WYROK TRYBUNAŁU (pierwsza izba)
z dnia 4 maja 2023 r.(*)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Prawo dostępu danej osoby do własnych danych podlegających przetwarzaniu – Artykuł 15 ust. 3 – Dostarczenie kopii danych – Pojęcie „kopii” – Pojęcie „informacji”
W sprawie C‑487/21
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Bundesverwaltungsgericht (federalny sąd administracyjny, Austria) postanowieniem z dnia 9 sierpnia 2021 r., które wpłynęło do Trybunału w dniu 9 sierpnia 2021 r., w postępowaniu:
F.F.
przeciwko
Österreichische Datenschutzbehörde,
przy udziale:
CRIF GmbH,
TRYBUNAŁ (pierwsza izba),
w składzie: A. Arabadjiev, prezes izby, P.G. Xuereb, T. von Danwitz, A. Kumin i I. Ziemele (sprawozdawczyni), sędziowie,
rzecznik generalny: G. Pitruzzella,
sekretarz: A. Calot Escobar,
uwzględniając pisemny etap postępowania,
rozważywszy uwagi, które przedstawili:
– w imieniu F.F. – M. Schrems,
– w imieniu Österreichische Datenschutzbehörde – A. Jelinek i M. Schmidl, w charakterze pełnomocników,
– w imieniu CRIF GmbH – L. Feiler i M. Raschhofer, Rechtsanwälte,
– w imieniu rządu austriackiego – G. Kunnert, A. Posch i J. Schmoll, w charakterze pełnomocników,
– w imieniu rządu czeskiego – O. Serdula, M. Smolek i J. Vláčil, w charakterze pełnomocników,
– w imieniu rządu włoskiego – G. Palmieri, w charakterze pełnomocnika, którą wspierała M. Russo, avvocato dello Stato,
– w imieniu Komisji Europejskiej – A. Bouchagiar, M. Heller i H. Kranenborg, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 15 grudnia 2022 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; zwanego dalej „RODO”).
2 Wniosek ten został złożony w ramach sporu pomiędzy F.F. a Österreichische Datenschutzbehörde (austriackim organem ochrony danych, zwanym dalej „DSB”) w przedmiocie odmówienia przez ten organ nakazania CRIF GmbH przekazania F.F. kopii dokumentów i wyciągów z baz danych zawierających między innymi jego dane osobowe podlegające przetwarzaniu.
Ramy prawne
3 Motywy 10, 11, 26, 58, 60 i 63 RODO mają następujące brzmienie:
„(10) Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii, należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych […].
(11) Aby ochrona danych osobowych w Unii była skuteczna, należy wzmocnić i doprecyzować prawa osób, których dane dotyczą, oraz obowiązki podmiotów przetwarzających dane osobowe i decydujących o przetwarzaniu […].
[…]
(26) Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych […]. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej […].
[…]
(58) Zasada przejrzystości wymaga, by wszelkie informacje kierowane do ogółu społeczeństwa lub osoby, której dane dotyczą, były zwięzłe, łatwo dostępne i zrozumiałe, by były formułowane jasnym i prostym językiem […].
[…]
(60) Zasady rzetelnego i przejrzystego przetwarzania wymagają, by osoba, której dane dotyczą, była informowana o prowadzeniu operacji przetwarzania i o jej celach. Administrator powinien podać osobie, której dane dotyczą, wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i konkretny kontekst przetwarzania danych osobowych […].
[…]
(63) Każda osoba fizyczna powinna mieć prawo dostępu do zebranych danych jej dotyczących oraz powinna mieć możliwość łatwego wykonywania tego prawa w rozsądnych odstępach czasu, by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem […]. Dlatego też każda osoba, której dane dotyczą, powinna mieć prawo do wiedzy i informacji, w szczególności w zakresie celów, w jakich dane osobowe są przetwarzane, w miarę możliwości okresu, przez jaki dane osobowe są przetwarzane, odbiorców danych osobowych, założeń ewentualnego zautomatyzowanego przetwarzania danych osobowych oraz, przynajmniej w przypadku profilowania, konsekwencji takiego przetwarzania. W miarę możliwości administrator powinien mieć możliwość udzielania zdalnego dostępu do bezpiecznego systemu, który zapewni osobie, której dane dotyczą, bezpośredni dostęp do jej danych osobowych. Prawo to nie powinno negatywnie wpływać na prawa lub wolności innych osób, w tym tajemnice handlowe lub własność intelektualną, w szczególności na prawa autorskie chroniące oprogramowanie […]”.
4 Artykuł 4 tego rozporządzenia stanowi:
„Na użytek niniejszego rozporządzenia:
1) »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej […]; »możliwa do zidentyfikowania osoba fizyczna« to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany […];
[…]”.
5 Artykuł 12 RODO, zatytułowany „Przejrzyste informowanie i przejrzysta komunikacja oraz tryb wykonywania praw przez osobę, której dane dotyczą”, stanowi w ust. 1:
„1. Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą.
[…]
3. Administrator bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15–22 […]. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy.
[…]”.
6 Zgodnie z art. 15 RODO, zatytułowanym „Prawo dostępu przysługujące osobie, której dane dotyczą”:
„1. Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji:
a) cele przetwarzania;
b) kategorie odnośnych danych osobowych;
c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych;
d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;
f) informacje o prawie wniesienia skargi do organu nadzorczego;
g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle;
h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
2. Jeżeli dane osobowe są przekazywane do państwa trzeciego lub organizacji międzynarodowej, osoba, której dane dotyczą, ma prawo zostać poinformowana o odpowiednich zabezpieczeniach, o których mowa w art. 46, związanych z przekazaniem.
3. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości, wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
4. Prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać na prawa i wolności innych”.
7 Artykuł 16 RODO, zatytułowany „Prawo do sprostowania danych”, stanowi:
„Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia”.
8 Artykuł 17 wspomnianego rozporządzenia, zatytułowany „Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”, stanowi w ust. 1:
„Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe […].
[…]”.
Postępowanie główne i pytania prejudycjalne
9 CRIF jest agencją doradztwa handlowego, która na żądanie swoich klientów dostarcza informacji na temat wypłacalności osób trzecich. W tym celu przetwarzała one dane osobowe skarżącego w postępowaniu głównym toczącym się przed sądem odsyłającym.
10 W dniu 20 grudnia 2018 r. ten ostatni zażądał od spółki CRIF, na podstawie art. 15 RODO, dostępu do dotyczących go danych osobowych. Ponadto zażądał dostarczenia kopii dokumentów, a mianowicie wiadomości elektronicznych i wyciągów z baz danych zawierających między innymi jego dane „w standardowym formacie”.
11 W odpowiedzi na to żądanie spółka CRIF przekazała skarżącemu w postępowaniu głównym streszczenie wykazu jego danych osobowych podlegających przetwarzaniu.
12 Uznawszy, że spółka CRIF powinna była przekazać mu kopię wszystkich dokumentów zawierających jego dane, takich jak wiadomości elektroniczne i wyciągi z bazy danych, skarżący w postępowaniu głównym wniósł skargę do DSB.
13 Decyzją z dnia 11 września 2019 r. DSB oddalił skargę, uznając, że spółka CRIF nie dopuściła się żadnego naruszenia prawa skarżącego w postępowaniu głównym do dostępu do dotyczących go danych osobowych.
14 Sąd odsyłający, do którego skarżący w postępowaniu głównym wniósł skargę na tę decyzję, wyraża wątpliwości co do zakresu zastosowania art. 15 ust. 3 zdanie pierwsze RODO. Sąd ten w szczególności zapytuje, czy przewidziany w tym przepisie obowiązek dostarczenia „kopii” danych osobowych zostaje spełniony, gdy administrator przekazuje dane osobowe w formie zbiorczej tabeli, czy też obowiązek ten oznacza również przekazanie fragmentów dokumentów, jak również wyciągów z baz danych, w których dane te są odtworzone.
15 Dokładniej rzecz ujmując, sąd ten stawia pytanie, czy art. 15 ust. 3 zdanie pierwsze RODO ogranicza się do zdefiniowania formy, w jakiej należy zagwarantować prawo dostępu do informacji, do którego odnosi się art. 15 ust. 1 tego rozporządzenia, czy też art. 15 ust. 3 zdanie pierwsze RODO ustanawia autonomiczne prawo osoby, której dane dotyczą, do dostępu do informacji dotyczących kontekstu, w jakim przetwarzane są jej dane, w postaci kopii fragmentów dokumentów lub całych dokumentów lub wyciągów z baz danych, które zawierają między innymi te dane.
16 Sąd odsyłający rozważa ponadto, czy pojęcie „informacji” zawarte w art. 15 ust. 3 zdanie trzecie RODO obejmuje również informacje, do których odnosi się art. 15 ust. 1 lit. a)–h) tego rozporządzenia, a nawet dodatkowe informacje, takie jak metadane związane z danymi, czy też obejmuje ono wyłącznie „dane osobowe podlegające przetwarzaniu”, do których odnosi się art. 15 ust. 3 zdanie pierwsze tego rozporządzenia.
17 W tych okolicznościach Bundesverwaltungsgericht (federalny sąd administracyjny, Austria) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1. Czy zawarte w art. 15 ust. 3 [RODO] pojęcie »kopii« należy interpretować w ten sposób, że oznacza ono fotokopię względnie faksymile lub elektroniczną kopię danych (elektronicznych), czy też obejmuje ono również »Abschrift«, »double« (»duplicata«) lub »transcript«, zgodnie z rozumieniem tych pojęć w słownikach niemieckich, francuskich i angielskich?
2. Czy art. 15 ust. 3 zdanie pierwsze RODO, zgodnie z którym »[a]dministrator dostarcza […] kopię danych osobowych podlegających przetwarzaniu«, należy interpretować w ten sposób, że przepis ten ustanawia ogólne prawo osoby, której dane dotyczą, do otrzymania kopii – również – całych dokumentów, w których przetwarzane są dane osobowe tej osoby, względnie do otrzymania kopii wyciągu z bazy danych, jeżeli dane osobowe są przetwarzane w takiej bazie, czy też przewiduje – jedynie – prawo osoby, której dane dotyczą, do wiernej kopii oryginałów danych osobowych, które podlegają udostępnieniu na podstawie art. 15 ust. 1 RODO?
3. Czy w przypadku udzielenia na pytanie drugie odpowiedzi, że osoba, której dane dotyczą, ma jedynie prawo do [uzyskania] wiernej kopii oryginału danych osobowych, które podlegają udostępnieniu na podstawie z art. 15 ust. 1 RODO, art. 15 ust. 3 zdanie pierwsze [tego rozporządzenia] należy interpretować w ten sposób, że zależnie od rodzaju przetwarzanych danych [np. w odniesieniu do diagnoz, wyników badań lub ocen wymienionych w motywie 63, lub również dokumentów związanych z egzaminem w rozumieniu wyroku Trybunału z dnia 20 grudnia 2017 r., Nowak (C‑434/16, EU:C:2017:994)]) i ze względu na zasadę przejrzystości wynikającą z art. 12 ust. 1 RODO w poszczególnych przypadkach może być jednak konieczne udostępnienie osobie, której dane dotyczą, fragmentów tekstu lub całych dokumentów?
4. Czy pojęcie »informacji«, które zgodnie z art. 15 ust. 3 zdanie trzecie RODO należy przekazać osobie, której dane dotyczą, »w powszechnie stosowanej formie elektronicznej«, gdy zwraca się ona o te informacje drogą elektroniczną i »jeżeli nie zaznaczy inaczej«, należy interpretować w ten sposób, że oznacza ono jedynie »dane osobowe podlegające przetwarzaniu«, do których odnosi się art. 15 ust. 3 zdanie pierwsze?
a) W razie udzielenia na pytanie czwarte odpowiedzi przeczącej: czy pojęcie »informacji«, które zgodnie z art. 15 ust. 3 zdanie trzecie RODO należy przekazać osobie, której dane dotyczą, »powszechnie stosowaną drogą elektroniczną«, gdy zwraca się ona o te informacje drogą elektroniczną i »jeżeli nie zaznaczy inaczej«, należy interpretować w ten sposób, że odnosi się ono ponadto do informacji do których odnosi się art. 15 ust. 1 lit. a)–h) RODO?
b) W razie udzielenia na pytanie czwarte lit. a) również odpowiedzi przeczącej: czy pojęcie »informacji«, które zgodnie z art. 15 ust. 3 zdanie trzecie RODO należy przekazać osobie, której dane dotyczą, »powszechnie stosowaną drogą elektroniczną«, gdy zwraca się ona o te informacje drogą elektroniczną i »jeżeli nie zaznaczy inaczej«, należy interpretować w ten sposób, że oprócz »danych osobowych podlegających przetwarzaniu« i oprócz informacji, do których odnosi się art. 15 ust. 1 lit. a)–h) RODO, oznacza ono na przykład powiązane metadane?”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pierwszego, drugiego i trzeciego pytania prejudycjalnego
18 Poprzez pytania od pierwszego do trzeciego, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 15 ust. 3 zdanie pierwsze RODO w związku z zasadą przejrzystości przewidzianą w art. 12 ust. 1 tego rozporządzenia należy interpretować w ten sposób, że prawo do uzyskania kopii danych osobowych podlegających przetwarzaniu wymaga przekazania osobie, której dane dotyczą, nie tylko kopii tych danych, lecz również kopii wyciągów z dokumentów lub całych dokumentów lub wyciągów z baz danych, które zawierają między innymi te dane. Sąd ten rozważa w szczególności zakres tego prawa.
19 Na wstępie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału przy dokonywaniu wykładni przepisu prawa Unii należy uwzględnić nie tylko jego brzmienie, ale także jego kontekst i cel aktu prawnego, którego jest on częścią [zob. podobnie wyroki: z dnia 2 grudnia 2021 r., Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, pkt 19 i przytoczone tam orzecznictwo; a także z dnia 7 września 2022 r., Staatssecretaris van Justitie en Veiligheid (Rodzaj prawa pobytu na podstawie art. 20 TFUE), C‑624/20, EU:C:2022:639, pkt 28].
20 Co się tyczy brzmienia art. 15 ust. 3 zdanie pierwsze RODO, przepis ten stanowi, że administrator „dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu”.
21 Skoro RODO nie zawiera definicji użytego w ten sposób pojęcia „kopii”, to należy wziąć pod uwagę zwyczajowe znaczenie tego pojęcia, oznaczające, jak zauważył rzecznik generalny w pkt 30 opinii, wierne odtworzenie lub wierną transkrypcję oryginału, tak że czysto ogólny opis danych podlegających przetwarzaniu lub odesłanie do kategorii danych osobowych nie odpowiada tej definicji. Ponadto z brzmienia art. 15 ust. 3 zdanie pierwsze tego rozporządzenia wynika, że obowiązek podania do wiadomości odnosi się do danych osobowych podlegających przetwarzaniu.
22 Artykuł 4 ust. 1 RODO definiuje pojęcie „danych osobowych” jako oznaczające wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”, precyzując, że możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”.
23 Użycie w definicji „danych osobowych” wyrażenia „wszelkie informacje” odzwierciedla bowiem przyświecający unijnemu prawodawcy zamiar przypisania temu pojęciu szerokiego zakresu, rozszerzając go potencjalnie o informacje wszelkiego rodzaju, zarówno obiektywne, jak i subiektywne, w postaci opinii czy oceny, a jedynym warunkiem, jaki muszą one spełniać, jest to, aby „dotyczyły” danej osoby (zob. podobnie wyrok z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 34).
24 Trybunał orzekł w tym względzie, że informacja dotyczy zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, jeżeli ze względu na treść, cel lub skutek taka informacja jest powiązana z możliwą do zidentyfikowania osobą (zob. podobnie wyrok z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 35).
25 W odniesieniu do „możliwych do zidentyfikowania” właściwości osoby fizycznej motyw 26 RODO precyzuje, że należy wziąć pod uwagę „wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej”.
26 Jak zauważył w istocie rzecznik generalny w pkt 36–39 opinii, szeroka definicja pojęcia „danych osobowych” obejmuje nie tylko dane gromadzone i przechowywane przez administratora danych, lecz obejmuje również wszelkie informacje wynikające z przetwarzania danych osobowych, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby, takie jak ocena jej wypłacalności lub gotowości do zapłaty.
27 W tym kontekście należy jeszcze dodać, że prawodawca Unii zamierzał nadać pojęciu „przetwarzania” zdefiniowanemu w art. 4 pkt 2 RODO szeroki zakres poprzez użycie niewyczerpującego wyliczenia operacji [zob. podobnie wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych), C‑175/20, EU:C:2022:124, pkt 35.]
28 Z analizy językowej art. 15 ust. 3 zdanie pierwsze RODO wynika zatem, że przepis ten przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii oryginału jej – rozumianych szeroko – danych osobowych podlegających operacji, które należy zakwalifikować jako przetwarzanie dokonywane przez administratora tego przetwarzania.
29 Niemniej jednak należy stwierdzić, że samo brzmienie tego przepisu nie pozwala na udzielenie odpowiedzi na trzy pierwsze pytania, ponieważ nie zawiera on żadnej wskazówki co do ewentualnego prawa do uzyskania nie tylko kopii danych osobowych podlegających przetwarzaniu, lecz również kopii fragmentów dokumentów czy całych dokumentów lub też wyciągów z baz danych, które zawierają między innymi te dane.
30 Co się tyczy kontekstu, w jaki wpisuje się art. 15 ust. 3 zdanie pierwsze RODO, należy zauważyć, że art. 15 RODO, zatytułowany „Prawo dostępu przysługujące osobie, której dane dotyczą”, określa w ust. 1 przedmiot i zakres przyznanego osobie, której dane dotyczą, prawa dostępu i ustanawia w nim prawo tej osoby do uzyskania od administratora dostępu do jej danych osobowych oraz informacji, do których odnoszą się lit. a)–h) tego ustępu.
31 W art. 15 ust. 3 RODO uściślono praktyczne zasady wykonania obowiązku spoczywającego na administratorze, określając w szczególności w zdaniu pierwszym formę, w jakiej administrator ten ma przekazywać „dane osobowe podlegające przetwarzaniu”, a mianowicie w formie „kopii”. Ponadto ustęp ten stanowi w zdaniu trzecim, że informacje przekazuje się w powszechnie używanej formie elektronicznej, gdy wniosek jest składany drogą elektroniczną, chyba że zainteresowana osoba wystąpi z innym wnioskiem.
32 W konsekwencji art. 15 RODO nie może być interpretowany w ten sposób, że ustanawia w ust. 3 zdanie pierwsze prawo odrębne od prawa przewidziane w ust. 1 tego przepisu. Ponadto jak wskazała Komisja Europejska w uwagach na piśmie, pojęcie „kopii” nie odnosi się do dokumentu jako takiego, ale do danych osobowych, które zawiera i które powinny być kompletne. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu.
33 Co się tyczy celów realizowanych przez art. 15 RODO, należy zauważyć, że celem RODO, jak wskazano w jego motywie 11, jest wzmocnienie i doprecyzowanie praw osób, których dane dotyczą. Artykuł 15 tego rozporządzenia przewiduje w tym względzie prawo do uzyskania kopii, w odróżnieniu od art. 12 lit. a) tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31), które ograniczało się do wymogu przekazania „wyrażonej w zrozumiałej formie informacji o danych przechodzących przetwarzanie”. Motyw 63 RODO stanowi, że „[k]ażda osoba fizyczna powinna mieć prawo dostępu do zebranych danych jej dotyczących […], by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem”.
34 W związku z tym prawo dostępu przewidziane w art. 15 RODO powinno umożliwiać osobie, której dane dotyczą, upewnienie się, że dotyczące jej dane osobowe są prawidłowe i przetwarzane zgodnie z prawem [zob. wyrok z dnia 12 stycznia 2023 r., Österreichische Post (Informacje dotyczące odbiorców danych osobowych), C‑154/21, EU:C:2023:3, pkt 37 i przytoczone tam orzecznictwo].
35 W szczególności owo prawo dostępu jest niezbędne, aby umożliwić osobie, której dane dotyczą, skorzystanie, w stosownych przypadkach, z prawa do sprostowania danych, prawa do usunięcia danych („prawa do bycia zapomnianym”), prawa do ograniczenia przetwarzania, które zostało jej przyznane, odpowiednio, w art. 16, 17 i 18 RODO, a także prawa do sprzeciwu wobec przetwarzania jej danych osobowych, przewidzianego w art. 21 RODO, oraz prawa do dochodzenia roszczeń w przypadku poniesionej szkody, przewidzianego w art. 79 i 82 RODO [zob. wyrok z 12 stycznia 2023 r., Österreichische Post (Informacje o odbiorcach danych osobowych), C‑154/21, EU:C:2023:3, pkt 38 i przytoczone tam orzecznictwo].
36 Należy również zauważyć, że motyw 60 RODO stanowi, iż zasada rzetelnego i przejrzystego przetwarzania wymaga, aby osoba, której dane dotyczą, była informowana o istnieniu operacji przetwarzania i jej celach, przy czym należy podkreślić, że administrator powinien przekazać wszelkie inne informacje niezbędne do zapewnienia sprawiedliwego i przejrzystego przetwarzania, z uwzględnieniem szczególnych okoliczności i kontekstu, w jakim dane osobowe są przetwarzane.
37 Ponadto zgodnie ze wspomnianą przez sąd odsyłający zasadą przejrzystości, do której odnosi się motyw 58 RODO i którą wyraźnie ustanawia art. 12 ust. 1 tego rozporządzenia, wszelkie informacje kierowane do osoby, której dane dotyczą, muszą być zwięzłe, łatwo dostępne i łatwe do zrozumienia oraz sformułowane jasnym i prostym językiem.
38 Jak zauważył rzecznik generalny w pkt 54 i 55 opinii, z przepisu tego wynika, że administrator jest zobowiązany do podjęcia odpowiednich środków, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa między innymi w art. 15 RODO, oraz że informacji należy udzielić na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie, chyba że osoba, której dane dotyczą, zażąda udzielenia informacji ustnie. Celem tego przepisu, który jest wyrazem zasady przejrzystości, jest zapewnienie, by osoba, której dane dotyczą, była w stanie zrozumieć w pełni przekazywane jej informacje.
39 Wynika z tego, że kopia danych osobowych podlegających przetwarzaniu, którą administrator musi przedstawić na podstawie art. 15 ust. 3 zdanie pierwsze RODO, powinna posiadać wszystkie cechy umożliwiające osobie, której dane dotyczą, skuteczne wykonywanie jej praw wynikających z tego rozporządzenia, a w konsekwencji powinna odtwarzać w całości i wiernie te dane.
40 Ponadto z orzecznictwa wynika wyraźnie, że RODO ma w szczególności na celu, jak wynika z jego motywu 10, zapewnienie wysokiego poziomu ochrony osób fizycznych w Unii i w tym celu zapewnienie spójnego i jednolitego stosowania zasad ochrony podstawowych praw i wolności tych osób w odniesieniu do przetwarzania danych osobowych w całej Unii (zob. wyrok z dnia 9 lutego 2023 r., X‑FAB Dresden, C‑453/21, EU:C:2023:79, pkt 25 i przytoczone tam orzecznictwo).
41 Aby bowiem zagwarantować, że przekazane w ten sposób informacje będą łatwe do zrozumienia, jak tego wymaga art. 12 ust. 1 RODO w związku z motywem 58 tego rozporządzenia, odtworzenie fragmentów dokumentów, a nawet całych dokumentów lub wyciągów z baz danych, które zawierają między innymi przetwarzane dane osobowe, może okazać się niezbędne, jak zauważył rzecznik generalny w pkt 57 i 58 opinii, w przypadku gdy kontekst przetwarzanych danych wymaga zapewnienia, by były one zrozumiałe.
42 W szczególności gdy dane osobowe są generowane z innych danych lub gdy dane te wynikają z wolnych pól, a mianowicie z braku informacji ujawniających informację o osobie, której dane dotyczą, kontekst, w jakim dane te są przetwarzane, jest niezbędnym elementem umożliwiającym osobie, której dane dotyczą, uzyskanie przejrzystego dostępu i zrozumiałego przedstawienia tych danych.
43 Ponadto zgodnie z art. 15 ust. 4 RODO w związku z motywem 63 tego rozporządzenia prawo do uzyskania kopii, o której mowa w ust. 3, nie powinno naruszać praw i wolności innych osób, w tym tajemnicy handlowej lub własności intelektualnej, w szczególności praw autorskich chroniących oprogramowanie.
44 Zatem, jak podkreślił rzecznik generalny w pkt 61 opinii, w przypadku kolizji między z jednej strony wykonywaniem prawa do pełnego i całkowitego dostępu do danych osobowych a z drugiej strony prawami lub wolnościami innych osób konieczne będzie wyważenie praw. W miarę możliwości należy wybrać sposób przekazania danych osobowych, który nie narusza praw lub wolności innych osób, mając na uwadze, że – jak wynika z motywu 63 RODO – względy te nie powinny jednak „skutkować odmową udzielenia osobie, której dane dotyczą, jakichkolwiek informacji”.
45 W świetle powyższych rozważań na pytania od pierwszego do trzeciego należy odpowiedzieć, że art. 15 ust. 3 zdanie pierwsze RODO
należy interpretować w ten sposób, że:
prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernej i zrozumiałej kopii wszystkich oryginałów tych danych. Prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów lub całych dokumentów, lub też wyciągów z baz danych, które zawierają między innymi te dane, jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez to rozporządzenie, przy czym wymaga podkreślenia, że należy w tym względzie uwzględnić prawa i wolności innych osób.
W przedmiocie pytania czwartego
46 Poprzez to pytanie sąd odsyłający dąży w istocie do ustalenia, czy art. 15 ust. 3 zdanie trzecie RODO należy interpretować w ten sposób, że zawarte w nim pojęcie „informacji” odnosi się wyłącznie do danych osobowych, których kopię administrator musi dostarczyć na podstawie zdania pierwszego tego ustępu, czy też odsyła ono również do wszystkich informacji, o których mowa w ust. 1 tego artykułu, a nawet obejmuje elementy wykraczające poza zakres metadanych.
47 Zatem, jak przypomniano w pkt 19 niniejszego wyroku, przy dokonywaniu wykładni przepisu prawa Unii należy uwzględniać nie tylko jego brzmienie, lecz także jego kontekst oraz cele regulacji, której część ten przepis stanowi.
48 W tym względzie o ile art. 15 ust. 3 zdanie trzecie RODO ogranicza się do wskazania, że „w przypadku gdy osoba, której dane dotyczą, składa wniosek drogą elektroniczną, informacje przekazuje się w powszechnie używanej formie elektronicznej”, nie precyzując jednak, co należy rozumieć pod pojęciem „informacji”, o tyle zdanie pierwsze tego ustępu stanowi, że „administrator dostarcza […] kopię danych osobowych podlegających przetwarzaniu”.
49 W związku z tym z kontekstu art. 15 ust. 3 zdanie trzecie RODO wynika, że „informacje”, o których mowa w tym przepisie, muszą odpowiadać danym osobowym, których kopii administrator musi dostarczyć zgodnie ze zdaniem pierwszym tego ustępu.
50 Taka wykładnia znajduje potwierdzenie w celach realizowanych przez art. 15 ust. 3 RODO, którymi są, jak przypomniano w pkt 31 niniejszego wyroku, określenie praktycznych zasad wykonania ciążącego na administratorze obowiązku dostarczenia kopii danych osobowych podlegających przetwarzaniu. W konsekwencji przepis ten nie ustanawia prawa innego niż to, z którego korzysta osoba, której dane dotyczą, do uzyskania wiernej i zrozumiałej kopii oryginału tych danych, pozwalającego jej na skuteczne wykonywanie praw przyznanych jej przez to rozporządzenie.
51 Tymczasem należy zauważyć, że żaden przepis wspomnianego rozporządzenia nie ustanawia odmiennego traktowania wniosku w zależności od formy, w jakiej został on złożony, w związku z czym zakres prawa do uzyskania kopii nie może różnić się w zależności od tej formy.
52 Ponadto należy również zauważyć, że zgodnie z art. 12 ust. 3 RODO jeżeli wniosek został złożony drogą elektroniczną, informacje, o których mowa w art. 15, a zatem również informacje, o których mowa w art. 15 ust. 1 lit. a)–h), przekazywane są drogą elektroniczną, chyba że osoba, której dane dotyczą, określi inaczej.
53 W świetle powyższych rozważań na czwarte pytanie prejudycjalne należy odpowiedzieć, że art. 15 ust. 3 zdanie trzecie RODO
należy interpretować w ten sposób, że:
pojęcie „informacji”, o którym mowa w tym przepisie, odnosi się wyłącznie do danych osobowych, których kopii administrator musi dostarczyć zgodnie ze zdaniem pierwszym tego ustępu.
W przedmiocie kosztów
54 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (pierwsza izba) orzeka, co następuje:
1) Artykuł 15 ust. 3 zdanie pierwsze rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
należy interpretować w ten sposób, że:
prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernej i zrozumiałej kopii wszystkich oryginałów tych danych. Prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów lub całych dokumentów, lub też wyciągów z baz danych, które zawierają między innymi te dane, jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez to rozporządzenie, przy czym wymaga podkreślenia, że należy w tym względzie uwzględnić prawa i wolności innych osób.
2) Artykuł 15 ust. 3 zdanie trzecie rozporządzenia 2016/679
należy interpretować w ten sposób, że:
pojęcie „informacji”, o którym mowa w tym przepisie, odnosi się wyłącznie do danych osobowych, których kopię administrator musi dostarczyć zgodnie ze zdaniem pierwszym tego ustępu.
Podpisy