Predmet C-487/21
F. F.
protiv
Österreichische Datenschutzbehörde i CRIF GmbH
(zahtjev za prethodnu odluku koji je uputio Bundesverwaltungsgericht (Austrija))
Presuda Suda (prvo vijeće) od 4. svibnja 2023.
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Ispitanikovo pravo na pristup njegovim podacima koji se obrađuju – Osiguravanje kopije podataka – Pojam ‚kopija’ – Pojam ‚informacije’”
1. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Ispitanikovo pravo na pristup njegovim podacima koji se obrađuju – Osiguravanje kopije podataka – Pojam kopije – Predaja ispitaniku vjerne i razumljive reprodukcije njegovih podataka – Kopija izvadaka iz dokumenata, čak i cijelih dokumenata, ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju te podatke – Uključenost – Uvjet
(Uredba 2016/679 Europskog parlamenta i Vijeća, uvodne izjave 58. i 60. te čl. 12. st. 1., čl. 15. st. 1. i čl. 15. st.3. prva rečenica)
(t. 21., 28., 32., 36.-45. i t. 1. izreke)
2. Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Ispitanikovo pravo na pristup njegovim podacima koji se obrađuju – Osiguravanje kopije podataka – Pojam informacija – Osobni podaci koje voditelj obrade treba osigurati u obliku kopije – Uključenost
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 15. st. 3. treća rečenica)
(t. 48.-53. i t. 2. izreke)
Kratak prikaz
OUZP: pravo na dobivanje „kopije” osobnih podataka znači da se ispitaniku preda vjerna i razumljiva reprodukcija svih tih podataka
To pravo podrazumijeva pravo na dobivanje kopije izvadaka iz dokumenata, čak i cijelih dokumenata, ili pak izvadaka iz baza podataka koji sadržavaju navedene podatke, ako je to neophodno kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom
CRIF je društvo za poslovno savjetovanje koje na zahtjev svojih klijenata pruža informacije o solventnosti trećih osoba. U tu je svrhu obrađivalo osobne podatke tužitelja iz glavnog postupka, pojedinca. Potonji je, na temelju Opće uredbe o zaštiti podataka(1), od društva CRIF zatražio pristup osobnim podacima koji se na njega odnose. Usto, zatražio je da mu se osigura kopija dokumenata, odnosno poruke elektroničke pošte i izvadci iz baza podataka koji, među ostalim, sadržavaju njegove podatke, „u uobičajenom tehničkom formatu”.
U odgovoru na taj zahtjev, društvo CRIF dostavilo je tužitelju iz glavnog postupka, u sažetom obliku, popis njegovih osobnih podataka koji se obrađuju. Tužitelj iz glavnog postupka podnio je pritužbu Österreichische Datenschutzbehördeu (Austrijsko tijelo za zaštitu podataka) jer je smatrao da mu je društvo CRIF trebalo dostaviti kopiju svih dokumenata koji sadržavaju njegove podatke, kao što su poruke elektroničke pošte i izvadci iz baza podataka. To je tijelo odlukom od 11. rujna 2019. odbilo tu pritužbu, pri čemu je smatralo da društvo CRIF nije počinilo nikakvu povredu prava na pristup osobnim podacima tužitelja iz glavnog postupka.
Bundesverwaltungsgericht (Savezni upravni sud, Austrija), kojem je tužitelj iz glavnog postupka podnio tužbu protiv odluke o odbijanju koju je donijelo to tijelo, dvoji o dosegu obveze, koja je predviđena člankom 15. stavkom 3. prvom rečenicom OUZP-a, da se ispitaniku osigura „kopija” njegovih osobnih podataka koji se obrađuju. Taj se sud osobito pita je li ta obveza ispunjena kada voditelj obrade dostavi osobne podatke u obliku sažete tablice ili ta obveza podrazumijeva i dostavu izvadaka iz dokumenata, čak i cijelih dokumenata, kao i izvadaka iz baza podataka u kojima su ti podaci navedeni. Usto, sud koji je uputio zahtjev traži pojašnjenja o tome što točno obuhvaća pojam „informacije” iz članka 15. stavka 3. treće rečenice OUZP-a(2).
Svojom presudom Sud pojašnjava sadržaj i opseg ispitanikova prava na pristup njegovim podacima koji se obrađuju. U tom pogledu smatra da pravo na dobivanje „kopije” osobnih podataka, koji se obrađuju na temelju članka 15. stavka 3. prve rečenice OUZP-a, od voditelja obrade, znači da se ispitaniku preda vjerna i razumljiva reprodukcija svih tih podataka. To pravo podrazumijeva pravo na dobivanje kopije izvadaka iz dokumenata, čak i cijelih dokumenata, ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju navedene podatke, ako je osiguravanje takve kopije neophodno kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom, pri čemu treba naglasiti da se u tom pogledu treba voditi računa o pravima i slobodama drugih. Osim toga, Sud pojašnjava da se pojam „informacije” iz članka 15. stavka 3. treće rečenice OUZP-a odnosi isključivo na osobne podatke čiju kopiju voditelj obrade treba osigurati u skladu s prvom rečenicom tog stavka.
Ocjena Suda
Kao prvo, Sud doslovno, sustavno i teleološki tumači članak 15. stavak 3. prvu rečenicu OUZP-a kojim se predviđa ispitanikovo pravo na dobivanje kopije njegovih osobnih podataka koji se obrađuju.
Kad je riječ o tekstu odredbe članka 15. stavka 3. prve rečenice OUZP-a, Sud ističe da, iako ta odredba ne sadržava definiciju pojma „kopija”, valja uzeti u obzir uobičajeno značenje tog pojma, koji označava reprodukciju ili vjeran prijepis izvornika, tako da isključivo opći opis podataka koji se obrađuju ili upućivanje na kategorije osobnih podataka ne odgovaraju toj definiciji. Usto, iz teksta te odredbe proizlazi da se obveza priopćavanja odnosi na osobne podatke koji su predmet obrade o kojoj je riječ. Nakon jezične analize navedene odredbe, Sud zaključuje da se tom odredbom ispitaniku dodjeljuje pravo na dobivanje vjerne reprodukcije njegovih osobnih podataka, koji se tumače u širem smislu, a koji su predmet postupaka koji se trebaju kvalificirati kao obrada koju provodi voditelj te obrade.
Kad je riječ o kontekstu u kojem se nalazi članak 15. stavak 3. prva rečenica OUZP-a, Sud ističe da se člankom 15. stavkom 1. OUZP-a definiraju predmet i područje primjene prava na pristup koje se priznaje ispitaniku. U članku 15. stavku 3. OUZP-a pojašnjavaju se praktična pravila za izvršavanje obveze voditelja obrade, pri čemu se, među ostalim, u prvoj rečenici navodi oblik u kojem taj voditelj treba osigurati osobne podatke koji se obrađuju, odnosno u obliku „kopije”. Slijedom toga, članak 15. OUZP-a ne može se tumačiti kao da se njime u njegovu stavku 3. prvoj rečenici utvrđuje pravo koje je različito od onog iz njegova stavka 1. Osim toga, Sud pojašnjava da se izraz „kopija” ne odnosi na dokument kao takav, nego na osobne podatke koje on sadržava i koji trebaju biti potpuni. Kopija stoga treba sadržavati sve osobne podatke koji se obrađuju.
Što se tiče ciljeva članka 15. GDPR-a, Sud ističe da pravo na pristup, predviđeno tim člankom, treba omogućiti ispitaniku da se uvjeri u točnost osobnih podataka koji se na njega odnose i zakonitost njihove obrade.
Usto, prema mišljenju Suda, iz OUZP-a(3) proizlazi da je voditelj obrade dužan poduzeti odgovarajuće mjere kako bi se ispitaniku pružile sve informacije u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, te da se informacije pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem, osim ako ispitanik zatraži da se pruže usmenim putem. Iz toga proizlazi da kopija osobnih podataka koji se obrađuju, koju voditelj obrade treba osigurati, treba sadržavati sve značajke koje ispitaniku omogućuju učinkovito ostvarivanje njegovih prava na temelju OUZP-a i stoga treba u potpunosti i vjerno reproducirati te podatke.
Stoga, kako bi se osiguralo da su tako pružene informacije lako razumljive, reprodukcija izvadaka dokumenata, čak i cijelih dokumenta, ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju osobne podatke koji se obrađuju, može se pokazati neophodnom. Konkretno, kada su osobni podaci dobiveni iz drugih podataka ili kada takvi podaci proizlaze iz neispunjenih polja, odnosno iz nenavođenja informacije o ispitaniku, kontekst u kojem se ti podaci obrađuju bitan je element koji ispitaniku omogućuje transparentan pristup tim podacima i njihov razumljiv prikaz.
U slučaju sukoba između, s jedne strane, ostvarivanja prava na potpun i cjelovit pristup osobnim podacima i, s druge strane, prava i sloboda drugih, Sud smatra da treba odvagnuti prava i slobode o kojima je riječ. Ako je to moguće, potrebno je odabrati načine priopćavanja osobnih podataka kojima se ne povređuju prava i slobode drugih, pri čemu se uzima u obzir da rezultat tih razmatranja ne bi smjelo biti odbijanje pružanja svih informacija ispitaniku.
Kao drugo, Sud se bavi pitanjem što obuhvaća pojam „informacije” iz članka 15. stavka 3. treće rečenice OUZP-a. Iako se tom odredbom ne pojašnjava značenje pojma „informacije”, iz njezina konteksta proizlazi da „informacije” na koje se taj članak odnosi nužno odgovaraju osobnim podacima čiju kopiju voditelj obrade treba osigurati, u skladu s prvom rečenicom tog stavka.