Sag C-307/22
FT
mod
DW
(anmodning om præjudiciel afgørelse indgivet af Bundesgerichtshof)
Domstolens dom (Første Afdeling) af 26. oktober 2023
»Præjudiciel forelæggelse – behandling af personoplysninger – forordning (EU) 2016/679 – artikel 12, 15 og 23 – den registreredes ret til indsigt i de oplysninger om vedkommende, der behandles – ret til gratis at få en første kopi af disse oplysninger – behandling af oplysninger om en patient foretaget af dennes læge – patientjournal – begrundelse for begæringen om indsigt – brug af oplysningerne til at gøre et ansvar gældende over for den behandlende person – begrebet »kopi««
1. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til indsigt i de oplysninger om vedkommende, der behandles – ret til gratis at få en første kopi af sine oplysninger – pligt for den dataansvarlige til at udlevere en sådan kopi – pligt, ifølge betragtningerne til forordningen, for den registrerede til at begrunde sin anmodning om indsigt i oplysningerne – foreligger ikke
(Europa-Parlamentets og Rådets forordning 2016/679, 63. betragtning og art. 12, stk. 5, og art. 15, stk. 1 og 3)
(jf. præmis 35-38, 43, 46 og 50-52 samt domskonkl. 1)
2. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – medlemsstaternes mulighed for at vedtage en lovgivning, som begrænser rækkevidden af visse rettigheder og forpligtelser, der er fastsat i forordningen – national lovgivning, der er vedtaget forud for eller efter forordningens ikrafttrædelse – ikke relevant
(Europa-Parlamentets og Rådets forordning 2016/679, art. 23, stk. 1)
(jf. præmis 54-56 og 69 samt domskonkl. 2)
3. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til indsigt i de oplysninger om vedkommende, der behandles – ret til gratis at få en første kopi af sine oplysninger – begrænsninger – betingelser – beskyttelse af andres rettigheder og frihedsrettigheder – en medlemsstats mulighed for at vedtage en national lovgivning, som har til formål at beskytte den dataansvarliges økonomiske interesser, og som pålægger den registrerede at betale udgifterne til en første kopi af sine oplysninger – foreligger ikke
[Europa-Parlamentets og Rådets forordning 2016/679, art. 23, stk. 1, litra i)]
(jf. præmis 62, 64, 65 og 67-69 samt domskonkl. 2)
4. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til indsigt i de oplysninger om vedkommende, der behandles – udlevering af en kopi af oplysningerne – begrebet kopi – udlevering af en nøjagtig og forståelig reproduktion af oplysningerne til den pågældende – kopi af uddrag af dokumenter, såvel som hele dokumenter eller uddrag fra databaser, som bl.a. indeholder de nævnte oplysninger – omfattet – betingelse
(Europa-Parlamentets og Rådets forordning 2016/679, 58. betragtning og art. 12, stk. 1, og art. 15, stk. 1, og art. 15, stk. 3, første punktum)
(jf. præmis 71-75)
5. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til indsigt i de oplysninger om vedkommende, der behandles – udlevering af en kopi af oplysningerne – begrebet kopi – udlevering til den pågældende af en nøjagtig og forståelig reproduktion af samtlige oplysninger i vedkommendes patientjournal – en komplet kopi af de dokumenter, der indgår i patientjournalen – omfattet – betingelse
(Europa-Parlamentets og Rådets forordning 2016/679, 63. betragtning og art.15, stk. 3, første punktum)
(jf. præmis 76-79 og domskonkl. 3)
Resumé
DW anmodede FT, der var dennes tandlæge, om at få udleveret en gratis første kopi af sin patientjournal. Han fremsatte denne anmodning med henblik på at holde FT ansvarlig for fejl, som FT angiveligt havde begået i forbindelse med ydelsen af tandbehandling til ham.
FT støttede sig på tysk ret, i henhold til hvilken en patient kan få udleveret en kopi af sin patientjournal på betingelse af, at den behandlende person får godtgjort udgifterne i forbindelse hermed (1), og afslog at udlevere en sådan kopi til DW, hvorefter DW anlagde et søgsmål. Såvel retten i første instans som appelinstansen gav medhold i DW’s påstand om vederlagsfrit at få udleveret en første kopi af sin patientjournal.
FT iværksatte revisionsanke ved Bundesgerichtshof (forbundsdomstol, Tyskland), hvorefter denne ret anmodede Domstolen om en fortolkning af de bestemmelser i databeskyttelsesforordningen, der omhandler de nærmere regler for udøvelsen af den registreredes ret til indsigt i sine oplysninger og begrænsningerne af rækkevidden af denne ret (2).
I sin dom konkluderede Domstolen indledningsvis, at den dataansvarlige er forpligtet til efter anmodning fra den registrerede vederlagsfrit at udlevere en første kopi af vedkommendes personoplysninger til andre formål end dem, der har til formål at gøre sig bekendt med behandlingen af disse oplysninger og at kontrollere lovligheden heraf, som udtrykkeligt er nævnt i betragtningerne til databeskyttelsesforordningen. Domstolen udtalte sig dernæst om grænserne for medlemsstaternes mulighed for af hensyn til den dataansvarliges økonomiske interesser at begrænse retten til at få udleveret en kopi af oplysningerne ved at pålægge den registrerede at betale den dataansvarliges omkostninger i denne forbindelse. Endelig undersøgte Domstolen nødvendigheden af i visse tilfælde at give den registrerede en komplet kopi af oplysningerne i dennes patientjournal.
Domstolens bemærkninger
For det første og med hensyn til, hvorvidt der også gælder en pligt for den dataansvarlige til gratis at give den registrerede en første kopi af oplysningerne om vedkommende med henblik på forfølgelsen af andre formål end dem, der udtrykkeligt er nævnt i betragtningerne til databeskyttelsesforordningen, bemærkede Domstolen, at denne forordnings artikel 15, stk. 3, første punktum, giver den registrerede ret til at få udleveret en nøjagtig gengivelse af sine personoplysninger – opfattet i bred forstand – som er genstand for aktiviteter, der kan kvalificeres som »behandling udført af den konkrete dataansvarlige« (3). Det fremgår desuden af en samlet læsning af de relevante bestemmelser i databeskyttelsesforordningen (4), dels at den registrerede har ret til at modtage en første vederlagsfri kopi af de personoplysninger om vedkommende, der behandles, dels at den dataansvarlige på visse betingelser har mulighed for at opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger eller afvise at efterkomme en anmodning, hvis anmodningen er åbenbart grundløs eller overdreven.
Imidlertid gør ingen af disse bestemmelser det til en betingelse for at udlevere en gratis første kopi af personoplysninger, at den registrerede påberåber sig en begrundelse for sin anmodning. Følgelig kan de begrundelser for begæringer, der udtrykkeligt er anført i betragtningerne til databeskyttelsesforordningen (5), ikke begrænse rækkevidden af de nævnte bestemmelser. Retten til indsigt i helbredsoplysninger (6) kan således ikke begrænses – ved et afslag på indsigt eller ved betaling af et vederlag – til en af disse grunde, hvilket ligeledes gælder retten til at opnå en gratis første kopi.
Princippet om, at den første kopi af oplysningerne skal være vederlagsfri, og den omstændighed, at det ikke er nødvendigt at påberåbe sig en specifik begrundelse for anmodningen om indsigt, bidrager desuden nødvendigvis til at gøre det lettere for den registrerede at udøve de rettigheder, som databeskyttelsesforordningen tillægger vedkommende. Henset til den betydning, som denne forordning tillægger retten til indsigt i personoplysninger for at nå de med forordningen forfulgte formål, kan udøvelsen af denne ret følgelig ikke underlægges betingelser, som EU-lovgiver ikke udtrykkeligt har fastsat.
For det andet fastslog Domstolen, at en medlemsstat ikke har ret til at vedtage en national lovgivning, som med henblik på at beskytte den dataansvarliges økonomiske interesser pålægger den registrerede at betale udgifterne til en første kopi af sine personoplysninger.
Ganske vist følger det af databeskyttelsesforordningen, at den registreredes ret til at modtage en første vederlagsfri kopi af sine personoplysninger ikke er absolut, og at beskyttelsen af andres rettigheder og frihedsrettigheder under visse betingelser kan begrunde en begrænsning af denne ret (7). Imidlertid forholdt det sig i den konkrete sag således, at for så vidt som den nationale lovgivning havde til formål at beskytte de praktiserende personers økonomiske interesser ved at forebygge nytteløse kopianmodninger, kunne sådanne betragtninger ikke henhøre under sådanne rettigheder og frihedsrettigheder.
Denne lovgivning fører nemlig til afholdelse fra ikke blot anmodninger, der er nytteløse, men ligeledes fra anmodninger om af en legitim grund at få udleveret en første vederlagsfri kopi af de personoplysninger, der behandles. Den er derfor nødvendigvis i strid med princippet om, at den første kopi skal være vederlagsfri, og rejser af denne grund tvivl om den effektive virkning af den registreredes ret efter databeskyttelsesforordningen til indsigt i sine oplysninger, og dermed om den beskyttelse, der sikres ved denne forordning.
I øvrigt fremhævede Domstolen, at der er blevet taget hensyn til de dataansvarliges økonomiske interesser i databeskyttelsesforordningen, der definerer de omstændigheder, hvorunder den dataansvarlige kan opkræve betaling for de udgifter, der er forbundet med udlevering af en kopi af personoplysningerne.
For det tredje og til sidst fastslog Domstolen, at det i et læge/patient-forhold gælder, at retten til at modtage en kopi af personoplysninger indebærer, at den registrerede skal have udleveret en nøjagtig og forståelig gengivelse af alle disse oplysninger. Denne ret indebærer retten til at få udleveret en komplet kopi af de dokumenter, der indgår i vedkommendes patientjournal, såfremt dette er nødvendigt for at gøre det muligt for den registrerede at kontrollere, om dennes oplysninger er korrekte og udtømmende, og for at sikre oplysningernes forståelighed.
Domstolen bemærkede i denne henseende, at hvad angår personoplysninger om helbred er det specificeret i databeskyttelsesforordningen, at de registreredes indsigtsret omfatter »data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget« (8). Det er på grund af følsomheden af disse oplysninger, at EU-lovgiver således har fremhævet vigtigheden af, at fysiske personers indsigt i deres oplysninger i deres patientjournaler sker så fuldstændigt og præcist som muligt, men ligeledes forståeligt.
Hvad angår undersøgelsesresultater, lægelige vurderinger samt behandling og indgreb, der er foretaget over for en patient – hvilket som hovedregel omfatter talrige tekniske oplysninger og endog billeder – kan lægens udlevering af blot et sammendrag eller en sammenskrivning af disse oplysninger, med henblik på at præsentere dem i en sammenfattende form, imidlertid skabe en risiko for, at visse relevante oplysninger udelades eller gengives ukorrekt, eller at det under alle omstændigheder bliver vanskeligere for patienten at kontrollere, om disse oplysninger er korrekte og udtømmende, og at forstå dem.