Cauza C‑487/21
F. F.
împotriva
Österreichische Datenschutzbehörde și CRIF GmbH
[cerere de decizie preliminară formulată de Bundesverwaltungsgericht (Austria)]
Hotărârea Curții (Camera întâi) din 4 mai 2023
„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Articolul 15 alineatul (3) – Furnizarea unei copii a datelor – Noțiunea de «copie» – Noțiunea de «informații»”
1. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Furnizarea unei copii a datelor – Noțiunea de copie – Predare a unei reproduceri fidele și inteligibile a acestor date persoanei vizate – Copie a unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele menționate – Includere – Condiție
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentele (58) și (60) și art. 12 alin. (1) și art. 15 alin. (1) și alin. (3) prima teză]
(a se vedea punctele 21, 28, 32 și 36-45 și dispozitiv 1)
2. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Furnizarea unei copii a datelor – Noțiunea de informații – Date cu caracter personal care trebuie să fie furnizate de operator sub formă de copie – Includere
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 15 alin. (3) a treia teză]
(a se vedea punctele 48-53 și dispozitiv 2)
Rezumat
RGPD: dreptul de a obține o „copie” a datelor cu caracter personal presupune ca persoanei vizate să i se ofere o reproducere fidelă și inteligibilă a tuturor acestor date
Acest drept îl implică pe cel de a obține copia unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin datele respective, dacă acest lucru este indispensabil pentru a permite persoanei vizate să își exercite în mod efectiv drepturile care îi sunt conferite prin acest regulament
CRIF este o agenție de consultanță comercială care furnizează, la cererea clienților săi, informații privind solvabilitatea unor terți. În acest scop, ea a prelucrat datele cu caracter personal ale reclamantului din litigiul principal, un particular. Acesta din urmă a solicitat CRIF, în temeiul Regulamentului general privind protecția datelor(1), să aibă acces la datele cu caracter personal care îl privesc. În plus, el a solicitat furnizarea unei copii a documentelor, și anume e‑mailurile și extrasele din bazele de date, care conțin printre altele datele sale, „într‑un format tehnic standard”.
Ca răspuns la această cerere, CRIF i‑a transmis reclamantului din litigiul principal, sub formă sintetică, lista datelor sale cu caracter personal care fac obiectul unei prelucrări. Considerând că CRIF ar fi trebuit să îi transmită o copie a tuturor documentelor care conțineau datele sale, precum e‑mailurile și extrasele din bazele de date, reclamantul din litigiul principal a introdus o reclamație la Österreichische Datenschutzbehörde (Autoritatea Austriacă de Protecție a Datelor). Această autoritate a respins reclamația, considerând că CRIF nu a săvârșit nicio încălcare a dreptului de acces la datele cu caracter personal ale reclamantului din litigiul principal.
Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), sesizat cu acțiunea reclamantului din litigiul principal împotriva deciziei de respingere adoptate de această autoritate, ridică problema întinderii obligației prevăzute la articolul 15 alineatul (3) prima teză din RGPD de a furniza persoanei vizate o „copie” a datelor sale cu caracter personal care fac obiectul unei prelucrări. Această instanță ridică în special problema dacă această obligație este îndeplinită atunci când operatorul transmite datele cu caracter personal sub forma unui tabel sintetic sau dacă implică și transmiterea unor extrase din documente sau chiar a unor documente întregi, precum și a unor extrase din baze de date, în care aceste date sunt reproduse. Instanța de trimitere solicită în plus precizări cu privire la ceea ce include mai exact noțiunea de „informații” care figurează la articolul 15 alineatul (3) a treia teză din RGPD(2).
Prin hotărârea sa, Curtea aduce precizări cu privire la conținutul și la întinderea dreptului de acces al persoanei vizate la datele sale cu caracter personal care fac obiectul unei prelucrări. În această privință, ea consideră că dreptul de a obține din partea operatorului o „copie” a datelor cu caracter personal care fac obiectul unei prelucrări în temeiul articolului 15 alineatul (3) prima teză din RGPD presupune ca persoanei vizate să îi fie predată o reproducere fidelă și inteligibilă a tuturor acestor date. Acest drept îl presupune pe cel de a obține copia unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele menționate, dacă furnizarea unei astfel de copii este indispensabilă pentru a‑i permite persoanei vizate să își exercite în mod efectiv drepturile care îi sunt conferite de RGPD, subliniindu‑se că trebuie să se țină seama în această privință de drepturile și de libertățile altora. Pe de altă parte, Curtea precizează că noțiunea de „informații” prevăzută la articolul 15 alineatul (3) a treia teză din RGPD se referă exclusiv la datele cu caracter personal pentru care operatorul trebuie să furnizeze o copie în temeiul primei teze a acestui alineat.
Aprecierea Curții
Într‑o primă etapă, Curtea efectuează o interpretare literală, sistematică și teleologică a articolului 15 alineatul (3) prima teză din RGPD, care prevede dreptul persoanei vizate de a obține o copie a datelor sale cu caracter personal care fac obiectul unei prelucrări.
În ceea ce privește modul de redactare a articolului 15 alineatul (3) prima teză din RGPD, Curtea arată că, deși această dispoziție nu conține o definiție a noțiunii de „copie”, trebuie să se țină seama de sensul obișnuit al acestui termen, care desemnează reproducerea sau transcrierea fidelă a unui original, astfel încât o descriere pur generală a datelor care fac obiectul unei prelucrări sau o trimitere la categorii de date cu caracter personal nu ar corespunde acestei definiții. În plus, din termenii acestei dispoziții reiese că obligația de comunicare se raportează la datele cu caracter personal care fac obiectul prelucrării în cauză. După ce a efectuat o analiză textuală a dispoziției menționate, Curtea consideră că aceasta conferă persoanei vizate dreptul de a obține o reproducere fidelă a datelor sale cu caracter personal, înțelese într‑o accepțiune largă, care fac obiectul unor operațiuni ce trebuie calificate drept prelucrare efectuată de operatorul acestei prelucrări.
În ceea ce privește contextul în care se înscrie articolul 15 alineatul (3) prima teză din RGPD, Curtea arată că articolul 15 din RGPD definește la alineatul (1) obiectul și domeniul de aplicare al dreptului de acces recunoscut persoanei vizate. Articolul 15 alineatul (3) din RGPD precizează modalitățile practice de executare a obligației care îi revine operatorului, specificând în special în prima sa teză forma sub care acest operator trebuie să furnizeze datele cu caracter personal care fac obiectul prelucrării, și anume sub forma unei „copii”. În consecință, articolul 15 din RGPD nu poate fi interpretat în sensul că ar consacra, la alineatul (3) prima teză, un drept distinct de cel prevăzut la alineatul (1). Pe de altă parte, Curtea precizează că termenul „copie” nu se raportează la un document ca atare, ci la datele cu caracter personal pe care le conține și care trebuie să fie complete. Prin urmare, copia trebuie să conțină toate datele cu caracter personal care fac obiectul prelucrării.
În ceea ce privește obiectivele urmărite de articolul 15 din RGPD, Curtea arată că dreptul de acces prevăzut la acest articol trebuie să îi permită persoanei vizate să verifice că datele cu caracter personal care o privesc sunt exacte și că ele sunt prelucrate în mod legal.
În plus, potrivit Curții, reiese din RGPD(3) că operatorul este obligat să ia măsuri adecvate pentru a‑i furniza persoanei vizate orice informație menționată, într‑un mod concis, transparent, inteligibil și ușor accesibil, utilizând un limbaj clar și simplu, și că informațiile trebuie furnizate în scris sau prin alte mijloace, inclusiv, atunci când este oportun, prin mijloace electronice, cu excepția cazului în care persoana vizată solicită să îi fie furnizate verbal. Rezultă de aici că copia datelor cu caracter personal care fac obiectul unei prelucrări, pe care operatorul trebuie să o furnizeze, trebuie să prezinte toate caracteristicile care permit persoanei vizate să își exercite în mod efectiv drepturile în temeiul RGPD și trebuie, în consecință, să reproducă aceste date integral și fidel.
Așadar, pentru a garanta că informațiile astfel furnizate sunt ușor de înțeles, reproducerea unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele cu caracter personal care fac obiectul unei prelucrări se poate dovedi indispensabilă. În special, în cazul în care datele cu caracter personal sunt generate pornind de la alte date sau atunci când astfel de date rezultă din câmpuri libere, și anume lipsa unei indicații care să dezvăluie o informație cu privire la persoana vizată, contextul prelucrării acestor date este un element indispensabil pentru a permite persoanei vizate să dispună de un acces transparent și de o prezentare inteligibilă a acestor date.
În caz de conflict între, pe de o parte, exercitarea unui drept de acces deplin și complet la datele cu caracter personal și, pe de altă parte, drepturile sau libertățile altora, va fi necesar să se pună în balanță drepturile și libertățile în discuție. În măsura posibilului, trebuie să se aleagă modalitățile de comunicare a datelor cu caracter personal care nu aduc atingere drepturilor sau libertăților altora, ținând seama de faptul că aceste considerații nu trebuie să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate.
Într‑o a doua etapă, Curtea abordează problema conținutului noțiunii de „informații” menționate la articolul 15 alineatul (3) a treia teză din RGPD. Deși această dispoziție nu precizează ce trebuie să se înțeleagă prin termenul „informații”, din contextul său rezultă că „informațiile” pe care le vizează corespund în mod necesar datelor cu caracter personal pentru care operatorul trebuie să furnizeze o copie în conformitate cu prima teză a acestui alineat.