GDPR: právo získat „kopii“ osobních údajů znamená, že subjektu údajů musí být předána věrná a srozumitelná reprodukce všech těchto údajů. Toto právo znamená právo získat kopii výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují uvedené údaje, pokud je to nezbytné k tomu, aby subjekt údajů mohl účinně uplatňovat práva, která mu GDPR přiznává.

Rozsudek Soudního dvora ve věci C-487/21 | Österreichische Datenschutzbehörde a CRIF

Společnost CRIF je obchodní poradenská agentura, která na žádost svých klientů poskytuje informace o solventnosti třetích osob. Za tímto účelem zpracovávala osobní údaje žalobce v původním řízení, soukromé osoby. Posledně uvedený požádal CRIF na základě obecného nařízení o ochraně osobních údajů o přístup k osobním údajům, které se ho týkají. Kromě toho požádal, aby mu byly „ve standardním technickém formátu“ poskytnuty kopie dokumentů, a sice e-mailů a výpisů z databází, které obsahují mimo jiné jeho údaje.

V odpovědi na tuto žádost společnost CRIF zaslala žalobci v původním řízení souhrnný seznam jeho zpracovávaných osobních údajů. Vzhledem k tomu, že žalobce v původním řízení měl za to, že mu společnost CRIF měla zaslat kopii všech dokumentů obsahujících jeho údaje, jako jsou e-maily a výpisy z databází, podal stížnost k Österreichische Datenschutzbehörde (rakouský úřad pro ochranu údajů). Tento úřad tuto stížnost zamítl s tím, že společnost CRIF neporušila právo žalobce v původním řízení na přístup k osobním údajům.

Bundesverwaltungsgericht (Spolkový správní soud, Rakousko), k němuž žalobce v původním řízení podal žalobu proti zamítavému rozhodnutí vydanému tímto úřadem, se klade otázku ohledně rozsahu povinnosti stanovené v čl. 15 odst. 3 první větě GDPR poskytnout subjektu údajů „kopii“ jeho zpracovávaných osobních údajů. Tento soud si zejména klade otázku, zda je tato povinnost splněna, pokud správce předá osobní údaje ve formě souhrnné tabulky, nebo zda tato povinnost zahrnuje rovněž předání výpisů z dokumentů, či dokonce celých dokumentů, jakož i výpisů z databází, do kterých byly tyto údaje dále zkopírovány. Předkládající soud dále žádá o upřesnění toho, co přesně zahrnuje pojem „informace“ uvedený v čl. 15 odst. 3 třetí větě GDPR .

Soudní dvůr ve svém rozsudku upřesnil obsah a rozsah práva subjektu údajů na přístup k jeho zpracovávaným osobním údajům. V této souvislosti uvádí, že právo získat podle čl. 15 odst. 3 první věty GDPR od správce „kopii“ zpracovávaných osobních údajů znamená, že subjektu údajů musí být předána věrná a srozumitelná reprodukce všech těchto údajů. Předpokladem tohoto práva je právo získat kopii výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují mimo jiné uvedené údaje, pokud je poskytnutí takovéto kopie nezbytné k tomu, aby subjekt údajů mohl účinně uplatňovat práva, která mu přiznává GDPR, přičemž je třeba zdůraznit, že v tomto ohledu musí být zohledněna práva a svobody jiných osob. Soudní dvůr kromě toho upřesňuje, že pojem „informace“ uvedený v čl. 15 odst. 3 třetí větě GDPR se vztahuje pouze na osobní údaje, jejichž kopii musí správce poskytnout podle první věty tohoto odstavce.

Závěry Soudního dvora

Zaprvé Soudní dvůr provedl doslovný, systematický a teleologický výklad čl. 15 odst. 3 první věty GDPR, který stanoví právo subjektu údajů získat kopii svých zpracovávaných osobních údajů.

Pokud jde o znění čl. 15 odst. 3 první věty GDPR, Soudní dvůr uvedl, že i když toto ustanovení neobsahuje definici pojmu „kopie“, je třeba zohlednit obvyklý smysl tohoto výrazu, který označuje věrnou reprodukci nebo opis originálu, takže čistě obecný popis zpracovávaných údajů nebo odkaz na kategorie osobních údajů neodpovídá této definici. Kromě toho ze znění tohoto ustanovení vyplývá, že povinnost sdělit informace je spojena s osobními údaji, které jsou předmětem dotčeného zpracování. Po provedení doslovné analýzy uvedeného ustanovení Soudní dvůr uvádí, že toto ustanovení přiznává subjektu údajů právo získat věrnou reprodukci svých osobních údajů chápaných v širším smyslu, které jsou předmětem operací, jež je nutno kvalifikovat jako zpracování správcem.

Pokud jde o kontext čl. 15 odst. 3 první věty GDPR, Soudní dvůr uvádí, že článek 15 GDPR definuje v odstavci 1 předmět a rozsah práva subjektu údajů na přístup k osobním údajům. Článek 15 odst. 3 GDPR upřesňuje praktické podmínky pro splnění povinnosti správce, přičemž v první větě zejména upřesňuje formu, kterou tento správce musí zpracovávané osobní údaje poskytnout, kterou je forma kopie. Z toho důvodu nelze článek 15 GDPR vykládat tak, že v odst. 3 první větě stanoví právo, které je odlišné od práva stanoveného v odstavci 1. Kromě toho Soudní dvůr upřesňuje, že výraz „kopie“ se nevztahuje na dokument jako takový, nýbrž na osobní údaje, které obsahuje a které musí být úplné. Kopie proto musí obsahovat veškeré zpracovávané osobní údaje.

Pokud jde o cíle sledované článkem 15 GDPR, Soudní dvůr uvádí, že právo na přístup stanovené v tomto článku musí subjektu údajů umožnit, aby se ujistil, že osobní údaje, které se ho týkají, jsou správné a jsou zpracovávány zákonným způsobem.

Kromě toho podle Soudního dvora z GDPR3 vyplývá, že správce je povinen přijmout vhodná opatření, aby subjektu údajů poskytl všechny uvedené informace, a to stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků, a informace musí být poskytnuty písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě, pokud si subjekt údajů nevyžádá, aby byly informace poskytnuty ústně. Z toho vyplývá, že kopie zpracovávaných osobních údajů, kterou správce musí poskytnout, musí vykazovat všechny vlastnosti umožňující subjektu údajů účinně uplatňovat svá práva podle GDPR, a musí proto tyto údaje úplně a přesně reprodukovat.

Za účelem zajištění toho, aby takto poskytnuté informace byly snadno pochopitelné, se totiž může jako nezbytná ukázat reprodukce výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují mimo jiné zpracovávané osobní údaje. Zejména, pokud jsou osobní údaje generovány z jiných údajů nebo pokud takovéto údaje vyplývají z mezer v textu, to znamená z neuvedení údajů, z nichž informace o subjektu údajů vyplývají, je kontext, v němž jsou tyto údaje zpracovávány, nezbytným prvkem toho, aby subjekt údajů mohl získat transparentní přístup a aby byla prezentace těchto údajů srozumitelná.

V případě rozporu mezi výkonem práva na plný a úplný přístup k osobním údajům na straně jedné a právy nebo svobodami jiných osob na straně druhé je podle Soudního dvora třeba dotčená práva a svobody vyvážit. Pokud je to možné, měly by být zvoleny takové způsoby sdělování osobních údajů, které neporušují práva nebo svobody jiných osob, přičemž je třeba mít na paměti, že zohlednění těchto skutečností by nemělo vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací.

Zadruhé se Soudní dvůr zabývá otázkou, co zahrnuje pojem „informace“ uvedený v čl. 15 odst. 3 třetí větě GDPR. Toto ustanovení sice neupřesňuje, co je nutno chápat pod výrazem „informace“, z jeho kontextu nicméně vyplývá, že v něm uvedené „informace“ nutně odpovídají osobním údajům, jejichž kopii správce musí podle první věty tohoto odstavce poskytnout.

Úplné znění rozsudku se zveřejňuje na internetové stránce CURIA v den vyhlášení.

Zdroj: Soudní dvůr EU
Foto: canva.com