CELEX: 62021CJ0487
Návrh na začatie prejudiciálneho konania
Ochrana osobných údajov
Nariadenie (EÚ) 2016/679
Právo dotknutej osoby na prístup k osobným údajom, ktoré sa spracúvajú
Článok 15 ods. 3
Poskytnutie kópie údajov
Pojem ‚kópia‘
Pojem ‚informácie‘

Návrh  na  začatie  prejudiciálneho  konania  sa  týka  výkladu článku 15  nariadenia  Európskeho  parlamentu a Rady  (EÚ)  2016/679 z 27. apríla  2016 o ochrane  fyzických  osôb  pri  spracúvaní  osobných  údajov a o voľnom  pohybe  takýchto  údajov,  ktorým  sa  zrušuje  smernica  95/46/ES  (všeobecné  nariadenie o ochrane  údajov)  (Ú. v. EÚ L 119,  2016, s. 1;  ďalej  len  „GDPR“).
Tento  návrh  bol  podaný v rámci  sporu  medzi  F.F. a Österreichische  Datenschutzbehörde  (Úrad  pre  ochranu  osobných  údajov,  Rakúsko)  (ďalej  len  „DSB“)  vo  veci  odmietnutia  tohto  orgánu  uložiť  spoločnosti  CRIF  GmbH  povinnosť  poskytnúť  F.F. kópiu  dokumentov a výňatkov z databáz,  ktoré  okrem  iného  obsahujú  jeho  osobné  údaje,  ktoré  sa  spracúvajú.

Právny rámec
Odôvodnenia  10,  11,  26,  58,  60 a 63  GDPR  znejú  takto:
„(10)      S cieľom  zabezpečiť  konzistentnú a vysokú  úroveň  ochrany  fyzických  osôb a odstrániť  prekážky  tokov  osobných  údajov v rámci  Únie,  úroveň  ochrany  práv a slobôd  fyzických  osôb  pri  spracúvaní  týchto  údajov  by  mala  byť  rovnaká  vo  všetkých  členských  štátoch.  Konzistentné a jednotné  uplatňovanie  pravidiel  ochrany  základných  práv a slobôd  fyzických  osôb  pri  spracúvaní  osobných  údajov  by  sa  malo  zabezpečiť v rámci  celej  Únie.
(11)      Účinná  ochrana  osobných  údajov v rámci  celej  Únie  si  vyžaduje  posilnenie a spresnenie  práv  dotknutých  osôb a povinností  tých,  ktorí  osobné  údaje  spracúvajú a o ich  spracúvaní  rozhodujú…
…
(26)      Zásady  ochrany  údajov  by  sa  mali  vzťahovať  na  všetky  informácie  týkajúce  sa  identifikovanej  alebo  identifikovateľnej  fyzickej  osoby. … Na  určenie  toho,  či  je  fyzická  osoba  identifikovateľná,  by  sa  mali  brať  do  úvahy  všetky  prostriedky,  pri  ktorých  existuje  primeraná  pravdepodobnosť,  že  ich  prevádzkovateľ  alebo  akákoľvek  iná  osoba  využije,  napríklad  osobitným  výberom,  na  priamu  alebo  nepriamu  identifikáciu  fyzickej  osoby. …
…
(58)      Zásada  transparentnosti  si  vyžaduje,  aby  všetky  informácie  určené  verejnosti  alebo  dotknutej  osobe  boli  stručné,  ľahko  prístupné a ľahko  pochopiteľné,  formulované  jasne a jednoducho…
…
(60)      Zásady  spravodlivého a transparentného  spracúvania  si  vyžadujú,  aby  dotknutá  osoba  bola  informovaná o existencii  spracovateľskej  operácie a jej  účeloch.  Prevádzkovateľ  by  mal  dotknutej  osobe  poskytnúť  všetky  ďalšie  informácie,  ktoré  sú  potrebné  na  zaručenie  spravodlivého a transparentného  spracúvania,  pričom  sa  zohľadnia  konkrétne  okolnosti a kontext, v ktorom  sa  osobné  údaje  spracúvajú. …
…
(63)      Dotknutá  osoba  by  mala  mať  právo  na  prístup k osobným  údajom,  ktoré  boli o nej  získané, a uvedené  právo  aj  jednoducho a v primeraných  intervaloch  uplatňovať,  aby  si  bola  vedomá  zákonnosti  spracúvania a mohla  si  ju  overiť. … Každá  dotknutá  osoba  by  preto  mala  mať  právo  vedieť a byť  informovaná  najmä o účeloch  spracúvania  osobných  údajov,  podľa  možnosti o dobe  spracúvania  osobných  údajov, o príjemcoch  osobných  údajov, o postupe v každom  automatickom  spracúvaní  osobných  údajov a aspoň v prípadoch, v ktorých  sa  spracúvanie  opiera o profilovanie, o následkoch  takéhoto  spracúvania.  Ak  je  to  možné,  prevádzkovateľ  by  mal  môcť  poskytnúť  prístup  na  diaľku k bezpečnému  systému,  ktorý  by  dotknutej  osobe  zabezpečil  priamy  prístup k jej  osobným  údajom.  Uvedené  právo  by  sa  nemalo  nepriaznivo  dotknúť  práv  alebo  slobôd  iných  osôb,  ani  obchodného  tajomstva  alebo  práv  duševného  vlastníctva a najmä  autorských  práv  týkajúcich  sa  softvéru. …“
Článok 4 tohto  nariadenia  stanovuje:
„Na  účely  tohto  nariadenia:
1.      ‚osobné  údaje‘  sú  akékoľvek  informácie  týkajúce  sa  identifikovanej  alebo  identifikovateľnej  fyzickej  osoby…; identifikovateľná  fyzická  osoba  je  osoba,  ktorú  možno  identifikovať  priamo  alebo  nepriamo,  najmä  odkazom  na  identifikátor,  ako  je  meno,  identifikačné  číslo,  lokalizačné  údaje,  online  identifikátor,  alebo  odkazom  na  jeden  či  viaceré  prvky,  ktoré  sú  špecifické  pre  fyzickú,  fyziologickú,  genetickú,  mentálnu,  ekonomickú,  kultúrnu  alebo  sociálnu  identitu  tejto  fyzickej  osoby;
2.      ‚spracúvanie‘  je  operácia  alebo  súbor  operácií s osobnými  údajmi  alebo  súbormi  osobných  údajov,… bez  ohľadu  na  to,  či  sa  vykonávajú  automatizovanými  alebo  neautomatizovanými  prostriedkami…;
…“
Článok 12  GDPR s názvom  „Transparentnosť  informácií,  oznámenia a postupy  výkonu  práv  dotknutej  osoby“  stanovuje:
„1.      Prevádzkovateľ  prijme  vhodné  opatrenia s cieľom  poskytnúť  dotknutej  osobe  všetky  informácie  uvedené v článkoch 13 a 14 a všetky  oznámenia  podľa článkov 15  až  22 a článku 34,  ktoré  sa  týkajú  spracúvania, a to v stručnej,  transparentnej,  zrozumiteľnej a ľahko  dostupnej  forme,  formulované  jasne a jednoducho, a to  najmä v prípade  informácií  určených  osobitne  dieťaťu.  Informácie  sa  poskytujú  písomne  alebo  inými  prostriedkami,  vrátane v prípade  potreby  elektronickými  prostriedkami.  Ak o to  požiadala  dotknutá  osoba,  informácie  sa  môžu  poskytnúť  ústne  za  predpokladu,  že  sa  preukázala  totožnosť  dotknutej  osoby  iným  spôsobom.
…
3.      Prevádzkovateľ  poskytne  dotknutej  osobe  informácie o opatreniach,  ktoré  sa  prijali  na  základe  žiadosti  podľa článkov 15  až  22,  bez  zbytočného  odkladu a v každom  prípade  do  jedného  mesiaca  od  doručenia  žiadosti. … Ak  dotknutá  osoba  podala  žiadosť  elektronickými  prostriedkami,  informácie  sa  podľa  možnosti  poskytnú  elektronickými  prostriedkami,  pokiaľ  dotknutá  osoba  nepožiadala o iný  spôsob.
…“
Článok 15  GDPR,  nazvaný  „Právo  dotknutej  osoby  na  prístup k údajom“,  znie  takto:
„1.      Dotknutá  osoba  má  právo  získať  od  prevádzkovateľa  potvrdenie o tom,  či  sa  spracúvajú  osobné  údaje,  ktoré  sa  jej  týkajú, a ak  tomu  tak  je,  má  právo  získať  prístup k týmto  osobným  údajom a tieto  informácie:
a)      účely  spracúvania;
b)      kategóriách  dotknutých  osobných  údajov;
c)      príjemcovia  alebo  kategórie  príjemcov,  ktorým  boli  alebo  budú  osobné  údaje  poskytnuté,  najmä  príjemcovia v tretích  krajinách  alebo  medzinárodné  organizácie;
d)      ak  je  to  možné,  predpokladané  obdobie  uchovávania  osobných  údajov,  alebo  ak  to  nie  je  možné,  kritériá  na  jeho  určenie;
e)      existencia  práva  požadovať  od  prevádzkovateľa  opravu  osobných  údajov  týkajúcich  sa  dotknutej  osoby  alebo  ich  vymazanie  alebo  obmedzenie  spracúvania,  alebo  práva  namietať  proti  takémuto  spracúvaniu;
f)      právo  podať  sťažnosť  dozornému  orgánu;
g)      ak  sa  osobné  údaje  nezískali  od  dotknutej  osoby,  akékoľvek  dostupné  informácie,  pokiaľ  ide o ich  zdroj;
h)      existencia  automatizovaného  rozhodovania  vrátane  profilovania  uvedeného v článku 22 ods. 1 a 4 a v týchto  prípadoch  aspoň  zmysluplné  informácie o použitom  postupe,  ako  aj  význame a predpokladaných  dôsledkoch  takéhoto  spracúvania  pre  dotknutú  osobu.
2.      Ak  sa  osobné  údaje  prenášajú  do  tretej  krajiny  alebo  medzinárodnej  organizácii,  dotknutá  osoba  má  právo  byť  informovaná o primeraných  zárukách  podľa článku 46  týkajúcich  sa  prenosu.
3.      Prevádzkovateľ  poskytne  kópiu  osobných  údajov,  ktoré  sa  spracúvajú.  Za  akékoľvek  ďalšie  kópie, o ktoré  dotknutá  osoba  požiada,  môže  prevádzkovateľ  účtovať  primeraný  poplatok  zodpovedajúci  administratívnym  nákladom.  Ak  dotknutá  osoba  podala  žiadosť  elektronickými  prostriedkami,  informácie  sa  poskytnú v bežne  používanej  elektronickej  podobe,  pokiaľ  dotknutá  osoba  nepožiadala o iný  spôsob.
4.      Právo  získať  kópiu  uvedenú v odseku  3  nesmie  mať  nepriaznivé  dôsledky  na  práva a slobody  iných.“
Článok 16  GDPR,  nazvaný  „Právo  na  opravu“,  stanovuje:
„Dotknutá  osoba  má  právo  na  to,  aby  prevádzkovateľ  bez  zbytočného  odkladu  opravil  nesprávne  osobné  údaje,  ktoré  sa  jej  týkajú.  So  zreteľom  na  účely  spracúvania  má  dotknutá  osoba  právo  na  doplnenie  neúplných  osobných  údajov, a to  aj  prostredníctvom  poskytnutia  doplnkového  vyhlásenia.“
Článok 17  tohto  nariadenia s názvom  „Právo  na  vymazanie  (právo  na  zabudnutie)“  vo  svojom  odseku  1  stanovuje:
„Dotknutá  osoba  má  tiež  právo  dosiahnuť u prevádzkovateľa  bez  zbytočného  odkladu  vymazanie  osobných  údajov,  ktoré  sa  jej  týkajú, a prevádzkovateľ  je  povinný  bez  zbytočného  odkladu  vymazať  osobné  údaje…
…“

Spor vo veci samej a prejudiciálne otázky
CRIF  GmbH  je  obchodná  poradenská  agentúra,  ktorá  na  žiadosť  svojich  klientov  poskytuje  informácie o platobnej  schopnosti  tretích  osôb.  Na  tento  účel  spracovala  osobné  údaje  žalobcu  vo  veci  samej.
Dňa  20. decembra  2018  tento  žalobca  požiadal  CRIF  na  základe článku 15  GDPR o prístup k osobným  údajom,  ktoré  sa  ho  týkajú.  Okrem  toho  požiadal o poskytnutie  kópie  dokumentov, a to  elektronickej  pošty a výňatkov z databáz  obsahujúcich  okrem  iného  jeho  údaje  „v bežnom  technickom  formáte“.
V nadväznosti  na  túto  žiadosť  CRIF  poskytla  žalobcovi  vo  veci  samej v súhrnnej  podobe  zoznam  jeho  osobných  údajov,  ktoré  boli  predmetom  spracovania.
Keďže  žalobca  vo  veci  samej  sa  domnieval,  že  CRIF  mu  mala  zaslať  kópie  všetkých  dokumentov  obsahujúcich  jeho  údaje,  ako  sú  emaily a výňatky z databáz,  podal  na  DSB  sťažnosť.
Rozhodnutím z 11. septembra  2019  DSB  zamietol  túto  sťažnosť,  pričom  usudzoval,  že  CRIF  sa  nedopustila  žiadneho  porušenia  práva  na  prístup k osobným  údajom  žalobcu  vo  veci  samej.
Vnútroštátny  súd,  na  ktorý  žalobca  vo  veci  samej  podal  žalobu  proti  tomuto  rozhodnutiu,  sa  pýta  na  pôsobnosť článku 15 ods. 3  prvej  vety  GDPR.  Konkrétne  sa  pýta,  či  je  povinnosť  poskytnúť  „kópiu“  osobných  údajov  stanovená v tomto  ustanovení  splnená,  ak  prevádzkovateľ  poskytne  osobné  údaje  vo  forme  súhrnnej  tabuľky  alebo  či  táto  povinnosť  zahŕňa  aj  poskytnutie  výňatkov z dokumentov,  či  dokonca  celých  dokumentov,  ako  aj  výňatkov z databáz, v ktorých  sú  tieto  údaje  reprodukované.
Konkrétne  tento  súd  kladie  otázku,  či  sa článok 15 ods. 3  prvá  veta  GDPR  obmedzuje  na  vymedzenie  formy, v akej  musí  byť  zaručené  právo  na  prístup k informáciám  uvedeným v článku 15 ods. 1  tohto  nariadenia  alebo  či  toto  prvé  uvedené  ustanovenie  zakotvuje  samostatné  právo  dotknutej  osoby  na  prístup k informáciám  týkajúcim  sa  kontextu, v ktorom  sa  údaje  tejto  osoby  spracúvajú,  vo  forme  kópie  výňatkov z dokumentov  alebo  celých  dokumentov  alebo  výňatkov z databáz,  ktoré  okrem  iného  obsahujú  tieto  údaje.
Vnútroštátny  súd  sa  okrem  toho  pýta,  či  pojem  „informácie“  uvedený v článku 15 ods. 3  tretej  vete  GDPR  zahŕňa  aj  informácie  uvedené v článku 15 ods. 1 písm. a)  až  h)  tohto  nariadenia,  či  dokonca  doplňujúce  informácie,  ako  sú  metaúdaje  súvisiace s údajmi  alebo  či  zahŕňa  len  „osobné  údaje,  ktoré  sa  spracúvajú“  uvedené v článku 15 ods. 3  prvej  vete  tohto  nariadenia.
Za  týchto  podmienok  Bundesverwaltungsgericht  (Spolkový  správny  súd,  Rakúsko)  rozhodol  prerušiť  konanie a položiť  Súdnemu  dvoru  tieto  prejudiciálne  otázky:
„1.      Má  sa  pojem  ‚kópia‘ v článku 15 ods. 3  [GDPR]  vykladať v tom  zmysle,  že  sa  tým  myslí  fotokópia,  respektíve  faksimile  alebo  elektronická  kópia  (elektronického)  údaju,  alebo  sa  chápanie  pojmu  podľa  nemeckého,  francúzskeho a anglického  slovníka  vzťahuje  aj  na  pojmy  ‚Abschrift‘,  ‚double‘  (‚duplicata‘)  alebo  ‚transcript‘?
2.      Má  sa článok 15 ods. 3  prvá  veta  GDPR,  podľa  ktorého  ‚prevádzkovateľ  poskytne  kópiu  osobných  údajov,  ktoré  sa  spracúvajú‘,  vykladať v tom  zmysle,  že  je  tam  zahrnutý  aj  všeobecný  právny  nárok  dotknutej  osoby  na  vydanie  kópie – aj – všetkých  dokumentov, v ktorých  sú  spracúvané  osobné  údaje  dotknutej  osoby,  respektíve  vydanie  kópie  výňatku z databázy v prípade  spracovania  osobných  údajov v takejto  databáze,  alebo  tým  pre  dotknutú  osobu  existuje – len – právny  nárok  na  vernú  reprodukciu  osobných  údajov,  ku  ktorým  musí  byť  poskytnutý  prístup  podľa článku 15 ods. 1  GDPR?
3.      V prípade,  ak  sa  na  druhú  otázku  odpovie v tom  zmysle,  že  existuje  len  právny  nárok  dotknutej  osoby  na  vernú  kópiu  osobných  údajov,  ku  ktorým  musí  byť  poskytnutý  prístup  podľa článku 15 ods. 1  GDPR,  má  sa článok 15 ods. 3  prvá  veta  GDPR  vykladať v tom  zmysle,  že z dôvodu  povahy  spracúvaných  údajov  [napríklad v súvislosti s diagnózou,  výsledkami  vyšetrení,  posudkami  alebo  aj  podkladmi v súvislosti  so  skúškou  uvedených v odôvodnení  63 v zmysle  rozsudku  Súdneho  dvora  Európskej  únie z 20. decembra  2017,  Nowak  (C‑434/16,  EU:C:2017:994)] a požiadavky  transparentnosti v článku 12 ods. 1  GDPR  môže  byť v jednotlivom  prípade  aj  tak  nevyhnutné  poskytnúť  dotknutej  osobe  pasáže  textu  alebo  celé  dokumenty?
4.      Má  sa  pojem  ‚informácie‘,  ktoré  sa  podľa článku 15 ods. 3  tretej  vety  GDPR  dotknutej  osobe,  ak  podala  žiadosť  elektronickými  prostriedkami,  ‚poskytnú v bežne  používanej  elektronickej  podobe,  pokiaľ  dotknutá  osoba  nepožiadala o iný  spôsob‘,  vykladať v tom  zmysle,  že  sa  tým  myslia  len  ‚osobn[é]  údaj[e],  ktoré  sa  spracúvajú‘,  uvedené v článku 15 ods. 3  prvej  vete?
a)      V prípade,  ak  je  odpoveď  na  štvrtú  otázku  záporná:  Má  sa  pojem  ‚informácie‘,  ktoré  sa  podľa článku 15 ods. 3  tretej  vety  GDPR  dotknutej  osobe,  ak  podala  žiadosť  elektronickými  prostriedkami,  ‚poskytnú v bežne  používanej  elektronickej  podobe,  pokiaľ  dotknutá  osoba  nepožiadala o iný  spôsob‘,  vykladať v tom  zmysle,  že  sa  okrem  toho  navyše  myslia  aj  informácie  podľa článku 15 ods. 1 písm. a)  až  h)  GDPR?
b)      V prípade,  ak  je  odpoveď  na  štvrtú  otázku písm. a)  záporná:  Má  sa  pojem  ‚informácie‘,  ktoré  sa  podľa článku 15 ods. 3  tretej  vety  GDPR  dotknutej  osobe,  ak  podala  žiadosť  elektronickými  prostriedkami,  ‚poskytnú v bežne  používanej  elektronickej  podobe,  pokiaľ  dotknutá  osoba  nepožiadala o iný  spôsob‘,  vykladať v tom  zmysle,  že  sa  tým  okrem  ‚osobných  údajov,  ktoré  sa  spracúvajú‘,  ako  aj  okrem  informácií  uvedených v článku 15 ods. 1 písm. a)  až  h)  GDPR  navyše  myslia  napríklad  príslušné  metaúdaje?“

O prejudiciálnych otázkach

O
prvej

až tretej

otázke
Svojou  prvou  až  treťou  otázkou,  ktoré  treba  preskúmať  spoločne,  sa  vnútroštátny  súd v podstate  pýta,  či  sa  má článok 15 ods. 3  prvá  veta  GDPR v spojení  so  zásadou  transparentnosti  stanovenou v článku 12 ods. 1  tohto  nariadenia  vykladať v tom  zmysle,  že  právo  na  získanie  kópie  osobných  údajov,  ktoré  sú  predmetom  spracúvania,  predpokladá,  že  sa  dotknutej  osobe  poskytne  nielen  kópia  týchto  údajov,  ale  aj  kópia  výňatkov z dokumentov  alebo  celých  dokumentov  alebo  výňatkov z databáz,  ktoré  okrem  iného  obsahujú  tieto  údaje.  Tento  súd  sa  pýta  najmä  na  rozsah  tohto  práva.
Na  úvod  treba  pripomenúť,  že v súlade s ustálenou  judikatúrou  Súdneho  dvora  je  na  účely  výkladu  ustanovenia  práva  Únie  potrebné  zohľadniť  nielen  jeho  znenie v súlade s jeho  obvyklým  významom v bežnom  jazyku,  ale  aj  jeho  kontext a ciele  sledované  právnou  úpravou,  ktorej  je  súčasťou  [pozri v tomto  zmysle  rozsudky z 2. decembra  2021,  Vodafone  Kabel  Deutschland, C‑484/20,  EU:C:2021:975, bod 19 a citovanú  judikatúru,  ako  aj  zo  7. septembra  2022,  Staatssecretaris  van  Justitie  en  Veiligheid  (Povaha  práva  na  pobyt  podľa článku 20 ZFEÚ), C‑624/20,  EU:C:2022:639, bod 28].
Pokiaľ  ide o znenie článku 15 ods. 3  prvej  vety  GDPR,  toto  ustanovenie  uvádza,  že  prevádzkovateľ  „poskytne  kópiu  osobných  údajov,  ktoré  sa  spracúvajú“.
Hoci  GDPR  neobsahuje  definíciu  takto  použitého  pojmu  „kópia“,  treba  zohľadniť  obvyklý  význam  tohto  pojmu,  ktorý,  ako  uviedol  generálny  advokát v bode 30  svojich  návrhov,  označuje  verné  rozmnožovanie  alebo  prepísanie  originálu,  takže  čisto  všeobecný  opis  údajov,  ktoré  sú  predmetom  spracúvania,  alebo  odkaz  na  kategórie  osobných  údajov  nezodpovedá  tejto  definícii.  Okrem  toho  zo  znenia článku 15 ods. 3  prvej  vety  tohto  nariadenia  vyplýva,  že  povinnosť  oznámenia  sa  vzťahuje  na  osobné  údaje,  ktoré  sú  predmetom  dotknutého  spracúvania.
Článok 4 bod 1 GDPR  definuje  osobné  údaje  ako  „akékoľvek  informácie  týkajúce  sa  identifikovanej  alebo  identifikovateľnej  fyzickej  osoby“ a spresňuje,  že  „identifikovateľná  fyzická  osoba  je  osoba,  ktorú  možno  identifikovať  priamo  alebo  nepriamo,  najmä  odkazom  na  identifikátor,  ako  je  meno,  identifikačné  číslo,  lokalizačné  údaje,  online  identifikátor,  alebo  odkazom  na  jeden  či  viaceré  prvky,  ktoré  sú  špecifické  pre  fyzickú,  fyziologickú,  genetickú,  mentálnu,  ekonomickú,  kultúrnu  alebo  sociálnu  identitu  tejto  fyzickej  osoby“.
Použitie  výrazu  „akékoľvek  informácie“ v definícii  pojmu  „osobné  údaje“  uvedeného v tomto  ustanovení  odráža  cieľ  normotvorcu  Únie  priznať  tomuto  pojmu  široký  význam,  ktorý  potenciálne  zahŕňa  všetky  druhy  informácií,  tak  objektívne,  ako  aj  subjektívne  vo  forme  názoru  alebo  hodnotení  pod  podmienkou,  že  sa  „týkajú“  dotknutej  osoby  (pozri  analogicky  rozsudok z 20. decembra  2017,  Nowak, C‑434/16,  EU:C:2017:994, bod 34).
V tejto  súvislosti  sa  rozhodlo,  že  informácia  sa  týka  identifikovanej  alebo  identifikovateľnej  fyzickej  osoby, a z dôvodu  svojho  obsahu,  účelu  alebo  účinku  súvisí s identifikovateľnou  osobou  (pozri v tomto  zmysle  rozsudok z 20. decembra  2017,  Nowak, C‑434/16,  EU:C:2017:994, bod 35).
Pokiaľ  ide o „identifikovateľnú“  povahu  fyzickej osoby,  odôvodnenie  26  GDPR  spresňuje,  že  treba  brať  do  úvahy  „všetky  prostriedky,  pri  ktorých  existuje  primeraná  pravdepodobnosť,  že  ich  prevádzkovateľ  alebo  akákoľvek  iná  osoba  využije,  napríklad  osobitným  výberom,  na  priamu  alebo  nepriamu  identifikáciu  fyzickej  osoby“.
Ako v podstate  uviedol  generálny  advokát v bodoch 36  až  39  svojich  návrhov,  široká  definícia  pojmu  „osobné  údaje“  sa  nevzťahuje  len  na  údaje,  ktoré  prevádzkovateľ  uchováva a spracúva,  ale  zahŕňa  aj  všetky  informácie  vyplývajúce  zo  spracovania  osobných  údajov,  ktoré  sa  týkajú  identifikovanej  alebo  identifikovateľnej  osoby,  ako  je  posúdenie  jej  solventnosti  alebo  schopnosti  zaplatiť.
V tejto  súvislosti  treba  dodať,  že  normotvorca  Únie  zamýšľal  priznať  pojmu  „spracúvanie“,  ako  je  definovaný v článku 4 bode 2 GDPR,  široký  rozsah  tým,  že  použil  demonštratívny  výpočet  operácií  [pozri v tomto  zmysle  rozsudok z 24. februára  2022,  Valsts  ieņēmumu  dienests  (Spracovanie  osobných  údajov  na  daňové  účely), C‑175/20,  EU:C:2022:124, bod 35].
Z gramatickej  analýzy článku 15 ods. 3  prvej  vety  GDPR  preto  vyplýva,  že  toto  ustanovenie  priznáva  dotknutej  osobe  právo  získať  vernú  rozmnoženinu  jej  osobných  údajov  chápaných v širšom  zmysle,  ktoré  sú  predmetom  operácií,  ktoré  sa  musia  kvalifikovať  ako  spracúvanie  prevádzkovateľom.
Vzhľadom  na  to  treba  konštatovať,  že  znenie  tohto  ustanovenia  samo  osebe  neumožňuje  odpovedať  na  prvé  tri  otázky,  keďže  neobsahuje  žiadnu  zmienku o prípadnom  práve  získať  nielen  kópiu  spracúvaných  osobných  údajov,  ale  ani  kópiu  výňatkov z dokumentov  alebo  celých  dokumentov,  alebo  aj  výňatkov z databáz,  ktoré  obsahujú  okrem  iného  tieto  údaje.
Pokiaľ  ide o kontext,  do  ktorého  patrí článok 15 ods. 3  prvá  veta  GDPR,  treba  uviesť,  že článok 15  GDPR,  ktorý  je  nazvaný  „Právo  dotknutej  osoby  na  prístup k údajom“,  vo  svojom  odseku  1  definuje  predmet a pôsobnosť  práva  dotknutej  osoby a zakotvuje v ňom  právo  tejto  osoby  na  získanie  prístupu  od  prevádzkovateľa k jej  osobným  údajom,  ako  aj  informácie  uvedené v písmenách  a)  až  h)  tohto  odseku.
Článok 15 ods. 3  GDPR  spresňuje  praktické  spôsoby  vykonávania  povinnosti  prevádzkovateľa,  pričom  vo  svojej  prvej  vete  okrem  iného  spresňuje  formu, v akej  musí  tento  prevádzkovateľ  poskytovať  „osobné  údaje,  ktoré  sa  spracúvajú“, t. j. vo  forme  „kópie“.  Okrem  toho  tento  odsek  vo  svojej  tretej  vete  stanovuje,  že  informácie  sa  poskytujú v bežne  používanej  elektronickej  forme,  ak  sa  žiadosť  podáva  elektronicky,  pokiaľ  dotknutá  osoba  nepožiada o iný  spôsob.
V dôsledku  toho článok 15  GDPR  nemožno  vykladať  tak,  že  vo  svojom  odseku  3  prvej  vete  zakotvuje  právo  odlišné  od  práva  stanoveného v jeho  odseku  1.  Okrem  toho,  ako  uviedla  Európska  komisia  vo  svojich  písomných  pripomienkach,  pojem  „kópia“  sa  nevzťahuje  na  dokument  ako  taký,  ale  na  osobné  údaje,  ktoré  obsahuje a ktoré  musia  byť  úplné.  Kópia  teda  musí  obsahovať  všetky  osobné  údaje,  ktoré  sa  spracúvajú.
Pokiaľ  ide o ciele  sledované článkom 15  GDPR,  treba  uviesť,  že  jeho  účelom,  ako  spresňuje  jeho  odôvodnenie  11,  je  posilniť a spresniť  práva  dotknutých  osôb. Článok 15  tohto  nariadenia v tejto  súvislosti  stanovuje  právo  na  získanie  kópie  na  rozdiel  od článku 12 písm. a)  druhej  zarážky  smernice  Európskeho  parlamentu a Rady  95/46/ES z 24. októbra  1995 o ochrane  fyzických  osôb  pri  spracovaní  osobných  údajov a voľnom  pohybe  týchto  údajov  (Ú. v. ES L 281,  1995,  s. 31;  Mim.  vyd.  13/015,  s. 355),  ktorý  vyžadoval  len  „komunikovanie… v zrozumiteľnej  forme o údajoch,  ktoré  sa  spracovávajú“.  Odôvodnenie  63  GDPR  spresňuje,  že  „osoba  by  mala  mať  právo  na  prístup k osobným  údajom,  ktoré  boli o nej  získané, a uvedené  právo  aj  jednoducho a v primeraných  intervaloch  uplatňovať,  aby  si  bola  vedomá  zákonnosti  spracúvania a mohla  si  ju  overiť“.
Právo  na  prístup  stanovené v článku 15  GDPR  tak  musí  dotknutej  osobe  umožniť  uistiť  sa,  že  osobné  údaje,  ktoré  sa  jej  týkajú,  sú  správne a že  sa  spracúvajú  zákonným  spôsobom  [pozri v tomto  zmysle  rozsudok z 12. januára  2023,  Österreichische  Post  (Informácie o príjemcoch  osobných  údajov), C‑154/21,  EU:C:2023:3, bod 37 a citovanú  judikatúru].
Konkrétne  je  toto  právo  na  prístup  nevyhnutné  na  to,  aby  dotknutá  osoba  mohla  prípadne  vykonať  svoje  právo  na  opravu,  svoje  právo  na  vymazanie  („právo  na  zabudnutie“) a svoje  právo  na  obmedzenie  spracúvania,  ktoré  jej  priznávajú články 16,  17 a 18  GDPR,  ako  aj  svoje  právo  namietať  proti  spracúvaniu  svojich  osobných  údajov  stanovené v článku 21  GDPR a svoje  právo  na  prostriedok  nápravy v prípade  spôsobenej  ujmy  stanovené v článkoch 79 a 82  GDPR  [rozsudok z 12. januára  2023,  Österreichische  Post  (Informácie o príjemcoch  osobných  údajov), C‑154/21,  EU:C:2023:3, bod 38 a citovaná judikatúra].
Treba  tiež  uviesť,  že v odôvodnení  60  GDPR  sa  uvádza,  že  zásady  spravodlivého a transparentného  spracúvania  si  vyžadujú,  aby  dotknutá  osoba  bola  informovaná o existencii  spracovateľskej  operácie a jej  účeloch,  pričom  treba  zdôrazniť,  že  prevádzkovateľ  by  mal  poskytnúť  všetky  ďalšie  informácie  potrebné  na  zaručenie  spravodlivého a transparentného  spracúvania,  pričom  sa  zohľadnia  osobitné  okolnosti a kontext, v ktorom  sa  osobné  údaje  spracúvajú.
Okrem  toho v súlade  so  zásadou  transparentnosti  uvedenou  vnútroštátnym  súdom,  na  ktorú  odkazuje  odôvodnenie  58  GDPR a ktorá  je  výslovne  zakotvená v článku 12 ods. 1  tohto  nariadenia,  musia  byť  všetky  informácie  určené  dotknutej  osobe  stručné,  ľahko  dostupné a zrozumiteľné a formulované  jasne a jednoducho.
Ako  uviedol  generálny  advokát v bode 54 a 55  svojich  návrhov, z uvedeného  ustanovenia  vyplýva,  že  prevádzkovateľ  je  povinný  prijať  vhodné  opatrenia s cieľom  poskytnúť  dotknutej  osobe  všetky  informácie  uvedené  okrem  iného v článku 15  GDPR v stručnej,  transparentnej,  zrozumiteľnej a ľahko  prístupnej  forme,  formulované  jasne a jednoducho a že  informácie  sa  musia  poskytnúť  písomne  alebo  inými  prostriedkami,  vrátane v prípade  potreby  elektronickými  prostriedkami,  pokiaľ  dotknutá  osoba  nepožiada o ich  poskytnutie  ústne.  Cieľom  tohto  ustanovenia,  ktoré  je  vyjadrením  zásady  transparentnosti,  je  zaručiť,  aby  dotknutá  osoba  mohla  plne  porozumieť  informáciám,  ktoré  sú  jej  zaslané.
Z tohto  ustanovenia  vyplýva,  že  kópia  osobných  údajov,  ktoré  sú  predmetom  spracúvania,  ktoré  musí  prevádzkovateľ  poskytnúť  podľa článku 15 ods. 3  prvej  vety  GDPR,  musí  mať  všetky  vlastnosti,  ktoré  dotknutej  osobe  umožnia  účinne  uplatniť  jej  práva  podľa  tohto  nariadenia, a preto  musí  tieto  údaje v plnom  rozsahu a verne  reprodukovať.
Z judikatúry  tiež  výslovne  vyplýva,  že  cieľom  GDPR  je  najmä,  ako  to  vyplýva z jeho  odôvodnenia  10,  zabezpečiť  vysokú  úroveň  ochrany  fyzických  osôb v rámci  Únie a na  tento  účel  zabezpečiť v rámci  celej  Únie  konzistentné a jednotné  uplatňovanie  pravidiel  ochrany  základných  práv a slobôd  týchto  osôb  pri  spracúvaní  osobných  údajov  (pozri v tomto  zmysle  rozsudok z 9. februára  2023,  X‑FAB Dresden, C‑453/21,  EU:C:2023:79, bod 25  a citovanú  judikatúru).
S cieľom  zabezpečiť,  aby  takto  poskytnuté  informácie  boli  ľahko  pochopiteľné,  ako  to  vyžaduje článok 12 ods. 1  GDPR v spojení s jeho  odôvodnením  58,  sa  totiž  môže  ukázať  ako  nevyhnutné,  ako  uviedol  generálny  advokát v bodoch 57 a 58  svojich  návrhov,  poskytnutie  výňatkov z dokumentov  alebo  dokonca  celých  dokumentov  alebo  výňatkov z databáz,  ktoré  obsahujú  spracúvané  osobné  údaje, v prípade,  že  na  zabezpečenie  zrozumiteľnosti  osobných  údajov  je  potrebné  poznať  kontext, v ktorom  sa  spracúvajú.
Konkrétne,  ak  sú  osobné  údaje  generované z iných  údajov  alebo  ak  takéto  údaje  vyplývajú z voľných  polí,  teda z neexistencie  údajov o dotknutej  osobe,  kontext, v ktorom  sa  tieto  údaje  spracúvajú,  je nevyhnutným  prvkom  na  to,  aby  sa  dotknutej  osobe  umožnil  transparentný  prístup a zrozumiteľný  prehľad  týchto  údajov.
Okrem  toho v súlade s článkom 15 ods. 4  GDPR v spojení s jeho  odôvodnením  63  právo  na  získanie  kópie  uvedené v odseku  3  nesmie  mať  nepriaznivé  dôsledky  na  práva a slobody  iných  vrátane  obchodného  tajomstva  alebo  práva  duševného  vlastníctva a najmä  autorských  práv  týkajúcich  sa  softvéru.
Preto, ako zdôraznil generálny advokát v bode 61 svojich návrhov, v prípade rozporu medzi výkonom práva na úplný a celkový prístup k osobným údajom na jednej strane a právami alebo slobodami iných osôb na druhej strane bude potrebné vykonať vyváženie predmetných práv a slobôd. Pokiaľ je to možné, mali by sa zvoliť také spôsoby oznamovania osobných údajov, ktoré nezasahujú do práv alebo slobôd iných, pričom treba zohľadniť skutočnosť, že výsledkom zohľadnenia takých úvah „by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe“, ako vyplýva z odôvodnenia 63 GDPR.
Vzhľadom  na  predchádzajúce  úvahy  treba  na  prvú  až  tretiu  prejudiciálnu  otázku  odpovedať  tak,  že článok 15 ods. 3  prvá  veta  GDPR
sa  má  vykladať v tom  zmysle,  že:
právo  na  získanie  kópie  osobných  údajov,  ktoré  sú  predmetom  spracúvania,  od  prevádzkovateľa,  znamená,  že  dotknutej  osobe  sa  musí  poskytnúť  verná a zrozumiteľná  rozmnoženina  všetkých  týchto  údajov.  Toto  právo  predpokladá  právo  na  získanie  kópie  výňatkov z dokumentov,  prípadne  aj  celých  dokumentov  alebo  výňatkov z databáz,  ktoré  okrem  iného  obsahujú  uvedené  údaje,  ak  je  poskytnutie  takej  kópie  nevyhnutné  na  to,  aby  sa  dotknutej  osobe  umožnilo  účinne  uplatniť  práva,  ktoré  jej  priznáva  toto  nariadenie,  pričom  treba  zdôrazniť,  že v tejto  súvislosti  treba  zohľadniť  práva a slobody  iných.

O
štvrtej

otázke
Touto  otázkou  sa  vnútroštátny  súd v podstate  pýta,  či  sa  má článok 15 ods. 3  tretia  veta  GDPR  vykladať v tom  zmysle,  že  pojem  „informácie“,  ktorý  sa v ňom  uvádza,  sa  vzťahuje  výlučne  na  osobné  údaje,  ktorých  kópiu  musí  prevádzkovateľ  poskytnúť  podľa  prvej  vety  tohto  odseku,  alebo  či  odkazuje  aj  na  všetky  informácie  uvedené v odseku  1  tohto  článku,  či  dokonca  zahŕňa  skutočnosti,  ktoré  idú  nad  tento  rámec,  napríklad  metaúdaje.
Ako  sa  pripomenulo v bode 19  tohto  rozsudku,  pri  výklade  ustanovenia  práva  Únie  treba  zohľadniť  nielen  jeho  znenie,  ale  aj  jeho  kontext a ciele  sledované  právnou  úpravou,  ktorej  je  súčasťou.
V tejto  súvislosti, v článku 15 ods. 3  tretej  vete  GDPR  sa  síce  len  uvádza,  že  „ak  dotknutá  osoba  podala  žiadosť  elektronickými  prostriedkami,  informácie  sa  poskytnú v bežne  používanej  elektronickej  podobe“,  pričom  sa  nespresňuje,  čo  treba  rozumieť  pod  pojmom  „informácie“,  ale  prvá  veta  tohto  odseku  stanovuje,  že  „prevádzkovateľ  poskytne  kópiu  osobných  údajov,  ktoré  sa  spracúvajú“.
Z kontextu článku 15 ods. 3  tretej  vety  GDPR  teda  vyplýva,  že  „informácie“,  na  ktoré  sa  vzťahuje,  nevyhnutne  zodpovedajú  osobným  údajom,  ktorých  kópiu  musí  prevádzkovateľ  poskytnúť v súlade s prvou  vetou  tohto  odseku.
Takýto  výklad  potvrdzujú  ciele  sledované článkom 15 ods. 3  GDPR,  ktorými  sú,  ako  bolo  pripomenuté v bode 31  tohto  rozsudku,  vymedzenie  praktických  spôsobov  vykonávania  povinnosti  prevádzkovateľa  poskytnúť  kópiu  osobných  údajov,  ktoré  sa  spracúvajú. V dôsledku  toho  toto  ustanovenie  nezakladá  právo  odlišné  od  práva,  ktoré  má  dotknutá  osoba,  na  získanie  presnej a zrozumiteľnej  rozmnoženiny  týchto  údajov,  ktoré  by  jej  umožňovalo  účinne  vykonávať  práva,  ktoré  jej  priznáva  toto  nariadenie.
Treba  však  uviesť,  že  žiadne  ustanovenie  tohto  nariadenia  nestanovuje  rozdielne  zaobchádzanie  so  žiadosťou v podobe, v akej  bola  podaná,  takže  rozsah  práva  na  získanie  kópie  sa  nemôže  meniť v závislosti  od  tejto  formy.
Okrem  toho  treba  tiež  uviesť,  že v súlade s článkom 12 ods. 3  GDPR,  ak  bola  žiadosť  podaná  elektronicky,  informácie  uvedené v tomto článku 15  vrátane  informácií  uvedených v odseku  1 písm. a)  až  h)  tohto  článku  sa  poskytujú  elektronicky,  pokiaľ  dotknutá  osoba  nežiada  iný  spôsob.
Vzhľadom  na  predchádzajúce  úvahy  treba  na  štvrtú  prejudiciálnu  otázku  odpovedať  tak,  že článok 15 ods. 3  tretia  veta  GDPR
sa  má  vykladať v tom  zmysle,  že:
pojem  „informácie“,  ktorý  obsahuje,  sa  vzťahuje  výlučne  na  osobné  údaje,  ktorých  kópiu  musí  poskytnúť  prevádzkovateľ  podľa  prvej  vety  tohto  odseku.

O trovách
Vzhľadom  na  to,  že  konanie  má  vo  vzťahu k účastníkom  konania  vo  veci  samej  incidenčný  charakter a bolo  začaté v súvislosti s prekážkou  postupu v konaní  pred  vnútroštátnym  súdom, o trovách  konania  rozhodne  tento  vnútroštátny  súd.  Iné  trovy  konania,  ktoré  vznikli v súvislosti s predložením  pripomienok  Súdnemu  dvoru a nie  sú  trovami  uvedených  účastníkov  konania,  nemôžu  byť  nahradené.
Z týchto  dôvodov  Súdny  dvor  (prvá  komora)  rozhodol  takto:
1.
Článok 15 ods. 3 prvá veta nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
právo na získanie kópie osobných údajov, ktoré sú predmetom spracúvania, od prevádzkovateľa, znamená, že dotknutej osobe sa musí poskytnúť verná a zrozumiteľná rozmnoženina všetkých týchto údajov. Toto právo predpokladá právo na získanie kópie výňatkov z dokumentov, prípadne aj celých dokumentov alebo výňatkov z databáz, ktoré okrem iného obsahujú uvedené údaje, ak je poskytnutie takej kópie nevyhnutné na to, aby sa dotknutej osobe umožnilo účinne uplatniť práva, ktoré jej priznáva toto nariadenie, pričom treba zdôrazniť, že v tejto súvislosti treba zohľadniť práva a slobody iných.
2.
Článok 15 ods. 3 tretia veta nariadenia 2016/679
sa má vykladať v tom zmysle, že:
pojem „informácie“, ktorý obsahuje, sa vzťahuje výlučne na osobné údaje, ktorých kópiu musí poskytnúť prevádzkovateľ podľa prvej vety tohto odseku.
Podpisy
*
Jazyk konania: nemčina.