62021CC0667
MANUEL CAMPOS SÁNCHEZ‑BORDONA
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2023. május 25. (
1
)
C‑667/21. sz. ügy
ZQ
kontra
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(a Bundesarbeitsgericht [szövetségi munkaügyi bíróság, Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – A személyes adatok védelme – Egészségügyi személyes adatok – A munkavállaló munkavégzési képességének felmérése – Az egészségbiztosítási pénztár orvosi ellenőrző szolgálata – A munkavállalók egészségügyi adatainak kezelése – Kártérítéshez való jog – A vétkesség mértékének jelentősége”
1.
A jelen előzetes döntéshozatal iránti kérelem az (EU) 2016/679 rendeletnek (
2
) a következőkkel kapcsolatos értelmezésére vonatkozik: a) az egészségügyi személyes adatok kezelése; valamint b) magának az általános adatvédelmi rendeletnek az (állítólagos) megsértése folytán elszenvedett kár megtérítése.
2.
Noha a Bíróság már állást foglalt a GDPR (
3
) e kérdéseket érintő rendelkezéseiről, a jelen előzetes döntéshozatal iránti kérelem keretében előterjesztett kérdések – a negyedik kérdés kivételével – újaknak tekinthetők. (
4
)
I. Jogi háttér
A.
Az uniós jog. A GDPR
3.
A jelen jogvita szempontjából a GDPR (4), (10), (35), (51)–(54) és (146) preambulumbekezdése releváns.
4.
A 9. cikk („A személyes adatok különleges kategóriáinak kezelése”) értelmében:
„(1)   A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.
(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha:
[…]
b)
az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;
[…]
h)
az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel;
[…]
(3)   Az (1) bekezdésben említett személyes adatokat abban az esetben lehet a (2) bekezdés h) pontjában említett célokból kezelni, ha ezen adatok kezelése olyan szakember által vagy olyan szakember felelőssége mellett történik, aki uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott szakmai titoktartási kötelezettség hatálya alatt áll, illetve olyan más személy által, aki szintén uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott titoktartási kötelezettség hatálya alatt áll.
(4)   A tagállamok további feltételeket – köztük korlátozásokat – tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan.”
5.
A 82. cikk („A kártérítéshez való jog és a felelősség”) így szól:
„(1)   Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.
[…]
(3)   Az adatkezelő, illetve az adatfeldolgozó mentesül az e cikk (2) bekezdése szerinti felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.
[…]”
B.
A nemzeti jog. Sozialgesetzbuch Fünftes Buch (
5
)
6.
A 278. § (1) bekezdésének első mondata szerint minden szövetségi tartományban létre kell hozni közjogi szervezetként az egészségbiztosítási pénztárak (
6
) egészségügyi szolgálatát. (
7
) E szolgálat törvény által előírt egyik feladata, hogy a tagok munkaképtelenségével kapcsolatos kétségek eloszlatására szolgáló jelentéseket készítsen.
7.
A 275. § (1) bekezdése első mondata 3. pontjának b) alpontja értelmében a biztosított orvosi igazolással alátámasztott munkaképtelensége esetén az egészségbiztosítási pénztárak kötelesek meghatározott körülmények mellett a munkaképtelenséggel kapcsolatos kétségek eloszlatása céljából az illetékes egészségügyi szolgálat jelentését beszerezni.
II. A tényállás, a jogvita és az előzetes döntéshozatalra előterjesztett kérdések
8.
ZQ 1991 óta dolgozik a nordrheini (Németország) egészségügyi szolgálatnál munkavállalóként, az informatikai osztályon rendszergazdaként és helpdesk‑munkatársként.
9.
Az egészségügyi szolgálat az egészségbiztosítási pénztári tagok munkaképtelenségéről szóló szakvélemény készít. E szakvélemények között fellehetők az egészségügyi szolgálat saját munkavállalóinak egészségi állapotára vonatkozó jelentések is.
10.
Az adatkezelés többek között a következő – egy belső szolgáltatási utasításban meghatározott – (
8
) szabályokat követi:
–
A munkavállalók „szociális adatai” nem gyűjthetők és nem tárolhatók a munkahelyükön. Ezenfelül az ilyen adatok – amelyek akkor keletkeznek, amikor az egészségbiztosítási pénztár szakvélemény elkészítésével bízza meg az egészségügyi szolgálatot – nem tévesztendők össze a munkaviszony vagy szolgálati viszony keretében kezelt munkavállalói adatokkal.
–
Az egészségügyi szolgálat munkavállalóira vonatkozó szakvélemény iránti kérelmek „különleges ügyeknek” minősülnek, és azokat kizárólag egy meghatározott szervezeti egység kezeli. (
9
)
–
Az egészségügyi szolgálat valamely munkatársáról szóló szakvélemény elkészítését követően a vonatkozó dokumentációt, valamint a szakvéleményt magának az egészségügyi szolgálatnak a digitalizált archívumában tárolják. Kizárólag egy meghatározott kód révén lehet a dokumentumokat a meghatározott személyekhez hozzárendelni, műszaki eljáráshoz kötött hozzáférési engedély birtokában.
11.
A „Különleges ügyek” szervezeti egysége „Informatikai osztálya” alegységének egyes munkatársai az archiválást követően – a törvényben előírt titoktartási kötelezettség mellett – hozzáférhetnek azon szakvéleményekhez, amelyek az egészségügyi szolgálat munkavállalóit érintő szakvéleménykészítési megbízás alapján készültek.
12.
ZQ 2017. november 22. óta betegség miatt folyamatosan munkaképtelen volt.
13.
2018. május 24‑tól (
10
) ZQ táppénzben részesült az egészségbiztosítási pénztárától. 2018. június 6‑án az egészségbiztosítási pénztár megbízta az egészségügyi szolgálatot azzal, hogy készítsen szakvéleményt a ZQ munkaképtelenségével kapcsolatos kétségek eloszlatása céljából.
14.
Az egészségügyi szolgálat vállalta a megbízást, és a „Különleges ügyek” egységet jelölték ki ügyintézésre. 2018. június 22‑én ezen egység egyik, az egészségügyi szolgálat alkalmazásában álló orvosa ZQ diagnózisát tartalmazó szakvéleményt készített. E szakvélemény elkészítése során ezen orvos telefonon beszélt ZQ kezelőorvosával, és információkat szerzett be tőle.
15.
Az egészségügyi szolgálat elektronikusan archiválta a jelentést.
16.
ZQ a kezelőorvosától értesült arról, hogy az egészségügyi szolgálat orvosa felhívta őt.
17.
2018. augusztus 1‑jén ZQ felvette a kapcsolatot egészségügyi szolgálat informatikai osztályának egyik munkatársával, és megkérdezte tőle, hogy tárolnak‑e róla szakvéleményt. Az archívumban végzett keresés után a munkatárs igennel válaszolt. A ZQ kérésére a munkatárs lefényképezte a szakvéleményt, és a felvételeket elküldte ZQ részére.
18.
2018. augusztus 15‑én ZQ eredménytelenül követelte az egészségügyi szolgálattól 20000,00 euró összegű kártérítés megfizetését a GDPR 82. cikke alapján.
19.
2018. október 17‑én ZQ keresetet nyújtott be az Arbeitsgericht Düsseldorfhoz (düsseldorfi munkaügyi bíróság, Németország). Az eljárás során ezenfelül vagyoni kártérítést is követelt az elmaradt jövedelmének megfelelő összegben. (
11
)
20.
A bírósági eljárás ideje alatt az egészségügyi szolgálat megszüntette ZQ munkaviszonyát.
21.
A kérelmét mind az elsőfokú, mind pedig a másodfokú bírósági eljárásban elutasították. (
12
)
22.
ZQ a Bundesarbeitsgerichthez (szövetségi munkaügyi bíróság) fordult, amely a következő kérdéseket terjesztette a Bíróság elé:
„1)
Úgy kell‑e értelmezni [a GDPR] 9. cikke (2) bekezdésének h) pontját, hogy az egészségbiztosítási pénztár egészségügyi szolgálata nem kezelheti saját munkavállalójának az e munkavállaló munkavégzési képessége felmérésének feltételét képező egészségügyi adatait?
2)
Ha a Bíróság nemleges választ ad az első kérdésre azzal a következménnyel, hogy [a GDPR] 9. cikke (2) bekezdésének h) pontja alapján kivétel állhat fenn az egészségügyi adatok kezelésének [a GDPR] 9. cikkének (1) bekezdésében előírt tilalma alól: a jelen ügyben szereplőhöz hasonló helyzetben [a GDPR] 9. cikkének (3) bekezdésében foglalt követelményeken túlmenően további adatvédelmi előírásoknak is meg kell‑e felelni, és adott esetben melyeknek?
3)
Ha a Bíróság nemleges választ ad az első kérdésre azzal a következménnyel, hogy [a GDPR] 9. cikke (2) bekezdésének h) pontja alapján kivétel állhat fenn az egészségügyi adatok kezelésének [a GDPR] 9. cikkének (1) bekezdésében előírt tilalma alól: a jelen ügyben szereplőhöz hasonló helyzetben legalább [a GDPR] 6. cikkének (1) bekezdésében felsorolt feltételek egyikének is teljesülnie kell‑e ahhoz, hogy az egészségügyi adatok kezelése megengedett, illetve jogszerű legyen?
4)
Különös, illetve általános megelőzési jelleggel bír‑e [a GDPR] 82. cikkének (1) bekezdése, és figyelembe kell‑e venni ezt az adatkezelő, illetve adatfeldolgozó terhére a megtérítendő nem vagyoni kár mértékének [a GDPR] 82. cikkének (1) bekezdése alapján történő megállapítása során?
5)
Jelentőséggel bír‑e a megtérítendő nem vagyoni kár mértékének [a GDPR] 82. cikkének (1) bekezdése alapján történő megállapítása során az adatkezelő, illetve adatfeldolgozó vétkességének mértéke? Figyelembe vehető‑e különösen az adatkezelő, illetve adatfeldolgozó javára vétkességének hiánya vagy kis mértéke?”
III. A Bíróság előtti eljárás
23.
Az előzetes döntéshozatal iránti kérelem 2021. november 8‑án érkezett a Bírósághoz.
24.
Írásbeli észrevételeket ZQ, az egészségügyi szolgálat, az ír és az olasz kormány, valamint az Európai Bizottság terjesztett elő.
25.
A Bíróság tárgyalás tartását nem tartotta szükségesnek.
26.
A Bíróság kérésének megfelelően a jelen indítvány nem foglalkozik az előzetes döntéshozatalra előterjesztett negyedik kérdéssel. (
13
)
IV. Elemzés
A.
Az előzetes döntéshozatalra előterjesztett első kérdés
27.
A kérdést előterjesztő bíróság azt kívánja megtudni, hogy a GDPR 9. cikke (2) bekezdésének h) pontja tiltja-e az egészségügyi szolgálat részére azt, hogy kezelje saját munkavállalójának az e munkavállaló munkavégzési képessége felmérésének feltételét képező egészségügyi adatait. Az adatkezelés – az adatkezelést végző szerv miatti – jogszerűségét kérdőjelezi meg tehát. (
14
)
28.
A GDPR 9. cikke az adatok olyan különleges kategóriáit szabályozza, mint a természetes személyek egészségére vonatkozó adatok. A rendelet általános tilalmat állapít meg a „különleges” adatok kezelésére vonatkozóan (az (1) bekezdés), és kimerítően felsorolja azokat a körülményeket, amelyek között az általános tilalom nem alkalmazható (a (2) bekezdés).
29.
Konkrétan a GDPR 9. cikke (2) bekezdésének h) pontja tartalmazza a személyes adatok „megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása […] érdekében” történő kezelésére vonatkozó (az általános tilalom alóli) kivételt.
30.
Véleményem szerint e rendelkezés megfelelő jogalapot nyújt az egészségügyi szolgálat jogvita tárgyát képező tevékenységére. (
15
) Nincs jelentősége annak, hogy az adatkezelő egyúttal az érintett munkáltatója is, mivel az egészségügyi szolgálat nem ilyen munkáltatóként, hanem egy olyan egészségbiztosítási pénztár egészségügyi szolgálataként jár el, amelynek az érintett a tagja. (
16
)
31.
Nem látom okát annak, hogy a GDPR 9. cikke (2) bekezdésének h) pontját úgy értelmezzem, hogy az tiltja az egészségügyi szolgálatoknak, hogy munkavállalóik egészségügyi adatait az e pontban említett célokból kezeljék. A szokásos hermeneutikai szempontok inkább ellentétes eredményre vezetnek (nincs ilyen tilalom).
32.
A szó szerinti értelmezés szempontjából a GDPR 9. cikke (2) bekezdésének h) pontja e tekintetben nem tesz ilyen kizárást, és az adatkezelés feltételeként sem írja elő, hogy az adatkezelőnek „semleges harmadik félnek” kell lennie. (
17
)
33.
A jogalkotási előzményekből és a rendelkezés fejlődéséből sem tűnik ki az előzetes döntéshozatalra előterjesztett első kérdésben felvetetthez hasonló tilalom, sem az annak belefoglalására irányuló szándék. (
18
)
34.
A GDPR egészségügyi adatok kezelésére vonatkozó rendelkezéseinek célja – amint azt a Bíróság megállapította – az, (
19
) hogy fokozott védelmet biztosítsanak az érintettek számára, tekintettel arra, hogy ezen adatok különösen érzékeny jellegűek az érintett alapvető jogok szempontjából. E célt szolgálja a GDPR 9. cikkének (1) bekezdésében foglalt általános tilalom, amely azonban nem abszolút jellegű. (
20
)
35.
E területen – csakúgy mint a személyes adatok kezelésével összefüggő egyéb területeken – az általános tilalom megállapítását követően a jogalkotó a következők mellett döntött:
–
kivételeket kell bevezetni, konkrét esetek felsorolása formájában, amelyek nagyjából azon helyzetekre csoportosíthatók, amelyekben az érintett maga engedélyezi az adatkezelést, vagy az számára előnyös, valamint azon helyzetekre, amelyekben az egyes egyén érdekeit felülíró érdekek állnak fenn;
–
az adatkezelés bizonyos típusát a többi „nem különleges” személyes adatra vonatkozó biztosítékon túlmenően konkrét biztosítékokkal kell körülbástyázni, és be kell illeszteni azokat a többi biztosíték közé; (
21
)
–
lehetővé kell tenni a tagállamok számára, hogy a személyes adatok kezelésére vonatkozóan további feltételeket vagy akár korlátozásokat vezessenek be. Ily módon az egészségügyi adatokkal (a GDPR 9. cikkének (4) bekezdése és a (53) preambulumbekezdésének vége) vagy a munkavállalók adataival kapcsolatban a foglalkoztatással összefüggésben (a GDPR 88. cikke). (
22
)
36.
Márpedig absztrakt módon nincs akadálya annak, hogy az imént említett konkrét biztosítékok között szerepeljen az, hogy megtiltják az egészségügyi szolgálatok számára a munkavállalók egészségügyi adatainak kezelését. Nekem azonban nem tűnik úgy, hogy e lehetőség (amelyet az európai jogalkotó nem fogadott el) elengedhetetlen lenne a fent említett cél fenntartásához.
37.
Úgy vélem tehát, hogy az a tilalom, amelyre a kérdést előterjesztő bíróság kérdése irányul, nem következik feltétlenül a GDPR 9. cikke (2) bekezdése h) pontjának teleologikus értelmezéséből.
38.
Azt sem gondolom, hogy a rendelkezés rendszertani értelmezése eltérő eredményhez vezetne, mivel:
–
ha érvelés céljából feltételezzük, hogy a GDPR 9. cikke (2) bekezdésének b) pontját helyesen értelmezzük úgy, hogy az a munkáltatónak a munkavállalói egészségügyi adatok kezelésére vonatkozó kizárólagos jogalapja, (
23
) ez nem érinti ugyanezen jogalany azon lehetőségét, hogy ugyanezen jogalany már nem munkáltatóként, hanem az egészségbiztosítási pénztár által megbízott egészségügyi szolgálatként végezzen adatkezelést az ugyanezen 9. cikk (2) bekezdése szerinti másik kivétel alapján; (
24
)
–
a GDPR 9. cikkének (3) bekezdése meghatározza az egészségügyi személyes adatokat kezelő személyekre vonatkozó feltételeket. A 9. cikk (2) bekezdésének h) pontja kifejezetten a (3) bekezdésre utal; alanyi szempontból az adatkezelésre nem vonatkozik más követelmény. (
25
)
39.
Összefoglalva, az előzetes döntéshozatalra előterjesztett első kérdésre nemleges választ javaslok adni (vagyis, hogy a vitatott tilalom nem létezik a GDPR-ban), ami lehetővé teszi a következő kérdés megválaszolását.
B.
Az előzetes döntéshozatalra előterjesztett második kérdés
40.
Ha – amint azt javaslom – az előzetes döntéshozatalra előterjesztett első kérdésre nemleges a válasz, a kérdést előterjesztő bíróság azt kívánja megtudni, hogy „a jelen ügyben szereplőhöz hasonló helyzetben a GDPR 9. cikkének (3) bekezdésében foglalt követelményeken túlmenően további adatvédelmielőírások[…] is [léteznek‑e], és adott esetben [melyek]”.
41.
A válaszadás általában véve nem vet fel különösebb problémát. (
26
) A Bíróság megállapította, hogy a személyes adatok minden kezelésének meg kell felelnie a GDPR 5. cikkében foglalt elveknek, valamint a 6. cikkében foglalt jogszerűségi feltételek valamelyikének. (
27
)
42.
A kérdést előterjesztő bíróság szerint a titoktartási kötelezettség (a GDPR 9. cikkének (3) bekezdése) tiszteletben tartása a jelen ügyhöz hasonló körülmények között nem elegendő az adatok védelméhez. A Bizottság további kiegészítő intézkedéseket javasol, és álláspontja szerint e célra kizárólag ezen intézkedések lennének alkalmasak. (
28
)
43.
Úgy vélem, hogy a GDPR 9. cikkének (3) bekezdése önmagában nem szolgálhat e további intézkedések alapjául. Annak egyértelmű szövege (amely a 95/46 irányelvben már szereplő rendelkezés pontosítására szorítkozik) (
29
) nem támasztja alá a kérdést előterjesztő bíróság javaslataihoz hasonló javaslatokat.
44.
E javaslatok ezzel szemben a GDPR 9. cikke (4) bekezdésének hatálya alá tartozhatnának. E rendelkezés értelmében „a tagállamok további feltételeket – köztük korlátozásokat – […] vezethetnek be […] az egészségügyi adatok kezelésére vonatkozóan”. (
30
) Az előzetes döntéshozatalra utaló határozatból mindazonáltal nem következik, hogy Németországban ez a helyzet állt volna fenn.
45.
Mindemellett és az általam fent kifejtett okok miatt az egészségügyi személyes adatok kezelésének meg kell felelnie – egyéb elvek mellett – a GDPR 5. cikke (1) bekezdésének f) pontjában foglalt elveknek és az említett rendelkezésből eredő, IV. fejezetében részletezett kötelezettségeknek.
46.
Az adatkezelőnek (
31
) továbbá megfelelő technikai és szervezési intézkedéseket kell hoznia annak biztosítása céljából, hogy a konkrét adatkezelés a GDPR-ral összhangban történjen. Ezt írja elő általános jelleggel a rendelet 24. cikkének (1) bekezdése.
47.
A GDPR 32. cikkének (1) bekezdése kifejezetten arra kötelezi az adatkezelőt, hogy alkalmazzon „megfelelő technikai és szervezési intézkedéseket” annak érdekében, hogy a szóban forgó személyes adatokat érintő „kockázat mértékének megfelelő szintű adatbiztonságot garantálja”.
48.
E szabályoknak a jelen ügyre történő alkalmazásával az egészségügyi szolgálat ZQ vonatkozásában betöltött munkáltatói minősége a szokásosnál nagyobb gondossági kötelezettséget ír elő az egészségügyi szolgálat számára az egészségügyi adatok kezelése során, mivel a kockázatok is magasabbak. (
32
)
49.
Az egészségügyi szolgálat előtt nem ismeretlen e tény. Amikor egy olyan egészségbiztosítási pénztár megbízásából, amelynek a munkavállaló tagja, szakvéleményt készít a munkavállaló munkaképességével(‑képtelenségével) kapcsolatos kétségek eloszlatása érdekében, egy sor ad hoc technikai és szervezeti intézkedést alkalmaz, amelyek célja, hogy az egészségügyi személyes adatok kezelését összhangba hozzák a GDPR-ral. (
33
)
50.
Ezen intézkedések értékelése a kérdést előterjesztő bíróság feladata, amely az értékelését követően határozhat úgy, hogy az elfogadott intézkedések nem voltak elegendőek. Ez azonban nem teszi lehetővé, hogy a GDPR 9. cikkéből arra lehessen következtetni, hogy az egészségügyi szolgálat köteles lenne hivatalból elutasítani az egészségbiztosítási pénztáraktól származó (munkavállalókra vonatkozó) orvosi szakvélemény iránti kérelmet. (
34
)
C.
Az előzetes döntéshozatalra előterjesztett harmadik kérdés
51.
Az előzetes döntéshozatalra előterjesztett első kérdésre adandó nemleges válasz esetén a harmadik kérdéssel az előterjesztő bíróság azt kívánja megtudni, hogy az egészségügyi adatok kezelésének tilalma alóli kivétel fennállásához „a GDPR 6. cikkének (1) bekezdésében felsorolt feltételek egyikének is teljesülnie kell‑e”.
52.
E kérdés megválaszolásához elemezni kell a GDPR 9. cikkének (2) bekezdése és az adatkezelés jogszerűségére vonatkozó 6. cikke közötti kapcsolatot. Annak szükségességét, hogy ez utóbbi rendelkezésnek minden adatkezelés során meg kell felelni, a Bíróság – általam fentiekben hivatkozott – ítéletei rögzítik. (
35
)
53.
A C‑439/19. sz. ügyben hozott ítélet (
36
) különösen a GDPR-nak a különleges személyes adatok egy másik kategóriájára (a büntetőjogi felelősség megállapítására vonatkozó határozatok és a bűncselekményekre vonatkozó személyes adatok) (
37
) vonatkozó 10. cikkét értelmezte, megállapítva, hogy a GDPR6. cikke a 10. cikkel együttesen alkalmazandó.
54.
Kiterjeszthető‑e ugyanez a követelmény a GDPR 9. cikke szerinti személyes adatokra?
55.
A GDPR 9. és 10. cikkének szerkezete eltérő. A 10. cikk kifejezett utalást tartalmaz a GDPR 6. cikkének (1) bekezdésére, amely utalás a 9. cikkben nem szerepel.
56.
A GDPR 9. cikkének (2) bekezdése és 10. cikke tartalmilag sem hasonlítható össze: a 10. cikk csupán az adatkezelés szubjektív korlátozására hivatkozik, míg a 9. cikk (2) bekezdése – a 6. cikk (1) bekezdéséhez hasonlóan – az adatkezelést igazoló célokat (vagy körülményeket) határozza meg.
57.
A GDPR 6. cikkének (1) bekezdése és 9. cikkének (2) bekezdése közötti párhuzam ugyanis olyan mértékű, hogy első olvasatban úgy tűnik, hogy az utóbbiban felsorolt körülmények az előbbiben szereplő feltételek meghatározását jelentik: pontosítják és egyben szigorítják is azokat.
58.
A GDPR 9. cikkének története és fejlődése ugyanakkor megkérdőjelezi, hogy a 9. cikk és a 6. cikk közötti kapcsolat a „különös szabályok” és az „általános szabályok” fogalmaival magyarázható‑e.
59.
Nem vitatott, hogy ezen értelmezést egyes tagállamok küldöttségei ténylegesen támogatták. (
38
) A 9. cikk megtárgyalására vonatkozó dokumentumok azonban nem a 6. cikkre való hivatkozással, (
39
) hanem annak hatályával kapcsolatban mutatnak eltéréseket (azt illetően, hogy az vajon csak az (1) bekezdésre, vagy másokra is vonatkozik). (
40
) Végül a 9. cikkből törölték a 6. cikkre való hivatkozást, (
41
) és a preambulumban a GDPR jelenlegi (51) preambulumbekezdéséhez hasonló bekezdés fenntartása mellett döntöttek. (
42
)
60.
A két rendelkezés közötti halmozó vagy kiegészítő jelleg gondolatát az Európai Adatvédelmi Bizottság (
43
) is osztja, és az úgynevezett 29. cikk szerinti munkacsoport (
44
) támogatta az elgondolást a 95/46/EK irányelv 8. cikkét illetően. (
45
) Ez azonban sem a jogelméletben, sem más releváns fórumokon nem megkérdőjelezhetetlen felfogás. (
46
)
61.
A GDPR 9. cikke (2) bekezdésének különböző pontjait vizsgálva inkább úgy gondolom, hogy az e rendelkezés és a 6. cikk közötti kapcsolat valójában nem teszi lehetővé az egységes választ. Ugyanis:
–
az adatkezelés tilalmától való, a 9. cikk (2) bekezdésének a), c), g) és i) pontjában (
47
) foglaltakhoz hasonló eltérések közvetlen kapcsolatot mutatnak a GDPR 6. cikkének (1) bekezdése szerinti konkrét jogalappal, és azt beillesztik;
–
más a helyzet a GDPR 9. cikkének (2) bekezdésében felsorolt egyéb kivételek esetében, amelyek a 6. cikk (1) bekezdése szerinti további indokolást igényelnek. Véleményem szerint ez a helyzet áll fenn a 9. cikk (2) bekezdésének h) pontja esetében, amelyre a jelen előzetes döntéshozatalra előterjesztett kérdés irányul.
62.
Úgy vélem tehát, hogy ahhoz, hogy a különleges adatoknak a GDPR 9. cikke (2) bekezdésének h) pontja által engedélyezett kezelése jogszerű legyen, meg kell vizsgálni, hogy a 6. cikk (1) bekezdésében részletezett feltételek közül esetről esetre melyik feltétel teszi jogszerűvé az adatkezelést.
63.
A kérdést előterjesztő bíróság nem vitatja, hogy ez így van: ezzel szemben ezen előfeltevésből kiindulva inkább annak elutasítására összpontosítja figyelmét, hogy az egészségügyi szolgálat által végzett adatkezelést a 6. cikk igazolná. (
48
)
64.
Első ránézésre számomra nem tűnik úgy, hogy a rendelkezés által előírt jogalapok között elsőbbségi sorrend állna fenn. Egy részletesebb elemzés rávilágíthat arra, hogy árnyalatokra van szükség. (
49
) Úgy vélem azonban, hogy az ilyen elemzés túlmenne azon, ami az előzetes döntéshozatal iránti kérelem megválaszolásához szükséges. (
50
)
65.
Összefoglalva, az előzetes döntéshozatalra előterjesztett harmadik kérdésre adandó válasznak jeleznie kell a kérdést előterjesztő bíróság számára, hogy az egészségügyi adatok kezelésének tilalma alóli kivétel feltételezi, hogy a GDPR 6. cikkének (1) bekezdésében felsorolt feltételek legalább egyike teljesüljön.
D.
Az előzetes döntéshozatalra előterjesztett ötödik kérdés
66.
A kérdést előterjesztő bíróság azt kívánja megtudni, hogy „jelentőséggel bír‑e a megtérítendő nem vagyoni kár mértékének a GDPR 82. cikkének (1) bekezdése alapján történő megállapítása során az adatkezelő, illetve adatfeldolgozó vétkességének mértéke”, és hogy „figyelembe vehető‑e különösen az adatkezelő, illetve adatfeldolgozó javára vétkességének hiánya vagy kis mértéke”.
67.
A kérdés feltételezi, hogy az adatkezelőként megjelenő személy megsértette a GDPR-t, (
51
) és azt a kérdést veti fel, hogy az adatkezelő vétkességének mértéke jelentőséggel bír‑e az e jogsértésből eredő kár megtérítésének összegszerűsítése szempontjából. A kérdést előterjesztő bíróság szerint nem biztos, hogy az adatkezelő vétkességének hiánya vagy kis mértéke mentő körülménynek minősíthető.
68.
Szó szerint értelmezve a kérdés a kártérítés összegszerűsítésére irányul. A hozzáfűzött magyarázatok azonban némi zavart keltettek, mivel nem volt egyértelmű, hogy a vétkességre mint a felelősség betudásának feltételére vagy mint a kártérítés összegének kiigazításához szükséges tényezőre utalnak‑e.
69.
A kérdést előterjesztő bíróság – miután a Bíróság felhívta e kétértelműség tisztázására – kifejtette, hogy a kérdés mindkét szempontra vonatkozik, anélkül hogy pontosította volna a kérdésnek az eredeti jogvitával való kapcsolatát.
70.
E válasz tükrében a kérdést előterjesztő bíróság által előterjesztett kérdésekre az egészségügyi szolgálat által az érintett személynek a kár okozásában való esetleges részvételére vonatkozóan előterjesztetett kérdések megválaszolása után (is) kívánok válaszolni. (
52
) Elemzésem három lépésben fogom levezetni:
–
az elsőben a felelősségnek a GDPR 82. cikke szerinti betudhatósági jogcímével foglalkozom;
–
a másodikban azt fogom elemezni, hogy milyen hatással járhat az adatkezelő munkavállalója általi személyes adatokba való betekintés. (
53
) E forgatókönyv sajátos és alapvető fontosságú eleme, hogy e munkavállaló az érintett személy kérésére tett betekintést;
–
a harmadikban arról fogok állást foglalni, hogy az adatkezelő vétkessége súlyosságának foka milyen hatással lehet a megtérítendő nem vagyoni kár konkrét értékelésére.
1. A polgári jogi felelősségnek a GDPR82. cikke szerinti jogcíme
71.
A kérdést előterjesztő bíróság úgy véli, hogy a GDPR 82. cikkének (1) bekezdése a polgári jogi felelősséget nem teszi függővé (az adatgazda tekintetében) (
54
) a szándékosság vagy gondatlanság fennállásától vagy bizonyítékától. Hozzáteszi, hogy ugyanezen cikk (3) bekezdése nem támaszt alá más megoldást.
72.
Elismerem, hogy nem egyértelmű, hogy a GDPR milyen polgári jogi felelősségi modellt fogadott el, és hogy előzetesen többféle értelmezés is lehetséges. (
55
) A kérdést előterjesztő bíróság értelmezése ezek egyike: véleményem szerint, helyes.
73.
A GDPR 82. cikke (1) bekezdésének olyan értelmezése, amely szerint az az adatkezelő vétkességétől független polgári jogi felelősségi rendszert vezet be, véleményem szerint összhangban áll annak szövegével, az előkészítő munkálatok közvetlenül alátámasztják, és mindenekelőtt a szabály célját szolgálja. A rendelkezés más bekezdéseire, valamint a rendszer egészére tekintettel elfogadható.
a) Szövegszerű érvelés
74.
A kérdést előterjesztő bíróság által képviselt álláspont összhangban van a GDPR 82. cikkének (1) bekezdésével. Szó szerint, az adatkezelőt terhelő kártérítéshez való jog minden további nélkül kapcsolódik önmagában a GDPR megsértése miatt elszenvedett kárhoz.
75.
A 82. cikk többi bekezdése nem tesz lehetővé más választ. (
56
) Többek között a 82. cikk (3) bekezdésében szereplő „felróható” szóból nem mennék el addig, hogy vétkességi követelményre következtessek. E kifejezés csak a GDPR egyes nyelvi változataiban szerepel; más nyelvi változatok ezzel szemben a „felelős” kifejezést használják. A német nyelvi változatban sem a 82. cikk, sem a preambulum nem tartalmazza a vétkességen alapuló betudásra jellemző szakkifejezést („Verschulden”). (
57
)
76.
A GDPR különböző rendelkezéseinek összehasonlítása azt mutatja, hogy a használt terminológia nem mindig egyértelmű, ennélfogva körültekintően kell eljárni a megfogalmazásukból való következtetések levonásakor. Az angol nyelvi változatban például a „responsible” szó számos jelentésben szerepel. (
58
)
77.
Az adatkezelő szándékára vagy vétkességére való hivatkozásnak a GDPR 82. cikkében való hiánya ellentétes a 83. cikk szerinti közigazgatási bírságokra való hivatkozással: „[a]nnak eldöntésekor, hogy szükség van‑e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben” kellőképpen figyelembe kell venni a GDPR megsértésének szándékos vagy gondatlan jellegét. (
59
)
78.
Noha a szövegek közötti eltérés gyengíti a nyelvtani értelmezési szempont súlyát, legalább megerősíti azt az elképzelést, hogy sem a szándék, sem a vétkesség nem jelenik meg a GDPR 82. cikkében, és hogy ez a hiány tudatos, és nem a jogalkotó mulasztásának tulajdonítható.
b) Előkészítő munkálatok
79.
A GDPR -ban végül elfogadott felelősség betudásának jogcíméről szóló vitát elhomályosítja az a kontextus, amelyben a vita – több adatkezelő feltételezésével összhangban – a Tanácson belül zajlott.
80.
E vita eljárási megfontolásokkal keveredett anélkül, hogy olyan fogalmi módszer alapján folyna, amely lehetővé tenné egyrészt a vétkesség mint a felelősség betudásának jogcíme, másrészt a vétkesség hiányának az ugyanezen felelősség alóli mentesítés céljából való funkciója közötti különbségtételt az ok‑okozati összefüggés szintjén.
81.
Ugyanakkor úgy vélem, hogy az előkészítő munkálatok a GDPR 82. cikke (1) bekezdésének olyan értelmezését támasztják alá, amely szerint a polgári jogi felelősség nem függ az adatkezelő vétkességétől.
82.
A bizottsági javaslat a 95/46/EK irányelvet követte, és nem említette a gondatlanságot. A tanácsi dokumentumok megemlítik, hogy az előírt felelősség meghatározása „strict liability”. (
60
)
83.
A Parlament Állampolgári Jogi, Bel‑ és Igazságügyi Bizottságában javasolt módosítás a 82. cikk (akkori 77. cikk) (1) bekezdését olyan tartalommal ruházta volna fel, amelyben a felelősség szándékosságon vagy gondatlanságon alapul. (
61
) Nem járt sikerrel. (
62
)
84.
A Tanácsban a 77. cikkről és a betudás kritériumáról folytatott vita a több személy ugyanazon adatkezelési műveletben való részvétele esetén történő felelősség megállapításához és megosztásához kapcsolódóan zajlott. Ebben az összefüggésben az elnökség két lehetőség közötti választást javasolt: (
63
)
–
az előbbi szerint (
64
) valamennyi adatgazda vagy adatfeldolgozó jogi felelősséggel tartozik az érintettnek okozott teljes kárért, (
65
) amennyiben megsértette a GDPR szerinti kötelezettségeit. (
66
) A károkozásban való részvételük, még ha kismértékű is, lehetővé tenné az érintett számára, hogy teljes kártérítést követeljen; több fél esetén mindegyiküktől. (
67
) Mindenki szabadul azonban a kötelezettség alól, ha bebizonyítja, hogy egyáltalán nem felelős („responsible”) a kárért („0 % responsibility”); ez tükröződik a 77. cikk (3) bekezdésében. A modell leírása: „closer (but certainly not equal to) to the »liability follows fault principle«”; (
68
)
–
a második lehetőség azzal az elkerülhetetlen kötelezettséggel járt volna az adatgazda számára, hogy egyfajta abszolút felelősség formájában kártalanítsa az érintettet a teljes kárért, mivel semmilyen mentesítést nem írtak elő. (
69
) Az érintettnek az adatfeldolgozóval szemben benyújtott igénye csak másodlagosan érvényesíthető. (
70
) Nem volt előirányozva semmiféle mentesség sem a számára.
85.
Az elnökség által általános iránymutatásként (
71
) elfogadásra benyújtott kompromisszumos szöveg az első lehetőséget követi, bár a 77. cikk (3) bekezdésének megfogalmazásával megerősíti a mentesítés kivételességét és bizonyításának nehézségét: „[…] if it [adatkezelő/adatfeldolgozó] proves that it is not in any way responsible […].” (
72
) E megfogalmazás és a végül jóváhagyott cikk megegyezik.
86.
Összefoglalva, a GDPR végleges szövegéhez vezető jogalkotási folyamat elemzése amellett szól, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdésében említett felelősség ne az adatkezelő vétkességéhez kapcsolódjon.
c) Cél
87.
A GDPR olyan rendszert hoz létre, amely a természetes személyek magas szintű védelmének biztosítására irányul, miközben megszünteti a személyes adatok áramlása előtt álló akadályokat. (
73
) Ebben a rendszerben a 82. cikk veszteség‑ellensúlyozó célt követ, annak sérelme nélkül, hogy másodlagosan a rendelkezéseivel ellentétes magatartásoktól való elrettentésre vagy azok megelőzésére is szolgál. (
74
)
88.
A kártérítés biztosítása önmagában is cél: ez abból a jelentőségből következik, amelyet a jogalkotó tulajdonít neki, és amely a jogszabályszöveg egyszerű olvasatából is kiderül. A GDPR értelmében – ha már kár merült fel – a kártérítéshez való jog az érintett joga; a kár fogalmát tágan kell értelmezni; és a kártérítésnek teljesnek és ténylegesnek kell lennie.
89.
A kártérítés a polgárok digitális környezetbe vetett bizalmának megerősítése irányuló szándékhoz kapcsolódik, amely a GDPR (7) preambulumbekezdésében meghatározott általános jellegű célkitűzés. A bizalom erősítésére szolgál annak biztosítása, hogy az érintett – elvi megoldásként – ne szenvedjen el minden további nélkül adatainak jogellenes kezeléséből eredő károkat: vagyona biztonságban van, és eljárási szempontból egyszerűbb a követelés érvényesítése.
90.
E megközelítéssel összhangban áll, hogy a GDPR 82. cikkének (1) bekezdése a kártérítési kötelezettséget nem kapcsolja össze a gondossági kötelezettség megsértésével. Az ilyen kötelezettség a jogalkotó döntése értelmében azt a személyt terheli, aki a jogviszonyban bizonyos jogvédő vagy garantáló szerepet tölt be, és éppen e puszta tényre tekintettel.
91.
Kijelenthető tehát, hogy a GDPR szempontjából a jogsértésből eredően kárt elszenvedő sértett helyzete bír jelentőséggel, amennyiben semmilyen szabály nem kötelezi őt a kár viselésére.
92.
A sértett számára nincs jelentősége annak, hogy a kár bekövetkezését illetően a károkozó vétkes volt‑e vagy sem: a döntő tényező az, hogy az adatkezelő okozta‑e neki a GDPR megsértéséből eredő – vagyoni vagy nem vagyoni – kárt.
93.
A fent leírt célkitűzések könnyebben megvalósíthatók egy olyan modellben, amely arra irányul, hogy a bizonyított kár:
–
mindenképpen megtérítésre kerüljön (kivéve a mentesülés kivételes eseteit), valamint
–
(viszonylag) könnyen elérhető jogorvoslatot biztosít, nemcsak azért, mert az adatkezelő vétkességét nem kell bizonyítani, hanem azért is, mert a jogsértés és az ahhoz kapcsolódó kár esetén a betudhatóság nem függ a vétkesség mértékétől.
94.
A digitális forradalomhoz való alkalmazkodás keretében (
75
) ez a megoldás számomra koherensnek tűnik. A gyors technológiai fejlődés megköveteli, hogy az online végzett leggyakoribb adatkezelési tevékenységek esetében a szándékosság vagy gondatlanság hiánya ne akadályozza meg az egyébként megtérítetlenül maradó károk megtérítését.
d) Rendszer
95.
Az általam javasolt értelmezés jobban megfelel a GDPR rendszerének. Ezt a 82. cikk (3) bekezdése is megerősíti: az adatkezelő mentesül, ha „bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség”.
96.
Ebből a megfogalmazásból kiemelkedik a „semmilyen módon” fordulat, ami azt sugallja, hogy a modell nem a bizonyítási teher megfordításával járó vétkesség (vagy akár csak a nagyon csekély mértékű vétkesség) modellje.
97.
Az a felfogás, hogy a kártérítés nem függ az adatkezelő vétkességétől, önálló jelentést ad a 82. cikknek a VIII. fejezeten és végső soron a GDPR egészén belül.
98.
Az uniós jogalkotó abból indul ki, hogy a személyes adatok kezelése kockázati forrást jelenthet. Előírja az adatkezelők számára, hogy értékeljék ezen kockázatokat, és hozzanak olyan intézkedéseket, amelyek megelőzik és minimalizálják az általuk azonosított kockázatokat, illetve időnként frissítsék azokat. (
76
)
99.
Bebizonyosodott, hogy a vétkességen alapuló polgári jogi felelősség modellje előmozdítja a gondosságot és ily módon a kockázatokkal szembeni védelmet, míg az alternatív modell, amely nem veszi figyelembe, hogy az adatkezelő milyen módon járt el, visszatartja az adatkezelőt az óvatosságtól (mivel kár esetén mindenképpen meg kell térítenie azt).
100.
Véleményem szerint ez az eredmény (
77
) elfogadható a GDPR -ban. A 82. cikk egy összetett szabályozási rendszer részét képezi, amely közjogi és magánjogi eszközöket tartalmaz a személyes adatok védelmére. E rendszer keretében a gondatlanság (és a szándékosság) jelentőséggel bír a közigazgatási szankciók szempontjából. Nem tartom szükségesnek, hogy a polgári jogi felelősség szempontjából is jelentőséggel bírjanak, (
78
) ami sértené a 82. cikk célkitűzéseit, és ezenfelül csökkentené az általa előírt jogorvoslat tényleges vonzerejét.
2. Az érintett beavatkozásának hatása
101.
Az adatkezelő vétkességének szükségességére vonatkozó kérdések a jelen ügyben azon következményekhez kapcsolódnak, amelyek az érintett beavatkozásából eredhetnek. (
79
)
102.
Az alábbiak jobb megértése érdekében pontosítani kell, hogy a jogvita körülményeit két forgatókönyv szerint vették figyelembe:
–
az elsőben ZQ személyes adatainak az egészségügyi szolgálat általi kezelése sérti a GDPR-t (9., illetve 6. cikket). A jogsértés már önmagában kárt okoz; (
80
)
–
a másodikban az ismertetett adatkezelés nem minősül a GDPR megsértésének, illetve nem jár károkozással. Ez utóbbira azt követően kerül sor, hogy az egészségügyi szolgálat egyik munkatársa az adatokba az érintett személy kezdeményezésére betekint. (
81
)
103.
Mindenesetre az én nézetem szerint – amely nézetet a kérdést előterjesztő bíróság is osztani látszik – (
82
) az érintett magatartása által a kárt okozó jogsértő cselekmény elkövetésére gyakorolt hatás (amennyiben volt ilyen) meghatározása érdekében a 82. cikk (3) bekezdéséhez kell folyamodni.
104.
A rendelkezés még példálózó jelleggel sem sorolja fel a felelősség alóli mentesülés konkrét okait. Hasonlóképpen, a (146) preambulumbekezdés sem teszi ezt meg. (
83
)
105.
Úgy tűnik, a GDPR e tekintetben eltér a 95/46 irányelvtől, amely rendelet 23. cikkének (2) bekezdése a GDPR jelenlegi 82. cikkének (3) bekezdéséhez hasonló szabályt (
84
) tartalmazott: a 95/46 irányelv (55) preambulumbekezdése a mentességi okok példájaként az érintett felelősségét vagy a vis maiort sorolta fel, (
85
) amelyek nem szerepelnek a GDPR-ban.
106.
Ha nem tévedek, a GDPR előkészítő munkálataiból nem az derül ki, hogy e két, a Bizottság (
86
) és a Parlament (
87
) javaslatában szereplő példát megvitatták volna.
107.
Az elvetésére és a „semmilyen módon” fordulat megjelenésére a már említett, a számos adatkezelő, illetve adatfeldolgozó adatkezeléssel kapcsolatos felelőssége szabályozásának módjáról szóló vita keretében került sor. (
88
)
108.
A rendelkezésre álló dokumentumokból (
89
) kitűnik, hogy a végleges tervezetben az adatkezelő akkor részesül mentességben, ha bizonyítja, hogy egyáltalán nem felelős („responsible”) a kárért („0 % responsibility”). Ugyanez vonatkozik az adatfeldolgozóra is. (
90
)
109.
Ez alapján nem gondolom, hogy a két példa preambulumból való eltűnése – a GDPR ugyanezen preambulumában és 82. cikkének (3) bekezdésében szereplő „semmilyen módon” fordulattal való kiegészítéssel párhuzamosan – azzal a következménnyel (és nem is azzal a céllal) járna, hogy az érintett tevékenységét kizárják a felelősség alóli mentesülési okok köréből. (
91
)
110.
Inkább úgy tűnik, hogy az érintett tevékenysége továbbra is alkalmas arra, hogy az esettől függően megszakítsa a „tény” (a GDPR 82. cikkének (3) bekezdése e kifejezést használja) és az adatkezelő elkövetése közötti nélkülözhetetlen kapcsolatot. A mentesítő záradék korlátozott jellegének hangsúlyozása nem akadályozza meg, hogy az érintett adott magatartása önmagában megalapozza a kárt, és ennek megfelelően meghatározza az adatkezelő felelősség alóli mentesülését.
111.
A rendszertani értelmezés amellett szól, hogy a kártérítési felelősség keretében figyelembe kell venni az érintettnek a kár keletkezésében való szerepét. A GDPR rendszerében az egyének vesznek részt az adataik védelmében azáltal, hogy e célból olyan eszközöket biztosítanak számukra, amelyek önmagukban is jogok.
112.
Teleológiai szempontból úgy látom, hogy a GDPR magas szintű védelmet kíván biztosítani, de nem olyan mértékben, hogy arra kötelezné az adatkezelőt, hogy az érintettnek betudható tevékenységekből vagy cselekményekből eredő károkat is megtérítse. (
92
)
3. A kártérítés kiszámítása. A kárért felelős személy vétkessége mértékének hatása
113.
A kérdést előterjesztő bíróság megerősítette, hogy az előzetes döntéshozatalra előterjesztett ötödik kérdés arra vonatkozik, hogy az adatkezelő vétkességének mértéke befolyásolja‑e a kártérítés kiszámítását. Pontosabban, hogy az adott adatkezelő vétkességének hiánya vagy kis mértéke figyelembe vehető‑e a javára.
114.
A GDPR 82. cikke alig szól, vagy egyenesen hallgat a kártérítés fő kérdései tekintetben, amelyek hatással lehetnek a kártérítés összegének kiszámítására. Nem ad iránymutatást az értelmezőnek arra vonatkozóan, hogy az milyen elemekből áll, (
93
) milyen kritériumok alapján kell értékelni (összegre átszámítani) ezen elemeket, (
94
) vagy hogy milyen tényezők befolyásolhatják az összeget. (
95
)
115.
Ennek ellenére úgy látom, hogy a GDPR kártérítéshez való jogot biztosít az érintett számára, amelynek összegét a ténylegesen elszenvedett kár alapján határozzák meg. Miután megállapították azt az összeget, amely objektív értelemben ellentételezi ezt a kárt, az nem változtatható meg az adatkezelő kisebb vagy nagyobb mértékű gondatlanságának függvényében.
116.
Álláspontom alátámasztására – mutatis mutandis – utalok arra, amit a GDPR 82. cikkének rendszerében a felelősség adatkezelőnek – vétkességétől függetlenül – való betudásával kapcsolatban kifejtettem. A sértett szempontjából, akinek (anyagi és nem anyagi) helyzetét a kár bekövetkeztét követően is helyre kell állítani, a kártérítésnek anélkül kell megtörténnie, hogy azt az adatkezelő vétkességéhez kapcsolnák, függetlenül annak súlyossága mértékétől. (
96
)
117.
Úgy vélem, hogy ugyanerre a megoldásra jutunk annak megállapításával, hogy a GDPR 82. cikke (amelynek előkészítő munkálatai nem adnak támpontokat arra vonatkozóan, hogy melyik álláspontot kell képviselni) (
97
) eltér más uniós jogi eszközöktől, amelyek kifejezetten különbséget tesznek a kártérítésként megfizetendő összeg polgári jogi felelősség alapján történő megállapításakor aszerint, hogy a jogsértésben való közreműködésről volt-e bárkinek „tudomása” vagy sem. (
98
)
118.
Véleményem szerint ezt az értékelést két további érv is alátámasztja:
–
A GDPR 83. cikke a bírságösszeg fokozatainak megállapítása érdekében figyelembe veszi a jogsértő gondatlanságát (és szándékosságát). (
99
) A jogalkotó ugyanezt a kritériumot alkalmazhatta volna a polgári jogi felelősség szerinti kártérítés kiszámítására is, de ezt nem tette meg.
–
A GDPR hangsúlyozza, hogy a kártérítésnek teljesnek és ténylegesnek (
100
) kell lennie (a (146) preambulumbekezdés és a 82. cikk (4) bekezdése az ugyanazon adatkezelési műveletben részt vevő több adatkezelő vagy adatfeldolgozó esetében). (
101
) Véleményem szerint a „teljes” minősítés a kártérítés összegének az adatkezelő kisebb fokú gondatlansága alapján történő lefelé történő kiigazítása ellen szól. (
102
)
V. Végkövetkeztetés
119.
A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság a Bundesarbeitsgericht (szövetségi munkaügyi bíróság, Németország) részére a következő választ adja:
„A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 9. cikke (2) bekezdésének h) pontját és (3) bekezdését, valamint a 82. cikkének (1) és (3) bekezdését
a következőképpen kell értelmezni:
E rendelkezések nem tiltják, hogy az egészségbiztosítási pénztár orvosi szolgálata az e szolgálat munkavállalójának egészségi állapotára vonatkozó adatokat kezeljen, amennyiben azok elengedhetetlenek a munkaképesség értékeléséhez.
Lehetővé teszik az egészségügyi személyes adatok kezelésének tilalmától való eltérést, amennyiben ezen adatkezelés a munkavállaló munkavégzési képességének felmérése céljából szükséges, a 2016/679 rendelet 5. cikkében foglalt elvek és a 2016/679 rendelet 6. cikkében előírt jogszerűségi feltételek valamelyikének tiszteletben tartása mellett.
Az adatkezelő, illetve az adatfeldolgozó vétkességének mértéke nem bír jelentőséggel sem valamelyikük felelősségének megállapításánál, sem pedig a megtérítendő nem vagyoni kár összegének az általános adatvédelmi rendelet 82. cikkének (1) bekezdése alapján történő megállapításánál.
Az érintettnek a kártérítési kötelezettség alapjául szolgáló cselekményben való közreműködése adott esetben meghatározhatja az adatkezelő vagy az adatfeldolgozó felelősség alóli, a 2016/679 rendelet 82. cikkének (3) bekezdése szerinti mentesülését.”
(
1
)	Eredeti nyelv: spanyol.
(
2
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR).
(
3
)	Továbbá a GDPR 9. cikkének közvetlen elődje, a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet 15. kötet 355. o.) 8. cikke.
(
4
)	A negyedik kérdés lényegében megegyezik az Österreichische Post (Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár) (C‑300/21) ügyben előterjesztett első kérdéssel, amelyre vonatkozóan 2022. október 6‑ánismertettem az indítványomat (EU:C:2022:756) (a továbbiakban: a C‑300/21. sz. ügyre vonatkozó indítvány), és amelyben a Bíróság 2023. május 4‑én hozott ítéletet (EU:C:2023:370).
(
5
)	A szociális törvénykönyv V. könyve.
(
6
)	Krankenversicherung (a továbbiakban: KV vagy egészségbiztosítási pénztár).
(
7
)	Medizinischer Dienst der Krankenrversicherung (a továbbiakban: MDK vagy az egészségbiztosítási pénztár egészségügyi szolgálata).
(
8
)	Az előzetes döntéshozatalra utaló határozat 6. és azt követő pontjaiban összefoglalt, „[az egészségügyi szolgálat] munkavállalói és családtagjaik társadalmi adatainak védelmére vonatkozó jegyzőkönyv”.
(
9
)	Az egészségügyi szolgálat belső adatkezelési rendszerében létrehoztak egy „Különleges ügyeknek” nevezett virtuális szervezeti egységet, amelyhez csak a szervezeti egység munkatársai férnek hozzá.
(
10
)	A díjazás egészségügyi szolgálat általi továbbfolyósításának (jogszabályban meghatározott) végét követően.
(
11
)	Véleménye szerint a személyes adatait érintő jogsértések nélkül 2018 decemberétől újra munkába állhatott volna.
(
12
)	ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18, valamint LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
(
13
)	Tartalmát illetően a 2023. május 4‑iÖsterreichische Post (Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár) ítéletre (C‑300/21, EU:C:2023:370) hivatkozom.
(
14
)	Az itt következő rész nem érinti az előzetes döntéshozatalra előterjesztett harmadik kérdésre adandó választ.
(
15
)	E rendelkezés alkalmazását tartom előnyösebbnek a GDPR 9. cikke (2) bekezdésének b) pontja helyett. Nem tűnik úgy, hogy az adatkezelés (sem az egészségügyi szolgálat mint munkáltató, sem ZQ mint munkavállaló tekintetében) a munkaviszony keretében fennálló kötelezettségek teljesítése vagy jogok gyakorlása céljából volt szükséges.
(
16
)	A különleges adatok munkáltatóként (azaz a munkaviszonyhoz kapcsolódó célokból) történő kezelése csak akkor jogszerű, ha megfelel a GDPR-ban az adatok gyűjtésének alapjául szolgáló céltól eltérő célból történő adatkezeléshez előírt feltételeknek.
(
17
)	Az előzetes döntéshozatalra utaló határozat 22. pontja. A GDPR ezzel szemben előírja a rendelet 9. cikkének (3) bekezdésében meghatározott egyéb jellemzőkkel való rendelkezést: a hatályát illetően lásd a fenti 40. és azt követő pontokat.
(
18
)	A GDPR 9. cikkének előzményét a 95/46 irányelv 8. cikke jelenti. A bizottsági javaslatban (A személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi rendeletre [általános adatvédelmi rendelet] vonatkozó, 2012. január 25‑i COM(2012) 11 végleges javaslat; a továbbiakban: bizottsági javaslat) az egészségügyi személyes adatok kezelését a 81. cikk szabályozta, amely indokolásokat írt elő, és utalt arra, hogy az adatkezelést az uniós vagy a tagállami jognak megfelelően kell végezni. A tagállamok feladata, hogy gondoskodjanak az érintett védett jogainak védelméhez szükséges biztosítékokról. A 81. cikk tartalmát beépítették a 9. cikk (2) bekezdésének h) pontjába és a 9. cikk (4) bekezdésébe, amint azt a Tanács elnökségének az adatvédelmi munkacsoporthoz intézett 2014. október 16‑i 14270/14. sz. dokumentuma tükrözi.
(
19
)	2019. szeptember 24‑iGC és társai (Különleges adatokra mutató linkek törlése) ítélet (C‑136/17, EU:C:2019:773, 44. pont). „[…] különös követelmények [célja][…] a különleges adatkategóriák kezelésével kapcsolatban […] az ilyen adatkezeléssel szembeni fokozott védelem [biztosítása] […], mivel az adatkezelés ezen adatok különösen érzékeny jellege folytán különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez való, a Charta 7. és 8. cikkében biztosított alapvető jogokba, amint [a 95/46] irányelv (33) preambulumbekezdéséből és e rendelet (51) preambulumbekezdéséből is kitűnik”.
(
20
)	A személyes adatok védelméhez való alapvető jog nem élvez automatikusan elsőbbséget bármely más joggal szemben, még akkor sem, ha a GDPR 9. cikkének (1) bekezdésében foglalt különleges kategóriákról van szó: 2019. szeptember 24‑iGC és társai (Különleges adatok törlése) ítélet (C‑136/17, EU:C:2019:773, 66–68. pont).
(
21
)	A GDPR 9. cikkének (3) bekezdése.
(
22
)	A GDPR 88. cikke felhatalmazza a tagállamokat arra, hogy „pontosabban meghatározott szabályokat állapíthat[sa]nak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében”. Az értelmezést illetően a 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítéletre (C‑34/21, EU:C:2023:270) utalok.
(
23
)	Úgy tűnik, ez a kérdést előterjesztő bíróság álláspontja. A magam részéről a fenti 15. lábjegyzetre utalok.
(
24
)	Egyetértek a Bizottság azon megállapításával, hogy „[a GDPR 9. cikkének] (2) bekezdése nem ír elő különös hierarchiát vagy esetleges függőségi viszonyt az egyenlő feltételek mellett egyidőben létező kivételek között” (írásbeli észrevételeinek 13. pontja).
(
25
)	A 95/46 irányelvvel ellentétben nem követelmény, hogy az adatkezelést „szakmai titoktartási kötelezettség alá eső egészségügyi szakember vagy azzal egyenértékű titoktartási kötelezettség alá eső más személy dolgozza fel” (kiemelés tőlem). Megköveteli azonban, hogy azt titoktartási kötelezettség alá tartozó személyek végezzék.
(
26
)	A GDPR (51) preambulumbekezdése „az alapvető jogokra és szabadságokra nézve”„különösen érzékeny” adatokra hivatkozva úgy rendelkezik, hogy „[a]z ilyen adatkezelésre vonatkozó konkrét előírásokon kívül e rendelet általános elveit és egyéb szabályait kell alkalmazni, különösen a jogszerű adatkezelés feltételei tekintetében”.
(
27
)	2019. január 16‑iDeutsche Post ítélet (C‑496/17, EU:C:2019:26, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat). A különleges adatok tekintetében: 2019. szeptember 24‑iGC és társai (Különleges adatokra mutató linkek törlése) ítélet (C‑136/17, EU:C:2019:773, 64. pont); 2021. június 22‑iLatvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 96., 99., 100. és 102. pont).
(
28
)	Az előzetes döntéshozatalra utaló határozat 25–27. pontja. Arra hivatkozik, hogy két egymástól független „különleges ügyek” egységet, valamint külön informatikai egységet hoznak létre, amikor (ZQ‑hoz hasonlóan) informatikai osztály munkavállalójáról szóló szakvéleményről van szó. A végső cél az lenne, hogy az egészségügyi szolgálat egyetlen munkatársa se férhessen hozzá valójában a munkatársak egészségügyi adataihoz, illetve ne tudhasson valamely munkatárs munkaképességére vonatkozó ellenőrzés fennállásáról.
(
29
)	A 8. cikk (3) bekezdése. Amint azt már kifejtettem, a GDPR-ban kiszélesedett az adatkezelésre jogosult személyek köre.
(
30
)	A (4) bekezdés Németország javaslatára került be a GDPR 9. cikkébe: az elnökségnek a Tanácshoz intézett 2015. március 9‑i 6834/15. sz. dokumentuma.
(
31
)	A kérdést előterjesztő bíróság így minősíti az egészségügyi szolgálatot (az előzetes döntéshozatalra utaló határozat 16. pontja). A következőkben tehát nem említem az adatfeldolgozót, kivéve, ha a későbbiekben erre valamikor szükség lesz. Az előbbire vonatkozó megfontolások főszabály szerint az utóbbira is kiterjednek.
(
32
)	A kérdést előterjesztő bíróság különösen attól tart, hogy a biztonság megsértése – amennyiben bekövetkezne – azt eredményezné, hogy ZQ munkatársai tudomást szereznének az egészségi állapotáról, ami a termelékenységével kapcsolatos találgatásokhoz vezethetne. Hozzáteszi, hogy a munkaképtelenségre vonatkozó orvosi szakvélemény puszta meglétére vonatkozó információ érzékeny információnak minősül, hiszen az ilyen munkaképtelenség szimulálásának lehetőségére utalhat (az előzetes döntéshozatalra utaló határozat 26. pontja).
(
33
)	Lásd a fenti 10. pontot
(
34
)	Az előzetes döntéshozatalra utaló határozat 27. pontja.
(
35
)	Lásd a fenti 27. lábjegyzetet. A GDPR 6. és 9. cikke közötti kapcsolatról lásd még: Meta Platforms és társai (Közösségi hálózat általános használati feltételei) ítélet (C‑252/21). Rantos főtanácsnok indítványa 2022. szeptember 20‑ánkelt (C‑252/21, EU:C:2022:704).
(
36
)	2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 96., 99., 100. és 102. pont).
(
37
)	A GDPR 10. cikkének tartalma a 95/46 irányelv 8. cikkében szerepelt. Ez utóbbi az adatok valamennyi különleges kategóriáját magában foglalta, noha megkülönböztette a bűncselekményekre, a büntetőítéletekre vagy biztonsági intézkedésekre vonatkozó adatok kezelését, amelyekkel az (5) bekezdésben foglalkozott. A GDPR által alkalmazott formális szétválasztás nem azon meggyőződés megváltozásának tudható be, hogy a büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó személyes adatok „különleges” adatok.
(
38
)	A Tanácsnak az Állandó Képviselők Bizottságához intézett 2015. március 4‑i 17072/4/14 Rev 4. sz. dokumentuma, 60. lábjegyzet.
(
39
)	A végleges változathoz hasonlóan az adatkezelés jogszerűségére vonatkozik.
(
40
)	A Tanácsnak az Állandó Képviselők Bizottságához intézett 2015. március 4‑i 17072/4/14 Rev 4. sz. dokumentuma, a 9. cikk (2) bekezdése („Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]”, valamint 60. lábjegyzet.
(
41
)	Az elnökségnek a Tanácshoz intézett 2015. március 9‑i 6834/15. sz. dokumentuma alapján.
(
42
)	Jóllehet ez nem oszlatta el az összes delegáció kételyeit. Lásd például: Az elnökségnek a Tanácshoz intézett 2015. március 26‑i 7466/15. sz. dokumentuma, 38. lábjegyzet.
(
43
)	Az egészségügyi adatoknak a Covid19‑járvánnyal összefüggésben végzett tudományos kutatás céljából történő kezeléséről szóló 03/2020. sz. iránymutatása, 2020. április, 15. pont.
(
44
)	„Advice paper on special categories of data”, Ares(2011)444105 – 20/04/2011, 5. o.
(
45
)	Ez a Bizottság nyilvánosan kifejtett véleménye is: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, 2. o., amely ülést 2018. október 10‑én tartották, valamint Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, 2. o., amely ülést 2018. február 20‑án tartották.
(
46
)	Támogatja a halmozó vagy a kiegészítő jelleg mellett szóló véleményt, például T. Petri, „Art. 9”, in: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, 26. marg. 26, aki azonban elismeri, hogy ez nem egyhangú. Ennek ellenkezőjét javasolja az Európai Unió Alapjogi Ügynökségének a Manuel de droit européen en matière de protection des données című kiadványa, 2018., 4.1.1. epigráfia.
(
47
)	Ennek megfelelően az érintett kifejezett hozzájárulása; a hozzájárulás megadására képtelen természetes vagy jogi személy létfontosságú érdekeinek védelméhez szükséges adatkezelés és közérdeken alapuló adatkezelés.
(
48
)	Az előzetes döntéshozatal iránti kérelem 30. és 31. pontja.
(
49
)	Például, hogy az érintett hozzájárulásának – mint a 9. cikk (2) bekezdésének h) pontjában előírt jogosítást kísérő jogalapnak – magának a cikkben előírt kifejezett hozzájárulásnak kell‑e lennie, vagy elegendő a 6. cikk (1) bekezdésének a) pontjában előírt hozzájárulás.
(
50
)	Ettől eltérő, szűkebb hatályú kérdés az, hogy a kérdést előterjesztő bíróságnak a 6. cikk (1) bekezdésével kapcsolatos okfejtéseire tekintettel tisztázni kell‑e az ott meghatározott feltételek, különösen a c) és e) pontban előírt feltételek jelentését. E tekintetben a Bíróság ítélkezési gyakorlatára hivatkozom. A 95/46 irányelv rendelkezéseit illetően: 2008. december 16‑iHuber ítélet (C‑524/06, EU:C:2008:724, 62. pont); 2013. május 30‑iWorten ítélet (C‑342/12, EU:C:2013:355, 37. pont); az általános adatvédelmi rendeletet illetően: 2022. augusztus 1‑jei Vyriausioji tarnybinės ésikos komisija ítélet (C‑184/20, EU:C:2022:601, 66. és azt követő pontok).
(
51
)	A kérdést előterjesztő bíróság hajlik arra, hogy megállapítsa az általános adatvédelmi rendelet 9. és 6. cikkének az egészségügyi szolgálat által végzett adatkezelésből eredő megsértését. Az előzetes döntéshozatalra utaló határozat 32. pontjában azt állítja, hogy a jogsértés már önmagában kártérítéshez való jogot keletkeztet; a 33. pontban hangsúlyozza a jogsértés kárrá történő automatikus lefordítását („a GDPR megsértése olyan nem vagyoni kárt okoz, amely kártérítésre való jogot keletkeztet”). A C‑300/21. sz. ügyre vonatkozó indítványomban kifejtett okok miatt nem értek egyet ezzel az állásponttal.
(
52
)	Az MDK észrevételeinek 78–80. pontja. Az egészségügyi szolgálat szerint maga az érintett volt az, aki azáltal, hogy nem kérte az ügyiratokat, és nem élt az általános adatvédelmi rendelet 15. cikke szerinti hozzáférési jogával, hanem ehelyett az egysége egyik munkatársához fordult, és kérte a szóban forgó adatokba való betekintést, saját magának okozott kárt. Ugyanebben az értelemben a LAG Düsseldorf ([12. Kammer], Urteil vom 11.03.2020 – 12 Sa 186/19) másodfokú ítéletének 4.3.4.3. pontja.
(
53
)	A munkavállaló, aki az érintett személlyel azonos osztályhoz volt beosztva, az adatokhoz a számára engedélyezett eseteken kívül – azaz a szerződésében előírt munkavégzésétől eltérő célból – hozzáfért.
(
54
)	A továbbiakban megkülönböztetés nélkül alkalmazom a „adatgazda” kifejezést a „adatkezelő” szinonimájaként.
(
55
)	Eltekintve azoktól, akik azt állítják, hogy nem szabályozott szempontról van szó, eltérő véleményeket fogalmaznak meg az objektív felelősségi rendszer támogatói és a – bizonyítási teher megfordításával járó – vétkességen alapuló felelősségi rendszer támogatói. Valójában – amint az más ágazati (polgári) felelősségi rendszerekben történik – nem gondolom, hogy a GDPR teljes mértékben összhangban van a két fő elméleti paradigma bármelyikével, amely paradigmák határai sem nem túl pontosak. Megszövegezésénél fogva alkalmas arra, hogy mindkettőben szerepeljen, olyan árnyalatokkal, amelyek végül összezavarják a modelleket: az első esetben azon gondosság magas szintje alapján, amelyet a betudás elkerülése érdekében bizonyítani kell; a második esetben azáltal, hogy a szóban forgó szabály természetétől függően a gondosságra/gondatlanságra vonatkozó követelményeket beillesztik a mentesülési okok közé, illetve a jogsértés megállapítása során.
(
56
)	A (2) bekezdés – amely az (1) bekezdés fordítottjaként értelmezhető, amennyiben a kötelezett oldaláról vizsgálja a felelősséget – sem említ vétkességi követelményt.
(
57
)	A spanyol nyelvi változatban a „felróható” kifejezés ezzel szemben szerepel az általános adatvédelmi rendelet 47. cikke (2) bekezdésének f) pontjában, amely – azon információkkal kapcsolatban, amelyekhez a kötelező erejű vállalati szabályok elfogadását köti – az Unión belül és kívül telephellyel rendelkező vállalatcsoportokon belüli felelősség alóli mentességre utal. A német nyelvi változat körülírást alkalmaz („dem betreffenden Mitglied nicht zur Last gelegt werden kann”).
(
58
)	Lásd a 82. cikk (3) bekezdését, a 68. cikk (4) bekezdését, illetve a 75. cikk (6) bekezdését.
(
59
)	A 83. cikk (2) bekezdésének b) pontja és (3) bekezdése. Értelmezéséről a Deutsche Wohnen ügyre vonatkozó indítványban (C‑807/21, EU:C:2023:360) foglaltam állást.
(
60
)	Többek között a Tanács elnökségének az adatvédelmi munkacsoporthoz intézett 2013. december 16‑i 17831/13. sz. dokumentuma, 542. lábjegyzet.
(
61
)	S. Ilchev 2819. sz. módosító indítványa; Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), PE501.927v04‑00. sz. dokumentum, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence.”
(
62
)	Lásd a Bizottság javaslatáról szóló, 2014. március 12‑i jogalkotási állásfoglalást (HL 2017. C 378., 399. o.) kísérő szöveget.
(
63
)	A 9083/15. sz. dokumentum, az adatvédelmi munkacsoport bel‑ és igazságügyi tagjainak elnöksége, 2015. május 27. A két lehetőség közötti különbséget a 77. cikk (3)–(6) bekezdése képezi. Az adatkezelő és az adatfeldolgozó felelősségének elvét megállapító (1) bekezdés, valamint a mindkettőjük felelősségének tárgyi hatályát – az adatfeldolgozó felelősségét körülírva – meghatározó (2) bekezdés egybevágnak.
(
64
)	Uo., 5. pont.
(
65
)
(
66
)	Vagy az adatfeldolgozó esetében az adatkezelőnek a GDPR szerinti utasításait megszegte.
(
67
)	A későbbi megtérítés lehetőségével: a 77. cikk (6) bekezdése az első lehetőség alapján.
(
68
)	Az elnökségnek az adatvédelmi munkacsoport bel‑ és igazságügyi tagjaihoz intézett 2015. május 27‑i A 9083/15. sz. dokumentuma, 7. pont. Az Egyesült Királyság küldöttsége nyíltan megfogalmazta a vétkességen alapuló felelősséget. Érveikre tekintettel ilyen értelmű kérdést terjesztettek a többi fél elé (az elnökségnek az adatvédelmi munkacsoporthoz intézett, 2015. április 13‑i, 7722/15. sz. dokumentuma, 10. és 11. pont). A végül javasolt lehetőség követni látszik a német delegáció által említett kompromisszumot (2015. május 6‑i 8150/1/15 Rev. 1. sz. dokumentum), amely különbséget tett az adatkezelő/feldolgozó és az érintett, valamint az előbbiek egymás közötti kapcsolatának köre között, és az utóbbiak esetében a szándékosságon vagy vétkességen alapuló betudást tartotta fenn: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation”. Az érintett tekintetében a gondatlanság hiánya lehetővé tenné a felelősség alóli mentesülést.
(
69
)	Uo., 6. pont, amely a következőképpen végződik: „In other words, the mere fact that an entity was involved in a non‑compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages.”
(
70
)	A 77. cikk (4a) bekezdése e lehetőség keretében: „If a data subject is not able to bring a claim for compensation against the controller […].”
(
71
)	Az elnökségnek a Tanácshoz intézett 2015. június 11‑i 9565/15. sz. dokumentuma.
(
72
)	Kiemelés tőlem. Ezzel a kiegészítéssel párhuzamosan a (118) preambulumbekezdés elhagyja a kimentési okokra vonatkozó példákat: a jelen indítvány 104. és azt követő pontjai.
(
73
)	A GDPR (10) preambulumbekezdése.
(
74
)	A C‑300/21. sz. ügyre vonatkozó indítványra hivatkozom. Amint arra ott emlékeztettem, a jogalkotó ösztönözni kívánja a személyes adatok védelmére vonatkozó szabályok magánjogi jogérvényesítését. E célból az általános adatvédelmi rendelet VIII. fejezete eszközöket bocsátott az érintett rendelkezésére. A polgári jogi felelősségből eredő kártérítés is ezek közé tartozik, de nem rendelkezik büntető funkcióval.
(
75
)	A Bizottság javaslatában ez volt az egyik érv a 95/46/EK irányelv túllépése mellett.
(
76
)	A GDPR (77) és azt követő preambulumbekezdései.
(
77
)	Pontosítani kell, hogy a felelősség megelőző feladatot lát el, amennyiben az érinti az adatkezelőnek előirányzott tevékenység/ellátandó feladat mértékére vonatkozó döntését. Az általam javasolt értelmezés lehetővé teszi a GDPR 82. cikkének az olyan adatkezelési elvekkel való összekapcsolását, mint a célhoz kötöttség, az adattakarékosság és a pontosság (a GDPR 5. cikke (1) bekezdésének b), c) és d) pontja).
(
78
)	A betudhatóság kritériumaként a gondatlanságot alkalmazzák.
(
79
)	Lásd a fenti 47. lábjegyzetet.
(
80
)	A kérdést előterjesztő bíróság álláspontja (lásd a fenti 51. lábjegyzetet). Szerinte az adataiba való betekintést kérő érintett részvétele nem lehet kihatással a felelősség megállapítására. Viszont figyelembe vehető a kártérítés összegének megállapításánál.
(
81
)	Az egészségügyi szolgálat és a fellebbviteli bíróság álláspontja (lásd a fenti 47. lábjegyzetet). Valójában azzal lehetne érvelni, hogy ebben a forgatókönyvben hiányzik a „kár” összetevő: volenti non fit iniuria.
(
82
)	Az előzetes döntéshozatalra utaló határozat 40. pontja.
(
83
)	Más ágazatokkal (például hibás termékekért való felelősség ágazata) ellentétben a GDPR-ban a mentesülési okok értékelése nem kimerítő felsorolás formájában történik.
(
84
)
(
85
)	Az adatkezelő „akkor mentesül a felelősség alól, ha bizonyítja, hogy a kárért nem ő felelős, különösen, ha megállapítja, hogy az érintett a hibás, vagy vis maior esete áll fenn”. Kiemelés tőlem.
(
86
)	A bizottsági javaslat (118) preambulumbekezdése.
(
87
)	A Bizottság javaslatáról szóló, 2014. március 12‑i parlamenti jogalkotási állásfoglalást kísérő szöveg (118) preambulumbekezdése.
(
88
)	A fenti 84. és azt követő pontok. A példák szerepelnek a Tanácsban folytatott tárgyalásokkal kapcsolatos dokumentumokban, a kompromisszumos szövegben azonban már nem, a 2015. június 11‑i 9565/15. sz. dokumentum.
(
89
)	Elsősorban a 9083/15. sz. dokumentumra hivatkozom, az elnökség az adatvédelmi munkacsoport bel‑ és igazságügyi tagjai számára, 2015. május 27.
(
90
)	A kontextusra tekintettel (ismétlem, különös figyelmet az adatkezelés több szereplőjének esetére) azt a következtetést kell levonni, hogy arra, hogy e tekintetben az egyik lehetőség az lenne, ha az adatkezelő bizonyítja, hogy a kár kizárólag az adatfeldolgozó tevékenységéből ered, és fordítva az adatfeldolgozó esetében.
(
91
)	Nem áll fenn a vis maior sem, amely a 95/46 irányelv (55) preambulumbekezdésében kifejezetten említett másik ok volt (lásd a fenti 105. pontot).
(
92
)	Természetesen nem kívánom előre megítélni a harmadik személyek részvételének kérdését. E tekintetben lásd: Pitruzella főtanácsnok Natsionalna agentsia za prihodite ügyben 2023. április 27‑énismertetett indítványa (C‑340/21, EU:C:2023:353).
(
93
)	A 95/46 irányelv alapján fennálló kétségek eloszlatása érdekében a GDPR pontosítja, hogy az a nem vagyoni károkra is kiterjed. A (146) preambulumbekezdés a „kárra” hivatkozik, és hangsúlyozza, hogy a „kár” fogalmát a Bíróság ítélkezési gyakorlata alapján tágan kell értelmezni. A megjelölés pontos terjedelme még mindig vitatható.
(
94
)	Nem jelöli meg, hogy a kár mértékének esetről esetre történő meghatározásához költségskálákat kell alkalmazni, vagy átalányösszegeket kell‑e előnyben részesíteni, vagy más számítási rendszereket kell alkalmazni.
(
95
)	Ilyen tényezők lehetnek többek között: a) az előterjesztő hatóság által javasolt; b) az érintett közrehatása, amit az MDK az észrevételeinek 80. pontjában állít; c) egyebek, például a kártérítés mennyiségi felső határának bevezetése annak érdekében, hogy ne tántorítson el indokolatlanul az adatfeldolgozási műveletektől vagy az azoktól függő gazdasági tevékenységektől.
(
96
)	A fenti 87. és azt követő pontok.
(
97
)	A 95/46 irányelv nem tért ki erre a kérdésre. Az általános adatvédelmi rendelet előkészítő munkálataiban nem találtam az e kérdéssel kapcsolatos vitákra utaló jeleket.
(
98
)	A közösségi növényfajta‑oltalmi jogokról szóló, 1994. július 27‑i 2100/94/EK tanácsi rendelet (HL 1994. L 227., 1. o.; magyar nyelvű különkiadás 3. fejezet, 16. kötet, 390. o.) 94. cikkének (2) bekezdése; vagy a szellemi tulajdonjogok érvényesítéséről szóló, 2004. április 29‑i 2004/48/EK európai parlamenti és tanácsi irányelv (HL 2004. L 157., 45. o.; magyar nyelvű különkiadás 17. fejezet, 2. kötet, 32. o.) 13. cikke és (26) preambulumbekezdése.
(
99
)	A GDPR 83. cikke (2) bekezdésének b) pontja és (148) preambulumbekezdése. Ennek keretében az arányosság kritériumát nemcsak a tényt illetően veszik figyelembe, hanem annak alapján is, hogy a bírság aránytalan terhet jelent‑e egy természetes személy számára. Az ír kormány észrevételeinek 54. pontjában a polgári jogi felelősség ilyen megközelítésének megfontolását javasolja. Annak érdekében, hogy a 82. cikk szerves részét képező elemnek minősüljön, a szövegen alapuló érv ismét hiányzik; ezt sem az előkészítő munkálatok, sem a szabály célja, illetve összességében betöltött szerepe nem támasztja alá.
(
100
)	A tényleges kártérítésnek alkalmasnak kell lennie arra, hogy ellássa az adatvédelemhez való jog védelmére irányuló feladatát.
(
101
)	A GDPR 82. cikkének (2) és (3) bekezdése értelmében mindkettő polgári jogi felelősséggel tartozik. A károkozásban való közrehatásának mértékétől függetlenül teljes mértékben felelősek.
(
102
)	Nem zárom ki, hogy lehetnek olyan egyéb körülmények, amelyek fennállása indokolttá teszi az összeg csökkentését: gondolok itt például a kártérítéshez (és ezen keresztül az adatvédelemhez) való jognak más, azonos rangú vagyontárgyakkal, illetve vagyoni jogokkal való, meghatározott esetekben történő egyensúlyba hozására. A GDPR-ban a teljes melléknév egy bizonyos típusú kár (nem vagyoni) fedezetének biztosítására is szolgál; annak elkerülése érdekében, hogy a kártérítés a kialakulóban lévőkre korlátozódjon (akár más fogalmakat is magában kell foglalnia, amint azt a Bíróság más területeken hangsúlyozta); valamint annak biztosítása érdekében, hogy a több adatkezelési alkalmazott ne csorbítsa a kártérítéshez való hozzáférést, hanem ennek ellenkezője történjen.