Zadeva C‑487/21

F. F.

proti

Österreichische Datenschutzbehörde in CRIF GmbH

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesverwaltungsgericht (Avstrija))

Sodba Sodišča (prvi senat) z dne 4. maja 2023

„Predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih podatkov, ki se obdelujejo – Člen 15(3) – Zagotovitev kopije podatkov – Pojem ‚kopija‘ – Pojem ‚informacije‘“

1. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih podatkov, ki se obdelujejo – Zagotovitev kopije podatkov – Pojem kopije – Izročitev natančne in razumljive reprodukcije teh podatkov posamezniku, na katerega se nanašajo osebni podatki – Kopija izvlečkov dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo navedene podatke – Vključitev – Pogoj

   (Uredba Evropskega parlamenta in Sveta 2016/679, uvodni izjavi 58 in 60 ter člena 12(1) in 15(1) in (3), prvi stavek)

   (Glej točke 21, 28, 32 in od 36 do 45 ter točko 1 izreka.)

2. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih podatkov, ki se obdelujejo – Zagotovitev kopije podatkov – Pojem informacij – Osebni podatki, ki jih mora upravljavec zagotoviti v obliki kopije – Vključitev

   (Direktiva Evropskega parlamenta in Sveta 2016/679, člen 15(3), tretji stavek)

   (Glej točke od 48 do 53 in točko 2 izreka.)

Povzetek

SUVP: pravica do pridobitve „kopije“ osebnih podatkov pomeni, da se posamezniku, na katerega se nanašajo osebni podatki, izroči natančna in razumljiva reprodukcija vseh teh podatkov

Ta pravica pomeni pravico do pridobitve kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki vsebujejo navedene podatke, če je to nujno, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uresničevanje pravic, ki jih ima na podlagi te uredbe

Družba CRIF je agencija za poslovno svetovanje, ki na zahtevo strank zagotavlja informacije o plačilni sposobnosti tretjih oseb. Za to je obdelala osebne podatke tožeče stranke iz postopka v glavni stvari, ki je posameznik. Ta je od družbe CRIF na podlagi Splošne uredbe o varstvu podatkov ( 1 ) zahteval dostop do osebnih podatkov, ki se nanašajo nanj. Poleg tega je zahteval predložitev kopije dokumentov, in sicer elektronske pošte in izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo njegove podatke „v običajni tehnični obliki“.

Družba CRIF je v odgovor na to zahtevo tožeči stranki iz postopka v glavni stvari v zbirni obliki posredovala seznam njenih osebnih podatkov, ki se obdelujejo. Tožeča stranka iz postopka v glavni stvari je menila, da bi ji morala družba CRIF predložiti kopijo vseh dokumentov, ki vsebujejo njene podatke, kot so elektronska pošta in izvlečki iz podatkovnih zbirk, zato je vložila pritožbo pri Österreichische Datenschutzbehörde (avstrijski organ za varstvo podatkov). Ta organ je to pritožbo zavrnil z ugotovitvijo, da družba CRIF ni kršila pravice tožeče stranke iz postopka v glavni stvari do dostopa do osebnih podatkov.

Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija), ki odloča o tožbi tožeče stranke iz postopka v glavni stvari zoper odločbo o zavrnitvi, ki jo je sprejel ta organ, se sprašuje o obsegu obveznosti iz člena 15(3), prvi stavek, SUVP, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi „kopija“ njegovih osebnih podatkov, ki se obdelujejo. To sodišče se sprašuje predvsem, ali je ta obveznost izpolnjena, kadar upravljavec osebne podatke predloži v obliki zbirne preglednice ali pa zahteva tudi predložitev izvlečkov iz dokumentov ali celotnih dokumentov ter izvlečkov iz podatkovnih zbirk, v katerih so povzeti ti podatki. Predložitveno sodišče poleg tega prosi za pojasnila o tem, kaj natančno zajema pojem „informacije“ iz člena 15(3), tretji stavek, SUVP. ( 2 )

Sodišče je v sodbi pojasnilo vsebino in obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa do njegovih osebnih podatkov, ki se obdelujejo. V zvezi s tem je menilo, da pravica, da se v skladu s členom 15(3), prvi stavek, SUVP, od upravljavca pridobi „kopija“ osebnih podatkov, ki se obdelujejo, pomeni, da se posamezniku, na katerega se nanašajo osebni podatki, izroči natančna in razumljiva reprodukcija vseh teh podatkov. Ta pravica pomeni pravico do pridobitve kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo navedene podatke, če je zagotovitev take kopije nujna, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uresničevanje pravic, ki jih ima na podlagi SUVP, ob tem pa je treba poudariti, da je treba v zvezi s tem upoštevati pravice in svoboščine drugih. Poleg tega je Sodišče pojasnilo, da se pojem „informacije“ iz člena 15(3), tretji stavek, SUVP nanaša izključno na osebne podatke, katerih kopijo mora upravljavec zagotoviti na podlagi prvega stavka tega odstavka.

Presoja Sodišča

Sodišče je na prvem mestu podalo jezikovno, sistematično in teleološko razlago člena 15(3), prvi stavek, SUVP, ki določa pravico posameznika, na katerega se nanašajo osebni podatki, do pridobitve kopije njegovih osebnih podatkov, ki se obdelujejo.

Sodišče je v zvezi s členom 15(3), prvi stavek, SUVP, navedlo, da je treba, čeprav ta določba ne vsebuje opredelitve pojma „kopija“, upoštevati običajen pomen tega izraza, ki označuje reprodukcijo ali prepis, ki je skladen z izvirnikom, tako da povsem splošen opis podatkov, ki se obdelujejo, ali napotitev na vrste osebnih podatkov ne bi ustrezal tej opredelitvi. Poleg tega je iz besedila te določbe razvidno, da se obveznost posredovanja nanaša na osebne podatke, ki so predmet zadevne obdelave. Sodišče je po opravljeni jezikovni analizi navedene določbe menilo, da je s to določbo posamezniku, na katerega se nanašajo osebni podatki, priznana pravica do pridobitve natančne reprodukcije njegovih osebnih podatkov v širokem smislu tega pojma, ki so predmet dejanj, ki jih je mogoče opredeliti kot obdelavo podatkov, ki jo opravi upravljavec.

Glede sobesedila, v katero se umešča člen 15(3), prvi stavek, SUVP, je Sodišče navedlo, da sta v členu 15 SUVP, v njegovem odstavku 1, opredeljena predmet in področje uporabe pravice do dostopa, priznane posamezniku, na katerega se nanašajo osebni podatki. V členu 15(3) SUVP so podrobno določena praktična pravila za izvajanje obveznosti upravljavca, pri čemer je v prvem stavku med drugim opredeljena oblika, v kateri mora ta upravljavec zagotoviti osebne podatke, ki se obdelujejo, in sicer v obliki „kopije“. Zato člena 15 SUVP ni mogoče razlagati tako, da se v njegovem odstavku 3, prvi stavek, nanaša na pravico, ki je drugačna od tiste iz njegovega odstavka 1. Poleg tega je Sodišče pojasnilo, da se izraz „kopija“ ne nanaša na dokument kot tak, ampak na osebne podatke, ki jih vsebuje in ki morajo biti popolni. Kopija mora torej vsebovati vse osebne podatke, ki se obdelujejo.

Sodišče je navedlo, da glede ciljev, ki jim sledi člen 15 SUVP, pravica do dostopa iz tega člena posamezniku, na katerega se nanašajo osebni podatki, omogoča, da se prepriča, da so osebni podatki, ki se nanašajo nanj, točni in se obdelujejo zakonito.

Poleg tega je po mnenju Sodišča iz SUVP ( 3 ) razvidno, da mora upravljavec sprejeti ustrezne ukrepe, s katerimi posamezniku, na katerega se nanašajo osebni podatki, zagotovi vse informacije v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, ter da mora upravljavec te informacije zagotoviti v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno, z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, ne zahteva, da se te informacije predložijo ustno. Iz tega izhaja, da mora imeti kopija osebnih podatkov, ki se obdelujejo, ki jo mora zagotoviti upravljavec, vse značilnosti, ki posamezniku, na katerega se nanašajo osebni podatki, omogočajo učinkovito uresničevanje njegovih pravic na podlagi SUVP, in mora zato te podatke v celoti in natančno reproducirati.

Tako se lahko izkaže, da je za zagotovitev, da so tako zagotovljene informacije lahko razumljive, reprodukcija izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo osebne podatke, ki se obdelujejo, nujna. Natančneje, kadar se osebni podatki pridobivajo iz drugih podatkov ali kadar taki podatki izhajajo iz neizpolnjenih polj, in sicer kadar manjka navedba, iz katere bi izhajala informacija o posamezniku, na katerega se nanašajo osebni podatki, je okvir, v katerem se ti podatki obdelujejo, nujni element, ki posamezniku, na katerega se nanašajo osebni podatki, omogoča pregleden dostop do teh podatkov in njihovo razumljivo predstavitev.

V primeru navzkrižja med uresničevanjem pravice do polnega in celovitega dostopa do osebnih podatkov na eni strani ter uresničevanjem pravic in svoboščin drugih na drugi je Sodišče menilo, da je treba zadevne pravice in svoboščine uravnotežiti. Pri tem je treba, kadar je to mogoče, izbrati načine posredovanja osebnih podatkov, ki ne vplivajo negativno na pravice ali svoboščine drugih, ob upoštevanju dejstva, da te ugotovitve ne smejo povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij.

Sodišče je na drugem mestu obravnavalo vprašanje, kaj zajema pojem „informacije“ iz člena 15(3), tretji stavek, SUVP. Čeprav v tej določbi ni natančno določeno, kaj naj se razume z izrazom „informacije“, je iz njenega sobesedila razvidno, da „informacije“ iz tega člena nujno ustrezajo osebnim podatkom, katerih kopijo mora upravljavec zagotoviti v skladu s prvim stavkom tega odstavka.

( 1 ) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, popravek v UL L 127, 23.5.2018, str. 2).

( 2 ) Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.

( 3 ) Natančneje iz uvodnih izjav 58 in 60 ter člena 12(1) te uredbe.