Väliaikainen versio
UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)
26 päivänä lokakuuta 2023 (*)
Ennakkoratkaisupyyntö – Henkilötietojen käsittely – Asetus (EU) 2016/679 – 12, 15 ja 23 artikla – Rekisteröidyn oikeus saada pääsy käsiteltäviin häntä koskeviin tietoihin – Oikeus saada maksutta ensimmäinen jäljennös kyseisistä tiedoista – Lääkärin suorittama potilaan tietojen käsittely – Potilasasiakirjat – Tiedonsaantipyynnön perustelut – Tietojen käyttäminen hoidon antajan korvausvastuuseen vetoamiseksi – Jäljennöksen käsite
Asiassa C-307/22,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Bundesgerichtshof (liittovaltion ylin yleinen tuomioistuin, Saksa) on esittänyt 29.3.2022 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 10.5.2022, saadakseen ennakkoratkaisun asiassa
FT
vastaan
DW,
UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev sekä tuomarit T. von Danwitz, P. G. Xuereb, A. Kumin ja I. Ziemele (esittelevä tuomari),
julkisasiamies: N. Emiliou,
kirjaaja: A. Calot Escobar,
ottaen huomioon kirjallisessa käsittelyssä esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Latvian hallitus, asiamiehenään K. Pommere,
– Euroopan komissio, asiamiehinään A. Bouchagiar, F. Erlbacher ja H. Kranenborg,
kuultuaan julkisasiamiehen 20.4.2023 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 12 artiklan 5 kohdan, 15 artiklan 3 kohdan ja 23 artiklan 1 kohdan i alakohdan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat FT ja DW ja jossa on kyse siitä, että hammaslääkäri FT kieltäytyi luovuttamasta potilaalleen maksutta ensimmäistä jäljennöstä hänen potilasasiakirjoistaan.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Yleisen tietosuoja-asetuksen johdanto-osan neljännen perustelukappaleen sanamuoto on seuraava:
”– – Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Tässä asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon [Euroopan unionin] perusoikeuskirjassa tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa, erityisesti – – elinkeinovapaus – –.”
4 Yleisen tietosuoja-asetuksen johdanto-osan 10 ja 11 perustelukappaleessa todetaan seuraavaa:
”(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. – –
(11) Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien sekä henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksien vahvistamista ja täsmentämistä, – –.”
5 Yleisen tietosuoja-asetuksen johdanto-osan 13 perustelukappaleessa todetaan seuraavaa:
”– – Lisäksi unionin toimielimiä ja elimiä sekä jäsenvaltioita ja niiden valvontaviranomaisia kehotetaan ottamaan tämän asetuksen soveltamisessa huomioon mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet. – –”
6 Yleisen tietosuoja-asetuksen johdanto-osan 58 perustelukappale kuuluu seuraavasti:
”Läpinäkyvyyden periaatteen mukaisesti yleisölle tai rekisteröidylle tarkoitettujen tietojen on oltava tiiviisti esitettyjä sekä helposti saatavilla ja ymmärrettäviä, ne on ilmaistava selkeällä ja yksinkertaisella kielellä ja lisäksi tarvittaessa ne on havainnollistettava. Tällaiset tiedot voidaan antaa sähköisessä muodossa esimerkiksi internetsivuston kautta silloin kun ne on tarkoitettu yleisölle. Tämä on erityisen tärkeää tilanteissa, joissa rekisteröidyn on toimijoiden suuren määrän ja käytänteiden teknisen monimutkaisuuden vuoksi vaikea tietää ja ymmärtää, kerätäänkö hänen henkilötietojaan tai ketkä niitä keräävät ja mitä tarkoitusta varten; tällainen tilanne voi olla esimerkiksi verkkomainonnan kaltaisissa yhteyksissä. Koska lapset tarvitsevat erityistä suojelua, kaikessa lapsiin kohdistuvaa tietojenkäsittelyä koskevassa tiedotuksessa ja viestinnässä on käytettävä niin selkeää ja yksinkertaista kieltä, että lapsen on helppo ymmärtää sitä.”
7 Yleisen tietosuoja-asetuksen johdanto-osan 59 perustelukappaleessa todetaan seuraavaa:
"Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, mukaan lukien mekanismit, joilla rekisteröity voi erityisesti pyytää oikeutta saada tutustua henkilötietoihin ja mahdollisuuksien mukaan saada ne maksutta, ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. – –”
8 Yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleessa todetaan seuraavaa:
”Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Tähän sisältyy rekisteröidyn oikeus saada pääsy omiin terveystietoihinsa, kuten potilastietoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot. – –”
9 Yleisen tietosuoja‑asetuksen 4 artiklassa säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
1) ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
– –”
10 Yleisen tietosuoja-asetuksen 12 artiklassa säädetään seuraavaa:
”1. Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.
2. Rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. – –
– –
5. Jäljempänä olevan 13 ja 14 artiklan nojalla toimitetut tiedot ja kaikki 15–22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko
a) periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset; tai
b) kieltäytyä suorittamasta pyydettyä toimea.
Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.
– –”
11 Yleisen tietosuoja-asetuksen 15 artiklassa säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:
a) käsittelyn tarkoitukset;
b) kyseessä olevat henkilötietoryhmät;
c) vastaanottajat tai vastaanottajaryhmät, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa;
d) mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
e) rekisteröidyn oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen oikaisemista tai poistamista taikka henkilötietojen käsittelyn rajoittamista tai vastustaa tällaista käsittelyä;
f) oikeus tehdä valitus [oikeammin: kantelu] valvontaviranomaiselle;
g) jos henkilötietoja ei kerätä rekisteröidyltä, kaikki saatavilla olevat tiedot tietojen alkuperästä;
h) jäljempänä 22 artiklan 1 ja 4 kohdassa tarkoitetun automaattisen päätöksenteon, mukaan lukien profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.
2. Jos henkilötietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle, rekisteröidyllä on oikeus saada ilmoitus 46 artiklassa tarkoitetuista siirtoa koskevista asianmukaisista suojatoimista.
3. Rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.
4. Oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.”
12 Kyseisen asetuksen 16 ja 17 artiklassa vahvistetaan rekisteröidyn oikeus saada virheelliset henkilötiedot oikaistuiksi (oikeus tietojen oikaisemiseen) sekä oikeus näiden tietojen poistamiseen tietyissä olosuhteissa (oikeus tietojen poistamiseen eli ”oikeus tulla unohdetuksi”).
13 Saman asetuksen 18 artiklan, jonka otsikko on ”Oikeus käsittelyn rajoittamiseen”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos kyseessä on yksi seuraavista:
a) rekisteröity kiistää henkilötietojen paikkansapitävyyden, jolloin käsittelyä rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden;
b) käsittely on lainvastaista ja rekisteröity vastustaa henkilötietojen poistamista ja vaatii sen sijaan niiden käytön rajoittamista;
c) rekisterinpitäjä ei enää tarvitse kyseisiä henkilötietoja käsittelyn tarkoituksiin, mutta rekisteröity tarvitsee niitä oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi;
d) rekisteröity on vastustanut henkilötietojen käsittelyä 21 artiklan 1 kohdan nojalla odotettaessa sen todentamista, syrjäyttävätkö rekisterinpitäjän oikeutetut perusteet rekisteröidyn perusteet.”
14 Yleisen tietosuoja-asetuksen 21 artiklan, jonka otsikko on ”Vastustamisoikeus”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella, milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.”
15 Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan sanamuoto on seuraava:
”Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
– –
i) rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet;
– –”
Saksan oikeus
16 Saksan siviililain (Bürgerliches Gesetzbuch, jäljempänä BGB) 630f §:n mukaan hoidon antajan on hoitoon välittömässä ajallisessa yhteydessä tapahtuvaa dokumentointia varten laadittava potilasasiakirjat paperilla tai sähköisessä muodossa. Hoidon antajan on merkittävä potilasasiakirjoihin kaikki annettuun ja tulevaan hoitoon liittyvät lääketieteellisesti merkitykselliset toimenpiteet ja niiden seuraukset, erityisesti anamneesi, diagnoosit, tutkimukset, tutkimusten tulokset, löydökset, hoitotoimenpiteet ja niiden vaikutukset, leikkaukset ja niiden vaikutukset, suostumukset ja ilmoitukset. Hoidon antajan on säilytettävä potilasasiakirjoja kymmenen vuoden ajan hoidon päättymisestä ellei muissa säännöksissä aseteta muita säilytysaikoja.
17 BGB:n 630g §:n 1 momentin ensimmäisen virkkeen mukaan potilaalle on pyynnöstä annettava viipymättä pääsy kaikkiin häntä koskeviin potilasasiakirjoihin, elleivät merkittävät hoitoon liittyvät perusteet tai muut kolmansien merkittävät oikeudet ole esteenä asiakirjoihin tutustumiselle. BGB:n 630g §:n 2 momentin ensimmäisen virkkeen mukaan potilas voi pyytää myös sähköisiä jäljennöksiä potilasasiakirjoista. Kun otetaan huomioon lain perustelut, sitä on tulkittava siten, että potilas voi vaatia valintansa mukaan paperista tai sähköistä jäljennöstä. BGB:n 630g §:n 2 momentin toisessa virkkeessä säädetään, että potilaan on korvattava hoidon antajalle aiheutuneet kustannukset.
Pääasia ja ennakkoratkaisukysymykset
18 DW sai hammashoitoa FT:ltä. DW epäili, että hänen hoidossaan oli tehty virheitä, ja pyysi FT:tä toimittamaan maksutta ensimmäisen jäljennöksen hänen potilasasiakirjoistaan. FT ilmoitti DW:lle hyväksyvänsä hänen pyyntönsä ainoastaan sillä edellytyksellä, että hän vastaa kansallisen lainsäädännön mukaisesti kustannuksista, jotka aiheutuvat potilasasiakirjoista annettavan jäljennöksen toimittamisesta.
19 DW nosti kanteen FT:tä vastaan. DW:n vaatimus saada maksutta ensimmäinen jäljennös hänen potilasasiakirjoistaan hyväksyttiin ensimmäisessä oikeusasteessa ja muutoksenhaun yhteydessä. Kyseiset tuomiot perustuvat sovellettavan kansallisen lainsäädännön tulkintaan yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan ja 15 artiklan 1 ja 3 kohdan valossa.
20 FT teki Revision-valituksen Bundesgerichtshofiin (liittovaltion ylin yleinen tuomioistuin, Saksa), joka katsoo, että oikeusriidan ratkaisu riippuu yleisen tietosuoja-asetuksen säännösten tulkinnasta.
21 Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että kansallisen lainsäädännön mukaan potilas voi saada jäljennöksen potilasasiakirjoistaan sillä edellytyksellä, että hän korvaa hoidon antajalle tästä aiheutuvat kustannukset.
22 Kuitenkin yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisestä virkkeestä, luettuna yhdessä 12 artiklan 5 kohdan ensimmäisen virkkeen kanssa, voi seurata, että rekisterinpitäjän, joka on tässä tapauksessa hoidon antaja, on annettava potilaalle ensimmäinen jäljennös hänen potilasasiakirjoistaan maksutta.
23 Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa ensiksi, että DW vaatii ensimmäistä jäljennöstä potilasasiakirjoistaan voidakseen vedota FT:n korvausvastuuseen. Tällainen tarkoitus ei vastaa tarkoitusta, joka mainitaan yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleessa, jonka mukaan rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Kyseisen tuomioistuimen mukaan yleisen tietosuoja-asetuksen 15 artiklan sanamuodossa ei kuitenkaan aseteta tietojen saamista koskevan oikeuden käyttämisen edellytykseksi tällaisia perusteluja. Tässä säännöksessä ei myöskään edellytetä, että rekisteröity perustelee tietojen luovuttamista koskevan pyyntönsä.
24 Toiseksi ennakkoratkaisua pyytänyt tuomioistuin korostaa, että yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa annetaan mahdollisuus toteuttaa kansallisia lainsäädäntötoimenpiteitä, jotka rajoittavat 12-22 artiklassa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jotta voidaan taata jokin tässä säännöksessä asetettu tavoite. Nyt käsiteltävässä asiassa FT vetoaa yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdassa olevaan muille kuuluvien oikeuksien ja vapauksien suojelua koskevaan tavoitteeseen ja väittää, että BGB:n 630g §:n 2 momentin toisessa virkkeessä oleva kustannusten jakojärjestelmä on hoidon antajien oikeutettujen etujen suojaamisen kannalta välttämätön ja oikeasuhteinen toimenpide, jonka avulla voidaan lähtökohtaisesti estää asianomaisten potilaiden perusteettomia jäljennöspyyntöjä.
25 Kuitenkin yhtäältä BGB:n 630 g §:n 2 momentin toinen virke on annettu ennen yleisen tietosuoja-asetuksen voimaantuloa.
26 Ennakkoratkaisua pyytäneen tuomioistuimen mukaan toisaalta on niin, että BGB:n 630g §:n 2 momentin toisessa virkkeessä säädetyllä kustannusten jakojärjestelmällä pyritään ensisijaisesti suojaamaan hoidon antajien taloudellisia etuja. Näin ollen on määritettävä, kuuluuko näiden hoidon antajien intressi vapautua tiedoista annettavien jäljennösten toimittamiseen liittyvistä kustannuksista ja vaivasta yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdassa tarkoitettujen muille kuuluvien oikeuksien ja vapauksien alaan. Lisäksi potilasasiakirjoista annettaviin jäljennöksiin liittyvien kustannusten järjestelmällinen siirtäminen potilaille voi vaikuttaa kohtuuttomalta, koska siinä ei oteta huomioon tosiasiallisesti aiheutuneiden kustannusten määrää eikä kuhunkin pyyntöön liittyviä erityisiä olosuhteita.
27 Kolmanneksi on niin, että koska DW vaatii jäljennöstä kaikista häntä koskevista lääketieteellisistä asiakirjoista eli hänen potilasasiakirjoistaan, ennakkoratkaisua pyytänyt tuomioistuin pohtii, mikä laajuus on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa turvatulla oikeudella saada jäljennös käsiteltävistä henkilötiedoista. Kyseinen tuomioistuin toteaa tältä osin, että tämä oikeus voidaan täyttää toimittamalla yhteenveto lääkärin käsittelemistä tiedoista. Kuitenkin vaikuttaa siltä, että yleisellä tietosuoja-asetuksella tavoitellut läpinäkyvyyden ja lainmukaisuuden valvonnan päämäärät puoltavat jäljennöksen toimittamista kaikista rekisterinpitäjän hallussa alkuperäisessä muodossaan olevista tiedoista eli kaikista potilasta koskevista lääketieteellisistä asiakirjoista siltä osin kuin niihin sisältyy tällaisia tietoja.
28 Bundesgerichtshof (liittovaltion ylin yleinen tuomioistuin, Saksa) on tässä tilanteessa päättänyt lykätä asian ratkaisua ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1. Onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä, luettuna yhdessä asetuksen 12 artiklan 5 kohdan kanssa, tulkittava siten, että rekisterinpitäjän (tässä tapauksessa hoitavan lääkärin) ei ole toimitettava rekisteröidylle (tässä tapauksessa potilaalle) maksutta ensimmäistä jäljennöstä rekisterinpitäjän käsittelemistä rekisteröidyn henkilötiedoista, kun rekisteröity ei pyydä jäljennöstä yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleen ensimmäisessä virkkeessä tarkoitetussa tarkoituksessa eli voidakseen pysyä perillä henkilötietojensa käsittelystä ja tarkistaa sen lainmukaisuuden vaan eri tarkoituksessa, jolla ei ole yhteyttä tietosuojaan mutta joka on hyväksyttävä (tässä tapauksessa sen tarkistaminen, voiko hän esittää vahingonkorvausvaatimuksia potilassuojalainsäädännön nojalla)?
2. Jos ensimmäiseen kysymykseen vastataan kieltävästi:
a) Voidaanko myös ennen yleisen tietosuoja-asetuksen voimaantuloa annettua jäsenvaltion kansallista säännöstä pitää yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdan mukaisena rajoituksena, jota sovelletaan yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä, luettuna yhdessä asetuksen 12 artiklan 5 kohdan kanssa, säädettyyn oikeuteen saada maksutta jäljennös rekisterinpitäjän käsittelemistä henkilötiedoista?
b) Jos toisen kysymyksen a alakohtaan vastataan myöntävästi: Onko yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohtaa tulkittava siten, että säännöksessä tarkoitetut muille kuuluvat oikeudet ja vapaudet kattavat myös tällaisten muiden intressin välttyä yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä tarkoitetun jäljennöksen toimittamiseen liittyviltä kuluilta ja muulta jäljennöksen toimittamiseen liittyvältä vaivalta?
c) Jos toisen kysymyksen b alakohtaan vastataan myöntävästi: Voidaanko yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdan mukaisena rajoituksena, jota sovelletaan asetuksen 15 artiklan 3 kohdan ensimmäisestä virkkeestä, luettuna yhdessä asetuksen 12 artiklan 5 kohdan kanssa, ilmeneviin velvollisuuksiin ja oikeuksiin, pitää kansallista säännöstöä, jonka mukaan lääkärin ja potilaan välisessä suhteessa lääkärillä on yksittäistapauksen olosuhteista riippumatta aina, kun lääkäri toimittaa potilaalle jäljennöksen potilasasiakirjoissa olevista potilaan henkilötiedoista, oikeus saada potilaalta korvaus tästä aiheutuneista kuluista?
3. Jos ensimmäiseen kysymykseen ja toisen kysymyksen a, b tai c alakohtaan vastataan kieltävästi: Kattaako yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä säädetty oikeus lääkärin ja potilaan välisessä suhteessa potilaan oikeuden saada jäljennös kaikista potilasasiakirjojen osista, joihin sisältyy potilaan henkilötietoja, vai annetaanko kyseisessä säännöksessä oikeus ainoastaan jäljennökseen potilaan henkilötiedoista sinänsä, jolloin tietoja käsittelevä lääkäri voi päättää, millaisen koosteen henkilötiedoista hän toimittaa kyseiselle potilaalleen?”
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
29 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään pääasiallisesti sitä, onko yleisen tietosuoja-asetuksen 12 artiklan 5 kohtaa ja 15 artiklan 1 ja 3 kohtaa tulkittava siten, että rekisterinpitäjällä on velvollisuus toimittaa rekisteröidylle maksutta ensimmäinen jäljennös käsiteltävistä häntä koskevista henkilötiedoista myös silloin, kun kyseinen pyyntö perustuu muuhun tarkoitukseen kuin kyseisen asetuksen johdanto-osan 63 perustelukappaleen ensimmäisessä virkkeessä mainittuihin tarkoituksiin.
30 Aluksi on muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin oikeuden määräyksen tai säännöksen tulkitsemiseksi on otettava huomioon sen sanamuodon lisäksi sen asiayhteys sekä sillä säännöstöllä tavoitellut päämäärät, jonka osa se on (tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C-154/21, EU:C:2023:3, 29 kohta).
31 Aluksi merkityksellisten säännösten sanamuodosta on todettava yhtäältä, että yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa säädetään periaate, jonka mukaan siitä, että rekisteröity käyttää oikeuttaan saada pääsy käsiteltäviin häntä koskeviin henkilötietoihin ja niihin liittyviin tietoihin, ei aiheudu kustannuksia rekisteröidylle. Lisäksi tässä säännöksessä esitetään kaksi syytä, joiden perusteella rekisterinpitäjä voi joko periä kohtuullisen maksun ottaen huomioon hallinnolliset kustannukset tai kieltäytyä suorittamasta pyydettyä toimea. Kyseiset syyt liittyvät oikeuden väärinkäytön tilanteisiin, joissa rekisteröidyn pyynnöt ovat ”ilmeisen perusteettomia” tai ”kohtuuttomia”, erityisesti jos niitä esitetään toistuvasti.
32 Tältä osin ennakkoratkaisua pyytänyt tuomioistuin on nimenomaisesti todennut, että rekisteröidyn pyyntö ei merkitse väärinkäyttöä.
33 Toisaalta rekisteröidyn oikeus saada pääsy käsiteltäviin häntä koskeviin henkilötietoihin ja niihin liittyviin tietoihin eli oikeus, joka kuuluu erottamattomasti henkilötietojen suojaa koskevaan oikeuteen, turvataan yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa. Kyseisen säännöksen mukaan rekisteröidyillä on oikeus saada pääsy käsiteltäviin heitä koskeviin henkilötietoihin.
34 Lisäksi yleisen tietosuoja-asetuksen 15 artiklan 3 kohdasta käy ilmi, että rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista, ja että jos rekisteröity pyytää useampia jäljennöksiä, kyseinen rekisterinpitäjä voi periä niistä kohtuullisen maksun. Tältä osin tämän artiklan 4 kohdassa täsmennetään, että kyseisen artiklan 3 kohdassa annetaan tälle henkilölle ”oikeus”. Rekisterinpitäjä voi siis periä tällaisen maksun ainoastaan silloin, kun rekisteröity on jo saanut maksutta ensimmäisen jäljennöksen henkilötiedoistaan ja pyytää uutta jäljennöstä.
35 Kuten unionin tuomioistuin on jo todennut, yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodon tarkastelusta seuraa, että tällä säännöksellä annetaan rekisteröidylle oikeus saada alkuperäistä vastaava toisinto laajassa merkityksessään ymmärretyistä henkilötiedoistaan, joihin kohdistetaan toimintoja, jotka on luokiteltava tällaisen rekisterinpitäjän suorittamaksi käsittelyksi (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 28 kohta).
36 Yleisen tietosuoja-asetuksen 12 artiklan 5 kohdasta ja 15 artiklan 1 ja 3 kohdasta, kun niitä luetaan yhdessä, seuraa näin ollen yhtäältä, että rekisteröidyllä on oikeus saada maksutta ensimmäinen jäljennös käsiteltävistä häntä koskevista henkilötiedoista, ja toisaalta, että rekisterinpitäjälle on annettu mahdollisuus periä tietyin edellytyksin hallinnollisiin kustannuksiin perustuva kohtuullinen maksu tai kieltäytyä suorittamasta pyydettyä toimea, jos kyseinen pyyntö on ilmeisen perusteeton tai kohtuuton.
37 Nyt käsiteltävässä asiassa on todettava, että lääkäriä, joka suorittaa yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa tarkoitettuja käsittelytoimenpiteitä potilaidensa henkilötietojen osalta, on pidettävä tämän asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä, jolla on tähän asemaan liittyvät velvollisuudet ja erityisesti velvollisuus taata rekisteröityjen pyynnöstä pääsy henkilötietoihin.
38 On todettava, että yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan eikä kyseisen asetuksen 15 artiklan 1 ja 3 kohdan sanamuodossa aseteta edellytykseksi sille, että ensimmäinen jäljennös henkilötiedoista toimitetaan maksutta, sitä, että kyseiset henkilöt perustelevat pyyntönsä. Kyseisissä säännöksissä ei siis anneta rekisterinpitäjälle mahdollisuutta vaatia perusteluja rekisteröidyn esittämälle tiedonsaantipyynnölle.
39 Toiseksi edellä mainittujen säännösten asiayhteydestä on todettava, että yleisen tietosuoja-asetuksen 12 artikla kuuluu tämän asetuksen III luvun 1 jaksoon, joka koskee muun muassa läpinäkyvyyden periaatetta, joka on vahvistettu tämän asetuksen 5 artiklan 1 kohdan a alakohdassa.
40 Yleisen tietosuoja-asetuksen 12 artiklassa todetaan näin ollen rekisterinpitäjän yleisiä velvollisuuksia läpinäkyvän informoinnin ja viestinnän osalta sekä yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten.
41 Yleisen tietosuoja-asetuksen III luvun 2 jaksoon, joka koskee tietojen toimittamista ja pääsyä henkilötietoihin, kuuluva 15 artikla täydentää yleisen tietosuoja-asetuksen läpinäkyvyyttä koskevan kehyksen, kun siinä annetaan rekisteröidylle oikeus saada pääsy häntä koskeviin henkilötietoihin ja oikeus saada tietoja kyseisten henkilötietojen käsittelystä.
42 On lisäksi todettava, että yleisen tietosuoja-asetuksen johdanto-osan 59 perustelukappaleen mukaan ”olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, mukaan lukien mekanismit, joilla rekisteröity voi erityisesti pyytää oikeutta saada tutustua henkilötietoihin ja mahdollisuuksien mukaan saada ne maksutta, ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä”.
43 Koska rekisteröity ei ole velvollinen perustelemaan tiedonsaantipyyntöä, kuten edellä 38 kohdasta ilmenee, johdanto-osan 63 perustelukappaleen ensimmäistä virkettä ei voida tulkita siten, että kyseinen pyyntö on hylättävä, jos sillä on muu tarkoitus kuin pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa se. Kyseisellä johdanto-osan perustelukappaleella ei nimittäin voida rajata yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ulottuvuutta, sellaisena kuin se on palautettu mieleen edellä 35 kohdassa.
44 Tältä osin on muistutettava, että vakiintuneen oikeuskäytännön mukaan unionin toimen johdanto-osalla ei ole sitovaa oikeusvaikutusta eikä johdanto-osaan voida vedota kyseisen toimen varsinaisista säännöksistä poikkeamiseksi eikä näiden säännösten tulkitsemiseksi tavalla, joka on selvästi niiden sanamuodon vastainen (tuomio 13.9.2018, Česká pojišťovna, C-287/17, EU:C:2018:707, 33 kohta).
45 Lisäksi johdanto-osan 63 perustelukappaleessa todetaan sen toisen virkkeen sanamuodon mukaan, että rekisteröidyn oikeuteen saada pääsy häntä koskeviin henkilötietoihin sisältyy terveystietojen osalta oikeus saada pääsy ”potilastietoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot”.
46 Näin ollen yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa turvattua oikeutta saada pääsy terveystietoihin ei voida rajoittaa – epäämällä pääsy tai vaatimalla vastikkeen maksamista – siten, että se myönnetään vain jommallakummalla johdanto-osan 63 perustelukappaleen ensimmäisessä virkkeessä mainitulla perusteella. Sama koskee tämän asetuksen 12 artiklan 5 kohdassa ja 15 artiklan 3 kohdassa säädettyä oikeutta saada maksutta ensimmäinen jäljennös.
47 Kolmanneksi yleisen tietosuoja-asetuksen tavoitteista on todettava, että kyseisen asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetuin tavoin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia.
48 Juuri tämän tavoitteen saavuttamiseksi 15 artiklan 1 kohdassa taataan rekisteröidylle oikeus saada pääsy häntä koskeviin henkilötietoihin (ks. vastaavasti tuomio 22.6.2023, Pankki S, C-579/21, EU:C:2023:501, 57 kohta oikeuskäytäntöviittauksineen).
49 Yleisen tietosuoja-asetuksen 12 artiklan 5 kohta ja 15 artiklan 1 ja 3 kohta kuuluvat näin ollen niihin säännöksiin, joilla pyritään takaamaan kyseinen pääsyoikeus ja henkilötietojen käsittelytapojen läpinäkyvyys rekisteröityyn nähden (ks. vastaavasti tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C-154/21, EU:C:2023:3, 42 kohta).
50 Periaatteella, jonka mukaan ensimmäinen jäljennös henkilötiedoista on maksuton, sekä sillä, ettei ole tarpeen vedota tiettyyn perusteeseen tiedonsaantipyynnön oikeuttamiseksi, väistämättä tehdään rekisteröidylle helpommaksi käyttää hänelle yleisen tietosuoja-asetuksen nojalla kuuluvia oikeuksia.
51 Kun otetaan huomioon merkitys, joka yleisessä tietosuoja-asetuksessa annetaan oikeudelle saada pääsy käsiteltäviin henkilötietoihin, sellaisena kuin se on vahvistettu yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa, tällaisten tavoitteiden saavuttamiseksi kyseisen oikeuden käyttämiselle ei näin ollen voida asettaa edellytyksiä, joita unionin lainsäätäjä ei ole nimenomaisesti säätänyt, kuten velvollisuutta vedota jompaankumpaan yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleen ensimmäisessä virkkeessä mainituista perusteista.
52 Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 12 artiklan 5 kohtaa ja 15 artiklan 1 ja 3 kohtaa on tulkittava siten, että rekisterinpitäjällä on velvollisuus toimittaa rekisteröidylle maksutta ensimmäinen jäljennös käsiteltävistä häntä koskevista henkilötiedoista myös silloin, kun kyseinen pyyntö perustuu muuhun tarkoitukseen kuin kyseisen asetuksen johdanto-osan 63 perustelukappaleen ensimmäisessä virkkeessä mainittuihin tarkoituksiin.
Toinen kysymys
53 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään pääasiallisesti sitä, onko yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohtaa tulkittava siten, että siinä hyväksytään ennen tämän asetuksen voimaantuloa annettu kansallinen lainsäädäntö, jossa rekisteröity velvoitetaan rekisterinpitäjän taloudellisten etujen suojaamiseksi vastaamaan kustannuksista, jotka liittyvät ensimmäiseen jäljennökseen käsiteltävistä häntä koskevista henkilötiedoista.
54 Ensiksi sen kysymyksen osalta, voivatko ainoastaan yleisen tietosuoja-asetuksen voimaantulon jälkeen toteutetut kansalliset toimenpiteet kuulua yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan soveltamisalaan, on todettava, että kyseisen säännöksen sanamuodossa ei ole tähän liittyvää mainintaa.
55 Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa nimittäin vain todetaan, että jäsenvaltion lainsäädäntötoimenpiteellä voidaan rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään tämän asetuksen 12–22 artiklassa, jos kyseiset toimenpiteet vastaavat näissä artikloissa säädettyjä oikeuksia ja velvollisuuksia ja jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata muun muassa muille kuuluvien oikeuksien ja vapauksien suojelu.
56 Näin ollen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa ei suljeta sen soveltamisalan ulkopuolelle ennen yleisen tietosuoja-asetuksen voimaantuloa toteutettuja kansallisia lainsäädäntötoimenpiteitä, jos ne täyttävät siinä säädetyt edellytykset.
57 Toiseksi siitä, kuuluuko kansallinen lainsäädäntö, jossa hoidon antajien taloudellisten etujen suojaamiseksi potilas velvoitetaan vastaamaan kustannuksista, jotka liittyvät ensimmäisen jäljennöksen antamiseen hänen potilasasiakirjoistaan hänen pyynnöstään, yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdan soveltamisalaan, on palautettava mieleen ensiksi, että kuten edellä 31 ja 33–36 kohdasta ilmenee, tämän asetuksen 12 artiklan 5 kohdassa ja 15 artiklan 1 ja 3 kohdassa todetaan rekisteröidyn oikeus saada maksutta ensimmäinen jäljennös käsiteltävistä häntä koskevista henkilötiedoista.
58 Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan toisessa virkkeessä annetaan kuitenkin rekisterinpitäjälle mahdollisuus periä useammista jäljennöksistä hallinnollisiin kustannuksiin perustuva kohtuullinen maksu. Lisäksi yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa, luettuna tämän asetuksen 15 artiklan 1 ja 3 kohdan valossa, annetaan rekisterinpitäjälle mahdollisuus suojautua pääsyoikeuden väärinkäytöltä perimällä kohtuullinen maksu silloin, jos pyyntö on ilmeisen perusteeton tai kohtuuton.
59 Toiseksi tämän asetuksen johdanto-osan neljännen perustelukappaleen mukaan oikeus henkilötietojen suojaan ei ole absoluuttinen ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Näin ollen yleisessä tietosuoja-asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon perusoikeuskirjassa tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa (tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C-175/20, EU:C:2022:124, 53 kohta).
60 Nimittäin yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan mukaan ”oikeus saada – – jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin”.
61 Samoin yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdassa muistutetaan, että muun muassa yleisen tietosuoja-asetuksen 15 artiklassa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa voidaan rajoittaa, ”jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata – – muille kuuluv[ien] oikeu[ksien] ja vapau[ksien suojelu]”.
62 Näin ollen edellä 59–61 kohdasta seuraa, että rekisteröidyn oikeus saada maksutta ensimmäinen jäljennös käsiteltävistä häntä koskevista henkilötiedoista ei ole absoluuttinen.
63 Kolmanneksi ainoastaan erityisesti muille kuuluvien oikeuksien ja vapauksien suojeluun liittyvät näkökohdat voivat oikeuttaa tämän oikeuden rajoittamisen, edellyttäen, että tällaisessa rajoituksessa noudatetaan kyseisiä oikeuksia ja vapauksia keskeisiltä osin ja että se on tämän suojan turvaamiseksi välttämätön ja oikeasuhteinen toimenpide, kuten yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdassa säädetään.
64 Kuten ennakkoratkaisupyynnöstä ilmenee, BGB:n 630g §:n 2 momentin toisessa virkkeessä säädetyllä kustannusten jakojärjestelmällä annetaan hoidon antajalle mahdollisuus periä potilaalta kustannukset, jotka liittyvät ensimmäisen jäljennöksen antamiseen hänen potilasasiakirjoistaan. Ennakkoratkaisua pyytänyt tuomioistuin korostaa, että tämän järjestelmän tarkoituksena on ensisijaisesti suojata hoidon antajien taloudellisia etuja, mikä estää potilaita pyytämästä tarpeettomia jäljennöksiä potilasasiakirjoistaan. Siltä osin kuin pääasiassa kyseessä olevan kansallinen lainsäädännön tosiasiallisena tavoitteena on suojata hoidon antajien taloudellisia etuja, mikä ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, tällaiset näkökohdat eivät siis voi kuulua yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdassa tarkoitettuihin muille kuuluviin oikeuksiin ja vapauksiin.
65 Ensinnäkin tällaisesta lainsäädännöstä nimittäin seuraa, että paitsi tarpeettomat pyynnöt myös pyynnöt, joiden tarkoituksena on saada hyväksyttävästä syystä maksutta ensimmäinen jäljennös käsiteltävistä henkilötiedoista, tehdään vähemmän houkutteleviksi. Näin ollen siinä väistämättä jätetään huomiotta ensimmäisen jäljennöksen maksuttomuutta koskeva periaate ja tämän vuoksi vaarannetaan yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa taatun pääsyoikeuden sekä samalla tässä asetuksessa taatun suojan tehokas vaikutus.
66 Toiseksi ennakkoratkaisupyynnöstä ei ilmene, että kansallisessa lainsäädännössä suojatut edut menisivät puhtaasti hallinnollisia tai taloudellisia näkökohtia pidemmälle.
67 Tältä osin on korostettava, että unionioin lainsäätäjä on ottanut huomioon rekisterinpitäjien taloudelliset edut yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa ja 15 artiklan 3 kohdan toisessa virkkeessä, joissa – kuten edellä 58 kohdassa on palautettu mieleen – määritellään olosuhteet, joissa rekisterinpitäjä voi vaatia maksamaan kustannukset, jotka liittyvät käsiteltävistä henkilötiedoista annettavan jäljennöksen toimittamiseen.
68 Näin ollen hoidon antajien taloudellisten etujen suojaamiseen liittyvällä päämäärällä ei voida oikeuttaa toimenpidettä, joka vaarantaa oikeuden saada maksutta ensimmäinen jäljennös ja näin ollen tehokkaan vaikutuksen, joka on annettava rekisteröidyn oikeudelle saada pääsy käsiteltäviin häntä koskeviin henkilötietoihin.
69 Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohtaa on tulkittava siten, että tämän säännöksen soveltamisalaan voi kuulua ennen kyseisen asetuksen voimaantuloa annettu kansallinen lainsäädäntö. Tämä ei kuitenkaan merkitse sitä, että voitaisiin antaa kansallista lainsäädäntöä, jossa rekisterinpitäjän taloudellisten etujen suojaamiseksi rekisteröity velvoitetaan vastaamaan kustannuksista, jotka liittyvät ensimmäiseen jäljennökseen käsiteltävistä häntä koskevista henkilötiedoista.
Kolmas kysymys
70 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kolmannella kysymyksellään pääasiallisesti sitä, onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä tulkittava siten, että lääkärin ja potilaan välisessä suhteessa oikeus saada jäljennös käsiteltävistä henkilötiedoista merkitsee sitä, että rekisteröidylle annetaan täydellinen jäljennös asiakirjoista, jotka kuuluvat hänen potilasasiakirjoihinsa ja joihin sisältyy hänen henkilötietojaan, vai ainoastaan jäljennös näistä tiedoista sellaisenaan.
71 Aluksi on todettava unionin tuomioistuimen katsoneen, että 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodon mukaan tällä säännöksellä annetaan rekisteröidylle oikeus saada alkuperäistä vastaava toisinto laajassa merkityksessään ymmärretyistä henkilötiedoistaan, joihin kohdistetaan toimintoja, jotka on luokiteltava rekisterinpitäjän suorittamaksi käsittelyksi (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 28 kohta).
72 Seuraavaksi yleisen tietosuoja-asetuksen 15 artiklaa ei siten voida tulkita siten, että sen 3 kohdan ensimmäisessä virkkeessä tunnustettaisiin sen 1 kohdassa säädetystä oikeudesta erillinen oikeus. Lisäksi ilmaisu ”jäljennös” ei liity asiakirjaan sellaisenaan, vaan sen sisältämiin henkilötietoihin, joiden on oltava täydelliset. Jäljennöksen on näin ollen sisällettävä kaikki käsiteltävät henkilötiedot (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 32 kohta).
73 Lopuksi on todettava yleisen tietosuoja-asetuksen 15 artiklan tavoitteista, että sen tarkoituksena on vahvistaa ja täsmentää rekisteröityjen oikeuksia. Tässä säännöksessä annetulla pääsyoikeudella on siis taattava se, että rekisteröity voi varmistua henkilötietojensa paikkansapitävyydestä ja siitä, että niitä käsitellään lainmukaisesti. Lisäksi käsiteltävien henkilötietojen jäljennöksellä, joka rekisterinpitäjän on toimitettava yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen nojalla, on oltava kaikki ominaisuudet, joiden perusteella rekisteröity voi käyttää tehokkaasti tämän asetuksen mukaisia oikeuksiaan, ja siinä on näin ollen toistettava nämä tiedot kokonaisuudessaan ja tarkasti (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 33, 34 ja 39 kohta).
74 Erityisesti sen takaamiseksi, että rekisterinpitäjän toimittamat tiedot ovat helposti ymmärrettävissä, kuten yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa, luettuna yhdessä kyseisen asetuksen johdanto-osan 58 perustelukappaleen kanssa, edellytetään, asiakirjojen otteiden tai kokonaisten asiakirjojen, jotka sisältävät muun muassa käsiteltäviä henkilötietoja, toisintaminen voi osoittautua välttämättömäksi, jos käsiteltyjen tietojen kontekstualisointi on tarpeen niiden ymmärrettävyyden varmistamiseksi (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 41 kohta).
75 Näin ollen oikeus saada rekisterinpitäjältä jäljennös käsiteltävistä henkilötiedoista merkitsee sitä, että rekisteröidylle annetaan alkuperäistä vastaava ja ymmärrettävä toisinto kaikista näistä tiedoista. Tämä oikeus merkitsee oikeutta saada jäljennös muun muassa nämä tiedot sisältävistä asiakirjojen otteista tai kokonaisista asiakirjoista, jos tällaisen jäljennöksen toimittaminen on välttämätöntä, jotta rekisteröity voi tosiasiallisesti käyttää hänelle kyseisellä asetuksella annettuja oikeuksia (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 45 kohta).
76 Pääasiassa kyseessä olevista tiedoista on todettava, että yleisessä tietosuoja-asetuksessa yksilöidään seikkoja, joista pääasian kantajan on voitava pyytää jäljennöstä. Terveyttä koskevien henkilötietojen osalta asetuksen johdanto-osan 63 perustelukappaleessa täsmennetään, että rekisteröityjen pääsyoikeuteen sisältyy oikeus saada pääsy ”potilastietoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot”.
77 Kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 78–80 kohdassa, luonnollisten henkilöiden terveyttä koskevien henkilötietojen arkaluonteisuuden vuoksi unionin lainsäätäjä on tältä osin näin korostanut sen tärkeyttä, että nämä henkilöt saavat pääsyn potilastietoihinsa muodossa, joka on paitsi mahdollisimman täydellinen ja täsmällinen myös ymmärrettävissä.
78 Tutkimustulosten, hoitavien lääkärien arvioiden ja muiden potilaalle annettua hoitoa tai muita potilasta koskevia toimenpiteitä koskevien tietojen, joihin sisältyy yleensä runsaasti teknisiä tietoja tai jopa kuvia, osalta se, että lääkäri toimittaa näistä tiedoista yksinkertaisen yhteenvedon tai koosteen esittääkseen ne tiiviissä muodossa, voi aiheuttaa vaaran siitä, että tietyt merkitykselliset tiedot jätetään pois tai ne toistetaan virheellisesti, tai joka tapauksessa vaaran siitä, että potilaan on tämän seurauksena vaikeampi tarkistaa, että ne ovat täsmällisiä ja täydellisiä, sekä ymmärtää ne.
79 Kaiken edellä esitetyn perusteella kolmanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä on tulkittava siten, että lääkärin ja potilaan välisessä suhteessa oikeus saada jäljennös käsiteltävistä henkilötiedoista merkitsee sitä, että rekisteröidylle annetaan alkuperäistä vastaava ja ymmärrettävä toisinto kaikista näistä tiedoista. Tämä oikeus merkitsee oikeutta saada täydellinen jäljennös hänen potilasasiakirjoihinsa kuuluvista muun muassa kyseiset tiedot sisältävistä asiakirjoista, jos tällaisen jäljennöksen toimittaminen on tarpeen, jotta rekisteröity voi tarkistaa, että ne ovat täsmällisiä ja täydellisiä, sekä sen takaamiseksi, että ne ovat ymmärrettäviä. Rekisteröidyn terveyttä koskevien tietojen osalta kyseiseen oikeuteen kuuluu joka tapauksessa oikeus saada jäljennös potilastiedoistaan, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hänelle annettua hoitoa tai muita häntä koskevia toimenpiteitä koskevat tiedot.
Oikeudenkäyntikulut
80 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:
1) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 12 artiklan 5 kohtaa ja 15 artiklan 1 ja 3 kohtaa,
on tulkittava siten, että
rekisterinpitäjällä on velvollisuus toimittaa rekisteröidylle maksutta ensimmäinen jäljennös käsiteltävistä häntä koskevista henkilötiedoista myös silloin, kun kyseinen pyyntö perustuu muuhun tarkoitukseen kuin kyseisen asetuksen johdanto-osan 63 perustelukappaleen ensimmäisessä virkkeessä mainittuihin tarkoituksiin.
2) Asetuksen 2016/679 23 artiklan 1 kohdan i alakohtaa
on tulkittava siten, että
tämän säännöksen soveltamisalaan voi kuulua ennen kyseisen asetuksen voimaantuloa annettu kansallinen lainsäädäntö. Tämä ei kuitenkaan merkitse sitä, että voitaisiin antaa kansallista lainsäädäntöä, jossa rekisterinpitäjän taloudellisten etujen suojaamiseksi rekisteröity velvoitetaan vastaamaan kustannuksista, jotka liittyvät ensimmäiseen jäljennökseen käsiteltävistä häntä koskevista henkilötiedoista.
3) Asetuksen 2016/679 15 artiklan 3 kohdan ensimmäistä virkettä
on tulkittava siten, että
lääkärin ja potilaan välisessä suhteessa oikeus saada jäljennös käsiteltävistä henkilötiedoista merkitsee sitä, että rekisteröidylle annetaan alkuperäistä vastaava ja ymmärrettävä toisinto kaikista näistä tiedoista. Tämä oikeus merkitsee oikeutta saada täydellinen jäljennös hänen potilasasiakirjoihinsa kuuluvista muun muassa kyseiset tiedot sisältävistä asiakirjoista, jos tällaisen jäljennöksen toimittaminen on tarpeen, jotta rekisteröity voi tarkistaa, että ne ovat täsmällisiä ja täydellisiä, sekä sen takaamiseksi, että ne ovat ymmärrettäviä. Rekisteröidyn terveyttä koskevien tietojen osalta kyseiseen oikeuteen kuuluu joka tapauksessa oikeus saada jäljennös potilastiedoistaan, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hänelle annettua hoitoa tai muita häntä koskevia toimenpiteitä koskevat tiedot.
Allekirjoitukset