C-307/22

Förslag till avgörande av generaladvokat Emiliou – Mål C‑307/22 FT

CELEX: 62022CC0307
Datum: 2023-04-20
Källa: eur-lex.europa.eu

I. Inledning

1. Artiklarna 12 och 15 i förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad dataskyddsförordningen) ger registrerade en omfattande rätt till tillgång till de personuppgifter som behandlas. De bestämmelserna kräver bland annat att personuppgiftsansvariga kostnadsfritt ska förse registrerade med en kopia av sådana uppgifter.

2. Kan registrerade begära tillgång till sina personuppgifter, på grundval av bestämmelserna i dataskyddsförordningen, för andra ändamål än sådana som rör dataskydd? Får medlemsstaterna begränsa rätten att erhålla en kopia av uppgifterna genom att, i vissa särskilda fall, kräva att de registrerade betalar de kostnader som tillhandahållandet av kopiorna medför för den personuppgiftsansvarige? Ska de personuppgiftsansvariga tillhandahålla kopior av alla dokument som innehåller personuppgifter eller får de sammanställa de uppgifter som de registrerade begär?

3. Dessa är, i huvudsak, de viktigaste frågor som tas upp i den begäran om förhandsavgörande som har framställts av Bundesgerichtshof (Federala högsta domstolen, Tyskland), i ett mål rörande en patients möjlighet att kostnadsfritt erhålla kopior av dokument som finns med i vederbörandes patientjournal.

II. Tillämpliga bestämmelser

A. Unionsrätt

4. Skälen 4, 13 och 63 i dataskyddsförordningen har följande lydelse:

(”(4) … Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste … vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt … näringsfrihet …

(13) … [U]nionens institutioner och organ samt medlemsstaterna … [uppmanas] att vid tillämpningen av denna förordning ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov …

(63) Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. Detta innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner. Alla registrerade bör därför ha rätt att få kännedom och underrättelse om framför allt orsaken till att personuppgifterna behandlas, om möjligt vilken tidsperiod behandlingen pågår, vilka som mottar personuppgifterna, bakomliggande logik i samband med automatisk behandling av personuppgifter … Denna rätt bör inte inverka menligt på andras rättigheter eller friheter, …”

5. I artikel 12 i dataskyddsförordningen, med rubriken ”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”, föreskrivs följande:

”1. Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk …

2. Den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. …

3. Den personuppgiftsansvarige ska på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22. …

…

5. Information som tillhandahållits enligt artiklarna 13 och 14, all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34 ska tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen

a) ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller

b) vägra att tillmötesgå begäran.

Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.

…”

6. I artikel 15 i dataskyddsförordningen, med rubriken ”Den registrerades rätt till tillgång”, föreskrivs följande:

”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

…

3. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. …

4. Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.”

7. I artikel 23.1 i dataskyddsförordningen, med rubriken ”Begränsningar”, föreskrivs följande:

”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 … om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa

…

e) andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt … folkhälsa …

…

i) skydd av den registrerade eller andras rättigheter och friheter,

…”

B. Nationell rätt

8. I 630f § Bürgerliches Gesetzbuch (den tyska civillagen), med rubriken ”Dokumentation av behandling”, föreskrivs följande:

”1). Den som tillhandahåller behandling är skyldig att i omedelbar anslutning till behandlingen i dokumentationssyfte föra patientjournal i pappersform eller elektronisk form. …

2). Den som tillhandahåller behandling är skyldig att i patientjournalen dokumentera samtliga åtgärder och deras resultat som ur medicinskt hänseende är väsentliga för nuvarande och framtida behandling, vilket i synnerhet omfattar anamnes, diagnoser, undersökningar, undersökningsresultat, bedömningar, vårdbehandlingar och deras verkningar, interventioner och deras verkningar, samt samtycken och information som lämnats. Läkarutlåtanden ska inkluderas i patientjournalen.

…”

9. I 630g § Bürgerliches Gesetzbuch, med rubriken ”Rätt till insyn i patientjournalen”, anges följande:

”1). På patientens begäran ska vederbörande utan dröjsmål få ta del av sin fullständiga patientjournal, såvida det inte finns väsentliga terapeutiska skäl som talar mot detta eller det skulle inkräkta på tredje parters väsentliga rättigheter. …

2). Patienten kan även begära att elektroniska kopior av patientjournalen ska lämnas ut. Patienten ska härvid ersätta de kostnader som uppstår för den som tillhandahåller behandlingen.

…”

III. Bakgrund, förfarandet och tolkningsfrågorna

10. DW (klaganden i det nationella målet) fick tandvårdsbehandling av FT (motparten i det nationella målet). DW, som misstänkte att han hade felbehandlats, begärde att FT kostnadsfritt skulle tillhandahålla honom en kopia av alla de journaluppgifter beträffande honom som FT innehade. FT ansåg att hon endast behövde tillhandahålla en kopia av journaluppgifterna om patienten ersatte kostnaderna för detta.

11. DW väckte talan mot FT vid Amtsgericht (Distriktsdomstolen, Tyskland) som biföll hans talan. FT ingav ett överklagande vid Landgericht (Regiondomstolen, Tyskland) som ogillades med motiveringen att den omständigheten att DW hade begärt uppgifterna för att undersöka möjligheten att utkräva medicinskt ansvar inte innebar att han var förhindrad att framställa sitt anspråk med stöd av artikel 15 i dataskyddsförordningen.

12. I sitt överklagande till Bundesgerichtshof (Federala högsta domstolen) har FT yrkat att domen från Landgericht (Regiondomstolen) ska upphävas och att DW:s talan ska ogillas. Enligt Bundesgerichtshof (Federala högsta domstolen) beror utgången i målet på huruvida appellationsdomstolen gjorde sig skyldig till felaktig rättstillämpning när den fann att talan – såsom DW har gjort gällande – är välgrundad enligt bestämmelserna i dataskyddsförordningen.

13. Bundesgerichtshof (Federala högsta domstolen) har konstaterat att enligt nationell rätt är FT inte skyldig att kostnadsfritt tillhandahålla DW kopior av hans journaluppgifter. DW skulle emellertid kunna grunda en rätt att kostnadsfritt erhålla kopior av uppgifterna direkt på artikel 15.3 jämförd med artikel 12.5 i dataskyddsförordningen, såsom Landgericht (Regiondomstolen) har konstaterat. Bundesgerichtshof (Federala högsta domstolen) hyste tvivel om hur de bestämmelserna ska tolkas och beslutade därför att vilandeförklara målet och att ställa följande frågor till EU-domstolen för förhandsavgörande:

”1) Ska artikel 15.3 i dataskyddsförordningen, jämförd med dess artikel 12.5, tolkas så, att den personuppgiftsansvarige (i detta fall den behandlande läkaren) inte är skyldig att kostnadsfritt förse den registrerade (i detta fall patienten) med den första kopian av personuppgifter som är under behandling och som rör den registrerade, om den registrerade inte har begärt kopian för något av de syften som avses i skäl 63 första meningen i dataskyddsförordningen, närmare bestämt för att vara medveten om att behandling sker och kunna kontrollera att den är laglig, utan för ett annat legitimt syfte som dock inte är relaterat till personuppgiftsskydd (för att eventuellt göra gällande anspråk som grundas på läkarens medicinska ansvar)?

a) För det fall att fråga 1 besvaras nekande: Kan nationell lagstiftning som antagits i en medlemsstat innan dataskyddsförordningen trädde i kraft utgöra en begränsning enligt artikel 23.1 i) i nämnda förordning av rätten att kostnadsfritt erhålla en kopia av de personuppgifter som den personuppgiftsansvarige behandlar enligt artikel 15.3 första meningen i dataskyddsförordningen, jämförd med dess artikel 12.5?

b) För det fall att fråga 2 a besvaras jakande: Ska artikel 23.1 i) i dataskyddsförordningen tolkas så, att andras rättigheter och friheter i den mening som avses i denna bestämmelse även ska anses omfatta deras intresse av att inte behöva bära de kostnader som uppstår i samband med att en kopia av uppgifter tillhandahålls med stöd av artikel 15.3 första meningen i dataskyddsförordningen, jämte andra kostnader hänförliga till tillhandahållandet av kopian?

c) För det fall att fråga 2 b besvaras jakande: Kan de rättigheter och skyldigheter som följer av artikel 15.3 första meningen i dataskyddsförordningen, jämförd med dess artikel 12.5, begränsas enligt artikel 23.1 i samma förordning genom nationell lagstiftning som föreskriver att när en läkare agerar inom ramen för en patient-läkarrelation och lämnar ut en kopia av patientens personuppgifter från dennes patientjournal, har läkaren alltid rätt att begära ersättning av patienten för de kostnader som uppkommer, oberoende av omständigheterna i det enskilda fallet?

3) För det fall att fråga 1 besvaras nekande och fråga 2 a, 2 b eller 2 c besvaras nekande: Omfattar rätten enligt artikel 15.3 första meningen i dataskyddsförordningen även en rätt att inom ramen för en patient-läkarrelation erhålla kopior av alla delar av patientjournalen som innehåller personuppgifter rörande patienten, eller omfattar den endast en rätt att erhålla en kopia av patientens personuppgifter som sådana, och det då är upp till läkaren som behandlar personuppgifterna att avgöra hur de ska sammanställas och tillhandahållas till patienten i egenskap av registrerad?”

14. Skriftliga yttranden har inkommit i förevarande mål från den lettiska regeringen och kommissionen.

IV. Bedömning

A. Den första frågan: Tillgång till uppgifter för andra syften än dataskydd

15. Genom sin första fråga söker den hänskjutande domstolen klarhet i huruvida artiklarna 12.5 och 15.3 i dataskyddsförordningen ska tolkas så, att en personuppgiftsansvarig är skyldig att kostnadsfritt förse den registrerade med en kopia av hans eller hennes uppgifter om den registrerade inte begär kopian för de syften som avses i skäl 63 första meningen i dataskyddsförordningen (det vill säga för att vara medveten om att behandling sker av hans eller hennes personuppgifter och för att kunna kontrollera att behandlingen är laglig), utan för ett annat syfte, till exempel för att eventuellt göra gällande anspråk som grundas på läkarens medicinska ansvar.

16. Vad som tas upp i denna fråga är, i huvudsak, huruvida en registrerad har rätt, enligt bestämmelserna i dataskyddsförordningen, att erhålla en kopia av sina personuppgifter från den personuppgiftsansvarige, när han eller hon begär detta för att uppnå syften som är legitima men som inte relaterade till dataskydd.

17. Enligt min mening är den rätt till tillgång som registrerade har enligt dataskyddsförordningen inte förenad med villkoret att de avser att använda de aktuella uppgifterna för dataskyddsrelaterade syften, exempelvis sådana som anges i skäl 63 i förordningen. Den uppfattningen stöds av en textuell, kontextuell och systematisk tolkning av de relevanta bestämmelserna i dataskyddsförordningen.

18. Framför allt kan någon sådan begränsning inte härledas vare sig från artikel 12 eller från artikel 15 i dataskyddsförordningen. I dessa båda bestämmelser fastställs – i ett slags ”spegelspel” – den personuppgiftsansvariges skyldighet att ge, och den registrerades rätt att begära, tillgång till de personuppgifter som behandlas. Ingen av de båda bestämmelserna kräver att den registrerade ska ange skälen till sin begäran om tillgång, och de ger inte heller den personuppgiftsansvarige möjlighet att begära och bedöma sådana skäl.

19. Enligt artikel 12 i dataskyddsförordningen är den personuppgiftsansvarige skyldig att ”vidta lämpliga åtgärder för att tillhandahålla all information … och all kommunikation” i fråga samt att ”underlätta utövandet av den registrerades rättigheter”. Bestämmelserna i artikel 12 handlar i själva verket främst om hur och inom vilken tidsram den personuppgiftsansvarige bland annat ska bevilja tillgång. De enda undantagen från den personuppgiftsansvariges skyldighet att agera skyndsamt består i att i) begära ytterligare information eller vägra att tillmötesgå begäran om det föreligger rimliga tvivel om den registrerades identitet och ii) ta ut en rimlig avgift eller vägra att tillmötesgå begäran om denna är uppenbart ogrundad eller orimlig.

20. Artikel 15 i dataskyddsförordningen har dessutom uttryckts i mycket vida ordalag och ger den registrerade omfattande typer av tillgång: att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få utförlig information om detta samt att erhålla en kopia av de personuppgifter som är under behandling. Inga uttryckliga villkor eller begränsningar anges för den registrerades utövande av sin rätt till tillgång enligt artikel 15 i dataskyddsförordningen.

21. Detta skiljer sig från vad som föreskrivs i andra bestämmelser i förordningen i fråga om andra rättigheter för de registrerade. I artikel 17.3 i dataskyddsförordningen anges till exempel situationer där rätten att bli bortglömd, som anges i artikel 17.1 och 17.2 i den bestämmelsen, ”inte [ska] gälla”. Artikel 20 i dataskyddsförordningen, som handlar om rätten till dataportabilitet, är uppbyggd på ett liknande sätt, med undantag i punkt 3 i den bestämmelsen. I artikel 21.6 i dataskyddsförordningen fastställs i sin tur på vilka villkor de registrerade, under vissa särskilda omständigheter, har möjlighet att utöva sin rätt att göra invändningar, såsom den fastställs i punkt 1 i den artikeln.

22. Mot denna bakgrund kan skäl 63, enligt min mening, inte tolkas så, att det införs ett villkor för, eller en begränsning av, utövandet av rätten till tillgång enligt artikel 15 i dataskyddsförordningen, vilket det inte finns något som tyder på i den bestämmelsen (och inte heller i ”tvillingbestämmelsen”, det vill säga artikel 12 i dataskyddsförordningen).

23. Som jag ser det är tanken med skäl 63 snarare att framhålla betydelsen av rätten till tillgång, inom ramen för dataskyddsförordningens systematik. Den rättigheten bidrar i själva verket till, och är oumbärlig för, det faktiska utövandet av många andra rättigheter som registrerade har enligt dataskyddsförordningen. Enskilda kan knappast ha ”kontroll över sina egna personuppgifter” – såsom betonas i skäl 7 i dataskyddsförordningen – om de inte känner till ”om, hur och varför” uppgifterna behandlas. Detta kan förklara varför det i skäl 63 anges att den registrerade bör ha rätt till tillgång ”för att vara medveten om att behandling sker och kunna kontrollera att den är laglig”. Ordalydelsen i skäl 63 kanske är något tvetydig men, enligt min mening, följer det inte av den att rätten till tillgång endast beviljas för de syften som avses däri.

24. Jag noterar i förbigående att ett sådant villkor ofta skulle vara omöjligt att kontrollera för den personuppgiftsansvariga och därmed lätt att kringgå för den registrerade, eftersom det skulle vara beroende av den berörda personens subjektiva avsikt.

25. Jag håller dessutom med den hänskjutande domstolen om att det inte går att härleda någon annan tolkning av artikel 15 i dataskyddsförordningen från punkt 44 i domen YS m.fl. I denna passus konstaterade EU-domstolen – med hänvisning till bestämmelserna i direktiv 95/46/EG, som var dataskyddsförordningens föregångare – att ”[s]åsom framgår av … direktivet är det för att kunna utföra nödvändiga kontroller som den registrerade … förfogar över en rätt att få tillgång till uppgifter om honom eller henne som behandlas”.

26. Härigenom begränsade sig EU-domstolen i grund och botten till att citera skäl 41 i direktiv 95/46, vars ordalydelse liknade den i skäl 63 i dataskyddsförordningen. Dessutom – och såsom den hänskjutande domstolen med rätta har påpekat – var EU-domstolen i målet YS m.fl. ombedd att klargöra begreppet ”personuppgifter” för att fastställa omfattningen av tillgången till uppgifter. Den här aktuella frågan ger upphov till en annan rättsfråga – nämligen huruvida syftet med den begärda tillgången kan påverka möjligheten att beviljas tillgång – med avseende på vilken jag inte anser att den domen kan ge någon användbar vägledning.

27. Den tolkning av artikel 15 i dataskyddsförordningen som ges i förevarande förslag till avgörande grundar sig även på artikel 8.2 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) om skydd av personuppgifter, där följande anges: ”Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem.” Rätten till tillgång tycks i stadgan identifieras som en självständig rättighet som logiskt sett är relaterad till, men inte på något sätt nödvändigtvis är beroende av, rättsinnehavarens förmåga eller avsikt att utöva andra rättigheter (såsom rätten till rättelse).

28. Slutligen vill jag tillägga att Europeiska dataskyddsstyrelsen (EDPB) också föreslog denna tolkning av artikel 15 i dataskyddsförordningen i Guidelines 01/2022 on data subject rights – Right of access. I punkt 13 i de riktlinjerna föreskrivs följande: ”[D]e personuppgiftsansvariga bör inte bedöma ’varför’ den registrerade begär tillgång, utan enbart ’vad’ den registrerade begär … och huruvida de innehar personuppgifter om den personen … [D]e personuppgiftsansvariga bör till exempel inte neka tillgång på grund av eller vid misstanke om att de begärda uppgifterna skulle kunna användas av de registrerade för att försvara sig själva vid domstol i händelse av uppsägning eller en kommersiell tvist med den personuppgiftsansvarige.”

29. Intressant nog är att det exempel som ges i de riktlinjerna i stort sett motsvarar de faktiska omständigheterna i det mål som är anhängigt vid den hänskjutande domstolen. Den omständigheten att klaganden i det nationella målet har begärt tillgång till de personuppgifter rörande honom som finns med i patientjournalen – en situation som uttryckligen avses i skäl 63 i dataskyddsförordningen – för att bedöma huruvida förfaranden ska inledas på grund av medicinsk felbehandling – ett syfte som den hänskjutande domstolen med rätta har identifierat som ”legitimt” – innebär följaktligen inte att den personuppgiftsansvarige har rätt att vägra att tillmötesgå den registrerades begäran.

30. Mot bakgrund av ovanstående föreslår jag att domstolens svar på den första tolkningsfrågan är att artiklarna 12.5 och 15.3 i dataskyddsförordningen ska tolkas så, att en personuppgiftsansvarig är skyldig att förse den registrerade med en kopia av hans eller hennes personuppgifter, även om den registrerade inte har begärt kopian för de syften som avses i skäl 63 i dataskyddsförordningen, utan för ett annat syfte som inte är relaterat till dataskydd.

B. Den andra frågan: Kostnadsfri tillgång till kopior

31. Genom sin andra fråga vill den hänskjutande domstolen, i huvudsak, få klarhet i huruvida artikel 23.1 i dataskyddsförordningen tillåter att nationell lagstiftning, som har antagits innan dataskyddsförordningen trädde i kraft, begränsar de registrerades rätt att kostnadsfritt erhålla en kopia av de personuppgifter som den personuppgiftsansvarige behandlar, genom att kräva att de registrerade ska stå för de kostnader som uppkommer för den personuppgiftsansvarige i det avseendet.

1. Principen och undantaget

32. Inledningsvis ska det påpekas att det, enligt dataskyddsförordningens bestämmelser, inte råder något tvivel om att de registrerade, i princip, har rätt att av den personuppgiftsansvarige kostnadsfritt erhålla en första kopia av de uppgifter om dem som behandlas. Detta följer uttryckligen av artikel 12.5 i dataskyddsförordningen, där det anges att information som tillhandahållits bland annat enligt artikel 15 i förordningen ”ska tillhandahållas kostnadsfritt” och att den personuppgiftsansvarige endast får ”ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts” för begäranden som är ”uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art”.

33. Detta följer också, om än underförstått, av artikel 15.3 i dataskyddsförordningen, där det anges att den personuppgiftsansvarige ”[f]ör eventuella ytterligare kopior som den registrerade begär får … ta ut en rimlig avgift på grundval av de administrativa kostnaderna”. Detta innebär naturligtvis att en avgift inte får tas ut för den första kopia som den registrerade begär.

34. Enligt artikel 23.1 i dataskyddsförordningen ska det dock i unionsrätten eller i en medlemsstats nationella rätt ”vara möjligt … [att] införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 … om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa” något av de mål som anges däri. Ett sådant mål är folkhälsa enligt led e, och ett annat är ”andras rättigheter och friheter” enligt led i.

35. Efter att ha betonat detta ska jag nu övergå till den centrala aspekten i förevarande fråga som, enligt min mening, ska besvaras jakande.

2. Kraven i artikel 23.1 i dataskyddsförordningen

36. För det första framgår det att de registrerades rätt till tillgång till sina personuppgifter – som fastställs i artikel 15 i dataskyddsförordningen – är en av de rättigheter som omfattas av artikel 23.1 i dataskyddsförordningen och vars räckvidd kan begränsas genom en lagstiftningsåtgärd från EU:s eller en medlemsstats sida.

37. För det andra gäller att om medlemsstaterna generellt sett får begränsa omfattningen av rätten till tillgång, exempelvis genom att utesluta den i vissa situationer eller med avseende på vissa uppgifter, bör de också få införa en tämligen begränsad inskränkning av utövandet av den – i linje med principen a majore ad minus. I själva verket begränsas endast en typ av tillgång (rätten att erhålla en kopia av uppgifterna) och då enbart genom att villkora den med att de registrerade ska betala de kostnader som uppkommer för de personuppgiftsansvariga.

38. För det tredje ska en sådan begränsning som den nu aktuella – vilken uttryckligen är föreskriven i en civillag eller ett likvärdigt rättsligt instrument – införas genom ”en lagstiftningsåtgärd”, såsom krävs enligt artikel 23.1 i dataskyddsförordningen. Det villkoret återspeglar det som fastställs i artikel 52.1 i stadgan om att varje begränsning av de grundläggande rättigheterna ska vara ”föreskriven i lag”.

39. Jag vill i detta sammanhang tillägga att den omständigheten att ifrågavarande nationella lagstiftning antogs innan dataskyddsförordningen trädde i kraft enligt min mening helt saknar betydelse för huruvida den lagstiftningen uppfyller villkoren i artikel 23.1 i dataskyddsförordningen. Såsom kommissionen har påpekat kräver vare sig den bestämmelsen eller någon annan bestämmelse i dataskyddsförordningen för den delen att Europeiska unionens eller medlemsstaternas begränsande åtgärder ska ingå i tillfälliga lagstiftningsinstrument, framför allt i instrument som har antagits efter dataskyddsförordningens ikraftträdande. Medlemsstaterna får således både bibehålla och införa begränsningar som uppfyller kraven i artikel 23.1 i dataskyddsförordningen. Denna uppfattning bekräftas av en jämförelse mellan de olika språkversionerna av den bestämmelsen.

40. För det fjärde anser jag att det är tydligt att nationell lagstiftning som den nu aktuella, på grund av den relativt oskadliga karaktären hos begränsningen i fråga, som nämns i punkt 37 ovan, inte inkräktar på ”andemeningen” i den rättigheten (vilket är ett annat krav som anges både i artikel 23.1 i dataskyddsförordningen och i artikel 52.1 i stadgan). Den lagstiftningen berövar inte enskilda den hårda kärnan (nucleus durus) i deras rätt till dataskydd. Bland annat är det till och med svårt att föreställa sig situationer – bland dem som regleras av ifrågavarande nationella lagstiftning – där dessa kostnader skulle vara så pass höga att de registrerades skyldighet att bära dem, i praktiken, skulle vara liktydigt med en vägran att ge dem tillgång.

41. För det femte förefaller nationell lagstiftning som den nu aktuella, enligt min mening, eftersträva mål som är tillåtna enligt artikel 23.1 i dataskyddsförordningen och som, mer allmänt, är legitima enligt unionsrätten.

42. Med förbehåll för den hänskjutande domstolens prövning uppfattar jag det som att ifrågavarande nationella lagstiftning syftar till att avskräcka från onödiga eller oseriösa begäranden om kopior, för att i) skydda de ekonomiska intressena hos läkare, som ofta är ensamföretagare eller arbetar i små arbetslag, och därigenom ii) se till att läkare, i sin yrkesutövning, tillbringar (merparten av) sin tid åt att utföra sina huvudsysslor som läkare, i stället för administrativt arbete som kan undvikas.

43. Det andra syftet är kopplat till målet att skydda folkhälsan. I artikel 23.1 e avses uttryckligen begränsningar som är nödvändiga för att säkerställa ”unionens eller en medlemsstats viktiga mål av generellt allmänt intresse” såsom ”folkhälsa”. Detta är i linje med artikel 35 i stadgan, med rubriken ”Hälsoskydd”, där det föreskrivs att ”[v]ar och en har rätt till tillgång till förebyggande hälsovård och till medicinsk vård på de villkor som fastställs i nationell lagstiftning och praxis. En hög nivå av skydd för människors hälsa ska säkerställas vid utformning och genomförande av all unionspolitik och alla unionsåtgärder”.

44. Det första syftet är visserligen att skydda ett (privat) intresse hos vissa personer – de läkare som, i den nu aktuella situationen, agerar i egenskap av personuppgiftsansvariga – och är av ekonomisk art. Ingen av dessa aspekter innebär dock att en begränsning av rätten till tillgång i princip inte kan godtas.

45. Enligt artikel 23.1 i) i dataskyddsförordningen är det nämligen tillåtet med begränsningar som är nödvändiga för att säkerställa ”andras rättigheter och friheter”. Intressant att notera är att samma ord också används i artikel 15.4 och i skäl 63 i dataskyddsförordningen där det, just när det gäller rätten att erhålla en kopia av de uppgifter som behandlas, anges att den rätten inte ska ”inverka menligt på andras rättigheter och friheter”.

46. Jag vill inledningsvis påpeka att det i artiklarna 15.4 och 23.1 i samt skäl 63 i dataskyddsförordningen hänvisas till ”andras rättigheter och friheter” och inte till sådana som är hänförliga till ”tredje part”, såsom i andra bestämmelser i förordningen. Detta innebär logiskt sett att även begränsningar som är nödvändiga för att skydda vissa av den personuppgiftsansvariges rättigheter kan godtas enligt den bestämmelsen.

47. Den omständigheten att ett av de intressen som skyddas av ifrågavarande nationella lagstiftning är av ekonomisk art innebär dessutom inte i sig att det inte skulle kunna motivera begränsningar enligt artikel 23.1 i dataskyddsförordningen. Skäl 4 i dataskyddsförordningen är mycket tydligt i det avseendet: ”[r]ätten till skydd av personuppgifter är inte en absolut rättighet [och måste] vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt … näringsfrihet …”

48. I detta sammanhang vill jag erinra om att avdelning II i stadgan (”Friheter”) innefattar olika rättigheter av ekonomisk art: Utöver den redan nämnda näringsfriheten (artikel 16), återfinns även ”fritt yrkesval och rätt att arbeta” (artikel 15) och rätten till egendom (artikel 17). Grundläggande rättigheter av ekonomisk art får inte betraktas som ”andra klassens rättigheter” i förhållande till andra (medborgerliga, sociala eller politiska) rättigheter. Man behöver inte vara bekant med Ludwig von Mises verk för att förstå att alla dessa rättigheter hör oupplösligt samman: Åtnjutandet av dem kan inte annat än gå hand i hand, eftersom ett fråntagande av ekonomiska rättigheter oundvikligen skulle påverka de enskildas förmåga att fullt ut åtnjuta sina medborgerliga, sociala och politiska rättigheter och vice versa.

49. Såsom den hänskjutande domstolen har påpekat uppmanas medlemsstaterna dessutom, i skäl 13 i dataskyddsförordningen, att ”vid tillämpningen av [förordningen] ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov”. Medlemsstaterna får således beakta särdragen hos företag av en begränsad storlek och hos egenföretagare, som läkare ofta är.

50. Jag har därför inga svårigheter att dra slutsatsen att artikel 23.1 i dataskyddsförordningen inte bara tillåter begränsningar som syftar till att skydda folkhälsan, utan även sådana som är avsedda att skydda vissa grundläggande ekonomiska rättigheter för enskilda, inbegripet personuppgiftsansvariga.

51. Slutligen är det enligt artikel 23.1 i dataskyddsförordningen dock endast tillåtet med nationell lagstiftning som begränsar rätten till tillgång till personuppgifter om den kan anses vara ”en nödvändig och proportionell åtgärd” för att skydda något av de allmänintressen som anges däri. Den bestämmelsen kräver således – i linje med en väletablerad princip – att en ”proportionalitetsprövning” ska göras av den begränsning som behöver motiveras.

3. Den nationella lagstiftningens proportionalitet

52. För att kontrollera huruvida begränsningen är proportionerlig måste tre kumulativa villkor undersökas. Åtgärden måste vara lämplig för att säkerställa att det eftersträvade målet uppnås (”lämplighet”) och får inte gå utöver vad som är nödvändigt för att uppnå detta (”nödvändighet”). Dessutom måste den nationella åtgärden vara ”proportionerlig i egentlig mening”, vilket innebär att den måste skapa en rättvis balans mellan de intressen som står på spel (de intressen som staten eftersträvar med åtgärden i fråga och de intressen som de som påverkas negativt har).

53. Huruvida vissa nationella åtgärder som avviker från allmänna unionsrättsliga principer är förenliga med proportionalitetsprincipen är, enligt min mening, ofta en bedömning som nationella domstolar är bäst lämpade att göra. För att hjälpa den hänskjutande domstolen att avgöra det mål som är anhängigt vid den, vill jag dock framföra nedanstående överväganden.

54. Till att börja med förefaller en nationell lagstiftning som den nu aktuella, i princip, vara lämplig för att uppnå de mål som den nationella lagstiftaren eftersträvar, i den meningen att den förefaller kunna bidra på ett meningsfullt sätt till uppnåendet av dem. Kravet att de registrerade ska betala de administrativa kostnaderna för att framställa de begärda kopiorna kan i själva verket avskräcka dem från att göra onödiga eller oseriösa begäranden. Detta innebär att det är mindre sannolikt att läkare behöver ägna sin tid och sina resurser åt administrativa uppgifter som kan undvikas.

55. Vidare är frågorna huruvida en nationell lagstiftning som den nu aktuella går utöver vad som är nödvändigt för att uppnå sina mål och/eller inte skapar en rättvis balans mellan de intressen som står på spel inte så värst enkla enligt min mening, varför de kräver en mer ingående bedömning från den hänskjutande domstolens sida.

56. I det hänseendet vill jag återigen betona att den aktuella begränsningen är av en relativt oskadlig karaktär. Medan artikel 15 i dataskyddsförordningen ger de registrerade olika typer av tillgång, begränsar ifrågavarande nationella lagstiftning endast en av dessa typer (rätten att erhålla en kopia av uppgifterna) och då enbart genom att villkora den med att de registrerade ska betala de kostnader som uppkommer för de personuppgiftsansvariga i det avseendet.

57. Kommissionen har dock uttryckt vissa tvivel om huruvida ifrågavarande nationella lagstiftning är nödvändig och har påpekat att den är tillämplig på alla begäranden om tillgång till patientjournaler, oberoende av ifrågavarande läkares yrkesställning och verksamhetstyp: Han eller hon kan arbeta som egenföretagare, själv eller vid en mottagning med flera läkare eller som anställd, till exempel vid ett statligt sjukhus eller vid en stor privat klinik.

58. Jag måste medge att det finns en viss styrka i några av kommissionens argument. Det kan faktiskt vara så att inte alla de situationer som omfattas av ifrågavarande nationella lagstiftning är helt jämförbara vid tillämpningen av artikel 23.1 e och i ) i dataskyddsförordningen. Stora läkarmottagningar, sjukhus och privata kliniker har till exempel i regel särskild personal och utrustning för att utföra alla administrativa uppgifter i samband med tillhandahållandet av hälso- och sjukvård. Det är således inte uppenbart att nationell lagstiftning som den nu aktuella, även i dessa fall, får till följd att läkarna inte behöver stå för onödiga kostnader eller ägna värdefull tid åt att utföra kontorsarbete som kan undvikas.

59. Läkare som fritt kan fastställa sina egna taxor på den nivå som de anser vara lämplig kan dessutom, till skillnad från läkare som är skyldiga att tillämpa statligt fastställda taxor, om de anser att det är lämpligt, kompensera för extrakostnaderna genom att höja sina taxor och på så sätt ”fördela” de kostnaderna mellan alla sina patienter. Det kan följaktligen hävdas att vissa läkare behöver en högre nivå av ”rättsligt skydd” än andra.

60. Däremot är jag dock inte säker på att en bestämmelse som skulle särbehandla läkare och följaktligen patienter beroende på huruvida läkarna till exempel a) arbetar som egenföretagare eller anställda, b) arbetar vid – för att använda de begrepp som används i skäl 13 i dataskyddsförordningen – ”mikroföretag samt små och medelstora företag” eller för stora sjukhus och kliniker och/eller c) måste följa statliga taxor eller fritt kan fastställa sina egna taxor, skulle vara vare sig praktisk eller rimlig och rättvis.

61. Det är inte någon enkel uppgift att finna de rätta kriterierna för att göra åtskillnad mellan de situationer där patienterna bör bära kostnaderna och dem där det är läkarna som bör stå för dessa, i syfte att på bästa sätt uppnå de mål som den nationella lagstiftaren har fastställt. Än viktigare är att en sådan åtskillnad skulle medföra en viss komplexitet (och eventuellt förvirring) i fråga om vilka situationer som, på grund av de i allmänhet relativt begränsade belopp som det rör sig om, troligtvis skulle vara enklare att reglera genom en tydlig bestämmelse som tillämpas automatiskt.

62. Såsom domstolen har konstaterat kan medlemsstaterna inte nekas möjligheten att eftersträva mål av allmänintresse genom att införa bestämmelser som är lätta för de behöriga myndigheterna att administrera och kontrollera efterlevnaden av. Mer allmänt kan det inte, såsom jag nyligen konstaterade i ett förslag till avgörande, krävas av en medlemsstat att den – av proportionalitetsskäl – antar alternativa åtgärder, när det är osäkert om de kan genomföras eller är effektiva eller om de skulle medföra en oacceptabel (organisatorisk eller ekonomisk) börda för den.

63. Avslutningsvis går det inte heller att utesluta att en bestämmelse med en mer begränsad räckvidd än den som den nu aktuella skulle kunna få en snedvridande effekt: Den skulle kunna uppmuntra patienterna att gå till större kliniker (som kostnadsfritt tillhandahåller kopior av patientjournaler) i stället för till mindre läkarmottagningar (som kräver en ytterligare betalning för sådana kopior).

64. Den allmänna rättvisan eller, annorlunda uttryckt, det rimliga i alternativa bestämmelser skulle faktiskt också kunna ifrågasättas. En skräddarsydd bestämmelse som endast befriar fristående läkare och små mottagningar från kostnaderna kan förefalla rimlig om den bedöms utifrån läkarnas perspektiv, eftersom den skyddar de ”svagaste” yrkesutövarna. Samma åtgärd kan dock ses på ett annat sätt om den bedöms utifrån patienternas perspektiv. De patienter som söker vård vid stora sjukhus och kliniker, framför allt sådana där läkarna fritt kan fastställa sina taxor på den nivå som de finner lämplig, skulle nämligen i praktiken vara de som drar nytta av den regeln. Så skulle bli fallet trots att i) de patienterna ofta är mer välbärgade än de som anlitar lokala läkare som är egenföretagare och ii) de kostnader som uppkommer för kopiorna av patientjournalerna sannolikt utgör en mycket liten (och eventuellt försumbar) del av de totala kostnader som de bär för vårdtjänsterna, till skillnad från vad som gäller för patienter som söker vård inom ramen för det nationella hälso- och sjukvårdssystemet (i regel utan kostnad eller mot betalning av nominella taxor). Det skulle således kunna hävdas att skyddet av de ”svagaste yrkesutövarna” skulle vara till nackdel för de ”svagaste konsumenterna”.

65. Mot bakgrund av ovanstående är jag, till skillnad från kommissionen, fortfarande inte övertygad om att den universalmodell som den tyska lagstiftaren har valt går utöver vad som är nödvändigt för att uppnå de mål som eftersträvas med ifrågavarande nationella lagstiftning. Jag kan inte se att det finns någon alternativ åtgärd som är mindre restriktiv i förhållande till enskildas rätt till dataskydd och som samtidigt är lika effektiv för att säkerställa de intressen som ifrågavarande nationella lagstiftning är avsedd att skydda.

66. Jag kan inte heller se att det finns något som tyder på att den tyska lagstiftaren inte har lyckats finna den rätta balansen mellan de olika intressen som står på spel.

67. Det kan visserligen hävdas att balansen mellan de olika intressen som står på spel när det gäller tillhandahållandet av kopior av personuppgifter säkrades av unionslagstiftaren: Den personuppgiftsansvarige måste tillhandahålla den första kopian utan kostnad och får endast för överdrivet många och/eller ytterligare kopior begära att en avgift ska betalas. Den vida ordalydelsen i artikel 23.1 och skäl 13 i dataskyddsförordningen inbjuder dock inte till någon sådan restriktiv tolkning. Inte heller innehåller skäl 63, som uttryckligen hänvisar till de registrerades rätt till tillgång till uppgifter om ”sin hälsa”, någon specifik hänvisning i det avseendet.

68. Ännu viktigare är att det inte går att bortse från att Europeiska unionen endast har en stödjande befogenhet inom området för skydd för och förbättring av människors hälsa. Domstolen har konsekvent slagit fast att det ankommer på medlemsstaterna att fastställa på vilken nivå de vill säkerställa skyddet för folkhälsan och på vilket sätt denna nivå ska uppnås. Eftersom denna nivå kan variera mellan medlemsstaterna ska medlemsstaterna härvidlag medges ett utrymme för skönsmässig bedömning.

69. Efter att ha vägt de olika intressen som står på spel beslutade den tyska lagstiftaren att det, med avseende på patienters begäranden till läkare om kopior av patientjournaler, fanns skäl att anse att de kostnader som uppkommer ska bäras av de registrerade och inte av de personuppgiftsansvariga. Jag anser att detta är ett politiskt beslut som, eftersom det inte är uppenbart irrationellt eller osannolikt, omfattas av den berörda medlemsstatens utrymme för skönsmässig bedömning. Hursomhelst är det en uppgift för den hänskjutande domstolen och inte för EU-domstolen att pröva detta val.

70. Med detta sagt finns det förvisso en aspekt som den hänskjutande domstolen har att kontrollera, enligt min mening. I sådana situationer som de som regleras av ifrågavarande nationella lagstiftning är det enligt min mening absolut nödvändigt att de kostnader för vilka läkarna kan begära ersättning från patienterna är strikt begränsade till de faktiska kostnaderna för att framställa och tillhandahålla de begärda kopiorna. Detta innebär att de ersättningsgilla kostnaderna endast är sådana som är hänförliga till materialet (exempelvis papper, tonerkassetter till skrivare eller kopieringsapparater och/eller USB‑minnen) samt det arbete som krävs för detta. Dessa kostnader får, enligt min mening, inte innefatta någon som helst vinst för yrkesutövarna. Med tanke på den nuvarande digitaliseringen av handlingar och arkiv skulle jag bli förvånad (och därmed misstänksam) om det belopp som läkarna normalt tar ut för detta överstiger en handfull euro.

71. Mot bakgrund av det ovan anförda föreslår jag att domstolen besvarar den andra tolkningsfrågan så, att artikel 23.1 i dataskyddsförordningen tillåter en nationell lagstiftning som kräver att patienter som begär kopior av de personuppgifter rörande dem som finns med i patientjournaler ska ersätta läkarna för de kostnader som uppkommer, förutsatt att begränsningen av rätten till tillgång, mot bakgrund av alla relevanta omständigheter, är nödvändig och proportionerlig med hänsyn till målen att skydda folkhälsan och om näringsfrihet för läkare. Framför allt ankommer det på den nationella domstolen att kontrollera att de kostnader för vilka läkare kan begära ersättning från patienterna är strikt begränsade till de faktiska kostnader som uppkommer i det avseendet.

C. Den tredje frågan: Begreppet ”kopia av uppgifterna”

72. Slutligen vill den hänskjutande domstolen, genom sin tredje fråga, få klarhet i huruvida begreppet ”kopia av de personuppgifter som är under behandling [av den personuppgiftsansvarige]” i artikel 15.3 första meningen i dataskyddsförordningen, inom ramen för en patient-läkarrelation, ska tolkas så, att det innebär en allmän rätt för den registrerade att erhålla en fullständig kopia av de dokument som finns med i hans eller hennes patientjournal.

73. Den centrala aspekt som tas upp i förevarande fråga behandlades nyligen av generaladvokat Pitruzzella – enligt min mening på ett övertygande sätt – i förslaget till avgörande i målet F.F.

74. I det målet ville den hänskjutande domstolen att EU-domstolen skulle klargöra omfattningen av den rätt som registrerade har enligt artikel 15 i dataskyddsförordningen. För att behandla den aspekten tog generaladvokat Pitruzzella bland annat upp begreppet ”kopia” i den mening som avses i artikel 15.3 och 15.4 i dataskyddsförordningen. Efter en bokstavlig, kontextuell och teleologisk analys kom han fram till nedanstående slutsatser, som är relevanta för förevarande mål.

75. För det första ska begreppet ”kopia”, enligt artikel 15.3 och 15.4 i dataskyddsförordningen, tolkas som ”en exakt återgivning i en fysisk och permanent begriplig form av de personuppgifter som den registrerade har begärt tillgång till så att denne effektivt kan utöva rätten till tillgång till sina personuppgifter och få full kännedom om alla sina personuppgifter som är under behandling”. Han tillade att ”[k]opians exakta form bestäms utifrån de specifika förhållandena i varje enskild situation och närmare bestämt vilka slags personuppgifter det begärs tillgång till och den registrerades behov”.

76. För det andra angav han att artikel 15.3 i dataskyddsförordningen ”inte [innebär] någon allmän rätt för den registrerade att erhålla en delvis eller fullständig kopia av det dokument som innehåller den registrerades personuppgifter eller ett utdrag ur en databas om personuppgifter behandlas i en sådan”. Med detta sagt klargjorde han även att ”[d]enna bestämmelse … emellertid inte [utesluter] att det kan vara nödvändigt att tillhandahålla delar av dokument, hela dokument eller utdrag ur databaser till den registrerade när detta krävs för att garantera att de personuppgifter som är under behandling och som det begärs tillgång till är fullständigt begripliga”.

77. Av rättsekonomiska skäl kommer jag här inte att ange skälen till att han intog denna ståndpunkt. Det räcker med att säga att jag helt och hållet delar hans åsikter i det avseendet. Dataskyddsförordningen är, när allt kommer omkring, inte en lagstiftning om tillgång till handlingar utan om dataskydd. Dess primära fokus är följaktligen att säkerställa tillgång till uppgifter och inte till dokument som innehåller uppgifter. Det sistnämnda kan med nödvändighet inbegripa det förstnämnda i vissa fall, men inte alltid.

78. Det förefaller således mig som om det, i linje med öppenhetsprincipen och kravet på att information ska ges i en ”koncis, klar och tydlig, begriplig och lätt tillgänglig form”, är möjligt att rätten att erhålla en kopia av de uppgifter som behandlas, när det gäller dokument som ingår i patientjournaler, ofta kan kräva en rätt att erhålla en (delvis eller fullständig) kopia av originalhandlingen. Framför allt när det gäller analys- eller provresultat (som vanligtvis innehåller många tekniska data och/eller bilder), anser jag att om läkarna (eller deras personal) tillåts sammanfatta eller sammanställa de uppgifterna, för att tillhandahålla dem i aggregerad form, kan detta medföra en risk för att vissa relevanta uppgifter utelämnas eller rapporteras på ett felaktigt sätt eller, under alla omständigheter, gör det svårare för de registrerade (det vill säga patienterna) att kontrollera att uppgifterna är korrekta och fullständiga.

79. Det är troligen av denna anledning som det, såsom redan har nämnts, uttryckligen anges i skäl 63 i dataskyddsförordningen att rätten till tillgång till personuppgifter ”innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i patientjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner”.

80. Det verkar alltså som om unionslagstiftaren själv har betonat vikten av att de personuppgifter om sin hälsa som enskilda ges tillgång till inte bara ska vara lättbegripliga, utan även så fullständiga och korrekta som möjligt. Samtidigt står det klart att patientjournaler kan innehålla en mängd olika dokument som inte innehåller patienternas personuppgifter (till exempel vetenskapliga artiklar om patologier eller medicinska behandlingar). Det är uppenbart att patienter inte har någon rätt att få tillgång till den information som ges i de artiklarna och därmed inte har rätt att få någon kopia av dem, enligt dataskyddsförordningen.

81. Jag noterar i detta sammanhang att ifrågavarande nationella lagstiftning – vars reform, såvitt jag förstår, för närvarande diskuteras av de behöriga nationella myndigheterna – kan ge patienterna en rätt till tillgång till patientjournaler och, i synnerhet, en rätt att erhålla kopior av de dokument som ingår i dem, vilken går utöver den rätt som erkänns i dataskyddsförordningen.

82. Jag kan inte se något skäl till att detta inte skulle vara möjligt enligt unionsrätten, eftersom det skulle falla inom ett rättsområde som inte regleras på unionsnivå. Såvitt jag kan se finns det heller inga uppenbara konflikter med bestämmelserna i dataskyddsförordningen. Jag behöver dock knappast påpeka att en rätt till tillgång till patientjournaler som går utöver den som erkänns i dataskyddsförordningen i så motto endast skulle regleras av nationell rätt. Detta innebär att räckvidden av den rättigheten (till exempel vilken typ av dokument det rör sig om) och det sätt på vilket tillgång ska ges (till exempel kostnadsfritt eller mot ersättning för de uppkomna kostnaderna) ska fastställas av den nationella lagstiftaren.

83. Jag föreslår därför att domstolens svar på den tredje frågan blir att begreppet ”kopia av de personuppgifter som är under behandling” i artikel 15.3 i dataskyddsförordningen, inom ramen för en patient-läkarrelation, inte kan tolkas så, att den innebär en allmän rätt för den registrerade att erhålla en fullständig kopia av alla de dokument som finns med i hans eller hennes patientjournal. Detta utesluter inte att den personuppgiftsansvarige kan behöva förse registrerade med en delvis eller fullständig kopia av vissa dokument. Så är fallet när en kopia av dokumentet är nödvändig för att säkerställa att de uppgifter som ges är begripliga och att den registrerade kan kontrollera att de uppgifter som ges är fullständiga och korrekta.

V. Förslag till avgörande

84. Sammanfattningsvis föreslår jag att domstolen besvarar de tolkningsfrågor som Bundesgerichtshof (Federala högsta domstolen, Tyskland) har ställt på följande sätt: Artiklarna 12.5 och 15.3 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att en personuppgiftsansvarig är skyldig att förse den registrerade med en kopia av hans eller hennes personuppgifter, även om den registrerade inte har begärt kopian för de syften som avses i skäl 63 i dataskyddsförordningen, utan för ett annat syfte som inte är relaterat till dataskydd. Artikel 23.1 i dataskyddsförordningen tillåter en nationell lagstiftning som kräver att patienter som begär kopior av de personuppgifter rörande dem som finns med i patientjournaler ska ersätta läkarna för de kostnader som uppkommer, förutsatt att begränsningen av rätten till tillgång, mot bakgrund av alla relevanta omständigheter, är nödvändig och proportionerlig med hänsyn till målen att skydda folkhälsan och om näringsfrihet för läkare. Framför allt ankommer det på den nationella domstolen att kontrollera att de kostnader för vilka läkare kan begära ersättning från patienterna är strikt begränsade till de faktiska kostnader som uppkommer i det avseendet. Begreppet ”kopia av de personuppgifter som är under behandling [av den personuppgiftsansvarige]” i artikel 15.3 i dataskyddsförordningen kan inte, inom ramen för en patient-läkarrelation, tolkas så, att det innebär en allmän rätt för den registrerade att erhålla en fullständig kopia av de dokument som finns med i hans eller hennes patientjournal. Den personuppgiftsansvarige ska dock förse den registrerade med en delvis eller fullständig kopia av dokumenten, när detta är nödvändigt för att säkerställa att de uppgifter som ges är begripliga och att den registrerade kan kontrollera att de uppgifter som ges är fullständiga och korrekta.

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning av den 27 april 2016 (EUT L 119, 2016, s. 1).

3 Artikel 12 i dataskyddsförordningen har dock en bredare räckvidd än artikel 15 i den förordningen, eftersom den avser den personuppgiftsansvariges skyldigheter inte bara enligt artikel 15 utan även enligt andra bestämmelser i förordningen.

4 Artikel 12.1 och 12.2 (min kursivering).

5 Se särskilt artikel 12.3 och 12.4.

10 För ett liknande resonemang, se, analogt, dom av den 20 december 2017, Nowak ( C‑434/16, EU:C:2017:994, punkt 57).

11 Min kursivering.

12 På samma sätt skulle det vara omöjligt att utesluta att registrerade, så snart de har erhållit personuppgifter enligt dataskyddsförordningen för dataskyddsändamål, senare använder dem för andra syften.

13 Dom av den 17 juli 2014 ( C‑141/12 och C‑372/12, EU:C:2014:2081).

14 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Det direktivet upphävdes med verkan från och med den 25 maj 2018 genom artikel 94 i dataskyddsförordningen.

15 Min kursivering.

16 Min kursivering.

17 Som anges i artikel 16 i dataskyddsförordningen.

18 Riktlinjer som antogs den 28 januari 2022 och som har offentliggjorts på EDPB:s webbplats.

19 Såsom nämns i punkt 4 ovan anges i det skälet att ”rätt[en] att få tillgång till personuppgifter … innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner”. Se även artikel 4.4, 4.13 och 4.15 i dataskyddsförordningen.

20 Såsom den hänskjutande domstolen har påpekat kan det syfte för vilket klaganden i det nationella målet begärde tillgång till sina personuppgifter inte anses ge upphov till ett ”missbruk av en rättighet” som, enligt domstolens fasta praxis, skulle hindra klaganden från att åberopa de rättigheter som han eller hon har enligt unionsrätten. Se, bland annat, dom av den 27 oktober 2022, Climate Corporation Emissions Trading ( C‑641/21, EU:C:2022:842, punkt 39 och där angiven rättspraxis).

21 Min kursivering. Se även skäl 59 i dataskyddsförordningen.

22 Se punkt 7 ovan i förevarande förslag till avgörande.

23 Principen betyder ordagrant ”från större till mindre”: om du får göra mer, kan du av desto större anledning göra mindre.

24 Se, exempelvis, den engelska versionen (”Union or Member State law … may restrict by way of a legislative measure”), den tyska versionen (”Durch Rechtsvorschriften der Union oder der Mitgliedstaaten… können … im Wege von Gesetzgebungsmaßnahmen beschränkt werden”), den franska versionen (”Le droit de l’Union ou le droit de l’État membre … peuvent, par la voie de mesures législatives”), den italienska versionen (”Il diritto dell’Unione o dello Stato membro … può limitare, mediante misure legislative”), den spanska versionen (”El Derecho de la Unión o de los Estados miembros … podrá limitar, a través de medidas legislativas”) och den grekiska versionen (”Το δίκαιο της ένωσης ή του κράτους-μέλους … μπορεί να περιορίζει μέσω νομοθετικού μέτρου”).

25 På samma sätt anges i artikel 8.2 i Europakonventionen att en offentlig myndighet får inskränka åtnjutandet av rätten till respekt för privat- och familjeliv – vilken enligt konventionen innefattar dataskyddsrelaterade aspekter – med stöd av lag och om det är nödvändigt med hänsyn till bland annat ”skydd för hälsa”.

26 Min kursivering. Detta gäller merparten av de olika språkversionerna av förordningen.

27 Nämligen artiklarna 6.1 f, 13.1 d och 14.2 b i dataskyddsförordningen. Se även definitionen av ”tredje part” i artikel 4.10 i dataskyddsförordningen.

28 Se även Gawronski, M. (utg.), Guide to the GDPR, Wolters Kluwer, 2019, s. 138.

29 Min kursivering.

30 Se, särskilt, von Mises, L., Human Action: A Treatise on Economics, Yale University Press, som publicerades för första gången år 1949.

31 Se, analogt, dom av den 12 januari 2023, TP (Audiovisuell redigerare för statlig television) ( C‑356/21, EU:C:2023:9, punkterna 73 och 74).

32 Se, för ett liknande resonemang, dom av den 6 oktober 2020, kommissionen/Ungern (Högre utbildning) ( C‑66/18, EU:C:2020:792, punkterna 178 och 179 och där angiven rättspraxis).

33 Se punkterna 37 och 40 ovan i förevarande förslag till avgörande.

34 Se dom av den 29 juni 2017, kommissionen/Portugal ( C‑126/15, EU:C:2017:504, punkt 84 och där angiven rättspraxis).

35 Förslag till avgörande i målet kommissionen mot Polen ( C‑601/21, EU:C:2023:151, punkt 65).

36 Artikel 6 a FEUF.

37 Se, exempelvis, dom av den 19 oktober 2016, Deutsche Parkinson Vereinigung ( C‑148/15, EU:C:2016:776, punkt 30 och där angiven rättspraxis).

38 Det är beklagligt i det avseendet att den tyska regeringen inte har inkommit med några yttranden i förevarande förfarande.

39 C‑487/21, EU:C:2022:1000.

40 Ibidem, punkt 70.

41 Ibidem.

42 Se, särskilt, skälen 39 och 58 samt artikel 5.1 a i dataskyddsförordningen.

43 Artikel 12.1 i dataskyddsförordningen.

44 Till exempel kan bland annat identiteten på det laboratorium och/eller den läkare som har gjort analysen samt den typ av utrustning eller teknik som använts för den ibland förefalla (och eventuellt vara) av föga relevans när tillgång begärs, medan det, under vissa omständigheter, kan visa sig vara viktigt i ett senare skede för en korrekt bedömning av uppgifterna.

45 Så kan lätt ske, exempelvis när stora mängder numeriska uppgifter kopieras.

46 Se, exempelvis, ”Lauterbachs ”Turbo”-Plan für digitale Patientenakten”, Frankfurter Allgemeine, den 9 mars 2023.