СЕС с решение относно понятието „копие“ от личните данни по смисъла на GDPR
С Решение по дело C-487/21, постановено по преюдициално запитване, Съдът на Европейския съюз се произнася, че правото да се получи „копие“ от личните данни, закрепено в Общия регламент за защита на данните (ОРЗД) изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни.
Главното производство, във връзка с което е отправено преюдициалното запитване, се свежда до следното: CRIF е агенция за търговски консултантски услуги, която по искане на свои клиенти предоставя информация за кредитоспособността на трети лица. За тази цел агенцията обработва личните данни на жалбоподателя, физическо лице. Последният отправя искане да получи достъп до свързаните с него лични данни и да му бъде предоставено копие от документи – електронна кореспонденция и извлеченията от бази данни, които съдържат неговите данни, „в стандартен технически формат“. CRIF изпраща на лицето обобщен списък на личните му данни, които са в процес на обработване. Жалбоподателят обаче счита, че агенцията е трябвало да му изпрати копие от всички документи, съдържащи данните му и затова подава жалба до австрийския орган за защита на данните (Österreichische Datenschutzbehörde). Административният орган прави заключение, че не е налице нарушение на правото на достъп до личните данни на лицето, поради което се стига до сезирането на Федерален административен съд, Австрия (Bundesverwaltungsgericht).
В образуваното съдебно производство за австрийския съд възникват съмнения за обхвата на задължението по член 15, параграф 3, първо изречение от ОРЗД на субекта на данните да се предостави „копие“ от личните му данни, които са в процес на обработване и затова формулира преюдициален въпрос до Съда на Европейския съюз. Австрийската юрисдикция пита дали въпросното задължение е изпълнено, когато администраторът предава личните данни под формата на таблица в обобщен вид, или това задължение предполага и изпращането на извлечения от документи или дори на цели документи, както и на извлечения от бази данни, в които са възпроизведени тези данни. Искат се и уточнение за конкретния обхват на понятието „информация“ в член 15, параграф 3, трето изречение от ОРЗД.
В решението си Съдът уточнява съдържанието и обхвата на правото на достъп на субекта на данни до личните му данни, които са в процес на обработване. За да се произнесе по поставения въпрос Съдът тълкува текста на регламента и отбелязва, че доколкото в разпоредбата на чл. 15, параграф 3, първо изречение не е дадено определение на понятието „копие“, то същото следва да се разбира с неговото обичайно значение – точна реплика или транскрипция на оригинал. В тази връзка общото описание на данните, които са в процес на обработване, или препращането към категории лични данни не би отговаряло на това определение. Съдът приема, че тази разпоредба предоставя на субекта на данните правото да получи точна реплика на личните му данни, разбирани в широк смисъл, които са предмет на операции, които трябва да бъдат квалифицирани като обработване от страна на администратора.
Що се отнася до контекста на член 15, параграф 3, първо изречение от ОРЗД, Съдът отбелязва, че член 15 от ОРЗД определя в параграф 1 предмета и приложното поле на правото на достъп, признато на субекта на данни. Съдът уточнява, че терминът „копие“ се отнася не до документа като такъв, а до личните данни, които той съдържа и които трябва да са пълни. Следователно копието трябва да съдържа всички лични данни, които са в процес на обработване. В решението също така се подчертава, че правото на достъп, трябва да позволи на субекта на данните да провери дали свързаните с него данни са точни и дали се обработват законосъобразно. Според Съда администраторът е длъжен да предприеме подходящи мерки, за да предостави на субекта на данните цялата посочена информация в кратка, прозрачна, разбираема и леснодостъпна форма, на ясен и прост език. Информацията следва да се предоставя писмено или по друг начин, включително, когато е целесъобразно, с електронни средства, освен ако субектът на данните не поиска тя да бъде предоставена устно. За да се гарантира, че предоставената информация е лесна за разбиране, може да се окаже задължително възпроизвеждането на извлечения от документи, и дори на цели документи, или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване. По-специално, когато лични данни са генерирани от други данни или когато такива данни са следствие от празни полета, т.е. няма насоки, които да разкриват информация за субекта на данните, контекстът, в който се обработват тези данни, е задължителен елемент, който позволява на субекта на данните да разполага с прозрачен достъп и разбираемо представяне на тези данни.
Съдът засяга и въпроса за възможността за конфликт между упражняването на правото на пълен и цялостен достъп до личните данни, от една страна, и правата или свободите на други лица, от друга. Според Съда трябва да се изберат начини за предоставяне на лични данни, които не нарушават правата или свободите на други лица и да се намери баланс със съответните права и свободи без подобни съображения да представляват отказ за предоставяне на цялата информация на субекта на данни.
Изводът на Съда е, че правото да се получи „копие“ от личните данни предполага възможността за получаване на копие от извлечения от документи и дори от цели документи или от извлечения от бази данни, които съдържат посочените данни, ако това е задължително, за да може субектът на данните ефективно да упражни предоставените му с регламента права. Правото да се получи от администратора „копие“ от личните данни, които са в процес на обработване съгласно ОРЗД, изисква на субекта на данните да се предостави точна и разбираема реплика на всички тези данни. Същевременно следва да се вземат предвид правата и свободите на други лица. Съдът счита, че съдържащото се в член 15, параграф 3, първо изречение от ОРЗД понятие „информация“ се отнася изключително до личните данни, копие от които администраторът трябва да предостави.
