Un paciente solicitó a su dentista una copia de su historia clínica para establecer la responsabilidad de esta por los errores supuestamente cometidos durante un tratamiento dental. Sin embargo, la dentista exigió que el paciente corriera con los gastos derivados de la entrega de la copia de la historia clínica, como prevé el Derecho alemán.
Al considerar que tiene derecho a una copia gratuita, el paciente acudió ante los órganos jurisdiccionales alemanes.
En este contexto, el Tribunal Supremo Federal de lo Civil y Penal alemán se ha dirigido con carácter prejudicial al Tribunal de Justicia, pues considera que la solución del litigio depende de la interpretación de las disposiciones del Derecho de la Unión -el Reglamento General de Protección de Datos (RGPD).
1 En su sentencia, el Tribunal de Justicia recuerda que dicho Reglamento consagra el derecho del paciente a obtener una primera copia de su historia clínica sin que, en principio, ello implique gastos. El responsable del tratamiento solo podrá exigir un pago cuando el paciente ya haya obtenido gratuitamente una primera copia de sus datos y solicite otra copia.
La dentista en cuestión debe ser considerada responsable del tratamiento de los datos personales de su paciente.
Como tal, está obligada a facilitarle gratuitamente una primera copia de sus datos, sin que el paciente esté obligado a justificar su solicitud.
Aun cuando el objetivo de las normas nacionales sea proteger los intereses económicos de los facultativos, no puede exigirse al paciente correr con los gastos de una primera copia de su historia clínica.
Por otra parte, el paciente tiene derecho a obtener una copia íntegra de los documentos que figuran en su historia clínica, cuando sea necesario para la comprensión de los datos personales contenidos en dichos documentos. Este derecho incluye los datos de la historia clínica que contienen información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas.
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Primera)
de 26 de octubre de 2023 (*)
“Procedimiento prejudicial - Tratamiento de datos personales - Reglamento (UE) 2016/679 - Artículos 12, 15 y 23 - Derecho de acceso del interesado a sus datos objeto de tratamiento - Derecho a obtener gratuitamente una primera copia de esos datos - Tratamiento de datos de un paciente por su médico - Historia clínica - Motivos de la solicitud de acceso - Uso de los datos con el fin de establecer la responsabilidad del facultativo - Concepto de “copia”“
En el asunto C‑307/22,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal, Alemania), mediante resolución de 29 de marzo de 2022, recibida en el Tribunal de Justicia el 10 de mayo de 2022, en el procedimiento entre
FT
y
DW,
EL TRIBUNAL DE JUSTICIA (Sala Primera),
integrado por el Sr. A. Arabadjiev, Presidente de Sala, y los Sres. T. von Danwitz, P. G. Xuereb y A. Kumin y la Sra. I. Ziemele (Ponente), Jueces;
Abogado General: Sr. N. Emiliou;
Secretario: Sr. A. Calot Escobar;
habiendo considerado los escritos obrantes en autos;
consideradas las observaciones presentadas:
- en nombre del Gobierno letón, por la Sra. K. Pommere, en calidad de agente;
- en nombre de la Comisión Europea, por los Sres. A. Bouchagiar, F. Erlbacher y H. Kranenborg, en calidad de agentes;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 20 de abril de 2023;
dicta la siguiente
Sentencia
1 La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 12, apartado 5, 15, apartado 3, y 23, apartado 1, letra i), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2021, L 74, p. 35; en lo sucesivo, “RGPD”).
2 Esta petición se ha presentado en el contexto de un litigio entre FT y DW, en relación con la negativa de FT, dentista, de facilitar a su paciente gratuitamente una primera copia de su historia clínica.
Marco jurídico
Derecho de la Unión
3 A tenor del considerando 4 del RGPD:
“[] El derecho a la protección de los datos personales no es un derecho absoluto sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la [Carta de los Derechos Fundamentales de la Unión Europea] conforme se consagran en los Tratados, en particular [] la libertad de empresa [].”
4 Los considerandos 10 y 11 del RGPD exponen:
“(10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión [Europea], el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. []
(11) La protección efectiva de los datos personales en la Unión exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal [].”
5 El considerando 13 del RGPD indica lo siguiente:
“[] Además, alienta a las instituciones y órganos de la Unión y a los Estados miembros y a sus autoridades de control a tener en cuenta las necesidades específicas de las microempresas y las pequeñas y medianas empresas en la aplicación del presente Reglamento. []”
6 El considerando 58 del RGPD precisa:
“El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad en línea. Dado que los niños merecen una protección específica, cualquier información y comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y sencillo que sea fácil de entender.”
7 De conformidad con el considerando 59 del RGPD :
“Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. []”
8 El considerando 63 del RGPD tiene el siguiente tenor:
“Los interesados deben tener derecho a acceder a los datos personales recogidos que les conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. Ello incluye el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. []”
9 El artículo 4 del RGPD establece que:
“A efectos del presente Reglamento se entenderá por:
1) “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
[]”.
10 El artículo 12 del RGPD dispone:
“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. []
[]
5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
[]”
11 El artículo 15 del RGPD establece:
“1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
4 El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.”
12 Los artículos 16 y 17 de dicho Reglamento consagran, respectivamente, el derecho del interesado a obtener la rectificación de los datos personales inexactos (derecho de rectificación), así como el derecho, en determinadas circunstancias, a la supresión de esos datos (derecho de supresión o “derecho al olvido”).
13 El artículo 18 del mismo Reglamento, titulado “Derecho a la limitación del tratamiento”, dispone, en su apartado 1:
“El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales en un plazo que permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.”
14 El artículo 21 del RGPD, titulado “Derecho de oposición”, señala en su apartado 1:
“El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.”
15 A tenor del artículo 23 , apartado 1 , del RGPD:
“El Derecho de la Unión o de los Estados miembros que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:
[]
i) la protección del interesado o de los derechos y libertades de otros;
[]”.
Derecho alemán
16 Según el artículo 630f del Bürgerliches Gesetzbuch (Código Civil ; en lo sucesivo, “BGB”), a efectos de proceder a la documentación inmediata del tratamiento, el facultativo deberá llevar una historia clínica del paciente, bien en papel o bien en soporte electrónico. El facultativo deberá registrar en la historia clínica del paciente todas las medidas esenciales desde el punto de vista profesional para el tratamiento actual y futuro, así como sus resultados; en particular, la anamnesis y los diagnósticos, exámenes, resultados de exámenes, evaluaciones, terapias y sus efectos, intervenciones y sus efectos, consentimientos y explicaciones. El facultativo deberá conservar la historia clínica del paciente durante diez años después de la conclusión del tratamiento, sin perjuicio de los períodos de conservación diferentes establecidos en otras disposiciones.
17 Con arreglo al artículo 630g, apartado 1, primera frase, del BGB, a petición del paciente, se concederá a este de forma inmediata el acceso a su historia clínica íntegra, siempre que no se opongan a ello razones terapéuticas de peso u otros derechos sustanciales de terceros. Conforme al artículo 630g, apartado 2, primera frase, del BGB, el paciente también podrá solicitar copias electrónicas de la historia clínica. Teniendo en cuenta la exposición de motivos de la ley, esto debe entenderse en el sentido de que el paciente puede solicitar, a su libre elección, la presentación de copias físicas o electrónicas. El artículo 630g, apartado 2, segunda frase, del BGB establece que el paciente debe compensar al facultativo por el coste resultante.
Litigio principal y cuestiones prejudiciales
18 DW recibía tratamiento dental de FT. Al sospechar que se habían cometido errores durante el tratamiento, DW solicitó a FT que le facilitara, a título gratuito, una primera copia de su historia clínica. FT indicó a DW que solo daría curso a la solicitud en caso de que DW corriera con los gastos derivados de la entrega de la copia de la historia clínica, tal como prevé el Derecho nacional.
19 DW presentó una demanda contra FT. En primera instancia y en apelación, se estimó la pretensión de DW de que se le entregara a título gratuito una primera copia de su historia clínica. Esas resoluciones se basaron en una interpretación de la normativa nacional aplicable efectuada a la luz de los artículos 12 , apartado 5 , y 15 , apartados 1 y 3 , del RGPD.
20 El Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal, Alemania), que conoce del recurso de casación interpuesto por FT, considera que la solución del litigio depende de la interpretación que se dé a las disposiciones del RGPD .
21 El órgano jurisdiccional remitente señala que, con arreglo al Derecho nacional, el paciente puede obtener una copia de su historia clínica, siempre que compense al facultativo por los gastos que se deriven de ello.
22 Sin embargo, del artículo 15, apartado 3, primera frase, en relación con el artículo 12 , apartado 5 , primera frase, del RGPD, cabría deducir que el responsable del tratamiento, en este caso el facultativo, está obligado a dar al paciente una primera copia de su historia clínica a título gratuito.
23 En primer término, el órgano jurisdiccional remitente señala que DW solicita una primera copia de su historia clínica para establecer la responsabilidad de FT. Tal finalidad es ajena a la contemplada en el considerando 63 del RGPD , que prevé el derecho de acceso a datos personales con el fin de conocer el tratamiento de esos datos y verificar su licitud. Sin embargo, el tenor del artículo 15 del RGPD no supedita el ejercicio del derecho de comunicación a tales motivos. Además, dicha disposición no exige que el interesado motive su solicitud de comunicación.
24 En segundo término, el órgano jurisdiccional remitente subraya que el artículo 23 , apartado 1 , del RGPD permite la adopción de medidas legislativas nacionales que limiten el alcance de las obligaciones y derechos establecidos en los artículos 12 a 22 de dicho Reglamento para salvaguardar uno de los objetivos previstos en esa disposición. En este caso, FT invoca el objetivo de proteger los derechos y libertades de otros que figura en el artículo 23 , apartado 1 , letra i), del RGPD y alega que la norma en materia de costes prevista en el artículo 630g, apartado 2, segunda frase, del BGB es una medida necesaria y proporcionada para proteger los intereses legítimos de los facultativos que, por regla general, permite evitar solicitudes injustificadas de copias por parte de los pacientes afectados.
25 Sin embargo, por un lado, el artículo 630g, apartado 2, segunda frase, del BGB se adoptó antes de la entrada en vigor del RGPD .
26 Por otro lado, la norma en materia de costes prevista en el artículo 630g, apartado 2, segunda frase, del BGB tiene principalmente por objeto proteger los intereses económicos de los facultativos. Por lo tanto, procede determinar si el interés de estos en que se les libere de los costes y gastos derivados de la entrega de las copias de datos está comprendido entre los derechos y libertades de otros, en el sentido del artículo 23 , apartado 1 , letra i), del RGPD. Asimismo, el traslado sistemático a los pacientes de los gastos que se deriven de las copias de sus historias clínicas puede parecer excesivo, ya que no tiene en cuenta el importe de los gastos efectivamente ocasionados ni las circunstancias específicas de cada solicitud.
27 En tercer término, en la medida en que DW reclama la entrega de una copia de todos los documentos médicos que le conciernen, es decir, de su historia clínica, el órgano jurisdiccional remitente se pregunta sobre el alcance del derecho a obtener una copia de los datos personales que son objeto de tratamiento, consagrado en el artículo 15 , apartado 3 , del RGPD. A este respecto, este derecho podría cumplirse mediante la comunicación de un resumen de los datos tratados por el médico. Sin embargo, parece que los objetivos de transparencia y de control de legalidad contemplados por el RGPD abogan en favor de la comunicación de una copia de todos los datos en bruto de que disponga el responsable del tratamiento, a saber, de todos los documentos médicos relativos al paciente que contengan tales datos.
28 En estas circunstancias, el Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) ha decidido suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
“1) ¿Debe interpretarse el artículo 15, apartado 3, primera frase, en relación con el artículo 12 , apartado 5 , del RGPD en el sentido de que el responsable (en este caso, el médico) no está obligado a facilitar gratuitamente al interesado (en este caso, el paciente) una primera copia de sus datos personales tratados por el responsable, cuando el interesado no requiere la copia para los fines mencionados en el considerando 63, primera frase, del RGPD , de conocer y verificar la licitud del tratamiento, sino para otro fin no relacionado con la protección de datos (si bien legítimo; en este caso, el estudio de una posible reclamación de responsabilidad médica)?
2) En caso de respuesta negativa a la primera cuestión:
a) ¿Es válida como limitación del derecho a una copia gratuita de los datos personales tratados por el responsable, reconocido en el artículo 15, apartado 3, primera frase, en relación con el artículo 12 , apartado 5 , del RGPD, con arreglo al artículo 23 , apartado 1 , letra i), del RGPD, una disposición nacional de un Estado miembro que fue adoptada antes de la entrada en vigor del [RGPD ]?
b) En caso de respuesta afirmativa a la segunda cuestión, letra a), ¿debe interpretarse el artículo 23 , apartado 1 , letra i), del RGPD en el sentido de que los derechos y libertades de otros que menciona comprenden también el interés de estos en evitar los gastos asociados a la entrega de una copia de los datos en virtud del artículo 15 , apartado 3, primera frase, del RGPD y demás costes ocasionados por la entrega de la copia?
c) En caso de respuesta afirmativa a la segunda cuestión, letra b), ¿es válida como limitación de los derechos y obligaciones derivados del artículo 15, apartado 3, primera frase, en relación con el artículo 12 , apartado 5 , del RGPD, con arreglo al artículo 23 , apartado 1 , letra i), del RGPD, una disposición nacional que, en la relación médico-paciente, cuando el primero entregue al segundo una copia de los datos personales de este que figuren en su historia clínica, establece un derecho a la compensación del coste a favor del médico y a cargo del paciente, en todo caso y con independencia de las circunstancias del supuesto concreto?
3) En caso de respuesta negativa a la primera cuestión y a las letras a), b) o c) de la segunda cuestión, ¿comprende el derecho derivado del artículo 15 , apartado 3 , primera frase, del RGPD, en la relación médico-paciente, el derecho a la entrega de copias de todas las partes de la historia clínica que contengan datos personales, o solo se refiere estrictamente a la entrega de una copia de los datos personales del paciente, quedando a elección del médico que efectúa el tratamiento la forma en que compila los datos del paciente interesado?”
Sobre las cuestiones prejudiciales
Primera cuestión prejudicial
29 Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 12 , apartado 5 , y 15 , apartados 1 y 3 , del RGPD deben interpretarse en el sentido de que la obligación de facilitar al interesado gratuitamente una primera copia de sus datos personales objeto de tratamiento se impone al responsable del tratamiento aunque dicha solicitud esté motivada por un fin ajeno a los mencionados en el considerando 63, primera frase, de ese Reglamento.
30 Con carácter preliminar, procede recordar que, según reiterada jurisprudencia, para la interpretación de una disposición del Derecho de la Unión, ha de tenerse en cuenta no solo su tenor, sino también el contexto de esta y los objetivos que persigue la normativa de la que forma parte [sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales), C‑154/21, EU:C:2023:3, apartado 29].
31 Por lo que respecta, en primer término, al tenor de las disposiciones pertinentes, procede señalar, por un lado, que el artículo 12 , apartado 5 , del RGPD establece el principio según el cual el ejercicio del derecho de acceso del interesado a sus datos objeto de tratamiento y a la información relativa al mismo no genera ningún gasto para el interesado. Por otro lado, esta disposición contempla dos motivos por los que el responsable del tratamiento puede, bien cobrar un canon razonable en función de los costes administrativos, bien negarse a actuar respecto de la solicitud. Estos motivos se refieren a supuestos de abuso de derecho, en los que las solicitudes del interesado son “manifiestamente infundadas” o “excesivas”, en particular debido a su carácter repetitivo.
32 A este respecto, el órgano jurisdiccional remitente ha señalado expresamente que la solicitud del interesado no era abusiva.
33 Por otro lado, el derecho de acceso del interesado a sus datos objeto de tratamiento y a la información relativa al mismo, que forma parte integrante del derecho a la protección de los datos personales, está garantizado en el artículo 15 , apartado 1 , del RGPD. En virtud de esta disposición, los interesados tienen derecho a acceder a sus datos personales objeto de tratamiento.
34 Además, del artículo 15 , apartado 3 , del RGPD se desprende que el responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento y que podrá percibir un canon razonable por cualquier otra copia solicitada por el interesado. A este respecto, el apartado 4 de dicho artículo precisa que el apartado 3 del mismo artículo confiere un “derecho” a esa persona. Por lo tanto, el responsable del tratamiento solo puede exigir tal pago cuando el interesado ya haya recibido a título gratuito una primera copia de sus datos y solicite otra.
35 Como ya ha declarado el Tribunal de Justicia, del análisis literal del artículo 15 , apartado 3 , primera frase, del RGPD resulta que esta disposición confiere al interesado el derecho a obtener una reproducción fiel de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones que deben calificarse de “tratamiento por parte del responsable de ese tratamiento” (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 28).
36 Por lo tanto, de la lectura conjunta de los artículos 12 , apartado 5 , y 15 , apartados 1 y 3 , del RGPD se desprende, por un lado, el derecho del interesado a obtener una primera copia a título gratuito de sus datos personales objeto de tratamiento y, por otro lado, la facultad ofrecida al responsable del tratamiento, en determinadas condiciones, de facturar un canon razonable en función de los costes administrativos o de negarse a actuar respecto de la solicitud si esta última es manifiestamente infundada o excesiva.
37 En el caso de autos, procede señalar que un médico que realiza las operaciones de tratamiento contempladas en el artículo 4 , punto 2 , del RGPD relativas a los datos de sus pacientes debe considerarse un “responsable del tratamiento”, en el sentido del artículo 4, punto 7, de dicho Reglamento, sujeto a las obligaciones que implica esta condición, en particular garantizando el acceso a los datos personales a petición de los interesados.
38 Es preciso señalar que ni el tenor del artículo 12 , apartado 5 , del RGPD ni el del artículo 15 , apartados 1 y 3, de dicho Reglamento condicionan la entrega a título gratuito de una primera copia de los datos personales a que el interesado invoque un motivo para justificar su solicitud. Por lo tanto, estas disposiciones no dan al responsable del tratamiento la posibilidad de exigir que se motive la solicitud de acceso presentada por el interesado.
39 Por lo que se refiere, en segundo término, al contexto en el que se inscriben las disposiciones anteriormente mencionadas, procede señalar que el artículo 12 del RGPD está comprendido en la sección 1 del capítulo III de dicho Reglamento, relativa, en particular, al principio de transparencia, enunciado en el artículo 5, apartado 1, letra a), del citado Reglamento.
40 De este modo, el artículo 12 del RGPD establece obligaciones generales que incumben al responsable del tratamiento en lo que respecta a la transparencia de la información y de las comunicaciones, así como a las modalidades de ejercicio de los derechos del interesado.
41 El artículo 15 del RGPD, incluido en la sección 2 del capítulo III, relativa a la información y al acceso a los datos personales, completa el marco de transparencia del RGPD al conceder al interesado un derecho de acceso a sus datos personales y un derecho de información sobre el tratamiento de dichos datos.
42 Asimismo, procede señalar que, de conformidad con el considerando 59 del RGPD , “deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición”.
43 Dado que, como resulta del apartado 38 de la presente sentencia, el interesado no está obligado a motivar la solicitud de acceso a los datos, la primera frase del considerando 63 no puede interpretarse en el sentido de que dicha solicitud deba denegarse si persigue un objetivo distinto del consistente en conocer el tratamiento de los datos y verificar su licitud. En efecto, este considerando no puede restringir el alcance del artículo 15 , apartado 3 , del RGPD, tal como se ha recordado en el apartado 35 de la presente sentencia.
44 A este respecto, hay que recordar que de reiterada jurisprudencia resulta que la exposición de motivos de un acto de la Unión no tiene un valor jurídico vinculante y no puede ser invocada ni para establecer excepciones a las propias disposiciones del acto de que se trate ni para interpretarlas en un sentido manifiestamente contrario a su tenor (sentencia de 13 de septiembre de 2018, Česká pojiťovna, C‑287/17, EU:C:2018:707, apartado 33).
45 Por lo demás, el considerando 63 señala, a tenor de su segunda frase, que el derecho de acceder a los datos personales reconocido a los interesados incluye, por lo que respecta a los datos relativos a la salud, “los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas”.
46 En estas condiciones, el derecho de acceder a los datos relativos a la salud garantizado en el artículo 15 , apartado 1 , del RGPD no puede limitarse, mediante la denegación del acceso o mediante la imposición del pago de una contraprestación, a uno de los motivos mencionados en la primera frase del considerando 63. Lo mismo cabe decir del derecho a obtener una primera copia a título gratuito, según lo previsto en los artículos 12, apartado 5, y 15, apartado 3, de dicho Reglamento.
47 En tercer término, en cuanto a los objetivos perseguidos por el RGPD , procede señalar que ese Reglamento tiene por finalidad, como indican sus considerandos 10 y 11, garantizar un nivel uniforme y elevado de protección de las personas físicas dentro de la Unión y reforzar y especificar los derechos de los interesados.
48 Precisamente con el fin de alcanzar dicho objetivo, el artículo 15, apartado 1, garantiza al interesado el derecho de acceder a sus datos personales (véase, en este sentido, la sentencia de 22 de junio de 2023, Pankki S, C‑579/21, EU:C:2023:501, apartado 57 y jurisprudencia citada).
49 Por lo tanto, los artículos 12 , apartado 5 , y 15 , apartados 1 y 3 , del RGPD forman parte de las disposiciones que tienen por objeto garantizar, en favor del interesado, el citado derecho de acceso y la transparencia de los modos de tratamiento de los datos personales [véase, en este sentido, la sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales), C‑154/21, EU:C:2023:3, apartado 42].
50 Pues bien, el principio de gratuidad de la primera copia de los datos y la innecesariedad de invocar un motivo específico que justifique la solicitud de acceso contribuyen indudablemente a facilitar el ejercicio por el interesado de los derechos que le confiere el RGPD .
51 Por consiguiente, dada la importancia que el RGPD atribuye, para alcanzar tales objetivos, al derecho de acceder a los datos personales objeto de tratamiento, garantizado en el artículo 15 , apartado 1 , del RGPD, el ejercicio de este derecho no puede estar sujeto a requisitos que no hayan sido expresamente establecidos por el legislador de la Unión, como la obligación de invocar alguno de los motivos mencionados en el considerando 63, primera frase, del RGPD .
52 Habida cuenta de todas las consideraciones anteriores, procede responder a la primera cuestión prejudicial que los artículos 12 , apartado 5 , y 15 , apartados 1 y 3 , del RGPD deben interpretarse en el sentido de que la obligación de facilitar al interesado gratuitamente una primera copia de sus datos personales objeto de tratamiento se impone al responsable del tratamiento aunque dicha solicitud esté motivada por un fin ajeno a los mencionados en el considerando 63, primera frase, de ese Reglamento.
Segunda cuestión prejudicial
53 Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 23 , apartado 1 , letra i), del RGPD debe interpretarse en el sentido de que permite una normativa nacional, adoptada antes de la entrada en vigor de dicho Reglamento, que, con el fin de proteger los intereses económicos del responsable del tratamiento, impone al interesado los gastos de una primera copia de sus datos personales objeto del tratamiento.
54 En primer lugar, en cuanto a la cuestión de si únicamente las medidas nacionales adoptadas con posterioridad a la entrada en vigor del RGPD pueden estar comprendidas en el ámbito de aplicación del artículo 23 , apartado 1, del RGPD , procede señalar que el tenor de esta disposición no contiene ninguna indicación al respecto.
55 En efecto, el artículo 23 , apartado 1 , del RGPD se limita a señalar que una medida legislativa de un Estado miembro puede limitar el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 de dicho Reglamento en tanto tales medidas se correspondan con los derechos y obligaciones previstos en esos artículos y cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada para salvaguardar, en particular, la protección de los derechos y libertades de otros.
56 Por consiguiente, el artículo 23 , apartado 1 , del RGPD no excluye de su ámbito de aplicación las medidas legislativas nacionales adoptadas antes de la entrada en vigor del RGPD , siempre que cumplan los requisitos que establece dicho Reglamento.
57 En segundo lugar, en lo que atañe a la cuestión de si está comprendida en el ámbito de aplicación del artículo 23 , apartado 1 , letra i), del RGPD una normativa nacional que, con el fin de proteger el interés económico de los facultativos, impone al paciente los costes derivados de la entrega de una primera copia de la historia clínica solicitada por este, procede recordar, en primer término, que, como se desprende de los apartados 31 y 33 a 36 de la presente sentencia, en virtud de los artículos 12, apartado 5, y 15, apartados 1 y 3, de dicho Reglamento, se reconoce al interesado el derecho a obtener una primera copia a título gratuito de sus datos personales objeto de tratamiento.
58 No obstante, la segunda frase del artículo 15 , apartado 3 , del RGPD autoriza al responsable del tratamiento a percibir por cualquier otra copia un canon razonable basado en los costes administrativos. Por otra parte, el artículo 12 , apartado 5 , del RGPD, interpretado a la luz del artículo 15, apartados 1 y 3, de dicho Reglamento, permite al responsable del tratamiento protegerse frente al ejercicio abusivo del derecho de acceso, exigiendo el pago de un canon razonable en caso de solicitud manifiestamente infundada o excesiva.
59 En segundo término, en virtud del considerando 4 de ese Reglamento, el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. Por ello, el RGPD respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta de los Derechos Fundamentales conforme se consagran en los Tratados [sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales), C‑175/20, EU:C:2022:124, apartado 53].
60 De hecho, el artículo 15 , apartado 4 , del RGPD dispone que “el derecho a obtener copia [] no afectará negativamente a los derechos y libertades de otros”.
61 Asimismo, el artículo 23 , apartado 1 , letra i), del RGPD recuerda que el alcance de las obligaciones y derechos establecidos, en particular, en el artículo 15 del RGPD puede limitarse “cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar [] la protección [] de los derechos y libertades de otros”.
62 Por consiguiente, de los apartados 59 a 61 de la presente sentencia se desprende que el derecho, reconocido al interesado, a obtener una primera copia a título gratuito de sus datos personales objeto de tratamiento no es absoluto.
63 En tercer término, solo cabe justificar una limitación de ese derecho por consideraciones relativas, en particular, a la protección de los derechos y libertades de otros, siempre y cuando tal limitación respete en lo esencial el referido derecho y sea una medida necesaria y proporcionada para salvaguardar dicha protección, como establece el artículo 23 , apartado 1 , letra i), del RGPD.
64 Ahora bien, como se desprende de la resolución de remisión, la norma en materia de costes prevista en el artículo 630g, apartado 2, segunda frase, del BGB permite al facultativo cargar al paciente los costes derivados de la entrega de una primera copia de su historia clínica. El órgano jurisdiccional remitente subraya que esta norma tiene por objeto, esencialmente, proteger los intereses económicos de los facultativos, lo que disuade a los pacientes de solicitar innecesariamente copias de su historia clínica. En la medida en que la normativa nacional controvertida en el litigio principal tenga efectivamente como objetivo proteger los intereses económicos de los facultativos, extremo que corresponde comprobar al órgano jurisdiccional remitente, tales consideraciones no pueden estar comprendidas entre los “derechos y libertades de otros” contemplados en el artículo 23 , apartado 1 , letra i), del RGPD.
65 En efecto, en primer lugar, tal normativa no solo produce efectos disuasorios para las solicitudes innecesarias, sino también para las solicitudes dirigidas a obtener por una razón legítima una primera copia a título gratuito de los datos personales tratados. Por consiguiente, vulnera en todo caso el principio de gratuidad de la primera copia y compromete con ello la eficacia del derecho de acceso previsto en el artículo 15 , apartado 1 , del RGPD, al igual que la protección garantizada por dicho Reglamento.
66 En segundo lugar, de la resolución de remisión no se desprende que los intereses protegidos por la normativa nacional vayan más allá de consideraciones de orden puramente administrativo o económico.
67 A este respecto, es preciso subrayar que el legislador de la Unión ha tenido en cuenta los intereses económicos de los responsables del tratamiento, tal y como se desprende de los artículos 12 , apartado 5 , y 15 , apartado 3 , segunda frase, del RGPD, que, como se ha recordado en el apartado 58 de la presente sentencia, definen las circunstancias en las que el responsable del tratamiento puede exigir el pago de los gastos derivados de la entrega de una copia de los datos personales objeto de tratamiento.
68 En estas circunstancias, el objetivo relativo a la protección de los intereses económicos de los facultativos no puede justificar una medida que lleve a comprometer el derecho a obtener a título gratuito una primera copia y, de este modo, la eficacia del derecho de acceso del interesado a sus datos personales objeto de tratamiento.
69 Habida cuenta de todas las consideraciones anteriores, procede responder a la segunda cuestión prejudicial que el artículo 23 , apartado 1 , letra i), del RGPD debe interpretarse en el sentido de que una normativa nacional adoptada antes de la entrada en vigor de ese Reglamento puede estar comprendida en el ámbito de aplicación de dicha disposición. No obstante, tal facultad no permite adoptar una normativa nacional que, con el fin de proteger los intereses económicos del responsable del tratamiento, imponga al interesado los gastos de una primera copia de sus datos personales objeto del tratamiento.
Tercera cuestión prejudicial
70 Mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 15 , apartado 3 , primera frase, del RGPD debe interpretarse en el sentido de que, en el marco de una relación médico-paciente, el derecho a obtener una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una copia íntegra de los documentos que figuran en su historia clínica y que contengan sus datos personales o únicamente una copia de esos datos como tales.
71 De entrada, el Tribunal de Justicia ha declarado que, en virtud de su tenor, el artículo 15 , apartado 3 , primera frase, del RGPD confiere al interesado el derecho a obtener una reproducción fiel de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones que deben calificarse de “tratamiento” por parte del responsable de ese tratamiento (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 28).
72 Seguidamente, el artículo 15 del RGPD no puede interpretarse en el sentido de que consagre en su apartado 3, primera frase, un derecho distinto del previsto en su apartado 1. Por otra parte, el término “copia” no se refiere a un documento como tal, sino a los datos personales que este contiene y que deben ser completos. Por lo tanto, la copia debe contener todos los datos personales objeto de tratamiento (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 32).
73 Por último, por lo que respecta a los objetivos del artículo 15 del RGPD, este tiene como finalidad reforzar y especificar los derechos de los interesados. Así pues, el derecho de acceso previsto en dicha disposición debe permitir al interesado cerciorarse de que los datos personales que le conciernen son exactos y de que son tratados lícitamente. Por otra parte, la copia de los datos personales objeto de tratamiento, que el responsable del tratamiento debe facilitar en virtud del artículo 15 , apartado 3 , primera frase, del RGPD, debe presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de ese Reglamento y, por consiguiente, debe reproducir de forma íntegra y fiel esos datos (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartados 33, 34 y 39).
74 En particular, para garantizar que la información facilitada por el responsable del tratamiento sea fácil de entender, como exige el artículo 12 , apartado 1 , del RGPD, en relación con el considerando 58 de ese Reglamento, la reproducción de extractos de documentos, o incluso de documentos enteros, que contengan, entre otros, los datos personales objeto de tratamiento puede resultar indispensable en el supuesto de que la contextualización de los datos tratados sea necesaria para garantizar su inteligibilidad (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 41).
75 Por consiguiente, el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción fiel e inteligible de todos esos datos. Este derecho incluye el de obtener la copia de extractos de documentos, o incluso de documentos enteros, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 45).
76 Por lo que se refiere a la información controvertida en el asunto principal, procede señalar que el RGPD identifica elementos de los que el demandante en el litigio principal debería poder solicitar una copia. Así, en lo que atañe a los datos personales relativos a la salud, el considerando 63 de dicho Reglamento especifica que el derecho de acceso de los interesados incluye “los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas”.
77 A este respecto, como señala, en esencia, el Abogado General en los puntos 78 a 80 de sus conclusiones, debido a la sensibilidad de los datos personales relativos a la salud de las personas físicas, el legislador de la Unión ha destacado de este modo la importancia de que el acceso de estas últimas a sus datos que figuran en su historia clínica se realice de manera tan completa y exacta como sea posible, pero también de forma inteligible.
78 Pues bien, en el caso de los resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas a un paciente, que incluyen, por regla general, numerosos datos técnicos e incluso imágenes, la entrega de un mero resumen o de una compilación de estos datos por el médico, con el fin de presentarlos en forma sintética, podría crear el riesgo de que se omitan o se reproduzcan incorrectamente determinados datos pertinentes o, en todo caso, de que se dificulte al paciente tanto la comprobación de su exactitud y exhaustividad como su comprensión.
79 Habida cuenta de todas las consideraciones anteriores, procede responder a la tercera cuestión prejudicial que el artículo 15 , apartado 3 , primera frase, del RGPD debe interpretarse en el sentido de que, en el marco de una relación médico-paciente, el derecho a obtener una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción fiel e inteligible de todos esos datos. Este derecho conlleva el de obtener una copia íntegra de los documentos recogidos en su historia clínica que contengan, entre otros, dichos datos, si la entrega de tal copia es necesaria para permitir al interesado verificar su exactitud y exhaustividad, así como para garantizar su inteligibilidad. Por lo que respecta a los datos relativos a la salud del interesado, este derecho incluye, en todo caso, el de obtener una copia de los datos de su historia clínica que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas.
Costas
80 Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Primera) declara:
1) Los artículos 12, apartado 5, y 15, apartados 1 y 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
deben interpretarse en el sentido de que
la obligación de facilitar al interesado gratuitamente una primera copia de sus datos personales objeto de tratamiento se impone al responsable del tratamiento aunque dicha solicitud esté motivada por un fin ajeno a los mencionados en el considerando 63, primera frase, de ese Reglamento.
2) El artículo 23 , apartado 1 , letra i), del Reglamento 2016/679
debe interpretarse en el sentido de que
una normativa nacional adoptada antes de la entrada en vigor de ese Reglamento puede estar comprendida en el ámbito de aplicación de dicha disposición. No obstante, tal facultad no permite adoptar una normativa nacional que, con el fin de proteger los intereses económicos del responsable del tratamiento, imponga al interesado los gastos de una primera copia de sus datos personales objeto del tratamiento.
3) El artículo 15 , apartado 3 , primera frase, del Reglamento 2016/679
debe interpretarse en el sentido de que,
en el marco de una relación médico-paciente, el derecho a obtener una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción fiel e inteligible de todos esos datos. Este derecho conlleva el de obtener una copia íntegra de los documentos recogidos en su historia clínica que contengan, entre otros, dichos datos, si la entrega de tal copia es necesaria para permitir al interesado verificar su exactitud y exhaustividad, así como para garantizar su inteligibilidad. Por lo que respecta a los datos relativos a la salud del interesado, este derecho incluye, en todo caso, el de obtener una copia de los datos de su historia clínica que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas.
