Obtinerea unei copie a datelor cu caracter personal impune punerea la dispozitie a unei reproduceri fidele si inteligibila a tuturor acestor date

Acest drept il implica pe cel de a obtine copia unor extrase din documente sau chiar a unor documente intregi ori, in plus, a unor extrase din baze de date care contin datele respective, daca acest lucru este indispensabil pentru a permite persoanei vizate sa isi exercite in mod efectiv drepturile care ii sunt conferite prin GDPR.

CRIF este o agentie de consultanta comerciala care furnizeaza, la cererea clientilor sai, informatii privind solvabilitatea unor terti. In acest scop, ea a prelucrat datele cu caracter personal ale reclamantului din litigiul principal, un particular. Acesta din urma a solicitat CRIF, in temeiul Regulamentului general privind protectia datelor , sa aiba acces la datele cu caracter personal care il privesc. In plus, el a solicitat furnizarea unei copii a documentelor, si anume e-mailurile si extrasele din bazele de date, care contin printre altele datele sale, ``intr-un format tehnic standard``.

Ca raspuns la aceasta cerere, CRIF i-a transmis reclamantului din litigiul principal, sub forma sintetica, lista datelor sale cu caracter personal care fac obiectul unei prelucrari. Considerand ca CRIF ar fi trebuit sa ii transmita o copie a tuturor documentelor care contineau datele sale, precum e-mailurile si extrasele din bazele de date, reclamantul din litigiul principal a introdus o reclamatie la A�sterreichische DatenschutzbehA�rde (Autoritatea Austriaca de Protectie a Datelor). Aceasta autoritate a respins reclamatia, considerand ca CRIF nu a savarsit nicio incalcare a dreptului de acces la datele cu caracter personal ale reclamantului din litigiul principal.

Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), sesizat cu actiunea reclamantului din litigiul principal impotriva deciziei de respingere adoptate de aceasta autoritate, ridica problema intinderii obligatiei prevazute la articolul 15 alineatul (3) prima teza din GDPR de a furniza persoanei vizate o ``copie`` a datelor sale cu caracter personal care fac obiectul unei prelucrari.

Aceasta instanta ridica in special problema daca aceasta obligatie este indeplinita atunci cand operatorul transmite datele cu caracter personal sub forma unui tabel sintetic sau daca implica si transmiterea unor extrase din documente sau chiar a unor documente intregi, precum si a unor extrase din baze de date, in care aceste date sunt reproduse. Instanta de trimitere solicita in plus precizari cu privire la ceea ce include mai exact notiunea de ``informatii`` care figureaza la articolul 15 alineatul (3) a treia teza din GDPR.

Prin hotararea sa, Curtea aduce precizari cu privire la continutul si la intinderea dreptului de acces al persoanei vizate la datele sale cu caracter personal care fac obiectul unei prelucrari. In aceasta privinta, ea considera ca dreptul de a obtine din partea operatorului o ``copie`` a datelor cu caracter personal care fac obiectul unei prelucrari in temeiul articolului 15 alineatul (3) prima teza din GDPR presupune ca persoanei vizate sa ii fie predata o reproducere fidela si inteligibila a tuturor acestor date . Acest drept il presupune pe cel de a obtine copia unor extrase din documente sau chiar a unor documente intregi ori, in plus, a unor extrase din baze de date care contin printre altele datele mentionate, daca furnizarea unei astfel de copii este indispensabila pentru a-i permite persoanei vizate sa isi exercite in mod efectiv drepturile care ii sunt conferite de GDPR, subliniindu-se ca trebuie sa se tina seama in aceasta privinta de drepturile si de libertatile altora. Pe de alta parte, Curtea precizeaza ca notiunea de ``informatii`` prevazuta la articolul 15 alineatul (3) a treia teza din GDPR se refera exclusiv la datele cu caracter personal pentru care operatorul trebuie sa furnizeze o copie in temeiul primei teze a acestui alineat.

Intr-o prima etapa, Curtea efectueaza o interpretare literala, sistematica si teleologica a articolului 15 alineatul (3) prima teza din GDPR, care prevede dreptul persoanei vizate de a obtine o copie a datelor sale cu caracter personal care fac obiectul unei prelucrari.

In ceea ce priveste modul de redactare a articolului 15 alineatul (3) prima teza din GDPR, Curtea arata ca, desi aceasta dispozitie nu contine o definitie a notiunii de ``copie``, trebuie sa se tina seama de sensul obisnuit al acestui termen, care desemneaza reproducerea sau transcrierea fidela a unui original, astfel incat o descriere pur generala a datelor care fac obiectul unei prelucrari sau o trimitere la categorii de date cu caracter personal nu ar corespunde acestei definitii.

In plus, din termenii acestei dispozitii reiese ca obligatia de comunicare se raporteaza la datele cu caracter personal care fac obiectul prelucrarii in cauza. Dupa ce a efectuat o analiza textuala a dispozitiei mentionate, Curtea considera ca aceasta confera persoanei vizate dreptul de a obtine o reproducere fidela a datelor sale cu caracter personal, intelese intr-o acceptiune larga, care fac obiectul unor operatiuni ce trebuie calificate drept prelucrare efectuata de operatorul acestei prelucrari.

In ceea ce priveste contextul in care se inscrie articolul 15 alineatul (3) prima teza din GDPR, Curtea arata ca articolul 15 din GDPR defineste la alineatul (1) obiectul si domeniul de aplicare al dreptului de acces recunoscut persoanei vizate. Articolul 15 alineatul (3) din GDPR precizeaza modalitatile practice de executare a obligatiei care ii revine operatorului, specificand in special in prima sa teza forma sub care acest operator trebuie sa furnizeze datele cu caracter personal care fac obiectul prelucrarii, si anume sub forma unei ``copii``.

In consecinta, articolul 15 din GDPR nu poate fi interpretat in sensul ca ar consacra, la alineatul (3) prima teza, un drept distinct de cel prevazut la alineatul (1). Pe de alta parte, Curtea precizeaza ca termenul ``copie`` nu se raporteaza la un document ca atare, ci la datele cu caracter personal pe care le contine si care trebuie sa fie complete. Prin urmare, copia trebuie sa contina toate datele cu caracter personal care fac obiectul prelucrarii.

In ceea ce priveste obiectivele urmarite de articolul 15 din GDPR, Curtea arata ca dreptul de acces prevazut la acest articol trebuie sa ii permita persoanei vizate sa verifice ca datele cu caracter personal care o privesc sunt exacte si ca ele sunt prelucrate in mod legal.

In plus, potrivit Curtii, reiese din GDPR3 ca operatorul este obligat sa ia masuri adecvate pentru a-i furniza persoanei vizate orice informatie mentionata, intr-un mod concis, transparent, inteligibil si usor accesibil, utilizand un limbaj clar si simplu, si ca informatiile trebuie furnizate in scris sau prin alte mijloace, inclusiv, atunci cand este oportun, prin mijloace electronice, cu exceptia cazului in care persoana vizata solicita sa ii fie furnizate verbal. Rezulta de aici ca copia datelor cu caracter personal care fac obiectul unei prelucrari, pe care operatorul trebuie sa o furnizeze, trebuie sa prezinte toate caracteristicile care permit persoanei vizate sa isi exercite in mod efectiv drepturile in temeiul GDPR si trebuie, in consecinta, sa reproduca aceste date integral si fidel .

Asadar, pentru a garanta ca informatiile astfel furnizate sunt usor de inteles, reproducerea unor extrase din documente sau chiar a unor documente intregi ori, in plus, a unor extrase din baze de date care contin printre altele datele cu caracter personal care fac obiectul unei prelucrari se poate dovedi indispensabila. In special, in cazul in care datele cu caracter personal sunt generate pornind de la alte date sau atunci cand astfel de date rezulta din campuri libere, si anume lipsa unei indicatii care sa dezvaluie o informatie cu privire la persoana vizata, contextul prelucrarii acestor date este un element indispensabil pentru a permite persoanei vizate sa dispuna de un acces transparent si de o prezentare inteligibila a acestor date .

In caz de conflict intre, pe de o parte, exercitarea unui drept de acces deplin si complet la datele cu caracter personal si, pe de alta parte, drepturile sau libertatile altora, va fi necesar sa se puna in balanta drepturile si libertatile in discutie. In masura posibilului, trebuie sa se aleaga modalitatile de comunicare a datelor cu caracter personal care nu aduc atingere drepturilor sau libertatilor altora, tinand seama de faptul ca aceste consideratii nu trebuie sa aiba drept rezultat refuzul de a furniza toate informatiile persoanei vizate. Intr-o a doua etapa, Curtea abordeaza problema continutului notiunii de ``informatii`` mentionate la articolul 15 alineatul (3) a treia teza din GDPR. Desi aceasta dispozitie nu precizeaza ce trebuie sa se inteleaga prin termenul ``informatii``, din contextul sau rezulta ca ``informatiile`` pe care le vizeaza corespund in mod necesar datelor cu caracter personal pentru care operatorul trebuie sa furnizeze o copie in conformitate cu prima teza a acestui alineat.

Hotararea Curtii in cauza C-487/21 | A�sterreichische DatenschutzbehA�rde si CRIF