CONCLUZIILE AVOCATULUI GENERAL
DOMNUL GIOVANNI PITRUZZELLA
prezentate la 15 decembrie 2022(1)
Cauza C‑487/21
F.F.
cu participarea:
Österreichische Datenschutzbehörde,
CRIF GmbH
[cerere de decizie preliminară formulată de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria)]
„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 15 alineatul (3) – Dreptul de acces al persoanei vizate la datele cu caracter personal care fac obiectul prelucrării – Dreptul de a primi o copie a datelor cu caracter personal – Noțiunea de «copie» – Noțiunea de «informație»”
1. Care sunt conținutul și întinderea dreptului persoanei vizate care obține acces la datele sale cu caracter personal care fac obiectul prelucrării de a primi o copie a acestor date, astfel cum se prevede la articolul 15 alineatul (3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor, denumit în continuare „RGPD”)(2)? Care este semnificația noțiunii de „copie” și care este raportul dintre acest drept de a primi o copie a datelor cu caracter personal care fac obiectul prelucrării și dreptul de acces prevăzut la alineatul (1) al aceluiași articol?
2. Acestea sunt în esență principalele întrebări adresate în cauza care face obiectul prezentelor concluzii, care privește o cerere de decizie preliminară formulată de Bunsdesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) cu privire la interpretarea articolului 15 alineatul (3) din RGPD.
3. Această cerere este formulată în cadrul unui litigiu între domnul F.F., pe de o parte, și Österreichische Datenschutzbehörde (Autoritatea Austriacă pentru Protecția Datelor), pe de altă parte, având ca obiect legalitatea respingerii de către aceasta din urmă a cererii domnului F.F. privind obligarea unei agenții de consultanță comercială, care a prelucrat datele sale cu caracter personal, să furnizeze documente și extrase dintr‑o bază de date care conține aceste date cu caracter personal.
4. Prezenta cauză va oferi Curții ocazia de a interpreta pentru prima dată dispoziția articolului 15 alineatul (3) din RGPD și de a oferi clarificări cu privire la modul de exercitare a dreptului de acces la datele cu caracter personal care fac obiectul prelucrării, astfel cum este prevăzut la articolul 15 din RGPD.
I. Cadrul juridic
5. Considerentul (63) al RGPD enunță următoarele:
„O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Acest lucru include dreptul persoanelor vizate de a avea acces la datele lor privind sănătatea, de exemplu datele din registrele lor medicale care conțin informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată. Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele, dacă este posibil perioada pentru care se prelucrează datele cu caracter personal, destinatarii datelor cu caracter personal, logica de prelucrare automată a datelor cu caracter personal și, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. Dacă acest lucru este posibil, operatorul de date ar trebui să poată furniza acces de la distanță la un sistem sigur, care să ofere persoanei vizate acces direct la datele sale cu caracter personal. Acest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și în special drepturilor de autor care asigură protecția programelor software. Cu toate acestea, considerațiile de mai sus nu ar trebui să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate […]”
6. Articolul 4 punctele 1 și 2 din RGPD prevede:
„În sensul prezentului regulament:
1. «date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
2. «prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;”.
7. Articolul 12 alineatul (1) din RGPD, intitulat „Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate”, prevede:
„Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil. Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informațiile pot fi furnizate verbal, cu condiția ca identitatea persoanei vizate să fie dovedită prin alte mijloace.”
8. Articolul 15 din RGPD, intitulat „Dreptul de acces al persoanei vizate”, prevede:
„(1) Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:
(a) scopurile prelucrării;
(b) categoriile de date cu caracter personal vizate;
(c) destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;
(d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
(e) existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;
(f) dreptul de a depune o plângere în fața unei autorități de supraveghere;
(g) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;
(h) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.
[…]
(3) Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. Pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. În cazul în care persoana vizată introduce cererea în format electronic și cu excepția cazului în care persoana vizată solicită un alt format, informațiile sunt furnizate într‑un format electronic utilizat în mod curent.
(4) Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora.”
II. Situația de fapt, procedura principală și întrebările preliminare
9. CRIF GmbH este o agenție de consultanță comercială care furnizează, la cererea clienților săi, informații privind solvabilitatea unor terți. În acest scop, ea a prelucrat datele cu caracter personal ale reclamantului din litigiul principal pendinte în fața instanței de trimitere.
10. La 20 decembrie 2018, acesta din urmă s‑a adresat agenției respective pentru a obține printre altele informații cu privire la datele sale cu caracter personal care au făcut obiectul prelucrării, potrivit articolului 15 din RGPD, solicitând printre altele o copie a acestor date într‑un format tehnic obișnuit.
11. În urma acestei cereri, agenția a furnizat o parte dintre informațiile solicitate într‑o formă agregată, prin reproducerea, pe de o parte, a datelor stocate privind persoana reclamantului într‑un tabel structurat după nume, data nașterii, stradă, cod poștal și localitate și, pe de altă parte, într‑o prezentare generală a funcțiilor antreprenoriale și a competențelor de reprezentare. Nu au fost furnizate alte documente, precum e‑mailuri sau extrase din bazele de date.
12. La 16 ianuarie 2019, reclamantul din litigiul principal a depus o plângere la Österreichische Datenschutzbehörde (Autoritatea Austriacă pentru Protecția Datelor), în care a susținut că răspunsul la cererea sa era incomplet și în special că operatorul ar fi trebuit să îi transmită o copie a tuturor documentelor, inclusiv a e‑mailurilor și a extraselor din bazele de date care conțin datele sale cu caracter personal.
13. Prin decizia din 11 septembrie 2019, această autoritate a respins plângerea, considerând că operatorul nu a încălcat dreptul de acces al reclamantului la datele cu caracter personal.
14. Sesizată cu o acțiune împotriva acestei decizii, instanța de trimitere are îndoieli cu privire la întinderea dreptului persoanei vizate de a primi copii ale datelor cu caracter personal prelucrate în temeiul articolului 15 alineatul (3) prima teză din RGPD.
15. Această instanță trebuie să decidă dacă transmiterea datelor cu caracter personal ale reclamantului din litigiul principal sub forma unui tabel și a unei prezentări sumare care figurează în răspunsul agenției la cererea de acces este conformă cu cerințele prevăzute la articolul 15 alineatul (3) din RGPD sau dacă, în temeiul acestei dispoziții, reclamantul are dreptul să i se predea o copie a datelor cu caracter personal care îl privesc și care au făcut obiectul prelucrării, nu sub formă izolată, ci sub formă de copii sau de extrase din eventuala corespondență și din conținuturi ale bazelor de date sau ale unor documente similare.
16. În acest context, instanța menționată solicită, în primul rând, clarificări cu privire la semnificația exactă a noțiunii de „copie” a datelor cu caracter personal care fac obiectul prelucrării, prevăzută la articolul 15 alineatul (3) prima teză din RGPD.
17. În al doilea rând, această instanță solicită să se stabilească dacă articolul 15 alineatul (3) din RGPD constituie o precizare a dreptului general de acces menționat la alineatul (1) al acestui articol, care stabilește modul în care persoana vizată trebuie să obțină accesul la datele sale cu caracter personal care fac obiectul prelucrării, sau dacă această dispoziție, dincolo de acest drept de acces menționat la alineatul (1), prevede un drept autonom propriu de a obține fotocopii, facsimile, copii imprimate sau extrase electronice din baze de date sau copii ale documentelor și ale dosarelor complete, care conțin datele cu caracter personal ale persoanei vizate.
18. În al treilea rând, în cazul unei interpretări stricte a articolului 15 alineatul (3) prima teză din RGPD, în sensul că noțiunea de „copie” nu presupune existența unui drept de transmitere a fotocopiilor, a documentelor sau a extraselor din bazele de date, instanța întreabă dacă, având în vedere diferitele tipuri posibile de date care pot fi prelucrate și principiul transparenței prevăzut la articolul 12 alineatul (1) din RGPD, nu este posibil ca, în anumite cazuri, în funcție de tipul de date prelucrate, operatorul să aibă obligația de a furniza, în orice caz, părți din text sau copii ale documentelor.
19. În sfârșit, în al patrulea și ultimul rând, instanța de trimitere solicită să se stabilească dacă noțiunea de „informații” prevăzută la articolul 15 alineatul (3) a treia teză din RGPD se referă numai la „[datele] cu caracter personal care fac obiectul prelucrării” menționate în prima teză a acestei dispoziții sau include și alte informații, inclusiv informațiile menționate la articolul 15 alineatul (1) literele (a)-(h) din RGPD sau, chiar mai mult decât atât, include, de exemplu, și metadatele referitoare la date.
20. În acest context, Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1) Noțiunea de «copie» prevăzută la articolul 15 alineatul (3) [din RGPD] trebuie interpretată în sensul că vizează o fotocopie, un facsimil ori o copie electronică a unei date (electronice) sau în această noțiune se încadrează și un «Abschrift», un «double» («duplicata») sau un «transcript», astfel cum sunt definite în dicționarele german, francez și englez?
2) Articolul 15 alineatul (3) prima teză [din] RGPD, potrivit căruia «operatorul [furnizează] o copie a datelor cu caracter personal care fac obiectul prelucrării», trebuie interpretat în sensul că include un drept general al persoanei vizate de a i se preda o copie – inclusiv – a documentelor complete în care sunt prelucrate date cu caracter personal ale persoanei vizate sau de a i se preda o copie a unui extras dintr‑o bază de date, în cazul prelucrării datelor cu caracter personal într‑o astfel de bază de date, ori persoana vizată are dreptul – numai – la o reproducere fidelă a datelor cu caracter personal care trebuie furnizate în temeiul articolului 15 alineatul (1) din RGPD?
3) În ipoteza în care s‑ar răspunde la cea de a doua întrebare în sensul că pentru persoana vizată nu există decât un drept la reproducerea fidelă a datelor cu caracter personal care trebuie furnizate în temeiul articolului 15 alineatul (1) din RGPD, articolul 15 alineatul (3) prima teză din RGPD trebuie interpretat în sensul că, în funcție de tipul datelor prelucrate [de exemplu cu privire la diagnosticele, rezultatele examinărilor, evaluările menționate în considerentul (63) al RGPD, precum și la documente în legătură cu un examen în sensul Hotărârii Curții (în cauza Nowak(3))] și de obligația de transparență prevăzută la articolul 12 alineatul (1) din RGPD, poate fi totuși necesară, de la caz la caz, punerea la dispoziția persoanei vizate inclusiv a pasajelor de text sau a documentelor integrale?
4) Noțiunea de «informații» care, potrivit articolului 15 alineatul (3) a treia teză din RGPD, în cazul în care persoana vizată introduce cererea în format electronic, sunt «furnizate într‑un format electronic utilizat în mod curent», «cu excepția cazului în care persoana vizată solicită un alt format», trebuie interpretată în sensul că se referă numai la «datel[e] cu caracter personal care fac obiectul prelucrării» prevăzute la articolul 15 alineatul (3) prima teză?
a) În cazul unui răspuns negativ la cea de a patra întrebare, noțiunea de «informații» care, potrivit articolului 15 alineatul (3) a treia teză din RGPD, în cazul în care persoana vizată introduce cererea în format electronic, sunt «furnizate într‑un format electronic utilizat în mod curent», «cu excepția cazului în care persoana vizată solicită un alt format», trebuie interpretată în sensul că se referă de asemenea la informațiile prevăzute la articolul 15 alineatul (1) literele (a)-(h) din RGPD?
b) În cazul unui răspuns negativ și la a patra întrebare litera a), noțiunea de «informații» care, potrivit articolului 15 alineatul (3) a treia teză din RGPD, în cazul în care persoana vizată introduce cererea în format electronic, sunt «furnizate într‑un format electronic utilizat în mod curent», «cu excepția cazului în care persoana vizată solicită un alt format», trebuie interpretată în sensul că se referă, pe lângă «datel[e] cu caracter personal care fac obiectul prelucrării», precum și informațiile menționate la articolul 15 alineatul (1) literele (a)-(h), inclusiv, de exemplu, la metadatele aferente?”
III. Analiză juridică
A. Cu privire la prima, la a doua și la a treia întrebare preliminară
21. Prin intermediul primelor trei întrebări, care, în opinia noastră, trebuie analizate împreună, instanța de trimitere solicită Curții să stabilească domeniul de aplicare al dispoziției care figurează la articolul 15 alineatul (3) prima teză din RGPD, potrivit căreia „operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării”.
22. Prima întrebare vizează stabilirea semnificației exacte a noțiunii de „copie” care figurează în această dispoziție. A doua întrebare are ca scop clarificarea întinderii dreptului conferit persoanei în cauză prin această dispoziție. Instanța de trimitere solicită în special să se stabilească dacă această dispoziție conferă dreptul de a obține o copie a documentelor sau a extraselor din bazele de date în care sunt prelucrate date cu caracter personal sau dacă nu conferă decât dreptul de a primi o reproducere fidelă a originalului datelor cu caracter personal prelucrate. În acest din urmă caz, a treia întrebare este dacă, în funcție de tipul de date prelucrate și în virtutea principiului transparenței, ar putea fi totuși necesar, în anumite cazuri, să se furnizeze și pasaje de text sau documente integrale.
23. Din decizia de trimitere reiese că domeniul de aplicare al dispoziției care figurează la articolul 15 alineatul (3) prima teză din RGPD constituie un aspect controversat atât în doctrină, cât și în jurisprudența instanțelor naționale, cel puțin în Austria și în Germania(4). Din această decizie reiese că există două teorii opuse în această privință: pe de o parte, o concepție restrictivă în ceea ce privește dispoziția în cauză, potrivit căreia aceasta se limitează să precizeze modalitățile dreptului de acces și nu implică niciun drept autonom de a obține documente sau acte similare, și, pe de altă parte, o interpretare largă potrivit căreia, dimpotrivă, această dispoziție conferă dreptul de a primi o copie a documentelor sau a altor suporturi pe care sunt prelucrate date cu caracter personal. Potrivit acestei din urmă interpretări, dreptul de a obține copii ale documentelor este un drept independent de dreptul de acces garantat la articolul 15 alineatul (1) din RGPD. Controversa legată de domeniul de aplicare al dispoziției în cauză este confirmată de faptul că părțile care au depus observații în fața Curții au de asemenea poziții diferite în această privință(5).
24. În aceste condiții, pentru a răspunde la primele trei întrebări preliminare adresate de instanța de trimitere, este necesară interpretarea articolului 15 alineatul (3) prima teză din RGPD.
25. În această privință, trebuie amintit că, potrivit unei jurisprudențe constante, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de formularea acesteia, ci și de contextul ei și de obiectivele urmărite de reglementarea din care face parte această dispoziție(6).
26. În plus, întrucât dispozițiile RGPD reglementează prelucrarea unor date cu caracter personal care pot aduce atingere libertăților fundamentale și în special dreptului la respectarea vieții private, acestea trebuie interpretate în mod necesar în lumina drepturilor fundamentale garantate de cartă(7).
1. Analiză literală
27. În ceea ce privește, mai întâi, texul dispoziției care figurează la articolul 15 alineatul (3) prima teză din RGPD, trebuie arătat că această dispoziție conferă persoanei vizate dreptul de a obține de la operator „o copie a datelor cu caracter personal care fac obiectul prelucrării”. Din punct de vedere literal, acest text se referă la trei noțiuni distincte, și anume, „copie”, „date cu caracter personal” și „obiectul prelucrării”.
28. În ceea ce privește, în primul rând, noțiunea de „copie”, al cărei domeniu de aplicare face în mod specific obiectul primei întrebări preliminare, trebuie să se constate că, astfel cum au arătat mai multe persoane interesate care au prezentat observații Curții, RGPD nu conține nicio definiție specifică a acestei noțiuni.
29. În acest context, potrivit unei jurisprudențe constante, determinarea înțelesului și a conținutului termenilor pentru care dreptul Uniunii nu furnizează nicio definiție trebuie să fie făcută în conformitate cu sensul obișnuit al acestora în limbajul curent, ținând totodată seama de contextul în care sunt utilizați și de obiectivele urmărite de reglementarea din care fac parte(8).
30. Din punct de vedere pur terminologic, în limbajul curent, termenul „copie” se referă la reproducerea sau transcrierea fidelă a unui original(9). În plus, o analiză a diferitelor versiuni lingvistice ale RGPD arată că termenul care corespunde termenului italian „copia” este utilizat în majoritatea celorlalte limbi oficiale ale Uniunii ca, de exemplu, „copy” în limba engleză, „Kopie” în limba germană, „copie” în limba franceză sau „copia” în limba spaniolă(10).
31. Dispoziția în cauză precizează de asemenea în mod expres că copia pe care operatorul este obligat să o furnizeze persoanei vizate este copia „datelor cu caracter personal” care fac obiectul prelucrării.
32. În această privință și în al doilea rând, trebuie arătat că, spre deosebire de cazul noțiunii de „copie”, RGPD conține o definiție expresă a noțiunii de „date cu caracter personal” la articolul 4 punctul 1 din acest regulament, potrivit căruia date cu caracter personal înseamnă „orice informații privind o persoană fizică identificată sau identificabilă”.
33. Domeniul de aplicare al noțiunii de „date cu caracter personal” care rezultă din această definiție este foarte larg. Astfel, după cum reiese din jurisprudența Curții, utilizarea sintagmei „orice informații” în cadrul acestei definiții reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestei noțiuni(11).
34. Din jurisprudență rezultă de asemenea că noțiunea de date cu caracter personal nu este restrânsă la informațiile sensibile sau de ordin privat, ci înglobează potențial orice tip de informații, atât obiective, cât și subiective, sub formă de opinii sau de aprecieri, cu condiția ca acestea să fie „privind” persoana în cauză. În ceea ce privește această din urmă condiție, ea este îndeplinită atunci când, ca urmare a conținutului, a scopului sau a efectului său, informația este legată de o persoană determinată(12).
35. O accepțiune largă a noțiunii de „date cu caracter personal” se dovedește, de altfel, necesară în raport cu varietatea de tipuri și de forme pe care le pot prezenta informațiile referitoare la o persoană și care pot fi susceptibile de protecție, precum și în lumina varietății de suporturi pe care se pot afla aceste informații.
36. Din analiza jurisprudenței reiese că Curtea a considerat că intră sub incidența noțiunii de „date cu caracter personal” în sensul articolului 4 punctul 1 din RGPD o varietate de tipuri de informații referitoare la o persoană fizică identificată sau identificabilă. Pe lângă datele pe care Comisia le‑a definit în observațiile sale drept „date uzuale”, și anume informații referitoare la identitatea persoanelor precum prenumele și numele(13), data nașterii, cetățenia, sexul, etnia, religia și limba vorbită de o persoană identificabilă prin numele său(14), Curtea a considerat că se încadrează în noțiunea de date cu caracter personal alte tipuri de informații, cum ar fi, de exemplu, informațiile referitoare la un autovehicul propus spre vânzare, precum și numărul de telefon al vânzătorului vehiculului respectiv(15), datele dintr‑o înregistrare a timpului de lucru referitoare, pentru fiecare lucrător, la perioadele zilnice de lucru și de repaus(16), imaginea unei persoane înregistrată de o cameră video în măsura în care aceasta permite identificarea persoanei în cauză(17), răspunsurile scrise date de un candidat la un examen profesional și adnotările relevante ale examinatorului(18), precum și informațiile referitoare la punctele de penalizare, care se referă la o persoană fizică identificată(19).
37. Accepțiunea largă a noțiunii de date cu caracter personal, care rezultă din definiția care figurează la articolul 4 punctul 1 din RGPD, recunoscută de jurisprudență și legată de obiectivul urmărit de RGPD de a asigura un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal(20), implică faptul că această noțiune și, prin urmare, dreptul de acces la aceste date și dreptul de a primi copii ale acestora nu se limitează numai la datele care au fost eventual obținute, stocate și prelucrate de un operator, ci trebuie să includă și orice alte date care ar fi putut fi generate de această persoană în urma prelucrării, în cazul în care acestea sunt de asemenea prelucrate.
38. Astfel, în cazul în care, ca urmare a prelucrării unei serii de date cu caracter personal sunt generate informații noi, rezultate din această prelucrare, referitoare la o persoană identificată sau identificabilă și care pot fi calificate drept date cu caracter personal în sensul articolului 4 punctul 1 din RGPD, dreptul de acces la datele cu caracter personal și de a primi o copie a acestora prevăzut la articolul 15 alineatul (1) și alineatul (3) prima teză din RGPD trebuie, în opinia noastră, să includă și astfel de date generate, în cazul în care aceste date fac ele însele obiectul prelucrării. Într‑adevăr, dreptul de acces la date și de a primi o copie a datelor include toate datele cu caracter personal care fac obiectul prelucrării ale persoanei vizate.
39. Aceste considerații sunt relevante într‑o situație precum cea din litigiul principal în care, pe baza datelor colectate din diferite surse, agenția de consultanță comercială pare să fi elaborat o recomandare privind solvabilitatea persoanei vizate și disponibilitatea sa de a plăti, în funcție de probabilitatea statistică asociată mai multor parametri. O astfel de recomandare constituie, în opinia noastră, o informație referitoare la o persoană identificată și se încadrează astfel în sensul larg al noțiunii de „date cu caracter personal” care figurează la articolul 4 punctul 1 din RGPD și, prin urmare, și în domeniul de aplicare al dreptului de acces prevăzut la articolul 15 alineatul (1) și alineatul (3) prima teză din RGPD(21).
40. În ceea ce privește, în al treilea rând, sintagma „obiectul prelucrării” care figurează la articolul 15 alineatul (3) prima teză din RGPD, trebuie arătat că noțiunea de „prelucrare” este de asemenea definită în mod expres la articolul 4 punctul 2 din RGPD.
41. În conformitate cu această dispoziție, constituie „prelucrare” în sensul regulamentului menționat colectarea, consultarea, divulgarea prin transmitere și punerea la dispoziție în orice alt mod a datelor cu caracter personal. Potrivit jurisprudenței, din modul de redactare a acestei dispoziții, în special din expresia „orice operațiune”, reiese că legiuitorul Uniunii a intenționat să confere noțiunii de „prelucrare” un domeniu de aplicare larg. Această interpretare este confirmată de caracterul neexhaustiv, exprimat prin locuțiunea „cum ar fi”, al operațiunilor menționate în dispoziția menționată(22).
42. În acest context, din domeniul larg de aplicare al noțiunii de prelucrare rezultă că articolul 15 alineatul (3) prima teză conferă persoanei vizate dreptul de a obține o copie a datelor sale cu caracter personal care fac obiectul oricărei operațiuni care poate fi calificată drept „prelucrare”. Astfel cum vom explica mai detaliat la punctul 52 de mai jos, această dispoziție nu conferă însă, ca atare, dreptul de a obține informații specifice cu privire la prelucrarea efectivă a datelor cu caracter personal, altele decât cele prevăzute la articolul 15 alineatul (1) din RGPD.
43. În concluzie, din analiza literală a articolului 15 alineatul (3) prima teză din RGPD reiese că această dispoziție conferă persoanei vizate dreptul de a obține o copie a datelor sale cu caracter personal, interpretate într‑o accepțiune largă, care fac obiectul unor operațiuni care pot fi calificate drept prelucrare de către operatorul unei astfel de prelucrări.
44. Această analiză literală permite să se constate că „copia datelor cu caracter personal” trebuie să reprezinte o reproducere fidelă a acestora. Totuși, varietatea tipurilor de date care pot fi prelucrate implică faptul că, în funcție de tipul de date prelucrate și de tipul de prelucrare, o copie a acestor date poate avea diferite formate, cum ar fi înregistrarea pe suport de hârtie, înregistrarea audio sau video, formatul electronic sau alte formate. Important este ca copia acestor date să fie fidelă și să permită persoanei vizate să cunoască pe deplin toate datele care fac obiectul prelucrării. O eventuală compilație a datelor cu caracter personal care fac obiectul prelucrării trebuie să reproducă în mod fidel și inteligibil datele respective și nu trebuie, de altfel, să influențeze în niciun fel conținutul datelor care trebuie să fie furnizate. Prin urmare, alegerea operatorului de a furniza, atunci când este posibil, o compilație a datelor cu caracter personal care fac obiectul prelucrării nu poate justifica omiterea sau furnizarea incompletă a anumitor date sau faptul că nu reflectă realitatea prelucrării.
45. În plus, dispoziția în cauză garantează dreptul persoanei vizate de a primi copii ale tuturor datelor sale cu caracter personal care fac obiectul prelucrării și, prin urmare, nu numai ale datelor obținute, ci și ale oricăror date cu caracter personal generate de operator care fac obiectul prelucrării. Cu toate acestea, în măsura în care această dispoziție se referă numai la copia datelor cu caracter personal, pe de o parte, aceasta nu poate constitui temeiul unui drept de acces la informații care nu pot fi calificate ca atare și, pe de altă parte, ea nu conferă în mod necesar dreptul de a primi copii ale documentelor sau ale altor suporturi care conțin date cu caracter personal.
46. Aceste considerații trebuie, de altfel, să fie completate de o analiză a contextului în care se înscrie această dispoziție și de obiectivele urmărite de dreptul de acces garantat la articolul 15 din RGPD.
2. Analiză contextuală și teleologică
47. În ceea ce privește contextul în care se înscrie dispoziția în cauză, trebuie arătat mai întâi că articolul 15 din RGPD reglementează dreptul persoanei vizate, în raport cu operatorul, de a avea acces la datele cu caracter personal care o privesc și care fac obiectul unei prelucrări. Acest articol concretizează și precizează dreptul oricărei persoane de a avea acces la datele care o privesc, consacrat la articolul 8 alineatul (2) a doua teză din Carta drepturilor fundamentale a Uniunii Europene(23).
48. În ceea ce privește structura articolului 15 din RGPD, alineatul (1) al acestui articol prevede dreptul persoanei vizate de a obține din partea operatorului confirmarea prelucrării datelor cu caracter personal care o privesc și, în caz afirmativ, de a obține acces la datele respective și la informațiile menționate la literele (a)-(h). Această dispoziție concretizează astfel dreptul de acces la datele cu caracter personal și la informațiile conexe, stabilind obiectul exact al dreptului de acces și domeniul său de aplicare.
49. În schimb, articolul 15 alineatul (3) din RGPD precizează modul în care trebuie exercitat acest drept, precizând în special forma sub care datele cu caracter personal trebuie furnizate de operator persoanei vizate, și anume sub forma unei copii și, prin urmare, a unei reproduceri fidele a datelor.
50. Din structura articolului 15 din RGPD care tocmai a fost prezentată, precum și din cerința ca dispozițiile alineatelor (1) și (3) ale acestui articol să fie interpretate în mod coerent rezultă că alineatul (3) nu stabilește și, prin urmare, nu poate modifica sau extinde obiectul și domeniul de aplicare ale dreptului de acces concretizat prin dispoziția menționată la alineatul (1). Prin urmare, alineatul (3) nu poate extinde sfera obligației operatorului de a oferi acces la informații. Structura articolului în cauză confirmă, așadar, că dispoziția de la alineatul (3) nu poate servi drept temei pentru niciun drept autonom al persoanei vizate de a obține alte informații decât cele menționate la alineatul (1) al acestei dispoziții.
51. În această privință, suntem de acord cu susținerea autorității austriece pentru protecția datelor în sensul că o interpretare a articolului 15 alineatul (3) prima teză din RGPD în sensul că această dispoziție permite extinderea sferei informațiilor la care o persoană vizată are acces dincolo de informațiile referitoare la datele sale cu caracter personal ar fi contrară articolului 8 alineatul (2) din cartă.
52. Analiza de mai sus confirmă, pe de o parte, constatarea de la punctul 44, și anume că dispoziția care figurează la articolul 15 alineatul (3) prima teză din RGPD nu conferă un drept autonom de a primi copii ale documentelor sau ale altor suporturi care conțin date cu caracter personal. Pe de altă parte, ea confirmă și analiza de la punctul 42 de mai sus în sensul că această dispoziție nu conferă persoanei vizate dreptul de a obține alte informații decât cele prevăzute la articolul 15 alineatul (1) din RGPD(24) cu privire la prelucrarea efectivă a datelor cu caracter personal, cum ar fi, de exemplu, informațiile referitoare la criterii, modele, norme sau proceduri interne (de calcul sau de altă natură) utilizate pentru prelucrarea datelor cu caracter personal. În plus, astfel de informații intră adesea sub incidența drepturilor de proprietate intelectuală, care trebuie protejate în acest context, astfel cum se precizează în mod expres în a cincea teză a considerentului (63). Nu este mai puțin adevărat că, astfel cum reiese din considerentul (60) al RGPD, operatorul trebuie să furnizeze persoanei vizate orice informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă, ținând seama de circumstanțele specifice și de contextul în care sunt prelucrate datele cu caracter personal. Trebuie amintit de asemenea că există norme specifice privind procesele de decizie automatizate, inclusiv crearea de profiluri(25).
53. Tot din punct de vedere contextual, dispoziția articolului 15 alineatul (3) prima teză din RGPD trebuie interpretată în lumina celorlalte dispoziții relevante ale RGPD. Pe lângă definițiile de la articolul 4 punctele 1 și 2 din RGPD, analizate la punctele 32–41 de mai sus, articolul 12 alineatul (1) din RGPD, la care face referire instanța de trimitere în cadrul celei de a treia întrebări, este deosebit de relevant.
54. Din această dispoziție rezultă că operatorul este obligat să ia măsurile adecvate pentru a furniza persoanei vizate toate informațiile menționate în special la articolul 15 din RGPD, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, și că informațiile trebuie furnizate în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic, cu excepția cazului în care persoana vizată solicită ca acestea să fie furnizate verbal.
55. Scopul acestei dispoziții, care este o expresie a principiului transparenței(26), este de a garanta că persoana vizată este în măsură să înțeleagă pe deplin informațiile care îi sunt transmise. Astfel, pe de o parte, inteligibilitatea deplină a acestor informații este necesară pentru ca exercitarea drepturilor de acces garantate de articolul 15 din RGPD să fie efectivă și, pe de altă parte, constituie o condiție prealabilă pentru exercitarea deplină a celorlalte drepturi garantate de RGPD persoanei vizate, menționate la punctele 64 și 65 din prezentele concluzii, și care decurg din exercitarea dreptului de acces(27). Din considerentul (63) al RGPD reiese că o persoană vizată trebuie să aibă posibilitatea de a‑și exercita cu ușurință și fără dificultate dreptul de acces la datele sale cu caracter personal.
56. De altfel, necesitatea ca comunicarea datelor să fie inteligibilă pentru a permite persoanei vizate să ia cunoștință pe deplin de acestea și să verifice dacă ele sunt exacte și sunt prelucrate în conformitate cu dreptul Uniunii în vederea exercitării drepturilor conferite de dreptul Uniunii a fost subliniată deja de Curte în jurisprudența sa referitoare la Directiva 95/46(28).
57. Cerința menționată mai sus privind caracterul inteligibil al datelor și al informațiilor menționate la articolul 15 alineatul (1) literele (a)-(h) din RGPD implică faptul că nu este exclus ca, în anumite cazuri, pentru a asigura că informațiile transmise persoanei vizate sunt pe deplin inteligibile, să fie necesar să i se furnizeze acesteia pasaje din documente sau chiar documente integrale sau extrase din baze de date. Cu toate acestea, analiza necesității de a furniza documente sau extrase pentru a asigura inteligibilitatea informațiilor transmise trebuie efectuată în mod inevitabil de la caz la caz, în funcție de tipul de date la care se referă cererea și de cerere în sine.
58. În această privință, trebuie totuși subliniat că eventuala comunicare a unor documente sau a unor extrase din acestea nu va constitui exercitarea unui drept autonom, în raport cu dreptul de acces, garantat de articolul 15 alineatul (3) prima teză din RGPD, ci numai o modalitate de transmitere a copiei datelor cu caracter personal prin care se urmărește garantarea deplinei inteligibilități a acestora. În această privință, observăm că, desigur, astfel cum au subliniat unele dintre persoanele interesate care au prezentat observații în fața Curții, în anumite cazuri, pentru a înțelege pe deplin datele cu caracter personal în cauză, este necesar să se cunoască contextul în care sunt prelucrate aceste date. Această considerație nu este însă de natură să confere persoanei vizate, în temeiul dispoziției în cauză, un drept generalizat de acces la copii ale unor documente sau ale unor extrase din baze de date.
59. În plus, dreptul de a obține o copie a datelor cu caracter personal este limitat de cerința, prevăzută în mod expres la articolul 15 alineatul (4) din RGPD, de a nu „aduce atingere drepturilor și libertăților altora”. Din această dispoziție rezultă că necesitatea de a asigura accesul deplin și complet al persoanei vizate la datele sale cu caracter personal prin furnizarea unei copii a acestor date nu poate merge până la a permite încălcarea drepturilor și libertăților altor persoane.
60. În această privință, observăm că alineatul (4) este formulat într‑un mod foarte general și lasă deschisă lista drepturilor și libertăților „altora” care pot echilibra exercitarea unui drept de acces deplin prin primirea unei copii a datelor cu caracter personal. Totuși, trebuie avut în vedere faptul că printre aceste drepturi se numără cu siguranță, astfel cum reiese în mod expres din considerentul (63) al RGPD, „[secretul] comercial sau [proprietatea intelectuală] și, în special, [drepturile] de autor care asigură protecția programelor software”, precum și dreptul la protecția datelor cu caracter personal ale unor terți, de exemplu în cazul în care un suport care conține datele cu caracter personal ale persoanei vizate conține de asemenea date cu caracter personal ale unor terți.
61. În cazul unui conflict între, pe de o parte, exercitarea dreptului de acces deplin și complet la datele cu caracter personal și, pe de altă parte, drepturile sau libertățile altora, trebuie găsit un echilibru între aceste drepturi. Atunci când este posibil, vor trebui alese modalități de comunicare a datelor cu caracter personal care nu încalcă drepturile sau libertățile altora, ținând seama de faptul că, astfel cum reiese din considerentul (63) al RGPD, aceste considerații nu trebuie totuși „să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate”.
62. Tot din punct de vedere contextual, trebuie arătat de asemenea că interpretarea articolului 15 alineatul (3) prima teză din RGPD în sensul că această dispoziție nu conferă un drept general de acces la copii ale unor documente sau la extrase din baze de date, cu excepția cazului în care acest lucru este necesar pentru a asigura inteligibilitatea datelor și a informațiilor furnizate, este de asemenea confirmată de faptul că dreptul de acces la documente, în special la documente administrative, este reglementat în mod expres de alte acte ale Uniunii(29) sau naționale care urmăresc alte obiective decât cele care garantează protecția datelor cu caracter personal(30).
63. În plus, interpretarea articolului 15 alineatul (3) prima teză din RGPD menționată la punctul anterior este confirmată de o analiză a finalităților acestei dispoziții în contextul dreptului de acces al persoanei vizate garantat de articolul 15 din RGPD.
64. Astfel cum reiese din considerentul (63) al RGPD și în special din prima teză a acestuia, dreptul de acces la datele cu caracter personal și la alte informații menționate la articolul 15 alineatul (1) literele (a)-(h) din RGPD are ca obiectiv, în primul rând, să permită persoanei vizate să fie informată cu privire la prelucrarea datelor sale și să verifice legalitatea acesteia(31).
65. Acest drept de acces este necesar, după cum, de altfel, Curtea a arătat deja, pentru a‑i permite persoanei vizate să își exercite dreptul de rectificare, dreptul de ștergere („dreptul de a fi uitat”) și dreptul de restricționare a prelucrării care îi sunt conferite la articolele 16, 17 și, respectiv, 18 din RGPD(32). Curtea a precizat de asemenea că dreptul de acces este necesar și pentru a‑i permite persoanei vizate să exercite dreptul de opoziție la prelucrarea datelor sale cu caracter personal prevăzut la articolul 21 din RGPD sau dreptul la o cale de atac în cazul în care suferă un prejudiciu și dreptul să obțină despăgubiri, în temeiul articolelor 79 și 82 din RGPD(33).
66. Rațiunea care stă la baza normei care conferă dreptul de a obține o copie a datelor cu caracter personal trebuie înțeleasă în contextul obiectivelor dreptului de acces la propriile date cu caracter personal și la celelalte informații. Scopul său este de a prevedea în mod explicit forma în care exercitarea efectivă a acestui drept este garantată persoanei vizate pentru a‑i permite acesteia să verifice caracterul corect și legalitatea prelucrării în scopul, dacă este cazul, al exercitării drepturilor suplimentare menționate la punctul 65 de mai sus. Obiectivul este de a garanta că datele cu caracter personal sunt furnizate persoanei vizate într‑o formă cât mai precisă și mai ușor de înțeles, care să îi permită să își exercite aceste drepturi, și anume sub forma unei copii și, prin urmare, a unei reproduceri fidele a datelor.
67. Din această perspectivă, eliberarea unei copii a documentului care conține aceste date sau a unui extras dintr‑o bază de date nu este întotdeauna și în fiecare caz esențială pentru realizarea obiectivului urmărit de legiuitor.
68. Numai în cazul în care eliberarea unei astfel de copii este esențială pentru a asigura deplina inteligibilitate a datelor cu caracter personal care fac obiectul prelucrării, persoana vizată va putea, în limitele stabilite la punctele 58-61 de mai sus, să obțină părți din documente sau, dacă este cazul, documente integrale sau extrase din bazele de date.
69. În acest context, arătăm de asemenea că, prin faptul că, spre deosebire de normele Directivei 95/46, prevede un drept real de a obține o copie a datelor, RGPD a urmărit să consolideze poziția persoanei vizate(34). Aceasta este o diferență semnificativă față de reglementarea anterioară, care s‑a limitat să prevadă la articolul 12 litera (a) a doua liniuță din directiva menționată doar „comunicarea într‑o formă inteligibilă a datelor care fac obiectul prelucrării”, lăsând astfel statelor membre sarcina de a stabili forma concretă pe care trebuia să o ia comunicarea datelor cu caracter personal, cu condiția ca aceasta să fie inteligibilă(35). Prin impunerea obligației operatorilor, prevăzută în prezent la articolul 15 alineatul (3) prima teză din RGPD, de a furniza o „copie” a datelor, forma pe care trebuie să o ia o astfel de comunicare, și anume forma „copiei” datelor, este stabilită în mod imperativ.
3. Concluzie cu privire la primele trei întrebări preliminare
70. Având în vedere ansamblul considerațiilor care precedă, trebuie să se răspundă la primele trei întrebări preliminare adresate de instanța de trimitere că articolul 15 alineatul (3) prima teză din RGPD trebuie interpretat în sensul că:
– noțiunea de „copie” prevăzută la această dispoziție trebuie înțeleasă ca o reproducere fidelă, într‑o formă inteligibilă, a datelor cu caracter personal solicitate de persoana vizată, într‑un format fizic și permanent, care permite persoanei vizate să își exercite în mod efectiv dreptul de acces la datele sale cu caracter personal, cunoscând pe deplin toate datele sale cu caracter personal care fac obiectul prelucrării, inclusiv orice alte date care pot fi generate în urma prelucrării, dacă fac de asemenea obiectul prelucrării, pentru a putea verifica exactitatea acestora și pentru a‑i permite să verifice corectitudinea și legalitatea prelucrării, astfel încât să poată exercita, dacă este cazul, drepturi suplimentare conferite de RGPD; forma exactă a copiei se stabilește în funcție de particularitățile fiecărui caz și în special de tipul de date cu caracter personal la care se solicită accesul și de nevoile persoanei vizate;
– această dispoziție nu conferă persoanei vizate un drept general de a obține o copie parțială sau integrală a documentului care conține datele cu caracter personal ale persoanei vizate sau, în cazul în care datele cu caracter personal sunt prelucrate într‑o bază de date, un extras din baza de date respectivă;
– această dispoziție nu exclude însă posibilitatea ca părți din documente, documente integrale sau extrase din bazele de date să trebuiască să fie furnizate persoanei vizate în cazul în care acest lucru este necesar pentru a asigura inteligibilitatea deplină a datelor cu caracter personal prelucrate în privința cărora se solicită accesul.
B. Cu privire la a patra întrebare preliminară
71. Prin intermediul celei de a patra întrebări, instanța de trimitere solicită Curții să stabilească dacă noțiunea de „informații” care figurează la articolul 15 alineatul (3) a treia teză din RGPD se referă numai la „[datele] cu caracter personal care fac obiectul prelucrării” menționate în prima teză a acestui alineat sau dacă include și informațiile menționate la articolul 15 alineatul (1) literele (a)-(h) [a patra întrebare litera a)] sau și alte informații, cum ar fi metadatele referitoare la date [a patra întrebare litera b)].
72. Pentru a răspunde la această întrebare, este necesară interpretarea noțiunii de „informații” care figurează la articolul 15 alineatul (3) a treia teză din RGPD, aplicând metodologia care rezultă din jurisprudența menționată la punctul 25 de mai sus.
73. Din această perspectivă, din punct de vedere literal, termenul „informații” pare prea general pentru a clarifica dacă se referă exclusiv la datele cu caracter personal menționate la articolul 15 alineatul (3) prima teză din RGPD sau dacă include alte tipuri de informații.
74. Cu toate acestea, din punct de vedere contextual, trebuie arătat că această a treia teză face parte din articolul 15 alineatul (3) din RGPD, care privește obligația operatorului de a furniza, la cererea persoanei vizate, o „copie a datelor cu caracter personal care fac obiectul prelucrării”. Structura alineatului (3) conduce, așadar, la concluzia că noțiunea de „informații” se referă la informațiile vizate de cererea la care trebuie furnizat un răspuns în temeiul primei teze a acestui alineat și, prin urmare, la cererea de a primi copii ale datelor cu caracter personal care fac obiectul prelucrării.
75. Această interpretare pare de asemenea conformă cu însuși obiectivul alineatului (3), care constă, astfel cum reiese din cuprinsul punctului 61 și următoarelor, în special din cuprinsul punctului 69 de mai sus, în a stabili forma pe care trebuie să o îmbrace comunicarea datelor cu caracter personal care fac obiectul prelucrării, și anume forma „copiei” datelor. Din această perspectivă, a treia teză a aceluiași alineat urmărește să reglementeze cazul specific în care cererea de obținere a unei copii a acestor date este formulată prin mijloace electronice.
76. Acestea fiind spuse, trebuie arătat de asemenea, în opinia noastră, că obligația de transparență care rezultă din articolul 12 alineatul (1) din RGPD, menționată la punctele 54 și 55 de mai sus, urmărește să garanteze că persoana vizată este în măsură să înțeleagă pe deplin informațiile care îi sunt transmise printre altele în aplicarea articolului 15 din RGPD, privit în ansamblu, care impune ca, atunci când o cerere de acces prevăzută la articolul 15 alineatul (1) din RGPD este introdusă în format electronic, informațiile menționate la literele (a)-(h) să fie furnizate și într‑un format electronic utilizat în mod curent, care să permită persoanei vizate să ia cunoștință de acestea pe deplin, cu ușurință și fără dificultate. În cazul în care formatul electronic care conține astfel de informații nu este utilizat în mod curent, acest lucru ar putea face extrem de dificilă sau costisitoare cunoașterea acestor informații, cu încălcarea acestei cerințe de transparență.
77. În sfârșit, în ceea ce privește în mod specific a patra întrebare litera b), din faptul că articolul 15 alineatul (3) a treia teză din RGPD se referă la „cererea” persoanei vizate rezultă că noțiunea de „informații” care figurează în această dispoziție nu poate depăși ceea ce face tocmai obiectul cererii respective, și anume copia datelor cu caracter personal care fac obiectul prelucrării. Rezultă că noțiunea de „informații” utilizată în această dispoziție se referă exclusiv la astfel de date și nu poate include alte informații decât acestea și, cu siguranță, nu altele decât cele menționate la articolul 15 alineatul (1) literele (a)-(h) din RGPD. În caz contrar, domeniul de aplicare al dreptului de acces ar fi extins, ceea ce, după cum s‑a arătat de altfel deja la punctele 48-51 de mai sus, nu își găsește niciun fundament în RGPD.
78. În opinia noastră, din toate cele de mai sus rezultă că trebuie să se răspundă la a patra întrebare adresată de instanța de trimitere că noțiunea de „informații” care figurează la articolul 15 alineatul (3) a treia teză din RGPD trebuie interpretată în sensul că se referă exclusiv la „[copia] datelor cu caracter personal care fac obiectul prelucrării” menționată la prima teză a acestui alineat.
IV. Concluzie
79. Având în vedere ansamblul considerațiilor care precedă, propunem Curții să răspundă la întrebările preliminare adresate de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) după cum urmează:
„Articolul 15 alineatul (3) prima teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că
noțiunea de «copie» prevăzută la această dispoziție trebuie înțeleasă ca o reproducere fidelă, într‑o formă inteligibilă, a datelor cu caracter personal solicitate de persoana vizată, într‑un format fizic și permanent, care permite persoanei vizate să își exercite în mod efectiv dreptul de acces la datele sale cu caracter personal, cunoscând pe deplin toate datele sale cu caracter personal care fac obiectul prelucrării, inclusiv orice alte date care pot fi generate în urma prelucrării, dacă fac de asemenea obiectul prelucrării, pentru a putea verifica exactitatea acestora și pentru a‑i permite să verifice corectitudinea și legalitatea prelucrării, astfel încât să poată exercita, dacă este cazul, drepturi suplimentare conferite de RGPD; forma exactă a copiei se stabilește în funcție de particularitățile fiecărui caz și în special de tipul de date cu caracter personal la care se solicită accesul și de nevoile persoanei vizate;
această dispoziție nu conferă persoanei vizate un drept general de a obține o copie parțială sau integrală a documentului care conține datele cu caracter personal ale acestei persoane sau, în cazul în care datele cu caracter personal sunt prelucrate într‑o bază de date, un extras din baza de date respectivă;
această dispoziție nu exclude însă posibilitatea ca părți din documente, documente integrale sau extrase din bazele de date să trebuiască să fie furnizate persoanei vizate în cazul în care acest lucru este necesar pentru a asigura inteligibilitatea deplină a datelor cu caracter personal prelucrate în privința cărora se solicită accesul.
Noțiunea de «informații» prevăzută la articolul 15 alineatul (3) a treia teză din Regulamentul 2016/679
trebuie interpretată în sensul că
se referă exclusiv la «[copia] datelor cu caracter personal care fac obiectul prelucrării» menționată la prima teză a acestui alineat.”