62023CJ0021_RES
Věc C‑21/23
ND
v.
DR
(žádost o rozhodnutí o předběžné otázce, kterou podal Bundesgerichtshof)
Rozsudek Soudního dvora (velkého senátu) ze dne 4. října 2024
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Kapitola VIII – Právní ochrana – Uvádění léčivých přípravků na trh lékárníkem prostřednictvím on‑line platformy – Žaloba podaná k civilním soudům konkurentem tohoto lékárníka na základě zákazu nekalých obchodních praktik z důvodu, že tento lékárník porušil povinnosti stanovené tímto nařízením – Aktivní legitimace – Článek 4 bod 15 a čl. 9 odst. 1 a 2 – Směrnice 95/46/ES – Článek 8 odst. 1 a 2 – Pojem ‚údaje o zdravotním stavu‘ – Podmínky pro zpracování takových údajů“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Prostředky právní ochrany – Demonstrativní povaha výčtu – Vnitrostátní právní úprava, která umožňuje konkurentovi údajného původce porušení povinností stanovených nařízením podat žalobu k civilním soudům na základě zákazu nekalých obchodních praktik – Přípustnost
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 77 až 80)
(viz body 53–57, 60, 62–73, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Pojem „údaje o zdravotním stavu“ – Informace poskytované při zadávání objednávek léčivých přípravků, které se týkají zákazníků provozovatele lékárny, jež nabízí tyto léčivé přípravky k prodeji na on‑line platformě – Informace o jméně zákazníků, dodací adrese, jakož i informace nezbytné k individualizaci léčivých přípravků – Zahrnutí – Prodej volně prodejných léčivých přípravků – Neexistence vlivu
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 body 1 a 15 a čl. 9 odst. 1; směrnice Evropského parlamentu a Rady 95/46, čl. 8 odst. 1)
(viz body 84, 88–91, výrok 2)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Zpracování zvláštních kategorií osobních údajů – Zákaz – Výjimky
(Nařízení Evropského parlamentu a Rady 2016/679, bod odůvodnění 53, čl. 9 odst. 1 a 2; směrnice Evropského parlamentu a Rady 95/46, čl. 8 odst. 1 a 2)
(viz body 86, 87, 92, 93)
Shrnutí
Velký senát Soudního dvora, ke kterému Bundesgerichtshof (Spolkový soudní dvůr, Německo) podal žádost o rozhodnutí o předběžné otázce, se vyjádřil k povaze a rozsahu systému právní ochrany v oblasti ochrany údajů (
1
) a k pojmu „údaje o zdravotním stavu“ (
2
).
ND a DR jsou dvě fyzické osoby, z nichž každá provozuje lékárnu v Německu. ND od roku 2017 uvádí na trh na on‑line platformě „Amazon-Marketplace“ léčivé přípravky, jejichž prodej je vyhrazen lékárnám. Při on‑line objednávce musí zákazníci ND zadat takové informace, jako je jejich jméno, dodací adresa a údaje nezbytné k individualizaci těchto léčivých přípravků.
Na základě německého práva v oblasti nekalé hospodářské soutěže (
3
) podal DR proti ND žalobu na zdržení se jednání k vnitrostátním civilním soudům. DR tvrdil, že uvádění léčivých přípravků na trh ze strany ND bylo nekalé z důvodu nedodržení zákonného požadavku na získání předchozího souhlasu zákazníka se zpracováním jeho údajů o zdravotním stavu.
Poté, co soudy nižšího stupně této žalobě vyhověly, podal ND opravný prostředek „Revision“ k předkládajícímu soudu, který považoval za nezbytné předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce.
Ve svém rozsudku Soudní dvůr dospěl k závěru, že systém prostředků nápravy zavedený GDPR má demonstrativní povahu a uznal, že toto nařízení nebrání tomu, aby členské státy ve vnitrostátním právu stanovily možnost konkurentů údajného původce porušení hmotněprávních ustanovení uvedeného nařízení napadnout toto porušení z důvodu nekalosti obchodní praktiky. Dále poskytl upřesnění k výkladu pojmu „údaje o zdravotním stavu“.
Závěry Soudního dvora
Na prvním místě Soudní dvůr uvedl, že i když kapitola VIII GDPR neobsahuje specificky otevřené ustanovení, které by členským státům výslovně umožňovalo stanovit takovou možnost konkurentů podat žalobu, ze znění a kontextu ustanovení kapitoly VIII vyplývá, že unijní normotvůrce nechtěl tuto možnost vyloučit. Tento výklad je potvrzen cíli sledovanými GDPR.
Žaloba na zdržení se jednání podaná konkurentem proti podniku na základě zákazu nekalých obchodních praktik z důvodu údajného porušení hmotněprávních ustanovení GDPR totiž zaprvé nijak nenarušuje systém právní ochrany stanovený tímto nařízením ani cíl zajistit jednotnou úroveň ochrany fyzických osob v celé Evropské unii a zabránit tomu, aby rozdíly bránily volnému pohybu osobních údajů v rámci vnitřního trhu.
V této souvislosti Soudní dvůr upřesnil, že je pravda, že taková žaloba se může, byť incidenčně, zakládat na porušení stejných ustanovení GDPR, jako jsou ustanovení, na kterých by mohla být založena stížnost nebo žaloba podaná subjektem údajů nebo sdružením zastupujícím tyto osoby (
4
). Přesto však na rozdíl od této právní ochrany stanovené nařízením GDPR, žaloba na zdržení se jednání podaná konkurentem jako taková nesleduje cíl ochrany základních práv a svobod subjektů údajů v souvislosti se zpracováním jejich osobních údajů, ale směřuje k zajištění spravedlivé hospodářské soutěže, zejména v zájmu tohoto konkurenta.
Navíc možnost konkurenta podat takovou žalobu k civilním soudům na základě zákazu nekalých obchodních praktik doplňuje prostředky právní ochrany zavedené nařízením GDPR, které jsou plně zachovány a mohou být vždy podány subjekty údajů, jakož i případně sdruženími zastupujícími tyto osoby. Konkrétně koexistence prostředků nápravy podle práva na ochranu údajů a práva hospodářské soutěže zejména nevytváří riziko pro jednotné uplatňování tohoto nařízení.
Nadto širší možností dovolávat se hmotněprávních ustanovení GDPR ze strany jiných osob než samotných subjektů údajů a subjektů, organizací a sdružení není ohroženo dosažení cíle zajistit jednotnou úroveň ochrany těchto osob v celé Unii a zabránit tomu, aby rozdíly bránily volnému pohybu osobních údajů na vnitřním trhu. I kdyby totiž některé členské státy takovou možnost nestanovily, nevedlo by to k roztříštěnosti provádění ochrany údajů v Unii, neboť hmotněprávní ustanovení GDPR jsou závazná pro všechny správce stejným způsobem a jejich dodržování je zajištěno prostředky právní ochrany stanovenými v tomto nařízení.
Pokud jde zadruhé o cíl zajistit účinnou ochranu subjektů údajů v souvislosti se zpracováním jejich osobních údajů a užitečný účinek hmotněprávních ustanovení GDPR, Soudní dvůr konstatoval, že i když žaloba na zdržení se jednání podaná konkurentem údajného původce porušení ochrany osobních údajů nesměřuje k tomuto cíli, ale k zajištění spravedlivé hospodářské soutěže, nic to nemění na tom, že tato žaloba nesporně přispívá k dodržování těchto ustanovení, a tedy k posílení práv subjektu údajů a k zajištění vysoké úrovně ochrany. Taková žaloba na zdržení se jednání podaná konkurentem může být ostatně stejně jako žaloba sdružení na ochranu zájmů spotřebitelů zvláště účinná k zajištění takové ochrany, jelikož umožňuje předejít velkému počtu porušení práv subjektů dotčených zpracováním jejich osobních údajů (
5
).
Soudní dvůr tedy konstatoval, že ustanovení GDPR o systému právní ochrany musí být vykládána v tom smyslu, že nebrání takové vnitrostátní právní úpravě, podle níž – vedle pravomocí k zásahům dozorových úřadů pověřených dohledem a uplatňováním tohoto nařízení a vedle možností subjektů údajů podat prostředek právní ochrany – mají konkurenti rovněž možnost bránit se v případě porušení uvedeného nařízení proti jeho údajnému porušovateli cestou podání žaloby k civilnímu soudu, a to z důvodu porušení uvedeného nařízení a na základě zákazu nekalých obchodních praktik.
Na druhém místě, co se týče pojmu „údaje o zdravotním stavu“, konstatoval Soudní dvůr, že pod tento pojem spadají údaje, které zákazník zadává na on‑line platformě při objednávce léčivých přípravků, jejichž prodej je vyhrazen lékárnám. Tyto údaje totiž umožňují prostřednictvím myšlenkového pochodu spočívajícího v dedukci nebo spojení souvislostí odhalit informace o zdravotním stavu subjektu údajů (
6
), jelikož při této objednávce je vytvářena spojitost mezi léčivým přípravkem, jeho léčebnými indikacemi nebo použitím a fyzickou osobou identifikovanou nebo identifikovatelnou pomocí takových informací, jako je jméno této osoby nebo adresa dodání.
Soudní dvůr krom toho dospěl k závěru, že v této souvislosti není rozhodné, že prodej objednaných léčivých přípravků nepodléhá lékařskému předpisu a ty by tak mohly být určeny nikoli zákazníkovi, který je objednává, ale třetím osobám. Pokud tedy uživatel on‑line platformy sdělí osobní údaje při objednávání léčivých přípravků, jejichž prodej je vyhrazen lékárnám, aniž je vázán na lékařský předpis, musí být zpracování těchto údajů provozovatelem lékárny, která tyto léčivé přípravky prodává prostřednictvím této on‑line platformy, považováno za zpracování údajů o zdravotním stavu (
7
), neboť takové zpracování může odhalit informace o zdravotním stavu fyzické osoby, ať již se tyto informace týkají uživatele této platformy, nebo jakékoli jiné fyzické osoby, pro kterou uživatel objednávku provádí (
8
).
Výklad, který by vedl k rozlišování podle druhu dotčených léčivých přípravků a skutečnosti, zda jejich prodej podléhá lékařskému předpisu, či nikoli, by totiž nebyl v souladu s cílem vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním jejich osobních údajů. Takový výklad by navíc byl v rozporu s účelem čl. 8 odst. 1 směrnice 95/46 a čl. 9 odst. 1 GDPR, který spočívá v zajištění zvýšené ochrany proti zpracování, které z důvodu zvláštní citlivosti těchto údajů při takovém zpracování mohou zvláště závažným způsobem zasáhnout do základních práv na respektování soukromého života a na ochranu osobních údajů (
9
). Informace, které zákazníci zadávají při on‑line objednávce léčivých přípravků, jejichž prodej je vyhrazen lékárnám a které nepodléhají lékařskému předpisu, tudíž představují údaje o zdravotním stavu, i když je pouze do jisté míry pravděpodobné, a nikoli absolutně jisté, že tyto léčivé přípravky jsou určeny těmto zákazníkům.
Soudní dvůr dodal, že kromě toho nelze vyloučit, že i v případě, kdy jsou tyto léčivé přípravky objednány pro jiné osoby než pro uvedené zákazníky, je možné tyto osoby identifikovat a vyvodit závěry o jejich zdravotním stavu. Tak by tomu mohlo být například v případě, kdy jsou dotčené léčivé přípravky dodány nikoli do bydliště zákazníka, který si je objednal, ale do bydliště jiné osoby, nebo pokud zákazník bez ohledu na adresu dodání zmínil ve své objednávce nebo v komunikaci s ní související jinou identifikovatelnou osobu, například člena své rodiny.
Soudní dvůr dále uvedl, že skutečnost, že takové informace představují údaje o zdravotním stavu, nebrání tomu, aby mohly být zpracovávány, zejména v rámci správy zdravotnických služeb a systémů, pokud je splněna jedna z podmínek (
10
). Tak tomu může být zejména v případě, kdy subjekt údajů udělí výslovný souhlas s jednou nebo více operacemi zpracování těchto osobních údajů, jejichž charakteristika a konkrétní účely mu byly prezentovány přesným, úplným a snadno srozumitelným způsobem. Takové zpracování může být rovněž přípustné, pokud je nezbytné pro účely zdravotní péče na základě unijního práva, práva členského státu nebo na základě smlouvy uzavřené se zdravotnickým pracovníkem.
(
1
) – Kapitola VIII nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
(
2
) – Uvedené v čl. 8 odst. 1 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15. s. 355) a v čl. 9 odst. 1 GDPR.
(
3
) – Gesetz gegen den unlauteren Wettbewerb (zákon proti nekalé hospodářské soutěži) ze dne 3. července 2004 (BGBl. 2004 I, s. 1414), ve znění použitelném na spor v původním řízení.
(
4
) – Články 77 až 80 GDPR.
(
5
) – V tomto smyslu viz rozsudek ze dne 28. dubna 2022, Meta Platforms Ireland (C 319/20, EU:C:2022:322, body 74 a 75).
(
6
) – Ve smyslu čl. 4 bodu 1 GDPR.
(
7
) – Ve smyslu čl. 8 odst. 1 směrnice 95/46 a čl. 9 odst. 1 GDPR.
(
8
) – V tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C 252/21, EU:C:2023:537, bod 73).
(
9
) – Viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C 184/20, EU:C:2022:601, bod 126 a citovaná judikatura).
(
10
) – Podmínky stanovené v čl. 8 odst. 2 směrnice 95/46 a čl. 9 odst. 2 GDPR.