ROZSUDEK SOUDNÍHO DVORA (prvního senátu)
26. října 2023(*)
„Řízení o předběžné otázce – Zpracování osobních údajů – Nařízení (EU) 2016/679 – Články 12, 15 a 23 – Právo subjektu údajů na přístup ke svým údajům, které jsou předmětem zpracování – Právo bezplatně získat první kopii těchto údajů – Zpracování údajů pacienta jeho lékařem – Zdravotnická dokumentace – Důvody žádosti o přístup – Použití údajů za účelem uplatnění nároků z právní odpovědnosti ošetřující osoby – Pojem ‚kopie‘“
Ve věci C‑307/22,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Bundesgerichtshof (Spolkový soudní dvůr, Německo) ze dne 29. března 2022, došlým Soudnímu dvoru dne 10. května 2022, v řízení
FT
proti
DW,
SOUDNÍ DVŮR (první senát),
ve složení: A. Arabadžev, předseda senátu, T. von Danwitz, P. G. Xuereb, A. Kumin a I. Ziemele (zpravodajka), soudci,
generální advokát: N. Emiliou,
za soudní kancelář: A. Calot Escobar, vedoucí,
s přihlédnutím k písemné části řízení,
s ohledem na vyjádření, která předložili:
– za lotyšskou vládu: K. Pommere, jako zmocněnkyně,
– za Evropskou komisi: A. Bouchagiar, F. Erlbacher a H. Kranenborg, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 20. dubna 2023,
vydává tento
Rozsudek
1 Tato žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 12 odst. 5, čl. 15 odst. 3 a čl. 23 odst. 1 písm. i) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
2 Tato žádost byla předložena v rámci sporu mezi FT a DW ve věci odmítnutí FT, která je zubní lékařkou, bezplatně poskytnout svému pacientovi první kopii jeho zdravotnické dokumentace.
Právní rámec
Unijní právo
3 Bod 4 odůvodnění GDPR uvádí:
„[…] Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou [základních práv Evropské unie], jak jsou zakotveny ve Smlouvách, zejména […] svobodu podnikání […]“
4 Body 10 a 11 odůvodnění GDPR zní:
„(10) S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci [Evropské] [u]nie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. […]
(11) Účinná ochrana osobních údajů v celé Unii vyžaduje […] posílení a podrobné vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují […]“
5 Bod 13 odůvodnění GDPR uvádí:
„[…] Kromě toho jsou orgány a instituce Unie, členské státy a jejich dozorové úřady podporovány v tom, aby specifické potřeby mikropodniků a malých a středních podniků zohledňovaly při uplatňování tohoto nařízení […]“
6 Bod 58 odůvodnění GDPR upřesňuje:
„Zásada transparentnosti vyžaduje, aby všechny informace určené veřejnosti nebo subjektu údajů byly stručné, snadno přístupné a srozumitelné, podávané za použití jasných a jednoduchých jazykových prostředků a ve vhodných případech navíc i vizualizace. Pokud budou tyto informace určeny veřejnosti, mohly by být poskytovány v elektronické podobě, například prostřednictvím internetových stránek. To platí obzvláště v situacích, kdy zapojení celé řady aktérů a technologická složitost znesnadňují subjektu údajů, aby věděl a porozuměl tomu, zda jsou shromažďovány jeho osobní údaje a kdo a za jakým účelem je shromažďuje, jako je reklama na internetu. Jelikož děti zasluhují zvláštní ochranu, měly by být v případech, kdy je na ně zpracování zaměřeno, všechny informace a sdělení podávány za použití jasných a jednoduchých jazykových prostředků, aby jim děti snadno porozuměly.“
7 Jak je uvedeno v bodě 59 odůvodnění GDPR:
„Je třeba stanovit postupy, které by usnadnily výkon práv subjektů údajů podle tohoto nařízení, včetně mechanismů pro podávání žádostí a případně bezplatného obdržení přístupu k osobním údajům a opravy nebo výmazu osobních údajů a pro uplatnění práva vznést námitku […]“
8 Bod 63 odůvodnění GDPR zní takto:
„Subjekt údajů by měl mít právo na přístup ke shromážděným osobním údajům, které se ho týkají, a měl by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byl o jejich zpracování informován a mohl si ověřit jeho zákonnost. To zahrnuje právo subjektů údajů na přístup k údajům o svém zdravotním stavu, například k údajům ve své lékařské dokumentaci, která obsahuje například informace o diagnóze, výsledky vyšetření, posudky ošetřujících lékařů a údaje o veškeré léčbě a provedených ošetřeních nebo zákrocích […]“
9 Článek 4 GDPR stanoví:
„Pro účely tohoto nařízení se rozumí:
1) ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;
2) ‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]“
10 Článek 12 GDPR stanoví:
„1. Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, mohou být informace poskytnuty ústně, a to za předpokladu, že identita subjektu údajů je prokázána jinými způsoby.
2. Správce usnadňuje výkon práv subjektu údajů podle článků 15 až 22 […]
[…]
5. Informace podle článků 13 a 14 a veškerá sdělení se poskytují a veškerá opatření podle článků 15 až 22 a 34 se přijímají bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď:
a) uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s přijetím požadovaných opatření; nebo
b) odmítnout žádosti vyhovět.
Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.
[…]“
11 Článek 15 GDPR stanoví:
„1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
a) účely zpracování;
b) kategorie dotčených osobních údajů;
c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích;
d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby;
e) existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování anebo vznést námitku proti tomuto zpracování;
f) právo podat stížnost u dozorového úřadu;
g) veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů;
h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
2. Pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46, které se vztahují na předání.
3. Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.
4. Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.“
12 Články 16 a 17 uvedeného nařízení zakotvují právo subjektu údajů dosáhnout opravy nepřesných osobních údajů (právo na opravu), jakož i právo na výmaz těchto údajů za určitých okolností (právo na výmaz nebo „právo být zapomenut“).
13 Článek 18 téhož nařízení, nadepsaný „Právo na omezení zpracování“, v odstavci 1 stanoví:
„Subjekt údajů má právo na to, aby správce omezil zpracování, v kterémkoli z těchto případů:
a) subjekt údajů popírá přesnost osobních údajů, a to na dobu potřebnou k tomu, aby správce mohl přesnost osobních údajů ověřit;
b) zpracování je protiprávní a subjekt údajů odmítá výmaz osobních údajů a žádá místo toho o omezení jejich použití;
c) správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků;
d) subjekt údajů vznesl námitku proti zpracování podle čl. 21 odst. 1, dokud nebude ověřeno, zda oprávněné důvody správce převažují nad oprávněnými důvody subjektu údajů.“
14 Článek 21 GDPR, nadepsaný „Právo vznést námitku“, v odstavci 1 stanoví:
„Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.“
15 Článek 23 odst. 1 GDPR stanoví:
„Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
[…]
i) ochranu subjektu údajů nebo práv a svobod druhých;
[…]“
Německé právo
16 Podle § 630f Bürgerliches Gesetzbuch (občanský zákoník, dále jen „BGB“) je ošetřující osoba za účelem dokumentace povinna vést v přímé časové souvislosti s poskytovanou péčí složku zdravotnické dokumentace v papírové nebo elektronické formě. Ošetřující osoba je povinna do zdravotnické dokumentace zaznamenat veškerá opatření, která jsou z odborného hlediska podstatná pro současnou a budoucí léčbu, a jejich výsledky, zejména anamnézu, diagnózy, vyšetření, výsledky vyšetření, nálezy, terapie a jejich účinky, zákroky a jejich účinky, souhlasy a poučení. Ošetřující osoba musí uchovávat záznamy pacienta po dobu deseti let po ukončení léčby, pokud jiné právní předpisy nestanoví jinou dobu uchovávání.
17 Podle § 630g odst. 1 první věty BGB musí být pacientovi na vyžádání neprodleně umožněno nahlédnout do zdravotnické dokumentace, která se ho týká, pokud nahlédnutí nebrání závažné terapeutické důvody nebo jiná významná práva třetích osob. Podle § 630g odst. 2 první věty BGB může pacient rovněž požádat o elektronické kopie zdravotnické dokumentace. Vzhledem k důvodové zprávě k tomuto zákonu je třeba toto právo chápat v tom smyslu, že pacient si sám zvolí, zda požádá o vyhotovení fyzických nebo elektronických kopií. Ustanovení § 630g odst. 2 druhé věty BGB stanoví, že pacient je povinen ošetřující osobě nahradit vzniklé výdaje.
Spor v původním řízení a předběžné otázky
18 DW se podrobil stomatologickému ošetření u FT. Vzhledem k tomu, že DW měl podezření, že během ošetření, které mu bylo poskytnuto, došlo k pochybením, požádal FT, aby mu bezplatně poskytla první kopii jeho zdravotnické dokumentace. FT sdělila DW, že jeho žádosti vyhoví pouze tehdy, pokud uhradí náklady spojené s poskytnutím kopie zdravotnické dokumentace, jak stanoví vnitrostátní právo.
19 DW podal proti FT žalobu. V prvním stupni i v odvolacím řízení bylo návrhu DW na bezplatné poskytnutí první kopie jeho zdravotnické dokumentace vyhověno. Tato rozhodnutí vycházela z výkladu použitelných vnitrostátních právních předpisů ve světle čl. 12 odst. 5, jakož i čl. 15 odst. 1 a 3 GDPR.
20 Bundesgerichtshof (Spolkový soudní dvůr, Německo), ke kterému FT podala opravný prostředek „Revision“, má za to, že řešení sporu závisí na výkladu ustanovení GDPR.
21 Předkládající soud uvádí, že podle vnitrostátního práva může pacient získat kopii své zdravotnické dokumentace za podmínky, že ošetřující osobě uhradí s tím spojené náklady.
22 Z článku 15 odst. 3 první věty ve spojení s čl. 12 odst. 5 první větou GDPR by však mohlo vyplývat, že správce, v projednávaném případě ošetřující osoba, je povinen poskytnout pacientovi první kopii jeho zdravotnické dokumentace bezplatně.
23 Předkládající soud zaprvé uvádí, že DW žádá o první kopii své zdravotnické dokumentace za účelem uplatnění nároku z odpovědnosti FT. Takovýto účel nesouvisí s účelem, který je uveden v bodě 63 odůvodnění GDPR, který uvádí, že právo na přístup k osobním údajům by mělo zaručit informovanost o zpracování těchto údajů a ověření jeho zákonnosti. Nicméně znění článku 15 GDPR nepodmiňuje uplatnění nároku na zpřístupnění uvedením takovýchto důvodů. Kromě toho uvedené ustanovení nevyžaduje, aby subjekt údajů svou žádost o zpřístupnění odůvodnil.
24 Zadruhé předkládající soud zdůrazňuje, že čl. 23 odst. 1 GDPR umožňuje přijmout vnitrostátní legislativní opatření omezující rozsah povinností a práv uvedených v článcích 12 až 22 tohoto nařízení za účelem zajištění některého z cílů stanovených v tomto ustanovení. V projednávaném případě se FT dovolává cíle ochrany práv a svobod druhých, který je uveden v čl. 23 odst. 1 písm. i) GDPR a tvrdí, že režim zpoplatnění uvedený v § 630g odst. 2 druhé větě BGB je nezbytným a přiměřeným opatřením za účelem ochrany oprávněných zájmů ošetřujících osob, které obecně umožňuje zabránit neodůvodněným žádostem o kopie ze strany dotčených pacientů.
25 Nicméně § 630g odst. 2 druhá věta BGB byl přijat před vstupem GDPR v platnost.
26 Kromě toho režim zpoplatnění uvedený v § 630g odst. 2 druhé větě BGB má chránit především hospodářské zájmy ošetřujících osob. Je tedy třeba určit, zda zájem těchto posledně uvedených osob na tom, aby byly zproštěny nákladů a výdajů spojených s poskytováním kopií osobních údajů, spadá mezi práva a svobody druhých ve smyslu čl. 23 odst. 1 písm. i) GDPR. Kromě toho systematické přenášení nákladů spojených s pořizováním kopií zdravotnické dokumentace na pacienty se může jevit jako nepřiměřené, protože nezohledňuje výši skutečně vynaložených nákladů ani okolnosti konkrétní žádosti.
27 Zatřetí vzhledem k tomu, že DW žádá o poskytnutí kopie všech lékařských dokumentů, které se ho týkají, tedy své zdravotnické dokumentace, předkládající soud si klade otázku ohledně rozsahu práva na získání kopie zpracovávaných osobních údajů, které je zakotveno v čl. 15 odst. 3 GDPR. V této souvislosti by toto právo mohlo být splněno poskytnutím shrnutí osobních údajů zpracovávaných lékařem. Zdá se však, že cíle transparentnosti a kontroly zákonnosti, které sleduje GDPR, svědčí ve prospěch poskytnutí kopie všech údajů, které má správce k dispozici v nezpracované podobě, tedy všech lékařských dokumentů týkajících se pacienta, pokud obsahují takovéto údaje.
28 Za těchto podmínek se Bundesgerichtshof (Spolkový soudní dvůr) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Musí být čl. 15 odst. 3 první věta GDPR ve spojení s jeho čl. 12 odst. 5 vykládán v tom smyslu, že správce (v projednávané věci ošetřující lékař) není povinen bezplatně poskytnout subjektu údajů (v projednávané věci pacient) první kopii osobních údajů zpracovávaných správcem, pokud subjekt údajů nepožaduje tuto kopii k účelům uvedeným v bodě 63 první větě odůvodnění GDPR, totiž aby byl informován o jejich zpracování a mohl si ověřit jeho zákonnost, nýbrž sleduje jiný účel, nesouvisející s ochranou osobních údajů, který je však legitimní (v projednávané věci existence nároků z právní odpovědnosti lékaře)?
2) V případě záporné odpovědi na první otázku:
a) Je možné právo na bezplatné poskytnutí kopie osobních údajů zpracovávaných správcem, které vyplývá z čl. 15 odst. 3 první věty GDPR ve spojení s jeho čl. 12 odst. 5, omezit podle čl. 23 odst. 1 písm. i) GDPR i ustanovením vnitrostátního práva členského státu, které bylo přijato před vstupem GDPR v platnost?
b) V případě kladné odpovědi na otázku 2 a): Musí být čl. 23 odst. 1 písm. i) GDPR vykládán v tom smyslu, že v něm uvedená práva a svobody druhých zahrnují rovněž jejich zájem, aby nebyli zatíženi náklady spojenými s poskytnutím kopie údajů podle čl. 15 odst. 3 první věty GDPR a jinými výdaji způsobenými poskytnutím kopie?
c) V případě kladné odpovědi na otázku 2 b): Je možné povinnosti a práva vyplývající z čl. 15 odst. 3 první věty GDPR ve spojení s jeho čl. 12 odst. 5 omezit podle čl. 23 odst. 1 GDPR vnitrostátní právní úpravou, která ve vztahu lékaře a pacienta při vydání kopie osobních údajů pacienta z jeho zdravotnické dokumentace lékařem pacientovi vždy a nezávisle na konkrétních okolnostech jednotlivého případu stanoví nárok lékaře na úhradu nákladů pacientem?
3) V případě záporné odpovědi na první otázku a záporné odpovědi na otázky [2a až 2c]: Zahrnuje nárok vyplývající z čl. 15 odst. 3 první věty GDPR ve vztahu mezi lékařem a pacientem nárok na přenechání kopií všech částí zdravotnické dokumentace pacienta obsahujících jeho osobní údaje nebo se týká pouze vydání kopie osobních údajů pacienta jako takové, přičemž je na lékaři, jenž údaje zpracovává, jakým způsobem údaje pro dotčeného pacienta sestaví?“
K předběžným otázkám
K první otázce
29 Podstatou první otázky předkládajícího soudu je, zda čl. 12 odst. 5 a čl. 15 odst. 1 a 3 GDPR musí být vykládány v tom smyslu, že povinnost poskytnout subjektu údajů bezplatně první kopii jeho osobních údajů, které jsou předmětem zpracování, je pro správce závazná i tehdy, pokud je tato žádost odůvodněna jiným účelem, než jsou účely, které jsou uvedeny v bodě 63 první větě odůvodnění tohoto nařízení.
30 Úvodem je třeba připomenout, že podle ustálené judikatury je třeba při výkladu ustanovení unijního práva vzít v úvahu nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí [rozsudek ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů), C‑154/21, EU:C:2023:3, bod 29].
31 Pokud jde zaprvé o znění relevantních ustanovení, je třeba uvést, že čl. 12 odst. 5 GDPR stanoví zásadu, podle níž výkon práva subjektu údajů na přístup k jeho údajům, které jsou předmětem zpracování, a k informacím, které jsou s nimi spojeny, není pro subjekt údajů spojen s žádnými poplatky. Kromě toho toto ustanovení uvádí dva důvody, z nichž může správce buď vyúčtovat přiměřený poplatek zohledňující administrativní náklady, nebo odmítnout žádosti vyhovět. Tyto důvody se týkají případů zneužití práva, v nichž jsou žádosti subjektu údajů „zjevně nedůvodné“ nebo „nepřiměřené“, zejména z důvodu své opakované povahy.
32 V této souvislosti předkládající soud výslovně uvedl, že žádost subjektu údajů nebyla zneužívající povahy.
33 Právo subjektu údajů na přístup k jeho údajům, které jsou předmětem zpracování, a s nimi souvisejícím informacím, které je nedílnou součástí práva na ochranu osobních údajů, je dále zaručeno v čl. 15 odst. 1 GDPR. Podle znění tohoto ustanovení mají subjekty údajů právo na přístup ke svým osobním údajům, které jsou předmětem zpracování.
34 Kromě toho z čl. 15 odst. 3 GDPR vyplývá, že správce poskytne kopii zpracovávaných osobních údajů a že může požadovat zaplacení přiměřených poplatků za jakékoli další kopie požadované subjektem údajů. V této souvislosti odstavec 4 tohoto článku upřesňuje, že odstavec 3 uvedeného článku přiznává této osobě „právo“. Správce tedy může takovouto platbu požadovat pouze tehdy, pokud subjekt údajů již bezplatně dostal první kopii svých údajů a znovu o ni požádal.
35 Jak již Soudní dvůr rozhodl, z doslovné analýzy čl. 15 odst. 3 první věty GDPR vyplývá, že toto ustanovení přiznává subjektu údajů právo získat věrnou reprodukci svých osobních údajů chápaných v širším smyslu, které jsou předmětem operací, jež je nutno kvalifikovat jako zpracování správcem (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 28).
36 Ze znění čl. 12 odst. 5 ve spojení s čl. 15 odst. 1 a 3 GDPR tedy vyplývá jednak právo subjektu údajů získat první bezplatnou kopii svých osobních údajů, které jsou předmětem zpracování, a jednak možnost správce vyúčtovat za určitých podmínek přiměřené poplatky zohledňující administrativní náklady, nebo odmítnout vyhovět žádosti, pokud je tato žádost zjevně nedůvodná nebo nepřiměřená.
37 V projednávané věci je třeba připomenout, že lékař, který provádí zpracování ve smyslu čl. 4 bodu 2 GDPR, které se týká údajů jeho pacientů, musí být považován za „správce“ ve smyslu čl. 4 bodu 7 tohoto nařízení, na kterého se vztahují povinnosti vyplývající z tohoto postavení, a to zejména povinnost zajistit přístupu k osobním údajům na žádost subjektů údajů.
38 Je třeba konstatovat, že ani znění čl. 12 odst. 5 GDPR, ani znění čl. 15 odst. 1 a 3 tohoto nařízení nepodmiňují bezplatné poskytnutí první kopie osobních údajů tím, aby tyto osoby uvedly důvod pro odůvodnění svých žádostí. Tato ustanovení tedy neposkytují správci možnost požadovat, aby subjekt údajů žádost o přístup odůvodnil.
39 Pokud jde zadruhé o kontext výše uvedených ustanovení, je třeba zdůraznit, že článek 12 GDPR spadá do oddílu 1 kapitoly III tohoto nařízení, který se týká zejména zásady transparentnosti uvedené v čl. 5 odst. 1 písm. a) tohoto nařízení.
40 Článek 12 GDPR tedy stanoví obecné povinnosti správce, pokud jde o transparentní informace, sdělení a postupy pro výkon práv subjektu údajů.
41 Článek 15 GDPR, který je součástí oddílu 2 kapitoly III, který se týká informací a přístupu k osobním údajům, doplňuje rámec transparentnosti GDPR tím, že subjektu údajů přiznává právo na přístup k jeho osobním údajům a právo na informace týkající se zpracování těchto údajů.
42 Dále je třeba připomenout, že podle bodu 59 odůvodnění GDPR „je třeba stanovit postupy, které by usnadnily výkon práv subjektů údajů podle tohoto nařízení, včetně mechanismů pro podávání žádostí, a případně bezplatného obdržení přístupu k osobním údajům a opravy nebo výmazu osobních údajů a pro uplatnění práva vznést námitku“.
43 Vzhledem k tomu, že jak vyplývá z bodu 38 tohoto rozsudku, subjekt údajů není povinen odůvodnit žádost o přístup k údajům, první věta bodu 63 odůvodnění nemůže být vykládána v tom smyslu, že tato žádost musí být zamítnuta, pokud sleduje jiný cíl, než je cíl seznámit se se zpracováním údajů a ověřit jeho zákonnost. Tento bod odůvodnění totiž nemůže omezit působnost čl. 15 odst. 3 GDPR, která byla uvedena v bodě 35 tohoto rozsudku.
44 V této souvislosti je třeba připomenout, že z ustálené judikatury vyplývá, že odůvodnění aktu unijního práva není právně závazné a nelze se jej dovolávat za účelem odchýlení se od samotných ustanovení dotyčného aktu ani za účelem výkladu těchto ustanovení ve smyslu zjevně odporujícím jejich znění (rozsudek ze dne 13. září 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, bod 33).
45 Kromě toho bod 63 odůvodnění ve své druhé větě uvádí, že právo na přístup k osobním údajům, které je přiznáno subjektům údajů, zahrnuje právo subjektů údajů na přístup k údajům o svém zdravotním stavu, k „údajům ve své lékařské dokumentaci, která obsahuje například informace o diagnóze, výsledky vyšetření, posudky ošetřujících lékařů a údaje o veškeré léčbě a provedených ošetřeních nebo zákrocích“.
46 Za těchto okolností nelze právo na přístup k údajům o zdravotním stavu zaručené v čl. 15 odst. 1 GDPR omezit odmítnutím přístupu nebo povinností zaplatit náhrady na základě některého z důvodů uvedených v první větě bodu 63 odůvodnění. Totéž platí pro právo na bezplatné obdržení první kopie, které je stanoveno v čl. 12 odst. 5 a v čl. 15 odst. 3 tohoto nařízení.
47 Zatřetí, pokud jde o cíle sledované GDPR, je třeba uvést, že cílem tohoto nařízení je, jak uvádí body 10 a 11 jeho odůvodnění, zajistit soudržnou a vysokou úroveň ochrany fyzických osob v rámci Unie a posílit a podrobně vymezit práva subjektů údajů.
48 Právě za účelem dosažení tohoto cíle čl. 15 odst. 1 zaručuje subjektu údajů právo na přístup k jeho osobním údajům (v tomto smyslu viz rozsudek ze dne 22. června 2023, Pankki S, C‑579/21, EU:C:2023:501, bod 57 a citovaná judikatura).
49 Článek 12 odst. 5 a čl. 15 odst. 1 a 3 GDPR proto patří mezi ustanovení, která mají zaručit toto právo na přístup, jakož i transparentnost způsobů zpracování osobních údajů ve vztahu k subjektu údajů [v tomto smyslu viz rozsudek ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů), C‑154/21, EU:C:2023:3, bod 42].
50 Zásada, že první kopie údajů je bezplatná, jakož i skutečnost, že není třeba uvádět zvláštní důvod odůvodňující žádost o přístup, přitom nutně přispívají k tomu, aby subjekt údajů mohl snadněji vykonávat práva, která mu přiznává GDPR.
51 Vzhledem k významu, který GDPR přikládá právu na přístup k osobním údajům, které jsou předmětem zpracování, tak, jak je zaručeno v čl. 15 odst. 1 GDPR pro dosažení těchto cílů, nemůže proto výkon tohoto práva podléhat podmínkám, které nebyly výslovně stanoveny unijním normotvůrcem, jako je povinnost uvést některý z důvodů uvedených v bodě 63 první větě odůvodnění GDPR.
52 S ohledem na všechny výše uvedené úvahy je třeba na první otázku odpovědět, že čl. 12 odst. 5 a čl. 15 odst. 1 a 3 GDPR musí být vykládány v tom smyslu, že povinnost poskytnout subjektu údajů bezplatně první kopii jeho osobních údajů, které jsou předmětem zpracování, je pro správce závazná i tehdy, pokud je tato žádost odůvodněna jiným účelem, než jsou účely, které jsou uvedeny v bodě 63 první větě odůvodnění tohoto nařízení.
K druhé otázce
53 Podstatou druhé otázky předkládajícího soudu je, zda čl. 23 odst. 1 písm. i) GDPR musí být vykládán v tom smyslu, že povoluje vnitrostátní právní úpravu přijatou před vstupem tohoto nařízení v platnost, která za účelem ochrany hospodářských zájmů správce ukládá subjektu údajů náklady na první kopii jeho osobních údajů, které jsou předmětem tohoto zpracování.
54 Zaprvé, pokud jde o otázku, zda do působnosti čl. 23 odst. 1 GDPR mohou spadat pouze vnitrostátní opatření přijatá po vstupu GDPR v platnost, je třeba zdůraznit, že znění tohoto ustanovení v této souvislosti nic neuvádí.
55 Článek 23 odst. 1 GDPR totiž pouze uvádí, že legislativní opatření členského státu může omezit rozsah povinností a práv uvedených v článcích 12 až 22 tohoto nařízení, pokud tato opatření odpovídají právům a povinnostem stanoveným v těchto článcích a pokud takovéto omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření k zajištění zejména ochrany práv a svobod druhých.
56 V důsledku toho čl. 23 odst. 1 GDPR nevylučuje ze své působnosti vnitrostátní legislativní opatření přijatá před vstupem GDPR v platnost, pokud splňují podmínky, které stanoví.
57 Zadruhé, pokud jde o otázku, zda se na vnitrostátní právní úpravu, která za účelem ochrany hospodářského zájmu ošetřujících osob ukládá pacientovi nést náklady spojené s poskytnutím první kopie zdravotnické dokumentace, o kterou pacient požádal, vztahuje čl. 23 odst. 1 písm. i) GDPR, je třeba zaprvé připomenout, jak vyplývá z bodů 31 a 33 až 36 tohoto rozsudku, že podle čl. 12 odst. 5 a čl. 15 odst. 1 a 3 tohoto nařízení má subjekt údajů právo získat bezplatně první kopii svých osobních údajů, které jsou předmětem zpracování.
58 Druhá věta čl. 15 odst. 3 GDPR správci nicméně umožňuje požadovat za jakékoli další kopie zaplacení přiměřených poplatků na základě administrativních nákladů. Kromě toho čl. 12 odst. 5 GDPR ve spojení s čl. 15 odst. 1 a 3 tohoto nařízení umožňuje správci chránit se před zneužitím práva na přístup tím, že v případě zjevně nedůvodné nebo nepřiměřené žádosti bude vyžadovat zaplacení přiměřených poplatků.
59 Zadruhé podle bodu 4 odůvodnění tohoto nařízení není právo na ochranu osobních údajů právem absolutním a musí být v souladu se zásadou proporcionality v rovnováze s dalšími základními právy. GDPR tedy respektuje všechna základní práva a zachovává svobody a zásady uznané v Listině základních práv, které jsou zakotveny ve Smlouvách [rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) C‑175/20, EU:C:2022:124, bod 53].
60 Článek 15 odst. 4 GDPR totiž stanoví, že „právem získat kopii […] nesmějí být nepříznivě dotčena práva a svobody jiných osob“.
61 Rovněž čl. 23 odst. 1 písm. i) GDPR připomíná, že omezení rozsahu povinností a práv uvedených zejména v článku 15 GDPR je možné, „jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit […] ochranu […] práv a svobod druhých“.
62 Z bodů 59 až 61 tohoto rozsudku tedy vyplývá, že právo subjektu údajů získat první bezplatnou kopii svých osobních údajů, které jsou předmětem zpracování, není absolutní.
63 Zatřetí omezení tohoto práva mohou odůvodnit pouze úvahy týkající se ochrany práv a svobod druhých, pokud takovéto omezení respektuje jeho podstatu a představuje nezbytné a přiměřené opatření k zajištění této ochrany, jak stanoví čl. 23 odst. 1 písm. i) GDPR.
64 Jak však vyplývá z předkládacího rozhodnutí, režim zpoplatnění stanovený v § 630g odst. 2 druhé větě BGB umožňuje ošetřující osobě vyúčtovat pacientovi náklady spojené s poskytnutím první kopie jeho zdravotnické dokumentace. Předkládající soud zdůrazňuje, že cílem tohoto režimu je v první řadě chránit ekonomické zájmy ošetřujících osob, což pacienty odrazuje od toho, aby zbytečně žádali o kopie své zdravotnické dokumentace. Je-li tedy cílem vnitrostátní právní úpravy dotčené ve věci v původním řízení skutečně ochrana hospodářských zájmů ošetřujících osob, což přísluší ověřit předkládajícímu soudu, nemohou takovéto úvahy spadat pod „práva a svobody druhých“ uvedené v čl. 23 odst. 1 písm. i) GDPR.
65 Zaprvé takováto právní úprava totiž vede k tomu, že odrazuje nejen od žádostí, které jsou zbytečné, ale i od žádostí o získání první bezplatné kopie zpracovávaných osobních údajů z legitimního důvodu. V důsledku toho nutně porušuje zásadu bezplatnosti první kopie, čímž zpochybňuje užitečný účinek práva na přístup, které je zakotveno v čl. 15 odst. 1 GDPR, a tím i ochranu zaručenou tímto nařízením.
66 Zadruhé z předkládacího rozhodnutí nevyplývá, že by zájmy chráněné vnitrostátní právní úpravou šly nad rámec úvah čistě administrativní nebo hospodářské povahy.
67 V této souvislosti je třeba zdůraznit, že unijní normotvůrce zohlednil hospodářské zájmy správců v čl. 12 odst. 5 a v čl. 15 odst. 3 druhé větě GDPR, které, jak bylo připomenuto v bodě 58 tohoto rozsudku, definují okolnosti, za kterých může správce požadovat zaplacení poplatků za poskytnutí kopie zpracovávaných osobních údajů.
68 Za těchto podmínek nemůže sledování cíle souvisejícího s ochranou hospodářských zájmů ošetřujících osob odůvodnit opatření vedoucí ke zpochybnění práva získat bezplatnou první kopii, a tím i užitečného účinku práva subjektu údajů na přístup k jeho osobním údajům, které jsou předmětem zpracování.
69 S ohledem na všechny výše uvedené úvahy je třeba na druhou otázku odpovědět, že čl. 23 odst. 1 písm. i) GDPR musí být vykládán v tom smyslu, že do působnosti tohoto ustanovení může spadat vnitrostátní právní úprava, která byla přijata před vstupem tohoto nařízení v platnost. Takováto možnost nicméně neumožňuje přijmout vnitrostátní právní úpravu, která za účelem ochrany hospodářských zájmů správce ukládá subjektu údajů povinnost uhradit poplatek za první kopii jeho osobních údajů, které jsou předmětem tohoto zpracování.
K třetí otázce
70 Podstatou třetí otázky předkládajícího soudu je, zda čl. 15 odst. 3 první věta GDPR musí být vykládán v tom smyslu, že v rámci vztahu mezi lékařem a pacientem právo na získání kopie zpracovávaných osobních údajů znamená, že subjektu údajů musí být poskytnuta úplná kopie dokumentů nacházejících se v jeho zdravotnické dokumentaci, které obsahují jeho osobní údaje, nebo jen kopie těchto údajů jako takových.
71 Zaprvé Soudní dvůr již rozhodl, že podle znění čl. 15 odst. 3 první věty GDPR se subjektu údajů přiznává právo získat věrnou reprodukci svých osobních údajů chápaných v širším smyslu, které jsou předmětem operací, jež je nutno kvalifikovat jako „zpracování“ správcem (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 28).
72 Článek 15 GDPR nelze dále vykládat tak, že v odst. 3 první větě stanoví právo, které je odlišné od práva stanoveného v odstavci 1. Kromě toho se výraz „kopie“ nevztahuje na dokument jako takový, nýbrž na osobní údaje, které obsahuje a které musí být úplné. Kopie proto musí obsahovat veškeré zpracovávané osobní údaje (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 32).
73 Konečně, pokud jde o cíle sledované článkem 15 GDPR, jeho účelem je posílit a upřesnit práva subjektů údajů. Právo na přístup stanovené v tomto ustanovení tedy musí subjektu údajů umožnit, aby se ujistil, že osobní údaje, které se ho týkají, jsou správné a jsou zpracovávány zákonným způsobem. Kromě toho kopie zpracovávaných osobních údajů, kterou správce musí podle čl. 15 odst. 3 první věty GDPR poskytnout, musí vykazovat všechny vlastnosti umožňující subjektu údajů účinně uplatňovat svá práva podle tohoto nařízení, a musí proto tyto údaje úplně a přesně reprodukovat (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, body 33, 34 a 39).
74 Zejména za účelem zajištění toho, aby informace poskytnuté správcem byly snadno pochopitelné, jak vyžaduje čl. 12 odst. 1 GDPR ve spojení s bodem 58 odůvodnění tohoto nařízení, se jako nezbytná může ukázat reprodukce výpisů z dokumentů či celých dokumentů, které obsahují mimo jiné zpracovávané osobní údaje, je-li uvedení zpracovávaných údajů do kontextu nezbytné pro zajištění jejich pochopitelnosti (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 41).
75 V důsledku toho právo získat od správce kopii zpracovávaných osobních údajů znamená, že subjektu údajů musí být předána věrná a srozumitelná reprodukce všech těchto údajů. Předpokladem tohoto práva je právo získat kopii výpisů z dokumentů či celých dokumentů, které obsahují mimo jiné uvedené údaje, pokud je poskytnutí takovéto kopie nezbytné k tomu, aby subjekt údajů mohl účinně uplatňovat práva, která mu toto nařízení přiznává (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 45).
76 Pokud jde o informace dotčené ve věci v původním řízení, je třeba uvést, že GDPR uvádí dokumenty, o jejichž kopii by žalobce v původním řízení měl mít možnost požádat. Pokud jde o osobní údaje týkající se zdraví, bod 63 odůvodnění tohoto nařízení upřesňuje, že právo subjektů údajů na přístup k dokumentům zahrnuje právo na přístup k „údajům ve své lékařské dokumentaci, která obsahuje například informace o diagnóze, výsledky vyšetření, posudky ošetřujících lékařů a údaje o veškeré léčbě a provedených ošetřeních nebo zákrocích“.
77 V této souvislosti, jak v podstatě uvedl generální advokát v bodech 78 až 80 svého stanoviska, z důvodů citlivosti osobních údajů týkajících se zdraví fyzických osob unijní normotvůrce zdůraznil, že je důležité zajistit, aby byl přístup těchto osob k údajům obsaženým v jejich zdravotnické dokumentaci co nejúplnější a nejpřesnější, ale i srozumitelný.
78 Pokud přitom jde o výsledky vyšetření, zprávy ošetřujících lékařů, léčbu pacienta a ošetření nebo zákroky, které mu byly provedeny, které zpravidla zahrnují řadu technických údajů, či dokonce obrazový materiál, by však poskytnutí jednoduchého shrnutí nebo kompilace těchto údajů lékařem za účelem jejich prezentace v syntetické podobě, mohlo vést ke vzniku rizika, že některé relevantní údaje budou opomenuty nebo reprodukovány nesprávně, nebo v každém případě k tomu, že ověření jejich správnosti a úplnosti, jakož i jejich pochopení pacientem by tím bylo ztíženo.
79 S ohledem na všechny výše uvedené úvahy je třeba na třetí otázku odpovědět, že čl. 15 odst. 3 první věta GDPR musí být vykládán v tom smyslu, že v rámci vztahu mezi lékařem a pacientem právo na získání kopie zpracovávaných osobních údajů znamená, že subjektu údajů musí být poskytnuta věrná a srozumitelná reprodukce všech těchto údajů. Předpokladem tohoto práva je právo získat úplnou kopii dokumentů, které se nachází v jeho zdravotnické dokumentaci, které obsahují mimo jiné uvedené údaje, pokud je poskytnutí takovéto kopie nezbytné k tomu, aby si subjekt údajů mohl ověřit správnost a úplnost údajů a byla zaručena jejich srozumitelnost. Pokud jde o údaje týkající se zdravotního stavu subjektu údajů, toto právo v každém případě zahrnuje právo získat kopii údajů z jeho zdravotnické dokumentace obsahující takové informace, jako jsou informace o diagnóze, výsledky vyšetření, zprávy ošetřujících lékařů a údaje o veškeré léčbě a provedených ošetřeních nebo zákrocích.
K nákladům řízení
80 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:
1) Článek 12 odst. 5 a čl. 15 odst. 1 a 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládány v tom smyslu, že
povinnost poskytnout subjektu údajů bezplatně první kopii jeho osobních údajů, které jsou předmětem zpracování, je pro správce závazná i tehdy, pokud je tato žádost odůvodněna jiným účelem, než jsou účely, které jsou uvedeny v bodě 63 první větě odůvodnění tohoto nařízení.
2) Článek 23 odst. 1 písm. i) nařízení 2016/679
musí být vykládán v tom smyslu, že
do působnosti tohoto ustanovení může spadat vnitrostátní právní úprava, která byla přijata před vstupem tohoto nařízení v platnost. Takováto možnost nicméně neumožňuje přijmout vnitrostátní právní úpravu, která za účelem ochrany hospodářských zájmů správce ukládá subjektu údajů povinnost uhradit poplatek za první kopii jeho osobních údajů, které jsou předmětem tohoto zpracování.
3) Článek 15 odst. 3 třetí věta nařízení 2016/679
musí být vykládán v tom smyslu, že
v rámci vztahu mezi lékařem a pacientem právo na získání kopie zpracovávaných osobních údajů znamená, že subjektu údajů musí být poskytnuta věrná a srozumitelná reprodukce všech těchto údajů. Předpokladem tohoto práva je právo získat úplnou kopii dokumentů, které se nachází v jeho zdravotnické dokumentaci, které obsahují mimo jiné uvedené údaje, pokud je poskytnutí takovéto kopie nezbytné k tomu, aby si subjekt údajů mohl ověřit správnost a úplnost údajů a byla zaručena jejich srozumitelnost. Pokud jde o údaje týkající se zdravotního stavu subjektu údajů, toto právo v každém případě zahrnuje právo získat kopii údajů z jeho zdravotnické dokumentace obsahující takové informace, jako jsou informace o diagnóze, výsledky vyšetření, zprávy ošetřujících lékařů a údaje o veškeré léčbě a provedených ošetřeních nebo zákrocích.
Podpisy