–

lotyšská vláda, v zastúpení: K. Pommere, splnomocnená zástupkyňa,

–

Európska komisia, v zastúpení: A. Bouchagiar, F. Erlbacher a H. Kranenborg, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 12 ods. 5, článku 15 ods. 3 a článku 23 ods. 1 písm. i) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi FT a DW vo veci odmietnutia FT, ktorý je stomatológom, bezplatne poskytnúť svojmu pacientovi prvú kópiu jeho lekárskeho záznamu.

3

Podľa odôvodnenia 4 GDPR:

„… Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v [Charte základných práv Európskej únie], ako sú zakotvené v zmluvách, najmä… slobodu podnikania…“

4

Odôvodnenia 10 a 11 GDPR stanovujú:

5

Podľa odôvodnenia 13 GDPR:

„… Okrem toho sa inštitúcie a orgány Únie a členské štáty a ich dozorné orgány nabádajú k tomu, aby pri uplatňovaní tohto nariadenia zohľadňovali osobitné potreby mikropodnikov a malých a stredných podnikov…“

6

Odôvodnenie 58 GDPR spresňuje:

„Zásada transparentnosti si vyžaduje, aby všetky informácie určené verejnosti alebo dotknutej osobe boli stručné, ľahko prístupné a ľahko pochopiteľné, formulované jasne a jednoducho, a navyše ak je to vhodné, ľahko zrakovo vnímateľné. Takéto informácie by sa mohli poskytnúť v elektronickej podobe, napríklad pri oslovení verejnosti prostredníctvom webového sídla. Týka sa to najmä situácií, ako je napríklad online reklama, v ktorých veľký počet účastníkov a technologická zložitosť činnosti sťažujú dotknutej osobe zistiť a pochopiť, či osobné údaje, ktoré sa jej týkajú, boli získané, kým a na aké účely. Keďže deťom prislúcha osobitná ochrana, všetky informácie a každá komunikácia, pri ktorej sa spracúvanie zameriava na dieťa, by mali byť formulované jasne a jednoducho, aby ich dieťa mohlo ľahko pochopiť.“

7

Ako sa uvádza v odôvodnení 59 GDPR:

„Mali by sa stanoviť postupy, ktoré by dotknutej osobe uľahčili uplatnenie jej práv podľa tohto nariadenia a ktoré by zahŕňali mechanizmy na vyžiadanie si a prípadné získanie bezplatného prístupu k osobným údajom a ich bezplatnú opravu alebo vymazanie, a na uplatnenie práva namietať…“

8

Odôvodnenie 63 nariadenia GDPR znie takto:

„Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. K tomu patrí aj právo dotknutých osôb na prístup k údajom týkajúcim sa ich zdravia, napríklad k údajom v ich lekárskych záznamoch obsahujúcich informácie ako diagnóza, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo uskutočnené zákroky…“

9

Článok 4 GDPR stanovuje:

„Na účely tohto nariadenia:

1.   ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;

2.   ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

…“

10

Článok 12 GDPR stanovuje:

„1.   Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho, a to najmä v prípade informácií určených osobitne dieťaťu. Informácie sa poskytujú písomne alebo inými prostriedkami, vrátane v prípade potreby elektronickými prostriedkami. Ak o to požiadala dotknutá osoba, informácie sa môžu poskytnúť ústne za predpokladu, že sa preukázala totožnosť dotknutej osoby iným spôsobom.

2.   Prevádzkovateľ uľahčuje výkon práv dotknutej osoby podľa článkov 15 až 22…

…

5.   Informácie poskytnuté podľa článkov 13 a 14 a všetky oznámenia a všetky opatrenia prijaté podľa článkov 15 až 22 a článku 34 sa poskytujú bezplatne. Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, prevádzkovateľ môže buď:

Prevádzkovateľ znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti.

…“

11

Článok 15 GDPR stanovuje:

„1.   Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:

2.   Ak sa osobné údaje prenášajú do tretej krajiny alebo medzinárodnej organizácii, dotknutá osoba má právo byť informovaná o primeraných zárukách podľa článku 46 týkajúcich sa prenosu.

3.   Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú. Za akékoľvek ďalšie kópie, o ktoré dotknutá osoba požiada, môže prevádzkovateľ účtovať primeraný poplatok zodpovedajúci administratívnym nákladom. Ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej podobe, pokiaľ dotknutá osoba nepožiadala o iný spôsob.

4.   Právo získať kópiu uvedenú v odseku 3 nesmie mať nepriaznivé dôsledky na práva a slobody iných.“

12

Články 16 a 17 uvedeného nariadenia zakotvujú právo dotknutej osoby na opravu nesprávnych osobných údajov (právo na opravu), ako aj za určitých okolností právo na výmaz týchto údajov (právo na vymazanie alebo „právo na zabudnutie“).

13

Článok 18 toho istého nariadenia, nazvaný „Právo na obmedzenie spracúvania“, v odseku 1 stanovuje:

„Dotknutá osoba má právo na to, aby prevádzkovateľ obmedzil spracúvanie, pokiaľ ide o jeden z týchto prípadov:

14

Článok 21 GDPR, nazvaný „Právo namietať“, v odseku 1 stanovuje:

„Dotknutá osoba má právo kedykoľvek namietať z dôvodov týkajúcich sa jej konkrétnej situácie proti spracúvaniu osobných údajov, ktoré sa jej týka, ktoré je vykonávané na základe článku 6 ods. 1 písm. e) alebo f) vrátane namietania proti profilovaniu založenému na uvedených ustanoveniach. Prevádzkovateľ nesmie ďalej spracúvať osobné údaje, pokiaľ nepreukáže nevyhnutné oprávnené dôvody na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami dotknutej osoby, alebo dôvody na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov.“

15

Podľa článku 23 ods. 1 GDPR:

„V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:

…

…“

16

Podľa § 630f Bürgerliches Gesetzbuch (Občiansky zákonník, ďalej len „BGB“) je na účely dokumentácie ošetrujúca osoba povinná v listinnej alebo elektronickej podobe viesť lekársky záznam pacienta v priamej časovej súvislosti s ošetrovaním. Ošetrujúca osoba je povinná zaznamenať do lekárskeho záznamu pacienta všetky opatrenia, ktoré sú z lekárskeho hľadiska podstatné pre súčasné a budúce ošetrenie, ako aj ich výsledky, najmä anamnézu, diagnózy, vyšetrenia, výsledky vyšetrení, nálezy, terapie a ich účinky, zásahy a ich účinky, súhlasy a poučenia. Ošetrujúca osoba musí uchovávať záznamy pacienta 10 rokov po ukončení ošetrenia, pokiaľ iné predpisy neukladajú iné doby uchovávania.

17

Podľa § 630g ods. 1 prvej vety BGB sa pacientovi na jeho žiadosť bez zbytočného odkladu umožní prístup ku kompletnému lekárskemu záznamu, ktorý sa ho týka, pokiaľ nahliadnutiu nebránia závažné terapeutické dôvody alebo iné významné práva tretích osôb. Podľa § 630g ods. 2 prvej vety BGB môže pacient požiadať aj o elektronické kópie lekárskeho záznamu. Vzhľadom na dôvodovú správu k zákonu to treba chápať v tom zmysle, že pacient môže požiadať o vyhotovenie fyzických alebo elektronických kópií. Ustanovenie § 630g ods. 2 druhá veta BGB stanovuje, že pacient je povinný nahradiť ošetrujúcej osobe náklady, ktoré jej vznikli.

18

DW sa podrobil stomatologickému ošetreniu u FT. Keďže DW mal podozrenie, že počas ošetrenia, ktoré mu bolo poskytnuté, došlo k pochybeniu, požiadal FT, aby mu bezplatne poskytla prvú kópiu jeho lekárskeho záznamu. FT oznámila DW, že na jeho žiadosť odpovie kladne len pod podmienkou, že uhradí poplatky spojené s poskytnutím kópie lekárskeho záznamu, ako to stanovuje vnútroštátne právo.

19

DW podal žalobu proti FT. V prvostupňovom konaní, ako aj v odvolacom konaní sa vyhovelo žiadosti DW o bezplatné poskytnutie prvej kópie jeho lekárskeho záznamu. Tieto rozhodnutia vychádzali z výkladu uplatniteľnej vnútroštátnej právnej úpravy v spojení s článkom 12 ods. 5, ako aj článkom 15 ods. 1 a 3 GDPR.

20

Bundesgerichtshof (Spolkový súdny dvor, Nemecko), na ktorý FT podala opravný prostriedok „Revision“, zastáva názor, že vyriešenie sporu závisí od výkladu ustanovení GDPR.

21

Vnútroštátny súd uvádza, že podľa vnútroštátneho práva môže pacient získať kópiu svojho lekárskeho záznamu pod podmienkou, že ošetrujúcej osobe uhradí poplatky, ktoré z toho vyplývajú.

22

Z článku 15 ods. 3 prvej vety v spojení s článkom 12 ods. 5 prvou vetou GDPR by však mohlo vyplývať, že prevádzkovateľ, v tomto prípade ošetrujúca osoba, je povinná poskytnúť pacientovi prvú kópiu jeho lekárskeho záznamu bezplatne.

23

Po prvé vnútroštátny súd konštatuje, že DW žiada o prvú kópiu svojho lekárskeho záznamu s cieľom uplatniť zodpovednosť voči FT. Takýto účel nesúvisí s účelom uvedeným v odôvodnení 63 GDPR, ktoré stanovuje právo na prístup k osobným údajom, aby si boli dotknuté osoby vedomé zákonnosti spracúvania týchto údajov a mohli si ju overiť. Znenie článku 15 GDPR však nepodmieňuje výkon práva na prístup takýmito dôvodmi. Okrem toho toto ustanovenie nevyžaduje, aby dotknutá osoba odôvodnila svoju žiadosť o poskytnutie.

24

Po druhé vnútroštátny súd zdôrazňuje, že článok 23 ods. 1 GDPR umožňuje prijať vnútroštátne legislatívne opatrenia obmedzujúce rozsah povinností a práv stanovených v článkoch 12 až 22 tohto nariadenia s cieľom zaistiť jeden z cieľov stanovených v tomto ustanovení. V prejednávanej veci sa FT odvoláva na cieľ ochrany práv a slobôd iných uvedený v článku 23 ods. 1 písm. i) GDPR a tvrdí, že tarifný režim podľa § 630g ods. 2 druhej vety BGB je nevyhnutným a primeraným opatrením na ochranu oprávnených záujmov ošetrujúcich osôb, ktoré vo všeobecnosti umožňuje zabrániť neodôvodneným žiadostiam o kópie zo strany dotknutých pacientov.

25

Na jednej strane však § 630g ods. 2 druhá veta BGB bol prijatý pred nadobudnutím účinnosti GDPR.

26

Na druhej strane je tarifný režim podľa § 630g ods. 2 druhej vety BGB primárne určený na ochranu ekonomických záujmov ošetrujúcich osôb. Treba teda určiť, či záujem týchto posledných uvedených osôb na oslobodení nákladov a výdavkov spojených s poskytovaním kópií údajov patrí medzi práva a slobody iných osôb v zmysle článku 23 ods. 1 písm. i) GDPR. Okrem toho systematické prenášanie poplatkov na pacientov spojených s kópiami ich lekárskych záznamov by sa mohlo javiť ako prehnané, keďže by nezohľadňovalo výšku skutočne vynaložených nákladov ani osobitné okolnosti každej žiadosti.

27

Po tretie v rozsahu, v akom DW žiada o poskytnutie kópie všetkých lekárskych dokumentov, ktoré sa ho týkajú, a teda aj jeho lekárskych záznamov, sa vnútroštátny súd pýta na rozsah práva získať kópiu osobných údajov, ktoré sa spracúvajú, ako je zakotvené v článku 15 ods. 3 GDPR. V tejto súvislosti možno toto právo uspokojiť poskytnutím súhrnu údajov spracúvaných lekárom. Zdá sa však, že ciele transparentnosti a kontroly zákonnosti, ktoré sleduje GDPR svedčia v prospech poskytnutia kópie všetkých údajov, ktoré má prevádzkovateľ k dispozícii v nespracovanej podobe, teda všetkých lekárskych dokumentov týkajúcich sa pacienta, pokiaľ obsahujú takéto údaje.

28

Za týchto okolností Bundesgerichtshof (Spolkový súdny dvor) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:

29

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa článok 12 ods. 5 a článok 15 ods. 1 a 3 GDPR majú vykladať v tom zmysle, že povinnosť poskytnúť dotknutej osobe bezplatne prvú kópiu jej osobných údajov, ktoré sa spracúvajú, je pre prevádzkovateľa záväzná aj vtedy, ak sa táto žiadosť podáva na iný účel, ako sú účely uvedené v prvej vete odôvodnenia 63 tohto nariadenia.

30

Na úvod treba pripomenúť, že podľa ustálenej judikatúry platí, že výklad ustanovenia práva Únie si vyžaduje zohľadnenie nielen jeho znenia, ale aj kontextu, do ktorého patrí, a cieľov a účelu aktu, ktorého je súčasťou [rozsudok z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov), C‑154/21, EU:C:2023:3, bod 29].

31

Pokiaľ ide po prvé o znenie relevantných ustanovení, treba na jednej strane uviesť, že článok 12 ods. 5 GDPR stanovuje zásadu, podľa ktorej výkon práva dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú, a k informáciám, ktoré s týmto spracúvaním súvisia, nevyžaduje od dotknutej osoby žiadne poplatky. Okrem toho toto ustanovenie uvádza dva dôvody, pre ktoré môže prevádzkovateľ buď účtovať primeraný poplatok zohľadňujúci administratívne náklady, alebo odmietnuť vyhovieť žiadosti. Tieto dôvody sa týkajú prípadov zneužitia práva, v ktorých sú žiadosti dotknutej osoby „zjavne nedôvodné“ alebo „neprimerané“, najmä pre ich opakujúcu sa povahu.

32

V tejto súvislosti vnútroštátny súd výslovne uviedol, že žiadosť dotknutej osoby nebola zneužívajúca.

33

Na druhej strane právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú, a k informáciám, ktoré s týmto spracúvaním súvisia, ktoré je neoddeliteľnou súčasťou práva na ochranu osobných údajov, je zaručené v článku 15 ods. 1 GDPR. Podľa znenia tohto ustanovenia majú dotknuté osoby právo na prístup k svojim osobným údajom, ktoré sa spracúvajú.

34

Okrem toho z článku 15 ods. 3 GDPR vyplýva, že prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú, a že za akékoľvek ďalšie kópie, o ktoré dotknutá osoba požiada, môže účtovať primeraný poplatok. V tejto súvislosti odsek 4 tohto článku spresňuje, že odsek 3 uvedeného článku priznáva tejto osobe „právo“. Prevádzkovateľ teda môže takúto platbu požadovať len vtedy, ak dotknutá osoba už bezplatne dostala prvú kópiu svojich údajov a znovu o to požiada.

35

Ako už Súdny dvor rozhodol, z analýzy textu článku 15 ods. 3 prvej vety GDPR vyplýva, že toto ustanovenie priznáva dotknutej osobe právo získať vernú reprodukciu jej osobných údajov chápaných v širšom zmysle, ktoré sú predmetom operácií, ktoré sa musia kvalifikovať ako „spracúvanie prevádzkovateľom“ (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 28).

36

Zo znenia článku 12 ods. 5 v spojení s článkom 15 ods. 1 a 3 GDPR teda vyplýva jednak právo dotknutej osoby získať bezplatne prvú kópiu jej osobných údajov, ktoré sa spracúvajú, a jednak možnosť prevádzkovateľa za určitých podmienok účtovať primerané poplatky, ktoré zohľadnia administratívne náklady alebo odmietnuť vyhovieť žiadosti, ak je zjavne neopodstatnená alebo neprimeraná.

37

V prejednávanej veci treba konštatovať, že lekára vykonávajúceho operácie spracúvania uvedené v článku 4 bode 2 GDPR týkajúce sa údajov jeho pacientov treba považovať za „prevádzkovateľa“ v zmysle článku 4 bodu 7 tohto nariadenia, na ktorého sa vzťahujú povinnosti vyplývajúce z tohto postavenia, a to najmä povinnosť zabezpečiť prístup k osobným údajom na žiadosť dotknutých osôb.

38

Treba poznamenať, že ani znenie článku 12 ods. 5 GDPR, ani znenie článku 15 ods. 1 a 3 tohto nariadenia nepodmieňujú bezplatné poskytnutie prvej kópie osobných údajov tým, aby tieto osoby uviedli dôvod, ktorým odôvodňujú svoje žiadosti. Tieto ustanovenia teda neposkytujú prevádzkovateľovi možnosť požadovať odôvodnenie žiadosti dotknutej osoby o prístup.

39

Pokiaľ ide po druhé o kontext, do ktorého spadajú vyššie uvedené ustanovenia, treba zdôrazniť, že článok 12 GDPR patrí do oddielu 1 kapitoly III tohto nariadenia, ktorý sa týka najmä zásady transparentnosti uvedenej v článku 5 ods. 1 písm. a) uvedeného nariadenia.

40

Článok 12 GDPR tak stanovuje všeobecné povinnosti prevádzkovateľa, pokiaľ ide o transparentnosť informácií a komunikácií, ako aj postupy výkonu práv dotknutej osoby.

41

Článok 15 GDPR, ktorý patrí do oddielu 2 kapitoly III, ktorý sa týka informácií a prístupu k osobným údajom, dopĺňa rámec transparentnosti GDPR tým, že dotknutej osobe priznáva právo na prístup k jej osobným údajom a právo na informácie o spracúvaní týchto údajov.

42

Treba tiež poznamenať, že v súlade s odôvodnením 59 GDPR „mali by sa stanoviť postupy, ktoré by dotknutej osobe uľahčili uplatnenie jej práv podľa tohto nariadenia a ktoré by zahŕňali mechanizmy na vyžiadanie si a prípadné získanie bezplatného prístupu k osobným údajom a ich bezplatnú opravu alebo vymazanie, a na uplatnenie práva namietať“.

43

Keďže, ako vyplýva z bodu 38 tohto rozsudku, dotknutá osoba nie je povinná odôvodniť žiadosť o prístup k údajom, prvú vetu odôvodnenia 63 nemožno vykladať v tom zmysle, že táto žiadosť musí byť zamietnutá, ak sleduje iný cieľ, než je oboznámiť sa so spracúvaním údajov a overiť jeho zákonnosť. Toto odôvodnenie totiž nemôže obmedziť pôsobnosť článku 15 ods. 3 GDPR, ako bolo pripomenuté v bode 35 tohto rozsudku.

44

V tejto súvislosti treba pripomenúť, že z ustálenej judikatúry vyplýva, že odôvodnenie právneho aktu Únie nemá záväznú právnu silu a nemožno sa ho dovolávať ani na účel výnimky z ustanovení dotknutého aktu, ani s cieľom výkladu jeho ustanovení, ktorý je zjavne v rozpore s ich znením (rozsudok z 13. septembre 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, bod 33).

45

Okrem toho odôvodnenie 63 vo svojej druhej vete stanovuje, že právo na prístup k osobným údajom priznané dotknutým osobám zahŕňa, pokiaľ ide o údaje týkajúce sa ich zdravia, prístup k „údajom v ich lekárskych záznamoch obsahujúcich informácie ako diagnóza, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo uskutočnené zákroky“.

46

Za týchto okolností nemožno právo na prístup k údajom o zdravotnom stave zaručené v článku 15 ods. 1 GDPR obmedziť odmietnutím prístupu alebo požadovaním zaplatenia náhrady na základe niektorého z dôvodov uvedených v prvej vete odôvodnenia 63. To isté platí pre právo na bezplatné získanie prvej kópie, tak ako je stanovené v článku 12 ods. 5 a článku 15 ods. 3 tohto nariadenia.

47

Po tretie, pokiaľ ide o ciele sledované GDPR, treba uviesť, že cieľom tohto nariadenia, ako sa uvádza v jeho odôvodneniach 10 a 11, je zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb v Únii a posilniť a spresniť práva dotknutých osôb.

48

Práve na účely dosiahnutia tohto cieľa zaručuje článok 15 ods. 1 dotknutej osobe právo na prístup k jej osobným údajom (pozri v tomto zmysle rozsudok z 22. júna 2023, Pankki S,C‑579/21, EU:C:2023:501, bod 57 a citovanú judikatúru).

49

Článok 12 ods. 5 a článok 15 ods. 1 a 3 GDPR sú preto súčasťou ustanovení určených na zabezpečenie tohto práva na prístup, ako aj transparentnosti spôsobov spracúvania osobných údajov vo vzťahu k dotknutej osobe [pozri v tomto zmysle rozsudok z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov), C‑154/21, EU:C:2023:3, bod 42].

50

Zásada, že prvá kópia údajov je bezplatná, a skutočnosť, že nie je potrebné uvádzať osobitné odôvodnenie žiadosti o prístup, však nevyhnutne prispievajú k tomu, aby sa dotknutej osobe uľahčil výkon práv, ktoré jej priznáva GDPR.

51

V dôsledku toho vzhľadom na význam, ktorý priznáva GDPR právu na prístup k osobným údajom, ktoré sa spracúvajú, tak ako je zaručené v článku 15 ods. 1 GDPR na dosiahnutie takýchto cieľov, výkon tohto práva nemôže podliehať podmienkam, ktoré normotvorca Únie výslovne nestanovil, akou je povinnosť odvolávať sa na jeden z dôvodov uvedených v odôvodnení 63 prvej vete GDPR.

52

Vzhľadom na všetky predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 12 ods. 5 a článok 15 ods. 1 a 3 GDPR sa majú vykladať v tom zmysle, že povinnosť poskytnúť dotknutej osobe bezplatne prvú kópiu jej osobných údajov, ktoré sa spracúvajú, je pre prevádzkovateľa záväzná aj v prípade, že sa táto žiadosť podáva na iný účel, ako sú účely uvedené v prvej vete odôvodnenia 63 uvedeného nariadenia.

53

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 23 ods. 1 písm. i) GDPR vykladať v tom zmysle, že povoľuje vnútroštátnu právnu úpravu prijatú pred nadobudnutím účinnosti tohto nariadenia, ktorá s cieľom chrániť ekonomické záujmy prevádzkovateľa ukladá dotknutej osobe poplatky za prvú kópiu jej osobných údajov, ktoré sa spracúvajú.

54

V prvom rade, pokiaľ ide o otázku, či do pôsobnosti článku 23 ods. 1 GDPR môžu patriť len vnútroštátne opatrenia prijaté po nadobudnutí účinnosti GDPR, treba zdôrazniť, že znenie tohto ustanovenia v tejto súvislosti neobsahuje nijakú informáciu.

55

Článok 23 ods. 1 GDPR totiž len uvádza, že legislatívne opatrenie členského štátu môže obmedziť rozsah povinností a práv stanovených v článkoch 12 až 22 tohto nariadenia, pokiaľ tieto opatrenia zodpovedajú právam a povinnostiam ustanoveným v týchto článkoch a ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením s cieľom zaistiť najmä ochranu práv a slobôd iných.

56

V dôsledku toho článok 23 ods. 1 GDPR nevylučuje zo svojej pôsobnosti vnútroštátne legislatívne opatrenia prijaté pred nadobudnutím účinnosti GDPR, pokiaľ spĺňajú podmienky, ktoré stanovuje.

57

V druhom rade, pokiaľ ide o otázku, či sa na vnútroštátnu právnu úpravu, ktorá s cieľom chrániť ekonomický záujem ošetrujúcich osôb účtuje pacientovi náklady spojené s poskytnutím prvej kópie lekárskeho záznamu, o ktorú tento pacient požiadal, vzťahuje článok 23 ods. 1 písm. i) GDPR, treba po prvé pripomenúť, ako vyplýva z bodov 31 a 33 až 36 tohto rozsudku, podľa článku 12 ods. 5 a článku 15 ods. 1 a 3 tohto nariadenia sa dotknutej osobe priznáva právo získať bezplatne prvú kópiu jej osobných údajov, ktoré sa spracúvajú.

58

Druhá veta článku 15 ods. 3 GDPR však prevádzkovateľovi umožňuje účtovať primerané poplatky zodpovedajúce administratívnym nákladom za akékoľvek ďalšie kópie. Okrem toho článok 12 ods. 5 GDPR v spojení s článkom 15 ods. 1 a 3 tohto nariadenia umožňuje prevádzkovateľovi chrániť sa pred zneužitím práva na prístup tým, že v prípade zjavne neopodstatnenej alebo neprimeranej žiadosti vyžaduje zaplatenie primeraných poplatkov.

59

Po druhé podľa odôvodnenia 4 tohto nariadenia právo na ochranu osobných údajov nie je absolútnym právom a musí byť vyvážené s ostatnými základnými právami v súlade so zásadou proporcionality. GDPR tak rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte základných práv, ako sú zakotvené v Zmluvách (rozsudok z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely), C‑175/20, EU:C:2022:124, bod 53).

60

Článok 15 ods. 4 GDPR v skutočnosti stanovuje, že „právo získať kópiu nesmie mať nepriaznivé dôsledky na práva a slobody iných“.

61

Rovnako tak článok 23 ods. 1 písm. i) GDPR pripomína, že obmedzenie rozsahu povinností a práv stanovených najmä v článku 15 GDPR je možné, „ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom... zaistiť ochranu... práv a slobôd iných“.

62

V dôsledku toho z bodov 59 až 61 tohto rozsudku vyplýva, že právo priznané dotknutej osobe získať prvú bezplatnú kópiu jej osobných údajov, ktoré sa spracúvajú, nie je absolútne.

63

Po tretie len úvahy týkajúce sa najmä ochrany práv a slobôd iných môžu odôvodniť obmedzenie tohto práva, pokiaľ takéto obmedzenie rešpektuje podstatu tohto práva a predstavuje nevyhnutné a primerané opatrenie na zabezpečenie tejto ochrany, ako to stanovuje článok 23 ods. 1 písm. i) GDPR.

64

Ako však vyplýva z návrhu na začatie prejudiciálneho konania, tarifný režim stanovený v § 630g ods. 2 druhej vete BGB umožňuje ošetrujúcej osobe účtovať pacientovi náklady spojené s poskytnutím prvej kópie jeho zdravotného záznamu. Vnútroštátny súd zdôrazňuje, že cieľom tohto režimu je v prvom rade chrániť ekonomické záujmy ošetrujúcich osôb, čo odrádza pacientov od zbytočného podávania žiadostí o kópiu ich lekárskeho záznamu. Pokiaľ teda cieľom vnútroštátnej právnej úpravy, o ktorú ide vo veci samej, je skutočne chrániť ekonomické záujmy ošetrujúcich osôb, čo prináleží overiť vnútroštátnemu súdu, takéto úvahy nemôžu spadať pod „práva a slobody iných“ uvedené v článku 23 ods. 1 písm. i) GDPR.

65

Po prvé takáto právna úprava totiž vedie k odrádzaniu nielen od žiadostí, ktoré sú zbytočné, ale aj od žiadostí o získanie prvej bezplatnej kópie spracúvaných osobných údajov z legitímnych dôvodov. V dôsledku toho nevyhnutne porušuje zásadu bezplatnosti prvej kópie, a tým spochybňuje potrebný účinok práva na prístup stanoveného v článku 15 ods. 1 GDPR, ako aj ochranu zaručenú týmto nariadením.

66

Po druhé z návrhu na začatie prejudiciálneho konania nevyplýva, že záujmy chránené vnútroštátnou právnou úpravou idú nad rámec úvah čisto administratívnej alebo ekonomickej povahy.

67

V tejto súvislosti treba zdôrazniť, že normotvorca Únie zohľadnil ekonomické záujmy prevádzkovateľov podľa článku 12 ods. 5 a článku 15 ods. 3 druhej vety GDPR, ktoré, ako bolo pripomenuté v bode 58 tohto rozsudku, definujú okolnosti, za ktorých môže prevádzkovateľ požadovať úhradu nákladov za poskytnutie kópie osobných údajov, ktoré sa spracúvajú.

68

Za týchto podmienok sledovanie cieľa spojeného s ochranou ekonomických záujmov ošetrujúcich osôb nemôže odôvodniť opatrenie vedúce k spochybneniu práva na bezplatné získanie prvej kópie, a tým aj potrebného účinku práva dotknutej osoby na prístup k svojim osobným údajom, ktoré sa spracúvajú.

69

Vzhľadom na všetky predchádzajúce úvahy treba na druhú otázku odpovedať tak, že článok 23 ods. 1 písm. i) GDPR sa má vykladať v tom zmysle, že vnútroštátna právna úprava prijatá pred nadobudnutím účinnosti tohto nariadenia môže patriť do pôsobnosti tohto ustanovenia. Takáto možnosť však neumožňuje prijať vnútroštátnu právnu úpravu, ktorá s cieľom chrániť ekonomické záujmy prevádzkovateľa ukladá dotknutej osobe povinnosť uhradiť poplatky za prvú kópiu jej osobných údajov, ktoré sa spracúvajú.

70

Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 15 ods. 3 prvá veta GDPR vykladať v tom zmysle, že v rámci vzťahu medzi lekárom a pacientom právo na získanie kópie osobných údajov, ktoré sa spracúvajú, znamená, že sa dotknutej osobe musí poskytnúť úplná kópia dokumentov nachádzajúcich sa v jej lekárskom zázname, ktorý obsahujú jej osobné údaje, alebo len kópiu týchto údajov ako takých.

71

Po prvé Súdny dvor už rozhodol, že článok 15 ods. 3 prvá veta GDPR na základe svojho znenia priznáva dotknutej osobe právo získať vernú reprodukciu jej osobných údajov chápaných v širšom zmysle, ktoré sú predmetom operácií, ktoré sa musia kvalifikovať ako „spracúvanie“ prevádzkovateľom (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 28).

72

Článok 15 GDPR nemožno vykladať tak, že vo svojom odseku 3 prvej vete zakotvuje právo odlišné od práva stanoveného v jeho odseku 1. Okrem toho pojem „kópia“ sa nevzťahuje na dokument ako taký, ale na osobné údaje, ktoré obsahuje a ktoré musia byť úplné. Kópia teda musí obsahovať všetky osobné údaje, ktoré sa spracúvajú (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 32).

73

Pokiaľ ide napokon o ciele sledované v článku 15 GDPR, jeho účelom je posilniť a spresniť práva dotknutých osôb. Právo na prístup upravené v tomto ustanovení tak musí dotknutej osobe umožniť uistiť sa, že osobné údaje, ktoré sa jej týkajú, sú správne a že sa spracúvajú zákonným spôsobom. Okrem toho kópia osobných údajov, ktoré sa spracúvajú a ktoré musí prevádzkovateľ poskytnúť podľa článku 15 ods. 3 prvej vety GDPR, musí mať všetky vlastnosti, ktoré dotknutej osobe umožnia účinne uplatniť jej práva podľa tohto nariadenia, a preto musí tieto údaje v plnom rozsahu a verne reprodukovať (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, body 33, 34 a 39).

74

Najmä s cieľom zabezpečiť, aby informácie poskytnuté prevádzkovateľom boli ľahko pochopiteľné, ako to vyžaduje článok 12 ods. 1 GDPR v spojení s jeho odôvodnením 58, sa totiž môže ukázať ako nevyhnutné poskytnutie reprodukcie výňatkov z dokumentov alebo dokonca celých dokumentov, ktoré okrem iného obsahujú spracúvané osobné údaje, v prípade, že na zabezpečenie zrozumiteľnosti osobných údajov je potrebné poznať kontext, v ktorom sa spracúvajú (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 41).

75

V dôsledku toho právo na získanie od prevádzkovateľa kópie osobných údajov, ktoré sa spracúvajú, znamená, že dotknutej osobe sa musí poskytnúť verná a zrozumiteľná reprodukcia všetkých týchto údajov. Toto právo predpokladá právo na získanie kópie výňatkov z dokumentov, prípadne aj celých dokumentov, ktoré okrem iného obsahujú uvedené údaje, ak je poskytnutie takej kópie nevyhnutné na to, aby sa dotknutej osobe umožnilo účinne uplatniť práva, ktoré jej priznáva toto nariadenie (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 45).

76

Pokiaľ ide o informácie, o ktoré ide vo veci samej, treba uviesť, že GDPR označuje položky, o ktorých kópiu by mal mať žalobca vo veci samej možnosť požiadať. Pokiaľ ide o osobné údaje týkajúce sa zdravia, odôvodnenie 63 tohto nariadenia spresňuje, že právo dotknutých osôb na prístup k údajom zahŕňa prístup k „údajom v ich lekárskych záznamoch obsahujúcich informácie ako diagnóza, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo uskutočnené zákroky“.

77

V tejto súvislosti, ako v podstate uviedol generálny advokát v bodoch 78 až 80 svojich návrhov, z dôvodu citlivosti osobných údajov týkajúcich sa zdravia fyzických osôb normotvorca Únie zdôraznil, že je dôležité zabezpečiť, aby bol prístup týchto osôb k údajom obsiahnutým v ich lekárskom zázname čo najúplnejší a najpresnejší, ale aj zrozumiteľný.

78

V prípade výsledkov vyšetrení, posudkov ošetrujúcich lekárov a terapie alebo uskutočnených zákrokov poskytovaných pacientovi, ktoré vo všeobecnosti zahŕňajú početné technické údaje, či dokonca obrázky, by však poskytnutie jednoduchého zhrnutia alebo kompilácie týchto údajov lekárom s cieľom predložiť ich v súhrnnej forme, mohlo viesť ku vzniku rizika, že niektoré relevantné údaje budú opomenuté alebo reprodukované nesprávnym spôsobom, alebo v každom prípade, že overenie ich správnosti a úplnosti, ako aj ich porozumenie pacientom budú sťažené.

79

Vzhľadom na všetky predchádzajúce úvahy treba na tretiu otázku odpovedať tak, že článok 15 ods. 3 prvá veta GDPR sa má vykladať v tom zmysle, že v rámci vzťahu medzi lekárom a pacientom právo získať kópiu osobných údajov, ktoré sa spracúvajú, znamená, že dotknutej osobe sa musí poskytnúť verná a zrozumiteľná reprodukcia všetkých týchto údajov. Toto právo predpokladá právo osoby získať úplnú kópiu dokumentov obsiahnutých v jej lekárskom zázname, ktoré obsahujú okrem iného uvedené údaje, ak je poskytnutie takejto kópie nevyhnutné na to, aby si dotknutá osoba mohla overiť správnosť a úplnosť údajov a zabezpečiť ich zrozumiteľnosť. V prípade údajov týkajúcich sa zdravia dotknutej osoby, toto právo v každom prípade zahŕňa právo získať kópiu údajov z jej lekárskeho záznamu obsahujúcich informácie ako diagnóza, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo zákroky na nej uskutočnené.

80

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto: