CRIF je obchodná poradenská agentúra, ktorá na žiadosť svojich klientov poskytuje informácie o platobnej schopnosti tretích osôb. Na tento účel spracovala osobné údaje žalobcu vo veci samej, ktorý je fyzickou osobou. Na základe všeobecného nariadenia o ochrane osobných údajov1 tento žalobca požiadal CRIF o prístup k osobným údajom, ktoré sa ho týkajú. Okrem toho požiadal o poskytnutie kópie dokumentov, a to elektronickej pošty a výňatkov z databáz, ktoré okrem iného obsahujú jeho údaje „v bežnom technickom formáte“.

V nadväznosti na túto žiadosť CRIF poskytla žalobcovi vo veci samej v súhrnnej podobe zoznam jeho osobných údajov, ktoré boli predmetom spracovania. Keďže žalobca vo veci samej sa domnieval, že CRIF mu mala zaslať kópie všetkých dokumentov obsahujúcich jeho údaje, ako sú emaily a výňatky z databáz, podal sťažnosť na Österreichische Datenschutzbehörde (rakúsky úrad pre ochranu osobných údajov). Tento úrad zamietol túto sťažnosť, pričom sa domnieval, že CRIF sa nedopustila žiadneho porušenia práva na prístup k osobným údajom žalobcu vo veci samej.

Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko), na ktorý žalobca vo veci samej podal žalobu proti zamietavému rozhodnutiu uvedeného orgánu, sa pýta na rozsah povinnosti stanovenej v článku 15 ods. 3 prvej vete GDPR poskytnúť dotknutej osobe „kópiu“ jej osobných údajov, ktoré sú predmetom spracúvania. Konkrétne sa pýta, či je povinnosť stanovená v tomto ustanovení poskytnúť „kópiu“ osobných údajov splnená, ak prevádzkovateľ poskytne osobné údaje vo forme súhrnnej tabuľky, alebo či táto povinnosť zahŕňa aj poskytnutie výňatkov z dokumentov, či dokonca celých dokumentov, ako aj výňatkov z databáz, v ktorých sú tieto údaje reprodukované. Vnútroštátny súd okrem toho žiada o spresnenia, čo presne zahŕňa pojem „informácie“ uvedený v článku 15 ods. 3 tretej vete GDPR2.

Súdny dvor vo svojom rozsudku spresnil obsah a rozsah práva dotknutej osoby na prístup k jej osobným údajom, ktoré sú predmetom spracovania. V tejto súvislosti usudzuje, že právo na získanie „kópie“ osobných údajov, ktoré sú predmetom spracúvania podľa článku 15 ods. 3 prvej vety GDPR, od prevádzkovateľa, znamená, že dotknutej osobe sa musí poskytnúť verná a zrozumiteľná rozmnoženina všetkých týchto údajov. Toto právo zahŕňa právo na získanie kópie výňatkov z dokumentov, prípadne aj celých dokumentov alebo výňatkov z databáz, ktoré okrem iného obsahujú uvedené údaje, ak je poskytnutie takej kópie nevyhnutné na to, aby sa dotknutej osobe umožnilo účinne uplatniť práva, ktoré jej priznáva GDPR, pričom treba zdôrazniť, že v tejto súvislosti treba zohľadniť práva a slobody iných. Okrem toho Súdny dvor zdôrazňuje, že pojem „informácie“ uvedený v článku 15 ods. 3 tretej vete GDPR sa vzťahuje výlučne na osobné údaje, ktorých kópiu musí poskytnúť prevádzkovateľ podľa prvej vety tohto odseku.

Posúdenie Súdnym dvorom

V prvom rade Súdny dvor pristúpil k doslovnému, systematickému a teleologickému výkladu článku 15 ods. 3 prvej vety GDPR, ktorý stanovuje právo dotknutej osoby získať kópiu svojich osobných údajov, ktoré sú predmetom spracúvania.
Pokiaľ ide o znenie článku 15 ods. 3 prvej vety GDPR, Súdny dvor uvádza, že hoci toto ustanovenie neobsahuje definíciu pojmu „kópia“, treba zohľadniť obvyklý význam tohto pojmu, ktorý označuje vernú rozmnoženinu alebo prepis originálu, takže čisto všeobecný opis údajov, ktoré sú predmetom spracúvania, alebo odkaz na kategórie osobných údajov nezodpovedá tejto definícii. Okrem toho zo znenia tohto ustanovenia vyplýva, že povinnosť oznámenia sa vzťahuje na osobné údaje, ktoré sú predmetom dotknutého spracovania. Z gramatickej analýzy tohto ustanovenia podľa Súdneho dvora vyplýva, že dotknutej osobe priznáva právo získať vernú rozmnoženinu jej osobných údajov chápaných v širšom zmysle, ktoré sú predmetom operácií, ktoré sa musia kvalifikovať ako spracúvanie prevádzkovateľom.

Pokiaľ ide o kontext, do ktorého patrí článok 15 ods. 3 prvá veta GDPR, Súdny dvor uvádza, že článok 15 GDPR vo svojom odseku 1 vymedzuje predmet a pôsobnosť práva na prístup priznaného dotknutej osobe. Článok 15 ods. 3 GDPR spresňuje praktické spôsoby vykonávania povinnosti prevádzkovateľa, pričom vo svojej prvej vete okrem iného spresňuje formu, v akej musí tento prevádzkovateľ poskytovať osobné údaje, ktoré sa spracúvajú, t. j. vo forme „kópie“. V dôsledku toho článok 15 GDPR nemožno vykladať tak, že vo svojom odseku 3 prvej vete zakotvuje právo odlišné od práva stanoveného v jeho odseku 1. Okrem toho, Súdny dvor spresňuje, že pojem „kópia“ sa nevzťahuje na dokument ako taký, ale na osobné údaje, ktoré obsahuje a ktoré musia byť úplné. Kópia teda musí obsahovať všetky osobné údaje, ktoré sa spracúvajú.

Pokiaľ ide o ciele sledované článkom 15 GDPR, Súdny dvor uvádza, že v ňom stanovené právo na prístup musí dotknutej osobe umožniť uistiť sa, že osobné údaje, ktoré sa jej týkajú, sú správne a že sa spracúvajú zákonným spôsobom.

Okrem toho podľa Súdneho dvora z GDPR3 vyplýva, že prevádzkovateľ je povinný prijať vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie v stručnej, transparentnej, zrozumiteľnej a ľahko prístupnej forme, formulované jasne a jednoducho a že informácie sa musia poskytnúť písomne alebo inými prostriedkami vrátane v prípade potreby elektronickými prostriedkami, pokiaľ dotknutá osoba nepožiada o ich poskytnutie ústne. Z toho vyplýva, že kópia osobných údajov, ktoré sú predmetom spracúvania, ktoré musí prevádzkovateľ poskytnúť, musí mať všetky vlastnosti, ktoré dotknutej osobe umožnia účinne uplatniť jej práva podľa tohto nariadenia, a preto musí tieto údaje v plnom rozsahu a verne reprodukovať.

S cieľom zabezpečiť, aby takto poskytnuté informácie boli ľahko pochopiteľné, sa teda môže ukázať ako nevyhnutná reprodukcia výňatkov z dokumentov alebo celých dokumentov alebo aj výňatkov z databáz, ktoré obsahujú okrem iného osobné údaje, ktoré sú predmetom spracovania. Konkrétne, ak sú osobné údaje generované z iných údajov alebo ak takéto údaje vyplývajú z voľných polí, teda z neexistencie údajov o dotknutej osobe, kontext, v ktorom sa tieto údaje spracúvajú, je nevyhnutným prvkom na to, aby sa dotknutej osobe umožnil transparentný prístup a zrozumiteľný prehľad týchto údajov.

V prípade rozporu medzi výkonom práva na úplný a celkový prístup k osobným údajom na jednej strane a právami alebo slobodami iných osôb na druhej strane bude podľa Súdneho dvora potrebné vykonať vyváženie predmetných práv a slobôd. Pokiaľ je to možné, treba zvoliť také spôsoby oznamovania osobných údajov, ktoré nezasahujú do práv alebo slobôd iných, pričom treba zohľadniť skutočnosť, že výsledkom zohľadnenia takých úvah by nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe.

V druhom rade sa Súdny dvor zaoberá otázkou, čo zahŕňa pojem „informácie“ uvedený v článku 15 ods. 3 tretej vete GDPR. Toto ustanovenie síce nespresňuje, čo treba rozumieť pod pojmom „informácie“, ale z jeho kontextu vyplýva, že pojem „informácie“, na ktoré sa vzťahuje, nevyhnutne zodpovedá osobným údajom, ktorých kópiu musí prevádzkovateľ poskytnúť v súlade s prvou vetou tohto odseku. UPOZORNENIE: Návrh na začatie prejudiciálneho konania umožňuje súdom členských štátov v rámci sporu, ktorý rozhodujú, položiť Súdnemu dvoru otázky o výklade práva Únie alebo o platnosti aktu práva Únie. Súdny dvor nerozhoduje vnútroštátny spor. Vnútroštátnemu súdu prináleží, aby rozhodol právnu vec v súlade s rozhodnutím Súdneho dvora. Týmto rozhodnutím sú rovnako viazané ostatné vnútroštátne súdne orgány, na ktoré bol podaný návrh s podobným problémom.

[1]Článok 15 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „GDPR“).
[2] Podľa článku 15 ods. 3 tretej vety GDPR, ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej podobe, pokiaľ dotknutá osoba nepožiadala o iný spôsob.
[3] Konkrétne odôvodnenia 58 a 60 a článok 12 ods. 1 tohto nariadenia.

Zdroj: Riaditeľstvo pre komunikáciu
Sekcia pre tlač a informácie curia.europa.eu
TLAČOVÉ KOMUNIKÉ č. 71/23
V Luxemburgu 4. mája 2023
Rozsudok Súdneho dvora vo veci C-487/21 | Österreichische Datenschutzbehörde a CRIF