62023CJ0021_RES
Mål C‑21/23
ND
mot
DR
(begäran om förhandsavgörande från Bundesgerichtshof)
Domstolens dom (stora avdelningen) av den 4 oktober 2024
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Kapitel VIII – Rättsmedel – E‑handel med läkemedel som bedrivs av ett apoteksföretag på en elektronisk marknadsplats – En konkurrent till detta apoteksföretag har väckt talan vid allmän domstol mot företaget med stöd av förbudet mot otillbörliga affärsmetoder i syfte att få företagets överträdelse av skyldigheter enligt förordning 2016/679 att upphöra – Talerätt – Artiklarna 4.15 samt 9.1 och 9.2 i förordning 2016/679 – Direktiv 95/46/EG – Artikel 8.1 och 8.2 – Begreppet hälsouppgifter – Förutsättningar för behandling av sådana uppgifter”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rättsmedel – Nationell lagstiftning som ger en möjlighet för konkurrenter till ett företag som påstås ha gjort sig skyldigt till överträdelser av skyldigheter enligt dataskyddsförordningen att väcka talan vid allmän domstol med stöd av förbudet mot otillbörliga affärsmetoder – Tillåtet
(Europaparlamentets och rådets förordning 2016/679, artiklarna 77–80)
(se punkterna 53–57, 60 och 62–73 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Begreppet hälsouppgifter – Uppgifter som kunder till ett apoteksföretag som bedriver e-handel med apoteksexklusiva läkemedel på en e-handelsplattform måste lämna när de beställer läkemedel på plattformen – Uppgifter om kundens namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen – Omfattas – Försäljning av receptfria läkemedel – Saknar betydelse
(Europaparlamentets och rådets förordning 2016/679, artiklarna 4.1 och 4.15 samt 9.1; Europaparlamentets och rådets direktiv 95/46, artikel 8.1)
(se punkterna 84 och 88–91 samt punkt 2 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Behandling av särskilda kategorier av personuppgifter – Förbud – Undantag
(Europaparlamentets och rådets förordning 2016/679, skäl 53 samt artikel 9.1 och 9.2; Europaparlamentets och rådets direktiv 95/46, artikel 8.1 och 8.2)
(se punkterna 86, 87, 92 och 93)
Resumé
Med anledning av en begäran om förhandsavgörande från Bundesgerichtshof (Federala högsta domstolen, Tyskland) uttalar sig EU-domstolen (stora avdelningen) om arten och räckvidden av bestämmelserna om rättsmedel på området för skydd av personuppgifter (
1
) samt om begreppet hälsouppgifter (
2
).
Bakgrunden till målet är följande. ND och DR, två fysiska personer, driver var sitt apoteksföretag i Tyskland. Sedan år 2017 bedriver ND:s apoteksföretag, ”Lindenapotheke”, e-handel med läkemedel som endast får säljas på apotek (nedan kallade apoteksexklusiva läkemedel) på e-handelsplattformen Amazon-Marketplace. När Lindenapothekes kunder gör beställningar av läkemedel via företagets e-handelsbutik måste de lämna en rad uppgifter, såsom namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen.
DR väckte talan mot ND vid allmän domstol i Tyskland med stöd av den tyska lagen om otillbörlig konkurrens (
3
) och yrkade att ND skulle föreläggas att vid vite upphöra med sin försäljning av läkemedel. Till stöd för sin talan gjorde DR gällande att Lindenapothekes e‑handelsförsäljning av läkemedel var otillbörlig, på grund av att företaget inte uppfyllde det lagstadgade kravet på att inhämta kundernas samtycke till behandling av deras hälsouppgifter.
Sedan underinstanserna bifallit DR:s talan överklagade ND till den hänskjutande domstolen, som i sin tur ansåg att det var nödvändigt att begära ett förhandsavgörande från EU‑domstolen.
I sin dom slår EU-domstolen fast att det rättsmedelssystem som införts genom dataskyddsförordningen inte är uttömmande. Detta innebär enligt domstolen att förordningen inte utgör hinder för att medlemsstaterna i sin nationella lagstiftning föreskriver en möjlighet för konkurrenter till ett företag som påstås ha begått en överträdelse av de materiella bestämmelserna i förordningen att väcka talan mot företaget på den grunden att överträdelsen utgör en otillbörlig affärsmetod. EU-domstolen preciserar även gränserna för begreppet hälsouppgifter.
EU-domstolens bedömning
I den första delen av sin bedömning påpekar EU-domstolen att kapitel VIII i dataskyddsförordningen visserligen inte specifikt innehåller någon så kallad öppningsklausul som uttryckligen gör det möjligt för medlemsstaterna att föreskriva en sådan talemöjlighet för konkurrenter. Det framgår dock av ordalydelsen i bestämmelserna i kapitel VIII och av det sammanhang i vilket de ingår att unionslagstiftarens avsikt inte har varit att utesluta en sådan talemöjlighet. Denna tolkning vinner stöd av de mål som eftersträvas med dataskyddsförordningen.
EU-domstolen konstaterar nämligen att möjligheten för en konkurrent till ett företag att väcka talan om förbudsföreläggande mot detta företag med stöd av förbudet mot otillbörliga affärsmetoder, på grund av att företaget påstås ha begått en överträdelse av de materiella bestämmelserna i dataskyddsförordningen, inte inverkar negativt på det rättsmedelssystem som föreskrivs i förordningen eller på möjligheten att uppnå målet att säkerställa en enhetlig skyddsnivå för fysiska personer i hela unionen samt att undvika avvikelser som hindrar den fria rörligheten av personuppgifter på den inre marknaden.
I detta sammanhang preciserar EU-domstolen att det visserligen är möjligt att, om än indirekt, grunda en sådan talan på ett påstående om att det skett en överträdelse av samma bestämmelser i dataskyddsförordningen som de som registrerade eller en ideell organisation som företräder registrerade skulle kunna lägga till grund för ett klagomål eller en talan. (
4
) EU‑domstolen påpekar dock att en talan om förbudsföreläggande som väcks av en konkurrent inte i sig – till skillnad från de i dataskyddsförordningen angivna rättsmedlen – syftar till att skydda de registrerades grundläggande fri- och rättigheter vid behandling av deras personuppgifter, utan till att säkerställa konkurrens på lika villkor, bland annat i den processförande konkurrentens intresse.
EU-domstolen anför vidare att möjligheten för en konkurrent att väcka en sådan talan vid allmän domstol med stöd av förbudet mot otillbörliga affärsmetoder ska anses utgöra ett komplement till de rättsmedel som föreskrivs i dataskyddsförordningen, vilka utan hinder av en sådan talemöjlighet fortsatt står till buds för och alltid kan utnyttjas av registrerade och, i förekommande fall, av ideella organisationer som företräder registrerade. I synnerhet gäller enligt domstolen att det förhållandet att dataskyddsrättsliga och konkurrensrättsliga rättsmedel existerar parallellt med varandra inte utgör något hot mot dataskyddsförordningens enhetliga tillämpning.
EU-domstolen finner även att den omständigheten att inte bara registrerade och ideella organisationer, utan även andra personer, ges möjlighet att åberopa förordningens materiella bestämmelser inte utgör något hot mot uppnåendet av målet att säkerställa en enhetlig skyddsnivå för registrerade i hela unionen och att undvika avvikelser som hindrar den fria rörligheten för personuppgifter på den inre marknaden. Även om vissa medlemsstater inte föreskriver en sådan möjlighet leder detta nämligen inte till att genomförandet av skyddet av uppgifter i unionen blir fragmenterat, eftersom de materiella bestämmelserna i dataskyddsförordningen gäller på samma sätt för alla företag och eftersom iakttagandet av dem säkerställs genom de rättsmedel som föreskrivs i den.
EU-domstolen övergår därefter till att behandla det med dataskyddsförordningen eftersträvade målet att säkerställa att registrerade ges ett effektivt skydd vid behandling av deras personuppgifter och att de materiella bestämmelserna i förordningen får genomslag. Domstolen konstaterar i detta avseende att syftet med en talan om förbudsföreläggande som en konkurrent till ett företag väcker mot detta företag med stöd av förbudet mot otillbörliga affärsmetoder, på grund av att företaget påstås ha begått en överträdelse av bestämmelser om skydd av personuppgifter visserligen inte är att uppnå detta mål, utan att uppnå målet att säkerställa konkurrens på lika villkor. Faktum kvarstår dock att en sådan talan otvivelaktigt bidrar till efterlevnaden av nämnda bestämmelser i förordningen och därmed till att stärka de registrerades rättigheter samt till att tillförsäkra dessa en hög skyddsnivå. Därutöver kan en sådan konkurrensrättslig talan om förbudsföreläggande – i likhet med en talan som väcks av en konsumentskyddsorganisation – visa sig vara särskilt effektiv för att säkerställa det eftersträvade skyddet, eftersom den kan bidra till att förhindra ett stort antal rättighetskränkningar för registrerade i samband med behandling av deras personuppgifter. (
5
)
Mot bakgrund av det ovan angivna slår EU-domstolen fast att dataskyddsförordningens bestämmelser om rättsmedel i kapitel VIII i ska tolkas på så sätt att de inte utgör hinder för en nationell lagstiftning som – vid sidan av de ingripandebefogenheter som tillkommer tillsynsmyndigheter med ansvar för att övervaka och säkerställa efterlevnaden av förordningen samt vid sidan av de registrerades möjligheter att tillvarata sina rättigheter på rättslig väg – ger en möjlighet för konkurrenter till ett företag som påstås ha åsidosatt bestämmelser om skydd av personuppgifter att med stöd av förbudet mot otillbörliga affärsmetoder väcka talan mot detta företag vid allmän domstol på grund av överträdelser av dataskyddsförordningen.
I den andra delen av sin bedömning konstaterar EU-domstolen att begreppet hälsouppgifter omfattar uppgifter som en kund lämnar vid beställning av apoteksexklusiva läkemedel på en e-handelsplattform. Dessa uppgifter är nämligen till sin karaktär sådana att de, genom associering eller slutledning, kan avslöja information om den registrerades hälsotillstånd (
6
). En sådan beställning innebär nämligen att det skapas ett samband mellan ett läkemedel, dess terapeutiska indikationer eller dess användning, och en fysisk person som är identifierad eller identifierbar genom exempelvis namn eller leveransadress.
EU-domstolen finner även att det i detta avseende saknar betydelse såväl att de beställda läkemedlen inte är receptbelagda som att det skulle kunna vara så att läkemedlen inte är avsedda för den kund som gjort beställningen, utan för någon annan person. Det sagda innebär enligt domstolen följande. När en användare av en e-handelsplattform lämnar personuppgifter i samband med beställning av apoteksexklusiva receptfria läkemedel, och dessa uppgifter behandlas av ett apoteksföretag som säljer dessa läkemedel via plattformen, så ska det anses vara fråga om behandling av hälsouppgifter (
7
). Detta eftersom denna personuppgiftsbehandling till sin karaktär är sådan att den kan avslöja information om en fysisk persons hälsotillstånd, oavsett om informationen rör användaren eller någon annan person för vars räkning användaren gör beställningen. (
8
)
Det skulle nämligen strida mot dataskyddsförordningens mål om att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av deras personuppgifter att tolka nämnda bestämmelser på så sätt att det ska göras en distinktion utifrån vilken typ av läkemedel det är fråga om och huruvida de är receptbelagda eller inte. En sådan tolkning skulle dessutom strida mot syftet med 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen, vilket är att säkerställa ett utökat skydd mot personuppgiftsbehandling som på grund av att den avser särskilt känsliga uppgifter kan utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter. (
9
) Detta innebär att information som ett apoteksföretags kunder lämnar i samband med att de beställer apoteksexklusiva receptfria läkemedel på en e-handelsplattform utgör hälsouppgifter, även om det endast med viss grad av sannolikhet, och inte med full säkerhet, kan fastställas att dessa läkemedel är avsedda för kunderna som beställt dem.
Härtill kommer att det även i det fallet att läkemedlen är avsedda för andra personer än kunderna som beställt dem inte kan uteslutas att det skulle kunna gå att identifiera dessa personer och att dra slutsatser om deras hälsotillstånd. Så skulle exempelvis kunna vara fallet när de aktuella läkemedlen inte levereras till den beställande kundens hemadress, utan till en annan persons hemadress. Detta skulle även kunna hända i fall där kunden – oavsett vilken leveransadress som angetts – i sin beställning eller i sina meddelanden angående beställningen har hänvisat till en annan identifierbar person, till exempel en familjemedlem.
Slutligen konstaterar EU-domstolen att den omständigheten att information av nu aktuellt slag utgör hälsouppgifter inte utgör hinder för att den kan bli föremål för behandling, särskilt i samband med förvaltning av hälso- och sjukvårdstjänster och hälso- och sjukvårdssystem, om något av villkoren för detta är uppfyllt. (
10
) Så kan särskilt vara fallet om den registrerade ger sitt uttryckliga samtycke till en eller flera typer av behandling av dessa personuppgifter, efter att ha fått klar, fullständig och lättförståelig information om hur och för vilka specifika ändamål uppgifterna kommer att behandlas. Sådan personuppgiftsbehandling kan också vara tillåten om den är nödvändig för att kunna tillhandahålla hälso- och sjukvård på grundval av unionsrätten, medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet.
(
1
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT 2016, L 119, s. 1) (nedan kallad dataskyddsförordningen).
(
2
)	I den mening som avses i artikel 8.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) respektive i artikel 9.1 i dataskyddsförordningen.
(
3
)	Gesetz gegen den unlauteren Wettbewerb (lag om förbud mot otillbörlig konkurrens) av den 3 juli 2004 (BGBl. 2004 I, s. 1414), i den lydelse som är tillämplig i det nationella målet.
(
4
)	Artiklarna 77–80 i dataskyddsförordningen.
(
5
)	Se, för ett liknande resonemang, dom av den 28 april 2022, Meta Platforms Ireland, C‑19/20, EU:C:2022:322, punkterna 74 och 75).
(
6
)	I den mening som avses i artikel 4.1 i dataskyddsförordningen.
(
7
)	I den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen.
(
8
)	Se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑52/21, EU:C:2023:537, punkt 73).
(
9
)	Se dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑84/20, EU:C:2022:601, punkt 126 och där angiven rättspraxis).
(
10
)	Det vill säga de villkor som anges i artikel 8.2 i direktiv 95/46 och i artikel 9.2 i dataskyddsförordningen.