1.

Articolele 12 și 15 din Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor, denumit în continuare „RGPD”) ( 2 ) acordă persoanelor vizate drepturi extinse de acces la datele cu caracter personal prelucrate. Printre altele, aceste dispoziții impun operatorilor să furnizeze persoanelor vizate, cu titlu gratuit, o copie a acestor date.

2.

Persoanele vizate pot solicita accesul la datele lor cu caracter personal, în temeiul dispozițiilor RGPD, în alte scopuri decât cele legate de protecția datelor? Statele membre pot restricționa dreptul de a obține o copie a datelor, impunând persoanelor vizate plata, în anumite cazuri specifice, a costurilor suportate de operator pentru realizarea copiilor? Operatorii ar trebui să furnizeze copii ale tuturor documentelor care conțin date cu caracter personal sau este permisă compilarea de către aceștia a datelor solicitate de persoanele vizate?

3.

Acestea sunt în esență principalele aspecte invocate în cererea de decizie preliminară formulată de Bundesgerichtshof (Curtea Federală de Justiție, Germania) într‑o cauză referitoare la posibilitatea unui pacient de a obține, cu titlu gratuit, copii ale documentelor cuprinse în registrul său medical.

4.

Considerentele (4), (13) și (63) ale RGPD au următorul cuprins:

5.

Articolul 12 din RGPD, intitulat „Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate”, prevede:

„(1)   Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu […].

(2)   Operatorul facilitează exercitarea drepturilor persoanei vizate în temeiul articolelor 15-22. […]

(3)   Operatorul furnizează persoanei vizate informații privind acțiunile întreprinse în urma unei cereri în temeiul articolelor 15-22, fără întârzieri nejustificate și în orice caz în cel mult o lună de la primirea cererii. […]

[…]

(5)   Informațiile furnizate în temeiul articolelor 13 și 14 și orice comunicare și orice măsuri luate în temeiul articolelor 15-22 și 34 sunt oferite gratuit. În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:

În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.

[…]”

6.

Articolul 15 din RGPD, intitulat „Dreptul de acces al persoanei vizate”, prevede:

„(1)   Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

[…]

(3)   Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. Pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. […]

(4)   Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora.”

7.

Articolul 23 alineatul (1) din RGPD, referitor la „Restricții”, prevede:

„(1)   Dreptul Uniunii sau dreptul intern care se aplică operatorului de date sau persoanei împuternicite de operator poate restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 […] atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura:

[…]

[…]

[…]”

8.

Articolul 630f, intitulat „Documentația privind tratamentul”, din Bürgerliches Gesetzbuch (Codul civil german, denumit în continuare „BGB”) prevede:

„(1)   Practicianul este obligat să păstreze registrul medical al pacientului pe suport de hârtie sau electronic, în scopul documentării în legătură directă și cronologică cu tratamentul. […]

(2)   Practicianul este obligat să consemneze în registrul medical al pacientului toate măsurile care, din punct de vedere profesional, sunt esențiale pentru tratamentul actual și viitor, precum și rezultatele acestora, în special istoricul medical, diagnosticele, examinările, rezultatele examinărilor, constatările, terapiile și efectele acestora, intervențiile și efectele acestora, acordurile și explicațiile date. Scrisorile medicale trebuie să fie incluse în registrul medical.

[…]”

9.

Punctul 630g, intitulat „Accesul la registrul medical”, din BGB prevede:

„(1)   La cerere, pacientului i se acordă neîntârziat accesul la registrul său medical complet, cu excepția cazului în care există motive terapeutice importante sau alte drepturi substanțiale ale unor terți care împiedică acest acces. […]

(2)   Pacientul poate solicita, de asemenea, copii electronice ale registrului medical. El trebuie să ramburseze practicianului costurile generate.

[…]”

10.

DW (reclamantul din litigiul principal) a beneficiat de tratament stomatologic furnizat de FT (pârâta din litigiul principal). Suspectând că nu a beneficiat de un tratament corespunzător, DW i-a solicitat lui FT să îi furnizeze, cu titlu gratuit, copii ale tuturor documentelor medicale întocmite în privința lui, aflate în posesia medicului. FT a considerat că nu este obligată să furnizeze o copie a documentelor medicale decât dacă pacientul rambursează costurile.

11.

DW a formulat o acțiune împotriva lui FT în fața Amtsgericht (Tribunalul Districtual, Germania), care a admis acțiunea. FT a formulat apel la Landgericht (Tribunalul Regional, Germania), care l‑a respins, motivând că împrejurarea că DW a solicitat informațiile în vederea examinării drepturilor în temeiul legislației privind răspunderea medicală nu anulează drepturile pe care articolul 15 din RGPD i le conferă.

12.

Prin recursul formulat în fața Bundesgerichtshof (Curtea Federală de Justiție, Germania), FT a solicitat anularea hotărârii Landgericht (Tribunalul Regional, Germania) și respingerea acțiunii formulate de DW. Potrivit Bundesgerichtshof (Curtea Federală de Justiție, Germania), admiterea recursului depinde de aspectul dacă instanța de apel a săvârșit o eroare de drept atunci când a considerat că cererea, astfel cum a fost formulată de DW, este întemeiată în raport cu dispozițiile RGPD.

13.

Bundesgerichtshof (Curtea Federală de Justiție, Germania) precizează că, potrivit dispozițiilor de drept național, FT nu este obligată să pună la dispoziția lui DW, cu titlu gratuit, copii ale documentelor medicale care îl privesc. Cu toate acestea, dreptul lui DW la eliberarea cu titlu gratuit ar putea rezulta, astfel cum a arătat Landgericht (Tribunalul Regional), direct din articolul 15 alineatul (3) coroborat cu articolul 12 alineatul (5) din RGPD. Prin urmare, având îndoieli cu privire la corecta interpretare a acestor dispoziții, Bundesgerichtshof (Curtea Federală de Justiție, Germania) a decis să suspende judecarea cauzei și să adreseze Curții de Justiție următoarele întrebări preliminare:

14.

Guvernul leton și Comisia au depus observații scrise în prezenta procedură.

15.

Prin intermediul primei întrebări, instanța de trimitere solicită Curții să stabilească dacă articolul 12 alineatul (5) și articolul 15 alineatul (3) din RGPD trebuie interpretate în sensul că impun unui operator de date să furnizeze persoanei vizate o copie a datelor sale cu caracter personal, cu titlu gratuit, atunci când persoana vizată nu solicită copia respectivă în scopurile menționate în prima teză a considerentului (63) al RGPD (și anume pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia), ci într‑un alt scop, de exemplu pentru a verifica existența unor drepturi în temeiul legislației privind răspunderea medicală.

16.

În esență, prezenta întrebare se referă la aspectul dacă o persoană vizată are dreptul de a primi de la operator, în temeiul dispozițiilor RGPD, o copie a datelor sale cu caracter personal, atunci când cererea sa este formulată în vederea urmăririi unor scopuri care sunt legitime, dar fără legătură cu protecția datelor.

17.

În opinia noastră, dreptul de acces pe care RGPD îl conferă persoanelor vizate nu este condiționat de intenția acestora de a utiliza datele în cauză în scopuri legate de protecția datelor, precum cele prevăzute în considerentul (63) al acestui regulament. O interpretare textuală, contextuală și sistematică a dispozițiilor relevante ale RGPD confirmă acest punct de vedere.

18.

Înainte de toate, nicio astfel de restricție nu poate fi dedusă din modul de redactare a articolului 12 sau a articolului 15 din RGPD. Aceste două dispoziții stabilesc – într‑un fel de „joc al oglinzilor” – obligația operatorului de date de a furniza datele cu caracter personal prelucrate, precum și dreptul persoanei vizate de a solicita accesul la aceste date ( 3 ). Niciuna dintre aceste două dispoziții nu impune persoanei vizate să indice motivele cererii sale de acces și nici nu oferă operatorului posibilitatea de a solicita și de a evalua aceste motive.

19.

Articolul 12 din RGPD impune operatorului să „ia măsuri adecvate pentru a furniza persoanei vizate orice informații […] și orice comunicări” în cauză și să „[faciliteze] exercitarea drepturilor persoanei vizate” ( 4 ). Dispozițiile articolului 12 se referă, de fapt, în principal la modul și la termenul în care operatorul de date ar trebui printre altele să acorde accesul ( 5 ). Singurele excepții de la obligația operatorului de a acționa cu promptitudine sunt următoarele: (i) solicitarea de informații suplimentare sau refuzul de a da curs cererii în cazul unor îndoieli întemeiate cu privire la identitatea persoanei vizate ( 6 ); și (ii) perceperea unei taxe rezonabile sau refuzul de a da curs unor cereri în mod vădit nefondate sau excesive ( 7 ).

20.

Articolul 15 din RGPD este formulat, de asemenea, în termeni foarte largi, acordând persoanelor vizate forme extinse de acces: de a obține din partea operatorului o confirmare că sunt sau nu sunt prelucrate date cu caracter personal care le privesc și, în caz afirmativ, de a primi informații detaliate în acest sens ( 8 ), precum și de a obține o copie a datelor cu caracter personal prelucrate ( 9 ). Nu este prevăzută nicio condiție sau limită expresă pentru exercitarea de către persoana vizată a dreptului său de acces în temeiul articolului 15 din RGPD.

21.

Situația este diferită în cazul altor dispoziții ale regulamentului, care se referă la alte drepturi ale persoanelor vizate. De exemplu, articolul 17 alineatul (3) din RGPD prevede situațiile în care dreptul de a fi uitat, menționat la alineatele (1) și (2) ale aceleiași dispoziții, „nu se aplică”. Articolul 20 din RGPD, care se referă la dreptul la portabilitatea datelor, este structurat în mod similar, excepțiile fiind prevăzute la alineatul (3) al acestei dispoziții. La rândul său, articolul 21 alineatul (6) din RGPD stabilește condițiile în care, în anumite împrejurări specifice, persoanele vizate își pot exercita dreptul la opoziție, astfel cum este prevăzut la alineatul (1) al acestui articol.

22.

În acest context, considerentul (63) nu poate fi interpretat, în opinia noastră, în sensul că introduce o condiție sau o limitare a exercitării dreptului de acces consacrat la articolul 15 din RGPD, cu privire la care nu poate fi identificată nicio urmă în textul acestei dispoziții (nici în „dispoziția geamănă”, respectiv articolul 12 din RGPD).

23.

În opinia noastră, considerentul (63) urmărește mai degrabă să sublinieze importanța dreptului de acces în economia RGPD. Acest drept este, de fapt, esențial și indispensabil pentru exercitarea efectivă a multor alte drepturi pe care RGPD le conferă persoanelor vizate ( 10 ). Este dificil ca persoanele fizice să aibă „control asupra propriilor date cu caracter personal” – astfel cum se arată în considerentul (7) al RGPD – cu excepția cazului în care știu „dacă, ce și de ce” în ceea ce privește prelucrarea datelor. S‑ar putea explica astfel motivul pentru care considerentul (63) prevede că persoanele vizate ar trebui să aibă dreptul de acces „pentru a fi informat[e] cu privire la prelucrare și pentru a verifica legalitatea acesteia” ( 11 ). Formularea considerentului (63) poate fi oarecum neclară, dar, în opinia noastră, nu rezultă că dreptul de acces este acordat numai în scopurile menționate în acest considerent.

24.

Observăm, în treacăt, că o astfel de condiție ar fi adesea imposibil de verificat de operator și, prin urmare, ușor de eludat de persoana vizată, întrucât ar depinde de intenția subiectivă a persoanei în cauză ( 12 ).

25.

În plus, împărtășim opinia instanței de trimitere potrivit căreia o interpretare diferită a articolului 15 din RGPD nu poate fi dedusă din cuprinsul punctului 44 din Hotărârea YS și alții ( 13 ). În acest pasaj, Curtea, făcând trimitere la dispozițiile Directivei 95/46/CE ( 14 ), precursoarea RGPD, a precizat că, „astfel cum reiese din […] [preambulul] acestei directive, pentru a putea efectua verificările necesare, persoana vizată are […] un drept de acces la datele care o privesc, care fac obiectul unei prelucrări” ( 15 ).

26.

Procedând astfel, Curtea s‑a limitat în esență la a cita textul considerentului (41) al Directivei 95/46, a cărui formulare era similară cu cea a considerentului (63) al RGPD. În plus, astfel cum a arătat în mod întemeiat instanța de trimitere, în Hotărârea YS și alții, Curții i s‑a solicitat să clarifice noțiunea de „date cu caracter personal” pentru a stabili domeniul de aplicare al accesului. Prezenta întrebare ridică o problemă juridică diferită – aceea dacă scopul accesului solicitat poate avea o influență asupra posibilității de a obține accesul – pentru care nu considerăm că pot fi găsite indicații utile în această hotărâre.

27.

Interpretarea articolului 15 din RGPD enunțată în prezentele concluzii este confirmată și de articolul 8 alineatul (2) din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), referitor la „Protecția datelor cu caracter personal”, potrivit căruia: „Orice persoană are dreptul de acces la datele colectate care o privesc, precum și dreptul de a obține rectificarea acestora” ( 16 ). Dreptul de acces pare să fie, în cartă, identificat ca un drept autonom, legat în mod logic, dar care nu depinde nicidecum în mod necesar de capacitatea sau de intenția titularului dreptului de a exercita alte drepturi (cum ar fi dreptul de rectificare ( 17 )).

28.

Adăugăm, în sfârșit, că această interpretare a articolului 15 din RGPD a fost de asemenea sugerată de Comitetul european pentru protecția datelor în „Orientările 01/2022 privind drepturile persoanelor vizate – Dreptul de acces” ( 18 ). Punctul 13 din aceste orientări are următorul cuprins: „Operatorii nu ar trebui să evalueze «de ce» persoana vizată solicită accesul, ci numai «ce» solicită persoana vizată […] și dacă dețin date cu caracter personal referitoare la persoana respectivă […]. De exemplu, operatorul nu ar trebui să refuze accesul pe baza motivelor sau a suspiciunii că datele solicitate ar putea fi utilizate de persoana vizată pentru a se apăra în instanță în cazul unui refuz din partea operatorului sau al unui litigiu comercial cu acesta.”

29.

Este interesant de observat că exemplul dat în aceste orientări corespunde în mare parte situației de fapt din cauza aflată pe rolul instanței de trimitere. Faptul că reclamantul din litigiul principal a solicitat accesul la datele sale cu caracter personal cuprinse în registrul medical – situație prevăzută în mod expres în considerentul (63) al RGPD ( 19 ) – în vederea examinării posibilității de a introduce o acțiune în constatarea unei erori medicale – obiectiv pe care instanța de trimitere îl identifică în mod corect ca fiind „legitim” ( 20 ) – nu permite, așadar, operatorului să respingă cererea persoanei vizate.

30.

Având în vedere cele menționate anterior, propunem Curții să răspundă la prima întrebare preliminară în sensul că articolul 12 alineatul (5) și articolul 15 alineatul (3) din RGPD ar trebui interpretate în sensul că impun unui operator de date să furnizeze persoanei vizate o copie a datelor sale cu caracter personal, chiar și în cazul în care persoana vizată nu solicită copia în scopurile menționate în considerentul (63) al RGPD, ci într‑un alt scop, care nu are legătură cu protecția datelor.

31.

Prin intermediul celei de a doua întrebări, instanța de trimitere solicită Curții în esență să stabilească dacă articolul 23 alineatul (1) din RGPD permite ca o reglementare națională, adoptată înainte de intrarea în vigoare a RGPD, să restricționeze dreptul persoanelor vizate de a primi cu titlu gratuit o copie a datelor cu caracter personal prelucrate de operator, impunând persoanelor vizate să acopere costurile suportate de operator în această privință.

32.

De la bun început, trebuie subliniat că nu există nicio îndoială că, potrivit normelor RGPD, persoanele vizate au, în principiu, dreptul să primească de la operator, cu titlu gratuit, o primă copie a datelor lor prelucrate. Acest lucru rezultă în mod expres din articolul 12 alineatul (5) din RGPD, care prevede că informațiile furnizate în temeiul, printre altele, al articolului 15 din acesta „sunt oferite gratuit” și că numai pentru cererile „în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv”, operatorul poate „să perceapă o taxă rezonabilă ținând cont de costurile administrative pentru furnizarea informațiilor sau a comunicării sau pentru luarea măsurilor solicitate”.

33.

Acest lucru rezultă de asemenea, chiar dacă implicit, din articolul 15 alineatul (3) din RGPD, potrivit căruia „pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative” ( 21 ). Aceasta înseamnă, în mod evident, că nu se poate percepe o taxă pentru prima copie solicitată de persoana vizată.

34.

Cu toate acestea, potrivit articolului 23 alineatul (1) din RGPD, dreptul Uniunii sau dreptul intern „poate restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 […] atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura” unul dintre obiectivele enumerate la acest articol. Unul dintre aceste obiective îl reprezintă, potrivit literei (e), sănătatea publică, iar un altul îl reprezintă, potrivit literei (i), „protecția […] drepturilor și libertăților altora”.

35.

După ce am subliniat acest aspect, vom aborda în continuare aspectele esențiale ridicate de prezenta întrebare, care, în opinia noastră, necesită un răspuns afirmativ.

36.

În primul rând, este cert că dreptul de acces al persoanelor vizate la datele lor cu caracter personal, prevăzut la articolul 15 din RGPD, face parte dintre drepturile care intră în domeniul de aplicare al articolului 23 alineatul (1) din RGPD și, în consecință, al căror domeniu de aplicare poate fi restrâns prin intermediul unei măsuri legislative a Uniunii sau a unui stat membru ( 22 ).

37.

În al doilea rând, în cazul în care statele membre pot, în general, să restricționeze domeniul de aplicare al dreptului de acces, de exemplu prin excluderea acestuia în anumite situații sau în ceea ce privește anumite date, ar trebui să li se permită – în conformitate cu maxima a maiore ad minus ( 23 ) – să introducă o restricție destul de limitată în ceea ce privește exercitarea acestuia. Astfel, este restricționată o singură formă de acces (dreptul de a obține o copie a datelor) și numai prin condiționarea accesului de plata de către persoanele vizate a costurilor suportate de operatori.

38.

În al treilea rând, o restricție precum cea în cauză, prevăzută în mod expres de un cod civil sau de un instrument juridic echivalent, este prevăzută „printr‑o măsură legislativă”, astfel cum prevede articolul 23 alineatul (1) din RGPD. Această condiție corespunde celei prevăzute la articolul 52 alineatul (1) din cartă, potrivit căruia restrângerile drepturilor fundamentale trebuie să fie „prevăzut[e] de lege”.

39.

În acest context, adăugăm că împrejurarea că reglementarea națională în discuție este anterioară intrării în vigoare a RGPD este, în opinia noastră, în mod clar lipsită de relevanță pentru a stabili dacă această reglementare îndeplinește condițiile prevăzute la articolul 23 alineatul (1) din RGPD. Astfel cum a arătat Comisia, nici această dispoziție, nici, de altfel, vreo altă dispoziție a RGPD nu impune ca măsurile restrictive ale Uniunii sau ale statelor membre să fie incluse în instrumente legislative ad‑hoc, a fortiori în instrumente adoptate după intrarea în vigoare a RGPD. Prin urmare, statelor membre li se permite atât să mențină, cât și să introducă restricții care respectă cerințele prevăzute la articolul 23 alineatul (1) din RGPD. O comparație între diferitele versiuni lingvistice ale acestei dispoziții confirmă această opinie ( 24 ).

40.

În al patrulea rând, având în vedere caracterul relativ inofensiv al restricției în cauză, menționată la punctul 37 de mai sus, considerăm că o reglementare națională precum cea în discuție nu afectează în mod clar „substanța” acestui drept [o altă cerință prevăzută atât la articolul 23 alineatul (1) din RGPD, cât și la articolul 52 alineatul (1) din cartă]. Această reglementare nu privează persoanele fizice de nucleus durus al dreptului lor la protecția datelor. Printre altele este chiar dificil de imaginat situații – dintre cele care intră sub incidența reglementării naționale în discuție – în care cuantumul acestor costuri ar fi atât de semnificativ încât obligația persoanelor vizate de a le suporta ar echivala, în practică, cu refuzul accesului.

41.

În al cincilea rând, considerăm că o reglementare națională precum cea în discuție urmărește obiective care sunt admisibile în temeiul articolului 23 alineatul (1) din RGPD și, în sens mai larg, legitime în temeiul dreptului Uniunii.

42.

Sub rezerva verificării de către instanța de trimitere, înțelegem că reglementarea națională relevantă urmărește să descurajeze cererile inutile sau neîntemeiate de copii pe de o parte, pentru a proteja interesele economice ale medicilor, care sunt adesea constituiți sub forma unei întreprinderi individuale sau lucrează în echipe mici, și, procedând astfel, pe de altă parte, pentru a se asigura că, în exercitarea activităților lor profesionale, medicii își petrec timpul (în cea mai mare parte) în scopul îndeplinirii principalelor lor atribuții medicale în loc să îndeplinească sarcini administrative care pot fi evitate.

43.

Al doilea obiectiv este legat de scopul de a proteja sănătatea publică. La articolul 23 alineatul (1) litera (e) sunt prevăzute în mod expres restricțiile necesare pentru a proteja „obiective importante de interes public general ale Uniunii sau ale unui stat membru”, precum „sănătatea publică”. Acest lucru este în conformitate cu articolul 35 din cartă, intitulat „Protecția sănătății”, care prevede că „orice persoană are dreptul de acces la asistența medicală preventivă și de a beneficia de îngrijiri medicale în condițiile stabilite de legislațiile și practicile naționale. În definirea și punerea în aplicare a tuturor politicilor și acțiunilor Uniunii se asigură un nivel ridicat de protecție a sănătății umane” ( 25 ).

44.

Primul obiectiv este, desigur, de a proteja un interes (privat) al anumitor persoane fizice – medici care, în speță, acționează în calitate de operatori de date – și este de natură economică. Cu toate acestea, niciunul dintre aceste elemente nu înseamnă că o restricție a dreptului de acces este, în principiu, inacceptabilă.

45.

Într‑adevăr, articolul 23 alineatul (1) litera (i) din RGPD permite restricțiile necesare pentru a proteja „drepturile și libertățile altora”. Este interesant de observat că aceiași termeni se regăsesc și la articolul 15 alineatul (4) și în considerentul (63) al RGPD, care, tocmai în ceea ce privește dreptul de a obține o copie a datelor prelucrate, prevăd că acest drept nu ar trebui să „aducă atingere drepturilor și libertăților altora”.

46.

De la bun început, amintim că articolul 15 alineatul (4), articolul 23 alineatul (1) litera (i) și considerentul (63) al RGPD se referă la „drepturile și libertățile altora” ( 26 ), iar nu – precum alte dispoziții ale regulamentului – la drepturile „terților” ( 27 ). Aceasta înseamnă de asemenea, în mod logic, că restricțiile necesare pentru protejarea anumitor drepturi ale operatorului pot fi acceptabile în temeiul acestei dispoziții ( 28 ).

47.

În continuare, faptul că unul dintre interesele protejate de reglementarea națională în discuție este de natură economică nu exclude, în sine, posibilitatea ca acesta să fie de natură să justifice restricții în temeiul articolului 23 alineatul (1) din RGPD. Considerentul (4) al RGPD este destul de clar în acest sens: „dreptul la protecția datelor cu caracter personal nu este un drept absolut [și trebuie] echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în cartă astfel cum sunt consacrate în tratate, în special […] respectarea libertății de a desfășura o activitate comercială […]” ( 29 ).

48.

În această privință, amintim că titlul II din cartă („Libertățile”) cuprinde diverse drepturi de natură economică: pe lângă libertatea de a desfășura o activitate comercială deja menționată (articolul 16 din cartă), regăsim și „libertatea de alegere a ocupației și dreptul la muncă” (articolul 15), precum și dreptul de proprietate (articolul 17). Drepturile fundamentale de natură economică nu pot fi considerate „copiii unui Dumnezeu mai mic”, în comparație cu alte drepturi (civile, sociale sau politice). Nu este necesar să fim familiarizați cu opera lui Ludwig von Mises ( 30 ) pentru a aprecia că toate aceste drepturi sunt legate în mod inextricabil: exercitarea lor nu poate decât să meargă mână în mână, deoarece eliminarea drepturilor economice ar afecta în mod inevitabil capacitatea persoanelor de a se bucura pe deplin de drepturile lor civile, sociale și politice și viceversa.

49.

În plus, astfel cum subliniază instanța de trimitere, considerentul (13) al RGPD încurajează statele membre să „ia în considerare necesitățile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii în aplicarea [regulamentului]”. Astfel, statelor membre li se permite să ia în considerare caracteristicile specifice ale întreprinderilor de mărime redusă și ale liber- profesioniștilor, astfel cum se întâmplă adesea în cazul medicilor.

50.

În consecință, nu întâmpinăm nicio dificultate în a concluziona că articolul 23 alineatul (1) din RGPD permite nu numai restricțiile care vizează protecția sănătății publice, ci și pe cele destinate să protejeze anumite drepturi economice fundamentale ale persoanelor fizice ( 31 ), inclusiv pe cele ale operatorilor.

51.

În cele din urmă, o reglementare națională care limitează dreptul de acces la datele cu caracter personal este însă admisă în temeiul articolului 23 alineatul (1) din RGPD numai dacă poate fi considerată „o măsură necesară și proporțională” pentru a proteja un interes public dintre cele enumerate la acest articol. Prin urmare, această dispoziție impune – în conformitate cu un principiu bine stabilit – efectuarea unui „test de proporționalitate” a restricției, care necesită o justificare.

52.

Pentru a verifica caracterul proporțional al restricției, trebuie examinate trei cerințe cumulative. Măsura trebuie să fie de natură să asigure realizarea obiectivului urmărit („caracterul adecvat”) și să nu depășească ceea ce este necesar pentru a‑l atinge („necesitatea”). În plus, măsura națională trebuie să fie „proporțională stricto sensu”, ceea ce înseamnă că trebuie să asigure un echilibru just între interesele aflate în joc (interesul urmărit de stat prin măsura în cauză și interesul persoanelor ale căror drepturi sunt afectate în mod negativ) ( 32 ).

53.

În opinia noastră, respectarea principiului proporționalității prin măsuri naționale specifice care derogă de la normele generale ale dreptului Uniunii constituie adesea o apreciere pe care instanțele naționale sunt cele mai în măsură să o efectueze. Cu toate acestea, în vederea sprijinirii instanței de trimitere în soluționarea litigiului pendinte în fața sa, vom prezenta considerațiile de mai jos.

54.

Mai întâi, considerăm că o reglementare națională precum cea în discuție este, în principiu, adecvată pentru a atinge obiectivele urmărite de legiuitorul național, ceea ce înseamnă că pare de natură să contribuie în mod semnificativ la realizarea acestora. Astfel, cerința suportării de către persoanele vizate a costurilor administrative legate de realizarea copiilor solicitate le poate descuraja efectiv să formuleze cereri de acces inutile sau lipsite de importanță. Aceasta înseamnă că este mai puțin probabil ca medicii să fie nevoiți să aloce timp și resurse pentru realizarea unor sarcini administrative care pot fi evitate.

55.

În continuare, aspectul dacă o reglementare națională precum cea în discuție depășește ceea ce este necesar pentru atingerea obiectivelor sale și/sau cel dacă aceasta nu asigură un echilibru just între interesele în cauză sunt chestiuni care, în opinia noastră, nu sunt atât de simple și, prin urmare, vor necesita o evaluare mai aprofundată din partea instanței de trimitere.

56.

În această privință, subliniem din nou ( 33 ) caracterul relativ inofensiv al restricției în cauză. În timp ce articolul 15 din RGPD acordă diferite forme de acces persoanelor vizate, reglementarea națională în discuție limitează numai una dintre aceste forme (dreptul de a obține o copie a datelor) și exclusiv prin condiționarea accesului de plata de către persoanele vizate a costurilor suportate de operatori.

57.

Cu toate acestea, Comisia a exprimat unele îndoieli cu privire la caracterul necesar al reglementării naționale în discuție, subliniind că aceasta se aplică tuturor cererilor de acces la registrele medicale, indiferent de statutul profesional și de tipul de activitate ale medicului în cauză: acesta poate desfășura o activitate independentă, în mod individual sau în cadrul unor cabinete cu mai mulți medici, sau ca angajat, de exemplu în cadrul unui spital public sau al unei mari clinici private.

58.

Trebuie să recunoaștem că anumite argumente prezentate de Comisie au o anumită forță. Desigur, este adevărat că nu toate situațiile vizate de reglementarea națională în discuție sunt pe deplin comparabile în sensul articolului 23 alineatul (1) literele (e) și (i) din RGPD. De exemplu, marile cabinete medicale, spitale și clinici private dispun, în mod normal, de personal și de echipamente specializate pentru a îndeplini toate sarcinile administrative legate de furnizarea de servicii medicale. Astfel, nu este evident că, și în aceste cazuri, o reglementare națională precum cea în discuție are ca efect scutirea medicilor de obligația de a suporta cheltuieli inutile sau de a‑și folosi timpul prețios pentru a efectua sarcini administrative care pot fi evitate.

59.

În plus, spre deosebire de medicii care sunt obligați să aplice tarife stabilite public, medicii care sunt liberi să își stabilească tarifele la nivelul pe care îl consideră adecvat au posibilitatea, în cazul în care consideră oportun, să recupereze costurile suplimentare prin majorarea tarifelor, „împărțind” aceste costuri la nivelul tuturor pacienților lor. În consecință, este posibil ca unii medici să aibă nevoie de un nivel mai ridicat de „protecție legislativă” decât alții.

60.

În schimb, nu suntem siguri că o normă care ar trata în mod diferit medicii și, în consecință, pacienții, în funcție de împrejurarea că medicii, de exemplu, (a) desfășoară activități independente sau au calitatea de angajați, (b) lucrează – pentru a utiliza termenii de la considerentul (13) al RGPD – în cadrul unor „microîntreprinderi și întreprinderi mici și mijlocii” sau în cadrul unor spitale și clinici mari și/sau (c) sunt obligați să respecte tarifele publice sau își pot stabili în mod liber tarifele, ar fi practică sau rezonabilă și echitabilă.

61.

Identificarea criteriilor adecvate pentru a distinge situațiile în care pacienții ar trebui să suporte costurile de cele în care medicii ar trebui să le suporte, pentru a atinge cât mai bine obiectivele stabilite de legiuitorul național, nu constituie o sarcină ușoară. Mai important, orice astfel de diferențiere ar crea o anumită complexitate (și, eventual, o sursă de confuzie) în ceea ce privește situațiile care, în virtutea sumelor de bani implicate, de obicei destul de limitate, sunt probabil mai ușor de reglementat printr‑o normă clară cu aplicare automată.

62.

Astfel cum a statuat Curtea, nu li se poate nega statelor membre posibilitatea de a realiza obiective de interes general prin introducerea unor norme care sunt ușor de aplicat și de controlat de către utilizatori, precum și ușor de gestionat și de supravegheat de către autoritățile competente ( 34 ). În mod mai general, astfel cum am arătat în concluziile noastre recente, nu se poate solicita statelor membre să adopte – din motive de proporționalitate – măsuri alternative a căror fezabilitate sau eficacitate este incertă sau care ar avea ca rezultat o povară (organizațională sau financiară) intolerabilă pentru acesta ( 35 ).

63.

În sfârșit, nu se poate exclude un efect perfid al unei norme cu un domeniu de aplicare mai limitat decât cel al normei în discuție: aceasta ar putea încuraja pacienții să meargă la clinici mai mari (care furnizează gratuit copii ale registrelor medicale), iar nu la cabinete medicale mai mici (unde este necesară efectuarea unei plăți suplimentare pentru aceste copii).

64.

Astfel, echitatea globală sau, cu alte cuvinte, caracterul rezonabil al normelor alternative ar putea fi, de asemenea, puse sub semnul întrebării. Dacă este evaluată din perspectiva medicilor, o normă personalizată care protejează numai medicii independenți și micile cabinete de asemenea costuri poate părea rezonabilă: aceasta îi protejează pe profesioniștii „aflați în poziția cea mai vulnerabilă”. Cu toate acestea, dacă este evaluată din perspectiva pacienților, aceeași măsură poate fi percepută diferit. Într‑adevăr, pacienții care apelează la marile spitale și clinici pentru servicii medicale, în special cele la care medicii sunt liberi să își stabilească tarifele la nivelul pe care îl consideră adecvat, ar fi cei care beneficiază de normă. Acest lucru ar fi valabil în pofida faptului că (i) acești pacienți pot fi adesea mai bogați decât cei care apelează la medici independenți de la nivel local, și (ii) costurile suportate pentru obținerea de copii ale registrelor medicale pot constitui o parte foarte mică (posibil neglijabilă) a costurilor totale suportate de aceștia în legătură cu serviciile medicale, în opoziție cu pacienții care solicită servicii medicale în cadrul sistemului național de sănătate (în general gratuit sau în schimbul unor taxe nominale). Astfel, s‑ar putea argumenta că protecția „profesioniștilor aflați în poziția cea mai vulnerabilă” ar fi în detrimentul „consumatorilor aflați în poziția cea mai vulnerabilă”.

65.

Având în vedere cele de mai sus, spre deosebire de Comisie, nu suntem convinși că abordarea universală aleasă de legiuitorul german depășește ceea ce este necesar pentru atingerea obiectivelor urmărite de reglementarea națională în discuție. Nu am putut identifica nicio măsură alternativă care să fie mai puțin restrictivă în ceea ce privește dreptul la protecția datelor persoanelor fizice, fiind în același timp la fel de eficientă în a proteja interesele pe care reglementarea națională în discuție urmărește să le protejeze.

66.

De asemenea, nu regăsim niciun element care să sugereze că legiuitorul german nu a reușit să găsească un echilibru corect între diferitele interese aflate în joc.

67.

Desigur, s‑ar putea susține că legiuitorul Uniunii a realizat echilibrul dintre diferitele interese aflate în joc în ceea ce privește furnizarea de copii ale datelor cu caracter personal: operatorul de date trebuie să furnizeze prima copie în mod gratuit și poate solicita plata unei taxe numai pentru copii solicitate în mod excesiv și/sau suplimentare. Cu toate acestea, formularea largă a articolului 23 alineatul (1) și a considerentului (13) al RGPD nu permite o astfel de interpretare restrictivă. Nici considerentul (63), care se referă în mod specific la dreptul de acces al persoanelor vizate la datele privind „sănătatea lor”, nu cuprinde nicio referire specifică în această privință.

68.

Mai important, nu poate fi trecut cu vederea faptul că, în domeniul protecției și ameliorării sănătății umane, Uniunea Europeană are doar o competență de sprijin ( 36 ). Curtea a afirmat în mod constant că revine statelor membre sarcina de a decide cu privire la nivelul la care înțeleg să asigure protecția sănătății publice, precum și cu privire la modul în care acest nivel trebuie atins. Întrucât acesta poate varia de la un stat membru la altul, este necesar să se recunoască statelor membre o marjă de apreciere ( 37 ).

69.

După ce a pus în balanță diferitele interese aflate în joc, legiuitorul german a decis că, în ceea ce privește cererile de copii ale registrului medical adresate medicilor de către pacienți, existau motive să se considere că respectivele costuri efectuate trebuiau suportate de persoanele vizate, iar nu de operatori. Considerăm că este vorba despre o decizie politică care, nefiind vădit irațională sau neplauzibilă, se încadrează în marja de apreciere a statului membru în cauză. În orice caz, controlul acestei opțiuni este o sarcină care revine instanței de trimitere, iar nu Curții.

70.

Acestea fiind spuse, există cu siguranță un element pe care, în opinia noastră, instanța de trimitere trebuie să îl verifice. În situații precum cele vizate de reglementarea națională în cauză, este imperativ, în opinia noastră, ca costurile a căror rambursare poate fi solicitată de medici pacienților să fie strict limitate la costurile reale de realizare și de punere la dispoziție a copiilor solicitate. Acest lucru înseamnă că sunt recuperabile doar costurile cu materialele (precum hârtia, tonerul imprimantelor sau al copiatoarelor și/sau stick‑urile de memorie USB, etc.) și cu mâna de lucru necesară în acest scop. În opinia noastră, aceste costuri nu pot include vreun profit al profesioniștilor ( 38 ). Având în vedere stadiul actual al digitalizării documentelor și arhivelor, am fi surprinși (și, prin urmare, suspicioși) dacă suma percepută în mod normal de medici în acest scop ar depăși câțiva euro.

71.

Având în vedere cele de mai sus, propunem Curții să răspundă la a doua întrebare preliminară în sensul că articolul 23 alineatul (1) din RGPD permite o reglementare națională care impune pacienților care solicită copii ale datelor lor cu caracter personal cuprinse în registrele medicale să ramburseze medicilor costurile suportate, cu condiția ca limitarea dreptului de acces să fie, având în vedere toate împrejurările relevante, necesară și proporțională cu obiectivele de protecție a sănătății publice și a libertății medicilor de a desfășura o activitate comercială. În special, revine instanței naționale sarcina de a verifica dacă costurile pentru care medicii pot solicita rambursarea de la pacienți sunt strict limitate la costurile reale suportate în această privință.

72.

În sfârșit, prin intermediul celei de a treia întrebări, instanța de trimitere solicită Curții să stabilească dacă, în contextul relației medic‑pacient, sintagma „copie a datelor cu caracter personal care fac obiectul prelucrării” care figurează la articolul 15 alineatul (3) prima teză din RGPD trebuie interpretată în sensul că conferă persoanei vizate un drept general de a obține o copie integrală a documentelor incluse în registrul său medical.

73.

Problema principală ridicată de prezenta întrebare a fost abordată – în opinia noastră în mod convingător – de domnul avocat general Pitruzzella în Concluziile sale recente prezentate în cauza F.F. ( 39 ).

74.

În această cauză, instanța de trimitere a solicitat Curții clarificări cu privire la domeniul de aplicare al dreptului de acces conferit persoanelor vizate prin articolul 15 din RGPD. Pentru a răspunde la această întrebare, domnul avocat general Pitruzzella a abordat printre altele noțiunea de „copie” în sensul articolului 15 alineatele (3) și (4) din RGPD. În urma unei interpretări literale, contextuale și teleologice a dispoziției, el a ajuns la concluziile enunțate în continuare, care sunt relevante în speță.

75.

În primul rând, noțiunea de „copie”, prevăzută la articolul 15 alineatele (3) și (4) din RGPD, trebuie înțeleasă ca fiind „o reproducere fidelă, într‑o formă inteligibilă, a datelor cu caracter personal solicitate de persoana vizată, într‑un format fizic și permanent, care permite persoanei vizate să își exercite în mod efectiv dreptul de acces la datele sale cu caracter personal, cunoscând pe deplin toate datele sale cu caracter personal care fac obiectul prelucrării”. El a adăugat că „forma exactă a copiei se stabilește în funcție de particularitățile fiecărui caz și în special de tipul de date cu caracter personal la care se solicită accesul și de nevoile persoanei vizate” ( 40 ).

76.

În al doilea rând, articolul 15 alineatul (3) din RGPD „nu conferă persoanei vizate un drept general de a obține o copie parțială sau integrală a documentului care conține datele cu caracter personal ale persoanei vizate sau, în cazul în care datele cu caracter personal sunt prelucrate într‑o bază de date, un extras din baza de date respectivă”. În aceste condiții, el a precizat de asemenea că „această dispoziție nu exclude […] posibilitatea ca părți din documente, documente integrale sau extrase din bazele de date să trebuiască să fie furnizate persoanei vizate în cazul în care acest lucru este necesar pentru a asigura inteligibilitatea deplină a datelor cu caracter personal prelucrate în privința cărora se solicită accesul” ( 41 ).

77.

Din motive de economie procedurală, nu reproducem în prezentele concluzii motivele care l‑au determinat să adopte această poziție. Este suficient să se constate că împărtășim pe deplin punctul său de vedere în această privință. În definitiv, RGPD nu este un act legislativ privind accesul la documente, ci privind protecția datelor. În consecință, obiectivul său principal îl reprezintă asigurarea accesului la date, iar nu la documentele care conțin date. Deși, în anumite cazuri, cel din urmă îl poate implica în mod necesar pe cel dintâi, nu se întâmplă întotdeauna așa.

78.

Acestea fiind spuse, considerăm că, în conformitate cu principiul transparenței ( 42 ) și cu cerința ca informațiile să fie furnizate într‑o „formă concisă, transparentă, inteligibilă și ușor accesibilă” ( 43 ), este posibil ca, în ceea ce privește documentele cuprinse în registrele medicale, dreptul de a obține o copie a datelor prelucrate să necesite adesea un drept de a primi o copie (parțială sau integrală) a documentelor originale. În special în ceea ce privește rezultatele analizelor sau ale testelor (care includ, de regulă, numeroase date tehnice și/sau imagini), considerăm că a permite medicilor (sau personalului acestora) să rezume sau să compileze aceste date, pentru a le furniza într‑o formă compactă, poate crea riscul ca anumite date relevante să fie omise ( 44 ) sau raportate incorect ( 45 ) ori, în orice caz, să îngreuneze verificarea exactității și a exhaustivității acestora de către persoanele vizate (și anume pacienții).

79.

Acesta este, probabil, motivul pentru care, astfel cum s‑a menționat deja, considerentul (63) al RGPD prevede în mod expres că dreptul de acces la datele cu caracter personal „include dreptul persoanelor vizate de a avea acces la datele lor privind sănătatea, de exemplu datele din registrele lor medicale conținând informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată”.

80.

Astfel, se pare că însuși legiuitorul Uniunii a subliniat importanța ca accesul persoanelor fizice la datele cu caracter personal privind sănătatea lor să vizeze informații care să fie nu doar inteligibile, ci și cât mai complete și mai exacte posibil. În același timp, este clar că registrele medicale pot conține o varietate de documente care nu includ date cu caracter personal ale pacienților (de exemplu, articole științifice privind patologiile sau tratamentele medicale). În mod evident, pacienții nu au niciun drept de acces la informațiile cuprinse în aceste articole și, prin urmare, niciun drept de a obține o copie a acestora în temeiul RGPD.

81.

În această privință, observăm că reglementarea națională în discuție – a cărei modificare este, din câte înțelegem, avută în vedere de autoritățile naționale competente ( 46 ) – poate acorda pacienților un drept de acces la registrul medical și în special de a obține copii ale documentelor incluse în acesta, cu depășirea limitelor dreptului recunoscut în cadrul RGPD.

82.

Nu vedem niciun motiv pentru care acest lucru nu ar fi posibil în temeiul dreptului Uniunii, întrucât ar intra într‑un domeniu juridic care nu este reglementat la nivelul Uniunii. De asemenea, din câte putem constata, nu există probleme evidente de conflict cu normele RGPD. Cu toate acestea, nu este nevoie să subliniem că un drept de acces la registrul medical care depășește dreptul recunoscut de RGPD ar fi, în această măsură, reglementat numai de dreptul național. Aceasta înseamnă că domeniul de aplicare al acestui drept (de exemplu, tipul de documente în cauză) și modul în care trebuie furnizat accesul (de exemplu, gratuit sau în schimbul rambursării costurilor suportate) trebuie stabilite de legiuitorul național.

83.

În consecință, propunem Curții să răspundă la a treia întrebare în sensul că, în contextul relației medic‑pacient, sintagma „copie a datelor cu caracter personal care fac obiectul prelucrării” care figurează la articolul 15 alineatul (3) din RGPD nu poate fi interpretată în sensul că conferă persoanei vizate un drept general de a obține o copie integrală a documentelor incluse în registrul său medical. Acest lucru nu exclude posibilitatea ca operatorul să trebuiască să furnizeze persoanelor vizate o copie parțială sau integrală a anumitor documente. Aceasta este situația atunci când o copie a documentului este necesară pentru a se asigura că datele furnizate sunt inteligibile și că persoana vizată este în măsură să verifice dacă datele furnizate sunt complete și exacte.

84.

În concluzie, propunem Curții să răspundă la întrebările preliminare adresate de Bundesgerichtshof (Curtea Federală de Justiție, Germania) după cum urmează: