Den federala finansdomstolen Bundesfinanzhof (BFH) har fastslagit att artikel 15.3 dataskyddsförordningen (GDPR) endast ger rätt till kopior av handlingar som innehåller personuppgifter om den registrerade visar att en sådan kopia är nödvändig för att effektivt kunna utöva sina rättigheter enligt GDPR.
Bakgrunden till målet är en tvist mellan en registrerad och den tyska skattemyndigheten Finanzamt, som tidigare hade avgjorts genom domstolsbeslut. Efter detta begärde den registrerade tillgång till sina personuppgifter från myndigheten. Finanzamt avslog begäran med hänvisning till att det rättsliga förfarandet redan avslutats, och att artikel 15 GDPR därför inte längre var tillämplig. Myndigheten ansåg även att begäran var orimlig enligt artikel 12.5 GDPR.
Den registrerade överklagade beslutet till Finanzgericht Berlin-Brandenburg (FG Berlin-Brandenburg) och hävdade att han hade rätt inte bara till en kopia av sina personuppgifter, utan även till en kopia av de dokument eller utdrag ur databaser där uppgifterna förekommer.
FG Berlin-Brandenburg avslog överklagandet och framhöll att artikel 15.3 GDPR ska tolkas restriktivt, vilket innebär att den registrerade inte har rätt till fullständiga kopior av dokument eller databasutdrag. Domstolen fann dessutom att begäran, även om rättigheten skulle ha funnits, var orimlig enligt artikel 12.5 GDPR.
Den registrerade överklagade vidare till BFH, som konstaterade att rätten till tillgång enligt artikel 15 GDPR gäller oberoende av pågående eller avslutade rättsliga förfaranden. BFH framhöll att syftet med artikeln är att säkerställa att den registrerade får kännedom om behandlingen av sina personuppgifter, och att denne kan kontrollera att behandlingen sker lagligt.
BFH avvisade dock den registrerades argument om en generell rätt till kopior av dokument eller utdrag där personuppgifter förekommer. Enligt BFH räcker det normalt att den registrerade får tillgång till själva personuppgifterna och information om syftet med behandlingen för att kunna kontrollera att den är korrekt och laglig. Om detta inte är tillräckligt, är det den registrerades ansvar att visa varför kopior av handlingar är nödvändiga för att utöva sina rättigheter enligt GDPR. Även om en registrerad i regel inte behöver motivera en begäran om tillgång, måste han eller hon i sådana fall förklara vilka rättigheter enligt GDPR som avses utövas och varför kopior av specifika dokument krävs.
BFH upphävde FG Berlin-Brandenburgs dom i den del som rörde tillämpningen av artikel 12.5 GDPR, och ansåg att den registrerades begäran varken var uppenbart ogrundad eller orimlig enligt artikel 12.5 (a) eller (b) GDPR.
BFH fann dock att målet inte var färdigt för avgörande och återförvisade ärendet till FG Berlin-Brandenburg för fortsatt prövning. Domstolen ska nu bedöma om tillhandahållandet av de begärda handlingarna är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt GDPR, med beaktande av EU-domstolens praxis i målen C-307/22, FT (Copies du dossier médical) och C-487/21, Österreichische Datenschutzbehörde.