–

Lettlands regering, genom K. Pommere, i egenskap av ombud,

–

Europeiska kommissionen, genom A. Bouchagiar, F. Erlbacher och H. Kranenborg, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artiklarna 12.5, 15.3 och 23.1 i) i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

2

Begäran har framställts i ett mål mellan FT, som är tandläkare, och DW angående FT:s vägran att till sin patient lämna ut en första kopia av dennes patientjournal.

3

Skäl 4 i dataskyddsförordningen har följande lydelse:

”… Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt … näringsfrihet …”

4

Skälen 10 och 11 i dataskyddsförordningen har följande lydelse:

5

I skäl 13 i dataskyddsförordningen anges följande:

”… Dessutom uppmanas unionens institutioner och organ samt medlemsstaterna och deras tillsynsmyndigheter att vid tillämpningen av denna förordning ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov. …”

6

I skäl 58 i dataskyddsförordningen anges följande:

”Öppenhetsprincipen kräver att all information som riktar sig till allmänheten eller till registrerade är kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk samt att man vid behov använder visualisering. Denna information kan ges elektroniskt, exempelvis på en webbplats, när den riktas till allmänheten. Detta är särskilt relevant i situationer där mängden olika aktörer och den tekniska komplexiteten gör det svårt för den registrerade att veta och förstå om personuppgifter som rör honom eller henne samlas in, vem som gör det och för vilket syfte, exempelvis i fråga om reklam på nätet. Eftersom barn förtjänar särskilt skydd, bör all information och kommunikation som riktar sig till barn utformas på ett tydligt och enkelt språk som barnet lätt kan förstå.”

7

I skäl 59 i dataskyddsförordningen anges följande:

”Förfaranden bör fastställas som gör det lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra invändningar. …”

8

Skäl 63 i dataskyddsförordningen har följande lydelse:

”Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. Detta innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner …”

9

I artikel 4 i dataskyddsförordningen föreskrivs följande:

”I denna förordning avses med

1.   personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,

2.   behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

…”

10

I artikel 12 dataskyddsförordningen föreskrivs följande:

”1.   Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt.

2.   Den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22 …

…

5.   Information som tillhandahållits enligt artiklarna 13 och 14, all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34 ska tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen

Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.

…”

11

I artikel 15 dataskyddsförordningen anges följande:

”1.   Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

2.   Om personuppgifterna överförs till ett tredjeland eller till en internationell organisation, ska den registrerade ha rätt till information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits vid överföringen.

3.   Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat.

4.   Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.”

12

I artiklarna 16 och 17 i nämnda förordning fastställs den registrerades rätt att få felaktiga personuppgifter rättade (rätt till rättelse) respektive rätt till radering under vissa omständigheter (rätt till radering eller ”rätten att bli bortglömd”).

13

Artikel 18 i dataskyddsförordningen har rubriken ”Rätt till begränsning av behandling”. I punkt 1 i den artikeln föreskrivs följande:

”Den registrerade ska ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om något av följande alternativ är tillämpligt:

14

Artikel 21 i dataskyddsförordningen har rubriken ”Rätt att göra invändningar”. I punkt 1 i denna artikel föreskrivs följande:

”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”

15

Artikel 23.1 i dataskyddsförordningen har följande lydelse:

”Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa

…

…”

16

Enligt 630f § Bürgerliches Gesetzbuch (civilrättslagen, nedan kallad BGB) är vårdutövare skyldiga att i omedelbar anslutning till behandlingen i dokumentationssyfte föra patientjournal i pappersform eller elektronisk form. Vårdutövare är skyldiga att i patientjournalen dokumentera samtliga åtgärder som i medicinskt hänseende är väsentliga för nuvarande och framtida behandling och resultaten av dessa, vilket i synnerhet omfattar anamnes, diagnoser, undersökningar, undersökningsresultat, bedömningar, vårdbehandlingar och deras verkningar, ingrepp och deras verkningar, samt samtycken och information som lämnats. Läkaren ska bevara patientjournalen i tio år efter det att behandlingen har avslutats, såvida det inte i föreskrivs någon annan lagringstid i någon annan bestämmelse.

17

Enligt 630g § punkt 1 första meningen BGB ska patienten, om han eller hon begär det, utan dröjsmål få ta del av sin fullständiga patientjournal, såvida det inte finns väsentliga terapeutiska skäl som talar mot detta eller det skulle inkräkta på tredje mans väsentliga rättigheter. Enligt 630g § punkt 2 första meningen BGB kan patienten även begära elektroniska kopior av patientjournalen. Mot bakgrund av förarbetena till lagen ska detta förstås så, att patienten efter eget val kan begära att få fysiska eller elektroniska kopior. Enligt 630g § punkt 2 andra meningen BGB ska patienten ersätta vårdutövaren för de kostnader som uppkommer.

18

DW fick tandvård hos FT. Eftersom DW misstänkte att fel hade begåtts vid den behandling som han hade fått begärde denne att FT kostnadsfritt skulle överlämna en första kopia av hans patientjournal. FT meddelade DW att hon endast skulle tillmötesgå hans begäran såvida han gick med på att betala kostnaderna för tillhandahållandet av journalkopian, såsom föreskrivs i nationell rätt.

19

DW väckte talan mot FT. DW:s yrkande om att kostnadsfritt få en första kopia av sin journal bifölls i både första och andra instans. Domstolsavgörandena grundade sig på en tolkning av tillämplig nationell lagstiftning mot bakgrund av artiklarna 12.5, 15.1 och 15.3 i dataskyddsförordningen.

20

FT har överklagat till Bundesgerichtshof (Federala högsta domstolen, Tyskland), som anser att utgången i målet är beroende av hur bestämmelserna i dataskyddsförordningen ska tolkas.

21

Den hänskjutande domstolen har påpekat att patienter enligt nationell rätt kan få en kopia av sina patientjournaler, förutsatt att vårdutövaren får ersättning för kostnaderna för detta.

22

Artikel 15.3 första meningen i dataskyddsförordningen, jämförd med artikel 12.5 första meningen i samma förordning, skulle emellertid kunna innebära att den personuppgiftsansvarige, i förevarande fall vårdutövaren, är skyldig att kostnadsfritt överlämna en första kopia av patientjournalen till patienten.

23

Den hänskjutande domstolen har angett att DW begär att få en första kopia av sin patientjournal i syfte att framställa skadeståndsanspråk mot FT. Detta syfte ingår inte bland de syften som anges i skäl 63 i dataskyddsförordningen. I det skälet anges att patienter har rätt att få tillgång till personuppgifter för att få kännedom om behandlingen av dessa uppgifter och kunna kontrollera att den är laglig. Utifrån ordalydelsen i artikel 15 i dataskyddsförordningen krävs emellertid inte att patienten har ett sådant syfte för att han eller hon ska kunna utöva sin rätt till information. Inte heller uppställs det i denna bestämmelse något krav på att den registrerade motiverar sin begäran om utlämnande.

24

Den hänskjutande domstolen har dessutom understrukit att artikel 23.1 i dataskyddsförordningen tillåter att medlemsstaterna vidtar lagstiftningsåtgärder som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 i förordningen, för att säkerställa uppnåendet av ett av de syften som föreskrivs i denna bestämmelse. FT har i förevarande fall åberopat syftet att skydda andras rättigheter och friheter, vilket anges i artikel 23.1 i) i dataskyddsförordningen, och har gjort gällande att avgiftsregeln i 630g § punkt 2 andra meningen BGB är en nödvändig och proportionerlig bestämmelse för att skydda vårdutövarnas legitima intressen. Regeln gör enligt FT det möjligt att generellt förhindra att de berörda patienterna begär kopior utan att ange något skäl för sin begäran.

25

630g § punkt 2 andra meningen BGB antogs emellertid innan dataskyddsförordningen trädde i kraft.

26

Avgiftsregeln i 630g § punkt 2 andra meningen BGB syftar dessutom i första hand till att skydda vårdutövarnas ekonomiska intressen. Det finns därför skäl att pröva huruvida de sistnämndas intresse av att inte behöva bära kostnader för tillhandahållandet av kopior av uppgifter omfattas av begreppet andras rättigheter och friheter i artikel 23.1 i) i dataskyddsförordningen. En systematisk övervältring på patienterna av kostnaderna för kopior av deras patientjournaler kan dessutom framstå som orimlig, då den inte beaktar vare sig storleken av de faktiskt vållade kostnaderna eller omständigheterna i det enskilda fallet.

27

För det tredje vill den hänskjutande domstolen få klarhet i vad som omfattas av rätten att erhålla en kopia av de personuppgifter som är under behandling enligt artikel 15.3 i dataskyddsförordningen, eftersom DW har begärt att få en kopia av samtliga medicinska handlingar som rör honom, det vill säga av hans patientjournal. Denna rätt skulle eventuellt kunna tillgodoses genom att en sammanfattning av de uppgifter som läkaren behandlat lämnas ut. De mål avseende öppenhet och laglighetskontroll som eftersträvas med dataskyddsförordningen tycks emellertid tala för att en kopia av samtliga uppgifter som den personuppgiftsansvarige förfogar över i obearbetad form, det vill säga samtliga medicinska handlingar som rör patienten, ska lämnas ut i den mån de innehåller sådana uppgifter.

28

Mot denna bakgrund beslutade Bundesgerichtshof (Federala högsta domstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

29

Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artiklarna 12.5, 15.1 och 15.3 i dataskyddsförordningen ska tolkas så, att den personuppgiftsansvarige är skyldig att kostnadsfritt tillhandahålla den registrerade en första kopia av personuppgifter rörande honom eller henne vilka är föremål för behandling, även när begäran framställs för något annat syfte än dem som avses i skäl 63 första meningen i förordningen.

30

Domstolen erinrar inledningsvis om att enligt fast rättspraxis ska vid tolkningen av en unionsbestämmelse inte bara lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (dom av den 12 januari 2023, Österreichische Post (Information om mottagarna av personuppgifter),C‑154/21, EU:C:2023:3, punkt 29).

31

För det första, vad gäller de relevanta bestämmelsernas lydelse, ska det påpekas att det i artikel 12.5 i dataskyddsförordningen uppställs en princip enligt vilken den registrerades rätt att få tillgång till personuppgifter rörande honom eller henne vilka är under behandling och till därmed sammanhängande information ska kunna utövas utan kostnad för den registrerade. I denna bestämmelse anges dock två skäl som kan ge en personuppgiftsansvarig rätt att antingen ta ut en rimlig avgift för att täcka de administrativa kostnaderna eller vägra att tillmötesgå en begäran. Dessa skäl avser fall av rättsmissbruk, där den registrerades begäranden är ”uppenbart ogrundade” eller ”orimliga”, särskilt på grund av deras repetitiva art.

32

Den hänskjutande domstolen har vad gäller detta uttryckligen påpekat att den registrerades begäran inte utgjorde missbruk.

33

Den registrerades rätt att få tillgång till personuppgifter rörande honom eller henne vilka är under behandling och till därmed sammanhängande information, vilken är en oskiljaktig del av rätten till skydd av personuppgifter, garanteras genom artikel 15.1 i dataskyddsförordningen. Enligt ordalydelsen i denna bestämmelse har de registrerade rätt att få tillgång till personuppgifter som är under behandling.

34

Det framgår dessutom av artikel 15.3 i dataskyddsförordningen att den personuppgiftsansvarige ska tillhandahålla en kopia av de personuppgifter som är under behandling och att den personuppgiftsansvarige får ta ut en rimlig avgift för varje ytterligare kopia som den registrerade begär. I artikel 15.4 preciseras att punkt 3 i denna artikel ger denna person en rättighet. Den personuppgiftsansvarige kan således kräva betalning av en sådan avgift endast om den registrerade redan kostnadsfritt har erhållit en första kopia av sina uppgifter och därefter på nytt begär att få en kopia.

35

Såsom domstolen redan har slagit fast framgår det av en analys av ordalydelsen i artikel 15.3 första meningen i dataskyddsförordningen att denna bestämmelse ger den registrerade rätt att erhålla en exakt återgivning av sina personuppgifter i vid mening när personuppgifterna är föremål för åtgärder som ska kvalificeras som ”behandling som utförs av den personuppgiftsansvarige” (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 28).

36

Det framgår således av artikel 12.5, jämförd med artikel 15.1 och 15.3, i dataskyddsförordningen dels att den registrerade har rätt att kostnadsfritt erhålla en första kopia av de personuppgifter rörande honom eller henne vilka är under behandling, dels att den personuppgiftsansvarige på vissa villkor har möjlighet att ta ut en rimlig avgift för att täcka de administrativa kostnaderna eller att vägra att tillmötesgå en begäran om denna är uppenbart ogrundad eller orimlig.

37

Det kan i förevarande fall konstateras att en läkare som utför de behandlingsåtgärder som avses i artikel 4.2 i dataskyddsförordningen avseende personuppgifter rörande sina patienter ska anses vara ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i denna förordning och omfattas av de skyldigheter som åvilar en sådan person, särskilt skyldigheten att ge tillgång till personuppgifter på begäran av de registrerade.

38

Domstolen konstaterar att varken artikel 12.5 eller artikel 15.1 och 15.3 i dataskyddsförordningen uppställer som villkor att den registrerade åberopar ett skäl för att motivera sin begäran, för att han eller hon kostnadsfritt ska kunna erhålla en första kopia av personuppgifterna. Dessa bestämmelser ger således inte den personuppgiftsansvarige möjlighet att kräva att den registrerade anger skälen för sin begäran om tillgång.

39

För det andra, vad gäller det sammanhang i vilket de ovannämnda bestämmelserna ingår, ska det understrykas att artikel 12 i dataskyddsförordningen ingår i avsnitt 1 i kapitel III i denna förordning, som bland annat rör den öppenhetsprincip som nämns i artikel 5.1 a i samma förordning.

40

I artikel 12 i dataskyddsförordningen föreskrivs allmänna skyldigheter för den personuppgiftsansvarige i fråga om klar och tydlig information och kommunikation, samt regleras hur den registrerade kan utöva sina rättigheter.

41

Artikel 15 i dataskyddsförordningen, som ingår i avsnitt 2 i kapitel III om information och tillgång till personuppgifter, kompletterar övriga bestämmelser om öppenhet i dataskyddsförordningen genom att ge den registrerade rätt att få tillgång till sina personuppgifter och rätt att få information om behandlingen av dessa uppgifter.

42

I skäl 59 i dataskyddsförordningen anges dessutom att ”[f]örfaranden bör fastställas som gör det lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra invändningar”.

43

Eftersom den registrerade, såsom framgår av punkt 38 ovan, inte är skyldig att motivera sin begäran om tillgång till uppgifterna, kan den första meningen i skäl 63 inte tolkas så, att begäran ska avslås om den har ett annat syfte än att få kännedom om behandlingen av uppgifterna och kontrollera att den är laglig. Detta skäl kan nämligen inte begränsa räckvidden av artikel 15.3 i dataskyddsförordningen, såsom det erinrats om i punkt 35 ovan.

44

Av fast rättspraxis följer nämligen att ingressen till en unionsrättsakt inte är juridiskt bindande och således vare sig kan åberopas till stöd för undantag från bestämmelserna i den aktuella rättsakten eller för att tolka dessa bestämmelser på ett sätt som uppenbart strider mot deras lydelse (dom av den 13 september 2018, Česká pojišťovna,C‑287/17, EU:C:2018:707, punkt 33).

45

I den andra meningen i skäl 63 anges för övrigt att de registrerades rätt att få tillgång till personuppgifter omfattar, såvitt gäller uppgifter om deras hälsa, ”uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner”.

46

Under dessa omständigheter kan den rätt att få tillgång till hälsorelaterade uppgifter som garanteras i artikel 15.1 i dataskyddsförordningen inte begränsas till att endast avse de fall där något av de skäl som anges i den första meningen i skäl 63 föreligger och att tillgång i övriga fall får nekas eller beviljas endast mot betalning av en ersättning. Detsamma gäller den rätt att kostnadsfritt erhålla en första kopia som föreskrivs i artiklarna 12.5 och 15.3 i förordningen.

47

För det tredje, vad gäller de mål som eftersträvas med dataskyddsförordningen, ska det påpekas att förordningen, såsom anges i skälen 10 och 11 i denna, syftar till att säkerställa en enhetlig och hög skyddsnivå för fysiska personer inom unionen samt att stärka och precisera de registrerades rättigheter.

48

Det är just för att uppnå detta mål som artikel 15.1 garanterar den registrerade en rätt att få tillgång till sina personuppgifter (se, för ett liknande resonemang, dom av den 22 juni 2023, Pankki S, C‑579/21, EU:C:2023:501, punkt 57 och där angiven rättspraxis).

49

Artiklarna 12.5, 15.1 och 15.3 i dataskyddsförordningen ingår således bland de bestämmelser som är avsedda att säkerställa denna rätt till tillgång samt den registrerades insyn i hur personuppgifterna behandlas (se, för ett liknande resonemang, dom av den 12 januari 2023, Österreichische Post (Information om mottagarna av personuppgifter), C‑154/21, EU:C:2023:3, punkt 42).

50

Principen om att den första kopian av uppgifterna ska tillhandahållas kostnadsfritt och den omständigheten att det inte krävs att den registrerade åberopar något specifikt skäl som motiverar begäran om tillgång bidrar med nödvändighet till att underlätta den registrerades utövande av sina rättigheter enligt dataskyddsförordningen.

51

Med hänsyn till den betydelse som rätten att få tillgång till personuppgifter som är under behandling, såsom denna garanteras i artikel 15.1 i dataskyddsförordningen för att uppnå nämnda mål tillmäts i nämnda förordning, kan utövandet av denna rätt inte göras beroende av villkor som inte uttryckligen har föreskrivits av unionslagstiftaren, såsom skyldigheten att åberopa något av de skäl som anges i skäl 63 första meningen i dataskyddsförordningen.

52

Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artiklarna 12.5, 15.1 och 15.3 i dataskyddsförordningen ska tolkas så, att den personuppgiftsansvariges skyldighet att kostnadsfritt tillhandahålla den registrerade en första kopia av personuppgifter rörande honom eller henne vilka är under behandling, även föreligger när begäran framställs för något annat syfte än dem som avses i skäl 63 första meningen i förordningen.

53

Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 23.1 i) i dataskyddsförordningen ska tolkas så, att den tillåter en nationell lagstiftning som antagits innan förordningen trädde i kraft och i vilken det, för att skydda den personuppgiftsansvariges ekonomiska intressen, föreskrivs att den registrerade ska betala kostnaderna för en första kopia av personuppgifter rörande honom eller henne vilka är under behandling.

54

För det första, vad gäller frågan huruvida endast nationella bestämmelser som antagits efter det att dataskyddsförordningen trädde i kraft kan omfattas av tillämpningsområdet för artikel 23.1 i dataskyddsförordningen, ska det understrykas att ordalydelsen i denna bestämmelse inte ger någon vägledning härom.

55

I artikel 23.1 i dataskyddsförordningen anges nämligen endast att en av en medlemsstat vidtagen lagstiftningsåtgärd får begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 i förordningen, i den mån åtgärden motsvarar de rättigheter och skyldigheter som fastställs i dessa artiklar och en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd som vidtas i syfte att säkerställa bland annat skyddet av andra människors rättigheter och friheter.

56

Artikel 23.1 i dataskyddsförordningen utesluter följaktligen inte nationella lagstiftningsåtgärder som antagits innan dataskyddsförordningen trädde i kraft från förordningens tillämpningsområde, förutsatt att de uppfyller de villkor som föreskrivs i förordningen.

57

För det andra, vad gäller frågan huruvida en nationell lagstiftning som, i syfte att skydda vårdutövarnas ekonomiska intressen, låter patienten bära kostnaderna för tillhandahållandet av en av denne begärd första kopia av patientjournalen omfattas av artikel 23.1 i) i dataskyddsförordningen, erinrar domstolen till att börja med om att den registrerade, såsom framgår av punkterna 31 och 33–36 ovan, enligt artiklarna 12.5, 15.1 och 15.3 i förordningen har rätt att kostnadsfritt erhålla en första kopia av de personuppgifter som är under behandling.

58

Enligt den andra meningen i artikel 15.3 i dataskyddsförordningen får den personuppgiftsansvarige emellertid ta ut en rimlig avgift baserad på de administrativa kostnaderna för alla ytterligare kopior. Artikel 12.5 i dataskyddsförordningen, jämförd med artikel 15.1 och 15.3 i samma förordning, ger dessutom den personuppgiftsansvarige en möjlighet att skydda sig mot missbruk av rätten till tillgång genom att ta ut en rimlig avgift i händelse av en uppenbart ogrundad eller orimlig begäran.

59

Vidare framgår det av skäl 4 i förordningen att rätten till skydd av personuppgifter inte är en absolut rättighet utan måste vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Dataskyddsförordningen respekterar således alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan om de grundläggande rättigheterna, såsom de fastställts i fördragen (dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål), C‑175/20, EU:C:2022:124, punkt 53).

60

I artikel 15.4 i dataskyddsförordningen föreskrivs att ”rätt[en] till en kopia … ska inte inverka menligt på andras rättigheter och friheter”.

61

På samma sätt erinras det i artikel 23.1 i) i dataskyddsförordningen om att en begränsning av tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bland annat artikel 15 i dataskyddsförordningen är möjlig ”i den mån … en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa … skydd av … andras rättigheter och friheter”.

62

Av punkterna 59–61 ovan framgår följaktligen att den registrerades rätt att kostnadsfritt erhålla en första kopia av personuppgifter rörande honom eller henne vilka är under behandling inte är absolut.

63

För det tredje kan endast hänsyn till skyddet av andras rättigheter och friheter motivera en begränsning av denna rättighet, under förutsättning att en sådan begränsning görs med respekt för andemeningen i dessa och utgör en nödvändig och proportionerlig åtgärd för att säkerställa detta skydd, såsom föreskrivs i artikel 23.1 i) i dataskyddsförordningen.

64

Såsom framgår av beslutet om hänskjutande gör avgiftsregeln i 630g § punkt 2 andra meningen BGB det möjligt för vårdutövaren att låta patienten bära kostnaderna för tillhandahållandet av en av denne begärd första kopia av hans eller hennes patientjournal. Den hänskjutande domstolen har understrukit att denna regel i första hand syftar till att skydda vårdutövarnas ekonomiska intressen, och att den kan avhålla patienterna från att i onödan begära kopior av sin patientjournal. I den mån som den nu aktuella nationella lagstiftningen faktiskt syftar till att skydda vårdutövarnas ekonomiska intressen, vilket det ankommer på den hänskjutande domstolen att kontrollera, kan konstateras att sådana överväganden inte kan omfattas av begreppet ”andras rättigheter och friheter” i artikel 23.1 i) i dataskyddsförordningen.

65

För det första leder en sådan lagstiftning till att patienterna inte bara avhålls från att framställa en begäran i onödan, utan även till att de avhålls från att framställa en begäran i ett legitimt syfte för att kostnadsfritt få en första kopia av de personuppgifter som är under behandling. Den strider följaktligen med nödvändighet mot principen om att den första kopian ska tillhandahållas kostnadsfritt och äventyrar därmed den ändamålsenliga verkan av den rätt till tillgång till personuppgifter som föreskrivs i artikel 15.1 i dataskyddsförordningen och därmed även det skydd som säkerställs genom denna förordning.

66

För det andra framgår det inte av beslutet om hänskjutande att de intressen som skyddas genom den nationella lagstiftningen går utöver rent administrativa eller ekonomiska överväganden.

67

Det ska i detta sammanhang understrykas att de personuppgiftsansvarigas ekonomiska intressen har beaktats av unionslagstiftaren i artiklarna 12.5 och 15.3 andra meningen i dataskyddsförordningen. Såsom det erinrats om i punkt 58 ovan anges i dessa bestämmelser under vilka omständigheter den personuppgiftsansvarige kan begära betalning av en avgift för kostnaderna för tillhandahållandet av en kopia av de personuppgifter som är under behandling.

68

Under dessa omständigheter kan eftersträvandet av målet att skydda vårdutövarnas ekonomiska intressen inte motivera en åtgärd som leder till att rätten att kostnadsfritt erhålla en första kopia, och därmed den ändamålsenliga verkan av den registrerades rätt att få tillgång till sina personuppgifter som är föremål för behandling, äventyras.

69

Mot bakgrund av det ovan anförda ska den andra frågan besvaras enligt följande. Artikel 23.1 i) i dataskyddsförordningen ska tolkas så, att nationell lagstiftning som antagits innan denna förordning trädde i kraft kan omfattas av denna bestämmelses tillämpningsområde. Detta förhållande gör det emellertid inte möjligt att anta nationell lagstiftning i vilken det, för att skydda den personuppgiftsansvariges ekonomiska intressen, föreskrivs att den registrerade ska bära kostnaderna för en första kopia av personuppgifter rörande honom eller henne vilka är under behandling.

70

Den hänskjutande domstolen har ställt den tredje frågan för att få klarhet i huruvida artikel 15.3 första meningen i dataskyddsförordningen ska tolkas så, att rätten att i en patient-läkarrelation erhålla en kopia av de personuppgifter som är under behandling innebär att den registrerade ska tillställas en fullständig kopia av de handlingar i hans eller hennes patientjournal som innehåller vederbörandes personuppgifter eller endast en kopia av dessa uppgifter som sådana.

71

Det ska inledningsvis erinras om att EU-domstolen har slagit fast att artikel 15.3 första meningen i dataskyddsförordningen enligt sin ordalydelse ger den registrerade rätt att erhålla en exakt återgivning av sina personuppgifter i vid mening när personuppgifterna är föremål för åtgärder som kan kvalificeras som behandling som utförs av den personuppgiftsansvarige (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 28).

72

Vidare kan artikel 15 i dataskyddsförordningen inte tolkas så, att den i punkt 3 första meningen föreskriver en rättighet som skiljer sig från den i punkt 1. Dessutom syftar ordet ”kopia” inte på en handling i sig, utan på de personuppgifter som handlingen innehåller och som ska vara fullständiga. Kopian ska således innehålla samtliga personuppgifter som är under behandling (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 32).

73

Vad slutligen gäller de mål som eftersträvas med artikel 15 i dataskyddsförordningen, konstaterar domstolen att denna syftar till att stärka och precisera de registrerades rättigheter. Den rätt att få tillgång till uppgifter som föreskrivs i denna bestämmelse ska således göra det möjligt för den registrerade att försäkra sig om att hans eller hennes personuppgifter är korrekta och att de behandlas på ett lagligt sätt. Den kopia av personuppgifter som är under behandling vilken den personuppgiftsansvarige ska tillhandahålla enligt artikel 15.3 första meningen i dataskyddsförordningen ska dessutom vara av sådan beskaffenhet att den registrerade på ett effektivt sätt kan utöva sina rättigheter enligt denna förordning och den ska följaktligen återge dessa uppgifter fullständigt och exakt (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkterna 33, 34 och 39).

74

För att säkerställa att den information som den personuppgiftsansvarige tillhandahåller är lätt att förstå, såsom krävs enligt artikel 12.1 i dataskyddsförordningen, jämförd med skäl 58 i samma förordning, kan det särskilt visa sig vara nödvändigt att återge utdrag ur handlingar eller till och med hela handlingar eller utdrag ur databaser, vilka bland annat innehåller de personuppgifter som är under behandling, om det är nödvändigt att de behandlade uppgifterna sätts in i sitt sammanhang för att säkerställa att de är begripliga (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 41).

75

Rätten att av den registeransvarige erhålla en kopia av de personuppgifter som är under behandling innebär att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt innefattar rätten att erhålla en kopia av utdrag ur handlingar eller till och med av hela handlingar, vilka bland annat innehåller nämnda uppgifter, om tillhandahållandet av en sådan kopia är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt denna förordning på ett effektivt sätt (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 45).

76

Vad gäller de uppgifter som är aktuella i det nationella målet kan det konstateras att det i dataskyddsförordningen anges vilka delar som klaganden ska kunna begära en kopia av. När det gäller hälsorelaterade uppgifter anges i skäl 63 i förordningen att de registrerades rätt till tillgång omfattar ”uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner”.

77

Såsom generaladvokaten har påpekat, i punkterna 78–80 i sitt förslag till avgörande, är det med hänsyn till den känsliga karaktären hos personuppgifter som rör fysiska personers hälsa som unionslagstiftaren har framhållit vikten av att enskildas tillgång till uppgifter i patientjournalen ska vara så fullständig och preciserad som möjligt, och att uppgifterna ska vara begripliga.

78

När det gäller undersökningsresultat, bedömningar av behandlande läkare och vårdbehandlingar eller ingrepp avseende en patient, vilka i regel inkluderar ett stort antal tekniska uppgifter och även bilder, kan emellertid en enkel sammanfattning eller sammanställning av dessa uppgifter som läkaren gör för att presentera dem i sammanfattad form medföra en risk för att vissa relevanta uppgifter utelämnas eller återges felaktigt eller i vart fall att det blir svårare för patienten att kontrollera att uppgifterna är korrekta och fullständiga och att förstå dem.

79

Mot bakgrund av det ovan anförda ska den tredje frågan besvaras enligt följande. Artikel 15.3 första meningen i dataskyddsförordningen ska tolkas så, att rätten att i en patient-läkarrelation erhålla en kopia av de personuppgifter som är under behandling innebär att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt förutsätter en rätt att erhålla en fullständig kopia av de handlingar i patientjournalen som bland annat innehåller nämnda uppgifter, om det är nödvändigt att tillhandahålla en sådan kopia för att den registrerade ska kunna kontrollera att uppgifterna är korrekta och fullständiga och för att säkerställa att de är begripliga. När det gäller uppgifter om den registrerades hälsa omfattar denna rätt under alla omständigheter rätten att erhålla en kopia av uppgifter i patientjournalen som innehåller information om till exempel diagnoser, undersökningsresultat, bedömningar från behandlande läkare och alla vårdbehandlingar eller ingrepp avseende den registrerade.

80

Eftersom förfarandet i förhållande till parterna i de nationella målen utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (första avdelningen) följande: