62023CJ0021_RES
Дело C‑21/23
ND
срещу
DR
(Преюдициално запитване, отправено от Bundesgerichtshof)
Решение на Съда (голям състав) от 4 октомври 2024 година
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Глава VIII — Средства за правна защита — Продажба на лекарствени продукти от фармацевт чрез платформа за онлайн продажба — Иск на основание на забраната на нелоялните търговски практики, предявен пред гражданските съдилища от конкурент на този фармацевт, поради извършено от него нарушение на предвидените в този регламент задължения — Активна процесуална легитимация — Член 4, точка 15 и член 9, параграфи 1 и 2 — Директива 95/46/EО — Член 8, параграфи 1 и 2 — Понятие за лични данни, свързани със здравословното състояние — Условия за обработване на такива лични данни“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Способи за защита — Неизчерпателен характер — Национална правна уредба, която допуска възможността конкурентите на предполагаемия извършител на нарушение на предвидените в този регламент задължения да предявят иск пред гражданските съдилища на основание на забраната на нелоялните търговски практики — Допустимост
(Регламент 2016/679 на Европейския парламент и на Съвета, членове 77—80)
(вж. т. 53—57, 60 и 62—73; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Понятие за данни за здравословното състояние — Информация, която въвеждат при поръчка на лекарствени продукти клиентите на лице, стопанисващо аптека, която продава лекарствени продукти посредством онлайн платформа — Информация относно името на тези клиенти, адреса на доставка и данните, необходими за индивидуализиране на лекарствените продукти — Включване — Продажба на лекарствени продукти, за които не се изисква лекарско предписание — Липса на последици
(Регламент 2016/679 на Европейския парламент и на Съвета, член 4, точки 1 и 15 и член 9, параграф 1; Директива 95/46 на Европейския парламент и на Съвета, член 8, параграф 1)
(вж. т. 84 и 88—91; т. 2 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Обработване на специални категории лични данни — Забрана — Дерогации
(Регламент 2016/679 на Европейския парламент и на Съвета, съображение 53, член 9, параграфи 1 и 2; Директива 95/46 на Европейския парламент и на Съвета, член 8, параграфи 1 и 2)
(вж. т. 86, 87, 92 и 93)
Резюме
Сезиран с преюдициално запитване от Bundesgerichtshof (Федерален върховен съд, Германия), големият състав на Съда се произнася по естеството и обхвата на системата от средствата за правна защита в областта на защитата на данните (
1
), както и по понятието „данни за здравословното състояние“ (
2
).
ND и DR са физически лица, всяко от които стопанисва аптека в Германия. От 2017 г. ND търгува с лекарствени продукти, които могат да се продават само в аптеките, посредством онлайн платформата Amazon-Marketplace. Когато ги поръчват онлайн, клиентите на ND трябва да въведат определена информация, като тяхното име, адрес на доставка и данните, необходими за индивидуализиране на същите лекарствени продукти.
Като се позовава на германското право в областта на нелоялната конкуренция (
3
), DR предявява пред националните граждански съдилища иск за преустановяване на нарушение срещу ND. DR изтъква, че продажбата на лекарствени продукти от ND е нелоялна поради нарушаването на законовото изискване относно получаването на предварителното съгласие на клиента за обработването на данните за здравословното му състояние.
След като по-нисшестоящите съдилища уважават този иск, ND подава ревизионна жалба пред запитващата юрисдикция, която на свой ред счита за необходимо да отправи преюдициално запитване до Съда.
В решението си Съдът заключава, че въведената с ОРЗД система от средства за правна защита не е изчерпателна, като признава, че този регламент допуска държавите членки да предвидят в националното право възможността конкурентите на предполагаемия извършител на нарушение на материалноправните разпоредби на посочения регламент, да го оспорят по съдебен ред като нелоялна търговска практика. Освен това той внася уточнения относно очертанията на понятието „данни за здравословното състояние“.
Съображения на Съда
На първо място, Съдът отбелязва, че макар глава VIII от ОРЗД да не предвижда специално такава отворена клауза, която да позволи изрично на държавите членки да предвидят в полза на конкурентите такава възможност за оспорване, от текста и контекста на разпоредбите на глава VIII все пак следва, че законодателят на Съюза не е искал да я изключи. Това тълкуване се потвърждава от целите на ОРЗД.
Всъщност, от една страна, иск за преустановяване на нарушение, предявен срещу дадено предприятие от негов конкурент на основание на забраната на нелоялните търговски практики поради твърдяно нарушение на материалноправните разпоредби на ОРЗД, по никакъв начин не вреди на системата от средствата за правна защита, предвидени с този регламент, нито на целта да се гарантира съгласувано ниво на защита на физическите лица в целия Европейски съюз и да се попречи на различията да възпрепятстват свободното движение на лични данни в рамките на вътрешния пазар.
В този контекст Съдът уточнява, че такъв иск несъмнено може да се основава, макар и инцидентно, на нарушението на същите разпоредби от ОРЗД, като тези, на които би могло да се основава жалба по административен ред или иск, предявен от субектите на данни или от сдружение, представляващо интересите на тези субекти (
4
). При все това, за разлика от тези средства за правна защита, предвидени от ОРЗД, искът за преустановяване на нарушение, предявен от конкурент, сам по себе си не преследва цел за защита на основните свободи и права на субектите на данни при обработване на личните им данни, а цели да гарантира лоялна конкуренция в интерес по-специално на този конкурент.
Освен това възможността за конкурент да предяви такъв иск пред гражданските съдилища на основание на забраната на нелоялните търговски практики се добавя към средствата за правна защита, предвидени в ОРЗД, които са запазени изцяло и могат винаги да бъдат използвани от субектите на данни, както и евентуално от сдружения, представляващи интересите на тези субекти. По-специално успоредното съществуване на средствата за защита, спадащи към правото на защита на личните данни и към конкурентното право, не създава опасност за еднаквото прилагане на посочения регламент.
Нещо повече, по-широката възможност за позоваване на материалноправните разпоредби на ОРЗД от лица, различни от субектите на данни, структури, организации или сдружения с нестопанска цел не засяга постигането на целта да се гарантира съгласувано ниво на защита на тези субекти в целия Съюз и да се попречи на различията да възпрепятстват свободното движение на лични данни в рамките на вътрешния пазар. Всъщност, дори държавите членки да не предвиждат такава възможност, това все пак не би довело до фрагментирането на прилагането на защитата на данни в Съюза, тъй като материалноправните разпоредби на ОРЗД са задължителни по един и същ начин за всички администратори и тяхното спазване се осигурява чрез предвидените в този регламент средства за правна защита.
От друга страна, що се отнася до целта да се гарантира ефективна защита на субектите на данни при обработване на личните им данни и до полезното действие на материалноправните разпоредби на ОРЗД, Съдът отбелязва, че макар не това, а гарантирането на лоялна конкуренция да е целта на иска за преустановяване на нарушение, предявен от конкурент на предполагаемия извършител на посегателство срещу защитата на личните данни, независимо от това този иск безспорно допринася за спазването на тези разпоредби и следователно за укрепването на правата на субектите на данни и за гарантирането на високо равнище на защита. Впрочем, доколкото позволява да се предотвратят множество нарушения на правата на субектите на данни поради обработването на личните им данни, такъв иск за преустановяване на нарушение на конкурент може да се окаже, както иска на сдруженията за защита на интересите на потребителите, особено ефикасен за гарантиране на такава защита (
5
).
По този начин Съдът констатира, че разпоредбите на ОРЗД относно средствата за правна защита трябва да се тълкуват в смисъл, че те допускат национална правна уредба, която успоредно с правомощията за намеса на надзорните органи, на които е възложено да наблюдават и да осигуряват прилагането на този регламент, както и с възможностите за правна защита на субектите на данни, предоставя на конкурентите на предполагаемия извършител на посегателство срещу защитата на личните данни активна процесуална легитимация да предприемат срещу него правни действия, като предявят иск пред гражданските съдилища поради нарушения на посочения регламент на основание на забраната на нелоялните търговски практики.
На второ място, що се отнася до понятието „данни за здравословното състояние“, Съдът констатира, че това понятие обхваща данните, които клиент въвежда в онлайн платформа при поръчка на лекарствени продукти, които могат да се продават само в аптеките. Всъщност тези данни са от такова естество, че могат чрез логическа операция по съпоставяне или дедукция косвено да разкрият информация относно здравословното състояние на субекта на данни (
6
), доколкото тази поръчка предполага установяване на връзка между даден лекарствен продукт, терапевтичните му показания или неговите приложения и идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано от данни като името на това лице или адреса на доставка.
Освен това Съдът приема, че в това отношение е без значение фактът, че продажбата на поръчаните лекарствени продукти не изисква лекарско предписание и че поради това те би могло да са предназначени не за клиента, който прави поръчката, а за трети лица. При това положение, в случай че ползвател на онлайн платформа съобщава лични данни при поръчката на лекарствени продукти, които могат да се продават само в аптеките, без да е нужно лекарско предписание, обработването на тези лични данни от лицето, стопанисващо аптека, което продава тези лекарствени продукти чрез тази онлайн платформа, трябва да се счита за обработване на данни, свързани със здравословното състояние (
7
), тъй като това обработване на лични данни може да разкрие информация относно здравословното състояние на физическо лице, независимо дали тази информация се отнася до този ползвател или за което и да е друго лице, за което той прави поръчката (
8
).
Всъщност тълкуване, в резултат на което се прави разграничение в зависимост от вида на съответните лекарствени продукти и от това дали за продажбата им се изисква лекарско предписание не би било в съответствие с целта за високо равнище на защита на основните права и свободи на физическите лица, по-специално на техния личен живот, във връзка с обработването на засягащите ги лични данни. Такова тълкуване освен това би противоречало на целта на член 8, параграф 1 от Директива 95/46 и на член 9, параграф 1 от ОРЗД, а именно да се осигури повишена защита срещу обработвания, които поради особената чувствителност на обработваните данни могат да съставляват особено тежко вмешателство в основните права на зачитане на личния живот и на защита на личните данни (
9
). Следователно информацията, която клиентите въвеждат, когато поръчват онлайн лекарствени продукти, които могат да се продават само в аптеките, без да се изисква лекарско предписание, представляват данни, свързани със здравословното състояние, дори ако има само известна вероятност, а не е абсолютно сигурно, че тези лекарствени продукти са предназначени за тези клиенти.
Съдът добавя, че не би могло да се изключи, че дори в хипотезата, при която такива лекарствени продукти са предназначени за лица, различни от клиентите, е възможно тези лица да бъдат идентифицирани и да се направят изводи относно здравословното им състояние. Такъв би могъл да бъде случаят например, когато въпросните лекарствени продукти се доставят не в жилището на клиента, който ги е поръчал, а в жилището на друго лице или когато, независимо от адреса на доставка в поръчката си или в съобщенията си във връзка с нея, клиентът сочи друго физическо лице, което може да бъде идентифицирано, като член на семейството например.
Накрая, Съдът отбелязва, че фактът, че въпросната информация съдържа данни, свързани със здравословното състояние, не е пречка тази информация да може да бъде подложена на обработване, по-специално в рамките на управлението на услугите и на системите за здравни грижи, ако е изпълнено едно от предвидените в това отношение условия (
10
). От една страна, това по-конкретно може да бъде така, когато субектът на данни даде изрично съгласието си за едно или повече обработвания на тези лични данни, чиито специфични характеристики и цели са му били представени точно, пълно и лесно за разбиране. От друга страна, такова обработване може да бъде допустимо, когато то е необходимо за осигуряването на здравни грижи въз основа на правото на Съюза или правото на държава членка или съгласно договор с медицинско лице.
(
1
)	Глава VIII от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
2
)	Посочено съответно в член 8, параграф 1 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) и в член 9, параграф 1 от ОРЗД.
(
3
)	Gesetz gegen den unlauteren Wettbewerb (Закон за мерките срещу нелоялната конкуренция) от 3 юли 2004 г. (BGBl. 2004 г. I, стр. 1414), в приложимата му към спора в главното производство редакция.
(
4
)	Членове 77—80 от ОРЗД.
(
5
)	Вж. в този смисъл решение от 28 април 2022 г., Meta Platforms Ireland (С‑319/20, EU:C:2022:322, т. 74 и 75).
(
6
)	По смисъла на член 4, точка 1 ОРЗД.
(
7
)	По смисъла на член 8, параграф 1 от Директива 95/46 и член 9, параграф 1 от ОРЗД.
(
8
)	Вж. в този смисъл решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа) (С‑252/21, EU:C:2023:537, т. 73).
(
9
)	Вж. решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (С‑184/20, EU:C:2022:601, т. 126 и цитираната съдебна практика).
(
10
)	Условия, посочени в член 8, параграф 2 от Директива 95/46 и член 9, параграф 2 от ОРЗД.