KOHTUJURISTI ETTEPANEK
MACIEJ SZPUNAR
esitatud 25. aprillil 2024(1)
Kohtuasi C‑21/23
ND
versus
DR
(eelotsusetaotlus, mille on esitanud Bundesgerichtshof (Saksamaa Liitvabariigi kõrgeim üldkohus))
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Õiguskaitsevahendid – Õiguskaitsevahendite piiritlemine – Isikuandmete eriliikide töötlemine – Mõisted „tervislikku seisundit käsitlevad andmed“ ja „terviseandmed“
I.      Sissejuhatus
1.        Käesolev kohtuasi puudutab määruse (EL) 2016/679(2) (edaspidi „isikuandmete kaitse üldmäärus“) mitme sätte tõlgendamist seoses esiteks selle määrusega loodud õiguskaitsevahendite süsteemiga ja teiseks eriliselt delikaatsete andmete kategooriaga, milleks on „terviseandmed“.
2.        Eelotsusetaotlus on esitatud seoses hagiga rikkumise lõpetamise nõudes, mis põhineb kõlvatu konkurentsi tegude keelul liikmesriigi õiguses ja mille on esitanud ettevõtja, et tema konkurenti kohustataks lõpetama käsimüügiravimite turustamine internetis. Selle ettevõtja sõnul seisneb väidetav kõlvatu konkurentsi tegu selles, et „terviseandmete“ töötlemisel ei täideta isikuandmete kaitse üldmääruse nõudeid.
3.        Alustan analüüsi teisest eelotsuse küsimusest, mis võimaldab Euroopa Kohtul täpsustada mõiste „terviseandmed“ piiritlemist, mis määrab, kas tuleb kohaldada tugevdatud kaitsekorda või mitte.
4.        Nimelt juhul, kui käesolevas kohtuasjas kõne all olevaid andmeid ei saa kvalifitseerida „terviseandmeteks“ isikuandmete kaitse üldmääruse artikli 9 lõike 1 tähenduses, tuleneks sellest, et väidetavat kõlvatu konkurentsi tegu ei ole toime pandud. Seega ei oleks tarvis vastata esimesele eelotsuse küsimusele, mis puudutab seda, kas isikuandmete kaitse üldmäärusega loodud õiguskaitsevahendite süsteem võimaldab seda, et liikmesriigi õigus lubab esitada kõlvatu konkurentsi keelu eeskirjade rikkumise põhjal hagi, milles hageja väidab, et on rikutud isikuandmete kaitse üldmääruse materiaalõigusnorme.
II.    Õiguslik raamistik
A.      Liidu õigus
1.      Direktiiv 95/46/EÜ
5.        Direktiivi 95/46/EÜ(3) artikli 8 lõikes 1 on ette nähtud:
„Liikmesriigid keelavad töödelda selliseid isikuandmeid, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused, ametiühingusse kuulumise, ning tervislikku seisundit või seksuaalelu käsitlevate andmete töötlemise.“
2.      Isikuandmete kaitse üldmäärus
6.        Isikuandmete kaitse üldmääruse põhjendused 9, 10, 13, 35, 51 ja 142 on sõnastatud järgmiselt:
„(9)      [Direktiivi 95/46] eesmärgid ja põhimõtted on endiselt ajakohased, kuid see ei ole ära hoidnud liidus andmekaitse rakendamise killustumist, õiguskindlusetust ega avalikkuses laialt levinud seisukohta, et eelkõige internetiga seonduvad märkimisväärsed ohud füüsiliste isikute kaitsele. Liikmesriikide poolt tagatavate füüsiliste isikute õiguste, eelkõige isikuandmete kaitse õiguse, ja vabaduste kaitse taseme erinevused isikuandmete töötlemisel võivad takistada isikuandmete liidusisest vaba liikumist. Need erinevused võivad seetõttu takistada liidu tasandi majandustegevust, moonutada konkurentsi ja takistada ametiasutustel täita nende liidu õigusest tulenevaid kohustusi. Erinevused kaitse tasemes tulenevad erinevustest [direktiivi 95/46] rakendamisel ja kohaldamisel.
(10)      Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. […]
[…]
(13)      Et tagada füüsiliste isikute järjekindel kaitse kogu liidus ning ära hoida erinevusi, mis takistavad andmete vaba liikumist siseturul, on vaja määrust, millega tagatakse õiguskindlus ja läbipaistvus ettevõtjate, sealhulgas mikro-, väikeste ja keskmise suurusega ettevõtjate jaoks ning milles sätestatakse kõikides liikmesriikides füüsiliste[le] isikutele samaväärsed kohtulikult kaitstavad õigused ning vastutavatele töötlejatele ja volitatud töötlejatele kohustused ja vastutusvaldkonnad, et tagada isikuandmete töötlemise järjekindel jälgimine nagu ka samaväärsed karistused kõigis liikmesriikides ning erinevate liikmesriikide järelevalveasutuste tõhus koostöö. […]
[…]
(35)      Tervisealaste isikuandmete hulka peaksid kuuluma kõik andmesubjekti tervislikku seisundit käsitlevad andmed, mis annavad teavet andmesubjekti endise, praeguse või tulevase füüsilise või vaimse tervise kohta. See hõlmab teavet füüsilise isiku kohta, mis on kogutud füüsilisele isikule tervishoiuteenuste registreerimise või osutamise käigus, nagu on osutatud [direktiivis 2011/24/EL(4)]; numbrit, tähist või eritunnust, mis on füüsilisele isikule määratud tema kordumatuks tuvastamiseks tervishoiuga seotud eesmärkidel; teavet, mis on saadud mingi kehaosa või kehast pärineva aine, sealhulgas geneetiliste andmete ja bioloogiliste proovide kontrollimise või uurimise tulemusena; ja teavet teave näiteks haiguse, puude, haigestumisohu, haigusloo, kliinilise ravi või andmesubjekti füsioloogilise ja biomeditsiinilise olukorra kohta sõltumata sellest, kas andmete allikaks on näiteks arst või muu tervishoiutöötaja, haigla, meditsiiniseade või in vitro diagnostika.
[…]
(51)      Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada. […] Selliseid isikuandmeid ei tohiks töödelda, välja arvatud käesolevas määruses sätestatud konkreetsetel juhtudel, kui töötlemine on lubatud, võttes arvesse seda, et liikmesriikide õiguses võib kehtestada konkreetseid andmekaitse-eeskirju, et kohandada käesoleva määruse eeskirjade kohaldamist juriidilise kohustuse täitmiseks või avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. Lisaks sellise töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas, kui andmesubjekt annab selleks oma selgesõnalise nõusoleku, või konkreetse vajaduse korral, eelkõige juhul, kui töödeldakse teatavate ühenduste või sihtasutuste seadusliku tegevuse käigus, mille eesmärk on võimaldada põhivabaduste kasutamist.
[…]
(142)      Kui andmesubjekt leiab, et tema käesoleva määruse kohaseid õigusi on rikutud, peaks tal olema õigus volitada mittetulunduslikku laadi asutust, organisatsiooni või ühingut, mis on loodud kooskõlas liikmesriigi õigusega, mille põhikirjajärgsed eesmärgid on avalikes huvides ning mis tegutseb isikuandmekaitse valdkonnas, esitama tema nimel järelevalveasutusele kaebust või kasutama andmesubjektide nimel õigust õiguskaitsevahendile või kasutama andmesubjektide nimel õigust saada hüvitist, kui hüvitis on asjaomase liikmesriigi õiguses ette nähtud. Liikmesriigid võivad sätestada, et sellisel asutusel, organisatsioonil või ühingul oleks õigus esitada andmesubjekti poolsest volitamisest sõltumata sellises liikmesriigis kaebus ja tal peaks olema õigus tõhusale õiguskaitsevahendile, kui tal on põhjust arvata, et andmesubjekti õigusi on rikutud isikuandmete sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. Sellisele asutusele, organisatsioonile või ühingule ei või anda õigust nõuda andmesubjekti nimel hüvitist, kui andmesubjekt ei ole selleks volitust andnud.“
7.        Selle määruse artiklis 1 „Reguleerimisese ja eesmärgid“ on sätestatud:
„1.      Käesolevas määruses sätestatakse õigusnormid, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel ja isikuandmete vaba liikumist.
2.      Käesoleva määrusega kaitstakse füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust isikuandmete kaitsele.
3.      Isikuandmete vaba liikumist liidus ei piirata ega keelata põhjustel, mis on seotud füüsiliste isikute kaitsega isikuandmete töötlemisel.“
8.        Nimetatud määruse artiklis 4 on ette nähtud:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
1)      „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal;
[…]
15)      „terviseandmed“ – füüsilise isiku füüsilise ja vaimse tervisega seotud isikuandmed, sealhulgas temale tervishoiuteenuste osutamist käsitlevad andmed, mis annavad teavet tema tervisliku seisundi kohta;
[…]“.
9.        Sama määruse artiklis 9 „Isikuandmete eriliikide töötlemine“ on sätestatud:
„1.      Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.
2.      Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:
a)      andmesubjekt on andnud selgesõnalise nõusoleku nende isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt ei saa andmesubjekt lõikes 1 nimetatud keeldu tühistada;
[…]
h)      töötlemine on vajalik ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks, meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi võimaldamiseks või tervishoiu- või sotsiaalhoolekandesüsteemi ja -teenuste korraldamiseks, tuginedes liidu või liikmesriigi õigusele või tervishoiutöötajaga sõlmitud lepingule ja eeldusel, et lõikes 3 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud;
[…]“.
10.      Artiklid 77–84 asuvad isikuandmete kaitse üldmääruse VIII peatükis „Õiguskaitsevahendid, vastutus ja karistused“.
11.      Määruse artikli 77 „Õigus esitada järelevalveasutusele kaebus“ lõikes 1 on sätestatud:
„Ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada kaebus järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, töökoht või väidetava rikkumise toimumiskoht, kui andmesubjekt on seisukohal, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.“
12.      Nimetatud määruse artikli 78 „Õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu“ lõikes 1 on sätestatud:
„Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal füüsilisel või juriidilisel isikul õigus kasutada tõhusat õiguskaitsevahendit järelevalveasutuse õiguslikult siduva otsuse vastu, mis teda puudutab.“
13.      Sama määruse artikli 79 „Õigus tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu“ lõikes 1 on ette nähtud:
„Ilma et see piiraks mis tahes kättesaadava haldusliku kaitsevahendi või kohtuvälise heastamisvahendi kohaldamist, sealhulgas õigust esitada järelevalveasutusele artikli 77 kohaselt kaebus, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui ta leiab, et tema käesolevast määrusest tulenevaid õigusi on rikutud tema isikuandmete […] sellise töötlemise tulemusel, millega rikutakse käesolevat määrust.“
14.      Isikuandmete kaitse üldmääruse artiklis 80 „Andmesubjektide esindamine“ on sätestatud:
„1.      Andmesubjektil on õigus volitada esitama oma nimel kaebuse ning kasutama tema nimel artiklites 77, 78 ja 79 osutatud õigusi ja õigust saada artiklis 82 osutatud hüvitist (kui hüvitis on asjaomase liikmesriigi õigusega ette nähtud) mittetulunduslikku asutust, organisatsiooni või ühendust, mis on nõuetekohaselt asutatud kooskõlas asjaomase liikmesriigi õigusega ning mille põhikirjajärgsed eesmärgid on avalikes huvides ning mis tegutseb andmesubjekti õiguste ja vabaduste kaitsmise valdkonnas seoses andmesubjekti isikuandmete kaitsmisega.
2.      Liikmesriigid võivad ette näha, et igal käesoleva artikli lõikes 1 osutatud asutusel, organisatsioonil või ühendusel on andmesubjekti volitusest sõltumatult õigus esitada asjaomases liikmesriigis artikli 77 kohaselt pädevale järelevalveasutusele kaebus ning kasutada artiklites 78 ja 79 osutatud õigusi, kui ta leiab, et käesoleva määruse kohase andmesubjekti õigusi on isikuandmete töötlemise tulemusel rikutud.“
15.      Määruse artikli 82 „Õigus hüvitisele ja vastutus“ lõikes 1 on sätestatud:
„Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.“
16.      Viidatud määruse artikli 84 „Karistused“ lõikes 1 on sätestatud:
„Liikmesriigid kehtestavad käesoleva määruse rikkumiste korral kohaldatavad karistusnormid, eelkõige seoses selliste rikkumistega, mille korral ei määrata artikli 83 kohaseid trahve, ning võtavad kõik vajalikud meetmed, et tagada kõnealuste normide rakendamine. Sellised karistused on tõhusad, proportsionaalsed ja heidutavad.“
B.      Saksa õigus
1.      Kõlvatu konkurentsi vastane seadus
17.      3. juuli 2004. aasta kõlvatu konkurentsi vastase seaduse (Gesetz gegen den unlauteren Wettbewerb)(5) põhikohtuasjas kohaldatava redaktsiooni (edaspidi „kõlvatu konkurentsi vastane seadus“) § 3 „Ebaausate kaubandustavade keeld“ lõikes 1 on ette nähtud, et „[e]baausad kaubandustavad on õigusvastased“.
18.      Selle seaduse § 3a „Õiguse rikkumine“ on sõnastatud järgmiselt:
„Ebaausat kaubandustava kasutab igaüks, kes rikub õigusnormi, mis on muu hulgas ette nähtud selleks, et turuosaliste huvides reguleerida tegevust turul, kui see rikkumine võib oluliselt kahjustada tarbijate, teiste turuosaliste või konkurentide huve.“
19.      Nimetatud seaduse §-s 8 „Kõrvaldamine ja tegemata jätmine“ on sätestatud:
„(1)      Isiku suhtes, kes kasutab õigusvastast kaubandustava § 3 või § 7 tähenduses, võib esitada nõude selle tegevuse lõpetamiseks; tegevuse kordumise ennetamiseks võib nõuda selle tegevuse lõpetamist või keelamist. […]
[…]
(3)      Lõikes 1 osutatud nõudeid võib esitada:
1.      konkurent, kes turustab või tellib kaupu või teenuseid märkimisväärses koguses ja mitte üksnes aeg-ajalt,
[…]“.
2.      Ravimiseadus
20.      Ravimiringlust reguleerib 24. augusti 1976. aasta ravimiseadus (Arzneimittelgesetz) 12. detsembril 2005 avaldatud redaktsioonis(6), mida on viimati muudetud 20. detsembri 2022. aasta seaduse(7) §-ga 8c. Selles seaduses eristatakse apteegis müüdavaid ravimeid, mida on nimetatud selle seaduse §-s 43 („Apteegis müümise kohustus“) kuni §-ni 47, ja retseptiravimitel, mida on nimetatud §-s 48 („Retseptikohustus“).
III. Põhikohtuasja faktilised asjaolud, menetlus ja eelotsuse küsimused
21.      ND ja DR käitavad mõlemad apteeki. Lisaks on põhikohtuasja hagejal ND-l postimüügiluba ja ta turustab oma tooteid, sealhulgas ravimeid, mida tohib müüa ainult apteekides, ka e-kaubandusplatvormi Amazon Marketplace (edaspidi „Amazon“) kaudu, kus müüjad saavad tooteid müügiks pakkuda otse tarbijatele.
22.      Põhikohtuasja kostja DR esitas hagi rikkumise lõpetamise nõudega, et ND‑l keelataks müüa veebimüügiplatvormil Amazon ravimeid, mida tohib müüa ainult apteekides. DR leiab, et selline turustamine on ebaaus kaubandustegevus, kuna sellega rikub ND õigusnormi kõlvatu konkurentsi vastase seaduse § 3a tähenduses, see tähendab eelkõige isikuandmete kaitse üldmääruse artiklit 9, mis käsitleb kliendilt tema terviseandmete töötlemiseks eelneva selgesõnalise nõusoleku saamist.
23.      Landgericht Dessau-Roßlau (Dessau-Roßlau esimese astme kohus, Saksamaa) rahuldas hagi. Oberlandesgericht Naumburg (liidumaa kõrgeim üldkohus Naumburgis, Saksamaa) jättis seejärel ND esitatud apellatsioonkaebuse rahuldamata, leides, et ND poolt niisuguste ravimite Amazonis turustamine, mida tohib müüa ainult apteekides, on vastuolus kõlvatu konkurentsi vastase seadusega. Selle kohtu sõnul kujutab see turustamine endast isikuandmete kaitse üldmääruse artikli 9 lõike 1 tähenduses terviseandmete töötlemist, milleks kliendid ei ole selgesõnaliselt nõusolekut andnud. Isikuandmete kaitse üldmääruse sätteid tuleb aga pidada turul tegutsemise eeskirjadeks riigisisese konkurentsiõiguse tähenduses, mistõttu on DRil konkurendina õigus esitada riigisisese konkurentsiõiguse alusel hagi rikkumise lõpetamise nõudega, tuginedes sellele, et ND on rikkunud selle määruse sätteid.
24.      ND esitas eelotsusetaotluse esitanud kohtule, Bundesgerichtshofile (Saksamaa Liitvabariigi kõrgeim üldkohus), kassatsioonkaebuse, milles ta jääb oma nõuete juurde jätta hagi rikkumise lõpetamise nõudes rahuldamata.
25.      Eelotsusetaotluse esitanud kohtu sõnul sõltub kassatsioonkaebuse lahendus sellest, kuidas tõlgendada isikuandmete kaitse üldmääruse VIII peatükki ja artiklit 9 ning direktiivi 95/46 artikli 8 lõiget 1.
26.      Nimelt rõhutab see kohus ühelt poolt, et tuleb kindlaks teha, kas põhikohtuasja hagejal kui konkurendil on nõutav õigus esitada ebaausate kaubandustavade keelule tuginedes isikuandmete kaitse üldmääruse rikkumise eest rikkuja vastu hagi tsiviilkohtutele. Eelotsusetaotluse esitanud kohus täpsustab, et tegemist on vaieldava küsimusega, millele võib vastata, et isikuandmete kaitse üldmääruse eeskirjad, mille eesmärk on tagada selle sätete kohaldamine, on ammendavad, mistõttu on konkurentide õigus esitada hagi konkurentsiõiguse alusel välistatud. Samas võib ka väita, et isikuandmete kaitse üldmääruse sätted, mille eesmärk on kontrollida õiguse kohaldamist, ei ole ammendavad ja et konkurentidel on seega nõutav õigus esitada hagi, et panna maksma oma õigusi sellele, et rikkumine lõpetataks, tuginedes selleks viidatud üldmääruse rikkumisele.
27.      Teiselt poolt on eelotsusetaotluse esitanud kohus seisukohal, et tuleb kindlaks teha, kas andmed, mida kliendid peavad sisestama selliste ravimite interneti teel tellimisel, mida tohib müüa ainult apteegis, kuid mis ei ole retseptiravimid, kujutavad endast terviseandmeid isikuandmete kaitse üldmääruse artikli 9 lõike 1 ja – varem – direktiivi 95/46 artikli 8 lõike 1 tähenduses, kuna õigus nõuda rikkumise lõpetamist on ainult siis, kui ND tegevus oli õigusvastane nii sellega tegelemise ajal kui ka kassatsiooniasjas toimunud kohtuistungi ajal.
28.      Selles olukorras otsustas Bundesgerichtshof (kõrgeim üldkohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.      Kas [isikuandmete kaitse üldmääruse] VIII peatüki sätetega on vastuolus riigisisesed õigusnormid, mis – lisaks sellele, et need annavad määruse järelevalve ja täitmise pädevusega järelevalveasutustele sekkumisõiguse ning andmesubjektidele õiguskaitsevõimalused – annavad selle määruse rikkumise korral konkurentidele õiguse esitada rikkuja vastu ebaausate kaubandustavade keelule tuginedes hagi tsiviilkohtusse?
2.      Kas andmed, mille sisestavad veebipõhisel müügiplatvormil müüjana tegutseva apteegi kliendid müügiplatvormile, kui nad tellivad ravimeid, mida võib küll müüa ainult apteegis, kuid mis ei ole retseptiravimid (kliendi nimi, tarneaadress ja tellitud apteegiravimi isikustamiseks vajalikud andmed), on terviseandmed [isikuandmete kaitse üldmääruse] artikli 9 lõike 1 tähenduses ning tervislikku seisundit käsitlevad andmed direktiivi 95/46 artikli 8 lõike 1 tähenduses?“
29.      Käesolev eelotsusetaotlus saabus Euroopa Kohtusse 19. jaanuaril 2023. Kirjalikud seisukohad on esitanud põhikohtuasja pooled, Saksamaa valitsus ja Euroopa Komisjon. Samad menetlusosalised olid esindatud kohtuistungil, mis toimus 9. jaanuaril 2024.
IV.    Õiguslik analüüs
30.      Käesolevas kohtuasjas väidab DR, et töödeldes veebis käsimüügiravimeid tellinud klientide andmeid, täitmata seejuures nõudeid, mis kohustavad klientidelt nende andmete töötlemiseks selgesõnalise nõusoleku saamist, rikkus ND isikuandmete kaitse üldmääruse artiklit 9.
31.      Esimese eelotsuse küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse VIII peatüki sätteid tuleb tõlgendada nii, et nendega on vastuolus riigisisesed õigusnormid, mis annavad ettevõtjatele õiguse tugineda kõlvatu konkurentsi keelu alusel isikuandmete kaitse üldmääruse materiaalõigusnormide rikkumistele, mille on väidetavalt toime pannud nende konkurendid. Teises eelotsuse küsimuses küsib see kohus Euroopa Kohtult, kas isikuandmete kaitse üldmääruse artiklit 9 tuleb tõlgendada nii, et vaidlusalused andmed on terviseandmed ja kuuluvad seega selles sättes nimetatud andmete eriliikide alla(8).
32.      Kõigepealt märgin – nagu ma juba rõhutasin –, et juhul kui vastus teisele küsimusele on eitav, ei ole vaja esimesele küsimusele vastata, sest Euroopa Kohtu vastus on piisav selleks, et eelotsusetaotluse esitanud kohus saaks tema menetluses oleva vaidluse lahendada. Neil asjaoludel on minu arvates otstarbekas alustada eelotsuse küsimuste analüüsimist teisest küsimusest.
A.      Teine eelotsuse küsimus
33.      Teise eelotsuse küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas apteekri klientide andmed, mis edastatakse selliste ravimite veebimüügiplatvormil tellimisel, mida tohib müüa ainult apteekides, kuid mis ei ole retseptiravimid, on „terviseandmed“ isikuandmete kaitse üldmääruse artikli 9 lõike 1 tähenduses.
34.      Pean kohe täpsustama, et isikuandmete kaitse üldmääruse artikli 9 lõikes 1 kasutatud mõiste „terviseandmed“ on määratletud selle määruse artikli 4 punktis 15. Vastus teisele eelotsuse küsimusele eeldab seega nende kahe sätte tõlgendamist koos.
1.      Mõiste „terviseandmed“ tõlgendamine olemasoleva kohtupraktika alusel
35.      Isikuandmete kaitse üldmääruse artikli 4 punkti 15 kohaselt on „terviseandmed“ füüsilise isiku füüsilise ja vaimse tervisega seotud isikuandmed, sealhulgas temale tervishoiuteenuste osutamist käsitlevad andmed, mis annavad teavet tema tervisliku seisundi kohta.
36.      Seda määratlust toetab ka isikuandmete kaitse üldmääruse põhjendus 35. Euroopa Kohus on oma praktikas toonitanud, et „[selle põhjenduse kohaselt peaksid] tervisealaste isikuandmete hulka […] kuuluma kõik andmesubjekti tervislikku seisundit käsitlevad andmed, mis „annavad“ teavet andmesubjekti endise, praeguse või tulevase füüsilise või vaimse tervise kohta“(9).
37.      Isikuandmete kaitse üldmääruse artikli 4 punkti 15 sõnastusest, mida on täpsustatud selle määruse põhjenduses 35, nähtub seega, et määrav tegur selle tuvastamisel, kas teatavad isikuandmed kujutavad endast terviseandmeid, on see, et kõnealustest andmetest on võimalik teha järeldusi andmesubjekti tervisliku seisundi kohta. Teisisõnu ei piirdu „terviseandmed“ tervishoiuandmetega või otseselt terviseprobleemidega seotud andmetega, vaid hõlmavad ka kõiki andmeid, millest saab teha järeldusi andmesubjekti tervisliku seisundi kohta, olgu siis tegemist muu hulgas patoloogilise või füsioloogilise seisundiga.
38.      Seda kinnitab isikuandmete kaitse üldmääruse artikli 9 eesmärk. Nii on Euroopa Kohus oma kohtupraktikas rõhutanud, et selle sätte eesmärk on tagada tugevam kaitse sellise töötlemise eest, mis nende töödeldavate andmete erilise tundlikkuse tõttu võib ka – nagu nähtub isikuandmete kaitse määruse põhjendusest 51 – kujutada endast eriti rasket sekkumist eraelu puutumatuse ja isikuandmete kaitse põhiõigustesse, mis on tagatud Euroopa Liidu põhiõiguste harta artiklitega 7 ja 8(10).
39.      Terviseandmete eriline tundlikkus on selgitatav asjaoluga, et need puudutavad teavet, mis kuulub inimeste kõige intiimsemasse sfääri ja mis võib avalikkuse ette tuua nende haavatavuse. Seda erilist tundlikkust ja sellest tulenevalt nende erilist kaitsevajadust on tunnustatud muide mitte ainult liidu õiguses, vaid ka Euroopa Inimõiguste Kohtu praktikas, milles rõhutatakse, et „[t]ervisealase teabe konfidentsiaalsuse austamine on kõigi [Roomas 4. novembril 1950 allkirjastatud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni] osalisriikide õigussüsteemi oluline põhimõte“(11).
40.      Seda eesmärki silmas pidades tuleb Euroopa Kohtu praktika kohaselt seega tõlgendada laialt mõistet „isikuandmete eriliigid“, mille alla kuuluvad terviseandmed, mistõttu need ei hõlma mitte üksnes olemuslikult tundlikke andmeid, vaid ka andmeid, millest saab pärast intellektuaalset järeldamist või ristkontrollimist kaudselt järeldada sellist teavet(12).
41.      Märgin sellega seoses, et isikuandmete kaitse üldmääruse artikli 68 ja sellele järgnevate artiklite alusel asutatud Euroopa Andmekaitsenõukogu lähtub samuti mõiste „terviseandmed“ niisugusest kontseptsioonist, rõhutades, et teabe kvalifitseerimise „terviseandmeteks“ ei määra mitte ainult teabe olemuslik laad, vaid ka selle kogumise ja töötlemise asjaolud, ning toob selle kohta erinevaid näiteid. Selle nõukogu sõnul on seega „terviseandmed“ haigusloos sisalduv teave; teave, mis teeb ristviitamise teel muude andmetega avalikuks tervisliku seisundi, või ka teave, mis muutub terviseandmeteks selle kasutamise tõttu konkreetses kontekstis, näiteks teave reisi kohta ja mida on tervishoiutöötaja diagnoosimiseks töödelnud(13). Seevastu ei ole „terviseandmed“ rakenduse abil andmesubjekti tehtud sammude arvu loendamiseks kogutud andmed, kui see rakendus ei saa siduda neid andmeid selle isiku teiste andmetega ja kui kogutud andmeid ei töödelda meditsiinilises kontekstis(14).
42.      Isikuandmete kaitse üldmääruse artikli 4 punktist 15 ja artiklist 9, nagu neid on kohtupraktikas tõlgendatud, nähtub seega selgelt, et „terviseandmeteks“ nende sätete tähenduses tuleb pidada andmeid, millest saab teha järeldusi andmesubjekti tervisliku seisundi kohta.
43.      Märgin seega, et esmapilgul ei saa eitada, et käsimüügiravimite tellimine veebis eeldab andmete töötlemist, millest saab järeldada teatavat teavet tervise kohta või mis vähemalt annab tervise kohta teatavaid kaudseid tõendeid, kuna see tellimus eeldab seost ravimi kui sõna otseses mõttes tervisega seotud toote ostmise ja selle ostja isiku vahel. Minu arvates ja põhjustel, mis ma nüüd esitan, nähtub eelotsusetaotluse esitanud kohtu poolt Euroopa Kohtule edastatud teabest siiski, et see seos on liiga nõrk ja kaudne teave, mida sellest järeldada saab, on liiga ebatäpne või oletuslik, et seda saaks kvalifitseerida „terviseandmeteks“ isikuandmete kaitse üldmääruse artikli 4 punkti 15 ja artikli 9 tähenduses.
2.      Teatava kindluse nõue järelduste osas, mida saab teha andmesubjekti tervisliku seisundi kohta
44.      Pean konkreetselt mõiste „terviseandmed“ ja üldiselt mõiste „andmete eriliik“ sellise tõlgendamise kohta tegema mõne täpsustuse.
45.      Ühelt poolt näib mulle, et nende tõlgenduselementide põhjal võib asuda seisukohale, et veebist tellitud toode võib paljastada üldist teavet isiku tervisliku seisundi kohta, aga ka – nagu nähtub isikuandmete kaitse üldmääruse artiklist 9 – isiku rassilise või etnilise päritolu, poliitiliste vaadete, usuliste või filosoofiliste veendumuste või ka seksuaalse sättumuse kohta. Minu arvates võib veebist tellitud kaubast järeldada andmesubjekti puhul teatavat teavet nende erinevate asjaolude kohta.
46.      Minu seisukohta toetavad mitu näidet. Poliitiku raamatu tellimine võib potentsiaalselt viidata sellele, et andmesubjekt nõustub tema ideedega, rõiva tellimine võib olla märk isiku usulistest veendumustest või ka erootilise materjali tellimine võib näidata isiku seksuaalset sättumust. Välja arvatud juhul, kui kehtestada nõue, et suur osa e-kaubanduse andmete töötlemisest toimub isikuandmete kaitse üldmääruse artikli 9 lõikes 2 ette nähtud korras, näib mulle seega vajalik mõiste „terviseandmed“ tõlgendust rohkem täpsustada, mistõttu järeldused, mida saab tellimuse andmetest teha, ei pea olema üksnes potentsiaalsed. Teisisõnu ei või vaidlusaluste andmetega andmesubjekti tervisliku seisundi kohta paljastatav teave minu arvates olla pelgalt oletus, vaid see peab olema teataval määral kindel.
47.      Teiselt poolt olen arvamusel, et välja arvatud juhtudel, kus andmed on olemuslikult „terviseandmed“, sõltub see, kas andmeid saab nii kvalifitseerida, iga juhtumi asjaoludest. Täpsemalt näib mulle, et järeldused, mida on võimalik nendest andmetest teha, sõltuvad andmete kogumise kontekstist ja nende töötlemisest. Nagu rõhutab isikuandmete kaitse üldmääruse artikli 68 ja järgmiste artiklite alusel asutatud Euroopa Andmekaitsenõukogu, võib andmeid, millel ei paista esmapilgul olevat meditsiini valdkonnaga seost, nagu reisiteave, siiski pidada „terviseandmeteks“, kui neid analüüsitakse meditsiinilises kontekstis ja koos muu teabega, et teha toodud näites kindlaks võimalik nakatumine teatavas piirkonnas esineva bakteri või viirusega.
48.      Eelkõige rõhutan, et selles osas on eriti oluline asjaolu andmete vastutava töötleja isik. Kuna andmeid töötleb tervishoiu valdkonna asutus, näib mulle, et see võib olla märk sellest, et need andmed on tõepoolest „terviseandmed“. Seevastu võiks neid andmeid kvalifitseerida teisiti seetõttu, et neid ei töötle tervishoiu valdkonna asutus ja need ei saa olla seotud andmesubjekti muude andmetega. Teisisõnu võivad samad andmed avaldada isiku tervisliku seisundi kohta rohkem teavet, kui neid töötleb tervishoiu valdkonna asutus, kellel on pädevus tõlgendada neid andmeid või muid andmeid isiku kohta, kui siis, kui neid töötleb selle sektori väline asutus.
49.      Neil asjaoludel olen arvamusel, et eelotsusetaotluse esitanud kohtu ülesanne on analüüsida nii kõnealuste andmete sisu kui ka kõiki nende töötlemisega seotud asjaolusid, et teha kindlaks, kas nendest saab teatava kindlusega tuletada teavet asjaomase isiku tervisliku seisundi kohta.
50.      Eelotsusetaotluse esitanud kohtu otsuses märgitud asjaolusid arvestades näib mulle siiski võimalik teha täpsustusi, et anda talle juhiseid põhikohtuasja lahendamiseks(15).
3.      Asjakohased asjaolud selleks, et eelotsusetaotluse esitanud kohus saaks analüüsida, kas on võimalik teha järeldusi andmesubjekti tervisliku seisundi kohta
51.      Esimesena, mis puutub tellitavatesse toodetesse, siis rõhutan, et kõnealused ravimid, st käsimüügiravimid, ei ole põhimõtteliselt mõeldud konkreetse seisundi raviks, vaid neid võib kasutada üldisemalt selliste igapäevaste haigusseisundite raviks, mida võib esineda igaühel ja mis ei ole konkreetse haiguse või tervisliku seisundi iseloomulikud sümptomid. Lisaks ostetakse neid ravimeid sageli ka ennetuseks, et need oleksid vajaduse korral käepärast, või näiteks enne tavapärasest elukohast lahkumist. Näiteks ei saa paratsetamooli tellimisest teha mingeid järeldusi isiku täpse seisundi kohta, kuna see ravim on näidustatud mitmesuguste valude ja palavikuliste seisundite raviks ning kuulub sageli nende ravimite hulka, mis on inimestel ilma konkreetse vajaduseta kodus olemas.
52.      Teisena, nagu märgib ND, ei tähenda asjaolu, et isik tellib veebis käsimüügiravimit, tingimata seda, et selle ravimi kasutaja on isik, kelle andmeid töödeldakse, mitte keegi teine tema kodus või pereringis. Nimelt on sagedane, et veebimüügisaidil teeb isik, kellel on sellel saidil konto, tellimuse mõne isiku nimel ja arvel, kellel kontot ei ole. Kui ei ole retsepti, milles on nimeliselt märgitud isik, kellele ravim on mõeldud, ja mille alusel võib eeldada, et ravimi kasutaja ja ostja on sama isik, ei saa veebis vabalt kättesaadava toote tellimusest järeldada, et seda toodet kasutab ostja ja üksnes ostja. Sellest järeldub, et nendest andmetest ei saa mõistlikult teha mingeid järeldusi selle isiku tervisliku seisundi kohta, kelle andmeid töödeldakse, et neid saaks kvalifitseerida „terviseandmeteks“.
53.      See on nii seda enam, et kolmandana – tingimusel, et eelotsusetaotluse esitanud kohtu kontrolli tulemusel ei ilmne vastupidist – võib isik esitada tellimuse veebis, ilma et oleks vaja esitada täpseid andmeid oma isiku kohta, eelkõige juhul, kui toodet ei tarnita mitte andmesubjekti aadressile, vaid kättetoimetamiskoha kaudu ning kui arveldamiseks ei ole vaja muid kodanikuidentiteediandmeid.
54.      Olen seega arvamusel, et teisele eelotsuse küsimusele tuleb vastata nii, et apteekri klientide andmed, mis edastatakse veebimüügiplatvormil niisuguste ravimite tellimise ajal, mida tohib müüa ainult apteekides, kuid mis ei ole retseptiravimid, ei ole „terviseandmed“ isikuandmete kaitse üldmääruse artikli 4 punkti 15 ja artikli 9 tähenduses, kuna neist saab teha veebis tellimust esitava isiku tervisliku seisundi kohta ainult oletuslikke või ebatäpseid järeldusi, mida peab kontrollima eelotsusetaotluse esitanud kohus.
55.      Ülejäänud osas pean veel täpsustama, et minu arvates võib mõiste „terviseandmed“ tõlgendamine nii, et see hõlmab andmeid, mis edastatakse niisuguste ravimite veebimüügiplatvormil tellimisel, mida tohib müüa ainult apteekides, kuid mis ei ole retseptiravimid, paradoksaalselt viia selleni, et isikuandmete kaitse üldmääruse artikli 9 lõikes 2 ette nähtud tugevdatud kaitse korra tõttu avaldatakse rohkem tundlikku teavet. Selgesõnalise nõusoleku küsimine selliste andmete töötlemiseks, mis on juba identifitseeritud tundlike andmetena, võib lõppkokkuvõttes ajendada ostjat avaldama toote lõppkasutaja isiku. Sellises olukorras saaks teha selle isiku tervisliku seisundi kohta kindlamaid järeldusi.
B.      Esimene eelotsuse küsimus
56.      Arvestades vastust, mille ma soovitan anda teisele eelotsuse küsimusele, ei ole minu arvates esimesele eelotsuse küsimusele vaja vastata. Täielikkuse huvides ja arvestades hindamist, mille peab läbi viima eelotsusetaotluse esitanud kohus, analüüsin siiski seda küsimust, millega eelotsusetaotluse esitanud kohus soovib sisuliselt teada, kas isikuandmete kaitse üldmääruse VIII peatüki sätteid tuleb tõlgendada nii, et nendega on vastuolus riigisisesed õigusnormid, mis annavad ettevõtjatele õiguse tugineda kõlvatu konkurentsi keelu alusel selle määruse materiaalõigusnormide rikkumistele, mille on väidetavalt toime pannud nende konkurendid.
57.      Pooled andsid sellele küsimusele risti vastupidised vastused. Ühelt poolt on komisjon ja ND seisukohal, et isikuandmete kaitse üldmääruse VIII peatüki sätetega kehtestatud õiguskaitsevahendite süsteemi tuleb selle määruse eesmärke silmas pidades tõlgendatuna käsitada ammendava süsteemina, mis välistab liikmesriikide igasuguse võimaluse näha riigisiseses õiguses ette alternatiivseid õiguskaitsevahendeid.
58.      Teiselt poolt on Saksamaa valitsus seisukohal, et isikuandmete kaitse üldmääruse VIII peatüki sätetega kehtestatud õiguskaitsevahendite süsteemi tuleb käsitada minimaalse õiguskaitsevahendite kogumina, mida liikmesriigid võivad täiendada. Sellise süsteemi mitteammendavust õigustab asjaolu, et isikuandmete kaitse üldmääruse eesmärk on ka kaitsta konkurentsitingimusi ja vältida moonutusi, mis võivad tuleneda andmekaitse taseme erinevustest, ning et konkurendi võimalus tugineda sellele, et teine konkurent rikub selle määruse materiaalõigusnorme, tugevdab selle määruse toimivust.
59.      Pooled on seega oma seisukohtades keskendunud küsimusele, kas isikuandmete kaitse üldmääruses ette nähtud õiguskaitsevahendite süsteemi tuleb käsitada ammendava ühtlustamise süsteemina, millest sõltub nende arvates liikmesriikide võimalus näha oma riigisiseses õiguses ette selles määruses ette nähtud õiguskaitsevahenditele alternatiivseid õiguskaitsevahendeid.
60.      Kuigi selle kindlaksmääramine, kas õiguskaitsevahendite süsteem on ammendav või mitte, on esimesele eelotsuse küsimusele tarviliku vastuse andmiseks asjakohane asjaolu, näib mulle alljärgnevatel põhjustel siiski, et niisuguse analüüsi puhul on vaja kõigepealt analüüsida küsimust, mis on aluseks isikuandmete kaitse üldmääruse nii materiaal- kui ka menetlusnormidega tagatud kaitse saanud isikute tuvastamisele. Juhul kui andmete töötlemise eest vastutavaid ettevõtjaid tuleb pidada isikuandmete kaitse üldmäärusega antud õiguste omajaks, olen arvamusel, et seda määrust tuleks tõlgendada nii, et see nõuab nende õiguste kaitseks liikmesriigi õiguses õiguskaitsevahendite kehtestamist. Seega alustan oma analüüsi sellest punktist, enne kui ma vastan küsimusele, kas isikuandmete kaitse üldmäärusega loodud õiguskaitsevahendite süsteemi tuleb käsitada ammendava süsteemina selles mõttes, et see välistab liikmesriigi õiguses ettevõtjale antud võimaluse esitada kõlvatu konkurentsi keelu alusel hagi konkurendi vastu, väites, et viimane on rikkunud selle määruse sätteid.
1.      Isikuandmete kaitse üldmäärusega antud õiguste omajate tuvastamine
61.      Kõigepealt täpsustan niisuguse tuvastamise vajalikkust, tuues seejärel välja andmesubjektide kui isikuandmete kaitse üldmäärusega antud õiguste ainsate kasusaajate tuvastamise mõju esimesele eelotsuse küsimusele vastamisel.
a)      Isikuandmete kaitse üldmäärusega kaitstud õiguste omajate kindlaksmääramise vajalikkus
62.      Asjaolu, et eelotsuse küsimusele vastamiseks on enne isikuandmete kaitse üldmäärusega kehtestatud õiguskaitsevahendite süsteemi ammendavuse küsimuse käsitlemist kõigepealt vaja kindlaks teha isikuandmete kaitse üldmäärusega kaitstud õiguste omajad, on minu arvates seletatav kahel viisil.
1)      Liikmesriikide kohustus näha liidu õigusest tuleneva õiguse maksmapanemiseks ette õiguskaitsevahendid
63.      Märgin, et kohtupraktikas on välja kujunenud, et nii nagu liidu õigus tekitab eraõiguslikele isikutele kohustusi, on liidu õiguse eesmärk ka luua õigusi, mis saavad osaks nende õiguste kogumist(16), kusjuures Euroopa Kohus rõhutab sellega seoses, et need õigused tekivad eelkõige kohustuste tõttu, mis on pandud nii eraõiguslikele isikutele kui ka liikmesriikidele ja liidu institutsioonidele(17). Nimelt annab iga füüsilisele või juriidilisele isikule pandud kohustus üldjuhul korrelatiivselt õiguse teisele isikule.
64.      Lisaks on selge, et iga liidu õigusega eraõiguslikule isikule antud õigusega kaasneb ka õiguskaitsevahend just nimelt selle õiguse maksmapanemiseks, arvestades et sellekohaste liidu õiguse erinormide puudumisel on liikmesriikide ülesanne tagada kõnealuste õiguste järgimine riigisiseses õiguses ette nähtud õiguskaitsevahendite raames(18). Kohtupraktikast nähtub nimelt selgelt, et liidu õigusnormidega eraõiguslikele isikutele antud õiguste kaitsmine on liikmesriikide kohtute ülesanne(19).
65.      Kui isikuandmete kaitse üldmäärust tuleks tõlgendada nii – nagu väidab Saksamaa valitsus –, et see kaitseb peale andmesubjektide ka konkurentsitingimusi turul ja seega lõpuks ettevõtjaid, siis tuleks seda määrust käsitada nii, et see annab õigusi, mis saavad osaks ettevõtjate õiguste kogumist(20).
66.      Neil asjaoludel peab liidu õiguses sellekohaste sõnaselgete sätete puudumisel olema võimalik tagada nende õiguste järgimine, mille annab isikuandmete kaitse üldmäärus ettevõtjatele, vastavalt liikmesriikides ette nähtud õiguskaitsevahenditele.
67.      Sellest tuleneb, ilma et oleks vaja käsitleda küsimust, kas isikuandmete kaitse üldmäärusega kehtestatud õiguskaitsevahendite süsteem on ammendav või mitte, et esimesele eelotsuse küsimusele tuleb vastata nii, et selle määruse VIII peatükki ei tule tõlgendada mitte nii, et sellega ei ole vastuolus liikmesriikide õigus näha ette, et konkurent võib selle määruse rikkumisele tuginedes esitada hagi teise ettevõtja vastu, vaid – veelgi enam – nii, et see nõuab, et nende sätete järgimist saaks tagada hagiga, mille ettevõtja esitab konkurendi vastu, tuginedes nende sätete rikkumisele konkurendi poolt(21).
68.      Vastus esimesele eelotsuse küsimusele sõltub minu arvates seega isikuandmete kaitse üldmäärusega antud õiguste omajate kindlakstegemisest.
2)      Õiguskaitsevahendite süsteemi ammendavuse kahemõõtmelisus
69.      Mõiste „õiguskaitsevahendite süsteemi ammendavus“ võib iseenesest hõlmata kahte erinevat mõõdet, mis eeldavad erinevat analüüsimist ja nõuavad, et eelnevalt tuleb kindlaks teha isikud, kes on nende õiguste omajad, mille kaitse selline süsteem tagab.
70.      Esimene mõõde puudutab õiguskaitsevahendite süsteemi ammendavust kõigi muude sama õiguse kaitseks mõeldud õiguskaitsevahendite suhtes. Teisisõnu on küsimus liidu õiguses isikutele antud õiguste kaitseks ette nähtud õiguskaitsevahendite ammendavuses. Euroopa Kohus on oma kohtupraktikas juba võtnud seisukoha selle kohta, millist mõju avaldab liidu õiguses ette nähtud õiguskaitsevahendite ammendavus niisuguse õiguse kaitseks, mis on ise ette nähtud liidu õigusega. Näiteks on Euroopa Kohus järjepidevalt otsustanud, et liidu õigusega ammendavalt ühtlustatud vastutuse kord võib siiski konkureerida riigisisese õigusega ette nähtud alternatiivse vastutuse korraga, mis põhineb samadel asjaoludel ja samadel alustel, üksnes tingimusel, et selle alternatiivse korraga ei kahjustata selliselt ühtlustatud korda ega selle eesmärke ja soovitavat toimet(22). Ainuüksi sellest, et liidu õiguses ette nähtud õiguskaitsevahendite süsteem on ammendav, ei piisa seega, et välistada liikmesriigi võimalus näha riigisiseses õiguses ette alternatiivne õiguskaitsevahend, mis põhineb samal õigusel, kui on täidetud teatavad tingimused.
71.      Liidu õiguses ette nähtud mõiste „õiguskaitsevahendite süsteemi ammendavus“ teine mõõde on laiem ja see puudutab ammendavust kõikide muude õiguskaitsevahendite suhtes, mida kasutavad isikud, kellel ei ole otseselt liidu õigusest tulenevaid õigusi, kuid kes siiski nendele tuginevad liikmesriigi õiguses ette nähtud õiguskaitsevahendi raames. Selline liidu õigusega kehtestatud õiguskaitsevahendite süsteemi ammendavuse käsitlus nõuab seega teistsugust analüüsi(23).
72.      Seega tuleb ka siin isikuandmete kaitse üldmääruses ette nähtud õiguskaitsevahendite süsteemi võimaliku ammendavuse analüüsimiseks kõigepealt kindlaks määrata selle määrusega antud õiguste omajad, mida ma järgnevas arutluskäigus püüangi teha.
b)      Isikuandmete kaitse üldmäärusega kaitstud õiguste omajate kindlakstegemine
73.      Isikuandmete kaitse üldmäärusega antud kaitse isikulise kohaldamisala kindlaksmääramisel tuleb minu arvates arvesse võtta nii selle määruse eesmärke kui ka sisu.
74.      Mis puutub kõigepealt isikuandmete kaitse üldmääruse eesmärkidesse, siis väidab Saksamaa valitsus sellega seoses, et lisaks eesmärgile tagada füüsiliste isikute kaitse kõrge ja järjepidev tase on selle määruse eesmärk kehtestada võrdsed konkurentsitingimused.
75.      On tõsi, et isikuandmete kaitse üldmääruse põhjenduses 9 on mainitud, et isikuandmete kaitse õiguse kaitse taseme erinevused isikuandmete töötlemisel võivad konkurentsi moonutada. Minu arvates ei saa sellist täpsustust siiski tõlgendada nii, et sellega tagatakse vaba ja moonutamata konkurents, mis on üks isikuandmete kaitse üldmääruse eesmärk. Asjaolu, et liikmesriikide õigusaktide erinevused ettevõtjate suhtes kohaldatavate normide osas põhjustavad konkurentsimoonutusi, on minu arvates pelgalt tõdemus, mis ei puuduta ainult isikuandmete kaitse üldmäärust. Kuna materiaalõigusnormid reguleerivad ettevõtjate tegevust turul ühes liikmesriigis rangemalt kui teises, tuleneb sellest tingimata teises liikmesriigis tegutsevatele ettevõtjatele võrreldes esimeses liikmesriigis tegutsevate ettevõtjatega teatud konkurentsieelis, mida kõik ühtlustamisnormid võivad leevendada.
76.      Sellist tõlgendust kinnitab minu arvates isikuandmete kaitse üldmääruse põhjenduses 9 tehtud viide vajadusele tagada „isikuandmete liidusise[ne] vaba liikumi[ne]“, mis võib olla ohus liikmesriikide õigusraamistike erinevuse tõttu.
77.      Lisaks, nagu komisjon kohtuistungil märkis, ei puuduta isikuandmete kaitse üldmääruse põhjendus 9 mitte kõikide ettevõtjate vahelist konkurentsi, vaid eelkõige kahe erineva liikmesriigi ettevõtjate vahelist konkurentsi, mis on tingitud erinevatest õiguslikest raamistikest. Teisisõnu on sisuliselt tegemist erinevates liikmesriikides võrdsete konkurentsitingimuste tagamisega ettevõtjatele ühtlustatud õigusnormide kehtestamise kaudu, isegi kui need normid aitavad muu hulgas kaasa sellele, et ühelgi ettevõtjal ei ole samas liikmesriigis teiste ettevõtjatega võrreldes konkurentsieelist.
78.      Isikuandmete kaitse üldmääruse eesmärk ei ole seega minu arvates tagada vaba ja moonutamata konkurents siseturul.
79.      Seejärel märgin, et ühegi isikuandmete kaitse üldmääruse materiaalõigusnormi eesmärk ei ole tagada vaba ja moonutamata konkurentsi ettevõtjate vahel ning teha ettevõtjatest selle määrusega kehtestatud kaitse saajad. Vastupidi, nende normide peamine eesmärk on panna ettevõtjatest vastutavatele andmetöötlejatele kohustusi. Kuigi on tõsi, nagu ma märkisin, et mis tahes füüsilisele või juriidilisele isikule pandud kohustuse korrelatiivseks tagajärjeks on tingimata vastava õiguse andmine teisele isikule, ei ole kõnealuste õiguste ainsad omanikud siiski mitte ettevõtjad, vaid isikud, kelle andmeid ettevõtjad töötlevad. Isikuandmete kaitse üldmääruse pealkiri viitab selles osas üksnes füüsiliste isikute kaitsele.
80.      Lõpuks, mis puudutab isikuandmete kaitse üldmääruse VIII peatüki menetlusnorme, siis rõhutan, nagu ma juba märkisin, et need annavad õiguskaitsevahendid ainult andmesubjektidele ja neid esindama volitatud üksustele. Niisuguste isikute piirang, kes võivad isikuandmete kaitse üldmääruse sätete alusel pöörduda isikuandmete kaitse rikkumise tõttu kohtusse, näitab minu arvates selgelt, et nad on ainsad selle kaitse saajad. Minu arvates oleks ka ebaloogiline muuta isikuandmete kaitse üldmäärus konkurentide õiguste kaitse vahendiks, ilma et see määrus näeks ette ühtegi õiguskaitsevahendit, mis võimaldaks neil esitada oma õiguste rikkumise peale hagi, kuigi niisugused õiguskaitsevahendid on andmesubjektide õiguste kaitse jaoks selgesõnaliselt ette nähtud.
81.      Seetõttu olen arvamusel, et isikuandmete kaitse üldmääruses ette nähtud kaitse saajad ei ole ettevõtjad, kuna see määrus annab õigusi ainult andmesubjektidele.
c)      Isikuandmete kaitse üldmääruse üksnes andmesubjekte kaitsva õigusnormina tõlgendamise mõju
82.      Isikuandmete kaitse üldmääruse tõlgendus, mille kohaselt ei anna selle määruse sätted õigusi mitte ettevõtjatele, vaid ainult andmesubjektidele, viib mind mitme järelduseni.
83.      Esimesena, nagu ma juba märkisin, välistab see tõlgendus minu arvates seisukoha, et isikuandmete kaitse üldmääruse sätete järgimist peab olema võimalik tagada hagiga, mille ettevõtja esitab konkurendi vastu, tuginedes nende sätete rikkumisele viimase poolt.
84.      Teisena, kuna isikuandmete kaitse üldmäärusega antud õiguste saajate ring piirdub üksnes andmesubjektidega, näib mulle, et Euroopa Kohtu praktika, mis käsitleb liikmesriikide võimalust näha nende õiguste omajatele riigisiseses õiguses ette täiendavad õiguskaitsevahendid, tingimusel et need õiguskaitsevahendid ei kahjusta ühtlustatud õiguskaitsevahendite süsteemi ega kahjusta selle eesmärke,(24) ei ole kõnealusele olukorrale otseselt ülekantav. Nagu ma näitan, võib asjaomane kohtupraktika siiski olla selle olukorra analüüsi aluseks.
85.      Nimelt tuleb mõiste „õiguskaitsevahendite süsteemi ammendavus“ sellise tõlgenduse korral kindlaks teha, kas isikuandmete kaitse üldmäärusega loodud õiguskaitsevahendite süsteemi tuleb mõista ammendava süsteemina selles mõttes, et sellega on vastuolus see, kui andmesubjektidele võidakse riigisiseses õiguses anda muid õiguskaitsevahendeid kui need, mis on selles määruses ette nähtud.
86.      Põhikohtuasjas on aga kõne all hagi, mille on esitanud ettevõtja, kes ei kuulu isikuandmete kaitse üldmäärusega antud õiguste omajate hulka.
87.      Neil asjaoludel ja võttes arvesse, et isikuandmete kaitse üldmäärus ei anna ettevõtjatele ega nende konkurentidele mingeid õigusi, on asjakohane ainult küsimus, kas isikuandmete kaitse üldmäärusega kehtestatud õiguskaitsevahendite süsteemi tuleb mõista ammendava süsteemina selles mõttes, et see määrus välistab ka selle, et ettevõtjad tuginevad selle määruse sätete rikkumisele riigisiseses õiguses ette nähtud õiguskaitsevahendite raames, mida ma püüan nüüd kindlaks teha.
2.      Riigisisesel õigusel põhinev hagi, mille on esitanud isikud, kes ei ole isikuandmete kaitse üldmäärusega antud õiguste omajad
88.      Küsimusele, kas isikuandmete kaitse üldmääruses ette nähtud õiguskaitsevahendite süsteemi käsitlevate sätetega on vastuolus see, kui ettevõtjad tuginevad selle määruse sätete rikkumisele riigisiseses õiguses ette nähtud õiguskaitsevahendite raames, tuleb minu arvates vastata kahes etapis.
89.      Nimelt tuleb sellele küsimusele vastamiseks analüüsida ühelt poolt, kas ettevõtjatel on võimalik tugineda isikuandmete kaitse üldmääruse sätetele, kuigi nad ei ole nende sätetega antud õiguste omajad, ning teiselt poolt, mis tingimustel saavad vastastikku toimida niisugused õiguskaitsevahendid ja selles määruses ette nähtud õiguskaitsevahendite süsteem.
90.      Mis puudutab esimesena ettevõtjate võimalust tugineda isikuandmete kaitse üldmääruse sätetele, siis märgin, et niisuguste riigisisesel õigusel põhinevate õiguskaitsevahendite puhul, nagu on kõne all põhikohtuasjas, on see vaid kõrvalise tähtsusega. Täpsemalt esitab ettevõtja hagi riigisisese õiguse, nimelt kõlvatu konkurentsi keelu alusel. Vaidlusaluse tegevuse ebaausus tuleneb seega isikuandmete kaitse üldmääruse rikkumisest. Teisisõnu ei põhine hagi isikuandmete kaitse üldmääruse sätete rikkumisel, vaid selles võetakse seda rikkumist arvesse täiendavalt(25).
91.      Sellist täiendavat arvesse võtmist on Euroopa Kohus aga juba lubanud, ehkki küll teistsuguses kontekstis. Nimelt otsustas Euroopa Kohus kohtuotsuses Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), et „turgu valitsevas seisundis ettevõtja tehtav andmetöötlus, mis võib endast kujutada selle seisundi kuritarvitamist, ei ole [isikuandmete kaitse üldmäärusega] kooskõlas“(26) ning et üldiselt on vaja lisada „isikuandmete kaitse normid[…] õiguslik[ku] raamistik[ku], mida konkurentsiasutused peavad turgu valitseva seisundi kuritarvitamise analüüsimisel arvesse võtma“(27). Teisisõnu möönab Euroopa Kohus, et konkurentsiõiguse rikkumine seisneb isikuandmete kaitse üldmääruse sätete rikkumises.
92.      Kuigi see järeldus tehti mitte eraõiguslike isikute vahelises vaidluses, vaid liikmesriigi konkurentsiasutuse poolt konkurentsivastase tegevuse analüüsimise raames, ei näe ma mingit põhjust, miks võimalus võtta isikuandmete kaitse üldmääruse sätete rikkumist täiendavalt arvesse, peaks piirduma ainult selle juhuga.
93.      Esiteks, mis puudutab konkurentsiõigust, siis kui nõustuda sellise arvessevõtmisega public enforcement’i valdkonnas, näib mulle vajalik muuta see võimalikuks ka private enforcement’i puhul ja seega eraõiguslike isikute vaheliste vaidluste puhul, mille peamine alus ei ole isikuandmete kaitse üldmäärusega antud õiguse rikkumine, välja arvatud juhul, kui möönda, et eraõiguslikud isikud ei saa nõuda niisuguse konkurentsiõiguse rikkumisega tekitatud kahju hüvitamist, mille konkurentsiasutus on ometi tuvastanud.
94.      Teiseks, nagu märkis kohtujurist Richard de la Tour, võivad isikuandmete kaitsel olla „mõjualad […] teistes valdkondades, mis puudutavad eelkõige tööõigust, konkurentsiõigust või tarbijaõigust“(28). Mulle näib, et see isikuandmete kaitse üldmääruse mõju muudes valdkondades viib selleni, et selle määruse sätteid lubatakse arvesse võtta hagides, mille peamiseks aluseks on muud, mitte selle määruse sätted.
95.      Mis puudutab teisena küsimust, kas riigisisesed õiguskaitsevahendid, mis eeldavad täiendavalt isikuandmete kaitse üldmääruse sätete arvessevõtmist, ja selle määrusega kehtestatud õiguskaitsevahendite süsteem on omavahel seotud, siis olen arvamusel, et niisugused õiguskaitsevahendid peaksid olema lubatud üksnes tingimusel, et need ei kahjusta selle määruse õiguskaitsevahendite süsteemi ega selle eesmärkide saavutamist.
96.      Need tingimused on välja töötatud kohtupraktikas, mis puudutab ühtlustatud õiguskaitsevahendite süsteemi ammendavust seoses samal õigusel põhinevate riigisiseste õiguskaitsevahenditega(29). Seega on need tingimused minu arvates seda enam täidetud, kui kõne all on riigisisesed õigusnormid, mis annavad ettevõtjatele õiguse esitada hagi mitte sama õiguse alusel, vaid riigisisese õiguse alusel, tuginedes siiski isikuandmete kaitse üldmääruse materiaalõigusnormide rikkumisele, mille on väidetavalt toime pannud teine ettevõtja.
97.      Seega tuleb kontrollida, kas käesolevas asjas on need tingimused täidetud.
98.      Mis puudutab kõigepealt küsimust, kas hagi rikkumise lõpetamise nõudes, mille on ettevõtja esitanud konkurendi vastu, väites, et viimane on rikkunud isikuandmete kaitse üldmääruse sätteid, kahjustab selle määruse VIII peatükis ette nähtud õiguskaitsevahendite süsteemi, siis olen arvamusel, et see seda ei kahjusta. Nimelt võimaldavad need õiguskaitsevahendid andmesubjektidel või nende volitatud mittetulunduslikel organisatsioonidel, organisatsioonidel või ühendustel esitada kaebuse järelevalveasutusele (artikkel 77), esitada kaebus järelevalveasutuse otsuse peale (artikkel 78), esitada hagi vastutava töötleja või volitatud töötleja vastu (artikkel 79) või saada vastutavalt töötlejalt või volitatud töötlejalt määruse rikkumisega tekitatud kahju eest hüvitist (artikkel 82).
99.      Teisisõnu, nagu Euroopa Kohus oma praktikas rõhutab, reguleerib isikuandmete kaitse üldmääruse VIII peatükk „[…] õiguskaitsevahendeid, mis võimaldavad kaitsta andmesubjekti õigusi juhul, kui teda puudutavaid isikuandmeid on väidetavalt töödeldud kõnealust määrust rikkudes“, kusjuures nende õiguste kaitsmiseks võib esitada „kaebuse kas andmesubjekt vahetult ise või selleks volitatud üksus – olgu siis volituse alusel või ilma“(30).
100. Neil asjaoludel põhineb hagi, mille võib ettevõtja esitada konkurendi vastu, tuginedes sellele, et viimane on rikkunud isikuandmete kaitse üldmäärust, küll lõppastmes sama sätte rikkumisel, kuid sellel ei ole sama eesmärki ega selles ei ole vastandatud samad pooled. Teisisõnu ei ole selline riigisiseses õiguses ette nähtud õiguskaitsevahend mõeldud selleks, et tagada andmesubjektide õiguste järgimine.
101. Sellest järeldub minu arvates, et õiguskaitsevahendid, mis on isikutel, keda isikuandmete kaitse üldmäärusega kehtestatud õiguskaitsevahendite süsteem puudutab, säilivad ja neid võib isegi alati kasutada juhul, kui ettevõtja esitab konkurendi vastu hagi.
102. Sellega seoses pean samuti täpsustama, et ma ei mõista, mil määral võivad sellised õiguskaitsevahendid – nagu väidab komisjon – kahjustada isikuandmete kaitse üldmäärusega kehtestatud õiguse kohaldamise järelevalve avalikku süsteemi, kuna selles määruses on juba sellise avaliku süsteemi kõrval selgesõnaliselt ette nähtud andmesubjekti võimalus tugineda oma isikuandmete kaitse üldmäärusest tulenevatele õigustele kohtumenetlustes.
103. Mis puudutab seejärel isikuandmete kaitse üldmääruse eesmärke, siis nähtub selle määruse põhjendusest 10, et selle määruse eesmärk on eelkõige tagada nii füüsiliste isikute kaitse kõrge tase kui ka füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine isikuandmete töötlemisel.
104. Ühegi nimetatud eesmärgi saavutamist ei ohusta minu arvates ettevõtjale antud võimalus esitada kõlvatu konkurentsi keelu alusel hagi konkurendi vastu, tuginedes sellele, et viimane on rikkunud isikuandmete kaitse üldmääruse sätteid. Ühest küljest näib mulle, et ettevõtjale antud võimalusega tugineda sellele, et tema konkurent on rikkunud isikuandmete kaitse üldmääruse materiaalõigusnorme, on füüsiliste isikute kaitse kõrge tase nende isikuandmete töötlemisel saavutatud või seda isegi tugevdatakse. Teisest küljest ei kahjusta see, et muud isikud peale andmesubjektide saavad nendele sätetele laiemalt tugineda, liidus ühtse ja ühetaolise kaitse eesmärgi saavutamist. Isegi kui liikmesriigid sellist võimalust ette ei näe, ei tekita see siiski andmekaitse rakendamise killustumist liidus, kuna isikuandmete kaitse üldmääruse materiaalõigusnormid on ühtemoodi siduvad kõigile ettevõtjatele ja nende järgimine on tagatud selles määruses ette nähtud õiguskaitsevahenditega.
105. Lõpuks, mis puudutab isikuandmete kaitse üldmääruse kasulikku mõju, siis ei sea ettevõtjale antud võimalus esitada isikuandmete kaitse üldmääruse rikkumisele tuginedes konkurendi vastu hagi rikkumise lõpetamise nõudes seda kaugeltki kahtluse alla, vaid – nagu ma märkisin – seda tugevdab minu arvates asjaolu, et selle määruse sätete järgimist saab tagada ka kohtumenetlustes, mis erinevad selle määrusega loodud õiguskaitsevahendite süsteemis ette nähtud menetlustest.
106. Neil asjaoludel olen arvamusel, et hagi rikkumise lõpetamise nõudes, mille esitab ettevõtja konkurendi vastu, väites, et see on rikkunud isikuandmete kaitse üldmääruse sätteid, võib eksisteerida koos isikuandmete kaitse üldmääruse VIII peatükis ette nähtud õiguskaitsevahenditega, kui see ei kahjusta neid ega kahjusta selle määruse eesmärke ja soovitavat toimet.
107. Seetõttu teen Euroopa Kohtule ettepaneku otsustada, et isikuandmete kaitse üldmääruse VIII peatüki sätetega ei ole vastuolus riigisisesed õigusnormid, mis annavad ettevõtjatele õiguse tugineda kõlvatu konkurentsi keelu alusel selle määruse materiaalõigusnormide rikkumistele, mille on väidetavalt toime pannud nende konkurendid.
V.      Ettepanek
108. Esitatud põhjendustest lähtudes teen Euroopa Kohtule ettepaneku vastata Bundesgerichtshofi (Saksamaa Liitvabariigi kõrgeim üldkohus) eelotsuse küsimustele järgmiselt:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 4 punkti 15 ja artikli 9 lõiget 1
tuleb tõlgendada nii, et
apteekri klientide andmed, mis edastatakse veebimüügiplatvormil niisuguste ravimite tellimise ajal, mida tohib müüa ainult apteekides, kuid mis ei ole retseptiravimid, ei ole „terviseandmed“.
1      Algkeel: prantsuse.
2      Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1).
3      Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355).
4      Euroopa Parlamendi ja nõukogu 9. märtsi 2011. aasta direktiiv patsiendiõiguste kohaldamise kohta piiriüleses tervishoius (ELT 2011, L 88, lk 45).
5      BGBl. 2004 I, lk 1414.
6      BGBl. 2005 I, lk 3394.
7      BGBl. 2022 I, lk 2793.
8      Rõhutan sellega seoses, et eelotsusetaotluse esitanud kohus küsib Euroopa Kohtult ka mõiste „tervislikku seisundit käsitlevad andmed“ kohta direktiivi 95/46 artikli 8 lõike 1 tähenduses. Olen siiski arvamusel, et selle sätte ja isikuandmete kaitse üldmääruse artikli 9 lõike 1 vahel ei ole vaja teha vahet, kuna neid tuleb Euroopa Kohtult käesolevas asjas taotletud tõlgenduse osas pidada sarnase ulatusega säteteks. Vt selle kohta 1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punkt 58). Seega viitan oma analüüsis ainult isikuandmete kaitse üldmääruse artikli 9 lõikele 1 ja see kehtib ka direktiivi 95/46 artikli 8 lõike 1 kohta.
9      1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punkt 124).
10      1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punkt 126).
11      EIK 25. veebruari 1997. aasta kohtuotsus Z vs. Soome (CE:ECHR:1997:0225JUD002200993, punkt 95). Lisaks rõhutab Euroopa Inimõiguste Kohus, et terviseandmete suurem kaitse on „oluline mitte ainult haigete eraelu kaitsmiseks, vaid ka selleks, et säilitada nende usaldus meditsiinipersonali ja tervishoiuteenuste vastu üldiselt“.
12      1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punkt 123).
13      Euroopa Andmekaitsenõukogu suunised 03/2020 terviseandmete töötlemise kohta teadusuuringute eesmärgil seoses COVID-19 puhanguga, lk 5.
14      Vt Bygrave, L. A., ja Tosoni, L., „Article 4(15)“, The EU General Data Protection Regulation (GDPR), a Commentary, Kuner, C., Bygrave, L. A., ja Docksey, C., (toim), Oxford University Press, 2020, lk 222.
15      24. veebruari 2022. aasta kohtuotsus Glavna direktsia „Pozharna bezopasnost i zashtita na naselenieto“ (C‑262/20, EU:C:2022:117, punkt 71).
16      19. novembri 1991. aasta kohtuotsus Francovich jt (C‑6/90 ja C‑9/90, EU:C:1991:428, punkt 31) ning 20. septembri 2001. aasta kohtuotsus Courage ja Crehan (C‑453/99, EU:C:2001:465, punkt 19).
17      20. septembri 2001. aasta kohtuotsus Courage ja Crehan (C‑453/99, EU:C:2001:465, punkt 19).
18      Vt selle kohta Van Gerven, W., „Of Rights, Remedies and Procedures“, Common Market Law Review, Vol. 37, nr 3, 2000, lk 501–536.
19      20. septembri 2001. aasta kohtuotsus Courage ja Crehan (C‑453/99, EU:C:2001:465, punkt 25).
20      19. novembri 1991. aasta kohtuotsus Francovich jt (C‑6/90 ja C‑9/90, EU:C:1991:428, punkt 31) ning 20. septembri 2001. aasta kohtuotsus Courage ja Crehan (C‑453/99, EU:C:2001:465, punkt 19).
21      Sarnase lahenduse on Euroopa Kohus juba valinud eelkõige seoses nõukogu 18. mai 1972. aasta määrusega (EMÜ) nr 1035/72 puu- ja köögiviljaturu ühise korralduse kohta (EÜT 1972, L 118, lk 1). See põhines üksnes asjaolul, et selle õigusakti eesmärk oli samuti tagada õiglane kaubandus ja turu läbipaistvus, mistõttu tsiviilhagi, mille oli ettevõtja esitanud konkurendi vastu, et sundida teda täitma selles määruses ette nähtud kohustusi, tugevdas ühenduse õigusnormide toimivust. Teisisõnu tõlgendati määrust nr 1035/72 nii, et see kohustab ettevõtjaid järgima turu ühise korralduse eeskirju, et nad saaksid kasu ärisuhetest ausa konkurentsi alusel, ning et see määrus andis neile seega õigused, mis tulenesid neile samuti pandud kohustustest. Vt 17. septembri 2002. aasta kohtuotsus Muñoz ja Superior Fruiticola (C‑253/00, EU:C:2002:497, punktid 29 ning 31).
22      21. detsembri 2011. aasta kohtuotsus Dutrueux (C‑495/10, EU:C:2011:869, punktid 29 ja 30) ning 16. märtsi 2023. aasta kohtuotsus Beobank (C‑351/21, EU:C:2023:215, punkt 38).
23      Mulle näib, et see õiguskaitsevahendite süsteemi ammendavuse kahemõõtmelisus, mis sõltub liidu õigusest tulenevate õiguste omajate kindlakstegemisest, ilmneb Euroopa Kohtu praktikast 2. septembri 2021. aasta kohtuotsuses CRCAM (C‑337/20, EU:C:2021:671). Selles kohtuotsuses analüüsis Euroopa Kohus, kas Euroopa Parlamendi ja nõukogu 13. novembri 2007. aasta direktiiviga 2007/64/EÜ makseteenuste kohta siseturul ning direktiivide 97/7/EÜ, 2002/65/EÜ, 2005/60/EÜ ja 2006/48/EÜ muutmise ning direktiivi 97/5/EÜ kehtetuks tunnistamise kohta (ELT 2007, L 319, lk 1, ja parandus ELT 2009, L 187, lk 5) on kooskõlas riigisisene vastutuse kord, mis võimaldab makseteenuste kasutaja käendajal seetõttu, et makseteenuste pakkuja on rikkunud direktiivist tulenevaid kohustusi, tugineda selle teenusepakkuja tsiviilvastutusele vastavalt lepingulise vastutuse üldisele korrale. Euroopa Kohus alustas oma analüüsi tõdemusega, et nimetatud direktiiv ei kehtesta õigusi mitte käendajale, vaid üksnes makseteenuse pakkujatele ja selliste teenuste kasutajatele, enne kui ta analüüsis, kas sama direktiiviga kehtestatud vastutuse kord on vastuolus riigisisesel õigusel põhineva alternatiivse korraga.
24      21. detsembri 2011. aasta kohtuotsus Dutrueux (C‑495/10, EU:C:2011:869, punktid 29 ja 30) ning 16. märtsi 2023. aasta kohtuotsus Beobank (C‑351/21, EU:C:2023:215, punkt 38).
25      Rõhutan siinkohal, et juhul kui isikuandmete kaitse üldmääruse sätte rikkumist võib pidada ebaausaks kaubandustavaks Euroopa Parlamendi ja nõukogu 11. mai 2005. aasta direktiivi 2005/29/EÜ, mis käsitleb ettevõtja ja tarbija vaheliste tehingutega seotud ebaausaid kaubandustavasid siseturul ning millega muudetakse nõukogu direktiivi 84/450/EMÜ, Euroopa Parlamendi ja nõukogu direktiive 97/7/EÜ, 98/27/EÜ ja 2002/65/EÜ ning Euroopa Parlamendi ja nõukogu määrust (EÜ) 2006/2004 (ELT 2005, L 149, lk 22), tähenduses, tuleks seda direktiivi minu arvates kohaldada kõigis selle sätetes, sealhulgas liikmesriikide kohustuses näha selle direktiivi artikli 11 kohaselt ette sätted, mis võimaldavad konkurentidel algatada nende ebaausate kaubandustavade suhtes kohtumenetlust.
26      4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused) (C‑252/21, EU:C:2023:537, punkt 43).
27      4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused) (C‑252/21, EU:C:2023:537, punkt 51).
28      Kohtujurist Richard de la Touri ettepanek kohtuasjas Meta Platforms Ireland (C‑319/20, EU:C:2021:979, punkt 51).
29      21. detsembri 2011. aasta kohtuotsus Dutrueux (C‑495/10, EU:C:2011:869, punktid 29 ja 30) ning 16. märtsi 2023. aasta kohtuotsus Beobank (C‑351/21, EU:C:2023:215, punkt 38). Vt ka käesoleva ettepaneku punkt 71.
30      28. aprilli 2022. aasta kohtuotsus Meta Platforms Ireland (C‑319/20, EU:C:2022:322, punkt 53).