Administrator danych osobowych ma obowiązek bezpłatnego dostarczenia osobie, której dane dotyczą, pierwszej kopii jej danych osobowych niezależnie od celu, w jakim ta osoba chce uzyskać dostęp do danych – orzekł Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 26 października 2023 r. w sprawie C-307/22. W naszym newsletterze przedstawiamy okoliczności faktyczne sprawy oraz omawiamy dokonaną przez Trybunał wykładnię unijnych przepisów z zakresu ochrony danych osobowych.
Postępowanie główne, w ramach którego federalny niemiecki trybunał sprawiedliwości złożył do TSUE wniosek o wydanie orzeczenia w trybie prejudycjalnym, dotyczyło sporu pomiędzy pacjentem i lekarzem. Lekarz odmówił swojemu pacjentowi bezpłatnego przekazania pierwszej kopii jego dokumentacji medycznej, jaką ten chciał uzyskać w celu weryfikacji popełnienia przez lekarza błędu medycznego. Odmawiając przekazania pierwszej bezpłatnej kopii, lekarz powołał się na przepis niemieckiego kodeksu cywilnego, który przewiduje obowiązek zwrotu poniesionych przez lekarza kosztów powstałych przy każdorazowym przekazywaniu pacjentowi kopii dokumentacji medycznej. Sąd niemiecki rozpatrując sprawę skierował do TSUE 3 pytania dotyczące wykładni RODO i relacji do przepisów krajowych.
Odpowiadając na pierwsze z pytań prejudycjalnych dotyczące celu uzyskania dostępu do danych osobowych, TSUE przede wszystkim wskazał, że przepisy RODO nie wymagają od osoby, której dane dotyczą, uzasadnienia wniosku o udzielenie dostępu do danych poprzez określenie celu, w jakim osoba chce uzyskać tenże dostęp. Trybunał odniósł się do celów uzyskania dostępu do swoich danych wynikających z motywu 63 zdanie pierwsze RODO, tj. uzyskania świadomości przetwarzania swoich danych osobowych i możliwości weryfikacji zgodności przetwarzania z prawem, przytaczając ugruntowany pogląd, wedle którego preambuła unijnych aktów prawnych nie ma mocy wiążącej, dlatego nie można wyprowadzać z niej warunków, od których miałoby być uzależnione wykonanie praw zagwarantowanych przez przepisy RODO. TSUE zauważył również, że ten sam motyw 63 RODO wprost stanowi, że prawo dostępu do danych dotyczących zdrowia obejmuje dane w dokumentacji medycznej zawierające informacje takie jak m.in. diagnoza, wyniki badań czy przeprowadzone zabiegi. W konsekwencji uznał, że obowiązek bezpłatnego dostarczenia pierwszej kopii danych osobowych ciąży na administratorze także wówczas, gdy jest on uzasadniony celami innymi niż wskazane w motywie 63 RODO.
Na kanwie drugiego pytania prejudycjalnego Trybunał wskazał w pierwszej kolejności, że dopuszczalne na gruncie art. 23 ust. 1 RODO ograniczenie niektórych praw i obowiązków (w tym prawa dostępu do danych) możliwe jest również za pomocą przepisów krajowych przyjętych przed wejściem w życie RODO, pod warunkiem że przepisy te spełniają warunki ograniczenia wynikające z art. 23 ust. 1 RODO. Prawo do bezpłatnego uzyskania pierwszej kopii danych osobowych nie jest więc prawem absolutnym, jednak jego ograniczenie może wynikać wyłącznie z konieczności ochrony praw i wolności innych osób. TSUE uznał jednocześnie, że interesy gospodarcze administratora, z których wynika obciążenie osoby, której dane dotyczą, kosztami pierwszej kopii jej danych osobowych, nie są wystarczającą podstawą do ograniczenia prawa do pierwszej bezpłatnej kopii, o którym mowa w art. 12 ust. 5 i art. 15 ust. 1 i 3 RODO. Powyższe nie oznacza, że unijny prawodawca nie chroni interesów gospodarczych administratorów – przepisy RODO wskazują bowiem okoliczności, kiedy mogą oni pobierać opłaty za koszty udostępnienia danych osobowych.
Trzecie pytanie prejudycjalne dotyczyło zakresu udostępnianych danych w relacji lekarz-pacjent. Trybunał stanął na stanowisku, że kopia powinna obejmować wszystkie dane osobowe podlegające przetwarzaniu. Mając na względzie szerokie rozumienie „danych osobowych”, a także konieczność zagwarantowania ich łatwego zrozumienia przez pacjenta, pacjent powinien mieć możliwość uzyskać wierną i zrozumiałą kopię całej dokumentacji medycznej. TSUE zwrócił uwagę, że udostępnianie przez lekarzy jedynie podsumowania danych zamiast kopii całości dokumentacji wiąże się z ryzykiem pominięcia lub nieprawidłowego skompilowania tych danych oraz utrudnienia ich zrozumienia przez pacjenta.
Komentarz DBS:
Pewne wątpliwości może budzić ustalenie czy kopia danych osobowych będzie zawsze tożsama z kopią dokumentacji medycznej. Jak wskazał Trybunał w wyroku uprawnienie obejmuje uzyskanie kopii danych osobowych, nie zaś kopii dokumentacji medycznej. O ile należy zgodzić się z Trybunałem, że w większości przypadków przekazanie kopii danych osobowych pacjenta, będzie wymagało przekazania kopii całej dokumentacji medycznej, to mogą wystąpić jednostkowe sytuacje, gdzie dokumentacja medyczna może mieć szerszy zakres.
Na gruncie polskiego prawa kwestia ta jest obecnie uregulowana przepisami ustawowymi, które zasadniczo powinny rozwiązywać ewentualne praktyczne problemy. Zgodnie z art. 28 Ustawy o prawach pacjenta i Rzeczniku Prac Pacjenta pierwsze udostępnienie dokumentacji medycznej pacjentowi lub jego przedstawicielowi ustawowemu następuje bezpłatnie. Opłata może być pobrana za kolejne udostępnienia dokumentacji medycznej jeżeli następują one przez sporządzenie wyciągu, odpisu, kopii lub wydruku dokumentacji, jej skanu lub na informatycznym nośniku danych.
Newsletter_wyrok TSUE_C-307-22_10112023
