62023CJ0021_RES
Vec C‑21/23
ND
proti
DR
(návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof)
Rozsudok Súdneho dvora (veľká komora) zo 4. októbra 2024
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Kapitola VIII – Prostriedky nápravy – Predaj liekov lekárnikom prostredníctvom online platformy – Žaloba podaná na občianskoprávnom súde konkurentom tohto lekárnika na základe zákazu nekalých obchodných praktík z dôvodu porušenia povinností stanovených týmto nariadením zo strany lekárnika – Aktívna legitimácia – Článok 4 ods. 15 a článok 9 ods. 1 a 2 – Smernica 95/46/ES – Článok 8 ods. 1 a 2 – Pojem ‚údaje týkajúce sa zdravia‘ – Podmienky spracúvania takýchto údajov“
Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Prostriedky nápravy – Demonštratívna povaha – Vnútroštátna právna úprava umožňujúca konkurentom údajného porušovateľa povinností stanovených nariadením podať žalobu na občianskoprávne súdy na základe zákazu nekalých obchodných praktík – Prípustnosť
(Nariadenie Európskeho parlamentu a Rady 2016/679, články 77 až 80)
(pozri body 53 – 57, 60, 62 – 73, bod 1 výroku)
Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Pojem „údaje týkajúce sa zdravia“ – Informácie o zákazníkoch prevádzkovateľa lekárne, ktorý predáva lieky na online platforme, poskytnuté pri objednávaní týchto liekov – Údaje o mene týchto zákazníkov, adrese dodania ako aj informácie potrebné na individualizáciu liekov – Zahrnutie – Predaj liekov, ktorých výdaj nie je viazaný na lekársky predpis – Neexistencia vplyvu
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 ods. 1 a 15 a článok 9 ods. 1; smernica Európskeho parlamentu a Rady 95/46, článok 8 ods. 1)
(pozri body 84, 88 – 91, bod 2 výroku)
Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie 2016/679 – Spracúvanie osobitných kategórií osobných údajov – Zákaz – Výnimky
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 53, článok 9 ods. 1 a 2; smernica Európskeho parlamentu a Rady 95/46, článok 8 ods. 1 a 2)
(pozri body 86, 87, 92, 93)
Zhrnutie
Veľká komora Súdneho dvora, na ktorý podal Bundesgerichtshof (Spolkový súdny dvor, Nemecko) návrh na začatie prejudiciálneho konania, sa vyjadrila k povahe a rozsahu systému prostriedkov nápravy v oblasti ochrany údajov (
1
), ako aj k pojmu „údaje týkajúce sa zdravia“ (
2
).
ND a DR sú dve fyzické osoby a každá prevádzkuje lekáreň v Nemecku. ND od roku 2017 predáva na online platforme „Amazon‑Marketplace“ lieky, ktorých predaj je vyhradený lekárňam. Pri objednávaní týchto liekov online musia zákazníci ND zadávať informácie, ako je ich meno, adresa dodania a údaje potrebné na individualizáciu uvedených liekov.
Na základe nemeckého práva v oblasti nekalej súťaže (
3
) podal DR proti ND na vnútroštátne občianskoprávne súdy žalobu o zdržanie sa konania. DR tvrdil, že predaj liekov zo strany ND bol nekalý z dôvodu nedodržania zákonnej požiadavky týkajúcej sa získania predchádzajúceho súhlasu zákazníka na spracovanie jeho údajov týkajúcich sa zdravia.
Po tom, čo súdy nižšieho stupňa tejto žalobe vyhoveli, podal ND opravný prostriedok „Revision“ na vnútroštátny súd, ktorý považoval za potrebné obrátiť sa na Súdny dvor s návrhom na začatie prejudiciálneho konania.
Súdny dvor vo svojom rozsudku dospel k záveru, že systém prostriedkov nápravy zavedený GDPR nie je vyčerpávajúci, pričom uznal, že toto nariadenie nebráni tomu, aby členské štáty vo vnútroštátnom práve stanovili možnosť konkurentov údajného porušovateľa hmotnoprávnych ustanovení uvedeného nariadenia napadnúť toto porušenie na súde ako nekalú obchodnú praktiku. Okrem toho sa v ňom objasňuje pojem „údaje týkajúce sa zdravia“.
Posúdenie Súdnym dvorom
V prvom rade Súdny dvor uviedol, že hoci kapitola VIII GDPR osobitne nestanovuje ustanovenie o otvorení, ktoré by členským štátom výslovne umožňovalo stanoviť takúto možnosť opravného prostriedku pre konkurentov, zo znenia a kontextu ustanovení tejto kapitoly VIII vyplýva, že normotvorca Únie ju nechcel vylúčiť. Tento výklad potvrdzujú ciele, ktoré sleduje GDPR.
Na jednej strane totiž žaloba o zdržanie sa konania podaná konkurentom proti podniku na základe zákazu nekalých obchodných praktík z dôvodu údajného porušenia hmotnoprávnych ustanovení GDPR žiadnym spôsobom nenarúša systém prostriedkov nápravy ustanovených v tomto nariadení, ani cieľ zabezpečiť konzistentnú úroveň ochrany fyzických osôb v celej Únii a odstrániť rozdiely, ktoré by bránili voľnému pohybu osobných údajov v rámci vnútorného trhu.
V tejto súvislosti Súdny dvor konštatoval, že takáto žaloba môže byť, hoci aj incidenčne, založená na porušení tých istých ustanovení GDPR, na ktorých by sa mohla zakladať sťažnosť alebo žaloba podaná dotknutými osobami alebo združením zastupujúcim tieto dotknuté osoby. (
4
) Na rozdiel od týchto prostriedkov nápravy, ako sú stanovené v GDPR, žaloba o zdržanie sa konania podaná konkurentom nesleduje ako taká cieľ ochrany základných práv a slobôd dotknutých osôb v súvislosti so spracúvaním ich osobných údajov, ale jej cieľom je zabezpečiť spravodlivú hospodársku súťaž najmä v záujme tohto konkurenta.
Okrem toho možnosť konkurenta podať takúto žalobu na občianskoprávnom súde na základe zákazu nekalých obchodných praktík dopĺňa prostriedky nápravy stanovené v GDPR, ktoré sú v plnej miere zachované a môžu ich vždy uplatniť dotknuté osoby a prípadne združenia, ktoré ich zastupujú. Najmä koexistencia prostriedkov nápravy podľa práva na ochranu údajov a práva hospodárskej súťaže nevytvára riziko pre jednotné uplatňovanie uvedeného nariadenia.
Okrem toho širšia možnosť odvolávať sa na hmotnoprávne ustanovenia GDPR inými osobami ako samotnými dotknutými osobami a subjektmi, organizáciami a združeniami neohrozuje cieľ zabezpečiť jednotnú úroveň ochrany týchto osôb v celej Únii a zabrániť tomu, aby rozdiely bránili voľnému pohybu osobných údajov v rámci vnútorného trhu. Aj keby členské štáty takúto možnosť nestanovili, nemalo by to za následok roztrieštenosť vykonávania ochrany údajov v EÚ, keďže hmotnoprávne ustanovenia GDPR sú pre všetkých prevádzkovateľov záväzné rovnako a ich dodržiavanie zabezpečujú prostriedky nápravy stanovené v tomto nariadení.
Na druhej strane, pokiaľ ide o cieľ zabezpečiť účinnú ochranu dotknutých osôb v súvislosti so spracúvaním ich osobných údajov a potrebný účinok hmotnoprávnych ustanovení GDPR, Súdny dvor poznamenáva, že hoci žaloba o zdržanie sa konania podaná konkurentom údajného porušovateľa ochrany osobných údajov nie je zameraná na tento cieľ, ale na zabezpečenie spravodlivej hospodárskej súťaže, napriek tomu nesporne prispieva k dodržiavaniu týchto ustanovení, a teda k posilneniu práv dotknutých osôb a zabezpečeniu ich vysokej úrovne ochrany. Okrem toho sa môže ukázať, že takáto žaloba o zdržanie sa konania podaná konkurentom, podobne ako žaloba podaná združeniami na ochranu spotrebiteľa, je mimoriadne účinná pri zabezpečovaní takejto ochrany, keďže môže zabrániť veľkému počtu porušení práv jednotlivcov dotknutých spracúvaním ich osobných údajov. (
5
)
Súdny dvor teda konštatoval, že ustanovenia GDPR týkajúce sa systému prostriedkov nápravy sa majú vykladať v tom zmysle, že nebránia vnútroštátnej právnej úprave, ktorá popri intervenčných právomociach dozorných orgánov, ktoré sú príslušné na monitorovanie a vykonávanie nariadenia a možnostiach dotknutých osôb na právnu ochranu, priznáva konkurentom údajného porušovateľa ochrany osobných údajov oprávnenie podať proti nemu žalobu na občianskoprávnom súde z dôvodu porušenia uvedeného nariadenia a na základe zákazu nekalých obchodných praktík.
Po druhé, pokiaľ ide o pojem „údaje týkajúce sa zdravia“, Súdny dvor konštatoval, že tento pojem zahŕňa údaje, ktoré zákazník zadáva na online platforme pri objednávaní liekov, ktorých predaj je vyhradený lekárňam. Tieto údaje totiž môžu prostredníctvom myšlienkového pochodu porovnania alebo vyvodenia súvislostí odhaliť informácie o zdravotnom stave dotknutej osoby, (
6
) pokiaľ táto objednávka znamená vytvorenie prepojenia medzi liekom, jeho terapeutickými indikáciami alebo jeho použitím a fyzickou osobou identifikovanou alebo identifikovateľnou na základe prvkov, ako je meno tejto osoby alebo dodacia adresa.
Okrem toho Súdny dvor rozhodol, že v tejto súvislosti je irelevantné, že predaj objednaných liekov nie je viazaný na lekársky predpis, a teda že môžu byť určené nie zákazníkovi, ktorý ich objednáva, ale tretím osobám. Z toho vyplýva, že ak používateľ online platformy oznámi osobné údaje pri objednávaní liekov, ktorých predaj je vyhradený lekárňam a nie je viazaný na lekársky predpis, spracovanie týchto údajov prevádzkovateľom lekárne, ktorá dané lieky predáva prostredníctvom tejto online platformy, sa musí považovať za spracovanie údajov týkajúcich sa zdravia, (
7
) keďže takéto spracúvanie môže odhaliť informácie o zdravotnom stave fyzickej osoby bez ohľadu na to, či sa tieto informácie týkajú tohto používateľa alebo inej osoby, pre ktorú používateľ zadáva objednávku. (
8
)
Výklad, ktorý by viedol k rozlišovaniu podľa druhu príslušného lieku a podľa toho, či jeho predaj je alebo nie je viazaný na lekársky predpis, by totiž nebol v súlade s cieľom vysokej úrovne ochrany základných práv a slobôd fyzických osôb, a najmä ich právom na súkromie, pokiaľ ide o spracovanie ich osobných údajov. Takýto výklad by bol navyše v rozpore s účelom článku 8 ods. 1 smernice 95/46 a článku 9 ods. 1 GDPR, ktorým je zaručiť zvýšenú ochranu proti spracúvaniu, ktoré z dôvodu osobitnej citlivosti údajov, ktoré sú jeho predmetom, môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov. (
9
) Z tohto dôvodu informácie, ktoré zákazníci zadávajú pri objednávaní liekov online, ktorých predaj je vyhradený lekárňam a nie je viazaný na lekársky predpis, predstavujú údaje týkajúce sa zdravia, aj keď sú tieto lieky určené týmto zákazníkom len s určitou pravdepodobnosťou, a nie s absolútnou istotou.
Súdny dvor dodal, že nemožno vylúčiť, že aj keď sú takéto lieky určené iným osobám ako zákazníkom, je možné tieto osoby identifikovať a vyvodiť závery o ich zdravotnom stave. Tak to môže byť napríklad v prípade, keď sa predmetné lieky nedodávajú do domácnosti zákazníka, ktorý si ich objednal, ale do domácnosti inej osoby, alebo keď bez ohľadu na adresu dodania zákazník v objednávke alebo v komunikácii týkajúcej sa tejto objednávky odkázal na inú identifikovateľnú osobu, napríklad na člena svojej rodiny.
Súdny dvor napokon poznamenal, že skutočnosť, že predmetné informácie predstavujú údaje týkajúce sa zdravia, nebráni ich spracovaniu, najmä v súvislosti s riadením zdravotníckych služieb a systémov zdravotnej starostlivosti, ak je splnená jedna z podmienok stanovených v tejto súvislosti. (
10
) Na jednej strane to môže byť najmä vtedy, ak dotknutá osoba výslovne súhlasí so spracovaním týchto osobných údajov pri jednej alebo viacerých príležitostiach po tom, ako jej boli jasne, úplne a zrozumiteľne vysvetlené konkrétne okolnosti a účely. Na druhej strane môže byť takéto spracúvanie prípustné, ak je nevyhnutné na účely zdravotnej starostlivosti na základe práva Únie, práva členského štátu alebo na základe zmluvy uzavretej so zdravotníckym pracovníkom.
(
1
)	Kapitola VIII nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
2
)	Uvedený v článku 8 ods. 1 smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355), a v článku 9 ods. 1 GDPR.
(
3
)	Gesetz gegen den unlauteren Wettbewerb (zákon o nekalej súťaži) z 3. júla 2004 (BGBl. 2004 I, s. 1414), v znení uplatniteľnom na spor vo veci samej.
(
4
)	Články 77 až 80 GDPR.
(
5
)	Pozri v tomto zmysle rozsudok z 28. apríla 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, body 74 a 75).
(
6
)	V zmysle článku 4 ods. 1 GDPR.
(
7
)	V zmysle článku 8 ods. 1 smernice 95/46 a článku 9 ods. 1 GDPR.
(
8
)	Pozri v tomto zmysle rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C‑252/21, EU:C:2023:537, bod 73).
(
9
)	Pozri rozsudok z 1. augusta 2022, Vyriausioji tarnybinės aikos komisija (C‑184/20, EU:C:2022:601, bod 126 a citovaná judikatúra).
(
10
)	Podmienky uvedené v článku 8 ods. 2 smernice 95/46 a v článku 9 ods. 2 GDPR.