Objavljena je presuda Suda Europske unije u predmetu FT protiv DW (predmet C‑307/22), koja ilustrira neke ključne odredbe o zahtjevima ispitanika za pristup podacima.
Slučaj se odnosio na pacijenta, DW, koji je od stomatologa, FT, zatražio besplatnu prvu kopiju svoje medicinske dokumentacije.
Pacijent je obavio stomatološki tretman nakon čega je posumnjao na nesavjesno liječenje. Zatražio je besplatnu prvu kopiju svoje medicinske dokumentacije, ali stomatolog je to odbio, pozivajući se na njemački nacionalni zakon koji od pacijenata zahtijeva da pokriju troškove dobivanja kopija medicinske dokumentacije.
Pacijent je odbio platiti, a spor je "stigao" do Suda Europske unije. I prvostupanjski i žalbeni sud podržali su zahtjev pacijenta, pozivajući se na članke 12(5), 15(1) i 15(3) Opće uredbe EU o zaštiti podataka (GDPR). Slučaj je na kraju stigao do njemačkog Saveznog suda pravde, Bundesgerichtshofa, koji je utvrdio da odluka ovisi o tumačenju GDPR-a te je slučaj uputio Sudu pravde EU-a.
Pitanja kojima se bavio Sud...
Prvo pitanje: Pravo na pristup osobnim podacima
Središnje pitanje u ovom slučaju odnosilo se na to je li voditelj obrade, poput liječnika koji obrađuje podatke o pacijentu, obvezan ponuditi ispitaniku besplatnu kopiju njegovih osobnih podataka, čak i ako razlog zahtjeva nije izričito naveden u uvodnoj izjavi 63 GDPR-a.
U ovom slučaju, čini se vjerojatnim da je pacijent zatražio osobne podatke kao dokaz za pokretanje pravnog postupka protiv pružatelja liječenja. Ovaj pristup je uobičajen u zahtjevima za pristup, gdje ispitanici čine sve kako bi prikupili dokaze za tužbu protiv druge strane.
Voditelji obrade se često osjećaju uznemireno zbog toga; uvodna izjava 63 objašnjava da je pravo pristupa biti svjestan i provjeriti zakonitost obrade, a ne pružati argumente za tužbu.
Sud EU-a razmatrao je članke 12. i 15. GDPR-a. Članak 12(5) objašnjava da pristup osobnim podacima općenito treba biti besplatan za pojedince. Članak 15(3) navodi da bi osobi trebalo pružiti besplatnu početnu kopiju svojih osobnih podataka.
Sud je razmotrio te odredbe i utvrdio da uvodna izjava 63 ne ograničava osnove za zahtjev. GDPR ne zahtijeva od pojedinaca da navedu razloge za zahtjev za pristup svojim osobnim podacima, a voditelji obrade nemaju pravo tražiti opravdanje. Transparentnost je jedno od načela na kojima se temelji GDPR, a pristup osobnim podacima ne smije se tumačiti i procjenjivati na način da se pretpostavlja svrha za koju se traži pristup podacima te posljedično tome se onda taj zahtjev usvaja ili odbija. Navedeni pristup nije dopušten od strane voditelja obrade.
Sud je zaključio da GDPR nalaže voditeljima obrade da pojedincima pruže besplatnu prvu kopiju obrađenih osobnih podataka, bez obzira na razlog zahtjeva. To ne utječe na pravo odbijanja kada je zahtjev "očito neutemeljen ili pretjeran". Međutim, argumenti da bi pojedincima trebalo biti zabranjeno korištenje zahtjeva za pristup radi dobivanja dokumenata za pravne slučajeve umjesto korištenja utvrđenih metoda pravnog otkrivanja više nemaju veliku težinu te mogu skupo koštati voditelja obrade (skuplje nekada nego da im se ustupe ti podaci (naravno procjena visine rizika ovisi i o okolnostima slučaja)).
Drugo pitanje: Uravnoteženje ekonomskih interesa
Drugo pitanje usredotočilo se na to dopušta li članak 23(1)(i) GDPR-a nacionalnom zakonodavstvu, donesenom prije stupanja na snagu GDPR-a, da od ispitanika zahtijeva da snose troškove prve kopije svojih obrađenih osobnih podataka. Članak 23(1) dopušta državama članicama da ograniče obveze i prava prema GDPR-u ako su takva ograničenja u skladu s temeljnim pravima i potrebna su za zaštitu prava i sloboda drugih.
Stomatolog je tvrdio da nacionalno zakonodavstvo koje dopušta naplatu pacijentima za pristup medicinskim kartonima štiti ekonomske interese pružatelja zdravstvene skrbi. Sud EU-a utvrdio je da iako se članak 23(1)(i) može primijeniti na zakonodavstvo doneseno prije stupanja na snagu GDPR-a, on ne dopušta da takvo zakonodavstvo nameće ispitanicima plaćanje prve kopije svojih obrađenih osobnih podataka radi zaštite ekonomskih interesa voditelja obrade.
Treće pitanje: Pristup potpunim medicinskim kartonima
Na kraju, Sud EU istražio je tumačenje članka 15(3) GDPR-a i prirodu pristupa koji pacijent treba imati svojim medicinskim podacima. Točnije, imaju li pacijenti pravo na potpunu kopiju dokumenata u svojoj medicinskoj dokumentaciji koji sadrže njihove osobne podatke ili samo sažetak tih podataka.
Sud pravde EU-a naglasio je da članak 15(3) osigurava da pojedinci dobiju točnu reprodukciju svojih osobnih podataka. Utvrdio je da se pojam "kopija" u GDPR-u ne odnosi na sam fizički dokument, već na sveobuhvatne osobne podatke koje sadrži, a koji moraju biti potpuni. Namjera GDPR-a je omogućiti ispitanicima pristup kako bi se osiguralo da su njihovi podaci točni i zakonito obrađeni. Slijedom toga, pacijenti bi trebali dobiti točnu i jasnu kopiju svih svojih podataka. To bi moglo značiti da je voditelj obrade obvezan dostaviti cijele dokumente ako to pomaže ispitaniku da učinkovito ostvari svoja prava. Samo davanje sažetka može riskirati nedostajanje ili pogrešno predstavljanje ključnih informacija, što pacijentima otežava provjeru i razumijevanje njihovih podataka.
Sud pravde EU objasnio je da je ono što se traži kontekstualno. U nekim situacijama, reprodukcija izvadaka iz dokumenata može biti dovoljna. U drugima, treba dostaviti cijele dokumente. Glavno je pružiti vjernu i razumljivu reprodukciju podataka. Uvodna izjava 63 posebno se odnosila na medicinske informacije, pa je bilo potrebno dostaviti izravne izvorne materijale za dijagnoze, rezultate pregleda, liječničke procjene, tretmane itd.
Zaključak
Presuda Suda pravde EU u predmetu FT protiv DW korisna je odluka u usmjeravanju pristupa zahtjevima ispitanika za pristup podacima.
Sud pravde EU je još jednom pojasnio da pojedinci imaju pravo na besplatnu početnu kopiju svojih osobnih podataka bez obzira na svrhu, nacionalno zakonodavstvo koje nameće naknade za prvi pristup osobnim podacima vjerojatno neće biti dopušteno i da pacijenti imaju pravo na sveobuhvatnu reprodukciju svojih medicinskih podataka, a ne samo na sažetak.
Svi oni koji se odluče naplatiti kasnije razumnu naknadu moraju dobro promisliti i transparentno objaviti pod kojim uvjetima i u kojim iznosima se ta naknada naplaćuje.
