OPINIA RZECZNIKA GENERALNEGO
GIOVANNIEGO PITRUZZELLI
przedstawiona w dniu 15 grudnia 2022 r.(1)
Sprawa C‑487/21
F.F.
przy udziale:
Österreichische Datenschutzbehörde,
CRIF GmbH
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesverwaltungsgericht (federalny sąd administracyjny, Austria)]
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 15 ust. 3 – Prawo dostępu do danych osobowych podlegających przetwarzaniu przysługujące osobie, której dane dotyczą – Prawo do uzyskania kopii danych osobowych – Pojęcie „kopii” – Pojęcie „informacji”
1. Jakie są treść i zakres przysługującego osobie, której dane dotyczą, a która uzyskuje dostęp do swych danych osobowych podlegających przetwarzaniu, prawa do uzyskania kopii tych danych, przewidzianego w art. 15 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)(2) (zwanego dalej „RODO”)? Jakie jest znaczenie terminu „kopia” i jaki jest związek między tym prawem do uzyskania kopii danych osobowych podlegających przetwarzaniu a prawem dostępu przewidzianym w ust. 1 tego artykułu?
2. Takie są zasadniczo główne pytania przedstawione w będącej przedmiotem niniejszej opinii sprawie dotyczącej odesłania prejudycjalnego przedłożonego przez Bunsdesverwaltungsgericht (federalny sąd administracyjny, Austria) w przedmiocie wykładni art. 15 ust. 3 RODO.
3. Odesłanie to wpisuje się w ramy sporu między F.F. a Österreichische Datenschutzbehörde (austriackim organem ochrony danych), dotyczącego zgodności z prawem oddalenia przez ten organ wniosku F.F. o nakazanie agencji doradztwa handlowego, która przetwarzała jego dane osobowe, przekazania dokumentów i wyciągów z bazy danych zawierających wspomniane dane osobowe.
4. Niniejsza sprawa daje Trybunałowi sposobność dokonania po raz pierwszy wykładni przepisu art. 15 ust. 3 RODO i wyjaśnienia zasad wykonywania prawa dostępu do własnych danych osobowych podlegających przetwarzaniu, przewidzianego w art. 15 RODO.
I. Ramy prawne
5. W motywie 63 RODO wskazano:
„Każda osoba fizyczna powinna mieć prawo dostępu do zebranych danych jej dotyczących oraz powinna mieć możliwość łatwego wykonywania tego prawa w rozsądnych odstępach czasu, by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem. Obejmuje to prawo dostępu osób, których dane dotyczą, do danych dotyczących ich zdrowia, na przykład do danych w dokumentacji medycznej zawierającej takie informacje jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi. Dlatego też każda osoba, której dane dotyczą, powinna mieć prawo do wiedzy i informacji, w szczególności w zakresie celów, w jakich dane osobowe są przetwarzane, w miarę możliwości okresu, przez jaki dane osobowe są przetwarzane, odbiorców danych osobowych, założeń ewentualnego zautomatyzowanego przetwarzania danych osobowych oraz, przynajmniej w przypadku profilowania, konsekwencji takiego przetwarzania. W miarę możliwości administrator powinien mieć możliwość udzielania zdalnego dostępu do bezpiecznego systemu, który zapewni osobie, której dane dotyczą, bezpośredni dostęp do jej danych osobowych. Prawo to nie powinno negatywnie wpływać na prawa lub wolności innych osób, w tym tajemnice handlowe lub własność intelektualną, w szczególności na prawa autorskie chroniące oprogramowanie. Względy te nie powinny jednak skutkować odmową udzielenia osobie, której dane dotyczą, jakichkolwiek informacji […]”.
6. Artykuł 4 pkt 1 i 2 RODO stanowi:
„Na użytek niniejszego rozporządzenia:
1) »dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.
7. Artykuł 12 ust. 1 RODO, zatytułowany „Przejrzyste informowanie i przejrzysta komunikacja oraz tryb wykonywania praw przez osobę, której dane dotyczą”, stanowi:
„Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą”.
8. Artykuł 15 RODO, zatytułowany „Prawo dostępu przysługujące osobie, której dane dotyczą”, stanowi:
„1. Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji:
a) cele przetwarzania;
b) kategorie odnośnych danych osobowych;
c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych;
d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;
f) informacje o prawie wniesienia skargi do organu nadzorczego;
g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle;
h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
[…]
3. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości, wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
4. Prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawa i wolności innych”.
II. Okoliczności faktyczne, postępowanie główne i pytania prejudycjalne
9. CRIF GmbH jest agencją doradztwa handlowego, która na wniosek swoich klientów dostarcza informacji na temat wypłacalności osób trzecich. W tym celu przetwarzała one dane osobowe skarżącego w postępowaniu głównym przed sądem odsyłającym.
10. W dniu 20 grudnia 2018 r. skarżący zwrócił się do owej agencji w celu uzyskania między innymi, na podstawie art. 15 RODO, informacji na temat swych danych osobowych podlegających przetwarzaniu, żądając w szczególności przekazania mu kopii tych danych w standardowym formacie.
11. W następstwie tego wniosku agencja przekazała mu część informacji objętych wnioskiem w zbiorczej formie, powielając przechowywane dane osobowe skarżącego przed sądem odsyłającym, po pierwsze, w tabeli z podziałem na imię i nazwisko, datę urodzenia, ulicę, kod pocztowy i miejscowość, a po drugie, w zestawieniu dotyczącym zajmowanych stanowisk i uprawnień do reprezentacji. Nie przekazano natomiast innych dokumentów, takich jak wiadomości poczty elektronicznej czy wyciągi z baz danych.
12. W dniu 16 stycznia 2019 r. skarżący przed sądem odsyłającym złożył skargę do Österreichische Datenschutzbehörde (austriackiego organu ochrony danych), w której podniósł, że odpowiedź na jego wniosek była niepełna, a w szczególności że administrator powinien był przekazać mu kopię wszystkich dokumentów, w tym wiadomości poczty elektronicznej i wyciągów z baz danych zawierających jego dane osobowe.
13. Decyzją z dnia 11 września 2019 r. wyżej wspomniany organ oddalił skargę, uznając, że administrator nie dopuścił się żadnego naruszenia prawa osoby, której dane dotyczą, do dostępu do dotyczących jej danych osobowych.
14. Sąd odsyłający, rozpatrujący skargę na tę decyzję, powziął wątpliwości co do zakresu prawa osoby, której dane dotyczą, do uzyskania kopii danych osobowych podlegających przetwarzaniu, zagwarantowanego w art. 15 ust. 3 zdanie pierwsze RODO.
15. Sąd ten musi rozstrzygnąć, czy przekazanie danych osobowych skarżącego przed sądem odsyłającym w formie tabeli i zestawienia zawartych w odpowiedzi agencji na wniosek o udzielenie dostępu spełniało wymogi określone w art. 15 ust. 3 RODO, czy też na podstawie tego przepisu skarżący przed sądem odsyłającym jest uprawniony do uzyskania kopii swoich danych osobowych podlegających przetwarzaniu nie w formie wyodrębnionej, lecz w formie kopii lub wyciągów z wszelkiej korespondencji lub zawartości baz danych lub podobnej dokumentacji.
16. W tym kontekście wspomniany sąd zwraca się, po pierwsze, o wyjaśnienie dokładnego znaczenia pojęcia „kopii” danych osobowych podlegających przetwarzaniu, o którym mowa w art. 15 ust. 3 zdanie pierwsze RODO.
17. Po drugie, sąd ów zwraca się z pytaniem, czy przepis art. 15 ust. 3 RODO stanowi uszczegółowienie ogólnego prawa dostępu wynikającego z ust. 1 tego artykułu, określającego, w jaki sposób osoba, której dane dotyczą, powinna uzyskać dostęp do swych danych osobowych podlegających przetwarzaniu, czy też przepis ten, wykraczając poza wyżej wspomniane prawo dostępu ustanowione w ust. 1, przewiduje odrębne, autonomiczne prawo do uzyskania kserokopii, faksymiliów, zestawień lub wyciągów elektronicznych z baz danych względnie kopii w całości dokumentów i zbiorów, w których zawarte są dane osobowe osoby, której dane dotyczą.
18. Po trzecie, w przypadku zawężającej wykładni art. 15 ust. 3 zdanie pierwsze RODO, zgodnie z którą pojęcie „kopii” nie oznacza istnienia prawa do przekazywania kserokopii, dokumentów lub wyciągów z baz danych, sąd zastanawia się, czy mimo to, w świetle możliwych różnych rodzajów danych, które mogą być przetwarzane, oraz zasady przejrzystości ustanowionej w art. 12 ust. 1 RODO nie jest możliwe, by w niektórych przypadkach, w zależności od rodzaju przetwarzanych danych, administrator miał w każdym przypadku obowiązek przekazania części tekstu lub kopii dokumentów.
19. Po czwarte wreszcie, sąd odsyłający zwraca się z pytaniem, czy zawarte w art. 15 ust. 3 zdanie trzecie RODO pojęcie „informacji” odnosi się wyłącznie do „danych osobowych podlegających przetwarzaniu”, o których mowa w zdaniu pierwszym tego przepisu, czy też wykracza poza te dane i obejmuje również informacje, o których mowa w art. 15 ust. 1 lit. a)–h) RODO, czy też jest jeszcze szersze i obejmuje także na przykład metadane dotyczące danych.
20. W tym kontekście Bundesverwaltungsgericht (federalny sąd administracyjny, Austria) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy zawarte w art. 15 ust. 3 [RODO] pojęcie »kopii« należy interpretować w ten sposób, że oznacza ono fotokopię względnie faksymile lub elektroniczną kopię (elektronicznej) informacji, czy też obejmuje ono również »Abschrift«, »double« (»duplicata«) lub »transcript«, zgodnie z rozumieniem tych pojęć w słownikach niemieckich, francuskich i angielskich?
2) Czy art. 15 ust. 3 zdanie pierwsze RODO, zgodnie z którym »[a]dministrator dostarcza […] kopię danych osobowych podlegających przetwarzaniu«, należy interpretować w ten sposób, że przepis ten obejmuje ogólne prawo osoby, której dane dotyczą, do uzyskania kopii – również – całych dokumentów, w których przetwarzane są dane osobowe tej osoby, względnie do uzyskania kopii wyciągu z bazy danych, jeżeli dane osobowe są przetwarzane w takiej bazie, czy też oznacza to – jedynie – prawo osoby, której dane dotyczą, do zgodnego z oryginałem powielenia danych osobowych, które podlegają udostępnieniu na podstawie art. 15 ust. 1 RODO?
3) Czy w przypadku udzielenia na pytanie drugie odpowiedzi, że osoba, której dane dotyczą, ma jedynie prawo do zgodnego z oryginałem powielenia danych osobowych, które podlegają udostępnieniu na podstawie art. 15 ust. 1 RODO, art. 15 ust. 3 zdanie pierwsze RODO należy interpretować w ten sposób, że zależnie od rodzaju przetwarzanych danych [np. w odniesieniu do diagnoz, wyników badań lub ocen wymienionych w motywie 63 (RODO) lub również dokumentów związanych z egzaminem w rozumieniu wyroku Trybunału (w sprawie Nowak(3))] i wymogu przejrzystości wynikającego z art. 12 ust. 1 RODO w poszczególnych przypadkach może być jednak konieczne udostępnienie osobie, której dane dotyczą, fragmentów tekstu lub całych dokumentów?
4) Czy pojęcie »informacji«, które zgodnie z art. 15 ust. 3 zdanie trzecie RODO należy przekazać osobie, której dane dotyczą, »w powszechnie stosowanej formie elektronicznej«, gdy zwraca się ona o te informacje drogą elektroniczną i »jeżeli nie zaznaczy inaczej«, należy interpretować w ten sposób, że oznacza ono jedynie »dane osobowe podlegające przetwarzaniu«, o których mowa w art. 15 ust. 3 zdanie pierwsze?
a. W razie udzielenia na pytanie czwarte odpowiedzi przeczącej: czy pojęcie »informacji«, które zgodnie z art. 15 ust. 3 zdanie trzecie RODO należy przekazać osobie, której dane dotyczą, »w powszechnie stosowanej formie elektronicznej«, gdy zwraca się ona o te informacje drogą elektroniczną i »jeżeli nie zaznaczy inaczej«, należy interpretować w ten sposób, że odnosi się ono ponadto jedynie do informacji określonych w art. 15 ust. 1 lit. a)–h) RODO?
b. W razie udzielenia odpowiedzi przeczącej na pytanie czwarte lit. a): czy pojęcie »informacji«, które zgodnie z art. 15 ust. 3 zdanie trzecie RODO należy przekazać osobie, której dane dotyczą, »w powszechnie stosowanej formie elektronicznej«, gdy zwraca się ona o te informacje drogą elektroniczną i »jeżeli nie zaznaczy inaczej«, należy interpretować w ten sposób, że oprócz »danych osobowych podlegających przetwarzaniu« i oprócz informacji określonych w art. 15 ust. 1 lit. a)–h) RODO, oznacza ono na przykład powiązane metadane?”.
III. Analiza prawna
A. W przedmiocie pytań prejudycjalnych pierwszego, drugiego i trzeciego
21. Poprzez swe pierwsze trzy pytania prejudycjalne, które moim zdaniem należy rozpatrzyć łącznie, sąd odsyłający przedkłada Trybunałowi trzy kwestie mające na celu ustalenie zakresu przepisu art. 15 ust. 3 zdanie pierwsze RODO, zgodnie z którym „[a]dministrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu”.
22. Pierwsza kwestia to ustalenie dokładnego znaczenia zawartego w tym przepisie pojęcia „kopii”. Druga kwestia to wyjaśnienie zakresu prawa przyznanego osobie, której dane dotyczą, w tym przepisie. Sąd odsyłający zastanawia się w szczególności, czy przepis ten przyznaje prawo do uzyskania kopii również dokumentów – lub wyciągów z baz danych – w których przetwarzane są dane osobowe, czy też przyznaje on jedynie prawo do uzyskania powielenia zgodnego z oryginałem danych osobowych podlegających przetwarzaniu. W tym ostatnim przypadku trzecią kwestią jest ustalenie, czy w zależności od rodzaju przetwarzanych danych i zgodnie z zasadą przejrzystości w niektórych przypadkach może być jednak konieczne dostarczenie również fragmentów tekstu lub całych dokumentów.
23. Z postanowienia odsyłającego wynika, że zakres przepisu art. 15 ust. 3 zdanie pierwsze RODO jest kwestią sporną zarówno w doktrynie, jak i w orzecznictwie sądów krajowych, przynajmniej w Austrii i Niemczech(4). Z postanowienia tego wynika, że istnieją w tym względzie dwie przeciwstawne teorie: z jednej strony koncepcja zawężająca sporny przepis, zgodnie z którą określa on jedynie zasady wykonywania prawa dostępu i nie wiąże się z żadnym autonomicznym prawem do otrzymania uzyskania dokumentów lub im podobnych, a z drugiej strony koncepcja rozszerzająca ów przepis, zgodnie z którą, przeciwnie, przyznaje on prawo do uzyskania kopii dokumentów lub innych nośników, na których przetwarzane są dane osobowe. W myśl tej ostatniej koncepcji prawo do uzyskania kopii dokumentów stanowi prawo odrębne od prawa dostępu zagwarantowanego w art. 15 ust. 1 RODO. O kontrowersyjnym charakterze zakresu spornego przepisu świadczy okoliczność, że strony, które przedstawiły uwagi przed Trybunałem, również zajmują odmienne stanowiska w tym względzie(5).
24. W tym kontekście, aby móc udzielić odpowiedzi na pierwsze trzy pytania prejudycjalne przedstawione przez sąd odsyłający, należy dokonać wykładni przepisu art. 15 ust. 3 zdanie pierwsze RODO.
25. W tym względzie należy przypomnieć, że z utrwalonego orzecznictwa wynika, iż przy dokonywaniu wykładni przepisu prawa Unii należy uwzględniać nie tylko jego brzmienie, lecz także jego kontekst oraz cele regulacji, której część ten przepis stanowi(6)
26. Ponadto przepisy RODO regulujące kwestię przetwarzania danych osobowych mogących naruszyć podstawowe wolności, a w szczególności prawo do poszanowania życia prywatnego, muszą być bezwzględnie interpretowane z punktu widzenia praw podstawowych gwarantowanych w Karcie praw podstawowych Unii Europejskiej (zwanej dalej „kartą”)(7).
1. Analiza językowa
27. Co się tyczy przede wszystkim sformułowania przepisu art. 15 ust. 3 zdanie pierwsze RODO, należy zauważyć, że przepis ten przyznaje osobie, której dane dotyczą, prawo do uzyskania od administratora „kopi[i] danych osobowych podlegających przetwarzaniu”. Z językowego punktu widzenia sformułowanie to odnosi się do trzech odrębnych pojęć, a mianowicie: do pojęcia „kopii”, pojęcia „danych osobowych” oraz określenia „podlegających przetwarzaniu”.
28. W odniesieniu, po pierwsze, do pojęcia „kopii”, którego zakres jest w szczególności przedmiotem pierwszego pytania prejudycjalnego, należy wskazać, że – jak zauważyło kilku zainteresowanych, którzy przedłożyli uwagi Trybunałowi – RODO nie zawiera żadnej konkretnej definicji tego pojęcia.
29. W tym kontekście z utrwalonego orzecznictwa wynika, że ustalenia znaczenia i zakresu pojęć, których definicji prawo Unii nie zawiera, należy dokonywać zgodnie z ich zwykłym znaczeniem w języku potocznym, z uwzględnieniem kontekstu, w którym są one użyte, i celów uregulowania, którego są częścią(8).
30. Z czysto terminologicznego punktu widzenia w języku potocznym termin „kopia” oznacza wierne powielenie lub wierną transkrypcję oryginału(9). Ponadto z analizy szeregu wersji językowych RODO wynika, że w większości pozostałych języków urzędowych Unii użyto terminu odpowiadającego włoskiemu terminowi „kopia”, na przykład „copy” w języku angielskim, „Kopie” w języku niemieckim, „copie” w języku francuskim lub „copia” w języku hiszpańskim(10).
31. W spornym przepisie wskazano wyraźnie ponadto, że kopia, którą administrator jest zobowiązany dostarczyć osobie, której dane dotyczą, jest kopią „danych osobowych” podlegających przetwarzaniu.
32. W tym względzie, po drugie, należy zauważyć, że w przeciwieństwie do tego, co ma miejsce w przypadku terminu „kopia”, RODO zawiera wyraźną definicję pojęcia „danych osobowych” w art. 4 pkt 1 tego rozporządzenia, zgodnie z którą dane osobowe oznaczają „wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”.
33. Zakres pojęcia „danych osobowych” wynikający z tej definicji jest bardzo szeroki. Jak bowiem wynika z orzecznictwa Trybunału, użycie w tej definicji wyrażenia „wszelkie informacje” odzwierciedla przyświecający unijnemu prawodawcy zamiar przypisania temu pojęciu szerokiego rozumienia(11).
34. Z orzecznictwa wynika również, że pojęcie danych osobowych nie jest ograniczone do informacji wrażliwych czy też prywatnych, lecz obejmuje potencjalnie informacje wszelkiego rodzaju, zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, jaki muszą one spełniać, jest to, aby „dotyczyły” danej osoby. Warunek ten jest zaś spełniony, gdy ze względu na swą treść, cel czy skutek dana informacja jest powiązana z daną osobą(12).
35. Ponadto szerokie rozumienie pojęcia „danych osobowych” okazuje się konieczne ze względu na różnorodność rodzajów i form, jakie mogą przybrać informacje dotyczące danej osoby, które mogą zasługiwać na ochronę, a także w świetle różnorodności nośników takich informacji.
36. Z analizy orzecznictwa wynika, że Trybunał uznał, iż różne rodzaje informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej są objęte zakresem pojęcia „danych osobowych” w rozumieniu art. 4 pkt 1 RODO. Poza tymi, które Komisja określiła w swoich uwagach jako „zwykłe dane”, to znaczy informacje dotyczące tożsamości osób, takie jak imię i nazwisko(13), data urodzenia, obywatelstwo, płeć, przynależność etniczna, religia i język, którym posługuje się osoba możliwa do zidentyfikowania za pomocą jej nazwiska(14), Trybunał uznał, że zakresem pojęcia danych osobowych są objęte inne rodzaje informacji, takie jak na przykład informacje dotyczące pojazdu oferowanego do sprzedaży i numer telefonu sprzedawcy tego pojazdu(15) lub dane zawarte w ewidencji czasu pracy obejmujące, w odniesieniu do każdego pracownika, dzienne okresy pracy i okresy odpoczynku(16), obraz osoby zarejestrowany przez kamerę, o ile pozwala on ustalić tożsamość danej osoby(17), pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego oraz naniesione przez egzaminatora komentarze dotyczące tych odpowiedzi(18), a także informacje dotyczące punktów karnych, które odnoszą się do zidentyfikowanej osoby fizycznej(19).
37. Szerokie rozumienie pojęcia danych osobowych wynikające z definicji zawartej w art. 4 pkt 1 RODO, uznane w orzecznictwie i związane z realizowanym przez RODO celem polegającym na zapewnieniu wysokiego poziomu ochrony osób fizycznych w zakresie przetwarzania danych osobowych(20), oznacza, że pojęcie to, a zatem prawo dostępu do tych danych i uzyskania ich kopii, nie jest ograniczone wyłącznie do danych, które mogły być pozyskane, przechowywane i przetwarzane przez administratora, lecz musi obejmować także wszelkie inne dane potencjalnie wygenerowane przez tego administratora w następstwie przetwarzania, jeżeli podlegają one również przetwarzaniu.
38. Jeżeli zatem w następstwie przetwarzania zestawu danych osobowych powstają nowe informacje wynikające z tego przetwarzania, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby i które można zakwalifikować jako dane osobowe w rozumieniu art. 4 pkt 1 RODO, prawo dostępu do danych osobowych i uzyskania ich kopii, przewidziane, odpowiednio, w art. 15 ust. 1 i art. 15 ust. 3 zdanie pierwsze RODO, powinno moim zdaniem obejmować również takie wygenerowane dane, w przypadku gdy same te dane podlegają przetwarzaniu. Prawo dostępu do danych i uzyskania ich kopii obejmuje bowiem wszystkie dane osobowe osoby, której dane dotyczą, podlegające przetwarzaniu.
39. Rozważania te są istotne w sprawie takiej jak zawisła przed sądem odsyłającym, w której na podstawie danych zebranych z różnych źródeł okazuje się, że agencja doradztwa handlowego sporządziła rekomendację w odniesieniu do wypłacalności i gotowości do zapłaty osoby, której dane dotyczą, na podstawie statystycznego prawdopodobieństwa związanego z szeregiem parametrów. Taka rekomendacja stanowi moim zdaniem informację dotyczącą zidentyfikowanej osoby, która to informacja w związku z tym jest objęta szerokim rozumieniem pojęcia „danych osobowych” zawartego w art. 4 pkt 1 RODO, a zatem również zakresem prawa dostępu przewidzianego w art. 15 ust. 1 i art. 15 ust. 3 zdanie pierwsze RODO(21).
40. Jeśli chodzi, po trzecie, o zawarty w art. 15 ust. 3 zdanie pierwsze RODO termin „podlegające przetwarzaniu”, należy zauważyć, że pojęcie „przetwarzania” jest również wyraźnie zdefiniowane w art. 4 pkt 2 RODO.
41. Zgodnie z tym przepisem zbieranie, przeglądanie, ujawnianie poprzez przesłanie lub innego rodzaju udostępnianie danych osobowych stanowią „przetwarzanie” w rozumieniu tego rozporządzenia. Zgodnie z orzecznictwem z brzmienia wyżej wspomnianego przepisu, w szczególności z wyrażenia „[każdą] operację”, wynika, że unijny prawodawca zamierzał również nadać pojęciu „przetwarzania” szeroki zakres. Taką wykładnię potwierdza niewyczerpujący charakter czynności wymienionych we wspomnianym przepisie, wyrażony poprzez użycie sformułowania „taką jak”(22).
42. W tym kontekście z szerokiego zakresu pojęcia przetwarzania wynika, że art. 15 ust. 3 zdanie pierwsze RODO przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii jej danych osobowych, które podlegają każdej operacji, którą można zakwalifikować jako „przetwarzanie”. Jak zostanie to bardziej szczegółowo wyjaśnione w pkt 52 poniżej, przepis ten nie przyznaje jednak jako taki prawa do uzyskania konkretnych informacji dotyczących samego przetwarzania danych osobowych innych niż te przewidziane w art. 15 ust. 1 RODO.
43. Podsumowując: z analizy językowej art. 15 ust. 3 zdanie pierwsze RODO wynika, że przepis ten przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii jej rozumianych szeroko danych osobowych będących przedmiotem operacji, które można zakwalifikować jako przetwarzanie dokonywane przez administratora tego przetwarzania.
44. Wspomniana analiza językowa pozwala zauważyć, że „kopia danych osobowych” musi być wiernym powieleniem tych danych. Różnorodność rodzajów danych, jakie mogą być przetwarzane, oznacza jednak, że w zależności od rodzaju przetwarzanych danych i rodzaju przetwarzania kopia takich danych może mieć różne formy, takie jak forma papierowa, zapis audio lub wideo, forma elektroniczna lub inne formy. Istotne jest, by kopia takich danych była wierna i pozwalała osobie, której dane dotyczą, poznać w pełni wszystkie dane podlegające przetwarzaniu. Ewentualny zbiór danych osobowych podlegających przetwarzaniu musi powielać te dane wiernie i w sposób zrozumiały oraz nie powinien w żaden sposób wywierać wpływu na treść danych, które muszą być dostarczone. Decyzja administratora, by w miarę możliwości przekazać zbiór danych osobowych podlegających przetwarzaniu, nie może zatem stanowić uzasadnienia tego, że niektóre dane zostają pominięte lub przekazane w sposób niepełny lub nie odzwierciedlają rzeczywistości przetwarzania.
45. Ponadto sporny przepis gwarantuje osobie, której dane dotyczą, prawo do uzyskania kopii wszystkich jej danych osobowych podlegających przetwarzaniu, a zatem nie tylko danych pozyskanych, lecz także wszelkich danych osobowych wygenerowanych przez administratora, które podlegają przetwarzaniu. Jednakże w zakresie, w jakim przepis ten odnosi się wyłącznie do kopii danych osobowych, po pierwsze, nie może on stanowić podstawy prawa dostępu do informacji, których nie można zakwalifikować jako takie, a po drugie, nie przyznaje on – siłą rzeczy – prawa do uzyskania kopii dokumentów lub innych nośników zawierających dane osobowe.
46. Rozważania te powinny ponadto zostać uzupełnione analizą kontekstu, w jaki wpisuje się ten przepis, a także celami realizowanymi przez prawo dostępu zagwarantowane w art. 15 RODO.
2. Analiza kontekstowa i celowościowa
47. Jeśli chodzi o kontekst, w jaki wpisuje się sporny przepis, należy przede wszystkim zauważyć, że przepis ten jest zawarty w art. 15 RODO, regulującym prawo osoby, której dane dotyczą, wobec administratora, do uzyskania dostępu do dotyczących jej danych osobowych podlegających przetwarzaniu. Artykuł ten konkretyzuje i precyzuje w RODO prawo każdej osoby do dostępu do dotyczących jej danych wskazane w art. 8 ust. 2 zdanie drugie karty(23).
48. Jeśli chodzi o strukturę art. 15 RODO, w ust. 1 tego artykułu przewidziano prawo osoby, której dane dotyczą, do uzyskania od administratora potwierdzenia, że przetwarzane są dane osobowe jej dotyczące, a jeżeli tak jest – do uzyskania dostępu do tych danych oraz do informacji wskazanych w lit. a)–h). Przepis ten konkretyzuje zatem prawo dostępu do danych osobowych i związanych z nimi informacji, określając dokładny przedmiot prawa dostępu i zakres stosowania.
49. Artykuł 15 ust. 3 RODO precyzuje natomiast zasady wykonywania tego prawa, określając w szczególności formę, w jakiej dane osobowe powinny zostać przekazane przez administratora osobie, której dane dotyczą – mianowicie w postaci kopii, a zatem wiernego powielenia danych.
50. Z przedstawionej powyżej struktury art. 15 RODO, a także z wymogu dokonywania wewnętrznie spójnej wykładni przepisów ust. 1 i 3 tego artykułu wynika, że ust. 3 nie definiuje – a zatem nie może zmienić lub rozszerzyć – przedmiotu i zakresu stosowania prawa dostępu skonkretyzowanego w przepisie ust. 1. Wyżej wspomniany ust. 3 nie może zatem rozszerzać zakresu spoczywającego na administratorze obowiązku udzielenia dostępu do informacji. Struktura rozpatrywanego artykułu potwierdza zatem, że przepis ust. 3 nie może stanowić podstawy ewentualnego autonomicznego prawa osoby, której dane dotyczą, do uzyskania informacji wykraczających poza informacje wskazane w ust. 1 tego przepisu.
51. W tym względzie zgadzam się z austriackim organem ochrony danych, który podnosi, że wykładnia art. 15 ust. 3 zdanie pierwsze RODO, zgodnie z którą przepis ten pozwala na rozszerzenie zakresu informacji, do których ma dostęp osoba, której dane dotyczą, poza informacje dotyczące jej danych osobowych, byłaby sprzeczna z art. 8 ust. 2 karty.
52. Powyższa analiza potwierdza, po pierwsze, uwagę poczynioną w pkt 44 powyżej, zgodnie z którą przepis art. 15 ust. 3 zdanie pierwsze RODO nie przyznaje autonomicznego prawa do uzyskania kopii dokumentów lub innych nośników zawierających dane osobowe. Po drugie, potwierdza ona również analizę przeprowadzoną w pkt 42 powyżej, zgodnie z którą rzeczony przepis nie przyznaje osobie, której dane dotyczą, prawa do uzyskania informacji, innych niż informacje przewidziane w art. 15 ust. 1 RODO(24), dotyczących samego przetwarzania danych osobowych, takich jak na przykład informacje dotyczące kryteriów, wzorców, zasad lub procedur wewnętrznych (obliczeniowych lub nieobliczeniowych) stosowanych w celu przetwarzania danych osobowych. Takie informacje są ponadto często objęte prawami własności intelektualnej, które powinny być chronione w tym kontekście, jak wyraźnie wynika z motywu 63 zdanie piąte. Niemniej jednak, jak wynika z motywu 60 RODO, administrator powinien podać osobie, której dane dotyczą, wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i konkretny kontekst przetwarzania danych osobowych. Należy ponadto przypomnieć, że istnieją szczególne zasady odnośnie do przypadków zautomatyzowanego podejmowania decyzji, w tym profilowania(25).
53. Przepis art. 15 ust. 3 zdanie pierwsze RODO należy interpretować w świetle innych istotnych przepisów RODO również z kontekstowego punktu widzenia. Oprócz definicji zawartych w art. 4 pkt 1 i 2 RODO, przeanalizowanych w pkt 32–41 powyżej, szczególne znaczenie ma art. 12 ust. 1 RODO, na który sąd odsyłający powołuje się w swoim trzecim pytaniu prejudycjalnym.
54. Z przepisu tego wynika, że administrator jest zobowiązany do podjęcia odpowiednich środków, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa między innymi w art. 15 RODO, oraz że informacji należy udzielić na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie, chyba że osoba, której dane dotyczą, zażąda udzielenia informacji ustnie.
55. Celem tego przepisu, który jest wyrazem zasady przejrzystości(26), jest zapewnienie, by osoba, której dane dotyczą, była w stanie zrozumieć w pełni przekazywane jej informacje. Pełna zrozumiałość tych informacji jest bowiem, po pierwsze, konieczna, aby wykonywanie praw dostępu zagwarantowanych na mocy art. 15 RODO było skuteczne, a po drugie, stanowi przesłankę pełnego wykonywania innych praw zagwarantowanych w RODO osobie, której dane dotyczą, wskazanych w pkt 64 i 65 niniejszej opinii, a które wynikają z wykonywania prawa dostępu(27). Ponadto z motywu 63 RODO wynika, że osoba, której dane dotyczą, musi mieć prawo do wykonywania prawa dostępu do swoich danych osobowych łatwo i bez trudności.
56. Konieczność zrozumiałego przekazywania danych, umożliwiającego osobie, której dane dotyczą, pełne zapoznanie się z nimi oraz sprawdzenie, czy są one prawidłowe i czy są przetwarzane zgodnie z prawem Unii, a to w celu wykonania praw przysługujących jej na mocy prawa Unii, została ponadto podkreślona przez Trybunał w jego orzecznictwie dotyczącym dyrektywy 95/46(28).
57. Wspomniany wymóg zrozumiałości danych i informacji wskazanych w art. 15 ust. 1 lit. a)–h) RODO oznacza, że nie można wykluczyć, iż w niektórych przypadkach w celu zapewnienia pełnej zrozumiałości informacji przekazywanych osobie, której dane dotyczą, konieczne może być dostarczenie jej fragmentów dokumentów lub nawet całych dokumentów lub wyciągów z baz danych. Analiza, czy konieczne jest dostarczenie dokumentów lub wyciągów w celu zapewnienia zrozumiałości przekazywanych informacji, musi być jednak nieuchronnie przeprowadzona w każdym konkretnym przypadku w zależności od rodzaju danych objętych wnioskiem i samego wniosku.
58. W tym względzie należy jednak podkreślić, że ewentualne przekazanie dokumentów lub ich fragmentów nie będzie stanowiło wykonywania autonomicznego prawa – w stosunku do prawa dostępu – gwarantowanego na mocy art. 15 ust. 3 zdanie pierwsze RODO, a jedynie sposób przekazania kopii danych osobowych, mający na celu zapewnienie pełnej zrozumiałości tych danych. W tym względzie pragnę zauważyć, że z pewnością – jak zauważyło kilku zainteresowanych, którzy przedstawili Trybunałowi swoje uwagi – w niektórych przypadkach, aby w pełni zrozumieć odnośne dane osobowe, konieczne jest poznanie kontekstu, w jakim dane te są przetwarzane. Uwaga ta nie pozwala jednak na przyznanie osobie, której dane dotyczą, ogólnego prawa dostępu do kopii dokumentów lub wyciągów z baz danych na podstawie spornego przepisu.
59. Ponadto prawo do uzyskania kopii danych osobowych jest ograniczone przez wymóg wyraźnie przewidziany w art. 15 ust. 4 RODO, zgodnie z którym prawo to nie może „niekorzystnie wpływać na prawa i wolności innych”. Z przepisu tego wynika, że wymóg zapewnienia osobie, której dane dotyczą, pełnego i całkowitego dostępu do jej danych osobowych poprzez przekazanie kopii tych danych nie może sięgać tak daleko, by pozwolić na naruszenie praw i wolności innych osób.
60. W tym względzie pragnę zauważyć, że wspomniany ust. 4 jest sformułowany w sposób bardzo ogólny i pozostawia otwarty wykaz praw i wolności „innych” osób, które mogą równoważyć wykonywanie prawa do pełnego dostępu poprzez uzyskanie kopii danych osobowych. Należy jednak uznać, że prawa te z pewnością obejmują, jak wynika wyraźnie z motywu 63 RODO, „tajemnice handlowe lub własność intelektualną, w szczególności […] prawa autorskie chroniące oprogramowanie”, a także prawo do ochrony danych osobowych osób trzecich, na przykład w przypadku gdy nośnik zawierający dane osobowe osoby, której dane dotyczą, zawiera również dane osobowe osób trzecich.
61. W przypadku kolizji między z jednej strony wykonywaniem prawa do pełnego i całkowitego dostępu do danych osobowych a z drugiej strony prawami lub wolnościami innych osób konieczne będzie wyważenie danych praw. W miarę możliwości należy wybrać sposób przekazania danych osobowych, który nie narusza praw lub wolności innych osób, mając na uwadze, że – jak wynika z motywu 63 RODO – względy te nie powinny jednak „skutkować odmową udzielenia osobie, której dane dotyczą, jakichkolwiek informacji”.
62. Następnie z kontekstowego punktu widzenia należy również zauważyć, że wykładnia art. 15 ust. 3 zdanie pierwsze RODO, zgodnie z którą przepis ten nie przyznaje ogólnego prawa dostępu do kopii dokumentów lub wyciągów z baz danych, chyba że jest to konieczne do zapewnienia zrozumiałości przekazywanych danych i informacji, znajduje także potwierdzenie w fakcie, że prawo dostępu do dokumentów, w szczególności dokumentów administracyjnych, jest wyraźnie uregulowane w innych aktach Unii(29) lub aktach krajowych, które realizują cele odmienne od celów gwarantujących ochronę danych osobowych(30).
63. Wspomniana w poprzednim punkcie wykładnia art. 15 ust. 3 zdanie pierwsze RODO znajduje ponadto potwierdzenie w analizie celów tego przepisu w ramach prawa dostępu osoby, której dane dotyczą, gwarantowanego w art. 15 RODO.
64. Jak wynika z motywu 63 RODO, w szczególności z jego zdania pierwszego, prawo dostępu do własnych danych osobowych oraz do innych informacji wskazanych w art. 15 ust. 1 lit. a)–h) RODO ma przede wszystkim na celu umożliwienie osobie, której dane dotyczą, uzyskanie wiedzy o przetwarzaniu jej danych oraz sprawdzenie jego zgodności z prawem(31).
65. Wspomniane prawo dostępu jest niezbędne, jak zresztą zauważył już Trybunał, dla umożliwienia osobie, której dotyczą dane, wykonywania szeregu innych praw przyznanych w RODO, w tym prawa do sprostowania danych, prawa do usunięcia danych („prawa do bycia zapomnianym”) oraz prawa do ograniczenia przetwarzania, przyznanych jej, odpowiednio, w art. 16, 17 i 18 RODO(32). Trybunał wyjaśnił również, że prawo dostępu jest niezbędne także dla umożliwienia osobie, której dotyczą dane, wykonywania prawa sprzeciwu wobec przetwarzania jej danych osobowych, o czym mowa w art. 21 RODO, lub prawa do korzystania ze środków prawnych w związku z poniesioną szkodą i otrzymania odszkodowania zgodnie z art. 79 i 82 RODO(33).
66. Ratio legis leżące u podstaw przepisu przyznającego prawo do uzyskania kopii danych osobowych należy rozumieć właśnie w kontekście celów prawa dostępu do własnych danych osobowych i innych informacji. Przepis ten ma na celu wyraźne określenie formy, w jakiej gwarantuje się osobie, której dane dotyczą, skuteczne wykonywanie tego prawa, aby umożliwić jej upewnienie się co do prawidłowości i zgodności z prawem przetwarzania dla celów, w stosownym przypadku, wykonywania pozostałych praw wymienionych w pkt 65 powyżej. Chodzi o to, aby dane osobowe zostały przekazane osobie, której te dane dotyczą, w możliwie najdokładniejszej i najbardziej zrozumiałej formie, aby umożliwić jej wykonywanie tych praw, to znaczy w postaci kopii, a zatem wiernego powielenia samych danych.
67. Pod tym względem wydanie kopii dokumentu zawierającego takie dane lub wyciągu z bazy danych nie okazuje się zawsze i w każdym przypadku niezbędne do osiągnięcia celu zamierzonego przez prawodawcę.
68. Jedynie w przypadku, gdy wydanie takiej kopii jest niezbędne w celu zapewnienia pełnej zrozumiałości danych osobowych podlegających przetwarzaniu, osoba, której dane dotyczą, może, w granicach wskazanych w pkt 58–61 powyżej, uzyskać części dokumentów lub, w stosownym przypadku, całe dokumenty lub wyciągi z baz danych.
69. W tym kontekście pragnę również zauważyć, że RODO, przewidując – w odróżnieniu od uregulowania zawartego w dyrektywie 95/46 – rzeczywiste prawo do uzyskania kopii danych, miało na celu wzmocnienie pozycji osoby, której dane dotyczą(34). Jest to bowiem istotna różnica w stosunku do obowiązujących wcześniej przepisów wspomnianej dyrektywy 95/46, które przewidywały jedynie w art. 12 lit. a) tiret drugie „wyrażon[ą] w zrozumiałej formie informacj[ę] o danych przechodzących przetwarzanie”, pozostawiając w ten sposób państwom członkowskim ustalenie konkretnej materialnej formy, jaką ma przybrać ta informacja, pod warunkiem tylko, by była ona zrozumiała(35). Poprzez nałożenie na administratorów obowiązku, obecnie przewidzianego w art. 15 ust. 3 zdanie pierwsze RODO, dostarczenia „kopii” danych forma, jaką musi przyjąć taka informacja, a mianowicie forma „kopii” danych, jest natomiast określona w sposób bezwzględnie obowiązujący.
3. Wnioski w przedmiocie trzech pierwszych pytań prejudycjalnych
70. W świetle wszystkich powyższych rozważań uważam, że na trzy pierwsze pytania prejudycjalne przedstawione przez sąd odsyłający należy odpowiedzieć, że art. 15 ust. 3 zdanie pierwsze RODO należy interpretować w ten sposób, że:
– zawarte w tym przepisie pojęcie „kopii” należy rozumieć jako wierne powielenie w zrozumiałej formie danych osobowych objętych wnioskiem osoby, której dane dotyczą, w zmaterializowanym i trwałym formacie, umożliwiające osobie, której te dane dotyczą, skuteczne wykonywanie prawa dostępu do jej danych osobowych przy pełnej wiedzy o wszystkich jej danych osobowych podlegających przetwarzaniu – w tym wszelkich innych danych potencjalnie powstałych w następstwie przetwarzania, jeśli one również podlegają przetwarzaniu – w celu sprawdzenia prawidłowości tych danych oraz umożliwienia tej osobie upewnienia się, że przetwarzanie jest prawidłowe i zgodne z prawem, tak aby mogła ona, w stosownym przypadku, skorzystać z innych praw przyznanych jej w RODO; dokładną formę kopii określa się w zależności od szczególnego charakteru każdego przypadku, a w szczególności od rodzaju danych osobowych, których dotyczy wniosek o udzielenie dostępu, oraz od potrzeb osoby, której dane dotyczą;
– przepis ten nie przyznaje osobie, której dane dotyczą, ogólnego prawa do uzyskania kopii części lub całości dokumentu zawierającego dane osobowe osoby, której te dane dotyczą, lub, w przypadku gdy dane osobowe są przetwarzane w bazie danych, wyciągu z tej bazy danych;
– przepis ten nie wyklucza jednak możliwości przekazania osobie, której dotyczą dane, części dokumentów, całych dokumentów lub wyciągów z baz danych, w przypadku gdy jest to konieczne do zapewnienia pełnej zrozumiałości danych osobowych podlegających przetwarzaniu, których dotyczy wniosek o udzielenie dostępu.
B. W przedmiocie czwartego pytania prejudycjalnego
71. Poprzez swe czwarte pytanie prejudycjalne sąd odsyłający zwraca się do Trybunału z pytaniem, czy zawarte w art. 15 ust. 3 zdanie trzecie RODO pojęcie „informacji” odnosi się jedynie do „danych osobowych podlegających przetwarzaniu”, o których mowa w zdaniu pierwszym tego ustępu, czy też oprócz nich obejmuje również informacje określone w art. 15 ust. 1 lit. a)–h) [pytanie czwarte lit. a)], lub też także inne informacje, takie jak na przykład metadane dotyczące danych [pytanie czwarte lit. b)].
72. W celu udzielenia odpowiedzi na to pytanie należy wskazać, co oznacza termin „informacje” zawarty w art. 15 ust. 3 zdanie trzecie RODO, stosując metodologię wynikającą z orzecznictwa przywołanego w pkt 25 powyżej.
73. W tym kontekście, z językowego punktu widzenia, termin „informacje” wydaje się zbyt ogólny, aby można było wyjaśnić, czy odnosi się on wyłącznie do danych osobowych wskazanych w art. 15 ust. 3 zdanie pierwsze RODO, czy też obejmuje inne rodzaje informacji.
74. Z kontekstowego punktu widzenia należy jednak zauważyć, że wspomniane zdanie trzecie stanowi część art. 15 ust. 3 RODO, który dotyczy spoczywającego na administratorze obowiązku dostarczenia na wniosek osoby, której dane dotyczą, „kopii danych osobowych podlegających przetwarzaniu”. Struktura ust. 3 prowadzi zatem do stwierdzenia, że termin „informacje” odnosi się do informacji będących przedmiotem wniosku, który musi zostać uwzględniony zgodnie ze zdaniem pierwszym tego ustępu, a zatem do wniosku o uzyskanie kopii danych osobowych podlegających przetwarzaniu.
75. Wykładnia ta okazuje się również zgodna z celem samego ust. 3, którym jest, jak wynika z pkt 61 i nast., w szczególności z pkt 69 powyżej, określenie formy, jaką powinno przyjąć przekazanie danych osobowych podlegających przetwarzaniu, to znaczy formy „kopii” danych. W tym kontekście zdanie trzecie tego ustępu ma na celu uregulowanie szczególnego przypadku, w którym wniosek o uzyskanie kopii takich danych składany jest drogą elektroniczną.
76. Niemniej jednak należy moim zdaniem również zauważyć, że obowiązek przejrzystości wynikający z art. 12 ust. 1 RODO, określony w pkt 54 i 55 powyżej, którego celem jest zapewnienie, by osoba, której dane dotyczą, była w stanie zrozumieć w pełni informacje przekazywane jej między innymi na podstawie art. 15 RODO rozpatrywanego w całości, wymaga, aby w przypadku złożenia drogą elektroniczną wniosku o udzielenie dostępu na podstawie art. 15 ust. 1 RODO informacje, o których mowa w lit. a)–h), zostały również przekazane w powszechnie stosowanej formie elektronicznej, która umożliwia osobie, której dane dotyczą, zapoznanie się z nimi w pełni w sposób łatwy i bez trudności. W przypadku gdy stosowana forma elektroniczna, w jakiej podane są te informacje, nie jest powszechnie stosowana, może to w istocie spowodować, że zapoznanie się z tymi informacjami byłoby niezwykle trudne lub uciążliwe, co stanowiłoby naruszenie wspomnianego obowiązku przejrzystości.
77. Wreszcie, w odniesieniu do pytania zawartego w lit. b), z okoliczności, że art. 15 ust. 3 zdanie trzecie RODO odnosi się do tego, iż osoba, której dane dotyczą, „zwraca się”, wynika, że zawarte w tym przepisie pojęcie „informacji” nie może wykraczać poza to, co jest właśnie przedmiotem takiego wniosku, a mianowicie kopię danych osobowych podlegających przetwarzaniu. Wynika z tego, że użyty w nim termin „informacje” odnosi się wyłącznie do takich danych i nie może obejmować informacji innych niż te dane, a już na pewno informacji dodatkowych w stosunku do tych, o których mowa w art. 15 ust. 1 lit. a)–h) RODO. W przeciwnym razie zakres prawa dostępu zostałby bowiem rozszerzony, co – jak już zresztą zauważono w pkt 48–51 powyżej – nie znajduje żadnej podstawy w RODO.
78. Z całości powyższych rozważań wynika moim zdaniem, że na czwarte pytanie prejudycjalne przedstawione przez sąd odsyłający należy odpowiedzieć, iż zawarte w art. 15 ust. 3 zdanie trzecie RODO pojęcie „informacji” należy interpretować w ten sposób, że odnosi się ono wyłącznie do „kopii danych osobowych podlegających przetwarzaniu”, o której mowa w zdaniu pierwszym tego ustępu.
IV. Wnioski
79. W świetle wszystkich powyższych rozważań proponuję Trybunałowi, by na pytania prejudycjalne przedstawione przez Bundesverwaltungsgericht (federalny sąd administracyjny, Austria) odpowiedział następująco:
Artykuł 15 ust. 3 zdanie pierwsze rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
zawarte w tym przepisie pojęcie „kopii” należy rozumieć jako wierne powielenie w zrozumiałej formie danych osobowych objętych wnioskiem osoby, której dane dotyczą, w zmaterializowanym i trwałym formacie, umożliwiające osobie, której te dane dotyczą, skuteczne wykonywanie prawa dostępu do jej danych osobowych przy pełnej wiedzy o wszystkich jej danych osobowych podlegających przetwarzaniu – w tym wszelkich innych danych potencjalnie powstałych w następstwie przetwarzania, jeśli one również podlegają przetwarzaniu – w celu sprawdzenia prawidłowości tych danych oraz umożliwienia tej osobie upewnienia się, że przetwarzanie jest prawidłowe i zgodne z prawem, tak aby mogła ona, w stosownym przypadku, skorzystać z innych praw przyznanych jej w RODO; dokładną formę kopii określa się w zależności od szczególnego charakteru każdego przypadku, a w szczególności od rodzaju danych osobowych, których dotyczy wniosek o udzielenie dostępu, oraz od potrzeb osoby, której dane dotyczą;
przepis ten nie przyznaje osobie, której dane dotyczą, ogólnego prawa do uzyskania kopii części lub całości dokumentu zawierającego dane osobowe osoby, której te dane dotyczą, lub, w przypadku gdy dane osobowe są przetwarzane w bazie danych, wyciągu z tej bazy danych;
przepis ten nie wyklucza jednak możliwości przekazania osobie, której dotyczą dane, części dokumentów, całych dokumentów lub wyciągów z baz danych, w przypadku gdy jest to konieczne do zapewnienia pełnej zrozumiałości danych osobowych podlegających przetwarzaniu, których dotyczy wniosek o udzielenie dostępu.
Zawarte w art. 15 ust. 3 zdanie trzecie rozporządzenia 2016/679 pojęcie „informacji”
należy interpretować w ten sposób, że:
odnosi się ono wyłącznie do „kopii danych osobowych podlegających przetwarzaniu”, o której mowa w zdaniu pierwszym tego ustępu.