Kohtuasi C‑307/22

FT

versus

DW

(eelotsusetaotlus, mille on esitanud Bundesgerichtshof)

Euroopa Kohtu (esimene koda) 26. oktoobri 2023. aasta otsus

Eelotsusetaotlus – Isikuandmete töötlemine – Määrus (EL) 2016/679 – Artiklid 12, 15 ja 23 – Andmesubjekti õigus tutvuda teda käsitlevate töödeldavate isikuandmetega – Õigus saada tasuta nende andmete esimene koopia – Patsiendi andmete töötlemine tema arsti poolt – Tervisetoimik – Isikuandmetega tutvumise taotluse põhjendused – Andmete kasutamine tervishoiuteenuse osutaja vastutusele võtmiseks – Mõiste „koopia“

1. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus tutvuda teda käsitlevate töödeldavate isikuandmetega – Õigus saada tasuta nende andmete esimene koopia – Tervishoiuteenuse osutaja kohustus niisugune koopia esitada – Direktiivi preambulist tulenev andmesubjekti kohustus oma andmetega tutvumise taotlust põhjendada – Puudumine

   (Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendus 63 ning artikli 12 lõige 5 ja artikli 15 lõiked 1 ja 3)

   (vt punktid 35–38, 43, 46 ja 50–52 ning resolutsiooni punkt 1)

2. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Liikmesriikide õigus võtta vastu õigusnormid, mis piiravad teatavate määrusega ette nähtud õiguste ja kohustuste ulatust – Liikmesriigi õigusnormid, mis on vastu võetud enne või pärast määruse jõustumist – Asjakohasuse puudumine

   (Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 23 lõige 1)

   (vt punktid 54–56 ja 69 ning resolutsiooni punkt 2)

3. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus tutvuda teda käsitlevate töödeldavate isikuandmetega – Õigus saada tasuta nende andmete esimene koopia – Piirangud – Tingimused – Teiste isikute õiguste ja vabaduste kaitse – Liikmesriigi õigus võtta vastu õigusnorme, millega kaitstakse vastutava töötleja majanduslikke huve ja jäetakse andmesubjekti isikuandmete esimese koopia kulud tema kanda – Puudumine

   (Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 23 lõike 1 punkt i)

   (vt punktid 62, 64, 65 ja 67–69 ning resolutsiooni punkt 2)

4. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus tutvuda teda käsitlevate töödeldavate isikuandmetega – Andmete koopia esitamine – Mõiste „koopia“ – Andmesubjektile nende andmete täpse ja arusaadava taasesituse andmine – Dokumentide väljavõtete või isegi tervete dokumentide või andmebaaside väljavõtete taasesitamine, mis sisaldavad muu hulgas töödeldavaid isikuandmeid – Hõlmamine – Tingimus

   (Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendus 58, artikli 12 lõige 1 ning artikli 15 lõige 1 ja lõike 3 esimene lause)

   (vt punktid 71–75)

5. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus tutvuda teda käsitlevate töödeldavate isikuandmetega – Andmete koopia esitamine – Mõiste „koopia“ – Andmesubjektile kõigi tema tervisetoimiku andmete täpse ja arusaadava taasesituse andmine – Tervisetoimikus sisalduvate dokumentide täielik koopia – Hõlmamine – Tingimus

   (Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendus 63 ja artikli 15 lõike 3 esimene lause)

   (vt punktid 76–79 ja resolutsiooni punkt 3)

Kokkuvõte

DW palus oma hambaarst FT-lt enda tervisetoimiku esimest tasuta koopiat. Ta esitas selle nõude eesmärgiga võtta FT talle hambaraviteenuse osutamisel väidetavalt tehtud vigade eest vastutusele.

Tuginedes Saksa õigusele, mille kohaselt võib patsient saada oma tervisetoimikust koopia tingimusel, et ta hüvitab tervishoiuteenuse osutajale selle esitamisega seotud kulud ( 1 ), keeldus FT DW-le niisugust koopiat edastamast, mille järel viimane esitas hagi. Nii esimeses kohtuastmes kui ka apellatsiooniastmes rahuldati DW nõue selle kohta, et ta saaks oma tervisetoimiku esimese koopia tasuta.

FT esitatud kassatsioonkaebust lahendav Bundesgerichtshof (Saksamaa Liitvabariigi kõrgeim üldkohus) küsis Euroopa Kohtult, kuidas tõlgendada isikuandmete kaitse üldmääruse sätteid, mis kehtestavad andmesubjekti poolt oma andmetega tutvumise õiguse kasutamise korra ja millega piiratakse selle õiguse ulatust ( 2 ).

Euroopa Kohus järeldas oma otsuses kõigepealt, et vastutav töötleja on kohustatud väljastama andmesubjekti taotlusel tema töödeldavate isikuandmete esimese koopia tasuta, isegi kui see taotlus on põhjendatud muul eesmärgil kui olla oma isikuandmete töötlemisest teadlik ja kontrollida selle seaduslikkust, mida on sõnaselgelt nimetatud isikuandmete kaitse üldmääruse preambulis. Seejärel võttis ta seisukoha küsimuses, milline on liikmesriikide võimalus andmetest koopia saamise õigust vastutava töötleja majanduslikest huvidest lähtudes piirata, pannes andmesubjektile kohustuse tasuda vastutavale töötlejale koopia tegemisega seotud kulud. Lõpuks analüüsis kohus vajadust esitada andmesubjektile teatud juhtudel täielik koopia tema tervisetoimiku andmetest.

Euroopa Kohtu hinnang

Mis esiteks puudutab küsimust, kas vastutav töötleja on kohustatud esitama andmesubjektile tema andmete esimese koopia tasuta ka siis, kui see taotlus on põhjendatud muul kui isikuandmete kaitse üldmääruse preambulis sõnaselgelt nimetatud eesmärgil, siis märkis Euroopa Kohus, et selle määruse artikli 15 lõike 3 esimene lause annab andmesubjektile õiguse saada täpne taasesitus oma isikuandmetest, mida mõistetakse laias tähenduses ja mille suhtes tehakse toiminguid, mille „vastutav töötleja peab kvalifitseerima töötlemiseks“ ( 3 ). Isikuandmete kaitse üldmääruse asjakohaseid sätteid ( 4 ) koos lugedes ilmneb, et ühelt poolt on andmesubjektil õigus saada oma töödeldavate isikuandmete esimene koopia tasuta ja teiselt poolt on vastutavale töötlejale antud võimalus küsida teatavatel tingimustel mõistlikku tasu halduskulude katmiseks või keelduda taotluse täitmisest, kui taotlus on selgelt põhjendamatu või ülemäärane.

Ükski neist sätetest ei sea siiski isikuandmete esimese koopia tasuta esitamise tingimuseks seda, et andmesubjekt peab oma taotlust põhjendama. Seega ei saa isikuandmete kaitse üldmääruse preambulis sõnaselgelt sisalduvad taotluste põhjendused ( 5 ) piirata nimetatud sätete ulatust. Niisiis ei saa õigus tutvuda terviseandmetega ( 6 ) olla andmetega tutvumise võimaldamisest keeldumise või vastutasu maksmise nõudmise kaudu piiratud mõne niisuguse põhjusega, ja sama kehtib ka õiguse kohta saada esimene koopia tasuta.

Põhimõte, et andmete esimene koopia antakse tasuta, ja asjaolu, et andmetega tutvumise taotlust ei ole vaja põhjendada konkreetse põhjusega, aitavad lisaks kindlasti kaasa sellele, et andmesubjekt saaks teostada talle isikuandmete kaitse üldmäärusega antud õigusi. Järelikult, võttes arvesse seda, kui suure tähtsuse omistab isikuandmete kaitse üldmäärus selle eesmärkide saavutamiseks õigusele tutvuda töödeldavate isikuandmetega, ei saa selle õiguse kasutamisele seada tingimusi, mida liidu seadusandja ei ole sõnaselgelt ette näinud.

Teiseks otsustas Euroopa Kohus, et liikmesriigil ei ole õigust võtta vastu riigisiseseid õigusnorme, millega vastutava töötleja majanduslike huvide kaitseks jäetakse andmesubjekti isikuandmete esimese koopia kulud tema enda kanda.

Isikuandmete kaitse üldmääruse kohaselt ei ole andmesubjekti õigus saada oma isikuandmete esimene koopia tasuta mõistagi absoluutne ning selle õiguse piiramist võivad õigustada teiste isikute õiguste ja vabaduste kaitsega seotud kaalutlused ( 7 ). Kuna käesolevas asjas on liikmesriigi kohtu eesmärk kaitsta tervishoiuteenuse osutajate majanduslikke huve, takistades asjatute taotluste esitamist koopia saamiseks, ei saa niisugused kaalutlused kuuluda teiste isikute õiguste ja vabaduste alla.

Nimelt on niisuguste õigusnormide tõttu takistatud lisaks asjatutele taotlustele ka selliste taotluste esitamine, mille eesmärk on õiguspärasel põhjusel saada töödeldud isikuandmete esimene koopia tasuta. Järelikult eirab see kindlasti põhimõtet, et esimene koopia on tasuta, ning seab seetõttu kahtluse alla isikuandmete kaitse üldmääruses ette nähtud andmetega tutvumise õiguse soovitava toime ning seeläbi ka määrusega tagatud kaitse.

Lisaks rõhutas Euroopa Kohus, et liidu seadusandja on võtnud arvesse vastutavate töötlejate majanduslikke huve isikuandmete kaitse üldmääruse kohaselt, milles on määratletud asjaolud, mille korral vastutav töötleja võib nõuda töödeldavate isikuandmete koopia esitamisega seotud kulude hüvitamist.

Kolmandaks ja viimaseks leidis Euroopa Kohus, et arsti ja patsiendi suhte raames tähendab õigus saada isikuandmete koopia seda, et andmesubjektile antakse kõigi nende andmete täpne ja arusaadav taasesitus. See õigus eeldab õigust saada täielik koopia tema tervisetoimikus olevatest dokumentidest, kui sellise koopia esitamine on vajalik selleks, et asjaomane isik saaks kontrollida oma andmete õigsust ja täielikkust ning tagada nende arusaadavus.

Selle kohta märkis Euroopa Kohus, et tervisega seotud isikuandmeid puudutavas osas hõlmab andmesubjekti õigus andmetega tutvuda „tervisekaardile kantud andmeid, mis sisaldavad sellist teavet nagu diagnoos, arstliku läbivaatuse tulemused, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised“ ( 8 ). Just nende andmete tundlikkuse tõttu on liidu seadusandja rõhutanud seda, kui oluline on, et füüsiliste isikute õigus tutvuda oma tervisetoimikus olevate andmetega oleks võimalikult täielik ja täpne ning lisaks ka arusaadav.

Arstliku läbivaatuse tulemuste, raviarstide hinnangu ja patsiendile osutatud ravi või protseduuride puhul, mis tavaliselt sisaldavad palju tehnilisi andmeid või isegi kujutisi, võib see, kui arstil lubataks need andmed lihtsalt kokku võtta või koondada, et esitada need kokkuvõtlikult, tekitada riski, et teatavad asjakohased andmed jäetakse välja või taasesitatakse ebaõigesti, või võib igal juhul raskendada patsientidel andmete täpsuse ja täielikkuse kontrollimist ning nendest arusaamist.

( 1 ) Saksa tsiviilseadustiku (Bürgerliches Gesetzbuch) § 630g lõike 2 teine lause.

( 2 ) Täpsemalt Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1, ning parandus ELT 2018, L 127, lk 1) (edaspidi „isikuandmete kaitse üldmäärus“) artikli 12 lõige 5, artikli 15 lõiked 1 ja 3 ning artikli 23 lõike 1 punkt i.

( 3 ) 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punkt 28).

( 4 ) Isikuandmete kaitse üldmääruse artikli 12 lõige 5 ning artikli 15 lõiked 1 ja 3.

( 5 ) Isikuandmete kaitse üldmääruse põhjenduse 63 esimeses lauses on täpsustatud, et „[s]elleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada“.

( 6 ) Tagatud isikuandmete kaitse üldmääruse artikli 15 lõikega 1.

( 7 ) Vastavalt isikuandmete kaitse üldmääruse artikli 23 lõike 1 punktile i.

( 8 ) Isikuandmete kaitse üldmääruse põhjendus 63.