Cauza C‑307/22

împotriva

(cerere de decizie preliminară formulată de Bundesgerichtshof)

Hotărârea Curții (Camera întâi) din 26 octombrie 2023

„Trimitere preliminară – Prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolele 12, 15 și 23 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Dreptul de a obține gratuit o primă copie a acestor date – Prelucrare a datelor unui pacient de către medicul său – Registru medical – Motivele cererii de acces – Utilizarea datelor în scopul angajării răspunderii practicianului – Noțiunea de «copie»”

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Dreptul de a obține gratuit o primă copie a datelor sale – Obligația operatorului de a furniza o astfel de copie – Obligația persoanei vizate de a‑și motiva cererea de acces la date, care decurge din preambulul regulamentului – Inexistență

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (63) și art. 12 alin. (5) și art. 15 alin. (1) și (3)]

(a se vedea punctele 35-38, 43, 46 și 50-52 și dispozitiv 1)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Posibilitatea statelor membre de a adopta o legislație care să limiteze întinderea anumitor drepturi și obligații prevăzute de regulament – Legislație națională adoptată înainte sau după intrarea în vigoare a regulamentului – Lipsă de relevanță

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 23 alin. (1)]

(a se vedea punctele 54-56 și 69 și dispozitiv 2)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Dreptul de a obține gratuit o primă copie a datelor sale – Restrângeri – Condiții – Protecția drepturilor și libertăților altora – Posibilitatea unui stat membru de a adopta o legislație națională care să urmărească protejarea intereselor economice ale operatorului și care să pună în sarcina persoanei vizate cheltuielile pentru prima copie a datelor sale – Inexistență

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 23 alin. (1) lit. (i)]

(a se vedea punctele 62, 64, 65 și 67-69 și dispozitiv 2)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Furnizarea unei copii a datelor – Noțiunea de copie – Predare a unei reproduceri fidele și inteligibile a acestor date persoanei vizate – Copie a unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele menționate – Includere – Condiție

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (58) și art. 12 alin. (1) și art. 15 alin. (1) și alin. (3) prima teză]

(a se vedea punctele 71-75)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Furnizarea unei copii a datelor – Noțiunea de copie – Remitere către persoana vizată a unei reproduceri fidele și inteligibile a tuturor datelor din registrul său medical – Copie integrală a documentelor care figurează în registrul medical – Includere – Condiție

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (63) și art. 15 alin. (3) prima teză]

(a se vedea punctele 76-79 și dispozitiv 3)

Rezumat

DW i-a solicitat lui FT, medicul său stomatolog, să îi remită, cu titlu gratuit, o primă copie a registrului său medical. El a formulat această cerere în vederea tragerii la răspundere a lui FT pentru erorile pe care le‑ar fi săvârșit în momentul în care i‑a aplicat tratamentul stomatologic.

FT a refuzat să îi furnizeze lui DW o astfel de copie întemeindu‑se pe dreptul german potrivit căruia pacientul poate obține o copie a registrului său medical cu condiția de a‑i rambursa practicianului cheltuielile aferente ( 1 ), refuz în urma căruia DW a formulat o acțiune. Atât instanța de prim grad de jurisdicție, cât și cea de apel au admis cererea formulată de DW de a i se remite, cu titlu gratuit, o primă copie a registrului său medical.

Sesizată de FT cu recurs, Bundesgerichtshof (Curtea Federală de Justiție, Germania) a solicitat Curții să se pronunțe cu privire la interpretarea dispozițiilor RGPD care privesc modalitățile de exercitare a dreptului de acces al persoanei vizate la datele sale, precum și limitările întinderii acestui drept ( 2 ).

Prin hotărârea sa, Curtea constată mai întâi că operatorul are obligația de a furniza cu titlu gratuit, la cererea persoanei vizate, o primă copie a datelor sale cu caracter personal în alte scopuri decât cele de informare cu privire la prelucrarea acestor date și de verificare a legalității acesteia, menționate explicit în preambulul RGPD. Curtea se pronunță apoi cu privire la limitele posibilității statelor membre de a restrânge, pentru interesele economice ale operatorului, dreptul de a obține o copie a datelor prin faptul că obligă persoana vizată la plata cheltuielilor suportate de operator în acest scop. În final, Curtea examinează necesitatea de a i se furniza persoanei vizate, în anumite cazuri, o copie integrală a datelor din registrul său medical.

Aprecierea Curții

În primul rând, referitor la problema dacă operatorul are obligația de a‑i furniza cu titlu gratuit persoanei vizate, și în alte scopuri decât cele menționate în mod explicit în preambulul RGPD, o primă copie a datelor sale, Curtea amintește că articolul 15 alineatul (3) prima teză din acest regulament conferă persoanei vizate dreptul de a obține o reproducere fidelă a datelor sale cu caracter personal, înțelese într‑o accepțiune largă, care fac obiectul unor operațiuni ce trebuie calificate drept „prelucrare efectuată de operatorul acestei prelucrări” ( 3 ). Rezultă în plus din coroborarea dispozițiilor relevante din RGPD ( 4 ), pe de o parte, că persoana vizată are dreptul de a obține o primă copie cu titlu gratuit a datelor sale cu caracter personal care fac obiectul unei prelucrări și, pe de altă parte, că operatorul are, în anumite condiții, posibilitatea de a percepe o taxă rezonabilă ținând cont de costurile administrative sau de a refuza să dea curs unei cereri în cazul în care aceasta din urmă este în mod vădit nefondată sau excesivă.

Totuși, niciuna dintre aceste dispoziții nu condiționează însă furnizarea, cu titlu gratuit, a unei prime copii a datelor cu caracter personal de invocarea de către persoana în cauză a unui motiv care să justifice cererea sa. Prin urmare, motivele pentru formularea cererilor, care figurează în mod explicit în preambulul RGPD ( 5 ), nu pot restrânge domeniul de aplicare al dispozițiilor menționate. Astfel, prin refuzul accesului sau prin impunerea obligației de a plăti o contraprestație, nu se poate limita dreptul de acces la datele privind sănătatea ( 6 ) doar la cazurile în care există unul dintre aceste motive, lucru valabil și în ceea ce privește dreptul de a obține o primă copie cu titlu gratuit.

În plus, principiul gratuității primei copii a datelor, precum și lipsa necesității de a invoca un motiv specific care să justifice cererea de acces contribuie în mod obligatoriu la facilitarea exercitării de către persoana vizată a drepturilor care îi sunt conferite de RGPD. În consecință, dată fiind importanța pe care acest regulament o atribuie dreptului de acces la datele cu caracter personal pentru atingerea obiectivelor urmărite de acesta, exercitarea acestui drept nu poate fi supusă unor condiții care nu au fost indicate expres de legiuitorul Uniunii.

În al doilea rând, Curtea statuează că un stat membru nu are dreptul să adopte o legislație națională care, pentru a proteja interesele economice ale operatorului, pune în sarcina persoanei vizate cheltuielile pentru o primă copie a datelor sale cu caracter personal.

Desigur, potrivit RGPD, dreptul persoanei vizate de a obține cu titlu gratuit o primă copie a datelor sale cu caracter personal nu este unul absolut, iar în anumite condiții, protecția drepturilor și libertăților altora ar putea justifica o limitare a acestui drept ( 7 ). În speță însă, atât timp cât legislația națională are ca obiectiv protejarea intereselor economice ale practicienilor prin împiedicarea formulării de cereri inutile de furnizare de copii, astfel de considerații nu pot intra sub incidența unor astfel de drepturi și libertăți ale altora.

Astfel, această legislație conduce la descurajarea nu numai a formulării de cereri care ar fi inutile, dar și a formulării de cereri care vizează obținerea, pentru un motiv legitim, a unei prime copii, cu titlu gratuit, a datelor cu caracter personal prelucrate. În consecință, ea încalcă în mod necesar principiul gratuității primei copii și, din acest motiv, pune sub semnul întrebării efectul util al dreptului de acces al persoanei vizate la datele sale, prevăzut de RGPD, și implicit protecția garantată de regulament.

Pe de altă parte, Curtea subliniază că interesele economice ale operatorilor au fost luate în considerare în conformitate cu RGPD, care definește împrejurările în care operatorul poate solicita plata cheltuielilor aferente furnizării unei copii a datelor cu caracter personal.

În al treilea și ultimul rând, Curtea consideră că, în relațiile medic/pacient, dreptul de a obține o copie a datelor cu caracter personal presupune remiterea către persoana vizată a unei reproduceri fidele și inteligibile a tuturor acestor date. Acest drept îl implică pe cel de a obține copia integrală a documentelor care figurează în registrul său medical, dacă acest lucru este necesar pentru a permite acestei persoane să verifice exactitatea și exhaustivitatea datelor sale, precum și pentru a garanta caracterul inteligibil al acestora.

În această privință, Curtea subliniază că RGPD specifică, referitor la datele cu caracter personal privind sănătatea, că dreptul de acces al persoanelor vizate include „datele din registrele lor medicale conținând informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată” ( 8 ). Din cauza caracterului sensibil al acestor date, legiuitorul Uniunii a evidențiat importanța ca accesul persoanelor fizice la propriile date din registrul lor medical să se efectueze într‑un mod cât mai complet și mai precis posibil, dar și ușor de înțeles.

Or, în ceea ce privește rezultatele examinărilor, ale avizelor medicilor curanți și ale tratamentelor sau ale intervențiilor administrate unui pacient, care cuprind, în general, numeroase date tehnice sau chiar imagini, furnizarea unui simplu rezumat sau a unei compilații a acestor date de către medic pentru a le prezenta într‑o formă sintetică ar putea crea riscul ca anumite date relevante să fie omise sau reproduse incorect ori, în orice caz, ca verificarea exactității și a exhaustivității lor, precum și înțelegerea lor de către pacient să devină mai dificile.

( 1 ) Articolul 630g alineatul 2 a doua teză din Bürgerliches Gesetzbuch (Codul civil german).

( 2 ) Mai concret, a articolului 12 alineatul (5), a articolului 15 alineatele (1) și (3) și a articolului 23 alineatul (1) litera (i) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, și rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).

( 3 ) Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF (C‑487/21, EU:C:2023:369, punctul 28).

( 4 ) Articolul 12 alineatul (5) și articolul 15 alineatele (1) și (3) din RGPD.

( 5 ) Prima teză a considerentului (63) al RGPD prevede că „[o] persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia”.

( 6 ) Garantat de articolul 15 alineatul (1) din RGPD.

( 7 ) În temeiul articolului 23 alineatul (1) litera (i) din RGPD.

( 8 ) Considerentul (63) al RGPD.