1.

Hvad er indholdet og rækkevidden af retten for den registrerede, som får indsigt i sine egne behandlede personoplysninger, til at få udleveret en kopi af disse oplysninger som fastsat i artikel 15, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) ( 2 ) (herefter »databeskyttelsesforordningen«)? Hvordan skal ordet »kopi« præcist forstås, og hvordan står retten til at få udleveret en kopi af de behandlede personoplysninger i forhold til indsigtsretten i henhold til samme artikels stk. 1?

2.

Disse er i det væsentlige de hovedspørgsmål, som er rejst i den af nærværende forslag til afgørelse omfattede sag, som vedrører en anmodning om præjudiciel afgørelse fra Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig) angående fortolkningen af databeskyttelsesforordningens artikel 15, stk. 3.

3.

Til grund for forelæggelsen ligger en tvist mellem F.F. og Österreichische Datenschutzbehörde (den østrigske databeskyttelsesmyndighed) vedrørende lovligheden af denne myndigheds afslag på F.F.s begæring om, at et kreditoplysningsbureau, som havde behandlet dennes personoplysninger, skulle pålægges at udlevere dokumenter og uddrag af en database, som indeholdt de omhandlede personoplysninger.

4.

Den foreliggende sag giver Domstolen lejlighed til for første gang at fortolke bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, og give nærmere oplysninger om reglerne for udøvelsen af den registreredes ret til indsigt i de behandlede personoplysninger som fastsat i databeskyttelsesforordningens artikel 15.

5.

63. betragtning til databeskyttelsesforordningen anfører:

»En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Dette omfatter registreredes ret til indsigt i deres helbredsoplysninger, f.eks. data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget. Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig de formål, hvortil personoplysningerne behandles, om muligt perioden, hvor personoplysningerne behandles, modtagerne af personoplysningerne, logikken der ligger bag en automatisk behandling af personoplysninger, og om konsekvenserne af sådan behandling, i hvert fald når den er baseret på profilering. Hvis det er muligt, bør den dataansvarlige kunne give fjernadgang til et sikkert system, der giver den registrerede direkte adgang til vedkommendes personoplysninger. Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. […]«

6.

Databeskyttelsesforordningens artikel 4, nr. 1) og 2), bestemmer:

»I denne forordning forstås ved:

7.

Stk. 1 i databeskyttelsesforordningens artikel 12, som har overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder«, foreskriver:

»Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.«

8.

Databeskyttelsesforordningens artikel 15 med overskriften »Den registreredes indsigtsret« fastsætter:

»1.   Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:

[…]

3.   Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.

4.   Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.«

9.

CRIF GmbH er et kreditoplysningsbureau, som på anmodning af kunderne giver kreditoplysninger om tredjemænd. I dette øjemed behandlede bureauet personoplysninger om sagsøgeren i hovedsagen for den forelæggende ret.

10.

Den 20. december 2018 anmodede sagsøgeren bureauet om bl.a. indsigt i sine behandlede personoplysninger i henhold til databeskyttelsesforordningens artikel 15, og herunder om fremsendelse af en kopi af disse oplysninger i en almindeligt anvendt elektronisk form.

11.

På baggrund af denne anmodning gav kreditoplysningsbureauet en del af de ønskede oplysninger i en sammenfattet form, idet det gengav de oplysninger, der var opbevaret om sagsøgeren for den forelæggende ret, dels i et skema, der var opdelt efter navn, fødselsdato, vej, postnummer og by, dels i en oversigt vedrørende funktioner i virksomheder og tegningsbeføjelser. Mere omfattende skriftligt materiale såsom e-mails og udskrifter af databaser blev ikke fremsendt.

12.

Den 16. januar 2019 indgav sagsøgeren for den forelæggende ret en klage til Österreichische Datenschutzbehörde (den østrigske databeskyttelsesmyndighed) på grund af mangelfuld besvarelse af anmodningen om indsigt og gjorde heri bl.a. gældende, at den dataansvarlige ikke havde fremsendt en kopi af alle dokumenter, og herunder e-mails og uddrag af de databaser, som indeholdt sagsøgerens personoplysninger.

13.

Databeskyttelsesmyndigheden afslog klagen ved afgørelse af 11. september 2019 med den begrundelse, at den dataansvarlige ikke havde tilsidesat den pågældendes ret til indsigt i dennes personoplysninger.

14.

Den forelæggende ret, for hvem denne afgørelse er blevet anfægtet, nærer tvivl om rækkevidden af den registreredes ret til at få udleveret en kopi af sine behandlede personoplysninger, hvilken ret er garanteret ved databeskyttelsesforordningens artikel 15, stk. 3, første punktum.

15.

Den forelæggende ret skal afgøre, om fremsendelsen af sagsøgerens personoplysninger i en sammenfattet form i et skema og en oversigt, sådan som dette fandt sted i bureauets svar på dennes anmodning om indsigt, opfyldte kravene i databeskyttelsesforordningens artikel 15, stk. 3, eller om sagsøgeren i kraft af denne bestemmelse havde ret til at få udleveret en kopi af sine behandlede personoplysninger, ikke i isoleret form, men i form af kopier eller uddrag af eventuelle korrespondancer og indhold i databaser m.v.

16.

I denne sammenhæng anmoder denne ret for det første om afklaringer vedrørende den præcise betydning af begrebet »kopi« af de behandlede personoplysninger i databeskyttelsesforordningens artikel 15, stk. 3, første punktum.

17.

For det andet ønsker denne ret oplyst, om bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, udgør en specificering af den generelle indsigtsret i samme artikels stk. 1 – således at bestemmelsen præciserer, hvordan den registrerede skal modtage indsigten i sine behandlede personoplysninger – eller om bestemmelsen fastsætter en selvstændig ret, der går videre end den ovennævnte indsigtsret i stk. 1 til at få udleveret fotokopier, telefaxer, skemaer eller elektroniske uddrag af databaser eller kopier af dokumenter og skriftligt materiale som helhed, hvori den registreredes personoplysninger forekommer.

18.

I tilfælde af en snæver fortolkning af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, således at der ved »kopi« ikke forstås en ret til at få fremsendt fotokopier, dokumenter eller uddrag af databaser, ønsker den forelæggende ret for det tredje oplyst, om der i konkrete tilfælde og i lyset af de forskellige arter af personoplysninger, der kan behandles, og af gennemsigtighedsprincippet i databeskyttelsesforordningens artikel 12, stk. 1, alligevel kan foreligge en pligt for en dataansvarlig til at udlevere tekstafsnit eller kopier af dokumenter.

19.

For det fjerde og sidste ønsker den forelæggende ret oplyst, om begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, alene henviser til de i bestemmelsens første punktum nævnte »personoplysninger, der behandles«, eller er mere vidtgående og også omfatter de i databeskyttelsesforordningens artikel 15, stk. 1, litra a)-h), nævnte oplysninger eller er endnu mere vidtgående og eksempelvis omfatter de metadata, der hører til oplysningerne.

20.

På denne baggrund har Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

21.

Med de første tre præjudicielle spørgsmål, som efter min opfattelse skal behandles samlet, har den forelæggende ret nærmere bestemt stillet Domstolen tre spørgsmål for at afklare rækkevidden af bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, ifølge hvilken »[d]en dataansvarlige udleverer en kopi af de personoplysninger, der behandles«.

22.

Det første spørgsmål sigter mod at fastlægge den præcise betydning af begrebet »kopi« i denne bestemmelse. Det andet spørgsmål vedrører rækkevidden af den ret, som denne bestemmelse tillægger den registrerede. Den forelæggende ret ønsker nærmere bestemt oplyst, om denne bestemmelse giver retten til at få udleveret også en kopi af de dokumenter – eller uddrag af databaser – hvori personoplysningerne behandles, eller om den kun fastsætter retten til at få udleveret en uændret reproduktion af de behandlede personoplysninger. I det sidstnævnte tilfælde ønsker den forelæggende ret med det tredje spørgsmål oplyst, om det i konkrete tilfælde og som følge af de behandlede personoplysningers art og i lyset af gennemsigtighedsprincippet alligevel kan være påkrævet at udlevere også tekstafsnit eller hele dokumenter.

23.

Det fremgår af forelæggelsesafgørelsen, at rækkevidden af bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, er genstand for debat i både litteraturen og national retspraksis, i det mindste i Østrig og Tyskland ( 4 ). Forelæggelsesafgørelsen beskriver to modsatrettede synspunkter: På den ene side en snæver fortolkning af den omhandlede bestemmelse, ifølge hvilken denne alene specificerer reglerne for udøvelsen af den registreredes indsigtsret og ikke fastsætter en selvstændig ret til at få udleveret dokumenter m.v., og på den anden side en vid fortolkning, hvorefter denne bestemmelse giver retten til at få udleveret en kopi af de dokumenter eller andre medier, hvori personoplysningerne behandles. Ifølge den sidstnævnte fortolkning er retten til at få udleveret en kopi af dokumenter selvstændig i forhold til den indsigtsret, der er garanteret ved databeskyttelsesforordningens artikel 15, stk. 1. Den omdebatterede karakter af rækkevidden af den omhandlede bestemmelse bekræftes af, at også de parter, som har indgivet indlæg til Domstolen, har udtrykt forskelligartede synspunkter herom ( 5 ).

24.

For at kunne besvare de første tre præjudicielle spørgsmål fra den forelæggende ret er det på denne baggrund indledningsvis nødvendigt at fortolke bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, første punktum.

25.

I denne henseende fremgår det af fast retspraksis, at der hvad angår fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til denne bestemmelses ordlyd, men også til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den lovgivning, som den er en del af ( 6 ).

26.

Endvidere skal databeskyttelsesforordningens bestemmelser, for så vidt som de omhandler behandling af personoplysninger, der kan krænke de grundlæggende frihedsrettigheder og navnlig retten til respekt for privatlivet, nødvendigvis fortolkes under hensyntagen til de grundlæggende rettigheder, som er sikret ved Den Europæiske Unions charter om grundlæggende rettigheder ( 7 ).

27.

Hvad først og fremmest angår formuleringen af bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal det konstateres, at den tillægger den registrerede retten til fra den dataansvarlige at få udleveret »en kopi af de personoplysninger, der behandles«. Ud fra en ordlydsmæssig synsvinkel henviser denne formulering til tre adskilte begreber, dvs. begrebet »kopi«, begrebet »personoplysninger« og begrebet »der behandles«.

28.

Angående for det første begrebet »kopi«, hvis rækkevidde udgør den specifikke genstand for det første præjudicielle spørgsmål, skal det konstateres, sådan som flere procesdeltagere har påpeget, at databeskyttelsesforordningen ikke indeholder nogen særlig definition af dette begreb.

29.

Som det fremgår af fast retspraksis, skal fastlæggelsen af betydningen og rækkevidden af udtryk, som ikke er defineret i EU-retten, ske efter deres normale mening i sædvanlig sprogbrug, idet der tages hensyn til den generelle sammenhæng, hvori de anvendes, og de mål, der forfølges med den lovgivning, som de udgør en del af ( 8 ).

30.

Ud fra et strikt terminologisk synspunkt bruges ordet »copia« i italiensk sædvanlig sprogbrug til at angive en uændret reproduktion eller afskrift af en original ( 9 ). En gennemgang af de forskellige sprogversioner af databeskyttelsesforordningen viser endvidere, at hovedparten af Unionens øvrige officielle sprog anvender det ord, som svarer til det italienske »copia«, eksempelvis »copy« på engelsk, »Kopie« på tysk, »copie« på fransk eller »copia« på spansk ( 10 ).

31.

I øvrigt fastsætter den omhandlede bestemmelse udtrykkeligt, at den kopi, som den dataansvarlige har pligt til at udlevere til den registrerede, er en kopi af de »personoplysninger, der behandles«.

32.

I denne forbindelse skal det for det andet fremhæves, at i modsætning til tilfældet med ordet »kopi«, indeholder databeskyttelsesforordningens artikel 4, nr. 1), en udtrykkelig definition af begrebet »personoplysninger«, ifølge hvilken der ved personoplysninger forstås »enhver form for information om en identificeret eller identificerbar fysisk person«.

33.

Med udgangspunkt i denne definition er rækkevidden af begrebet »personoplysninger« meget bred. Som det fremgår af Domstolens praksis, afspejler anvendelsen af udtrykket »enhver form for information« i denne definition, at EU-lovgiver har villet give dette begreb en bred betydning ( 11 ).

34.

Det fremgår desuden af retspraksis, at begrebet »personoplysninger« ikke er begrænset til følsom eller privat information, men potentielt omfatter enhver form for information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, forudsat at informationen er »om« den pågældende person. Hvad angår sidstnævnte betingelse er denne opfyldt, hvis informationen på grund af sit indhold, formål eller virkning er knyttet til en bestemt person ( 12 ).

35.

En bred betydning af begrebet »personoplysninger« er i øvrigt nødvendig, henset til de mange forskellige arter og former for information om en person, som er beskyttelsesværdige, samt i lyset af forskelligheden af de medier, som kan indeholde denne information.

36.

Gennemgang af retspraksis viser, at ifølge Domstolen omfatter begrebet »personoplysninger« i databeskyttelsesforordningens artikel 4, nr. 1), flere forskellige arter af information om en identificeret eller identificerbar fysisk person. Ud over de, som Kommissionen i sit indlæg har defineret som »sædvanlige oplysninger«, dvs. personlige oplysninger såsom for- og efternavn ( 13 ), fødselsdato, nationalitet, køn, etnisk tilhørsforhold, religion og sprog, der tales af en person, som kan identificeres ved sit navn ( 14 ), omfatter begrebet »personlige oplysninger« ifølge Domstolen andre arter af information, eksempelvis information om en bil, som udbydes til salg, og sælgerens telefonnummer ( 15 ), oplysninger i et arbejdstidsregister, der for hver arbejdstager vedrører de daglige arbejdstider og pauser ( 16 ), et billede af en person, som er optaget af et kamera, for så vidt som det gør det muligt at identificere den pågældende ( 17 ), den skriftlige besvarelse, som en deltager har givet i forbindelse med en faglig prøve, og eksaminators kommentarer til deltagerens besvarelse ( 18 ), eller oplysninger vedrørende strafpoint, der vedrører en identificeret fysisk person ( 19 ).

37.

Den brede betydning af begrebet »personoplysninger«, som følger af definitionen i databeskyttelsesforordningens artikel 4, nr. 1) – sådan som denne er fastslået i retspraksis og knyttet til det ved databeskyttelsesforordningen forfulgte formål om at sikre et højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger ( 20 ) – indebærer, at dette begreb, og derfor retten til indsigt i disse oplysninger og til at få udleveret en kopi heraf, ikke er begrænset til udelukkende at omfatte oplysninger, som en dataansvarlig eventuelt indhenter, opbevarer og behandler, men nødvendigvis også omfatter yderligere oplysninger, som den dataansvarlige eventuelt genererer på grundlag af behandlingen, såfremt også disse oplysninger behandles.

38.

Når behandlingen af en række personoplysninger således genererer nye oplysninger om en identificeret eller identificerbar person, hvilke kan kvalificeres som personoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), skal retten til indsigt i personoplysningerne og til at få udleveret en kopi heraf som fastsat i henholdsvis databeskyttelsesforordningens artikel 15, stk. 1, og artikel 15, stk. 3, første punktum, efter min opfattelse også omfatte disse genererede oplysninger, såfremt disse oplysninger i sig selv behandles. Faktisk omfatter retten til indsigt i oplysningerne og til at få udleveret en kopi heraf alle den registreredes behandlede personoplysninger.

39.

Disse overvejelser er relevante i en situation som den i hovedsagen omhandlede, hvor kreditoplysningsbureauet ud fra oplysninger indhentet fra flere kilder tilsyneladende udarbejdede en anbefaling vedrørende den registreredes kreditværdighed og villighed til at betale som en funktion af statistisk sandsynlighed relateret til en række parametre. En anbefaling af denne art udgør efter min mening en information om en identificeret person, der således er omfattet af den brede betydning af »personoplysninger« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), og derfor også af indsigtsretten ifølge databeskyttelsesforordningens artikel 15, stk. 1, og artikel 15, stk. 3, første punktum ( 21 ).

40.

Hvad for det tredje angår ordene »der behandles« i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal det konstateres, at også begrebet »behandling« er udtrykkeligt defineret i databeskyttelsesforordningens artikel 4, nr. 2).

41.

I henhold til denne bestemmelse udgør indsamling, søgning, videregivelse ved transmission samt enhver form for overladelse af personoplysninger »behandling« som omhandlet i nævnte forordning. Ifølge retspraksis fremgår det af denne bestemmelses ordlyd, navnlig af udtrykket»enhver aktivitet«, at EU-lovgiver har haft til hensigt at give begrebet »behandling« en vid rækkevidde. Denne fortolkning støttes af den ikke-udtømmende karakter, udtrykt ved udtrykket »f.eks.«, af de aktiviteter, der er anført i den nævnte bestemmelse ( 22 ).

42.

I denne sammenhæng følger det af den vide rækkevidde af begrebet »behandling«, at artikel 15, stk. 3, første punktum, giver den registrerede retten til at få udleveret en kopi af sine personoplysninger, som er genstand for enhver aktivitet, der kan kvalificeres som »behandling«. Som jeg vil præcisere mere detaljeret nedenfor i punkt 52, giver denne bestemmelse derimod ikke i sig selv retten til at få udleveret andre specifikke oplysninger vedrørende selve behandlingen af personoplysningerne end de i databeskyttelsesforordningens artikel 15, stk. 1, nævnte.

43.

Afslutningsvis følger det af den ordlydsbaserede analyse af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, at denne bestemmelse giver den registrerede retten til at få udleveret en kopi af sine personoplysninger – opfattet i bred forstand – som er genstand for aktiviteter, der kan kvalificeres som behandling udført af den konkrete dataansvarlige.

44.

På baggrund af denne ordlydsbaserede analyse kan det også konstateres, at »kopien af personoplysningerne« skal være en uændret reproduktion heraf. De varierende typer af oplysninger, der kan behandles, indebærer imidlertid, at en kopi af disse oplysninger afhængigt af de behandlede personoplysningers art og behandlingsmetoden kan antage forskellige former, eksempelvis papirudskrift, lyd- eller videoindspilning, elektronisk form eller anden form. Det vigtige er, at kopien af disse oplysninger er uændret og gør det muligt for den registrerede at opnå fuldt kendskab til alle behandlede oplysninger. En eventuel kortfattet oversigt over de behandlede personoplysninger skal være en uændret og letforståelig reproduktion af disse oplysninger og må i øvrigt på ingen måde påvirke indholdet af de oplysninger, som skal udleveres. Den dataansvarliges valg om, så vidt muligt, at udlevere en oversigt over de behandlede personoplysninger kan derfor ikke udgøre grundlag for, at bestemte oplysninger udelades, ikke udleveres i deres helhed eller ikke afspejler behandlingens reelle forhold.

45.

Desuden har den registrerede i kraft af den omhandlede bestemmelse ret til at få udleveret en kopi af alle sine behandlede personoplysninger, og derfor ikke alene af de oplysninger, som den dataansvarlige har indhentet, men også eventuelle personoplysninger, som den dataansvarlige har genereret og behandler. I det omfang denne bestemmelse alene omhandler en kopi af personoplysninger, kan den imidlertid først og fremmest ikke udgøre grundlag for en ret til indsigt i information, der ikke kan kvalificeres som personoplysninger, og endvidere giver den ikke – nødvendigvis – retten til at få udleveret en kopi af dokumenter eller andre medier, som indeholder personoplysningerne.

46.

Disse overvejelser skal i øvrigt suppleres ved analysen af den sammenhæng, hvori denne bestemmelse indgår, og formålene med den indsigtsret, der er garanteret ved databeskyttelsesforordningens artikel 15.

47.

Hvad angår den sammenhæng, hvori den omhandlede bestemmelse indgår, vil jeg indledningsvis fremhæve, at den er indeholdt i databeskyttelsesforordningens artikel 15, der regulerer den registreredes ret i forhold til den dataansvarlige til at få indsigt i personoplysninger, der vedrører den pågældende, og som er genstand for en behandling. Denne bestemmelse konkretiserer og præciserer enhver persons ret til indsigt i oplysninger vedrørende den pågældende, der er fastsat i artikel 8, stk. 2, andet punktum, i Den Europæiske Unions charter om grundlæggende rettigheder ( 23 ).

48.

Angående opbygningen af databeskyttelsesforordningens artikel 15, vil jeg fremhæve, at den registrerede i henhold til stk. 1 har ret til fra den dataansvarlige at få bekræftet, om der foreligger en behandling af personoplysninger, der vedrører den pågældende, og i bekræftende fald at få indsigt i disse personoplysninger og i de i litra a)-h) nævnte oplysninger. Denne bestemmelse konkretiserer således retten til indsigt i personoplysninger og andre oplysninger ved at definere den præcise genstand for og rækkevidden af indsigtsretten.

49.

Stk. 3 i databeskyttelsesforordningens artikel 15 præciserer imidlertid reglerne for udøvelsen af denne ret og specificerer bl.a., i hvilken form den dataansvarlige skal udlevere personoplysningerne til den registrerede, dvs. i form af en kopi og således af en uændret reproduktion af oplysningerne.

50.

Det følger af den ovenfor beskrevne opbygning af databeskyttelsesforordningens artikel 15 og af nødvendigheden af, at bestemmelserne i denne artikels stk. 1 og 3 fortolkes på kohærent vis, at stk. 3 ikke definerer – og således hverken kan ændre eller udvide – genstanden for og rækkevidden af den i stk. 1 konkretiserede indsigtsret. Ovennævnte stk. 3 kan derfor ikke udvide rækkevidden af pligten for den dataansvarlige til at give adgang til oplysninger. Opbygningen af denne artikel bekræfter derfor, at stk. 3 ikke kan udgøre grundlag for en eventuel selvstændig ret for den registrerede til at få udleveret andre oplysninger end de i stk. 1 nævnte.

51.

I denne henseende er jeg enig med den østrigske databeskyttelsesmyndighed i, at en fortolkning af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, ifølge hvilken denne bestemmelse gør det muligt at udvide rækkevidden af de oplysninger, hvori en registreret har indsigt, til at omfatte andre oplysninger end dennes personoplysninger, ville være i strid med chartrets artikel 8, stk. 2.

52.

Ovenstående analyse bekræfter først og fremmest den ovenfor i punkt 44 anførte overvejelse om, at bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, ikke giver en selvstændig ret til at få udleveret en kopi af dokumenter eller andre medier, som indeholder personoplysningerne. Ovenstående analyse bekræfter ligeledes den ovenfor i punkt 42 foretagne analyse, på baggrund af hvilken denne bestemmelse ikke giver den registrerede retten til at få udleveret andre oplysninger end de i databeskyttelsesforordningens artikel 15, stk. 1, nævnte ( 24 ), hvilke andre oplysninger derimod vedrører behandlingen i sig selv, eksempelvis information om kriterier, modeller, regler eller interne procedurer (beregninger eller andet), som anvendes til at behandle personoplysninger. Denne information er i øvrigt ofte omfattet af intellektuel ejendomsret, som skal beskyttes i denne sammenhæng, som det udtrykkeligt fremgår af 63. betragtning, femte punktum. Dette ændrer desuden ikke ved, som det fremgår af 60. betragtning til databeskyttelsesforordningen, at den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. Endvidere skal det også huskes, at der findes specifikke regler for sager om automatiseret beslutningstagning, herunder profilering ( 25 ).

53.

Stadig ud fra en kontekstuel synsvinkel skal bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, læses i lyset af andre relevante bestemmelser i databeskyttelsesforordningen. Ud over definitionerne i databeskyttelsesforordningens artikel 4, nr. 1) og 2), som jeg har analyseret ovenfor i punkt 32-41, er bl.a. databeskyttelsesforordningens artikel 12, stk. 1, som den forelæggende ret har nævnt i det tredje præjudicielle spørgsmål, relevant.

54.

Det fremgår af denne bestemmelse, at den dataansvarlige skal træffe passende foranstaltninger til at give den registrerede enhver oplysning som omhandlet i bl.a. databeskyttelsesforordningens artikel 15 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, og at oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk, medmindre den registrerede anmoder om, at de gives mundtligt.

55.

Denne bestemmelse er et udtryk for gennemsigtighedsprincippet ( 26 ) og tilsigter at gøre det muligt for den registrerede at opnå fuld forståelse af de fremsendte oplysninger. Fuld forståelighed af disse oplysninger er først og fremmest nødvendig, for at den i databeskyttelsesforordningens artikel 15 garanterede indsigtsret kan udøves effektivt, og udgør endvidere forudsætningen for en effektiv udøvelse af de andre rettigheder, som databeskyttelsesforordningen sikrer den registrerede, hvilke rettigheder følger efter udøvelsen af indsigtsretten og er nævnt i punkt 64 og 65 i dette forslag til afgørelse ( 27 ). Det fremgår i øvrigt af 63. betragtning til databeskyttelsesforordningen, at en registreret bør kunne udøve retten til indsigt i sine personoplysninger let og uden vanskeligheder.

56.

Nødvendigheden af, at oplysningerne udleveres i en letforståelig form, der gør det muligt for den registrerede at opnå fuldt kendskab til disse oplysninger og at kontrollere, om de er korrekte og behandles i overensstemmelse med EU-retten, således at den pågældende i givet fald kan udøve de rettigheder, som den pågældende er tillagt i henhold til EU-retten, blev i øvrigt allerede fremhævet af Domstolen i sin praksis vedrørende direktiv 95/46 ( 28 ).

57.

Ovennævnte nødvendighed af, at personoplysningerne og de andre i databeskyttelsesforordningens artikel 15, stk. 1, litra a)-h), nævnte oplysninger udleveres i en letforståelig form, indebærer, at det ikke kan udelukkes, at det for at sikre, at den registrerede opnår fuld forståelse af den information, som denne bliver meddelt, i enkelte tilfælde er nødvendigt at udlevere til den registrerede dele af dokumenter, hele dokumenter eller uddrag af databaser. Vurderingen angående nødvendigheden af, at dokumenter eller uddrag udleveres med henblik på at sikre, at de fremsendte oplysninger er letforståelige, skal uundgåeligt foretages i de enkelte tilfælde afhængigt af arten af de oplysninger, hvori der anmodes om indsigt, og anmodningen i sig selv.

58.

I denne forbindelse skal det imidlertid understreges, at den eventuelle udlevering af dokumenter eller uddrag heraf ikke udgør udøvelsen af en selvstændig ret – i forhold til indsigtsretten – der er garanteret ved databeskyttelsesforordningens artikel 15, stk. 3, første punktum, men kun en måde til fremsendelse af en kopi af personoplysningerne med det formål at sikre fuld forståelighed af disse oplysninger. I denne henseende vil jeg anføre, at det ganske sikkert, sådan som påpeget af nogle parter, som har indgivet indlæg til Domstolen, i enkelte tilfælde for at opnå fuld forståelse af de konkrete personoplysninger er nødvendigt at have kendskab til den sammenhæng, hvori disse oplysninger behandles. Denne overvejelse er dog ikke af en sådan karakter, at den på grundlag af den omhandlede bestemmelse giver den registrerede en generel ret til at få udleveret kopier af dokumenter eller uddrag af databaser.

59.

Retten til at få udleveret en kopi af personoplysninger begrænses endvidere af den i databeskyttelsesforordningens artikel 15, stk. 4, udtrykkeligt fastsatte nødvendighed af ikke at »krænke andres rettigheder og frihedsrettigheder«. Det følger af denne bestemmelse, at nødvendigheden af at sikre den registrerede fuld og uindskrænket indsigt i dennes personoplysninger ved udlevering af en kopi heraf ikke kan udvides til at tillade, at andres rettigheder og frihedsrettigheder krænkes.

60.

I denne sammenhæng vil jeg påpege, at ovennævnte stk. 4 er formuleret på en meget generisk måde og ikke udgør en udtømmende liste over »andres« rettigheder og frihedsrettigheder, som kan afvejes mod udøvelsen af en fuld indsigtsret ved modtagelse af en kopi af personoplysningerne. Det skal imidlertid antages, at disse rettigheder i det mindste, som det udtrykkeligt fremgår af 63. betragtning til databeskyttelsesforordningen, omfatter »forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af«, samt retten til beskyttelse af tredjemænds personoplysninger, såsom i tilfælde af et medium, som ud over den registreredes indeholder tredjemænds personoplysninger.

61.

I tilfælde af konflikt mellem udøvelsen af en fuld og uindskrænket ret til indsigt i personoplysninger og andres rettigheder eller frihedsrettigheder er det nødvendigt at foretage en afvejning af de modstående rettigheder. Hvis muligt skal der vælges måder for udlevering af personoplysningerne, som ikke krænker andres rettigheder eller frihedsrettigheder, under hensyntagen til – som det fremgår af 63. betragtning til databeskyttelsesforordningen – at disse vurderinger ikke må »resultere i en afvisning af at give al information til den registrerede«.

62.

Stadig ud fra en kontekstuel synsvinkel skal det desuden understreges, at en fortolkning af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, ifølge hvilken denne bestemmelse ikke giver en generel ret til at få udleveret kopier af dokumenter eller uddrag af databaser, medmindre dette er nødvendigt for at sikre, at de udleverede personoplysninger og andre oplysninger er letforståelige, endvidere bekræftes af, at retten til indsigt i dokumenter, og navnlig administrative dokumenter, er reguleret udtrykkeligt i andre EU-retsakter ( 29 ) eller nationale retsakter, som forfølger andre formål end at sikre beskyttelsen af personoplysninger ( 30 ).

63.

Den i det foregående punkt nævnte fortolkning af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, bekræftes endvidere af en analyse af formålene med denne bestemmelse inden for rammerne af den registreredes indsigtsret, der er garanteret ved databeskyttelsesforordningens artikel 15.

64.

Som det fremgår af 63. betragtning til databeskyttelsesforordningen, og især af første punktum, har retten til indsigt i personoplysningerne og i de andre i databeskyttelsesforordningens artikel 15, stk. 1, litra a)-h), nævnte oplysninger først og fremmest til formål at gøre det muligt for den registrerede at forvisse sig om behandlingen af sine personoplysninger og kontrollere behandlingens lovlighed ( 31 ).

65.

Som allerede fastslået af Domstolen, er denne ret til indsigt nødvendig, for at den registrerede kan udøve en række andre rettigheder i henhold til databeskyttelsesforordningen, herunder retten til berigtigelse, retten til sletning (»ret til at blive glemt«) og retten til begrænsning af behandling, der indrømmes den registrerede i databeskyttelsesforordningens artikel 16, 17 og 18 ( 32 ). Domstolen har ligeledes fastslået, at retten til indsigt også er nødvendig for, at den registrerede kan udøve sin ret i henhold til databeskyttelsesforordningens artikel 21 til at gøre indsigelse mod behandling af den pågældendes personoplysninger eller af vedkommendes adgang efter databeskyttelsesforordningens artikel 79 og 82 til at iværksætte retsmidler, såfremt denne har lidt skade, og ret til erstatning for tabet ( 33 ).

66.

Det er inden for rammerne af formålene med retten til indsigt i personoplysninger og andre oplysninger, at rationalet med den bestemmelse, der tillægger retten til at få udleveret en kopi af personoplysningerne, skal opfattes. Bestemmelsen tilsigter udtrykkeligt at fastsætte den måde, hvorpå den registrerede sikres den effektive udøvelse af denne ret for at gøre det muligt for den registrerede at kontrollere behandlingens korrekthed og lovlighed, således at den pågældende i givet fald kan udøve de yderligere ovenfor i punkt 65 nævnte rettigheder. Hensigten er at bevirke, at personoplysningerne gives den registrerede i en så præcis og så letforståelig form som muligt for at gøre det muligt for denne at udøve disse rettigheder, dvs. i form af en kopi og dermed af en uændret reproduktion af oplysningerne.

67.

Set ud fra dette perspektiv synes udlevering af en kopi af det dokument, som indeholder de konkrete personoplysninger, eller af et uddrag af en database ikke altid og ikke under alle omstændigheder at være uundværlig for at nå det af lovgiver fastsatte formål.

68.

Det er kun, når udlevering af en sådan kopi er nødvendig for at sikre fuld forståelighed af de behandlede personoplysninger, at den registrerede inden for de ovenfor i punkt 58-61 nævnte grænser kan få udleveret dele af dokumenter, eventuelt hele dokumenter eller uddrag af databaser.

69.

I denne sammenhæng skal det tilføjes, at til forskel fra reguleringen i direktiv 95/46 fastsætter databeskyttelsesforordningen en egentlig ret til at få udleveret en kopi af personoplysningerne med det formål at styrke den registreredes stilling ( 34 ). Det drejer sig om en væsentlig forskel fra den tidligere gældende regulering, fordi det ovennævnte direktivs artikel 12, litra a), andet led, kun sikrede den registrerede retten til at »få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne«, således at direktivet overlod det til medlemsstaterne at fastlægge, hvilken konkret materiel form denne meddelelse af personoplysningerne skulle antage, hvis den blot var letforståelig ( 35 ). Ved at pålægge de dataansvarlige at udlevere en »kopi« af personoplysningerne, sådan som nu foreskrevet i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, fastsættes derimod på bindende vis den form, som denne meddelelse skal tage, dvs. formen af en »kopi« af personoplysningerne.

70.

Efter min opfattelse fremgår det af alle ovennævnte betragtninger, at de første tre præjudicielle spørgsmål fra den forelæggende ret skal besvares med, at databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal fortolkes således:

71.

Med det fjerde præjudicielle spørgsmål ønsker den forelæggende ret oplyst, om begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, alene henviser til de i dette stykkes første punktum nævnte »personoplysninger, der behandles«, eller ud over disse også de i artikel 15, stk. 1, litra a)-h), nævnte oplysninger [det fjerde spørgsmål, litra a)] eller også anden information, eksempelvis metadata, der hører til oplysningerne [det fjerde spørgsmål, litra b)].

72.

For at kunne besvare dette spørgsmål er det nødvendigt at fortolke ordet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, efter den metode, som følger af den ovenfor i punkt 25 nævnte retspraksis.

73.

I denne forbindelse synes ordet »oplysninger«, ud fra en ordlydsmæssig synsvinkel, for generisk til at kunne fastslå, om det alene henviser til de i databeskyttelsesforordningens artikel 15, stk. 3, første punktum, nævnte personoplysninger, eller også inkluderer andre arter af oplysninger.

74.

Ud fra en kontekstuel synsvinkel skal det dog konstateres, at ovennævnte tredje punktum findes i databeskyttelsesforordningens artikel 15, stk. 3, som vedrører den dataansvarliges pligt til på anmodning af den registrerede at udlevere en »kopi af de personoplysninger, der behandles«. Opbygningen af stk. 3 fører derfor til at antage, at ordet »oplysninger« henviser til de oplysninger, som er omfattet af den anmodning, som skal efterkommes i henhold til samme stykkes første punktum, nærmere bestemt anmodningen om at få udleveret en kopi af de behandlede personoplysninger.

75.

Denne fortolkning synes også at være på linje med det ved stk. 3 forfulgte formål om, som det fremgår ovenfor af punkt 61 ff., især punkt 69, at fastsætte den form, som meddelelsen af de behandlede personoplysninger skal antage, dvs. formen af en »kopi« af personoplysningerne. Set ud fra dette perspektiv tilsigter samme stykkes tredje punktum at regulere det specifikke tilfælde, hvor anmodningen om at få udleveret en kopi af disse oplysninger indgives elektronisk.

76.

Det skal i øvrigt efter min opfattelse også påpeges, at kravet om gennemsigtighed i databeskyttelsesforordningens artikel 12, stk. 1, som nævnt i punkt 54 og 55 ovenfor – der tilsigter at gøre det muligt for den registrerede at opnå fuld forståelse af de fremsendte oplysninger, bl.a. ved anvendelse af databeskyttelsesforordningens artikel 15 – betragtet i sin helhed foreskriver, at såfremt en anmodning om indsigt ifølge databeskyttelsesforordningens artikel 15, stk. 1, indgives elektronisk, skal også de i litra a)-h) nævnte oplysninger udleveres i en almindeligt anvendt elektronisk form, som gør det muligt for den registrerede let og uden vanskeligheder at opnå fuldt kendskab til disse. Det forhold, at den elektroniske form, som indeholder disse oplysninger, ikke er almindeligt anvendt, kan faktisk gøre det uhyre vanskeligt eller byrdefuldt at opnå kendskab til disse personoplysninger, hvilket således er i strid med kravet om gennemsigtighed.

77.

Hvad afslutningsvis specifikt angår spørgsmålets litra b), kan det af den omstændighed, at databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, henviser til »anmodningen« fra den registrerede, udledes, at begrebet »oplysninger« i denne bestemmelse ikke kan gå videre end det, som nøjagtigt udgør genstanden for denne anmodning, dvs. en kopi af de behandlede personoplysninger. Heraf følger, at ordet »oplysninger« i dette punktum udelukkende henviser til disse personoplysninger og ikke kan omfatte andre oplysninger end disse og ganske sikkert ikke yderligere oplysninger end de i databeskyttelsesforordningens artikel 15, stk. 1, litra a)-h), nævnte. I modsat fald ville rækkevidden af indsigtsretten udvides, hvilket – sådan som jeg i øvrigt allerede har fremhævet ovenfor i 48-51 – ikke finder nogen støtte i databeskyttelsesforordningen.

78.

På grundlag af alle ovenstående betragtninger finder jeg, at det fjerde præjudicielle spørgsmål fra den forelæggende ret skal besvares med, at begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, skal fortolkes således, at det udelukkende henviser til en »kopi af de personoplysninger, der behandles« og nævnes i samme stykkes første punktum.

79.

På baggrund af alle ovenstående betragtninger foreslår jeg Domstolen at besvare de præjudicielle spørgsmål, som Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig) har forelagt, på følgende måde:

»Artikel 15, stk. 3, første punktum, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at

begrebet »kopi« i denne bestemmelse skal opfattes som en uændret reproduktion i en fysisk og permanent, letforståelig form af de personoplysninger, som den registrerede har anmodet om udlevering af, som gør det muligt for den registrerede effektivt at udøve retten til indsigt i sine personoplysninger, således at denne opnår fuldt kendskab til alle de behandlede personoplysninger – herunder eventuelle yderligere oplysninger, som er genereret på grundlag af behandlingen, såfremt også disse oplysninger behandles – for at gøre det muligt for den registrerede at forvisse sig om, at personoplysningerne er rigtige, og kontrollere behandlingens korrekthed og lovlighed, således at den pågældende i givet fald kan udøve de yderligere rettigheder, som databeskyttelsesforordningen giver denne; kopiens nøjagtige form skal bestemmes med udgangspunkt i kendetegnene ved det konkrete tilfælde, og navnlig arten af de personoplysninger, hvori der anmodes om indsigt, og den registreredes behov.

Denne bestemmelse giver ikke den registrerede en generel ret til at få udleveret en delvis eller fuldstændig kopi af det dokument, som indeholder den registreredes personoplysninger, eller et uddrag af en database i tilfælde af, at personoplysningerne behandles i en sådan.

Denne bestemmelse udelukker imidlertid ikke, at det kan være nødvendigt at udlevere til den registrerede dele af dokumenter, hele dokumenter eller uddrag af databaser, når dette er nødvendigt for at sikre fuld forståelighed af de behandlede personoplysninger, hvori der er anmodet om indsigt.

Begrebet »oplysninger« i artikel 15, stk. 3, tredje punktum, i forordning 2016/679

skal fortolkes således, at

dette begreb udelukkende henviser til en »kopi af de personoplysninger, der behandles« og nævnes i samme stykkes første punktum.«