SODBA SODIŠČA (prvi senat)
z dne 4. maja 2023(*)
„Predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih podatkov, ki se obdelujejo – Člen 15(3) – Zagotovitev kopije podatkov – Pojem ,kopija‘ – Pojem ,informacije‘“
V zadevi C‑487/21,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija) z odločbo z dne 9. avgusta 2021, ki je na Sodišče prispela 9. avgusta 2021, v postopku
F. F.
proti
Österreichische Datenschutzbehörde,
ob udeležbi
CRIF GmbH,
SODIŠČE (prvi senat),
v sestavi A. Arabadjiev, predsednik senata, P. G. Xuereb, T. von Danwitz, A. Kumin, sodniki in I. Ziemele (poročevalka), sodnica,
generalni pravobranilec: G. Pitruzzella,
sodni tajnik: A. Calot Escobar,
na podlagi pisnega postopka,
ob upoštevanju stališč, ki so jih predložili:
– za F. F. M. Schrems,
– za Österreichische Datenschutzbehörde A. Jelinek in M. Schmidl, agenta,
– za CRIF GmbH L. Feiler in M. Raschhofer, Rechtsanwälte,
– za avstrijsko vlado G. Kunnert, A. Posch in J. Schmoll, agenti,
– za češko vlado O. Serdula, M. Smolek in J. Vláčil, agenti,
– za italijansko vlado G. Palmieri, agentka, skupaj z M. Russo, avvocato dello Stato,
– za Evropsko komisijo A. Bouchagiar, M. Heller in H. Kranenborg, agenti,
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 15. decembra 2022
izreka naslednjo
Sodbo
1 Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 15 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2016, L 127, str. 2) (v nadaljevanju: SUVP).
2 Ta predlog je bil vložen v okviru spora med F. F. in Österreichische Datenschutzbehörde (avstrijski organ za varstvo podatkov, v nadaljevanju: DSB), ker ta družbi CRIF GmbH ni naložil, naj osebi F. F. posreduje kopijo dokumentov in izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo njene osebne podatke, ki se obdelujejo.
Pravni okvir
3 V uvodnih izjavah 10, 11, 26, 58, 60 in 63 SUVP je navedeno:
„(10) Za zagotovitev dosledne in visoke ravni varstva posameznikov ter odstranitev ovir za prenos osebnih podatkov v [Evropski uniji] bi morala biti raven varstva pravic in svoboščin posameznikov pri obdelavi osebnih podatkov enaka v vseh državah članicah. V vsej Uniji bi bilo treba zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov […].
(11) Za učinkovito varstvo osebnih podatkov po vsej Uniji je treba okrepiti pravice posameznikov, na katere se nanašajo osebni podatki, ter obveznosti tistih, ki obdelujejo osebne podatke in določajo obdelavo osebnih podatkov […]
[…]
(26) Načela varstva podatkov bi se morala uporabljati za vse informacije v zvezi z določenim ali določljivim posameznikom […] Pri ugotavljanju, ali je posameznik določljiv, bi bilo treba upoštevati vsa sredstva – kot je na primer izločitev – za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika […]
[…]
(58) Načelo preglednosti zahteva, da so vse informacije, ki se nanašajo na javnost ali posameznika, na katerega se nanašajo osebni podatki, jedrnate, lahko dostopne in lahko razumljive ter izražene v jasnem in preprostem jeziku […]
[…]
(60) Načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in njegovih namenih. Upravljavec bi moral posamezniku, na katerega se nanašajo osebni podatki, zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov. […]
[…]
(63) Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico dostopa do osebnih podatkov, ki so bili zbrani v zvezi z njim, in do enostavnega uresničevanja te pravice v razumnih časovnih presledkih, da bi se seznanil z obdelavo in preveril njeno zakonitost. […] Zato bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani, uporabnikih osebnih podatkov, o razlogih za morebitno avtomatsko obdelavo osebnih podatkov in, vsaj v primerih, kadar obdelava temelji na oblikovanju profilov, o posledicah take obdelave. Kadar je mogoče, bi upravljavec moral imeti možnost zagotoviti dostop na daljavo do varnega sistema, ki bi posamezniku, na katerega se nanašajo osebni podatki, omogočil neposreden dostop do njegovih osebnih podatkov. Ta pravica ne bi smela negativno vplivati na pravice ali svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, ter predvsem na avtorske pravice, ki ščitijo programsko opremo. […]“
4 Člen 4 ter uredbe določa:
„V tej uredbi:
1. ‚osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom […]; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
2. ‚obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih […];
[…]“
5 Člen 12 navedene uredbe, naslovljen „Pregledne informacije, sporočila in načini za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki“, določa:
„1. Upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene posebej otroku. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi. Na zahtevo posameznika, na katerega se nanašajo osebni podatki, se lahko informacije predložijo ustno, pod pogojem, da se identiteta posameznika, na katerega se nanašajo osebni podatki, dokaže z drugimi sredstvi.
[…]
3. Upravljavec informacije o ukrepih, sprejetih na zahtevo v skladu s členi 15 do 22, posamezniku, na katerega se nanašajo osebni podatki, zagotovi brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. […] Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, se informacije, kadar je mogoče, zagotovijo z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače.
[…]“
6 Člen 15 SUVP, naslovljen „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
(a) namene obdelave;
(b) vrste zadevnih osebnih podatkov;
(c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
(d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
(e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
(f) pravico do vložitve pritožbe pri nadzornem organu;
(g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
(h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
2. Kadar se osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo, ima posameznik, na katerega se nanašajo osebni podatki, pravico biti obveščen o ustreznih zaščitnih ukrepih v skladu s členom 46 v zvezi s prenosom.
3. Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju upravnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.
4. Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih.“
7 Člen 16 te uredbe, naslovljen „Pravica do popravka“, določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja popravi netočne osebne podatke v zvezi z njim. Posameznik, na katerega se nanašajo osebni podatki, ima ob upoštevanju namenov obdelave, pravico do dopolnitve nepopolnih osebnih podatkov, vključno s predložitvijo dopolnilne izjave.“
8 Člen 17 navedene uredbe, naslovljen „Pravica do izbrisa (,pravica do pozabe‘)“, v odstavku 1 določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati […]
[…]“
Spor o glavni stvari in vprašanja za predhodno odločanje
9 Družba CRIF je agencija za poslovno svetovanje, ki na zahtevo strank zagotavlja informacije o plačilni sposobnosti tretjih oseb. V tem okviru je obdelala osebne podatke tožeče stranke iz postopka v glavni stvari.
10 Zadnjenavedena je 20. decembra 2018 od družbe CRIF na podlagi člena 15 SUVP zahtevala dostop do osebnih podatkov, ki se nanašajo nanjo. Poleg tega je zahtevala predložitev kopije dokumentov, in sicer elektronske pošte in izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo njene podatke, „v običajni tehnični obliki“.
11 Družba CRIF je v odgovor na to zahtevo tožeči stranki iz postopka v glavni stvari v zbirni obliki posredovala seznam njenih osebnih podatkov, ki se obdelujejo.
12 Ker je tožeča stranka iz postopka v glavni stvari menila, da bi ji morala družba CRIF posredovati kopijo vseh dokumentov, ki vsebujejo njene podatke, kot so elektronska pošta in izvlečki iz podatkovnih zbirk, je pri DSB vložila pritožbo.
13 DSB je z odločbo z dne 11. septembra 2019 to pritožbo zavrnil, ker je menil, da družba CRIF ni kršila pravice tožeče stranke iz postopka v glavni stvari do dostopa do osebnih podatkov.
14 Predložitveno sodišče, ki odloča o tožbi tožeče stranke iz postopka v glavni stvari zoper to odločbo, se sprašuje o obsegu člena 15(3), prvi stavek, SUVP. Sprašuje se zlasti, ali je obveznost iz te določbe, da se zagotovi „kopija“ osebnih podatkov, izpolnjena, kadar upravljavec osebne podatke posreduje v obliki zbirne preglednice, ali pa ta obveznost vključuje tudi posredovanje izvlečkov iz dokumentov ali celotnih dokumentov in izvlečkov iz podatkovnih zbirk, v katerih so povzeti ti podatki.
15 Natančneje, to sodišče sprašuje, ali je v členu 15(3), prvi stavek, SUVP zgolj opredeljena oblika, v kateri je treba zagotoviti pravico do dostopa do informacij iz člena 15(1) te uredbe, ali pa je s prvonavedeno določbo posamezniku, na katerega se nanašajo osebni podatki, priznana samostojna pravica do dostopa do informacij v zvezi z okvirom, v katerem se obdelujejo podatki tega posameznika, v obliki kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo te podatke.
16 Predložitveno sodišče se poleg tega sprašuje, ali pojem „informacije“ iz člena 15(3), tretji stavek, SUVP zajema tudi informacije iz člena 15(1), od (a) do (h), te uredbe ali celo dodatne informacije, kot so metapodatki, povezani s podatki, ali pa zajema le „osebne podatke, ki se obdelujejo“ iz člena 15(3), prvi stavek, navedene uredbe.
17 V teh okoliščinah je Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1. Ali je treba pojem ,kopija‘ iz člena 15(3) [SUVP] razlagati tako, da je z njim mišljena fotokopija oziroma faksimile ali elektronska kopija (elektronskega) podatka ali pa ta pojem v skladu z opredelitvijo tega pojma iz nemških, francoskih in angleških slovarjev označuje tudi ,Abschrift‘, ,double‘ (,duplicata‘) ali ,transcript‘?
2. Ali je treba člen 15(3), prvi stavek, SUVP, v skladu s katerim ‚[u]pravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo‘, razlagati tako, da zajema splošno pravico posameznika, na katerega se nanašajo osebni podatki, do izročitve kopije – tudi – vseh dokumentov, v katerih so obdelani osebni podatki zadevnega posameznika, oziroma do izročitve kopije izvlečka iz podatkovne zbirke, če se osebni podatki obdelujejo v taki zbirki, ali tako, da določa – zgolj – pravico posameznika, na katerega se nanašajo osebni podatki, do z izvirnikom skladne reprodukcije podatkov, do katerih je treba v skladu s členom 15(1) SUVP omogočiti dostop?
3. Če je treba na drugo vprašanje odgovoriti tako, da ima posameznik, na katerega se nanašajo osebni podatki, le pravico do z izvirnikom skladne reprodukcije osebnih podatkov, do katerih je treba v skladu s členom 15(1) SUVP omogočiti dostop, ali je treba člen 15(3), prvi stavek, SUVP razlagati tako, da je ob upoštevanju vrste obdelovanih podatkov (na primer, če gre za diagnoze, izvide preiskav in ocene, ki so omenjene v uvodni izjavi 63 SUVP, ali tudi izpitno dokumentacijo v smislu sodbe Sodišča z dne 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994)) in zahteve po preglednosti iz člena 12(1) SUVP v posameznem primeru vendarle lahko potrebno, da se osebi, na katero se nanašajo osebni podatki, zagotovijo tudi odlomki besedila ali celotni dokumenti?
4. Ali je treba pojem ,informacije‘, ki jih je treba v skladu s členom 15(3), tretji stavek, SUVP posamezniku, na katerega se nanašajo osebni podatki, kadar ta zahtevo predloži z elektronskimi sredstvi, ,zagotovi[ti] v elektronski obliki, ki je splošno uporabljana‘, če ,ne zahteva drugače‘, razlagati tako, da so s tem mišljeni le ,osebn[i] podatk[i], ki se obdelujejo‘, iz člena 15(3), prvi stavek, navedene uredbe?
(a) Če je odgovor na četrto vprašanje nikalen: ali je treba pojem ,informacije‘, ki jih je treba v skladu s členom 15(3), tretji stavek, SUVP posamezniku, na katerega se nanašajo osebni podatki, kadar ta zahtevo predloži z elektronskimi sredstvi, ,zagotovi[ti] v elektronski obliki, ki je splošno uporabljana‘, če ,ne zahteva drugače‘, razlagati tako, da so s tem mišljene tudi informacije iz člena 15(1), od (a) do (h), SUVP?
(b) Če je tudi odgovor na četrto vprašanje (točka (a)) nikalen: ali je treba pojem ,informacije‘, ki jih je treba v skladu s členom 15(3), tretji stavek, SUVP posamezniku, na katerega se nanašajo osebni podatki, kadar ta zahtevo predloži z elektronskimi sredstvi, ,zagotovi[ti] v elektronski obliki, ki je splošno uporabljana‘, če ,ne zahteva drugače‘, razlagati tako, da so s tem poleg ,osebnih podatkov, ki se obdelujejo‘, in poleg informacij, navedenih v členu 15(1), od (a) do (h), SUVP, mišljeni tudi – na primer – pripadajoči metapodatki?“
Vprašanja za predhodno odločanje
Prvo, drugo in tretje vprašanje za predhodno odločanje
18 Predložitveno sodišče s prvim, drugim in tretjim vprašanjem, ki jih je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 15(3), prvi stavek, SUVP v povezavi z načelom preglednosti iz člena 12(1) te uredbe razlagati tako, da pravica do pridobitve kopije osebnih podatkov, ki se obdelujejo, pomeni, da se posamezniku, na katerega se nanašajo osebni podatki, ne predloži le kopija teh podatkov, ampak tudi kopija izvlečkov dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo navedene podatke. To sodišče se zlasti sprašuje o obsegu te pravice.
19 Najprej je treba opozoriti, da je treba v skladu z ustaljeno sodno prakso Sodišča pri razlagi določbe prava Unije upoštevati ne le njeno besedilo v skladu z njenim običajnim pomenom v vsakdanjem jeziku, ampak tudi sobesedilo in cilje, ki jim sledi ureditev, katere del je (glej v tem smislu sodbi z dne 2. decembra 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, točka 19 in navedena sodna praksa, in z dne 7. septembra 2022, Staatssecretaris van Justitie en Veiligheid (Narava pravice do prebivanja iz člena 20 PDEU), C‑624/20, EU:C:2022:639, točka 28).
20 V zvezi z besedilom člena 15(3), prvi stavek, SUVP je v tej določbi navedeno, da upravljavec „zagotovi kopijo osebnih podatkov, ki se obdelujejo“.
21 Čeprav SUVP ne vsebuje opredelitve tako uporabljenega pojma „kopija“, je treba upoštevati običajni pomen tega izraza, ki – kot je generalni pravobranilec navedel v točki 30 sklepnih predlogov – označuje reprodukcijo ali prepis, ki je skladen z izvirnikom, tako da povsem splošen opis podatkov, ki se obdelujejo, ali napotitev na vrste osebnih podatkov ne bi ustrezal tej opredelitvi. Poleg tega iz besedila člena 15(3), prvi stavek, te uredbe izhaja, da se obveznost posredovanja nanaša na osebne podatke, ki so predmet zadevne obdelave.
22 Člen 4, točka 1, SUVP določa, da pojem „osebni podatki“ pomeni „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“ in da je „določljiv posameznik […] tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika“.
23 Uporaba izraza „katera koli informacija“ v opredelitvi pojma „osebni podatek“ iz te določbe odraža cilj zakonodajalca Unije, da temu pojmu da širok pomen, ki potencialno zajema vse vrste informacij, tako objektivne kot subjektivne v obliki mnenj ali presoj, če se te „nanašajo“ na zadevno osebo (glej po analogiji sodbo z dne 20. decembra 2017, Nowak, C‑434/16, EU:C:2017:994, točka 34).
24 V zvezi s tem je bilo razsojeno, da se informacija nanaša na določeno ali določljivo fizično osebo, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo (glej v tem smislu sodbo z dne 20. decembra 2017, Nowak, C‑434/16, EU:C:2017:994, točka 35).
25 Glede „določljivosti“ fizične osebe je v uvodni izjavi 26 SUVP navedeno, da bi bilo treba upoštevati „vsa sredstva […], za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika, kot je ciljno usmerjanje“.
26 Kot je generalni pravobranilec v bistvu navedel v točkah od 36 do 39 sklepnih predlogov, široka opredelitev pojma „osebni podatki“ ne zajema le podatkov, ki jih upravljavec zbere in hrani, ampak zajema tudi vse informacije, pridobljene z obdelavo osebnih podatkov, ki se nanašajo na določeno ali določljivo osebo, kot je ocena njegove plačilne sposobnosti ali pripravljenosti za plačilo.
27 V tem okviru je treba dodati, da je želel zakonodajalec Unije pojmu „obdelava“, kot je opredeljen v členu 4, točka 2, SUVP, dati širok obseg, tako da je uporabil neizčrpen seznam dejanj (glej v tem smislu sodbo z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov v davčne namene), C‑175/20, EU:C:2022:124, točka 35).
28 Zato je iz jezikovne analize člena 15(3), prvi stavek, SUVP razvidno, da je s to določbo posamezniku, na katerega se nanašajo osebni podatki, priznana pravica do pridobitve natančne reprodukcije njegovih osebnih podatkov v širokem smislu tega pojma, ki so predmet dejanj, ki jih je mogoče opredeliti kot obdelavo, ki jo opravi upravljavec te obdelave.
29 Glede na to je treba ugotoviti, da samo na podlagi besedila te določbe ni mogoče odgovoriti na prva tri vprašanja, saj ne vsebuje nobene navedbe glede morebitne pravice do pridobitve ne le kopije osebnih podatkov, ki se obdelujejo, ampak tudi kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo te podatke.
30 V zvezi s sobesedilom, v katero je umeščen člen 15(3), prvi stavek, SUVP, je treba poudariti, da člen 15 SUVP, naslovljen „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1 opredeljuje predmet in področje uporabe pravice do dostopa, priznane posamezniku, na katerega se nanašajo osebni podatki, ter v njem določa pravico tega posameznika, da od upravljavca pridobi dostop do njegovih osebnih podatkov in informacij iz točk od (a) do (h) tega odstavka.
31 Člen 15(3) SUVP določa praktična pravila za izvajanje obveznosti upravljavca, pri čemer je v prvem stavku med drugim opredeljena oblika, v kateri mora upravljavec zagotoviti „osebne podatke, ki se obdelujejo“, in sicer v obliki „kopije“. Poleg tega ta odstavek v tretjem stavku določa, da se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana, kadar se zahteva predloži z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače.
32 Zato člena 15 SUVP ni mogoče razlagati tako, da se v odstavku 3, prvi stavek, nanaša na pravico, ki je drugačna od tiste iz njegovega odstavka 1. Poleg tega, kot je navedla Evropska komisija v pisnem stališču, se pojem „kopija“ ne nanaša na dokument kot tak, ampak na osebne podatke, ki jih vsebuje in ki morajo biti popolni. Kopija mora zato vsebovati vse osebne podatke, ki se obdelujejo.
33 V zvezi s cilji, ki se uresničujejo s členom 15 SUVP, je treba poudariti, da je namen te uredbe, kot je pojasnjeno v njeni uvodni izjavi 11, okrepiti in podrobneje opredeliti pravice posameznikov, na katere se nanašajo osebni podatki. Člen 15 te uredbe v zvezi s tem določa pravico do pridobitve kopije, v nasprotju s členom 12(a), druga alinea, Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355), ki je bila omejena na zahtevo po „sporočil[u] v razumljivi obliki o osebnih podatkih, ki so v obdelavi“. V uvodni izjavi 63 SUVP pa je pojasnjeno, da „[bi moral imeti] [p]osameznik, na katerega se nanašajo osebni podatki, […] pravico dostopa do osebnih podatkov, ki so bili zbrani v zvezi z njim, in do enostavnega uresničevanja te pravice v razumnih časovnih presledkih, da bi se seznanil z obdelavo in preveril njeno zakonitost“.
34 Zato mora pravica do dostopa iz člena 15 SUVP posamezniku, na katerega se nanašajo osebni podatki, omogočiti, da se prepriča, da so osebni podatki, ki se nanašajo nanj, točni in se obdelujejo zakonito (glej v tem smislu sodbo z dne 12. januarja 2023, Österreichische Post (Informacije o prejemnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 37 in navedena sodna praksa).
35 Natančneje, ta pravica do dostopa je nujna, da bi lahko posameznik, na katerega se nanašajo osebni podatki, po potrebi uveljavljal pravico do popravka, pravico do izbrisa („pravica do pozabe“) in pravico do omejitve obdelave, ki jo ima na podlagi členov 16, 17 in 18 SUVP ter pravico do ugovora obdelavi osebnih podatkov, določeno v členu 21 SUVP, ter pravico do pravnega sredstva v primeru utrpljene škode, ki je določena v členih 79 in 82 SUVP (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o prejemnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 38 in navedena sodna praksa).
36 Poudariti je treba tudi, da je v uvodni izjavi 60 SUVP navedeno, da načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in namenih te obdelave, pri čemer je treba poudariti, da bi moral upravljavec zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov.
37 Poleg tega morajo biti v skladu z načelom preglednosti, ki ga navaja predložitveno sodišče in na katero se sklicuje uvodna izjava 58 SUVP in ki je izrecno določeno v členu 12(1) te uredbe, vse informacije, ki se nanašajo na posameznika, na katerega se nanašajo osebni podatki, jedrnate, lahko dostopne in lahko razumljive ter izražene v jasnem in preprostem jeziku.
38 Kot je generalni pravobranilec navedel v točkah 54 in 55 sklepnih predlogov, je iz te določbe razvidno, da mora upravljavec sprejeti ustrezne ukrepe, s katerimi posamezniku, na katerega se nanašajo osebni podatki, zagotovi vse informacije, med drugim tudi iz člena 15 SUVP, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, ter da mora upravljavec te informacije zagotoviti v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno, z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, ne zahteva, da se te informacije predložijo ustno. Cilj te določbe, ki odraža načelo preglednosti, je, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči, da v celoti razume informacije, ki so mu posredovane.
39 Iz tega izhaja, da mora imeti kopija osebnih podatkov, ki se obdelujejo in ki jo mora upravljavec zagotoviti na podlagi člena 15(3), prvi stavek, SUVP, vse značilnosti, ki posamezniku, na katerega se nanašajo osebni podatki, omogočajo učinkovito uresničevanje njegovih pravic na podlagi te uredbe, in mora zato te podatke v celoti in natančno reproducirati.
40 Ta razlaga je v skladu s ciljem te uredbe, katere namen je zlasti – kot je razvidno iz njene uvodne izjave 10 – zagotoviti visoko raven varstva posameznikov v Uniji ter za to namen zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih svoboščin in pravic teh posameznikov pri obdelavi osebnih podatkov v celotni Uniji (glej v tem smislu sodbo z dne 9. februarja 2023, X‑FAB Dresden, C‑453/20, ECLI:EU:C:2023:79, točka 25 in navedena sodna praksa).
41 Za zagotovitev, da so tako zagotovljene informacije lahko razumljive, kot se zahteva s členom 12(1) SUVP v povezavi z uvodno izjavo 58 te uredbe, se namreč lahko izkaže, da je reprodukcija izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo osebne podatke, ki se obdelujejo, nujna, kot je generalni pravobranilec navedel v točkah 57 in 58 sklepnih predlogov, če je za zagotovitev razumljivosti obdelanih podatkov potrebna njihova umestitev v kontekst.
42 Natančneje, kadar se osebni podatki pridobivajo iz drugih podatkov ali kadar taki podatki izhajajo iz neizpolnjenih polj, in sicer kadar manjka navedba, iz katere bi izhajala informacija o posamezniku, na katerega se nanašajo osebni podatki, je okvir, v katerem se ti podatki obdelujejo, nujni element, ki posamezniku, na katerega se nanašajo osebni podatki, omogoča pregleden dostop do teh podatkov in njihovo razumljivo predstavitev.
43 Poleg tega v skladu s členom 15(4) SUVP v povezavi z uvodno izjavo 63 te uredbe pravica do pridobitve kopije iz odstavka 3 ne bi smela negativno vplivati na pravice ali svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, ter predvsem na avtorske pravice, ki ščitijo programsko opremo.
44 Zato je treba – kot je poudaril generalni pravobranilec v točki 61 sklepnih predlogov – v primeru navzkrižja med uresničevanjem pravice do polnega in celovitega dostopa do osebnih podatkov na eni strani ter uresničevanjem pravic in svoboščin drugih na drugi zadevne pravice in svoboščine uravnotežiti. Pri tem je treba, kadar je to mogoče, izbrati načine posredovanja osebnih podatkov, ki ne vplivajo negativno na pravice ali svoboščine drugih, ob upoštevanju dejstva, da to ne bi smelo „povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij“, kot izhaja iz besedila uvodne izjave 63 SUVP.
45 Glede na zgornje preudarke je treba na prvo, drugo in tretje vprašanje za predhodno odločanje odgovoriti, da je treba člen 15(3), prvi stavek, SUVP razlagati tako, da pravica, da se od upravljavca pridobi kopija osebnih podatkov, ki se obdelujejo, pomeni, da je treba posamezniku, na katerega se nanašajo osebni podatki, dati natančno in razumljivo reprodukcijo vseh teh podatkov. Ta pravica pomeni pravico do pridobitve kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo navedene podatke, če je predložitev take kopije nujna za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uresničevanje pravic, ki so mu podeljene s to uredbo, pri čemer je treba poudariti, da je treba v zvezi s tem upoštevati pravice in svoboščine drugih.
Četrto vprašanje
46 Predložitveno sodišče s tem vprašanjem v bistvu sprašuje, ali je treba člen 15(3), tretji stavek, SUVP razlagati tako, da se pojem „informacije“ iz tega člena nanaša izključno na osebne podatke, katerih kopijo mora upravljavec zagotoviti na podlagi prvega stavka tega odstavka, ali pa napotuje tudi na vse informacije iz odstavka 1 tega člena ali celo zajema elemente, ki presegajo okvir informacij, kot so metapodatki.
47 Kot je bilo opozorjeno v točki 19 te sodbe, je treba pri razlagi določbe prava Unije upoštevati ne le njeno besedilo, ampak tudi sobesedilo in cilje, ki jih uresničuje ureditev, katere del je.
48 V zvezi s tem je v členu 15(3), tretji stavek, SUVP sicer navedeno le, da „kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, […] se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana“, ne da bi bilo pojasnjeno, kaj pomeni izraz „informacije“, prvi stavek tega odstavka pa določa, da „[u]pravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo“.
49 Zato iz sobesedila člena 15(3), tretji stavek, SUVP izhaja, da „informacije“ iz tega člena nujno ustrezajo osebnim podatkom, katerih kopijo mora upravljavec zagotoviti v skladu s prvim stavkom tega odstavka.
50 Tako razlago potrjujejo cilj iz člena 15(3) SUVP, ki je, kot je bilo opozorjeno v točki 31 te sodbe, opredelitev praktičnih pravil za izvajanje obveznosti upravljavca, da zagotovi kopijo osebnih podatkov, ki se obdelujejo. Zato ta določba ne ustvarja pravice, ki bi bila ločena od pravice, ki jo ima posameznik, na katerega se nanašajo osebni podatki, do natančne in razumljive reprodukcije teh podatkov, ki bi mu omogočala učinkovito uresničevanje pravic, ki mu jih podeljuje ta uredba.
51 Vendar je treba poudariti, da nobena določba navedene uredbe ne določa različnega obravnavanja zahteve glede na obliko, v kateri je vložena, tako da se obseg pravice do pridobitve kopije ne sme spreminjati glede na to obliko.
52 Poleg tega je treba poudariti tudi, da se v skladu s členom 12(3) SUVP, kadar je bila zahteva vložena z elektronskimi sredstvi, informacije iz člena 15, vključno s tistimi iz točk od (a) do (h) navedenega člena, zagotovijo v elektronski obliki, razen če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače.
53 Glede na zgornje preudarke je treba na četrto vprašanje za predhodno odločanje odgovoriti, da je treba člen 15(3), tretji stavek, SUVP razlagati tako, da se pojem „informacije“ iz tega člena nanaša izključno na osebne podatke, katerih kopijo mora upravljavec zagotoviti v skladu s prvim stavkom tega odstavka.
Stroški
54 Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (prvi senat) razsodilo:
1. Člen 15(3), prvi stavek, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
pravica, da se od upravljavca pridobi kopija osebnih podatkov, ki se obdelujejo, pomeni, da je treba posamezniku, na katerega se nanašajo osebni podatki, dati natančno in razumljivo reprodukcijo vseh teh podatkov. Ta pravica pomeni pravico do pridobitve kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo navedene podatke, če je predložitev take kopije nujna za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uresničevanje pravic, ki so mu podeljene s to uredbo, pri čemer je treba poudariti, da je treba v zvezi s tem upoštevati pravice in svoboščine drugih.
2. Člen 15(3), tretji stavek, Uredbe 2016/679
je treba razlagati tako, da se
pojem „informacije“ iz tega člena nanaša izključno na osebne podatke, katerih kopijo mora upravljavec zagotoviti v skladu s prvim stavkom tega odstavka.
Podpisi