РЕШЕНИЕ НА СЪДА (първи състав)
26 октомври 2023 година(*)
„Преюдициално запитване — Обработване на личните данни — Регламент (ЕС) 2016/679 — Членове 12, 15 и 23 — Право на достъп на субекта на данни до неговите данни, които са в процес на обработване — Право да се получи безплатно първо копие на тези данни — Обработване на данни на пациент от неговия лекар — Медицинско досие — Основания на искането за достъп — Използване на данните с цел ангажиране на отговорността на практикуващия лекар — Понятието „копие“
По дело C‑307/22
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Bundesgerichtshof (Федерален върховен съд, Германия) с акт от 29 март 2022 г., постъпил в Съда на 10 май 2022 г., в рамките на производство по дело
FT
срещу
DW
СЪДЪТ (първи състав),
състоящ се от: Aл. Арабаджиев, председател на състава, T. von Danwitz, P. G. Xuereb, A. Kumin и I. Ziemele (докладчик), съдии,
генерален адвокат: N. Emiliou,
секретар: A. Calot Escobar,
предвид изложеното в писмената фаза на производството,
като има предвид становищата, представени:
– за латвийското правителство, от K. Pommere, в качеството на представител,
– за Европейската комисия, от A. Bouchagiar, F. Erlbacher и H. Kranenborg, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 20 април 2023 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 12, параграф 5, член 15, параграф 3 и член 23, параграф 1, буква и) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
2 Запитването е отправено в рамките на спор между FT и DW във връзка с отказа на FT, лекар по дентална медицина, да предостави на пациента си безплатно първо копие от медицинското му досие.
Правна уредба
Правото на Съюза
3 Съгласно член 4 ОРЗД:
„[…] Правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност. Настоящият регламент е съобразен с всички основни права и в него се спазват свободите и принципите, признати от Хартата [на основните права на Европейския съюз], както са залегнали в Договорите, и по-специално […] свободата на стопанската инициатива […]“.
4 Съображения 10 и 11 от ОРЗД гласят:
„(10) За да се гарантира последователно и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред движението на лични данни в [Европейския съюз], нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде равностойно във всички държави членки. […]
(11) Ефективната защита на личните данни в рамките на Съюза изисква укрепване и подробно описание на правата на субектите на данните и задълженията на онези, които обработват и определят обработването на личните данни […]“.
5 Съгласно съображение 13 от ОРЗД:
„[…] Освен това, институциите и органите на Съюза, както и държавите членки и техните надзорни органи се приканват да вземат предвид специфичните нужди на микропредприятията и малките и средните предприятия при прилагането на настоящия регламент. […]“.
6 Съображение 58 от ОРЗД уточнява:
„Принципът на прозрачност изисква всяка информация както за обществеността, така и за субекта на данните да бъде в кратка, прозрачна, разбираема и леснодостъпна форма и да се използват ясни и недвусмислени формулировки, а в допълнение когато е необходимо, да се използва и визуализация. Тази информация може да бъде представена в електронна форма, например чрез уебсайт, когато е адресирана до обществеността. Това важи в особена степен за ситуации, където нарастването на участниците и технологичната сложност на тази практика правят трудно за субекта на данни да узнае и разбере дали се събират свързани с него лични данни, от кого и с каква цел, като в случая на онлайн рекламите. Като се има предвид, че на децата се полага специална защита, когато обработването е насочено към дете, всяка информация и комуникация следва да се предоставя с ясни и недвусмислени формулировки, които да бъдат лесноразбираеми за детето“.
7 Съгласно съображение 59 от ОРЗД:
„Следва да бъдат предвидени ред и условия за улесняване на упражняването на правата на субектите на данни съгласно настоящия регламент, включително механизми за искане, и ако е приложимо — получаване, без заплащане, по-специално на достъп до, коригиране или изтриване на лични данни и упражняване на правото на възражение. […]“.
8 Съображение 63 от ОРЗД гласи:
„Всяко физическо лице следва да има право на достъп до събраните лични данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да бъде осведомено за обработването и да провери законосъобразността му. Това включва правото на субектите на данни на достъп до данните за здравословното им състояние, например данните в медицинските им досиета, които съдържат информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции […]“.
9 Член 4 от ОРЗД предвижда:
„За целите на настоящия регламент:
1) „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице;
2) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;
[…]“.
10 Член 12 от ОРЗД гласи:
„1. Администраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и леснодостъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца. Информацията се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства. Ако субектът на данните е поискал това, информацията може да бъде дадена устно, при положение че идентичността на субекта на данните е доказана с други средства.
2. Администраторът съдейства за упражняването на правата на субекта на данните по членове 15—22. […]
[…]
5. Информацията по членове 13 и 14 и всяка комуникация и действия по членове 15—22 и член 34 се предоставят безплатно. Когато исканията на субект на данни са явно неоснователни или прекомерни, по-специално поради своята повторяемост, администраторът може или:
а) да наложи разумна такса, като взема предвид административните разходи за предоставяне на информацията или комуникацията или предприемането на исканите действия, или
б) да откаже да предприеме действия по искането.
Администраторът носи тежестта на доказване на явно неоснователния или прекомерен характер на искането.
[…]“.
11 Член 15 от ОРЗД гласи:
„1. Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация:
а) целите на обработването;
б) съответните категории лични данни;
в) получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации;
г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определянето на този срок;
д) съществуването на право да се изиска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данните, или да се направи възражение срещу такова обработване;
е) правото на жалба до надзорен орган;
ж) когато личните данни не се събират от субекта на данните, всякаква налична информация за техния източник;
з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.
2. Когато личните данни се предават на трета държава или на международна организация, субектът на данните има право да бъде информиран относно подходящите гаранции по член 46 във връзка с предаването.
3. Администраторът предоставя копие от личните данни, които са в процес на обработване. За допълнителни копия, поискани от субекта на данните, администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане с електронни средства, по възможност информацията се предоставя в широко използвана електронна форма, освен ако субектът на данни не е поискал друго.
4. Правото на получаване на копие, посочено в параграф 3, не влияе неблагоприятно върху правата и свободите на други лица“.
12 Членове 16 и 17 от посочения регламент уреждат съответно правото на субекта на данните да изиска коригиране на неточните лични данни (право на коригиране) и правото при определени обстоятелства на изтриване на тези данни (право на изтриване или право „да бъдеш забравен“).
13 Член 18 от същия регламент е озаглавен „Право на ограничаване на обработването“ и параграф 1 от него гласи:
„Субектът на данните има право да изиска от администратора ограничаване на обработването, когато се прилага едно от следното:
а) точността на личните данни се оспорва от субекта на данните, за срок, който позволява на администратора да провери точността на личните данни;
б) обработването е неправомерно, но субектът на данните не желае личните данни да бъдат изтрити, а изисква вместо това ограничаване на използването им;
в) администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данните ги изисква за установяването, упражняването или защитата на правни претенции;
г) субектът на данните е възразил срещу обработването съгласно член 21, параграф 1 в очакване на проверка дали законните основания на администратора имат преимущество пред интересите на субекта на данните“.
14 Член 21 от ОРЗД е озаглавен „Право на възражение“ и параграф 1 от него предвижда:
„Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член 6, параграф 1, буква д) или буква е), включително профилиране, основаващо се на посочените разпоредби. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции“.
15 Съгласно член 23, параграф 1 от ОРЗД:
„В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:
[…]
и) защитата на субекта на данните или на правата и свободите на други лица;
[…]“.
Германското право
16 Съгласно член 630f от Bürgerliches Gesetzbuch (Граждански кодекс, наричан по-нататък „BGB“), за целите на документирането лекуващият лекар е длъжен по време на лечението да води медицинско досие на пациента на хартиен или електронен носител. Лекуващият лекар е длъжен да вписва в медицинското досие всички действия и резултатите от тях, които от професионална гледна точка са от съществено значение за настоящото и бъдещото лечение, по-специално анамнеза, диагнози, изследвания, резултати от изследвания, заключения, терапии и ефектите от тях, интервенции и ефектите от тях, съгласия и осведомявания. Лекуващият лекар трябва да съхранява досието на пациента в продължение на десет години след приключване на лечението, доколкото други разпоредби не налагат други срокове на съхранение.
17 Съгласно член 630g, параграф 1, първо изречение от BGB при поискване пациентът получава незабавен достъп до пълното си медицинско досие, освен ако не са налице съществени терапевтични причини или други съществени права на трети лица, които не допускат този достъп. Съгласно член 630g, параграф 2, първо изречение от BGB пациентът може да изисква и електронни копия от медицинското досие. С оглед на изложението на мотивите към закона това трябва да се разбира в смисъл, че пациентът може да поиска по свой избор представянето на физически или електронни копия. Член 630g, параграф 2, второ изречение от BGB предвижда, че пациентът трябва да възстанови на лекуващия лекар направените разходи.
Спорът в главното производство и преюдициалните въпроси
18 DW получава дентално лечение от FT. Тъй като подозира, че са допуснати грешки при лечението му, DW иска от FT безплатното издаване на първо копие от медицинското му досие. FT уведомява DW, че ще удовлетвори молбата му само при условие че поеме разходите, свързани с представянето на копието от медицинското досие, както предвижда националното право.
19 DW предявява иск срещу FT. В първоинстанционното и във въззивното производство искането на DW да му бъде предоставено безвъзмездно първо копие от медицинското му досие е уважено. Тези решения се основават на тълкуване на приложимото национално законодателство в светлината на член 12, параграф 5, както и на член 15, параграфи 1 и 3 от ОРЗД.
20 Сезиран с ревизионна жалба от FT, Bundesgerichtshof (Федерален върховен съд, Германия) счита, че разрешаването на спора зависи от тълкуването, което следва да се даде на разпоредбите на ОРЗД.
21 Запитващата юрисдикция отбелязва, че съгласно националното право пациентът може да получи копие от медицинското си досие, при условие че възстанови на лекаря съответните разходи.
22 От член 15, параграф 3, първо изречение във връзка с член 12, параграф 5, първо изречение от ОРЗД обаче би могло да следва, че администраторът, в случая лекуващият лекар, трябва да предостави на пациента първо копие от медицинското му досие безплатно.
23 На първо място, запитващата юрисдикция отбелязва, че DW иска първо копие от медицинското си досие с цел да ангажира отговорността на FT. Подобна цел не съответства на целта, посочена в съображение 63 от ОРЗД, което предвижда право на достъп до личните данни за запознаване с обработването на тези данни и за проверка на законосъобразността му. Текстът на член 15 от ОРЗД обаче не обвързва упражняването на правото със съобщаване на такива основания. Освен това тази разпоредба не изисква от засегнатото лице да мотивира искането си за предоставяне на достъп.
24 На второ място, запитващата юрисдикция подчертава, че член 23, параграф 1 от ОРЗД позволява приемането на национални законодателни мерки, ограничаващи обхвата на предвидените в членове 12—22 от този регламент права и задължения, за да се гарантира една от целите, предвидени в тази разпоредба. В случая FT се позовавала на целта за защита на правата и свободите на други лица, посочена в член 23, параграф 1, буква и) от ОРЗД, и изтъквала, че тарифният режим по член 630g, параграф 2, второ изречение от BGB е необходима и пропорционална мярка за защита на законните интереси на лекуващите лекари, която по правило позволявала да се предотвратят неоснователните искания на копия от страна на съответните пациенти.
25 От една страна обаче, член 630g, параграф 2, второ изречение от BGB е приет преди влизането в сила на ОРЗД.
26 От друга страна, целта на тарифния режим по член 630g, параграф 2, второ изречение от BGB е на първо място да защити икономическите интереси на практикуващите лекари. Ето защо следва да се определи дали интересът на последните да бъдат освободени от разходите и разноските, свързани с предаването на копията на данни, спада към правата и свободите на други лица по смисъла на член 23, параграф 1, буква и) от ОРЗД. Освен това систематичното прехвърляне към пациентите на разходите, свързани с копията на техните медицински досиета, можело да се окаже прекомерно, тъй като не отчитало размера на действително направените разходи, нито конкретните обстоятелства при всяко заявление.
27 На трето място, доколкото DW иска да му бъде предоставено копие на всички отнасящи се до него медицински документи, тоест на медицинското му досие, запитващата юрисдикция иска да установи обхвата на правото да се получи копие от личните данни, които са в процес на обработване, предвидено в член 15, параграф 3 от ОРЗД. В това отношение това право би могло да бъде удовлетворено чрез представянето на резюме на обработваните от лекаря данни. Въпреки това целите за прозрачност и контрол за законосъобразност, посочени в ОРЗД, изглежда изискват предоставянето на копие от всички данни, с които разполага администраторът в необработен вид, а именно всички свързани с пациента медицински документи, доколкото съдържат такива данни.
28 При тези обстоятелства Bundesgerichtshof (Федерален върховен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:
1. Трябва ли член 15, параграф 3, първо изречение във връзка с член 12, параграф 5 от ОРЗД да се тълкува в смисъл, че администраторът (в случая лекуващият лекар) не е длъжен да предостави безплатно на субекта на данните (в случая пациента) първото копие от обработваните му от администратора лични данни, ако субектът на данните не иска копието за изпълнението на посочените в съображение 63, първо изречение от ОРЗД цели да бъде осведомен за обработването на личните си данни и да провери законосъобразността му, а за изпълнението на различна — несвързана със защитата на данните, но законна — цел (в случая проверка за наличието на права, свързани с лекарска отговорност)?
2. При отрицателен отговор на първия въпрос:
а) може ли национална правна уредба на държава членка, приета преди влизането в сила на Общия регламент относно защитата на данните, също да представлява ограничение по член 23, параграф 1, буква и) от ОРЗД на правото на безплатно предоставяне на копие от обработваните от администратора лични данни, произтичащо от член 15, параграф 3, първо изречение във връзка с член 12, параграф 5 от ОРЗД?
б) При утвърдителен отговор на въпрос 2а: трябва ли член 23, параграф 1, буква и) от ОРЗД да се тълкува в смисъл, че посочените в него права и свободи на други лица обхващат и интереса им от освобождаване от разходите, свързани с издаването на копие от данните съгласно член 15, параграф 3, първо изречение от ОРЗД, и от други разходи, възникнали в резултат от предоставянето на копието?
в) При утвърдителен отговор на въпрос 2б: може ли национална правна уредба, съгласно която в отношенията между лекар и пациент, когато лекарят издава на пациента копие от личните данни на пациента от медицинското досие, лекарят винаги и независимо от конкретните обстоятелства има право на възстановяване на разходите от страна на пациента, да представлява ограничение по член 23, параграф 1, буква и) от ОРЗД на задълженията и правата, произтичащи от член 15, параграф 3, първо изречение във връзка с член 12, параграф 5 от ОРЗД?
3. При отрицателен отговор на първия въпрос и на въпроси 2а, 2б или 2в: в отношенията между лекар и пациент обхваща ли правото, произтичащо от член 15, параграф 3, първо изречение от ОРЗД, правото на предоставяне на копия от всички части от медицинското досие, съдържащи лични данни на пациента, или се отнася само за издаването на копие от личните данни на пациента като такива, като лекарят, който обработва личните данни, има право на избор по какъв начин да състави данните на съответния пациент?“.
По преюдициалните въпроси
По първия въпрос
29 С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 12, параграф 5 и член 15, параграфи 1 и 3 от ОРЗД трябва да се тълкуват в смисъл, че администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент.
30 В самото начало следва да се припомни, че съгласно постоянната съдебна практика при тълкуването на разпоредба от правото на Съюза трябва да се вземе предвид не само нейният текст, но и контекстът ѝ, както и целите, преследвани от правната уредба, от която тя е част (решение от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни), C‑154/21, EU:C:2023:3, т. 29).
31 Що се отнася, първо, до текста на релевантните разпоредби, следва да се отбележи, от една страна, че член 12, параграф 5 от ОРЗД установява принципа, че упражняването на правото на достъп на субекта на данните до неговите данни, които се обработват, и до свързаната с това информация не води до никакви разходи за субекта на данните. Освен това тази разпоредба предвижда две причини, поради които администраторът може или да наложи разумна такса, отчитаща административните разходи, или да откаже да изпълни искане. Тези причини са свързани със случаи на злоупотреба с право, при които исканията на засегнатото лице са „явно неоснователни „или „прекомерни“, по-специално поради своята повторяемост.
32 В това отношение запитващата юрисдикция изрично отбелязва, че искането на субекта на данните не представлява злоупотреба.
33 От друга страна, правото на субекта на данни на достъп до неговите данни, които се обработват, и до свързаната с това информация, което е неразделна част от правото на защита на личните данни, е гарантирано от член 15, параграф 1 от ОРЗД. Съгласно текста на тази разпоредба субектите на данни имат право на достъп до техните лични данни, които се обработват.
34 Освен това член 15, параграф 3 от ОРЗД предвижда, че администраторът предоставя копие на личните данни, които се обработват, и може да наложи разумна такса за всяко допълнително копие, поискано от субекта на данните. В това отношение в параграф 4 от този член се уточнява, че параграф 3 от посочения член предоставя „право“ на субекта на данните. Следователно администраторът може да изиска такова плащане само когато субекта на данните вече е получил безплатно първо копие на своите данни и е поискал ново копие.
35 Както Съдът вече е постановил, от текстуалния анализ на член 15, параграф 3, първо изречение от ОРЗД става ясно, че тази разпоредба предоставя на субекта на данните правото да получи точна реплика на личните му данни, разбирани в широк смисъл, които са предмет на операции, които трябва да бъдат квалифицирани като „обработване от страна на администратора“ (решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF, C‑487/21, EU:C:2023:369, т. 28).
36 Следователно от член 12, параграф 5 във връзка с член 15, параграфи 1 и 3 от ОРЗД следва, от една страна, правото на субекта на данните да получи първо безплатно копие от неговите лични данни, които се обработват, и от друга страна, предоставената на администратора възможност при определени условия да начислява разумни такси, съобразени с административните разходи, или да откаже да уважи искане, ако то е явно неоснователно или прекомерно.
37 В случая следва да се отбележи, че лекар, който извършва операциите по обработване, посочени в член 4, точка 2 от ОРЗД, по отношение на данните на пациентите си, трябва да се счита за „администратор“ по смисъла на член 4, точка 7 от този регламент, за когото се прилагат произтичащите от това качество задължения, по-специално да гарантира достъп до личните данни по искане на субектите на данни.
38 Налага се изводът, че нито текстът на член 12, параграф 5 от ОРЗД, нито този на член 15, параграфи 1 и 3 от този регламент обвързват безплатното предоставяне на първо копие на лични данни с посочването от страна на субектите на данни на мотив, който да обоснове искането им. Следователно тези разпоредби не дават възможност на администратора да изисква мотиви за искането за достъп, отправено от субекта на данните.
39 Второ, що се отнася до контекста, в който се вписват посочените по-горе разпоредби, следва да се подчертае, че член 12 от ОРЗД се съдържа в глава III, раздел 1 от този регламент, който се отнася по-специално до принципа на прозрачност, посочен в член 5, параграф 1, буква а) от същия регламент.
40 Така член 12 от ОРЗД установява общи задължения на администратора по отношение на прозрачността на информацията и съобщенията, както и условията за упражняването на правата на субекта на данни.
41 Член 15 от ОРЗД, който е част от глава III, раздел 2, който се отнася до информацията и достъпа до лични данни, допълва изискванията за прозрачност на ОРЗД, като предоставя на субекта на данните право на достъп до неговите лични данни и право на информация относно обработването на тези данни.
42 Освен това следва да се отбележи, че съгласно съображение 59 от ОРЗД „[с]ледва да бъдат предвидени ред и условия за улесняване на упражняването на правата на субектите на данни съгласно настоящия регламент, включително механизми за искане, и ако е приложимо — получаване, без заплащане, по-специално на достъп до, коригиране или изтриване на лични данни и упражняване на правото на възражение“.
43 След като, видно от точка 38 от настоящото решение, субектът на данни не е длъжен да мотивира искането за достъп до данните, първото изречение от съображение 63 не може да се тълкува в смисъл, че това искане трябва да се отхвърли, ако с него се преследва цел, различна от тази за осведомяване за обработването на данните и за проверка на неговата законосъобразност. Всъщност това съображение не може да ограничи обхвата на член 15, параграф 3 от ОРЗД, посочен в точка 35 от настоящото решение.
44 В това отношение следва да се припомни, че съгласно постоянната съдебна практика преамбюлът на акт от правото на Съюза няма задължителна правна сила и не може да бъде изтъкнат нито с цел да бъдат дерогирани самите разпоредби на съответния акт, нито с цел те да бъдат тълкувани в смисъл, който явно противоречи на техния текст (решение от 13 септември 2018 г., Česká pojišťovna, C‑287/17, EU:C:2018:707, т. 33).
45 Впрочем съгласно второто изречение от съображение 63 признатото на субектите на данни право на достъп до личните данни включва, що се отнася до данните за здравословното им състояние, „данните в медицинските им досиета, които съдържат информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции“.
46 При тези условия гарантираното в член 15, параграф 1 от ОРЗД право на достъп до данни за здравословното състояние не може да бъде ограничавано чрез отказ на достъп или чрез налагане на насрещна престация поради някое от основанията, посочени в съображение 63, първо изречение. Същото важи и за правото да се получи безплатно първо копие, предвидено в член 12, параграф 5 и член 15, параграф 3 от този регламент.
47 Трето, що се отнася до преследваните с ОРЗД цели, следва да се отбележи, че както се посочва в съображения 10 и 11 от него, целта на този регламент е да се гарантира последователно и високо равнище на защита на физическите лица в рамките на Съюза, както и да се укрепят и уточнят правата на субектите на данни.
48 Именно за постигането на тази цел член 15, параграф 1 гарантира на субекта на данните право на достъп до личните му данни (вж. в този смисъл решение от 22 юни 2023 г., Pankki S, C‑579/21, EU:C:2023:501, т. 57 и цитираната съдебна практика).
49 Следователно член 12, параграф 5 и член 15, параграфи 1 и 3 от ОРЗД са част от разпоредбите, предназначени да гарантират това право на достъп, както и прозрачността на условията за обработване на лични данни по отношение на субекта на данните (вж. в този смисъл решение от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни), C‑154/21, EU:C:2023:3, т. 42).
50 Принципът на безвъзмездност на първото копие на данните, както и липсата на необходимост от посочване на конкретно основание, обосноваващо искането за достъп, безспорно допринасят за улесняване на упражняването от субекта на данните на предоставените му от ОРЗД права.
51 Следователно, като се има предвид значението, което ОРЗД придава на правото на достъп до личните данни, които се обработват, гарантирано в член 15, параграф 1 от ОРЗД за постигането на такива цели, упражняването на това право не може да бъде обвързано с условия, които не са изрично предвидени от законодателя на Съюза, като задължението за позоваване на някое от основанията, посочени в съображение 63, първо изречение от ОРЗД.
52 С оглед на всички изложени по-горе съображения на първия въпрос следва да се отговори, че член 12, параграф 5 и член 15, параграфи 1 и 3 от ОРЗД трябва да се тълкуват в смисъл, че администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент.
По втория въпрос
53 С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 23, параграф 1, буква и) от ОРЗД трябва да се тълкува в смисъл, че допуска национално законодателство, прието преди влизането в сила на този регламент, което с цел защита на икономическите интереси на администратора възлага на субекта на данните разходите за първо копие на неговите лични данни, предмет на обработване.
54 На първо място, що се отнася до въпроса дали само националните мерки, приети след влизането в сила на ОРЗД, могат да попаднат в приложното поле на член 23, параграф 1 от ОРЗД, следва да се подчертае, че текстът на тази разпоредба не съдържа никакво указание в това отношение.
55 Всъщност в член 23, параграф 1 от ОРЗД само се посочва, че законодателна мярка на държава членка може да ограничи обхвата на задълженията и правата, предвидени в членове 12—22 от този регламент, при условие че тези мерки съответстват на правата и задълженията, предвидени в посочените членове и когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка, за да се гарантира по-специално защитата на правата и свободите на други лица.
56 Следователно член 23, параграф 1 от ОРЗД не изключва от приложното си поле националните законодателни мерки, приети преди влизането в сила на ОРЗД, доколкото отговарят на предвидените в него условия.
57 На второ място, що се отнася до въпроса дали национално законодателство, което с цел защита на икономическия интерес на практикуващите лекари възлага на пациента разходите, свързани с предоставянето на първо копие от медицинското досие, поискано от последния, попада в приложното поле на член 23, параграф 1, буква и) от ОРЗД, следва да се припомни, първо, че както следва от точки 31 и 33—36 от настоящото решение, по силата на член 12, параграф 5 и на член 15, параграфи 1 и 3 от този регламент на субекта на данните се признава право да получи безплатно първо копие от неговите лични данни, които са предмет на обработване.
58 Член 15, параграф 3, второ изречение от ОРЗД обаче позволява на администратора да изисква разумна такса въз основа на административните разходи за всяко допълнително копие. Освен това член 12, параграф 5 от ОРЗД във връзка с член 15, параграфи 1 и 3 от този регламент позволява на администратора да се предпази от злоупотреба с правото на достъп, като изиска плащането на разумна такса в случай на явно неоснователно или прекомерно искане.
59 Второ, съгласно съображение 4 от този регламент правото на защита на личните данни не е абсолютно право и трябва да бъде в равновесие с другите основни права в съответствие с принципа на пропорционалност. Така ОРЗД зачита всички основни права и спазва признатите в Хартата свободи и принципи, прогласени в Договорите (решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т. 53).
60 Всъщност член 15, параграф 4 от ОРЗД предвижда, че „правото на получаване на копие […] не влияе неблагоприятно върху правата и свободите на други лица“.
61 Също така в член 23, параграф 1, буква и) от ОРЗД се припомня, че ограничаване на обхвата на задълженията и правата, предвидени по-специално в член 15 от ОРЗД, е възможно, „когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира […] защитата на […] правата и свободите на други лица“.
62 Следователно от точки 59—61 от настоящото решение следва, че признатото на субекта на данните право да получи безплатно първо копие на неговите лични данни, които се обработват, не е абсолютно.
63 Трето, само съображения, свързани със защитата на правата и свободите на други лица, биха могли да обосноват ограничаване на това право, стига това ограничение да е съобразено със същността на посоченото право и да представлява необходима и пропорционална мярка за гарантиране на тази защита, както предвижда член 23, параграф 1, буква и) от ОРЗД.
64 Видно от акта за преюдициално запитване, предвиденият в член 630g, параграф 2, второ изречение от BGB тарифен режим позволява на лекуващите лекари да прехвърлят на пациента разходите, свързани с предоставянето на първо копие от медицинското му досие. Запитващата юрисдикция подчертава, че този режим цели на първо място да защити икономическите интереси на лекуващите лекари, което би възпряло пациентите да отправят ненужни искания за копие от медицинското си досие. Следователно, доколкото разглежданото в главното производство национално законодателство действително цели да защити икономическите интереси на лекуващите лекари, което запитващата юрисдикция следва да провери, подобни съображения не биха могли да спадат към „правата и свободите на други лица“, посочени в член 23, параграф 1, буква и) от ОРЗД.
65 Всъщност, първо, такова законодателство води до възпиране не само на ненужните искания, но и на исканията за получаване на безплатно първо копие на обработваните лични данни поради основателна причина. Поради това то безспорно нарушава принципа на безвъзмездност на първото копие и така поставя под въпрос полезното действие на правото на достъп, предвидено в член 15, параграф 1 от ОРЗД, както и защитата, гарантирана от този регламент.
66 Второ, от акта за преюдициално запитване не следва, че защитените от националното законодателство интереси надхвърлят чисто административни или икономически съображения.
67 В това отношение е важно да се подчертае, че икономическите интереси на администраторите са взети предвид от законодателя на Съюза, в член 12, параграф 5 и член 15, параграф 3, второ изречение от ОРЗД, които, както бе припомнено в точка 58 от настоящото решение, определят обстоятелствата, при които администраторът може да поиска заплащането на разходите, свързани с предоставянето на копие от личните данни, които се обработват.
68 При тези условия преследването на целта за защита на икономическите интереси на лекуващите лекари не може да обоснове мярка, която поставя под въпрос правото да се получи безплатно първо копие, а по този начин и полезното действие на правото на достъп на субекта на данни до неговите лични данни, които се обработват.
69 С оглед на всички изложени по-горе съображения на втория въпрос следва да се отговори, че член 23, параграф 1, буква и) от ОРЗД трябва да се тълкува в смисъл, че национално законодателство, прието преди влизането в сила на този регламент, може да попадне в приложното поле на посочената разпоредба. Тази възможност обаче не позволява да се приеме национално законодателство, което, за да защити икономическите интереси на администратора, възлага в тежест на субекта на данни разходите за първо копие на неговите лични данни, предмет на обработване.
По третия въпрос
70 С третия си въпрос запитващата юрисдикция по същество иска да се установи дали член 15, параграф 3, първо изречение от ОРЗД трябва да се тълкува в смисъл, че в контекста на отношенията между лекар и пациент правото да се получи копие от личните данни, които са предмет на обработване, предполага предоставянето на субекта на данните на пълно копие на документите, съдържащи се в медицинското му досие, които съдържат неговите лични данни, или само копие от тези данни като такива.
71 Най-напред, Съдът е постановил, че съгласно текста на член 15, параграф 3, първо изречение от ОРЗД тази разпоредба предоставя на субекта на данните правото да получи точна реплика на личните му данни, разбирани в широк смисъл, които са предмет на операции, които трябва да бъдат квалифицирани като обработване от страна на администратора (решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF, C‑487/21, EU:C:2023:369, т. 28).
72 На следващо място, член 15 от ОРЗД няма как да се тълкува в смисъл, че в параграф 3, първо изречение от него предвижда право, отделно от залегналото в параграф 1 от него. Впрочем, терминът „копие“ се отнася не до документа като такъв, а до личните данни, които той съдържа и които трябва да са пълни. Следователно копието трябва да съдържа всички лични данни, които са в процес на обработване (решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF, C‑487/21, EU:C:2023:369, т. 32).
73 Накрая, що се отнася до целите, преследвани с член 15 от ОРЗД, той има за цел да укрепи и уточни правата на субектите на данни. Така предвиденото в тази разпоредба право на достъп трябва да позволи на субекта на данните да провери дали свързаните с него лични данни са точни и дали се обработват законосъобразно. Освен това копието от личните данни, които са в процес на обработване, което администраторът е длъжен да предостави съгласно член 15, параграф 3, първо изречение от ОРЗД, трябва да има всички характеристики, които позволяват на субекта на данните да упражни ефективно правата си по този регламент, и следователно трябва да възпроизвежда изцяло и точно тези данни (решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF, C‑487/21, EU:C:2023:369, т. 33, 34 и 39).
74 По-специално, за да се гарантира, че предоставената от администратора информация е лесна за разбиране, както изисква член 12, параграф 1 от ОРЗД във връзка със съображение 58 от този регламент, възпроизвеждането на извлечения от документи, и дори на цели документи, които в частност съдържат личните данни в процес на обработване, може да се окаже задължително, ако ситуирането на обработваните данни в контекст е необходимо, за да се гарантира тяхната разбираемост (решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF, C‑487/21, EU:C:2023:369, т. 41).
75 Ето защо правото да се получи от администратора копие от личните данни, които са в процес на обработване, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Това право предполага правото на получаване на копие от извлечения от документи и дори от цели документи, които в частност съдържат посочените данни, ако предоставянето на такова копие е задължително, за да може субектът на данните ефективно да упражни предоставените му с този регламент права (решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF, C‑487/21, EU:C:2023:369, т. 45).
76 Що се отнася до разглежданата в главното производство информация, следва да се отбележи, че ОРЗД установява данните, от които жалбоподателят в главното производство трябва да може да поиска копие. Така, що се отнася до личните данни, свързани със здравословното състояние, в съображение 63 от този регламент се уточнява, че правото на достъп на субектите на данни включва „данните в медицинските им досиета, които съдържат информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции“.
77 В това отношение, както по същество отбелязва генералният адвокат в точки 78—80 от заключението си, именно поради чувствителността на личните данни, свързани със здравословното състояние на физическите лица, законодателят на Съюза е извел на преден план необходимостта достъпът на последните до съдържащите се в медицинското им досие данни да се представя на същите възможно най-пълно и точно, но и разбираемо.
78 Що се отнася до резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции, по отношение на пациент, които по правило включват множество технически данни, дори изображения, предоставянето на просто резюме или компилация от страна на лекаря на тези данни с цел представянето им в синтетична форма, би могло да създаде опасност някои релевантни данни да бъдат пропуснати или възпроизведени неправилно или във всеки случай да затрудни проверката на тяхната точност и изчерпателност, както и разбирането им от пациента.
79 С оглед на всички изложени по-горе съображения на третия въпрос следва да се отговори, че член 15, параграф 3, първо изречение от ОРЗД трябва да се тълкува в смисъл, че в контекста на отношенията между лекар и пациент правото да се получи копие от личните данни, които са предмет на обработване, предполага предоставянето на субекта на данните на точна и разбираема реплика на всички тези данни. Това право предполага същият да получи пълно копие на документите, съдържащи се в медицинското му досие, които съдържат по-специално посочените данни, ако предоставянето на такова копие е необходимо, за да може субектът на данните да провери точността и пълнотата им, както и за да се гарантира разбираемостта им. Що се отнася до данните за здравословното състояние на субекта на данните, това право във всички случаи включва правото да получи копие от данните от медицинското му досие, съдържащо информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции по отношение на него.
По съдебните разноски
80 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (първи състав) реши:
1) Член 12, параграф 5, член 15, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
администраторът е длъжен да изпълни задължението за безплатно предоставяне на субекта на данни на първо копие от личните му данни, предмет на обработване, дори когато основанието на искането е цел, различна от посочените в съображение 63, първо изречение от този регламент.
2) Член 23, параграф 1, буква и) от Регламент 2016/679
трябва да се тълкува в смисъл, че
национално законодателство, прието преди влизането в сила на този регламент, може да попадне в приложното поле на посочената разпоредба. Тази възможност обаче не позволява да се приеме национално законодателство, което, за да защити икономическите интереси на администратора, възлага в тежест на субекта на данни разходите за първо копие на неговите лични данни, предмет на обработване.
3) Член 15, параграф 3, първо изречение от Регламент 2016/679
трябва да се тълкува в смисъл, че
в контекста на отношенията между лекар и пациент правото да се получи копие от личните данни, които са предмет на обработване, предполага предоставянето на субекта на данните на точна и разбираема реплика на всички тези данни. Това право предполага същият да получи пълно копие на документите, съдържащи се в медицинското му досие, които съдържат по-специално посочените данни, ако предоставянето на такова копие е необходимо, за да може субектът на данните да провери точността и пълнотата им, както и за да се гарантира разбираемостта им. Що се отнася до данните за здравословното състояние на субекта на данните, това право във всички случаи включва правото да получи копие от данните от медицинското му досие, съдържащо информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции по отношение на него.
Подписи