CJEU: Pravica do dostopa (C-312/23)
Sodišče EU je izdalo odločitev, da pravica do pridobitve kopije osebnih podatkov pomeni, da mora biti posamezniku zagotovljena celovita in razumljiva kopija podatkov, ne glede na motiv zahteve.
Odločitev je bila objavljena 27.5.2024
Med majem 2018 in aprilom 2019 je več strank Addiko bank na Hrvaškem (upravljavec) zahtevalo kopijo dokumentov z njihovimi osebnimi podatki, vključno s kreditnimi pogodbami, odplačilnimi načrti, dokumenti v zvezi s spremembami obrestnih mer in izpiski stanj računa. Nekatere od teh zahtev je izrecno motivirala želja posameznikov, da proti upravljavcu vložijo zahtevek ali pravni postopek.
Upravljavec je zavrnil dostop do teh dokumentov, posamezniki pa so vložili pritožbe pri hrvaškem nadzornem organu, saj naj bi ta zavrnitev pomenila kršitev člena 15(3) GDPR. Ker upravljavec v 26 primerih ni ravnal v skladu s priporočili, ki jih je izdal nadzorni organ, mu je bilo izrečeno 1.100.000 HRK (146.667 €) kazni.
Upravljavec je menil, da člen 15(3) GDPR posameznikom daje pravico zgolj do kopije osebnih podatkov, ki se obdelujejo, ne pa tudi do dokumentov, v katerih so vključeni ti osebni podatki. Upravljavec je zato zoper upravno globo vložil tožbo na Upravnem sodišču v Zagrebu.
Upravno sodišče je sklenilo prekiniti postopek in Sodišču EU predložilo naslednja vprašanja:
Ali člen 15(3) GDPR obvezuje upravljavca, da posamezniku zagotovi kopijo dokumenta, ki vsebuje njegove osebne podatke?
Ali lahko upravljavec zavrne zahtevo za dostop, vloženo kot sredstvo za pridobitev dokumentacije za pomoč posamezniku pri sprožitvi sodnega postopka proti upravljavcu?
Odločitev sodišča EU
Prvo vprašanje
Člen 15(3) GDPR s svojim besedilom podeljuje posamezniku pravico pridobiti natančno reprodukcijo osebnih podatkov v zvezi z njim, razumljenih v širšem smislu, ki so predmet obdelave, ki jo izvaja upravljavec.
Izraz „kopija“ se ne nanaša na dokument kot tak, temveč na osebne podatke, ki jih vsebuje, ki morajo biti popolni. Kopija mora torej vsebovati vse osebne podatke, ki se obdelujejo.
Člen 15 je namenjen krepitvi in razjasnitvi pravic posameznikov, zato mora pravica do dostopa omogočiti posamezniku, da preveri, ali so osebni podatki v zvezi z njim točni in zakonito obdelani. Zato mora kopija, ki jo zagotovi upravljavec, vsebovati vse lastnosti, ki posamezniku omogočajo učinkovito uveljavljanje njegovih pravic v skladu z GDPR. To pomeni, da mora biti posamezniku, na katerega se nanašajo osebni podatki, zagotovljena verodostojna in razumljiva reprodukcija podatkov.
Pravica posameznika, da pridobi kopijo osebnih podatkov v zvezi z njim, pomeni, da mu je treba zagotoviti resnično in razumljivo reprodukcijo takih podatkov. Vključuje tudi pravico do pridobitve popolne kopije dokumentov, ki vsebujejo njegove podatke, če je kopija potrebna, da lahko posameznik preveri točnost in popolnost podatkov.
Drugo vprašanje
Uvodna izjava 63 GDPR določa, da mora imeti posameznik, pravico do dostopa do osebnih podatkov, da bi se seznanil z obdelavo in preveril zakonitost obdelave.
Besedilo člena 15(1) in (3) GDPR ne pogojuje zagotovitve kopije osebnih podatkov s tem, da posameznik upraviči svojo zahtevo za dostop do teh podatkov. Upravljavec nima možnosti zahtevati, da mu posameznik pojasni točne razloge, zaradi katerih je vložil zahtevo za dostop.
Člena 15(1) in (3) GDPR ni mogoče razlagati tako, da je dovoljeno zahtevo posameznika zavrniti, če je njen cilj drugačen od tega, da se zgolj seznani z obdelavo teh podatkov in preveri njeno zakonitost.
Dejstvo, da se osebni podatki obdelujejo v skladu z zakonsko obveznostjo, ne vpliva na obseg te pravice, saj GDPR pravice do dostopa ne postavlja v odvisnost od razloga obdelave.
Obveznost predložitve kopije osebnih podatkov posameznika je zato zavezujoča za upravljavca, tudi če je ta zahteva motivirana z namenom, ki ni naveden v prvem stavku uvodne izjave 63 GDPR.
Celotna odločitev je dostopna tukaj
https://curia.europa.eu/juris/document/document.jsf?text=&docid=286986&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=2893259
