DOMSTOLENS DOM (första avdelningen)
den 4 maj 2023(*)
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Den registrerades rätt att få tillgång till sina personuppgifter som är under behandling – Artikel 15.3 – Utlämnande av en kopia av uppgifterna – Begreppet 'kopia' – Begreppet 'information'”
I mål C‑487/21,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) genom beslut av den 9 augusti 2021, som inkom till domstolen den 9 augusti 2021, i målet
F.F.
mot
Österreichische Datenschutzbehörde,
ytterligare deltagare i rättegången:
CRIF GmbH,
meddelar
DOMSTOLEN (första avdelningen),
sammansatt av avdelningsordföranden A. Arabadjiev samt domarna P.G. Xuereb, T. von Danwitz, A. Kumin och I. Ziemele (referent),
generaladvokat: G. Pitruzzella,
justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av:
– F.F., genom M. Schrems,
– Österreichische Datenschutzbehörde, genom A. Jelinek och M. Schmidl, båda i egenskap av ombud,
– CRIF GmbH, genom L. Feiler och M. Raschhofer, Rechtsanwälte,
– Österrikes regering, genom G. Kunnert, A. Posch och J. Schmoll, samtliga i egenskap av ombud,
– Tjeckiens regering, genom O. Serdula, M. Smolek och J. Vláčil, samtliga i egenskap av ombud,
– Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av M. Russo, avvocato dello Stato,
– Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,
och efter att den 15 december 2022 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av artikel 15 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2, och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).
2 Begäran har framställts i ett mål mellan F.F. och Österreichische Datenschutzbehörde (den österrikiska dataskyddsmyndigheten) (nedan kallad DSB). Målet rör DSB:s beslut att inte ålägga CRIF GmbH att till F.F. lämna ut en kopia av handlingar och utdrag ur databaser innehållande bland annat personuppgifter rörande FF som är under behandling.
Tillämpliga bestämmelser
3 Skälen 10, 11, 26, 58, 60 och 63 i dataskyddsförordningen har följande lydelse:
”(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. …
(11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs …
…
(26) Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. … För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. …
…
(58) Öppenhetsprincipen kräver att all information som riktar sig till allmänheten eller till registrerade är kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk …
…
(60) Principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang. …
…
(63) Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. … Alla registrerade bör därför ha rätt att få kännedom och underrättelse om framför allt för vilka ändamål personuppgifterna behandlas, om möjligt vilken tidsperiod behandlingen pågår, vilka som mottar personuppgifterna, bakomliggande logik i samband med automatisk behandling av personuppgifter och, åtminstone när behandlingen bygger på profilering, konsekvenserna av sådan behandling. Om möjligt bör den personuppgiftsansvarige kunna ge fjärråtkomst till ett säkert system genom vilket den registrerade kan få direkt åtkomst till sina personuppgifter. Denna rätt bör inte inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. …”
4 I artikel 4 i denna förordning föreskrivs följande:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person …, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, …
…”
5 Artikel 12 i dataskyddsförordningen, med rubriken ”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”, har följande lydelse:
”1. Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt.
…
3. Den personuppgiftsansvarige ska på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22. … Om den registrerade lämnar begäran i elektronisk form, ska informationen om möjligt tillhandahållas i elektronisk form, om den registrerade inte begär något annat.
…”
6 I artikel 15 i dataskyddsförordningen, med rubriken ”Den registrerades rätt till tillgång”, föreskrivs följande:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:
a) Ändamålen med behandlingen.
b) De kategorier av personuppgifter som behandlingen gäller.
c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer.
d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling.
f) Rätten att inge klagomål till en tillsynsmyndighet.
g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig information om varifrån dessa uppgifter kommer.
h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
2. Om personuppgifterna överförs till ett tredjeland eller till en internationell organisation, ska den registrerade ha rätt till information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits vid överföringen.
3. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat.
4. Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.”
7 I artikel 16 i dataskyddsförordningen, med rubriken ”Rätt till rättelse”, föreskrivs följande:
”Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla ett kompletterande utlåtande.”
8 Artikel 17 dataskyddsförordningen har rubriken ”Rätt till radering (’rätten att bli bortglömd’)”. Artikel 17.1 har följande lydelse:
”Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter …
…”
Målet vid den nationella domstolen och tolkningsfrågorna
9 CRIF är ett kreditupplysningsföretag som på sina kunders begäran tillhandahåller uppgifter till ledning för bedömning av någon annans kreditvärdighet. CRIF behandlade i detta syfte personuppgifter avseende klaganden i det nationella målet, F.F.
10 Den 20 december 2018 begärde F.F., med stöd av artikel 15 i dataskyddsförordningen, att få tillgång till de personuppgifter som rörde honom. Han begärde dessutom att få en kopia av handlingarna, det vill säga e-postmeddelanden och utdrag ur databaser, vilka bland annat innehåller hans uppgifter ”i ett tekniskt format som är allmänt använt”.
11 Som svar på denna begäran översände CRIF, i sammanställd form, till F.F. en förteckning över de personuppgifter rörande honom som var under behandling.
12 F.F. ansåg att CRIF borde ha översänt en kopia av samtliga handlingar som innehöll hans personuppgifter, såsom e-postmeddelanden och utdrag ur databaser, och gav därför in ett klagomål till DSB.
13 DSB beslutade den 11 september 2019 att avslå klagomålet med motiveringen att CRIF inte hade åsidosatt F.F.:s rätt att få tillgång till sina personuppgifter.
14 Den hänskjutande domstolen, till vilken F.F. överklagade detta beslut, vill få klarhet i räckvidden av artikel 15.3 första meningen i dataskyddsförordningen. Den hänskjutande domstolen vill särskilt få klarhet i huruvida den skyldighet som föreskrivs i denna bestämmelse att tillhandahålla en ”kopia” av personuppgifterna är uppfylld när den registeransvarige lämnar ut personuppgifterna i form av en sammanställning eller om denna skyldighet även innebär att utdrag ur handlingar eller till och med av hela handlingar, samt utdrag ur databaser, i vilka dessa uppgifter återges, ska lämnas ut.
15 Den hänskjutande domstolen vill närmare bestämt få klarhet i huruvida artikel 15.3 första meningen i dataskyddsförordningen endast definierar i vilken form rätten till tillgång till den information som avses i artikel 15.1 i förordningen ska garanteras, eller om det i den förstnämnda bestämmelsen föreskrivs en självständig rätt för den registrerade att få tillgång till information om i vilket sammanhang denna persons uppgifter behandlas, i form av kopior av utdrag ur handlingar eller till och med av hela handlingar samt utdrag ur databaser, vilka bland annat innehåller dessa uppgifter.
16 Den hänskjutande domstolen vill dessutom få klarhet i huruvida begreppet ”information” i artikel 15.3 tredje meningen i dataskyddsförordningen även omfattar den information som avses i artikel 15.1 a–h i denna förordning, eller till och med ytterligare information såsom metadata som rör uppgifterna, eller om det endast omfattar ”personuppgifter som är under behandling” i den mening som avses i artikel 15.3 första meningen i förordningen.
17 Mot denna bakgrund beslutade Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:
”1) Ska begreppet ’kopia’ i artikel 15.3 i [dataskyddsförordningen] tolkas så, att därmed avses en fotokopia, respektive ett faxmeddelande, eller en elektronisk kopia av en (elektronisk) uppgift, eller omfattar detta begrepp såsom det tolkas enligt tyska, franska och engelska ordböcker även en ’Abschrift’, ’double’ (’duplicata’) eller ’transcript’?
2) Ska artikel 15.3 första meningen i dataskyddsförordningen, enligt vilken ’[d]en personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling’, tolkas så, att den medför en allmän rätt för den registrerade att erhålla en kopia – även – av hela dokument i vilka dennes personuppgifter behandlas, respektive att erhålla en kopia av ett utdrag ur en databas, om personuppgifter behandlas i en sådan, eller är den registrerade enligt nämnda bestämmelse – endast – berättigad att erhålla en exakt återgivning av de personuppgifter som ska lämnas ut enligt artikel 15.1 i dataskyddsförordningen?
3) Om fråga 2 besvaras så, att den registrerade endast är berättigad att erhålla en exakt återgivning av de personuppgifter som ska lämnas ut enligt artikel 15.1 i dataskyddsförordningen, ska artikel 15.3 första meningen i dataskyddsförordningen då tolkas så, att det beroende på vilka slags uppgifter som behandlas (exempelvis med avseende på de diagnoser, undersökningsresultat och bedömningar till vilka hänvisas i skäl 63 i dataskyddsförordningen eller handlingar i samband med ett prov i den mening som avses i EU-domstolens dom av den 20 december 2017, Nowak (C‑434/16, EU:C:2017:994)) och kravet på öppenhet i artikel 12.1 i dataskyddsförordningen även kan krävas i det enskilda fallet att delar av texten eller hela dokument lämnas ut till den registrerades förfogande?
4) Ska begreppet ’information’ som, om den registrerade gör begäran i elektronisk form, enligt artikel 15.3 tredje meningen i dataskyddsförordningen ska ’tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat’, tolkas så, att det endast omfattar ’de personuppgifter som är under behandling’, till vilka det hänvisas i artikel 15.3 första meningen?
a) Om fråga 4 besvaras nekande, ska då begreppet ’information’ som, om den registrerade gör begäran i elektronisk form, enligt artikel 15.3 tredje meningen i dataskyddsförordningen ska ’tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat’, tolkas så, att det även omfattar information enligt artikel 15.1 a–h i dataskyddsförordningen?
b) Om även fråga 4 a besvaras nekande, ska då begreppet ’information’ som, om den registrerade gör begäran i elektronisk form, enligt artikel 15.3 tredje meningen i dataskyddsförordningen ska ’tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat’, tolkas så, att det utöver ’personuppgifter som är under behandling’ och information enligt artikel 15.1 a–h i dataskyddsförordningen även omfattar exempelvis tillhörande metadata?”
Prövning av tolkningsfrågorna
Den första, den andra och den tredje frågan
18 Den hänskjutande domstolen har ställt den första, den andra och den tredje frågan, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 15.3 första meningen i dataskyddsförordningen, jämförd med öppenhetsprincipen i artikel 12.1 i denna förordning, ska tolkas så, att rätten att erhålla en kopia av de personuppgifter som är under behandling innebär att inte bara en kopia ska lämnas ut till den registrerade, utan även en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller dessa uppgifter. Den hänskjutande domstolen vill särskilt få klarhet i omfattningen av denna rättighet.
19 EU-domstolen erinrar inledningsvis om att det vid tolkningen av en unionsbestämmelse enligt fast rättspraxis inte bara är lydelsen i enlighet med dess sedvanliga betydelse i normalt språkbruk som ska beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (se, för ett liknande resonemang, dom av den 2 december 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, punkt 19 och där angiven rättspraxis, och dom av den 7 september 2022, Staatssecretaris van Justitie en Veiligheid (Arten av uppehållsrätten enligt artikel 20 FEUF), C‑624/20, EU:C:2022:639, punkt 28).
20 Vad gäller ordalydelsen i artikel 15.3 första meningen i dataskyddsförordningen framgår det av denna bestämmelse att den personuppgiftsansvarige ska ”förse den registrerade med en kopia av de personuppgifter som är under behandling”.
21 Då dataskyddsförordningen inte innehåller någon definition av det där använda begreppet ”kopia” ska hänsyn tas till ordets normala betydelse, vilken – såsom generaladvokaten har påpekat i punkt 30 i sitt förslag till avgörande – innebär en exakt återgivning eller avskrift av ett original. En rent allmän beskrivning av de personuppgifter som är under behandling eller en hänvisning till kategorier av personuppgifter motsvarar således inte denna definition. Det framgår dessutom av ordalydelsen i artikel 15.3 första meningen i dataskyddsförordningen att skyldigheten att lämna ut uppgifter är knuten till de personuppgifter som är föremål för den aktuella behandlingen.
22 I artikel 4 led 1 i dataskyddsförordningen definieras personuppgifter som ”varje upplysning som avser en identifierad eller identifierbar fysisk person” och preciserar att ”en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet”.
23 Användningen, i denna bestämmelse, av uttrycket ”varje upplysning” i definitionen av begreppet ”personuppgifter” avspeglar unionslagstiftarens avsikt att ge detta begrepp en vid innebörd, vilken potentiellt innefattar alla typer av upplysningar, såväl objektiva som subjektiva, i form av åsikter eller bedömningar, under förutsättning att uppgifterna ”avser” den berörda personen (se, analogt, dom av den 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punkt 34).
24 EU-domstolen har slagit fast att en upplysning avser en identifierad eller identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är knuten till en identifierbar person (se, för ett liknande resonemang, dom av den 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punkt 35).
25 Med avseende på en personuppgifts ”identifierbara” karaktär preciseras det i skäl 26 i dataskyddsförordningen att hänsyn ska tas till ”alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen”.
26 Såsom generaladvokaten har påpekat i punkterna 36–39 i sitt förslag till avgörande omfattar den vida definitionen av begreppet ”personuppgifter” inte endast de uppgifter som samlats in och lagrats av den registeransvarige, utan även varje upplysning som genereras i samband med en behandling av personuppgifter och som rör en identifierad eller identifierbar person, såsom bedömningen av personens kreditvärdighet eller av dennes betalningsvilja.
27 Det ska tilläggas att unionslagstiftaren har avsett att ge begreppet ”behandling”, så som det definieras i artikel 4 led 2 i dataskyddsförordningen, en vid innebörd, genom att använda sig av en icke uttömmande uppräkning av åtgärder (se, för ett liknande resonemang, dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål), C‑175/20, EU:C:2022:124, punkt 35).
28 Sammanfattningsvis framgår det av en analys av ordalydelsen i artikel 15.3 första meningen i dataskyddsförordningen att denna bestämmelse ger den registrerade rätt att erhålla en exakt återgivning av sina personuppgifter, i ordets vida bemärkelse, när personuppgifterna är föremål för åtgärder som kan kvalificeras som behandling som utförs av den personuppgiftsansvarige.
29 Det ska dock konstateras att denna bestämmelses ordalydelse inte i sig räcker för att besvara de tre första frågorna, eftersom den inte anger något om en eventuell rätt att erhålla inte bara en kopia av de personuppgifter som behandlas, utan även en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller dessa uppgifter.
30 Vad gäller det sammanhang i vilket artikel 15.3 första meningen i dataskyddsförordningen ingår, ska det påpekas att artikel 15 i dataskyddsförordningen, med rubriken ”Den registrerades rätt till tillgång”, i punkt 1 innehåller en definition av ändamålet med och tillämpningsområdet för den registrerades rätt till tillgång och fastställer dennes rätt att från den personuppgiftsansvarige få tillgång till sina personuppgifter samt den information som avses i leden a–h i denna punkt.
31 I artikel 15.3 i dataskyddsförordningen preciseras de praktiska formerna för hur den personuppgiftsansvarige ska fullgöra sin skyldighet. I första meningen preciseras bland annat i vilken form den personuppgiftsansvarige ska lämna ut ”de personuppgifter som är under behandling”, det vill säga i form av en ”kopia”. Det anges dessutom i tredje meningen att informationen, om begäran görs i elektronisk form, ska tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat.
32 Artikel 15 i dataskyddsförordningen kan således inte tolkas så, att den i punkt 3 första meningen förskriver en rättighet som skiljer sig från den i punkt 1. Dessutom syftar ordet ”kopia”, såsom Europeiska kommissionen har påpekat i sitt skriftliga yttrande, inte på en handling i sig, utan på de personuppgifter som handlingen innehåller och som bör vara fullständiga. Kopian ska således innehålla samtliga personuppgifter som är under behandling.
33 Vad gäller de mål som eftersträvas med artikel 15 i dataskyddsförordningen ska det påpekas att denna förordning, såsom anges i skäl 11, syftar till att förstärka och specificera de registrerades rättigheter. I artikel 15 i denna förordning föreskrivs i detta hänseende en rätt att erhålla en kopia. Detta skiljer sig från den rättighet som föreskrevs i artikel 12 a andra strecksatsen i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31), som endast innebar en rätt att ”få begriplig information om vilka uppgifter som behandlas”. I skäl 63 i dataskyddsförordningen preciseras att ”[d]en registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig”.
34 Den rätt till tillgång som föreskrivs i artikel 15 i dataskyddsförordningen måste således göra det möjligt för den registrerade att försäkra sig om att de personuppgifter som rör honom eller henne är korrekta och att de behandlas på ett lagenligt sätt (se, för ett liknande resonemang, dom av den 12 januari 2023, Österreichische Post (Information om mottagarna av personuppgifter), C‑154/21, EU:C:2023:3, punkt 37 och där angiven rättspraxis).
35 I synnerhet är denna rätt till tillgång nödvändig för att möjliggöra för den registrerade att, i förekommande fall, kunna utöva sin rätt till rättelse, sin rätt till radering (”rätten att bli bortglömd”) och sin rätt till begränsning av behandling, vilka tillerkänns den registrerade i artiklarna 16, 17 respektive 18 i dataskyddsförordningen, liksom sin i artikel 21 i dataskyddsförordningen föreskrivna rätt att göra invändningar mot behandlingen av hans eller hennes personuppgifter, och sin rätt att föra talan till följd av skada, i enlighet med artiklarna 79 och 82 i dataskyddsförordningen (dom av den 12 januari 2023, Österreichische Post (Information om mottagarna av personuppgifter), C‑154/21, EU:C:2023:3, punkt 38 och där angiven rättspraxis).
36 Det ska även påpekas att det i skäl 60 i dataskyddsförordningen anges att principen om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Det betonas i detta sammanhang att den personuppgiftsansvarige bör lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.
37 Den hänskjutande domstolen har för övrigt hänvisat till öppenhetsprincipen, vilken nämns i skäl 58 i dataskyddsförordningen och uttryckligen slås fast i artikel 12.1 i denna förordning. Enligt denna princip ska all information som riktar sig till den registrerade vara kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk.
38 Såsom generaladvokaten har angett i punkterna 54 och 55 i förslaget till avgörande framgår det av denna bestämmelse att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att ge den registrerade all information som avses, bland annat i artikel 15 i dataskyddsförordningen, i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form, om den registrerade inte har begärt att informationen ska tillhandahållas muntligen. Denna bestämmelse, som ger uttryck för öppenhetsprincipen, syftar till att garantera att den registrerade fullt ut ska kunna förstå den information som lämnas till honom eller henne.
39 Av detta följer att den kopia av de personuppgifter som är under behandling som den personuppgiftsansvarige ska tillhandahålla enligt artikel 15.3 första meningen i dataskyddsförordningen ska uppvisa alla de egenskaper som gör det möjligt för den registrerade att på ett effektivt sätt utöva sina rättigheter enligt denna förordning och den ska följaktligen återge dessa uppgifter fullständigt och exakt.
40 Denna tolkning överensstämmer med förordningens mål enligt skäl 10 i förordningen, nämligen att säkerställa en hög skyddsnivå för fysiska personer inom unionen och att, för att uppnå detta mål, säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter i hela unionen (se, för ett liknande resonemang, dom av den 9 februari 2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, punkt 25 och där angiven rättspraxis).
41 För att säkerställa att den information som tillhandahålls är lätt att förstå, såsom krävs enligt artikel 12.1 i dataskyddsförordningen, jämförd med skäl 58 i samma förordning, kan det nämligen, såsom generaladvokaten har påpekat i punkterna 57 och 58 i sitt förslag till avgörande, visa sig vara nödvändigt att återge utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller de personuppgifter som behandlas, om det är nödvändigt att de behandlade uppgifterna sätts in i sitt sammanhang för att säkerställa att de är begripliga.
42 I synnerhet när personuppgifter genereras från andra uppgifter eller när sådana uppgifter följer av tomma fält, det vill säga när avsaknaden av en uppgift avslöjar information om den registrerade, är det nödvändigt att beakta i vilket sammanhang uppgifterna behandlas för att den registrerade ska kunna få en tillgång till dessa uppgifter som uppfyller kravet på öppenhet och en begriplig presentation av dem.
43 Enligt artikel 15.4 i dataskyddsförordningen, jämförd med skäl 63 i samma förordning, bör dessutom den rätt att erhålla en kopia som avses i artikel 15.3 inte inverka menligt på andras rättigheter och friheter, till exempel på affärshemligheter eller immateriell äganderätt, och särskilt på den upphovsrätt som skyddar programvaran.
44 I händelse av motstridighet mellan å ena sidan utövandet av rätten till full och oinskränkt tillgång till personuppgifter och å andra sidan andras rättigheter och friheter ska det – såsom generaladvokaten har angett i punkt 61 i förslaget till avgörande – göras en avvägning mellan de aktuella rättigheterna och friheterna. I möjligaste mån ska de former för tillhandahållande av personuppgifter väljas som inte inverkar menligt på andras rättigheter och friheter med beaktande av att resultatet av dessa överväganden, såsom framgår av skäl 63 i dataskyddsförordningen, inte bör ”bli att den registrerade förvägras all information”.
45 Mot bakgrund av dessa överväganden ska den första, den andra och den tredje frågan besvaras enligt följande. Artikel 15.3 första meningen i dataskyddsförordningen
ska tolkas så,
att rätten att från den registeransvarige erhålla en kopia av de personuppgifter som är under behandling innebär att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt innefattar rätten att erhålla en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller nämnda uppgifter, om tillhandahållandet av en sådan kopia är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt denna förordning på ett effektivt sätt, varvid andras fri- och rättigheter i detta hänseende ska beaktas.
Den fjärde frågan
46 Den hänskjutande domstolen har ställt denna fråga för att få klarhet i huruvida artikel 15.3 tredje meningen i dataskyddsförordningen ska tolkas så, att begreppet ”information” som avses i den bestämmelsen uteslutande avser personuppgifter som den personuppgiftsansvarige ska tillhandahålla en kopia av enligt första meningen i artikel 15.3, eller om det även hänvisar till all information som nämns i artikel 15.1, eller till och med omfattar ytterligare uppgifter, såsom metadata.
47 Såsom det har erinrats om i punkt 19 ovan ska vid tolkningen av en unionsbestämmelse inte bara lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i.
48 I artikel 15.3 tredje meningen i dataskyddsförordningen anges endast att ”[o]m den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt”, utan att det preciseras vad som avses med uttrycket information. Det anges emellertid i artikel 15.3 första meningen att ”[d]en personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling”.
49 Det följer således av det sammanhang i vilket artikel 15.3 tredje meningen i dataskyddsförordningen ingår att den information som avses i denna bestämmelse måste anses motsvara de personuppgifter som den personuppgiftsansvarige ska tillhandahålla en kopia av i enlighet med den första meningen i denna punkt.
50 En sådan tolkning vinner stöd av de mål som eftersträvas med artikel 15.3 i dataskyddsförordningen, vilka, såsom det har erinrats om i punkt 31 ovan, är att fastställa de praktiska formerna för genomförandet av den personuppgiftsansvariges skyldighet att tillhandahålla en kopia av de personuppgifter som behandlas. Denna bestämmelse ger följaktligen inte upphov till en rätt som är skild från den registrerades rätt till en exakt och begriplig återgivning av dessa uppgifter, som gör det möjligt för vederbörande att effektivt utöva sina rättigheter enligt förordningen.
51 Det ska emellertid påpekas att det inte i någon bestämmelse i förordningen föreskrivs att en begäran ska behandlas olika beroende på i vilken form den görs, vilket innebär att omfattningen av rätten att erhålla en kopia inte kan variera beroende på denna form.
52 Det ska även påpekas att det av artikel 12.3 i dataskyddsförordningen framgår att den information som avses i artikel 15, inbegripet den information som avses i artikel 15.1 a–h, om begäran har lämnats i elektronisk form, ska tillhandahållas i elektronisk form, om den registrerade inte begär något annat.
53 Mot bakgrund av dessa överväganden ska den fjärde frågan besvaras enligt följande. Artikel 15.3 tredje meningen i dataskyddsförordningen
ska tolkas så,
att begreppet ”information” som avses i denna bestämmelse uteslutande avser personuppgifter som den registeransvarige ska tillhandahålla en kopia av i enlighet med första meningen i artikel 15.3.
Rättegångskostnader
54 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (första avdelningen) följande:
1) Artikel 15.3 första meningen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas så,
att rätten att från den registeransvarige erhålla en kopia av de personuppgifter som är under behandling innebär att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt innefattar rätten att erhålla en kopia av utdrag ur handlingar eller till och med av hela handlingar eller utdrag ur databaser, vilka bland annat innehåller nämnda uppgifter, om tillhandahållandet av en sådan kopia är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt denna förordning på ett effektivt sätt, varvid andras fri- och rättigheter i detta hänseende ska beaktas.
2) Artikel 15.3 tredje meningen i förordning 2016/679
ska tolkas så,
att begreppet ”information” som avses i denna bestämmelse uteslutande avser personuppgifter som den registeransvarige ska tillhandahålla en kopia av i enlighet med första meningen i artikel 15.3.
Underskrifter