Vec C‑307/22

FT

proti

DW

(návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof)

Rozsudok Súdneho dvora (prvá komora) z 26. októbra 2023

„Návrh na začatie prejudiciálneho konania – Spracovanie osobných údajov – Nariadenie (EÚ) 2016/679 – Články 12, 15 a 23 – Právo dotknutej osoby na prístup k jej osobným údajom, ktoré sa spracúvajú – Právo na bezplatné získanie prvej kópie týchto údajov – Spracovanie údajov pacienta jeho lekárom – Lekársky záznam – Dôvody žiadosti o prístup – Použitie údajov na účely vyvodenia zodpovednosti ošetrujúcej osoby – Pojem ‚kópia‘“

1. Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú – Právo na bezplatné získanie prvej kópie jej údajov – Povinnosť prevádzkovateľa poskytnúť takúto kópiu – Povinnosť dotknutej osoby odôvodniť svoju žiadosť o prístup k údajom, ktorá vyplýva z preambuly nariadenia – Neexistencia

   (Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 63 a článok 12 ods. 5 a článok 15 ods. 1 a 3)

   (pozri body 35 – 38, 43, 46, 50 – 52, bod 1 výroku)

2. Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Možnosť členských štátov prijať právnu úpravu obmedzujúcu rozsah niektorých práv a povinností stanovených v nariadení – Vnútroštátna právna úprava prijatá pred alebo po nadobudnutí účinnosti nariadenia – Neexistencia relevantnosti

   (Nariadenie Európskeho parlamentu a Rady 2016/679, článok 23 ods. 1)

   (pozri body 54 – 56, 69, bod 2 výroku)

3. Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú – Právo na bezplatné získanie prvej kópie jej údajov – Obmedzenia – Podmienky – Ochrana práv a slobôd iných – Možnosť členského štátu prijať vnútroštátnu právnu úpravu, ktorá má za cieľ chrániť ekonomické záujmy prevádzkovateľa a ukladá dotknutej osobe povinnosť uhradiť poplatky za prvú kópiu jej údajov – Neexistencia

   [Nariadenie Európskeho parlamentu a Rady 2016/679, článok 23 ods. 1 písm. i)]

   (pozri body 62, 64, 65, 67 – 69, bod 2 výroku)

4. Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú – Poskytnutie kópie údajov – Pojem kópia – Odovzdanie vernej a zrozumiteľnej reprodukcie týchto údajov dotknutej osobe – Kópia výňatkov z dokumentov, prípadne aj celých dokumentov alebo výňatkov z databázy, ktoré okrem iného obsahujú uvedené údaje – Zahrnutie – Podmienka

   (Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 58 a článok 12 ods. 1 a článok 15 ods. 1 a 3 prvá veta)

   (pozri body 71 – 75)

5. Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú – Poskytnutie kópie údajov – Pojem kópia – Odovzdanie vernej a zrozumiteľnej reprodukcie všetkých údajov dotknutej osobe z jej lekárskeho záznamu – Úplná kópia dokumentov obsiahnutých v lekárskom zázname – Zahrnutie – Podmienka

   (Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 63 a článok 15 ods. 3 prvá veta)

   (pozri body 76 – 79, bod 3 výroku)

Zhrnutie

DW požiadal FT, svoju stomatologičku, aby mu bezodplatne odovzdala prvú kópiu jeho lekárskeho záznamu. Túto žiadosť podal s cieľom vyvodiť voči FT zodpovednosť za pochybenia, ktorých sa údajne dopustila pri poskytovaní stomatologického ošetrenia.

Na základe nemeckého práva, podľa ktorého môže pacient získať kópiu svojho lekárskeho záznamu pod podmienkou, že ošetrujúcej osobe uhradí poplatky, ktoré z toho vyplývajú ( 1 ), FT odmietla poskytnúť takúto kópiu DW, v nadväznosti na čo DW podal žalobu. V prvostupňovom konaní aj odvolacom konaní sa vyhovelo žiadosti DW o bezplatné poskytnutie prvej kópie jeho lekárskeho záznamu.

Bundesgerichtshof (Spolkový súdny dvor, Nemecko), na ktorý FT podala opravný prostriedok „Revision“, položil Súdnemu dvoru otázky týkajúce sa výkladu ustanovení GDPR, ktoré sa týkajú postupov výkonu práva dotknutej osoby na prístup k jej údajom, ako aj obmedzení rozsahu tohto práva. ( 2 )

Súdny dvor vo svojom rozsudku najprv dospel k záveru, že prevádzkovateľ musí na žiadosť dotknutej osoby bezplatne poskytnúť prvú kópiu jej osobných údajov na iné účely než tie, ktorých cieľom je oboznámiť sa so spracúvaním týchto údajov a overiť zákonnosť, ktoré sú výslovne uvedené v preambule GDPR. Ďalej rozhodol o rozsahu možnosti členských štátov obmedziť, s cieľom chrániť ekonomické záujmy prevádzkovateľa, právo získať kópiu údajov tým, že dotknutej osobe uloží povinnosť uhradiť poplatky, ktoré na tento účel vznikli tomuto prevádzkovateľovi. Napokon skúmal, či je v určitých prípadoch potrebné poskytnúť dotknutej osobe úplnú kópiu údajov z jej lekárskeho záznamu.

Posúdenie Súdnym dvorom

Po prvé, pokiaľ ide o otázku, či bezplatné poskytnutie prvej kópie údajov dotknutej osobe je pre prevádzkovateľa záväzné aj na iné účely, ako sú účely výslovne uvedené v preambule GDPR, Súdny dvor pripomenul, že článok 15 ods. 3 prvá veta tohto nariadenia priznáva dotknutej osobe právo získať vernú reprodukciu jej osobných údajov chápaných v širšom zmysle, ktoré sú predmetom operácií, ktoré sa musia kvalifikovať ako „spracúvanie prevádzkovateľom“ ( 3 ). Okrem toho z kombinovaného výkladu príslušných ustanovení GDPR ( 4 ) vyplýva, že dotknutá osoba má na jednej strane právo získať bezplatne prvú kópiu svojich osobných údajov, ktoré sa spracúvajú, a na druhej strane, že prevádzkovateľ môže za určitých podmienok požadovať primerané poplatky zohľadňujúce administratívne náklady alebo odmietnuť konať na základe žiadosti, ak je zjavne neopodstatnená alebo neprimeraná.

Žiadne z týchto ustanovení však nepodmieňuje bezplatné poskytnutie prvej kópie osobných údajov tým, aby dotknutá osoba odôvodnila svoju žiadosť. V dôsledku toho dôvody žiadostí výslovne uvedené v preambule GDPR ( 5 ) nemôžu obmedziť rozsah pôsobnosti uvedených ustanovení. Právo na prístup k údajom týkajúcim sa zdravia ( 6 ) teda nemožno obmedziť odmietnutím prístupu alebo požadovaním zaplatenia náhrady na základe niektorého z týchto dôvodov, čo sa vzťahuje aj na právo na bezplatné získanie prvej kópie.

Okrem toho zásada, že prvá kópia údajov je bezplatná, a skutočnosť, že nie je potrebné uvádzať osobitné odôvodnenie žiadosti o prístup, nevyhnutne prispievajú k uľahčeniu výkonu práv, ktoré dotknutej osobe priznáva GDPR. V dôsledku toho vzhľadom na význam, ktorý toto nariadenie priznáva právu na prístup k osobným údajom na dosiahnutie cieľov, ktoré sleduje, nemôže výkon tohto práva podliehať podmienkam, ktoré normotvorca Únie výslovne nestanovil.

Po druhé Súdny dvor konštatoval, že členský štát nie je oprávnený prijať vnútroštátnu právnu úpravu, ktorá s cieľom chrániť ekonomické záujmy prevádzkovateľa ukladá dotknutej osoby poplatky za prvú kópiu jej osobných údajov.

Je pravda, že podľa GDPR právo dotknutej osoby získať bezplatne prvú kópiu svojich osobných údajov nie je absolútne a za určitých podmienok by ochrana práv a slobôd iných mohla odôvodniť obmedzenie tohto práva. ( 7 ) Avšak vzhľadom na to, že v prejednávanej veci je cieľom vnútroštátnej právnej úpravy chrániť ekonomické záujmy ošetrujúcich osôb tým, že sa zabráni zbytočným žiadostiam o kópie, takéto úvahy nemôžu patriť do rozsahu takýchto práv a slobôd iných.

Takáto právna úprava totiž vedie k odrádzaniu nielen od žiadostí, ktoré sú zbytočné, ale aj od žiadostí o získanie prvej bezplatnej kópie spracúvaných osobných údajov z legitímneho dôvodu. V dôsledku toho nevyhnutne porušuje zásadu bezplatnosti prvej kópie, a tým spochybňuje potrebný účinok práva dotknutej osoby na prístup k jej údajom, ako ho stanovuje GDPR, ako aj ochranu, ktorú zaručuje.

Okrem toho Súdny dvor zdôraznil, že ekonomické záujmy prevádzkovateľov boli zohľadnené v rámci GDPR, ktoré definuje okolnosti, za ktorých môže prevádzkovateľ požadovať úhradu poplatkov za poskytnutie kópie osobných údajov.

Po tretie a nakoniec Súdny dvor konštatoval, že v rámci vzťahu medzi lekárom a pacientom, právo na získanie kópie osobných údajov znamená, že sa dotknutej osobe musí poskytnúť verná a zrozumiteľná reprodukcia všetkých týchto údajov. Toto právo zahŕňa právo získať úplnú kópiu dokumentov obsiahnutých v lekárskom zázname, ak je to potrebné na to, aby si táto osoba mohla overiť správnosť a úplnosť svojich údajov a zabezpečiť ich zrozumiteľnosť.

V tejto súvislosti poznamenal, že pokiaľ ide o osobné údaje týkajúce sa zdravia, v GDPR sa uvádza, že právo dotknutých osôb na prístup zahŕňa prístup k „údajom v ich lekárskych záznamoch obsahujúcich informácie ako diagnóza, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo uskutočnené zákroky“ ( 8 ). Práve z dôvodu citlivosti týchto údajov normotvorca Únie zdôraznil, že je dôležité zabezpečiť, aby bol prístup fyzických osôb k ich údajom obsiahnutým v ich lekárskom zázname čo najúplnejší a najpresnejší, ale aj zrozumiteľný.

V prípade výsledkov vyšetrení, posudkov ošetrujúcich lekárov a terapie alebo uskutočnených zákrokov poskytovaných pacientovi, ktoré vo všeobecnosti zahŕňajú početné technické údaje, či dokonca obrázky, by však poskytnutie jednoduchého zhrnutia alebo kompilácie týchto údajov lekárom s cieľom predložiť ich v súhrnnej forme, mohlo viesť ku vzniku rizika, že niektoré relevantné údaje budú opomenuté alebo reprodukované nesprávnym spôsobom, alebo v každom prípade, že overenie ich správnosti a úplnosti, ako aj ich porozumenie pacientom budú sťažené.

( 1 ) Ustanovenie § 630g ods. 2 druhá veta Bürgerliches Gesetzbuch (nemecký Občiansky zákonník).

( 2 ) Konkrétne výkladu článku 12 ods. 5, článku 15 ods. 1 a 3 a článku 23 ods. 1 písm. i) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

( 3 ) Rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 28).

( 4 ) Článok 12 ods. 5 a článok 15 ods. 1 a 3 GDPR.

( 5 ) Prvá veta odôvodnenia 63 GDPR stanovuje, že „dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť“.

( 6 ) Zaručené v článku 15 ods. 1 GDPR.

( 7 ) V zmysle článku 23 ods. 1 písm. i) GDPR.

( 8 ) Odôvodnenie 63 GDPR.