(20) | Pokud jde o znění čl. 15 odst. 3 první věty GDPR, toto ustanovení stanoví, že správce „poskytne kopii zpracovávaných osobních údajů“. |
(21) | Ačkoli GDPR neobsahuje definici takto použitého pojmu „kopie“, je třeba zohlednit obvyklý smysl tohoto výrazu, který označuje, jak uvedl generální advokát v bodě 30 svého stanoviska, věrnou reprodukci nebo opis originálu, takže čistě obecný popis zpracovávaných údajů nebo odkaz na kategorie osobních údajů neodpovídá této definici. Kromě toho ze znění čl. 15 odst. 3 první věty tohoto nařízení vyplývá, že je tato povinnost spojena s osobními údaji, které jsou předmětem dotčeného zpracování. |
(22) | Článek 4 bod 1 GDPR definuje pojem „osobní údaje“ jako „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“ a upřesňuje, že „identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“․ |
(23) | Použití výrazu „veškeré informace“ v definici pojmu „osobní údaje“ uvedené v tomto ustanovení odráží cíl unijního normotvůrce přiznat tomuto pojmu široký význam, který potenciálně zahrnuje všechny druhy informací, a to jak objektivní, tak subjektivní ve formě názoru nebo hodnocení pod podmínkou, že jsou „o“ dotčené osobě (rozsudek Nowak, C-434/16, EU:C:2017:994, bod 34). |
(24) | V této souvislosti bylo rozhodnuto, že informace je o identifikované nebo identifikovatelné fyzické osobě, pokud vzhledem ke svému obsahu, účelu nebo účinku souvisí s identifikovatelnou osobou (rozsudek Nowak, C-434/16, bod 35). |
(25) | Pokud jde o „identifikovatelnost“ určité fyzické osoby, bod 26 odůvodnění GDPR upřesňuje, že by se mělo přihlédnout ke „všem prostředkům, jako je například výběr vyčleněním, o nichž lze rozumně předpokládat, že je správce nebo jiná osoba použijí pro přímou či nepřímou identifikaci dané fyzické osoby“. |
(26) | Jak v podstatě uvedl generální advokát v bodech 36 až 39 svého stanoviska, široká definice pojmu „osobní údaje“ se nevztahuje pouze na údaje shromážděné a uchovávané správcem, ale zahrnuje rovněž veškeré informace vyplývající ze zpracování osobních údajů, které se týkají identifikované nebo identifikovatelné osoby, jako je posouzení její solventnosti nebo schopnosti splácet. |
(27) | V této souvislosti je třeba dodat, že unijní normotvůrce zamýšlel přiznat pojmu „zpracování“, který je definován v čl. 4 bodu 2 GDPR, široký dosah tím, že použil demonstrativní výčet operací (rozsudek Valsts ieņēmumu dienests, C-175/20, EU:C:2022:124, bod 35). |
(28) | Z doslovné analýzy čl. 15 odst. 3 první věty GDPR proto vyplývá, že toto ustanovení přiznává subjektu údajů právo získat věrnou reprodukci svých osobních údajů chápaných v širším smyslu, které jsou předmětem operací, jež je nutno kvalifikovat jako zpracování správcem. |
(29) | Je však třeba konstatovat, že samotné znění tohoto ustanovení neumožňuje odpovědět na první tři otázky, protože neobsahuje nic, co by svědčilo o případném právu získat nejen kopii zpracovávaných osobních údajů, ale i kopii výpisů z dokumentů, či dokonce celých dokumentů nebo výpisů z databází, které obsahují mimo jiné tyto údaje. |
(30) | Pokud jde o kontext čl. 15 odst. 3 první věty GDPR, je třeba uvést, že článek 15 GDPR, který je nadepsán „Právo subjektu údajů na přístup“, definuje v odstavci 1 předmět a rozsah práva subjektu údajů na přístup k osobním údajům a zakotvuje v něm právo subjektu údajů získat od správce přístup ke svým osobním údajům, jakož i k informacím uvedeným v písmenech a) až h) tohoto odstavce. |
(31) | Článek 15 odst. 3 GDPR upřesňuje praktické podmínky pro splnění povinnosti správce, přičemž v první větě zejména upřesňuje formu, kterou tento správce musí „zpracovávané osobní údaje“ poskytnout, kterou je forma „kopie“. Kromě toho tento odstavec ve třetí větě stanoví, že jestliže subjekt údajů podává žádost v elektronické formě,⛘poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob. |
(32) | Z toho důvodu nelze článek 15 GDPR vykládat tak, že v odst. 3 první větě stanoví právo, které je odlišné od práva stanoveného v odstavci 1. Kromě toho, jak uvedla Evropská komise v písemném vyjádření, výraz „kopie“ se nevztahuje na dokument jako takový, nýbrž na osobní údaje, které obsahuje a které musí být úplné. Kopie proto musí obsahovat veškeré zpracovávané osobní údaje. |
(33) | Pokud jde o cíle sledované článkem 15 GDPR, je třeba uvést, že účelem GDPR je, jak upřesňuje bod 11 jeho odůvodnění, posílit a upřesnit práva subjektů údajů. Článek 15 tohoto nařízení v tomto ohledu stanoví právo na získání kopie, na rozdíl od čl. 12 písm. a) druhé odrážky směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (…), který vyžadoval pouze „sdělení srozumitelnou formou o údajích, které jsou předmětem zpracování“. Bod 63 odůvodnění GDPR upřesňuje, že „[s]ubjekt údajů by měl mít právo na přístup ke shromážděným osobním údajům, které se ho týkají, a měl by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byl o jejich zpracování informován a mohl si ověřit jeho zákonnost“. |
(34) | Právo na přístup stanovené v článku 15 GDPR tedy musí subjektu údajů umožnit, aby se ujistil, že osobní údaje, které se ho týkají, jsou správné a jsou zpracovávány zákonným způsobem (rozsudek Österreichische Post, C-154/21, EU:C:2023:3, bod 37 a citovaná judikatura). |
(35) | Konkrétně je toto pravo na přístup nezbytné k tomu, aby subjekt údajů mohl případně vykonat právo na opravu, právo na výmaz („právo být zapomenut“) a právo na omezení zpracování, které mu přiznávají články 16, 17 a 18 GDPR, právo na námitku proti zpracování svých osobních údajů stanovené v článku 21 GDPR, jakož i právo na soudní ochranu pro případ utrpěné škody, zakotvené v článcích 79 a 82 GDPR (rozsudek Österreichische Post, C-154/21, bod 38 a citovaná judikatura). (…) |
(37) | Kromě toho v souladu se zásadou transparentnosti zmíněnou předkládajícím soudem, na kterou odkazuje bod 58 odůvodnění GDPR a která je výslovně zakotvena v čl. 12 odst. 1 tohoto nařízení, musí být všechny informace určené subjektu údajů stručné, snadno přístupné a srozumitelné a musí být podávané za použití jasných a jednoduchých jazykových prostředků. |
(38) | Jak uvedl generální advokát v bodech 54 a 55 svého stanoviska, z tohoto ustanovení vyplývá, že správce je povinen přijmout vhodná opatření, aby subjektu údajů poskytl všechny informace uvedené mimo jiné v článku 15 GDPR, a to stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků, a že informace musí být poskytnuty písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě, pokud si subjekt údajů nevyžádá, aby byly informace poskytnuty ústně. Účelem tohoto ustanovení, které je výrazem zásady transparentnosti, je zajistit, aby subjekt údajů mohl plně porozumět informacím, které jsou mu zasílány. |
(39) | Z toho vyplývá, že kopie zpracovávaných osobních údajů, kterou správce musí podle čl. 15 odst. 3 první věty GDPR poskytnout, musí vykazovat všechny vlastnosti umožňující subjektu údajů účinně uplatňovat svá práva podle tohoto nařízení, a musí proto tyto údaje úplně a přesně reprodukovat. (…) |
(41) | Za účelem zajištění toho, aby takto poskytnuté informace byly snadno pochopitelné, jak vyžaduje čl. 12 odst. 1 GDPR ve spojení s bodem 58 odůvodnění tohoto nařízení, se totiž může, jak uvedl generální advokát v bodech 57 a 58 svého stanoviska, jako nezbytná ukázat reprodukce výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují mimo jiné zpracovávané osobní údaje, je-li uvedení zpracovávaných údajů do kontextu nezbytné pro zajištění jejich pochopitelnosti. |
(42) | Zejména, pokud jsou osobní údaje generovány z jiných údajů nebo pokud takovéto údaje vyplývají z mezer v textu, to znamená z neuvedení údajů, z nichž informace o subjektu údajů vyplývají, je kontext, v němž jsou tyto údaje zpracovávány, nezbytným prvkem toho, aby subjekt údajů mohl získat transparentní přístup a aby byla prezentace těchto údajů srozumitelná. |
(43) | Kromě toho podle čl. 15 odst. 4 GDPR ve spojení s bodem 63 odůvodnění tohoto nařízení nesmí být právem získat kopii uvedenou v odstavci 3 nepříznivě dotčena práva a svobody jiných osob, například obchodní tajemství nebo duševní vlastnictví, a zejména autorské právo chránící programové vybavení. |
(44) | Proto je, jak zdůraznil generální advokát v bodě 61 svého stanoviska, v případě rozporu mezi výkonem práva na plný a úplný přístup k osobním údajům na straně jedné a právy nebo svobodami jiných osob na straně druhé třeba dotčená práva a svobody vyvážit. Pokud je to možné, měly by být zvoleny takové způsoby sdělování osobních údajů, které neporušují práva nebo svobody jiných osob, přičemž je třeba mít na paměti, jak je uvedeno v bodě 63 odůvodnění GDPR, že zohlednění těchto skutečností by nemělo „vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací“. |
(45) | S ohledem na výše uvedené úvahy je třeba na první až třetí předběžnou otázku odpovědět, že čl. 15 odst. 3 první věta GDPR musí být vykládána v tom smyslu, že právo získat od správce kopii zpracovávaných osobních údajů znamená, že subjektu údajů musí být předána věrná a srozumitelná reprodukce všech těchto údajů. Předpokladem tohoto práva je právo získat kopii výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují mimo jiné uvedené údaje, pokud je poskytnutí takovéto kopie nezbytné k tomu, aby subjekt údajů mohl účinně uplatňovat práva, která mu toto nařízení přiznává, přičemž je třeba zdůraznit, že v tomto ohledu musí být zohledněna práva a svobody jiných osob. (…) |