62021CC0667
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
M. CAMPOS SÁNCHEZ-BORDONA
fremsat den 25. maj 2023 (
1
)
Sag C-667/21
ZQ
mod
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(anmodning om præjudiciel afgørelse indgivet af Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland))
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – personlige helbredsoplysninger – vurdering af en ansats erhvervsevne – en sygekasses medicinske tjeneste – behandling af personoplysninger om de ansattes helbred – ret til erstatning – betydningen af graden af skyld«
1.
Denne anmodning om præjudiciel afgørelse omhandler fortolkningen af forordning (EU) 2016/679 (
2
) i forbindelse med a) behandling af personlige helbredsoplysninger og b) erstatning for den skade, der er lidt som følge af en (angivelig) overtrædelse af databeskyttelsesforordningen.
2.
Selv om Domstolen allerede har taget stilling til de bestemmelser i databeskyttelsesforordningen (
3
), der berører disse spørgsmål, er spørgsmålene i denne præjudicielle forelæggelse uden fortilfælde, med undtagelse af det fjerde spørgsmål (
4
).
I. Retsforskrifter
A.
EU-retten. Databeskyttelsesforordningen
3.
4., 10., 35., 51.-54. og 146. betragtning, som findes i præamblen til databeskyttelsesforordningen, er relevante med henblik på denne sag.
4.
Artikel 9 (»Behandling af særlige kategorier af personoplysninger«) bestemmer:
»1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.
2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:
[…]
b)
Behandling er nødvendig for at overholde den dataansvarliges eller den registreredes arbejds-, sundheds- og socialretlige forpligtelser og specifikke rettigheder, for så vidt den har hjemmel i EU-retten eller medlemsstaternes nationale ret eller en kollektiv overenskomst i medfør af medlemsstaternes nationale ret, som giver fornødne garantier for den registreredes grundlæggende rettigheder og interesser.
[…]
h)
Behandling er nødvendig med henblik på forebyggende medicin eller arbejdsmedicin til vurdering af arbejdstagerens erhvervsevne, medicinsk diagnose, ydelse af social- og sundhedsomsorg eller ‑behandling eller forvaltning af social- og sundhedsomsorg og ‑tjenester på grundlag af EU-retten eller medlemsstaternes nationale ret eller i henhold til en kontrakt med en sundhedsperson og underlagt de betingelser og garantier, der er omhandlet i stk. 3.
[…]
3.   Personoplysninger som omhandlet i stk. 1 kan behandles til de formål, der er omhandlet i stk. 2, litra h), hvis disse oplysninger behandles af en fagperson, der har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer, eller under en sådan persons ansvar, eller af en anden person, der også har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer.
4.   Medlemsstaterne kan opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger.«
5.
Artikel 82 (»Ret til erstatning og erstatningsansvar«) foreskriver:
»1.   Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.
[…]
3.   En dataansvarlig eller databehandler er fritaget for erstatningsansvar i henhold til stk. 2, hvis det bevises, at den pågældende ikke er skyld i den begivenhed, der medførte skaden.
[…]«
B.
National ret. Sozialgesetzbuch Fünftes Buch (
5
)
6.
I henhold til § 278, stk. 1, første punktum, oprettes der i Tyskland i hver delstat en medicinsk tjeneste (
6
), som er et offentligretligt organ, under sygekasserne (
7
). En af deres opgaver, som er fastlagt ved lov, er at udfærdige erklæringer med henblik på at afklare tvivlen om forsikredes manglende erhvervsevne.
7.
Sygekasserne er i henhold til § 275, stk. 1, første punktum, nr. 3, litra b), forpligtet til i bestemte tilfælde i tilfælde af lægeligt attesteret manglende erhvervsevne hos en forsikret at indhente en erklæring hos MDK med henblik på at afklare tvivl om den manglende erhvervsevne.
II. De faktiske omstændigheder, tvisten i hovedsagen og de præjudicielle spørgsmål
8.
ZQ har været ansat hos MDK i Nordrhein (Tyskland) siden 1991 som systemadministrator og medarbejder ved helpdesk.
9.
MDK udfærdiger erklæringer om forsikredes manglende erhvervsevne. Disse erklæringer kan omfatte oplysninger om MDK’s ansattes helbred.
10.
Behandlingen af oplysninger følger bl.a. disse regler, der er fastsat i en intern tjenesteanvisning (
8
):
–
De ansattes »sociale data« kan hverken indsamles eller lagres på den pågældendes arbejdssted. Disse data, der genereres, når en sygekasse anmoder MDK om en sagkyndig erklæring, må desuden ikke forveksles med de oplysninger om arbejdstagerne, der behandles i forbindelse med ansættelses- eller tjenesteforholdet.
–
Anmodninger om erklæringer om MDK’s ansatte betegnes som »specialsager« og behandles udelukkende af en særlig organisationsenhed (
9
).
–
Når der er udfærdiget en erklæring om en af MDK’s ansatte, arkiveres de relevante dokumenter samt erklæringen i MDK’s elektroniske arkiv. Oplysningerne kan kun henføres til konkrete personer ved hjælp af en særlig nøgle, som kræver en adgangstilladelse, der følger en teknisk procedure.
11.
De ansatte i »IT-afdelingen« under organisationsenheden »specialsager« har efter arkiveringen, idet de er underlagt tavshedspligt, mulighed for at tilgå de erklæringer, der er udarbejdet på grundlag af en opgave, som vedrører MDK’s egne ansatte.
12.
ZQ var fra den 22. november 2017 uafbrudt syg og uarbejdsdygtig.
13.
Fra den 24. maj 2018 (
10
) modtog ZQ sygedagpenge fra sin sygekasse. Den 6. juni 2018 anmodede sidstnævnte MDK om at udfærdige en erklæring med henblik på at afklare tvivl om ZQ’s manglende erhvervsevne.
14.
MDK påtog sig opgaven og tildelte den til organisationsenheden »specialsager«. Den 22. juni 2018 udfærdigede en læge, som var ansat hos MDK, og som tilhørte den nævnte organisationsenhed, en erklæring, der indeholdt ZQ’s diagnose. Med henblik på udstedelsen af denne erklæring telefonerede lægen bl.a. med ZQ’s behandlende læge og indhentede relevante oplysninger fra denne.
15.
MDK arkiverede erklæringen elektronisk.
16.
ZQ fik gennem sin behandlende læge kendskab til opkaldet fra MDK’s læge.
17.
Den 1. august 2018 ringede ZQ til en kollega i MDK’s IT-afdeling og spurgte, om der var gemt en erklæring om ham. Efter en søgning i arkivet svarede kollegaen bekræftende på dette spørgsmål. Efter anmodning fra ZQ fotograferede kollegaen erklæringen og sendte billederne til denne.
18.
Ved skrivelse af 15. august 2018 krævede ZQ af MDK forgæves betaling af en erstatning på 20000 EUR i henhold til databeskyttelsesforordningens artikel 82.
19.
Den 17. oktober 2018 anlagde ZQ sag ved Arbeitsgericht Düsseldorf (arbejdsretten i Düsseldorf, Tyskland). I forbindelse med dette søgsmål nedlagde ZQ desuden påstand om betaling af erstatning svarende til sit indkomsttab (
11
).
20.
Under retssagen opsagde MDK ZQ’s ansættelsesforhold.
21.
ZQ fik hverken medhold i første instans eller i ankesagen (
12
).
22.
ZQ har iværksat appel ved Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland), som har forelagt Domstolen nedenstående spørgsmål:
»1)
Skal [databeskyttelsesforordningens] artikel 9, stk. 2, litra h), […] fortolkes således, at en sygekasses medicinske tjeneste ikke må behandle sin arbejdstagers helbredsoplysninger, som er en betingelse for vurderingen af den pågældende arbejdstagers erhvervsevne?
2)
Såfremt Domstolen besvarer det første spørgsmål benægtende med den konsekvens, at en undtagelse i henhold til databeskyttelsesforordningens artikel 9, stk. 2, litra h), fra det i databeskyttelsesforordningens artikel 9, stk. 1, fastsatte forbud mod behandling af helbredsoplysninger kommer i betragtning: Skal der i et tilfælde som det foreliggende ud over de i databeskyttelsesforordningens artikel 9, stk. 3, fastsatte bestemmelser også tages hensyn til andre databeskyttelsesretlige bestemmelser, og i givet fald hvilke?
3)
Såfremt Domstolen besvarer det første spørgsmål benægtende med den konsekvens, at en undtagelse i henhold til databeskyttelsesforordningens artikel 9, stk. 2, litra h), fra det i databeskyttelsesforordningens artikel 9, stk. 1, fastsatte forbud mod behandling af helbredsoplysninger kommer i betragtning: Afhænger lovligheden af behandlingen af helbredsoplysninger i et tilfælde som det foreliggende desuden af, at mindst en af betingelserne i databeskyttelsesforordningens artikel 6, stk. 1, er opfyldt?
4)
Har databeskyttelsesforordningens artikel 82, stk. 1, special- eller generalpræventiv karakter, og skal der tages hensyn til dette ved fastsættelsen af størrelsen af den immaterielle skade, som den dataansvarlige, henholdsvis databehandleren pålægges at erstatte på grundlag af databeskyttelsesforordningens artikel 82, stk. 1?
5)
Afhænger fastsættelsen af størrelsen af den immaterielle skade, der skal erstattes på grundlag af databeskyttelsesforordningens artikel 82, stk. 1, af graden af den dataansvarliges henholdsvis databehandlerens skyld? Må der [navnlig] tages hensyn til en ikke foreliggende eller ringe skyld hos den dataansvarlige henholdsvis databehandleren til fordel for denne?«
III. Retsforhandlingerne for Domstolen
23.
Anmodningen om præjudiciel afgørelse indgik til Domstolen den 8. november 2021.
24.
Der er indgivet skriftlige indlæg af ZQ, MDK, Irland, den italienske regering og Europa-Kommissionen.
25.
Det er ikke blevet anset for nødvendigt at afholde et retsmøde.
26.
Som Domstolen har anmodet om, berører dette forslag til afgørelse ikke det fjerde præjudicielle spørgsmål (
13
).
IV. Bedømmelse
A.
Det første præjudicielle spørgsmål
27.
Den forelæggende ret ønsker oplyst, om databeskyttelsesforordningens artikel 9, stk. 2, litra h), er til hinder for, at MDK behandler sin arbejdstagers helbredsoplysninger, når disse er en betingelse for vurderingen af den pågældendes erhvervsevne. Den forelæggende ret har således rejst tvivl om, hvorvidt behandlingen var lovlig, på grund af den enhed, der foretog den (
14
).
28.
Databeskyttelsesforordningens artikel 9 gælder for særlige kategorier af personoplysninger, f.eks. helbredsoplysninger. Denne bestemmelse fastsætter et generelt forbud mod behandling af »følsomme« oplysninger (stk. 1) og foretager en udtømmende opregning af de forhold, hvorunder det generelle forbud ikke finder anvendelse (stk. 2).
29.
Databeskyttelsesforordningens artikel 9, stk. 2, litra h), indeholder nærmere bestemt en undtagelse (fra det generelle forbud) for behandling af personoplysninger »med henblik på forebyggende medicin eller arbejdsmedicin til vurdering af arbejdstagerens erhvervsevne, medicinsk diagnose, ydelse af social- og sundhedsomsorg eller ‑behandling«.
30.
Denne bestemmelse giver efter min opfattelse tilstrækkelig dækning for MDK’s handlinger, der er genstand for tvisten (
15
). Det er uden betydning, at den dataansvarlige samtidig er den registreredes arbejdsgiver, for så vidt som MDK ikke handler i egenskab af den pågældendes arbejdsgiver, men derimod som den medicinske tjeneste under den sygekasse, som den pågældende var forsikret hos (
16
).
31.
Jeg kan ikke se nogen grund til at fortolke databeskyttelsesforordningens artikel 9, stk. 2, litra h), således, at denne bestemmelse er til hinder for, at en medicinsk tjeneste behandler helbredsoplysninger om sine ansatte til det i dette litra omhandlede formål. De sædvanlige fortolkningskriterier fører snarere til den modsatte løsning (dvs. at et sådant forbud ikke foreligger).
32.
I betragtning af ordlyden foretager databeskyttelsesforordningens artikel 9, stk. 2, litra h), ingen udelukkelse i denne retning og fastsætter heller ikke en betingelse for behandlingen, hvorefter den dataansvarlige skal være en »neutral tredjepart« (
17
).
33.
Tilblivelseshistorien bag og udviklingen af bestemmelsen vidner heller ikke om et forbud som det, der er nævnt i det første præjudicielle spørgsmål, ej heller om en hensigt om at fastsætte et sådant forbud (
18
).
34.
Således som Domstolen har fastslået (
19
), er formålet med databeskyttelsesforordningens bestemmelser om behandling af helbredsoplysninger at sikre en øget beskyttelse af de registrerede som følge af disse oplysningers særligt følsomme karakter med hensyn til de berørte grundlæggende rettigheder. Med henblik på dette formål er der indført et generelt forbud i databeskyttelsesforordningens artikel 9, stk. 1, som imidlertid ikke er et absolut forbud (
20
).
35.
Ligesom på andre områder inden for behandling af personoplysninger har lovgiver på dette område efter fastlæggelsen af det generelle forbud valgt:
–
at indføre undtagelser i form af en liste over konkrete situationer, der kan opdeles (grosso modo) i undtagelser, hvor den registrerede selv giver samtykke til eller drager fordel af behandlingen, og undtagelser, hvor der foreligger interesser, der går forud for den enkeltes interesser
–
at lade en bestemt form for behandling være underlagt specifikke forholdsregler, der er mere omfattende end dem, der finder anvendelse på de øvrige »ikke-følsomme« personoplysninger, og som supplerer disse (
21
)
–
at give medlemsstaterne beføjelse til at fastsætte andre betingelser, og endda begrænsninger, for behandlingen af personoplysninger; dette gør sig gældende i forbindelse med helbredsoplysninger (artikel 9, stk. 4, i og 53. betragtning, in fine, til databeskyttelsesforordningen) eller i forbindelse med arbejdstageres personoplysninger i ansættelsesforhold (databeskyttelsesforordningens artikel 88) (
22
).
36.
I teorien er der således intet til hinder for, at de specifikke forholdsregler, som jeg netop har nævnt, omfatter en foranstaltning i form af et forbud mod, at en MDK behandler helbredsoplysninger om sine ansatte. Imidlertid er denne mulighed (som EU-lovgiver ikke valgte) efter min opfattelse ikke nødvendig for at sikre det formål, som er nævnt ovenfor.
37.
Jeg er således af den opfattelse, at det forbud, som den forelæggende rets spørgsmål vedrører, ikke er en uundgåelig følge af en teleologisk fortolkning af databeskyttelsesforordningens artikel 9, stk. 2, litra h).
38.
Jeg er heller ikke af den opfattelse, at en systematisk fortolkning af bestemmelsen fører til en anden løsning, af nedenstående grunde:
–
Hvis det teoretisk anerkendtes, at det var korrekt at anse databeskyttelsesforordningens artikel 9, stk. 2, litra b), for det eneste grundlag for, at en arbejdsgiver kan behandle helbredsoplysninger om sine ansatte (
23
), ville dette ikke berøre muligheden for, at selvsamme enhed, ikke længere som arbejdsgiver, men som medicinsk tjeneste, der udfører en opgave for en sygekasse, foretager behandlingen efter en anden undtagelse i samme forordnings artikel 9, stk. 2 (
24
).
–
Databeskyttelsesforordningens artikel 9, stk. 3, fastsætter de betingelser, som aktører, der behandler personlige helbredsoplysninger, skal opfylde. Artikel 9, stk. 2, litra h), henviser udtrykkeligt til stk. 3: Ud fra et subjektivt perspektiv er behandlingen ikke underlagt andre krav (
25
).
39.
Sammenfattende foreslår jeg et benægtende svar på det første præjudicielle spørgsmål (dvs. at det omtvistede forbud ikke findes i databeskyttelsesforordningen), hvorefter det næste spørgsmål kan behandles.
B.
Det andet præjudicielle spørgsmål
40.
Såfremt det første spørgsmål besvares benægtende (således som jeg har foreslået), ønsker den forelæggende ret oplyst, om »der i et tilfælde som det foreliggende ud over de i databeskyttelsesforordningens artikel 9, stk. 3, fastsatte bestemmelser også [skal] tages hensyn til andre databeskyttelsesretlige bestemmelser, og i givet fald hvilke«.
41.
Svaret bør generelt set ikke give anledning til større vanskeligheder (
26
). Domstolen har fastslået, at enhver behandling af personoplysninger skal foregå i overensstemmelse med principperne i databeskyttelsesforordningens artikel 5 og med betingelserne for lovlig behandling i samme forordnings artikel 6 (
27
).
42.
Ifølge den forelæggende ret er overholdelse af tavshedspligten (databeskyttelsesforordningens artikel 9, stk. 3) ikke tilstrækkelig til at beskytte oplysningerne under omstændigheder som de i denne sag foreliggende. Den har foreslået andre supplerende foranstaltninger, der efter dens opfattelse er de eneste, der er egnede til dette formål (
28
).
43.
Jeg er af den opfattelse, at databeskyttelsesforordningens artikel 9, stk. 3, som sådan ikke kan danne grundlag for disse yderligere foranstaltninger. Denne bestemmelses klare ordlyd (som blot præciserer en bestemmelse, der allerede indgik i direktiv 95/46 (
29
)) understøtter ikke forslag såsom det, den forelæggende ret har fremsat.
44.
Disse forslag kan derimod være omfattet af databeskyttelsesforordningens artikel 9, stk. 4. I henhold til denne bestemmelse kan medlemsstaterne indføre »yderligere betingelser, herunder begrænsninger, for behandling af […] helbredsoplysninger« (
30
). Det fremgår imidlertid ikke af forelæggelsesafgørelsen, at dette er sket i Tyskland.
45.
Når dette er sagt, skal behandlingen af personlige helbredsoplysninger af ovennævnte grunde bl.a. overholde princippet i databeskyttelsesforordningens artikel 5, stk. 1, litra f), og de deraf følgende forpligtelser, som er opregnet i samme forordnings kapitel IV.
46.
Den dataansvarlige (
31
) skal desuden gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre, at en konkret behandling er i overensstemmelse med databeskyttelsesforordningen. Dette fastlægges generelt i denne forordnings artikel 24, stk. 1.
47.
Databeskyttelsesforordningens artikel 32, stk. 1, pålægger specifikt den dataansvarlige en pligt til at gennemføre »passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til [risiciene]« for de omhandlede personoplysninger.
48.
Idet disse regler anvendes på hovedsagen, kræver MDK’s egenskab af arbejdsgiver for ZQ, at førstnævnte udviser større omhu i forbindelse med behandlingen af sidstnævntes helbredsoplysninger end normalt, fordi risiciene også er større (
32
).
49.
MDK er ikke ubekendt med denne omstændighed. Når MDK på foranledning af en sygekasse, som en ansat er forsikret hos, udarbejder erklæringer med henblik på at afklare tvivl om den pågældendes (manglende) erhvervsevne, anvender den en række tekniske og organisatoriske ad hoc-foranstaltninger, der har til formål at bringe behandlingen af personlige helbredsoplysninger i overensstemmelse med databeskyttelsesforordningen (
33
).
50.
Disse foranstaltninger skal vurderes af den forelæggende ret, som efter sin vurdering kan fastslå, at de trufne foranstaltninger ikke var tilstrækkelige. På denne baggrund kan det af databeskyttelsesforordningens artikel 9 imidlertid ikke udledes, at MDK’er har pligt til af egen drift at afvise enhver anmodning om en lægeerklæring (vedrørende deres ansatte) fra en sygekasse (
34
).
C.
Det tredje præjudicielle spørgsmål
51.
Såfremt Domstolen besvarer det første spørgsmål benægtende, ønsker den forelæggende ret med sit tredje spørgsmål oplyst, om undtagelsen fra forbuddet mod behandling af helbredsoplysninger »[a]fhænger […] af, at mindst en af betingelserne i databeskyttelsesforordningens artikel 6, stk. 1, er opfyldt«.
52.
Svaret på dette spørgsmål kræver en undersøgelse af forholdet mellem databeskyttelsesforordningens artikel 9, stk. 2, og artikel 6, der vedrører lovlig behandling. Kravet om, at sidstnævnte artikel skal overholdes i forbindelse med enhver behandling af oplysninger, fremgår af de af Domstolens domme, som jeg tidligere har nævnt (
35
).
53.
Navnlig dommen i sag C-439/19 (
36
) fortolkede databeskyttelsesforordningens artikel 10 vedrørende en anden kategori af følsomme personoplysninger (vedrørende straffedomme og lovovertrædelser (
37
)) og fastslog, at databeskyttelsesforordningens artikel 6 finder anvendelse kumulativt med samme forordnings artikel 10.
54.
Kan det samme postulat overføres på de i databeskyttelsesforordningens artikel 9 omhandlede personoplysninger?
55.
Databeskyttelsesforordningens artikel 9 og 10 er ikke opbygget på samme måde. Artikel 10 indeholder en udtrykkelig henvisning til databeskyttelsesforordningens artikel 6, stk. 1, som ikke findes i artikel 9.
56.
Indholdet af databeskyttelsesforordningens 9, stk. 2, og artikel 10 kan heller ikke sammenlignes: Artikel 10 indfører blot en subjektiv begrænsning for behandlingen, mens artikel 9, stk. 2, fastsætter formål (eller omstændigheder), der begrunder en sådan behandling, ligesom artikel 6, stk. 1.
57.
Paralleliteten mellem databeskyttelsesforordningens artikel 6, stk. 1, og artikel 9, stk. 2, er af en sådan art, at det ved første øjekast forekommer, at de forhold, som sidstnævnte opregner, er præciseringer af de betingelser, der fremgår af førstnævnte: De præciseres og gøres samtidig mere bebyrdende.
58.
Tilblivelseshistorien bag og udviklingen af databeskyttelsesforordningens artikel 9 rejser ikke desto mindre tvivl om, hvorvidt forholdet mellem denne artikel og artikel 6 kan forklares med begreberne »særlov« og »generel lov«.
59.
Visse medlemsstaters delegationer har nærmere bestemt foreslået denne fortolkning (
38
). Dokumenter vedrørende forhandlingerne om artikel 9 vidner imidlertid ikke om uenigheder om henvisningen til artikel 6 (
39
), men derimod om omfanget af denne henvisning (kun til stk. 1 eller også til andre stykker?) (
40
). I sidste ende blev henvisningen i artikel 9 til artikel 6 fjernet (
41
), og det blev besluttet at beholde et afsnit i præamblen svarende til den nuværende 51. betragtning til databeskyttelsesforordningen (
42
).
60.
Idéen om kumulation eller komplementaritet mellem de to bestemmelser deles af Det Europæiske Databeskyttelsesråd (
43
) og har modtaget opbakning fra den såkaldte Artikel 29-Gruppe (
44
) med hensyn til artikel 8 i direktiv 95/46 (
45
). Der er imidlertid ikke tale om en opfattelse, der er uomtvistet i retslitteraturen eller i andre relevante fora (
46
).
61.
I betragtning af de forskellige led i databeskyttelsesforordningens artikel 9, stk. 2, er jeg af den opfattelse, at det på baggrund af forholdet mellem denne bestemmelse og artikel 6 reelt ikke er muligt at give et enkelt svar. Med andre ord:
–
Undtagelser fra forbuddet mod behandling såsom de i artikel 9, stk. 2, litra a), c), g) og i) (
47
) fastsatte har en umiddelbar forbindelse til et specifikt retsgrundlag i databeskyttelsesforordningens artikel 6, stk. 1, og indeholder dette retsgrundlag.
–
Det samme er ikke tilfældet for andre undtagelser, der er opregnet i databeskyttelsesforordningens artikel 9, stk. 2, der netop kræver en yderligere begrundelse i henhold til artikel 6, stk. 1. Dette gør sig efter min opfattelse gældende for artikel 9, stk. 2, litra h), som dette præjudicielle spørgsmål omhandler.
62.
Jeg er således af den opfattelse, at det for at sikre, at behandlingen af følsomme oplysninger i henhold til databeskyttelsesforordningens artikel 9, stk. 2, litra h), er lovlig, er nødvendigt at undersøge, hvilket af de i artikel 6, stk. 1, nævnte forhold der begrunder denne behandling i hvert enkelt tilfælde.
63.
Den forelæggende ret har ikke rejst tvivl om, hvorvidt det forholder sig således: På denne baggrund har den derimod fokuseret på at afvise, at den af MDK foretagne behandling er begrundet i artikel 6 (
48
).
64.
Ved første øjekast findes der efter min opfattelse ikke en rangorden mellem de retsgrundlag, der er fastsat i bestemmelsen. En mere tilbundsgående undersøgelse kunne vise, at der er behov for at foretage en nuancering (
49
). Jeg er imidlertid af den opfattelse, at en sådan undersøgelse ville gå ud over, hvad der er nødvendigt for at svare på dette præjudicielle spørgsmål (
50
).
65.
Sammenfattende bør svaret på det tredje præjudicielle spørgsmål vise den forelæggende ret, at undtagelsen fra forbuddet mod behandling af helbredsoplysninger kræver, at mindst en af betingelserne i databeskyttelsesforordningens artikel 6, stk. 1, er opfyldt.
D.
Det femte præjudicielle spørgsmål
66.
Den forelæggende ret ønsker oplyst, om »fastsættelsen af størrelsen af den immaterielle skade, der skal erstattes på grundlag af databeskyttelsesforordningens artikel 82, stk. 1, [afhænger] af graden af den dataansvarliges, henholdsvis databehandlerens skyld«, og navnlig, om »der [må] tages hensyn til en ikke foreliggende eller ringe skyld hos den dataansvarlige henholdsvis databehandleren til fordel for denne«.
67.
Med spørgsmålet tages det for givet, at der er sket en overtrædelse af databeskyttelsesforordningen (
51
), som er begået af en aktør, der er den dataansvarlige, og det ønskes oplyst, om graden af vedkommendes skyld har betydning for fastsættelsen af størrelsen af den skade, der følger af denne overtrædelse. Ifølge den forelæggende ret er det ikke sikkert, at den dataansvarliges manglende eller ringe skyld kan kvalificeres som et belastende forhold.
68.
Spørgsmålet drejer sig bogstavelig talt om fastsættelsen af erstatningen. De forklaringer, der ledsager spørgsmålet, gav imidlertid anledning til en vis forvirring, idet det ikke klart fremgik, om skylden blev anført som en betingelse for tilregnelse af ansvaret eller som et forhold med henblik på fastsættelsen af erstatningens størrelse.
69.
Den forelæggende ret, som af Domstolen blev anmodet om at afklare denne tvetydighed, har anført, at spørgsmålet omhandlede begge aspekter, uden at give yderligere oplysninger om forbindelsen til hovedsagen.
70.
Henset til dette svar foreslår jeg, at de af den forelæggende ret rejste spørgsmål besvares efter behandlingen af de spørgsmål, som MDK har rejst med hensyn til den registreredes eventuelle medvirken til skadens indtræden (
52
). Min gennemgang består af tre dele:
–
I den første del vil jeg behandle tilregnelsen af ansvaret i henhold til databeskyttelsesforordningens artikel 82.
–
I den anden del vil jeg undersøge den betydning, som en søgning efter personoplysninger foretaget af den dataansvarliges ansatte kan have (
53
). Et specifikt, og afgørende, forhold i denne situation er, at denne ansatte foretog søgningen på den registreredes foranledning.
–
I den tredje del vil jeg tage stilling til den indvirkning, som graden af skylden hos den dataansvarlige kan have i forbindelse med den konkrete vurdering af den ikke-økonomiske skade, der giver ret til erstatning.
1. Erstatningsansvaret i databeskyttelsesforordningens artikel 82
71.
Den forelæggende ret er af den opfattelse, at databeskyttelsesforordningens artikel 82, stk. 1, ikke betinger erstatningsansvaret (hos den dataansvarlige (
54
)) af, at der foreligger forsæt eller uagtsomhed eller beviser for dette. Den forelæggende ret har tilføjet, at samme artikels stk. 3 ikke underbygger en anden løsning.
72.
Jeg erkender, at det ikke klart fremgår, hvilken model for erstatningsansvar der anvendes i databeskyttelsesforordningen, og at flere fortolkninger umiddelbart er mulige (
55
). Den forelæggende rets opfattelse er en af disse fortolkninger og er efter min opfattelse berettiget.
73.
En fortolkning af databeskyttelsesforordningens artikel 82, stk. 1, hvorefter denne bestemmelse indfører en anden ordning for erstatningsansvar end den dataansvarliges skyld er efter min opfattelse i overensstemmelse med bestemmelsens ordlyd, understøttes umiddelbart af forarbejderne og tilgodeser navnlig formålet med bestemmelsen. Den kan accepteres, henset til de andre stykker i bestemmelsen samt ordningen som helhed.
a) Ordlydsbaseret argument
74.
Det synspunkt, som den forelæggende ret har fremført, er i overensstemmelse med databeskyttelsesforordningens artikel 82, stk. 1. Retten til erstatning fra den dataansvarlige er uden videre forbundet med den skade, der er lidt som følge af en overtrædelse af databeskyttelsesforordningen.
75.
De øvrige stykker i artikel 82 peger ikke i retning af en anden løsning (
56
). Jeg vil navnlig ikke gå så langt som til at udlede et krav om skyld på grundlag af formuleringen »imputable« [»skyld i«] i artikel 82, stk. 3. Denne formulering findes kun i nogle sprogversioner af databeskyttelsesforordningen; andre sprogversioner anvender derimod formuleringen »responsable« [»ansvarlig«]. I den tyske version anvendes den tekniske term for culpa (»Verschulden«) hverken i artikel 82 eller i præamblen (
57
).
76.
En sammenligning af de forskellige bestemmelser i databeskyttelsesforordningen viser, at den anvendte terminologi ikke altid er entydig, og derfor skal der udvises stor forsigtighed, når der drages konsekvenser af ordlyden. F.eks. i den engelske version anvendes begrebet »responsible« i forskellige betydninger (
58
).
77.
Den manglende nævnelse af den dataansvarliges forsæt eller skyld i databeskyttelsesforordningens artikel 82 står i modsætning til det i artikel 83 anførte med hensyn til administrative bøder: »Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag«, tages der behørigt hensyn til, hvorvidt overtrædelsen af databeskyttelsesforordningen blev begået forsætligt eller uagtsomt (
59
).
78.
Selv om uoverensstemmelserne mellem teksterne mindsker vægten af ordlydskriteriet, understøtter de i det mindste opfattelsen af, at hverken forsæt eller skyld indgår i databeskyttelsesforordningens artikel 82, og at dette fravær er bevidst og ikke kan tilregnes en fejl fra lovgivers side.
b) Forarbejderne
79.
Diskussionen om den ordning for tilregnelse af ansvar, som endelig blev vedtaget i databeskyttelsesforordningen, sløres af de omstændigheder, hvorunder den blev vedtaget i Rådet, med hensyn til situationer, hvor flere aktører foretager behandlingen.
80.
Denne diskussion blev sammenblandet med processuelle betragtninger, og der blev ikke anvendt et begrebsapparat, der gør det muligt at sondre mellem skyldens funktion som grundlag for tilregnelse af ansvaret på den ene side og den manglende skylds funktion med henblik på fritagelsen for dette ansvar som en årsagssammenhæng på den anden side.
81.
Sammenfattende understøtter forarbejderne efter min opfattelse en fortolkning af databeskyttelsesforordningens artikel 82, stk. 1, hvorefter erstatningsansvaret ikke afhænger af den dataansvarliges skyld.
82.
Kommissionens forslag fulgte direktiv 95/46 og nævnte ikke uagtsomhed. I Rådets dokumenter nævnes det, at det omhandlede ansvar skulle udgøres af »strict liability« (
60
).
83.
Et ændringsforslag fra Parlamentets Udvalg om Borgernes Rettigheder og Retlige og Indre Anliggender gav artikel 82 (dengang artikel 77), stk. 1, et indhold, hvorefter ansvaret var knyttet til forsæt eller uagtsomhed (
61
). Det blev ikke vedtaget (
62
).
84.
I Rådet drejede diskussionen om artikel 77 og kriteriet for tilregnelse sig om placeringen og fordelingen af ansvaret, når flere personer deltager i den samme behandlingsaktivitet. I denne forbindelse foreslog formandskabet, at der skulle træffes et valg mellem to muligheder (
63
):
–
Ifølge den første mulighed (
64
) anses enhver dataansvarlig eller databehandler for at være juridisk ansvarlig for hele skaden over for den registrerede (
65
), når de ikke har opfyldt forpligtelser, som de er pålagt i henhold til databeskyttelsesforordningen (
66
). Deres medvirken til skaden, uanset hvor lille den måtte være, gør det muligt for den registrerede at fremsætte krav om betaling af hele erstatningen; såfremt der er flere medvirkende, til hver enkelt af disse (
67
). Den enkelte fritages imidlertid for ansvar, hvis den pågældende beviser, at vedkommende ikke er ansvarlig (»responsible«) for skaden (»0% responsibility«); dette fremgår af den nævnte artikels stk. 3. Modellen beskrives som værende »closer (but certainly not equal to) to the »liability follows fault principle«« (
68
).
–
Den anden mulighed ville for den dataansvarlige indebære en uundgåelig pligt til at yde erstatning til den registrerede for hele skaden i form af et absolut ansvar, eftersom der ikke fandtes muligheder for fritagelse (
69
). Der forelå kun en subsidiær mulighed for, at den registrerede kunne fremsætte krav over for databehandleren (
70
). Der var heller ikke fastsat nogen fritagelser for sidstnævnte.
85.
Den kompromistekst, som formandskabet fremlagde til vedtagelse som generel indstilling (
71
), følger den første mulighed, selv om den styrker fritagelsens undtagelsesvise karakter og vanskelighederne ved bevisførelsen med affattelsen af artikel 77, stk. 3: »[…] if it [den dataansvarlige eller databehandleren] proves that it is not in any way responsible (...)« (
72
). Denne affattelse og den endelig vedtagne artikel stemmer overens.
86.
Sammenfattende taler analysen af det lovgivningsmæssige forløb, der førte til den endelige affattelse af databeskyttelsesforordningen, for, at det ansvar, der er nævnt i denne forordnings artikel 82, stk. 1, ikke er knyttet til den dataansvarliges skyld.
c) Formål
87.
Databeskyttelsesforordningen har indført en ordning, der har til formål at sikre et højt niveau for beskyttelse af fysiske personer og samtidig at fjerne hindringerne for udveksling af personoplysninger (
73
). Inden for denne ordning har artikel 82 et formål om at sikre erstatning for skader med forbehold af, at denne bestemmelse også subsidiært har til formål at være afskrækkende eller forebygge adfærd, der ikke er i overensstemmelse med dens forskrifter (
74
).
88.
Sikring af erstatning er et mål i sig selv: Dette fremgår af den betydning, som lovgiver har tillagt den, samt af en simpel læsning af teksten. I henhold til databeskyttelsesforordningen er det den registreredes ret at modtage erstatning, når der er indtrådt en skade; begrebet skade skal fortolkes bredt, og der skal ydes fuld [og effektiv] erstatning.
89.
Erstatningen er forbundet med målet om at styrke borgernes tillid til det digitale miljø, hvilket generelle formål er nævnt i syvende betragtning til databeskyttelsesforordningen. Den principielle løsning, hvorefter det sikres, at den registrerede ikke uden videre skal bære skader, der følger af en ulovlig behandling af vedkommendes oplysninger, har til formål at styrke denne tillid: den registreredes formue er beskyttet, og det er processuelt set lettere for vedkommende at fremsætte krav.
90.
Det er i overensstemmelse med denne tilgang, at databeskyttelsesforordningens artikel 82, stk. 1, ikke knytter erstatningspligten til en manglende overholdelse af en pligt til at udvise omhu. Lovgiver har bestemt, at en sådan pligt pålægges en aktør, der specifikt har status som vogter eller garant i forholdet og netop kun i betragtning af denne omstændighed.
91.
Det kan således siges, at det, der er relevant med henblik på databeskyttelsesforordningen, er situationen for det offer, der lider skade som følge af overtrædelsen, når ingen bestemmelse pålægger vedkommende en pligt til at bære denne skade.
92.
For ofret er det uden betydning, om den skadevoldende part ved skadens indtræden har handlet culpøst: Det afgørende er, at den dataansvarlige har forvoldt vedkommende en materiel eller immateriel skade som følge af den overtrædelse af databeskyttelsesforordningen, som den dataansvarlige har begået.
93.
De anførte formål er lettere at indfri ved en model, der tilsigter, at den godtgjorte skade:
–
erstattes under alle omstændigheder (medmindre der foreligger en fritagelsesgrund, hvilket er usædvanligt) og
–
giver anledning til en erstatning, som er (forholdsvis) let at opnå, ikke blot fordi den dataansvarliges skyld ikke skal bevises, men derimod fordi tilregnelsen af ansvaret, idet der er sket en overtrædelse og indtrådt en skade i denne forbindelse, ikke afhænger af en grad af skyld.
94.
I forbindelse med tilpasningen til den digitale revolution (
75
) er denne løsning efter min opfattelse sammenhængende. Den hurtige teknologiske udvikling kræver, at manglende forsæt eller uagtsomhed i forbindelse med de mest almindelige former for behandling af oplysninger, der finder sted online, ikke er til hinder for, at der ydes erstatning ved skader, der ellers ikke ville blive dækket.
d) Ordning
95.
Den fortolkning, som jeg foreslår, er mest i overensstemmelse med opbygningen af databeskyttelsesforordningen. Med hensyn til artikel 82 bekræfter denne artikels stk. 3 dette: En dataansvarlig er fritaget, hvis »det bevises, at den pågældende [på ingen måde] er skyld i den begivenhed, der medførte skaden«.
96.
I denne affattelse fremhæves formuleringen »[på ingen måde]«, som tyder på, at modellen ikke omfatter skyld (end ikke ringe skyld) med omvendt bevisbyrde.
97.
En forståelse, hvorefter erstatning ikke afhænger af skylden hos den dataansvarlige, giver artikel 82 en selvstændig betydning i kapitel VIII og endelig i databeskyttelsesforordningen som helhed.
98.
EU-lovgiver antager, at behandlingen af personoplysninger kan være en kilde til risici. Den pålægger de aktører, der foretager behandlingen, at vurdere disse risici samt at træffe og ajourføre passende foranstaltninger med henblik på at forebygge og mindske de risici, som de har konstateret (
76
).
99.
Det er blevet anført, at en model for erstatningsansvar, der er baseret på skyld, fremmer omhu og dermed beskyttelsen mod risici, mens den alternative model, der ikke tager i betragtning, hvordan den pågældende aktør agerede, fjerner sidstnævntes incitament til at agere med forsigtighed (eftersom den pågældende, såfremt der er indtrådt en skade, under alle omstændigheder skal yde erstatning).
100.
Jeg er af den opfattelse, at dette resultat (
77
) er i overensstemmelse med databeskyttelsesforordningen. Artikel 82 indgår i en kompliceret lovgivningsmæssig struktur sammen med offentlig- og privatretlige instrumenter med henblik på beskyttelsen af personoplysninger. Inden for rammerne af denne struktur har uagtsomhed (og forsæt) betydning med henblik på administrative sanktioner. Det er efter min opfattelse ikke nødvendigt, at de også er relevante med henblik på erstatningsansvar (
78
), hvilket ville være i strid med målene med artikel 82 og i øvrigt mindske de praktiske fordele ved det retsmiddel, som denne bestemmelse indfører.
2. Betydningen af den registreredes medvirken
101.
Spørgsmålene om nødvendigheden af den dataansvarliges skyld er i denne sag forbundet med de konsekvenser, der kan opstå som følge af den registreredes medvirken (
79
).
102.
Med henblik på en bedre forståelse af det nedenstående bør det præciseres, at omstændighederne i hovedsagen er blevet anskuet ud fra to scenarier:
–
I det første scenario udgør MDK’s behandling af ZQ’s personoplysninger en overtrædelse af databeskyttelsesforordningen (af artikel 9 eller 6). Denne overtrædelse forvolder i sig selv en skade (
80
).
–
I det andet scenario udgør den beskrevne behandling af oplysninger ikke en overtrædelse af databeskyttelsesforordningen eller forvolder ikke en skade. Denne skade forvoldes som følge af en konkret ansat hos MDK’s søgning efter oplysninger, som den registrerede har anmodet om (
81
).
103.
Efter min opfattelse bør artikel 82, stk. 3 under alle omstændigheder anvendes med henblik på at fastslå betydningen af den registreredes medvirken (såfremt denne medvirken da har betydning) til begåelsen af den overtrædelse, der forvoldte skade, således som den forelæggende synes at anføre (
82
).
104.
Denne bestemmelse opregner hverken specifikke ansvarsfritagelsesgrunde eller eksempler herpå. Det gør 146. betragtning heller ikke (
83
).
105.
På dette punkt adskiller databeskyttelsesforordningen sig tilsyneladende fra direktiv 95/46, hvis artikel 23, stk. 2, indeholdt en tilsvarende regel (
84
) som databeskyttelsesforordningens artikel 82, stk. 3: Som fritagelsesgrunde foreslog 55. betragtning til direktiv 95/46 fejl fra den registreredes side eller force majeure (
85
), som ikke indgår i databeskyttelsesforordningen.
106.
Medmindre jeg tager fejl, fremgår det ikke af forarbejderne til databeskyttelsesforordningen, at der var diskussion om disse to eksempler, der fremgik af Kommissionens forslag (
86
) og blev vedtaget af Parlamentet (
87
).
107.
Deres fjernelse og tilføjelsen af udtrykket »[på ingen måde]« skete i forbindelse med ovennævnte diskussion om, hvordan ansvaret skal reguleres, når behandlingen omfatter flere dataansvarlige eller databehandlere (
88
).
108.
Det fremgår af de tilgængelige dokumenter (
89
), at den dataansvarlige i den endelige ordlyd er omfattet af fritagelsen, hvis den pågældende beviser, at vedkommende [på ingen måde] er ansvarlig (»responsible«) for skaden (»0% responsibility«). Det samme gør sig gældende for databehandleren (
90
).
109.
På dette grundlag er jeg ikke af den opfattelse, at fjernelsen af de to eksempler i præamblen, ligesom tilføjelsen af formuleringen »[på ingen måde]« i samme præambel og i databeskyttelsesforordningens artikel 82, stk. 3, bevirker (eller har til formål), at den registreredes medvirken fjernes fra ansvarsfritagelsesgrundene (
91
).
110.
Det synes snarere at være tilfældet, at den registreredes medvirken fortsat er egnet til, afhængig af den enkelte sag, at ødelægge den nødvendige forbindelse mellem »begivenheden« (databeskyttelsesforordningens artikel 82, stk. 3, anvender denne formulering) og den dataansvarliges skyld. En fremhævelse af undtagelsesklausulens begrænsede karakter er ikke til hinder for, at en bestemt handling fra den registreredes side i sig selv giver anledning til skaden og således er afgørende for, at den dataansvarlige fritages for ansvar.
111.
En systematisk fortolkning understøtter, at der i forbindelse med erstatningsansvar tages hensyn til den registreredes medvirken til skadens indtræden. Inden for ordningen i databeskyttelsesforordningen er enkeltpersoner involveret i beskyttelsen af deres oplysninger og råder i denne forbindelse over instrumenter, der i sig selv udgør rettigheder.
112.
Ud fra et teleologisk synspunkt er jeg af den opfattelse, at databeskyttelsesforordningen har til formål at sikre en højere beskyttelse, men ikke i et sådant omfang, at den dataansvarlige også tilpligtes at yde erstatning for skader, der skyldes begivenheder eller handlinger, der kan tilregnes den registrerede (
92
).
3. Beregning af erstatning. Betydningen af graden af culpa hos den erstatningsansvarlige
113.
Den forelæggende ret har bekræftet, at det femte præjudicielle spørgsmål har til formål at afklare, om graden af den dataansvarliges skyld påvirker beregningen af erstatningen. Det ønskes navnlig oplyst, om der må tages hensyn til en ikke foreliggende eller ringe skyld hos den dataansvarlige til fordel for denne.
114.
Databeskyttelsesforordningens artikel 82 er ganske vist karrig eller direkte tavs for så vidt angår de centrale aspekter af erstatningen, der har betydning for beregningen af dens størrelse. Denne bestemmelse giver ikke retningslinjer til fortolkeren om de elementer, som erstatningen består af (
93
), kriterierne til at vurdere disse elementer (omsætte dem til et beløb) (
94
) eller de forhold, der kan påvirke erstatningens størrelse (
95
).
115.
På trods af dette er jeg af den opfattelse, at databeskyttelsesforordningen giver den registrerede ret til erstatning, hvis størrelse fastsættes i betragtning af den skade, som vedkommende faktisk har lidt. Når det beløb, der objektivt set kompenserer for denne skade, er blevet fastsat, bør det ikke ændres afhængig af den dataansvarliges større eller mindre grad af uagtsomhed.
116.
Til støtte for mit synspunkt henviser jeg mutatis mutandis til det, jeg har anført med hensyn til placeringen af ansvaret hos den dataansvarlige, uafhængigt af dennes skyld, inden for rammerne af databeskyttelsesforordningens artikel 82. Ud fra ofrets synspunkt, hvis (materielle og immaterielle) formue skal holdes skadesløs efter skadens indtræden, må erstatningen for denne ydes uden at være forbundet med den dataansvarliges skyld, uanset graden af denne (
96
).
117.
Den samme løsning følger efter min opfattelse, idet det anføres, at databeskyttelsesforordningens artikel 82 (hvis forarbejder ikke indeholder indikationer, der kan understøtte nogen af synspunkterne (
97
)) adskiller sig fra andre EU-retlige instrumenter, der udtrykkeligt sondrer mellem, om den pågældende »vidste« eller ikke vidste, at han medvirkede til overtrædelsen, i forbindelse med fastsættelsen af erstatningsbeløbet på grundlag af et erstatningsansvar (
98
).
118.
Denne bedømmelse underbygges efter min opfattelse af yderligere to argumenter:
–
Databeskyttelsesforordningens artikel 83 anvender den krænkende parts forsæt eller uagtsomhed til at regulere bødens størrelse (
99
). Lovgiver kunne have anvendt samme kriterium til fastsættelsen af erstatningsansvaret, men gjorde det ikke.
–
Det fremhæves i databeskyttelsesforordningen, at der skal ydes fuld [og effektiv] erstatning (
100
) (146. betragtning og artikel 82, stk. 4, der omhandler en situation, hvor flere dataansvarlige eller databehandlere er involveret i den samme behandling) (
101
). Efter min opfattelse taler betegnelsen »fuld« imod, at erstatningens størrelse reduceres af hensyn til den dataansvarliges mindre grad af uagtsomhed (
102
).
V. Forslag til afgørelse
119.
Henset til de ovenstående betragtninger foreslår jeg, at Domstolen svarer Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager, Tyskland) således:
»Artikel 9, stk. 2, litra h), og artikel 9, stk. 3, samt artikel 82, stk. 1 og 3, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
disse bestemmelser ikke er til hinder for, at en sygekasses medicinske tjeneste behandler en af sine arbejdstageres helbredsoplysninger, når disse er en betingelse for at vurdere den pågældendes erhvervsevne.
Disse bestemmelser tillader en undtagelse til forbuddet mod at behandle personlige helbredsoplysninger, når denne behandling er nødvendig for at vurdere arbejdstagerens erhvervsevne og overholder principperne i artikel 5 og en af betingelserne for lovlig behandling i henhold til artikel 6 i forordning 2016/679.
Graden af den dataansvarliges, henholdsvis databehandlerens skyld har hverken betydning for, om de pågældende ifalder ansvar, eller for fastsættelsen af størrelsen af den immaterielle skade, der skal erstattes på grundlag af artikel 82, stk. 1, i forordning 2016/679.
Den registreredes medvirken til den begivenhed, som erstatningspligten udspringer af, kan afhængig af den pågældende sag medføre, at den dataansvarlige eller databehandleren fritages for erstatningsansvar i henhold til artikel 82, stk. 3, i forordning 2016/679.«
(
1
) – Originalsprog: spansk.
(
2
) – Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
3
) – Og om artikel 8 i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31), den direkte forgænger til databeskyttelsesforordningens artikel 9.
(
4
) – Det fjerde spørgsmål er stort set identisk med det første spørgsmål i sag C-300/21, Österreichische Post (Daño moral derivado del tratamiento de datos personales), i hvilken sag jeg fremsatte mit forslag til afgørelse den 6.10.2022 (EU:C:2022:756) (herefter »forslaget til afgørelse i sag C-300/21«) og hvori Domstolen har afsagt dom den 4.5.2023 (EU:C:2023:370).
(
5
) – Sociallovens femte bog.
(
6
) – Medizinischer Dienst der Krankenversicherung (herefter »MDK«).
(
7
) – Krankenversicherung (herefter »sygekasse«).
(
8
) – »Memorandum om beskyttelse af sociale data om arbejdstagere [hos MDK] og deres familiemedlemmer«, sammenfattet i forelæggelsesafgørelsen, præmis 6 ff.
(
9
) – I det databehandlingssystem, som MDK anvender internt, er der oprettet en virtuel organisationsenhed ved navn »specialsager«, som kun de ansatte i denne organisationsenhed har adgang til.
(
10
) – Efter udløbet (som er fastsat ved lov) af perioden med fortsat løn under sygdom på foranledning af MDK.
(
11
) – Hvis overtrædelserne af databeskyttelsesreglerne ikke havde fundet sted, ville ZQ efter egen opfattelse have kunnet genoptage sit arbejde fra december 2018.
(
12
) – ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18, henholdsvis LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
(
13
) – Med hensyn til indholdet af dette spørgsmål henviser jeg til dom af 4.5.2023, Österreichische Post (Ikke-økonomisk skade i forbindelse med behandling af personoplysninger) (C‑300/21, EU:C:2023:370).
(
14
) – Det nedenstående foregriber ikke besvarelsen af det tredje præjudicielle spørgsmål.
(
15
) – Efter min opfattelse bør denne bestemmelse anvendes frem for databeskyttelsesforordningens artikel 9, stk. 2, litra b). Behandlingen synes ikke at have været nødvendig (hverken for så vidt angår MDK som arbejdsgiver eller ZQ som ansat) med henblik på at overholde forpligtelser eller rettigheder i forbindelse med ansættelsesforholdet.
(
16
) – En behandling af følsomme oplysninger i egenskab af arbejdsgiver (dvs. med henblik på formål, der er forbundet med ansættelsesforholdet) er kun lovlig, hvis den opfylder de betingelser, som databeskyttelsesforordningen fastsætter med henblik på behandling af oplysninger med et andet formål end det, der lå til grund for indsamlingen af disse.
(
17
) – Forelæggelsesafgørelsens præmis 22. Databeskyttelsesforordningen kræver derimod, at den dataansvarlige opfylder andre krav, der er fastlagt i samme forordnings artikel 9, stk. 3; jf. med hensyn til denne bestemmelses rækkevidde punkt 40 ff.
(
18
) – Forgængeren for databeskyttelsesforordningens artikel 9 er artikel 8 i direktiv 95/46. I Kommissionens forslag (forslag til Europa-Parlamentets og Rådets forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse), COM(2012) 11 final, af 25.1.2012, herefter »Kommissionens forslag«) var behandling af personlige helbredsoplysninger omhandlet i artikel 81, der fastsatte begrundelser og angav, at denne handling skal foretages på grundlag af EU-retten eller medlemsstatslovgivning. Det påhviler medlemsstaterne at træffe de nødvendige foranstaltninger til beskyttelse af den registreredes legitime interesser. Indholdet af artikel 81 blev integreret i artikel 9, stk. 2, litra h), og artikel 9, stk. 4, således som det fremgår af dokument nr. 14270/14, fra formandskabet for Rådet til Databeskyttelsesgruppen, af 16.10.2014.
(
19
) – Dom af 24.9.2019, GC m.fl. (Fjernelse af følsomme oplysninger) (C-136/17, EU:C:2019:773, præmis 44): »[…] de særlige krav […] for behandlingen af de […] særlige kategorier af personoplysninger [har til] formål […] at sikre en øget beskyttelse mod sådanne behandlinger, der som følge af disse oplysningers særligt følsomme karakter, således som det ligeledes fremgår af 33. betragtning til […] direktiv [95/46] og af 51. betragtning til denne forordning, kan udgøre et særligt alvorligt indgreb i de grundlæggende rettigheder til respekt for privatliv og beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8«.
(
20
) – Den grundlæggende ret til beskyttelse af personoplysninger har ikke automatisk forrang for enhver anden rettighed, heller ikke når det drejer sig om de særlige kategorier af oplysninger i databeskyttelsesforordningens artikel 9, stk. 1: dom af 24.9.2019, GC m.fl. (Fjernelse af følsomme oplysninger) (C-136/17, EU:C:2019:773, præmis 66-68).
(
21
) – Databeskyttelsesforordningens artikel 9, stk. 3.
(
22
) – I henhold til databeskyttelsesforordningens artikel 88 kan medlemsstaterne »fastsætte mere specifikke bestemmelser for at sikre beskyttelse af rettighederne og frihedsrettighederne i forbindelse med behandling af arbejdstageres personoplysninger i ansættelsesforhold«. Med hensyn til fortolkningen af denne bestemmelse henviser jeg til dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).
(
23
) – Dette synes at være den forelæggende rets opfattelse. Her henviser jeg til fodnote 15 ovenfor.
(
24
) – Jeg er enig med Kommissionen, som har anført, at »[databeskyttelsesforordningens artikel 9,] stk. 2, ikke etablerer et særligt hierarki eller et muligt afhængighedsforhold mellem undtagelserne, der sameksisterer på lige vilkår« (punkt 13 i Kommissionens skriftlige indlæg).
(
25
) – Det kræves ikke, således som det var tilfældet i direktiv 95/46, at behandlingen »foretages af en erhvervsudøvende i sundhedssektoren, der […] har tavshedspligt, eller af en anden person med tilsvarende tavshedspligt« (min fremhævelse). Det kræves imidlertid, at denne behandling foretages af personer, der har tavshedspligt.
(
26
) – Med henvisning til oplysninger, »der […] er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder«, fremgår det af 51. betragtning til databeskyttelsesforordningen, at »[f]oruden de specifikke krav til sådan behandling bør de generelle principper og andre regler i denne forordning finde anvendelse, navnlig for så vidt angår betingelserne for lovlig behandling«.
(
27
) – Dom af 16.1.2019, Deutsche Post (C-496/17, EU:C:2019:26, præmis 57 og den deri nævnte retspraksis). Jf. med hensyn til følsomme oplysninger dom af 24.9.2019, GC m.fl. (Fjernelse af følsomme oplysninger) (C-136/17, EU:C:2019:773, præmis 64), og af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 96, 99, 100 og 102).
(
28
) – Forelæggelsesafgørelsen, præmis 25-27. Den forelæggende ret har nævnt oprettelsen af to uafhængige enheder for »specialsager« og af særskilte IT-afdelinger, når der er tale om erklæringer om ansatte i IT-tjenesterne (såsom ZQ). Det endelige mål er, at ingen ansatte i MDK faktisk kan få adgang til helbredsoplysningerne om en kollega eller kendskab til, at der foreligger en vurdering af sidstnævntes erhvervsevne.
(
29
) – Artikel 8, stk. 3. Databeskyttelsesforordningen har som nævnt udvidet den personkreds, der har tilladelse til at foretage behandlingen.
(
30
) – Stk. 4 blev indsat i databeskyttelsesforordningens artikel 9 på baggrund af et forslag fra Tyskland: dok. nr. 6834/15, fra formandskabet til Rådet, af 9.3.2015.
(
31
) – Den forelæggende ret har kvalificeret MDK således (forelæggelsesafgørelsens præmis 16). Herefter vil jeg således ikke nævnte databehandleren, medmindre det på et tidspunkt er relevant. I princippet kan betragtningerne med hensyn til førstnævnte overføres på sidstnævnte.
(
32
) – Den forelæggende ret er navnlig bekymret for, at en eventuel sikkerhedsbrist kan bevirke, at ZQ’s kolleger får kendskab til vedkommendes helbredstilstand, hvilket kan give anledning til spekulationer om vedkommendes produktivitet. Den forelæggende ret har tilføjet, at oplysninger om den blotte eksistens af en lægeerklæring om uarbejdsdygtighed er følsomme oplysninger, for så vidt som de kan antyde muligheden for, at en sådan uarbejdsdygtighed foreligger (forelæggelsesafgørelsens præmis 26).
(
33
) – Jf. punkt 10.
(
34
) – Forelæggelsesafgørelsens præmis 27.
(
35
) – Jf. fodnote 27 ovenfor. Jf. med hensyn til forholdet mellem databeskyttelsesforordningens artikel 6 og artikel 9 også sag C-252/21, Meta Platforms m.fl. (Condiciones generales para la utilización de una red social). Forslag til afgørelse fra generaladvokat Rantos af 20.9.2022 (C-252/21, EU:C:2022:704).
(
36
) – Dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 96, 99, 100 og 102).
(
37
) – Indholdet af databeskyttelsesforordningens artikel 10 befandt sig i artikel 8 i direktiv 95/46. Sidstnævnte samlede alle de særlige kategorier af oplysninger, selv om den sondrede mellem behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger, som var omhandlet i stk. 5. Den formelle opdeling, der foretages i databeskyttelsesforordningen, skyldes ikke en ændring i opfattelsen af, at personoplysninger vedrørende straffedomme og lovovertrædelser er »følsomme«.
(
38
) – Dok. nr. 17072/4/14 Rev 4, fra formandskabet til De Faste Repræsentanters Komité, af 4.3.2015, fodnote 60.
(
39
) – Der ligesom i den endelige version omhandler lovlig behandling.
(
40
) – Dok. nr. 17072/4/14 Rev 4, fra formandskabet til De Faste Repræsentanters Komité, af 4.3.2015, artikel 9, stk. 2 [»Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]« og fodnote 60.
(
41
) – Fra dok. nr. 6834/15, fra formandskabet til Rådet, af 9.3.2015.
(
42
) – Hvilket ganske vist ikke afklarede tvivlen hos alle delegationerne. Jf. f.eks. dok. nr. 7466/15, fra formandskabet til delegationerne, af 26.3.2015, fodnote 38.
(
43
) – Retningslinjer 03/2020 om behandling af helbredsoplysninger med henblik på videnskabelig forskning i forbindelse med covid-19-udbruddet, april 2020, punkt 15.
(
44
) – »Advice paper on special categories of data«, Ares (2011)444105 – 20/04/2011, s. 5.
(
45
) – Dette synspunkt har Kommissionen ligeledes fremført offentligt: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, afholdt den 10.10.2016, s. 2, og Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, afholdt den 20.2.2018, s. 2.
(
46
) – Bl.a. T. Petri, »Art. 9«, i Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, punkt 26, har talt for kumulation eller komplementaritet, men har imidlertid anerkendt, at der ikke hersker enighed om dette synspunkt. Det modsatte synspunkt fremføres i Håndbog om europæisk databeskyttelseslovgivning fra Den Europæiske Unions Agentur for Grundlæggende Rettigheder, 2018, afsnit 4.1.1.
(
47
) – Henholdsvis den registreredes udtrykkelige samtykke; behandling, der er nødvendig for at beskytte en fysisk eller juridisk persons vitale interesser, når vedkommende ikke er i stand til at give samtykke og behandling, der er nødvendig af hensyn til samfundsinteresser.
(
48
) – Forelæggelsesafgørelsens præmis 30 og 31.
(
49
) – F.eks. om den registreredes samtykke som retsgrundlag for beføjelsen i henhold til artikel 9, stk. 2, litra h), skal være det udtrykkelige samtykke, som denne artikel kræver, eller om et samtykke i henhold til artikel 6, stk. 1, litra a), er tilstrækkeligt.
(
50
) – Et andet, og mere begrænset, spørgsmål er, om det i betragtning af den forelæggende rets argumenter med hensyn til artikel 6, stk. 1, ville være hensigtsmæssigt at afklare betydningen af de deri opregnede forhold, navnlig for så vidt angår litra c) og e). I denne forbindelse henviser jeg til Domstolens praksis: dom af 16.12.2008, Huber (C-524/06, EU:C:2008:724, præmis 62), og af 30.5.2013, Worten (C-342/12, EU:C:2013:355, præmis 37), med hensyn til bestemmelserne i direktiv 95/46, og dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 66 ff.), med hensyn til databeskyttelsesforordningen.
(
51
) – Den forelæggende ret er tilbøjelig til at fastslå en overtrædelse af databeskyttelsesforordningens artikel 9 og 6 som følge af den af MDK foretagne behandling. I forelæggelsesafgørelsens præmis 32 har den anført, at en overtrædelse i sig selv giver ret til erstatning: i præmis 33 har den fremhævet, at en overtrædelse automatisk giver anledning til en skade (»overtrædelsen af databeskyttelsesforordningen har allerede forvoldt en ikke-økonomisk skade, der giver ret til erstatning«). Af de grunde, som jeg anførte i mit forslag til afgørelse i sag C-300/21, deler jeg ikke denne opfattelse.
(
52
) – Punkt 78-80 i MDK’s indlæg. Ifølge MDK var det den registrerede, der selv forårsagede skaden, idet denne ikke anmodede om sagsakterne eller udøvede sin indsigtsret i forhold hertil i overensstemmelse med databeskyttelsesforordningens artikel 15 og i stedet benyttede sig af en kollega i sin enhed til at søge efter de omtvistede oplysninger. Jf. i samme retning appeldom afsagt af LAG Düsseldorf, Urteil vom 11.03.2020 – 12 Sa 186/19], punkt 4.3.4.3.
(
53
) – Den ansatte, som tilhørte den samme afdeling som den registrerede, tilgik oplysningerne i en anden sammenhæng end den, som vedkommende har tilladelse til, dvs. til andre formål end udførelse af det arbejde, der er omhandlet i vedkommendes kontrakt.
(
54
) – [O.a.: ikke relevant for den danske sprogversion].
(
55
) – Idet der ses bort fra de aktører, ifølge hvilke der er tale om et ikke-reguleret aspekt, hersker der forskellige meninger blandt fortalerne for en objektiv ansvarsordning og fortalerne for culpaansvar med omvendt bevisbyrde. Jeg er af den opfattelse, at databeskyttelsesforordningen, således som det er tilfældet med andre sektorspecifikke (civile) ansvarsordninger, ikke fuldt ud er i overensstemmelse med nogen af de to primære teoretiske paradigmer, hvis grænser desuden ikke er ret præcise. Henset til denne forordnings ordlyd synes den at omfatte begge med paradigmer, dog med nuanceringer, der i sidste ende gør modellerne uklare: med hensyn til det første paradigme som følge af den høje standard for omhu, der skal godtgøres for at undgå at blive tilregnet en overtrædelse; med hensyn til det andet som følge af indførelsen af vurderinger af omhu/uagtsomhed i forbindelse med fritagelsesgrundene eller ved konstateringen af en overtrædelse afhængig af den pågældende bestemmelses karakter.
(
56
) – Stk. 2, som kan læses som den anden side af stk. 1, for så vidt som denne bestemmelse omhandler ansvaret set ud fra de forpligtede parters synspunkt, nævner heller ikke et krav om skyld.
(
57
) – I den spanske version findes termen »imputable« [»skyld i«] derimod i databeskyttelsesforordningens artikel 47, stk. 2, litra f), som med hensyn til de oplysninger, som er afgørende for godkendelsen af bindende virksomhedsregler, nævner ansvarsfritagelse i forbindelse med koncerner, der er etableret inden for og uden for EU. I den tyske version er der anvendt en omskrivning (»dem betreffenden Mitglied nicht zur Last gelegt werden kann«).
(
58
) – Jf. artikel 82, stk. 3, artikel 68, stk. 4, eller artikel 75, stk. 6.
(
59
) – Artikel 83, stk. 2, litra b), og artikel 83, stk. 3. Jeg har taget stilling til fortolkningen af denne bestemmelse i forslaget til afgørelse i sag C-807/21, Deutsche Wohnen (EU:C:2023:360).
(
60
) – Bl.a. dok. nr. 17831/13, fra formandskabet for Rådet til Databeskyttelsesgruppen, af 16.12.2013, fodnote 542.
(
61
) – Ændringsforslag nr. 2819, foreslået af Stanimir Ilchev, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), dokument PE501.927v04-00, Amendments (9): »Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence«. Min fremhævelse.
(
62
) – Jf. teksten, der ledsager den lovgivningsmæssige beslutning af 12.3.2014 om Kommissionens forslag (EUT 2017, C 378, s. 399).
(
63
) – Dok. nr. 9083/15, fra formandskabet til RIA-medlemmerne af Databeskyttelsesgruppen, af 27.5.2015. Forskellen mellem mulighederne drejer sig om artikel 77, stk. 3-6. Stk. 1, som fastsætter princippet om, at den dataansvarlige og databehandleren er ansvarlige, og stk. 2, der angiver de materielle rammer for begges ansvar og begrænser den dataansvarliges ansvar, var ens ved begge muligheder.
(
64
) – Ibidem, punkt 5.
(
65
) –
(
66
) – Eller, i databehandlerens tilfælde, har handlet i strid med den dataansvarliges instrukser i henhold til databeskyttelsesforordningen.
(
67
) – Med mulighed for efterfølgende refusion: artikel 77, stk. 6, under den første mulighed.
(
68
) – Dok. nr. 9083/15, fra formandskabet til RIA-medlemmerne af Databeskyttelsesgruppen, af 27.5.2015, punkt 7. Det Forenede Kongeriges delegation havde åbent foreslået et culpaansvar. I betragtning af Det Forenede Kongeriges argumenter blev de øvrige delegationer forelagt et spørgsmål i denne retning (dok. nr. 7722/15, fra formandskabet til Databeskyttelsesgruppen, af 13.4.2015, punkt 10 og 11). Den mulighed, der endelig blev foreslået, synes at følge det kompromis, som den tyske delegation foreslog (dok. nr. 8150/1/15 Rev 1, af 6.5.2015), der sondrede mellem forholdet mellem den dataansvarlige/databehandleren og den registrerede og forholdet den dataansvarlige og databehandleren imellem, og som med hensyn til sidstnævnte fastholdt en tilregnelse baseret på forsæt eller skyld: »[L]iability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation.« Over for den registrerede ville manglende uagtsomhed give mulighed for ansvarsfritagelse.
(
69
) – Ibidem, punkt 6, hvoraf følgende fremgår: »In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages.«
(
70
) – Artikel 77, stk. 4a, under denne mulighed: »If a data subject is not able to bring a claim for compensation against the controller […]«
(
71
) – Dok. nr. 9565/15, fra formandskabet til Rådet, af 11.6.2015.
(
72
) – Min fremhævelse. Samtidig med denne tilføjelse blev eksemplerne på fritagelsesgrunde i 118. betragtning fjernet: jf. punkt 104 ff.
(
73
) – Tiende betragtning til databeskyttelsesforordningen.
(
74
) – Jeg henviser til mit forslag til afgørelse i sag C-300/21. Som jeg anførte deri, ønsker lovgiver at fremme den private håndhævelse af reglerne om beskyttelses af personoplysninger. Til dette formål stiller databeskyttelsesforordningens kapitel VIII instrumenter til rådighed for den registrerede. Det civilretlige erstatningsansvar er et af disse instrumenter, som imidlertid ikke har straffende funktioner.
(
75
) – Dette var et af argumenterne for at gå videre end direktiv 95/46 i Kommissionens forslag.
(
76
) – 77. betragtning ff. til databeskyttelsesforordningen.
(
77
) – Som bør nuanceres: Erstatningsansvaret har en præventiv funktion, for så vidt som det påvirker aktørens beslutning om niveauet for den aktivitet, der skal udføres. Den fortolkning, som jeg foreslår, gør det muligt at knytte databeskyttelsesforordningens artikel 82 til principper for behandlingen som f.eks. formålsbegrænsning, dataminimering og rigtighed [databeskyttelsesforordningens artikel 5, stk. 1, litra b), c) og d)].
(
78
) – Ved at gøre uagtsomhed til et kriterium for tilregnelse af ansvar.
(
79
) – Jf. fodnote 52 ovenfor.
(
80
) – Den forelæggende rets opfattelse (jf. fodnote 51 ovenfor). Efter den forelæggende rets opfattelse bør medvirken fra den registrerede, som anmodede om søgningen efter sine oplysninger, ikke have betydning for tilregnelsen af ansvaret. Det kan den imidlertid have med henblik på fastsættelsen af erstatningen.
(
81
) – MDK’s og den forelæggende rets opfattelse (jf. fodnote 52 ovenfor). Det kan reelt gøres gældende, at »skadeelementet« mangler i dette scenario: volenti non fit iniuria.
(
82
) – Forelæggelsesafgørelsens præmis 40.
(
83
) – I modsætning til andre områder (f.eks. området for produktansvar) er opregningen af fritagelsesgrunde i databeskyttelsesforordningen ikke udtømmende.
(
84
) –
(
85
) – Den registeransvarlige »kan fritages for erstatningsansvar, hvis det bevises, at han ikke er skyld i den forvoldte skade, navnlig hvis der kan henvises til en fejl fra den registreredes side eller et tilfælde af force majeure«. Min fremhævelse.
(
86
) – 118. betragtning til Kommissionens forslag.
(
87
) – 118. betragtning til den tekst, der ledsager Parlamentets lovgivningsmæssige beslutning af 12.3.2014 om Kommissionens forslag.
(
88
) – Punkt 84 ff. Eksemplerne findes i dokumenterne om forhandlinger i Rådet, men ikke længere i kompromisteksten, dok. nr. 9565/15 af 11.6.2015.
(
89
) – Her henviser jeg hovedsageligt til dok. nr. 9083/15, fra formandskabet til RIA-medlemmerne af Databeskyttelsesgruppen, af 27.5.2015.
(
90
) – På grund af sammenhængen (hvori der som nævnt navnlig rettes fokus mod tilfælde, hvor flere aktører foretager behandlingen) kan det med rette udledes, at en mulighed i denne retning for den dataansvarlige ville være at bevise, at skaden alene skyldtes databehandlerens handlinger, og omvendt.
(
91
) – Heller ikke force majeure, som var den anden grund, der udtrykkeligt var nævnt i 55. betragtning til direktiv 95/46 (jf. punkt 105).
(
92
) – Dette berører naturligvis ikke tilfælde, hvor tredjemænd er indblandet. Jf. vedrørende dette aspekt forslag til afgørelse fremsat af generaladvokat Pitruzzella den 27.4.2023 i sagen Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353)
(
93
) – Med henblik på at afklare den tvivl, der herskede i forbindelse med direktiv 95/46, præciseres det i databeskyttelsesforordningen, at denne forordning omhandler immateriel skade. 146. betragtning nævner »enhver skade« og fremhæver, at begrebet »skade« bør fortolkes bredt i lyset af Domstolens praksis. Den nøjagtige rækkevidde af denne angivelse kan stadig diskuteres.
(
94
) – Det fremgår ikke, om der med henblik på at præcisere skadens værdi i det enkelte tilfælde bør anvendes satser eller fortrinsvis engangsbeløb eller andre beregningsmetoder.
(
95
) – Andre forhold kan eventuelt omfatte: a) det, som den forelæggende ret har foreslået, b) forekomsten af skyld hos den registrerede, som MDK har anført i punkt 80 i sit skriftlige indlæg, c) andre forhold, såsom indførelsen af kvantitative lofter for erstatningen, således at aktører ikke på uberettiget vis afskrækkes fra at foretage behandlingsaktiviteter vedrørende oplysninger eller udøve økonomisk virksomhed, som er afhængig af sådanne aktiviteter.
(
96
) – Punkt 87 ff.
(
97
) – Direktiv 95/46 indeholdt ingen bestemmelser herom. Jeg har ikke fundet tegn på en diskussion om dette aspekt i forarbejderne til databeskyttelsesforordningen.
(
98
) – Rådets forordning (EF) nr. 2100/94 af 27.7.1994 om EF-sortsbeskyttelse (EFT 1994, L 227, s. 1), artikel 94, stk. 2, eller Europa-Parlamentets og Rådets direktiv 2004/48/EF af 29.4.2004 om håndhævelsen af intellektuelle ejendomsrettigheder (EUT 2004, L 157, s. 45), artikel 13, 26. betragtning.
(
99
) – Databeskyttelsesforordningens artikel 83, stk. 2, litra b), og 148. betragtning hertil. I denne forbindelse tages der hensyn til kravet om forholdsmæssighed, ikke kun i forhold til begivenheden, men også i betragtning af spørgsmålet, om bøden udgør en uforholdsmæssig stor byrde for en fysisk person. Irland har i punkt 54 i sit skriftlige indlæg foreslået, at dette kriterium anvendes på erstatningsansvaret. For at anse dette for et element, der indgår i artikel 82, mangler ordlydsargumentet også her: Det understøttes hverken af forarbejderne, af formålet med bestemmelsen eller den funktion, som bestemmelsen har i ordningen som helhed.
(
100
) – En [effektiv] erstatning skal være i stand til at opfylde sin funktion, som er at værne om retten til beskyttelse af oplysninger.
(
101
) – Både dataansvarlige og databehandlere er erstatningsansvarlige i henhold til databeskyttelsesforordningens artikel 82, stk. 2 og 3. De hæfter for hele skaden, uanset hvor meget de har bidraget til den.
(
102
) – Jeg udelukker ikke, at forekomsten af andre omstændigheder kan medføre en nedsættelse af beløbet: Her tænker jeg f.eks. på konkrete tilfælde, hvor der sker en afvejning af retten til erstatning (og herigennem til beskyttelse af oplysninger) og andre goder eller rettigheder på samme niveau. I databeskyttelsesforordningen har adjektivet fuld også til formål at sikre, at en bestemt type skader (immateriel skade) dækkes for at undgå, at erstatningen er begrænset til følgeskader (den bør omfatte andre begreber, således som Domstolen har fastslået på andre områder), og for at sikre, at den omstændighed, at flere aktører har foretaget behandlingen, ikke gør det vanskeligere at opnå erstatning, tværtimod.