Soudní dvůr EU („SDEU“) se ve svém rozsudku ze dne 4. května 2023, ve věci C‑487/21, vyjádřil k výkladu článku 15 odst. 3 Nařízení[1], který upravuje právo subjektu údajů na poskytnutí kopie zpracovávaných osobních údajů.

Předcházející události spočívaly v tom, že subjekt údajů F. F. požádal společnost CRIF, která jako poradenská agentura poskytuje na žádost svých klientů informace o solventnosti třetích osob, o přístup ke svým osobním údajům zpracovávaným uvedenou společností. Zároveň požádal o poskytnutí kopie dokumentů (e-mailů a výpisů z databází), které obsahují jeho osobní údaje, a to ve standardním technickém formátu. Společnost CRIF mu však zaslala pouze úhrnný seznam zpracovávaných osobních údajů. Subjekt údajů tedy podal stížnost k rakouskému úřadu pro ochranu údajů, který stížnost zamítl, a ze strany subjektu údajů následovala žaloba k rakouskému Spolkovému správnímu soudu.

SDEU, který řešil předběžnou otázku výše uvedeného rakouského soudu, se zabýval rozsahem povinnosti poskytnout subjektu údajů „kopii“ jeho zpracovávaných osobních údajů, resp. zda je tato povinnost splněna předáním osobních údajů ve formě souhrnného seznamu, nebo zda tato povinnost zahrnuje i předání výpisů z dokumentů, případně celých dokumentů, včetně výpisů z databází, v nichž jsou osobní údaje zaneseny.

Dle SDEU je článek 15 odst. 3 (věta první) třeba vykládat tak, že právo získat od správce kopii zpracovávaných osobních údajů znamená, že subjektu údajů musí být předána věrná a srozumitelná reprodukce všech těchto údajů. Předpokladem tohoto práva je právo získat kopii výpisů z dokumentů či celých dokumentů nebo výpisů z databází, které obsahují mimo jiné uvedené údaje, pokud je poskytnutí takové kopie nezbytné k tomu, aby subjekt údajů mohl účinně uplatňovat práva, která mu Nařízení přiznává.    

[1] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) („Nařízení“).