62021CC0667
KOHTUJURISTI ETTEPANEK
MANUEL CAMPOS SÁNCHEZ-BORDONA
esitatud 25. mail 2023 (
1
)
Kohtuasi C‑667/21
ZQ
versus
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(eelotsusetaotlus, mille on esitanud Bundesarbeitsgericht (Saksamaa Liitvabariigi kõrgeim töökohus)
Eelotsusemenetlus – Isikuandmete kaitse – Terviseandmed – Töötaja töövõime hindamine – Haigekassa arstliku kontrolli teenus – Töötajate terviseandmete töötlemine – Kahju hüvitamise õigus – Süü suuruse mõju
1.
Käsitletavas eelotsusetaotluses palutakse tõlgendada määrust (EL) 2016/679 (
2
) seoses: a) terviseandmete töötlemisega ja b) isikuandmete kaitse üldmääruse (väidetava) rikkumise tagajärjel kantud kahju hüvitamisega.
2.
Olgugi et Euroopa Kohus on juba käsitlenud isikuandmete kaitse üldmääruse sätteid, (
3
) mis neid küsimusi puudutavad, ei ole käesolevas eelotsusetaotluses esitatud küsimusi, välja arvatud neljas, varem käsitletud. (
4
)
I. Õiguslik raamistik
A.
Liidu õigus. Isikuandmete kaitse üldmäärus
3.
Käesolevas vaidluses puutuvad asjasse isikuandmete kaitse üldmääruse preambulis esitatud põhjendused 4, 10, 35, 51–54 ja 146.
4.
Artiklis 9 („Isikuandmete eriliikide töötlemine“) on sätestatud:
„1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.
2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:
[…]
b)
töötlemine on vajalik seoses vastutava töötleja või andmesubjekti tööõigusest ning sotsiaalkindlustuse ja sotsiaalkaitse valdkonna õigusest tulenevate kohustuste ja eriõigustega niivõrd, kuivõrd see on lubatud liidu või liikmesriigi õigusega või liikmesriigi õiguse kohase kollektiivlepinguga, millega kehtestatakse asjakohased kaitsemeetmed andmesubjekti põhiõiguste ja huvide kaitseks;
[…]
h)
töötlemine on vajalik ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks, meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi võimaldamiseks või tervishoiu- või sotsiaalhoolekandesüsteemi ja -teenuste korraldamiseks, tuginedes liidu või liikmesriigi õigusele või tervishoiutöötajaga sõlmitud lepingule ja eeldusel, et lõikes 3 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud;
[…]
3.   Lõikes 1 osutatud isikuandmeid võib töödelda lõike 2 punktis h osutatud eesmärkidel, kui neid andmeid töötleb töötaja, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel ametisaladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel või kui neid andmeid töötleb mõni teine isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel samuti saladuse hoidmise kohustus.
4.   Liikmesriigid võivad säilitada või kehtestada täiendavad tingimused, sealhulgas piirangud seoses geneetiliste, biomeetriliste või terviseandmete töötlemisega.“
5.
Artiklis 82 („Õigus hüvitisele ja vastutus“) on sätestatud:
„1.   Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.
[…]
3.   Vastutav töötleja või volitatud töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.
[…]“.
B.
Liikmesriigi õigus. Sotsiaalkindlustusseadustiku viies osa (
5
)
6.
Selle seadustiku § 278 lõike 1 esimese lause kohaselt luuakse igal liidumaal avalik-õigusliku asutusena haigekassade (
6
) meditsiiniteenistus (
7
). Nimetatud teenistuse üks seadusest tulenevatest ülesannetest on eksperdiarvamuste koostamine eesmärgiga kõrvaldada kahtlused kindlustatute töövõimetuses.
7.
Seadustiku § 275 lõike 1 esimese lause punkti 3 alapunkt b näeb ette, et juhul, kui kindlustatu töövõimetuse kohta on väljastatud arstitõend, on haigekassad teatavatel juhtudel kohustatud tellima meditsiiniteenistuselt eksperdiarvamuse, et kõrvalda kahtlused kindlustatu töövõimetuses.
II. Asjaolud, vaidlus ja eelotsuse küsimused
8.
ZQ on töötanud Nordreini (Saksamaa) meditsiiniteenistuses alates 1991. aastast IT-osakonna süsteemiadministraatori ja helpdeski töötajana.
9.
Meditsiiniteenistus koostab haigekassadele kindlustatute töövõimetuse kohta eksperdiarvamusi. Neid arvamusi võidakse koostada ka meditsiiniteenistuse enda töötajate tervise kohta.
10.
Andmete töötlemisel järgitakse muu hulgas eeskirju, mis on kehtestatud teenistusesiseses juhises (
8
):
–
töötajate „sotsiaalseid andmeid“ ei saa tema töökohal koguda ega salvestada. Lisaks ei tohi neid andmeid, mis saadakse siis, kui haigekassa tellib meditsiiniteenistuselt eksperdiarvamuse, segi ajada töötajate andmetega, mida töödeldakse töö- või teenistussuhte raames;
–
meditsiiniteenistuse töötajaid puudutavaid arvamuse saamise taotlusi käsitletakse „erijuhtumitena“ ja neid haldab üksnes konkreetne struktuuriüksus; (
9
)
–
pärast meditsiiniteenistuse töötaja kohta eksperdiarvamuse koostamist salvestatakse nii asjaomased dokumendid kui ka eksperdiarvamus meditsiiniteenistuse enda elektroonilisse arhiivi. Dokumentide sidumine konkreetsete isikutega on võimalik vaid erilise võtme kaudu, millele ligipääsu õigust kontrollitakse tehniliselt.
11.
Erijuhtumite struktuuriüksuse IT-osakonna töötajatel, kellel on seadusest tulenev konfidentsiaalsuskohustus, on ligipääs eksperdiarvamustele, mis on tellimuse alusel koostatud meditsiiniteenistuse enda töötajate kohta.
12.
ZQ oli alates 22. novembrist 2017 katkematult haiguslehel ja ta ei olnud võimeline töötama.
13.
Alates 24. maist 2018 (
10
) sai ZQ haigushüvitist haigekassalt, mille juures ta kindlustatud oli. 6. juunil 2018 tellis haigekassa meditsiiniteenistuselt eksperdiarvamuse, et kõrvaldada kahtlused hageja töövõimetuses.
14.
Meditsiiniteenistus nõustus eksperdiarvamust koostama ja määras selle ülesande erijuhtumite struktuuriüksusele. 22. juunil 2018 esitas selles üksuses töötav meditsiiniteenistuse arst eksperdiarvamuse, mis sisaldas ZQ diagnoosi. Eksperdiarvamuse koostamiseks võttis see arst telefoni teel ühendust ZQ raviarstiga ja sai temalt asjakohast teavet.
15.
Eksperdiarvamus kanti meditsiiniteenistuse elektroonilisse arhiivi.
16.
ZQ sai oma raviarstilt teada, et meditsiiniteenistuse arst oli temaga telefoni teel ühendust võtnud.
17.
1. augustil 2018 võttis ZQ ühendust oma töökaaslasega meditsiiniteenistuse IT-osakonnast ja küsis, kas tema kohta käiv eksperdiarvamus oli arhiveeritud. Pärast arhviis otsimist vastas töökaaslane talle jaatavalt. ZQ palvel tegi töökaaslane eksperdiarvamusest fotosid ja saatis need talle.
18.
ZQ esitas 15. augusti 2018 meditsiiniteenistusele tulemusetult kahjuhüvitise nõude summas 20000 eurot, tuginedes isikuandmete kaitse üldmääruse artiklile 82.
19.
17. oktoobril 2018 esitas ZQ hagi Arbeitsgericht Düsseldorfile (Düsseldorfi piirkondlik töökohus, Saksamaa). Selles kohtumenetluses nõudis ta lisaks varalise kahju hüvitamist saamata jäänud töötasu ulatuses. (
11
)
20.
Kohtumenetluse käigus lõpetas meditsiiniteenistus ZQga töösuhte.
21.
ZQ nõuded jäeti nii esimeses kui teises kohtuastmes rahuldamata. (
12
)
22.
ZQ esitas kaebuse Bundesarbeitsgerichtile (Saksamaa Liitvabariigi kõrgeim töökohus), kes esitas Euroopa Kohtule järgmised küsimused:
„1.
Kas isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h tuleb tõlgendada nii, et haigekassa meditsiiniteenistusel on keelatud töödelda oma töötaja terviseandmeid, mis on selle töötaja töövõime hindamise eeldus?
2.
Juhul kui Euroopa Kohus peaks vastama esimesele küsimusele eitavalt, mille tagajärjel tuleks kõne alla isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis h sätestatud erand isikuandmete kaitse üldmääruse artikli 9 lõikes 1 ette nähtud terviseandmete töötlemise keelust: kas sellises olukorras nagu käesolev tuleb peale isikuandmete kaitse üldmääruse artikli 9 lõikes 3 sätestatud nõuete järgida ka muid andmekaitsenõudeid, ja kui jah, siis milliseid?
3.
Juhul kui Euroopa Kohus peaks vastama esimesele küsimusele eitavalt – mille tagajärjel tuleks kõne alla isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis h sätestatud erand isikuandmete kaitse üldmääruse artikli 9 lõikes 1 ette nähtud terviseandmete töötlemise keelust –, siis kas sellises olukorras nagu käesolev on terviseandmete töötlemine lubatav või seaduslik ainult juhul, kui täidetud on vähemalt üks isikuandmete kaitse üldmääruse artikli 6 lõikes 1 nimetatud tingimustest?
4.
Kas isikuandmete kaitse üldmääruse artikli 82 lõige 1 on oma olemuselt eri- või üldpreventiivne ja kas seda tuleb arvesse võtta vastutavalt töötlejalt või volitatud töötlejalt isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel mittevaralise kahju eest nõutava hüvitise suuruse arvutamisel?
5.
Kas mittevaralise kahju tekitamise eest isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel nõutava hüvitise suuruse arvutamisel on oluline vastutava töötleja või volitatud töötleja süü suurus? Eelkõige, kas nimetatud isiku kasuks võib arvesse võtta vastutava töötleja või volitatud töötleja süü puudumist või süü väiksust?“
III. Menetlus Euroopa Kohtus
23.
Eelotsusetaotlus saabus Euroopa Kohtusse 8. novembril 2021.
24.
Kirjalikud seisukohad esitasid ZQ, meditsiiniteenistus, Iirimaa ja Itaalia valitsus ning Euroopa Komisjon.
25.
Kohtuistungi korraldamist ei peetud tingimata vajalikuks.
26.
Euroopa Kohtu antud juhise kohaselt ei ole neljandat eelotsuse küsimust käesolevas ettepanekus käsitletud. (
13
)
IV. Analüüs
A.
Esimene eelotsuse küsimus
27.
Eelotsusetaotluse esitanud kohus soovib teada, kas isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h keelab meditsiiniteenistusel töödelda enda töötajate terviseandmeid, kui need on töötaja töövõime hindamiseks vältimatud. Seetõttu on küsimuse all töötlemise õiguspärasus üksuse tõttu, mis seda läbi viis. (
14
)
28.
Isikuandmete kaitse üldmääruse artikkel 9 reguleerib andmete eriliike nagu isiku terviseandmed. See kehtestab üldise keelu töödelda „delikaatseid“ andmeid (lõige 1) ja loetleb ammendavalt tingimused, mil seda üldist keeldu ei kohaldata (lõige 2).
29.
Konkreetsemalt sisaldab isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h erandit (üldisest keelust) seoses isikuandmete töötlemisega, kui see „on vajalik ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks, meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi võimaldamiseks“.
30.
Minu hinnangul pakub see säte piisavat katet vaidluse esemeks olevale meditsiiniteenistuse tegevusele. (
15
) Ei ole tähtis, et vastutav andmetöötleja on samal ajal andmesubjekti tööandja, kuivõrd meditsiiniteenistus ei tegutse sellise tööandjana, vaid haigekassa meditsiiniteenistusena, millega andmesubjekt oli seotud. (
16
)
31.
Mul ei ole mingit alust tõlgendada isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h nii, et see keelab meditsiiniteenistusel töödelda oma töötajate terviseandmeid selles punktis sätestatud eesmärgil. Tavapärased tõlgenduskriteeriumid viivad pigem vastupidise lahenduseni (selle keelu puudumine).
32.
Kui lähtuda isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h grammatilisest tähendusest, siis ei kehtesta see selles osas ühtegi välistamist ega kehtesta töötlemise tingimusena, et vastutav töötleja peab olema „neutraalne kolmas isik“. (
17
)
33.
Kõnealuse sätte eelnevatest redaktsioonidest ja järgnenud arengutest ei nähtu samuti niisugust keeldu nagu on mainitud esimeses eelotsuse küsimuses ega kavatsust seda lisada. (
18
)
34.
Isikuandmete kaitse üldmääruse terviseandmete töötlemist käsitlevate sätete eesmärk on Euroopa Kohtu sedastatu kohaselt (
19
) tagada andmesubjektidele tugevdatud kaitse, pidades silmas nende andmete erilist tundlikkust mõjutatud põhiõiguste suhtes. Seda eesmärki teenib isikuandmete kaitse üldmääruse artikli 9 lõikes 1 kehtestatud üldine keeld, mis ei ole siiski absoluutne. (
20
)
35.
Selles valdkonnas, nagu ka muudes isikuandmete töötlemisega seotud valdkondades, on pärast üldise keelu kehtestamist olnud seadusandjal järgmised valikud:
–
kehtestada erandid konkreetsete olukordade loeteluna, mis on rühmitatavad (laias laastus) olukordades, mille puhul andmesubjekt lubab ise andmeid töödelda või see on talle kasulik, ja olukordades, mille puhul esinevad prevaleerivad huvid iga üksikisiku huvide ees;
–
ümbritseda teatud liiki töötlemine konkreetsete ettevaatusabinõudega, mis on rangemad kui need, mida kohaldatakse ülejäänud „mittedelikaatsete“ isikuandmete suhtes ja mis neile lisatakse; (
21
)
–
volitada liikmesriike kehtestama isikuandmete töötlemisele muid tingimusi ja piiranguid. Seega seoses andmetega, mis puudutavat tervist (isikuandmete kaitse üldmääruse artikli 9 lõige 4 ja põhjenduse 53 lõpuosa) või töötajate andmeid töösuhete kontekstis (isikuandmete kaitse üldmääruse artikkel 88). (
22
)
36.
Abstraktselt ei takistaks miski konkreetsete ettevaatusabinõude raames, millele just viitasin, keelata meditsiiniteenistusel töödelda oma töötajate tervisega seotud andmeid. Mulle ei tundu siiski, et see võimalus (mida Euroopa seadusandja ei aktsepteerinud) oleks eelnimetatud eesmärgi säilitamiseks hädavajalik.
37.
Seetõttu leian, et keeld, mida eelotsusetaotluse esitanud kohus küsib, ei ole isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h teleoloogilise tõlgenduse vääramatu tagajärg.
38.
Samuti ei usu ma, et selle sätte süstemaatiline tõlgendamine viiks teise lahenduseni, kuna:
–
eeldades dialektilistel eesmärkidel, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti b on õige mõista kui ainsat alust, mille alusel tööandja tohib oma töötajate terviseandmeid töödelda, (
23
) ei mõjuta see võimalust, et sama üksus töötleb neid andmeid sama artikli 9 lõike 2 muu erandi alusel mitte enam tööandjana, vaid meditsiiniteenistusena, kes võtab üle haigekassa tellimuse; (
24
)
–
isikuandmete kaitse üldmääruse artikli 9 lõige 3 kehtestab tervisega seotud isikuandmete töötlejatele kehtivad tingimused. Artikli 9 lõike 2 punkt h viitab sõnaselgelt lõikele 3; subjektiivsest küljest ei ole töötlemise suhtes kehtestatud ühtegi muud nõuet. (
25
)
39.
Kokkuvõtteks teen ettepaneku vastata esimesele eelotsuse küsimusele eitavalt (teisisõnu, et isikuandmete kaitse üldmääruses ei ole vaidlusalust keeldu), mis võimaldab käsitleda järgmist küsimust.
B.
Teine eelotsuse küsimus
40.
Kui (nii, nagu ma välja pakun) vastus esimesele eelotsuse küsimusele on eitav, soovib eelotsusetaotluse esitanud kohus teada, kas „sellises olukorras nagu käesolev [on] peale isikuandmete kaitse üldmääruse artikli 9 lõikes 3 sätestatud nõuete […] ka muid andmekaitsenõudeid, ja kui jah, siis milliseid“.
41.
Vastus ei peaks üldises plaanis suuri probleeme tekitama. (
26
) Euroopa Kohus on rõhutanud, et igal isikuandmete töötlemisel tuleb arvestada isikuandmete kaitse üldmääruse artikli 5 põhimõtteid ja mõnda selle artiklis 6 sätestatud seaduslikkuse tingimust. (
27
)
42.
Eelotsusetaotluse esitanud kohtu hinnangul ei piisa andmete kaitsmiseks sellistel asjaoludel nagu praegu, saladuse hoidmise kohustuse järgimisest (isikuandmete kaitse üldmääruse artikli 9 lõige 3). Ta pakub välja muid täiendavaid meetmeid, mis tema hinnangul selleks ainsana sobiksid. (
28
)
43.
Leian, et isikuandmete kaitse üldmääruse artikli 9 lõige 3 ei saa olla nende lisameetmete alus. Selle selge sõnastus (mis piirdub direktiivis 95/46 juba sisaldunud sätte väljatoomisega) (
29
) ei toeta selliseid ettepanekuid, mida on pakkunud eelotsusetaotluse esitanud kohus.
44.
Need ettepanekud võiksid seevastu sobituda isikuandmete kaitse üldmääruse artikli 9 lõikega 4. Selle kohaselt võivad liikmesriigid kehtestada „täiendavad tingimused, sealhulgas piirangud seoses […] terviseandmete töötlemisega“. (
30
) Eelotsusetaotlusest ei nähtu aga, et Saksamaal oleks seda tehtud.
45.
Seda arvestades ja eespool välja toodud põhjustel tuleb terviseandmete töötlemisel järgida muu hulgas isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis f toodud põhimõtet ja sellest tulenevaid kohustusi, mida on üksikasjalikult kirjeldatud sama õigusakti IV peatükis.
46.
Vastutav töötleja (
31
) peab võtma ka asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete töötlemine kooskõlas isikuandmete kaitse üldmäärusega. See on üldiselt sätestatud selle määruse artikli 24 lõikes 1.
47.
Konkreetselt kohustab isikuandmete kaitse üldmääruse artikli 32 lõige 1 vastutavat töötlejat rakendama kõnealustele isikuandmetele tekkivale „ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid“.
48.
Neid eeskirju käesolevale juhtumile kohaldades paneb meditsiiniteenistuse kui ZQ tööandja staatus talle tema terviseandmete töötlemisel tavapärasest suurema hoolsuskohustuse, sest ka riskid on suuremad. (
32
)
49.
Meditsiiniteenistus ei eita, et ta on sellest asjaolust teadlik. Kui ta koostab eksperdiarvamusi selle haigekassa tellimusel, kuhu tema töötaja kuulub, et kõrvaldada kahtlused tema töövõimes või -võimetuses, rakendab ta ad hoc tehnilisi ja korralduslikke meetmeid, mis on ette nähtud selleks, et terviseandmete töötlemine oleks isikuandmete kaitse üldmäärusega kooskõlas. (
33
)
50.
Neid meetmeid peab hindama eelotsusetaotluse esitanud kohus, kes võib oma hinnangus lõpuks leida, et võetud meetmed ei olnud piisavad. See ei võimalda siiski järeldada isikuandmete kaitse üldmääruse artiklist 9 tulenevat meditsiiniteenistuse kohustust lükata omal algatusel tagasi kõik (tema töötajaid puudutavad) meditsiinilised eksperdiarvamused, mida haigekassad paluvad neil koostada. (
34
)
C.
Kolmas eelotsuse küsimus
51.
Eeldades, et vastus esimesele eelotsuse küsimusele on eitav, soovib eelotsusetaotluse esitanud kohus kolmanda küsimusega teada, kas terviseandmete töötlemine on „lubatav või seaduslik ainult juhul, kui täidetud on vähemalt üks isikuandmete kaitse üldmääruse artikli 6 lõikes 1 nimetatud tingimustest“.
52.
Sellele küsimusele vastamiseks tuleb analüüsida isikuandmete kaitse üldmääruse artikli 9 lõike 2 ja selle artikli 6 vahelist seost, mis puudutab töötlemise seaduslikkust. Vajadus järgida seda viimast artiklit kogu andmetöötluse puhul ilmneb Euroopa Kohtu otsustes, millele olen varem viidanud. (
35
)
53.
Kohtuasjas C‑439/19 (
36
) tehtud otsuses tõlgendati eelkõige isikuandmete kaitse üldmääruse artiklit 10 teise delikaatsete isikuandmete kategooria (süüdimõistvate kohtuotsuste ja kuritegudega seotud andmed) kohta (
37
) ja leiti, et isikuandmete kaitse üldmääruse artiklit 6 kohaldatakse kumulatiivselt koos artikliga 10.
54.
Kas see sama seisukoht kehtib ka isikuandmete kaitse üldmääruse artikliga 9 hõlmatud isikuandmete suhtes?
55.
Isikuandmete kaitse üldmääruse artiklite 9 ja 10 ülesehitus on erinev. Artikkel 10 sisaldab sõnaselget viidet isikuandmete kaitse üldmääruse enda artikli 6 lõikele 1, mida artikkel 9 aga ei tee.
56.
Samuti ei ole isikuandmete kaitse üldmääruse artikli 9 lõike 2 ja artikli 10 sisu võrreldav – artikkel 10 viitab üksnes töötlemise subjektiivsele piirangule, samas kui artikli 9 lõikes 2 on sätestatud eesmärgid (või asjaolud), mis õigustavad töötlemist, nagu ka artikli 6 lõikes 1.
57.
Isikuandmete kaitse üldmääruse artikli 6 lõike 1 ja artikli 9 lõike 2 vaheline paralleelsus on tõepoolest selline, et esimesel lugemisel tundub, et viimases loetletud asjaolud on esimeses sisalduvate tingimuste täpsustused: need täpsustavad neid tingimusi, muutes need samas rangemaks.
58.
Isikuandmete kaitse üldmääruse artikli 9 ajalugu ja areng seab siiski kahtluse alla, kas selle artikli ja artikli 6 omavahelist suhet saab selgitada „erinormi“ ja „üldnormi“ tähenduses.
59.
Tuleb tõdeda, et teatud liikmesriikide delegatsioonid toetasid tõesti sellist tõlgendust. (
38
) Artikli 9 üle peetud läbirääkimistega seotud dokumentidest ei ilmne aga lahknevusi mitte seoses viitega artiklile 6, (
39
) vaid selle reguleerimisalaga (ainult selle lõige 1 või ka teised?). (
40
) Lõpuks jäeti viide artiklile 6 artiklist 9 välja (
41
) ja preambulisse otsustati jätta lõige, mis sarnaneb isikuandmete kaitse üldmääruse praegusele põhjendusele 51. (
42
)
60.
Kahe sätte kumuleerimise või vastastikuse täiendavuse ideed jagab Euroopa Andmekaitsenõukogu (
43
) ja seda kaitses nn artikli 29 töörühm (
44
) direktiivi 95/46 artikli 8 puhul. (
45
) See ei ole siiski vaieldamatu arusaam ei doktriinis ega ka muudes asjakohastes foorumites. (
46
)
61.
Vaadates isikuandmete kaitse üldmääruse artikli 9 lõike 2 eri lõikeid, kaldun arvama, et selle sätte ja artikli 6 vaheline seos ei võimalda anda tegelikult ühte vastust. Nimelt:
–
erandid töötlemise keelust, nagu need, mis on sätestatud artikli 9 lõike 2 punktides a, c, g ja i, (
47
) on otseses seoses isikuandmete kaitse üldmääruse artikli 6 lõikes 1 sätestatud konkreetse õigusliku alusega ja hõlmavad seda;
–
see ei kehti isikuandmete kaitse üldmääruse artikli 9 lõikes 2 loetletud muude erandite kohta, mis nõuavad artikli 6 lõike 1 alusel täiendavat põhjendust. See kehtib minu hinnangul artikli 9 lõike 2 punkti h kohta, mida see eelotsuse küsimus käsitleb.
62.
Seega olen seisukohal, et selleks, et muuta delikaatsete isikuandmete töötlemine seaduslikuks vastavalt isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktile h, tuleb otsida, millised artikli 6 lõikes 1 sätestatud tingimused muudavad selle igal üksikjuhul õiguspäraseks.
63.
Eelotsusetaotluse esitanud kohus ei sea kahtluse alla, et see nii on; lähtudes sellest eeldusest, keskendub ta pigem sellele, et lükata tagasi, et töötlemine meditsiiniteenistuse poolt on õigustatud artikli 6 alusel. (
48
)
64.
Esmapilgul ei tundu mulle, et selles sättes ette nähtud õiguslike alused on mingis järjestuses. Põhjalikum analüüs võib tuua esile nüansside vajaduse. (
49
) Leian siiski, et selline analüüs läheks kaugemale sellest, mis on vajalik käesolevale eelotsusetaotlusele vastamiseks. (
50
)
65.
Kokkuvõttes peaks vastus kolmandale eelotsuse küsimusele näitama eelotsusetaotluse esitanud kohtule, et erand terviseandmete töötlemise keelust eeldab, et vähemalt üks isikuandmete kaitse üldmääruse artikli 6 lõikes 1 sätestatud tingimustest on täidetud.
D.
Viies eelotsuse küsimus
66.
Eelotsusetaotluse esitanud kohus soovib teada, kas „isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel nõutava hüvitise suuruse arvutamisel on oluline vastutava töötleja või volitatud töötleja süü suurus“ ja eelkõige, kas „vastutava töötleja või volitatud töötleja süü puudumist või süü väiksust võib nimetatud isiku kasuks arvesse võtta“.
67.
Küsimus eeldab, et on rikutud isikuandmete kaitse üldmäärust, (
51
) mille on toime pannud vastutava töötlejana tunduv isik, ja küsitakse, kas vastutava töötleja süü suurus on oluline selle rikkumisega tekitatud kahju eest hüvitise suuruse arvutamisel. Eelotsusetaotluse esitanud kohtu hinnangul ei ole kindel, et vastutava poole süü puudumist või väikest süüd saab pidada tema vastutust vähendavaks asjaoluks.
68.
Sõna-sõnalt võttes keskendub küsimus hüvitise suuruse arvutamisele. Lisatud selgitused tekitavad siiski mõnevõrra segadust, kuna ei ole selge, kas need viitavad süüle kui vastutuse omistamise tingimusele või kui tegurile hüvitise suuruse määramisel.
69.
Kui Euroopa Kohus palus seda ebaselgust selgitada, märkis eelotsusetaotluse esitanud kohus, et küsimus puudutab mõlemat aspekti, ilma et ta oleks täpsustanud nende seost põhivaidlusega.
70.
Selle vastuse kontekstis kavatsen vastata eelotsusetaotluse esitanud kohtu esitatud küsimustele pärast seda, kui olen (ka) käsitlenud meditsiiniteenistuse esitatud küsimusi asjaomase isiku võimaliku osaluse kohta kahju tekitamises. (
52
) Esitan oma analüüsi kolmes osas:
–
esimeses osas käsitlen vastutuse omistamist isikuandmete kaitse üldmääruse artikli 82 alusel;
–
teiseks analüüsin mõju, mida võib avaldada vastutava töötleja töötaja poolt isikuandmetega tutvumine. (
53
) Selle olukorra konkreetne ja oluline aspekt on see, et töötaja tegi päringu andmesubjekti taotlusel;
–
kolmandas osas kommenteerin mõju, mida vastutava töötleja süü raskusaste võib avaldada hüvitamisele kuuluva mittevaralise kahju konkreetsele hindamisele.
1. Isikuandmete kaitse üldmääruse artiklist 82 tulenev tsiviilvastutus
71.
Eelotsusetaotluse esitanud kohus on seisukohal, et isikuandmete kaitse üldmääruse artikli 82 lõige 1 ei sea (juhtiva (
54
) töötleja) tsiviilvastutust sõltuvusse tahtluse või hooletuse olemasolust või tõendamisest. Ta lisab, et isikuandmete kaitse üldmääruse artikli 82 lõige 3 ei toeta mingit muud lahendust.
72.
Möönan, et ei ole selge, milline tsiviilvastutuse mudel on isikuandmete kaitse üldmääruses vastu võetud ja et a priori on võimalik mitu tõlgendust. (
55
) Eelotsusetaotluse esitanud kohtu arusaam on üks neist, mis on minu arvates õige.
73.
Minu arvates leiab isikuandmete kaitse üldmääruse artikli 82 lõike 1 tõlgendus, mille kohaselt kehtestab see määrus tsiviilvastutuse korra, mis ei põhine vastutava töötleja süül, vastavalt selle sõnastusele otsest toetust ettevalmistustöödest ja eelkõige teenib see määruse eesmärki. Sellega saab nõustuda, kui võtta arvesse sätte teisi lõikeid ja süsteemi tervikuna.
a) Sõnasõnaline argument
74.
Eelotsusetaotluse esitanud kohtu seisukoht on kooskõlas isikuandmete kaitse üldmääruse artikli 82 lõike 1 sõnastusega. Sõna otseses mõttes on õigus saada vastutavalt töötlejalt hüvitist seotud isikuandmete kaitse üldmääruse enda rikkumise tagajärjel tekkinud kahjuga.
75.
Artikli 82 ülejäänud lõiked ei viita muule vastusele. (
56
) Eelkõige ei eeldaks ma, et artikli 82 lõike 3 sõnast „omistatav“ tuleneb süü nõue. See termin esineb ainult mõnes isikuandmete kaitse üldmääruse keeleversioonis; teised aga kasutavad terminit „vastutav“. Saksakeelses versioonis ei ole artiklis 82 ega preambulis kasutatud tehnilist terminit süü omistamise kohta (Verschulden). (
57
)
76.
Isikuandmete kaitse üldmääruse eri sätete võrdlus näitab, et kasutatud terminoloogia ei ole alati üheselt mõistetav ja nende sõnastusest järelduste tegemisel tuleks olla ettevaatlik. Näiteks ingliskeelses versioonis kasutatakse sõna responsible mitmes tähenduses. (
58
)
77.
Viidete puudumine isikuandmete kaitse üldmääruse artiklis 82 vastutava töötleja tahtlusele või süüle erineb artiklis 83 toodud viidetest haldustrahvidele: „otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle“, võetakse nõuetekohaselt arvesse tahtlust või hooletust isikuandmete kaitse üldmääruse rikkumisel. (
59
)
78.
Kui tekstide erinevus nõrgendab sõnasõnalise tõlgenduskriteeriumi kaalu, siis kinnitab see vähemalt mõtet, et isikuandmete kaitse üldmääruse artiklis 82 ei esine ei tahtlust ega süüd ning et see tahtluse ja süü puudumine on teadlik, mitte seadusandja hooletus.
b) Ettevalmistavad tööd
79.
Arutelu vastutuse omistamise aluse üle, mis lõpuks isikuandmete kaitse üldmääruses vastu võeti, varjutab kontekst, milles see nõukogus toimus, seoses eeldusega, et andmete töötlemises osaleb mitu osapoolt.
80.
See arutelu oli segunenud menetluslike kaalutlustega, ilma igasuguse mõisteaparaadita, mis võimaldaks eristada ühelt poolt süü funktsiooni vastutuse omistamise alusena ja teiselt poolt süü puudumise funktsiooni sama vastutusest vabastamise eesmärgil põhjusliku seose tasandil.
81.
Usun siiski, et ettevalmistavad tööd toetavad arusaama isikuandmete kaitse üldmääruse artikli 82 lõikest 1, mille kohaselt ei sõltu tsiviilvastutus vastutava töötleja süüst.
82.
Komisjoni ettepanekus järgiti direktiivi 95/46 ja selles ei mainitud hooletust. Nõukogu dokumentides viidatakse kavandatud vastutusele kui strict liability. (
60
)
83.
Euroopa Parlamendi kodanikuvabaduste, justiits- ja siseasjade komisjonis esitatud muudatusettepanek oleks andnud artikli 82 (tollal 77) lõikele 1 sisu, milles vastutus on seotud tahtluse või hooletusega. (
61
) See ei õnnestunud. (
62
)
84.
Nõukogus toimunud arutelu artikli 77 ja omistamise kriteeriumi üle oli seotud vastutuse omistamise ja jagamisega, kui mitu isikut on seotud sama töötlemistoiminguga. Sellega seoses tegi eesistuja ettepaneku valida kahe võimaluse vahel: (
63
)
–
vastavalt esimesele võimalusele (
64
) oleks iga vastutav töötleja või volitatud töötleja õiguslikult vastutav kogu kahju eest andmesubjekti ees, (
65
) kui nad on rikkunud neile isikuandmete kaitse üldmäärusega pandud kohustusi. (
66
) Nende osalemine kahju tekkimises, isegi kui see on minimaalne, võimaldaks andmesubjektil nõuda kogu hüvitist; mitme osaleja puhul igaühelt neist. (
67
) Samas vabastatakse kõik, kui nad suudavad tõendada, et nad ei ole kahju eest üldse (0% responsibility) vastutavad (responsible); see kajastuks artikli lõikes 3. Mudelit kirjeldatakse kui closer (but certainly not equal to) to the „liability follows fault principle“; (
68
)
–
teine võimalus oleks tähendanud, et vastutaval töötlejal oleks olnud vältimatu kohustus hüvitada andmesubjektile kogu kahju, omamoodi absoluutse vastutuse korras, sest vabastamist ei olnud ette nähtud. (
69
) Andmesubjekti kaebuse volitatud töötleja vastu saab esitada ainult teise võimalusena. (
70
) Ka tema jaoks ei olnud erandit ette nähtud.
85.
Eesistuja poolt üldise suunana heakskiitmiseks esitatud kompromisstekst (
71
) järgib esimest võimalust, kuid tugevdab artikli 77 lõike 3 sõnastusega erandi erandlikku iseloomu ja tõendamise keerukust: „[…] if it [vastutav/volitatud töötleja] proves that it is not in any way responsible […]“. (
72
) See sõnastus ja lõpuks vastuvõetud artikkel langevad kokku.
86.
Kokkuvõttes näitab isikuandmete kaitse üldmääruse lõpliku tekstini viinud seadusandliku menetluse analüüs, et selle määruse artikli 82 lõikes 1 osutatud vastutus ei tohiks olla seotud vastutava töötleja süüga.
c) Eesmärk
87.
Isikuandmete kaitse üldmäärusega luuakse süsteem, mille eesmärk on tagada füüsiliste isikute kõrgetasemeline kaitse, kõrvaldades samal ajal takistused isikuandmete liikumiselt. (
73
) Selles süsteemis on artiklil 82 kahju hüvitamise eesmärk, ilma et see piiraks asjaolu, et selle eesmärk on teise võimalusena ka heidutada või ennetada käitumist, mis ei vasta selle nõuetele. (
74
)
88.
Hüvitise tagamine on eesmärk iseenesest: see järeldub sellele seadusandja omistatud tähtsusest ja ilmneb teksti lihtsast lugemisest. Isikuandmete kaitse üldmääruse puhul on kahju tekkimise korral hüvitise saamine andmesubjekti õigus, kahju mõistet tuleb tõlgendada laialt ning hüvitis peab olema täielik ja tõhus.
89.
Hüvitamine on seotud eesmärgiga suurendada kodanike usaldust digitaalse keskkonna vastu, mis on isikuandmete kaitse üldmääruse põhjenduses 7 välja toodud üldine eesmärk. Sellise usalduse suurendamisele aitab kaasa see, et andmesubjektile tagatakse põhimõtteliselt, et ta ei pea ilma täiendavate meetmeteta kandma kahju, mis tuleneb tema andmete ebaseaduslikust töötlemisest: tema vara on kaitstud ja menetluslikult on tema nõue lihtsam.
90.
Selle lähenemisviisiga on kooskõlas see, et isikuandmete kaitse üldmääruse artikli 82 lõige 1 ei seo hüvitamiskohustust hoolsuskohustuse rikkumisega. Selline kohustus on seadusandja otsusega pandud sellele, kes on suhetes teataval hoidja või tagaja positsioonil, ja just pelgalt seda asjaolu arvestades.
91.
Seega võiks öelda, et isikuandmete kaitse üldmääruse puhul on oluline selle kannatanu olukord, kes kannab rikkumisest tulenevat kahju, kui ükski norm ei pane talle kohustust seda taluda.
92.
Kannatanu jaoks on ebaoluline, kas kahju tekkimises esines selle tekitaja süü või mitte: määrav on see, et vastutav töötleja on põhjustanud talle kahju, nii varalise kui ka mittevaralise, mis tuleneb tema poolt toime pandud isikuandmete kaitse üldmääruse rikkumisest.
93.
Eespool kirjeldatud eesmärgid on lihtsamini saavutatavad mudelis, milles on ette nähtud, et tõendatud kahju:
–
hüvitatakse igal juhul (välja arvatud juhul, kui see on välistatud, mis on erandjuhtum) ja
–
annab aluse hüvitiseks, mida on (suhteliselt) lihtne saada mitte ainult seetõttu, et vastutava töötleja süü ei pea olema tõendatud, vaid ka seetõttu, et rikkumise ja sellega seotud kahju olemasolu puhul ei sõltu vastutuse omistamine kuidagi süü suurusest.
94.
Digitaalse revolutsiooniga kohanemise kontekstis (
75
) tundub see lahendus mulle sidus. Kiire tehnoloogiline areng nõuab, et kõige tavalisemate andmetöötlustoimingute puhul, mida tehakse internetis, ei tohiks tahtluse või hooletuse puudumine takistada kahju hüvitamist, mis muidu jääks katmata.
d) Süsteem
95.
Minu pakutud tõlgendus on rohkem kooskõlas isikuandmete kaitse üldmääruse süsteemiga. Artiklis 82 kinnitab seda lõige 3: vastutusest vabastatakse, kui vastutav töötleja „tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest“.
96.
Selles lauses paistab silma fraas „mingil viisil“, mis annab alust arvata, et tegemist ei ole süül põhineva mudeliga (isegi mitte väga väikese süü korral), mille puhul tõendamiskoormis on ümber pööratud.
97.
Arusaam, et hüvitis ei sõltu vastutava töötleja süüst, annab artiklile 82 omaette tähenduse VIII peatükis ja lõppkokkuvõttes isikuandmete kaitse üldmääruses tervikuna.
98.
Euroopa seadusandja eeldab, et isikuandmete töötlemine võib olla riskide allikas. Ta kohustab vastutavaid töötlejaid neid riske hindama ning võtma ja ajakohastama asjaomaseid meetmeid, et tuvastatud riske ennetada ja minimeerida. (
76
)
99.
On väidetud, et süül põhinev tsiviilvastutuse mudel soodustab hoolsust ja seega kaitset riskide eest, samas kui alternatiivne mudel, mis ei võta arvesse, kuidas isik käitus, pärsib viimase ettevaatust (sest kui kahju tekib, peab ta selle niikuinii hüvitama).
100.
Olen seisukohal, et isikuandmete kaitse üldmääruse puhul on see tulemus (
77
) vastuvõetav. Artikkel 82 on põimitud keerulisse regulatiivsesse struktuuri, milles isikuandmete kaitseks on nii avalik-õiguslikke kui ka eraõiguslikke vahendeid. Selles struktuuris on haldussanktsioonide kohaldamisel oluline hooletus (ja tahtlus). Ma ei näe vajadust, et need oleksid olulised ka tsiviilvastutuse eesmärgil, (
78
) mis kahjustaks artikli 82 eesmärke ja muudaks pealegi selles sätestatud õiguskaitsevahendi tegelikkuses vähem atraktiivseks.
2. Andmesubjekti sekkumise mõju
101.
Küsimused vastutava töötleja süü vajaduse kohta on antud juhul seotud tagajärgedega, mis võivad tekkida andmesubjekti sekkumisel. (
79
)
102.
Järgneva paremaks mõistmiseks tuleb selgeks teha, et vaidluse asjaolusid on vaadeldud kahes stsenaariumis:
–
esiteks kujutab ZQ isikuandmete töötlemine meditsiiniteenistuse poolt endast isikuandmete kaitse üldmääruse (selle artikli 9 või 6) rikkumist. Rikkumine ise tekitab kahju; (
80
)
–
teiseks ei kujuta kirjeldatud andmete töötlemine endast isikuandmete kaitse üldmääruse rikkumist või ei too kaasa kahju. Viimane tekiks meditsiiniteenistuse konkreetse töötaja poolt tehtava andmepäringu tulemusel, mille ajendiks on andmesubjekt. (
81
)
103.
Igal juhul leian, et – nagu eelotsusetaotluse esitanud kohus näib väitvat (
82
) –selleks, et määrata kindlaks andmesubjekti käitumise mõju (kui see on olemas) kahju tekitanud rikkuva teo toimepanemisel, tuleb tugineda artikli 82 lõikele 3.
104.
Selles sättes ei ole isegi mitte näitena loetletud konkreetseid vastutusest vabastamise aluseid. Samuti ei ole seda tehtud ka põhjenduses 164. (
83
)
105.
Ilmselt kalduks isikuandmete kaitse üldmäärus selles osas kõrvale direktiivist 95/46, mille artikli 23 lõige 2 sisaldas praeguse isikuandmete kaitse üldmääruse artikli 82 lõikega 3 sarnast reeglit: (
84
) direktiivi 95/46 põhjenduses 55 pakuti vastutusest vabastamise põhjuste näidetena andmesubjekti vastutust või vääramatut jõudu, (
85
) mida isikuandmete kaitse üldmääruses ei leidu.
106.
Kui ma ei eksi, siis ei olnud isikuandmete kaitse üldmääruse ettevalmistustöödes mingit arutelu nende kahe näite üle, mis on esitatud komisjoni ettepanekus (
86
) ja millega Euroopa Parlament nõustus. (
87
)
107.
Selle väljajätmine ja määrsõnalise tarindi „mingil viisil“ lisamine toimub juba mainitud arutelus selle üle, kuidas reguleerida vastutust mitme vastutava töötleja või volitatud töötleja puhul. (
88
)
108.
Kättesaadavatest dokumentidest (
89
) nähtub, et lõpliku sõnastuse kohaselt rakendatakse vastutava töötleja suhtes erandit, kui ta suudab tõendada, et ta ei ole kahju eest üldse (0% responsibility) vastutav (responsible). Sama kehtib volitatud töötleja suhtes. (
90
)
109.
Sellest lähtuvalt ei usu ma, et nende kahe näite preambulist kadumise koos sõnade „mingil viisil“ samasse preambulisse ja isikuandmete kaitse üldmääruse artikli 82 lõikesse 3 lisamise tagajärg (või eesmärk) oleks olnud andmesubjekti tegevuse väljajätmine vastutusest vabastamise aluste hulgast. (
91
)
110.
Pigem näib, et andmesubjekti tegevus võib siiski põhjustada, olenevalt juhtumist, vajaliku seose katkemise „toimingu“ (isikuandmete kaitse üldmääruse artikli 82 lõikes 3 kasutatakse seda mõistet) ja vastutava töötleja kui toimingu tegija vahel. Vabastamisklausli piiratud olemuse rõhutamine ei takista andmesubjekti teatud tegevust, mis iseenesest võib tekitada kahju ja seega määrata vastutava töötleja vastutusest vabastamise.
111.
Süstemaatiline tõlgendamine toetab kahju hüvitamise vastutuse raames andmesubjekti osalemise arvesse võtmist kahju tekitamisel. Isikuandmete kaitse üldmääruse süsteemis on üksikisikud kaasatud oma andmete kaitsmisse, andes neile vahendeid, mis on iseenesest õigused.
112.
Teleoloogilisest aspektist mõistan, et isikuandmete kaitse üldmäärusega soovitakse tagada kõrgetasemelise kaitse, kuid mitte sel määral, et vastutavat töötlejat kohustatakse hüvitama ka kahju, mis tuleneb andmesubjektile omistatavatest sündmustest või tegevustest. (
92
)
3. Hüvitise arvutamine. Kahju tekitaja teatava suurusega süü esinemine
113.
Eelotsusetaotluse esitanud kohus on kinnitanud, et viies eelotsuse küsimus hõlmab küsimust, kas vastutava töötleja süü suurus mõjutab hüvitise arvutamist. Täpsemalt, kas vastutava töötleja süü puudumist või vähest süüd võib tema kasuks arvesse võtta.
114.
Isikuandmete kaitse üldmääruse artikkel 82 on kindlasti napisõnaline või lausa vaikib hüvitise põhiaspektide kohta, mis mõjutaksid selle summa arvutamist. See ei anna tõlgendajale juhiseid, millistest aspektidest see koosneb, (
93
) millised on nende aspektide hindamise (suuruse arvutamise) kriteeriumid (
94
) või millised tegurid võivad selle summa suurust mõjutada. (
95
)
115.
Sellest hoolimata saan aru, et isikuandmete kaitse üldmäärus annab andmesubjektile õiguse hüvitisele, mille suurus määratakse kindlaks vastavalt tegelikult kantud kahjule. Kui sellise kahju objektiivselt hüvitav summa on kindlaks määratud, ei tohiks seda muuta vastavalt vastutava töötleja suuremale või väiksemale hooletusele.
116.
Oma seisukoha toetuseks viitan mutatis mutandis sellele, mida selgitasin seoses vastutava töötleja vastutuse omistamisega sõltumata tema süüst isikuandmete kaitse üldmääruse artikli 82 süsteemis. Kannatanu seisukohast, kelle vara (materiaalne ja immateriaalne) peab pärast kahju tekkimist jääma puutumatuks, tuleb kahju hüvitada ilma seda vastutava töötleja süüga seostamata, olenemata selle raskusastmest. (
96
)
117.
Usun, et sama lahenduseni jõuab ka siis, kui väita, et isikuandmete kaitse üldmääruse artikkel 82 (mille ettevalmistavad tööd ei anna mingeid vihjeid ühe või teise seisukoha kohta) (
97
) erineb teistest ELi õiguse vahenditest, mis teevad sõnaselgelt vahet sellel, kas sekkumine rikkumisse oli „teadlik“ või mitte, kui tegemist on tsiviilvastutuse hüvitise suuruse kindlaksmääramisega. (
98
)
118.
Minu arvates kinnitavad seda hinnangut veel kaks argumenti:
–
isikuandmete kaitse üldmääruse artiklis 83 võetakse trahvisumma määramisel arvesse õigusrikkuja hooletust (ja tahtlikkust). (
99
) Seadusandja oleks võinud võtta vastu sama kriteeriumi tsiviilvastutuse alusel määratava summa arvutamiseks, kuid ei teinud seda;
–
isikuandmete kaitse üldmäärus nõuab, et hüvitis peab olema täielik ja tõhus (
100
) (põhjendus 146 ja artikli 82 lõige 4 olukorras, kus sama töötlemistoiminguga on seotud mitu vastutavat töötlejat või volitatud töötlejat). (
101
) Minu arvates tähendab määratlus „täielik“ aga seda, et hüvitise suurust ei saa vähendada vastutava töötleja väiksema hooletuse tõttu. (
102
)
V. Ettepanek
119.
Eeltoodud kaalutlustest lähtudes soovitan vastata Bundesarbeitsgerichtile (Saksamaa Liitvabariigi kõrgeim töökohus) nii:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 9 lõike 2 punkti h ja lõiget 3 ning artikli 82 lõikeid 1 ja 3
tuleb tõlgendada nii, et
need ei keela haigekassa meditsiiniteenistusel töödelda selle osakonna töötaja terviseandmeid, kui need andmed on hädavajalikud tema töövõime hindamiseks;
need lubavad teha erandi isiku terviseandmete töötlemise keelust, kui selline töötlemine on vajalik töötaja töövõime hindamiseks, juhul, kui järgitakse määruse (EL) 2016/679 artikli 5 põhimõtteid ja mõnda selle artiklis 6 sätestatud seaduslikkuse tingimust;
vastutava või volitatud töötleja süü suurus ei ole oluline ühe või teise vastutuse tuvastamisel ega määruse 2016/679 artikli 82 lõike 1 alusel hüvitatava mittevaralise kahju summa arvutamisel;
andmesubjekti osalemine toimingus, millest tuleneb hüvitamiskohustus, võib sõltuvalt juhtumist olla aluseks vastutava või volitatud töötleja vastutusest vabastamisele, millele on osutatud määruse 2016/679 artikli 82 lõikes 3.
(
1
)	Algkeel: hispaania.
(
2
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“).
(
3
)	Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikkel 8, mis oli isikuandmete kaitse üldmääruse artikli 9 otsene eelkäija.
(
4
)	Neljas küsimus on sisuliselt identne esimese küsimusega kohtuasjas C‑300/21, Österreichische Post (isikuandmete töötlemisest tulenev mittevaraline kahju), mille kohta esitasin ettepaneku 6. oktoobril 2022 (EU:C:2022:756) (edaspidi „ettepanek kohtuasjas C‑300/21“) ning milles Euroopa Kohtu otsus kuulutati 4. mail 2023 (EU:C:2023:370).
(
5
)	Socialgesetzbuch Fünftes Buch.
(
6
)	Krankenversicherung (edaspidi „haigekassa“).
(
7
)	Medizinischer Dienst der Krankenversicherung (edaspidi „meditsiiniteenistus“).
(
8
)	„[Meditsiiniteenistuse] töötajate ja nende perekonnaliikmete sotsiaalsete andmete kaitset käsitlev memorandum“, mis on kokkuvõtlikult esitatud eelotsusetaotluse punktis 6 jj.
(
9
)	Meditsiiniteenistuse-siseses elektroonilises andmetöötlussüsteemis loodi virtuaalne erijuhtumite struktuuriüksus, millele on ligipääs ainult selle struktuuriüksuse töötajatel.
(
10
)	Pärast selle aja möödumist (nagu seadusega ette nähtud), mil meditsiiniteenistus jätkas töötasu maksmist.
(
11
)	Kui tema isikuandmetega seotud rikkumist poleks toimunud, oleks ta enda hinnangul saanud jätkata töötamist alates 2018. aasta detsembrist.
(
12
)	Vastavalt ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18, ja LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
(
13
)	Selle sisu osas viitan ma 4. mai 2023. aasta kohtuotsusele Österreichische Post (isikuandmete töötlemisest tulenev mittevaraline kahju) (C‑300/21, EU:C:2023:370).
(
14
)	Alljärgnev ei mõjuta vastust kolmandale eelotsuse küsimusele.
(
15
)	Eelistan selle sätte kasutamist isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti b asemel. Ei selgu, et töötlemine oleks olnud vajalik (ei meditsiiniteenistusele kui tööandjale ega ZQ-le kui töötajale) töösuhte raames võetud kohustuste täitmiseks või õiguste teostamiseks.
(
16
)	Delikaatsete andmete töötlemine tööandjana (st töösuhtega seotud eesmärkidel) oleks seaduslik ainult siis, kui see vastab isikuandmete kaitse üldmääruses kehtestatud tingimustele andmete töötlemiseks muul eesmärgil kui see, milleks need koguti.
(
17
)	Eelotsusetaotluse punkt 22. Isikuandmete kaitse üldmäärus kehtestab seevastu küll muud tunnused, mis on ette nähtud artikli 9 lõikes 3: selle ulatuse kohta vt allpool punkt 40 jj.
(
18
)	Isikuandmete kaitse üldmääruse artikli 9 eelmine redaktsioon sisaldus direktiivi 95/46 artiklis 8. Komisjoni ettepanekus (Ettepanek: Euroopa Parlamendi ja nõukogu määrus üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (isikuandmete kaitse üldmäärus) COM/2012/011 (final), 25.1.2012; edaspidi „komisjoni ettepanek“) oli isiku terviseandmete töötlemine reguleeritud artiklis 81, milles kehtestati põhjendused ja sätestati, et töötlemine peab toimuma vastavalt liidu või liikmesriikide õigusele. Viimaste ülesanne on näha ette vajalikud tagatised, et kaitsta andmesubjektide seadusest tulenevaid õigusi. Artikli 81 sisu liideti artikli 9 lõike 2 punkti h ja lõikesse 4, nagu nähtub nõukogu eesistuja andmekaitse töörühma 16. oktoobri 2014. aasta dokumendist nr 14270/14.
(
19
)	24. septembri 2019. aasta kohtuotsuse GC jt (delikaatsetele andmetele viitavate linkide eemaldamine) (C‑136/17, EU:C:2019:773) punkt 44: „[…] andmete eriliikide töötlemise […] eesmärk […] seisneb tugevama kaitse tagamises sellise töötlemise eest, mis nende andmete erilise tundlikkuse tõttu võib ka nähtuvalt direktiivi [95/46] põhjendusest 33 ja määruse põhjendusest 51 kujutada endast eriti rasket sekkumist põhiõigusesse eraelu puutumatusele ja põhiõigusesse isikuandmete kaitsele, mis on tagatud harta artiklitega 7 ja 8“.
(
20
)	Isikuandmete kaitse põhiõigus ei prevaleeri automaatselt mis tahes muu põhiõiguse ees, isegi kui kaalul on isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud andmete eriliigid – 24. septembri 2019. aasta kohtuotsus GC jt (delikaatsetele andmetele viitavate linkide eemaldamine) (C‑136/17, EU:C:2019:773, punktid 66–68).
(
21
)	Isikuandmete kaitse üldmääruse artikli 9 lõige 3.
(
22
)	Isikuandmete kaitse üldmääruse artikkel 88 annab liikmesriikidele õiguse võtta vastu „täpsemad eeskirjad, et tagada õiguste ja vabaduste kaitse seoses töötajate isikuandmete töötlemisega töösuhete kontekstis“. Selle sätte tõlgenduse osas viitan ma 30. märtsi 2023. aasta kohtuotsusele Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).
(
23
)	Nii tundub seda mõistvat eelotsusetaotluse esitanud kohus. Mina omakorda viitan 15. joonealusele märkusele eespool.
(
24
)	Nõustun komisjoniga, kui ta väidab, et „[isikuandmete kaitse üldmääruse artikli 9] teine lõik ei näe ette konkreetset hierarhiat ega võimalikku sõltuvussuhet erandite vahel, mis eksisteerivad võrdsetel alustel“ (tema kirjalike seisukohtade punkt 13).
(
25
)	Ei ole nõutud, nagu seda oli direktiivis 95/46, et andmeid töötleks „tervishoiutöötaja, kelle puhul kehtib […] ametisaladuse hoidmise kohustus, või mõni teine isik, kelle suhtes kehtib samaväärne saladuse hoidmise kohustus“ (kohtujuristi kursiiv). On siiski nõutud, et seda teeksid isikud, kellel on konfidentsiaalsuskohustus.
(
26
)	Viidates andmetele, mis on „oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud“, on isikuandmete kaitse üldmääruse põhjenduses 51 öeldud, et „lisaks sellise töötlemise erinõuetele tuleks kohaldada [kõnesoleva] määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses seadusliku töötlemise tingimustega“.
(
27
)	16. jaanuari 2019. aasta kohtuotsus Deutsche Post (C‑496/17, EU:C:2019:26, punkt 57 ja seal viidatud kohtupraktika). Delikaatsete andmete kohta vt 24. septembri 2019. aasta kohtuotsus GC jt (delikaatsetele andmetele viitavate linkide eemaldamine) (C‑136/17, EU:C:2019:773, punkt 64) ja 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (liiklusrikkumiste eest määratud karistuspunktid) (C‑439/19, EU:C:2021:504, punktid 96, 99, 100 ja 102).
(
28
)	Eelotsusetaotluse punktid 25–27. Ta viitab kahe eraldi üksuse – erijuhtumite üksuse ja IT-üksuse loomisele, kui kõne all on eksperdiarvamused IT-osakonna töötajate kohta (nt ZQ). Lõppeesmärk oleks see, et ühelgi meditsiiniteenistuse töötajal ei oleks tegelikult ligipääsu kaastöötaja terviseandmetele ega ka teadmist tema töövõime kontrollimise kohta.
(
29
)	Artikli 8 lõige 3. Nagu juba selgitasin, on isikuandmete kaitse üldmääruses laiendatud nende inimeste ringi, kellel on lubatud andmeid töödelda.
(
30
)	Lõige 4 lisati isikuandmete kaitse üldmääruse artiklisse 9 Saksamaa ettepanekul: nõukogu eesistuja 9. märtsi 2015. aasta dokument nr 6834/15.
(
31
)	Eelotsusetaotluse esitanud kohus kvalifitseerib meditsiiniteenistuse selliselt (eelotsusetaotluse punkt 16). Edaspidi mainin ma volitatud töötlejat üksnes siis, kui see on sobiv. Põhimõtteliselt on esimese kohta esitatud kaalutlused laiendatavad ka teisele.
(
32
)	Eelotsusetaotluse esitanud kohus pelgab eelkõige, et turvalisuse rikkumine annab ZQ töökaaslastele tema tervisliku seisundi kohta teavet, mis võib viia spekulatsioonideni tema tootlikkuse kohta. Ta lisab, et teave ainuüksi töövõimetust käsitleva meditsiinilise eksperdiarvamuse olemasolu kohta on delikaatne teave, kuna see võib viidata selle töövõimetuse simuleerimise võimalusele (eelotsusetaotluse punkt 26).
(
33
)	Vt eespool punkt 10.
(
34
)	Eelotsusetaotluse punkt 27.
(
35
)	Vt eespool 27. joonealune märkus. Isikuandmete kaitse üldmääruse artikli 6 ja artikli 9 vahelise seose kohta vt samuti kohtuasi C‑252/21, Meta Platforms jt (sotsiaalvõrgustiku kasutamise üldtingimused). Kohtujurist Rantos tegi ettepaneku 20. septembril 2022 (C‑252/21, EU:C:2022:704).
(
36
)	22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (liiklusrikkumiste eest määratud karistuspunktid) (EU:C:2021:504, punktid 96, 99, 100 ja 102).
(
37
)	Isikuandmete kaitse üldmääruse artikli 10 sisu oli enne direktiivi 95/46 artiklis 8. Viimane rühmitas kõik andmete eriliigid, kuid eristas õigusrikkumiste, süüdimõistvate kohtuotsuste või turvameetmetega seotud andmete töötlemist, mida käsitleti lõikes 5. Isikuandmete kaitse üldmääruses sätestatud formaalne eraldamine ei ole tingitud arusaama muutumisest, et süüdimõistvate kohtuotsuste või kuritegudega seotud isikuandmed on „delikaatsed“.
(
38
)	Nõukogu alaliste esindajate komitee 4. märtsi 2015. aasta dokument nr 17072/4/14 Rev 4, märkus 60.
(
39
)	See käsitleb nagu lõplikus versiooniski töötlemise seaduslikkust.
(
40
)	Nõukogu alaliste esindajate komitee 4. märtsi 2015. aasta dokument nr 17072/4/14 Rev 4, artikli 9 lõige 2 („Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]“ ja märkus 60.
(
41
)	Alates nõukogu eesistuja 9. märtsi 2015. aasta dokumendist nr 6834/15.
(
42
)	See ei hajutanud kindlasti kõigi delegatsioonide kahtlusi. Vt näiteks eesistuja 26. märtsi 2015. aasta dokument nr 7466/15, märkus 38.
(
43
)	Suunised 3/2020 terviseandmete töötlemise kohta teadusuuringute eesmärgil seoses COVID-19 puhanguga – 21.4.2020, punkt 15.
(
44
)	„Advice paper on special categories of data“, Ares(2011)444105 – 20.4.2011, lk 5.
(
45
)	See on ka komisjoni avalikult väljendatud seisukoht: „Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680“, 10.10.2016, lk 2; ja „Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680“, 20.2.2018, lk 2.
(
46
)	Kumuleerimisele või vastastikusele täiendavusele on poolehoidu näidanud näiteks T. Petri, „Art. 9“, teoses Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, marg. 26, kes tunnistab siiski, et see ei ole üksmeelne. Vastupidist toetab Euroopa Liidu Põhiõiguste Ameti Euroopa andmekaitseõiguse käsiraamat, 2018, peatükk 4.1.1.
(
47
)	Vastavalt andmesubjekti sõnaselge nõusolek, nõusoleku andmiseks võimetu füüsilise või juriidilise isiku eluliste huvide kaitseks vajalik töötlemine ning avaliku huvi tõttu vajalik töötlemine.
(
48
)	Eelotsusetaotluse punktid 30 ja 31.
(
49
)	Näiteks, kas andmesubjekti nõusolek, kui artikli 9 lõike 2 punktis h sätestatud loaga kaasnev õiguslik alus peab olema selles artiklis endas nõutav sõnaselge nõusolek või piisab artikli 6 lõike 1 punktis a sätestatud nõusolekust.
(
50
)	Teine ja kitsam küsimus on see, kas eelotsusetaotluse esitanud kohtu põhjendusi artikli 6 lõike 1 kohta arvestades oleks asjakohane selgitada selles sätestatud tingimuste, eelkõige punktides c ja e sätestatute tähendust. Selle kohta viitan ma Euroopa Kohtu praktikale: seoses direktiivi 95/46 sätetega 16. detsembri 2008. aasta kohtuotsus Huber (C‑524/06, EU:C:2008:724, punkt 62) ja 30. mai 2013. aasta kohtuotsus Worten (C‑342/12, EU:C:2013:355, punkt 37); seoses isikuandmete kaitse üldmäärusega 1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punkt 66 jj).
(
51
)	Eelotsusetaotluse esitanud kohus kaldub tuvastama isikuandmete kaitse üldmääruse artiklite 9 ja 6 rikkumise, mis tuleneb meditsiiniteenistuse tehtavast töötlemisest. Eelotsusetaotluse punktis 32 märgib ta, et rikkumine iseenesest annab õiguse hüvitisele; punktis 33 nõuab ta rikkumise automaatset sisustamist kahjuna („isikuandmete kaitse üldmääruse rikkumine tekitab juba mittevaralise kahju, mis annab õiguse hüvitisele“). Oma ettepanekus kohtuasjas C‑300/21 esitatud põhjustel ei jaga ma seda seisukohta.
(
52
)	Meditsiiniteenistuse seisukohtade punktid 78–80. Tema hinnangul põhjustas andmesubjekt ise endale kahju, kuna ta ei taotlenud toimikut ega kasutanud oma õigust sellega tutvuda vastavalt isikuandmete kaitse üldmääruse artiklile 15, vaid kasutas selle asemel oma üksuse kolleegi abi, mis põhjustas vaidlusaluste andmete vaatamise. Samasisuline kohtuotsus, mille tegi apellatsiooniastmes LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19, punkt 4.3.4.3.
(
53
)	Töötaja, kes töötas andmesubjektiga samas osakonnas, pääses andmetele ligi väljaspool asjaolusid, milleks talle on antud luba, st muul eesmärgil kui tema lepinguga hõlmatud tööülesannete täitmine.
(
54
)	Edaspidi kasutan terminit „juhtiv“ vaheldumisi sünonüümina mõistele „vastutav“.
(
55
)	Jättes kõrvale need, kes väidavad, et tegemist on reguleerimata aspektiga, lahknevad arvamused objektiivse vastutuse süsteemi pooldajate ja nende vahel, kes pooldavad süülist vastutust koos tõendamiskohustuse ümberpööramisega. Tegelikkuses, nagu ka teiste valdkondlike (tsiviil)vastutusrežiimide puhul, ei usu ma, et isikuandmete kaitse üldmäärus sobitub täielikult kummagi peamise teoreetilise paradigma alla, mille piirid ei ole samuti väga täpsed. Selle sõnastus sobib mõlemasse, kusjuures see sisaldab nüansse, mis lõppkokkuvõttes ajavad mudelid segamini: esimese puhul kõrge hoolsuskohustuse tõttu, mida tuleks tõendada, et vältida süüstamist; teise puhul hoolsuskohustuse/hooletusega seotud hinnangute sisseviimise tõttu vabastamise alustesse või rikkumise tuvastamisel sõltuvalt vaidlusaluse õigusnormi olemusest.
(
56
)	Lõikes 2, mida võib pidada lõike 1 vastaspooleks, sest selles vaadeldakse vastutust kohustatud isikute poolelt, ei mainita samuti mingit süü nõuet.
(
57
)	Hispaaniakeelses versioonis esineb mõiste „omistatav“ aga isikuandmete kaitse üldmääruse artikli 47 lõike 2 punktis f, mis seoses teabega, millest see seab kontsernisiseste eeskirjade rikkumise korral heakskiitmise sõltuvusse, viitab vastutusest vabastamisele liidusiseste ja ‑väliste tegevuskohtadega kontsernides. Saksakeelses versioonis on kasutatud sõnastust dem betreffenden Mitglied nicht zur Last gelegt werden kann.
(
58
)	Vrd artikli 82 lõige 3, artikli 68 lõige 4 või artikli 75 lõige 6.
(
59
)	Artikli 83 lõike 2 punkt b ja lõige 3. Nende tõlgendamise kohta esitasin ma oma ettepaneku kohtuasjas C‑807/21, Deutsche Wohnen (EU:C:2023:360).
(
60
)	Teiste seas nõukogu eesistuja 16. detsembri 2013. aasta dokumendist nr 17831/13 andmekaitse töörühmale, märkus 542.
(
61
)	Muudatusettepanek nr 2819, mille tegi S. Ilchev, „Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)“, dokument PE501.927v04-00, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence“. Kohtujuristi kursiiv.
(
62
)	Vt teksti, mis lisati 12. märtsi 2014. aasta seadusandlikule resolutsioonile komisjoni ettepaneku kohta (ELT 2017, C 378, lk 399).
(
63
)	Eesistuja 27. mai 2015. aasta dokument nr 9083/15 JSK andmekaitse töörühma liikmetele. Valikute erinevus seisneb artikli 77 lõigetes 3–6. Lõige 1, mis sätestab vastutava töötleja ja volitatud töötleja vastutuse põhimõtte, ja lõige 2, mis näitab mõlema vastutuse materiaalset ulatust, piiritledes volitatud töötleja vastutuse, kattusid.
(
64
)	Loc. cit., punkt 5.
(
65
)
(
66
)	Või kui volitatud töötleja on rikkunud vastutava töötleja juhiseid vastavalt isikuandmete kaitse üldmäärusele.
(
67
)	Võimalusega hilisemaks kordamiseks: artikli 77 lõige 6 esimese valiku puhul.
(
68
)	Eesistuja 27. mai 2015. aasta dokument nr 9083/15 JSK andmekaitse töörühma liikmetele, punkt 7. Ühendkuningriigi delegatsioon oli avalikult sõnastanud süülise vastutuse. Nende argumente silmas pidades esitati vastav küsimus teistele (eesistuja 13. aprilli 2015. aasta dokument nr 7722/15 andmekaitse töörühmale, punktid 10 ja 11). Lõplikult pakutud variant näib järgivat Saksamaa delegatsiooni (6. mai 2015. aasta dokument nr 8150/1/15 Rev 1) osutatud kompromissi, milles eristatakse vastutava/volitatud töötleja ja andmesubjekti vahelise suhte ning nende omavahelise suhte valdkonda ning kohaldatakse selleks tahtlusel või hooletusel põhinevat süüd: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation“. Andmesubjekti puhul võimaldaks hooletuse puudumine vastutusest vabastada.
(
69
)	Loc. cit, punkt 6, mis lõpeb nii: „In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages“.
(
70
)	Selle valiku puhul artikli 77 lõige 4a: „If a data subject is not able to bring a claim for compensation against the controller […]“.
(
71
)	Nõukogu eesistuja 11. juuni 2015. aasta dokument nr 9565/15.
(
72
)	Kohtujuristi kursiiv. Paralleelselt selle täiendusega jäetakse välja põhjenduses 118 esitatud näited erandite kohta: allpool punkt 104 jj.
(
73
)	Isikuandmete kaitse üldmääruse põhjendus 10.
(
74
)	Viitan oma ettepanekule kohtuasjas C‑300/21. Nagu ma seal märkisin, tahab seadusandja julgustada isikuandmete kaitse eeskirjade eraõiguslikku jõustamist. Selleks on isikuandmete kaitse üldmääruse VIII peatükis antud andmesubjektile vahendid. Üks neist on tsiviilvastutuse alusel kahju hüvitamine, kuid sellel ei ole karistusfunktsiooni.
(
75
)	See oli üks komisjoni ettepanekus esitatud argumente, et minna direktiivist 95/46/EÜ kaugemale.
(
76
)	Isikuandmete kaitse üldmääruse põhjendus 77.
(
77
)	Mida tuleks täpsustada – vastutusel on ennetav roll, kuivõrd see mõjutab isiku otsust teostatava tegevuse taseme kohta. Minu pakutud tõlgendus võimaldab siduda isikuandmete kaitse üldmääruse artikli 82 selliste töötlemise põhimõtetega nagu eesmärgi piirang, võimalikult väheste andmete kogumine ja õigsus (isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktid b, c ja d).
(
78
)	Muutes hooletuse omistatavuse kriteeriumiks.
(
79
)	Vt eespool 52. joonealune märkus.
(
80
)	Eelotsusetaotluse esitanud kohtu seisukoht (vt 51. joonealune märkus). Tema arvates ei tohiks vastutuse omistamisel olla tähtsust tema andmete vaatamist taotlenud andmesubjekti osalemisel. See võib siiski olla oluline hüvitise suuruse määramisel.
(
81
)	Meditsiiniteenistuse ja eelotsusetaotluse esitanud kohtu seisukoht (vt 52. joonealune märkus). Tegelikult võib väita, et selles stsenaariumis puudub „kahju“ komponent: volenti non fit iniuria.
(
82
)	Eelotsusetaotluse punkt 40.
(
83
)	Erinevalt teistest sektoritest (nt tootevastutuse puhul) ei ole isikuandmete kaitse üldmääruses erandi tegemise põhjuste hindamine ammendava loetelu vormis.
(
84
)
(
85
)	Vastutav töötleja „võidakse sellest kohustusest vabastada, kui ta tõestab, et ta ei ole kahju eest vastutav, seda eelkõige juhul, kui ta tuvastab andmesubjekti süü või kui tegemist on vääramatu jõuga“. Kohtujuristi kursiiv.
(
86
)	Komisjoni ettepaneku põhjendus 118.
(
87
)	Euroopa Parlamendi 12. märtsi 2014. aasta seadusandlikule resolutsioonile komisjoni ettepaneku kohta lisatud teksti põhjendus 118.
(
88
)	Eespool punkt 84 jj. Näited on esitatud nõukogus peetud läbirääkimisi käsitletavates dokumentides, kuid mitte enam 11. juuni 2015. aasta dokumendi nr 9565/15 kompromisstekstis.
(
89
)	Viitan peamiselt eesistuja 27. mai 2015. aasta dokumendile nr 9083/15 JSK andmekaitse töörühma liikmetele.
(
90
)	Arvestades konteksti (kordan, et erilist tähelepanu pööratakse töötlejate paljususe juhtumile), on õiguspärane järeldada, et võimalus selles mõttes oleks vastutava töötleja puhul tõendada, et kahju tekkis üksnes volitatud töötleja tegevuse tagajärjel, ja vastupidi.
(
91
)	Samuti mitte vääramatu jõud, mis oli teine direktiivi 95/46 põhjenduses 55 sõnaselgelt nimetatud põhjus (vt eespool punkt 105).
(
92
)	Ma ei välista muidugi kolmanda osapoole sekkumist. Selle aspekti kohta vt kohtujurist Pitruzzella ettepanek, mille ta esitas 27. aprillil 2023 kohtuasjas Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353).
(
93
)	Direktiivist 95/46 tulenenud kahtluste kõrvaldamiseks täpsustatakse isikuandmete kaitse üldmääruses, et see hõlmab ka mittevaralist kahju. Põhjenduses 146 viidatakse „igasugusele kahjule“ ja rõhutatakse, et mõistet „kahju“ tuleb Euroopa Kohtu praktikat arvestades tõlgendada laialt. Viite täpne ulatus on endiselt vaieldav.
(
94
)	Selles ei ole märgitud, kas kahju väärtuse kindlaksmääramiseks tuleks igal juhul kasutada skaalat või tuleks eelistada ühekordseid summasid või kasutada muid arvutussüsteeme.
(
95
)	Sellisteks teguriteks võivad olla: a) need, mida on soovitanud eelotsusetaotluse esitanud kohus; b) andmesubjekti süü, mida meditsiiniteenistus väidab oma seisukohtade punktis 80; c) muud tegurid, näiteks hüvitise suuruse ülemmäärade kehtestamine, et mitte põhjendamatult pärssida andmete töötlemise toiminguid või nendest sõltuvat majandustegevust.
(
96
)	Eespool punkt 87 jj.
(
97
)	Direktiiv 95/46 ei sätestanud selles osas midagi. Isikuandmete kaitse üldmääruse ettevalmistavatest töödest mingeid viiteid selle punkti arutamisele ma ei leidnud.
(
98
)	Nõukogu 27. juuli 1994. aasta määrus (EÜ) nr 2100/94 ühenduse sordikaitse kohta (EÜT 1994, L 227, lk 1; ELT eriväljaanne 03/16, lk 390), artikli 94 lõige 2; või Euroopa Parlamendi ja nõukogu 29. aprilli 2004. aasta direktiiv 2004/48/EÜ intellektuaalomandi õiguste jõustamise kohta (ELT 2004, L 157, lk 45; ELT eriväljaanne 17/02, lk 32), artikkel 13, põhjendus 26.
(
99
)	Isikuandmete kaitse üldmääruse artikli 83 lõike 2 punkt b ja põhjendus 148. Selles raamistikus ei võeta proportsionaalsuse kriteeriumi arvesse mitte ainult seoses toiminguga, vaid ka seoses sellega, kas trahv paneb füüsilisele isikule ebaproportsionaalse koormuse. Iirimaa valitsus teeb oma seisukohtade punktis 54 ettepaneku laiendada seda kriteeriumi tsiviilvastutusele. Jällegi puudub tekstiline argument, et seda saaks pidada artikli 82 lahutamatuks osaks; seda ei toeta ei ettevalmistavad tööd, ei normi eesmärk ega selle roll üldises pildis.
(
100
)	Tõhus hüvitis peab suutma täita oma ülesannet kaitsta õigust andmekaitsele.
(
101
)	Mõlemad vastutavad tsiviilvastutuse korras isikuandmete kaitse üldmääruse artikli 82 lõigete 2 ja 3 alusel. Nad vastutavad kogu kahju eest sõltumata sellest, mil määral nad kahju tekkimisele kaasa aitasid.
(
102
)	Ma ei välista, et on muid asjaolusid, mille esinemine õigustab summa vähendamist: mõtlen näiteks konkreetsetel juhtudel hüvitise saamise õiguse kaalumist (ja selle kaudu andmekaitse) muude sama järgu asjade või õigustega. Isikuandmete kaitse üldmääruses on omadussõna täielik eesmärk ka teatud liiki kahju (mittevaralise kahju) katmise tagamine; vältida hüvitise piirdumist tekkivate kahjudega (see peab sisaldama muid mõisteid, nagu Euroopa Kohus on teistes valdkondades märkinud) ning tagada, et töötlejate paljusus ei takistaks kasutada õigust hüvitisele, vaid pigem vastupidi.