FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
GIOVANNI PITRUZZELLA
föredraget den 15 december 2022 (1)
Mål C‑487/21
F.F.
ytterligare deltagare i rättegången:
Österreichische Datenschutzbehörde,
CRIF GmbH
(begäran om förhandsavgörande från Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike))
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 15.3 – Den registrerades rätt till tillgång till personuppgifter som är under behandling – Rätten att erhålla en kopia av personuppgifterna – Begreppet kopia – Begreppet information”
1. Vilket innehåll och vilken räckvidd har den rätt som tillerkänns den registrerade, som får tillgång till sina personuppgifter som är under behandling, att erhålla en kopia av dessa uppgifter i enlighet med artikel 15.3 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)(2) (nedan kallad dataskyddsförordningen)? Vilken betydelse har ordet kopia och vilket är förhållandet mellan denna rätt att erhålla en kopia av de personuppgifter som är under behandling och rätten till tillgång enligt artikel 15.1?
2. Dessa är i korthet de huvudfrågor som ställs i förevarande mål som gäller en begäran om förhandsavgörande från Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) angående tolkningen av artikel 15.3 i dataskyddsförordningen.
3. Denna begäran om förhandsavgörande har uppkommit inom ramen för en tvist mellan F.F. och Österreichische Datenschutzbehörde (den österrikiska dataskyddsmyndigheten) som rör lagligheten av denna sistnämnda myndighets avslag på F.F.:s begäran att ålägga ett kreditupplysningsföretag, som hade behandlat hans personuppgifter, att överlämna dokument och utdrag ur en databas som innehåller ovannämnda personuppgifter.
4. Genom förevarande mål ges domstolen möjlighet att för första gången tolka artikel 15.3 i dataskyddsförordningen och att precisera villkoren för utövandet av registrerade personers rätt till tillgång till sina egna personuppgifter som är under behandling, enligt artikel 15 i dataskyddsförordningen.
I. Tillämpliga bestämmelser
5. I skäl 63 i dataskyddsförordningen anges följande:
”Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. Detta innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner. Alla registrerade bör därför ha rätt att få kännedom och underrättelse om framför allt orsaken till att personuppgifterna behandlas, om möjligt vilken tidsperiod behandlingen pågår, vilka som mottar personuppgifterna, bakomliggande logik i samband med automatisk behandling av personuppgifter och, åtminstone när behandlingen bygger på profilering, konsekvenserna av sådan behandling. Om möjligt bör den personuppgiftsansvarige kunna ge fjärråtkomst till ett säkert system genom vilket den registrerade kan få direkt åtkomst till sina personuppgifter. Denna rätt bör inte inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. Resultatet av dessa överväganden bör dock inte bli att den registrerade förvägras all information. …”
6. I artikel 4.1 och 4.2 i dataskyddsförordningen fastställs följande:
”I denna förordning avses med
1) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2) behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.”
7. I artikel 12.1 i dataskyddsförordningen, under rubriken ”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”, föreskrivs följande:
”Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt.”
8. I artikel 15 i dataskyddsförordningen med rubriken ”Den registrerades rätt till tillgång” fastställs följande:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:
a) Ändamålen med behandlingen.
b) De kategorier av personuppgifter som behandlingen gäller.
c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer.
d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling.
f) Rätten att inge klagomål till en tillsynsmyndighet.
g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig information om varifrån dessa uppgifter kommer.
h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
…
3. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat.
4. Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.”
II. De faktiska omständigheterna, det nationella målet och tolkningsfrågorna
9. CRIF GmbH är ett kreditupplysningsföretag som på sina kunders begäran tillhandahåller information om tredje parters kreditvärdighet. CRIF GmbH behandlade i detta syfte personuppgifter om F.F., som är klagande i det nationella målet.
10. Den 20 december 2018 vände sig F.F. till detta kreditupplysningsföretag för att med stöd av artikel 15 i dataskyddsförordningen bland annat få information om sina personuppgifter som var under behandling. F.F. bad särskilt om att erhålla en kopia av dessa uppgifter i ett allmänt använt tekniskt format.
11. Till följd av denna begäran gav kreditupplysningsföretaget delvis tillgång till de begärda uppgifterna i sammanställd form, varvid det, å ena sidan, återgav de uppgifter som lagrats om F.F. i en tabell uppdelade efter namn, födelsedatum, gata, postnummer och ort och, å andra sidan, återgav en översikt över funktioner inom näringslivet och som firmatecknare. Andra handlingar såsom e-postmeddelanden eller utdrag ur databaser lämnades inte ut.
12. Den 16 januari 2019 lämnade F.F. in ett klagomål till Österreichische Datenschutzbehörde (den österrikiska dataskyddsmyndigheten) och anförde att hans begäran om tillgång till uppgifter besvarats bristfälligt. Enligt hans uppfattning borde den personuppgiftsansvarige ha skickat honom en kopia av samtliga dokument, inklusive e-postmeddelanden och utdrag ur databaser som innehöll hans personuppgifter.
13. Genom beslut av den 11 september 2019 avslog ovannämnda myndighet klagomålet med motiveringen att den personuppgiftsansvarige inte hade åsidosatt F.F.:s rätt till tillgång till sina personuppgifter.
14. Den hänskjutande domstolen, vid vilken talan har väckts mot ovannämnda beslut, hyser tvivel vad beträffar räckvidden av den registrerades rätt att erhålla en kopia av de personuppgifter som är under behandling, vilken stadgas i artikel 15.3 första meningen i dataskyddsförordningen.
15. Den hänskjutande domstolen ska avgöra huruvida tillhandahållandet av personuppgifterna om F.F. i form av en tabell och en översikt som ingick i kreditupplysningsföretagets svar på hans begäran att få tillgång till personuppgifterna uppfyllde kraven i artikel 15.3 i dataskyddsförordningen eller huruvida F.F. enligt denna bestämmelse hade rätt att erhålla en kopia av sina personuppgifter som var under behandling, inte i isolerad form, utan i form av kopior eller utdrag ur eventuell korrespondens och innehåll i databaser eller liknande.
16. För det första önskar den hänskjutande domstolen i detta sammanhang få klarhet i den exakta betydelsen av begreppet kopia av de personuppgifter som är under behandling, vilket återfinns i artikel 15.3 första meningen i dataskyddsförordningen.
17. För det andra önskar den hänskjutande domstolen få klarhet i huruvida artikel 15.3 i dataskyddsförordningen utgör ett specifikt uttryck för den allmänna rätten till tillgång enligt artikel 15.1 och fastställer på vilket sätt den registrerade ska få tillgång till sina personuppgifter som är under behandling, eller huruvida det i denna bestämmelse fastställs en egen, självständig rätt till fotokopior, faxmeddelanden, tabeller eller elektroniska utdrag ur databaser respektive till kopior av hela dokument och handlingar, i vilka den registrerades personuppgifter förekommer, som går utöver den rätt till tillgång som föreskrivs i artikel 15.1.
18. För det tredje, vid en restriktiv tolkning av artikel 15.3 första meningen i dataskyddsförordningen, enligt vilken det med begreppet kopia inte åsyftas någon rätt till översändande av fotokopior, dokument eller utdrag ur databaser, önskar den hänskjutande domstolen få klarhet i huruvida en personuppgiftsansvarig i det enskilda fallet och på grund av de olika slags uppgifter som kan behandlas samt kravet på transparens i artikel 12.1 i dataskyddsförordningen ändå kan vara skyldig att ställa delar av texter eller kopior av dokument till förfogande.
19. För det fjärde och sista önskar den hänskjutande domstolen få klarhet i huruvida begreppet information i artikel 15.3 tredje meningen i dataskyddsförordningen endast hänför sig till de ”personuppgifter som är under behandling” som anges i artikel 15.3 första meningen eller även omfattar informationen enligt artikel 15.1 a–h i dataskyddsförordningen eller även går ännu längre och exempelvis omfattar tillhörande metadata.
20. Mot denna bakgrund har Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) beslutat att vilandeförklara målet och hänskjuta följande tolkningsfrågor till domstolen för förhandsavgörande:
”1) Ska begreppet kopia i artikel 15.3 i [dataskyddsförordningen] tolkas så, att därmed avses en fotokopia, respektive ett faxmeddelande, eller en elektronisk kopia av en (elektronisk) uppgift, eller omfattar detta begrepp såsom det tolkas enligt tyska, franska och engelska ordböcker även en 'Abschrift', 'double' ('duplicata') eller 'transcript'?
2) Ska artikel 15.3 första meningen i dataskyddsförordningen, enligt vilken '[d]en personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling', tolkas så, att den medför en allmän rätt för den registrerade att erhålla en kopia – även – av hela dokument i vilka dennes personuppgifter behandlas, respektive att erhålla en kopia på ett utdrag ur en databas om personuppgifter behandlas i en sådan, eller är den registrerade enligt nämnda bestämmelse – endast – berättigad att erhålla en exakt återgivning av de personuppgifter som ska lämnas ut enligt artikel 15.1 i dataskyddsförordningen?
3) Om fråga 2 besvaras så, att den registrerade endast är berättigad att erhålla en exakt återgivning av de personuppgifter som ska lämnas ut enligt artikel 15.1 i dataskyddsförordningen, ska artikel 15.3 första meningen i dataskyddsförordningen då tolkas så, att det beroende på vilka slags uppgifter som behandlas [exempelvis med avseende på de diagnoser, undersökningsresultat och bedömningar till vilka hänvisas i skäl 63 [i dataskyddsförordningen] eller handlingar i samband med ett prov i den mening som avses i EU-domstolens dom (Nowak(3))] och kravet på transparens i artikel 12.1 i dataskyddsförordningen även kan krävas i det enskilda fallet att delar av texten eller hela dokument ställs till den registrerades förfogande?
4) Ska begreppet information, enligt artikel 15.3 tredje meningen i dataskyddsförordningen, som ska 'tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat', om den registrerade gör begäran i elektronisk form, tolkas så, att det endast omfattar 'de personuppgifter som är under behandling', till vilka hänvisas i artikel 15.3 första meningen?
a. Om fråga 4 besvaras nekande: Ska begreppet information, enligt artikel 15.3 tredje meningen i dataskyddsförordningen, som ska 'tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat', om den registrerade gör begäran i elektronisk form, tolkas så, att det även omfattar information enligt artikel 15.1 a–h i dataskyddsförordningen?
b. Om även fråga 4.a. besvaras nekande: Ska begreppet information, enligt artikel 15.3 tredje meningen i dataskyddsförordningen, som ska 'tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat', om den registrerade gör begäran i elektronisk form, tolkas så, att det utöver 'de personuppgifter som är under behandling' samt den information som anges i artikel 15.1 a–h i dataskyddsförordningen exempelvis omfattar tillhörande metadata?”
III. Rättslig bedömning
A. Den första, den andra och den tredje tolkningsfrågan
21. Den hänskjutande domstolen har ställt de första tre tolkningsfrågorna, som enligt min uppfattning ska prövas tillsammans, i syfte att EU-domstolen ska klargöra räckvidden av artikel 15.3 första meningen i dataskyddsförordningen, enligt vilken ”[d]en personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling”.
22. Den första frågan syftar till att fastställa den exakta betydelsen av begreppet kopia i denna bestämmelse. Den andra frågan syftar till att klargöra räckvidden av den registrerades rätt enligt denna bestämmelse. Den hänskjutande domstolen önskar framför allt få klarhet i huruvida denna bestämmelse ger rätt att erhålla en kopia även av dokument – eller av utdrag ur databaser – i vilka personuppgifter behandlas eller huruvida bestämmelsen begränsar sig till att endast ge rätt att erhålla en exakt återgivning av de personuppgifter som är under behandling. I det sistnämnda fallet syftar den tredje frågan till att få klarhet i huruvida det beroende på vilka slags uppgifter som behandlas och mot bakgrund av kravet på transparens emellertid kan vara nödvändigt i det enskilda fallet att även tillhandahålla delar av texter eller hela dokument.
23. Det framgår av beslutet att begära förhandsavgörande att räckvidden av artikel 15.3 första meningen i dataskyddsförordningen är en omtvistad fråga både i doktrinen och nationell rättspraxis, åtminstone i Österrike och Tyskland.(4) Det framgår av nämnda beslut att två synsätt ställs mot varandra: å ena sidan en restriktiv tolkning av den aktuella bestämmelsen enligt vilken bestämmelsen begränsar sig till att specificera villkoren för rätten till tillgång och inte innebär någon självständig rätt att erhålla dokument eller liknande och å andra sidan en extensiv tolkning enligt vilken denna bestämmelse däremot ger rätt att erhålla en kopia av dokument eller av andra databärare på vilka personuppgifter behandlas. Vid den sistnämnda tolkningen utgör rätten att erhålla en kopia av dokumenten en självständig rätt som är åtskild från rätten till tillgång enligt artikel 15.1 i dataskyddsförordningen. Att det råder olika meningar om räckvidden av den aktuella bestämmelsen bekräftas av den omständigheten att även de som har inkommit med yttranden till domstolen är oeniga i frågan.(5)
24. För att kunna besvara den hänskjutande domstolens första tre tolkningsfrågor ska det mot denna bakgrund göras en tolkning av artikel 15.3 första meningen i dataskyddsförordningen.
25. I detta sammanhang ska det erinras om att enligt fast rättspraxis ska vid tolkningen av en unionsbestämmelse inte bara lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i.(6)
26. Eftersom bestämmelserna i dataskyddsförordningen reglerar behandling av personuppgifter som kan innebära intrång i de grundläggande friheterna och då särskilt i rätten till privatliv, måste bestämmelserna i fråga med nödvändighet tolkas mot bakgrund av de grundläggande rättigheter som är stadfästa i stadgan.(7)
1. Bokstavlig analys
27. Vad framför allt gäller ordalydelsen i artikel 15.3 första meningen i dataskyddsförordningen ska det påpekas att denna bestämmelse ger den registrerade rätt att av den personuppgiftsansvarige erhålla ”en kopia av de personuppgifter som är under behandling”. Ur en bokstavlig synvinkel hänför sig denna ordalydelse till tre åtskilda begrepp, det vill säga begreppen ”kopia”, ”personuppgifter” och ”som är under behandling”.
28. För det första, vad gäller begreppet kopia, vars räckvidd specifikt är föremål för den första tolkningsfrågan, ska det påpekas att dataskyddsförordningen – såsom flera av dem som inkommit med yttranden har anfört – inte innehåller någon specifik definition av detta begrepp.
29. Enligt domstolens fasta praxis ska fastställandet av betydelsen av och räckvidden för sådana uttryck som inte definierats i unionsrätten ske i enlighet med deras normala betydelse i vanligt språkbruk, med beaktande av det sammanhang i vilket de används och de mål som eftersträvas med de föreskrifter som uttrycken ingår i.(8)
30. Ur en rent terminologisk synvinkel innebär ordet ”copia” i italienskt vanligt språkbruk en exakt återgivning eller avskrift av ett original.(9) En analys av de olika språkversionerna av dataskyddsförordningen visar att de flesta andra officiella unionsspråk använder det ord som motsvarar det italienska ordet ”copia” som till exempel ”copy” på engelska, ”Kopie” på tyska, ”copie” på franska eller ”copia” på spanska.(10)
31. Det stadgas dessutom uttryckligen i den aktuella bestämmelsen att den kopia som den personuppgiftsansvarige är skyldig att tillhandahålla den registrerade är en kopia av de ”personuppgifter” som är under behandling.
32. För det andra ska det i detta sammanhang påpekas att dataskyddsförordningen i motsats till vad som är fallet för ordet kopia innehåller en uttrycklig definition av begreppet personuppgifter i artikel 4.1, enligt vilken personuppgifter utgörs av ”varje upplysning som avser en identifierad eller identifierbar fysisk person”.
33. Räckvidden av begreppet personuppgifter som följer av denna definition är mycket omfattande. Det framgår i själva verket av domstolens praxis att användningen av uttrycket ”varje upplysning” inom ramen för denna definition avspeglar unionslagstiftarens målsättning att ge detta begrepp en vidsträckt innebörd.(11)
34. Det framgår vidare av rättspraxis att begreppet personuppgifter inte är avgränsat till känsliga upplysningar eller upplysningar av privat karaktär, utan kan innefatta samtliga upplysningar, såväl objektiva upplysningar som subjektiva upplysningar som lämnas i form av åsikter eller bedömningar, under förutsättning att upplysningarna ”avser” den registrerade. Detta villkor är uppfyllt när upplysningen på grund av sitt innehåll, syfte eller verkan är knuten till en bestämd person.(12)
35. En vidsträckt innebörd av begreppet personuppgifter är dessutom nödvändig med tanke på den mängd olika slags och former av personuppgifter det kan finnas och som kan ha rätt till skydd, samt mot bakgrund av de olika databärare som kan innehålla dessa uppgifter.
36. En genomgång av rättspraxis visar att domstolen anser att en mängd olika slags information om en identifierad eller identifierbar fysisk person ska omfattas av begreppet personuppgifter i artikel 4.1 i dataskyddsförordningen. Utöver den information som kommissionen i sitt yttrande definierar som ”vanliga uppgifter”, det vill säga personuppgifter såsom förnamn och efternamn(13), födelsedatum, nationalitet, kön, etnicitet, religion och språk som talas av en person som kan identifieras genom sitt namn(14), anser domstolen att begreppet personuppgifter omfattar annan slags information såsom exempelvis information som avser ett fordon som utbjuds till försäljning samt telefonnumret till säljaren av detta fordon(15), ett arbetstidsregister som avseende varje arbetstagare innehåller upplysningar om tidpunkterna för arbetstidens början och slut samt motsvarande uppehåll och raster(16), en bild av en person som registrerats av en kamera, för det fall och i den mån den gör det möjligt att identifiera den berörda personen(17), de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen och examinatorns anteckningar angående svaren(18) eller även information om prickning som avser en identifierad fysisk person(19).
37. Den vidsträckta innebörden av begreppet personuppgifter, enligt definitionen i artikel 4.1 i dataskyddsförordningen, som fastställs i rättspraxis och som är knuten till syftet med dataskyddsförordningen att säkra en hög skyddsnivå för fysiska personer vid behandling av personuppgifter(20), medför att detta begrepp och därmed rätten till tillgång till dessa uppgifter och att erhålla en kopia av dem inte är begränsat enbart till uppgifter som en personuppgiftsansvarig eventuellt förvärvar, bevarar och behandlar, utan även ska omfatta ytterligare uppgifter som den personuppgiftsansvarige eventuellt genererar till följd av behandlingen, för det fall även dessa är under behandling.
38. Om det till följd av behandlingen av en rad personuppgifter genereras ny information om en identifierad eller identifierbar person och för det fall denna information kan kvalificeras som personuppgifter enligt artikel 4.1 i dataskyddsförordningen ska därför rätten till tillgång till personuppgifter och att erhålla en kopia av dem enligt artikel 15.1 och 15.3 första meningen i dataskyddsförordningen enligt min uppfattning även omfatta dessa genererade uppgifter för det fall dessa uppgifter själva är under behandling. Rätten till tillgång till personuppgifter och att erhålla en kopia av dem omfattar i själva verket samtliga den registrerades personuppgifter som är under behandling.
39. Dessa överväganden är relevanta i ett fall som det som är aktuellt i det nationella målet där kreditupplysningsföretaget, baserat på uppgifter som har inhämtats från flera källor, tycks ha utarbetat en rekommendation med avseende på den registrerades kreditvärdighet och betalningsvilja utifrån en statistisk sannolikhet som är kopplad till en rad parametrar. En sådan rekommendation utgör enligt min uppfattning en upplysning som avser en identifierad person som därför omfattas av den vidsträckta innebörden av ”personuppgift” i den mening som avses i artikel 4.1 i dataskyddsförordningen och därmed även ligger inom ramen för rätten till tillgång enligt artikel 15.1 och 15.3 första meningen i dataskyddsförordningen.(21)
40. För det tredje, vad gäller orden ”som är under behandling” i artikel 15.3 första meningen i dataskyddsförordningen ska det påpekas att även begreppet behandling uttryckligen definieras i artikel 4.2 i dataskyddsförordningen.
41. Enligt denna bestämmelse utgör insamling, läsning, utlämning genom överföring samt tillhandahållande på annat sätt av personuppgifter ”behandling” i den mening som avses i förordningen. Vidare framgår det enligt rättspraxis av ordalydelsen i denna bestämmelse, bland annat av uttrycket ”tillhandahållande på annat sätt”, att unionslagstiftaren har haft för avsikt att ge begreppet ”behandling” en omfattande räckvidd. Denna tolkning stöds även av den omständigheten att uppräkningen av åtgärder i nämnda bestämmelse inte är uttömmande, vilket framgår av uttrycket ”såsom”.(22)
42. I detta sammanhang följer det av den omfattande räckvidden av begreppet behandling att artikel 15.3 första meningen ger den registrerade rätt att erhålla en kopia av sina personuppgifter som är föremål för någon åtgärd som kan kvalificeras som behandling. Denna bestämmelse ger dock i sig själv inte rätt att få någon annan specifik information om själva behandlingen av personuppgifterna än den som anges i artikel 15.1 i dataskyddsförordningen, vilket preciseras mer detaljerat i punkt 52 nedan.
43. Sammanfattningsvis framgår det av den bokstavliga analysen av artikel 15.3 första meningen i dataskyddsförordningen att denna bestämmelse ger den registrerade rätt att erhålla en kopia av sina personuppgifter, tolkade i vid mening, vilka är föremål för åtgärder som kan kvalificeras som behandling som utförs av den personuppgiftsansvarige.
44. Nämnda bokstavliga analys visar att en ”kopia av personuppgifterna” måste vara en exakt återgivning av personuppgifterna. De olika slags uppgifter som kan vara under behandling medför dock att en kopia av dessa uppgifter, beroende på vilka slags uppgifter som behandlas och typen av behandling, kan ha olika format, såsom tryckt format, ljud- eller videoupptagning, elektroniskt format eller andra format. Huvudsaken är att kopian av dessa uppgifter är en exakt återgivning och gör att den registrerade får full kännedom om samtliga uppgifter som är under behandling. En eventuell sammanställning av personuppgifter som är under behandling ska vara en exakt och begriplig återgivning av dess uppgifter och får dessutom inte på något sätt påverka innehållet i de uppgifter som ska tillhandahållas. Den omständigheten att den personuppgiftsansvarige, om möjligt, väljer att tillhandahålla en sammanställning av de personuppgifter som är under behandling kan därför inte motivera att vissa uppgifter utelämnas, inte tillhandahålls i sin helhet eller inte avspeglar de faktiska förhållandena i samband med behandlingen.
45. Den aktuella bestämmelsen garanterar vidare den registrerade rätt att erhålla en kopia av samtliga sina personuppgifter som är under behandling och därmed inte enbart av förvärvade uppgifter utan även av eventuella personuppgifter som den personuppgiftsansvarige genererar och behandlar. I den mån denna bestämmelse enbart hänför sig till en kopia av personuppgifterna får emellertid kopian inte utgöra grund för en rätt att få tillgång till information som inte kan kvalificeras som personuppgifter. Vidare ger bestämmelsen inte heller – nödvändigtvis – en rätt att få en kopia av dokument eller andra databärare som innehåller personuppgifter.
46. Dessa överväganden ska dessutom kompletteras med analysen av det sammanhang i vilket denna bestämmelse ingår samt de mål som eftersträvas med rätten till tillgång enligt artikel 15 i dataskyddsförordningen.
2. Kontextuell och teleologisk analys
47. Vad gäller det sammanhang i vilket den aktuella bestämmelsen ingår ska det framför allt påpekas att bestämmelsen återfinns i artikel 15 i dataskyddsförordningen, som reglerar den registrerades rätt, gentemot den personuppgiftsansvarige, att få tillgång till personuppgifter som rör honom eller henne och som är under behandling. Den bestämmelsen ger uttryck för och specificerar var och ens rätt att få tillgång till uppgifter som rör honom eller henne, vilken slås fast i artikel 8.2 andra meningen i Europeiska unionens stadga om de grundläggande rättigheterna.(23)
48. Vad beträffar uppbyggnaden av artikel 15 i dataskyddsförordningen har den registrerade enligt artikel 15.1 rätt att av den personuppgiftsansvarige få bekräftelse på att de personuppgifter som rör honom eller henne håller på att behandlas och att i detta fall få tillgång till dessa uppgifter och den information som anges i artikel 15.1 a–h. Denna bestämmelse ger därmed uttryck för rätten till tillgång till personuppgifter och tillhörande information och definierar det exakta föremålet med och tillämpningsområdet för rätten till tillgång.
49. I artikel 15.3 i dataskyddsförordningen preciseras det i stället hur denna rätt ska utövas och specificeras bland annat i vilken form den personuppgiftsansvarige ska tillhandahålla personuppgifterna till den registrerade, det vill säga i form av en kopia och således genom en exakt återgivning av uppgifterna.
50. Det följer av den ovan beskrivna uppbyggnaden av artikel 15 i dataskyddsförordningen, samt av behovet av att artikel 15.1 och 15.3 tolkas på ett enhetligt sätt, att artikel 15.3 inte definierar – och därför varken kan ändra eller utvidga – föremålet med och tillämpningsområdet för rätten till tillgång som artikel 15.1 ger uttryck för. Artikel 15.3 kan därför inte utvidga räckvidden av den personuppgiftsansvariges skyldighet att ge tillgång till information. Uppbyggnaden av den aktuella artikeln bekräftar därför att artikel 15.3 inte kan utgöra grunden för en eventuell självständig rätt för den registrerade att erhålla information som går utöver den information som anges i artikel 15.1.
51. I detta hänseende är jag enig med den österrikiska dataskyddsmyndigheten när den gör gällande att det skulle vara i strid med artikel 8.2 i stadgan att tolka artikel 15.3 första meningen i dataskyddsförordningen på så sätt denna bestämmelse tillåter att tillämpningsområdet för den information som en registrerad ska ha tillgång till kan utvidgas till att omfatta annan information utöver den som rör den registrerades personuppgifter.
52. Ovanstående analys bekräftar det ovan i punkt 44 anförda övervägandet, enligt vilket artikel 15.3 första meningen i dataskyddsförordningen inte ger någon självständig rätt till en kopia av dokument eller andra databärare som innehåller personuppgifter. Vidare bekräftar ovanstående analys även den ovan i punkt 42 genomförda analysen, enligt vilken nämnda bestämmelse inte ger den registrerade rätt att erhålla någon annan information om behandlingen av personuppgifter än den som fastställs i artikel 15.1 i dataskyddsförordningen(24), såsom exempelvis information om kriterier, modeller, regler eller interna förfaranden (för beräkning eller annat) som används för behandling av personuppgifter. Denna information omfattas i övrigt ofta av immateriell äganderätt som ska skyddas i detta sammanhang, vilket uttryckligen framgår av skäl 63 femte meningen. Detta påverkar dessutom inte det faktum, vilket framgår av skäl 60 i dataskyddsförordningen, att den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang. Det ska vidare erinras om att det finns specifika regler i fråga om automatiserade beslutsprocesser, inklusive profilering.(25)
53. Sett ur ett kontextuellt perspektiv ska artikel 15.3 första meningen i dataskyddsförordningen även tolkas mot bakgrund av övriga relevanta bestämmelser i dataskyddsförordningen. Utöver definitionerna enligt artikel 4.1 och 4.2 i dataskyddsförordningen, som har analyserats ovan i punkterna 32 och 41, är särskilt artikel 12.1 i dataskyddsförordningen relevant, som den hänskjutande domstolen hänvisar till i sin tredje tolkningsfråga.
54. Det fastställs i denna bestämmelse att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses, bland annat, i artikel 15 i dataskyddsförordningen i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt.
55. Denna bestämmelse, som ger uttryck för öppenhetsprincipen(26), syftar till att garantera att den registrerade fullt ut ska kunna förstå den information som lämnas till honom eller henne. Att denna information är fullt begriplig är i själva verket nödvändigt för att göra det möjligt att i praktiken utöva de rättigheter till tillgång som stadgas i artikel 15 i dataskyddsförordningen. Vidare utgör det förutsättningen för att till fullo kunna utöva de andra rättigheter som den registrerade är garanterad enligt dataskyddsförordningen, vilka följer efter utövandet av rätten till tillgång och nämns i punkterna 64 och 65 i detta förslag till avgörande.(27) Det framgår vidare av skäl 63 i dataskyddsförordningen att en registrerad ska ha rätt att lätt och utan svårighet utöva rätten till tillgång till sina personuppgifter.
56. Domstolen slog redan i sin praxis med avseende på direktiv 95/46 fast att det är nödvändigt att tillhandahållandet av uppgifter sker i en begriplig form som gör det möjligt för den registrerade att få full kännedom om dessa uppgifter och kontrollera att de är korrekta och att de behandlas på ett sätt som är förenligt med unionsrätten i syfte att den registrerade ska kunna utöva de rättigheter som tillförsäkras honom eller henne.(28)
57. Ovannämnda behov av att de uppgifter och den information som anges i artikel 15.1 a–h i dataskyddsförordningen är begripliga medför att det inte är uteslutet att det i vissa fall, för att garantera att den registrerade till fullo förstår den information som lämnas till honom eller henne, är nödvändigt att tillhandahålla delar av dokument eller till och med hela dokument eller utdrag ur databaser. Analysen med avseende på nödvändigheten av att tillhandahålla dokument eller utdrag för att kunna garantera att den lämnade informationen är begriplig ska hursomhelst genomföras från fall till fall beroende på vilka slags uppgifter som begäran avser och själva begäran.
58. I detta sammanhang ska det emellertid understrykas att ett eventuellt tillhandahållande av dokument eller utdrag ur dessa inte utgör utövande av en självständig rätt – i förhållande till rätten till tillgång – som stadgas i artikel 15.3 första meningen i dataskyddsförordningen, utan enbart ett sätt att överlämna en kopia med personuppgifter i syfte att garantera att personuppgifterna är fullt begripliga. I detta avseende vill jag påpeka att det visserligen, vilket några av dem som har inkommit med yttranden till domstolen har anfört, i vissa fall för att kunna få en full förståelse av de aktuella personuppgifterna är nödvändigt känna till det sammanhang i vilket dessa uppgifter behandlas. Detta övervägande är emellertid inte av en sådan art att det mot bakgrund av den aktuella bestämmelsen ger den registrerade någon allmän rätt till tillgång till kopior av dokument eller utdrag ur databaser.
59. Rätten att erhålla en kopia av personuppgifterna begränsas vidare av behovet av att inte ”inverka menligt på andras rättigheter och friheter”, vilket uttryckligen föreskrivs i artikel 15.4 i dataskyddsförordningen. Det följer av denna bestämmelse att behovet av att garantera den registrerade full och oinskränkt tillgång till sina personuppgifter, genom att det tillhandahålls en kopia av dessa, inte får gå så långt att det kan inverka menligt på andras rättigheter och friheter.
60. I detta hänseende vill jag påpeka att artikel 15.4 är formulerad i ganska allmänna termer och lämnar listan öppen över ”andras” rättigheter och friheter som kan avvägas mot utövandet av en rätt till full tillgång genom mottagande av en kopia med personuppgifter. Det kan emellertid antas, vilket uttryckligen framgår av skäl 63 i dataskyddsförordningen, att dessa rättigheter definitivt omfattar ”affärshemligheter eller immateriell äganderätt och särskilt … upphovsrätt som skyddar programvaran” samt rätten att skydda en tredje parts personuppgifter, såsom i en situation där en databärare som innehåller den registrerades personuppgifter även innehåller en tredje parts personuppgifter.
61. I händelse av motstridighet mellan å ena sidan utövandet av rätten till full och oinskränkt tillgång till personuppgifter och å andra sidan andras rättigheter och friheter ska det göras en avvägning mellan de aktuella rättigheterna. I möjligaste mån ska de former för tillhandahållande av personuppgifter väljas som inte inverkar menligt på andras rättigheter och friheter med beaktande av att, vilket framgår av skäl 63 i dataskyddsförordningen, resultatet av dessa överväganden dock inte bör ”bli att den registrerade förvägras all information”.
62. Sett ur ett kontextuellt perspektiv ska det vidare påpekas att en tolkning av artikel 15.3 första meningen i dataskyddsförordningen enligt vilken denna bestämmelse inte ger någon allmän rätt att få tillgång till kopior av dokument eller utdrag ur databaser, om det inte är nödvändigt för att garantera att de tillhandahållna uppgifterna och den tillhandahållna informationen är fullt begripliga, även bekräftas av det faktum att rätten till tillgång till dokument, och i synnerhet administrativa handlingar, uttryckligen regleras av andra unionsrättsakter(29) eller nationella rättsakter som eftersträvar andra mål än dem som garanterar skyddet av personuppgifter(30).
63. Den tolkning av artikel 15.3 första meningen i dataskyddsförordningen som nämns i föregående punkt bekräftas vidare av en analys av målen med denna bestämmelse inom ramen för den registrerades rätt till tillgång enligt artikel 15 i dataskyddsförordningen.
64. Det framgår av skäl 63 i dataskyddsförordningen, och i synnerhet av den första meningen, att den registrerades rätt till tillgång till sina personuppgifter och till övrig information som anges i artikel 15.1 a–h i dataskyddsförordningen framför allt syftar till att möjliggöra för den registrerade att vara medveten om behandlingen av sina egna uppgifter och kontrollera att den är laglig.(31)
65. Denna rätt att få tillgång är nödvändig, såsom domstolen för övrigt redan har funnit, för att möjliggöra för den registrerade att utöva en rad andra rättigheter i enlighet med dataskyddsförordningen, däribland den rätt till rättelse, rätt till radering (”rätten att bli bortglömd”) och rätt till begränsning av behandling som den registrerade ges i artiklarna 16, 17 respektive 18 i dataskyddsförordningen.(32) Domstolen har även slagit fast att rätten att få tillgång dessutom är nödvändig för att möjliggöra för den registrerade att utöva den rätt att göra invändningar mot behandlingen av dennes personuppgifter som avses i artikel 21 i dataskyddsförordningen eller rätten att föra talan till följd av skada, i enlighet med artiklarna 79 och 82 i den förordningen.(33)
66. Det är mot bakgrund av målen med rätten till tillgång till sina egna personuppgifter och övrig information som syftet med bestämmelsen som ger rätt att erhålla en kopia av personuppgifterna ska tolkas. Bestämmelsen syftar till att uttryckligen fastställa i vilken form det faktiska utövandet av denna rätt ska garanteras så att den registrerade kan försäkra sig om att dennes personuppgifter behandlas korrekt och lagenligt för att, i förekommande fall, kunna utöva de ytterligare rättigheter som nämns ovan i punkt 65. Målet är att personuppgifterna ska tillhandahållas den registrerade i den form som är så korrekt och begriplig som möjligt så att denne kan utöva dessa rättigheter, det vill säga i form av en kopia och därmed en exakt återgivning av uppgifterna.
67. Sett ur detta perspektiv tycks utlämningen av en kopia av det dokument som innehåller dessa uppgifter eller av ett utdrag ur en databas inte alltid och under alla omständigheter vara nödvändigt för att uppnå det mål som eftersträvas av lagstiftaren.
68. Det är endast när utlämningen av en sådan kopia är nödvändig för att garantera att de personuppgifter som är under behandling är fullständigt begripliga som den registrerade, inom de gränser som anges ovan i punkterna 58–61, kan erhålla delar av eller eventuellt hela dokument eller utdrag ur databaser.
69. I detta sammanhang vill jag även påpeka att, när dataskyddsförordningen i motsättning till regelverket i direktiv 95/46 föreskriver en verklig rätt att erhålla en kopia av uppgifterna, syftar dataskyddsförordningen till att stärka den registrerades ställning.(34) Det rör sig i själva verket om en väsentlig skillnad jämfört med den tidigare gällande bestämmelsen, eftersom det i artikel 12 a andra strecksatsen i nämnda direktiv enbart föreskrevs att den registrerade skulle ”få begriplig information om vilka uppgifter som behandlas” och således överlämnades det åt medlemsstaterna att bestämma i vilken konkret materiell form personuppgifterna skulle lämnas, så länge som den var begriplig.(35) Genom att de personuppgiftsansvariga åläggs att tillhandahålla en ”kopia” av uppgifterna, vilket numera föreskrivs i artikel 15.3 första meningen i dataskyddsförordningen, fastställs det i stället på ett tvingande sätt i vilken form denna information ska lämnas, det vill säga i form av en ”kopia” av uppgifterna.
3. Slutsats om de första tre tolkningsfrågorna
70. Mot bakgrund av samtliga ovanstående överväganden anser jag att de första tre tolkningsfrågorna från den hänskjutande domstolen ska besvaras med att artikel 15.3 första meningen i dataskyddsförordningen ska tolkas på följande sätt:
– Begreppet kopia i denna bestämmelse ska tolkas som en exakt återgivning i en fysisk och permanent begriplig form av de personuppgifter som den registrerade har begärt tillgång till så att denne effektivt kan utöva rätten till tillgång till sina personuppgifter och få full kännedom om alla sina personuppgifter som är under behandling – inklusive de ytterligare uppgifter som eventuellt har genererats, för det fall även dessa är under behandling – för att kunna kontrollera uppgifternas korrekthet, vilket innebär att den registrerade kan försäkra sig om att dennes personuppgifter behandlas korrekt och lagenligt för att, i förekommande fall, kunna utöva de ytterligare rättigheter dataskyddsförordningen ger den registrerade. Kopians exakta form bestäms utifrån de specifika förhållandena i varje enskild situation och närmare bestämt vilka slags personuppgifter det begärs tillgång till och den registrerades behov.
– Denna bestämmelse innebär inte någon allmän rätt för den registrerade att erhålla en delvis eller fullständig kopia av det dokument som innehåller den registrerades personuppgifter eller ett utdrag ur en databas om personuppgifter behandlas i en sådan.
– Denna bestämmelse utesluter emellertid inte att det kan vara nödvändigt att tillhandahålla delar av dokument, hela dokument eller utdrag ur databaser till den registrerade när detta krävs för att garantera att de personuppgifter som är under behandling och som det begärs tillgång till är fullständigt begripliga.
B. Den fjärde tolkningsfrågan
71. Den hänskjutande domstolen har ställt den fjärde frågan för att få klarhet i huruvida begreppet information i artikel 15.3 tredje meningen i dataskyddsförordningen enbart hänför sig till de ”personuppgifter som är under behandling” som anges i artikel 15.3 första meningen eller huruvida detta begrepp även omfattar informationen enligt artikel 15.1 a–h (tolkningsfråga 4.a) eller även omfattar annan information, såsom exempelvis tillhörande metadata (tolkningsfråga 4.b).
72. För att kunna besvara denna fråga är det nödvändigt att tolka ordet information i artikel 15.3 tredje meningen i dataskyddsförordningen, genom att tillämpa den metod som framgår av den rättspraxis som nämns ovan i punkt 25.
73. Sett ur detta perspektiv tycks ordet information ur en bokstavlig synvinkel vara alltför generiskt för att kunna fastställa om det enbart hänför sig till de personuppgifter som anges i artikel 15.3 första meningen i dataskyddsförordningen eller om det även omfattar annan slags information.
74. Sett ur ett kontextuellt perspektiv ska det emellertid påpekas att ovannämnda tredje mening återfinns i artikel 15.3 i dataskyddsförordningen som avser den personuppgiftsansvariges skyldighet att på den registrerades begäran tillhandahålla en ”kopia av de personuppgifter som är under behandling”. Uppbyggnaden av artikel 15.3 leder därför till antagandet att ordet information enbart hänför sig till den information som är föremål för den begäran som ska uppfyllas i enlighet med artikel 15.3 första meningen, närmare bestämt begäran att erhålla en kopia av de personuppgifter som är under behandling.
75. Denna tolkning tycks även vara i linje med målsättningen med artikel 15.3, som framgår av punkt 61 och följande punkter, särskilt punkt 69 ovan, vilket är att bestämma i vilken form de personuppgifter som är under behandling ska lämnas, det vill säga i form av en ”kopia” av uppgifterna. Sett ur detta perspektiv är syftet med artikel 15.3 tredje meningen att reglera det specifika tillfälle då begäran att erhålla en kopia av dessa uppgifter görs i elektronisk form.
76. Det ska dessutom enligt min uppfattning påpekas att kravet på transparens enligt artikel 12.1 i dataskyddsförordningen – som nämns ovan i punkterna 54 och 55 och vars syfte är att garantera att den registrerade till fullo förstår den information som lämnas till honom eller henne, bland annat genom tillämpning av artikel 15 i dataskyddsförordningen – beaktat i sin helhet föreskriver att för det fall en begäran om tillgång enligt artikel 15.1 i dataskyddsförordningen görs i elektroniskt format ska även den information som anges i artikel 15.3 a–h tillhandahållas i ett elektroniskt format som är allmänt använt och som gör att den registrerade lätt och utan svårighet kan få full kännedom om den. Tillhandahållande av information i ett elektroniskt format som inte är allmänt använt kan i själva verket göra det mycket svårt eller kostsamt att få kännedom om denna information, vilket strider mot ovannämnda krav på transparens.
77. Vad gäller avslutningsvis specifikt tolkningsfråga 4.b kan det utifrån den omständigheten att artikel 15.3 tredje meningen i dataskyddsförordningen hänvisar till den registrerades ”begäran” härledas att begreppet information i denna bestämmelse inte får gå utöver det som exakt är föremålet för denna begäran, det vill säga en kopia av de personuppgifter som är under behandling. Av detta följer att ordet information som anges däri enbart hänvisar till dessa uppgifter och inte kan omfatta annan information än dessa uppgifter och under inga omständigheter ytterligare information utöver den i artikel 15.1 a–h i dataskyddsförordningen. I annat fall skulle räckvidden av rätten till tillgång utökas, vilket – såsom redan påpekats ovan i punkterna 48–51 – inte finner något stöd i dataskyddsförordningen.
78. Av vad som anförts ovan följer enligt min uppfattning att den fjärde tolkningsfrågan från den hänskjutande domstolen ska besvaras med att begreppet information enligt artikel 15.3 tredje meningen i dataskyddsförordningen ska tolkas på så sätt att det enbart hänför sig till en ”kopia av de personuppgifter som är under behandling” enligt artikel 15.3 första meningen.
IV. Förslag till avgörande
79. Mot bakgrund av samtliga ovanstående överväganden föreslår jag att domstolen besvarar tolkningsfrågorna från Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) på följande sätt:
Artikel 15.3 första meningen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas enligt följande:
Begreppet kopia i denna bestämmelse ska förstås som en exakt återgivning i en fysisk och permanent begriplig form av de personuppgifter som den registrerade har begärt tillgång till så att denne effektivt kan utöva rätten till tillgång till sina personuppgifter och få full kännedom om alla sina personuppgifter som är under behandling – inklusive de ytterligare uppgifter som eventuellt genereras efter behandlingen, för det fall även dessa är under behandling – för att kunna kontrollera uppgifternas korrekthet och kunna försäkra sig om att dennes personuppgifter behandlas korrekt och lagenligt för att, i förekommande fall, kunna utöva de ytterligare rättigheter dataskyddsförordningen ger den registrerade. Kopians exakta form bestäms utifrån de specifika omständigheterna i varje enskilt fall och närmare bestämt utifrån vilken typ av personuppgifter det begärs tillgång till och den registrerades behov.
Denna bestämmelse innebär inte någon allmän rätt för den registrerade att erhålla en kopia av delar av eller hela det dokument som innehåller den registrerades personuppgifter eller ett utdrag ur en databas för det fall personuppgifterna behandlas i en sådan.
Denna bestämmelse utesluter emellertid inte att det kan vara nödvändigt att tillhandahålla delar av dokument, hela dokument eller utdrag ur databaser till den registrerade när detta krävs för att garantera att de personuppgifter som är under behandling och som det begärs tillgång till är fullständigt begripliga.
Begreppet information enligt artikel 15.3 tredje meningen i förordning 2016/679
ska tolkas enligt följande:
Begreppet hänför sig enbart till en ”kopia av de personuppgifter som är under behandling” enligt artikel 15.3 första meningen.