62023CJ0021_RES
Υπόθεση C‑21/23
ND
κατά
DR
(αίτηση του Bundesgerichtshof για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (τμήμα μείζονος συνθέσεως) της 4ης Οκτωβρίου 2024
«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Κεφάλαιο VIII – Μέσα έννομης προστασίας – Εμπορία φαρμάκων από φαρμακοποιό μέσω διαδικτυακής πλατφόρμας – Αγωγή ασκηθείσα ενώπιον των πολιτικών δικαστηρίων από ανταγωνιστή του φαρμακοποιού, επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, λόγω παράβασης από τον φαρμακοποιό των υποχρεώσεων που προβλέπει ο κανονισμός αυτός – Ενεργητική νομιμοποίηση – Άρθρο 4, σημείο 15, και άρθρο 9, παράγραφοι 1 και 2 – Οδηγία 95/46/ΕΚ – Άρθρο 8, παράγραφοι 1 και 2 – Έννοια των “δεδομένων που αφορούν την υγεία” – Προϋποθέσεις για την επεξεργασία τέτοιων δεδομένων»
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Μέσα έννομης προστασίας – Μη εξαντλητικός χαρακτήρας – Εθνική ρύθμιση η οποία επιτρέπει στους ανταγωνιστές του φερόμενου ως παραβάτη των προβλεπόμενων στον κανονισμό υποχρεώσεων να ασκήσουν αγωγή ενώπιον των πολιτικών δικαστηρίων επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών – Επιτρέπεται
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 77 έως 80)
(βλ. σκέψεις 53-57, 60, 62-73, διατακτ.1)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Έννοια των δεδομένων που αφορούν την υγεία – Πληροφορίες οι οποίες αφορούν τους πελάτες του έχοντος την εκμετάλλευση φαρμακείου που πωλεί φάρμακα σε διαδικτυακή πλατφόρμα και οι οποίες παρέχονται κατά την παραγγελία των φαρμάκων αυτών – Πληροφορίες αφορώσες το όνομα των πελατών και τη διεύθυνση παράδοσης, καθώς και πληροφορίες αναγκαίες για την εξατομίκευση των φαρμάκων – Εμπίπτουν – Πώληση φαρμάκων για τα οποία δεν απαιτείται ιατρική συνταγή – Δεν ασκεί επιρροή
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4, σημεία 1 και 15, και 9 § 1· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 8 § 1)
(βλ. σκέψεις 84, 88-91, διατακτ. 2)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα – Απαγόρευση – Παρεκκλίσεις
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 53, άρθρο 9 §§ 1 και 2· οδηγία 95/46 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 8 §§ 1 και 2)
(βλ. σκέψεις 86, 87, 92, 93)
Σύνοψη
Κατόπιν αιτήσεως προδικαστικής αποφάσεως που υπέβαλε το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία), το τμήμα μείζονος συνθέσεως του Δικαστηρίου αποφαίνεται επί της φύσεως και του περιεχομένου του συστήματος των μέσων έννομης προστασίας στον τομέα της προστασίας των δεδομένων (
1
), καθώς και επί της έννοιας των «δεδομένων που αφορούν την υγεία» (
2
).
Οι ND και DR, δύο φυσικά πρόσωπα, εκμεταλλεύονται έκαστος φαρμακείο στη Γερμανία. Από το 2017 ο ND διαθέτει στο εμπόριο, μέσω της διαδικτυακής πλατφόρμας «Amazon-Marketplace», φάρμακα τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία. Κατά τη διαδικτυακή παραγγελία των φαρμάκων, οι πελάτες του ND παρέχουν πληροφορίες, όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των φαρμάκων.
Στηριζόμενος στο γερμανικό δίκαιο περί αθέμιτου ανταγωνισμού (
3
), ο DR άσκησε αγωγή παραλείψεως κατά του ND ενώπιον των εθνικών πολιτικών δικαστηρίων. Ο DR ισχυρίστηκε ότι η εμπορία των φαρμάκων από τον ND ήταν αθέμιτη λόγω της μη τήρησης της νομικής απαίτησης σχετικά με τη λήψη της προηγούμενης συγκατάθεσης του πελάτη για την επεξεργασία των δεδομένων του που αφορούν την υγεία.
Αφού τα κατώτερα δικαστήρια έκαναν δεκτή την αγωγή, ο ND άσκησε αναίρεση (Revision) ενώπιον του αιτούντος δικαστηρίου, το οποίο έκρινε αναγκαίο να υποβάλει στο Δικαστήριο αίτηση προδικαστικής αποφάσεως.
Το Δικαστήριο, με την απόφασή του, καταλήγει στο συμπέρασμα ότι το σύστημα των μέσων έννομης προστασίας που καθιερώνει ο ΓΚΠΔ δεν είναι εξαντλητικό και αναγνωρίζει ότι ο κανονισμός αυτός δεν απαγορεύει στα κράτη μέλη να προβλέπουν στο εθνικό δίκαιο τη δυνατότητα των ανταγωνιστών του φερόμενου ως παραβάτη των ουσιαστικών διατάξεων του εν λόγω κανονισμού να προσφύγουν δικαστικώς κατά της παράβασης αυτής υποστηρίζοντας ότι συνιστά αθέμιτη εμπορική πρακτική. Επιπλέον, το Δικαστήριο παρέχει διευκρινίσεις σχετικά με την οριοθέτηση της έννοιας των «δεδομένων που αφορούν την υγεία».
Εκτίμηση του Δικαστηρίου
Πρώτον, το Δικαστήριο επισημαίνει ότι, μολονότι το κεφάλαιο VIII του ΓΚΠΔ δεν προβλέπει ειδικώς ρήτρα ανοίγματος η οποία να επιτρέπει ρητώς στα κράτη μέλη να προβλέπουν δυνατότητα άσκησης τέτοιων μέσων έννομης προστασίας, εντούτοις από το γράμμα των διατάξεων του εν λόγω κεφαλαίου VIII και από το πλαίσιο εντός του οποίου εντάσσονται οι εν λόγω διατάξεις προκύπτει ότι ο νομοθέτης της Ένωσης δεν θέλησε να αποκλείσει τη δυνατότητα αυτή. Οι σκοποί τους οποίους επιδιώκει ο κανονισμός ΓΚΠΔ ενισχύουν την εν λόγω ερμηνεία.
Πράγματι, αφενός, αγωγή παραλείψεως ασκούμενη από ανταγωνιστή κατά επιχείρησης, επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, λόγω φερόμενης παράβασης των ουσιαστικών διατάξεων του ΓΚΠΔ, ουδόλως θίγει το σύστημα μέσων έννομης προστασίας που προβλέπει ο κανονισμός αυτός, ούτε τον σκοπό διασφάλισης συνεκτικού επιπέδου προστασίας των φυσικών προσώπων σε ολόκληρη την Ευρωπαϊκή Ένωση και αποτροπής αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της εσωτερικής αγοράς.
Στο πλαίσιο αυτό, το Δικαστήριο διευκρινίζει ότι, ασφαλώς, μια τέτοια αγωγή δύναται να στηρίζεται, έστω και παρεμπιπτόντως, στην παράβαση των ίδιων διατάξεων του ΓΚΠΔ με εκείνες επί των οποίων θα μπορούσε να στηριχθεί καταγγελία ή προσφυγή ασκούμενη από τα υποκείμενα των δεδομένων ή από ένωση που εκπροσωπεί τα πρόσωπα αυτά (
4
). Παρά ταύτα, σε αντίθεση με τα μέσα έννομης προστασίας που προβλέπει ο ΓΚΠΔ, η ασκούμενη από ανταγωνιστή αγωγή παραλείψεως δεν αποσκοπεί, αυτή καθεαυτήν, στην προστασία των θεμελιωδών ελευθεριών και δικαιωμάτων των υποκειμένων των δεδομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα, αλλά στη διασφάλιση θεμιτού ανταγωνισμού, και δη προς όφελος του συγκεκριμένου ανταγωνιστή.
Επιπλέον, η δυνατότητα ενός ανταγωνιστή να ασκήσει τέτοια αγωγή ενώπιον των πολιτικών δικαστηρίων επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών προστίθεται στα μέσα έννομης προστασίας που προβλέπει ο ΓΚΠΔ, τα οποία ουδόλως θίγονται και μπορούν πάντοτε να ασκηθούν από τα υποκείμενα των δεδομένων καθώς και, κατά περίπτωση, από τις ενώσεις που εκπροσωπούν τα πρόσωπα αυτά. Ειδικότερα, η συνύπαρξη μέσων έννομης προστασίας τα οποία εμπίπτουν στο δίκαιο της προστασίας των δεδομένων και στο δίκαιο του ανταγωνισμού δεν δημιουργεί κίνδυνο για την ομοιόμορφη εφαρμογή του εν λόγω κανονισμού.
Επιπροσθέτως, η διευρυμένη δυνατότητα επίκλησης των ουσιαστικών διατάξεων του ΓΚΠΔ και από άλλα πρόσωπα, και όχι μόνο από τα υποκείμενα των δεδομένων και τους φορείς, τις οργανώσεις και τις ενώσεις, δεν θίγει την επίτευξη του σκοπού της διασφάλισης συνεκτικού επιπέδου προστασίας των υποκειμένων των δεδομένων σε ολόκληρη την Ένωση και της αποφυγής αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της εσωτερικής αγοράς. Πράγματι, ακόμη και αν κάποια κράτη μέλη δεν προβλέπουν τέτοια δυνατότητα, τούτο δεν συνεπάγεται κατακερματισμό της εφαρμογής της προστασίας δεδομένων εντός της Ένωσης, δεδομένου ότι οι ουσιαστικές διατάξεις του ΓΚΠΔ επιβάλλονται κατά τον ίδιο τρόπο σε όλους τους υπευθύνους επεξεργασίας, η δε τήρησή τους διασφαλίζεται με τα μέσα έννομης προστασίας που προβλέπει ο εν λόγω κανονισμός.
Αφετέρου, όσον αφορά τον σκοπό της διασφάλισης αποτελεσματικής προστασίας των υποκειμένων των δεδομένων έναντι της επεξεργασίας των προσωπικών τους δεδομένων και την πρακτική αποτελεσματικότητα των ουσιαστικών διατάξεων του ΓΚΠΔ, το Δικαστήριο επισημαίνει ότι, μολονότι αγωγή παραλείψεως ασκούμενη από ανταγωνιστή του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα δεν επιδιώκει τον σκοπό αυτόν, αλλά τον σκοπό της διασφάλισης θεμιτού ανταγωνισμού, εντούτοις συμβάλλει αναμφισβήτητα στην τήρηση των διατάξεων αυτών και, επομένως, στην ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων και στη διασφάλιση υψηλού επιπέδου προστασίας τους. Άλλωστε, μια τέτοια αγωγή παραλείψεως ασκηθείσα από ανταγωνιστή μπορεί να αποδειχθεί, όπως και η αγωγή των ενώσεων για την προστασία των συμφερόντων των καταναλωτών, ιδιαιτέρως αποτελεσματική για τη διασφάλιση της προστασίας αυτής, στο μέτρο που είναι ικανή να αποτρέψει μεγάλο αριθμό προσβολών των δικαιωμάτων των υποκειμένων των δεδομένων οι οποίες οφείλονται στην επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα (
5
).
Ως εκ τούτου, το Δικαστήριο διαπιστώνει ότι οι διατάξεις του ΓΚΠΔ σχετικά με το σύστημα μέσων έννομης προστασίας έχουν την έννοια ότι δεν αντιτίθενται σε εθνική ρύθμιση η οποία, παράλληλα με τις εξουσίες παρέμβασης των εποπτικών αρχών που είναι επιφορτισμένες με την εποπτεία και την εφαρμογή του κανονισμού αυτού καθώς και παράλληλα με τις δυνατότητες προσφυγής των υποκειμένων των δεδομένων, παρέχει στους ανταγωνιστές του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα ενεργητική νομιμοποίηση για την άσκηση αγωγής κατ’ αυτού ενώπιον των πολιτικών δικαστηρίων, λόγω παραβάσεων του ΓΚΠΔ και επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών.
Δεύτερον, όσον αφορά την έννοια των «δεδομένων που αφορούν την υγεία», το Δικαστήριο διαπιστώνει ότι εμπίπτουν στην έννοια αυτή τα δεδομένα τα οποία ο πελάτης εισάγει σε διαδικτυακή πλατφόρμα κατά την παραγγελία φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία. Πράγματι, τα δεδομένα αυτά είναι ικανά να αποκαλύψουν, μέσω νοητικής διεργασίας συσχετισμού ή επαγωγής, πληροφορίες σχετικά με την κατάσταση της υγείας του υποκειμένου των δεδομένων (
6
), στο μέτρο που η εν λόγω παραγγελία συνεπάγεται τη σύνδεση ενός φαρμάκου, των θεραπευτικών ενδείξεων ή των χρήσεών του με ένα φυσικό πρόσωπο, ταυτοποιημένο ή ταυτοποιήσιμο βάσει στοιχείων όπως το όνομα του προσώπου αυτού και η διεύθυνση παράδοσης.
Επιπλέον, το Δικαστήριο κρίνει ότι είναι αδιάφορο συναφώς ότι για την πώληση των φαρμάκων που παραγγέλλονται δεν απαιτείται ιατρική συνταγή και ότι, επομένως, μπορούν να μην προορίζονται για τον πελάτη που προβαίνει στην παραγγελία, αλλά για τρίτα πρόσωπα. Ως εκ τούτου, στην περίπτωση κατά την οποία χρήστης διαδικτυακής πλατφόρμας γνωστοποιεί δεδομένα προσωπικού χαρακτήρα κατά την παραγγελία φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, χωρίς να απαιτείται ιατρική συνταγή, η επεξεργασία των δεδομένων αυτών από τον έχοντα την εκμετάλλευση φαρμακείου που πωλεί τα φάρμακα μέσω της διαδικτυακής πλατφόρμας πρέπει να θεωρείται ως επεξεργασία δεδομένων που αφορούν την υγεία (
7
), δεδομένου ότι η επεξεργασία αυτή είναι ικανή να αποκαλύψει πληροφορίες σχετικά με την κατάσταση της υγείας φυσικού προσώπου, ανεξαρτήτως του αν οι πληροφορίες αυτές αφορούν τον συγκεκριμένο χρήστη ή κάθε άλλο πρόσωπο για λογαριασμό του οποίου ο χρήστης προβαίνει στην παραγγελία (
8
).
Πράγματι, ερμηνεία που θα κατέληγε σε διάκριση αναλόγως του είδους των οικείων φαρμάκων και του αν για την πώλησή τους απαιτείται ή όχι ιατρική συνταγή δεν θα ήταν σύμφωνη με τον σκοπό που συνίσταται στην επίτευξη υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, ιδίως της ιδιωτικής ζωής τους, έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν. Μια τέτοια ερμηνεία θα αντέβαινε άλλωστε στον σκοπό του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση αυξημένης προστασίας έναντι επεξεργασίας η οποία, λόγω του ιδιαίτερα ευαίσθητου χαρακτήρα των δεδομένων που αφορά, μπορεί να συνιστά ιδιαιτέρως σοβαρή επέμβαση στα θεμελιώδη δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα (
9
). Ως εκ τούτου, οι πληροφορίες τις οποίες οι πελάτες παρέχουν κατά την διαδικτυακή παραγγελία φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, χωρίς να απαιτείται ιατρική συνταγή, συνιστούν δεδομένα που αφορούν την υγεία, ακόμη και αν υπάρχει μόνον ορισμένος βαθμός πιθανότητας, και όχι απόλυτη βεβαιότητα, ότι τα φάρμακα αυτά προορίζονται για τους συγκεκριμένους πελάτες.
Το Δικαστήριο προσθέτει ότι δεν μπορεί να αποκλειστεί το ενδεχόμενο, ακόμη και στην περίπτωση που τέτοια φάρμακα προορίζονται για πρόσωπα διαφορετικά από τους πελάτες, να είναι δυνατή η ταυτοποίηση των προσώπων αυτών και η συναγωγή συμπερασμάτων σχετικά με την κατάσταση της υγείας τους. Τούτο θα μπορούσε να συμβεί, για παράδειγμα, όταν τα εν λόγω φάρμακα δεν παραδίδονται στην κατοικία του πελάτη που τα παρήγγειλε, αλλά στην κατοικία άλλου προσώπου, ή όταν, ανεξαρτήτως της διεύθυνσης παράδοσης, ο πελάτης αναφέρθηκε, με την παραγγελία του ή με τις σχετικές με αυτήν επικοινωνίες του, σε άλλο πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, όπως είναι ένα μέλος της οικογενείας του.
Τέλος, το Δικαστήριο παρατηρεί ότι το γεγονός ότι οι επίμαχες πληροφορίες συνιστούν δεδομένα που αφορούν την υγεία δεν εμποδίζει την υποβολή τους σε επεξεργασία, ιδίως στο πλαίσιο της διαχείρισης των υπηρεσιών και των συστημάτων υγειονομικής περίθαλψης, εφόσον πληρούται μία από τις προϋποθέσεις που προβλέπονται συναφώς (
10
). Αφενός, τούτο μπορεί να συμβαίνει ιδίως όταν το υποκείμενο των δικαιωμάτων παρέχει τη ρητή συγκατάθεσή του για μία ή περισσότερες περιπτώσεις επεξεργασίας των εν λόγω δεδομένων προσωπικού χαρακτήρα, των οποίων τα συγκεκριμένα χαρακτηριστικά και οι συγκεκριμένοι σκοποί τού έχουν εκτεθεί κατά τρόπο ακριβή, πλήρη και εύληπτο. Αφετέρου, μια τέτοια επεξεργασία μπορεί να γίνει δεκτή όταν είναι αναγκαία για την παροχή υγειονομικής περίθαλψης βάσει του δικαίου της Ένωσης, του δικαίου κράτους μέλους ή δυνάμει σύμβασης που έχει συναφθεί με επαγγελματία του τομέα της υγείας.
(
1
)	Κεφάλαιο VIII του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
(
2
)	Στην οποία αναφέρονται, αντιστοίχως, το άρθρο 8, παράγραφος 1, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), και το άρθρο 9, παράγραφος 1, του ΓΚΠΔ.
(
3
)	Gesetz gegen den unlauteren Wettbewerb (νόμος περί αθέμιτου ανταγωνισμού), της 3ης Ιουλίου 2004 (BGBl. 2004 I, σ. 1414), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης.
(
4
)	Άρθρα 77 έως 80 του ΓΚΠΔ.
(
5
)	Πρβλ. απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, σκέψεις 74 και 75).
(
6
)	Κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ.
(
7
)	Κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ.
(
8
)	Πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (C‑252/21, EU:C:2023:537, σκέψη 73).
(
9
)	Βλ. απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, σκέψη 126 και εκεί μνημονευόμενη νομολογία).
(
10
)	Προϋποθέσεις προβλεπόμενες στο άρθρο 8, παράγραφος 2, της οδηγίας 95/46 και στο άρθρο 9, παράγραφος 2, του ΓΚΠΔ.