Mål C‑307/22

FT

mot

DW

(begäran om förhandsavgörande från Bundesgerichtshof)

Domstolens dom (första avdelningen) av den 26 oktober 2023

”Begäran om förhandsavgörande – Behandling av personuppgifter – Förordning (EU) 2016/679 – Artiklarna 12, 15 och 23 – Den registrerades rätt att få tillgång till personuppgifter rörande honom eller henne vilka är under behandling – Rätt att kostnadsfritt få en första kopia av dessa uppgifter – En läkares behandling av sin patients personuppgifter – Patientjournal – Skälen för begäran om att få tillgång till uppgifterna – Uppgifterna kommer att användas för att framställa skadeståndsanspråk gentemot vårdutövaren – Begreppet kopia”

1. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att få tillgång till uppgifter rörande honom eller henne vilka är under behandling – Rätt att kostnadsfritt få en första kopia av sina personuppgifter – Den personuppgiftsansvariges skyldighet att tillhandahålla en sådan kopia – Skyldighet för den registrerade att motivera sin begäran att få tillgång till uppgifterna vilken påstås följa av ingressen till förordningen – Föreligger inte

   (Europaparlamentets och rådets direktiv 2016/679, skäl 63 och artiklarna 12.5, 15.1 och 15.3)

   (se punkterna 35–38, 43, 46 och 50–52 samt punkt 1 i domslutet)

2. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Möjlighet för medlemsstaterna att anta lagstiftning som begränsar omfattningen av vissa rättigheter och skyldigheter som föreskrivs i förordningen – Nationell lagstiftning antagen före eller efter förordningens ikraftträdande – Saknar relevans

   (Europaparlamentets och rådets förordning 2016/679, artikel 23.1)

   (se punkterna 54–56 och 69 samt punkt 2 i domslutet)

3. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att få tillgång till uppgifter rörande honom eller henne vilka är under behandling – Rätt att kostnadsfritt få en första kopia av sina personuppgifter – Begränsningar – Villkor – Skydd för andras fri- och rättigheter – Möjlighet för en medlemsstat att anta nationell lagstiftning för att skydda den personuppgiftsansvariges ekonomiska intressen och låta den registrerade bära kostnaderna för en första kopia av uppgifterna – Föreligger inte

   (Europaparlamentets och rådets förordning 2016/679, artikel 23.1 i)

   (se punkterna 35–62, 64, 65 och 67–69 samt punkt 2 i domslutet)

4. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att få tillgång till uppgifter rörande honom eller henne vilka är under behandling – Tillhandahållande av en kopia av uppgifterna – Begreppet kopia – Den registrerade ska erhålla en exakt och begriplig återgivning av dessa uppgifter – Kopia av utdrag ur handlingar eller till och med hela handlingar samt utdrag ur databaser, vilka bland annat innehåller nämnda uppgifter – Omfattas – Villkor

   (Europaparlamentets och rådets förordning 2016/679, skäl 58 samt artiklarna 12.1, 15.1 och 15.3 första meningen)

   (se punkterna 71–75)

5. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att få tillgång till uppgifter rörande honom eller henne vilka är under behandling – Tillhandahållande av en kopia av uppgifterna – Begreppet kopia – Den registrerade ska erhålla en exakt och begriplig återgivning av samtliga uppgifter i sin patientjournal – Fullständig kopia av handlingarna i patientjournalen – Omfattas – Villkor

   (Europaparlamentets och rådets förordning 2016/679, skäl 63 och artikel 15.3 första meningen)

   (se punkterna 76–79 samt punkt 3 i domslutet)

Resumé

DW begärde att hans tandläkare, FT, kostnadsfritt skulle överlämna en första kopia av hans patientjournal till honom. Han framställde sin begäran i syfte att framställa skadeståndsanspråk mot FT på grund av fel som han ansåg att FT hade begått i samband med en tandvårdsbehandling av honom.

Med hänvisning till tysk rätt, enligt vilken en patient kan erhålla en kopia av sin patientjournal under förutsättning att han eller hon ersätter vårdutövaren för de kostnader som detta är förenat med, ( 1 ) vägrade FT att tillhandahålla DW den begärda kopian. DW väckte då talan mot FT. Både domstolen i första instans och domstolen i andra instans biföll DW:s yrkande om att kostnadsfritt få en första kopia av sin patientjournal.

FT överklagade domen till Bundesgerichtshof (Federala högsta domstolen, Tyskland) som har ställt frågor till EU-domstolen om tolkningen av de bestämmelser i dataskyddsförordningen som avser villkoren för utövandet av den registrerades rätt att få tillgång till sina personuppgifter och begränsningarna av denna rättighets tillämpningsområde. ( 2 )

I sin dom slår domstolen för det första fast att den personuppgiftsansvarige är skyldig att på den registrerades begäran kostnadsfritt tillhandahålla en första kopia av hans eller hennes personuppgifter även för andra syften än dem som uttryckligen nämns i ingressen till dataskyddsförordningen och som avser den registrerades önskan att få kännedom om behandlingen av dessa uppgifter och kontrollera att denna är lagenlig. Domstolen uttalar sig därefter om gränserna för medlemsstaternas möjlighet att, med hänvisning till den registeransvariges ekonomiska intressen, begränsa rätten att erhålla en kopia av personuppgifterna genom att ålägga den registrerade att betala de kostnader som den registeransvarige ådrar sig för detta ändamål. Domstolen undersöker slutligen behovet av att i vissa fall tillställa den registrerade en fullständig kopia av personuppgifterna i hans eller hennes patientjournal.

Domstolens bedömning

Domstolen behandlar först frågan huruvida den personuppgiftsansvarige är skyldig att kostnadsfritt tillhandahålla den registrerade en första kopia av hans eller hennes personuppgifter även när den registrerade begärt detta för ett annat syfte än dem som uttryckligen anges i ingressen till dataskyddsförordningen. Den erinrar om att artikel 15.3 första meningen i denna förordning ger den registrerade rätt att erhålla en exakt återgivning av sina personuppgifter i vid mening när personuppgifterna är föremål för åtgärder som kan kvalificeras som ”behandling som utförs av den personuppgiftsansvarige”. ( 3 ) Det framgår vidare av en sammantagen bedömning av de relevanta bestämmelserna i dataskyddsförordningen ( 4 ) dels att den registrerade har rätt att kostnadsfritt erhålla en första kopia av personuppgifter rörande honom eller henne vilka är under behandling, dels att den personuppgiftsansvarige på vissa villkor har möjlighet att ta ut en rimlig avgift för att täcka de administrativa kostnaderna eller att vägra att tillmötesgå en begäran om denna är uppenbart ogrundad eller orimlig.

Inte i någon av dessa bestämmelser uppställs emellertid något krav på att den registrerade ska åberopa ett skäl till stöd för sin begäran för att han eller hon kostnadsfritt ska kunna erhålla en första kopia av personuppgifterna. De skäl för begäran som uttryckligen anges i ingressen till dataskyddsförordningen ( 5 ) kan således inte begränsa tillämpningsområdet för dessa bestämmelser. Rätten att få tillgång till hälsorelaterade uppgifter ( 6 ) får således inte begränsas till att endast avse de fall där något av dessa skäl föreligger och att tillgång i övriga fall får nekas eller beviljas endast mot betalning av en ersättning. Detsamma gäller rätten att kostnadsfritt erhålla en första kopia av dessa uppgifter.

Principen om att den första kopian av uppgifterna ska tillhandahållas kostnadsfritt och den omständigheten att det inte krävs att den registrerade åberopar något specifikt skäl som motiverar begäran om tillgång bidrar med nödvändighet till att underlätta den registrerades utövande av sina rättigheter enligt dataskyddsförordningen. Med hänsyn till den betydelse som rätten att få tillgång till personuppgifter har för att uppnå de mål som eftersträvas med förordningen kan utövandet av denna rätt inte göras beroende av villkor som inte uttryckligen har föreskrivits av unionslagstiftaren.

Domstolen slår vidare fast att en medlemsstat inte har rätt att anta nationell lagstiftning i vilken det, för att skydda den personuppgiftsansvariges ekonomiska intressen, föreskrivs att den registrerade ska bära kostnaderna för en första kopia av hans eller hennes personuppgifter.

Den registrerades rätt att kostnadsfritt erhålla en första kopia av sina personuppgifter är visserligen inte absolut, och hänsyn till skyddet av andras rättigheter och friheter kan under vissa förutsättningar motivera en begränsning av denna rättighet. ( 7 ) I den utsträckning som den nationella lagstiftningen i förevarande fall syftar till att skydda vårdutövarnas ekonomiska intressen, genom att avhålla patienterna från att framställa en begäran i onödan, konstaterar domstolen emellertid att dessa överväganden inte kan utgöra sådana rättigheter och friheter.

En sådan lagstiftning leder nämligen till att patienterna inte bara avhålls från att framställa en begäran i onödan, utan även till att de avhålls från att framställa en begäran i ett legitimt syfte för att kostnadsfritt få en första kopia av de personuppgifter som är under behandling. Den strider följaktligen med nödvändighet mot principen om att den första kopian ska tillhandahållas kostnadsfritt och äventyrar därmed den ändamålsenliga verkan av den registrerades rätt att få tillgång till sina personuppgifter, vilken föreskrivs i dataskyddsförordningen, och därmed även det skydd som säkerställs genom denna förordning

Domstolen understryker dessutom att de personuppgiftsansvarigas ekonomiska intressen har beaktats i dataskyddsförordningen, i vilken det anges under vilka omständigheter den personuppgiftsansvarige kan begära betalning av en avgift för kostnaderna för tillhandahållandet av en kopia av personuppgifterna.

Domstolen anser slutligen att rätten att i en patient–läkare-relation erhålla en kopia av personuppgifterna innebär att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt förutsätter en rätt att erhålla en fullständig kopia av handlingarna i patientjournalen, om detta är nödvändigt för att den registrerade ska kunna kontrollera att uppgifterna är korrekta och fullständiga och för att säkerställa att de är begripliga.

När det gäller hälsorelaterade uppgifter anges i dataskyddsförordningen att de registrerades rätt till tillgång omfattar ”uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner”. ( 8 ) Det är med hänsyn till den känsliga karaktären hos dessa uppgifter som unionslagstiftaren har framhållit vikten av att enskildas tillgång till uppgifter i patientjournalen ska vara så fullständig och preciserad som möjligt, och att uppgifterna ska vara begripliga.

När det gäller undersökningsresultat, bedömningar av behandlande läkare och vårdbehandlingar eller ingrepp avseende en patient, vilka i regel inkluderar ett stort antal tekniska uppgifter och även bilder, kan emellertid en enkel sammanfattning eller sammanställning av dessa uppgifter som läkaren gör för att presentera dem i sammanfattad form medföra en risk för att vissa relevanta uppgifter utelämnas eller återges felaktigt eller i vart fall att det blir svårare för patienten att kontrollera att uppgifterna är korrekta och fullständiga och att förstå dem.

( 1 ) Artikel 630g punkt 2 andra meningen i Bürgerliches Gesetzbuch (den tyska civilrättslagen).

( 2 ) Begäran om förhandsavgörande avser närmare bestämt artiklarna 12.5, 15.1, 15.3 och 23.1 i) i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).

( 3 ) Dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF (C‑487/21, EU:C:2023:369, punkt 28).

( 4 ) Artiklarna 12.5, 15.1 och 15.3 i dataskyddsförordningen.

( 5 ) I första meningen i skäl 63 i dataskyddsförordningen anges att ”[d]en registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig”.

( 6 ) Denna rättighet garanteras i artikel 15.1 i dataskyddsförordningen.

( 7 ) Enligt artikel 23.1 i) i dataskyddsförordningen.

( 8 ) Skäl 63 i dataskyddsförordningen.