Kawża C‑307/22

FT

vs

DW

(talba għal deċiżjoni preliminari, imressqa mill-Bundesgerichtshof)

Sentenza tal-Qorti tal-Ġustizzja (L-Ewwel Awla) tas‑26 ta’ Ottubru 2023

“Rinviju għal deċiżjoni preliminari – Ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikoli 12, 15 u 23 – Dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu li tkun qiegħda tiġi pproċessata – Dritt li tinkiseb mingħajr ħlas l-ewwel kopja ta’ din id-data – Ipproċessar ta’ data ta’ pazjent mit-tabib tiegħu – Fajl mediku – Raġunijiet għat-talba għal aċċess – Użu tad-data għall-finijiet tal-istabbiliment tar-responsabbiltà tal-persuna li tipprovdi trattament mediku – Kunċett ta’ ‘kopja’”

1. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu li tkun qiegħda tiġi pproċessata – Dritt li jikseb mingħajr ħlas l-ewwel kopja tad-data tiegħu – Obbligu tal-kontrollur responsabbli għall-ipproċessar li jagħti tali kopja – Obbligu, li jirriżulta mill-preambolu tar-Regolament, tas-suġġett tad-data li jimmotiva t-talba tiegħu għal aċċess għad-data – Assenza

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 63, u Artikoli 12(1), u 15(1) u (3))

   (ara l-punti 35 sa 38, 43, 46, u 50 sa 52, u d-dispożittiv 1)

2. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Possibbiltà għall-Istati Membri li jadottaw leġiżlazzjoni li tillimita l-portata ta’ ċerti drittijiet u obbligi previsti fir-Regolament – Leġiżlazzjoni nazzjonali adottata qabel jew wara d-dħul fis-seħħ tar-Regolament – Assenza ta’ rilevanza

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 23(1))

   (ara l-punti 54 sa 56 u 69, u d-dispożittiv 2)

3. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu li tkun qiegħda tiġi pproċessata – Dritt li jikseb mingħajr ħlas l-ewwel kopja tad-data tiegħu – Limitazzjonijiet – Kundizzjonijiet – Protezzjoni tad-drittijiet u tal-libertajiet ta’ ħaddieħor – Possibbiltà għal Stat Membru li jadotta leġiżlazzjoni nazzjonali intiża li tipproteġi l-interessi ekonomiċi tal-kontrollur responsabbli għall-ipproċessar u li timponi fuq is-suġġett tad-data l-ispejjeż tal-ewwel kopja tad-data tiegħu – Assenza

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikolu 23(1)(i))

   (ara l-punti 62, 64, 65, u 67 sa 69, u d-dispożittiv 2)

4. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu li tkun qiegħda tiġi pproċessata – Għoti ta’ kopja tad-data – Kunċett ta’ kopja – Għoti lis-suġġett tad-data ta’ riproduzzjoni fidila u li tinftiehem ta’ din id-data – Kopja ta’ estratti ta’ dokumenti jew anki ta’ dokumenti sħaħ jew ta’ siltiet minn databases li jinkludu, fost oħrajn, l-imsemmija data – Inklużjoni – Kundizzjoni

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 58, Artikoli 12(1) u 15(1), u l-ewwel sentenza tal-Artikolu 15(3))

   (ara l-punti 71 sa 75)

5. Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu li tkun qiegħda tiġi pproċessata – Għoti ta’ kopja tad-data – Kunċett ta’ kopja – Għoti lis-suġġett tad-data ta’ riproduzzjoni fidila u li tinftiehem tad-data kollha fil-fajl mediku tiegħu – Kopja sħiħa tad-dokumenti li jinsabu fil-fajl mediku – Inklużjoni – Kundizzjoni

   (Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 63 u l-ewwel sentenza tal-Artikolu 15(3))

   (ara l-punti 76 sa 79, u d-dispożittiv 3)

Sunt

DW talab lil FT, id-dentista tiegħu, tagħtih, mingħajr ħlas, l-ewwel kopja tal-fajl mediku tiegħu. Huwa ressaq din it-talba bil-għan li tiġi stabbilita r-responsabbiltà ta’ FT għal żbalji allegatament imwettqa minn din tal-aħħar fl-għoti, fir-rigward tiegħu, ta’ kura dentali.

Filwaqt li bbażat ruħha fuq id-dritt Ġermaniż li jipprovdi li l-pazjent jista’ jikseb kopja tal-fajl mediku tiegħu bil-kundizzjoni li jirrimborsa lill-persuna li tipprovdi t-trattament mediku l-ispejjeż ikkawżati ( 1 ), FT irrifjutat li tagħti tali kopja lil DW, u sussegwentement dan tal-aħħar ippreżenta rikors. Kemm il-qorti tal-ewwel istanza kif ukoll dik tal-appell laqgħu t-talba ta’ DW sabiex jingħata, mingħajr ħlas, l-ewwel kopja tal-fajl mediku tiegħu.

Adita b’rikors għal reviżjoni minn FT, il-Bundesgerichtshof (il-Qorti Federali tal-Ġustizzja, il-Ġermanja) staqsiet lill-Qorti tal-Ġustizzja dwar l-interpretazzjoni tad-dispożizzjonijiet tal-GDPR li jirrigwardaw il-modalitajiet tal-eżerċizzju tad-dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu kif ukoll il-limitazzjonijiet tal-portata ta’ dan id-dritt ( 2 ).

Permezz tas-sentenza tagħha, il-Qorti tal-Ġustizzja kkonkludiet, l-ewwel nett, li l-kontrollur responsabbli għall-ipproċessar għandu l-obbligu jagħti, fuq talba tas-suġġett tad-data u mingħajr ħlas, l-ewwel kopja tad-data personali tas-suġġett tad-data għal finijiet differenti minn dawk intiżi li dan tal-aħħar isir jaf bl-ipproċessar ta’ din id-data u jivverifika l-legalità tiegħu, liema finijiet jissemmew espliċitament fil-preambolu tal-GDPR. Hija tat deċiżjoni, sussegwentement, dwar il-limiti tal-possibbiltà tal-Istati Membri li jirrestrinġu, f’isem l-interessi ekonomiċi tal-kontrollur responsabbli għall-ipproċessar, id-dritt li tinkiseb kopja tad-data billi jimponu fuq is-suġġett tad-data l-ħlas tal-ispejjeż sostnuti minn dan il-kontrollur għal dan l-għan. Fl-aħħar nett, hija eżaminat il-ħtieġa li, f’ċerti każijiet, is-suġġett tad-data jingħata kopja sħiħa tad-data fil-fajl mediku tiegħu.

Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja

Fl-ewwel lok, fir-rigward tal-kwistjoni dwar jekk il-kontrollur responsabbli għall-ipproċessar huwiex obbligat jagħti mingħajr ħlas lis-suġġett tad-data l-ewwel kopja tad-data tiegħu anki fil-każ li jkunu mfittxija finijiet differenti minn dawk imsemmija espliċitament fil-preambolu tal-GDPR, il-Qorti tal-Ġustizzja fakkret li l-ewwel sentenza tal-Artikolu 15(3) ta’ dan ir-regolament tagħti lis-suġġett tad-data d-dritt li jikseb riproduzzjoni fidila tad-data personali tiegħu, mifhuma f’sens wiesa’, li tkun is-suġġett ta’ operazzjonijiet li għandhom jiġu kklassifikati bħala “ipproċessar imwettaq mill-kontrollur responsabbli għal dan l-ipproċessar” ( 3 ). Barra minn hekk, minn qari flimkien tad-dispożizzjonijiet rilevanti tal-GDPR ( 4 ), jirriżulta, minn naħa, li s-suġġett tad-data għandu d-dritt jikseb mingħajr ħlas l-ewwel kopja tad-data personali tiegħu li tkun qiegħda tiġi pproċessata u, min-naħa l-oħra, li l-l-kontrollur responsabbli għall-ipproċessar għandu, taħt ċerti kundizzjonijiet, il-possibbiltà li jitlob il-ħlas ta’ spejjeż raġonevoli li jieħdu inkunsiderazzjoni l-spejjeż amministrattivi, jew li jirrifjuta li jilqa’ talba jekk din tal-aħħar tkun manifestament infondata jew eċċessiva.

Madankollu, ebda waħda minn dawn id-dispożizzjonijiet ma tissuġġetta l-għoti, mingħajr ħlas, tal-ewwel kopja tad-data personali għall-invokazzjoni, mis-suġġett tad-data, ta’ raġuni intiża li tiġġustifika t-talba tiegħu. Għaldaqstant, ir-raġunijiet għat-talbiet imsemmija espliċitament fil-preambolu tal-GDPR ( 5 ) ma jistgħux jillimitaw il-portata tal-imsemmija dispożizzjonijiet. B’hekk, id-dritt ta’ aċċess għad-data dwar is-saħħa ( 6 ) ma jistax jiġi llimitat, permezz ta’ rifjut ta’ aċċess jew permezz tal-impożizzjoni tal-ħlas ta’ korrispettiv, għal waħda minn dawn ir-raġunijiet, u dan jgħodd ukoll għad-dritt li tinkiseb l-ewwel kopja mingħajr ħlas.

Barra minn hekk, il-prinċipju li l-ewwel kopja tad-data għandha tingħata mingħajr ħlas kif ukoll l-assenza ta’ neċessità li tiġi invokata raġuni speċifika li tiġġustifika t-talba għal aċċess jikkontribwixxu neċessarjament sabiex jiġi ffaċilitat l-eżerċizzju, mis-suġġett tad-data, tad-drittijiet mogħtija lilu mill-GDPR. Għaldaqstant, fid-dawl tal-importanza li dan ir-regolament jagħti lid-dritt ta’ aċċess għad-data personali sabiex jintlaħqu l-għanijiet imfittxija minnu, l-eżerċizzju ta’ dan id-dritt ma jistax ikun suġġett għal kundizzjonijiet li ma jkunux ġew espressament previsti mil-leġiżlatur tal-Unjoni.

Fit-tieni lok, il-Qorti tal-Ġustizzja ddeċidiet li Stat Membru ma jistax jadotta leġiżlazzjoni nazzjonali li, sabiex jiġu protetti l-interessi ekonomiċi tal-kontrollur responsabbli għall-ipproċessar, timponi fuq is-suġġett tad-data l-ispejjeż tal-ewwel kopja tad-data personali tiegħu.

Huwa minnu li, skont il-GDPR, id-dritt tas-suġġett tad-data li jikseb mingħajr ħlas l-ewwel kopja tad-data personali tiegħu ma huwiex dritt assolut u, taħt ċerti kundizzjonijiet, il-protezzjoni tad-drittijiet u tal-libertajiet ta’ ħaddieħor jistgħu jiġġustifikaw limitazzjoni ta’ dan id-dritt ( 7 ). Madankollu, f’dan il-każ, inkwantu l-leġiżlazzjoni nazzjonali jkollha l-għan li tipproteġi l-interessi ekonomiku tal-persuni li jipprovdu trattament mediku billi tevita t-talbiet inutli għal kopja, tali kunsiderazzjonijiet ma jistgħux jitqiesu li jikkonċernaw tali drittijiet u libertajiet ta’ ħaddieħor.

Fil-fatt, din il-leġiżlazzjoni twassal sabiex tiddisswadi mhux biss it-talbiet li jkunu inutli, iżda wkoll it-talbiet intiżi li tinkiseb mingħajr ħlas, għal raġuni leġittima, l-ewwel kopja tad-data personali pproċessata. Għaldaqstant, hija neċessarjament tikser il-prinċipju li l-ewwel kopja għandha tingħata mingħajr ħlas u għalhekk iddaħħal inkwistjoni l-effett utli tad-dritt ta’ aċċess tas-suġġett tad-data għad-data tiegħu, previst fil-GDPR, kif ukoll, bl-istess mod, il-protezzjoni ggarantita minn dan ir-regolament.

Barra minn hekk, il-Qorti tal-Ġustizzja enfasizzat li l-interessi ekonomiċi tal-kontrolluri responsabbli għall-ipproċessar ittieħdu inkunsiderazzjoni fil-GDPR, li jiddefinixxi ċ-ċirkustanzi li fihom il-kontrollur responsabbli għall-ipproċessar jista’ jitlob il-ħlas tal-ispejjeż marbuta mal-għoti ta’ kopja tad-data personali.

Fit-tielet u l-aħħar lok, il-Qorti tal-Ġustizzja qieset li, fir-relazzjonijiet bejn it-tabib u l-pazjent, id-dritt li tinkiseb kopja tad-data personali jimplika l-għoti, lis-suġġett tad-data, ta’ riproduzzjoni fidila u li tinftiehem ta’ din id-data kollha. Dan id-dritt jimplika d-dritt li tinkiseb kopja sħiħa tad-dokumenti li jinsabu fil-fajl mediku tiegħu jekk dan ikun neċessarju sabiex dan is-suġġett tad-data jkun jista’ jivverifika l-eżattezza u l-kompletezza tad-data tiegħu kif ukoll sabiex jiġi żgurat li din id-data tkun tista’ tinftiehem.

F’dan ir-rigward, hija rrilevat li, fir-rigward tad-data personali marbuta mas-saħħa, il-GDPR jispeċifika li d-dritt ta’ aċċess tas-suġġetti tad-data jinkludi “d-data fir-reġistri mediċi tagħhom li jkun fihom informazzjoni bħal dijanjosi, riżultati ta’ eżamijiet, valutazzjonijiet mit-tobba li qed jittrattawhom u kwalunkwe kura jew intervent ipprovdut” ( 8 ). Huwa minħabba n-natura sensittiva ta’ din id-data li l-leġiżlatur tal-Unjoni b’hekk enfasizza l-importanza li l-aċċess minn persuni fiżiċi għad-data tagħhom inkluża fil-fajl mediku tagħhom isir bl-iktar mod komplet u preċiż possibbli, iżda wkoll b’mod li jinftiehem.

Issa, fir-rigward tar-riżultati ta’ eżamijiet, tal-opinjonijiet tat-tobba li jipprovdu t-trattament jew tat-trattamenti jew tal-interventi amministrati lil pazjent, li jinkludu, bħala regola ġenerali, diversi elementi ta’ data teknika, jew anki immaġini, l-għoti ta’ sempliċi sommarju jew ta’ kompilazzjoni ta’ din id-data mit-tabib, sabiex jippreżentahom f’forma sintetika, jista’ joħloq ir-riskju li ċerta data rilevanti titħalla barra jew tiġi rriprodotta b’mod inkorrett jew, fi kwalunkwe każ, li l-verifika tal-eżattezza u tal-kompletezza ta’ din id-data kif ukoll il-komprensjoni tagħha mill-pazjent isiru iktar diffiċli.

( 1 ) It-tieni sentenza tal-Artikolu 630g(2) tal-Bürgerliches Gesetzbuch (il-Kodiċi Ċivili Ġermaniż).

( 2 ) B’mod iktar konkret, dwar l-Artikolu 12(5), l-Artikolu 15(1) u (3), u l-Artikolu 23(1)(i) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, u rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).

( 3 ) Sentenza tal‑4 ta’ Mejju 2023, Österreichische Datenschutzbehörde u CRIF (C‑487/21, EU:C:2023:369, punt 28).

( 4 ) Artikolu 12(5), u Artikolu 15(1) u (3) tal-GDPR.

( 5 ) L-ewwel sentenza tal-premessa 63 tal-GDPR tippreċiża li “[s]uġġett tad-data għandu jkollu d-dritt ta’ aċċess għal data li tkun inġabret dwaru, u li jeżerċita dak id-dritt faċilment u f’intervalli raġonevoli, sabiex ikun jaf dwar, u jivverifika, il-legalità tal-ipproċessar”.

( 6 ) Iggarantit fl-Artikolu 15(1) tal-GDPR.

( 7 ) Skont l-Artikolu 23(1)(i) tal-GDPR.

( 8 ) Premessa 63 tal-GDPR.