62023CC0021
NÁVRHY GENERÁLNEHO ADVOKÁTA
MACIEJ SZPUNAR
prednesené 25. apríla 2024 (
1
)
Vec C‑21/23
ND
proti
DR
[návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof (Spolkový súdny dvor Nemecko)]
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Prostriedky nápravy – Vymedzenie prostriedkov nápravy – Spracúvanie osobitných kategórií osobných údajov – Pojmy ‚údaje týkajúce sa zdravia‘ v zmysle smernice 95/46/ES a ‚údaje týkajúce sa zdravia‘ v zmysle nariadenia (EÚ) 2016/679“
I. Úvod
1.
Prejednávaná vec sa týka výkladu viacerých ustanovení nariadenia (EÚ) 2016/679 (
2
) (ďalej len „GDPR“) týkajúcich sa jednak systému prostriedkov nápravy zavedeného týmto nariadením a jednak kategórie osobitne citlivých údajov, ktorými sú „údaje týkajúce sa zdravia“.
2.
Návrh na začatie prejudiciálneho konania bol podaný v konaní o žalobe o upustenie od protiprávneho konania založenej na zákaze nekalého súťažného konania vo vnútroštátnom práve a podanej podnikom s cieľom dosiahnuť, aby jeden z jeho konkurentov ukončil distribúciu liekov, ktorých výdaj nie je viazaný na lekársky predpis, na internete. Údajným nekalým súťažným konaním je podľa tohto podniku nerešpektovanie požiadaviek vyplývajúcich z GDPR, ktoré sa vzťahujú na spracovanie „údajov týkajúcich sa zdravia“.
3.
Svoju analýzu začnem preskúmaním druhej prejudiciálnej otázky, ktorá umožní Súdnemu dvoru spresniť pojem „údaje týkajúce sa zdravia“, ktorý je určujúci pre to, či sa uplatní posilnená ochrana.
4.
Ak totiž údaje, o ktoré ide v prejednávanej veci, nemožno kvalifikovať ako „údaje týkajúce sa zdravia“ v zmysle článku 9 ods. 1 GDPR, vyplýva z toho, že nedošlo k údajnému nekalému súťažnému konaniu. V tom prípade nie je potrebné odpovedať na prvú prejudiciálnu otázku, ktorá sa týka toho, či systém prostriedkov nápravy zavedený GDPR umožňuje, aby vo vnútroštátnom práve existoval prostriedok nápravy založený na porušení predpisov upravujúcich zákaz nekalého súťažného konania, v ktorom sa osoba, ktorá ho podáva, odvoláva na porušenie hmotnoprávnych ustanovení GDPR.
II. Právny rámec
A. Právo Únie
1.
Smernica 95/46/ES
5.
Smernica 95/46/ES (
3
) vo svojom článku 8 ods. 1 stanovuje:
„Členské štáty môžu zabrániť [zabránia – neoficiálny preklad] spracovaniu osobných údajov prezrádzajúcich rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenia, členstvo v odborových zväzoch a spracovaniu údajov týkajúcich sa zdravia alebo sexuálneho života.“
2.
GDPR
6.
Odôvodnenia 9, 10, 13, 35, 51 a 142 GDPR znejú takto:
„(9)
Ciele a zásady [smernice 95/46] zostávajú platné, nepodarilo sa však zabrániť rozdielom pri vykonávaní ochrany údajov v Únii, právnej neistote ani rozšírenému vnímaniu verejnosti, že v súvislosti s ochranou fyzických osôb existujú značné riziká, a to najmä v online prostredí. Rozdiely, ktoré existujú v členských štátoch, pokiaľ ide o úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní osobných údajov, najmä práva na ochranu osobných údajov, môžu brániť voľnému toku osobných údajov v Únii. Uvedené rozdiely preto môžu predstavovať prekážku pri vykonávaní hospodárskych činností na úrovni Únie, narúšať hospodársku súťaž a brániť orgánom v plnení úloh, ktoré majú vykonávať na základe práva Únie. Takýto rozdiel v úrovni ochrany je spôsobený existenciou rozdielov vo vykonávaní a uplatňovaní smernice [smernice 95/46].
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci Únie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …
…
(13)
S cieľom zaručiť konzistentnú úroveň ochrany fyzických osôb v celej Únii a zabrániť rozdielom, ktoré sú prekážkou voľného pohybu osobných údajov v rámci vnútorného trhu, je potrebné prijať nariadenie, ktorým sa poskytne právna istota a transparentnosť pre hospodárske subjekty vrátane mikropodnikov a malých a stredných podnikov, a ktorým sa fyzickým osobám vo všetkých členských štátoch poskytne rovnaká úroveň právne vymožiteľných práv, ktorým sa prevádzkovateľom a sprostredkovateľom uložia povinnosti a zodpovednosti, ktorým sa zabezpečí konzistentné monitorovanie spracúvania osobných údajov a ktorým sa stanovia rovnocenné sankcie vo všetkých členských štátoch, ako aj účinná spolupráca dozorných orgánov rozličných členských štátov.…
…
(35)
Osobné údaje týkajúce sa zdravia by mali zahŕňať všetky údaje týkajúce sa zdravotného stavu dotknutej osoby, ktoré poskytujú informácie o minulom, súčasnom alebo budúcom fyzickom alebo duševnom zdravotnom stave dotknutej osoby. Zahŕňajú aj informácie o fyzickej osobe získané pri registrácii na účely poskytovania služieb zdravotnej starostlivosti danej fyzickej osobe alebo pri ich poskytovaní podľa [smernice 2011/24/EÚ (
4
)]; číslo, symbol alebo osobitný údaj, ktorý bol fyzickej osobe pridelený na individuálnu identifikáciu tejto fyzickej osoby na zdravotné účely; informácie získané na základe vykonania testov alebo prehliadok častí organizmu alebo telesných látok vrátane genetických údajov a biologických vzoriek; a akékoľvek informácie, napríklad o chorobe, zdravotnom postihnutí, riziku ochorenia, anamnéze, klinickej liečbe, alebo o fyziologickom alebo biomedicínskom stave dotknutej osoby bez ohľadu na zdroj týchto informácií, či už pochádzajú napríklad od lekára alebo iného zdravotníckeho pracovníka, z nemocnice, zo zdravotníckej pomôcky alebo z vykonania diagnostického testu in vitro.
…
(51)
Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. … Takéto osobné údaje by sa nemali spracúvať, pokiaľ spracúvanie nie je povolené v osobitných prípadoch stanovených v tomto nariadení, pričom sa zohľadní, že právo členských štátov môže stanoviť osobitné ustanovenia o ochrane údajov, ktorými prispôsobia uplatňovanie pravidiel tohto nariadenia na účely splnenia zákonnej povinnosti alebo úlohy realizovanej vo verejnom záujme či pri výkone verejnej moci zverenej prevádzkovateľovi. Okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie. Výnimky zo všeobecného zákazu spracúvania týchto osobitných kategórií osobných údajov by sa mali výslovne uviesť okrem iného vtedy, ak dotknutá osoba poskytla svoj výslovný súhlas alebo v súvislosti s osobitnými potrebami, najmä ak spracúvanie vykonávajú v rámci legitímnych činností určité združenia alebo nadácie, ktorých účelom je umožniť výkon základných slobôd.
…
(142)
Ak sa dotknutá osoba domnieva, že sa jej práva podľa tohto nariadenia porušujú, mala by mať právo poveriť neziskový subjekt, organizáciu alebo združenie zriadené v súlade s právom členského štátu, ktorých ciele podľa stanov sú vo verejnom záujme a ktoré pôsobia v oblasti ochrany osobných údajov, aby podali sťažnosť v jej mene na dozornom orgáne, uplatnili právo na súdny prostriedok nápravy v mene dotknutých osôb, alebo ak je to stanovené v práve členského štátu, uplatnili právo na náhradu škody v mene dotknutých osôb. Členský štát môže stanoviť, aby takýto subjekt, organizácia alebo združenie mali nezávisle od poverenia dotknutej osoby právo podať sťažnosť v tomto členskom štáte a právo na účinný súdny prostriedok nápravy, ak má dôvody domnievať sa, že došlo k porušeniu práv dotknutej osoby v dôsledku spracúvania osobných údajov, ktoré je v rozpore s týmto nariadením. Takémuto subjektu, organizácii alebo združeniu sa nesmie povoliť domáhať sa náhrady škody v mene dotknutej osoby nezávisle od poverenia dotknutej osoby.“
7.
Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, stanovuje:
„1.   Týmto nariadením sa stanovujú pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov a pravidlá týkajúce sa voľného pohybu osobných údajov.
2.   Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.
3.   Voľný pohyb osobných údajov v rámci Únie sa nesmie obmedziť ani zakázať z dôvodov súvisiacich s ochranou fyzických osôb pri spracúvaní osobných údajov.“
8.
Článok 4 tohto nariadenia stanovuje:
„Na účely tohto nariadenia:
1.
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
…
15.
‚údaje týkajúce sa zdravia‘ sú osobné údaje týkajúce sa fyzického alebo duševného zdravia fyzickej osoby, vrátane údajov o poskytovaní služieb zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave;
…“
9.
Podľa článku 9 toho istého nariadenia, nazvaného „Spracúvanie osobitných kategórií osobných údajov“:
„1.   Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2.   Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
a)
dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
…
h)
spracúvanie je nevyhnutné na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti alebo liečby, alebo riadenia systémov a služieb zdravotnej alebo sociálnej starostlivosti na základe práva Únie alebo práva členského štátu alebo podľa zmluvy so zdravotníckym pracovníkom, a podlieha podmienkam a zárukám uvedeným v odseku 3;
…“
10.
Články 77 až 84 sa nachádzajú v kapitole VIII GDPR, nazvanej „Prostriedky nápravy, zodpovednosť a sankcie“.
11.
Článok 77 tohto nariadenia, nazvaný „Právo podať sťažnosť dozornému orgánu“, v odseku 1 stanovuje:
„Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.“
12.
Článok 78 toho istého nariadenia, nazvaný „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“, v odseku 1 uvádza:
„Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.“
13.
Článok 79 toho istého nariadenia, nazvaný „Právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi“, vo svojom odseku 1 stanovuje:
„Bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s týmto nariadením došlo k porušeniu jej práv ustanovených v tomto nariadení.“
14.
Článok 80 GDPR, nazvaný „Zastupovanie dotknutých osôb“, uvádza:
„1.   Dotknutá osoba má právo poveriť neziskový subjekt, organizáciu alebo združenie, ktoré boli riadne zriadené v súlade s právom členského štátu, ktorých ciele podľa stanov sú vo verejnom záujme a ktoré pôsobia v oblasti ochrany práv a slobôd dotknutých osôb, pokiaľ ide o ochranu ich osobných údajov, aby podali sťažnosť v jej mene, aby v jej mene uplatnili práva podľa článkov 77, 78 a 79 a aby v jej mene uplatnili právo na náhradu škody podľa článku 82, ak to umožňuje právo členského štátu.
2.   Členské štáty môžu stanoviť, že akýkoľvek subjekt, organizácia alebo združenie uvedené v odseku 1 tohto článku má v tomto členskom štáte nezávisle od poverenia dotknutej osoby právo podať sťažnosť dotknutému dozornému orgánu, ktorý je príslušný podľa článku 77, a uplatňovať práva uvedené v článkoch 78 a 79, ak sa domnieva, že boli porušené práva dotknutej osoby uvedené v tomto nariadení v dôsledku spracúvania.“
15.
Článok 82 tohto nariadenia, nazvaný „Právo na náhradu škody a zodpovednosť“, v odseku 1 stanovuje:
„Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.“
16.
Článok 84 tohto nariadenia, nazvaný „Sankcie“, v odseku 1 uvádza:
„Členské štáty stanovia pravidlá pre iné sankcie za porušenia tohto nariadenia, predovšetkým za tie, na ktoré sa nevzťahujú správne pokuty podľa článku 83, a prijmú všetky opatrenia potrebné na zabezpečenie ich vykonávania. Takéto sankcie musia byť účinné, primerané a odrádzajúce.“
B. Nemecké právo
1.
Zákon proti nekalej súťaži
17.
Ustanovenie § 3 Gesetz gegen den unlauteren Wettbewerb (zákon o nekalej súťaži) z 3. júla 2004 (
5
) v znení, ktoré sa uplatňuje na spor vo veci samej (ďalej len „zákon proti nekalej súťaži“), nazvaného „Zákaz nekalých obchodných praktík“, v odseku 1 stanovuje, že „nekalé obchodné praktiky sú zakázané“.
18.
Ustanovenie § 3a tohto zákona, nazvaného „Porušenie práva“, znie takto:
„Nekalej praktiky sa dopustí ten, kto koná v rozpore s právnym predpisom, ktorý je určený najmä na to, aby v záujme subjektov pôsobiacich na trhu reguloval trhové správanie, ak toto konanie môže citeľne obmedziť záujmy spotrebiteľov, iných subjektov na trhu alebo konkurentov.“
19.
Ustanovenie § 8 uvedeného zákona, nazvaného „Upustenie od protiprávneho konania a zdržanie sa protiprávneho konania“, uvádza:
„1.   Proti každému, kto sa dopustí nedovolenej obchodnej praktiky v zmysle § 3 alebo § 7, možno podať návrh na upustenie od protiprávneho konania a v prípade rizika opakovania aj návrh na nariadenie predbežného opatrenia na zdržanie sa konania.…
…
3.   Návrhy uvedené v odseku 1 môže podať:
(1)
každý konkurent, ktorý predáva alebo požaduje tovar alebo služby nie v zanedbateľnom rozsahu a nie iba príležitostne,
…“
2.
Zákon o liekoch
20.
Obeh liekov upravuje Arzneimittelgesetz (zákon o liekoch) z 24. augusta 1976 v znení zverejnenom 12. decembra 2005 (
6
), ktoré naposledy zmenil § 8c zákona z 20. decembra 2022 (
7
). Tento zákon rozlišuje medzi liekmi predávanými v lekárňach, uvedenými v jeho § 43 (nazvanom „Povinnosť distribúcie v lekárňach“) až 47, a liekmi, ktorých predaj je viazaný na lekársky predpis, uvedenými v jeho § 48 (nazvanom „Požiadavka lekárskeho predpisu“).
III. Skutkový stav vo veci samej, konanie a prejudiciálna otázka
21.
ND a DR prevádzkujú každý vlastnú lekáreň. Žalobca vo veci samej, ND, je okrem toho držiteľom oprávnenia na zásielkový obchod a svoj tovar, vrátane liekov, ktorých predaj je vyhradený lekárňam, predáva prostredníctvom Amazon Marketplace (ďalej len „Amazon“), čo je elektronická obchodná platforma, prostredníctvom ktorej môžu predávajúci ponúkať výrobky na predaj priamo spotrebiteľom.
22.
Žalovaný vo veci samej, DR, podal žalobu o upustenie od protiprávneho konania, ktorou sa domáhal, aby bol ND uložený zákaz distribuovať na online predajnej platforme Amazon lieky, ktorých predaj je vyhradený lekárňam. Podľa DR predstavuje takáto distribúcia nekalé súťažné konanie, keďže vedie k tomu, že ND porušuje zákonné ustanovenie v zmysle § 3a zákona proti nekalej súťaži, a to najmä článok 9 GDPR upravujúci získanie predchádzajúceho a výslovného súhlasu zákazníka so spracovaním jeho osobných údajov týkajúcich sa zdravia.
23.
Landgericht Dessau‑Roßlau (Krajinský súd Dessau‑Roßlau, Nemecko) vyhovel tejto žalobe. Oberlandesgericht Naumburg (Vyšší krajinský súd Naumburg, Nemecko) následne zamietol odvolanie, ktoré podal ND, keď rozhodol, že jeho distribúcia liekov, ktorých predaj je vyhradený lekárňam, na platforme Amazon, je v rozpore so zákonom proti nekalej súťaži. Podľa tohto súdu totiž táto distribúcia predstavuje spracovanie údajov týkajúcich sa zdravia v zmysle článku 9 ods. 1 GDPR, ku ktorému zákazníci výslovne nedali svoj súhlas. Ustanovenia GDPR však treba považovať za pravidlá správania na trhu v zmysle vnútroštátneho práva hospodárskej súťaže, takže DR ako súťažiteľ má právo uplatňovať návrh na upustenie od protiprávneho konania založený na vnútroštátnom práve hospodárskej súťaže s odvolaním sa na to, že ND porušil ustanovenia tohto nariadenia.
24.
ND podal na vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, Bundesgerichtshof (Spolkový súdny dvor, Nemecko), opravný prostriedok „Revision“, v ktorom trvá na svojich návrhoch na zamietnutie žaloby o upustenie od protiprávneho konania.
25.
Podľa vnútroštátneho súdu výsledok konania o opravnom prostriedku „Revision“ závisí od výkladu tak kapitoly VIII GDPR, ako aj článku 9 tohto nariadenia a článku 8 ods. 1 smernice 95/46.
26.
Tento súd totiž jednak zdôrazňuje, že treba určiť, či má žalobca vo veci samej ako súťažiteľ požadovanú aktívnu legitimáciu podať z dôvodu porušení GDPR proti osobe, ktorá sa ich dopustila, žalobu na občianskoprávne súdy na základe zákazu nekalých obchodných praktík. Vnútroštátny súd spresňuje, že ide o kontroverznú otázku, na ktorú možno odpovedať tak, že pravidlá obsiahnuté v GDPR, ktoré majú presadzovať uplatňovanie jeho ustanovení, sú úplné, takže aktívna legitimácia súťažiteľov podľa práva hospodárskej súťaže je vylúčená. Možno však tiež obhajovať názor, že ustanovenia GDPR, ktoré majú monitorovať uplatňovanie práva, nie sú úplné a že súťažitelia teda majú požadovanú aktívnu legitimáciu na to, aby prostredníctvom žaloby uplatnili právo na upustenie od protiprávneho konania s odvolaním sa na porušenie tohto nariadenia.
27.
Vnútroštátny súd okrem toho tvrdí, že treba určiť, či údaje, ktoré zákazníci musia zadať pri online objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale ktorých výdaj nie je viazaný na lekársky predpis, predstavujú údaje týkajúce sa zdravia v zmysle článku 9 ods. 1 GDPR a predtým článku 8 ods. 1 smernice 95/46, pretože právo na upustenie od protiprávneho konania existuje iba vtedy, ak správanie ND bolo protiprávne v čase, keď sa ho dopustil a zároveň v čase pojednávania o opravnom prostriedku „Revision“.
28.
Práve za týchto okolností Bundesgerichtshof (Spolkový súdny dvor) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Bránia ustanovenia kapitoly VIII [GDPR] vnútroštátnej právnej úprave, ktorá – popri intervenčných právomociach dozorných orgánov, ktoré sú príslušné na monitorovanie a vykonávanie nariadenia a možnostiach dotknutých osôb na právnu ochranu – konkurentom priznáva oprávnenie, aby pre porušenia všeobecného nariadenia o ochrane údajov podali žalobu na občianskoprávnych súdoch z dôvodu zákazu používania nekalých obchodných praktík?
2.
Sú údaje, ktoré zákazníci lekárne, ktorá na internetovej predajnej platforme vystupuje ako predajca, zadávajú na tejto platforme pri objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale nie sú viazané na lekársky predpis (meno zákazníka, dodacia adresa a informácie, ktoré sú nevyhnutné pre individualizovanie objednaného lieku, ktorého predaj je vyhradený lekárňam), údajmi týkajúcimi sa zdravia v zmysle článku 9 ods. 1 [GDPR], ako aj údajmi týkajúcimi sa zdravia v zmysle článku 8 ods. 1 smernice 95/46?“
29.
Prejednávaný návrh na začatie prejudiciálneho konania bol doručený Súdnemu dvoru 19. januára 2023. Účastníci konania vo veci samej, nemecká vláda a Európska komisia podali písomné pripomienky. Tí istí účastníci konania boli zastúpení na pojednávaní, ktoré sa konalo 9. januára 2024.
IV. Analýza
30.
V prejednávanej veci DR tvrdí, že ND porušil článok 9 GDPR tým, že spracúva údaje zákazníkov, ktorí si objednali online lieky, ktorých výdaj nie je viazaný na lekársky predpis, bez splnenia požiadaviek, ktoré si vyžadujú získať na spracovanie týchto údajov výslovný súhlas zákazníkov.
31.
Vo svojej prvej prejudiciálnej otázke sa vnútroštátny súd v podstate pýta, či sa ustanovenia kapitoly VIII GDPR majú vykladať v tom zmysle, že bránia vnútroštátnym ustanoveniam, ktoré priznávajú podnikom právo odvolávať sa na základe zákazu nekalého súťažného konania na porušenia hmotnoprávnych ustanovení GDPR, ktorých sa údajne dopustili ich konkurenti. Vo svojej druhej prejudiciálnej otázke sa tento súd pýta Súdneho dvora na to, či sa článok 9 GDPR má vykladať v tom zmysle, že údaje, o ktoré ide, sú údajmi týkajúcimi sa zdravia, a teda patria k osobitným kategóriám údajov uvedeným v tomto ustanovení. (
8
)
32.
Na úvod, ako som už zdôraznil, uvádzam, že ak je odpoveď na druhú otázku záporná, netreba odpovedať na prvú, keďže odpoveď Súdneho dvora by v takomto prípade postačovala na to, aby vnútroštátny súd rozhodol v spore, ktorý prejednáva. Za týchto okolností si myslím, že je vhodné, aby som svoju analýzu prejudiciálnych otázok začal touto druhou otázkou.
A. O druhej prejudiciálnej otázke
33.
Svojou druhou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či údaje zákazníkov lekárne odovzdané pri objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale ktoré nie sú viazané na lekársky predpis, na online predajnej platforme, predstavujú „údaje týkajúce sa zdravia“ v zmysle článku 9 ods. 1 GDPR.
34.
Na úvod považujem za potrebné spresniť, že pojem „údaje týkajúce sa zdravia“ uvedený v článku 9 ods. 1 GDPR je definovaný v článku 4 bode 15 tohto nariadenia. Odpoveď na druhú prejudiciálnu otázku teda predpokladá spoločný výklad týchto dvoch ustanovení.
1.
O výklade pojmu „údaje týkajúce sa zdravia“ s prihliadnutím na existujúcu judikatúru
35.
Podľa článku 4 bodu 15 GDPR predstavujú „údaje týkajúce sa zdravia“ osobné údaje týkajúce sa fyzického alebo duševného zdravia fyzickej osoby, vrátane údajov o poskytovaní služieb zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave.
36.
Táto definícia je navyše podložená odôvodnením 35 GDPR. Súdny dvor tiež zdôraznil vo svoje judikatúre, že „[toto odôvodnenie] uvádza, že osobné údaje týkajúce sa zdravia by mali zahŕňať všetky údaje týkajúce sa zdravotného stavu dotknutej osoby, ktoré ‚poskytujú [odhaľujú – neoficiálny preklad]‘ informácie o minulom, súčasnom alebo budúcom fyzickom alebo duševnom zdravotnom stave dotknutej osoby“ (
9
).
37.
Zo znenia článku 4 bodu 15 GDPR spresneného odôvodnením 35 tohto nariadenia teda vyplýva, že rozhodujúcim kritériom na určenie, že určité osobné údaje predstavujú údaje týkajúce sa zdravia je skutočnosť, že z dotknutých údajov je možné vyvodiť závery o zdravotnom stave dotknutej osoby. Inak povedané, „údaje týkajúce sa zdravia“ sa neobmedzujú iba na zdravotné údaje alebo údaje priamo súvisiace so zdravotnými problémami, ale zahŕňajú aj každý údaj umožňujúci vyvodiť závery o zdravotnom stave dotknutej osoby, či už ide o patologický alebo fyziologický stav.
38.
Toto je potvrdené cieľom sledovaným článkom 9 GDPR. Súdny dvor tak vo svojej judikatúre zdôraznil, že účelom tohto ustanovenia je zaručiť zvýšenú ochranu proti spracúvaniu, ktoré z dôvodu osobitnej citlivosti údajov, ktoré sú jeho predmetom, môže predstavovať, ako to vyplýva z odôvodnenia 51 nariadenia GDPR, obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov, zaručených článkami 7 a 8 Charty základných práv Európskej únie. (
10
)
39.
Osobitnú citlivosť údajov týkajúcich sa zdravia možno totiž vysvetliť tým, že tieto údaje sa týkajú informácií, ktoré patria do najintímnejšej sféry osôb a môžu odhaľovať ich zraniteľnosť. Táto osobitná citlivosť a v dôsledku toho osobitná potreba ich ochrany sú [napokon] uznané nielen v práve Únie, ale aj v judikatúre Európskeho súdu pre ľudské práva, ktorý zdôrazňuje, že „rešpektovanie dôvernosti informácií o zdraví je podstatnou zásadou právneho systému všetkých zmluvných strán [Európskeho dohovoru o ochrane ľudských práva a základných slobôd, podpísaného v Ríme 4. novembra 1950]“ (
11
).
40.
S prihliadnutím na tento cieľ teda treba podľa judikatúry Súdneho dvora vykladať extenzívne pojem „osobitné kategórie osobných údajov“, medzi ktoré patria údaje týkajúce sa zdravia, takže nejde len o údaje, ktoré sú zo svojej podstaty citlivé, ale aj údaje, ktoré odhaľujú informácie tejto povahy nepriamo na základe myšlienkového pochodu spočívajúceho vo vyvodení alebo v spojení súvislostí. (
12
)
41.
V tejto súvislosti zdôrazňujem, že Európsky výbor pre ochranu údajov zriadený v článku 68 a nasl. GDPR prijal tiež takýto pojem „údajov týkajúcich sa zdravia“, keď zdôraznil, že kvalifikáciu informácie ako „údaja týkajúceho sa zdravia“ neurčuje iba jej vlastná povaha, ale aj okolnosti sprevádzajúce jej získanie a spracovanie, a uvádza v tejto súvislosti rôzne príklady. Podľa tohto výboru teda predstavujú „údaje týkajúce sa zdravia“ informácie obsiahnuté v zdravotnom zázname, informácie, ktoré odhaľujú zdravotný stav, keďže s inými údajmi na seba navzájom odkazujú, alebo tiež údaje, ktoré sa stanú údajmi týkajúcimi sa zdravia z dôvodu ich použitia v špecifickom kontexte, ako napríklad informácie týkajúce sa cesty spracúvané zdravotníckym pracovníkom na účely stanovenia diagnózy. (
13
) Naproti tomu „údajmi týkajúci sa zdravia“ nie sú údaje zhromaždené aplikáciou, ktorá umožňuje merať počet krokov urobených dotknutou osobou, keď táto aplikácia nedokáže spájať tieto údaje s inými údajmi tejto osoby a keď zhromaždené údaje nie sú spracúvané v lekárskom kontexte. (
14
)
42.
Z článku 4 bodu 15 a z článku 9 GDPR tak, ako sú vykladané v judikatúre, teda jasne vyplýva, že za „údaje týkajúce sa zdravia“ v zmysle týchto ustanovení sa musia považovať údaje, ktoré môžu umožňovať vyvodiť závery o zdravotnom stave dotknutej osoby.
43.
Konštatujem teda, že na prvý pohľad nemožno poprieť, že online objednávka liekov, ktorých výdaj nie je viazaný na lekársky predpis, predpokladá spracovanie údajov, z ktorých možno vyvodiť určité informácie týkajúce sa zdravia, alebo aspoň dáva určité indície o zdraví, keďže naznačuje súvislosť medzi nákupom lieku, ktorý je tovarom týkajúcim sa zdravia par excellence, a identitou kupujúceho. Podľa môjho názoru však z dôvodov, ktoré teraz vysvetlím, z informácií, ktoré Súdnemu dvoru odovzdal vnútroštátny súd, vyplýva, že táto súvislosť je príliš slabá a indície, ktoré z nich možno vyvodiť, príliš nepresné alebo hypotetické na to, aby bolo možné dotknuté údaje kvalifikovať ako „údaje týkajúce sa zdravia“ v zmysle článku 4 bodu 15 a článku 9 GDPR.
2.
O požiadavke určitého stupňa istoty záverov, ktoré možno vyvodiť o zdravotnom stave dotknutej osoby
44.
Považujem za potrebné poskytnúť niekoľko spresnení týkajúcich sa tohto výkladu pojmu „údaje týkajúce sa zdravia“ a predovšetkým pojmu „osobitná kategória údajov“ vo všeobecnosti.
45.
Jednak si myslím, že na základe týchto spresnení výkladu sa možno domnievať, že tovar objednaný online môže odhaľovať všeobecné informácie týkajúce sa zdravotného stavu osoby, ale aj, ako to vyplýva z článku 9 GDPR, rasového alebo etnického pôvodu, politických názorov, náboženského alebo filozofického presvedčenia alebo sexuálnej orientácie osoby. Podľa môjho názoru niektoré informácie týkajúce sa týchto rôznych charakteristík dotknutej osoby možno vyvodiť z tovaru objednaného online.
46.
Svoje slová môžem podložiť viacerými príkladmi. Objednávka knihy od politika môže potenciálne naznačovať súhlas s myšlienkami, ktoré tento politik zastáva, objednávka oblečenia môže byť znakom náboženského presvedčenia jednotlivca alebo objednávka erotického tovaru môže predstavovať nepriamy dôkaz o sexuálnej orientácii osoby. Aby sa na obrovskú časť spracúvania údajov týkajúcich sa online obchodu nevzťahovala úprava stanovená v článku 9 ods. 2 GDPR, považujem preto za nevyhnutné ešte viac precizovať výklad pojmu „údaje týkajúce sa zdravia“ v tom zmysle, že závery, ktoré možno vyvodiť z údajov obsiahnutých v objednávke, nesmú byť iba možné. Inými slovami, podľa môjho názoru informácie o zdravotnom stave dotknutej osoby, ktoré odhaľujú dané údaje, nemôžu byť iba domnienkami, ale musia vykazovať určitú mieru istoty.
47.
Navyše si myslím, že okrem prípadov, v ktorých sú údaje zo svojej podstaty „údajmi týkajúcimi sa zdravia“, otázka, či údaje možno takto kvalifikovať, závisí od okolností každého prípadu. Konkrétnejšie si myslím, že závery, ktoré je možné vyvodiť z týchto údajov, závisia od kontextu, v ktorom boli tieto údaje zhromaždené a od spracovania, ktorého sú predmetom. Ako to zdôrazňuje Európsky výbor pre ochranu údajov zriadený v článku 68 a nasl. GDPR, údaje, ktoré na prvý pohľad nesúvisia s oblasťou zdravia, ako sú napríklad informácie týkajúce sa cesty, možno napriek tomu považovať za „údaje týkajúce sa zdravia“, keď sú posudzované v lekárskom kontexte a spojené s inými informáciami, aby v uvedenom príklade preukázali potenciálnu kontamináciu baktériou alebo vírusom, ktorý sa vyskytuje v danom regióne.
48.
Zdôrazňujem predovšetkým, že osobitne relevantným kritériom v tejto súvislosti je totožnosť prevádzkovateľa spracovania údajov. Myslím si totiž, že pokiaľ sú údaje spracúvané orgánom z oblasti zdravotníctva, môže to predstavovať nepriamy dôkaz toho, že sú skutočne „údajmi týkajúcimi sa zdravia“. Naproti tomu tie isté údaje možno kvalifikovať odlišne z dôvodu, že nie sú spracúvané zdravotníckym zariadením a nemôžu byť spojené s inými údajmi dotknutej osoby. Inak povedané, ten istý údaj môže odhaľovať o zdravotnom stave osoby viac informácií, keď je spracúvaný zdravotníckou inštitúciou, ktorá ich dokáže interpretovať alebo má k dispozícii iné údaje týkajúce sa osoby ako v prípade, keď je spracúvaný orgánom, ktorý nepatrí do tohto odvetvia.
49.
Za týchto okolností si myslím, že prináleží vnútroštátnemu súdu, aby preskúmal tak podstatu údajov, o ktoré ide, ako aj všetky okolnosti ich spracúvania, aby určil, či z nich možno s dostatočnou mierou určitosti vyvodiť informácie týkajúce sa zdravotného stavu dotknutej osoby.
50.
So zreteľom na informácie obsiahnuté v rozhodnutí vnútroštátneho súdu si však myslím, že možno poskytnúť spresnenia s cieľom usmerniť ho pri rozhodovaní v spore vo veci samej. (
15
)
3.
O skutočnostiach relevantných pri preskúmaní možnosti vyvodiť informácie o zdravotnom stave dotknutej osoby vykonávanom vnútroštátnym súdom
51.
V prvom rade, pokiaľ ide o tovary, ktoré sú predmetom objednávky, zdôrazňujem, že lieky, o ktoré ide, teda lieky, ktorých výdaj nie je viazaný na lekársky predpis, nie sú v zásade určené na liečbu osobitného stavu, ale možno ich užívať všeobecnejšie na liečbu bežných ochorení, s ktorými sa môže stretnúť každý a ktoré nie sú príznakmi žiadnej konkrétnej choroby alebo zdravotného stavu. Navyše tieto lieky sú často kupované aj preventívne, aby boli k dispozícii v prípade potreby alebo napríklad pred odchodom z miesta obvyklého bydliska. Napríklad objednávka paracetamolu neumožňuje vyvodiť žiaden záver o konkrétnom stave osoby, pretože táto molekula je indikovaná na liečbu rôznych druhov bolesti a horúčkových stavov a často patrí k liekom, ktoré majú jednotlivci k dispozícii doma bez toho, aby to bolo konkrétne potrebné.
52.
V druhom rade, ako zdôrazňuje ND, skutočnosť, že osoba si online objedná liek, ktorého výdaj nie je viazaný na lekársky predpis, nevyhnutne neznamená, že tento liek bude užívať táto osoba, ktorej údaje sú spracúvané, a nie iná osoba z jej domácnosti alebo okruhu. Je totiž bežné, že objednávku v internetovom obchode uskutoční osoba, ktorá má užívateľský účet na tejto stránke v mene a na účet osoby, ktorá ho nemá. Bez lekárskeho predpisu, ktorý menovite označuje osobu, ktorej je liek určený a na základe ktorého treba predpokladať, že užívateľ lieku a kupujúci je tá istá osoba, nemožno z objednávky produktu voľne dostupného online vyvodiť, že ho má užívať kupujúci a iba on. Z toho vyplýva, že z týchto údajov nemožno dôvodne vyvodiť žiadny záver o zdravotnom stave osoby, ktorej údaje sú spracúvané tak, aby tieto údaje bolo možné kvalifikovať ako „údaje týkajúce sa zdravia“.
53.
Pokiaľ niečo iné nevyplynie z overenia, ktoré musí vykonať vnútroštátny súd, uvedené platí o to viac, že v treťom rade, osoba môže urobiť objednávku cez internet bez toho, aby musela poskytnúť presné údaje o svojej totožnosti, predovšetkým vtedy, keď sa tovar nedoručuje na adresu dotknutej osoby, ale cez výdajné miesto a keď sa nevyžaduje žiadny iný údaj o totožnosti na účely fakturácie.
54.
Myslím si teda, že na druhú prejudiciálnu otázku treba odpovedať v tom zmysle, že údaje zákazníkov lekárne odovzdané pri objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale ktoré nie sú viazané na lekársky predpis, na online predajnej platforme, nepredstavujú „údaje týkajúce sa zdravia“ v zmysle článku 4 bodu 15 a článku 9 GDPR, pretože z nich možno vyvodiť iba hypotetické alebo nepresné závery o zdravotnom stave osoby umiestňujúcej objednávku online, čo prináleží overiť vnútroštátnemu súdu.
55.
Navyše považujem za potrebné ďalej spresniť, že podľa môjho názoru vykladať pojem „údaje týkajúce sa zdravia“ tak, že zahŕňa údaje odovzdané pri objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale ktoré nie sú viazané na lekársky predpis, na online predajnej platforme, môže paradoxne viesť k odhaleniu viacerých citlivých informácií z dôvodu režimu posilnenej ochrany upraveného v článku 9 ods. 2 GDPR. Žiadosť o výslovný súhlas so spracovaním údajov, ktoré už boli identifikované ako citlivé, by totiž v konečnom dôsledku mohla viesť kupujúceho k tomu, aby odhalil totožnosť konečného užívateľa produktu. V tejto situácii by bolo možné vyvodiť presnejšie závery o zdravotnom stave tejto osoby.
B. O prvej prejudiciálnej otázke
56.
S prihliadnutím na odpoveď, ktorú navrhujem dať na druhú prejudiciálnu otázku, netreba podľa môjho názoru odpovedať na prvú prejudiciálnu otázku. Pre úplnosť a vzhľadom na posúdenie, ktoré bude musieť vykonať vnútroštátny súd, však posúdim túto otázku, ktorou sa vnútroštátny súd v podstate pýta, či sa ustanovenia kapitoly VIII GDPR majú vykladať v tom zmysle, že bránia vnútroštátnym ustanoveniam, ktoré priznávajú podnikom právo odvolávať sa na základe zákazu nekalého súťažného konania na porušenia hmotnoprávnych ustanovení tohto nariadenia, ktorých sa údajne dopustili ich konkurenti.
57.
Účastníci konania odpovedali na túto otázku diametrálne odlišne. Po prvé podľa Komisie a ND systém prostriedkov nápravy zavedený ustanoveniami kapitoly VIII GDPR, vykladaný s prihliadnutím na ciele tohto nariadenia, treba chápať ako úplný systém, vylučujúci akúkoľvek možnosť členských štátov upraviť vo vnútroštátnom práve alternatívne prostriedky nápravy.
58.
Po druhé podľa nemeckej vlády treba systém prostriedkov nápravy zavedený ustanoveniami kapitoly VIII GDPR chápať ako minimálny súbor prostriedkov nápravy, ktorý môžu členské štáty doplniť. Neúplnosť takéhoto systému je odôvodnená tým, že cieľom GDPR je chrániť aj podmienky hospodárskej súťaže a zabrániť narušeniam, ktoré by mohli vyplynúť z rôznej úrovne ochrany údajov a že možnosť súťažiteľa odvolávať sa na to, že iný súťažiteľ porušil hmotnoprávne ustanovenia tohto nariadenia posilňuje jeho správne fungovanie.
59.
Účastníci konania teda sústredili svoje pripomienky na to, či systém prostriedkov nápravy zavedený GDPR treba chápať ako úplný harmonizovaný systém, od čoho podľa nich závisí možnosť členských štátov upraviť vo svojom vnútroštátnom práve prostriedky, ktoré sú alternatívou k tým, ktoré stanovuje toto nariadenie.
60.
Hoci je však určenie toho, či je systém prostriedkov nápravy úplný alebo neúplný, relevantné na účely užitočnej odpovede na prvú prejudiciálnu otázku, myslím si, že z dôvodov, ktoré vysvetlím, si takáto analýza vyžaduje preskúmať najprv otázku identifikácie osôb, ktoré požívajú ochranu poskytovanú tak hmotnoprávnymi, ako aj procesnými normami GDPR, ktorá je v pozadí. Myslím si totiž, že ak by sa za nositeľov práv priznaných GDPR mali považovať podniky, ktoré sú prevádzkovateľmi spracovania údajov, treba toto nariadenia vykladať tak, že vyžaduje, aby vnútroštátne právo zaviedlo prostriedky nápravy na uplatnenie týchto práv. Svoju analýzu teda začnem touto otázkou a následne odpoviem na otázku, či systém prostriedkov zavedený GDPR treba chápať ako úplný v tom zmysle, že vylučuje možnosť ponúkanú vo vnútroštátnom práve podniku podať na základe zákazu nekalého súťažného konania žalobu o upustenie od protiprávneho konania proti konkurentovi s odvolaním sa na to, že tento konkurent porušil ustanovenia tohto nariadenia.
1.
Identifikácia nositeľov práv priznaných GDPR
61.
Najprv sa pokúsim spresniť potrebu takejto identifikácie, aby som ju následne vykonal a napokon vysvetlil vplyv, ktorý má identifikácia dotknutých osôb ako jediných nositeľov práv priznaných GDPR na odpoveď na prvú prejudiciálnu otázku.
a)
O potrebe určiť nositeľov práv chránených GDPR
62.
Potrebu identifikovať na účely odpovede na prejudiciálnu otázku najprv nositeľov práv chránených GDPR pred preskúmaním otázky úplnosti systému prostriedkov nápravy, ktorý toto nariadenie zavádza, možno podľa môjho názoru vysvetliť dvomi spôsobmi.
1) Povinnosť členských štátov upraviť prostriedky na uplatnenie práva vyplývajúceho z práva Únie
63.
Zdôrazňujem, že podľa ustálenej judikatúry právo Únie neukladá jednotlivcom len povinnosti, ale má im tiež priznávať práva, ktoré patria do ich právneho majetku, (
16
) pričom Súdny dvor v tejto súvislosti zdôraznil, že tieto práva vznikajú okrem iného aj v dôsledku povinností uložených tak jednotlivcom, ako aj členským štátom a inštitúciám Únie. (
17
) Každej povinnosti uloženej fyzickej alebo právnickej osobe totiž vo všeobecnosti zodpovedá právo priznané v prospech inej osoby.
64.
Navyše nie je sporné, že každé právo priznané jednotlivcovi právom Únie má za následok aj existenciu právneho prostriedku určeného konkrétne na uplatnenie tohto práva, pričom ak právo Únie neobsahuje osobitné pravidlá na tento účel, prináleží členským štátom, aby zabezpečili dodržiavanie dotknutých práv pomocou prostriedkov vnútroštátneho práva. (
18
) Z judikatúry totiž jasne vyplýva, že je úlohou vnútroštátnych súdov chrániť práva, ktoré ustanovenia práva Únie priznávajú jednotlivcom. (
19
)
65.
Ak by sa GDPR malo vykladať tak, že okrem dotknutých osôb chráni aj podmienky hospodárskej súťaže na trhu, a teda v konečnom dôsledku podniky, ako to tvrdí nemecká vláda, potom by sa bolo treba domnievať, že toto nariadenie priznáva práva, ktoré patria do právneho majetku týchto podnikov. (
20
)
66.
Za týchto okolností, keďže neexistuje výslovné ustanovenie práva Únie na tento účel, by dodržiavanie práv, ktoré by podniky vyvodzovali z GDPR, muselo byť možné zabezpečiť prostriedkami, ktoré upravia členské štáty.
67.
Z toho by vyplývalo, že bez toho, aby bolo potrebné preskúmať, či je systém prostriedkov nápravy zavedený GDPR úplný alebo nie, by na prvú prejudiciálnu otázku bolo treba odpovedať v tom zmysle, že kapitola VIII tohto nariadenia sa nemá vykladať tak, že nebráni možnosti členských štátov upraviť právo súťažiteľa podať žalobu proti inému podniku s odvolaním sa na porušenie uvedeného nariadenia, ale má sa vykladať dokonca v tom zmysle, že vyžaduje, aby dodržiavanie jeho ustanovení mohlo byť zabezpečené žalobou podanou podnikom proti konkurentovi s odvolaním sa na to, že porušil tieto ustanovenia. (
21
)
68.
Odpoveď na prvú prejudiciálnu otázku teda podľa môjho názoru závisí od identifikácie nositeľov práv priznaných GDPR.
2) Dvojaký rozmer úplnosti systému prostriedkov nápravy
69.
Samotný pojem „úplnosť systému prostriedkov nápravy“ sa môže vzťahovať na dva odlišné rozmery, ktoré predpokladajú odlišnú analýzu a vyžadujú si najprv identifikovať osoby, ktoré sú nositeľmi práv, ktorých dodržiavanie zabezpečuje tento systém.
70.
Prvý rozmer sa týka úplnosti systému prostriedkov nápravy vo vzťahu k akémukoľvek inému prostriedku určenému na ochranu toho istého práva. Inak povedané, ide o otázku úplnosti prostriedkov upravených právom Únie na ochranu práv, ktoré jeho normy priznávajú jednotlivcom. Súdny dvor sa už vo svojej judikatúre vyjadril k vplyvu, ktorý má úplnosť prostriedkov stanovených právom Únie na ochranu samotného práva priznaného právom Únie. Rozhodol tak ustálene napríklad o tom, že režim zodpovednosti úplne harmonizovaný právom Únie môže napriek tomu existovať súbežne s alternatívnym režimom zodpovednosti upraveným vnútroštátnym právom, ktorý spočíva na rovnakých skutočnostiach a rovnakom základe, pod podmienkou, že tento alternatívny režim nepoškodzuje harmonizovaný režim a jeho ciele a potrebný účinok. (
22
) Iba úplnosť systému prostriedkov nápravy stanoveného právom Únie teda nestačí na vylúčenie možnosti členského štátu upraviť vo vnútroštátnom práve alternatívny prostriedok nápravy založený na tom istom práve, pokiaľ sú dodržané určité podmienky.
71.
Druhý rozmer pojmu „úplnosť systému prostriedkov nápravy“ stanoveného právom Únie je všeobecnejší a týka sa úplnosti vo vzťahu k akémukoľvek inému prostriedku uplatnenému osobami, ktoré nie sú priamo nositeľmi práv priznaných právom Únie, ale napriek tomu sa na ne odvolávajú v rámci prostriedku upraveného vnútroštátnym právom. Takéto chápanie úplnosti systému prostriedkov nápravy zavedeného právom Únie si teda vyžaduje odlišnú analýzu. (
23
)
72.
Na účely náležitej analýzy prípadnej úplnosti systému prostriedkov nápravy stanoveného GDPR, treba teda najprv určiť nositeľov práv, ktoré toto nariadenie priznáva, čo sa pokúsim urobiť v nasledujúcich úvahách.
b)
O identifikácii nositeľov práv chránených GDPR
73.
Osobnú pôsobnosť ochrany, ktorú priznáva GDPR, treba podľa môjho názoru určiť s prihliadnutím tak na ciele, ako aj obsah tohto nariadenia.
74.
Pokiaľ ide najprv o ciele GDPR, nemecká vláda v tejto súvislosti tvrdí, že toto nariadenie má okrem cieľa, ktorým je zabezpečiť vysokú a konzistentnú úroveň ochrany fyzických osôb, vytvoriť rovnaké podmienky hospodárskej súťaže.
75.
Je pravda, že v odôvodnení 9 GDPR sa uvádza, že rozdiely v ochrane práva na ochranu osobných údajov pri ich spracovaní môžu narúšať hospodársku súťaž. Podľa môjho názoru však zároveň platí, že takéto spresnenie nemožno vykladať tak, že zo záruky slobodnej a nenarušenej hospodárskej súťaže robí cieľ GDPR. Skutočnosť, že rozdiely v právnych úpravách medzi členskými štátmi, pokiaľ ide o pravidlá uložené podnikom, skresľujú hospodársku súťaž, sa mi javí ako jednoduché konštatovanie, ktoré nie je špecifické pre GDPR. Pokiaľ hmotnoprávne ustanovenia regulujú činnosť podnikov na trhu v jednom členskom štáte prísnejšie ako v druhom, nevyhnutne z toho pre podniky vykonávajúce činnosť v tomto druhom členskom štáte vyplýva v porovnaní s podnikmi usadenými v prvom z nich určitá súťažná výhoda, ktorú môže zmierniť každá harmonizačná úprava.
76.
Myslím si, že takýto výklad potvrdzuje odkaz urobený v odôvodnení 9 GDPR na potrebu zaručiť „voľný tok osobných údajov v Únii“, ktorý je potenciálne ohrozený rozdielmi vo vnútroštátnych právnych rámcoch.
77.
Navyše, ako zdôraznila Komisia na pojednávaní, odôvodnenie 9 GDPR sa netýka hospodárskej súťaže existujúcej medzi akýmikoľvek podnikmi, ale predovšetkým hospodárskej súťaže medzi podnikmi z dvoch rôznych členských štátov vyplývajúcej z rôznych právnych rámcov. Inak povedané, ide hlavne o zaručenie rovnakých podmienok hospodárskej súťaže v rôznych členských štátoch tým, že na podniky sa vzťahujú harmonizované pravidlá, hoci tieto pravidlá mimochodom prispievajú k tomu, že žiadny podnik nemá súťažnú výhodu oproti iným podnikom v rámci toho istého členského štátu.
78.
Cieľom GDPR teda podľa môjho názoru nie je zabezpečiť slobodnú a nenarušenú hospodársku súťaž na vnútornom trhu.
79.
Následne konštatujem, že žiadne z hmotnoprávnych ustanovení GDPR nemá zabezpečiť slobodnú a nenarušenú hospodársku súťaž medzi podnikmi a urobiť z nich príjemcov ochrany, ktorú toto nariadenie zavádza. Naopak cieľom týchto ustanovení je v podstate uložiť povinnosti podnikom, ktoré sú prevádzkovateľmi spracovania údajov. Hoci je pravda, ako som uviedol, že každej povinnosti uloženej fyzickej alebo právnickej osobe zodpovedá nevyhnutne právo priznané inej osobe, jedinými nositeľmi práv, o ktoré ide, nie sú podniky, ale osoby, ktorých údaje tieto podniky spracúvajú. Názov GDPR je v tejto súvislosti sugestívny, keďže odkazuje iba na ochranu fyzických osôb.
80.
Napokon, pokiaľ ide o procesné ustanovenia kapitoly VIII GDPR, zdôrazňujem, ako som už uviedol, že tieto ustanovenia dávajú k dispozícii prostriedky nápravy iba dotknutým osobám a subjektom povereným ich zastupovaním. Toto obmedzenie osôb, ktoré môžu podľa ustanovení GDPR začať konanie s odvolaním sa na porušenie ochrany ich osobných údajov, podľa môjho názoru jasne naznačuje, že tieto osoby sú jedinými príjemcami tejto ochrany. Podľa mňa by totiž bolo nelogické, aby sa z GDPR stal aj nástroj ochrany práv súťažiteľov, keď toto nariadenie neupravuje žiadny prostriedok nápravy, ktorý by mohli podať proti porušeniu týchto práv, hoci sú takéto prostriedky výslovne stanovené v prípade ochrany práv dotknutých osôb.
81.
Myslím si preto, že podniky nie sú príjemcami ochrany, ktorú poskytuje GDPR, keďže toto nariadenie priznáva práva iba dotknutým osobám.
c)
O vplyve, ktorý má výklad GDPR ako normy chrániacej iba dotknuté osoby
82.
Výklad GDPR, podľa ktorého ustanovenia tohto nariadenia nepriznávajú práva podnikom, ale iba dotknutým osobám, ma vedie k viacerým záverom.
83.
V prvom rade, ako som už spomenul, tento výklad podľa môjho názoru vylučuje, aby sa bolo možné domnievať, že dodržiavanie ustanovení GDPR musí byť možné zabezpečiť žalobou podanou jedným podnikom proti konkurentovi s odvolaním sa na to, že tento konkurent porušil tieto ustanovenia.
84.
V druhom rade, keďže okruh nositeľov práv priznaných GDPR sa obmedzuje iba na dotknuté osoby, myslím si, že judikatúru Súdneho dvora týkajúcu sa možnosti členských štátov upraviť vo svojom vnútroštátnom práve pre nositeľov týchto práv dodatočné prostriedky nápravy pod podmienkou, že tieto prostriedky nepoškodzujú harmonizovaný systém prostriedkov nápravy a jeho ciele, (
24
) nemožno priamo preniesť na dotknutú situáciu. Táto judikatúra však môže byť, ako to preukážem, základom pre analýzu tejto situácie.
85.
Na základe tohto významu pojmu „úplnosť systému prostriedkov nápravy“ treba totiž určiť, či systém prostriedkov nápravy, ktorý zavádza GDPR, treba chápať ako úplný systém v tom zmysle, že bráni tomu, aby mohli byť vo vnútroštátnom práve k dispozícii dotknutých osôb iné prostriedky nápravy než upravuje toto nariadenie.
86.
Vo veci samej však ide o žalobu podanú podnikom, ktorý sa nenachádza medzi nositeľmi práv priznaných GDPR.
87.
Za týchto okolností vzhľadom na skutočnosť, že GDPR nepriznáva žiadne právo podnikom a ich konkurentom, je relevantnou iba otázka, či systém prostriedkov nápravy, ktorý zavádza GDPR, treba chápať ako úplný systém v tom zmysle, že toto nariadenie vylučuje aj to, aby sa podniky odvolali na porušenie jeho ustanovení v rámci prostriedku nápravy upraveného vnútroštátnym právom, čo sa teraz pokúsim určiť.
2.
O možnosti prostriedkov nápravy založených na vnútroštátnom práve podaných osobami, ktoré nie sú nositeľmi práv priznaných GDPR
88.
Otázka, či ustanovenia týkajúce sa systému prostriedkov nápravy, ktorý upravuje GDPR, bránia tomu, aby sa podniky odvolali na porušenie ustanovení tohto nariadenia v rámci prostriedku upraveného vnútroštátnym právom, si podľa môjho názoru vyžaduje odpoveď v dvoch krokoch.
89.
Odpoveď na túto otázku totiž predpokladá preskúmanie jednak možnosti podnikov odvolávať sa na ustanovenia GDPR, hoci nie sú nositeľmi práv, ktoré toto nariadenie priznáva, a jednak podmienok vzájomného pôsobenia takýchto prostriedkov so systémom prostriedkov nápravy upraveným týmto nariadením.
90.
Pokiaľ ide po prvé o možnosť podnikov odvolávať sa na ustanovenia GDPR, zdôrazňujem, že táto je v rámci takých prostriedkov nápravy založených na vnútroštátnom práve, o aké ide vo veci samej, iba vedľajšia. Konkrétnejšie, podnik podáva prostriedok nápravy na základe vnútroštátneho práva, a to zákazu nekalého súťažného konania. Nekalosť daného konania vyplýva teda z porušenia GDPR. Inak povedané, prostriedok nápravy sa nezakladá na porušení ustanovení GDPR, ale zohľadňuje takéto porušenie ako predbežnú otázku. (
25
)
91.
Takéto incidenčné zohľadnenie však už Súdny dvor pripustil, samozrejme za odlišných okolností. Súdny dvor totiž v rozsudku Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) rozhodol, že „nesúlad spracúvania údajov vykonávaného podnikom v dominantnom postavení [s GDPR]… môže predstavovať zneužitie tohto postavenia“ (
26
) a že vo všeobecnosti je nevyhnutné zahrnutie „pravidiel v oblasti ochrany osobných údajov [do] právneho rámca, ktorý majú orgány na ochranu hospodárskej súťaže zohľadniť pri preskúmaní, či došlo k zneužitiu tohto postavenia“ (
27
). Inak povedané, Súdny dvor pripúšťa, aby porušenie ustanovení GDPR predstavovalo porušenie práva hospodárskej súťaže.
92.
Hoci toto konštatovanie nebolo urobené v spore medzi jednotlivcami, ale v rámci preskúmania protisúťažnej praktiky vnútroštátnym orgánom hospodárskej súťaže, nevidím žiadny dôvod obmedzovať možnosť zohľadniť porušenie ustanovení GDPR ako predbežnú otázku iba na túto situáciu.
93.
Pokiaľ totiž ide o právo hospodárskej súťaže, ak sa takéto zohľadnenie pripúšťa v oblasti verejnoprávnej vynútiteľnosti, považujem za nevyhnutné umožniť ho aj v prípade súkromnoprávnej vynútiteľnosti, a teda v sporoch medzi jednotlivcami, ktorých hlavným základom nie je porušenie práva priznaného GDPR, inak by sme museli pripustiť, že jednotlivci nemôžu získať náhradu škody spôsobenej porušením práva hospodárskej súťaže, ktoré nebolo konštatované orgánom hospodárskej súťaže.
94.
Okrem toho, ako uviedol generálny advokát Richard de la Tour, ochrana osobných údajov môže mať „dôsledky… v iných oblastiach týkajúcich sa najmä pracovného práva, práva hospodárskej súťaže alebo spotrebiteľského práva“ (
28
). Myslím si, že tento vplyv, ktorý má GDPR v iných oblastiach, musí viesť k tomu, že sa pripustí zohľadnenie ustanovení tohto nariadenia v konaní o prostriedku nápravy, ktorého hlavným základom sú iné ustanovenia.
95.
Pokiaľ ide v druhom rade o otázku vzájomného pôsobenia vnútroštátnych prostriedkov nápravy, ktoré si vyžadujú incidenčné zohľadnenie ustanovení GDPR, so systémom prostriedkov nápravy zavedeným týmto nariadením, myslím si, že takéto vnútroštátne prostriedky nápravy treba pripustiť iba pod podmienkou, že nepoškodzujú systém prostriedkov nápravy zavedený uvedeným nariadením, ani dosiahnutie jeho cieľov.
96.
Tieto podmienky boli vypracované v judikatúre týkajúcej sa úplnosti harmonizovaného systému prostriedkov nápravy vo vzťahu k vnútroštátnemu prostriedku nápravy založenému na tom istom práve. (
29
) Myslím si teda, že tým skôr musia byť splnené, keď ide o vnútroštátne ustanovenia, ktoré priznávajú podnikom právo podať prostriedok nápravy nie na základe toho istého práva, ale na základe vnútroštátneho práva, avšak s odvolaním sa na porušenia hmotnoprávnych ustanovení GDPR, ktorých sa údajne dopustil iný podnik.
97.
Treba teda overiť, či sú v tomto prípade tieto podmienky splnené.
98.
Pokiaľ ide najprv o otázku, či žaloba o upustenie od protiprávneho konania podaná podnikom proti konkurentovi s odvolaním sa na to, že porušil ustanovenia GDPR, poškodzuje systém prostriedkov nápravy upravený v kapitole VIII tohto nariadenia, myslím si, že to tak nie je. Tieto prostriedky nápravy totiž umožňujú dotknutým osobám alebo neziskovým subjektom, organizáciám alebo združeniam, ktoré poverili, podať sťažnosť dozornému orgánu (článok 77), podať prostriedok nápravy voči rozhodnutiu dozorného orgánu (článok 78), podať žalobu voči prevádzkovateľovi alebo sprostredkovateľovi (článok 79) alebo získať od prevádzkovateľa alebo spracovateľa náhradu škody spôsobenej porušením nariadenia (článok 82).
99.
Inými slovami, ako zdôrazňuje Súdny dvor vo svojej judikatúre, kapitola VIII GDPR „upravuje… prostriedky nápravy umožňujúce ochranu práv dotknutej osoby, pokiaľ sa osobné údaje, ktoré sa jej týkajú, údajne spracúvali v rozpore s ustanoveniami uvedeného nariadenia“, pričom o ochranu týchto práv môže „žiadať buď priamo dotknutá osoba alebo oprávnený subjekt, či už s poverením na tento účel alebo bez neho“ (
30
).
100.
Za týchto okolností sa prostriedok nápravy, ktorý môže jeden podnik podať proti konkurentovi s odvolaním sa na porušenie GDPR, ktorého sa dopustil, v konečnom dôsledku samozrejme zakladá na porušení toho istého ustanovenia, ale nesleduje ten istý cieľ a nestavia proti sebe tých istých účastníkov. Inak povedané, takýto prostriedok nápravy upravený vnútroštátnym právom nie je koncipovaný na to, aby zabezpečil dodržiavanie práv, ktorých nositeľmi sú dotknuté osoby.
101.
Z toho podľa môjho názoru vyplýva, že prostriedky nápravy, ktoré dáva dotknutým osobám k dispozícii systém prostriedkov nápravy zavedený GDPR, sú zachované a možno ich stále uplatniť, dokonca aj v prípade podania žaloby podnikom proti konkurentovi.
102.
V tejto súvislosti považujem za potrebné tiež spresniť, že nevidím, do akej miery by takéto prostriedky nápravy mohli ohroziť verejnoprávny systém dozoru nad uplatňovaním práva, ktorý zaviedlo GDPR, ako to tvrdí Komisia, keďže toto nariadenie už popri takomto verejnoprávnom systéme výslovne upravuje možnosť dotknutej osoby uplatňovať v súdnych konaniach práva, ktoré vyvodzuje z GDPR.
103.
Pokiaľ ide ďalej o ciele, ktoré sleduje GDPR, z jeho odôvodnenia 10 vyplýva, že toto nariadenie má najmä zabezpečiť tak vysokú úroveň ochrany fyzických osôb, ako aj konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov.
104.
Nedosiahnutie ani jedného z týchto cieľov sa mi nezdá byť ohrozené možnosťou ponúknutou podniku podať žalobu o upustenie od protiprávneho konania na základe zákazu nekalého súťažného konania proti konkurentovi s odvolaním na porušenie ustanovení GDPR, ktorého sa údajne dopustil. Jednak si myslím, že možnosťou odvolať sa na porušenie hmotnoprávnych ustanovení GDPR, ktorého sa konkurent dopustil, rozšírenou na podnik, je dosiahnutá, ba dokonca posilnená vysoká úroveň ochrany fyzických osôb pri spracovaní ich osobných údajov. Okrem toho širšia možnosť, ponúknutá iným osobám, než sú iba dotknuté osoby, odvolať sa na tieto ustanovenia nepoškodzuje dosiahnutie cieľa, ktorým je konzistentná a homogénna ochrana v Únii. Aj keby totiž členské štáty neupravili takúto možnosť, neviedlo by to k roztriešteniu ochrany údajov Únii, keďže hmotnoprávne ustanovenia GDPR zaväzujú rovnako všetky podniky a ich dodržiavanie je zabezpečené prostriedkami nápravy upravenými týmto nariadením.
105.
Pokiaľ ide napokon o potrebný účinok GDPR, myslím si, že možnosť podať žalobu o upustenie od protiprávneho konania proti konkurentovi s odvolaním sa na porušenie GDPR, ponúknutá podniku, ho ani zďaleka nespochybňuje, ale, ako som už uviedol, tento účinok je posilnený skutočnosťou, že dodržiavanie ustanovení tohto nariadenia možno zabezpečiť aj v iných súdnych konaniach než v konaniach o prostriedkoch nápravy zavedených týmto nariadením.
106.
Za týchto okolností si myslím, že žaloba o upustenie od protiprávneho konania, podaná podnikom proti konkurentovi s odvolaním sa na to, že porušil ustanovenia GDPR, môže existovať súbežne s prostriedkami nápravy zavedenými v kapitole VIII GDPR, pokiaľ nepoškodzuje tieto prostriedky, ani ciele a potrebný účinok tohto nariadenia.
107.
Navrhujem preto Súdnemu dvoru, aby rozhodol, že ustanovenia kapitoly VIII GDPR nebránia vnútroštátnym ustanoveniam, ktoré priznávajú podnikom právo odvolávať sa na základe zákazu nekalého súťažného konania na porušenia hmotnoprávnych ustanovení tohto nariadenia, ktorých sa údajne dopustili ich konkurenti.
V. Návrh
108.
Vzhľadom na všetky predchádzajúce úvahy navrhujem odpovedať na prejudiciálne otázky, ktoré položil Bundesgerichtshof (Spolkový súdny dvor, Nemecko), takto:
Článok 4 bod 15 a článok 9 ods. 1 nariadenia Európskeho parlamentu a Rady 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane osobných údajov),
sa majú vykladať v tom zmysle, že:
že údaje zákazníkov lekárne odovzdané pri objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale ktoré nie sú viazané na lekársky predpis, na online predajnej platforme, nepredstavujú „údaje týkajúce sa zdravia“.
(
1
)	Jazyk prednesu: francúzština.
(
2
)	Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1).
(
3
)	Smernica Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355).
(
4
)	Smernica Európskeho parlamentu a Rady z 9. marca 2011 o uplatňovaní práv pacientov pri cezhraničnej zdravotnej starostlivosti (Ú. v. EÚ L 88, 2011, s. 45).
(
5
)	BGBl. 2004 I, s. 1414.
(
6
)	BGBl. 2005 I, s. 3394.
(
7
)	BGBl. 2022 I, s. 2793.
(
8
)	V tejto súvislosti zdôrazňujem, že vnútroštátny súd sa pýta Súdneho dvora aj na pojem „údaje týkajúce sa zdravia“ v zmysle článku 8 ods. 1 smernice 95/46. Myslím si však, že netreba rozlišovať medzi týmto ustanovením a článkom 9 ods. 1 GDPR, keďže sa treba domnievať, že tieto ustanovenia majú pre potreby výkladu, ktorý musí Súdny dvor poskytnúť v prejednávanej veci, podobný význam. Pozri v tejto súvislosti rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 58). Vo svojej analýze teda budem odkazovať iba na článok 9 ods. 1 GDPR, pričom to platí aj pre článok 8 ods. 1 smernice 95/46.
(
9
)	Rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 124).
(
10
)	Rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 126).
(
11
)	Rozsudok ESĽP, 25. februára 1997, Z v. Fínsko (CE:ECHR:1997:0225, bod 95). Európsky súd pre ľudské práva navyše zdôrazňuje, že zvýšená ochrana údajov o zdraví je „zásadná nielen pre ochranu súkromného života chorých, ale aj pre zachovanie ich dôvery v lekárske povolanie a zdravotné služby vo všeobecnosti“.
(
12
)	Rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 123).
(
13
)	Usmernenia Európskeho výboru pre ochranu údajov 3/2020 k spracúvaniu údajov týkajúcich sa zdravia na účely vedeckého výskumu v kontexte vypuknutia nákazy COVID‑19, s. 5.
(
14
)	Pozri BYGRAVE, L. A., TOSONI, L.: Article 4(15). In: KUNER, C., BYGRAVE, L. A., DOCKSEY, C. (eds.).: The EU General Data Protection Regulation (GDPR), a Commentary, Oxford University Press, 2020, s. 222.
(
15
)	Rozsudok z 24. februára 2022, Glavna direkcija Požarna bezopasnost i zaštita na naselenieto (C‑262/20, EU:C:2022:117, bod 71).
(
16
)	Rozsudky z 19. novembra 1991, Francovich a i. (C‑6/90 a C‑9/90, EU:C:1991:428, bod 31), ako aj z 20. septembra 2001, Courage a Crehan (C‑453/99, EU:C:2001:465, bod 19).
(
17
)	Rozsudok z 20. septembra 2001, Courage a Crehan (C‑453/99, EU:C:2001:465, bod 19).
(
18
)	Pozri v tejto súvislosti VAN GERVEN, W.: Of Rights, Remedies and Procedures. In: Common Market Law Review, zv. 37(3), 2000, s. 501 – 536.
(
19
)	Rozsudok z 20. septembra 2001, Courage a Crehan (C‑453/99, EU:C:2001:465, bod 25).
(
20
)	Rozsudky z 19. novembra 1991, Francovich a i. (C‑6/90 a C‑9/90, EU:C:1991:428, bod 31), ako aj z 20. septembra 2001, Courage a Crehan (C‑453/99, EU:C:2001:465, bod 19).
(
21
)	Podobné riešenie už Súdny dvor prijal najmä v prípade nariadenia Rady (EHS) č. 1035/72 z 18. mája 1972 o spoločnej organizácii trhov v odvetví ovocia a zeleniny [neoficiálny preklad] (Ú. v. ES L 118, 1972, s. 1). Toto riešenie sa zakladalo výlučne na tom, že účelom tohto nariadenia bolo zabezpečiť spravodlivé obchodovanie a transparentnosť trhov, takže občianskoprávna žaloba podaná jedným podnikom proti konkurentovi s cieľom donútiť ho dodržiavať povinnosti uložené týmto nariadením posilňovala správne fungovanie právnej úpravy Spoločenstva. Inak povedané, nariadenie 1035/72 sa vykladalo tak, že ukladalo podnikom povinnosť dodržiavať pravidlá spoločnej organizácie trhu, aby tieto podniky profitovali z obchodných vzťahov na základe spravodlivej hospodárskej súťaže, a teda považovalo tieto podniky zároveň za nositeľov práv vyplývajúcich z povinností, ktoré im boli uložené. Pozri rozsudok zo 17. septembra 2002, Muñoz a Superior Fruiticola (C‑253/00, EU:C:2002:497, body 29 a 31).
(
22
)	Rozsudky z 21. decembra 2011, Dutrueux (C‑495/10, EU:C:2011:869, body 29 a 30), a zo 16. marca 2023, Beobank (C‑351/21, EU:C:2023:215, bod 38).
(
23
)	Myslím si, že tento dvojaký rozmer úplnosti systému prostriedkov nápravy závislej od identifikácie nositeľov práva vyplývajúceho z práva Únie sa v judikatúre Súdneho dvora ukazuje v rozsudku z 2. septembra 2021, CRCAM (C‑337/20, EU:C:2021:671). V tomto rozsudku Súdny dvor skúmal, či je so smernicou Európskeho parlamentu a Rady 2007/64/ES z 13. novembra 2007 o platobných službách na vnútornom trhu, ktorou sa menia a dopĺňajú smernice 97/7/ES, 2002/65/ES, 2005/60/ES a 2006/48/ES a ktorou sa zrušuje smernica 97/5/ES (Ú. v. EÚ L 319, 2007, s. 1) zlučiteľný vnútroštátny režim zodpovednosti umožňujúci, aby sa ručiteľ používateľa platobných služieb dovolával z dôvodu, že poskytovateľ platobných služieb nesplnil svoje povinnosti vyplývajúce zo smernice, občianskoprávnej zodpovednosti takého poskytovateľa platobných služieb v súlade s úpravou zmluvnej zodpovednosti podľa všeobecného práva. Súdny dvor začal svoju analýzu konštatovaním, že táto smernica nepriznáva práva ručiteľovi, ale iba poskytovateľom a užívateľom platobných služieb a následne analyzoval, či režim zodpovednosti zavedený smernicou bráni alternatívnemu režimu založenému na vnútroštátnom práve.
(
24
)	Rozsudky z 21. decembra 2011, Dutrueux (C‑495/10, EU:C:2011:869, body 29 a 30), a zo 16. marca 2023, Beobank (C‑351/21, EU:C:2023:215, bod 38).
(
25
)	V tejto súvislosti zdôrazňujem, že v prípade, keď porušenie ustanovenia GDPR možno považovať za nekalú obchodnú praktiku v zmysle smernice Európskeho parlamentu a Rady 2005/29/ES z 11. mája 2005 o nekalých obchodných praktikách podnikateľov voči spotrebiteľom na vnútornom trhu, a ktorou sa mení a dopĺňa smernica Rady 84/450/EHS, smernice Európskeho parlamentu a Rady 97/7/ES, 98/27/ES a 2002/65/ES a nariadenie Európskeho parlamentu a Rady (ES) č. 2006/2004 (Ú. v. EÚ L 149, 2005, s. 22), musia sa podľa môjho názoru uplatňovať všetky ustanovenia tejto smernice, vrátane povinnosti členských štátov prijať podľa článku 11 uvedenej smernice ustanovenia umožňujúce účastníkom hospodárskej súťaže podať žalobu na súde proti týmto nekalým obchodným praktikám.
(
26
)	Rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C‑252/21, EU:C:2023:537, bod 43).
(
27
)	Rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C‑252/21, EU:C:2023:537, bod 51).
(
28
)	Návrhy, ktoré predniesol generálny advokát Richard de la Tour vo veci Meta Platforms Ireland (C‑319/20, EU:C:2021:979, bod 51).
(
29
)	Rozsudky z 21. decembra 2011, Dutrueux (C‑495/10, EU:C:2011:869, body 29 a 30), a zo 16. marca 2023, Beobank (C‑351/21, EU:C:2023:215, bod 38). Pozri rovnako bod 71 vyššie.
(
30
)	Rozsudok z 28. apríla 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, bod 53).