SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
MANUELA CAMPOSA SÁNCHEZ-BORDONE,
predstavljeni 25. maja 2023(1)
Zadeva C‑667/21
ZQ
proti
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesarbeitsgericht (zvezno delovno sodišče, Nemčija))
„Predhodno odločanje – Varstvo osebnih podatkov – Osebni podatki v zvezi z zdravjem – Ocena delovne sposobnosti delavca – Služba za zdravstveni nadzor pri zdravstveni zavarovalnici – Obdelava osebnih podatkov o zdravstvenem stanju delavcev – Pravica do odškodnine – Vpliv stopnje krivde“
1.        Ta predlog za sprejetje predhodne odločbe se nanaša na razlago Uredbe (EU) 2016/679(2) glede: (a) obdelave osebnih podatkov v zvezi z zdravjem; in (b) odškodnine za škodo, nastalo zaradi (domnevne) kršitve same SUVP.
2.        Čeprav se je Sodišče o določbah SUVP(3), ki se nanašajo na ta vprašanja, že izreklo, so vprašanja, postavljena v okviru tega predloga za sprejetje predhodne odločbe, razen četrtega, nova(4).
I.      Pravni okvir
A.      Pravo Unije – SUVP
3.        Za ta spor so upoštevne uvodne izjave 4, 10, 35, od 51 do 54 in 146 SUVP.
4.        Člen 9, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:
„1.      Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genetskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.
2.      Odstavek 1 se ne uporablja, če velja eno od naslednjega:
[…]
(b)      obdelava je potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki;
[…]
(h)      obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3;
[…]
3.      Osebni podatki iz odstavka 1 se lahko obdelujejo v namene iz točke (h) odstavka 2, kadar jih obdeluje ali je za njihovo obdelavo odgovoren strokovnjak, za katerega velja obveznost varovanja poklicne skrivnosti v skladu s pravom Unije ali pravom države članice ali pravili, ki jih določijo pristojni nacionalni organi, ali druga oseba, za katero tudi velja obveznost varovanja skrivnosti v skladu s pravom Unije ali pravom države članice ali pravili, ki jih določijo pristojni nacionalni organi.
4.      Države članice lahko ohranijo ali uvedejo dodatne pogoje, tudi omejitve, glede obdelave genetskih, biometričnih ali podatkov v zvezi z zdravjem.“
5.        Člen 82, naslovljen „Pravica do odškodnine in odgovornost“, določa:
„1.      Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.
[…]
3.      Upravljavec ali obdelovalec je izvzet od odgovornosti iz odstavka 2, če dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo.
[…]“
B.      Nacionalno pravo – Sozialgesetzbuch Fünftes Buch(5)
6.        V skladu s členom 278(1), prvi stavek, te knjige se v vsaki zvezni deželi ustanovi zdravstvena služba(6) zdravstvenih zavarovalnic(7), ki je oseba javnega prava. Ena od nalog, ki jih ima po zakonu, je priprava mnenj, katerih namen je odprava dvomov v zvezi z delovno nezmožnostjo zavarovancev.
7.        KV morajo v skladu s členom 275(1), prvi stavek, točka 3(b), v nekaterih okoliščinah, kadar je delovna nezmožnost zavarovanca zdravniško potrjena, pri MDK pridobiti mnenje za odpravo dvomov v zvezi z njegovo delovno nezmožnostjo.
II.    Dejansko stanje, spor in vprašanja za predhodno odločanje
8.        ZQ je bil od leta 1991 zaposlen pri MDK za Severno Porenje (Nemčija) kot sistemski administrator v oddelku IT in službi za pomoč uporabnikom.
9.        MDK pripravlja mnenja o delovni nezmožnosti zavarovancev KV. Med temi mnenji so lahko taka, ki se nanašajo na zdravje zaposlenih v MDK.
10.      Obdelava podatkov poteka med drugim v skladu s temi pravili, ki so določena v internem navodilu službe:(8)
–      „socialni podatki“ zaposlenih se ne smejo zbirati ali shranjevati na njihovem delovnem mestu. Poleg tega se ti podatki, ki nastanejo, ko KV pri MDK naroči izvedensko mnenje, ne smejo zamenjevati s podatki o zaposlenih, ki se obdelujejo v okviru delovnega ali službenega razmerja;
–      zahteve za mnenja v zvezi z zaposlenimi v MDK so razvrščene kot „posebni primeri“ in jih obravnava izključno posebna organizacijska enota;(9)
–      po izdelavi mnenja o uslužbencu MDK se zadevna dokumentacija in mnenje hranita v digitaliziranem arhivu MDK. Povezavo med dokumenti in zadevnimi posamezniki je mogoče vzpostaviti le s posebnim ključem, za katerega je potrebno dovoljenje za dostop, ki je predmet tehničnega postopka.
11.      Zaposleni „oddelka IT“ organizacijske enote „Posebni primeri“ lahko po arhiviranju ob upoštevanju zakonsko določene obveznosti varovanja zaupnosti dostopajo do mnenj, pripravljenih na podlagi naročila v zvezi z zaposlenimi MDK.
12.      ZQ je bil od 22. novembra 2017 neprekinjeno bolan in nezmožen za delo.
13.      Od 24. maja 2018(10) je od KV, katere zavarovanec je, prejemal bolniško nadomestilo. Ta KV je 6. junija 2018, da bi odpravila dvome v zvezi z delovno nezmožnostjo ZQ, pri MDK naročila pripravo mnenja.
14.      MDK je sprejela naročilo in ga dodelila enoti „Posebni primeri“. Zdravnica te enote, zaposlena v MDK, je 22. junija 2018 izdala mnenje, ki je vsebovalo diagnozo ZQ. Za pripravo tega mnenja je opravila telefonske pogovore z lečečim zdravnikom ZQ, od katerega je pridobila zadevne podatke.
15.      MDK je mnenje digitalno arhivirala.
16.      ZQ je od svojega lečečega zdravnika izvedel, da ga je po telefonu poklicala zdravnica MDK.
17.      ZQ je 1. avgusta 2018 vzpostavil stik s sodelavko iz oddelka IT MDK in jo vprašal, ali je arhivirano mnenje v zvezi z njim. Sodelavka je po poizvedovanju v arhivu odgovorila pritrdilno. Na prošnjo ZQ je sodelavka mnenje fotografirala in mu poslala fotografije.
18.      ZQ je 15. avgusta 2018 od MDK na podlagi člena 82 SUVP neuspešno zahteval plačilo odškodnine v višini 20.000,00 EUR.
19.      ZQ je 17. oktobra 2018 vložil tožbo pri Arbeitsgericht Düsseldorf (delovno sodišče v Düsseldorfu, Nemčija). V tem postopku je poleg tega zahteval tudi odškodnino v višini zneska neizplačanih plač.(11)
20.      MDK je med sodnim postopkom odpovedala pogodbo o zaposlitvi ZQ.
21.      Zahtevek ZQ je bil zavrnjen tako na prvi kot na pritožbeni stopnji.(12)
22.      ZQ je vložil revizijo pri Bundesarbeitsgericht (zvezno delovno sodišče, Nemčija), ki je Sodišču predložilo ta vprašanja:
„1.      Ali je treba člen 9(2)(h) [SUVP] razlagati tako, da zdravstvena služba zdravstvene zavarovalnice ne sme obdelovati podatkov o zdravstvenem stanju svojega zaposlenega, ki so pogoj za oceno njegove delovne zmožnosti?
2.      Če bi Sodišče na prvo vprašanje odgovorilo nikalno, kar bi pomenilo, da bi bila na podlagi člena 9(2)(h) [SUVP] možna izjema od prepovedi obdelave podatkov o zdravstvenem stanju iz člena 9(1) [SUVP]: ali je treba v primeru, kot je obravnavani, poleg pogojev iz člena 9(3) [SUVP] upoštevati druge zahteve glede varstva podatkov in, če je odgovor pritrdilen, katere?
3.      Če bi Sodišče na prvo vprašanje odgovorilo nikalno, kar bi pomenilo, da bi bila na podlagi člena 9(2)(h) [SUVP] možna izjema od prepovedi obdelave podatkov o zdravstvenem stanju iz člena 9(1) [SUVP]: ali je v primeru, kot je obravnavani, dovoljenost oziroma zakonitost obdelave podatkov o zdravstvenem stanju poleg tega odvisna od tega, ali je izpolnjen vsaj eden od pogojev iz člena 6(1) [SUVP]?
4.      Ali ima člen 82(1) [SUVP] specialno oziroma splošno preventivno naravo in ali je treba to upoštevati pri določitvi višine nepremoženjske škode na podlagi člena 82(1) [SUVP], ki jo mora povrniti upravljavec oziroma obdelovalec?
5.      Ali je za določitev višine nepremoženjske škode na podlagi člena 82(1) [SUVP], ki jo je treba povrniti, bistvena stopnja krivde upravljavca oziroma obdelovalca? Zlasti, ali se lahko, kadar upravljavec oziroma obdelovalec nista kriva ali je stopnja njune krivde nizka, to upošteva v njuno korist?“
III. Postopek pred Sodiščem
23.      Predlog za sprejetje predhodne odločbe je sodno tajništvo Sodišča prejelo 8. novembra 2021.
24.      Pisna stališča so predložili ZQ, MDK, irska in italijanska vlada ter Evropska komisija.
25.      Presojeno je bilo, da izvedba obravnave ni nujna.
26.      V skladu z navodilom Sodišča v teh sklepnih predlogih ni obravnavano četrto vprašanje za predhodno odločanje.(13)
IV.    Analiza
A.      Prvo vprašanje za predhodno odločanje
27.      Predložitveno sodišče želi izvedeti, ali člen 9(2)(h) SUVP MDK prepoveduje obdelavo podatkov o zdravstvenem stanju enega od svojih zaposlenih, če so ti nujno potrebni za oceno njegove delovne zmožnosti. Sprašuje torej o zakonitosti obdelave glede na subjekt, ki obdelavo izvaja.(14)
28.      Člen 9 SUVP se uporablja za posebne vrste podatkov, kot so podatki v zvezi z zdravjem posameznika. V njem je določena splošna prepoved obdelave „občutljivih“ podatkov (odstavek 1) in izčrpno navedene okoliščine, v katerih se splošna prepoved ne uporablja (odstavek 2).
29.      Natančneje, člen 9(2)(h) SUVP vključuje izjemo (od splošne prepovedi) za obdelavo osebnih podatkov „za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja“.
30.      Menim, da ta določba zadostno pokriva sporno ravnanje MDK.(15) Ni pomembno, da je upravljavec hkrati delodajalec posameznika, na katerega se nanašajo osebni podatki, saj MDK ne deluje kot delodajalec, temveč kot zdravstvena služba KV, pri kateri je bil posameznik, na katerega se nanašajo osebni podatki, zavarovan.(16)
31.      Ne najdem nobene podlage za razlago člena 9(2)(h) SUVP, ki bi zdravstveni službi prepovedovala obdelavo zdravstvenih podatkov svojih zaposlenih za namen iz te točke. Običajna razlagalna merila prej vodijo k nasprotni rešitvi (neobstoj take prepovedi).
32.      Z jezikovnega vidika člen 9(2)(h) SUVP ne določa nobene take izključitve, prav tako pa kot pogoj za obdelavo ne določa, da mora biti upravljavec „nevtralna tretja oseba“.(17)
33.      Prav tako iz zakonodajne zgodovine in razvoja te določbe ni razvidna prepoved, kot je navedena v prvem vprašanju za predhodno odločanje, niti namen, da bi jo vključili.(18)
34.      Namen pravil SUVP o obdelavi podatkov v zvezi z zdravjem je, kot je ugotovilo Sodišče(19), zagotoviti okrepljeno varstvo posameznikov, na katere se nanašajo osebni podatki, zaradi posebne občutljivosti teh podatkov za zadevne temeljne pravice. V skladu s tem ciljem je uvedena splošna prepoved iz člena 9(1) SUVP, ki pa ni absolutna.(20)
35.      Na tem področju, tako kot na drugih področjih, povezanih z obdelavo osebnih podatkov, je bila izbira zakonodajalca, potem ko je bila določena splošna prepoved, naslednja:
–      uvedba izjem v obliki seznama konkretnih položajev, ki jih je mogoče (v grobem) razdeliti na tiste, pri katerih posameznik, na katerega se nanašajo osebni podatki, sam dovoli obdelavo ali ima od nje koristi, in tiste, pri katerih prevladujejo interesi, ki so pomembnejši od interesov posameznika;
–      določitev posebnih zaščitnih ukrepov za določene vrste obdelave, ki presegajo in dopolnjujejo tiste, ki veljajo za ostale „neobčutljive“ osebne podatke;(21)
–      omogočanje državam članicam, da uvedejo druge pogoje in celo omejitve glede obdelave osebnih podatkov. Tako je v zvezi s podatki o zdravju (člen 9(4) SUVP in uvodna izjava 53 in fine) ali podatki o zaposlenih v okviru zaposlitve (člen 88 SUVP).(22)
36.      Abstraktno gledano torej nič ne bi preprečevalo, da bi posebni previdnostni ukrepi, ki sem jih pravkar navedel, vključevali tudi ukrep prepovedi MDK, da obdeluje podatke v zvezi z zdravjem svojih zaposlenih. Vendar se mi zdi, da ta možnost (ki je evropski zakonodajalec ni sprejel) ni nujna za ohranitev zgoraj navedenega cilja.
37.      Zato menim, da prepoved, o kateri sprašuje predložitveno sodišče, ni neizogibna posledica teleološke razlage člena 9(2)(h) SUVP.
38.      Prav tako menim, da sistematična razlaga te določbe ne bi privedla do drugačne rešitve, saj:
–      če bi se zavoljo razprave predpostavilo, da je člen 9(2)(b) SUVP pravilno razumeti kot edino podlago, na kateri lahko delodajalec obdeluje zdravstvene podatke svojih zaposlenih,(23) to ne bi vplivalo na možnost, da isti subjekt, vendar ne kot delodajalec, temveč kot zdravstvena služba, ki sprejme naročilo KV, izvaja obdelavo na podlagi druge izjeme iz istega člena 9(2);(24)
–      člen 9(3) SUVP določa pogoje za tiste, ki obdelujejo osebne podatke v zvezi z zdravjem. Člen 9(2)(h) se izrecno sklicuje na člen 9(3); s subjektivnega vidika za obdelavo ne velja noben drug pogoj.(25)
39.      Skratka, predlagam, da se na prvo vprašanje za predhodno odločanje odgovori nikalno (in sicer da sporna prepoved v SUVP ne obstaja), kar omogoča obravnavo naslednjega vprašanja.
B.      Drugo vprašanje za predhodno odločanje
40.      Če bi bil (kot predlagam) odgovor na prvo vprašanje za predhodno odločanje nikalen, želi predložitveno sodišče izvedeti, ali „je treba v primeru, kot je obravnavani, poleg pogojev iz člena 9(3) [SUVP] upoštevati druge zahteve glede varstva podatkov in, če je odgovor pritrdilen, katere“.
41.      Odgovor na splošno ne bi smel povzročati večjih težav.(26) Sodišče je poudarilo, da mora biti kakršna koli obdelava osebnih podatkov v skladu z načeli iz člena 5 SUVP in ustrezati enemu od meril za zakonitost iz člena 6 SUVP.(27)
42.      Po mnenju predložitvenega sodišča spoštovanje obveznosti varovanja skrivnosti (člen 9(3) SUVP) v okoliščinah, kot so te v obravnavani zadevi, ne zadostuje za varstvo podatkov. Predlaga druge dopolnilne ukrepe, ki bi bili po njegovem mnenju edini primerni za ta namen.(28)
43.      Menim, da člena 9(3) SUVP kot takega ni mogoče uporabiti kot podlago za te dodatne ukrepe. Njegovo jasno besedilo (ki zgolj povzema določbo, ki jo je vsebovala že Direktiva 95/46)(29) ne podpira predlogov, kot je predlog predložitvenega sodišča.
44.      Ti predlogi bi lahko, nasprotno, bili utemeljeni s členom 9(4) SUVP. V skladu s to določbo lahko države članice določijo „dodatne pogoje, tudi omejitve, glede obdelave […] podatkov v zvezi z zdravjem“.(30) Vendar iz predložitvene odločbe ni razvidno, da bi bilo tako v Nemčiji.
45.      Glede na navedeno in iz razlogov, ki sem jih navedel zgoraj, morajo za obdelavo osebnih podatkov v zvezi z zdravjem med drugim veljati načela iz člena 5(1)(f) SUVP in iz njih izhajajoče obveznosti, ki so podrobno opredeljene v poglavju IV te uredbe.
46.      Upravljavec(31) mora sprejeti tudi ustrezne tehnične in organizacijske ukrepe, s katerimi zagotovi, da je določena obdelava v skladu s SUVP. To na splošno določa člen 24(1) te uredbe.
47.      Natančneje, člen 32(1) SUVP upravljavcu nalaga, da izvede „ustrezn[e] tehničn[e] in organizacijsk[e] ukrep[e] [za] zagotovit[ev] ustrezn[e] rav[ni] varnosti glede na tveganje“ za zadevne osebne podatke.
48.      Ob uporabi teh pravil v obravnavani zadevi je MDK zaradi statusa delodajalca v zvezi z ZQ naložena večja dolžnost skrbnosti pri obdelavi njegovih zdravstvenih podatkov, kot je to običajno, saj so tudi tveganja večja.(32)
49.      MDK se tega dejstva zaveda. Ko po naročilu KV, pri kateri je zavarovan njen zaposleni, pripravlja mnenja za odpravo dvomov o njegovi delovni (ne)zmožnosti, uporablja vrsto ad hoc tehničnih in organizacijskih ukrepov za uskladitev obdelave osebnih podatkov v zvezi z zdravjem s SUVP.(33)
50.      Presoja teh ukrepov je v pristojnosti predložitvenega sodišča, ki bo lahko na podlagi svoje ocene odločilo, da sprejeti ukrepi niso bili zadostni. Vendar to ne omogoča, da bi se iz člena 9 SUVP izpeljala obveznost MDK, da po uradni dolžnosti zavrne vsako zahtevo KV za zdravniško mnenje (v zvezi s svojimi zaposlenimi).(34)
C.      Tretje vprašanje za predhodno odločanje
51.      Ob predpostavki, da je odgovor na prvo vprašanje nikalen, predložitveno sodišče v tretjem vprašanju sprašuje, ali je izjema od prepovedi obdelave podatkov v zvezi z zdravjem „odvisna od tega, ali je izpolnjen vsaj eden od pogojev iz člena 6(1) [SUVP]“.
52.      Za odgovor na to vprašanje je treba analizirati razmerje med členom 9(2) SUVP in členom 6 te uredbe o zakonitosti obdelave. Potreba po upoštevanju zadnjenavedenega člena pri vsaki obdelavi podatkov je vsebovana v sodbah Sodišča, ki sem jih navedel zgoraj.(35)
53.      Natančneje, v sodbi C‑439/19(36) je bil razložen člen 10 SUVP o drugi kategoriji občutljivih osebnih podatkov (tistih, ki se nanašajo na kazenske obsodbe in prekrške),(37) pri čemer je bilo navedeno, da se člen 6 SUVP uporablja kumulativno s členom 10.
54.      Ali je mogoče isto predpostavko uporabiti za osebne podatke iz člena 9 SUVP?
55.      Zgradba členov 9 in 10 SUVP je različna. Člen 10 vsebuje izrecno sklicevanje na člen 6(1) SUVP, ki ga v členu 9 ni.
56.      Tudi vsebina člena 9(2) in člena 10 SUVP nista primerljivi: člen 10 zgolj navaja subjektivno omejitev obdelave, medtem ko člen 9(2) določa namene (ali okoliščine), ki jo upravičujejo, tako kot člen 6(1).
57.      Dejansko je vzporednost med členoma 6(1) in 9(2) SUVP takšna, da se na prvi pogled zdi, da so okoliščine, naštete v zadnjenavedenem, specifikacije pogojev iz prvonavedenega: natančneje so določene in so hkrati bolj obremenjujoče.
58.      Vendar zgodovina in razvoj člena 9 SUVP postavljata pod vprašaj, ali je razmerje med njim in členom 6 mogoče razložiti v smislu lex specialis in lex generalis.
59.      Drži, da so delegacije nekaterih držav članic dejansko podprle to razlago.(38) Vendar iz dokumentov, ki se nanašajo na pogajanja o členu 9, niso razvidna nesoglasja glede sklicevanja na člen 6,(39) temveč nesoglasja glede njegovega obsega (samo o odstavku 1 tega člena ali tudi drugih?)(40). Na koncu je bilo v členu 9 črtano sklicevanje na člen 6,(41) v preambuli pa je bil ohranjen odstavek, podoben sedanji uvodni izjavi 51 SUVP(42).
60.      Z zamislijo o kumulaciji ali komplementarnosti obeh določb se strinja Evropski odbor za varstvo podatkov,(43) v zvezi s členom 8 Direktive 95/46 pa jo je zagovarjala tako imenovana delovna skupina iz člena 29(44)(45). Vendar je ta razlaga v teoriji in na drugih zadevnih forumih predmet polemik.(46)
61.      Ob upoštevanju različnih točk člena 9(2) SUVP menim, da razmerje med to določbo in členom 6 v resnici ne omogoča enotnega odgovora. Namreč:
–      izjeme od prepovedi obdelave, kot so tiste iz člena 9(2)(a), (c), (g) in (i),(47) so neposredno povezane s posebno pravno podlago iz člena 6(1) SUVP in jo vključujejo;
–      za druge izjeme, naštete v členu 9(2) SUVP, to ne velja in te je treba dodatno utemeljiti na podlagi člena 6(1). To po mojem mnenju drži za člen 9(2)(h), ki je predmet tega vprašanja za predhodno odločanje.
62.      Zato menim, da je treba za zakonitost obdelave občutljivih podatkov, ki jo dovoljuje člen 9(2)(h) SUVP, za vsak primer posebej ugotoviti, na podlagi katerega od pogojev iz člena 6(1) je upravičena.
63.      Predložitveno sodišče ne izpodbija, da je tako: nasprotno, na podlagi te predpostavke se osredotoča na zavrnitev utemeljitve, da je obdelava, ki jo je izvedla MDK, upravičena na podlagi člena 6.(48)
64.      Na prvi pogled se mi ne zdi, da obstaja prednostni vrstni red med pravnimi podlagami iz te določbe. Podrobnejša analiza bi lahko pokazala, da je potrebno fino razlikovanje.(49) Vendar menim, da bi takšna analiza presegla to, kar je potrebno za odgovor na ta predlog za sprejetje predhodne odločbe.(50)
65.      Skratka, z odgovorom na tretje vprašanje je treba predložitvenemu sodišču pojasniti, da mora biti za izjemo od prepovedi obdelave podatkov v zvezi z zdravjem izpolnjen vsaj eden od pogojev iz člena 6(1) SUVP.
D.      Peto vprašanje za predhodno odločanje
66.      Predložitveno sodišče želi izvedeti, ali je „za določitev višine nepremoženjske škode na podlagi člena 82(1) [SUVP], ki jo je treba povrniti, bistvena stopnja krivde upravljavca oziroma obdelovalca“ in zlasti ali „se lahko, kadar upravljavec oziroma obdelovalec nista kriva ali je stopnja njune krivde nizka, to upošteva v njuno korist“.
67.      Z vprašanjem je predpostavljeno, da je prišlo do kršitve SUVP,(51) ki jo je storil upravljavec podatkov, in se sprašuje, ali je stopnja krivde upravljavca podatkov pomembna za določitev višine nadomestila za škodo, ki je nastala zaradi te kršitve. Po mnenju predložitvenega sodišča ni gotovo, da se neobstoj ali nizka stopnja krivde upravljavca lahko šteje za razbremenilni element.
68.      Dobesedno gledano se vprašanje osredotoča na določitev višine odškodnine. Vendar so spremljajoča pojasnila povzročila nekaj zmede, saj ni bilo jasno, ali se nanašajo na krivdo kot pogoj za pripis odgovornosti ali kot dejavnik za odmero zneska odškodnine.
69.      Predložitveno sodišče, ki ga je Sodišče pozvalo, naj pojasni to dvoumnost, je navedlo, da se vprašanje nanaša na oba vidika, ne da bi podrobneje pojasnilo njuno povezavo s sporom o glavni stvari.
70.      Ob upoštevanju tega odgovora predlagam, naj se na vprašanja, ki jih je postavilo predložitveno sodišče, odgovori po obravnavi (tudi) vprašanj, ki jih je navedla MDK v zvezi z morebitno udeležbo posameznika, na katerega se nanašajo osebni podatki, pri nastanku škode.(52) Moja predstavitev bo potekala v treh fazah:
–      v prvi bom obravnaval temelj odgovornosti v skladu s členom 82 SUVP;
–      v drugi bom analiziral možen vpliv vpogleda v osebne podatke s strani zaposlenega pri upravljavcu.(53) Poseben in bistven element tega scenarija je, da je zaposleni opravil vpogled na zahtevo posameznika, na katero se nanašajo osebni podatki;
–      v tretji se bom izrekel o vplivu, ki ga ima lahko stopnja krivde upravljavca na konkretno oceno nepremoženjske škode, ki jo je treba povrniti.
1.      Civilna odgovornost iz člena 82 SUVP
71.      Predložitveno sodišče meni, da člen 82(1) SUVP civilne odgovornosti (upravitelja(54) podatkov) ne pogojuje z obstojem ali dokazom naklepa ali malomarnosti. Dodaja, da odstavek 3 istega člena ne podpira nobene druge rešitve.
72.      Priznavam, da ni jasno, kateri model civilne odgovornosti je bil uporabljen v SUVP in da je a priori mogočih več razlag.(55) Ena od njih je tudi razlaga predložitvenega sodišča, ki je po mojem mnenju pravilna.
73.      Razlaga člena 82(1) SUVP v smislu, da vzpostavlja ureditev civilne odgovornosti brez krivde upravitelja, je po mojem mnenju skladna z njegovim besedilom, ima neposredno podporo v pripravljalnih dokumentih in predvsem služi namenu predpisa. Sprejemljiva je glede na druge odstavke določbe in glede na sistem kot celoto.
a)      Jezikovni argument
74.      Stališče, ki ga zagovarja predložitveno sodišče, je v skladu z besedilom člena 82(1) SUVP. Glede na besedilo je pravica do odškodnine, ki jo izplača upravljavec, brez nadaljnjega vezana na škodo, ki je nastala zaradi kršitve SUVP.
75.      Preostali odstavki člena 82 ne nakazujejo nobenega drugega odgovora.(56) Zlasti si na pogoj krivde ne bi drznil sklepati iz izraza „imputable“ iz člena 82(3). Ta izraz se pojavi samo v nekaterih jezikovnih različicah SUVP, medtem ko je v drugih uporabljena beseda „odgovoren“. V nemški različici niti člen 82 niti preambula ne vsebujeta izraza, ki ustreza krivdni odgovornosti („Verschulden“).(57)
76.      Primerjava različnih določb SUVP kaže, da uporabljena terminologija ni vedno enopomenska, zato je pri sklepanju na podlagi njenega besedila potrebna previdnost. V angleški različici je na primer beseda „responsible“ uporabljena v več pomenih.(58)
77.      Neobstoj sklicevanja na naklep ali krivdo upravljavca podatkov v členu 82 SUVP se razlikuje od navedb iz člena 83 o upravnih globah: „Pri odločanju o tem, ali se naloži upravna globa, in o višini upravne globe za vsak posamezen primer“ se ustrezno upošteva, ali je kršitev SUVP naklepna ali posledica malomarnosti.(59)
78.      Čeprav razhajanje med besedili zmanjšujejo težo jezikovnega razlagalnega merila, potrjuje vsaj to, da v členu 82 SUVP nista navedena niti naklep niti krivda ter da je bilo to zavestno izpuščeno in izpustitve ni mogoče pripisati spregledu zakonodajalca.
b)      Pripravljalni dokumenti
79.      Razprava o temelju odgovornosti, ki je bil nazadnje sprejet v SUVP, je zamegljena zaradi konteksta, v katerem je potekala v Svetu, in sicer v zvezi s predpostavko o pluralnosti akterjev obdelave.
80.      Ta razprava je bila prepletena s postopkovnimi pomisleki, ne da bi se upošteval pojmovni aparat za razlikovanje med vlogo krivde kot temelja odgovornosti na eni strani in vlogo neobstoja krivde za namene oprostitve te iste odgovornosti na ravni vzročne zveze na drugi strani.
81.      Kljub temu menim, da pripravljalni dokumenti podpirajo razumevanje člena 82(1) SUVP, v skladu s katerim civilna odgovornost ni odvisna od krivde upravljavca podatkov.
82.      Predlog Komisije je sledil Direktivi 95/46 in malomarnost v njem ni bila navedena. V dokumentih Sveta je navedeno, da je predvidena odgovornost opredeljena kot „strict liability“.(60)
83.      V skladu s predlogom spremembe parlamentarnega Odbora za državljanske svoboščine, pravosodje in notranje zadeve naj bi člen 82(1) (takratni člen 77(1)) dobil vsebino, v kateri je odgovornost povezana z naklepom ali malomarnostjo.(61) Ta predlog spremembe ni bil sprejet.(62)
84.      V Svetu je bila razprava o členu 77 in merilu pripisovanja povezana s pripisom in porazdelitvijo odgovornosti, kadar je v isti postopek obdelave vpletenih več oseb. V zvezi s tem je predsedstvo predlagalo izbiro med dvema možnostma:(63)
–      v skladu s prvo(64) bi bil vsak upravitelj ali obdelovalec pravno odgovoren za celotno škodo posamezniku, na katerega se nanašajo osebni podatki(65), če je kršil obveznosti, ki jih ima na podlagi SUVP.(66) Njegova vpletenost v škodo, tudi če je zanemarljiva, bi posamezniku, na katerega se nanašajo osebni podatki, omogočila, da zahteva celotno odškodnino; v primeru več udeležencev pa bi to veljalo za vsakega od njih.(67) Vendar bi bil upravljavec ali obdelovalec oproščen, če bi dokazal, da sploh ni odgovoren („responsible“) za škodo („0 % responsibility“); to bi bilo izraženo v odstavku 3 tega člena. Model je opisan kot „closer (but certainly not equal to) to the ‚liability follows fault principle‘“;(68)
–      druga možnost bi pomenila, da bi moral upravitelj podatkov posamezniku, na katerega se nanašajo osebni podatki, neizogibno povrniti celotno škodo, in sicer v obliki nekakšne absolutne odgovornosti, saj ni bila predvidena nobena oprostitev.(69) Zahtevek posameznika, na katerega se nanašajo osebni podatki, zoper obdelovalca bi bilo mogoče vložiti le podredno.(70) Prav tako zanj ni bila predvidena nobena oprostitev.
85.      Kompromisno besedilo, ki ga je predsedstvo predložilo v sprejetje kot splošen pristop(71), sledi prvi možnosti, čeprav z besedilom člena 77(3) krepi izjemnost oprostitve in težavnost dokazovanja v zvezi z njo: „[…] if it [upravljavec/obdelovalec] proves that it is not in any way responsible […]“.(72) To besedilo in končno sprejeti člen se med seboj ujemata.
86.      Skratka, analiza zakonodajnega postopka, ki je privedel do končnega besedila SUVP, dokazuje, da odgovornost iz člena 82(1) SUVP ni vezana na krivdo upravitelja podatkov.
c)      Namen
87.      S SUVP je vzpostavljen sistem, katerega namen je zagotoviti visoko raven varstva fizičnih oseb in hkrati odpraviti ovire za pretok osebnih podatkov.(73) V tem sistemu je namen člena 82 nadomestitev škode, ne da bi to vplivalo na dejstvo, da je njegov sekundarni namen tudi odvračanje ali preprečevanje ravnanj, ki niso v skladu s temi predpisi.(74)
88.      Zagotovitev odškodnine je cilj sam po sebi: to je razvidno iz pomena, ki ji ga pripisuje zakonodajalec, in že iz samega besedila. V skladu s SUVP je prejem odškodnine, če je nastala škoda, pravica posameznika, na katerega se nanašajo osebni podatki; pojem odškodnine je treba razlagati široko; odškodnina pa mora biti celotna in učinkovita.
89.      Povezana je z namenom krepitve zaupanja državljanov v digitalno okolje, kar je splošni cilj, naveden v uvodni izjavi 7 SUVP. Zagotavljanje posamezniku, na katerega se nanašajo osebni podatki, da mu brez nadaljnjega načeloma ne bo treba nositi škode zaradi nezakonite obdelave njegovih podatkov, spodbuja takšno zaupanje: njegovo premoženje je varno, odškodninski zahtevek pa postopkovno enostavnejši.
90.      S tem pristopom je skladno, da člen 82(1) SUVP odškodninske obveznosti ne povezuje s kršitvijo dolžnosti skrbnega ravnanja. Ta obveznost je z odločitvijo zakonodajalca dodeljena osebi, ki v razmerju zaseda določen položaj skrbnika ali garanta, in sicer prav zaradi tega dejstva.
91.      Zato bi lahko rekli, da je za SUVP pomemben položaj oškodovanca, katerega oškodovanje je posledica kršitve, pri čemer mu nobeno pravilo ne nalaga, da mora nositi breme škode.
92.      Z vidika oškodovanca ni pomembno, ali je pri povzročitvi škode šlo za krivdo povzročitelja ali ne: pomembno je, da mu je upravitelj povzročil premoženjsko ali nepremoženjsko škodo, ki je posledica njegove kršitve SUVP.
93.      Opisane cilje je lažje doseči z modelom, ki se nagiba k temu, da se dokazana škoda:
–      v vsakem primeru povrne (razen v primeru oprostitve, ki je izjemoma možna) in
–      je podlaga za odškodnino, katere pridobitev je (razmeroma) enostavna, ne le zato, ker ni treba dokazati krivde upravljavca podatkov, temveč tudi zato, ker ob obstoju kršitve in z njo povezane škode pripisovanje odgovornosti ni odvisno od stopnje krivde.
94.      V okviru prilagajanja digitalni revoluciji(75) se mi zdi ta rešitev ustrezna. Hitri tehnološki razvoj zahteva, da pri najpogostejših dejavnostih obdelave podatkov, ki se izvajajo na spletu, neobstoj naklepa ali malomarnosti ne bi smela preprečiti odškodnine za škodo, ki bi sicer ostala nepokrita.
d)      Sistem
95.      Razlaga, ki jo predlagam, se v večji meri sklada s sistematiko SUVP. To potrjuje člen 82(3): izvzetje je mogoče, če upravljavec „dokaže, da v nobenem primeru ni odgovoren za dogodek, ki povzroči škodo“.
96.      V tem besedilu izstopa besedna zveza „v nobenem primeru“, ki nakazuje, da ne gre za model krivde (niti zelo nizko stopnjo krivde) z obrnjenim dokaznim bremenom.
97.      Razumevanje, da odškodnina ni odvisna od krivde upravljavca, daje členu 82 poseben pomen v poglavju VIII in navsezadnje v SUVP kot celoti.
98.      Evropski zakonodajalec se zaveda, da je obdelava osebnih podatkov lahko vir tveganj. Akterjem obdelave nalaga, da ocenijo ta tveganja ter sprejmejo in posodabljajo ustrezne ukrepe za preprečevanje in čim večje zmanjšanje ugotovljenih tveganj.(76)
99.      Potrjeno je bilo, da model civilne odgovornosti, ki temelji na krivdi, spodbuja skrbnost in s tem zaščito pred tveganji, medtem ko bi alternativni model, ki ne upošteva, kako je akter ravnal, zadnjenavedenega odvračal od previdnosti (ker bi moral v primeru škode to v vsakem primeru povrniti).
100. Menim, da je takšen rezultat(77) v SUVP sprejemljiv. Člen 82 je del zapletene normativne strukture z instrumenti javnega in zasebnega prava za varstvo osebnih podatkov. Znotraj te strukture je za upravne sankcije pomembna malomarnost (in naklep). Ne vidim potrebe, da bi bila upoštevna tudi za namene civilne odgovornosti(78), kar bi ogrozilo cilje člena 82 in poleg tega zmanjšalo praktično privlačnost pravnega sredstva, ki ga določa.
2.      Vpliv udeležbe posameznika, na katerega se nanašajo osebni podatki
101. Vprašanja glede tega, ali je nujna krivda upravljavca, so v tej zadevi povezana s posledicami, ki bi lahko izhajale iz udeležbe posameznika, na katerega se nanašajo osebni podatki.(79)
102. Za boljše razumevanje navedb v nadaljevanju je treba pojasniti, da so bile okoliščine spora obravnavane po dveh scenarijih:
–      v skladu s prvim obdelava osebnih podatkov ZQ s strani MDK pomeni kršitev SUVP (člena 9 ali 6 SUVP). Kršitev sama po sebi povzroči škodo;(80)
–      v skladu z drugim opisana obdelava podatkov ne pomeni kršitve SUVP ali ne povzroči škode. Zadnjenavedena naj bi bila posledica vpogleda v podatke, ki ga je na pobudo posameznika, na katerega se nanašajo osebni podatki, izvedel konkretni zaposleni MDK.(81)
103. Vsekakor menim, da je treba – kot se zdi, da trdi predložitveno sodišče(82) – za določitev (morebitnega) vpliva ravnanja posameznika, na katerega se nanašajo osebni podatki, na storitev kršitve, ki je povzročila škodo, upoštevati člen 82(3).
104. V tej določbi niti kot primer niso navedeni posebni razlogi za oprostitev odgovornosti. Prav tako ne v uvodni izjavi 146.(83)
105. Zdi se, da SUVP v tem pogledu odstopa od Direktive 95/46, katere člen 23(2) je vseboval pravilo,(84) podobno sedanjemu členu 82(3) SUVP: v uvodni izjavi 55 Direktive 95/46 sta bili kot primera razlogov za oprostitev navedeni napaka posameznika, na katerega se nanašajo osebni podatki, in višja sila,(85) ki v SUVP nista navedeni.
106. Če se ne motim, iz pripravljalnih dokumentov za SUVP ni razvidno, da bi se razpravljalo o teh dveh primerih, ki pa sta bila navedena v predlogu Komisije(86) in ju je Parlament ohranil(87).
107. Do njunega črtanja in pojava prislovne zveze „v nobenem primeru“ je prišlo v okviru že navedene razprave o tem, kako urediti odgovornost za obdelavo z več upravljavci ali obdelovalci.(88)
108. Iz razpoložljivih dokumentov(89) je razvidno, da je v končnem besedilu upravitelj upravičen do oprostitve, če dokaže, da sploh ni odgovoren („responsible“) za škodo („0 % responsibility“). Enako velja za obdelovalca.(90)
109. Na podlagi tega menim, da črtanje obeh primerov iz preambule, vzporedno z vstavitvijo zveze „v nobenem primeru“ v to preambulo in člen 82(3) SUVP, ni povzročilo izključitve dejavnosti posameznika, na katerega se nanašajo osebni podatki, iz razlogov za oprostitev odgovornosti (niti to ni bil cilj).(91)
110. Bolj se zdi, da lahko dejavnost posameznika, na katerega se nanašajo osebni podatki, odvisno od primera še vedno povzroči prekinitev bistvene povezave med „dogodkom“ (v členu 82(3) SUVP je uporabljen ta izraz) in storilstvom upravljavca. Poudarjanje omejene narave odstopne klavzule ne preprečuje, da bi določeno dejanje posameznika, na katerega se nanašajo osebni podatki, samo po sebi povzročilo škodo in bilo posledično odločilno za izvzetje od odgovornosti upravitelja podatkov.
111. Sistematična razlaga govori v prid temu, da se v okviru odgovornosti za škodo upošteva udeležba posameznika, na katerega se nanašajo osebni podatki, pri nastanku te škode. V sistemu SUVP so posamezniki vključeni v varstvo svojih podatkov tako, da se jim podelijo instrumenti, ki so sami po sebi pravice.
112. Menim, da je s teleološkega vidika namen SUVP zagotoviti visoko raven varstva, vendar ne do te mere, da bi upravljavca zavezovala k povrnitvi tudi škode, ki je posledica dogodkov ali dejanj, ki jih je mogoče pripisati posamezniku, na katerega se nanašajo osebni podatki.(92)
3.      Izračun odškodnine – Vpliv stopnje krivde odgovornega za škodo
113. Predložitveno sodišče je potrdilo, da se peto vprašanje za predhodno odločanje nanaša na razjasnitev, ali stopnja krivde upravljavca vpliva na izračun odškodnine. Natančneje, ali je mogoče neobstoj krivde ali nizko stopnjo krivde tega upravljavca upoštevati v njegovo korist.
114. V členu 82 SUVP je res malo ali pa sploh ni govora o ključnih vidikih odškodnine, ki bi vplivali na izračun njene višine. Razlagalcu ne daje napotkov glede elementov, iz katerih je sestavljena,(93) meril za vrednotenje (pretvorbo v količino) teh elementov(94) niti dejavnikov, ki bi lahko vplivali na njen znesek.(95)
115. Ne glede na to razumem, da SUVP posamezniku, na katerega se nanašajo osebni podatki, podeljuje pravico do odškodnine, katere višina se določi glede na dejansko nastalo škodo. Ko je znesek, ki objektivno nadomesti to škodo, določen, se ne bi smel spreminjati glede na večjo ali manjšo malomarnost upravljavca.
116. V podporo svojemu stališču se smiselno sklicujem na to, kar sem navedel v zvezi s pripisovanjem odgovornosti upravitelju podatkov, ne glede na njegovo krivdo, v sistemu iz člena 82 SUVP. Z vidika oškodovanca, katerega (premoženjska in nepremoženjska) dobrobit mora po nastanku škode ostati nedotaknjena, je treba škodo povrniti, ne da bi jo povezovali s krivdo upravitelja podatkov, ne glede na stopnjo njene resnosti.(96)
117. Menim, da je enako rešitev mogoče doseči z ugotovitvijo, da se člen 82 SUVP (katerega pripravljalni dokumenti ne vsebujejo nobenih napotkov glede tega, katero stališče zavzeti)(97) razlikuje od drugih instrumentov prava Unije, ki izrecno razlikujejo, ali je bila udeležba v kršitvi „zavestna“ ali ne, ko gre za določanje zneska odškodnine za civilno odgovornost.(98)
118. Po mojem mnenju to presojo podpirata še dve trditvi:
–      v členu 83 SUVP se pri določanju višine globe upošteva malomarnost (in naklep) kršitelja.(99) Zakonodajalec bi lahko sprejel enako merilo za izračun civilne odgovornosti, vendar tega ni storil;
–      v SUVP je poudarjeno, da mora biti odškodnina celotna in učinkovita(100) (uvodna izjava 146 in člen 82(4) v primeru več upravljavcev ali obdelovalcev, vključenih v isto obdelavo).(101) Menim, da izraz „celotna“ govori proti znižanju zneska odškodnine na podlagi manjše stopnje malomarnosti upravljavca podatkov.(102)
V.      Predlog
119. Glede na navedeno predlagam, naj se Bundesarbeitsgericht (zvezno delovno sodišče, Nemčija) odgovori:
Člen 9(2)(h) in (3) ter člen 82(1) in (3) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
zdravstveni službi zdravstvene zavarovalnice ne prepovedujeta obdelave podatkov o zdravstvenem stanju zaposlenega v tej službi, če so ti podatki nujno potrebni za oceno njegove delovne zmožnosti;
dopuščata izjemo od prepovedi obdelave osebnih podatkov v zvezi z zdravjem, če je taka obdelava potrebna za namene ocene delovne zmožnosti delavca ter zanjo veljajo načela iz člena 5 in eden od pogojev zakonitosti iz člena 6 Uredbe 2016/679;
stopnja krivde upravljavca oziroma obdelovalca ni pomembna za nastanek odgovornosti enega ali drugega ali za določitev višine nepremoženjske škode, ki jo je treba povrniti na podlagi člena 82(1) Uredbe 2016/679;
je lahko udeležba posameznika, na katerega se nanašajo osebni podatki, v dogodku, iz katerega izhaja obveznost plačila odškodnine, odvisno od primera, odločilna za izvzetje upravljavca ali obdelovalca od odgovornosti v skladu s členom 82(3) Uredbe 2016/679.
1      Jezik izvirnika: španščina.
2      Uredba Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).
3      In o členu 8 Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355), ki je neposredni predhodnik člena 9 SUVP.
4      Četrto vprašanje je v bistvu enako prvemu vprašanju v zadevi C‑300/21, Österreichische Post (Nepremoženjska škoda, ki izhaja iz obdelave osebnih podatkov), v kateri sem sklepne predloge predstavil 6. oktobra 2022 (EU:C:2022:756) (v nadaljevanju: sklepni predlogi v zadevi C‑300/21), in v kateri se je Sodišče izreklo s sodbo z dne 4. maja 2023 (EU:C:2023:370).
5      Socialni zakonik, peta knjiga.
6      Medizinischer Dienst der Krankenversicherung (v nadaljevanju: MDK).
7      Krankenversicherung (v nadaljevanju: KV).
8      Navodilo o varovanju socialnih podatkov zaposlenih [v MDK] in njihovih družinskih članov, ki je povzeto v predložitveni odločbi, točka 6 in naslednje.
9      V sistemu za obdelavo podatkov, ki ga interno uporablja MDK, je bila vzpostavljena virtualna organizacijska enota, imenovana „Posebni primeri“, do katere lahko dostopajo le zaposleni te enote.
10      Po izteku (zakonsko določenega) obdobja, v katerem nosi breme izplačila plače MDK.
11      Menil je, da bi lahko, če ne bi bilo kršitve v zvezi z njegovimi osebnimi podatki, od decembra 2018 nadaljeval z delom.
12      ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18, oziroma LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
13      Glede njegove vsebine se sklicujem na sodbo z dne 4. maja 2023, Österreichische Post (Nepremoženjska škoda v zvezi z obdelavo osebnih podatkov) (C‑300/21, EU:C:2023:370).
14      To ne prejudicira odgovora na tretje vprašanje za predhodno odločanje.
15      Menim, da ima uporaba te določbe prednost pred členom 9(2)(b) SUVP. Zdi se, da obdelava ni bila potrebna (niti za MDK kot delodajalca niti za ZQ kot zaposlenega) za izpolnjevanje obveznosti ali uveljavljanje pravic v okviru delovnega razmerja.
16      Obdelava občutljivih podatkov v vlogi delodajalca (to je za namene, povezane z delovnim razmerjem) bi bila zakonita le, če bi izpolnjevala pogoje iz SUVP za obdelavo podatkov za namen, ki ni tisti, za katerega so bili zbrani.
17      Točka 22 predložitvene odločbe. SUVP pa zahteva izpolnjevanje drugih značilnosti, kot je določeno v členu 9(3) te uredbe: za njegov obseg glej točko 40 in naslednje teh sklepnih predlogov.
18      Predhodnik člena 9 SUVP je člen 8 Direktive 95/46. V predlogu Komisije (predlog uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov) (COM(2012) 11 final, z dne 25. januarja 2012, v nadaljevanju: predlog Komisije) je bila obdelava osebnih podatkov v zvezi z zdravjem urejena s členom 81, ki je opredeljeval utemeljitve in določal, da jo je treba izvajati v skladu s pravom Unije ali držav članic. Države članice bi morale zagotoviti zaščitne ukrepe, potrebne za varstvo legitimnih pravic posameznika, na katerega se nanašajo osebni podatki. Vsebina člena 81 je bila vključena v člen 9(2)(h) in člen 9(4), kot je razvidno iz dokumenta predsedstva Sveta št. 14270/14 z dne 16. oktobra 2014 delovni skupini za varstvo podatkov.
19      Sodba z dne 24. septembra 2019, GC in drugi (Odstranitev povezav do občutljivih podatkov) (C‑136/17, EU:C:2019:773, točka 44): „[…] [namen] posebnih zahtev […] glede obdelave posebnih vrst podatkov […] [je] zagotovit[ev] okrepljenega varstva pred takimi obdelavami, ki – kakor izhaja tako iz uvodne izjave 33 [Direktive 95/46] kot iz uvodne izjave 51 te uredbe – zaradi posebne občutljivosti teh podatkov pomenijo posebno hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki sta zagotovljeni s členoma 7 in 8 Listine“.
20      Temeljna pravica do varstva osebnih podatkov ne prevlada samodejno nad vsemi drugimi, niti kadar gre za posebne kategorije iz člena 9(1) SUVP: sodba z dne 24. septembra 2019, GC in drugi (Odstranitev povezav do občutljivih podatkov) (C‑136/17, EU:C:2019:773, točke od 66 do 68).
21      Člen 9(3) SUVP.
22      Člen 88 SUVP državam članicam omogoča, da sprejmejo „podrobnejša pravila za zagotovitev varstva pravic in svoboščin v zvezi z obdelavo osebnih podatkov zaposlenih v okviru zaposlitve“. V zvezi z njegovo razlago napotujem na sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).
23      Zdi se, da tako meni predložitveno sodišče. V zvezi s tem napotujem na opombo 15 teh sklepnih predlogov.
24      Strinjam se s Komisijo, da „drugi odstavek [člena 9 SUVP] ne določa posebne hierarhije ali morebitnega razmerja odvisnosti med izjemami, ki soobstajajo kot enakovredne“ (točka 13 njenih pisnih stališč).
25      Ne zahteva se, kot se je zahtevalo v Direktivi 95/46, da „podatke obdeluje zdravstveni delavec[, ki je zavezan] dolžnosti poklicne molčečnosti, ali druga oseba, ki je prav tako zavezana enaki dolžnosti molčečnosti“ (moj poudarek). Zahteva pa se, da jo opravljajo osebe, za katere velja obveznost varovanja skrivnosti.
26      V zvezi s podatki, „ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin“, je v uvodni izjavi 51 SUVP navedeno, da bi „[p]oleg posebnih zahtev za takšno obdelavo […] morala veljati splošna načela in druga pravila iz te uredbe, zlasti glede pogojev zakonite obdelave“.
27      Sodba z dne 16. januarja 2019, Deutsche Post (C‑496/17, EU:C:2019:26, točka 57 in navedena sodna praksa). V zvezi z občutljivimi podatki glej sodbi z dne 24. septembra 2019, GC in drugi (Odstranitev povezav do občutljivih podatkov) (C‑136/17, EU:C:2019:773, točka 64), in z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2021:504, točke 96, 99, 100 in 102).
28      Predložitvena odločba (točke od 25 do 27). Sklicuje se na vzpostavitev dveh neodvisnih enot za „posebne primere“ in ločenih enot IT, kadar gre za mnenja o zaposlenih v službah IT (kot je ZQ). Končni cilj naj bi bil, da noben uslužbenec MDK ne bi mogel imeti dejanskega dostopa do zdravstvenih podatkov sodelavca niti vedeti za obstoj preverjanja njegove delovne zmožnosti.
29      Člen 8(3). Kot sem že pojasnil, je bil krog oseb, pooblaščenih za izvajanje obdelave, v SUVP razširjen.
30      Odstavek 4 je bil v člen 9 SUVP vstavljen na predlog Nemčije: dokument predsedstva Sveta št. 6834/15 z dne 9. marca 2015.
31      Predložitveno sodišče je MDK opredelilo tako (točka 16 predložitvene odločbe). Zato v nadaljevanju ne bom omenjal obdelovalca, razen če bo to na neki točki primerno. Načeloma preudarki, podani za upravljavca, veljajo tudi za obdelovalca.
32      Predložitveno sodišče se zlasti boji, da bi kršitev varnosti, če bi do nje prišlo, povzročila, da bi bili sodelavci ZQ seznanjeni z njegovim zdravstvenim stanjem, kar bi lahko privedlo do ugibanj o njegovi produktivnosti. Dodaja, da so že informacije o samem obstoju zdravniškega mnenja o nezmožnosti za delo občutljive informacije, saj lahko vzbudijo pomislek o možnosti simuliranja takšne nezmožnosti (točka 26 predložitvene odločbe).
33      Glej točko 10 teh sklepnih predlogov.
34      Točka 27 predložitvene odločbe.
35      Glej opombo 27 teh sklepnih predlogov. V zvezi z razmerjem med členom 6 in členom 9 SUVP glej tudi zadevo C‑252/21, Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja). Sklepni predlogi generalnega pravobranilca M. Rantosa z dne 20. septembra 2022 (C‑252/21, EU:C:2022:704).
36      Sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (EU:C:2021:504), točke 96, 99, 100 in 102.
37      Vsebina člena 10 SUVP je bila v členu 8 Direktive 95/46. V njem so bile navedene vse posebne kategorije podatkov, čeprav je bila obdelava podatkov v zvezi s prekrški, kazenskimi obsodbami ali varnostnimi ukrepi, določena v odstavku 5, urejena drugače. Formalna ločitev teh podatkov, uvedena s SUVP, ni posledica spremembe v prepričanju, da so osebni podatki v zvezi s kazenskimi obsodbami ali prekrški „občutljivi“.
38      Dokument Sveta št. 17072/4/14 Rev 4 z dne 4. marca 2015 Odboru stalnih predstavnikov, opomba 60.
39      V zvezi z zakonitostjo obdelave kot v končni različici.
40      Dokument Sveta št. 17072/4/14 Rev 4 z dne 4. marca 2015 Odboru stalnih predstavnikov, člen 9(2) („Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]“ in opomba 60).
41      Na podlagi dokumenta predsedstva Sveta št. 6834/15 z dne 9. marca 2015.
42      To seveda ni odpravilo dvomov vseh delegacij. Glej na primer dokument predsedstva št. 7466/15 z dne 26. marca 2015 delegacijam, opomba 38.
43      Smernice št. 03/2020 o obdelavi podatkov o zdravstvenem stanju za namene znanstvenih raziskav v okviru izbruha COVID-19, april 2020, točka 15.
44      „Advice paper on special categories of data“, Ares(2011)444105 – 20/04/2011, str. 5.
45      To je tudi stališče, ki ga je javno izrazila Komisija: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680 z dne 10. oktobra 2016, str. 2, in Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680 z dne 20. februarja 2018, str. 2.
46      Stališče v prid kumulaciji ali komplementarnosti zagovarja na primer T. Petri, „Art. 9“, v: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, opomba 26, ki pa priznava, da glede tega ni soglasja. Nasprotno se predlaga v Priročniku o evropskem pravu varstva osebnih podatkov Agencije Evropske unije za temeljne pravice, 2018, oddelek 4.1.1.
47      In sicer: izrecna privolitev posameznika, na katerega se nanašajo osebni podatki; obdelava, potrebna za zaščito življenjskih interesov fizične ali pravne osebe, ki ni sposobna dati privolitve, in obdelava, potrebna zaradi javnega interesa.
48      Točki 30 in 31 predložitvene odločbe.
49      Na primer, ali mora biti privolitev posameznika, na katerega se nanašajo osebni podatki, kot pravna podlaga za omogočenje v skladu s členom 9(2)(h), izrecna, kot je zahtevano v tem členu samemu, ali pa zadostuje privolitev iz člena 6(1)(a).
50      Drugo, ožje vprašanje je, ali bi bilo glede na obrazložitev predložitvenega sodišča v zvezi s členom 6(1) treba pojasniti pomen pogojev, ki so določeni v njem, zlasti v točkah (c) in (e). V zvezi s tem napotujem na sodno prakso Sodišča: glede določb Direktive 95/46 na sodbi z dne 16. decembra 2008, Huber (C‑524/06, EU:C:2008:724, točka 62), in z dne 30. maja 2013, Worten (C‑342/12, EU:C:2013:355, točka 37); glede SUVP na sodbo z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, točka 66 in naslednje).
51      Predložitveno sodišče se nagiba k ugotovitvi kršitve členov 9 in 6 SUVP, ki izhaja iz obdelave, ki jo je opravila MDK. V točki 32 predložitvene odločbe navaja, da kršitev sama po sebi pomeni pravico do odškodnine, v točki 33 pa vztraja pri samodejni pretvorbi kršitve v škodo („kršitev SUVP že privede do nepremoženjske škode, ki daje pravico do odškodnine“). Iz razlogov, ki sem jih predstavil v sklepnih predlogih v zadevi C‑300/21, se s tem stališčem ne strinjam.
52      Točke od 78 do 80 stališča MDK. Po njenem mnenju si je posameznik, na katerega se nanašajo osebni podatki, škodo povzročil sam, ker ni zahteval spisa in ni uveljavljal svoje pravice do dostopa do njega v skladu s členom 15 SUVP, temveč se je zatekel k sodelavcu v svoji enoti, ki je poskrbel za vpogled v zadevne podatke. V istem smislu sodba, izdana v pritožbenem postopku, LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19, točka 4.3.4.3.
53      Zaposleni, ki je bil razporejen v isti oddelek kot posameznik, na katerega se nanašajo osebni podatki, je do podatkov dostopal zunaj primerov, za katere je bil pooblaščen, torej za druge namene, kot je opravljanje dela, določenega v njegovi pogodbi.
54      V nadaljevanju bom izraz „upravitelj“ brez razlikovanja uporabljal kot sopomenko za izraz „upravljavec“.
55      Če pustimo ob strani tiste, ki trdijo, da gre za nereguliran vidik, se razhajajo mnenja zagovornikov sistema objektivne odgovornosti in tistih, ki se zavzemajo za krivdno odgovornost z obrnjenim dokaznim bremenom. Tako kot pri drugih sektorskih (civilnopravnih) ureditvah odgovornosti tudi pri SUVP menim, da v resnici ne sodi v nobeno od dveh glavnih teoretičnih paradigem, katerih meje prav tako niso zelo natančne. Glede na besedilo bi jo lahko uvrstili v obe z odtenki, ki nazadnje povzročijo zmedo glede modelov: v prvem primeru zaradi visokega standarda skrbnosti, ki bi ga bilo treba dokazati, da bi se izognili pripisu odgovornosti; v drugem primeru zaradi uvedbe preizkusov skrbnosti/malomarnosti med razloge za oprostitev ali pri ugotavljanju kršitve, odvisno od narave zadevnega pravila.
56      V odstavku 2, ki ga je mogoče razumeti kot zrcalno sliko odstavka 1, saj obravnava odgovornost z vidika zavezancev, prav tako ni navedena nobena zahteva glede krivde.
57      V španski različici se izraz „imputable“ (odgovoren) pojavi v členu 47(2)(f) SUVP, ki se v povezavi z informacijami, s katerimi se pogojuje odobritev zavezujočih poslovnih pravil, nanaša na izvzetje iz odgovornosti v skupinah podjetij s sedeži v Uniji in zunaj nje. V nemški različici je ubeseditev opisna („dem betreffenden Mitglied nicht zur Last gelegt werden kann“).
58      Glej člene 82(3), 68(4) ali 75(6).
59      Člen 83(2)(b) in (3). O njegovi razlagi sem se izrekel v sklepnih predlogih, ki sem jih predstavil v zadevi Deutsche Wohnen (C‑807/21, EU:C:2023:360).
60      Med drugim v dokumentu predsedstva Sveta št. 17831/13 z dne 16. decembra 2013 delovni skupini za varstvo podatkov, opomba 542.
61      Predlog spremembe 2819, ki ga je vložil S. Ilčev, Osnutek mnenja o predlogu uredbe Evropskega parlamenta in Sveta o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (Splošna uredba o varstvu podatkov), dokument PE501.927v04-00, Predlogi sprememb (9): „Vsak posameznik, ki je utrpel škodo zaradi nezakonitega postopka obdelave ali dejanja, ki je nezdružljivo s to uredbo, ima pravico od upravljavca ali obdelovalca dobiti odškodnino za nastalo škodo, razen če upravljavec ali obdelovalec dokaže, da ni zakrivil ne namernega dejanja ne malomarnosti.“ Moj poudarek.
62      Glej besedilo, priloženo zakonodajni resoluciji z dne 12. marca 2014 o predlogu Komisije (UL 2017, C 378, str. 399).
63      Dokument predsedstva št. 9083/15 z dne 27. maja 2015 članom delovne skupine za varstvo podatkov s področja pravosodja in notranjih zadev. Razlika med možnostma se nanaša na člen 77(3) do (6). Odstavek 1, ki določa načelo odgovornosti upravljavca in obdelovalca, in odstavek 2, ki določa vsebinski obseg odgovornosti obeh in omejuje odgovornost obdelovalca, sta sovpadala.
64      Prav tam (točka 5).
65      „[…] each non-compliant controller and/or processor involved in the processing are held liable for the entire amount of the damage“.
66      Ali, v primeru obdelovalca, kršil navodila upravljavca, ki so v skladu s SUVP.
67      Z možnostjo poznejše ponovitve: člen 77(6) pri prvi možnosti.
68      Dokument predsedstva št. 9083/15 z dne 27. maja 2015 članom delovne skupine za varstvo podatkov s področja pravosodja in notranjih zadev, točka 7. Delegacija Združenega kraljestva je jasno predlagala krivdno odgovornost. Glede na njihove trditve je bilo vprašanje v zvezi s tem postavljeno drugim (dokument predsedstva št. 7722/15 z dne 13. aprila 2015 delovni skupini za varstvo podatkov, točki 10 in 11). Zdi se, da nazadnje predlagana možnost sledi kompromisu, ki ga je navedla nemška delegacija (dokument št. 8150/1/15 Rev 1 z dne 6. maja 2015), ki je razlikovala med področjem razmerja med upravljavcem/obdelovalcem in posameznikom, na katerega se nanašajo osebni podatki, ter področjem razmerja med prvonavedenima ter ki je za zadnjenavedeno razmerje določila pripis na podlagi naklepa ali krivde: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation“. V zvezi s posameznikom, na katerega se nanašajo osebni podatki, bi neobstoj malomarnosti omogočil oprostitev odgovornosti.
69      Prav tam, točka 6, ki se konča tako: „In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages“.
70      Člen 77(4a) v tej različici: „If a data subject is not able to bring a claim for compensation against the controller […]“.
71      Dokument predsedstva št. 9565/15 z dne 11. junija 2015 Svetu.
72      Moj poudarek. Vzporedno s tem dodatkom so črtani primeri razlogov za oprostitev iz uvodne izjave 118: točka 104 in naslednje teh sklepnih predlogov.
73      Uvodna izjava 10 SUVP.
74      Napotujem na svoje sklepne predloge v zadevi C‑300/21. Kot sem poudaril tam, želi zakonodajalec spodbuditi izvajanje pravil o varstvu osebnih podatkov v zasebnem interesu. V ta namen so bili v poglavju VIII SUVP posamezniku, na katerega se nanašajo osebni podatki, dani na voljo ustrezni instrumenti. Med njimi je tudi odškodnina iz naslova civilne odgovornosti, ki pa nima kaznovalne funkcije.
75      To je bil eden od argumentov za preseganje Direktive 95/46 v predlogu Komisije.
76      Uvodna izjava 77 in naslednje SUVP.
77      Ki ga velja poudariti: odgovornost ima preventivno funkcijo, ker vpliva na odločitev uslužbenca glede ravni dejavnosti, ki jo bo izvajal. Razlaga, ki jo predlagam, omogoča povezavo člena 82 SUVP z načeli obdelave, kot so omejitev namena, najmanjši obseg podatkov in točnost (člen 5(1)(b), (c) in (d) SUVP).
78      Da bi malomarnost postala merilo za pripisovanje.
79      Glej opombo 52 teh sklepnih predlogov.
80      Stališče predložitvenega sodišča (glej opombo 51 teh sklepnih predlogov). Po njegovem mnenju udeležba posameznika, na katerega se nanašajo osebni podatki, ki zahteva vpogled v svoje podatke, ne bi smela biti upoštevna za pripis odgovornosti. Lahko pa bi bila upoštevna za opredelitev višine odškodnine.
81      Stališče MDK in pritožbenega sodišča (glej opombo 52 teh sklepnih predlogov). V resnici bi lahko trdili, da v tem scenariju manjka element „škode“: volenti non fit iniuria.
82      Točka 40 predložitvene odločbe.
83      Za razliko od drugih področij (npr. področje odgovornosti za izdelke z napako) v SUVP razlogi za izvzetje niso izčrpno našteti.
84      „Upravljavec je lahko v celoti ali delno prost te odgovornosti, če dokaže, da ni odgovoren za dogodek, ki je povzročil škodo.“
85      Upravljavec je „prost odgovornosti, zlasti če dokaže, da ni odgovoren za škodo, predvsem kadar ugotovi napako na strani posameznika, na katerega se osebni podatki nanašajo, ali v primeru višje sile“. Moj poudarek.
86      Uvodna izjava 118 predloga Komisije.
87      Uvodna izjava 118 besedila, priloženega zakonodajni resoluciji Parlamenta z dne 12. marca 2014 o predlogu Komisije.
88      Točka 84 in naslednje teh sklepnih predlogov. Primera sta navedena v dokumentih v zvezi s pogajanji v Svetu, v kompromisnem besedilu, to je v dokumentu št. 9565/15 z dne 11. junija 2015, pa ne več.
89      Napotujem zlasti na dokument predsedstva št. 9083/15 z dne 27. maja 2015 članom delovne skupine za varstvo podatkov s področja pravosodja in notranjih zadev.
90      Ob upoštevanju okoliščin (ponavljam, posebna pozornost je bila namenjena primeru več akterjev obdelave) je mogoče upravičeno sklepati, da bi bila ena od možnosti v zvezi s tem, da bi upravljavec dokazal, da škoda izhaja izključno iz dejanja obdelovalca, in obratno za zadnjenavedenega.
91      Enako velja za višjo silo, ki je bila drugi razlog, izrecno naveden v uvodni izjavi 55 Direktive 95/46 (glej točko 105 teh sklepnih predlogov).
92      S tem seveda ne prejudiciram primera udeležbe tretjih oseb. O tem vidiku glej sklepne predloge generalnega pravobranilca G. Pitruzzelle, predstavljene 27. aprila 2023 v zadevi Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353).
93      SUVP z namenom odprave dvomov, ki so obstajali na podlagi Direktive 95/46, določa, da zajema nepremoženjsko škodo. V uvodni izjavi 146 je navedena „vsa škoda“ in poudarjeno, da je treba pojem „škoda“ na podlagi sodne prakse Sodišča razlagati široko. Natančen obseg navedbe je še vedno sporen.
94      V njej ni navedeno, ali je treba za določitev vrednosti škode v vsakem posameznem primeru uporabiti lestvice ali dati prednost pavšalnim zneskom ali uporabiti druge sisteme izračuna.
95      Ti dejavniki bi lahko vključevali: (a) dejavnik, ki ga je predlagalo predložitveno sodišče; (b) sovpadanje krivde posameznika, na katerega se nanašajo osebni podatki, kar MDK zatrjuje v točki 80 svojega stališča; (c) druge dejavnike, kot je uvedba kvantitativnih zgornjih mej odškodnine, da ne bi prišlo do neupravičenega odvračanja od postopkov obdelave podatkov ali gospodarskih dejavnosti, ki so od njih odvisne.
96      Točka 87 in naslednje teh sklepnih predlogov.
97      Direktiva 95/46 v zvezi s tem ni določala ničesar. V pripravljalnih dokumentih za uredbo SUVP nisem našel nobenega dokaza, da bi se o tem razpravljalo.
98      Uredba Sveta (ES) št. 2100/94 z dne 27. julija 1994 o žlahtniteljskih pravicah v Skupnosti (UL, posebna izdaja v slovenščini, poglavje 3, zvezek 16, str. 390), člen 94(2); ali Direktiva 2004/48/ES Evropskega parlamenta in Sveta z dne 29. aprila 2004 o uveljavljanju pravic intelektualne lastnine (UL, posebna izdaja v slovenščini, poglavje 17, zvezek 2, str. 32), člen 13, uvodna izjava 26.
99      Člen 83(2)(b) in uvodna izjava 148 SUVP. V tem okviru se upošteva merilo sorazmernosti, in sicer ne le v zvezi z dejanjem, temveč tudi v zvezi s tem, ali globa pomeni nesorazmerno breme za fizično osebo. Irska vlada v točki 54 svojega stališča predlaga, da se to merilo prenese na civilno odgovornost. Ponovno, za to, da bi se štelo za sestavni del člena 82, manjka jezikovni argument; prav tako ni podprto niti s pripravljalnim gradivom niti z namenom pravila ali njegovo funkcijo v celotni uredbi.
100      Učinkovita odškodnina mora biti primerna za izpolnitev njene naloge varovanja pravice do varstva podatkov.
101      Oboji so civilno odgovorni v smislu člena 82(2) in (3) SUVP. Odgovarjajo za celotno škodo ne glede na stopnjo svojega prispevka k nastanku škode.
102      Dopuščam možnost drugih okoliščin, katerih sovpadanje upravičuje znižanje zneska: v mislih imam na primer uravnoteženje pravice do odškodnine (in prek nje do varstva podatkov) z drugimi dobrinami ali pravicami istega ranga v posameznih primerih. V SUVP je pridevnik celotna namenjen tudi zagotavljanju kritja nekaterih vrst (nematerialne) škode; preprečevanju, da bi bila odškodnina omejena na neposredno škodo (vključevati bi morala tudi druge koncepte, kot je Sodišče opozorilo na drugih področjih); ter zagotavljanju, da več udeležencev v obdelavi ne otežuje dostopa do odškodnine, temveč ravno nasprotno.