62023CJ0021_RES
Zaak C‑21/23
ND
tegen
DR
[verzoek van het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) om een prejudiciële beslissing]
Arrest van het Hof (Grote kamer) van 4 oktober 2024
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Hoofdstuk VIII – Beroep – Verkoop van geneesmiddelen door een apotheker via een onlineplatform – Vordering die door een concurrent van die apotheker bij de civiele rechter op grond van het verbod op oneerlijke handelspraktijken is ingesteld wegens schending door die apotheker van de in die verordening opgenomen verplichtingen – Procesbevoegdheid – Artikel 4, punt 15, en artikel 9, leden 1 en 2 – Richtlijn 95/46/EG – Artikel 8, leden 1 en 2 – Begrip ‚gegevens over gezondheid’ – Voorwaarden voor de verwerking van dergelijke gegevens”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Rechtsmiddelen – Niet-uitputtende aard – Nationale regeling op grond waarvan concurrenten van de vermeende dader van een inbreuk op de verplichtingen van de verordening bij de civiele rechter een vordering kunnen instellen op grond van het verbod op oneerlijke handelspraktijken – Toelaatbaarheid
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 77 tot en met 80)
(zie punten 53‑57, 60, 62‑73, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Begrip „gegevens over de gezondheid” – Bij een bestelling verstrekte informatie over klanten van een exploitant van een apotheek die op een onlineplatform geneesmiddelen verkoopt – Informatie betreffende de naam van die klanten en het afleveradres en de informatie die nodig is om te weten om welke geneesmiddelen het specifiek gaat – Daaronder begrepen – Verkoop van geneesmiddelen die zonder recept verkrijgbaar zijn – Geen invloed
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punten 1 en 15, en art. 9, lid 1; richtlijn 95/46 van het Europees Parlement en de Raad, art. 8, lid 1)
(zie punten 84, 88‑91, dictum 2)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Verwerking van bijzondere categorieën van persoonsgegevens – Verbod – Uitzonderingen
(Verordening 2016/679 van het Europees Parlement en de Raad, overweging 53, art. 9, leden 1 en 2; richtlijn 95/46 van het Europees Parlement en de Raad, art. 8, leden 1 en 2)
(zie punten 86, 87, 92, 93)
Samenvatting
Het Hof (Grote kamer), dat door het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) is verzocht om een prejudiciële beslissing, spreekt zich uit over de aard en de omvang van de beroepsmogelijkheden op het gebied van gegevensbescherming (
1
) alsmede over het begrip „gegevens over de gezondheid” (
2
).
ND en DR, twee natuurlijke personen, exploiteren elk een apotheek in Duitsland. ND verkoopt sinds 2017 geneesmiddelen die uitsluitend in apotheken mogen worden verkocht op het onlineplatform „Amazon‑Marketplace”. Bij de onlinebestelling van deze geneesmiddelen moeten de klanten van ND informatie invoeren zoals hun naam, het afleveradres en de gegevens die nodig zijn om te weten om welke geneesmiddelen het specifiek gaat.
Met een beroep op de Duitse wetgeving inzake oneerlijke mededinging (
3
) heeft DR bij de nationale civiele rechter een verbodsactie ingesteld tegen ND. DR heeft aangevoerd dat de verkoop van geneesmiddelen door ND oneerlijk was omdat er niet was voldaan aan het wettelijke vereiste om vooraf toestemming van de klant te verkrijgen voor de verwerking van zijn gezondheidsgegevens.
Nadat de lagere rechters de vordering van DR hadden toegewezen, heeft ND beroep in Revision ingesteld bij de verwijzende rechter, die het noodzakelijk heeft geacht om de zaak voor een prejudiciële beslissing naar het Hof te verwijzen.
In zijn arrest komt het Hof tot de slotsom dat de beroepsmogelijkheden die het AVG biedt niet uitputtend zijn en dat deze verordening er niet aan in de weg staat dat de lidstaten in hun nationale recht voorzien in de mogelijkheid voor concurrenten van de vermeende dader van een inbreuk op de materiële bepalingen van de verordening om die inbreuk voor de rechter aan te vechten als oneerlijke handelspraktijk. Daarnaast verduidelijkt het Hof ook het begrip „gegevens over de gezondheid”.
Beoordeling door het Hof
In de eerste plaats merkt het Hof op dat hoofdstuk VIII AVG weliswaar niet specifiek een open clausule kent die het voor de lidstaten uitdrukkelijk mogelijk maakt om te voorzien in die beroepsmogelijkheid voor concurrenten, maar dat uit de bewoordingen en de context van dat hoofdstuk volgt dat de Uniewetgever die mogelijkheid niet heeft willen uitsluiten. Deze uitlegging wordt bevestigd door de doelstellingen van de AVG.
Om te beginnen doet een verbodsactie die een concurrent op grond van het verbod op oneerlijke handelspraktijken tegen een onderneming instelt wegens beweerde inbreuk op de materiële bepalingen van de AVG namelijk op geen enkele wijze afbreuk aan de beroepsmogelijkheden waarin die verordening voorziet, en ook niet aan de doelstelling om natuurlijke personen in de gehele Europese Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen.
In dit verband wijst het Hof erop dat het juist is dat die actie mogelijkerwijs, zij het incidenteel, gebaseerd is op een inbreuk op dezelfde bepalingen van de AVG als die welke ten grondslag liggen aan een klacht of een vordering die is ingediend of is ingesteld door de betrokkenen of door een organisatie die hen vertegenwoordig (
4
). Het is echter zo dat een verbodsactie van een concurrent, in tegenstelling tot die in de AVG neergelegde beroepsmogelijkheden, als zodanig niet tot doel heeft de grondrechten en de fundamentele vrijheden van de betrokkenen in verband met de verwerking van hun persoonsgegevens te beschermen, maar is gericht op het waarborgen van eerlijke mededinging, met name in het belang van die concurrent.
Daarnaast vormt de mogelijkheid voor een concurrent om bij de civiele rechter een dergelijke actie in te stellen op grond van het verbod op oneerlijke handelspraktijken, een aanvulling op de beroepsmogelijkheden die zijn neergelegd in de AVG en die onverkort blijven bestaan en nog steeds kunnen worden uitgeoefend door de betrokkenen en eventueel ook door organisaties die hen vertegenwoordigen. Met name vormt de omstandigheid dat er zowel beroepsmogelijkheden op grond van het recht inzake gegevensbescherming als op grond van het mededingingsrecht zijn, geen gevaar voor de uniforme handhaving van deze verordening.
Bovendien komt de verwezenlijking van de doelstelling om de betrokkenen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, niet in het gedrang doordat ook andere personen dan alleen de betrokkenen zelf en organen, organisaties en verenigingen zich kunnen beroepen op de materiële bepalingen van de AVG. Ook al zou een lidstaat niet in die mogelijkheid voorzien, er zou namelijk nog steeds geen sprake zijn van een gefragmenteerde handhaving van het gegevensbeschermingsrecht in de Unie, aangezien de materiële bepalingen van de AVG in gelijke mate bindend zijn voor alle verwerkingsverantwoordelijken en de naleving ervan wordt verzekerd via de beroepsmogelijkheden waarin deze verordening voorziet.
Voorts merkt het Hof, wat de doelstelling om een doeltreffende bescherming van de betrokkenen in verband met de verwerking van hun persoonsgegevens te waarborgen en de doeltreffendheid van de materiële bepalingen van de AVG betreft, op dat, ofschoon een verbodsactie die is ingesteld door een concurrent van de vermeende dader van een inbreuk op de bescherming van persoonsgegevens niet op die doelstelling is gericht maar op het waarborgen van eerlijke mededinging, dit niet wegneemt dat die verbodsactie er ongetwijfeld toe bijdraagt dat die bepalingen worden nageleefd en bijgevolg dat de rechten van de betrokkenen worden versterkt en hun een hoog beschermingsniveau wordt geboden. Bovendien kan een dergelijke door een concurrent ingestelde verbodsactie, net als de vordering die wordt ingesteld door organisaties die consumentenbelangen behartigen, bijzonder doeltreffend zijn om die bescherming te verzekeren, aangezien daarmee een groot aantal schendingen kan worden voorkomen van de rechten van personen op wie de verwerking van de persoonsgegevens betrekking heeft. (
5
)
Het Hof stelt dan ook vast dat de bepalingen van de AVG die zien op de beroepsmogelijkheden aldus moeten worden uitgelegd dat zij zich niet verzetten tegen een nationale regeling die voorziet in de bevoegdheden tot optreden van de voor het toezicht op en de handhaving van die verordening bevoegde autoriteiten en in de aan de betrokkene geboden rechtsbeschermingsmogelijkheden, maar daarnaast ook aan concurrenten van een persoon van wie wordt gesteld dat hij inbreuk heeft gemaakt op de bescherming van persoonsgegevens de bevoegdheid verleent om bij inbreuk op de verordening bij de civiele rechter een vordering tegen de inbreukmaker in te stellen op grond van het verbod op oneerlijke handelspraktijken.
In de tweede plaats komt het Hof, waar het gaat om het begrip „gegevens over de gezondheid”, tot de slotsom dat hieronder ook de gegevens vallen die een klant invoert op een onlineplatform wanneer hij geneesmiddelen bestelt die alleen in apotheken mogen worden verkocht. Uit deze gegevens kan namelijk door het leggen van beredeneerde verbanden of door deductie informatie over de gezondheidstoestand van de betrokkene (
6
) worden afgeleid, aangezien er bij de bestelling een verband wordt gelegd tussen een geneesmiddel, de therapeutische indicaties en het gebruik van dat geneesmiddel, en een natuurlijke persoon die wordt geïdentificeerd of kan worden geïdentificeerd aan de hand van gegevens zoals de naam van die persoon of het afleveradres.
Verder is het Hof van oordeel dat het dienaangaande niet ter zake doet dat voor de verkoop van de bestelde geneesmiddelen geen recept nodig is en die geneesmiddelen dus mogelijkerwijs niet bestemd zijn voor de klant die de bestelling heeft geplaatst, maar voor derden. Wanneer een gebruiker van een onlineplatform persoonsgegevens invoert bij de bestelling van geneesmiddelen die alleen in apotheken mogen worden verkocht maar waarvoor geen recept nodig is, moet de verwerking van die gegevens door de exploitant van een apotheek die deze geneesmiddelen via dat onlineplatform verkoopt, dan ook worden beschouwd als een verwerking van gegevens over de gezondheid (
7
), aangezien bij deze verwerking informatie over de gezondheidstoestand van een natuurlijke persoon aan het licht kan komen. (
8
)
Een uitlegging die ertoe zou leiden dat een onderscheid wordt gemaakt afhankelijk van het soort geneesmiddel waar het over gaat en de vraag of er voor de verkoop ervan al dan niet een recept nodig is, zou namelijk niet stroken met de doelstelling om een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, met name van hun privéleven, te waarborgen in verband met de verwerking van persoonsgegevens die hen betreffen. Een dergelijke uitlegging zou bovendien indruisen tegen de met artikel 8, lid 1, van richtlijn 95/46 en artikel 9, lid 1, AVG nagestreefde doelstelling, die erin bestaat een verhoogde bescherming te bieden tegen verwerkingen die wegens de bijzondere gevoeligheid van de gegevens die er het voorwerp van zijn, een bijzonder ernstige inmenging kunnen opleveren in de grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens. (
9
) Bijgevolg is de informatie die de klanten invoeren bij het online bestellen van geneesmiddelen die alleen in apotheken mogen worden verkocht maar waarvoor geen recept nodig is, aan te merken als gegevens over de gezondheid, ook al zijn die geneesmiddelen slechts met een zekere mate van waarschijnlijkheid – en niet met absolute zekerheid – voor die klanten bestemd.
Het Hof voegt hieraan toe dat niet kan worden uitgesloten dat zelfs wanneer de geneesmiddelen bestemd zijn voor andere personen dan de klanten, het toch mogelijk is om deze personen te identificeren en conclusies over hun gezondheidstoestand te trekken. Dit zou bijvoorbeeld het geval kunnen zijn wanneer de betrokken geneesmiddelen niet bij de besteller worden afgeleverd, maar bij een andere persoon, of wanneer de klant, ongeacht het afleveradres, in zijn bestelling of de daarop betrekking hebbende communicatie heeft verwezen naar een andere identificeerbare persoon, zoals een lid van zijn gezin.
Ten slotte wijst het Hof erop dat het feit dat de gegevens die aan de orde zijn, gegevens over de gezondheid zijn er niet aan in de weg staat dat deze gegevens met name bij het beheer van gezondheidszorgdiensten en -stelsels worden verwerkt, mits is voldaan aan een van de voorwaarden die dienaangaande worden gesteld (
10
). Dit kan met name het geval zijn wanneer de betrokkene uitdrukkelijk toestemming geeft voor een of meerdere verwerkingen van dergelijke persoonsgegevens nadat de specifieke kenmerken en doeleinden van die verwerkingen hem op een nauwkeurige, volledige en begrijpelijke wijze zijn meegedeeld. Voorts kan de verwerking toelaatbaar zijn wanneer deze noodzakelijk is voor het verstrekken van gezondheidszorg op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker.
(
1
)	Hoofdstuk VIII van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).
(
2
)	Als bedoeld in respectievelijk artikel 8, lid 1, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31) en artikel 9, lid 1, AVG.
(
3
)	Gesetz gegen den unlauteren Wettbewerb (wet inzake oneerlijke mededinging) van 3 juli 2004 (BGBl. 2004 I, blz. 1414), in de versie die van toepassing is op het hoofdgeding.
(
4
)	Zie de artikelen 77 tot en met 80 AVG.
(
5
)	Zie in die zin arrest van 28 april 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, punten 74 en 75).
(
6
)	In de zin van artikel 4, punt 1, AVG.
(
7
)	In de zin van artikel 8, lid 1, van richtlijn 95/46 en artikel 9, lid 1, AVG.
(
8
)	Zie in die zin arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk) (C‑252/21, EU:C:2023:537, punt 73).
(
9
)	Zie arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punt 126 en aldaar aangehaalde rechtspraak).
(
10
)	Voor de voorwaarden zie artikel 8, lid 2, van richtlijn 95/46 en artikel 9, lid 2, AVG.