62021CC0667
GENERALINIO ADVOKATO
MANUEL CAMPOS SÁNCHEZ-BORDONA IŠVADA,
pateikta 2023 m. gegužės 25 d. (
1
)
Byla C-667/21
ZQ
prieš
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija) prašymas priimti prejudicinį sprendimą)
„Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Su sveikata susiję asmens duomenys – Darbuotojo darbingumo vertinimas – Ligonių kasos medicinos tarnyba – Darbuotojų asmens duomenų, susijusių su sveikata, tvarkymas – Teisė į žalos atlyginimą – Kaltės laipsnio poveikis“
1.
Šiuo prašymu priimti prejudicinį sprendimą siekiama, kad būtų išaiškinti tokie Reglamento (ES) 2016/679 (
2
) aspektai: a) su sveikata susijusių asmens duomenų tvarkymas ir b) žalos, patirtos dėl (tariamo) BDAR pažeidimo, atlyginimas.
2.
Nors Teisingumo Teismas jau yra nusprendęs dėl BDAR nuostatų (
3
), susijusių su šiais klausimais, šiame prašyme priimti prejudicinį sprendimą pateikti klausimai, išskyrus ketvirtąjį (
4
), yra nauji.
I. Teisinis pagrindas
A.
Sąjungos teisė. BDAR
3.
Šiai bylai yra svarbios BDAR 4, 10, 35, 51–54 ir 146 konstatuojamosios dalys.
4.
9 straipsnyje („Specialių kategorijų asmens duomenų tvarkymas“) nustatyta:
„1.   Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.
2.   1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:
<…>
b)
tvarkyti duomenis būtina, kad duomenų valdytojas arba duomenų subjektas galėtų įvykdyti prievoles ir naudotis specialiomis teisėmis darbo ir socialinės apsaugos teisės srityje, kiek tai leidžiama Sąjungos arba valstybės narės teisėje arba pagal valstybės narės teisę sudaryta kolektyvine sutartimi, kuriuose nustatytos tinkamos duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės;
<…>
h)
tvarkyti duomenis būtina profilaktinės arba darbo medicinos tikslais, siekiant įvertinti darbuotojo darbingumą, nustatyti medicininę diagnozę, teikti sveikatos priežiūros arba socialinės rūpybos paslaugas ar gydymą arba valdyti sveikatos priežiūros ar socialinės rūpybos sistemas ir paslaugas remiantis Sąjungos arba valstybės narės teise arba pagal sutartį su sveikatos priežiūros specialistu, taikant 3 dalyje nurodytas sąlygas ir apsaugos priemones;
<…>
3.   1 dalyje nurodyti asmens duomenys gali būti tvarkomi 2 dalies h punkte nurodytais tikslais, kai tuos duomenis tvarko specialistas, kuriam pagal Sąjungos arba valstybės narės teisę arba nacionalinių kompetentingų įstaigų nustatytas taisykles taikoma pareiga saugoti profesinę paslaptį, arba duomenys tvarkomi jo atsakomybe, arba kitas asmuo, kuriam pagal Sąjungos arba valstybės narės teisę arba nacionalinių kompetentingų įstaigų nustatytas taisykles taip pat taikoma pareiga saugoti paslaptį.
4.   Valstybės narės gali toliau taikyti arba nustatyti papildomas sąlygas, įskaitant apribojimus, genetinių duomenų, biometrinių duomenų arba sveikatos duomenų tvarkymui.“
5.
82 straipsnyje („Teisė į kompensaciją ir atsakomybė“) numatyta:
„1.   Bet kuris asmuo, patyręs materialinę ar nematerialinę žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą.
<…>
3.   Duomenų valdytojas arba duomenų tvarkytojas atleidžiami nuo atsakomybės pagal 2 dalį, jeigu jis įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala.
<…>“
B.
Nacionalinė teisė. Sozialgesetzbuch Fünftes Buch (
5
)
6.
278 straipsnio 1 dalies pirmame sakinyje nurodyta, kad kiekvienoje Vokietijos federalinėje žemėje kaip viešosios teisės įstaiga įsteigiama medicinos tarnyba (
6
) prie ligonių kasų (
7
). Vienas iš jos uždavinių, pavestų įstatymu, yra rengti išvadas siekiant išsklaidyti abejones dėl apdraustųjų nedarbingumo.
7.
275 straipsnio 1 dalies pirmo sakinio 3 punkto b papunktyje nustatyta, kad KV tam tikrais atvejais privalo gauti iš atitinkamos MDK išvadą, kurios paskirtis – išsklaidyti abejones dėl apdraustųjų nedarbingumo tuomet, kai yra gydytojo pažyma, patvirtinanti, kad apdraustasis yra nedarbingas.
II. Faktinės aplinkybės, byla ir prejudiciniai klausimai
8.
Nuo 1991 m. ZQ dirbo Šiaurės Reino (Vokietija) MDK IT skyriuje sistemų administratoriumi ir „Helpdesk“ konsultantu.
9.
MDK rengia išvadas dėl KV apdraustųjų nedarbingumo. Tokios išvados gali būti rengiamos ir dėl pačios MDK darbuotojų sveikatos.
10.
Duomenys tvarkomi laikantis, be kita ko, šių tarnybos vidaus instrukcijoje nustatytų taisyklių (
8
):
–
darbuotojų „socialiniai duomenys“ negali būti renkami ir saugomi jų darbo vietoje. Be to, šių duomenų, kurie gaunami KV pavedus MDK parengti ekspertų išvadą, nereikia painioti su darbuotojų duomenimis, tvarkomais palaikant darbo ar tarnybos santykius,
–
prašymai pateikti išvadas, susiję su MDK darbuotojais, priskiriami prie „specialių atvejų“ ir juos tvarko tik konkretus struktūrinis vienetas (
9
),
–
parengus išvadą dėl MDK darbuotojo, ir svarbūs dokumentai, ir išvada saugomi pačios MDK elektroniniame archyve. Priskirti dokumentus konkretiems asmenims galima tik naudojant specialų „raktą“, suteikus prieigos teisę techninės procedūros tvarka.
11.
Perdavus duomenis į archyvą, struktūrinio vieneto „Specialūs atvejai“ IT skyriaus darbuotojai turi prieigą prie išvadų, pateiktų vykdant pavestą užduotį dėl MDK darbuotojų; įstatymu jie įpareigoti saugoti paslaptį.
12.
Nuo 2017 m. lapkričio 22 d. ZQ nuolat sirgo ir buvo nedarbingas.
13.
Nuo 2018 m. gegužės 24 d. (
10
) ZQ gavo ligos išmoką iš KV, kurioje jis apdraustas. 2018 m. birželio 6 d. KV pavedė MDK pateikti išvadą, kad būtų išsklaidytos abejonės dėl ZQ nedarbingumo.
14.
MDK pavestą užduotį priėmė ir pavedė ją atlikti struktūriniam vienetui „Specialūs atvejai“. Šiam struktūriniam vienetui priklausanti MDK dirbanti gydytoja 2018 m. birželio 22 d. parengė išvadą, joje buvo nurodyta ZQ ligos diagnozė. Rengdama šią išvadą gydytoja skambino ZQ gydančiam gydytojui ir gavo iš jo atitinkamą informaciją.
15.
Išvada buvo perduota saugoti MDK elektroniniame archyve.
16.
ZQ iš gydančio gydytojo sužinojo apie MDK gydytojos skambutį.
17.
2018 m. rugpjūčio 1 d. ZQ paskambino kolegei iš MDK IT skyriaus ir paklausė, ar archyve yra saugoma išvada apie jį. Atlikusi paiešką archyve, kolegė į šį klausimą atsakė teigiamai. ZQ prašymu ji išvadą nufotografavo ir persiuntė jam nuotraukas.
18.
2018 m. rugpjūčio 15 d. ZQ nesėkmingai pareikalavo iš MDK sumokėti jam 20000 EUR dydžio kompensaciją pagal BDAR 82 straipsnį.
19.
2018 m. spalio 17 d. ZQ pareiškė ieškinį Arbeitsgericht Düsseldorf (Diuseldorfo darbo teismas, Vokietija). Šioje byloje jis prašė, be kita ko, priteisti kompensaciją, lygią negautam darbo užmokesčiui (
11
).
20.
Teismui nagrinėjant bylą, MDK nutraukė darbo santykius su ZQ.
21.
ZQ reikalavimai buvo atmesti ir pirmosios instancijos, ir apeliaciniame teismuose (
12
).
22.
ZQ pateikė kasacinį skundą Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija); šis teismas Teisingumo Teismui pateikė tokius klausimus:
„1.
Ar BDAR 9 straipsnio 2 dalies h punktas turi būti aiškinamas taip, kad ligonių kasos medicinos tarnybai yra draudžiama tvarkyti savo darbuotojo sveikatos duomenis, kuriais remiantis vertinamas šio darbuotojo darbingumas?
2.
Jeigu Teisingumo Teismas į pirmąjį klausimą atsakytų neigiamai ir tai reikštų, kad pagal BDAR 9 straipsnio 2 dalies h punktą galėtų būti taikoma BDAR 9 straipsnio 1 dalyje įtvirtinto draudimo tvarkyti sveikatos duomenis išimtis: ar tokiu atveju, kaip nagrinėjamas, be BDAR 9 straipsnio 3 dalyje nustatytų kriterijų, dar reikia atsižvelgti ir į kitus duomenų apsaugos reikalavimus, ir, jei taip, į kokius?
3.
Jeigu Teisingumo Teismas į pirmąjį klausimą atsakytų neigiamai ir tai reikštų, kad pagal BDAR 9 straipsnio 2 dalies h punktą galėtų būti taikoma BDAR 9 straipsnio 1 dalyje įtvirtinto draudimo tvarkyti sveikatos duomenis išimtis: ar tokiu atveju, kaip nagrinėjamas, tvarkyti sveikatos duomenis yra leidžiama ir jie tvarkomi teisėtai tik tuomet, jeigu įvykdyta bent viena iš BDAR 6 straipsnio 1 dalyje nurodytų sąlygų?
4.
Ar BDAR 82 straipsnio 1 dalis yra specialaus, ar bendro prevencinio pobūdžio ir ar į tai reikia atsižvelgti apskaičiuojant nematerialinės žalos, kurią remiantis BDAR 82 straipsnio 1 dalimi turi atlyginti duomenų valdytojas arba duomenų tvarkytojas, dydį?
5.
Ar apskaičiuojant nematerialinės žalos, kuri turi būti atlyginta remiantis BDAR 82 straipsnio 1 dalimi, dydį turi reikšmės duomenų valdytojo ar duomenų tvarkytojo kaltės laipsnis? Kalbant konkrečiai, ar leidžiama duomenų valdytojo ar duomenų tvarkytojo naudai atsižvelgti į kaltės nebuvimą arba nesunkią kaltę?“
III. Procesas Teisingumo Teisme
23.
Prašymą priimti prejudicinį sprendimą Teisingumo Teismas gavo 2021 m. lapkričio 8 d.
24.
Rašytines pastabas pateikė ZQ, MDK, Airijos ir Italijos vyriausybės, taip pat Europos Komisija.
25.
Nuspręsta, kad teismo posėdžio rengti nebūtina.
26.
Teisingumo Teismo nurodymu šioje išvadoje nebus nagrinėjamas ketvirtasis prejudicinis klausimas (
13
).
IV. Analizė
A.
Pirmasis prejudicinis klausimas
27.
Prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar pagal BDAR 9 straipsnio 2 dalies h punktą MDK draudžiama tvarkyti duomenis, susijusius su vieno iš jos darbuotojų sveikata, kai tokie duomenys yra būtini jo darbingumui įvertinti. Taigi jam kyla abejonių, ar duomenys tvarkomi teisėtai, atsižvelgiant į duomenis tvarkantį subjektą (
14
).
28.
BDAR 9 straipsnis taikomas specialių kategorijų duomenims, pavyzdžiui, duomenims, susijusiems su asmens sveikata. Jame nustatytas bendras draudimas tvarkyti „neskelbtinus“ duomenis (1 dalis) ir išsamiai išvardytos aplinkybės, kuriomis šis draudimas netaikomas (2 dalis).
29.
Konkrečiai BDAR 9 straipsnio 2 dalies h punkte numatyta bendro draudimo išimtis, susijusi su asmens duomenų tvarkymu „profilaktinės arba darbo medicinos tikslais, siekiant įvertinti darbuotojo darbingumą, nustatyti medicininę diagnozę, teikti sveikatos priežiūros arba socialinės rūpybos paslaugas ar gydymą“.
30.
Manau, kad šios nuostatos apimtis yra pakankama, kad ji būtų taikoma byloje nagrinėjamiems MDK veiksmams (
15
). Nesvarbu, kad duomenų valdytojas kartu yra ir duomenų subjekto darbdavys, nes MDK veikia ne kaip darbdavys, o kaip KV, kurioje buvo apdraustas duomenų subjektas, medicinos tarnyba (
16
).
31.
Nematau pagrindo aiškinti BDAR 9 straipsnio 2 dalies h punktą taip, kad pagal jį medicinos tarnybai draudžiama tvarkyti savo darbuotojų sveikatos duomenis šiame punkte nurodytu tikslu. Taikant įprastus aiškinimo kriterijus veikiau galima nuspręsti priešingai (kad tokio draudimo nėra).
32.
Vertinant pažodžiui, BDAR 9 straipsnio 2 dalies h punkte nenumatyta jokios išimties šiuo klausimu ir nenustatyta duomenų tvarkymo sąlygos, pagal kurią duomenų valdytojas turi būti „neutrali trečioji šalis“ (
17
).
33.
Iš teisės akto priėmimo istorijos ir nuostatos raidos taip pat nematyti, kad buvo taikomas toks draudimas, kaip nurodytas pirmajame prejudiciniame klausime, ar kad ketinta jį nustatyti (
18
).
34.
Kaip pripažino Teisingumo Teismas (
19
), BDAR taisyklių dėl sveikatos duomenų tvarkymo tikslas yra užtikrinti didesnę duomenų subjektų apsaugą atsižvelgiant į tai, kad šie duomenys ypač neskelbtini atitinkamų pagrindinių teisių atžvilgiu. Šiam tikslui pasiekti BDAR 9 straipsnio 1 dalyje nustatytas bendras draudimas, kuris vis dėlto nėra absoliutus (
20
).
35.
Šioje srityje, kaip ir kitose su asmens duomenų tvarkymu susijusiose srityse, teisės aktų leidėjas, įtvirtinęs bendrąjį draudimą, pasirinko:
–
nustatyti išimtis, t. y. sąraše pateikė konkrečias situacijas, kurias galima suskirstyti (grosso modo) į situacijas, kai duomenų subjektas pats leidžia tvarkyti duomenis arba gauna iš to naudos, ir situacijas, kai yra viršesnių interesų nei asmens interesai,
–
nustatyti tam tikros rūšies duomenų tvarkymui skirtas konkrečias garantijas, didesnes už tas, kurios taikomos kitiems „neskelbtiniems“ asmens duomenims, ir papildančias jas (
21
),
–
suteikti valstybėms narėms teisę nustatyti kitas asmens duomenų tvarkymo sąlygas ir net apribojimus. Pavyzdžiui, nustatyti sąlygas dėl asmens duomenų, susijusių su sveikata (BDAR 9 straipsnio 4 dalis ir 53 konstatuojamoji dalis in fine), arba sąlygas dėl darbuotojų duomenų su darbo santykiais susijusiame kontekste (BDAR 88 straipsnis) (
22
).
36.
Vadinasi, apskritai nėra jokių kliūčių numatyti, kad viena iš minėtų konkrečių garantijų būtų MDK taikomas draudimas tvarkyti duomenis, susijusius su jos darbuotojų sveikata. Vis dėlto nemanau, kad ši galimybė (kuria Sąjungos teisės aktų leidėjas nepasinaudojo) yra būtina siekiant užtikrinti pirma nurodytą tikslą.
37.
Taigi laikausi nuomonės, kad draudimas, dėl kurio klausia prašymą priimti prejudicinį sprendimą pateikęs teismas, nėra neišvengiama pasekmė taikant teleologinį BDAR 9 straipsnio 2 dalies h punkto aiškinimą.
38.
Taip pat nemanau, kad taikant sisteminį nuostatos aiškinimą būtų galima nuspręsti kitaip, nes:
–
jeigu dialektiniais tikslais būtų pripažinta, kad BDAR 9 straipsnio 2 dalies b punktas teisingai laikomas vieninteliu pagrindu, pagal kurį darbdavys gali tvarkyti savo darbuotojų sveikatos duomenis (
23
), tai neturėtų įtakos to paties subjekto, jau nebe kaip darbdavio, o kaip KV pavedimą vykdančios medicinos tarnybos, galimybei tvarkyti duomenis pagal kitą to paties 9 straipsnio 2 dalyje numatytą išimtį (
24
),
–
BDAR 9 straipsnio 3 dalyje yra nustatytos sąlygos, kurias turi atitikti su sveikata susijusius asmens duomenis tvarkantys subjektai. 9 straipsnio 2 dalies h punkte aiškiai nurodyta 3 dalis; subjektyviai vertinant, duomenų tvarkymui netaikoma jokio kito reikalavimo (
25
).
39.
Taigi į pirmąjį prejudicinį klausimą siūlau atsakyti neigiamai (t. y. kad nagrinėjamas draudimas BDAR nenumatytas), todėl galima nagrinėti kitą klausimą.
B.
Antrasis prejudicinis klausimas
40.
Jeigu (kaip siūlau) į pirmąjį prejudicinį klausimą būtų atsakyta neigiamai, prašymą priimti prejudicinį sprendimą pateikęs teismas nori sužinoti, ar „tokiu atveju, kaip nagrinėjamas, be BDAR 9 straipsnio 3 dalyje nustatytų kriterijų, dar reikia atsižvelgti ir į kitus duomenų apsaugos reikalavimus, ir, jei taip, į kokius“.
41.
Apskritai neturėtų kilti didelių problemų pateikti atsakymą (
26
). Teisingumo Teismas pažymėjo, kad bet koks asmens duomenų tvarkymas turi atitikti BDAR 5 straipsnyje nurodytus principus ir tenkinti vieną iš jo 6 straipsnyje numatytų teisėtumo sąlygų (
27
).
42.
Prašymą priimti prejudicinį sprendimą pateikęs teismas teigia, kad siekiant užtikrinti duomenų apsaugą tokiomis aplinkybėmis, kokios susiklostė nagrinėjamoje byloje, nepakanka laikytis pareigos saugoti paslaptį (BDAR 9 straipsnio 3 dalis). Jis siūlo kitas papildomas priemones, kurios, jo nuomone, yra vienintelės tinkamos šiam tikslui (
28
).
43.
Manau, kad pati BDAR 9 straipsnio 3 dalis negali būti pagrindas tokioms papildomoms priemonėms priimti. Aiškus šios dalies turinys (joje tik patikslinta Direktyvoje 95/46 jau pateikta nuostata) (
29
) nesuteikia pagrindo pritarti tokiems pasiūlymams, kaip prašymą priimti prejudicinį sprendimą pateikusio teismo.
44.
Priešingai, šie pasiūlymai galėtų būti taikomi pagal BDAR 9 straipsnio 4 dalį. Joje numatyta, kad valstybės narės turi teisę nustatyti „papildomas sąlygas, įskaitant apribojimus, <…> sveikatos duomenų tvarkymui“ (
30
). Vis dėlto iš sprendimo dėl prašymo priimti prejudicinį sprendimą nematyti, kad Vokietijoje tokios sąlygos buvo nustatytos.
45.
Atsižvelgiant į tai ir dėl priežasčių, kurias išdėsčiau pirma, su sveikata susijusių asmens duomenų tvarkymui, be kitų principų, turi būti taikomas BDAR 5 straipsnio 1 dalies f punkte nustatytas principas ir iš jo kylančios pareigos, numatytos BDAR IV skyriuje.
46.
Duomenų valdytojas (
31
) taip pat turi priimti tinkamas technines ir organizacines priemones, skirtas užtikrinti, kad konkreti duomenų tvarkymo operacija atitiktų BDAR. Tai numatyta ir BDAR 24 straipsnio 1 dalyje.
47.
BDAR 32 straipsnio 1 dalyje duomenų valdytojui nustatyta konkreti pareiga įgyvendinti „tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas“, kai tvarkomi atitinkami asmens duomenys.
48.
Taikant šias taisykles nagrinėjamoje byloje, MDK dėl jos, kaip ZQ darbdavės, statuso tenka didesnė nei įprastai rūpestingumo pareiga tvarkant ZQ sveikatos duomenis, nes pavojus taip pat yra didesnis (
32
).
49.
MDK šis faktas yra žinomas. Kai KV, kurioje apdraustas MDK darbuotojas, pavedimu MDK rengia išvadas, kad būtų išsklaidytos abejonės dėl darbuotojo (ne)darbingumo, ji įgyvendina visas numatytas technines ir organizacines ad hoc priemones, kad su sveikata susijusių asmens duomenų tvarkymas atitiktų BDAR (
33
).
50.
Šias priemones turi įvertinti prašymą priimti prejudicinį sprendimą pateikęs teismas; atlikęs vertinimą jis gali nuspręsti, kad priemonės, kurių imtasi, nebuvo pakankamos. Vis dėlto tai nesuteikia teisės remiantis BDAR 9 straipsniu daryti išvados, kad MDK privalo ex officio atsisakyti tenkinti bet kokį KV prašymą parengti medicininę išvadą (susijusią su jos darbuotojais) (
34
).
C.
Trečiasis prejudicinis klausimas
51.
Jeigu į pirmąjį prejudicinį klausimą būtų atsakyta neigiamai, prašymą priimti prejudicinį sprendimą pateikęs teismas trečiuoju klausimu siekia išsiaiškinti, ar draudimo tvarkyti sveikatos duomenis išimtis priklauso nuo to, ar „<…> įvykdyta bent viena iš BDAR 6 straipsnio 1 dalyje nurodytų sąlygų“.
52.
Norint atsakyti į šį klausimą, reikia išanalizuoti BDAR 9 straipsnio 2 dalies ir BDAR 6 straipsnio, susijusio su duomenų tvarkymo teisėtumu, santykį. Būtinybė laikytis 6 straipsnio atliekant visas duomenų tvarkymo operacijas nustatyta Teisingumo Teismo sprendimuose, kuriuos jau nurodžiau (
35
).
53.
Konkrečiai byloje C-439/19 (
36
) išaiškintas BDAR 10 straipsnis, susijęs su kitos kategorijos neskelbtinais asmens duomenimis (apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas) (
37
), ir pripažinta, kad BDAR 6 straipsnis taikomas kartu su 10 straipsniu.
54.
Ar tą patį galima pasakyti apie asmens duomenis, numatytus BDAR 9 straipsnyje?
55.
BDAR 9 ir 10 straipsnių struktūra skiriasi. 10 straipsnyje yra aiški nuoroda į paties BDAR 6 straipsnio 1 dalį, nepateikta 9 straipsnyje.
56.
BDAR 9 straipsnio 2 dalies ir 10 straipsnio turinio taip pat negalima palyginti: 10 straipsnyje tik nurodytas subjektyvus duomenų tvarkymo apribojimas, o 9 straipsnio 2 dalyje, kaip ir 6 straipsnio 1 dalyje, nustatyti jį pateisinantys tikslai (arba aplinkybės).
57.
Iš tiesų BDAR 6 straipsnio 1 dalis ir 9 straipsnio 2 dalis yra panašios tuo, kad pirmą kartą jas skaitant atrodo, jog pastarojoje dalyje išvardytos aplinkybės patikslina pirmojoje dalyje nurodytas sąlygas: patikslina ir kartu jas sugriežtina.
58.
Vis dėlto atsižvelgiant į BDAR 9 straipsnio genezę ir raidą galima suabejoti, ar jo ir 6 straipsnio santykis gali būti paaiškintas remiantis „specialiosios teisės normos“ ir „bendrosios teisės normos“ sąvokomis.
59.
Akivaizdu, kad tam tikrų valstybių narių delegacijos iš tiesų pritarė tokiam aiškinimui (
38
). Vis dėlto iš dokumentų, susijusių su derybomis dėl 9 straipsnio, nematyti, kad buvo nesutariama dėl nuorodos į 6 straipsnį (
39
), bet nesutarimų kilo dėl nuorodos apimties (ar ji apima tik šio straipsnio 1 dalį, ar ir kitas?) (
40
). Galiausiai 9 straipsnyje buvo išbraukta nuoroda į 6 straipsnį (
41
) ir pasirinkta konstatuojamojoje dalyje palikti pastraipą, panašią į pateiktą dabartinėje BDAR 51 konstatuojamojoje dalyje (
42
).
60.
Europos duomenų apsaugos valdyba pritaria abiejų nuostatų kumuliatyvaus taikymo arba papildomumo idėjai (
43
), o vadinamoji 29 straipsnio darbo grupė šią idėją palaikė (
44
), aptardama Direktyvos 95/46 8 straipsnį (
45
). Vis dėlto teisės teoretikų ar kitų komentatorių nuomonė nėra vieninga (
46
).
61.
Atsižvelgdamas į įvairias BDAR 9 straipsnio 2 dalies įtraukas esu linkęs manyti, kad vieno atsakymo dėl šios nuostatos ir 6 straipsnio santykio iš tikrųjų negali būti. Iš tiesų:
–
tokios draudimo tvarkyti duomenis išimtys, kaip nustatytos 9 straipsnio 2 dalies a, c, g ir i punktuose (
47
), yra tiesiogiai susijusios su BDAR 6 straipsnio 1 dalyje numatytu konkrečiu teisiniu pagrindu ir apima šį pagrindą,
–
to negalima pasakyti apie kitas BDAR 9 straipsnio 2 dalyje išvardytas išimtis, kurias reikia papildomai pagrįsti pagal 6 straipsnio 1 dalį. Manau, kad tokia išimtis numatyta 9 straipsnio 2 dalies h punkte, dėl kurio pateiktas šis prejudicinis klausimas.
62.
Taigi laikausi nuomonės, kad siekiant užtikrinti neskelbtinų duomenų tvarkymo, leidžiamo BDAR 9 straipsnio 2 dalies h punkte, teisėtumą reikia išsiaiškinti, pagal kurią 6 straipsnio 1 dalyje nurodytą sąlygą šis tvarkymas kiekvienu atveju yra teisėtas.
63.
Prašymą priimti prejudicinį sprendimą pateikęs teismas neginčija, kad taip yra, tačiau remdamasis šia prielaida jis iš esmės siekia paneigti, kad MDK vykdytą duomenų tvarkymą galima pateisinti remiantis 6 straipsniu (
48
).
64.
Iš pirmo žvilgsnio atrodo, kad nuostatoje pateiktų teisinių pagrindų eiliškumas nenumatytas. Atlikus išsamesnę analizę gali būti nustatyta, kad reikia patikslinti tam tikrus aspektus (
49
). Vis dėlto manau, kad tokia analizė viršytų tai, kas būtina siekiant pateikti atsakymą į šį prašymą priimti prejudicinį sprendimą (
50
).
65.
Taigi iš atsakymo į trečiąjį prejudicinį klausimą prašymą priimti prejudicinį sprendimą pateikusiam teismui turėtų būti aišku, kad siekiant taikyti draudimo tvarkyti sveikatos duomenis išimtį turi būti įvykdyta bent viena iš BDAR 6 straipsnio 1 dalyje nurodytų sąlygų.
D.
Penktasis prejudicinis klausimas
66.
Prašymą priimti prejudicinį sprendimą pateikęs teismas nori sužinoti, ar „apskaičiuojant nematerialinės žalos, kuri turi būti atlyginta remiantis BDAR 82 straipsnio 1 dalimi, dydį turi reikšmės duomenų valdytojo ar duomenų tvarkytojo kaltės laipsnis“, ir, konkrečiai kalbant, ar „leidžiama duomenų valdytojo ar duomenų tvarkytojo naudai atsižvelgti į kaltės nebuvimą arba nesunkią kaltę“.
67.
Klausime daroma prielaida, kad subjektas – duomenų valdytojas – pažeidė BDAR (
51
), ir norima išsiaiškinti, ar duomenų valdytojo kaltės laipsnis yra svarbus siekiant apskaičiuoti dėl šio pažeidimo atsiradusios žalos kompensacijos dydį. Prašymą priimti prejudicinį sprendimą pateikęs teismas teigia, kad nėra tikras, ar duomenų valdytojo kaltės nebuvimas arba nesunki kaltė gali būti laikomi jo kaltės nebuvimo įrodymu.
68.
Iš klausimo teksto matyti, kad juo iš esmės siekiama išsiaiškinti tam tikrus aspektus dėl kompensacijos dydžio apskaičiavimo. Vis dėlto kartu su klausimu pateikta patikslinimų, dėl kurių atsirado tam tikros painiavos, nes buvo neaišku, ar kaltė paminėta kaip atsakomybės priskyrimo sąlyga, ar kaip kompensacijos dydžio diferencijavimo veiksnys.
69.
Prašymą priimti prejudicinį sprendimą pateikęs teismas, Teisingumo Teismo paprašytas patikslinti šiuos neaiškumus, nurodė, kad klausimas susijęs su abiem aspektais, tačiau nepateikė išsamesnės informacijos, kaip tie aspektai susiję su pagrindine byla.
70.
Atsižvelgdamas į šį atsakymą ketinu visų pirma (taip pat) išnagrinėti MDK klausimus dėl duomenų subjekto galimo dalyvavimo, lėmusio žalos atsiradimą, paskui atsakyti į prašymą priimti prejudicinį sprendimą pateikusio teismo klausimus (
52
). Pastabas pateiksiu trimis etapais:
–
pirma, nagrinėsiu BDAR 82 straipsnyje numatytos atsakomybės priskyrimo pagrindą,
–
antra, analizuosiu poveikį, kurį galėjo turėti tai, kad duomenų valdytojo darbuotojas susipažino su asmens duomenimis (
53
). Specifinė ir esminė šio scenarijaus aplinkybė yra ta, kad darbuotojas su duomenimis susipažino duomenų subjekto prašymu,
–
trečia, pateiksiu savo nuomonę dėl to, kokią įtaką duomenų valdytojo kaltės sunkumo laipsnis gali turėti konkrečiam atlygintinos neturtinės žalos vertinimui.
1. BDAR 82 straipsnyje numatytas civilinės atsakomybės pagrindas
71.
Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad BDAR 82 straipsnio 1 dalyje civilinė atsakomybė (duomenis valdančio subjekto (
54
)) nepriklauso nuo tyčios arba neatsargumo buvimo ar įrodymo. Jis priduria, kad remiantis to paties straipsnio 3 dalimi negalima pagrįsti kitokio sprendimo.
72.
Pripažįstu, kad nėra aišku, koks civilinės atsakomybės modelis buvo patvirtintas BDAR, ir kad a priori galimi įvairūs aiškinimai (
55
). Vienas iš jų yra prašymą priimti prejudicinį sprendimą pateikusio teismo aiškinimas: manau, kad jis teisingas.
73.
Manau, kad BDAR 82 straipsnio 1 dalies aiškinimas, kad joje nustatyta civilinės atsakomybės sistema, nesusijusi su duomenų valdytojo kalte, atitinka šios dalies turinį, yra tiesiogiai pagrįstas parengiamaisiais darbais ir visų pirma padeda siekti teisės normos tikslo. Toks aiškinimas priimtinas atsižvelgiant į kitas nuostatos dalis ir į visą sistemą.
a) Teisės normos tekstu pagrįstas argumentas
74.
Prašymą priimti prejudicinį sprendimą pateikusio teismo pozicija atitinka BDAR 82 straipsnio 1 dalies turinį. Aiškinant pažodžiui, teisė gauti kompensaciją iš duomenų valdytojo siejama tik su žala, patirta dėl paties BDAR pažeidimo.
75.
Atsižvelgiant į kitas 82 straipsnio dalis negalima pateikti kitokio atsakymo (
56
). Visų pirma remdamasis 82 straipsnio 3 dalyje vartojamu žodžiu „imputable“ („atsakingas“) negalėčiau daryti išvados, kad turi būti kaltė. Ši sąvoka vartojama tik kai kuriose BDAR kalbinėse versijose; kitose versijose, priešingai, vartojama sąvoka „responsable“ („atsakingas“). Versijoje vokiečių kalba nei 82 straipsnyje, nei konstatuojamojoje dalyje nevartojamas techninis terminas „atsakomybės priskyrimas dėl kaltės“ („Verschulden“) (
57
).
76.
Palyginus įvairias BDAR nuostatas matyti, kad vartojamos sąvokos ne visada yra vienareikšmės, todėl reikia atsargiai daryti išvadas remiantis jų tekstu. Pavyzdžiui, versijoje anglų kalba žodis „responsible“ vartojamas keliomis reikšmėmis (
58
).
77.
Tai, kad BDAR 82 straipsnyje nenurodyti duomenų valdytojo ketinimai ar kaltė, yra priešprieša 83 straipsnyje pateiktoms nuorodoms į administracines baudas: „[s]prendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju“ deramai atsižvelgiama į tai, ar BDAR pažeidimas padarytas tyčia, ar dėl neatsargumo (
59
).
78.
Nors dėl formuluočių skirtumų sumažėja pažodinio aiškinimo kriterijaus reikšmė, šie skirtumai bent patvirtina tai, kad BDAR 82 straipsnyje nenumatyta nei tyčia, nei kaltė ir kad tai padaryta sąmoningai, o ne dėl teisės aktų leidėjo neapsižiūrėjimo.
b) Parengiamieji darbai
79.
Diskusijas dėl atsakomybės priskyrimo pagrindo, galiausiai įtvirtinto BDAR, užgožia aplinkybės, kuriomis jos vyko Taryboje nagrinėjant atvejį, kai duomenų valdytojai yra keli.
80.
Per šias diskusijas buvo pateikiami procesinės teisės argumentai nesilaikant koncepcinio mechanizmo, leidžiančio atskirti, pirma, kaltės, kaip atsakomybės priskyrimo pagrindo, vaidmenį ir, antra, kaltės nebuvimo siekiant atleisti nuo tos pačios atsakomybės, atsižvelgiant į priežastinį ryšį, vaidmenį.
81.
Vis dėlto manau, kad remiantis parengiamaisiais darbais BDAR 82 straipsnio 1 dalį pagrįstai galima aiškinti taip, kad civilinė atsakomybė nepriklauso nuo duomenų valdytojo kaltės.
82.
Komisijos pasiūlyme buvo laikomasi Direktyvos 95/46 ir neminimas neatsargumas. Tarybos dokumentuose nurodyta, kad numatyta atsakomybė yra „atsakomybė be kaltės“ („strict liability“) (
60
).
83.
Parlamento Piliečių laisvių, teisingumo ir vidaus reikalų komitete pasiūlytu pakeitimu buvo siekiama, kad 82 straipsnio (tuomet 77 straipsnio) 1 dalis būtų papildyta nuostata, pagal kurią atsakomybė siejama su tyčia arba neatsargumu (
61
). Pakeitimui nebuvo pritarta (
62
).
84.
Taryboje diskusijos dėl 77 straipsnio ir atsakomybės priskyrimo kriterijaus buvo susijusios su atsakomybės priskyrimu ir paskirstymu tuo atveju, kai toje pačioje duomenų tvarkymo operacijoje dalyvauja keli asmenys. Šiomis aplinkybėmis Tarybai pirmininkaujanti valstybė narė pasiūlė pasirinkti vieną iš dviejų variantų (
63
):
–
pagal pirmąjį iš jų (
64
) kiekvienas duomenų valdytojas ar duomenų tvarkytojas laikomas teisiškai atsakingu už visą žalą, padarytą duomenų subjektui (
65
), jeigu pažeidė BDAR jiems nustatytas pareigas (
66
). Dėl žalą sukėlusio duomenų valdytojo ar tvarkytojo dalyvavimo, net jeigu jis nereikšmingas, duomenų subjektas gali reikalauti visos kompensacijos sumos, o jeigu dalyvavo keli subjektai, tokį reikalavimą gali pateikti kiekvienam iš jų (
67
). Vis dėlto duomenų valdytojas ar tvarkytojas atleidžiamas nuo atsakomybės, jeigu įrodo, kad apskritai nėra atsakingas („responsible“) už žalą („0 % responsibility“); tai numatyta straipsnio 3 dalyje. Šis modelis apibūdinamas kaip „closer (but certainly not equal to) to the „liability follows fault principle“ (
68
),
–
pagal antrąjį variantą duomenų valdytojas turi neišvengiamą pareigą atlyginti duomenų subjektui visą žalą, t. y. jam tenka visa atsakomybė, nes jokios išimties nebuvo numatyta (
69
). Duomenų subjekto reikalavimas duomenų tvarkytojui gali būti pateiktas tik subsidiariai (
70
). Duomenų tvarkytojui taip pat nebuvo numatyta jokių išimčių.
85.
Tarybai pirmininkaujančios valstybės narės pateiktame kompromisiniame tekste, kurį siūlyta patvirtinti kaip bendrąsias gaires (
71
), laikomasi pirmojo varianto, nors pagal 77 straipsnio 3 dalies redakciją atleidimo nuo atsakomybės išimtys sugriežtintos ir apsunkintas jų įrodinėjimas: „<…>if it [duomenų valdytojai / duomenų tvarkytojai] proves that it is not in any way responsible <…>“ (
72
). Ši redakcija sutampa su galiausiai priimtu straipsniu.
86.
Taigi išanalizavus teisėkūros procedūrą, per kurią buvo parengtas galutinis BDAR tekstas, matyti, kad BDAR 82 straipsnio 1 dalyje nurodyta atsakomybė nėra susijusi su duomenų valdytojo kalte.
c) Tikslas
87.
BDAR yra nustatyta sistema, sukurta siekiant užtikrinti aukšto lygio fizinių asmenų apsaugą ir kartu pašalinti asmens duomenų judėjimo kliūtis (
73
). Pagal šią sistemą 82 straipsniu siekiama kompensuoti žalą, nepažeidžiant jo papildomo tikslo atgrasyti nuo veiksmų, neatitinkančių šio straipsnio nuostatų, arba užkirsti kelią tokiems veiksmams (
74
).
88.
Kompensacijos užtikrinimas yra tikslas pats savaime: tokią išvadą galima daryti atsižvelgiant į svarbą, kurią tokiam užtikrinimui teikia teisės aktų leidėjas ir kuri matyti tiesiog perskaičius tekstą. Pagal BDAR gauti kompensaciją, kai padaryta žala, yra duomenų subjekto teisė; žalos sąvoka aiškintina plačiai, o kompensacija turi būti visa ir veiksminga.
89.
Kompensacija yra susijusi su tikslu didinti piliečių pasitikėjimą skaitmenine aplinka, t. y. bendro pobūdžio tikslu, kuris nurodytas BDAR 7 konstatuojamojoje dalyje. Kai duomenų subjektui suteikiama garantija, kad iš esmės pačiam nereikės padengti žalos, atsiradusios dėl neteisėto jo duomenų tvarkymo, tai skatina tokį pasitikėjimą: jo turtas yra saugus ir procesiniu požiūriu yra paprasčiau pateikti reikalavimą.
90.
Tai, kad BDAR 82 straipsnio 1 dalyje pareiga atlyginti žalą nesiejama su rūpestingumo pareigos pažeidimu, atitinka šį požiūrį. Teisės aktų leidėjo sprendimu pareiga atlyginti žalą tenka subjektui, kuris palaikant santykius užima tam tikrą sergėtojo ar garanto poziciją, atsižvelgiant būtent vien į šią aplinkybę.
91.
Taigi galima teigti, kad pagal BDAR svarbiausia yra nukentėjusiojo, patyrusio žalos dėl pažeidimo, situacija, nes jokioje taisyklėje nereikalaujama, kad jis prisiimtų žalos pasekmes.
92.
Nukentėjusiajam nėra jokio skirtumo, ar žalą sukėlęs asmuo kaltas, ar ne: lemiamą reikšmę turi tai, kad duomenų valdytojas sukėlė jam turtinę ar neturtinę žalą, atsiradusią dėl šio valdytojo padaryto BDAR pažeidimo.
93.
Aprašyti tikslai lengviau pasiekiami taikant modelį, pagal kurį įrodyta žala:
–
bet kuriuo atveju yra atlyginama (nebent išimties tvarka taikomas atleidimo nuo atsakomybės pagrindas) ir
–
gali būti atlyginta (palyginti) lengvai gaunant kompensaciją ne tik dėl to, kad duomenų valdytojo kaltės nereikia įrodinėti, bet ir dėl to, kad, esant pažeidimui ir su juo susijusiai žalai, atsakomybės priskyrimas nepriklauso nuo kaltės laipsnio.
94.
Manau, kad prisitaikant prie skaitmeninės revoliucijos (
75
) toks sprendimas yra nuoseklus. Atsižvelgiant į sparčią technologijų raidą turi būti užtikrinta, kad aplinkybė, jog elektroninėmis priemonėmis vykdant paprasčiausią duomenų tvarkymo veiklą nebuvo tyčios ar neatsargumo, netrukdytų atlyginti žalą, kuri kitu atveju liktų neatlyginta.
d) Sistema
95.
Mano siūlomas aiškinimas labiausiai atitinka BDAR sistemą. Tai patvirtina jo 82 straipsnio 3 dalis: atleidimas nuo atsakomybės galimas, jeigu „[duomenų valdytojas] įrodo, kad jokiu būdu nėra atsakingas už įvykį, dėl kurio patirta žala“.
96.
Šioje nuostatoje atkreiptinas dėmesys į žodžių junginį „jokiu būdu“, iš kurio galima spręsti, kad taikomas modelis nesusijęs su kalte (ir net su labai nedidele kalte) ir įrodinėjimo naštos perkėlimu.
97.
Pripažinus, kad kompensacija nepriklauso nuo duomenų valdytojo kaltės, 82 straipsnis įgyja savo prasmę VIII skyriaus ir galiausiai viso BDAR kontekste.
98.
Sąjungos teisės aktų leidėjas pripažįsta, kad dėl asmens duomenų tvarkymo gali kilti pavojus. Jis reikalauja, kad duomenų valdytojai įvertintų šį pavojų, taip pat priimtų ir atnaujintų tinkamas priemones, kuriomis būtų siekiama užkirsti kelią nustatytam pavojui ir jį sumažinti (
76
).
99.
Buvo nurodyta, kad taikant kalte grindžiamą civilinės atsakomybės modelį skatinamas rūpestingumas, taigi, ir apsauga nuo pavojaus, o taikant alternatyvų modelį, pagal kurį neatsižvelgiama į duomenų valdytojo elgesį, jis neskatinamas elgtis atsargiai (nes, jeigu bus padaryta žalos, jis bet kuriuo atveju turės ją atlyginti).
100.
Manau, kad atsižvelgiant į BDAR šiai išvadai (
77
) galima pritarti. 82 straipsnis yra dalis sudėtingos reguliavimo struktūros, kurią sudaro viešosios ir privatinės teisės priemonės, skirtos asmens duomenims apsaugoti. Pagal šią struktūrą, siekiant taikyti administracines sankcijas, svarbus yra neatsargumas (ir tyčia). Manau, kad taikant civilinę atsakomybę neatsargumas ir tyčia neturi būti svarbūs (
78
), nes tai pakenktų 82 straipsnio tikslams, be to, sumažintų jame numatytos teisių gynimo priemonės praktinį patrauklumą.
2. Duomenų subjekto dalyvavimo poveikis
101.
Nagrinėjamoje byloje klausimai, ar turi būti duomenų valdytojo kaltė, yra susiję su pasekmėmis, kurių gali kilti dėl duomenų subjekto dalyvavimo (
79
).
102.
Siekiant geriau suprasti toliau pateiktas pastabas reikia patikslinti, kad ginčo aplinkybės buvo vertinamos taikant du scenarijus:
–
pagal pirmąjį scenarijų, MDK tvarkant ZQ asmens duomenis, buvo pažeistas BDAR (jo 9 arba 6 straipsnis). Dėl pažeidimo savaime atsiranda žala (
80
),
–
pagal antrąjį scenarijų, tvarkant duomenis taip, kaip aprašyta, BDAR nepažeistas ir žalos nėra. Žala būtų padaryta, jeigu duomenų subjekto iniciatyva su duomenimis būtų susipažinęs konkretus MDK darbuotojas (
81
).
103.
Bet kuriuo atveju manau, kad (kaip, regis, teigia prašymą priimti prejudicinį sprendimą pateikęs teismas (
82
)), siekiant nustatyti duomenų subjekto veiksmų, susijusių su žalą sukėlusio pažeidimo padarymu, poveikį (jeigu toks yra), reikia remtis 82 straipsnio 3 dalimi.
104.
Nuostatoje konkretūs atleidimo nuo atsakomybės pagrindai nėra nurodyti net kaip pavyzdys. Jie taip pat nenumatyti 146 konstatuojamojoje dalyje (
83
).
105.
Atrodo, kad šiuo klausimu BDAR nukrypstama nuo Direktyvos 95/46, kurios 23 straipsnio 2 dalyje buvo nustatyta taisyklė, panaši (
84
) į įtvirtintąją dabartinėje BDAR 82 straipsnio 3 dalyje: Direktyvos 95/46 55 konstatuojamojoje dalyje kaip atleidimo nuo atsakomybės pagrindų pavyzdžiai buvo pateikti duomenų subjekto atsakomybė arba force majeure (
85
), o BDAR tai nenurodyta.
106.
Jeigu neklystu, BDAR parengiamuosiuose darbuose nėra jokios informacijos, kad šie du pavyzdžiai, kurie pateikti Komisijos (
86
) pasiūlyme ir išlaikyti Parlamento (
87
), buvo aptarti.
107.
Šie pavyzdžiai išbraukti ir žodžių junginys „jokiu būdu“ įrašytas surengus jau minėtas diskusijas dėl to, kaip reglamentuoti atsakomybę, kai duomenis tvarko keli duomenų valdytojai ar tvarkytojai (
88
).
108.
Iš turimų dokumentų (
89
) matyti, kad pagal galutinę redakciją duomenų valdytojui taikoma išimtis, jeigu jis įrodo, kad visiškai nėra atsakingas („responsible“) už žalą („0 % responsibility“). Ta pati nuostata taikoma duomenų tvarkytojui (
90
).
109.
Tuo remdamasis manau, kad dviejų pavyzdžių išbraukimo konstatuojamojoje dalyje ir kartu tos pačios konstatuojamosios dalies ir BDAR 82 straipsnio 3 dalies papildymo žodžiais „jokiu būdu“ pasekmė (ir tikslas) nėra duomenų subjekto veiklos išbraukimas iš atleidimo nuo atsakomybės pagrindų sąrašo (
91
).
110.
Veikiau atrodo, kad, nelygu atvejis, dėl duomenų subjekto veiklos vis dar gali nutrūkti būtinas ryšys tarp „įvykio“ (ši sąvoka vartojama BDAR 82 straipsnio 3 dalyje) ir duomenų valdytojo atsakomybės. Tai, kad pabrėžiamas ribojamasis išvengimo sąlygos pobūdis, nereiškia, kad dėl tam tikrų duomenų subjekto veiksmų savaime negali atsirasti žala, taigi duomenų valdytojas negali būti atleistas nuo atsakomybės.
111.
Remiantis sisteminiu aiškinimu galima patvirtinti, kad nustatant atsakomybę už žalą reikia atsižvelgti į duomenų subjekto dalyvavimą atsirandant šiai žalai. Pagal BDAR sistemą asmenys dalyvauja užtikrinant jų duomenų apsaugą ir šiuo tikslu suteikia priemones, kurios savaime reiškia teises.
112.
Atsižvelgdamas į teleologinį aiškinimą manau, kad BDAR siekiama užtikrinti aukšto lygio apsaugą, tačiau ne tiek, kad duomenų valdytojas taip pat būtų įpareigotas atlyginti žalą, atsiradusią dėl įvykių ar veiksmų, už kuriuos atsakingas duomenų subjektas (
92
).
3. Kompensacijos apskaičiavimas. Už žalą atsakingo subjekto kaltės laipsnio poveikis
113.
Prašymą priimti prejudicinį sprendimą pateikęs teismas patvirtino, kad penktuoju prejudiciniu klausimu taip pat siekiama išsiaiškinti, ar duomenų valdytojo kaltės laipsnis turi įtakos apskaičiuojant kompensaciją. Konkrečiai kalbant, klausiama, ar galima duomenų valdytojo naudai atsižvelgti į kaltės nebuvimą arba nesunkią kaltę.
114.
BDAR 82 straipsnyje tikrai nedaug dėmesio skirta arba visiškai jo neskirta pagrindiniams kompensacijos aspektams, kurie turi įtakos apskaičiuojant jos dydį. Jame aiškintojui nepateikta gairių dėl kompensacijos elementų (
93
), šių elementų vertinimo (dydžio apskaičiavimo) kriterijų (
94
) ar veiksnių, galinčių turėti įtakos kompensacijos dydžiui (
95
).
115.
Vis dėlto manau, kad BDAR duomenų subjektui yra suteikiama teisė į kompensaciją, kurios dydis nustatomas pagal faktiškai patirtą žalą. Nustačius sumą, kuria objektyviai kompensuojama tokia žala, ji neturėtų būti keičiama atsižvelgiant į didesnį ar mažesnį duomenų valdytojo neatsargumą.
116.
Grįsdamas savo poziciją mutatis mutandis remiuosi pastabomis, kurias pateikiau dėl atsakomybės priskyrimo duomenų valdytojui neatsižvelgiant į jo kaltę, pagal BDAR 82 straipsnyje numatytą sistemą. Vertinant iš nukentėjusiojo, kurio turtas (materialusis ir nematerialusis) atsiradus žalai turi likti nepažeistas, perspektyvos, žala atlygintina nesiejant kompensacijos su duomenų valdytojo kalte, nesvarbu, koks yra jos sunkumo laipsnis (
96
).
117.
Manau, kad tokią pačią išvadą galima padaryti atsižvelgiant į tai, kad BDAR 82 straipsnis (remiantis jo parengiamaisiais darbais nėra pagrindo patvirtinti vienokią ar kitokią poziciją) (
97
) skiriasi nuo kitų Sąjungos teisės normų, kuriose aiškiai išskiriama, ar dalyvavimas darant pažeidimą buvo „sąmoningas“, nustatant kompensacijos pagal civilinę atsakomybę dydį (
98
).
118.
Mano nuomone, šį vertinimą patvirtina dar du argumentai:
–
pagal BDAR 83 straipsnį siekiant nustatyti baudos dydį atsižvelgiama į pažeidėjo neatsargumą (ir tyčią) (
99
). Teisės aktų leidėjas tokį patį kriterijų galėjo patvirtinti civilinei atsakomybei įvertinti, tačiau to nepadarė,
–
BDAR reikalaujama, kad kompensacija būtų visa ir veiksminga (
100
) (146 konstatuojamoji dalis ir 82 straipsnio 4 dalis, kuriose reglamentuojamas atvejis, kai keli duomenų valdytojai ar duomenų tvarkytojai dalyvauja toje pačioje duomenų tvarkymo operacijoje) (
101
). Manau, kad būdvardis „visa“ reiškia, jog kompensacijos suma negali būti mažinama remiantis tuo, kad duomenų valdytojo neatsargumo laipsnis yra mažesnis (
102
).
V. Išvada
119.
Atsižvelgdamas į tai, kas išdėstyta, siūlau pateikti Bundesarbeitsgericht (Federalinis darbo teismas, Vokietija) tokį atsakymą:
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 9 straipsnio 2 dalies h punktas ir 3 dalis, taip pat 82 straipsnio 1 ir 3 dalys
turi būti aiškinami taip:
pagal juos ligonių kasos medicinos tarnybai nedraudžiama tvarkyti savo darbuotojo sveikatos duomenų, kuriais remiantis yra vertinamas šio darbuotojo darbingumas.
Pagal juos draudimo tvarkyti su sveikata susijusius asmens duomenis išimtį galima taikyti, jeigu toks duomenų tvarkymas yra būtinas siekiant įvertinti darbuotojo darbingumą, juo paisoma 5 straipsnyje nustatytų principų ir jis atitinka kurią nors iš Reglamento 2016/679 6 straipsnyje numatytų teisėtumo sąlygų.
Duomenų valdytojo ar duomenų tvarkytojo kaltės laipsnis nėra svarbus nei nustatant vieno ar kito atsakomybę, nei apskaičiuojant pagal Reglamento 2016/679 82 straipsnio 1 dalį atlygintinos neturtinės žalos dydį.
Kai duomenų subjektas dalyvauja įvykyje, dėl kurio atsiranda pareiga atlyginti žalą, atsižvelgiant į konkretų atvejį tai gali lemti duomenų valdytojo arba duomenų tvarkytojo atleidimą nuo atsakomybės, numatytą Reglamento 2016/679 82 straipsnio 3 dalyje.
(
1
)	Originalo kalba: ispanų.
(
2
)	2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR).
(
3
)	Taip pat dėl 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EEB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 3; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 8 straipsnio, kuris yra tiesioginis BDAR 9 straipsnio pirmtakas.
(
4
)	Ketvirtasis klausimas iš esmės identiškas pirmajam klausimui byloje Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu), C‑300/21, dėl kurios išvadą pateikiau 2022 m. spalio 6 d. (EU:C:2022:756) (toliau – išvada byloje C‑300/21), o Teisingumo Teismas 2023 m. gegužės 4 d. priėmė sprendimą (EU:C:2023:370).
(
5
)	Socialinio kodekso penktoji knyga.
(
6
)	Medizinischer Dienst der Krankenversicherung (toliau – MDK).
(
7
)	Krankenversicherung (toliau – KV).
(
8
)	„Memorandumas dėl [MDK] darbuotojų ir jų šeimos narių socialinių duomenų apsaugos“, apibendrintas sprendimo dėl prašymo priimti prejudicinį sprendimą 6 ir paskesniuose punktuose.
(
9
)	Vidinėje MDK automatinio duomenų tvarkymo sistemoje buvo sukurtas virtualus struktūrinis vienetas, pavadintas „Specialūs atvejai“; prieigą prie jo turi tik šio vieneto darbuotojai.
(
10
)	Pasibaigus (įstatyme nustatytam) laikotarpiui, kuriuo darbo užmokestį mokėjo MDK.
(
11
)	ZQ mano, kad jeigu nebūtų buvę asmens duomenų apsaugos pažeidimų, jis nuo 2018 m. gruodžio mėn. būtų galėjęs grįžti į darbą.
(
12
)	Atitinkamai ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18 ir LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
(
13
)	Dėl jo turinio remiuosi 2023 m. gegužės 4 d. Sprendimu Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu) (C‑300/21, EU:C:2023:370).
(
14
)	Toliau išdėstyti argumentai neturi įtakos atsakymui į trečiąjį prejudicinį klausimą.
(
15
)	Laikausi nuomonės, kad geriau taikyti šią nuostatą, o ne BDAR 9 straipsnio 2 dalies b punktą. Neatrodo, kad (vertinant ir iš MDK, kaip darbdavio, ir iš ZQ, kaip darbuotojo, perspektyvos) duomenis reikėjo tvarkyti siekiant vykdyti pareigas ar naudotis teisėmis, susijusiomis su darbo santykiais.
(
16
)	Darbdavio vykdomas neskelbtinų duomenų tvarkymas (t. y. tvarkymas su darbo santykiais susijusiais tikslais) būtų teisėtas tik tuo atveju, jeigu atitiktų BDAR nustatytas sąlygas, taikomas duomenis tvarkant kitu tikslu nei tas, dėl kurio jie buvo surinkti.
(
17
)	Sprendimo dėl prašymo priimti prejudicinį sprendimą 22 punktas. Vis dėlto BDAR reikalaujama, kad būtų įvykdytos kitos 9 straipsnio 3 dalyje numatytos sąlygos: dėl jų apimties žr. 40 ir paskesnius punktus.
(
18
)	BDAR 9 straipsnio pirmtakas yra Direktyvos 95/46 8 straipsnis. Komisijos pasiūlyme (2012 m. sausio 25 d. Pasiūlymas dėl Europos Parlamento ir Tarybos reglamento dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas), COM(2012) 11 final; toliau – Komisijos pasiūlymas) su sveikata susijusių asmens duomenų tvarkymas buvo reglamentuotas 81 straipsnyje, kuriame pateiktas pagrindimas ir nurodyta, kad tokie duomenys turi būti tvarkomi pagal Sąjungos arba valstybių narių teisę. Valstybės narės turi numatyti būtinas apsaugos priemones, kad būtų apsaugotos teisėtos duomenų subjekto teisės. 81 straipsnio turinys buvo įtrauktas į 9 straipsnio 2 dalies h punktą ir 4 dalį, kaip matyti iš 2014 m. spalio 16 d. Tarybai pirmininkaujančios valstybės narės dokumento Nr. 14270/14, skirto Duomenų apsaugos darbo grupei.
(
19
)	2019 m. rugsėjo 24 d. Sprendimo GC ir kt. (Nuorodų į jautrius duomenis pašalinimas) (C‑136/17, EU:C:2019:773) 44 punkte numatyta: „<…> specifini[ų] reikalavim[ų], kuri[e] <…> numat[yti] specialių kategorijų duomenims tvarkyti, <…> tiksla[s] – užtikrinti, kad būtų labiau apsaugotas toks tvarkymas, kuris dėl ypatingo šių duomenų jautrumo gali, kaip taip pat matyti iš šios [Direktyvos 95/46] 33 konstatuojamosios dalies ir iš šio reglamento 51 konstatuojamosios dalies, labai stipriai suvaržyti Chartijos 7 ir 8 straipsniuose garantuojamas pagrindines teises į privataus gyvenimo gerbimą ir asmens duomenų apsaugą“.
(
20
)	Pagrindinė teisė į asmens duomenų apsaugą nėra automatiškai viršesnė už bet kokią kitą teisę, net jeigu tvarkomi BDAR 9 straipsnio 1 dalyje nurodytų specialių kategorijų duomenys: 2019 m. rugsėjo 24 d. Sprendimo GC ir kt. (Nuorodų į jautrius duomenis pašalinimas) (C‑136/17, EU:C:2019:773) 66–68 punktai.
(
21
)	BDAR 9 straipsnio 3 dalis.
(
22
)	Pagal BDAR 88 straipsnį valstybės narės turi teisę priimti „konkretesnes taisykles, kuriomis siekiama užtikrinti teisių ir laisvių apsaugą tvarkant darbuotojų asmens duomenis su darbo santykiais susijusiame kontekste“. Dėl šio straipsnio aiškinimo remiuosi 2023 m. kovo 30 d. Sprendimu Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).
(
23
)	Atrodo, kad tokios nuomonės laikosi ir prašymą priimti prejudicinį sprendimą pateikęs teismas. Savo ruožtu remiuosi šios išvados 15 išnaša.
(
24
)	Pritariu Komisijai, kad „[BDAR 9 straipsnio] 2 dalyje nenumatyta konkreti hierarchija ar galimas išimčių, kurios egzistuoja kaip lygiavertės išimtys, priklausomybės santykis“ (Komisijos rašytinių pastabų 13 punktas).
(
25
)	Nėra reikalavimo, kaip buvo pagal Direktyvą 95/46, kad duomenis tvarkytų „sveikatos apsaugos darbuotojas, kuriam <…> galioja profesinės paslapties saugojimo pareiga, arba kitas asmuo, kuriam irgi galioja lygiavertė paslapties saugojimo prievolė“ (kursyvu išskirta mano). Vis dėlto reikalaujama, kad duomenis tvarkytų asmenys, kuriems taikoma pareiga saugoti paslaptį.
(
26
)	BDAR 51 konstatuojamojoje dalyje dėl duomenų, kurie yra „ypač neskelbtini pagrindinių teisių ir laisvių atžvilgiu“, nustatyta, kad „[k]artu su konkrečiais tokio duomenų tvarkymo reikalavimais turėtų būti taikomi šiame reglamente numatyti bendrieji principai ir kitos taisyklės, visų pirma susijusios su teisėto duomenų tvarkymo sąlygomis“.
(
27
)	2019 m. sausio 16 d. Sprendimo Deutsche Post (C‑496/17, EU:C:2019:26) 57 punktas ir jame nurodyta jurisprudencija. Dėl neskelbtinų duomenų žr. 2019 m. rugsėjo 24 d. Sprendimo GC ir kt. (Nuorodų į jautrius duomenis pašalinimas) (C‑136/17, EU:C:2019:773) 64 punktą ir 2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai) (C‑439/19, EU:C:2021:504) 96, 99, 100 ir 102 punktus.
(
28
)	Sprendimo dėl prašymo priimti prejudicinį sprendimą 25–27 punktai. Teismas nurodo, kad yra įsteigti du nepriklausomi struktūriniai vienetai, pavadinti „Specialūs atvejai“, ir atskiri IT skyriai, kurie imasi veiksmų tuo atveju, kai reikalingos išvados dėl IT skyrių darbuotojų (kaip antai ZQ). Galutinis tikslas yra užtikrinti, kad nė vienas MDK darbuotojas neturėtų faktinės prieigos prie bendradarbio sveikatos duomenų ir nesužinotų, jog buvo tikrinamas bendradarbio darbingumas.
(
29
)	8 straipsnio 3 dalis. Kaip nurodžiau, BDAR buvo išplėstas asmenų, turinčių teisę tvarkyti duomenis, ratas.
(
30
)	4 dalis į BDAR 9 straipsnį buvo įtraukta pasiūlius Vokietijai: 2015 m. kovo 9 d. Tarybai pirmininkaujančios valstybės narės dokumentas Nr. 6834/15.
(
31
)	Prašymą priimti prejudicinį sprendimą pateikęs teismas MDK laiko duomenų valdytoju (sprendimo dėl prašymo priimti prejudicinį sprendimą 16 punktas). Taigi toliau duomenų tvarkytojo neminėsiu, nebent tam tikru momentu tai būtų tikslinga. Iš esmės pastabos dėl duomenų valdytojo gali būti taikomos ir duomenų tvarkytojui.
(
32
)	Prašymą priimti prejudicinį sprendimą pateikęs teismas visų pirma baiminasi, kad, jeigu būtų pažeistas saugumas, ZQ kolegos galėtų sužinoti apie jo sveikatos būklę ir dėl to galbūt kiltų spekuliacijų dėl jo produktyvumo. Jis priduria, kad informacija vien apie medicininės išvados dėl nedarbingumo buvimą yra neskelbtina informacija, nes iš jos galima spręsti apie galimybę simuliuoti tokį nedarbingumą (sprendimo dėl prašymo priimti prejudicinį sprendimą 26 punktas).
(
33
)	Žr. šios išvados 10 punktą.
(
34
)	Sprendimo dėl prašymo priimti prejudicinį sprendimą 27 punktas.
(
35
)	Žr. šios išvados 27 išnašą. Dėl BDAR 6 ir 9 straipsnių santykio taip pat žr. bylą Meta Platforms ir kt. (Bendrosios naudojimosi socialiniu tinklu sąlygos), C‑252/21. Generalinio advokato A. Rantos išvada pateikta 2022 m. rugsėjo 20 d. (C‑252/21, EU:C:2022:704).
(
36
)	2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai) (EU:C:2021:504) 96, 99, 100 ir 102 punktai.
(
37
)	BDAR 10 straipsnio turinį buvo galima rasti Direktyvos 95/46 8 straipsnyje. Tame direktyvos straipsnyje buvo suskirstyti visų specialių kategorijų duomenys, be to, išskirtas duomenų apie nusikalstamas veikas, apkaltinamuosius nuosprendžius ar saugumo priemones tvarkymas, kuris reglamentuotas 5 dalyje. BDAR duomenys oficialiai atskirti ne dėl to, kad pasikeitė įsitikinimas, jog asmens duomenys apie apkaltinamuosius nuosprendžius ar nusikalstamas veikas yra „neskelbtini“.
(
38
)	2015 m. kovo 4 d. Tarybos dokumento Nr. 17072/4/14 Rev. 4, skirto Nuolatinių atstovų komitetui, 60 išnaša.
(
39
)	Susijusį su duomenų tvarkymo teisėtumu, kaip ir galutinėje redakcijoje.
(
40
)	2015 m. kovo 4 d. Tarybos dokumento Nr. 17072/4/14 Rev. 4, skirto Nuolatinių atstovų komitetui, 9 straipsnio 2 dalis („Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with <…>“) ir 60 išnaša.
(
41
)	Remiantis 2015 m. kovo 9 d. Tarybai pirmininkaujančios valstybės narės dokumentu Nr. 6834/15, skirtu Tarybai.
(
42
)	Tai tikrai neišsklaidė visų delegacijų abejonių. Žr., pavyzdžiui, 2015 m. kovo 26 d. Tarybai pirmininkaujančios valstybės narės dokumento Nr. 7466/15, skirto delegacijoms, 38 išnašą.
(
43
)	2020 m. balandžio mėn. Gairių Nr. 03/2020 dėl sveikatos duomenų tvarkymo mokslo tyrimų tikslais atsižvelgiant į COVID-19 pandemijos protrūkį 15 punktas.
(
44
)	„Advice paper on special categories of data“, Ares(2011)444105, 20110420, p. 5.
(
45
)	Tokią nuomonę viešai išreiškė ir Komisija: Komisijos ekspertų grupės dėl Reglamento (ES) 2016/679 ir Direktyvos (ES) 2016/680 antrojo posėdžio, įvykusio 2016 m. spalio 10 d., protokolas, p. 2, ir Komisijos ekspertų grupės dėl Reglamento (ES) 2016/679 ir Direktyvos (ES) 2016/680 posėdžio, įvykusio 2018 m. vasario 20 d., protokolas, p. 2.
(
46
)	Kumuliatyviam taikymui arba papildomumui pritaria, pavyzdžiui, T. Petri (T. Petri „Art. 9“, Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, 26 punktas); vis dėlto jis pripažįsta, kad pritarimas nėra vienbalsis. Jam nepritarti siūloma 2018 m. Europos Sąjungos pagrindinių teisių agentūros Europos duomenų apsaugos teisės vadovo 4.1.1 skirsnyje.
(
47
)	Atitinkamai aiškus duomenų subjekto sutikimas; duomenų tvarkymas, būtinas siekiant apsaugoti gyvybinius fizinio asmens ar subjekto, neturinčio teisinės galios duoti sutikimą, interesus; duomenų tvarkymas, būtinas dėl viešojo intereso priežasčių.
(
48
)	Sprendimo dėl prašymo priimti prejudicinį sprendimą 30 ir 31 punktai.
(
49
)	Pavyzdžiui, ar duomenų subjekto sutikimas, kaip teisinis pagrindas, pagal kurį suteikiama 9 straipsnio 2 dalies h punkte numatyta teisė, turi būti aiškus sutikimas, kurio reikalaujama pačiame straipsnyje, ar pakanka 6 straipsnio 1 dalies a punkte nurodyto sutikimo.
(
50
)	Kitas (siauresnis) klausimas – ar, atsižvelgiant į prašymą priimti prejudicinį sprendimą pateikusio teismo argumentus dėl 6 straipsnio 1 dalies, tikslinga paaiškinti šioje dalyje, visų pirma jos c ir e punktuose, nustatytų sąlygų reikšmę. Šiuo klausimu remiuosi Teisingumo Teismo jurisprudencija: dėl Direktyvos 95/46 nuostatų – 2008 m. gruodžio 16 d. Sprendimo Huber (C‑524/06, EU:C:2008:724) 62 punktu ir 2013 m. gegužės 30 d. Sprendimo Worten (C‑342/12, EU:C:2013:355) 37 punktu; dėl BDAR – 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601) 66 ir paskesniais punktais.
(
51
)	Prašymą priimti prejudicinį sprendimą pateikęs teismas linkęs manyti, kad tvarkydama duomenis MDK pažeidė BDAR 9 ir 6 straipsnius. Sprendimo dėl prašymo priimti prejudicinį sprendimą 32 punkte nurodyta, kad pažeidimas savaime suteikia teisę į žalos kompensaciją, o 33 punkte pabrėžta, kad pažeidimas automatiškai reiškia, jog padaryta žalos („dėl BDAR pažeidimo jau atsiranda neturtinė žala, suteikianti teisę į žalos kompensaciją“). Dėl priežasčių, kurias nurodžiau savo išvadoje byloje C‑300/21, nesutinku su šia nuomone.
(
52
)	MDK pastabų 78–80 punktai. MDK teigia, kad pats duomenų subjektas padarė sau žalos, nes neprašė dokumentų ir nepasinaudojo teise gauti prieigą prie jų pagal BDAR 15 straipsnį, bet naudojosi savo padalinio kolegos paslaugomis, padėjusiomis susipažinti su nagrinėjamais duomenimis. Šiuo klausimu žr. apeliacinio teismo sprendimo (LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19) 4.3.4.3 punktą.
(
53
)	Darbuotojas, paskirtas dirbti tame pačiame skyriuje kaip duomenų subjektas, su duomenimis susipažino kitomis aplinkybėmis nei tos, kuriomis leidžiama tai daryti, t. y. kitais tikslais nei jo sutartyje numatytas darbas.
(
54
)	Toliau vartosiu terminą „duomenų valdytojas“.
(
55
)	Neatsižvelgiant į teigiančiuosius, kad šis klausimas nereglamentuojamas, nuomonės išsiskiria: vienaip mano atsakomybės be kaltės sistemos šalininkai, kitaip – palaikantieji kalte grindžiamą atsakomybę, kurios atveju perkeliama įrodinėjimo pareiga. Iš tikrųjų manau, kad, kaip ir kitų sektorinių (civilinės) atsakomybės sistemų atveju, BDAR visiškai neatitinka nė vieno iš dviejų pagrindinių teorinių modelių, kurių ribos taip pat nėra labai tikslios. Atsižvelgiant į BDAR turinį, šis reglamentas gali būti taikomas pagal abu modelius, kurie dėl tam tikrų niuansų galiausiai sutampa: pagal pirmąjį modelį taikomas aukštas rūpestingumo standartas, kuris turėtų būti įrodytas siekiant išvengti atsakomybės priskyrimo; pagal antrąjį modelį vertinamas rūpestingumas ir (arba) neatsargumas, taikant atleidimo nuo atsakomybės pagrindus arba nustatant pažeidimą pagal nagrinėjamos taisyklės pobūdį.
(
56
)	2 dalyje, kurią galima suprasti kaip atvirkštinę nuostatą, palyginti su 1 dalimi, nes joje numatyta žalą privalančių atlyginti subjektų atsakomybė, taip pat visiškai neminima, kad turi būti kaltė.
(
57
)	Vis dėlto versijoje ispanų kalba sąvoka „imputable“ („atsakingas“) vartojama BDAR 47 straipsnio 2 dalies f punkte; šiame punkte, kalbant apie informaciją, nuo kurios priklauso įmonei privalomų taisyklių patvirtinimas, nurodyta, kad nuo atsakomybės atleidžiama įmonių grupėse, kurių nariai įsisteigę Sąjungoje ir už jos ribų. Versijoje vokiečių kalba vartojama frazė „dem betreffenden Mitglied nicht zur Last gelegt werden kann“.
(
58
)	Žr. 82 straipsnio 3 dalį, 68 straipsnio 4 dalį arba 75 straipsnio 6 dalį.
(
59
)	83 straipsnio 2 dalies b punktas ir 3 dalis. Savo nuomonę dėl jų aiškinimo pateikiau išvadoje byloje Deutsche Wohnen, C‑807/21 (EU:C:2023:360).
(
60
)	Be kita ko, 2013 m. gruodžio 16 d. Tarybai pirmininkaujančios valstybės narės dokumento Nr. 17831/13, skirto Duomenų apsaugos darbo grupei, 542 išnaša.
(
61
)	S. Ilchev pasiūlytas pakeitimas Nr. 2819, Pranešimo projektas dėl pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas); dokumentas PE501.927v04-00, 9 pakeitimas: „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence“. Kursyvu išskirta mano.
(
62
)	Žr. tekstą, pridėtą prie 2014 m. kovo 12 d. teisėkūros rezoliucijos dėl Komisijos pasiūlymo (OL C 378, 2017, p. 399).
(
63
)	2015 m. gegužės 27 d. Tarybai pirmininkaujančios valstybės narės dokumentas Nr. 9083/15, skirtas už teisingumą ir vidaus reikalus atsakingiems Duomenų apsaugos darbo grupės nariams. Variantai skiriasi dėl to, kad nevienodos 77 straipsnio 3–6 dalys. 1 dalis, kurioje nustatytas duomenų valdytojo ir duomenų tvarkytojo atsakomybės principas, ir 2 dalis, kurioje numatyta jų abiejų materialinė atsakomybė, ribojant duomenų tvarkytojo atsakomybę, sutapo.
(
64
)	Loc. cit., 5 punktas.
(
65
)
(
66
)	Arba jeigu duomenų tvarkytojas pažeidė duomenų valdytojo nurodymus pagal BDAR.
(
67
)	Vėliau jį gali teikti pakartotinai: 77 straipsnio 6 dalis (pagal pirmąjį variantą).
(
68
)	2015 m. gegužės 27 d. Tarybai pirmininkaujančios valstybės narės dokumento Nr. 9083/15, skirto už teisingumą ir vidaus reikalus atsakingiems Duomenų apsaugos darbo grupės nariams, 7 punktas. Jungtinės Karalystės delegacija atvirai siūlė atsakomybę dėl kaltės. Atsižvelgiant į jos argumentus, atitinkamas klausimas buvo pateiktas kitoms delegacijoms (2015 m. balandžio 13 d. Tarybai pirmininkaujančios valstybės narės dokumento Nr. 7722/15, skirto Duomenų apsaugos darbo grupės nariams, 10 ir 11 punktai). Atrodo, kad galiausiai pasiūlytame variante pasirinkta Vokietijos delegacijos pateikta kompromisinė formuluotė (2015 m. gegužės 6 d. dokumentas Nr. 8150/1/15 Rev. 1), pagal kurią duomenų valdytojo ir (arba) duomenų tvarkytojo bei duomenų subjekto santykių sritis atskirta nuo duomenų valdytojo ir duomenų tvarkytojo tarpusavio santykių srities, o dėl pastarosios srities nustatyta, kad atsakomybė priskiriama remiantis tyčia arba kalte: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation“. Dėl duomenų subjekto pažymėtina, kad jį galima atleisti nuo atsakomybės, jeigu nėra neatsargumo.
(
69
)	Loc. Cit., 6 punkto pabaigoje nurodyta: „In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages“.
(
70
)	Pagal šį variantą 77 straipsnio 4a dalyje numatyta: „If a data subject is not able to bring a claim for compensation against the controller <…>“.
(
71
)	2015 m. birželio 11 d. Tarybai pirmininkaujančios valstybės narės dokumentas Nr. 9565/15.
(
72
)	Kursyvu išskirta mano. Taip papildžius nuostatą, 118 konstatuojamojoje dalyje kartu išbraukti atleidimo nuo atsakomybės pagrindų pavyzdžiai: šios išvados 104 ir paskesni punktai.
(
73
)	BDAR 10 konstatuojamoji dalis.
(
74
)	Remiuosi savo išvada byloje C‑300/21. Kaip joje nurodžiau, teisės aktų leidėjas nori skatinti privatų asmens duomenų apsaugos taisyklių įgyvendinimą. Šiuo tikslu BDAR VIII skyriuje numatytos priemonės, kuriomis gali pasinaudoti duomenų subjektas. Kompensacija taikant civilinę atsakomybę yra viena iš tų priemonių, tačiau ji neturi baudimo funkcijos.
(
75
)	Toks buvo vienas iš Komisijos pasiūlyme pateiktų argumentų, kuriais siekta patobulinti Direktyvą 95/46.
(
76
)	BDAR 77 ir paskesnės konstatuojamosios dalys.
(
77
)	Ją reikia patikslinti: atsakomybė atlieka prevencinę funkciją, nes ji daro įtaką duomenų valdytojo sprendimui dėl vykdytinos veiklos lygio. Pagal mano siūlomą aiškinimą BDAR 82 straipsnį galima susieti su tokiais duomenų tvarkymo principais kaip tikslo apribojimas, duomenų kiekio mažinimas ir tikslumas (BDAR 5 straipsnio 1 dalies b, c ir d punktai).
(
78
)	Neatsargumas yra atsakomybės priskyrimo kriterijus.
(
79
)	Žr. šios išvados 52 išnašą.
(
80
)	Tokios pozicijos laikosi prašymą priimti prejudicinį sprendimą pateikęs teismas (žr. šios išvados 51 išnašą). Jis mano, kad duomenų subjekto, kuris prašė susipažinti su jo duomenimis, dalyvavimas neturėtų būti svarbus priskiriant atsakomybę. Vis dėlto toks dalyvavimas galėtų būti svarbus siekiant nustatyti kompensacijos dydį.
(
81
)	Tokios pozicijos laikosi MDK ir apeliacinis teismas (žr. šios išvados 52 išnašą). Iš tiesų galima teigti, kad pagal šį scenarijų trūksta „žalos“ komponento: volenti non fit iniuria.
(
82
)	Sprendimo dėl prašymo priimti prejudicinį sprendimą 40 punktas.
(
83
)	Kitaip nei kitų sričių atveju (pvz., atsakomybės už gaminius su trūkumais), atleidimo nuo atsakomybės pagrindai BDAR nėra pateikti kaip baigtinis sąrašas.
(
84
)
(
85
)	Duomenų valdytojas „gali būti atleistas nuo šios atsakomybės, jeigu įrodo, kad nėra atsakingas už tą žalą, ypač tokiais atvejais, kai duomenų valdytojas nustato duomenų subjekto kaltę, arba„force majeure“ atveju“. Kursyvu išskirta mano.
(
86
)	Komisijos pasiūlymo 118 konstatuojamoji dalis.
(
87
)	Teisės akto, pridėto prie 2014 m. kovo 12 d. Parlamento teisėkūros rezoliucijos dėl Komisijos pasiūlymo, 118 konstatuojamoji dalis.
(
88
)	Šios išvados 84 ir paskesni punktai. Pavyzdžiai pateikti su Taryboje vykusiomis derybomis susijusiuose dokumentuose, bet nebe 2015 m. birželio 11 d. dokumento Nr. 9565/15 kompromisiniame tekste.
(
89
)	Iš esmės remiuosi 2015 m. gegužės 27 d. Tarybai pirmininkaujančios valstybės narės dokumentu Nr. 9083/15, skirtu už teisingumą ir vidaus reikalus atsakingiems Duomenų apsaugos darbo grupės nariams.
(
90
)	Atsižvelgiant į kontekstą (kartoju, ypatingas dėmesys skiriamas atvejui, kai duomenis tvarko keli duomenų valdytojai ar tvarkytojai), pagrįstai galima daryti išvadą, kad šiuo klausimu viena iš galimybių būtų duomenų valdytojo atveju įrodyti, kad žala atsirado išimtinai dėl duomenų tvarkytojo veiksmų, o duomenų tvarkytojo atveju – kad buvo priešingai.
(
91
)	Tą patį galima pasakyti ir apie force majeure – kitą Direktyvos 95/46 55 konstatuojamojoje dalyje aiškiai nurodytą pagrindą (žr. šios išvados 105 punktą).
(
92
)	Be abejo, nekalbu apie atvejį, kai dalyvauja trečiosios šalys. Dėl šio aspekto žr. generalinio advokato G. Pitruzzella išvadą, pateiktą 2023 m. balandžio 27 d. byloje Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353).
(
93
)	Siekiant išsklaidyti abejones, kurių kilo taikant Direktyvą 95/46, BDAR nurodyta, kad kompensacija apima nematerialinę žalą. 146 konstatuojamojoje dalyje minima „bet kokia žala“ ir pabrėžiama, kad sąvoka „žala“ turi būti aiškinama plačiai, remiantis Teisingumo Teismo jurisprudencija. Dėl tikslios nuostatos taikymo srities vis dar diskutuojama.
(
94
)	Nenurodyta, ar kiekvienu atveju siekiant nustatyti žalos dydį reikia taikyti tarifus, ar pirmenybę teikti vienkartinėms išmokoms, ar naudoti kitas skaičiavimo sistemas.
(
95
)	Šie veiksniai galbūt gali apimti: a) veiksnį, kurį pasiūlė prašymą priimti prejudicinį sprendimą pateikęs teismas; b) duomenų subjekto kaltę, kurią MDK nurodo savo pastabų 80 punkte; c) kitus veiksnius, kaip antai kompensacijos dydžio viršutinių ribų nustatymą, siekiant nepagrįstai neskatinti duomenų tvarkymo operacijų ar nuo jų priklausančios ekonominės veiklos.
(
96
)	Šios išvados 87 ir paskesni punktai.
(
97
)	Direktyvoje 95/46 šiuo klausimu nėra jokių nuostatų. BDAR parengiamuosiuose darbuose neradau informacijos, kad šis klausimas aptartas.
(
98
)	1994 m. liepos 27 d. Tarybos reglamento (EB) Nr. 2100/94 dėl augalų veislių teisinės apsaugos Bendrijoje (OL L 227, 1994, p. 1; 2004 m. specialusis leidimas lietuvių k., 3 sk., 16 t., p. 390) 94 straipsnio 2 dalis arba 2004 m. balandžio 29 d. Europos Parlamento ir Tarybos direktyvos 2004/48/EB dėl intelektinės nuosavybės teisių gynimo (OL L 157, 2004, p. 45; 2004 m. specialusis leidimas lietuvių k., 17 sk., 2 t., p. 32) 13 straipsnis ir 26 konstatuojamoji dalis.
(
99
)	BDAR 83 straipsnio 2 dalies b punktas ir 148 konstatuojamoji dalis. Pagal šį pagrindą proporcingumo kriterijus taikomas atsižvelgiant ne tik į įvykį, bet ir į tai, ar bauda nėra neproporcinga našta fiziniam asmeniui. Airijos vyriausybė savo pastabų 54 punkte siūlo šį kriterijų taikyti civilinės atsakomybės atveju. Ir vėl trūksta nuostatomis pagrįstų argumentų, kad kriterijų būtų galima laikyti neatsiejama 82 straipsnio dalimi; tokios galimybės taip pat nepagrindžia nei parengiamieji darbai, nei teisės normos tikslas ar bendra jos funkcija.
(
100
)	Veiksminga kompensacija turi būti tokia, kad būtų galima įvykdyti jos funkciją užtikrinti teisę į duomenų apsaugą.
(
101
)	Ir duomenų valdytojui, ir duomenų tvarkytojui taikoma civilinė atsakomybė pagal BDAR 82 straipsnio 2 ir 3 dalis. Jie atsako už visą žalą, nesvarbu, koks yra jų dalyvavimo atsirandant tai žalai laipsnis.
(
102
)	Neatmetu galimybės, kad yra kitų aplinkybių, kuriomis sumos pagrįstai sumažinamos: turiu omenyje, pavyzdžiui, konkrečius atvejus, kai teisė į kompensaciją (o kartu ir į duomenų apsaugą) derinama su kitais tos pačios kategorijos gėriais ar teisėmis. BDAR būdvardis visa taip pat vartojamas siekiant užtikrinti, kad sąvoka apimtų tam tikrų rūšių žalą (nematerialinę žalą), kad kompensacija neapsiribotų atsirandančia žala (ji turėtų apimti ir kitas sąvokas, kaip Teisingumo Teismas yra pažymėjęs kitose srityse) ir kad dėl kelių duomenų valdytojų ar tvarkytojų dalyvavimo nebūtų sunkiau gauti kompensaciją, o veikiau priešingai.