DOMSTOLENS DOM (Første Afdeling)
4. maj 2023 (*)
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – den registreredes ret til indsigt i de oplysninger, der behandles om den registrerede – artikel 15, stk. 3 – udlevering af en kopi af oplysningerne – begrebet »kopi« – begrebet »oplysninger««
I sag C-487/21,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig) ved afgørelse af 9. august 2021, indgået til Domstolen den 9. august 2021, i sagen
F.F.
mod
Österreichische Datenschutzbehörde,
procesdeltager:
CRIF GmbH,
har
DOMSTOLEN (Første Afdeling),
sammensat af afdelingsformanden, A. Arabadjiev, og dommerne P.G. Xuereb, T. von Danwitz, A. Kumin og I. Ziemele (refererende dommer),
generaladvokat: G. Pitruzzella,
justitssekretær: A. Calot Escobar,
på grundlag af den skriftlige forhandling,
efter at der er afgivet indlæg af:
– F.F. ved M. Schrems,
– Österreichische Datenschutzbehörde ved A. Jelinek og M. Schmidl, som befuldmægtigede,
– CRIF GmbH ved Rechtsanwälte L. Feiler og M. Raschhofer,
– den østrigske regering ved G. Kunnert, A. Posch og J. Schmoll, som befuldmægtigede,
– den tjekkiske regering ved O. Serdula, M. Smolek og J. Vláčil, som befuldmægtigede,
– den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato M. Russo,
– Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 15. december 2022,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 15 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) (herefter »databeskyttelsesforordningen«).
2 Anmodningen er blevet indgivet i forbindelse med en tvist mellem F.F. og Österreichische Datenschutzbehörde (den østrigske databeskyttelsesmyndighed) (herefter »DSB«) vedrørende sidstnævntes afslag på at pålægge CRIF GmbH at fremsende en kopi af dokumenter og udskrifter fra databaser, der bl.a. indeholder F.F.’s personoplysninger, som er genstand for behandling.
Retsforskrifter
3 10., 11., 26., 58., 60. og 63. betragtning til databeskyttelsesforordningen har følgende ordlyd:
»(10) For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger inden for Unionen bør beskyttelsesniveauet for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Unionen. […]
(11) For at sikre effektiv beskyttelse af personoplysninger i Unionen er det nødvendigt at styrke og præcisere de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af personoplysninger […]
[…]
(26) Principperne for databeskyttelse bør gælde for enhver information om en identificeret eller identificerbar fysisk person […] For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende […]
[…]
(58) Princippet om gennemsigtighed kræver, at alle oplysninger, som er rettet til det offentlige og den registrerede, bør være nemt tilgængelige og letforståelige, og at der benyttes et klart og forståeligt sprog […]
[…]
(60) Principperne om rimelig og gennemsigtig behandling kræver, at den registrerede informeres om behandlingsaktiviteters eksistens og deres formål. Den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. […]
[…]
(63) En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. […] Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig de formål, hvortil personoplysningerne behandles, om muligt perioden, hvor personoplysningerne behandles, modtagerne af personoplysningerne, logikken, der ligger bag en automatisk behandling af personoplysninger, og om konsekvenserne af sådan behandling, i hvert fald når den er baseret på profilering. Hvis det er muligt, bør den dataansvarlige kunne give fjernadgang til et sikkert system, der giver den registrerede direkte adgang til vedkommendes personoplysninger. Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. […]«
4 Denne forordnings artikel 4 fastslår:
»I denne forordning forstås ved:
1) »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person […]; ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet[…]
2) »behandling«: enhver aktivitet eller række af aktiviteter — med eller uden brug af automatisk behandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for […]
[…]«
5 Databeskyttelsesforordningens artikel 12 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« fastsætter:
»1. Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.
[…]
3. Den dataansvarlige oplyser uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 15-22. […] Hvis den registrerede indgiver en anmodning elektronisk, meddeles oplysningerne så vidt muligt elektronisk, medmindre den registrerede anmoder om andet.
[…]«
6 Databeskyttelsesforordningens artikel 15 med overskriften »Den registreredes indsigtsret« bestemmer:
»1. Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:
a) formålene med behandlingen
b) de berørte kategorier af personoplysninger
c) de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer
d) om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum
e) retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling
f) retten til at indgive en klage til en tilsynsmyndighed
g) enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede
h) forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
2. Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.
3. Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.
4. Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.«
7 Databeskyttelsesforordningens artikel 16 med overskriften »Ret til berigtigelse« fastsætter:
»Den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Den registrerede har under hensyntagen til formålene med behandlingen ret til få fuldstændiggjort ufuldstændige personoplysninger, bl.a. ved at fremlægge en supplerende erklæring.«
8 Databeskyttelsesforordningens artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« har i stk. 1 følgende ordlyd:
»Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse […]
[…]«
Tvisten i hovedsagen og de præjudicielle spørgsmål
9 CRIF er et kreditoplysningsbureau, som på anmodning af kunderne giver kreditoplysninger om tredjemænd. I dette øjemed behandlede bureauet personoplysninger om sagsøgeren i hovedsagen.
10 Ved skrivelse af 20. december 2018 anmodede sagsøgeren CRIF på grundlag af databeskyttelsesforordningens artikel 15 om at få adgang til de personoplysninger, der omhandler ham. Han anmodede desuden om at få udleveret en kopi af dokumenterne, dvs. e-mails og udskrifter fra databaser, som bl.a. indeholdt hans data »i et teknisk standardformat«.
11 Som svar på denne anmodning fremsendte CRIF i sammenfattet form listen over de personoplysninger, der var genstand for behandling, til sagsøgeren i hovedsagen.
12 Da sagsøgeren i hovedsagen var af den opfattelse, at CRIF burde have fremsendt en kopi af alle de dokumenter, der indeholdt oplysninger om ham, såsom e-mails og udskrifter af databaser, indgav han en klage til DSB.
13 DSB afslog klagen ved afgørelse af 11. september 2019 med den begrundelse, at CRIF ikke havde tilsidesat sagsøgerens ret til indsigt i sine personoplysninger.
14 Den forelæggende ret, for hvilken sagsøgeren i hovedsagen har anlagt sag til prøvelse af denne afgørelse, er i tvivl om rækkevidden af databeskyttelsesforordningens artikel 15, stk. 3, første punktum. Den forelæggende ret ønsker navnlig oplyst, om den i denne bestemmelse fastsatte forpligtelse til at udlevere en »kopi« af personoplysningerne er opfyldt, når den dataansvarlige videregiver personoplysningerne i form af en oversigtstabel, eller om denne forpligtelse ligeledes indebærer, at udskrifter af dokumenter eller hele dokumenter samt uddrag fra databaser, hvori disse oplysninger gengives, ligeledes skal udleveres.
15 Den forelæggende ret ønsker nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 15, stk. 3, første punktum, begrænser sig til at definere den form, hvori retten til aktindsigt i de oplysninger, der er omhandlet i forordningens artikel 15, stk. 1, skal sikres, eller om den førstnævnte bestemmelse fastsætter en selvstændig ret for den registrerede til at få adgang til oplysninger om den sammenhæng, hvori denne persons oplysninger behandles, i form af kopier af uddrag af dokumenter eller hele dokumenter eller uddrag fra databaser, der bl.a. indeholder disse oplysninger.
16 Den forelæggende ret ønsker desuden oplyst, om begrebet »oplysninger« i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, ligeledes omfatter de oplysninger, der er omhandlet i denne forordnings artikel 15, stk. 1, litra a) -h), eller supplerende oplysninger såsom metadata, der er knyttet til data, eller om det udelukkende omfatter »personoplysninger, der er genstand for behandling« som omhandlet i den nævnte forordnings artikel 15, stk. 3, første punktum.
17 Under disse omstændigheder har Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal begrebet »kopi« i artikel 15, stk. 3, i [databeskyttelsesforordningen] fortolkes således, at der derved forstås en fotokopi henholdsvis en telefax eller en elektronisk kopi af en (elektronisk) oplysning, eller omfatter begrebet også, i overensstemmelse med fortolkningen af begrebet i tyske, franske og engelske ordbøger en »Abschrift«, »double« (»duplicata«) eller »transcript«?
2) Skal databeskyttelsesforordningens artikel 15, stk. 3, første punktum, hvorefter »(d)en dataansvarlige udleverer en kopi af de personoplysninger, der behandles«, fortolkes således, at bestemmelsen indeholder en generel ret for en registreret til at få udleveret en kopi – også – af hele dokumenter, hvori den registreredes personoplysninger behandles henholdsvis til at få udleveret en kopi af et uddrag af en database i tilfælde af, at personoplysningerne behandles i en sådan, eller giver bestemmelsen – kun – den registrerede ret til en nøjagtig gengivelse af de personoplysninger, hvortil der i henhold til databeskyttelsesforordningens artikel 15, stk. 1, skal gives adgang?
3) Såfremt det andet spørgsmål besvares således, at den registrerede kun har ret til en nøjagtig gengivelse af de personoplysninger, hvortil der i henhold til databeskyttelsesforordningens artikel 15, stk. 1, skal gives adgang, skal databeskyttelsesforordningens artikel 15, stk. 3, første punktum, da fortolkes således, at det, henset til de behandlede oplysningers art (f.eks. for så vidt angår diagnoser, undersøgelsesresultater eller vurderinger, som er nævnt i 63. betragtning, eller skriftligt materiale i forbindelse med en prøve som omhandlet i Domstolens dom af 20. december 2017, Nowak (C-434/16, EU:C:2017:994),) og kravet om gennemsigtighed i databeskyttelsesforordningens artikel 12, stk. 1, i konkrete tilfælde alligevel kan være nødvendigt også at udlevere tekstafsnit eller hele dokumenter til den registrerede?
4) Skal begrebet »oplysninger«, som i henhold til databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, skal »udleveres [til den registrerede] i en almindeligt anvendt elektronisk form«, når denne indgiver anmodningen elektronisk, »og medmindre den registrerede anmoder om andet«, fortolkes således, at der derved alene forstås de i artikel 15, stk. 3, første punktum, nævnte »personoplysninger, der behandles«?
a) Såfremt det fjerde spørgsmål besvares benægtende: Skal begrebet »oplysninger«, som i henhold til databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, skal »udleveres [til den registrerede] i en almindeligt anvendt elektronisk form«, når denne indgiver anmodningen elektronisk, »og medmindre den registrerede anmoder om andet«, fortolkes således, at der derved desuden også forstås informationen i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra a)-h)?
b) Såfremt det fjerde spørgsmål, litra a), også besvares benægtende: Skal begrebet »oplysninger«, som i henhold til databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, skal »udleveres [til den registrerede] i en almindeligt anvendt elektronisk form«, når denne indgiver anmodningen elektronisk, »og medmindre den registrerede anmoder om andet«, fortolkes således, at der derved ud over de »personoplysninger, der behandles« og den i artikel 15, stk. 1, litra a)-h) nævnte information eksempelvis forstås tilhørende metadata?«
Om de præjudicielle spørgsmål
Det første, det andet og det tredje præjudicielle spørgsmål
18 Den forelæggende ret ønsker med det første til det tredje spørgsmål, som skal behandles samlet, nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 15, stk. 3, første punktum, sammenholdt med gennemsigtighedsprincippet i forordningens artikel 12, stk. 1, skal fortolkes således, at retten til at få en kopi af de behandlede personoplysninger indebærer, at den registrerede ikke blot får udleveret en kopi af disse oplysninger, men også en kopi af uddrag af dokumenter eller hele dokumenter eller uddrag af databaser, som bl.a. indeholder de nævnte oplysninger. Den forelæggende ret er navnlig i tvivl om omfanget af denne ret.
19 Det skal indledningsvis bemærkes, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dens ordlyd, men også til den sammenhæng, hvori bestemmelsen indgår, og de mål, der forfølges med den ordning, som den udgør en del af (jf. i denne retning dom af 2.12.2021, Vodafone Kabel Deutschland, C-484/20, EU:C:2021:975, præmis 19 og den deri nævnte retspraksis, og af 7.9.2022, Staatssecretaris van Justitie en Veiligheid (Karakteren af retten til ophold i henhold til artikel 20 TEUF), C-624/20, EU:C:2022:639, præmis 28).
20 Det fremgår af ordlyden af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, at den dataansvarlige »udleverer en kopi af de personoplysninger, der behandles«.
21 Selv om databeskyttelsesforordningen ikke indeholder en definition af det således anvendte begreb »kopi«, skal der tages hensyn til dette udtryks sædvanlige betydning, der, som generaladvokaten har anført i punkt 30 i forslaget til afgørelse, betegner en nøjagtig gengivelse eller afskrift af en original, således at en rent generel beskrivelse af de oplysninger, der er genstand for behandling, eller en henvisning til kategorier af personoplysninger ikke svarer til denne definition. Det fremgår desuden af ordlyden af denne forordnings artikel 15, stk. 3, første punktum, at oplysningspligten vedrører de personoplysninger, der er genstand for den omhandlede behandling.
22 Databeskyttelsesforordningens artikel 4, nr. 1), definerer begrebet »personoplysninger« som »enhver form for information om en identificeret eller identificerbar fysisk person« og uddyber, at der »ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet«.
23 Anvendelsen af udtrykket »enhver form for information« i definitionen af begrebet »personoplysninger«, som fremgår af denne bestemmelse, afspejler EU-lovgivers hensigt om at give begrebet en bred betydning, således at det potentielt omfatter enhver form for information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, forudsat at informationen er »om« den pågældende person (jf. analogt dom af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 34).
24 I denne henseende er det blevet fastslået, at en information vedrører en identificeret eller identificerbar fysisk person, hvis den på grund af sit indhold, formål eller virkning er knyttet til en identificerbar person (jf. i denne retning dom af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 35).
25 For så vidt angår karakteriseringen af en oplysning om en fysisk person som »identificerbar« fremgår det af 26. betragtning til databeskyttelsesforordningen, at alle midler bør tages i betragtning, »der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende«.
26 Som generaladvokaten i det væsentlige har anført i punkt 36-39 i forslaget til afgørelse, omfatter den brede definition af begrebet »personoplysninger« således ikke kun de oplysninger, der indsamles og opbevares af den dataansvarlige, men ligeledes alle oplysninger, som hidrører fra en behandling af personoplysninger, der vedrører en identificeret eller identificerbar person – såsom en vurdering af den pågældendes solvens eller af, om vedkommende er i stand til at betale.
27 I denne sammenhæng skal det tilføjes, at EU-lovgiver har haft til hensigt at give begrebet »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2, en vid rækkevidde, som udtrykkes ved en ikke-udtømmende karakter af aktiviteter (jf. i denne retning dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 35).
28 Afslutningsvis følger det af den ordlydsbaserede analyse af databeskyttelsesforordningens artikel 15, stk. 3, første punktum, at bestemmelsen giver den registrerede ret til at få udleveret en nøjagtig gengivelse af sine personoplysninger – opfattet i bred forstand – som er genstand for aktiviteter, der kan kvalificeres som behandling udført af den konkrete dataansvarlige.
29 Når dette er sagt, må det konstateres, at samme bestemmelses ordlyd ikke i sig selv gør det muligt at besvare de tre første spørgsmål, for så vidt som den ikke indeholder nogen angivelse af en eventuel ret til at få udleveret ikke blot en kopi af de personoplysninger, der er genstand for en behandling, men ligeledes en kopi af uddragene af dokumenter eller af hele dokumenter eller endog uddrag fra databaser, der bl.a. indeholder disse oplysninger.
30 Hvad angår den sammenhæng, hvori databeskyttelsesforordningens artikel 15, stk. 3, første punktum, indgår, bemærkes, at databeskyttelsesforordningens artikel 15 – der har overskriften »Den registreredes ret til indsigt« – i stk. 1 definerer genstanden for og anvendelsesområdet for den registreredes ret til indsigt og fastsætter sidstnævntes ret til fra den dataansvarlige at få indsigt i sine personoplysninger og de oplysninger, som er omhandlet i dette stykkes litra a)-h).
31 Databeskyttelsesforordningens artikel 15, stk. 3, præciserer de praktiske foranstaltninger, der påhviler den dataansvarlige, idet det bl.a. i første punktum præciseres, i hvilken form den dataansvarlige skal levere »personoplysninger, der er genstand for behandling«, dvs. i form af en »kopi«. Det fremgår endvidere af stk. 3, tredje punktum, at oplysningerne gives i almindelig elektronisk form, når anmodningen fremsættes elektronisk, medmindre den registrerede anmoder om andet.
32 Som følge heraf kan databeskyttelsesforordningens artikel 15 ikke fortolkes således, at den i stk. 3, første punktum, fastsætter en særskilt ret ud over den, som fremgår af bestemmelsens stk. 1. Europa-Kommissionen har i sit skriftlige indlæg anført, at udtrykket »kopi« i øvrigt ikke henviser til et dokument som sådant, men til de personoplysninger, som det indeholder, og som skal være fuldstændige. Kopien skal derfor indeholde alle de personoplysninger, der behandles.
33 For så vidt angår de formål, der forfølges med databeskyttelsesforordningens artikel 15, skal det bemærkes, at databeskyttelsesforordningen, således som det fremgår af 11. betragtning hertil, har til formål at styrke og præcisere de registreredes rettigheder. Forordningens artikel 15 fastsætter i denne henseende en ret til at få en kopi i modsætning til artikel 12, litra a), andet led, i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31), som var begrænset til en ret til at kræve »at få oplyst, om der behandles personoplysninger om den pågældende selv«. 63. betragtning til databeskyttelsesforordningen fastsætter, at »[e]n registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed«.
34 Retten til indsigt, der er fastsat i databeskyttelsesforordningens artikel 15, skal således gøre det muligt for den registrerede at sikre sig, at personoplysningerne om vedkommende er korrekte, og at de behandles lovligt (jf. i denne retning dom af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger), C-154/21, EU:C:2023:3, præmis 37 og den deri nævnte retspraksis).
35 Denne ret til indsigt er navnlig nødvendig for, at den registrerede i givet fald kan udøve sin ret til berigtigelse, retten til sletning (»ret til at blive glemt«) og retten til begrænsning af behandling, der er indrømmet den registrerede i henholdsvis databeskyttelsesforordningens artikel 16, 17 og 18, og den pågældendes ret til i henhold til databeskyttelsesforordningens artikel 21 at gøre indsigelse mod behandling af sine personoplysninger, samt, jf. databeskyttelsesforordningens artikel 79 og 82, af vedkommendes adgang til at iværksætte retsmidler, såfremt denne har lidt skade (jf. dom af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger), C-154/21, EU:C:2023:3, præmis 38 og den deri nævnte retspraksis).
36 Det bør også bemærkes, at det i 60. betragtning til databeskyttelsesforordningen anføres, at principperne om rimelig og gennemsigtig behandling kræver, at den registrerede informeres om behandlingsaktiviteters eksistens og deres formål, idet det understreges, at den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under.
37 I overensstemmelse med princippet om gennemsigtighed, som den forelæggende ret har henvist til, og hvortil der henvises i 58. betragtning til databeskyttelsesforordningen, og som udtrykkeligt er fastsat i forordningens artikel 12, stk. 1, skal alle oplysninger, der sendes til den registrerede, være kortfattede, lettilgængelige og letforståelige og formuleret i et klart og enkelt sprog.
38 Som generaladvokaten har anført i punkt 54 og 55 i forslaget til afgørelse, fremgår det af bestemmelsen, at den dataansvarlige skal træffe passende foranstaltninger til at give den registrerede enhver oplysning som omhandlet i bl.a. databeskyttelsesforordningens artikel 15 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, og at oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk, medmindre den registrerede anmoder om, at de gives mundtligt. Denne bestemmelse er et udtryk for princippet om gennemsigtighed og tilsigter at gøre det muligt for den registrerede at opnå fuld forståelse af de fremsendte oplysninger.
39 Det følger heraf, at den kopi af personoplysninger, der er genstand for behandling, og som den dataansvarlige skal give i henhold til databeskyttelsesforordningens artikel 15, stk. 3, første punktum, skal udvise alle de karakteristika, der gør det muligt for den registrerede effektivt at udøve sine rettigheder i henhold til denne forordning, og derfor skal gengive disse oplysninger fuldstændigt og nøjagtigt.
40 Denne fortolkning er i overensstemmelse med forordningens formål, således som det fremgår af tiende betragtning hertil, som er at sikre et højt niveau for beskyttelse af fysiske personer inden for EU, og med henblik herpå sikre, at reglerne for beskyttelse af disse personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i EU (dom af 9.2.2023, X-FAB Dresden, C-453/21, EU:C:2023:79, præmis 25 og den deri nævnte retspraksis).
41 Med henblik på at sikre, at de således tilvejebragte oplysninger er lette at forstå, således som det kræves i henhold til databeskyttelsesforordningens artikel 12, stk. 1, sammenholdt med 58. betragtning til denne forordning, kan det nemlig være nødvendigt at gengive uddrag af dokumenter såvel som hele dokumenter eller uddrag fra databaser, der bl.a. indeholder de personoplysninger, der er genstand for behandling, således som generaladvokaten har anført i punkt 57 og 58 i forslag til afgørelse, når en kontekstualisering af de behandlede oplysninger er nødvendig for at sikre deres forståelighed.
42 Navnlig når personoplysninger genereres på grundlag af andre oplysninger, eller når sådanne oplysninger hidrører fra frie felter, dvs. manglende angivelse af en oplysning om den registrerede, er den sammenhæng, hvori disse oplysninger behandles, et nødvendigt element for at give den registrerede en gennemsigtig adgang til og en letforståelig præsentation af disse oplysninger.
43 Derudover bør denne ret til at modtage en kopi som omhandlet i artikel 15, stk. 3, i henhold til databeskyttelsesforordningens artikel 15, stk. 4, sammenholdt med 63. betragtning til forordningen, ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af.
44 Generaladvokaten har således i punkt 61 i forslaget til afgørelse fremhævet, at der i tilfælde af konflikt mellem udøvelsen af en fuld og uindskrænket ret til indsigt i personoplysninger og andres rettigheder eller frihedsrettigheder er nødvendigt at foretage en afvejning af de pågældende rettigheder. Hvis det er muligt, skal der vælges måder for udlevering af personoplysningerne, som ikke krænker andres rettigheder eller frihedsrettigheder, under hensyntagen til – sådan som det fremgår af 63. betragtning til databeskyttelsesforordningen – at disse vurderinger ikke må »resultere i en afvisning af at give al information til den registrerede«.
45 Henset til ovennævnte betragtninger skal det bemærkes, at de første tre præjudicielle spørgsmål fra den forelæggende ret skal besvares med, at databeskyttelsesforordningens artikel 15, stk. 3, første punktum,
skal fortolkes således, at
retten til at få en kopi af de personoplysninger, som den dataansvarlige behandler, indebærer, at den registrerede får udleveret en nøjagtig og forståelig gengivelse af alle disse oplysninger. Denne ret indebærer retten til at få en kopi af uddrag af dokumenter, såvel som hele dokumenter eller uddrag fra databaser, som bl.a. indeholder de nævnte oplysninger, hvis udleveringen af en sådan kopi er nødvendig for at gøre det muligt for den registrerede effektivt at udøve de rettigheder, som vedkommende er tillagt ved forordningen, idet det understreges, at der i denne henseende skal tages hensyn til andres rettigheder og friheder.
Det fjerde præjudicielle spørgsmål
46 Den forelæggende ret søger med dette spørgsmål hovedsageligt oplyst, hvorvidt databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, skal fortolkes således, at det deri omhandlede begreb »oplysning« udelukkende vedrører de personoplysninger, som den dataansvarlige skal udlevere en kopi af, jf. første punktum i nævnte bestemmelse, eller om det også omfatter alle de oplysninger, der er nævnt i den nævnte artikels stk. 1, eller om det også omfatter elementer, som går videre end disse, eksempelvis metadata.
47 Desuden bemærkes med henvisning til præmis 19 i nærværende dom, at der ved fortolkningen af en EU-retlig regel ikke blot skal tages hensyn til dens ordlyd, men ligeledes til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af.
48 Selv om databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, i denne henseende begrænser sig til at anføre, at »hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form«, uden at præcisere, hvad der skal forstås ved udtrykket »oplysninger«, fremgår det af dette stykkes første punktum, at »den dataansvarlige udleverer en kopi af de personoplysninger, der behandles«.
49 Det følger derfor af sammenhængen i databeskyttelsesforordningens artikel 15, stk. 3, tredje punktum, at »oplysningerne«, som bestemmelsen henviser til, nødvendigvis svarer til de personoplysninger, som den dataansvarlige skal udlevere en kopi af i overensstemmelse med første punktum i dette stykke.
50 En sådan fortolkning bekræftes af de formål, der forfølges med databeskyttelsesforordningens artikel 15, stk. 3, der, således som det er anført i denne doms præmis 31, er at fastlægge de praktiske foranstaltninger til opfyldelse af den forpligtelse, der påhviler den dataansvarlige, til at udlevere en kopi af de personoplysninger, der er genstand for behandling. Følgelig skaber denne bestemmelse ikke en ret, der er forskellig fra den ret, som den registrerede har til at opnå en loyal og forståelig gengivelse af disse oplysninger, som gør det muligt for vedkommende effektivt at udøve de rettigheder, som denne forordning tillægger vedkommende.
51 Det skal imidlertid bemærkes, at der ikke er nogen bestemmelse i forordningen, der fastsætter en forskellig behandling af en ansøgning alt efter den form, hvori den er indgivet, således at omfanget af retten til at modtage en kopi ikke kan variere afhængigt af denne form.
52 Det skal i øvrigt ligeledes bemærkes, at det følger af databeskyttelsesforordningens artikel 12, stk. 3, at når anmodningen er indgivet elektronisk, gives de oplysninger, der er omhandlet i artikel 15, og dermed også de oplysninger, der er nævnt i artikel 15, stk. 1, litra a)-h), elektronisk, medmindre andet er angivet af den registrerede.
53 Henset til ovenstående betragtninger skal det fjerde præjudicielle spørgsmål besvares med, at artikel 15, stk. 3, tredje punktum,
skal fortolkes således, at
begrebet »oplysninger« udelukkende vedrører de personoplysninger, som den registeransvarlige skal udlevere en kopi af i henhold til dette stykkes første punktum.
Sagsomkostninger
54 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:
1) Artikel 15, stk. 3, førte punktum, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
retten til at få en kopi af de personoplysninger, som den dataansvarlige behandler, indebærer, at den registrerede får udleveret en nøjagtig og forståelig gengivelse af alle disse oplysninger. Denne ret indebærer retten til at få en kopi af uddrag af dokumenter, såvel som hele dokumenter eller uddrag fra databaser, som bl.a. indeholder de nævnte oplysninger, hvis udleveringen af en sådan kopi er nødvendig for at gøre det muligt for den registrerede effektivt at udøve de rettigheder, som vedkommende er tillagt ved forordningen, idet det understreges, at der i denne henseende skal tages hensyn til andres rettigheder og friheder.
2) Artikel 15, stk. 3, tredje punktum, i forordning 2016/679
skal fortolkes således, at
begrebet »oplysninger« udelukkende vedrører de personoplysninger, som den registeransvarlige skal udlevere en kopi af i henhold til dette stykkes første punktum.
Underskrifter