WYROK TRYBUNAŁU (pierwsza izba)
z dnia 26 października 2023 r.(*)
Odesłanie prejudycjalne – Przetwarzanie danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuły 12, 15 i 23 – Prawo dostępu osoby do własnych danych podlegających przetwarzaniu – Prawo do bezpłatnego uzyskania pierwszej kopii tych danych – Przetwarzanie danych pacjenta przez jego lekarza – Dokumentacja medyczna – Uzasadnienie wniosku o udzielenie dostępu – Wykorzystanie danych do celów pociągnięcia lekarza prowadzącego do odpowiedzialności – Pojęcie „kopii”
W sprawie C‑307/22
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) postanowieniem z dnia 29 marca 2022 r., które wpłynęło do Trybunału w dniu 10 maja 2022 r., w postępowaniu:
FT
przeciwko
DW,
TRYBUNAŁ (pierwsza izba),
w składzie: A. Arabadjiev, prezes izby, T. von Danwitz, P.G. Xuereb, A. Kumin i I. Ziemele (sprawozdawczyni), sędziowie,
rzecznik generalny: N. Emiliou,
sekretarz: A. Calot Escobar,
uwzględniając pisemny etap postępowania,
rozważywszy uwagi, które przedstawili:
– w imieniu rządu łotewskiego – K. Pommere, w charakterze pełnomocnika,
– w imieniu Komisji Europejskiej – A. Bouchagiar, F. Erlbacher i H. Kranenborg, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 20 kwietnia 2023 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 12 ust. 5, art. 15 ust. 3 i art. 23 ust. 1 lit. i) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowania: Dz.U. 2018, L 127, s. 2; Dz.U. 2021, L 74, s. 35; zwanego dalej „RODO”).
2 Wniosek ten został złożony w ramach sporu pomiędzy FT a DW w przedmiocie odmówienia przez FT, lekarza dentystę, bezpłatnego przekazania pacjentowi pierwszej kopii jego dokumentacji medycznej.
Ramy prawne
Prawo Unii
3 Zgodnie z motywem 4 RODO:
„[…] Prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. Niniejsze rozporządzenie nie narusza praw podstawowych, wolności i zasad uznanych w Karcie praw podstawowych [Unii Europejskiej] – zapisanych w traktatach – w szczególności […] wolności prowadzenia działalności gospodarczej […]”.
4 Motywy 10 i 11 RODO stanowią:
„(10) Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii [Europejskiej], należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych […].
(11) Aby ochrona danych osobowych w Unii była skuteczna, należy wzmocnić i doprecyzować prawa osób, których dane dotyczą, oraz obowiązki podmiotów przetwarzających dane osobowe i decydujących o przetwarzaniu […]”.
5 Zgodnie z motywem 13 RODO:
„[…] Ponadto zachęca się instytucje i organy Unii, państwa członkowskie i ich organy nadzorcze, by stosując niniejsze rozporządzenie, uwzględniały szczególne potrzeby mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw […]”.
6 Motyw 58 RODO uściśla:
„Zasada przejrzystości wymaga, by wszelkie informacje kierowane do ogółu społeczeństwa lub osoby, której dane dotyczą, były zwięzłe, łatwo dostępne i zrozumiałe, by były formułowane jasnym i prostym językiem, a w stosownych przypadkach, dodatkowo wizualizowane. Informacje te mogą być przekazywane w formie elektronicznej, na przykład za pomocą strony internetowej, gdy są kierowane do ogółu społeczeństwa. Dotyczy to w szczególności sytuacji, gdy duża liczba podmiotów i złożoność technologiczna działań sprawiają, że osobie, której dane dotyczą, trudno jest dowiedzieć się i zrozumieć, czy dotyczące jej dane osobowe są zbierane, przez kogo oraz w jakim celu, na przykład w przypadku reklamy w Internecie. Zważywszy że dzieci zasługują na szczególną ochronę, wszelkie informacje i komunikaty – gdy przetwarzanie dotyczy dziecka – powinny być sformułowane tak jasnym i prostym językiem, by dziecko mogło je bez trudu zrozumieć”.
7 Jak przewiduje motyw 59 RODO:
„Należy przewidzieć procedury ułatwiające osobie, której dane dotyczą, wykonywanie praw przysługujących jej na mocy niniejszego rozporządzenia, w tym mechanizmy żądania – i gdy ma to zastosowanie bezpłatnego uzyskiwania – w szczególności dostępu do danych osobowych i ich sprostowania lub usunięcia oraz możliwości wykonywania prawa do sprzeciwu […]”.
8 Motyw 63 RODO ma następujące brzmienie:
„Każda osoba fizyczna powinna mieć prawo dostępu do zebranych danych jej dotyczących oraz powinna mieć możliwość łatwego wykonywania tego prawa w rozsądnych odstępach czasu, by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem. Obejmuje to prawo dostępu osób, których dane dotyczą, do danych dotyczących ich zdrowia, na przykład do danych w dokumentacji medycznej zawierającej takie informacje jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi […]”.
9 Artykuł 4 RODO przewiduje:
„Na użytek niniejszego rozporządzenia:
1) »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
[…]”.
10 Artykuł 12 RODO stanowi:
„1. Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą.
2. Administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15–22 […].
[…]
5. Informacje podawane na mocy art. 13 i 14 oraz komunikacja i działania podejmowane na mocy art. 15–22 i 34 są wolne od opłat. Jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, administrator może:
a) pobrać rozsądną opłatę, uwzględniając administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań; albo
b) odmówić podjęcia działań w związku z żądaniem.
Obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter, spoczywa na administratorze.
[…]”.
11 Artykuł 15 RODO stanowi:
„1. Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji:
a) cele przetwarzania;
b) kategorie odnośnych danych osobowych;
c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych;
d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;
f) informacje o prawie wniesienia skargi do organu nadzorczego;
g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle;
h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
2. Jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba, której dane dotyczą, ma prawo zostać poinformowana o odpowiednich zabezpieczeniach, o których mowa w art. 46, związanych z przekazaniem.
3. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
4. Prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawa i wolności innych”.
12 Artykuły 16 i 17 wspomnianego rozporządzenia ustanawiają, odpowiednio, prawo osoby, której dane dotyczą, do żądania sprostowania danych osobowych, które są nieprawidłowe (prawo do sprostowania danych), a także, w pewnych okolicznościach, prawo do usunięcia tych danych (prawo do usunięcia danych lub „prawo do bycia zapomnianym”).
13 Artykuł 18 tego rozporządzenia, zatytułowany „Prawo do ograniczenia przetwarzania”, stanowi w ust. 1:
„Osoba, której dane dotyczą, ma prawo żądania od administratora ograniczenia przetwarzania w następujących przypadkach:
a) osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych;
b) przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
c) administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
d) osoba, której dane dotyczą, wniosła sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą”.
14 Artykuł 21 RODO, zatytułowany „Prawo do sprzeciwu”, przewiduje w ust. 1:
„Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń”.
15 Zgodnie z art. 23 ust. 1 RODO:
„Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
[…]
i) ochronie osoby, której dane dotyczą, lub praw i wolności innych osób;
[…]”.
Prawo niemieckie
16 Zgodnie z § 630f Bürgerliches Gesetzbuch (kodeksu cywilnego, zwanego dalej „BGB”) lekarz prowadzący jest zobowiązany do prowadzenia dokumentacji medycznej w formie papierowej lub elektronicznej w celu dokumentacyjnym pozostającym w bezpośrednim związku czasowym z leczeniem. Lekarz prowadzący ma obowiązek odnotowania w dokumentacji medycznej pacjenta wszelkich środków, które z fachowego punktu widzenia są istotne dla obecnego i przyszłego leczenia, oraz ich skutków, w szczególności wywiadu lekarskiego, diagnoz, badań, wyników badań, orzeczeń lekarskich, terapii i ich skutków, zabiegów i ich skutków, zgód i wyjaśnień. Lekarz prowadzący powinien przechowywać dokumentację medyczną pacjenta przez 10 lat po zakończeniu leczenia, o ile na podstawie innych przepisów nie są wymagane inne okresy przechowywania.
17 Zgodnie z § 630g ust. 1 zdanie pierwsze BGB na żądanie pacjenta należy niezwłocznie zapewnić mu wgląd do dotyczącej go kompletnej dokumentacji medycznej, o ile istotne względy terapeutyczne lub inne istotne prawa osób trzecich nie stoją temu na przeszkodzie. Na podstawie § 630g ust. 2 zdanie pierwsze BGB pacjent może również żądać elektronicznych kopii dokumentacji medycznej. W świetle uzasadnienia do ustawy należy to rozumieć w ten sposób, że pacjent może żądać wedle wyboru przedstawienia kopii fizycznych lub elektronicznych. Paragraf 630g ust. 2 zdanie drugie BGB przewiduje, że pacjent powinien zwrócić lekarzowi prowadzącemu powstałe koszty.
Postępowanie główne i pytania prejudycjalne
18 DW był leczony dentystycznie przez FT. Podejrzewając, że podczas leczenia, któremu się poddał, popełniono błędy, DW zwrócił się do FT o bezpłatne przekazanie pierwszej kopii swojej dokumentacji medycznej. FT poinformowała DW, że uwzględni jego żądanie jedynie pod warunkiem, że pokryje on koszty związane z dostarczeniem kopii dokumentacji medycznej, jak przewiduje to prawo krajowe.
19 DW wytoczył powództwo przeciwko FT. Zarówno w pierwszej instancji, jak i w postępowaniu apelacyjnym uwzględniono podniesione przez DW żądanie bezpłatnego przekazania mu pierwszej kopii jego dokumentacji medycznej. Orzeczenia te opierały się na wykładni mającego zastosowanie ustawodawstwa krajowego w świetle art. 12 ust. 5 oraz art. 15 ust. 1 i 3 RODO.
20 Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy), do którego FT wniosła skargę rewizyjną, uważa, że rozstrzygnięcie sporu zależy od wykładni, jaką należy nadać przepisom RODO.
21 Sąd odsyłający podnosi, że na mocy prawa krajowego pacjent może otrzymać kopię swojej dokumentacji medycznej, pod warunkiem że zwróci lekarzowi prowadzącemu wynikające z tego koszty.
22 Jednakże z art. 15 ust. 3 zdanie pierwsze w związku z art. 12 ust. 5 zdanie pierwsze RODO może wynikać, że administrator danych, w tym przypadku lekarz prowadzący, jest zobowiązany bezpłatnie przekazać pacjentowi pierwszą kopię jego dokumentacji medycznej.
23 Po pierwsze, sąd odsyłający zauważa, że DW domaga się pierwszej kopii swojej dokumentacji medycznej w celu pociągnięcia FT do odpowiedzialności. Taki cel jest zdaniem tego sądu niezwiązany z celem wskazanym w motywie 63 RODO, który przewiduje, że każda osoba powinna mieć prawo dostępu do danych osobowych, tak by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem. Jednakże brzmienie art. 15 RODO nie uzależnia korzystania z prawa do informacji od takich powodów. Ponadto przepis ten nie wymaga od osoby, której dane dotyczą, aby uzasadniła swój wniosek o przekazanie informacji.
24 Po drugie, sąd odsyłający podkreśla, że art. 23 ust. 1 RODO pozwala przyjąć krajowe akty prawne ograniczające zakres obowiązków i praw przewidzianych w art. 12–22 tego rozporządzenia, służące jednemu z celów przewidzianych w tym przepisie. W niniejszej sprawie FT powołuje się na ujęty w art. 23 ust. 1 lit. i) RODO cel ochrony praw i wolności innych osób i podnosi, że regulacja zwrotu kosztów przewidziana w § 630g ust. 2 zdanie drugie BGB jest niezbędnym i proporcjonalnym środkiem dla celów ochrony uzasadnionych interesów lekarzy prowadzących, który co do zasady umożliwia zapobieganie nieuzasadnionym żądaniom kopii ze strony odnośnych pacjentów.
25 Jednakże z jednej strony § 630g ust. 2 zdanie drugie BGB przyjęto przed wejściem w życie RODO.
26 Z drugiej strony regulacja zwrotu kosztów z § 630g ust. 2 zdanie drugie BGB ma przede wszystkim na celu ochronę interesów gospodarczych lekarzy praktykujących. Należy zatem ustalić, czy interes tych ostatnich w nieponoszeniu ciężaru kosztów i wydatków związanych z wydaniem kopii danych wchodzi w zakres praw i wolności innych osób w rozumieniu art. 23 ust. 1 lit. i) RODO. Ponadto systemowe przenoszenie na pacjentów kosztów związanych z kopiami ich dokumentacji medycznej może okazać się nadmierne, w sytuacji gdy nie uwzględnia ono faktycznie poniesionych kosztów ani okoliczności właściwych dla danego wniosku.
27 Po trzecie, w zakresie, w jakim DW żąda wydania kopii wszystkich dotyczących go dokumentów medycznych, a zatem swojej dokumentacji medycznej, sąd odsyłający zastanawia się nad zakresem ustanowionego w art. 15 ust. 3 RODO prawa do uzyskania kopii danych osobowych podlegających przetwarzaniu. W tym względzie prawu temu można by uczynić zadość poprzez przekazanie streszczenia danych przetwarzanych przez lekarza. Jednakże wydaje się, że cele przejrzystości i kontroli zgodności z prawem, którym służy RODO, przemawiają za przekazywaniem kopii wszystkich danych, którymi administrator dysponuje w formie nieprzetworzonej, a mianowicie wszystkich dokumentów medycznych dotyczących pacjenta, o ile zawierają one takie dane.
28 W tych okolicznościach Bundesgerichtshof (federalny trybunał sprawiedliwości) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy art. 15 ust. 3 zdanie pierwsze w związku z art. 12 ust. 5 rozporządzenia RODO należy interpretować w ten sposób, że administrator (w niniejszym przypadku: lekarz prowadzący) nie jest zobowiązany do bezpłatnego dostarczenia osobie, której dane dotyczą (w niniejszym przypadku: pacjentowi), pierwszej kopii jej danych osobowych przetwarzanych przez administratora, jeżeli osoba, której dane dotyczą, nie żąda takiej kopii dla celów, o których mowa w motywie 63 zdanie pierwsze RODO, mianowicie uzyskania świadomości przetwarzania swoich danych osobowych i możliwości weryfikacji zgodności przetwarzania z prawem, lecz w innym – niezwiązanym z ochroną danych osobowych, choć również uzasadnionym – celu (w niniejszym przypadku: uprawdopodobnienia istnienia roszczeń z tytułu błędu medycznego)?
2) W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze:
a) Czy również przepis krajowy państwa członkowskiego, który został uchwalony przed wejściem w życie RODO, może być uznany za zgodne z art. 23 ust. 1 lit. i) RODO ograniczenie wynikającego z art. 15 ust. 3 zdanie pierwsze w związku z art. 12 ust. 5 RODO prawa do bezpłatnego dostarczenia kopii danych osobowych przetwarzanych przez administratora?
b) W przypadku udzielenia odpowiedzi twierdzącej na pytanie drugie lit. a): Czy art. 23 ust. 1 lit. i) RODO należy interpretować w ten sposób, że wskazane w nim prawa i wolności innych osób obejmują również ich interes w zwolnieniu z kosztów związanych z wydaniem kopii danych na podstawie art. 15 ust. 3 zdanie pierwsze RODO i z innych wydatków poniesionych w związku z udostępnieniem kopii?
c) W przypadku udzielenia odpowiedzi twierdzącej na pytanie drugie lit. b): Czy uregulowanie krajowe, które w stosunku lekarz–pacjent przewiduje zawsze i niezależnie od konkretnych okoliczności danego przypadku, że lekarzowi przysługuje wobec pacjenta roszczenie o zwrot kosztów, w przypadku jeśli lekarz wyda pacjentowi kopię jego zawartych w dokumentacji medycznej danych osobowych, może być uznane za zgodne z art. 23 ust. 1 lit. i) RODO ograniczenie wynikających z art. 15 ust. 3 zdanie pierwsze w zw. z art. 12 ust. 5 RODO obowiązków i praw?
3) W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze i odpowiedzi przeczącej na pytania [drugie lit. a)–c)]: Czy roszczenie, o którym mowa w art. 15 ust. 3 zdanie pierwsze RODO, w stosunku lekarz–pacjent obejmuje roszczenie o przekazanie kopii wszystkich części dokumentacji medycznej zawierających dane osobowe pacjenta, czy też dotyczy ono jedynie wydania kopii danych osobowych pacjenta jako takich, pozostawiając jednocześnie do uznania lekarza przetwarzającego dane, w jaki sposób zestawia on dane dla danego pacjenta? ”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego
29 Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 12 ust. 5 oraz art. 15 ust. 1 i 3 RODO należy interpretować w ten sposób, że na administratorze ciąży obowiązek bezpłatnego dostarczenia osobie, której dane dotyczą, pierwszej kopii jej danych osobowych podlegających przetwarzaniu, nawet jeśli jej wniosek jest uzasadniony celem niezwiązanym z celami wskazanymi w motywie 63 zdanie pierwsze tego rozporządzenia.
30 Na wstępie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem przy dokonywaniu wykładni przepisu prawa Unii należy uwzględniać nie tylko jego brzmienie, lecz także jego kontekst oraz cele regulacji, której część ten przepis stanowi [wyrok z dnia 12 stycznia 2023 r., Österreichische Post (Informacje odnoszące się do odbiorców danych osobowych), C‑154/21, EU:C:2023:3, pkt 29].
31 Co się tyczy, po pierwsze, brzmienia właściwych przepisów, należy zauważyć z jednej strony, że art. 12 ust. 5 RODO ustanawia zasadę, która stanowi, że korzystanie przez osobę, której dane dotyczą, z prawa dostępu do jej danych polegających przetwarzaniu oraz do związanych z nimi informacji nie pociąga za sobą żadnych kosztów dla osoby, której dane dotyczą. Ponadto przepis ten przewiduje dwa powody, dla których administrator może albo pobrać rozsądną opłatę uwzględniającą koszty administracyjne, albo odmówić podjęcia działań w związku z żądaniem. Powody te odnoszą się do przypadków nadużycia prawa, w których wnioski osoby, której dane dotyczą, są „ewidentnie nieuzasadnione” lub „nadmierne”, w szczególności ze względu na swój ustawiczny charakter.
32 W tym względzie sąd odsyłający wyraźnie zauważył, że wniosek osoby, której dane dotyczą, nie stanowi nadużycia.
33 Z drugiej strony prawo dostępu osoby, której dane dotyczą, do jej danych podlegających przetwarzaniu i do związanych z nimi informacji, które stanowi integralną część prawa do ochrony danych osobowych, jest zagwarantowane w art. 15 ust. 1 RODO. Zgodnie z brzmieniem tego przepisu osoby, których dane dotyczą, mają prawo dostępu do swoich danych osobowych podlegających przetwarzaniu.
34 Ponadto z art. 15 ust. 3 RODO wynika, że administrator dostarcza kopię danych osobowych podlegających przetwarzaniu, a za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, może on pobrać opłatę w rozsądnej wysokości. W tym względzie art. 15 ust. 4 RODO uściśla, że ust. 3 tego artykułu przyznaje tej osobie „prawo”. Administrator może zatem pobrać taką opłatę tylko wtedy, gdy osoba, której dane dotyczą, otrzymała już bezpłatnie pierwszą kopię swoich danych i ponownie wystąpuje z wnioskiem o te dane.
35 Jak Trybunał już orzekł, z analizy językowej art. 15 ust. 3 zdanie pierwsze RODO wynika, że przepis ten przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii jej – rozumianych szeroko – danych osobowych podlegających operacjom, które należy zakwalifikować jako „przetwarzanie dokonywane przez administratora tego przetwarzania” (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, pkt 28).
36 Z tego względu z art. 12 ust. 5 w związku z art. 15 ust. 1 i 3 RODO wynika z jednej strony prawo osoby, której dane dotyczą, do bezpłatnego uzyskania pierwszej kopii jej danych osobowych podlegających przetwarzaniu, a z drugiej strony przysługująca administratorowi możliwość pobierania, pod pewnymi warunkami, rozsądnej opłaty uwzględniającej koszty administracyjne lub odmowy podjęcia działań w związku z żądaniem informacji, jeżeli żądanie to jest ewidentnie nieuzasadnione lub nadmierne.
37 W niniejszym przypadku należy zauważyć, że lekarza dokonującego wskazanych w art. 4 pkt 2 RODO operacji przetwarzania dotyczących danych jego pacjentów należy uznać za „administratora” w rozumieniu art. 4 pkt 7 tego rozporządzenia, podlegającego obowiązkom wynikającym z tego statusu, w szczególności w odniesieniu do zapewnienia dostępu do danych osobowych na wniosek osób, których dane dotyczą.
38 Należy stwierdzić, że ani brzmienie art. 12 ust. 5 RODO, ani brzmienie art. 15 ust. 1 i 3 tego rozporządzenia nie uzależniają bezpłatnego dostarczenia pierwszej kopii danych osobowych od powołania się przez te osoby na powód mający uzasadnić ich wnioski. Przepisy te nie dają zatem administratorowi możliwości wymagania uzasadnienia wniosku o udzielenie dostępu złożonego przez osobę, której dane dotyczą.
39 Co się tyczy, po drugie, kontekstu, w jaki wpisują się wyżej wymienione przepisy, należy podkreślić, że art. 12 RODO należy do sekcji 1 rozdziału III tego rozporządzenia, dotyczącej w szczególności zasady przejrzystości, o której mowa w art. 5 ust. 1 lit. a) wspomnianego rozporządzenia.
40 Artykuł 12 RODO ustanawia zatem ogólne obowiązki ciążące na administratorze w odniesieniu do przejrzystego informowania i przejrzystej komunikacji oraz trybu wykonywania praw przez osobę, której dane dotyczą.
41 Artykuł 15 RODO, należący do sekcji 2 rozdziału III, która dotyczy informacji i dostępu do danych osobowych, uzupełnia odnoszące się do przejrzystości ramy regulacyjne RODO, przyznając osobie, której dane dotyczą, prawo dostępu do jej danych osobowych oraz prawo do informacji o przetwarzaniu tych danych.
42 Trzeba ponadto zauważyć, że zgodnie z motywem 59 RODO „[n]ależy przewidzieć procedury ułatwiające osobie, której dane dotyczą, wykonywanie praw przysługujących jej na mocy niniejszego rozporządzenia, w tym mechanizmy żądania – i gdy ma to zastosowanie bezpłatnego uzyskiwania – w szczególności dostępu do danych osobowych i ich sprostowania lub usunięcia oraz możliwości wykonywania prawa do sprzeciwu”.
43 Ponieważ, jak wynika z pkt 38 niniejszego wyroku, osoba, której dane dotyczą, nie jest zobowiązana do uzasadnienia wniosku o udzielenie dostępu do danych, pierwszego zdania motywu 63 nie można interpretować w ten sposób, że wniosek ten należy oddalić, jeżeli ma on inny cel niż uzyskanie świadomości przetwarzania danych i zweryfikowanie zgodności przetwarzania z prawem. Motyw ten nie może bowiem ograniczać przypomnianego w pkt 35 niniejszego wyroku zakresu art. 15 ust. 3 RODO.
44 W tym względzie należy przypomnieć, że z utrwalonego orzecznictwa wynika, iż preambuła do aktu prawa Unii nie ma wiążącej mocy prawnej i nie można się na nią powoływać w celu odstąpienia od przepisów danego aktu ani w celu interpretowania jego przepisów w sposób oczywiście sprzeczny z ich treścią (wyrok z dnia 13 września 2018 r., Česká pojišťovna, C‑287/17, EU:C:2018:707, pkt 33).
45 Ponadto motyw 63 zdanie drugie stanowi, że przysługujące osobom, których dane dotyczą, prawo dostępu do danych osobowych obejmuje, w odniesieniu do danych dotyczących ich zdrowia, „dan[e] w dokumentacji medycznej zawierającej takie informacje jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi”.
46 W tych okolicznościach zagwarantowane w art. 15 ust. 1 RODO prawo dostępu do danych dotyczących zdrowia nie może być ograniczone, w drodze odmowy dostępu lub nałożenia obowiązku zapłaty wynagrodzenia, do jednego z powodów wymienionych w motywie 63 zdanie pierwsze. To samo dotyczy prawa do bezpłatnego uzyskania pierwszej kopii, przewidzianego w art. 12 ust. 5 i art. 15 ust. 3 tego rozporządzenia.
47 Po trzecie, co się tyczy celów RODO, należy zauważyć, że rozporządzenie to ma na celu, jak wskazują jego motywy 10 i 11, zapewnienie spójnego i wysokiego stopnia ochrony osób fizycznych w Unii oraz wzmocnienie i doprecyzowanie praw osób, których dane dotyczą.
48 To właśnie dla osiągnięcia tego celu art. 15 ust. 1 gwarantuje osobie, której dane dotyczą, prawo dostępu do jej danych osobowych (zob. podobnie wyrok z dnia 22 czerwca 2023 r., Pankki S, C‑579/21, EU:C:2023:501, pkt 57 i przytoczone tam orzecznictwo).
49 W związku z tym art. 12 ust. 5 oraz art. 15 ust. 1 i 3 RODO należą do przepisów mających gwarantować to prawo do dostępu oraz przejrzystość sposobów przetwarzania danych osobowych względem osoby, której dane dotyczą [zob. podobnie wyrok z dnia 12 stycznia 2023 r., Österreichische Post (Informacje odnoszące się do odbiorców danych osobowych), C‑154/21, EU:C:2023:3, pkt 42].
50 Zasada bezpłatności pierwszej kopii danych oraz brak konieczności powołania się na szczególny powód uzasadniający wniosek o udzielenie dostępu przyczyniają się zaś nieuchronnie do ułatwienia osobie, której dane dotyczą, wykonywania praw przyznanych jej w RODO.
51 W konsekwencji, biorąc pod uwagę znaczenie, jakie RODO przypisuje prawu dostępu do danych osobowych podlegających przetwarzaniu, zagwarantowanemu w art. 15 ust. 1 RODO dla osiągnięcia takich celów, wykonywanie tego prawa nie może podlegać warunkom, które nie zostały wyraźnie przewidziane przez prawodawcę Unii, takim jak obowiązek powołania się na jeden z powodów wymienionych w motywie 63 zdanie pierwsze RODO.
52 W świetle całości powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 12 ust. 5 oraz art. 15 ust. 1 i 3 RODO należy interpretować w ten sposób, że na administratorze ciąży obowiązek bezpłatnego dostarczenia osobie, której dane dotyczą, pierwszej kopii jej danych osobowych podlegających przetwarzaniu, nawet jeśli jej wniosek jest uzasadniony celem niezwiązanym z celami wskazanymi w motywie 63 zdanie pierwsze wspomnianego rozporządzenia.
W przedmiocie pytania drugiego
53 Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 23 ust. 1 lit. i) RODO należy interpretować w ten sposób, że dopuszcza on przyjęte przed wejściem w życie tego rozporządzenia przepisy krajowe obciążające – w celu ochrony interesów gospodarczych administratora – osobę, której dane dotyczą, kosztami pierwszej kopii jej danych osobowych podlegających temu przetwarzaniu.
54 W pierwszej kolejności, co się tyczy kwestii, czy jedynie środki krajowe przyjęte po wejściu w życie RODO mogą być objęte zakresem stosowania art. 23 ust. 1 RODO, należy podkreślić, że brzmienie tego przepisu nie zawiera żadnej wskazówki w tym względzie.
55 Artykuł 23 ust. 1 RODO ogranicza się bowiem do wskazania, że akt prawny państwa członkowskiego może ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 tego rozporządzenia, o ile akty te odpowiadają prawom i obowiązkom przewidzianym w tych artykułach i jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest środkiem niezbędnym i proporcjonalnym służącym w szczególności ochronie praw i wolności innych osób.
56 W konsekwencji art. 23 ust. 1 RODO nie wyłącza ze swojego zakresu stosowania krajowych aktów prawnych przyjętych przed wejściem w życie RODO, o ile spełniają one ustanowione w nim warunki.
57 W drugiej kolejności, co się tyczy kwestii, czy przepisy krajowe, które w celu ochrony interesu gospodarczego lekarzy prowadzących obciążają pacjenta kosztami związanymi z dostarczeniem pierwszej kopii dokumentacji medycznej, o którą ten ostatni się zwrócił, są objęte zakresem art. 23 ust. 1 lit. i) RODO, należy przypomnieć, po pierwsze, że jak wynika z pkt 31 i 33–36 niniejszego wyroku, na mocy art. 12 ust. 5 oraz art. 15 ust. 1 i 3 tego rozporządzenia osobie, której dane dotyczą, przysługuje prawo do bezpłatnego uzyskania pierwszej kopii jej danych osobowych podlegających przetwarzaniu.
58 Artykuł 15 ust. 3 zdanie drugie RODO zezwala jednak administratorowi na pobranie opłaty w rozsądnej wysokości wynikającej z kosztów administracyjnych za wszelkie dodatkowe kopie. Ponadto art. 12 ust. 5 RODO w związku z art. 15 ust. 1 i 3 tego rozporządzenia pozwala administratorowi ustrzec się przed nadużywaniem prawa dostępu poprzez pobieranie rozsądnej opłaty w przypadku ewidentnie nieuzasadnionego lub nadmiernego żądania.
59 Po drugie, na mocy motywu 4 tego rozporządzenia prawo do ochrony danych osobowych nie jest prawem bezwzględnym i należy je wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. I tak RODO nie narusza praw podstawowych, wolności i zasad uznanych w karcie praw podstawowych oraz zapisanych w traktatach [wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), C‑175/20, EU:C:2022:124, pkt 53].
60 W istocie art. 15 ust. 4 RODO przewiduje, że „prawo do uzyskania kopii […] nie może niekorzystnie wpływać na prawa i wolności innych”.
61 Podobnie art. 23 ust. 1 lit. i) RODO przypomina, że ograniczenie zakresu obowiązków i praw przewidzianych w szczególności w art. 15 RODO jest możliwe, „jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym […] ochronie […] praw i wolności innych osób”.
62 W konsekwencji z pkt 59–61 niniejszego wyroku wynika, że przyznane osobie, której dane dotyczą, prawo do bezpłatnego uzyskania pierwszej kopii jej danych osobowych podlegających przetwarzaniu nie jest prawem absolutnym.
63 Po trzecie, jedynie względy dotyczące w szczególności ochrony praw i wolności innych osób mogłyby uzasadniać ograniczenie tego prawa, o ile takie ograniczenie nie narusza jego istoty i jest środkiem niezbędnym i proporcjonalnym służącym tej ochronie, jak to przewiduje art. 23 ust. 1 lit. i) RODO.
64 Jak zaś wynika z postanowienia odsyłającego, regulacja zwrotu kosztów przewidziana w § 630g ust. 2 zdanie drugie BGB pozwala lekarzowi prowadzącemu na obciążenie pacjenta kosztami związanymi z dostarczeniem pierwszej kopii jego dokumentacji medycznej. Sąd odsyłający podkreśla, że regulacja ta ma przede wszystkim na celu ochronę interesów gospodarczych lekarzy prowadzących poprzez zniechęcanie pacjentów do zbędnego składania wniosków o kopie ich dokumentacji medycznej. Tak więc, o ile przepisy krajowe rozpatrywane w postępowaniu głównym rzeczywiście mają na celu ochronę interesów gospodarczych lekarzy prowadzących, czego sprawdzenie należy do sądu odsyłającego, takie względy nie mogą być objęte zakresem „praw i wolności innych osób”, o których mowa w art. 23 ust. 1 lit. i) RODO.
65 Po pierwsze bowiem, takie przepisy zniechęcają nie tylko do składania wniosków, które byłyby zbędne, lecz również do składania wniosków mających na celu bezpłatne uzyskanie z uzasadnionego powodu pierwszej kopii przetwarzanych danych osobowych. W konsekwencji naruszają one nieuchronnie zasadę bezpłatności pierwszej kopii i z tego względu podważają skuteczność (effet utile) prawa dostępu przewidzianego w art. 15 ust. 1 RODO, a tym samym ochronę gwarantowaną przez to rozporządzenie.
66 Po drugie, z postanowienia odsyłającego nie wynika, by interesy chronione przez przepisy krajowe wykraczały poza względy o charakterze czysto administracyjnym lub gospodarczym.
67 W tym względzie należy podkreślić, że interesy gospodarcze administratorów danych zostały wzięte pod uwagę przez prawodawcę Unii w ramach art. 12 ust. 5 i art. 15 ust. 3 zdanie drugie RODO, które jak przypomniano w pkt 58 niniejszego wyroku, określają okoliczności, w których administrator może pobrać opłatę za koszty związane z dostarczeniem kopii danych osobowych podlegających przetwarzaniu.
68 W tych okolicznościach dążenie do osiągnięcia celu związanego z ochroną interesów gospodarczych lekarzy praktykujących nie może uzasadniać środka prowadzącego do podważenia prawa do bezpłatnego uzyskania pierwszej kopii, a tym samym skuteczności (effet utile) prawa dostępu osoby, której dane dotyczą, do jej danych osobowych podlegających przetwarzaniu.
69 W świetle całości powyższych rozważań na pytanie drugie należy odpowiedzieć, iż art. 23 ust. 1 lit. i) RODO należy interpretować w ten sposób, że zakresem stosowania tego przepisu mogą być objęte przepisy krajowe przyjęte przed wejściem w życie tego rozporządzenia. Jednakże taka możliwość nie pozwala na przyjęcie przepisów krajowych obciążających – w celu ochrony interesów gospodarczych administratora – osobę, której dane dotyczą, kosztami pierwszej kopii jej danych osobowych podlegających temu przetwarzaniu.
W przedmiocie pytania trzeciego
70 Poprzez pytanie trzecie sąd odsyłający dąży w istocie do ustalenia, czy art. 15 ust. 3 zdanie pierwsze RODO należy interpretować w ten sposób, że w ramach relacji lekarz–pacjent prawo do uzyskania kopii danych osobowych podlegających przetwarzaniu oznacza wydanie osobie, której dane dotyczą, pełnej kopii znajdujących w jej aktach medycznych dokumentów, które zawierają jej dane osobowe, czy też jedynie kopię tych danych jako takich.
71 Przede wszystkim Trybunał orzekł, że zgodnie ze swoim brzmieniem art. 15 ust. 3 zdanie pierwsze RODO przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii jej – rozumianych szeroko – danych osobowych podlegających operacjom, które należy zakwalifikować jako „przetwarzanie” dokonywane przez administratora tego przetwarzania (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, pkt 28).
72 Następnie art. 15 RODO nie może być interpretowany w ten sposób, że ustanawia w ust. 3 zdanie pierwsze prawo odrębne od prawa przewidzianego w ust. 1 tego przepisu. Ponadto pojęcie „kopii” odnosi się nie do dokumentu jako takiego, ale do danych osobowych, które on zawiera i które powinny być kompletne. Kopia powinna zatem obejmować wszystkie dane osobowe podlegające przetwarzaniu (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, pkt 32).
73 Wreszcie, co się tyczy celów art. 15 RODO, ma on na celu wzmocnienie i doprecyzowanie praw osób, których dane dotyczą. I tak, prawo dostępu przewidziane w tym przepisie powinno umożliwiać osobie, której dane dotyczą, upewnienie się, że dotyczące jej dane osobowe są prawidłowe i przetwarzane zgodnie z prawem. Ponadto kopia danych osobowych podlegających przetwarzaniu, którą administrator musi dostarczyć na podstawie art. 15 ust. 3 zdanie pierwsze RODO, powinna posiadać wszystkie cechy umożliwiające osobie, której dane dotyczą, skuteczne wykonywanie jej praw wynikających z tego rozporządzenia, a w konsekwencji powinna odtwarzać w całości i wiernie te dane (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, pkt 33, 34, 39).
74 W szczególności, aby zagwarantować, że informacje przekazane przez administratora będą łatwe do zrozumienia, jak tego wymaga art. 12 ust. 1 RODO w świetle motywu 58 tego rozporządzenia, może okazać się niezbędne, w przypadku gdy kontekst przetwarzanych danych jest niezbędny do zapewnienia, by były one zrozumiałe, odtworzenie fragmentów dokumentów, a nawet całych dokumentów, które zawierają między innymi przetwarzane dane osobowe (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, pkt 41).
75 W konsekwencji prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernej i zrozumiałej kopii wszystkich oryginałów tych danych. Prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów lub całych dokumentów, które zawierają między innymi te dane, jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez to rozporządzenie (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, pkt 45).
76 Co się tyczy informacji rozpatrywanych w postępowaniu głównym, należy zauważyć, że RODO określa elementy, o których kopię powinien mieć możliwość zwrócenia się skarżący w postępowaniu głównym. I tak, jeśli chodzi o dane osobowe odnoszące się do zdrowia, motyw 63 tego rozporządzenia wyszczególnia, że przysługujące osobom, których dane dotyczą, prawo dostępu obejmuje „dan[e] w dokumentacji medycznej zawierającej takie informacje jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi”.
77 W tym względzie, jak zauważył w istocie rzecznik generalny w pkt 78–80 opinii, to właśnie ze względu na wrażliwość danych osobowych odnoszących się do zdrowia osób fizycznych prawodawca Unii podkreślił znaczenie, jakie ma to, by dostęp tych osób do ich danych zawartych w dokumentacji medycznej odbywał się w sposób możliwie najpełniejszy i precyzyjny, a także zrozumiały.
78 Co się zaś tyczy wyników badań, ocen dokonywanych przez lekarzy prowadzących oraz stosowanych terapii lub przeprowadzonych zabiegów w odniesieniu do pacjenta, które wiążą się co do zasady z licznymi danymi technicznymi, czy nawet zdjęciami, dostarczenie przez lekarza zwykłego podsumowania lub kompilacji tych danych w celu przedstawienia ich w formie syntetycznej mogłoby stwarzać ryzyko pominięcia lub odtworzenia w nieprawidłowy sposób niektórych istotnych danych bądź w każdym razie ryzyko utrudnienia sprawdzenia ich dokładności i kompletności oraz ich zrozumienia przez pacjenta.
79 W świetle całości powyższych rozważań na pytanie trzecie należy odpowiedzieć, iż art. 15 ust. 3 zdanie pierwsze RODO należy interpretować w ten sposób, że w ramach relacji lekarz–pacjent prawo do uzyskania kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernego i zrozumiałego odwzorowania wszystkich tych danych. Prawo to zakłada prawo do uzyskania pełnej kopii znajdujących w jej aktach medycznych dokumentów, które zawierają między innymi wspomniane dane, jeżeli dostarczenie takiej kopii jest konieczne, aby umożliwić osobie, której dane dotyczą, sprawdzenie ich dokładności i kompletności oraz aby zagwarantować ich zrozumiałość. Co się tyczy danych odnoszących się do zdrowia osoby, której dane dotyczą, prawo to obejmuje w każdym razie prawo do uzyskania kopii danych z dokumentacji medycznej zawierającej informacje takie jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi w odniesieniu do tej osoby.
W przedmiocie kosztów
80 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (pierwsza izba) orzeka, co następuje:
1) Artykuł 12 ust. 5 oraz art. 15 ust. 1 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
na administratorze ciąży obowiązek bezpłatnego dostarczenia osobie, której dane dotyczą, pierwszej kopii jej danych osobowych podlegających przetwarzaniu, nawet jeśli jej wniosek jest uzasadniony celem niezwiązanym z celami wskazanymi w motywie 63 zdanie pierwsze wspomnianego rozporządzenia.
2) Artykuł 23 ust. 1 lit. i) rozporządzenia 2016/679
należy interpretować w ten sposób, że:
zakresem stosowania tego przepisu mogą być objęte przepisy krajowe przyjęte przed wejściem w życie tego rozporządzenia. Jednakże taka możliwość nie pozwala na przyjęcie przepisów krajowych obciążających – w celu ochrony interesów gospodarczych administratora – osobę, której dane dotyczą, kosztami pierwszej kopii jej danych osobowych podlegających temu przetwarzaniu.
3) Artykuł 15 ust. 3 zdanie pierwsze rozporządzenia 2016/679
należy interpretować w ten sposób, że:
w ramach relacji lekarz–pacjent prawo do uzyskania kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernego i zrozumiałego odwzorowania wszystkich tych danych. Prawo to zakłada prawo do uzyskania pełnej kopii znajdujących w jej aktach medycznych dokumentów, które zawierają między innymi wspomniane dane, jeżeli dostarczenie takiej kopii jest konieczne, aby umożliwić osobie, której dane dotyczą, sprawdzenie ich dokładności i kompletności oraz aby zagwarantować ich zrozumiałość. Co się tyczy danych odnoszących się do zdrowia osoby, której dane dotyczą, prawo to obejmuje w każdym razie prawo do uzyskania kopii danych z dokumentacji medycznej zawierającej informacje takie jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi w odniesieniu do tej osoby.
Podpisy