62021CC0667
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL M. CAMPOS SÁNCHEZ‑BORDONA
prezentate la 25 mai 2023 (
1
)
Cauza C‑667/21
ZQ
împotriva
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
[cerere de decizie preliminară formulată de Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania)]
„Trimitere preliminară – Protecția datelor cu caracter personal – Date cu caracter personal privind sănătatea – Evaluarea capacității de muncă a unui angajat – Serviciu de control medical al unei case de asigurări de sănătate – Prelucrarea datelor cu caracter personal privind sănătatea angajaților – Dreptul la despăgubiri – Relevanța gravității culpei”
1.
Prezenta trimitere preliminară are ca obiect interpretarea Regulamentului (UE) 2016/679 (
2
) în ceea ce privește: a) prelucrarea datelor cu caracter personal privind sănătatea; și b) despăgubirile pentru prejudiciile cauzate ca urmare a unei (pretinse) încălcări a propriului RGPD.
2.
Deși Curtea s‑a pronunțat deja asupra dispozițiilor din RGPD (
3
) care fac obiectul acestor întrebări preliminare, cele formulate în prezenta trimitere preliminară sunt noi, cu excepția celei de a patra (
4
).
I. Cadrul juridic
A.
Dreptul Uniunii. RGPD
3.
Sunt relevante pentru prezentul litigiu considerentele (4), (10), (35), (51)-(54) și (146) ale RGPD.
4.
Articolul 9 („Prelucrarea de categorii speciale de date cu caracter personal”) prevede:
„(1)   Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a persoanei fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.
(2)   Alineatul (1) nu se aplică în următoarele situații:
[…]
(b)
prelucrarea este necesară în scopul îndeplinirii obligațiilor și al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forței de muncă și al securității sociale și protecției sociale, în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanții adecvate pentru drepturile fundamentale și interesele persoanei vizate;
[…]
(h)
prelucrarea este necesară în scopuri legate de medicina preventivă sau a muncii, de evaluarea capacității de muncă a angajatului, de stabilirea unui diagnostic medical, de furnizarea de asistență medicală sau socială sau a unui tratament medical sau de gestionarea sistemelor și serviciilor de sănătate sau de asistență socială, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul unui contract încheiat cu un cadru medical și sub rezerva respectării condițiilor și garanțiilor prevăzute la alineatul (3);
[…]
(3)   Datele cu caracter personal menționate la alineatul (1) pot fi prelucrate în scopurile menționate la alineatul (2) litera (h) în cazul în care datele respective sunt prelucrate de către un profesionist supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia, în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naționale competente.
(4)   Statele membre pot menține sau introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date genetice, date biometrice sau date privind sănătatea.”
5.
Articolul 82 („Dreptul la despăgubiri și răspunderea”) prevede:
„(1)   Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.
[…]
(3)   Operatorul sau persoana împuternicită de operator este exonerat(ă) de răspundere în temeiul alineatului (2) dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul.
[…]”
B.
Dreptul național. Sozialgesetzbuch Fünftes Buch (
5
)
6.
În temeiul articolului 278 alineatul (1) prima teză, în fiecare land se înființează un serviciu medical (
6
) al caselor de asigurări de sănătate, sub forma unui organism de drept public (
7
). Printre sarcinile acestuia, atribuite prin lege, figurează întocmirea de rapoarte de expertiză în vederea înlăturării îndoielilor cu privire la incapacitatea de muncă a asiguraților.
7.
În temeiul articolului 275 alineatul (1) prima teză punctul 3 litera (b), KV sunt obligate, în anumite situații, să obțină din partea MDK, în caz de incapacitate de muncă a unui asigurat atestată prin certificat medical, o expertiză în vederea înlăturării îndoielilor cu privire la incapacitatea de muncă.
II. Situația de fapt, litigiul și întrebările preliminare
8.
ZQ este angajat al MDK din Nordrhein (Germania) din anul 1991, în calitate de administrator în cadrul departamentului informatic și în serviciul de asistență al acestui departament.
9.
MDK întocmește rapoarte de expertiză cu privire la incapacitatea de muncă a afiliaților la KV. Printre aceste rapoarte se pot regăsi și cele privitoare la sănătatea propriilor angajați ai MDK.
10.
Prelucrarea datelor se realizează printre altele în conformitate cu următoarele reguli stabilite într‑o instrucțiune internă de serviciu (
8
):
–
„Datele sociale” ale angajaților nu pot fi colectate și nici stocate la locul de muncă al acestora. În plus, aceste date, care se generează atunci când o KV solicită de la MDK un raport de expertiză, nu trebuie confundate cu acele date ale angajaților care se prelucrează în cadrul raportului de muncă sau de serviciu.
–
Cererile de expertiză care privesc angajați ai MDK sunt desemnate drept „cazuri speciale” și sunt prelucrate exclusiv de o unitate organizațională specifică (
9
).
–
După întocmirea unui raport privitor la un angajat al MDK, atât documentele, cât și raportul de expertiză se păstrează într‑o bază de date electronică a MDK. Doar prin intermediul unei „chei” specifice se poate stabili legătura dintre documente și persoane individuale, pe baza unei autorizații de acces supuse unei proceduri tehnice.
11.
După arhivarea dosarului, angajații din „Departamentul informatic” al unității organizaționale „Cazuri speciale” pot avea acces la rapoartele de expertiză întocmite la cerere, privitoare la angajații MDK, sub rezerva obligației de păstrare a secretului.
12.
ZQ s‑a aflat în incapacitate permanentă de muncă pe motiv de boală începând de la 22 noiembrie 2017.
13.
De la 24 mai 2018 (
10
), ZQ a primit prestații de boală de la KV, la care este afiliat. La 6 iunie 2018, aceasta din urmă a însărcinat MDK cu întocmirea unui raport de expertiză în vederea înlăturării îndoielilor cu privire la incapacitatea de muncă a lui ZQ.
14.
MDK a preluat cererea și a atribuit‑o unității „Cazuri speciale”. La 22 iunie 2018, un medic din această unitate, angajată a MDK, a întocmit un raport de expertiză care conținea diagnosticul lui ZQ. Pentru întocmirea raportului, a discutat telefonic cu medicul curant al lui ZQ, de la care a obținut informații relevante.
15.
MDK a arhivat electronic raportul de expertiză.
16.
ZQ a aflat de la medicul său curant despre apelul telefonic al medicului de la MDK.
17.
La 1 august 2018, ZQ a contactat o colegă din departamentul informatic al MDK și a întrebat‑o dacă a fost stocat un raport de expertiză care îl privește. În urma unei căutări în arhivă, colega a răspuns afirmativ. La rugămintea lui ZQ, ea a fotografiat raportul de expertiză și i‑a trimis fotografiile.
18.
La 15 august 2018, ZQ a solicitat de la MDK, fără succes, plata unei despăgubiri în cuantum de 20000 de euro, în temeiul articolului 82 din RGPD.
19.
La 17 octombrie 2018, ZQ a introdus o acțiune la Arbeitsgericht Düsseldorf (Tribunalul pentru Litigii de Muncă din Düsseldorf, Germania). În cadrul acesteia, a solicitat, de asemenea, despăgubiri în cuantum echivalent beneficiului nerealizat (
11
).
20.
În cursul procedurii judiciare, MDK a reziliat raportul de muncă al lui ZQ.
21.
Pretențiile lui ZQ au fost respinse atât de prima instanță, cât și de instanța de apel (
12
).
22.
ZQ a formulat recurs la Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania), care adresează Curții următoarele întrebări preliminare:
„1)
Articolul 9 alineatul (2) litera (h) din RGPD trebuie interpretat în sensul că interzice unui serviciu medical al unei case de asigurări de sănătate să prelucreze datele privind sănătatea ale unui angajat al său de care depinde evaluarea capacității de muncă a acestuia?
2)
În ipoteza în care Curtea ar răspunde negativ la prima întrebare, cu consecința că articolul 9 alineatul (2) litera (h) din RGPD ar permite o excepție de la interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, într‑o situație precum cea din speță, pe lângă cerințele prevăzute la articolul 9 alineatul (3) din RGPD, trebuie respectate și alte cerințe în materie de protecție a datelor și, dacă este cazul, care sunt acestea?
3)
În ipoteza în care Curtea va răspunde negativ la prima întrebare, cu consecința că articolul 9 alineatul (2) litera (h) ar permite o excepție de la interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, într‑o situație precum cea din speță, admisibilitatea sau legalitatea prelucrării datelor privind sănătatea presupune de asemenea ca cel puțin una dintre condițiile menționate la articolul 6 alineatul (1) din RGPD să fie îndeplinită?
4)
Articolul 82 alineatul (1) din RGPD are un caracter de prevenție specială sau generală, iar acesta trebuie să fie luat în considerare la calcularea cuantumului prejudiciului moral pe care operatorul sau persoana împuternicită de operator trebuie să îl repare în temeiul articolului 82 alineatul (1) din RGPD?
5)
La calcularea cuantumului prejudiciului moral care trebuie reparat în temeiul articolului 82 alineatul (1) din RGPD trebuie să se țină seama de gravitatea culpei operatorului sau a persoanei împuternicite de operator? Mai precis, lipsa culpei sau culpa minoră a operatorului sau a persoanei împuternicite de operator poate fi luată în considerare în apărarea sa?”
III. Procedura în fața Curții
23.
Cererea de decizie preliminară a fost înregistrată la grefa Curții la 8 noiembrie 2021.
24.
Au prezentat observații scrise ZQ, MDK, guvernele irlandez și italian, precum și Comisia Europeană.
25.
S‑a considerat că nu este necesar să se desfășoare o ședință.
26.
Urmare a indicațiilor Curții, prezentele concluzii nu abordează cea de a patra întrebare preliminară (
13
).
IV. Analiză
A.
Prima întrebare preliminară
27.
Instanța de trimitere solicită să se stabilească dacă articolul 9 alineatul (2) litera (h) din RGPD interzice unui MDK să prelucreze datele privind sănătatea unui angajat al său de care depinde evaluarea capacității de muncă a acestuia. Astfel, aceasta pune în discuție legalitatea prelucrării datelor pe motive legate de instituția care efectuează prelucrarea (
14
).
28.
Articolul 9 din RGPD se aplică unor categorii speciale de date, precum cele privind sănătatea unei persoane. El stabilește interdicția generală privind prelucrarea datelor „sensibile” [alineatul (1)] și enumeră toate situațiile de excepție în care interdicția nu se aplică [alineatul (2)].
29.
Mai precis, articolul 9 alineatul (2) litera (h) din RGPD prevede o excepție (de la interdicția generală) atunci când prelucrarea datelor cu caracter personal este necesară „în scopuri legate de medicina preventivă sau a muncii, de evaluarea capacității de muncă a angajatului, de stabilirea unui diagnostic medical, de furnizarea de asistență medicală sau socială sau a unui tratament medical”.
30.
În opinia noastră, această dispoziție furnizează o acoperire suficientă acțiunii MDK care face obiectul litigiului (
15
). Este irelevant că operatorul de date este, în același timp, angajatorul persoanei vizate, având în vedere că MDK nu acționează în calitate de angajator, ci de serviciu medical al unei KV la care persoana vizată era afiliată (
16
).
31.
Nu identificăm niciun temei pentru a interpreta articolul 9 alineatul (2) litera (h) din RGPD în sensul că ar interzice unui serviciu medical să prelucreze datele angajaților săi privind sănătatea în scopul prevăzut de această dispoziție. Criteriile hermeneutice uzuale conduc mai degrabă la concluzia contrară (inexistența unei astfel de interdicții).
32.
Din punct de vedere literal, articolul 9 alineatul (2) litera (h) din RGPD nu stabilește nicio excludere în acest sens și nici nu impune, în vederea prelucrării, condiția ca operatorul să fie un „terț neutru” (
17
).
33.
Nici antecedentele legislative, nici evoluția dispoziției în cauză nu indică existența unei interdicții precum cea evocată la prima întrebare preliminară și nici intenția de a o stabili (
18
).
34.
Astfel cum a statuat Curtea (
19
), scopul dispozițiilor din RGPD privitoare la protecția datelor privind sănătatea constă în a asigura o protecție sporită persoanelor vizate, din cauza caracterului deosebit de sensibil al acestor date pentru drepturile fundamentale respective. În acest scop, s‑a stabilit interdicția generală de la articolul 9 alineatul (1) din RGPD, care, însă, nu este una absolută (
20
).
35.
În acest domeniu, precum și în altele referitoare la prelucrarea datelor cu caracter personal, soluția legiuitorului, odată prevăzută interdicția generală, a constat în:
–
A introduce, sub forma unei liste de situații concrete, clasificabile (grosso modo) în cele în care persoana vizată însăși autorizează prelucrarea sau în care se beneficiază în urma acesteia și cele în care sunt vizate interese superioare celor individuale.
–
A însoțit anumite tipuri de prelucrări de garanții specifice, sporite față de cele aplicabile celorlalte categorii de date cu caracter personal, „nesensibile”, și care se adaugă acestora (
21
).
–
A permite statelor membre să introducă alte condiții, inclusiv restricții, în ceea ce privește prelucrarea datelor cu caracter personal. Mai concret, în ceea ce privește datele privind sănătatea [articolul 9 alineatul (4) din RGPD și considerentul (53) in fine] sau datele angajaților în contextul ocupării unui loc de muncă (articolul 88 din RGPD) (
22
).
36.
Astfel, în abstract, nimic nu s‑ar opune ca între garanțiile specifice la care ne‑am referit mai sus să figureze aceea de a interzice MDK prelucrarea datelor privind sănătatea angajaților săi. Cu toate acestea, nu considerăm că această opțiune (pentru care legiuitorul european nu a optat) ar fi indispensabilă în vederea protejării obiectivului sus‑menționat.
37.
Prin urmare, considerăm că interdicția cu privire la care instanța de trimitere se referă în întrebarea preliminară nu constituie o consecință inexorabilă ce rezultă din interpretarea teleologică a articolului 9 alineatul (2) litera (h) din RGPD.
38.
De asemenea, nu credem că o interpretare sistematică a acestei dispoziții ar putea conduce la o altă concluzie, având în vedere că:
–
Presupunând, din considerente de argumentație, că ar fi corect să se înțeleagă că articolul 9 alineatul (2) litera (b) din RGPD ar fi singurul temei care permite unui angajator să prelucreze datele privind sănătatea angajaților săi (
23
), acest lucru nu ar aduce atingere posibilității ca aceeași instituție, nu în calitate de angajator, ci de serviciu medical care este însărcinat de o KV, să efectueze prelucrarea datelor în temeiul altei derogări prevăzute la același articol 9 alineatul (2) (
24
).
–
Articolul 9 alineatul (3) din RGPD stabilește condițiile pe care trebuie să le îndeplinească cei care prelucrează date cu caracter personal privind sănătatea. Articolul 9 alineatul (2) litera (h) face trimitere în mod expres la alineatul (3); din punct de vedere subiectiv, prelucrarea nu este supusă niciunei alte cerințe (
25
).
39.
În concluzie, propunem să se răspundă negativ la prima întrebare preliminară (cu alte cuvinte, că RGPD nu prevede interdicția în discuție), ceea ce permite să fie abordată următoarea.
B.
A doua întrebare preliminară
40.
În cazul în care (după cum propunem) răspunsul la prima întrebare preliminară ar fi negativ, instanța de trimitere dorește să afle dacă, „într‑o situație precum cea din speță, pe lângă cerințele prevăzute la articolul 9 alineatul (3) din RGPD, [trebuie respectate] și alte cerințe în materie de protecție a datelor și, dacă este cazul, care sunt acestea”.
41.
În linii generale, răspunsul nu ar trebui să ridice probleme majore (
26
). Curtea s‑a pronunțat în sensul că orice prelucrare de date cu caracter personal trebuie să respecte principiile enunțate la articolul 5 din RGPD și să îndeplinească cel puțin una dintre condițiile de legitimitate enunțate la articolul 6 (
27
).
42.
În opinia instanței de trimitere, într‑o situație precum cea din speță, respectarea obligației de păstrare a secretului [articolul 9 alineatul (3) din RGPD] nu este suficientă pentru protecția datelor. Aceasta propune alte măsuri suplimentare care, în opinia sa, ar fi singurele în măsură să garanteze această finalitate (
28
).
43.
Considerăm că articolul 9 alineatul (3) din RGPD nu poate servi drept bază acestor măsuri suplimentare. Formularea sa clară (care se limitează la a contura o dispoziție deja existentă în Directiva 95/46 (
29
)) nu susține propuneri precum cele ale instanței de trimitere.
44.
În schimb, aceste propuneri ar putea fi justificate în temeiul articolului 9 alineatul (4) din RGPD. În conformitate cu acesta, statele membre pot introduce „condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date […] privind sănătatea (
30
)”. Din conținutul deciziei de trimitere nu se desprinde, însă, că acest lucru s‑ar fi produs în Germania.
45.
Acestea fiind spuse și pentru motivele menționate anterior, prelucrarea datelor cu caracter personal privind sănătatea trebuie să respecte, printre altele, principiul enunțat la articolul 5 alineatul (1) litera (f) din RGPD și obligațiile care decurg din acesta, detaliate în capitolul IV din același regulament.
46.
În plus, operatorul (
31
) trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta că prelucrarea se efectuează în conformitate cu RGPD. Este ceea ce stabilește, cu caracter general, articolul 24 alineatul (1).
47.
În particular, articolul 32 alineatul (1) din RGPD impune operatorului obligația de a implementa „măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc” pe care îl prezintă datele cu caracter personal.
48.
Din aplicarea acestor norme la prezenta cauză reiese că statutul MDK de angajator al lui ZQ îi impune o obligație de protecție în materie de prelucrare a datelor acestuia privind sănătatea, mai mare decât cea obișnuită, întrucât și riscurile sunt mai mari (
32
).
49.
MDK nu este străin acestei situații. În cazul în care întocmește, la cererea unei KV la care este afiliat un angajat al său, rapoarte de expertiză pentru a înlătura îndoielile cu privire la (in)capacitatea de muncă a acestuia, el aplică măsuri tehnice și organizatorice ad‑hoc, stabilite cu scopul de a adapta la RGPD prelucrarea datelor cu caracter personal privind sănătatea (
33
).
50.
Analiza acestor măsuri revine instanței de trimitere, care, în urma analizei sale, va putea stabili dacă măsurile adoptate erau insuficiente. Acest lucru nu permite însă ca din articolul 9 din RGPD să se tragă concluzia că există o obligație a MDK de a refuza din oficiu orice cerere de întocmire de rapoarte medicale (privitoare la propriii angajați) care emană de la KV (
34
).
C.
A treia întrebare preliminară
51.
În ipoteza unui răspuns negativ la prima întrebare preliminară, prin intermediul celei de a treia întrebări, instanța de trimitere dorește să afle dacă interdicția prelucrării datelor privind sănătatea „presupune, de asemenea, ca cel puțin una dintre condițiile menționate la articolul 6 alineatul (1) din RGPD să fie îndeplinită”.
52.
Pentru a răspunde la această întrebare, trebuie să se analizeze legătura dintre articolul 9 alineatul (2) din RGPD și articolul 6 al acestuia, referitor la legalitatea prelucrării. Obligația respectării acestuia din urmă în orice prelucrare de date a fost stabilită în sentințele Curții de Justiție, mai sus citate (
35
).
53.
În special, hotărârea pronunțată în cauza C‑439/19 (
36
) a interpretat articolul 10 din RGPD, referitor la o categorie diferită de date cu caracter personal sensibile (cele privitoare la condamnări penale și infracțiuni) (
37
), în sensul că articolele 6 și 10 din RGPD trebuie aplicate cumulativ.
54.
Se poate extinde acest postulat la datele cu caracter personal la care se referă articolul 9 din RGPD?
55.
Structura articolelor 9 și 10 din RGPD este diferită. Articolul 10 face o trimitere explicită la articolul 6 alineatul (1) din același RGPD, trimitere care nu apare la articolul 9.
56.
Nici conținutul articolului 9 alineatul (2), nici cel al articolului 10 din RGPD nu sunt comparabile: articolul 10 se limitează la a menționa o interdicție a prelucrării ratione personae, în timp ce articolul 9 alineatul (2) stabilește scopul (situațiile) care o justifică, la fel ca și articolul 6 alineatul (1).
57.
Astfel, paralelismul dintre articolul 6 alineatul (1) și articolul 9 alineatul (2) din RGPD este de o asemenea anvergură încât, la o primă lectură, se pare că situațiile pe care acesta din urmă le enumeră sunt specificații ale condițiilor definite în cel dintâi: le detaliază și, în același timp, le face să devină mai stricte.
58.
Cu toate acestea, geneza și evoluția articolului 9 din RGPD pune în discuție explicarea relației dintre acesta și articolul 6 în termeni de „lege specială” și „lege generală”.
59.
Se constată că această interpretare a fost efectiv susținută de delegațiile unor state membre (
38
). În schimb, documentele referitoare la negocierea articolului 9 nu evidențiază discrepanțe în legătură cu trimiterea la articolul 6 (
39
), ci în legătură cu întinderea acestuia [doar la alineatul (1) sau și la altele (
40
)?]. În final, a fost eliminată trimiterea la articolul 6 (
41
) din cuprinsul articolului 9 și s‑a optat pentru menținerea în preambul a unui paragraf similar actualului considerent (51) al RGPD (
42
).
60.
Ideea de cumul sau de complementaritate între cele două dispoziții este împărtășită de Comitetul european pentru protecția datelor (
43
) și era susținută de așa‑numitul Grup de lucru „Articolul 29” (
44
) în ceea ce privește articolul 8 din Directiva 95/46 (
45
). Aceasta nu este însă o opinie unanim acceptată nici de doctrină, nici de alte organisme relevante (
46
).
61.
Analizând diferitele litere ale articolului 9 alineatul (2) din RGPD, tindem să considerăm că relația dintre această dispoziție și articolul 6 nu permite, în realitate, un răspuns unic. Astfel:
–
Unele excepții de la interdicția prelucrării, precum cele prevăzute la articolul 9 alineatul (2) literele (a), (c), (g) și (i) (
47
), au o legătură directă cu baza juridică specifică a articolului 6 alineatul (1) din RGPD și o asimilează.
–
Această situație nu se regăsește în cazul altor excepții enumerate la articolul 9 alineatul (2) din RGPD, care impun o motivare suplimentară în temeiul articolului 6 alineatul (1). Acest lucru este valabil, în opinia noastră, în privința articolului 9 alineatul (2) litera (h), care face obiectul acestei întrebări preliminare.
62.
Considerăm, prin urmare, că, pentru a conferi legalitate prelucrării datelor sensibile, autorizată de articolul 9 alineatul (2) litera (h) din RGPD, este necesar să se determine care dintre condițiile detaliate de articolul 6 alineatul (1) o justifică în fiecare caz în parte.
63.
Instanța de trimitere nu pune în discuție acest aspect: mai mult, pornind de la această premisă, ea se străduiește să demonstreze că prelucrarea realizată de MDK nu poate fi justificată în temeiul articolului 6 (
48
).
64.
La prima vedere, nu ni se pare că ar exista o ordine prioritară între temeiurile legale pe care le prevede dispoziția menționată. O analiză mai profundă ar putea evidenția necesitatea unei interpretări mai nuanțate (
49
). Considerăm însă că o atare analiză ar depăși ceea ce este necesar pentru a răspunde la această trimitere preliminară (
50
).
65.
În concluzie, răspunsul la cea de a treia întrebare preliminară ar trebui să indice instanței de trimitere că excepția de la interdicția prelucrării datelor privind sănătatea presupune îndeplinirea cel puțin a uneia dintre condițiile menționate la articolul 6 alineatul (1) din RGPD.
D.
A cincea întrebare preliminară
66.
Instanța de trimitere dorește să afle dacă, „la calcularea cuantumului prejudiciului moral care trebuie reparat în temeiul articolului 82 alineatul (1) din RGPD, trebuie să se țină seama de gravitatea culpei operatorului sau a persoanei împuternicite de operator” și, mai precis, dacă „lipsa culpei sau culpa minoră a operatorului sau a persoanei împuternicite de operator poate fi luată în considerare în apărarea sa”.
67.
Întrebarea pornește de la premisa că există o încălcare a RGPD (
51
) săvârșită de operator și ridică problema dacă, la calcularea cuantumului prejudiciului produs ca urmare a acestei infracțiuni trebuie să se țină seama de gravitatea culpei acestuia. În opinia instanței a quo, nu este clar dacă lipsa culpei sau culpa minoră a operatorului pot fi luate în considerare în apărarea sa.
68.
În sens literal, întrebarea are ca aspect central stabilirea cuantumului prejudiciului. Explicațiile care o însoțesc au generat însă o oarecare confuzie, deoarece nu era clar dacă se refereau la culpă în sensul de condiție pentru imputarea răspunderii sau de element de diferențiere la stabilirea cuantumului despăgubirilor.
69.
La cererea Curții, în vederea clarificării acestei ambiguități, instanța de trimitere a menționat că întrebarea se referă la ambele aspecte, fără a preciza care este legătura cu litigiul principal.
70.
Având în vedere acest răspuns, ne propunem să răspundem întrebărilor ridicate de instanța de trimitere ținând seama (și) de susținerile MDK în legătură cu posibila participare a persoanei vizate la producerea prejudiciului (
52
). Expunerea noastră va cuprinde trei etape:
–
În prima, ne vom referi la temeiul imputării răspunderii prevăzute la articolul 82 din RGPD.
–
În cea de a doua, vom analiza impactul pe care ar putea să îl aibă accesul unui angajat al operatorului la date cu caracter personal (
53
). Un element specific și esențial al acestui scenariu este faptul că accesul angajatului respectiv la date s‑a realizat la cererea persoanei vizate.
–
În cea de a treia, ne vom pronunța asupra consecințelor pe care gravitatea culpei operatorului o poate avea la aprecierea concretă a cuantumului prejudiciului moral care trebuie reparat.
1. Temeiul răspunderii civile prevăzute la articolul 82 din RGPD
71.
Instanța de trimitere consideră că răspunderea civilă (a administratorului (
54
)) în temeiul articolului 82 alineatul (1) nu este condiționată de existența sau de dovedirea culpei sau a neglijenței. Aceasta adaugă că din alineatul (3) al aceluiași articol nu ar trebui să rezulte o concluzie diferită.
72.
Suntem de acord cu faptul că nu este clar ce model de răspundere civilă a adoptat RGPD și că, a priori, sunt posibile mai multe interpretări (
55
). Cea a instanței de trimitere este una dintre acestea și, în opinia noastră, este corectă.
73.
Interpretarea articolului 82 alineatul (1) din RGPD în sensul că stabilește un sistem de răspundere civilă care nu ia în calcul culpa administratorului este conformă, din punctul nostru de vedere, cu modul său de redactare, este susținută în mod direct de lucrările pregătitoare și, mai ales, servește scopul acestei norme. Această interpretare este acceptabilă în lumina altor alineate ale dispoziției menționate, precum și a sistemului în ansamblu.
a) Interpretarea literală
74.
Poziția pe care o susține instanța de trimitere este conformă cu redactarea articolului 82 alineatul (1) din RGPD. Din textul acestuia rezultă că dreptul de a obține despăgubiri de la operator depinde doar de prejudiciile suferite ca urmare a unei încălcări a RGPD însuși.
75.
Nici celelalte alineate ale articolului 82 nu indică un alt răspuns (
56
). În mod special, nu am îndrăzni să deducem o condiție referitoare la culpă pornind de la termenul „răspunzător” din cuprinsul alineatului (3) al articolului 82. Termenul apare doar în unele versiuni lingvistice ale RGPD; altele, însă, utilizează termenul „responsabil”. În versiunea în limba germană, nici articolul 82, nici preambulul nu includ termenul tehnic specific imputabilității din culpă („Verschulden”) (
57
).
76.
Din compararea diverselor dispoziții ale RGPD, reiese că terminologia utilizată nu este mereu inechivocă, motiv pentru care trebuie să se dea dovadă de prudență sporită atunci când se trag concluzii din modul său de redactare. De exemplu, în versiunea în limba engleză, termenul „responsible” este utilizat cu multiple sensuri (
58
).
77.
Inexistența unor trimiteri la intenția sau la culpa operatorului în cuprinsul articolului 82 din RGPD este în contrast cu mențiunile de la articolul 83 referitoare la amenzile administrative: „[a]tunci când se ia decizia dacă să se impună o amendă administrativă și decizia cu privire la valoarea amenzii administrative în fiecare caz în parte”, se acordă atenția cuvenită intenției sau neglijenței în încălcarea RGPD (
59
).
78.
Dacă divergența dintre texte diminuează importanța criteriului interpretării literale, ea coroborează cel puțin ideea că nici intenția, nici culpa nu figurează în cuprinsul articolului 82 din RGPD, iar această absență este una conștientă și nu poate fi atribuită neglijenței legiuitorului.
b) Lucrările pregătitoare
79.
Discuția referitoare la temeiul imputării răspunderii adoptat în cele din urmă în RGPD este umbrită de contextul în care a aceasta a avut loc, în cadrul Consiliului, în ceea ce privește ipoteza pluralității de agenți operatori.
80.
Această discuție s‑a întrepătruns cu considerații procedurale, fără a respecta o schemă conceptuală care să permită să se diferențieze între rolul culpei ca temei al imputării răspunderii, pe de o parte, și, pe de altă parte, absența culpei pentru exonerarea de aceeași răspundere, sub aspectul legăturii de cauzalitate.
81.
Cu toate acestea, considerăm că lucrările pregătitoare pledează în favoarea unei interpretări a articolului 82 alineatul (1) din RGPD în sensul că răspunderea civilă nu este condiționată de culpa operatorului.
82.
Propunerea Comisiei reproducea Directiva 95/46 și nu menționa neglijența. În documentele Consiliului se arată că răspunderea preconizată este definită ca „strict liability” (
60
).
83.
Ca urmare a unui amendament propus în cadrul Comisiei pentru libertăți civile, justiție și afaceri interne a Parlamentului, articolul 82 (articolul 77 de atunci) alineatul (1) ar fi fost formulat astfel încât răspunderea ar fi fost condiționată de intenție sau de neglijență (
61
). Amendamentul nu a fost adoptat (
62
).
84.
În cadrul Consiliului, discuțiile cu privire la articolul 77 și la criteriul de imputare au fost legate de atribuirea și distribuirea răspunderii în situațiile în care mai multe persoane intervin într‑o operațiune de prelucrare. În acest context, Președinția a propus să se aleagă între două opțiuni (
63
):
–
În conformitate cu prima opțiune (
64
), fiecare administrator sau persoană împuternicită de acesta ar fi considerați responsabili din punct de vedere juridic față de persoana vizată pentru întregul prejudiciu produs (
65
), în cazul în care ar fi săvârșit o încălcare a obligațiilor care le revin în temeiul RGPD (
66
). O participare a acestora la producerea prejudiciului, chiar și una foarte nesemnificativă, ar permite persoanei vizate să reclame despăgubirea integrală; în cazul în care ar exista mai mulți participanți, oricăruia dintre ei (
67
). În schimb, fiecare ar fi exonerat dacă ar demonstra că nu este responsabil („responsible”) în niciun fel de producerea prejudiciului („0 % responsibility”), după cum se menționa la alineatul (3) al articolului. Modelul a fost descris drept „closer (but certainly not equal to) to the«liability follows fault principle»” (
68
).
–
Cea de a doua opțiune ar fi presupus pentru administrator obligația inevitabilă de a despăgubi persoana vizată pentru întregul prejudiciu, impunându‑i‑se un fel de răspundere absolută, având în vedere că nu se prevedea nicio exonerare (
69
). Reclamația persoanei vizate împotriva persoanei împuternicite de operator era posibilă doar cu caracter subsidiar (
70
). Nici pentru el nu se prevedea vreo excepție.
85.
Textul de compromis prezentat spre aprobare ca orientare generală de Președinție (
71
) reține prima opțiune, dar întărește caracterul excepțional al exonerării și prin textul articolului 77 alineatul (3): „[…] if it [operatorul/persoana împuternicită de operator] proves that it is not in any way responsible […] (
72
)”. Acest text corespunde articolului aprobat în cele din urmă.
86.
În concluzie, analiza procesului legislativ care a condus la textul final al RGPD permite să se conchidă că răspunderea la care se referă articolul 82 alineatul (1) nu este condiționată de culpa administratorului de date.
c) Finalitatea
87.
RGPD instituie un sistem conceput pentru a asigura un nivel ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal (
73
). În cadrul acestui sistem, articolul 82 are rolul de a compensa prejudiciile și, în același timp, are un efect accesoriu disuasiv pentru prevenirea comportamentelor care nu sunt în conformitate cu dispozițiile sale (
74
).
88.
Asigurarea compensării este un obiectiv în sine: astfel se deduce din importanța pe care legiuitorul i‑o acordă și care reiese la simpla lectură a textului. Pentru RGPD, obținerea unei despăgubiri atunci când se produce un prejudiciu reprezintă un drept al persoanei vizate; noțiunea de prejudiciu trebuie interpretată în sens larg, iar despăgubirea trebuie să fie integrală și efectivă.
89.
Compensația se raportează la dorința de a spori încrederea cetățenilor în mediul digital, obiectiv general pe care RGPD îl menționează în considerentul (7). A garanta persoanei vizate că, în principiu și ca soluție, nu va trebui să suporte prejudiciul cauzat de prelucrarea ilicită a datelor sale este de natură să sporească această încredere: patrimoniul său este protejat, iar din punct de vedere procedural, cererea sa de despăgubire este mai simplă.
90.
Faptul că articolul 82 alineatul (1) din RGPD nu asociază obligația de despăgubire cu neîndeplinirea unei obligații de diligență este coerent cu această abordare. O atare obligație este impusă, prin decizia legiuitorului, celui care, în cadrul relației, ocupă poziția de paznic sau de garant și tocmai în temeiul acestei unice împrejurări.
91.
Astfel, s‑ar putea considera că pentru RGPD este relevantă situația victimei care suferă prejudiciul cauzat de încălcare, în situația în care nicio normă nu îi impune obligația de a‑l suporta.
92.
Victimei îi este indiferent dacă a existat sau nu culpă din partea celui care a produs prejudiciul: decisiv este faptul că operatorul i‑a cauzat un prejudiciu, material sau moral, consecință a unei încălcări a RGPD săvârșite de acesta.
93.
Obiectivele enunțate se realizează mai ușor în cadrul unui model în care prejudiciul dovedit:
–
se repară în orice caz (cu excepția cazurilor de exonerare, care sunt excepționale) și
–
determină o reparație a cărei obținere este (comparativ) simplă, nu doar pentru că nu trebuie dovedită culpa operatorului, ci și pentru că, în măsura în care există o încălcare și un prejudiciu asociat acesteia, imputarea nu depinde de gravitatea culpei.
94.
În contextul adaptării la revoluția digitală (
75
), această concluzie ni se pare coerentă. Evoluția tehnologică rapidă impune ca, în cazul activităților simple de prelucrare a datelor, care se realizează online, absența culpei sau a neglijenței să nu împiedice compensarea prejudiciilor care, în altă situație, nu ar fi acoperite.
d) Sistemul
95.
Interpretarea pe care o propunem este mai conformă economiei RGPD. Acest lucru este confirmat de articolul 82 alineatul (3): este posibilă exonerarea dacă „persoana împuternicită de operator dovedește că nu este răspunzătoare în niciun fel pentru evenimentul care a cauzat prejudiciul”.
96.
În acest text, se detașează expresia „în niciun fel”, care sugerează ideea că modelul nu este unul bazat pe culpă (nici măcar pe o culpă minoră) cu inversarea sarcinii probei.
97.
A considera că despăgubirea nu este condiționată de culpa operatorului conferă articolului 82 o semnificație proprie în cadrul capitolului VIII și, în cele din urmă, în RGPD în ansamblu.
98.
Legiuitorul Uniunii este conștient că prelucrarea datelor poate fi sursă de riscuri. Acesta impune operatorilor obligația de a evalua aceste riscuri și de a pune în aplicare măsuri adecvate pentru a preveni și a reduce riscurile identificate (
76
).
99.
S‑a susținut că un model de răspundere civilă bazat pe culpă incită la diligență și, prin urmare, și la protecția împotriva riscurilor, în timp ce modelul alternativ, care nu ia în calcul comportamentul operatorului, l‑ar descuraja pe acesta din urmă să dea dovadă de precauție (deoarece, în cazul în care ar exista un prejudiciu, ar trebui în orice caz să îl repare).
100.
Considerăm că această concluzie (
77
) este acceptabilă în cadrul RGPD. Articolul 82 se încadrează într‑o structură legală complexă, cu instrumente de drept public și privat pentru protecția datelor cu caracter personal. În cadrul acestei structuri, neglijența (și intenția) se iau în considerare în ceea ce privește amenzile administrative. Nu vedem necesitatea ca acestea să fie relevante și pentru răspunderea civilă (
78
), situație care ar contrazice obiectivele articolului 82 și, în plus, ar face mai puțin atractivă în practică soluția pe care o prevede.
2. Consecințele intervenției persoanei vizate
101.
Problemele referitoare la necesitatea culpei operatorului sunt legate, în speță, de consecințele care s‑ar putea produce ca urmare a intervenției persoanei vizate (
79
).
102.
Pentru o mai bună înțelegere a ceea ce vom expune în continuare, trebuie precizat că circumstanțele litigiului au fost abordate din perspectiva a două scenarii:
–
În primul scenariu, prelucrarea datelor cu caracter personal ale lui ZQ de către MDK constituie o încălcare a RGPD (a articolului 9 sau 6). Încălcarea produce automat un prejudiciu (
80
).
–
În cel de al doilea scenariu, prelucrarea datelor sus‑menționată nu constituie o încălcare a RGPD și nu produce un prejudiciu. Acesta din urmă ar rezulta în urma consultării datelor de către un angajat concret al MDK, la cererea persoanei vizate (
81
).
103.
Considerăm, în orice caz, că, după cum pare să susțină instanța de trimitere (
82
), pentru a determina gradul de relevanță (dacă aceasta există) a comportamentului persoanei vizate în comiterea actului ilicit cauzator de prejudicii, trebuie să se recurgă la articolul 82 alineatul (3).
104.
Această dispoziție nu enumeră, nici măcar cu titlu de exemplu, cauze concrete de exonerare de răspundere. Nici considerentul (146) nu procedează la o astfel de enumerare (
83
).
105.
În aparență, sub acest aspect, RGPD se îndepărtează de Directiva 95/46, al cărei articol 23 alineatul (2) prevedea o normă asemănătoare (
84
) cu actualul articol 82 alineatul (3) din RGPD: considerentul (55) al Directivei 95/46 menționa, ca exemple de cauze de exonerare, răspunderea persoanei vizate sau forța majoră (
85
), care nu se regăsesc în RGPD.
106.
În lucrările pregătitoare ale RGPD nu există, dacă nu greșim, nicio discuție în legătură cu aceste două exemple care apăreau în Propunerea Comisiei (
86
) și pe care Parlamentul le‑a menținut (
87
).
107.
Înlăturarea acestora și apariția locuțiunii adverbiale „în niciun fel” se produc în cadrul dezbaterii menționate, referitoare la modul de reglementare a răspunderii în cazul unei prelucrări cu o pluralitate de administratori sau persoane împuternicite (
88
).
108.
Din documentele disponibile (
89
) rezultă că, în versiunea finală, operatorul este exonerat dacă dovedește că nu este răspunzător („responsible”) în niciun fel pentru prejudiciu („0 % responsibility”). Același lucru este valabil și pentru persoana împuternicită de operator (
90
).
109.
Având în vedere cele de mai sus, nu considerăm că dispariția celor două exemple din preambul, în paralel cu adăugarea expresiei „în niciun fel” chiar în preambul și în articolul 82 alineatul (3) din RGPD, ar putea să determine (sau să aibă drept obiectiv) excluderea activității persoanei vizate din sfera cauzelor de exonerare de răspundere (
91
).
110.
Se pare că, mai degrabă, activitatea persoanei vizate reprezintă în continuare un element care poate determina, de la caz la caz, ruptura relației de cauzalitate necesare dintre „eveniment” [termenul este utilizat la articolul 82 alineatul (3) din RGPD] și răspunderea imputabilă. Sublinierea caracterului restrictiv al clauzei derogatorii nu exclude ca o acțiune concretă a persoanei vizate să declanșeze, prin ea însăși, prejudiciul și să determine, în consecință, exonerarea de răspundere a administratorului de date.
111.
Interpretarea sistematică pledează în favoarea ideii de a lua în considerare, în ceea ce privește răspunderea pentru prejudicii, implicarea persoanei vizate în producerea acestora. În sistemul RGPD, persoanele se implică în protecția datelor lor și dispun în acest scop de instrumente care sunt, ele însele, drepturi.
112.
Din punct de vedere teleologic, apreciem că RGPD urmărește să ofere o protecție ridicată, însă nu într‑o asemenea măsură încât să impună operatorului o obligație de despăgubire și pentru prejudiciile produse ca urmare a unor acțiuni sau evenimente care sunt imputabile persoanei vizate (
92
).
3. Calcularea cuantumului despăgubirilor. Relevanța gravității culpei persoanei răspunzătoare de prejudiciu
113.
Instanța de trimitere a confirmat că, prin intermediul celei de a cincea întrebări preliminare, se urmărește să se stabilească dacă, la calcularea despăgubirii, trebuie să se țină seama de gravitatea culpei operatorului. Mai precis, dacă lipsa culpei sau culpa minoră a acestui operator poate fi luată în considerare în apărarea sa.
114.
Articolul 82 din RGPD este într‑adevăr laconic sau nu precizează nimic în legătură cu aspectele‑cheie privind compensația care ar trebui luate în considerare la calcularea cuantumului acesteia. Acest articol nu oferă interpretului juridic indicații în ceea ce privește elementele care o alcătuiesc (
93
), criteriile de evaluare (de cuantificare) a acestor elemente (
94
) sau factorii care ar putea influența cuantumul său (
95
).
115.
Cu toate acestea, considerăm că RGPD dă persoanei vizate dreptul de a obține o despăgubire al cărei cuantum se fixează în funcție de prejudiciul suferit efectiv. Odată calculată suma care compensează aceste prejudicii în mod obiectiv, aceasta nu ar trebui să fie modificată în funcție de gradul de neglijență, mai mic sau mai mare, al operatorului.
116.
În susținerea acestei poziții, facem trimitere, mutatis mutandis, la cele expuse în legătură cu atribuirea răspunderii administratorului, indiferent de culpa acestuia, în sistemul articolului 82 din RGPD. Din punctul de vedere al victimei, al cărei patrimoniu (corporal sau necorporal) nu trebuie să fie afectat ca urmare a producerii prejudiciului, compensația nu trebuie să fie condiționată de culpa operatorului, indiferent de gravitatea acesteia (
96
).
117.
Considerăm că se poate ajunge la această concluzie și pornind de la constatarea că articolul 82 din RGPD (ale cărui lucrări pregătitoare nu oferă indicii într‑un sens sau altul (
97
)) este diferit față de alte instrumente de drept al Uniunii, care, la calcularea despăgubirii datorate în temeiul răspunderii civile, efectuează o distincție expresă între situațiile în care persoana vizată a participat la încălcare „în cunoștință de cauză” sau nu (
98
).
118.
Această apreciere este coroborată, în opinia noastră, de alte două argumente:
–
Articolul 83 din RGPD se referă la neglijența (și la intenția) autorului încălcării pentru a adapta cuantumul amenzii (
99
). Legiuitorul ar fi putut să adopte același criteriu și pentru calculul sumei datorate în temeiul răspunderii civile, însă nu a făcut acest lucru.
–
RGPD subliniază că despăgubirea trebuie să fie integrală și efectivă (
100
) [considerentul (146) și articolul 82 alineatul (4), referitor la cazul în care mai mulți operatori sau persoane împuternicite de operator sunt implicați în aceeași operațiune de prelucrare (
101
)). După părerea noastră, termenul integral se opune unei nuanțări în sensul reducerii cuantumului despăgubirilor în funcție de gradul, mai mic sau mai mare, de neglijență a operatorului (
102
).
V. Concluzie
119.
În temeiul considerațiilor prezentate, propunem să se răspundă Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) după cum urmează:
„Articolul 9 alineatul (2) litera (h) și alineatul (3), precum și articolul 82 alineatele (1) și (3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că:
Nu interzic unui serviciu medical al unei case de asigurări de sănătate să prelucreze datele privind sănătatea ale unui angajat al său de care depinde evaluarea capacității de muncă a acestuia.
Permit o excepție de la interdicția prelucrării datelor cu caracter personal privind sănătatea în situația în care prelucrarea este necesară în scopul evaluării capacității de muncă a angajatului, respectă principiile enunțate la articolul 5 și îndeplinesc cel puțin una dintre condițiile menționate la articolul 6 din Regulamentul 2016/679.
Gravitatea culpei operatorului sau a persoanei împuternicite de operator nu trebuie luată în considerare nici la stabilirea răspunderii unuia sau a celuilalt, nici la calcularea cuantumului prejudiciului moral pe care trebuie să îl repare în temeiul articolului 82 alineatul (1) din Regulamentul 2016/679.
Participarea persoanei vizate la producerea evenimentului care a cauzat prejudiciul poate determina, de la caz la caz, exonerarea de răspundere a operatorului sau a persoanei împuternicite de operator prevăzută la articolul 82 alineatul (3) din Regulamentul 2016/679.”
(
1
)	Limba originală: spaniola.
(
2
)	Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).
(
3
)	Precum și asupra articolului 8 din Directiva 95/46/CEE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10), predecesorul direct al articolului 9 din RGPD.
(
4
)	A patra întrebare este substanțial identică primei întrebări formulate în cauza C‑300/21, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), cu privire la care am prezentat concluzii la 6 octombrie 2022 (EU:C:2022:756) (denumite în continuare „Concluziile prezentate în cauza C‑300/21”), iar Curtea s‑a pronunțat în Hotărârea din 4 mai 2023 (EU:C:2023:370).
(
5
)	Cartea V din Codul securității sociale.
(
6
)	Medizinischer Dienst der Krankenvesicherung (denumit în continuare „MDK”).
(
7
)	Krankenversicherung (denumită în continuare „KV”).
(
8
)	„Memorandum privind protecția datelor sociale ale angajaților [MDK] și ale membrilor de familie ai acestora”, prezentat în rezumat în decizia de trimitere, alineatul (6) și următoarele.
(
9
)	În cadrul sistemului de prelucrare a datelor utilizat de MDK la nivel intern, a fost înființată o unitate organizațională virtuală, denumită „Cazuri speciale”, la care au acces numai angajații acestei unități.
(
10
)	Ca urmare a expirării termenului (stabilit de lege) în care plata salariului a rămas în sarcina MDK.
(
11
)	În opinia sa, în absența încălcării protecției datelor, și‑ar fi putut relua activitatea începând din luna decembrie a anului 2018.
(
12
)	ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18, și, respectiv, LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
(
13
)	În ceea ce privește conținutul acesteia, a se vedea Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal) (C‑300/21, EU:C:2023:370).
(
14
)	Cele ce urmează nu aduc atingere răspunsului la cea de a treia întrebare preliminară.
(
15
)	Considerăm că această dispoziție este de preferat articolului 9 alineatul (2) litera (b) din RGPD. Nu reiese că prelucrarea ar fi fost necesară în scopul îndeplinirii obligațiilor sau pentru exercitarea drepturilor în cadrul raportului de muncă (nici în ceea ce privește MDK, în calitate de angajator, nici în ceea ce îl privește pe ZQ, în calitate de angajat).
(
16
)	O prelucrare a datelor sensibile în calitate de angajator (cu alte cuvinte, în scopuri legate de raportul de muncă) este legală doar dacă îndeplinește condițiile stabilite în RGPD pentru prelucrarea datelor în scop diferit de cel în care au fost colectate.
(
17
)	Punctul 22 din decizia de trimitere. În schimb, RGPD impune îndeplinirea altor condiții, stabilite la articolul 9 alineatul (3): în legătură cu întinderea acestora, a se vedea punctul 40 și următoarele.
(
18
)	Articolul 9 din RGPD a succedat articolului 8 din Directiva 95/46. În Propunerea Comisiei [Propunere de Regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulament general privind protecția datelor) COM(2012) 11 final din 25 ianuarie 2012; denumită în continuare „Propunerea Comisiei”], prelucrarea datelor cu caracter personal privind sănătatea era reglementată la articolul 81, care stabilea motive justificate și preciza că prelucrarea trebuie să se efectueze în temeiul legislației Uniunii sau a legislației statelor membre. Acestea din urmă trebuiau să asigure garantarea intereselor legitime ale persoanei vizate. Ulterior, textul articolului 81 a fost integrat în articolul 9 alineatul (2) litera (h) și în articolul 9 alineatul (4), după cum rezultă din documentul nr. 14270/14 din 16 octombrie 2014, adresat de Președinția Consiliului Grupului de lucru pentru protecția datelor.
(
19
)	Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile) (C‑136/17, EU:C:2019:773, punctul 44): „[…] cerințele specifice […] în legătură cu prelucrările privind categoriile speciale de date [au drept] scop […] [să] asigur[e] o protecție sporită împotriva unor asemenea prelucrări care, din cauza caracterului deosebit de sensibil al acestor date, sunt susceptibile să constituie, astfel cum reiese și din considerentul (33) al [Directivei 95/46] și din considerentul (51) al [RGPD], o ingerință deosebit de gravă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, garantate de articolele 7 și 8 din cartă”.
(
20
)	Dreptul fundamental la protecția datelor cu caracter personal nu se aplică în mod automat cu prioritate față de alte drepturi, nici măcar atunci când sunt vizate categoriile speciale de la articolul 9 alineatul (1) din RGPD: Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile) (C‑136/17, EU:C:2019:773, punctele 66-68).
(
21
)	Articolul 9 alineatul (3) din RGPD.
(
22
)	Articolul 88 din RGPD permite statelor membre să adopte norme „mai detaliate pentru a asigura protecția drepturilor și a libertăților cu privire la prelucrarea datelor cu caracter personal ale angajaților în contextul ocupării unui loc de muncă”. În ceea ce privește interpretarea acestei dispoziții, facem trimitere la Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).
(
23
)	Aceasta pare a fi poziția instanței de trimitere. În ceea ce ne privește, facem trimitere la nota de subsol 15.
(
24
)	Suntem de acord cu Comisia că „alineatul (2) [al articolului 9 din RGPD] nu stabilește o ierarhie specifică și nici o posibilă relație de dependență între excepții, acestea coexistând în condiții de egalitate” (punctul 13 din observațiile scrise).
(
25
)	Spre deosebire de Directiva 95/46, care prevedea că datele sunt prelucrate „de un cadru medical supus […] secretului profesional sau de altă persoană supusă, de asemenea, unei obligații echivalente în ceea ce privește secretul” (sublinierea noastră). În schimb, cerința este ca prelucrarea să fie realizată de persoane supuse obligației de păstrare a secretului.
(
26
)	Făcând referire la date „deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale”, considerentul (51) al RGPD enunță că, „pe lângă cerințele specifice pentru o astfel de prelucrare, ar trebui să se aplice principiile generale și alte norme prevăzute de prezentul regulament, în special în ceea ce privește condițiile pentru prelucrarea legală”.
(
27
)	Hotărârea din 16 ianuarie 2019, Deutsche Post (C‑496/17, EU:C:2019:26, punctul 57, și jurisprudența citată). În privința datelor sensibile, Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile) (C‑136/17, EU:C:2019:773, punctul 64), și Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504, punctele 96, 99, 100 și 102).
(
28
)	Decizia de trimitere, punctele 25-27. Aceasta menționează crearea a două celule operaționale „cazuri speciale” independente și a unor departamente informatice separate atunci când se realizează rapoarte de expertiză referitoare la angajații serviciilor informatice (cum este cazul lui ZQ). Scopul final ar fi acela ca, în fapt, niciun angajat al MDK să nu poată avea acces la datele privind sănătatea ale unui coleg de muncă și nici să nu cunoască existența unui control privind capacitatea de muncă a acestuia din urmă.
(
29
)	Articolul 8 alineatul (3). După cum am menționat, RGPD prevede un cerc mai larg de persoane autorizate să prelucreze datele.
(
30
)	Alineatul (4) a fost introdus la articolul 9 din RGPD în urma unei propuneri a Germaniei: documentul nr. 6834/15 din 9 martie 2015, adresat de președinție Consiliului.
(
31
)	Astfel este calificat MDK de către instanța de trimitere (punctul 16 din decizia de trimitere). Prin urmare, în continuare, nu vom menționa persoana împuternicită de operator, cu excepția cazului în care va fi necesar. În principiu, considerațiile referitoare la cel dintâi se vor extinde la cel din urmă.
(
32
)	Instanța de trimitere își exprimă îngrijorarea în special cu privire la aspectul că, în cazul în care s‑ar produce, încălcarea securității ar înlesni cunoașterea stării de sănătate a lui ZQ de către colegii săi de muncă, putând apărea speculații în legătură cu productivitatea acestuia. Aceasta adaugă că informația în legătură cu simpla existență a unui raport medical privind incapacitatea de muncă reprezintă o informație sensibilă, având în vedere că poate să sugereze posibilitatea unei simulări a acestei incapacități (punctul 26 din decizia de trimitere).
(
33
)	A se vedea punctul 10.
(
34
)	Punctul 27 din decizia de trimitere.
(
35
)	A se vedea nota de subsol 27. În ceea ce privește legătura dintre articolul 6 și articolul 9 din RGPD, a se vedea de asemenea cauza C‑252/21, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale). Concluziile avocatului general Rantos au fost prezentate la 20 septembrie 2022 (C‑252/21, EU:C:2022:704).
(
36
)	Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (EU:C:2021:504, punctele 96, 99, 100 și 102).
(
37
)	Conținutul articolului 10 din RGPD se regăsea în articolul 8 din Directiva 95/46. Acesta din urmă cuprindea toate categoriile speciale de date, chiar dacă diferenția prelucrarea datelor referitoare la infracțiuni, condamnări penale sau măsuri de securitate, care erau reglementate la alineatul (5). Separarea formală realizată de RGPD nu este determinată de o modificare a convingerii că datele cu caracter personal privind condamnările penale sau infracțiunile sunt „sensibile”.
(
38
)	Documentul nr. 17072/4/14 Rev. 4 din 4 martie 2015, adresat de Consiliu Comitetului Reprezentaților Permanenți, nota de subsol 60.
(
39
)	Referitor, precum în versiunea finală, la legalitatea prelucrării.
(
40
)	Documentul nr. 17072/4/14 Rev. 4 din 4 martie 2015, adresat Comitetului Reprezentaților Permanenți de către Consiliu, articolul 9 alineatul (2) [„Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]” și nota de subsol 60.
(
41
)	Pornind de la documentul nr. 6834/15 din 9 martie 2015, adresat de Președinție Consiliului.
(
42
)	Ceea ce, cu siguranță, nu a permis înlăturarea îndoielilor tuturor delegațiilor. A se vedea de exemplu documentul nr. 7466/15 din 26 martie 2015, adresat de Președinție delegațiilor, nota de subsol 38.
(
43
)	Orientările 03/2020 privind prelucrarea datelor referitoare la sănătate în scopul cercetării științifice în contextul pandemiei de COVID-19, aprilie 2020, punctul 15.
(
44
)	„Advice paper on special categories of data”, Ares(2011)444105 ‐ 20/04/2011, p. 5.
(
45
)	Aceasta este și opinia exprimată public de către Comisie: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, în reuniunea desfășurată la 10 octombrie 2016, p. 2, și Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, reuniune desfășurată la 20 februarie 2018, p. 2.
(
46
)	Susține opinia favorabilă cumulului sau complementarității, printre alții, T. Petri, „Art. 9”, în Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, marg. 26, care recunoaște însă că aceasta nu este unanimă. Se sugerează opinia contrară în Manualul de legislație europeană privind protecția datelor al Agenției pentru Drepturi Fundamentale a Uniunii Europene, 2018, secțiunea 4.1.1.
(
47
)	Respectiv, consimțământul explicit al persoanei vizate, prelucrare necesară în scopul protejării intereselor vitale ale unei persoane fizice sau juridice aflate în incapacitate juridică de a‑și da consimțământul; prelucrare necesară din motive de interes public.
(
48
)	Punctele 30 și 31 din decizia de trimitere.
(
49
)	De exemplu, în privința chestiunii dacă consimțământul persoanei vizate, ca temei legal care însoțește autorizația prevăzută la articolul 9 alineatul (2) litera (h), trebuie să fie consimțământul explicit pe care îl prevede această dispoziție însăși sau dacă este suficient cel prevăzut la articolul 6 alineatul (1) litera (a).
(
50
)	O altă chestiune, cu un domeniu de aplicare mai restrâns, ar fi aceea dacă, în lumina argumentației dezvoltate de instanța de trimitere cu privire la articolul 6 alineatul (1), ar trebui clarificat sensul condițiilor pe care acesta le enumeră, în special cele prevăzute la literele (c) și (e). În acest sens, facem trimitere la jurisprudența Curții referitoare la dispozițiile Directivei 95/46: Hotărârea din 16 decembrie 2008, Huber (C‑524/06, EU:C:2008:724, punctul 62), și Hotărârea din 30 mai 2013, Worten (C‑342/12, EU:C:2013:355, punctul 37); referitor la RGPD, Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punctul 66 și următoarele).
(
51
)	Instanța de trimitere înclină să considere că există o încălcare a articolelor 9 și 6 din RGPD, ca urmare a prelucrării realizate de MDK. La punctul 32 din decizia de trimitere, susține că simpla încălcare a RGPD generează dreptul la despăgubiri; la punctul 33, insistă în consecința automată a prejudiciului ca urmare a infracțiunii („simpla încălcare a RGPD determină un prejudiciu moral care generează dreptul la despăgubiri”). Pentru motivele expuse în concluziile prezentate în cauza C‑300/21, nu împărtășim această opinie.
(
52
)	Punctele 78-80 din observațiile MDK. În opinia acestuia, persoana vizată a fost cea care, prin faptul că nu a solicitat dosarul și nu și‑a exercitat dreptul de acces în conformitate cu articolul 15 din RGPD și, în schimb, a recurs la serviciile unui coleg de departament, și‑a cauzat singură prejudiciul. A se vedea în același sens hotărârea pronunțată în apel LAG Düsseldorf (12. Kammer), Urteil vom 11/03/2020 ‐ 12 Sa 186/19, punctul 4.3.4.3.
(
53
)	Angajatul, repartizat la același departament ca și persoana vizată, a accesat datele în afara situațiilor pentru care este autorizat, cu alte cuvinte cu un scop diferit de executarea prestației de muncă prevăzută în contractul său.
(
54
)	În continuare, vom folosi și termenul „administrator” ca sinonim pentru „operator”.
(
55
)	Făcând abstracție de cei care consideră că este vorba despre un aspect nereglementat, opiniile sunt împărțite între cei care susțin un sistem de răspundere obiectivă și cei care susțin un sistem de răspundere în temeiul culpei cu inversarea sarcinii probei. În realitate, așa cum se întâmplă și în alte sisteme de răspundere (civilă), considerăm că RGPD nu se înscrie pe deplin în niciunul dintre cele două modele teoretice principale, ale căror limite, de altfel, nu sunt tocmai precise. Având în vedere modul său de redactare, el poate fi inclus în ambele modele, cu nuanțe care, în cele din urmă, fac ca modelele să se confunde: în primul, ca urmare a nivelului ridicat de diligență care trebuie dovedit pentru a evita imputarea răspunderii; în cel de al doilea, ca urmare a introducerii unor criterii de diligență/neglijență în cauzele de exonerare sau atunci când se constată o încălcare, în funcție de natura normei în cauză.
(
56
)	Nici alineatul (2), care se poate interpreta ca fiind reversul alineatului (1), deoarece preconizează răspunderea prin prisma persoanelor debitoare ale obligațiilor, nu menționează vreo condiție privind culpa.
(
57
)	În versiunea în limba spaniolă, termenul „imputable” figurează însă la articolul 47 alineatul (2) litera (f) din RGPD, care, făcând trimitere la informația care condiționează aprobarea regulilor corporatiste obligatorii, prevede exonerarea de răspundere în grupurile de întreprinderi cu sediul în interiorul și în afara Uniunii. În versiunea germană, s‑a recurs la o perifrază („dem betreffenden Mitglied nicht zur Last gelegt werden kann”).
(
58
)	Conform articolului 82 alineatul (3), articolului 68 alineatul (4) sau articolului 75 alineatul (6).
(
59
)	Articolul 83 alineatul (2) litera (b) și alineatul (3). În legătură cu interpretarea acestora, ne‑am pronunțat în Concluziile prezentate în cauza C‑807/21, Deutsche Wohnen (EU:C:2023:360).
(
60
)	Printre altele, documentul nr. 17831/13 din 16 decembrie 2013, adresat de Președinția Consiliului Grupului de lucru „Protecția datelor”, nota de subsol 542.
(
61
)	Amendamentul nr. 2819, propus de S. Ilchev, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), documentul PE501.927v04-00, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence”. Sublinierea noastră.
(
62
)	A se vedea textul care însoțește Rezoluția legislativă din 12 martie 2014 referitoare la Propunerea Comisiei (JO 2017, C 378, p. 399).
(
63
)	Documentul nr. 9083/15 din 27 mai 2015, adresat de Președinție membrilor JAI din Grupul de lucru „Protecția datelor”. Diferența dintre aceste opțiuni privea articolul 77 alineatele (3)-(6). Alineatul (1), care stabilea principiul răspunderii operatorului și a persoanei împuternicite de operator, precum și alineatul (2), care definea domeniul de aplicare material al răspunderii fiecăruia dintre aceștia, limitând‑o pe cea a persoanei împuternicite, erau identice.
(
64
)	Loc. cit., punctul 5.
(
65
)
(
66
)	Sau, în cazul persoanei împuternicite de operator, nu ar fi respectat instrucțiunile operatorului, conform RGPD.
(
67
)	Cu posibilitatea de a formula ulterior o acțiune în regres: articolul 77 alineatul (6) în prima versiune.
(
68
)	Documentul nr. 9083/15 din 27 mai 2015, adresat de Președinție membrilor JAI din Grupul de lucru „Protecția datelor”, punctul 7. Delegația Regatului Unit a preconizat în mod deschis o răspundere întemeiată pe culpă. Ținând cont de argumentele acesteia, s‑a formulat o întrebare în acest sens celorlalte delegații [documentul nr. 7722/15 din 13 aprilie 2015, adresat de Președinție Grupului „Protecția datelor”, alineatele (10) și (11)]. Opțiunea propusă în cele din urmă pare a urma compromisul prezentat de delegația germană (documentul nr. 8150/1/15 din 6 mai 2015, Rev. 1), care stabilea o diferență între relația dintre operator/persoana împuternicită de operator și persoana vizată, pe de o parte, și relația dintre operator și persoana împuternicită, pe de altă parte, și prevedea o răspundere întemeiată pe culpă sau neglijență „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation”. În privința persoanei vizate, inexistența neglijenței permitea exonerarea de răspundere.
(
69
)	Loc. cit., punctul 6, care se încheie astfel: „In other words, the mere fact that an entity was involved in a non‑compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages.”
(
70
)	Articolul 77 alineatul (4a), în opțiunea respectivă: „If a data subject is not able to bring a claim for compensation against the controller […]”
(
71
)	Documentul nr. 9565/15 din 11 iunie 2015, adresat de Președinție Consiliului.
(
72
)	Sublinierea noastră. În paralel cu această adăugare, au fost eliminate exemplele de cauze de exonerare din considerentul 18: a se vedea punctul 104 și următoarele din prezentele concluzii.
(
73
)	Considerentul (10) al RGPD.
(
74
)	Facem trimitere la concluziile noastre prezentate în cauza C‑300/21. După cum am menționat în acestea, legiuitorul dorește să încurajeze aplicarea privată a normelor în materie de date cu caracter personal. În acest scop, capitolul VIII din RGPD a pus la dispoziția persoanei vizate o serie de instrumente. Despăgubirea în temeiul răspunderii civile este unul dintre acestea, însă nu are funcții punitive.
(
75
)	Acesta a fost unul dintre argumentele susținute în Propunerea Comisiei pentru a depăși cadrul Directivei 95/46.
(
76
)	Considerentul (77) și următoarele ale RGPD.
(
77
)	Pe care trebuie să o nuanțăm: răspunderea îndeplinește o funcție preventivă în măsura în care influențează decizia operatorului în legătură cu nivelul activității pe care trebuie să o desfășoare. Interpretarea pe care o propunem permite să se stabilească o legătură între articolul 82 din RGPD și unele principii legate de prelucrarea datelor, precum limitările legate de scop, reducerea la minimum a datelor și exactitatea [articolul 5 alineatul (1) literele (b), (c) și (d) din RGPD].
(
78
)	Făcând din neglijență un criteriu de imputare a răspunderii.
(
79
)	A se vedea nota de subsol 52.
(
80
)	Poziția instanței de trimitere (a se vedea nota de subsol 51). În opinia sa, participarea persoanei vizate care solicită accesul la datele sale nu ar trebui să prezinte relevanță în ceea ce privește imputarea răspunderii. În schimb, ar putea să prezinte relevanță în ceea ce privește calcularea cuantumului despăgubirilor.
(
81
)	Poziția MDK și a instanței de apel (a se vedea nota de subsol 52 de mai sus). În realitate, s‑ar putea susține că din acest scenariu lipsește elementul „prejudiciu”: volenti non fit iniuria.
(
82
)	Punctul 40 din decizia de trimitere.
(
83
)	Spre deosebite de alte materii (de exemplu, în cazul răspunderii pentru produsele defectuoase), enumerarea cauzelor de excludere nu are, în cuprinsul RGPD, un caracter exhaustiv.
(
84
)
(
85
)	Operatorul „poate fi exonerat de răspundere dacă dovedește că daunele nu îi sunt imputabile, în special atunci când constată existența unei erori a persoanei vizate sau în caz de forță majoră”. Sublinierea noastră.
(
86
)	Considerentul (118) al Propunerii Comisiei.
(
87
)	Considerentul (118) al textului care însoțește Rezoluția legislativă a Parlamentului din 12 martie 2014 în legătură cu Propunerea Comisiei.
(
88
)	Punctul 84 și următoarele din prezentele concluzii. Aceste exemple apar în documentele referitoare la negocierile din cadrul Consiliului, însă nu și în textul de compromis, documentul nr. 9565/15 din 11 iunie 2015.
(
89
)	Facem trimitere îndeosebi la documentul nr. 9083/15 din 27 mai 2015, adresat de Președinție membrilor JAI din cadrul Grupului de lucru „Protecția datelor”.
(
90
)	Având în vedere contextul (subliniem, atenția deosebită adusă situațiilor care implică o pluralitate de operatori), este legitim să se conchidă că o posibilitate în acest sens ar fi ca operatorul să aducă dovada că prejudiciul a fost produs ca urmare a acțiunii exclusive a persoanei împuternicite, iar aceasta din urmă, contrariul.
(
91
)	Același lucru este valabil pentru forța majoră, care era cealaltă cauză expres menționată în considerentul (55) al Directivei 95/46 (a se vedea punctul 105 din prezentele concluzii).
(
92
)	Bineînțeles, fără a aduce atingere cazului în care intervin terțe persoane. Cu privire la acest aspect, a se vedea Concluziile avocatului general Pitruzzella prezentate la 27 aprilie 2023 în cauza Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353).
(
93
)	În scopul disipării îndoielilor care au existat pe durata aplicării Directivei 95/46, RGPD precizează că acoperă prejudiciile necorporale. Considerentul (146) se referă la „orice prejudiciu” și subliniază că noțiunea de prejudiciu ar trebui interpretată în sens larg, din perspectiva jurisprudenței Curții. Domeniul de aplicare precis al acestei indicații este încă discutabil.
(
94
)	Articolul menționat nu precizează dacă, pentru a stabili, în fiecare caz în parte, cuantumul prejudiciului, trebuie să se recurgă la bareme sau dacă sunt preferabile sume forfetare ori utilizarea altor sisteme de calcul.
(
95
)	Printre acești factori ar putea figura, eventual: a) cel propus de instanța de trimitere; b) existența culpei persoanei vizate, invocată de MDK la punctul 80 din observațiile sale; c) alți factori, precum stabilirea unui plafon cantitativ al despăgubirilor, în scopul de a nu descuraja în mod nejustificat operațiunile de prelucrare a datelor sau activitățile economice care depind de acestea.
(
96
)	Punctul 87 și următoarele din prezentele concluzii.
(
97
)	Directiva 95/46 nu conținea nicio dispoziție în acest sens. În lucrările pregătitoare ale RGPD, nu am găsit indicii referitoare la discuții pe această temă.
(
98
)	Regulamentul (CE) nr. 2100/94 al Consiliului din 27 iulie 1994 de instituire a unui sistem de protecție comunitară a soiurilor de plante (JO 1994, L 227, p. 1, Ediție specială, 03/vol. 15, p. 197), articolul 94 alineatul (2), sau Directiva 2004/48/CE a Parlamentului European și a Consiliului din 29 aprilie 2004 privind respectarea drepturilor de proprietate intelectuală (JO 2004, L 157, p. 45, Ediție specială, 17/vol. 2, p. 56), articolul 13 și considerentul (26).
(
99
)	Articolul 83 alineatul (2) litera (b) și considerentul (148) al RGPD. În acest context, se ia în considerare criteriul proporționalității nu doar în ceea ce privește evenimentul, ci și pentru determinarea aspectului dacă amenda administrativă este o sarcină disproporționată pentru persoana fizică. La punctul 54 din observațiile prezentate, guvernul irlandez a propus aplicarea acestui criteriu în privința răspunderii civile. Încă o dată, lipsește argumentul literal pentru a‑l considera parte integrantă din articolul 82; nici lucrările pregătitoare, nici finalitatea normei, nici funcția sa în ansamblul reglementării nu pledează în favoarea acestei interpretări.
(
100
)	Despăgubirea efectivă trebuie să fie adecvată pentru a‑și îndeplini funcția de apărare a dreptului la protecția datelor.
(
101
)	Și unii, și alții răspund civil în temeiul articolului 82 alineatele (2) și (3) din RGPD. Sunt răspunzători pentru întregul prejudiciu, indiferent de gradul de implicare în producerea acestuia.
(
102
)	Nu excludem faptul că există și alte circumstanțe a căror existență justifică o reducere a cuantumului. Avem în vedere, de exemplu, evaluarea dreptului la despăgubiri în cazuri concrete (și, prin intermediul acestuia, a protecției datelor) în mod comparativ cu alte bunuri sau drepturi de același rang. În RGPD, adjectivul integral urmărește de asemenea să asigure acoperirea anumitor categorii de prejudicii (cele necorporale), să evite limitarea despăgubirii la prejudiciul efectiv (ea trebuie să includă și alte elemente, după cum Curtea a subliniat în alte materii) și să garanteze că o pluralitate de operatori nu va face mai dificil accesul la despăgubiri, ci dimpotrivă.