C‑307/22. sz. ügy

kontra

(a Bundesgerichtshof [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)

A Bíróság ítélete (első tanács), 2023. október 26.

„Előzetes döntéshozatal – Személyes adatok kezelése – (EU) 2016/679 rendelet – 12., 15. és 23. cikk – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Az ezen adatok első másolatának díjmentes megszerzéséhez való jog – A beteg adatainak az orvos általi kezelése – Egészségügyi dokumentáció – A hozzáférés iránti kérelem indokai – Az adatok felhasználása a kezelőorvos felelősségének megállapítása céljából – A »másolat« fogalma”

A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Az adatai első másolatának díjmentes megszerzéséhez való jog – Az adatkezelő ilyen másolat rendelkezésre bocsátására vonatkozó kötelezettsége – Az érintettnek a rendelet preambulumából következő, az adatokhoz való hozzáférés iránti kérelmének indokolására vonatkozó kötelezettsége – Hiány

(2016/679 európai parlamenti és tanácsi rendelet, (63) preambulumbekezdés; 12. cikk, (5) bekezdés; 15. cikk, (1) és (3) bekezdés)

(lásd: 35–38., 43., 46., 50–52. pont és a rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A tagállamoknak a rendeletben előírt egyes jogok és kötelezettségek hatályát korlátozó jogszabály elfogadására vonatkozó lehetősége – A rendelet hatálybalépését megelőzően vagy azt követően elfogadott nemzeti jogszabály – A relevancia hiánya

(2016/679 európai parlamenti és tanácsi rendelet, 23. cikk, (1) bekezdés)

(lásd: 54–56., 69. pont és a rendelkező rész 2. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Az adatai első másolatának díjmentes megszerzéséhez való jog – Korlátozások – Feltételek – Mások jogainak és szabadságainak védelme – A tagállam olyan nemzeti jogszabály elfogadására vonatkozó lehetősége, amely az adatkezelő gazdasági érdekeinek védelmére irányul, és az érintettre hárítja az adatai első másolatának költségeit – Hiány

(2016/679 európai parlamenti és tanácsi rendelet, 23. cikk, (1) bekezdés, i.)

(lásd: 62., 64., 65., 67–69. pont és a rendelkező rész 2. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Másolat kiadása az adatokról – A másolat fogalma – Ezen adatok változatlan és érthető reprodukciójának átadása az érintett részére – Olyan dokumentumkivonatok, sőt egész dokumentumok, vagy akár olyan adatbázis‑kivonatok másolata, amelyek többek között az említett adatokat tartalmazzák – Bennfoglaltság – Feltétel

(2016/679 európai parlamenti és tanácsi rendelet, (58) preambulumbekezdés; 12. cikk, (1) bekezdés; 15. cikk, (1) és (3) bekezdés, első mondat)

(lásd: 71–75. pont)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Másolat kiadása az adatokról – A másolat fogalma – Az egészségügyi dokumentációban szereplő valamennyi adat változatlan és érthető reprodukciójának az érintett részére történő átadása – Az egészségügyi dokumentációban szereplő dokumentumok teljes másolata – Bennfoglaltság – Feltétel

(2016/679 európai parlamenti és tanácsi rendelet, (63) preambulumbekezdés; 15. cikk, (3) bekezdés, első mondat)

(lásd: 76–79. pont és a rendelkező rész 3. pontja)

Összefoglalás

DW azzal a kérelemmel fordult fogorvosához, FT‑hez, hogy díjmentesen adja át részére egészségügyi dokumentációjának első másolatát. E kérelmet azzal a céllal terjesztette elő, hogy a fogorvosi ellátások részére történő nyújtása során FT által állítólagosan elkövetett hibákért FT‑t felelősségre vonja.

A német jog alapján, amelynek értelmében a beteg akkor kaphatja meg az egészségügyi dokumentációjának másolatát, ha megtéríti az orvos részére az ebből eredő költségeket ( 1 ), FT megtagadta, hogy ilyen másolatot bocsásson DW rendelkezésére, aminek következtében ez utóbbi keresetet indított. Mind az elsőfokú bíróság, mind pedig a fellebbviteli bíróság helyt adott DW arra irányuló kérelmének, hogy díjmentesen adják át részére az egészségügyi dokumentációjának első másolatát.

A Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország), amelyhez FT felülvizsgálati kérelemmel fordult, az általános adatvédelmi rendelet azon rendelkezéseinek értelmezését kérte a Bíróságtól, amelyek az érintett személy adataihoz való hozzáférési joga gyakorlásának feltételeire, valamint e jog hatályának korlátozására vonatkoznak. ( 2 )

Ítéletében a Bíróság mindenekelőtt megállapítja az adatkezelő azon kötelezettségét, hogy az érintett kérelmére díjmentesen bocsássa rendelkezésre személyes adatainak első másolatát az ezen adatok kezeléséről való tudomásszerzésre és az adatkezelés jogszerűségének ellenőrzésére irányuló, az általános adatvédelmi rendelet preambulumában kifejezetten említett céloktól eltérő célokból. Ezt követően a Bíróság megállapítja a tagállamok azon lehetőségének korlátait, hogy az adatkezelő gazdasági érdekeire tekintettel korlátozzák az adatok másolatának megszerzéséhez való jogot, előírva az érintett számára az ezen adatkezelőnél e tekintetben felmerült költségek megfizetését. Végül megvizsgálja, hogy bizonyos esetekben szükséges‑e az érintett rendelkezésére bocsátani az egészségügyi dokumentációjában szereplő adatok teljes másolatát.

A Bíróság álláspontja

Először is, azon kérdést illetően, hogy az adatkezelőt akkor is terheli‑e az a kötelezettség, hogy az adatkezelés tárgyát képező személyes adatainak első másolatát ingyenesen az érintett rendelkezésére kell bocsátania, ha e kérelmet az általános adatvédelmi rendelet preambulumában kifejezetten említettektől eltérő céllal indokolták, a Bíróság emlékeztet arra, hogy e rendelet 15. cikke (3) bekezdésének első mondata arra jogosítja fel az érintettet, hogy változatlan reprodukcióhoz jusson hozzá a tág értelemben vett azon személyes adatairól, amelyek „az adatkezelő általi adatkezelésnek” minősítendő műveletek tárgyát képezik. ( 3 ) Ezenkívül az általános adatvédelmi rendelet releváns rendelkezéseinek ( 4 ) együttes olvasatából következik egyrészt az érintett azon joga, hogy az adatkezelés tárgyát képező személyes adatairól díjmentesen első másolatot kapjon, másrészt pedig az adatkezelő számára biztosított azon lehetőség, hogy bizonyos feltételek mellett az adminisztratív költségeket figyelembe vevő, észszerű összegű költségeket számítson fel, vagy megtagadja a kérelem teljesítését, ha az nyilvánvalóan megalapozatlan vagy túlzó.

Ugyanakkor e rendelkezések egyike sem teszi függővé a személyes adatok első másolatának díjmentes rendelkezésre bocsátását attól a feltételtől, hogy az érintett a kérelmének igazolására irányuló indokra hivatkozzon. Ennélfogva a kérelmeknek az általános adatvédelmi rendelet preambulumában ( 5 ) kifejezetten szereplő indokai nem korlátozhatják a fenti rendelkezések hatályát. Így az egészségügyi adatokhoz való hozzáférés joga ( 6 ) nem korlátozható – a hozzáférés megtagadása vagy ellenszolgáltatás megfizetésének előírása révén – ezen indokok valamelyikére, ami az első másolat díjmentes megszerzéséhez való jogra is érvényes.

Ezenkívül az adatok első másolata díjmentességének elve, valamint az, hogy nem kell a hozzáférés iránti kérelmet igazoló konkrét indokra hivatkozni, szükségképpen hozzájárul az érintett számára az általános adatvédelmi rendelet által biztosított jogok gyakorlásának megkönnyítéséhez. Következésképpen, tekintettel arra a jelentőségre, amelyet e rendelet az adatkezelés tárgyát képező személyes adatokhoz való hozzáféréshez való jognak tulajdonít e rendelet céljainak elérése érdekében, a fenti jog gyakorlása nem függhet az uniós jogalkotó által kifejezetten elő nem írt feltételektől.

Másodszor, a Bíróság úgy ítéli meg, hogy a tagállamok nem jogosultak olyan nemzeti jogszabály elfogadására, amely az adatkezelő gazdasági érdekeinek védelme céljából az érintettre hárítja az adatkezelés tárgyát képező személyes adatai első másolatának költségeit.

Kétségtelen, hogy az általános adatvédelmi rendelet alapján az érintett azon joga, hogy díjmentesen megkapja személyes adatainak első másolatát, nem abszolút jog, és bizonyos feltételek mellett mások jogainak és szabadságainak védelme igazolhatja e jog korlátozását. ( 7 ) A jelen ügyben azonban, amennyiben a nemzeti jogszabálynak az a célja, hogy a másolatok szükségtelen kérelmezésének megelőzése révén védje a kezelőorvosok gazdasági érdekeit, az ilyen megfontolások nem tartozhatnak mások jogainak és szabadságainak körébe.

Az ilyen szabályozás ugyanis ahhoz vezet, hogy nemcsak a szükségtelen kérelmektől, hanem a kezelt személyes adatok első, díjmentes másolatának jogszerű okból történő megszerzésére irányuló kérelmektől is visszatartja az érintettet. Következésképpen szükségszerűen sérti az első példány díjmentességének elvét, így meghiúsítja az általános adatvédelmi rendeletben előírt hozzáférési jog hatékony érvényesülését, és ennek következtében az e rendelet által biztosított védelmet.

A Bíróság hangsúlyozza továbbá, hogy az általános adatvédelmi rendelet figyelembe vette az adatkezelők gazdasági érdekeit, és meghatározza azokat a körülményeket, amelyek esetén az adatkezelő a személyes adatok másolatának rendelkezésre bocsátásával kapcsolatos költségek megfizetését követelheti.

Harmadszor és utolsósorban a Bíróság úgy ítéli meg, hogy az orvos és a beteg közötti kapcsolat keretében a személyes adatok másolatának igényléséhez való jog azt foglalja magában, hogy az érintettnek ezen adatok összességének eredetihez hű és érthető reprodukcióját kell átadni. E jog feltételezi annak jogát, hogy az érintett az egészségügyi dokumentációban szereplő dokumentumokról teljes másolatot kapjon, amennyiben ez elengedhetetlen ahhoz, hogy az érintett ellenőrizhesse azok pontosságát és teljességét, valamint azok érthetőségének biztosítása céljából.

E tekintetben rámutat, hogy az egészségre vonatkozó személyes adatokat illetően az általános adatvédelmi rendelet pontosítja, hogy az érintettek hozzáférési joga kiterjed a „például a diagnózis[t], a vizsgálati leletek[et], a kezelőorvosok véleményei[t], valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk [adataira]” ( 8 ). Az uniós jogalkotó ezen adatok érzékenysége miatt hangsúlyozta annak jelentőségét, hogy a természetes személyeknek az egészségügyi dokumentációjukban szereplő adataikhoz való hozzáférése a lehető legteljesebb és legpontosabb, de emellett könnyen érthető is legyen.

Márpedig a vizsgálati leleteket, a kezelőorvosi véleményeket és a betegen végzett kezelésekre vagy beavatkozásokra vonatkozó dokumentumokat illetően, amelyek főszabály szerint számos technikai adatot, sőt képeket is magukban foglalnak, az a tény, hogy az orvosok ezen adatokról csupán összefoglalást vagy összeállítást készítenek annak érdekében, hogy azokat összesített formában bocsássák rendelkezésre, azzal a kockázattal járhat, hogy bizonyos releváns adatok kimaradnak, vagy azokat helytelenül közlik, vagy mindenesetre megnehezítheti a betegek számára azok pontosságának és teljességének ellenőrzését, valamint azok megértését.

( 1 ) A Bürgerliches Gesetzbuch (német polgári törvénykönyv) 630 g. §‑a (2) bekezdésének második mondata.

( 2 ) Konkrétabban a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: általános adatvédelmi rendelet) 12. cikke (5) bekezdésének, 15. cikke (1) és (3) bekezdésének és 23. cikke (1) bekezdése i) pontjának értelmezését.

( 3 ) Österreichische Datenschutzbehörde és CRIF ítélet (C‑487/21, EU:C:2023:369, 28. pont).

( 4 ) Az általános adatvédelmi rendelet 12. cikkének (5) bekezdése, valamint 15. cikkének (1) és (3) bekezdése.

( 5 ) Az általános adatvédelmi rendelet (63) preambulumbekezdésének első mondata úgy rendelkezik, hogy „[a]z érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát”.

( 6 ) Az általános adatvédelmi rendelet 15. cikkének (1) bekezdésében biztosított jog.

( 7 ) Az általános adatvédelmi rendelet 23. cikke (1) bekezdésének i) pontja alapján.

( 8 ) Az általános adatvédelmi rendelet (63) preambulumbekezdése.