Przekazanie kopii danych osobowych podlegających przetwarzaniu (art. 15 ust. 3 i 4 RODO)

Przyznane osobie, której dane dotyczą, prawo do bezpłatnego uzyskania pierwszej kopii jej danych osobowych podlegających przetwarzaniu nie jest prawem absolutnym. Względy dotyczące w szczególności ochrony praw i wolności innych osób mogłyby uzasadniać ograniczenie tego prawa, o ile takie ograniczenie nie narusza jego istoty i jest środkiem niezbędnym i proporcjonalnym służącym tej ochronie, jak to przewiduje art. 23 ust. 1 lit. i) RODO.

Zakresem stosowania art. 23 ust. 1 lit. i) RODO mogą być objęte przepisy krajowe przyjęte przed wejściem w życie tego rozporządzenia. Jednakże taka możliwość nie pozwala na przyjęcie przepisów krajowych obciążających – w celu ochrony interesów gospodarczych administratora – osobę, której dane dotyczą, kosztami pierwszej kopii jej danych osobowych podlegających temu przetwarzaniu.

Zgodnie ze swoim brzmieniem art. 15 ust. 3 zdanie pierwsze RODO przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii jej – rozumianych szeroko – danych osobowych podlegających operacjom, które należy zakwalifikować jako „przetwarzanie” dokonywane przez administratora tego przetwarzania (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Art. 15 RODO nie może być interpretowany w ten sposób, że ustanawia w ust. 3 zdanie pierwsze prawo odrębne od prawa przewidzianego w ust. 1 tego przepisu. Ponadto pojęcie „kopii” odnosi się nie do dokumentu jako takiego, ale do danych osobowych, które on zawiera i które powinny być kompletne. Kopia powinna zatem obejmować wszystkie dane osobowe podlegające przetwarzaniu (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Kopia danych osobowych podlegających przetwarzaniu, którą administrator musi dostarczyć na podstawie art. 15 ust. 3 zdanie pierwsze RODO, powinna posiadać wszystkie cechy umożliwiające osobie, której dane dotyczą, skuteczne wykonywanie jej praw wynikających z tego rozporządzenia, a w konsekwencji powinna odtwarzać w całości i wiernie te dane (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Aby zagwarantować, że informacje przekazane przez administratora będą łatwe do zrozumienia, jak tego wymaga art. 12 ust. 1 RODO w świetle motywu 58 tego rozporządzenia, może okazać się niezbędne, w przypadku gdy kontekst przetwarzanych danych jest niezbędny do zapewnienia, by były one zrozumiałe, odtworzenie fragmentów dokumentów, a nawet całych dokumentów, które zawierają między innymi przetwarzane dane osobowe (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21). W konsekwencji prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernej i zrozumiałej kopii wszystkich oryginałów tych danych. Prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów lub całych dokumentów, które zawierają między innymi te dane, jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez to rozporządzenie (wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Wyrok TSUE z dnia 26 października 2023 r., C-307/22

Standard: 84041 (pełna treść orzeczenia)

Prawo do uzyskania od administratora kopii danych osobowych podlegających przetwarzaniu oznacza przekazanie osobie, której dane dotyczą, wiernej i zrozumiałej kopii wszystkich oryginałów tych danych. Prawo to obejmuje prawo do uzyskania kopii fragmentów dokumentów lub całych dokumentów, lub też wyciągów z baz danych, które zawierają między innymi te dane, jeżeli dostarczenie takiej kopii jest niezbędne do umożliwienia osobie, której dane dotyczą, skutecznego wykonywania praw przyznanych jej przez to rozporządzenie, przy czym wymaga podkreślenia, że należy w tym względzie uwzględnić prawa i wolności innych osób.

Pojęcie „informacji”, o którym mowa w uł 15 ust. 3 zd. 3 RODO, odnosi się wyłącznie do danych osobowych, których kopię administrator musi dostarczyć zgodnie ze zdaniem pierwszym tego ustępu.

Art. 15 ust. 3 zd. 1 RODO stanowi, że administrator „dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu”. Skoro RODO nie zawiera definicji użytego w ten sposób pojęcia „kopii”, to należy wziąć pod uwagę zwyczajowe znaczenie tego pojęcia, oznaczające wierne odtworzenie lub wierną transkrypcję oryginału, tak że czysto ogólny opis danych podlegających przetwarzaniu lub odesłanie do kategorii danych osobowych nie odpowiada tej definicji.

Z brzmienia art. 15 ust. 3 zdanie pierwsze tego rozporządzenia wynika, że obowiązek podania do wiadomości odnosi się do danych osobowych podlegających przetwarzaniu.

Z analizy językowej art. 15 ust. 3 zdanie pierwsze RODO wynika zatem, że przepis ten przyznaje osobie, której dane dotyczą, prawo do uzyskania kopii oryginału jej – rozumianych szeroko – danych osobowych podlegających operacji, które należy zakwalifikować jako przetwarzanie dokonywane przez administratora tego przetwarzania.

Art. 15 RODO, zatytułowany „Prawo dostępu przysługujące osobie, której dane dotyczą”, określa w ust. 1 przedmiot i zakres przyznanego osobie, której dane dotyczą, prawa dostępu i ustanawia w nim prawo tej osoby do uzyskania od administratora dostępu do jej danych osobowych oraz informacji, do których odnoszą się lit. a)–h) tego ustępu.

W art. 15 ust. 3 RODO uściślono praktyczne zasady wykonania obowiązku spoczywającego na administratorze, określając w szczególności w zdaniu pierwszym formę, w jakiej administrator ten ma przekazywać „dane osobowe podlegające przetwarzaniu”, a mianowicie w formie „kopii”. Ponadto ustęp ten stanowi w zdaniu trzecim, że informacje przekazuje się w powszechnie używanej formie elektronicznej, gdy wniosek jest składany drogą elektroniczną, chyba że zainteresowana osoba wystąpi z innym wnioskiem.

W konsekwencji art. 15 RODO nie może być interpretowany w ten sposób, że ustanawia w ust. 3 zdanie pierwsze prawo odrębne od prawa przewidziane w ust. 1 tego przepisu.

Pojęcie „kopii” nie odnosi się do dokumentu jako takiego, ale do danych osobowych, które zawiera i które powinny być kompletne. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu.

Kopia danych osobowych podlegających przetwarzaniu, którą administrator musi przedstawić na podstawie art. 15 ust. 3 zdanie pierwsze RODO, powinna posiadać wszystkie cechy umożliwiające osobie, której dane dotyczą, skuteczne wykonywanie jej praw wynikających z tego rozporządzenia, a w konsekwencji powinna odtwarzać w całości i wiernie te dane.

Zgodnie z art. 15 ust. 4 RODO w związku z motywem 63 tego rozporządzenia prawo do uzyskania kopii, o której mowa w ust. 3, nie powinno naruszać praw i wolności innych osób, w tym tajemnicy handlowej lub własności intelektualnej, w szczególności praw autorskich chroniących oprogramowanie.

W przypadku kolizji między z jednej strony wykonywaniem prawa do pełnego i całkowitego dostępu do danych osobowych a z drugiej strony prawami lub wolnościami innych osób konieczne będzie wyważenie praw. W miarę możliwości należy wybrać sposób przekazania danych osobowych, który nie narusza praw lub wolności innych osób, mając na uwadze, że – jak wynika z motywu 63 RODO – względy te nie powinny jednak „skutkować odmową udzielenia osobie, której dane dotyczą, jakichkolwiek informacji”.

Wyrok TSUE z dnia 4 maja 2023 r., C-487/21

Standard: 83956 (pełna treść orzeczenia)