C-307/22

proti

DW

[návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof (Spolkový súdny dvor, Nemecko)]

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Články 12, 15 a 23 – Právo dotknutej osoby na prístup k spracúvaným osobným údajom – Právo na bezplatnú kópiu osobných údajov – Náhrada nákladov – Zdravotný záznam pacienta – Lekár spracúvajúci údaje“

I. Úvod

1.

A.

Právo Európskej únie

4.

Odôvodnenia 4, 13 a 63 GDPR stanovujú:

„(4)

… Právo na ochranu osobných údajov nie je absolútne právo; musí… byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v zmluvách, najmä… slobodu podnikania…

„1. Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho….

2. Prevádzkovateľ uľahčuje výkon práv dotknutej osoby podľa článkov 15 až 22. …

3. Prevádzkovateľ poskytne dotknutej osobe informácie o opatreniach, ktoré sa prijali na základe žiadosti podľa článkov 15 až 22, bez zbytočného odkladu a v každom prípade do jedného mesiaca od doručenia žiadosti. …

…

5. Informácie poskytnuté podľa článkov 13 a 14 a všetky oznámenia a všetky opatrenia prijaté podľa článkov 15 až 22 a článku 34 sa poskytujú bezplatne. Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, prevádzkovateľ môže buď:

a)

Podľa ustanovení článku 15 GDPR s názvom „Právo dotknutej osoby na prístup k údajom“:

„1. Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:

…

3. Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú. Za akékoľvek ďalšie kópie, o ktoré dotknutá osoba požiada, môže prevádzkovateľ účtovať primeraný poplatok zodpovedajúci administratívnym nákladom. …

4. Právo získať kópiu uvedenú v odseku 3 nesmie mať nepriaznivé dôsledky na práva a slobody iných.“

7.

i)

ochranu dotknutej osoby alebo práv a slobôd iných;

…“

B.

Vnútroštátne právo

8.

„1. Pacientovi sa na jeho žiadosť bez zbytočného odkladu umožní nahliadnuť do kompletného zdravotného záznamu pacienta, ktorý sa ho týka, pokiaľ tomu nebránia závažné terapeutické dôvody alebo iné závažné práva tretích osôb. …

2. Pacient môže požiadať aj o elektronické odpisy zdravotného záznamu pacienta. Pacient je povinný nahradiť ošetrujúcej osobe náklady, ktoré jej vznikli.

…“

III. Skutkový stav, konanie a prejudiciálne otázky

10.

DW (žalobca vo veci samej) sa podrobil stomatologickému ošetreniu u FT (žalovaná vo veci samej). Z dôvodu pochybností o správnom postupe pri ošetrení DW požiadal FT, aby mu bezplatne poskytla kópiu všetkých zdravotných záznamov, ktoré sa ho týkali a ktoré mala FT k dispozícii. FT sa domnievala, že by bola povinná poskytnúť kópiu zdravotného záznamu len v prípade, ak by jej pacient nahradil náklady.

„1.

Má sa článok 15 ods. 3 prvá veta v spojení s článkom 12 ods. 5 GDPR vykladať v tom zmysle, že prevádzkovateľ (v tomto prípade: ošetrujúci lekár) nie je povinný bezplatne poskytnúť dotknutej osobe (v tomto prípade: pacientovi) prvú kópiu jej osobných údajov spracovávaných prevádzkovateľom, keď dotknutá osoba žiada o túto kópiu nie na účely uvedené v prvej vete odôvodnenia 63 GDPR, teda aby sa oboznámila so spracúvaním svojich osobných údajov a mohla si overiť jeho zákonnosť, ale sleduje iný účel, nesúvisiaci s ochranou osobných údajov, ale legitímny (v tomto prípade: skúmanie existencie nárokov z profesijnej zodpovednosti lekára)?

2.

V prípade zápornej odpovede na prvú otázku: a) Možno podľa článku 23 ods. 1 písm. i) GDPR na účely obmedzenia práva na bezplatné poskytnutie kópie osobných údajov spracúvaných prevádzkovateľom vyplývajúceho z článku 15 ods. 3 prvej vety v spojení s článkom 12 ods. 5 GDPR vziať do úvahy aj ustanovenie vnútroštátneho práva členského štátu, ktoré bolo prijaté pred nadobudnutím účinnosti GDPR?

b)

V prípade kladnej odpovede na otázku 2a): Má sa článok 23 ods. 1 písm. i) GDPR vykladať v tom zmysle, že práva a slobody iných osôb uvedené v tomto ustanovení zahŕňajú aj ich záujem na odbremenení od nákladov spojených s poskytnutím kópie údajov podľa článku 15 ods. 3 prvej vety GDPR a iných výdavkov spôsobených poskytnutím kópie?

IV. Analýza

A.

O prvej otázke: prístup k údajom na účely, ktoré nesúvisia s ochranou údajov

15.

Svojou prvou otázkou sa vnútroštátny súd pýta Súdneho dvora, či sa má článok 12 ods. 5 a článok 15 ods. 3 GDPR vykladať v tom zmysle, že prevádzkovateľ je povinný poskytnúť dotknutej osobe bezplatne kópiu jej osobných údajov, ak dotknutá osoba nežiada o túto kópiu na účely uvedené v prvej vete odôvodnenia 63 GDPR (konkrétne, aby sa dozvedela o spracúvaní svojich osobných údajov a mohla si overiť jeho zákonnosť), ale na iný účel, ako je overenie existencie nárokov vyplývajúcich z profesijnej zodpovednosti lekára.

16.

Článok 12 GDPR od prevádzkovateľa vyžaduje, aby „prijal vhodné opatrenia s cieľom poskytnúť všetky informácie… a všetky oznámenia“, o ktoré ide, a aby „ uľahčil výkon práv dotknutých osôb“ ( 4 ). Ustanovenia článku 12 sa v skutočnosti týkajú najmä spôsobu a časového rámca , v ktorom by mal prevádzkovateľ okrem iného poskytnúť prístup k údajom. ( 5 ) Jediné výnimky z povinnosti prevádzkovateľa konať bezodkladne sú tieto: i) žiadosť o poskytnutie dodatočných informácií alebo odmietnutie konať v prípade oprávnených pochybností v súvislosti s totožnosťou dotknutej osoby, ( 6 ) a ii) zaplatenie primeraného poplatku alebo odmietnutie konať v prípade zjavne neopodstatnených alebo neprimeraných žiadostí. ( 7 )

20.

Článok 15 GDPR je tiež formulovaný veľmi široko a poskytuje dotknutým osobám rozsiahle formy prístupu: právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak áno, právo získať v tejto súvislosti podrobné informácie, ( 8 ) a právo získať kópiu spracúvaných osobných údajov. ( 9 ) Pre výkon práva dotknutej osoby na prístup podľa článku 15 GDPR nie je stanovená žiadna výslovná podmienka ani obmedzenie.

21.

Vyššie uvedené sa líši od toho, čo je stanovené v ostatných ustanoveniach nariadenia, ktoré sa týkajú iných práv dotknutých osôb. Napríklad článok 17 ods. 3 GDPR stanovuje situácie, keď sa „neuplatňuje“ právo byť zabudnutý, uvedené v odsekoch 1 a 2 toho istého ustanovenia. Článok 20 GDPR, ktorý sa týka práva na prenosnosť údajov, má podobnú štruktúru, pričom výnimky sú stanovené v odseku 3 tohto ustanovenia. V článku 21 ods. 6 GDPR sa zasa stanovujú podmienky, za ktorých sú dotknuté osoby za určitých osobitných okolností oprávnené uplatniť svoje právo namietať, ako sa uvádza v odseku 1 tohto článku.

25.

Okrem toho súhlasím s vnútroštátnym súdom, že z bodu 44 rozsudku YS a i. nie je možné vyvodiť odlišný výklad článku 15 GDPR. ( 13 ) V uvedenej pasáži Súdny dvor – s odvolaním na ustanovenia smernice 95/46/ES ( 14 ), ktorá je predchodkyňou GDPR – uviedol, že „ako vyplýva z odôvodnenia… tejto smernice, práve s cieľom uskutočniť nevyhnutné overenia má dotknutá osoba… právo na prístup k údajom, ktoré sa jej týkajú a ktoré sú predmetom spracovania“ ( 15 ).

26.

Súdny dvor pritom v podstate neurobil nič viac ako to, že citoval znenie odôvodnenia 41 smernice 95/46, ktorého znenie bolo podobné zneniu odôvodnenia 63 GDPR. Okrem toho – ako správne poznamenal vnútroštátny súd – vo veci YS a i. bol Súdny dvor požiadaný, aby objasnil pojem „osobné údaje“ s cieľom určiť rozsah prístupu. Preskúmavaná otázka vyvoláva inú právnu otázku – či účel požadovaného prístupu môže ovplyvniť možnosť udelenia prístupu – pričom sa domnievam, že k tomuto aspektu nie je možné nájsť žiadne užitočné usmernenie.

27.

Výklad článku 15 GDPR predložený v týchto návrhoch potvrdzuje aj článok 8 ods. 2 Charty základných práv Európskej únie (ďalej len „Charta“) týkajúci sa „ochrany osobných údajov“, podľa ktorého „každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu“ ( 16 ). Zdá sa, že právo na prístup je v Charte vymedzené ako samostatné právo, ktoré logicky súvisí s možnosťou alebo úmyslom držiteľa práva uplatniť iné práva (ako napríklad právo na opravu ( 17 )), ale v žiadnom prípade od nich nezávisí.

B.

O druhej otázke: bezplatný prístup ku kópiám

31.

Svojou druhou otázkou sa vnútroštátny súd v podstate Súdneho dvora pýta, či článok 23 ods. 1 GDPR umožňuje, aby vnútroštátne právne predpisy prijaté pred nadobudnutím účinnosti GDPR obmedzovali právo dotknutých osôb na bezplatné poskytnutie kópie osobných údajov spracúvaných prevádzkovateľom tým, že od dotknutých osôb vyžaduje náhradu nákladov, ktoré prevádzkovateľovi v tejto súvislosti vznikli.

1. Zásada a výnimka

32.

Po zdôraznení tohto aspektu pristúpim teraz ku kľúčovej otázke, ktorú táto otázka nastoľuje a ktorá si podľa môjho názoru vyžaduje kladnú odpoveď.

2. Požiadavky článku 23 ods. 1 GDPR

36.

Po prvé je nesporné, že právo dotknutých osôb na prístup k ich osobným údajom – stanovené v článku 15 GDPR – je jedným z práv, ktoré patrí do pôsobnosti článku 23 ods. 1 GDPR, a teda jeho rozsah je možné obmedziť prostredníctvom legislatívneho opatrenia Únie alebo členského štátu. ( 22 )

37.

Po druhé, ak členské štáty môžu všeobecne obmedziť rozsah práva na prístup napríklad tým, že ho vylúčia v určitých situáciách alebo vo vzťahu k určitým údajom, mali by mať tiež možnosť – v súlade so zásadou a maiore ad minus ( 23 ) – zaviesť pomerne úzke obmedzenie jeho výkonu. Obmedzená je totiž len jedna forma prístupu (právo získať kópiu údajov), a to len tým, že je podmienená zaplatením nákladov, ktoré vznikli prevádzkovateľom, zo strany dotknutých osôb.

41.

Po piate sa mi zdá, že vnútroštátna právna úprava, o ktorú ide v prejednávanej veci, sleduje ciele, ktoré sú prípustné podľa článku 23 ods. 1 GDPR a v širšom zmysle legitímne podľa práva Únie.

42.

S výhradou overenia vnútroštátnym súdom tomuto rozumiem tak, že cieľom príslušnej vnútroštátnej právnej úpravy je odradiť od zbytočných alebo neopodstatnených žiadostí o kópie, aby boli i) chránené hospodárske záujmy lekárov, ktorí často pracujú v rámci podnikov tvorených jednou osobou alebo v malých tímoch, a tým sa ii) zabezpečilo, aby lekári pri výkone svojich profesijných činností venovali (väčšinu) svojho času svojim hlavným lekárskym úlohám, a nie vykonávaniu administratívnych úkonov, ktorým sa možno vyhnúť.

43.

Druhý cieľ súvisí s cieľom ochrany verejného zdravia. V článku 23 ods. 1 písm. e) sa výslovne predpokladajú obmedzenia potrebné na zaistenie „dôležitých cieľov všeobecného verejného záujmu Únie alebo členského štátu“, ako je „verejné zdravie“. To je v súlade s článkom 35 Charty, nazvaným „Zdravotná starostlivosť“, ktorý stanovuje, že „každý má právo na prístup k preventívnej zdravotnej starostlivosti a právo využívať lekársku starostlivosť za podmienok stanovených vnútroštátnymi predpismi a praxou. Pri tvorbe a uskutočňovaní všetkých politík a činností EÚ sa zabezpečí vysoká úroveň ochrany ľudského zdravia“ ( 25 ).

47.

Skutočnosť, že jeden zo záujmov chránených predmetnými vnútroštátnymi právnymi predpismi je hospodárskej povahy, sama osebe neznamená, že by tento záujem nemohol odôvodňovať obmedzenia podľa článku 23 ods. 1 GDPR. Odôvodnenie 4 GDPR je z tohto pohľadu celkom jasné: „právo na ochranu osobných údajov nie je absolútne právo a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v zmluvách, najmä… slobodu podnikania …“ ( 29 ).

48.

V tejto súvislosti pripomínam, že hlava II Charty („Slobody“) zahŕňa rôzne práva hospodárskej povahy: okrem už spomínanej slobody podnikania (jej článok 16) sa v nej nachádza aj „slobodná voľba povolania a právo na prácu“ (jej článok 15) a vlastnícke právo (jej článok 17). Základné práva hospodárskej povahy nemožno považovať za menej významné v porovnaní s inými (občianskymi, sociálnymi alebo politickými) právami. Nie je potrebné poznať diela Ludwiga von Misesa ( 30 ) na to, aby sme pochopili, že všetky tieto práva sú neoddeliteľne prepojené: ich využívanie nemôže ísť inak ako ruka v ruke, pretože odňatie hospodárskych práv by nevyhnutne ovplyvnilo možnosť jednotlivcov plne využívať svoje občianske, sociálne a politické práva, a naopak.

49.

Okrem toho, ako poznamenal vnútroštátny súd, odôvodnenie 13 GDPR nabáda členské štáty, aby „pri uplatňovaní tohto nariadenia zohľadňovali osobitné potreby mikropodnikov a malých a stredných podnikov“. Členské štáty teda môžu zohľadniť osobitné charakteristiky podnikov s obmedzenou veľkosťou a samostatne zárobkovo činných osôb, ako je to často v prípade lekárov.

Na účely overenia primeranosti obmedzenia je potrebné preskúmať tri kumulatívne požiadavky. Opatrenie musí byť vhodné na zabezpečenie dosiahnutia sledovaného cieľa („vhodnosť“) a nejde nad rámec toho, čo je na jeho dosiahnutie nevyhnutné („nevyhnutnosť“). Okrem toho musí byť vnútroštátne opatrenie „proporcionálne stricto sensu “, čo znamená, že sa ním musí dosiahnuť spravodlivá rovnováha medzi dotknutými záujmami (teda záujmom, ktorý sleduje štát predmetným opatrením, a záujmom osôb, ktoré sú ním nepriaznivo ovplyvnené). ( 32 )

53.

Podľa môjho názoru sú to často vnútroštátne súdy, ktoré majú najlepšie predpoklady na posúdenie, či sú konkrétne vnútroštátne opatrenia, ktoré sa odchyľujú od všeobecných pravidiel práva Únie, v súlade so zásadou proporcionality. S cieľom pomôcť vnútroštátnemu súdu pri riešení veci samej, však ponúkam tieto úvahy.

54.

Na úvod sa mi zdá, že vnútroštátna právna úprava, o ktorú ide v prejednávanej veci, je v zásade vhodná na dosiahnutie cieľov sledovaných vnútroštátnym zákonodarcom, čo znamená, že podľa všetkého môže významne prispieť k ich dosiahnutiu. Požiadavka, aby dotknuté osoby zaplatili administratívne náklady spojené s vyhotovením požadovaných kópií, ich totiž môže skutočne odradiť od podávania zbytočných alebo neopodstatnených žiadostí o prístup. To znamená, že je menej pravdepodobné, že lekári budú musieť využívať svoj čas a zdroje na administratívne úkony, ktorým sa dá vyhnúť.

55.

Pripúšťam, že niektoré tvrdenia Komisie majú určitú váhu. Môže byť skutočne pravda, že nie všetky situácie, na ktoré sa vzťahuje predmetná vnútroštátna právna úprava, sú úplne porovnateľné na účely článku 23 ods. 1 písm. e) a i) GDPR. Napríklad veľké lekárske združenia, nemocnice a súkromné kliniky majú zvyčajne špecializovaný personál a vybavenie na vykonávanie všetkých administratívnych úkonov spojených s poskytovaním lekárskych služieb. Nie je teda zrejmé, že by aj v týchto prípadoch mala vnútroštátna právna úprava, akou je sporná právna úprava, ten následok, že by zbavovala lekárov zbytočných výdavkov alebo využívania ich drahocenného času na vykonávanie zbytočných administratívnych úkonov.

59.

Okrem toho na rozdiel od lekárov, ktorí sú povinní uplatňovať verejne stanovené sadzby, lekári, ktorí si môžu slobodne určiť svoje sadzby na úrovni, ktorú považujú za primeranú, majú možnosť, ak to považujú za vhodné, získať späť náklady zvýšením svojich sadzieb, a tieto náklady tak „rozložiť“ medzi všetkých svojich pacientov. Niektorí lekári teda môžu zrejme vyžadovať vyššiu úroveň „legislatívnej ochrany“ ako iní.

60.

Na druhej strane si však nie som istý, či by bolo praktické alebo rozumné a spravodlivé také pravidlo, na základe ktorého by sa rozdielne zaobchádzalo s lekármi, a v dôsledku toho aj s pacientmi, v závislosti od toho, či sú lekári napríklad a) samostatne zárobkovo činné osoby alebo zamestnanci; b) alebo pracujú – ak použijem terminológiu odôvodnenia 13 GDPR – v „mikropodnikoch, malých a stredných podnikoch“ alebo vo veľkých nemocniciach a klinikách, alebo c) sú viazaní verejnými sadzbami alebo si môžu svoje sadzby voľne určiť.

64.

Bolo by totiž možné spochybniť aj celkovú spravodlivosť alebo, inak povedané, primeranosť alternatívnych pravidiel. Z pohľadu lekárov sa môže konkrétne prispôsobené pravidlo, ktoré chráni pred takýmito nákladmi len nezávislých lekárov a malé ordinácie, javiť ako rozumné: chráni „najslabších“ odborníkov. Ak sa však to isté pravidlo posudzuje z pohľadu pacientov, môže vyzerať inak. V skutočnosti by takéto pravidlo bolo v prospech pacientov, ktorí vyhľadávajú lekárske služby vo veľkých nemocniciach a klinikách, najmä v tých, kde si lekári môžu slobodne stanoviť svoje sadzby na úrovni, ktorú považujú za primeranú. Bolo by to tak napriek skutočnosti, že i) títo pacienti môžu byť často bohatší než pacienti, ktorí využívajú služby miestnych, samostatne zárobkovo činných lekárov, a ii) náklady vynaložené na kópie lekárskych záznamov budú pravdepodobne predstavovať veľmi malú (možno zanedbateľnú) časť celkových nákladov, ktoré títo pacienti vynakladajú na lekárske služby, na rozdiel od pacientov, ktorí vyhľadávajú lekárske služby v rámci vnútroštátneho zdravotníckeho systému (zvyčajne bezplatne alebo za nízke poplatky). Dalo by sa teda tvrdiť, že ochrana „najslabších odborníkov“ by bola na úkor „najslabších spotrebiteľov“.

65.

Vzhľadom na uvedené skutočnosti teda nie som na rozdiel od Komisie presvedčený, že univerzálny prístup, ktorý zvolil nemecký zákonodarca, ide nad rámec toho, čo je nevyhnutné na dosiahnutie cieľov sledovaných predmetnou vnútroštátnou právnou úpravou. Nedokázal som nájsť žiadne alternatívne opatrenie, ktoré by bolo menej obmedzujúce voči právu na ochranu údajov fyzických osôb, a zároveň rovnako účinné na zaistenie záujmov, ktoré má predmetná vnútroštátna právna úprava chrániť.

69.

Po zvážení rôznych dotknutých záujmov nemecký zákonodarca rozhodol, že pokiaľ ide o žiadosti o kópie zdravotných záznamov adresované lekárom, existujú dôvody domnievať sa, že vzniknuté náklady by mali znášať dotknuté osoby, a nie prevádzkovatelia. Domnievam sa, že ide o politické rozhodnutie, ktoré vzhľadom na to, že nie je zjavne iracionálne alebo neprijateľné, spadá do rámca voľnej úvahy dotknutého členského štátu. V každom prípade je preskúmanie takejto voľby úlohou vnútroštátneho súdu, a nie Súdneho dvora.

70.

Celkom iste však existuje aspekt, ktorý by mal podľa môjho názoru vnútroštátny súd overiť. Domnievam sa, že v situáciách, ako sú situácie upravené predmetnou vnútroštátnou právnou úpravou, je nevyhnutné, aby náklady, ktorých náhradu môžu lekári požadovať od pacientov, boli prísne obmedzené na skutočné náklady na vyhotovenie a sprístupnenie požadovaných kópií. To znamená, že kompenzovať sa môžu len tie náklady, ktoré sa týkajú materiálu (ako je papier, toner do tlačiarní alebo kopírovacích strojov, alebo USB pamäťové jednotky atď.) a práce vykonanej na tento účel. Podľa môjho názoru tieto náklady nemôžu zahŕňať žiadny zisk odborníkov. ( 38 ) Vzhľadom na súčasný stav digitalizácie dokumentov a archívov by som bol prekvapený (a teda mal podozrenie), ak by suma, ktorú si lekári bežne účtujú na tento účel, presiahla niekoľko eur.

71.

Vzhľadom na všetky uvedené skutočnosti navrhujem, aby Súdny dvor na druhú prejudiciálnu otázku odpovedal tak, že článok 23 ods. 1 GDPR umožňuje vnútroštátnu právnu úpravu, ktorá ukladá pacientom, ktorí žiadajú o kópie svojich osobných údajov obsiahnutých v zdravotnom zázname, aby nahradili lekárom vynaložené náklady za predpokladu, že obmedzenie práva na prístup pri zohľadnení všetkých relevantných okolností je nevyhnutné a primerané cieľom ochrany verejného zdravia a slobody podnikania lekárov. Vnútroštátnemu súdu prináleží najmä overiť, či náklady, ktorých náhradu môžu lekári žiadať od pacientov, sú prísne obmedzené na skutočne vynaložené náklady v tejto súvislosti.

74.

V uvedenej veci vnútroštátny súd žiadal Súdny dvor o objasnenie rozsahu práva na prístup k údajom, ktoré dotknutým osobám priznáva článok 15 GDPR. S cieľom riešiť túto otázku sa generálny advokát Pitruzzella okrem iného zaoberal pojmom „kópia“ v zmysle článku 15 ods. 3 a 4 GDPR. Po doslovnom, kontextuálnom a teleologickom výklade uvedeného ustanovenia dospel k týmto záverom, ktoré sú relevantné pre prejednávanú vec.

75.

Po prvé pojem „kópia“ uvedený v článku 15 ods. 3 a 4 GDPR sa má chápať ako „verná reprodukcia osobných údajov požadovaných dotknutou osobou v zrozumiteľnej podobe a materializovanom a trvalom formáte, ktorý dotknutej osobe umožní účinne vykonávať právo na prístup k svojim osobným údajom, mať úplnú vedomosť o všetkých svojich osobných údajoch“. Dodal, že „presná podoba kópie sa určí podľa osobitostí každého prípadu, najmä podľa druhu osobných údajov, ku ktorým sa požaduje prístup, a podľa potrieb dotknutej osoby“ ( 40 ).

76.

Po druhé článok 15 ods. 3 GDPR „nepriznáva dotknutej osobe všeobecné právo získať kópiu časti alebo celého dokumentu obsahujúceho osobné údaje dotknutej osoby alebo výpis z tejto databázy, ak sa osobné údaje spracúvajú v databáze“. Generálny advokát Pitruzella však zároveň spresnil, že „toto ustanovenie však nevylučuje, že časti dokumentov alebo celé dokumenty či výpisy z databázy sa musia poskytnúť dotknutej osobe, ak je to potrebné na zabezpečenie úplnej zrozumiteľnosti osobných údajov, ktoré sa spracúvajú a ku ktorým sa žiada prístup“ ( 41 ).

80.

Zdá sa teda, že samotný normotvorca Únie zdôraznil význam toho, aby bol prístup jednotlivcov k osobným údajom týkajúcim sa ich zdravia nielen ľahko zrozumiteľný, ale aj čo najúplnejší a najpresnejší. Zároveň je zrejmé, že zdravotný záznam môže obsahovať rôzne dokumenty, ktoré neobsahujú osobné údaje pacientov (napríklad vedecké články týkajúce sa patológií alebo liečebných postupov). Pacienti zjavne na základe GDPR nemajú právo na prístup k informáciám obsiahnutým v týchto článkoch, a teda ani právo na ich kópiu.

81.

V tejto súvislosti poznamenávam, že predmetná vnútroštátna právna úprava – ktorej reforma je, pokiaľ je mi známe, predmetom diskusií príslušných vnútroštátnych orgánov ( 46 )– môže pacientom priznávať právo na prístup k zdravotnému záznamu, a najmä na získanie kópií dokumentov v ňom obsiahnutých, ktoré ide nad rámec práva priznaného na základe GDPR.

82.

Nevidím žiadny dôvod na to, prečo by takéto poňatie práva na prístup nemalo byť z hľadiska práva Únie možné, keďže by to spadalo do oblasti práva, ktorá nie je upravená na úrovni Únie. Pokiaľ to môžem posúdiť, neexistuje ani žiadna zjavná kolízia s pravidlami GDPR. Nemusím však zdôrazňovať, že právo na prístup k zdravotnému záznamu, ktoré ide nad rámec práva priznaného v GDPR, by sa v tomto rozsahu riadilo len vnútroštátnym právom. To znamená, že vnútroštátna právna úprava má určiť rozsah tohto práva (napríklad druh dotknutých dokumentov), a spôsob, akým má byť prístup poskytnutý (napríklad bezplatne alebo za náhradu vynaložených nákladov).

Článok 23 ods. 1 GDPR povoľuje vnútroštátnu právnu úpravu, ktorá ukladá pacientom, ktorí žiadajú o kópie svojich osobných údajov obsiahnutých v lekárskych záznamoch, povinnosť nahradiť lekárom vynaložené náklady, ak je obmedzenie práva na prístup pri zohľadnení všetkých relevantných okolností nevyhnutné a primerané cieľom ochrany verejného zdravia a slobody podnikania lekárov. Vnútroštátnemu súdu prináleží najmä overiť, či náklady, ktorých náhradu môžu lekári žiadať od pacientov, sú prísne obmedzené na skutočne vynaložené náklady v tejto súvislosti.

V kontexte vzťahu lekár – pacient sa slovné spojenie „kópia spracúvaných osobných údajov“ uvedené v článku 15 ods. 3 GDPR nemôže vykladať v tom zmysle, že dotknutej osobe priznáva všeobecné právo získať úplnú kópiu dokumentov, ktoré sú súčasťou jej zdravotného záznamu. Prevádzkovateľ je však povinný poskytnúť dotknutej osobe čiastočnú alebo úplnú kópiu dokumentov, ak je to potrebné na zaistenie zrozumiteľnosti poskytnutých údajov a na to, aby si dotknutá osoba mohla overiť, že poskytnuté údaje sú úplné a presné.

( 1 ) Jazyk prednesu: angličtina.

( 2 ) Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 ( Ú. v. EÚ L 119, 2016, s. 1 ).

( 3 ) Rozsah článku 12 GDPR je však širší ako rozsah článku 15 GDPR, pretože sa týka povinností prevádzkovateľa vyplývajúcich nielen z článku 15, ale aj z iných ustanovení GDPR.

( 4 ) Odseky 1 a 2 článku 12 (kurzívou zvýraznil generálny advokát).

( 11 ) Kurzívou zvýraznil generálny advokát.

( 12 ) Rovnako tak by nebolo možné zabrániť dotknutým osobám, aby po získaní osobných údajov podľa GDPR na účely ochrany údajov následne nevyužili tieto údaje v súvislosti so žalobami proti prevádzkovateľovi na iné účely.

( 13 ) Rozsudok zo 17. júla 2014 ( C‑141/12 a C‑372/12 , EU:C:2014:2081 ).

( 14 ) Smernica Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 013/015, s. 355). Táto smernica bola zrušená článkom 94 GDPR s účinnosťou od 25. mája 2018.

( 15 ) Kurzívou zvýraznil generálny advokát.

( 16 ) Kurzívou zvýraznil generálny advokát.

( 23 ) Táto zásada doslova znamená „od väčšieho k menšiemu“: ak máte možnosť urobiť viac, a fortiori môžete urobiť aj menej.

( 24 ) Pozri napríklad anglickú verziu („Union or Member State law… may restrict by a way of a legislative measure“); nemeckú verziu („Durch Rechtsvorschriften der Union oder der Mitgliedstaaten… können… im Wege von Gesetzgebungsmaßnahmen beschränkt werden“); francúzsku verziu („Le droit de l’Union ou le droit de l’État membre… peuvent, par la voie de mesures législatives“); taliansku verziu („Il diritto dell’Unione o dello Stato membro… può limitare, mediante misure legislative“); španielsku verziu („El Derecho de la Unión o de los Estados miembros… podrá limitar, a través de medidas legislativas“), a grécku verziu („Το δίκαιο της ένωσης ή του κράτους‑μέλους… μπορεί να περιορίζει μέσω νομοθετικού μέτρου“).

( 25 ) Podobne článok 8 ods. 2 Európskeho dohovoru o ľudských právach uvádza, že zásahy štátneho orgánu do výkonu práva na rešpektovanie súkromného a rodinného života – ktoré podľa tohto dohovoru zahŕňa aspekty ochrany údajov – môžu byť povolené, ak sú v súlade so zákonom a nevyhnutné okrem iného v záujme „ochrany zdravia“.

( 26 ) Kurzívou zvýraznil generálny advokát. Platí to pre väčšinu jazykových verzií tohto nariadenia.

( 27 ) Konkrétne článok 6 ods. 1 písm. f), článok 13 ods. 1 písm. d) a článok 14 ods. 2 písm. b) GDPR. Pozri aj definíciu pojmu „tretia strana“ v článku 4 ods. 10 GDPR.

( 28 ) Podobne GAWRONSKI, M. (ed.): Guide to the GDPR . Wolters Kluwer, 2019, s. 138.

( 35 ) Návrhy vo veci Komisia/Poľsko ( C‑601/21 , EU:C:2023:151 , bod 65 ).

( 36 ) Článok 6 písm. a) ZFEÚ.

( 37 ) Pozri napríklad rozsudok z 19. októbra 2016, Deutsche Parkinson Vereinigung ( C‑148/15 , EU:C:2016:776 , bod 30 a citovaná judikatúra).

( 38 ) V tejto súvislosti je poľutovaniahodné, že nemecká vláda nepredložila v tomto konaní žiadne pripomienky.

( 39 ) ( C‑487/21 , EU:C:2022:1000 ).

( 40 ) Tamže, bod 70.