Soudní dvůr Evropské unie (SDEU) dne 4. května 2023 vydal rozsudek ve věci C‑487/21 F. F. v. Österreichische Datenschutzbehörde (rakouský úřad pro ochranu údajů, DSB) za účasti CRIF GmbH v rámci řízení o žádosti o rozhodnutí o předběžné otázce podané Bundesverwaltungsgericht (Spolkový správní soud, Rakousko). Tato žádost byla předložena v rámci sporu mezi F. F. jako subjektem osobních údajů a DSB ve věci zamítnutí návrhu F.F. uložit společnosti CRIF GmbH povinnost předat mu kopii dokumentů a výpisů z databází obsahujících mimo jiné jeho zpracovávané osobní údaje podle čl. 15 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů, GDPR).[1]
Společnost CRIF je obchodní poradenská agentura, která na žádost svých klientů poskytuje informace o solventnosti třetích osob. Za tímto účelem zpracovávala osobní údaje žalobce F. F. v původním řízení. Žalobce, jako subjekt osobních údajů, požádal dne 20. prosince 2018 CRIF na základě čl. 15 GDPR o přístup k osobním údajům, které se ho týkají. Kromě toho požádal, aby mu byly „ve standardním technickém formátu“ poskytnuty kopie dokumentů, a sice e-mailů a výpisů z databází, které obsahují jeho osobní údaje.
V odpovědi na tuto žádost společnost CRIF, jako správce osobních údajů, zaslala žalobci v původním řízení souhrnný seznam jeho zpracovávaných osobních údajů. Vzhledem k tomu, že F. F. měl za to, že mu společnost CRIF měla zaslat kopii všech dokumentů obsahujících jeho údaje, jako jsou e-maily a výpisy z databází, podal stížnost k DSB. DSB rozhodnutím ze dne 11. září 2019 tuto stížnost zamítl s tím, že společnost CRIF neporušila právo žalobce jako subjektu osobních údajů na přístup k osobním údajům.
Žalobce se obrátil se žalobou proti zamítavému rozhodnutí DSB na rakouský Spolkový správní soud. Spolkový správní soud si v rámci řízení položil otázku ohledně rozsahu povinnosti správce poskytnout subjektu údajů „kopii“ zpracovávaných osobních údajů stanovené v čl. 15 odst. 3 první větě GDPR. Spolkový správní soud se zabýval otázkou, zda je tato povinnost splněna, pokud správce předá osobní údaje ve formě souhrnné tabulky, nebo zda tato povinnost zahrnuje rovněž předání výpisů z dokumentů, či dokonce celých dokumentů, jakož i výpisů z databází, do kterých byly tyto údaje dále zkopírovány. Spolkový správní soud si rovněž kladl otázku, co přesně zahrnuje pojem „informace“ uvedený v čl. 15 odst. 3 třetí větě GDPR.
Spolkový správní soud se proto rozhodl přerušit řízení a předložit předběžné otázky Soudnímu dvoru EU, aby získal jistotu ohledně výkladu čl. 15 odst. 3 GDPR, konkrétně požadavku poskytnout subjektu údajů "kopii" jeho osobních údajů, které jsou předmětem zpracování.
Závěry Soudního dvora
Soudní dvůr ve svém rozsudku upřesnil obsah a rozsah práva subjektu údajů na přístup k jeho zpracovávaným osobním údajům, když provedl doslovný, systematický a teleologický výklad čl. 15 odst. 3 první věty GDPR. Soudní dvůr uvádí, že čl. 15 odst. 1 se definuje předmět a rozsah práva subjektu údajů na přístup k osobním údajům. Článek 15 odst. 3 GDPR pak upřesňuje praktické podmínky pro splnění povinnosti správce, přičemž v první větě zejména upřesňuje formu, jež tento správce musí zpracovávané osobní údaje poskytnout, kterou je forma kopie. Ačkoli GDPR neobsahuje definici pojmu „kopie“, je třeba zohlednit obvyklý smysl tohoto výrazu, který označuje věrnou reprodukci nebo opis originálu, takže čistě obecný popis zpracovávaných údajů nebo odkaz na kategorie osobních údajů neodpovídá této definici. Právo získat od správce kopii zpracovávaných osobních údajů znamená, že subjektu údajů musí být předána věrná a srozumitelná reprodukce všech těchto údajů, výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují uvedené údaje, pokud je to nezbytné k tomu, aby subjekt údajů mohl účinně uplatňovat práva, která mu GDPR přiznává. Účelem tohoto práva je ujistit se, že osobní údaje, které se subjektu údajů týkají, jsou správné a jsou zpracovávány zákonným způsobem.
Je však nutno zdůraznit, že zároveň musí být zohledněna práva a svobody jiných osob. V případě rozporu mezi výkonem práva na plný a úplný přístup k osobním údajům na straně jedné a právy nebo svobodami jiných osob na straně druhé je podle Soudního dvora třeba dotčená práva a svobody vyvážit. Pokud je to možné, měly by být zvoleny takové způsoby sdělování osobních údajů, které neporušují práva nebo svobody jiných osob, přičemž je třeba mít na paměti, že zohlednění těchto skutečností by nemělo vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací.
Dopady rozsudku Soudního dvora
SDEU tímto rozsudkem objasňuje správcům rozsah jejich povinnosti poskytnout subjektům údajů přístup k jejich osobním údajům podle čl. 15 odst. 3 GDPR a potvrzuje, že toto právo zahrnuje získání kopií dokumentů a dalších informací, pokud jsou tyto kopie nezbytné pro účinný výkon práv subjektu údajů a nejenom pouhý obecný popis kategorií osobních údajů. Pro správce však může být náročné určit, jaké informace mají a mohou zpřístupnit vzhledem k možnému střetu s právy nebo svobodami jiných osob. Správcům tak vzniká dodatečná povinnost provést - obdobně posouzení oprávněného zájmu správce dle čl. 6 odst. 1 písm f) GDPR - "posouzení oprávněného přístupu". A následně zvolit takový způsob sdělování - přístupu k osobní údajům, které neporušuje práva nebo svobody jiných osob, přičemž je třeba mít na paměti, že zohlednění těchto skutečností by nemělo vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací o zpracovávaných osobních údajích.
Toto rozhodnutí společně s nedávným rozhodnutím SDEU o předběžné otázce ve věci RW v. Österreichische Post AG (C-154/21) ze dne 12. ledna 2023 týkajícího se také práva na přístup dle čl. 15 odst. 1 písm. c) GDPR, konkrétně informace o příjemcích nebo kategoriích příjemců, kterým osobní údaje byly nebo budou zpřístupněny, významným způsobem posiluje práva subjektů údajů.
Diskuze k článku ()