for deres anmodninger. Disse bestemmelser giver derfor ikke den dataansvarlige mulighed for at kræve, at den registrerede fremfører en begrundelse for sin anmodning om indsigt.

39

Hvad for det andet angår den sammenhæng, hvori de ovennævnte bestemmelser indgår, skal det fremhæves, at databeskyttelsesforordningens artikel 12 indgår i denne forordnings kapitel III, afdeling 1, der bl.a. vedrører det i denne forordnings artikel 5, stk. 1, litra a), fastsatte princip om gennemsigtighed.

40

Databeskyttelsesforordningens artikel 12 fastsætter således en række generelle forpligtelser, der påhviler den dataansvarlige for så vidt angår gennemsigtighed i oplysninger og meddelelser, samt de nærmere regler for udøvelsen af den registreredes rettigheder.

41

Databeskyttelsesforordningens artikel 15, der indgår i kapitel III, afdeling 2, om oplysning og indsigt i personoplysninger, supplerer databeskyttelsesforordningens ramme for gennemsigtighed ved at give den registrerede en ret til indsigt i sine personoplysninger og en ret til at blive informeret om behandlingen af disse oplysninger.

42

Det skal desuden bemærkes, at der ifølge 59. betragtning til databeskyttelsesforordningen »bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i henhold til denne forordning, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og udøvelsen af retten til indsigelse«.

43

Eftersom den registrerede, således som det fremgår af nærværende doms præmis 38, ikke er forpligtet til at begrunde anmodningen om indsigt i oplysningerne, kan 63. betragtning, første punktum, ikke fortolkes således, at denne anmodning skal afslås, hvis den har et andet formål end at få kendskab til behandlingen af oplysningerne og at kontrollere dens lovlighed. Denne betragtning kan nemlig ikke begrænse rækkevidden af databeskyttelsesforordningens artikel 15, stk. 3, således som anført i nærværende doms præmis 35.

44

Det skal i denne forbindelse påpeges, at det følger af fast retspraksis, at præamblen til en EU-retsakt ikke er retligt bindende og ikke kan påberåbes til støtte for at fravige bestemmelserne i den pågældende retsakt eller for at fortolke dem i åbenbar strid med deres ordlyd (dom af 13.9.2018, Česká pojišťovna, C-287/17, EU:C:2018:707, præmis 33).

45

Det er i øvrigt angivet i 63. betragtning, andet punktum, at den ret til indsigt i personoplysninger, der er anerkendt for de registrerede, i forhold til deres helbredsoplysninger omfatter »data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget«.

46

Under disse omstændigheder kan den ret til indsigt i helbredsoplysninger, der er sikret ved databeskyttelsesforordningens artikel 15, stk. 1, ikke begrænses – ved et afslag på indsigt eller ved et krav om betaling af et vederlag – til en af de grunde, der er nævnt i 63. betragtning, første punktum. Det samme gælder retten til at opnå en gratis første kopi som fastsat i denne forordnings artikel 12, stk. 5, og artikel 15, stk. 3.

47

Hvad for det tredje angår de mål, der forfølges med databeskyttelsesforordningen, skal det bemærkes, at denne forordning, som angivet i 10. og 11. betragtning hertil, har til formål at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i Unionen og at styrke og præcisere de registreredes rettigheder.

48

Det er netop med henblik på opfyldelse af dette formål, at artikel 15, stk. 1, sikrer den registrerede en ret til indsigt i sine personoplysninger (jf. i denne retning dom af 22.6.2023, Pankki S, C-579/21, EU:C:2023:501, præmis 57 og den deri nævnte retspraksis).

49

Følgelig hører databeskyttelsesforordningens artikel 12, stk. 5, og artikel 15, stk. 1 og 3, med til de bestemmelser, der har til formål at sikre denne ret til indsigt samt gennemsigtigheden i fremgangsmåden for behandling af personoplysninger i forhold til den registrerede (jf. i denne retning dom af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger), C-154/21, EU:C:2023:3, præmis 42).

50

Princippet om, at den første kopi af oplysningerne skal være vederlagsfri, og den omstændighed, at det ikke er nødvendigt at påberåbe sig en specifik begrundelse for anmodningen om indsigt, bidrager nødvendigvis til at gøre det lettere for den registrerede at udøve de rettigheder, som databeskyttelsesforordningen tillægger vedkommende.

51

Henset til den betydning, som databeskyttelsesforordningen tillægger retten til indsigt i personoplysninger, der behandles – således som den er sikret ved databeskyttelsesforordningens artikel 15, stk. 1, for at nå sådanne formål – kan udøvelsen af denne ret følgelig ikke underlægges betingelser, som EU-lovgiver ikke udtrykkeligt har fastsat, såsom en forpligtelse til at påberåbe sig en af de grunde, der er nævnt i 63. betragtning, første punktum, til databeskyttelsesforordningen.

52

På baggrund af samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at databeskyttelsesforordningens artikel 12, stk. 5, og artikel 15, stk. 1 og 3, skal fortolkes således, at forpligtelsen til vederlagsfrit at give den registrerede en første kopi af de personoplysninger om vedkommende, der behandles, gælder for den dataansvarlige, selv når denne anmodning er begrundet i et formål, der ikke har nogen sammenhæng med de formål, der er nævnt i 63. betragtning, første punktum, til denne forordning.

53

Med sit andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 23, stk. 1, litra i), skal fortolkes således, at denne bestemmelse tillader en national lovgivning, som er vedtaget inden denne forordnings ikrafttrædelse, og som med henblik på at beskytte den dataansvarliges økonomiske interesser pålægger den registrerede at betale udgifterne til en første kopi af de personoplysninger om vedkommende, der er gestand for behandling.

54

Hvad i første omgang angår spørgsmålet om, hvorvidt alene de nationale foranstaltninger, der er vedtaget efter databeskyttelsesforordningens ikrafttrædelse, kan være omfattet af anvendelsesområdet for databeskyttelsesforordningens artikel 23, stk. 1, skal det fremhæves, at denne bestemmelses affattelse ikke indeholder nogen angivelse i denne henseende.

55

Databeskyttelsesforordningens artikel 23, stk. 1, begrænser sig nemlig til at angive, at en lovgivningsmæssig foranstaltning fra en medlemsstat kan begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i denne forordnings artikel 12-22, forudsat at disse foranstaltninger svarer til rettighederne og forpligtelserne i disse artikler, og når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning af hensyn til bl.a. beskyttelsen af andres rettigheder og frihedsrettigheder.

56

Følgelig udelukker databeskyttelsesforordningens artikel 23, stk. 1, ikke nationale lovgivningsmæssige foranstaltninger, der er vedtaget forud for databeskyttelsesforordningens ikrafttrædelse, fra sit anvendelsesområde, forudsat at de opfylder de betingelser, der er fastsat i denne forordning.

57

Hvad i anden omgang angår spørgsmålet om, hvorvidt en national lovgivning, der med henblik på at beskytte de behandlende personers økonomiske interesse pålægger patienten at betale udgifterne til udlevering af en af denne begæret første kopi af patientjournalen, er omfattet af databeskyttelsesforordningens artikel 23, stk. 1, litra i), skal det for det første bemærkes, at den registrerede – som det fremgår af nærværende doms præmis 31 og 33-36 – i medfør af denne forordnings artikel 12, stk. 5, og artikel 15, stk. 1 og 3, indrømmes en ret til at modtage en første vederlagsfri kopi af de personoplysninger om vedkommende, der behandles.

58

For yderligere kopier tillader databeskyttelsesforordningens artikel 15, stk. 3, andet punktum, imidlertid den dataansvarlige at opkræve et rimeligt gebyr baseret på de administrative omkostninger. Databeskyttelsesforordningens artikel 12, stk. 5, sammenholdt med denne forordnings artikel 15, stk. 1 og 3, gør det i øvrigt muligt for den dataansvarlige at beskytte sig mod misbrug af retten til indsigt ved at opkræve et rimeligt gebyr i tilfælde af åbenbart grundløse eller overdrevne anmodninger.

59

For det andet følger det af fjerde betragtning til denne forordning, at retten til beskyttelse af personoplysninger ikke er en absolut ret og skal afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Databeskyttelsesforordningen overholder således alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i chartret om grundlæggende rettigheder som forankret i traktaterne (dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 53).

60

Databeskyttelsesforordningens artikel 15, stk. 4, fastsætter således, at »[r]etten til at modtage en kopi [...] ikke [må] krænke andres rettigheder og frihedsrettigheder«.

61

Det er ligeledes anført i databeskyttelsesforordningens artikel 23, stk. 1, litra i), at det er muligt at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i bl.a. databeskyttelsesforordningens artikel 15, »når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til [...] andres rettigheder og frihedsrettigheder«.

62

Det følger derfor af nærværende doms præmis 59-61, at den registreredes ret til at modtage en første vederlagsfri kopi af de personoplysninger om vedkommende, der behandles, ikke er absolut.

63

For det tredje er det kun betragtninger vedrørende bl.a. beskyttelsen af andres rettigheder og frihedsrettigheder, der kan begrunde en begrænsning af denne ret, for så vidt som en sådan begrænsning respekterer det væsentligste indhold heraf, og for så vidt som den udgør en nødvendig og forholdsmæssig foranstaltning til at sikre denne beskyttelse, således som det er fastsat i databeskyttelsesforordningens artikel 23, stk. 1, litra i).

64

Som det fremgår af forelæggelsesafgørelsen, gør den takstordning, der er fastsat i BGB’s § 630g, stk. 2, andet punktum, det imidlertid muligt for den behandlende person at pålægge patienten at afholde udgifterne til udlevering af en første kopi af vedkommendes patientjournal. Den forelæggende ret har fremhævet, at denne ordning først og fremmest har til formål at beskytte de praktiserende personers økonomiske interesser, hvilket afholder patienterne fra nytteløst at fremsætte anmodninger om en kopi af deres patientjournal. For så vidt som den i hovedsagen omhandlede nationale lovgivning faktisk har til formål at beskytte de praktiserende personers økonomiske interesser – hvilket det tilkommer den forelæggende ret at efterprøve – kan sådanne betragtninger således ikke henhøre under de »andres rettigheder og frihedsrettigheder«, der er omhandlet i databeskyttelsesforordningens artikel 23, stk. 1, litra i).

65

For det første fører en sådan lovgivning nemlig til afholdelse fra ikke blot anmodninger, der er nytteløse, men ligeledes fra anmodninger om af en legitim grund at få udleveret en første vederlagsfri kopi af de personoplysninger, der behandles. Den er derfor nødvendigvis i strid med princippet om, at den første kopi skal være vederlagsfri, og rejser af denne grund tvivl om den effektive virkning af den ret til indsigt, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 1, og dermed om den beskyttelse, der sikres ved denne forordning.

66

For det andet fremgår det ikke af forelæggelsesafgørelsen, at de interesser, der beskyttes af den nationale lovgivning, går videre end til rent administrative eller økonomiske hensyn.

67

I denne henseende skal det fremhæves, at EU-lovgiver har taget hensyn til de dataansvarliges økonomiske interesser i henhold til databeskyttelsesforordningens artikel 12, stk. 5, og artikel 15, stk. 3, andet punktum, der, som det er anført i nærværende doms præmis 58, definerer de omstændigheder, hvorunder den dataansvarlige kan opkræve betaling for de udgifter, der er forbundet med udlevering af en kopi af de personoplysninger, der behandles.

68

Under disse omstændigheder kan forfølgelsen af det formål, der er knyttet til beskyttelsen af de behandlende personers økonomiske interesser, ikke begrunde en foranstaltning, der fører til, at der rejses tvivl om retten til gratis at få udleveret en første kopi og dermed om den effektive virkning af den registreredes ret til indsigt i de personoplysninger om vedkommende, der behandles.

69

På baggrund af samtlige ovenstående betragtninger skal det andet spørgsmål besvares med, at databeskyttelsesforordningens artikel 23, stk. 1, litra i), skal fortolkes således, at en national lovgivning, som er vedtaget inden denne forordnings ikrafttrædelse, kan være omfattet af anvendelsesområdet for denne bestemmelse. En sådan mulighed tillader dog ikke, at der vedtages en national lovgivning, som med henblik på at beskytte den dataansvarliges økonomiske interesser pålægger den registrerede at betale udgifterne til en første kopi af de personoplysninger om vedkommende, der er gestand for behandling.

70

Med sit tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal fortolkes således, at det i et læge/patient-forhold gælder, at retten til at modtage en kopi af de personoplysninger, der behandles, indebærer, at den registrerede skal have udleveret en komplet kopi af de dokumenter, der indgår i vedkommendes patientjournal, og som indeholder personoplysninger om denne, eller kun en kopi af disse oplysninger som sådanne.

71

Indledningsvis har Domstolen fastslået, at databeskyttelsesforordningens artikel 15, stk. 3, første punktum, ifølge sin ordlyd giver den registrerede ret til at få udleveret en nøjagtig gengivelse af sine personoplysninger – opfattet i bred forstand – som er genstand for aktiviteter, der kan kvalificeres som »behandling« udført af den konkrete dataansvarlige (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 28).

72

Dernæst kan databeskyttelsesforordningens artikel 15 ikke fortolkes således, at den i stk. 3, første punktum, fastsætter en særskilt ret ud over den, som fremgår af bestemmelsens stk. 1. Udtrykket »kopi« henviser i øvrigt ikke til et dokument som sådant, men til de personoplysninger, som det indeholder, og som skal være fuldstændige. Kopien skal derfor indeholde alle de personoplysninger, der behandles (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 32).

73

Hvad endelig angår de formål, der forfølges med databeskyttelsesforordningens artikel 15, har denne til formål at styrke og præcisere de registreredes rettigheder. Retten til indsigt, der er fastsat i denne bestemmelse, skal således gøre det muligt for den registrerede at sikre sig, at personoplysningerne om vedkommende er korrekte, og at de behandles lovligt. Den kopi af personoplysninger, der er genstand for behandling, og som den dataansvarlige skal give i henhold til databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal i øvrigt udvise alle de karakteristika, der gør det muligt for den registrerede effektivt at udøve sine rettigheder i henhold til denne forordning, og skal derfor gengive disse oplysninger fuldstændigt og nøjagtigt (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 33, 34 og 39).

74

Med henblik på at sikre, at de af den dataansvarlige tilvejebragte oplysninger er lette at forstå, således som det kræves i henhold til databeskyttelsesforordningens artikel 12, stk. 1, sammenholdt med 58. betragtning hertil, kan det navnlig være nødvendigt at gengive uddrag af dokumenter såvel som hele dokumenter, der bl.a. indeholder de personoplysninger, der er genstand for behandling, når en kontekstualisering af de behandlede oplysninger er nødvendig for at sikre deres forståelighed (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 41).

75

Retten til at få en kopi af de personoplysninger, som den dataansvarlige behandler, indebærer følgelig, at den registrerede får udleveret en nøjagtig og forståelig gengivelse af alle disse oplysninger. Denne ret indebærer retten til at få en kopi af uddrag af dokumenter, såvel som hele dokumenter, som bl.a. indeholder de nævnte oplysninger, hvis udleveringen af en sådan kopi er nødvendig for at gøre det muligt for den registrerede effektivt at udøve de rettigheder, som vedkommende er tillagt ved forordningen (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 45).

76

Hvad angår de i hovedsagen omhandlede oplysninger skal det bemærkes, at databeskyttelsesforordningen identificerer en række oplysninger, som sagsøgeren i hovedsagen bør kunne anmode om en kopi af. Hvad angår personoplysninger om helbred er det således specificeret i 63. betragtning til denne forordning, at de registreredes indsigtsret omfatter »data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget«.

77

Som generaladvokaten i hovedtrækkene har påpeget i punkt 78-80 i forslaget til afgørelse, er det i denne forbindelse på grund af følsomheden af personoplysninger om fysiske personers helbred, at EU-lovgiver således har fremhævet vigtigheden af, at fysiske personers indsigt i deres oplysninger i deres patientjournaler sker så fuldstændigt og præcist som muligt, men ligeledes forståeligt.

78

Hvad angår undersøgelsesresultater, lægelige vurderinger samt behandling og indgreb, der er foretaget over for en patient – hvilket som hovedregel omfatter talrige tekniske oplysninger og endog billeder – kan lægens udlevering af blot et sammendrag eller en sammenskrivning af disse oplysninger, med henblik på at præsentere dem i en sammenfattende form, imidlertid skabe en risiko for, at visse relevante oplysninger udelades eller gengives ukorrekt, eller at det under alle omstændigheder bliver vanskeligere for patienten at kontrollere, om disse oplysninger er korrekte og udtømmende, og at forstå dem.

79

På baggrund af samtlige ovenstående betragtninger skal det tredje spørgsmål besvares med, at databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal fortolkes således, at det i et læge/patient-forhold gælder, at retten til at modtage en kopi af de personoplysninger, der behandles, indebærer, at den registrerede skal have udleveret en nøjagtig og forståelig gengivelse af alle disse oplysninger. Denne ret indebærer retten til at få udleveret en komplet kopi af de dokumenter, der indgår i vedkommendes patientjournal, og som bl.a. indeholder de nævnte oplysninger, såfremt udleveringen af en sådan kopi er nødvendig for at gøre det muligt for den registrerede at kontrollere, om disse oplysninger er korrekte og udtømmende, og for at sikre oplysningernes forståelighed. Hvad angår helbredsoplysninger om den registrerede omfatter denne ret under alle omstændigheder retten til at få udleveret en kopi af de data i vedkommendes patientjournal, der indeholder oplysninger om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget over for den pågældende.

80

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret: