62021CC0667
NÁVRHY GENERÁLNEHO ADVOKÁTA
MANUEL CAMPOS SÁNCHEZ‑BORDONA
prednesené 25. mája 2023 (
1
)
Vec C‑667/21
ZQ
proti
Medizinischer Dienst der Krankenversicherung Nordrhein_Körperschaft des öffentlichen Rechts
[návrh na začatie prejudiciálneho konania, ktorý podal Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko)]
„Prejudiciálne konanie – Ochrana osobných údajov – Osobné údaje týkajúce sa zdravia – Posúdenie pracovnej spôsobilosti zamestnanca – Lekárska zdravotná služba zdravotnej poisťovne – Spracúvanie osobných údajov týkajúcich sa zdravia zamestnancov – Právo na náhradu škody – Vplyv miery zavinenia“
1.
Prejednávaný návrh na začatie prejudiciálneho konania sa týka výkladu nariadenia (EÚ) 2016/679 (
2
) v súvislosti: a) so spracúvaním osobných údajov týkajúcich sa zdravia a b) s náhradou škody vzniknutej v dôsledku (údajného) porušenia GDPR.
2.
Hoci Súdny dvor už rozhodol o ustanoveniach GDPR (
3
), ktoré sa týkajú uvedených otázok, otázky položené v prejednávanom návrhu na začatie prejudiciálneho konania sú – s výnimkou štvrtej otázky – nové. (
4
)
I. Právny rámec
A.
Právo Únie. GDPR
3.
Pre tento spor sú relevantné odôvodnenia 4, 10, 35, 51 až 54 a 146 GDPR.
4.
Podľa článku 9 s názvom „Spracúvanie osobitných kategórií osobných údajov“:
„1.   Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2.   Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
…
b)
spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby;
…
h)
spracúvanie je nevyhnutné na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti alebo liečby, alebo riadenia systémov a služieb zdravotnej alebo sociálnej starostlivosti na základe práva Únie alebo práva členského štátu alebo podľa zmluvy so zdravotníckym pracovníkom, a podlieha podmienkam a zárukám uvedeným v odseku 3;
…
3.   Osobné údaje uvedené v odseku 1 sa môžu spracúvať na účely uvedené v odseku 2 písm. h), ak tieto údaje spracúva odborník, alebo ak sa spracúvajú v rámci zodpovednosti odborníka, ktorý podlieha povinnosti zachovávať profesijné tajomstvo podľa práva Únie alebo práva členského štátu alebo podľa pravidiel, ktoré stanovili príslušné vnútroštátne orgány, alebo ak údaje spracúva iná osoba, ktorá tiež podlieha povinnosti mlčanlivosti podľa práva Únie alebo práva členského štátu alebo pravidiel, ktoré stanovili príslušné vnútroštátne orgány.
4.   Členské štáty môžu zachovať alebo zaviesť ďalšie podmienky vrátane obmedzení týkajúce sa spracúvania genetických údajov, biometrických údajov alebo údajov týkajúcich sa zdravia.“
5.
Článok 82 s názvom „Právo na náhradu škody a zodpovednosť“ znie:
„1.   Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.
…
3.   Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.
…“
B.
Vnútroštátne právo. Sozialgesetzbuch, Fünftes Buch (
5
)
6.
Podľa § 278 ods. 1 prvej vety piatej knihy Zákonníka sociálneho zabezpečenia sa v každej spolkovej krajine zriadi lekárska služba (
6
) zdravotných poisťovní (
7
) ako verejnoprávna ustanovizeň. K jej úlohám, ktoré určuje zákon, patrí vypracúvanie posudkov na odstránenie pochybností o práceneschopnosti poistencov.
7.
V zmysle § 275 ods. 1 prvej vety bodu 3 písm. b) piatej knihy Zákonníka sociálneho zabezpečenia sú zdravotné poisťovne za určitých okolností v prípade práceneschopnosti poistenca potvrdenej lekárom povinné požiadať LSZP o vypracovanie posudku na odstránenie pochybností o jeho práceneschopnosti.
II. Skutkový stav, spor vo veci samej a prejudiciálne otázky
8.
ZQ bol od roku 1991 zamestnaný na Medizinischer Dienst der Krankenversicherung Nordrhein (LSZP Severné Porýnie, Nemecko) ako správca systémov na IT oddelení a pracovník technickej podpory.
9.
LSZP vypracúva posudky o práceneschopnosti poistencov zdravotných poisťovní. Medzi týmito posudkami sa môžu nachádzať posudky týkajúce sa zdravia vlastných zamestnancov LSZP.
10.
Spracúvanie údajov sa riadi okrem iného týmito pravidlami, ktoré sú stanovené v internom služobnom predpise (
8
):
–
„sociálne údaje“ zamestnancov sa nemôžu zhromažďovať ani uchovávať na ich pracovisku. Tieto údaje, ktoré sa vytvoria, keď zdravotná poisťovňa požiada LSZP o vypracovanie znaleckého posudku, sa navyše nesmú zmiešavať s údajmi zamestnancov, ktoré sa spracúvajú v rámci pracovného alebo služobného pomeru;
–
žiadosti o vypracovanie posudku týkajúce sa zamestnancov LSZP sa označujú ako „špeciálne prípady“ a spracúva ich výlučne konkrétna organizačná jednotka; (
9
)
–
po vypracovaní posudku týkajúceho sa zamestnanca LSZP sa tak príslušná dokumentácia, ako aj posudok uložia do elektronického archívu LSZP. Priradenie dokumentov k jednotlivým osobám je možné len pomocou osobitného kľúča, a to s technicky overeným prístupovým oprávnením.
11.
Zamestnanci „IT oddelenia“ organizačnej jednotky pre špeciálne prípady môžu po archivácii spisu získať prístup k posudkom, ktoré boli vypracované na základe žiadosti o vypracovanie posudku týkajúcej sa zamestnancov LSZP, pričom podľa zákona majú povinnosť mlčanlivosti.
12.
ZQ bol od 22. novembra 2017 nepretržite práceneschopný z dôvodu choroby.
13.
ZQ poberal od 24. mája 2018 (
10
) nemocenské, ktoré mu vyplácala zdravotná poisťovňa, v ktorej je poistený. Táto zdravotná poisťovňa 6. júna 2018 požiadala LSZP o vypracovanie posudku na odstránenie pochybností o práceneschopnosti ZQ.
14.
LSZP prijala túto žiadosť, ktorú pridelila organizačnej jednotke pre špeciálne prípady. Dňa 22. júna 2018 lekárka tejto organizačnej jednotky, ktorá bola zamestnankyňou LSZP, vypracovala posudok, ktorý obsahoval diagnózu ZQ. Na účely jeho vypracovania telefonovala s ošetrujúcim lekárom ZQ a získala od neho príslušné informácie.
15.
LSZP elektronicky archivovala tento posudok.
16.
ZQ sa od svojho ošetrujúceho lekára dozvedel o telefonáte lekárky LSZP.
17.
Dňa 1. augusta 2018 ZQ zatelefonoval kolegyni z IT oddelenia LSZP a opýtal sa jej, či bol archivovaný posudok, ktorý sa ho týka. Po vyhľadávaní v archíve táto kolegyňa odpovedala na uvedenú otázku kladne. Na žiadosť ZQ odfotografovala posudok a poslala mu jeho snímky.
18.
Dňa 15. augusta 2018 ZQ neúspešne požiadal LSZP o vyplatenie odškodnenia vo výške 20000 eur na základe článku 82 GDPR.
19.
Dňa 17. októbra 2018 ZQ podal žalobu na Arbeitsgericht Düsseldorf (Pracovný súd Düsseldorf, Nemecko). V tomto konaní navyše žiadal náhradu majetkovej ujmy vo výške svojho ušlého zárobku. (
11
)
20.
V priebehu súdneho konania LSZP ukončila pracovný pomer so ZQ.
21.
Návrhy ZQ bol tak na prvom stupni, ako aj v odvolacom konaní zamietnuté. (
12
)
22.
ZQ podal opravný prostriedok „Revision“ na Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko), ktorý kladie Súdnemu dvoru tieto otázky:
„1.
Má sa článok 9 ods. 2 písm. h) [GDPR] vykladať v tom zmysle, že lekárska služba zdravotnej poisťovne nesmie spracúvať údaje týkajúce sa zdravia svojho zamestnanca, ktoré sú podmienkou posúdenia pracovnej spôsobilosti tohto zamestnanca?
2.
Ak by Súdny dvor odpovedal na prvú otázku záporne, v dôsledku čoho by podľa článku 9 ods. 2 písm. h) GDPR prichádzala do úvahy výnimka zo zákazu spracúvania údajov týkajúcich sa zdravia stanoveného v článku 9 ods. 1 GDPR, majú sa v prípade, ako je tento, vziať do úvahy okrem požiadaviek uvedených v článku 9 ods. 3 GDPR ďalšie požiadavky týkajúce sa ochrany údajov, prípadne aké požiadavky sa majú vziať do úvahy?
3.
Ak by Súdny dvor odpovedal na prvú otázku záporne, v dôsledku čoho by podľa článku 9 ods. 2 písm. h) GDPR prichádzala do úvahy výnimka zo zákazu spracúvania údajov týkajúcich sa zdravia stanoveného v článku 9 ods. 1 GDPR, závisí v prípade, ako je tento, prípustnosť, resp. zákonnosť spracúvania údajov týkajúcich sa zdravia navyše od toho, že je splnená aspoň jedna z podmienok uvedených v článku 6 ods. 1 GDPR?
4.
Má článok 82 ods. 1 GDPR charakter ustanovenia, ktorého cieľom je špeciálna, resp. generálna prevencia, a musí sa to zohľadniť pri určovaní výšky nemajetkovej ujmy, ktorú má na základe článku 82 ods. 1 GDPR nahradiť prevádzkovateľ, resp. sprostredkovateľ?
5.
Záleží pri určovaní výšky nemajetkovej ujmy, ktorá sa má nahradiť na základe článku 82 ods. 1 GDPR, na miere zavinenia prevádzkovateľa, resp. sprostredkovateľa? Môže sa najmä neexistencia alebo nízka miera zavinenia prevádzkovateľa, resp. sprostredkovateľa zohľadniť v jeho prospech?“
III. Konanie na Súdnom dvore
23.
Návrh na začatie prejudiciálneho konania bol doručený do kancelárie Súdneho dvora 8. novembra 2021.
24.
Písomné pripomienky predložili ZQ, LSZP, írska a talianska vláda, ako aj Európska komisia.
25.
Uskutočnenie pojednávania sa nepovažovalo za nevyhnutné.
26.
Na základe pokynu Súdneho dvora sa v týchto návrhoch nebudem zaoberať štvrtou prejudiciálnou otázkou. (
13
)
IV. Analýza
A.
Prvá prejudiciálna otázka
27.
Vnútroštátny súd sa pýta, či článok 9 ods. 2 písm. h) GDPR zakazuje, aby LSZP spracúvala údaje týkajúce sa zdravia jedného z jej vlastných zamestnancov, ak sú nevyhnutné na posúdenie jeho pracovnej spôsobilosti. Spochybňuje teda zákonnosť spracúvania z dôvodu subjektu, ktorý ho vykonáva. (
14
)
28.
Článok 9 GDPR upravuje osobitné kategórie údajov, ako sú údaje týkajúce sa zdravia určitej osoby. Stanovuje všeobecný zákaz spracúvania „citlivých“ údajov (odsek 1) a obsahuje taxatívny výpočet okolností, za ktorých sa tento všeobecný zákaz neuplatní (odsek 2).
29.
Článok 9 ods. 2 písm. h) GDPR konkrétne zahŕňa výnimku (zo všeobecného zákazu) týkajúcu sa spracúvania osobných údajov „na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti“.
30.
Podľa môjho názoru uvedené ustanovenie poskytuje dostatočnú oporu pre postup LSZP, ktorý je predmetom sporu. (
15
) Je nepodstatné, že prevádzkovateľ je zároveň zamestnávateľom dotknutej osoby, keďže LSZP nekoná v postavení takého zamestnávateľa, ale v postavení lekárskej služby zdravotnej poisťovne, v ktorej bola dotknutá osoba poistená. (
16
)
31.
Domnievam sa, že neexistuje základ na to, aby sa článok 9 ods. 2 písm. h) GDPR vykladal v tom zmysle, že zakazuje, aby lekárska služba spracúvala údaje o zdravotnom stave svojich zamestnancov na účel uvedený v tomto ustanovení. Obvyklé výkladové kritériá vedú skôr k opačnému riešeniu (neexistencia tohto zákazu).
32.
Z doslovného hľadiska článok 9 ods. 2 písm. h) GDPR nestanovuje také vylúčenie ani nestanovuje ako podmienku spracúvania, aby bola prevádzkovateľom „neutrálna tretia osoba“. (
17
)
33.
Legislatívna história a vývoj tohto ustanovenia tiež nesvedčia o zákaze, aký je uvedený v prvej prejudiciálnej otázke, ani o zámere stanoviť ho. (
18
)
34.
Účelom ustanovení GDPR, ktorých predmetom je spracúvanie údajov týkajúcich sa zdravia, je – ako rozhodol Súdny dvor (
19
) – poskytnúť posilnenú ochranu dotknutých osôb vzhľadom na osobitnú citlivosť týchto údajov pre dotknuté základné práva. Na dosiahnutie tohto cieľa bol v článku 9 ods. 1 GDPR stanovený všeobecný zákaz, ktorý však nie je absolútny. (
20
)
35.
V tejto oblasti, tak ako v iných oblastiach týkajúcich sa spracúvania osobných údajov, mal normotvorca po stanovení všeobecného zákazu možnosť:
–
zaviesť výnimky v podobe zoznamu konkrétnych situácií, ktoré možno (približne) rozdeliť na situácie, v ktorých samotná dotknutá osoba povolí spracúvanie alebo má z neho prospech, a situácie, v ktorých existujú záujmy, ktoré prevažujú nad záujmom daného jednotlivca,
–
stanoviť pre určitý typ spracúvania osobitné záruky, ktoré sú prísnejšie než záruky vzťahujúce sa na ostatné „iné ako citlivé“ osobné údaje a ktoré platia popri týchto zárukách, (
21
)
–
priznať členským štátom oprávnenie zaviesť iné podmienky a dokonca aj obmedzenia spracúvania osobných údajov, a to pokiaľ ide o údaje týkajúce sa zdravia (článok 9 ods. 4 GDPR a odôvodnenie 53 na konci) alebo údaje zamestnancov v súvislosti so zamestnaním (článok 88 GDPR). (
22
)
36.
Z abstraktného hľadiska by pritom nič nebránilo tomu, aby sa medzi osobitnými zárukami, ktoré som spomenul vyššie, nachádzala záruka, ktorá by zakazovala LSZP spracúvať údaje týkajúce sa zdravia jej zamestnancov. Nezdá sa mi však, že uvedená možnosť (ktorú si normotvorca Únie nevybral) je nevyhnutná na dosiahnutie vyššie spomenutého cieľa.
37.
Domnievam sa teda, že z teleologického výkladu článku 9 ods. 2 písm. h) GDPR nevyhnutne nevyplýva zákaz, na ktorý sa pýta vnútroštátny súd.
38.
Tiež si nemyslím, že systematický výklad tohto ustanovenia vedie k inému riešeniu, keďže
–
ak by sa hypoteticky uznalo, že by bolo správne chápať článok 9 ods. 2 písm. b) GDPR ako jediný základ na to, aby zamestnávateľ mohol spracúvať údaje o zdravotnom stave svojich zamestnancov, (
23
) nemalo by to vplyv na možnosť, aby ten istý subjekt, už nie v postavení zamestnávateľa, ale v postavení lekárskej služby, ktorá prijme žiadosť zdravotnej poisťovne, vykonával spracúvanie na základe inej výnimky stanovenej v článku 9 ods. 2 GDPR, (
24
)
–
článok 9 ods. 3 GDPR stanovuje podmienky, ktoré musia splniť subjekty, ktoré spracúvajú osobné údaje týkajúce sa zdravia. Článok 9 ods. 2 písm. h) výslovne odkazuje na odsek 3, pričom zo subjektívneho hľadiska spracúvanie nepodlieha žiadnej inej požiadavke. (
25
)
39.
Aby som to zhrnul, navrhujem odpovedať na prvú prejudiciálnu otázku záporne (teda tak, že v GDPR nie je stanovený sporný zákaz), v dôsledku čoho je možné zaoberať sa druhou prejudiciálnou otázkou.
B.
Druhá prejudiciálna otázka
40.
Pre prípad, že odpoveď na prvú prejudiciálnu otázku bude záporná (ako to navrhujem), sa vnútroštátny súd pýta, či „sa v prípade, ako je tento, [majú] vziať do úvahy okrem požiadaviek uvedených v článku 9 ods. 3 GDPR ďalšie požiadavky týkajúce sa ochrany údajov, prípadne aké požiadavky sa majú vziať do úvahy“.
41.
Odpoveď na túto otázku vo všeobecnej rovine by nemala vyvolávať väčšie ťažkosti. (
26
) Súdny dvor uviedol, že každé spracúvanie osobných údajov musí byť v súlade s princípmi článku 5 GDPR a s niektorou z podmienok zákonnosti stanovených v článku 6 GDPR. (
27
)
42.
Podľa vnútroštátneho súdu na ochranu údajov za okolností, akými sú okolnosti prejednávanej veci, nepostačuje dodržanie povinnosti mlčanlivosti (článok 9 ods. 3 GDPR). Tento súd navrhuje iné doplňujúce opatrenia, ktoré sú podľa jeho názoru jedinými opatreniami vhodnými na tento účel. (
28
)
43.
Domnievam sa, že článok 9 ods. 3 GDPR ako taký nemôže tvoriť základ uvedených dodatočných opatrení. Jeho jednoznačné znenie (v ktorom sa len spresňuje ustanovenie, ktoré sa nachádzalo už v smernici 95/46) (
29
) neposkytuje oporu pre také návrhy, ako je návrh vnútroštátneho súdu.
44.
Uvedené návrhy by naopak mohli mať oporu v článku 9 ods. 4 GDPR. Podľa tohto ustanovenia sú členské štáty oprávnené uložiť „ďalšie podmienky vrátane obmedzení týkajúce sa spracúvania… údajov týkajúcich sa zdravia“. (
30
) Z rozhodnutia vnútroštátneho súdu však nevyplýva, že v Nemecku boli také podmienky uložené.
45.
Preto sa z dôvodov, ktoré som uviedol vyššie, na spracúvanie osobných údajov týkajúcich sa zdravia musí uplatniť okrem iných zásad zásada stanovená v článku 5 ods. 1 písm. f) GDPR, ako aj povinnosti, ktoré z neho vyplývajú, podrobnejšie opísané v kapitole IV GDPR.
46.
Prevádzkovateľ (
31
) musí navyše prijať vhodné technické a organizačné opatrenia, ktorých cieľom je zabezpečiť, aby bolo konkrétne spracúvanie v súlade s GDPR. Je to všeobecne stanovené v článku 24 ods. 1 GDPR.
47.
Článok 32 ods. 1 GDPR konkrétne vyžaduje, aby prevádzkovateľ prijal „primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú… riziku“, ktoré hrozí predmetným osobným údajom.
48.
Ak sa uvedené pravidlá uplatnia na prejednávanú vec, LSZP má z dôvodu, že je zamestnávateľom ZQ, povinnosť starostlivosti pri spracúvaní jeho údajov týkajúcich sa zdravia, ktorá je prísnejšia než obvyklá povinnosť starostlivosti, lebo aj riziká sú vyššie. (
32
)
49.
LSZP uznáva túto skutočnosť. Ak na základe žiadosti zdravotnej poisťovne, v ktorej je poistený jej zamestnanec, vypracúva posudky na odstránenie pochybností o jeho pracovnej spôsobilosti, resp. práceneschopnosti, uplatňuje súbor technických a organizačných opatrení ad hoc, ktorých účelom ja zabezpečiť, aby bolo spracúvanie osobných údajov týkajúcich sa zdravia v súlade s GDPR. (
33
)
50.
Prináleží vnútroštátnemu súdu, aby posúdil uvedené opatrenia, pričom tento súd môže na základe ich posúdenia rozhodnúť, že prijaté opatrenia neboli dostatočné. To však neumožňuje vyvodiť z článku 9 GDPR povinnosť LSZP z úradnej povinnosti odmietnuť každú žiadosť o vypracovanie lekárskeho posudku (týkajúceho sa ich zamestnancov), ktorú podali zdravotné poisťovne. (
34
)
C.
Tretia prejudiciálna otázka
51.
Za predpokladu, že odpoveď na prvú prejudiciálnu otázku bude záporná, sa vnútroštátny súd treťou prejudiciálnou otázkou pýta, či výnimka zo zákazu spracúvania údajov týkajúcich sa zdravia „závisí… navyše od toho, že je splnená aspoň jedna z podmienok uvedených v článku 6 ods. 1 GDPR“.
52.
Na zodpovedanie tejto otázky je potrebné preskúmať vzťah medzi článkom 9 ods. 2 GDPR a článkom 6 GDPR, ktorý sa týka zákonnosti spracúvania. Povinnosť dodržiavať tento druhý článok pri každom spracúvaní údajov je stanovená v rozsudkoch Súdneho dvora, ktoré som citoval vyššie. (
35
)
53.
Konkrétne v rozsudku vydanom vo veci C‑439/19 (
36
) bol podaný výklad článku 10 GDPR, ktorý sa vzťahuje na inú kategóriu citlivých osobných údajov (osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky), (
37
) pričom sa v ňom konštatovalo, že článok 6 GDPR sa uplatňuje spolu s článkom 10.
54.
Možno uvedený záver uplatniť aj na osobné údaje uvedené v článku 9 GDPR?
55.
Články 9 a 10 GDPR majú odlišnú štruktúru. Článok 10 obsahuje výslovný odkaz na článok 6 ods. 1 GDPR, ktorý sa nenachádza v článku 9.
56.
Článok 9 ods. 2 a článok 10 GDPR nemajú ani podobný obsah: v článku 10 sa len uvádza subjektívne obmedzenie spracúvania, zatiaľ čo článok 9 ods. 2 stanovuje účely (alebo okolnosti), ktoré ho odôvodňujú, tak ako článok 6 ods. 1.
57.
Článok 6 ods. 1 a článok 9 ods. 2 GDPR sú si v skutočnosti podobné tým, že na prvý pohľad by sa zdalo, že okolnosti vymenované v tomto druhom ustanovení sú špecifikáciami podmienok, ktoré sú uvedené v prvom ustanovení: spresňujú ich a zároveň ich sprísňujú.
58.
Vzhľadom na históriu a vývoj článku 9 GDPR je však sporné, či možno vzťah medzi týmto článkom a článkom 6 označiť ako vzťah medzi „lex specialis“ a „lex generalis“.
59.
Je nesporné, že delegácie niektorých členských štátov skutočne podporovali uvedený výklad. (
38
) Dokumenty týkajúce sa rokovaní o článku 9 však nesvedčia o rozporoch, pokiaľ ide o odkaz na článok 6 (
39
), ale o jeho rozsahu (ide len o odkaz na odsek 1, alebo aj na iné odseky tohto článku?). (
40
) Napokon bol z článku 9 vypustený odkaz na článok 6 (
41
) a bolo prijaté rozhodnutie ponechať v preambule odôvodnenie podobné súčasnému odôvodneniu 51 GDPR. (
42
)
60.
S myšlienkou kumulácie alebo komplementárnosti týchto dvoch ustanovení súhlasí Európsky výbor pre ochranu údajov (
43
) a podporila ju takzvaná skupina zriadená podľa článku 29 (
44
), pokiaľ ide o článok 8 smernice 95/46. (
45
) Toto chápanie sa však nepovažuje za jednoznačné v právnej náuke ani v iných relevantných kruhoch. (
46
)
61.
Pri pohľade na jednotlivé písmená článku 9 ods. 2 GDPR sa prikláňam k záveru, že na otázku, aký je vzťah medzi uvedeným ustanovením a článkom 6, v skutočnosti nemožno odpovedať jednotne. Totiž:
–
výnimky zo zákazu spracúvania, aké sú stanovené v článku 9 ods. 2 písm. a), c), g) a i) (
47
), priamo súvisia s konkrétnym právnym základom stanoveným v článku 6 ods. 1 GDPR, ktorý sa stáva ich súčasťou,
–
to neplatí v prípade iných výnimiek vymenovaných v článku 9 ods. 2 GDPR, ktoré si vyžadujú dodatočné odôvodnenie na základe článku 6 ods. 1 Tak je to podľa môjho názoru v prípade článku 9 ods. 2 písm. h), ktorého sa týka táto prejudiciálna otázka.
62.
Domnievam sa teda, že na to, aby bolo spracúvanie citlivých údajov, ktoré povoľuje článok 9 ods. 2 písm. h) GDPR, zákonné, je potrebné preskúmať, ktorá z podmienok špecifikovaných v článku 6 ods. 1 spôsobuje, že je v danom prípade oprávnené.
63.
Vnútroštátny súd nespochybňuje tento záver: naopak, vychádzajúc z uvedeného predpokladu, sa zameriava na zamietnutie tvrdenia, že spracúvanie, ktoré vykonáva LSZP, je odôvodnené článkom 6. (
48
)
64.
Na prvý pohľad podľa môjho názoru neexistuje poradie právnych základov uvedených v tomto ustanovení. Podrobnejší rozbor by mohol odhaliť potrebu zaviesť spresnenia. (
49
) Domnievam sa však, že taký rozbor by prekračoval rámec toho, čo je nevyhnutné na zodpovedanie predmetných prejudiciálnych otázok. (
50
)
65.
Aby som to zhrnul, na tretiu prejudiciálnu otázku vnútroštátneho súdu treba odpovedať tak, že výnimka zo zákazu spracúvať údaje týkajúce sa zdravia vyžaduje, aby bola splnená aspoň jedna z podmienok uvedených v článku 6 ods. 1 GDPR.
D.
Piata prejudiciálna otázka
66.
Vnútroštátny súd sa pýta, či „záleží pri určovaní výšky nemajetkovej ujmy, ktorá sa má nahradiť na základe článku 82 ods. 1 GDPR, na miere zavinenia prevádzkovateľa, resp. sprostredkovateľa“ a najmä či sa „‚môže… neexistencia alebo nízka miera zavinenia prevádzkovateľa, resp. sprostredkovateľa zohľadniť v jeho prospech“.
67.
Táto otázka vychádza z predpokladu, že došlo k porušeniu GDPR, (
51
) ktorého sa dopustil subjekt, ktorý vystupuje ako prevádzkovateľ, a vnútroštátny súd sa ňou pýta, či pri určovaní výšky náhrady škody spôsobenej týmto porušením záleží na miere zavinenia tohto subjektu. Podľa vnútroštátneho súdu nie je isté, že neexistenciu alebo nízku mieru zavinenia prevádzkovateľa možno považovať za okolnosť, ktorá je v jeho prospech.
68.
Z doslovného hľadiska sa táto otázka zameriava na určenie výšky náhrady škody. Vysvetlenia, ktoré boli uvedené v súvislosti s ňou, však vyvolali určité nejasnosti, keďže nebolo jasné, či v nich bolo zavinenie uvedené ako podmienka pripísania zodpovednosti alebo ako faktor na určenie výšky náhrady škody.
69.
Vnútroštátny súd na základe výzvy Súdneho dvora, aby objasnil uvedené nejasnosti, uviedol, že otázka sa týka oboch aspektov, pričom neposkytol podrobnejšie spresnenia týkajúce sa jej súvislosti so sporom vo veci samej.
70.
Vzhľadom na túto odpoveď odpoviem na pochybnosti, ktoré vyjadril vnútroštátny súd, po tom, čo (tiež) rozoberiem pochybnosti, ktoré uvádza LSZP, týkajúce sa prípadnej účasti dotknutej osoby na vzniku škody. (
52
) Môj rozbor sa bude skladať z troch fáz:
–
v prvej fáze sa budem zaoberať dôvodom pripísania zodpovednosti stanovenej v článku 82 GDPR,
–
v druhej fáze preskúmam prípadný vplyv nahliadnutia zamestnanca prevádzkovateľa do osobných údajov. (
53
) Špecifickým a podstatným faktorom v tomto prípade je, že uvedený zamestnanec nahliadol do osobných údajov na žiadosť dotknutej osoby,
–
v tretej fáze sa vyjadrím k prípadným dôsledkom miery závažnosti zavinenia prevádzkovateľa na konkrétne posúdenie náhrady nemajetkovej ujmy, ktorú možno nahradiť.
1. Dôvod zodpovednosti za škodu stanovený v článku 82 GDPR
71.
Vnútroštátny súd sa domnieva, že podľa článku 82 ods. 1 GDPR zodpovednosť (spracúvateľa (
54
)) za škodu nie je podmienená existenciou alebo preukázaním úmyslu alebo nedbanlivosti. Ďalej uvádza, že odsek 3 toho istého článku nepodporuje iné riešenie.
72.
Uznávam, že nie je jasné, ktorý model zodpovednosti za škodu bol prijatý v GDPR, a že a priori prichádza do úvahy niekoľko výkladov. (
55
) Jedným z nich je výklad, ktorý podáva vnútroštátny súd, a tento výklad je podľa môjho názoru správny.
73.
Domnievam sa, že výklad článku 82 ods. 1 GDPR v tom zmysle, že zavádza režim zodpovednosti za škodu bez ohľadu na zavinenie spracúvateľa, podľa jeho doslovného znenia má priamu oporu v prípravných dokumentoch a predovšetkým podporuje účel tohto ustanovenia. Je prijateľný vzhľadom na iné odseky tohto článku, ako aj na celkovú systematiku GDPR.
a) Doslovný výklad
74.
Postoj, ktorý zastáva vnútroštátny súd, je v súlade so znením článku 82 ods. 1 GDPR. Z doslovného hľadiska je podmienkou vzniku práva na náhradu škody od prevádzkovateľa len škoda utrpená v dôsledku porušenia GDPR.
75.
Zvyšné odseky článku 82 nenasvedčujú v prospech inej odpovede. (
56
) Najmä by som si netrúfal vyvodiť požiadavku týkajúcu sa zavinenia zo slova „pripísateľný“, ktoré sa nachádza v článku 82 ods. 3 Tento výraz sa objavuje len v niektorých jazykových verziách GDPR, pričom v iných verziách je naopak použitý pojem „zodpovedný“. V nemeckej verzii súčasťou článku 82 ani preambuly nie je technický termín charakteristický pre pripísanie zodpovednosti na základe zavinenia („Verschulden“). (
57
)
76.
Porovnanie jednotlivých ustanovení GDPR svedčí o tom, že použitá terminológia nie je vždy jednoznačná, a preto je potrebné postupovať pri vyvodzovaní dôsledkov z jeho doslovného znenia čo najobozretnejšie. V anglickej verzii sa napríklad slovo „responsible“ („zodpovedný“) používa vo viacerých významoch. (
58
)
77.
Zatiaľ čo v článku 82 GDPR sa neodkazuje na úmysel alebo zavinenie prevádzkovateľa, v článku 83 sa nachádzajú také zmienky v súvislosti so správnymi pokutami: „Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade“ náležite zohľadní úmyselný alebo nedbanlivostný charakter porušenia GDPR. (
59
)
78.
Hoci rozdielnosť ustanovení znižuje význam doslovného výkladového kritéria, prinajmenšom potvrdzuje myšlienku, že úmysel ani zavinenie nie sú uvedené v článku 82 GDPR a že ich neuvedenie je zámerné, a nie je spôsobené opomenutím normotvorcu.
b) Prípravné dokumenty
79.
Diskusiu o dôvode pripísania zodpovednosti, ktorý bol napokon prijatý v GDPR, zatieňuje kontext, v ktorom sa táto diskusia uskutočnila v rámci Rady, týkajúci sa prípadu, keď sa na spracúvaní zúčastňujú viaceré subjekty.
80.
Uvedená diskusia sa prelínala s procesnými úvahami, pričom sa neriadila pojmovým aparátom, ktorý by umožnil rozlišovať medzi funkciou zavinenia ako dôvodom pripísania zodpovednosti na jednej strane a funkciou neexistencie zavinenia na účely zbavenia tejto zodpovednosti v rovine príčinnej súvislosti na druhej strane.
81.
Domnievam sa však, že prípravné práce podporujú chápanie článku 82 ods. 1 GDPR, podľa ktorého zodpovednosť za škodu nezávisí od zavinenia prevádzkovateľa.
82.
Návrh Komisie vychádzal zo smernice 95/46 a nebola v ňom spomenutá nedbanlivosť. V dokumentoch Rady sa spomína, že stanovená zodpovednosť je vymedzená ako „strict liability“. (
60
)
83.
Pozmeňujúci a doplňujúci návrh predložený vo Výbore Parlamentu pre občianske slobody, spravodlivosť a vnútorné veci by mal za následok, že odsek 1 článku 82 (vtedajšieho článku 77) by mal obsah, v ktorom je zodpovednosť viazaná na úmysel alebo nedbanlivosť. (
61
) Tento pozmeňujúci a doplňujúci návrh nebol úspešný. (
62
)
84.
V Rade sa diskusia týkajúca sa článku 77 a kritéria pripísania zodpovednosti uskutočnila v kontexte pripísania a rozdelenia zodpovednosti, keď sa viaceré osoby zúčastňujú na tej istej spracovateľskej operácii. V tomto kontexte predsedníctvo navrhlo výber spomedzi dvoch možností: (
63
)
–
podľa prvej možnosti (
64
) by platilo, že každý spracúvateľ alebo sprostredkovateľ z právneho hľadiska zodpovedá za celú škodu vo vzťahu k dotknutej osobe, (
65
) ak porušil povinnosti, ktoré mu vyplývajú z GDPR (
66
). Jeho – hoci aj nepatrná – účasť na spôsobení škody by umožnila dotknutej osobe požadovať náhradu škody v plnej výške, pričom v prípade, ak by bolo účastníkov viac, by ju mohla žiadať od každého z nich. (
67
) Každý účastník by však bol zbavený zodpovednosti, ak by sa preukázalo, že vôbec nie je zodpovedný („responsible“) za škodu („0 % responsibility“), čo by bolo vyjadrené v odseku 3 uvedeného článku. Uvádza sa, že tento model je „closer (but certainly not equal to) to the ‚liability follows fault principle‘“, (
68
)
–
druhá možnosť by znamenala, že spracúvateľ má v každom prípade povinnosť nahradiť škodu dotknutej osobe v plnej výške na základe určitej formy absolútnej zodpovednosti, keďže nebolo stanovené nijaké zbavenie zodpovednosti. (
69
) Dotknutá osoba by mohla uplatniť nárok na náhradu škody voči sprostredkovateľovi len subsidiárne. (
70
) Ani v prípade sprostredkovateľa nebolo stanovené žiadne zbavenie zodpovednosti.
85.
V kompromisnom znení, ktoré predložilo predsedníctvo na schválenie v podobe všeobecného smerovania, (
71
) bola použitá prvá možnosť, aj keď v ňom bol prostredníctvom znenia článku 77 ods. 3 posilnený výnimočný charakter zbavenia zodpovednosti a jeho preukázanie bolo sťažené: „… if it [prevádzkovateľ/sprostredkovateľ] proves that it is not in any way responsible…“ (
72
). Toto znenie sa zhoduje s článkom, ktorý bol napokon schválený.
86.
Aby som to zhrnul, rozbor legislatívneho postupu, ktorý viedol ku konečnému zneniu GDPR, svedčí v prospech záveru, že zodpovednosť, ktorá je uvedená v článku 82 ods. 1 GDPR, nie je viazaná na zavinenie spracúvateľa.
c) Účel
87.
GDPR zavádza systém, ktorého účelom je zabezpečenie vysokej úrovne ochrany fyzických osôb, pričom sa zároveň odstraňujú prekážky tokov osobných údajov. (
73
) V rámci uvedeného systému článok 82 GDPR plní účel spočívajúci v náhrade škody, hoci sekundárne slúži aj na odradenie od konaní, ktoré nie sú v súlade s jeho ustanoveniami, alebo na predchádzanie takým konaniam. (
74
)
88.
Zabezpečenie náhrady škody je samo osebe cieľom: vyplýva to z významu, ktorý mu priznáva normotvorca a o ktorom svedčí samotné znenie tohto predpisu. Podľa GDPR má dotknutá osoba v prípade, ak vznikla škoda, právo na náhradu škody, pričom pojem škoda treba vykladať v širokom zmysle a náhrada škody musí byť úplná a účinná.
89.
Náhrada škody je spojená s úsilím posilniť dôveru občanov v digitálne prostredie, čo je cieľ so všeobecnou pôsobnosťou, ktorý je stanovený v odôvodnení 7 GDPR. Ak sa dotknutej osobe zaručí, že v zásade nebude musieť automaticky znášať škodu spôsobenú nezákonným spracúvaním svojich údajov, dôsledkom bude posilnenie tejto dôvery: jej majetok je v bezpečí a z procesného hľadiska je uplatnenie nároku na náhradu škody jednoduchšie.
90.
Záver, že podľa článku 82 ods. 1 GDPR povinnosť nahradiť škodu nezávisí od nesplnenia povinnosti starostlivosti, je v súlade s týmto prístupom. Takú povinnosť má – na základe rozhodnutia normotvorcu – subjekt, ktorý má v tomto vzťahu určité postavenie strážcu alebo garanta, a to práve na základe tejto samotnej skutočnosti.
91.
Dalo by sa teda povedať, že podľa GDPR je rozhodujúca situácia poškodeného, ktorému vznikne škoda spôsobená porušením, ak mu žiadny predpis neukladá povinnosť znášať ju.
92.
Pre poškodeného nie je podstatné, či ten, kto spôsobil škodu, zavinil jej vznik: rozhodujúce je, že spracúvateľ spôsobil poškodenému majetkovú alebo nemajetkovú ujmu vyplývajúcu z porušenia GDPR, ktorého sa spracúvateľ dopustil.
93.
Opísané ciele sa ľahšie dosiahnu v rámci modelu, ktorého cieľom je, aby preukázaná škoda:
–
bola v každom prípade nahradená (pokiaľ neexistuje dôvod na zbavenie zodpovednosti, ktorý je výnimočný) a
–
viedla k náhrade, ktorá sa dá (pomerne) jednoducho získať, a to nielen preto, lebo nie je potrebné preukázať zavinenie prevádzkovateľa, ale aj preto, lebo ak došlo k porušeniu a vznikla škoda, ktorá je s nám spojená, pripísanie zodpovednosti nezávisí od žiadnej miery zavinenia.
94.
Domnievam sa, že v rámci prispôsobovania sa digitálnej revolúcii (
75
) je toto riešenie koherentné. Rýchly technologický vývoj si vyžaduje, aby pri najbežnejších činnostiach týkajúcich sa spracúvania údajov, ktoré sa vykonávajú online, neexistencia úmyslu alebo nedbanlivosti nebránila náhrade škody, ktorá by inak nebola nahradená.
d) Systematika
95.
Výklad, ktorý navrhujem, viac zodpovedá systematike GDPR. V rámci jeho článku 82 to potvrdzuje odsek 3: zbavenie zodpovednosti prichádza do úvahy, ak „sa preukáže, že [prevádzkovateľ alebo sprostredkovateľ] nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu“.
96.
V uvedenej formulácii má osobitný význam pojem „žiadnu“, ktorý vzbudzuje dojem, že nejde o model založený na zavinení (dokonca ani na najmenšej nedbanlivosti) s obrátením dôkazného bremena.
97.
Ak sa konštatuje, že náhrada škody nezávisí od zavinenia prevádzkovateľa, článok 82 má vlastný význam v rámci kapitoly VIII a napokon v rámci GDPR ako celku.
98.
Normotvorca Únie uznáva, že spracúvanie osobných údajov môže byť zdrojom rizík. Vyžaduje, aby subjekty podieľajúce sa na spracúvaní vyhodnocovali tieto riziká a prijímali a aktualizovali opatrenia, ktoré môžu predísť rizikám a minimalizovať riziká, ktoré zistili. (
76
)
99.
Konštatovalo sa, že model zodpovednosti za škodu založený na zavinení podporuje starostlivosť, a teda aj ochranu pred rizikami, zatiaľ čo alternatívny model, ktorý nezohľadňuje správanie subjektu podieľajúceho sa na spracúvaní, odrádza tento subjekt od obozretnosti (lebo ak vznikne škoda, v každom prípade ju bude musieť nahradiť).
100.
Domnievam sa, že v GDPR je tento výsledok (
77
) prijateľný. Článok 82 je súčasťou zložitej právnej úpravy, ktorá zahŕňa verejnoprávne a súkromnoprávne nástroje na ochranu osobných údajov. V rámci tejto právnej úpravy má nedbanlivosť (a úmysel) význam, pokiaľ ide o správne sankcie. Podľa môjho názoru nie je potrebné, aby nedbanlivosť, resp. úmysel boli dôležité aj na účely zodpovednosti za škodu, (
78
) čo by odporovalo cieľom článku 82 a navyše znižovalo praktickú efektívnosť prostriedku nápravy, ktorý je v tomto článku stanovený.
2. Vplyv účasti dotknutej osoby
101.
Pochybnosti týkajúce sa nevyhnutnosti zavinenia prevádzkovateľa sú v prejednávanej veci spojené s dôsledkami, ktoré by mohli vyplynúť z účasti dotknutej osoby. (
79
)
102.
Pre lepšie pochopenie nasledujúcich bodov je potrebné spresniť, že okolnosti sporu sa posudzovali z hľadiska dvoch prípadov:
–
v prvom prípade spracúvanie osobných údajov ZQ zo strany LSZP predstavuje porušenie GDPR (jeho článku 9 alebo 6). Toto porušenie ako také spôsobuje škodu, (
80
)
–
v druhom prípade opísané spracúvanie údajov nepredstavuje porušenie GDPR alebo nemá za následok vznik škody. Škoda by vznikla na základe nahliadnutia konkrétneho zamestnanca LSZP do údajov, na ktoré dala podnet dotknutá osoba. (
81
)
103.
V každom prípade sa domnievam, že – ako podľa všetkého tvrdí vnútroštátny súd (
82
) – na určenie, aký vplyv (ak vôbec) malo konanie dotknutej osoby na spáchanie porušenia, ktoré spôsobilo škodu, treba použiť článok 82 ods. 3.
104.
V tomto ustanovení nie sú ani demonštratívne vymenované konkrétne dôvody zbavenia zodpovednosti. Nie sú vymenované ani v odôvodnení 146. (
83
)
105.
GDPR sa v tomto smere zjavne odlišuje od smernice 95/46, ktorej článok 23 ods. 2 obsahoval ustanovenie podobné (
84
) súčasnému článku 82 ods. 3 GDPR: v odôvodnení 55 smernice 95/46 boli ako prípady dôvodov zbavenia zodpovednosti uvedené zodpovednosť dotknutej osoby alebo vyššia moc, (
85
) ktoré sa v GDPR nenachádzajú.
106.
Pokiaľ sa nemýlim, v prípravných dokumentoch týkajúcich sa GDPR nie je uvedené, že sa diskutovalo o týchto dvoch príkladoch, ktoré boli uvedené v návrhu Komisie (
86
) a ktoré Parlament v tomto návrhu ponechal (
87
).
107.
K ich vypusteniu a vloženiu zámena „žiadnu“ došlo v rámci už spomenutej diskusie o tom, ako sa má upraviť zodpovednosť v prípade, ak sa na spracúvaní zúčastňujú viacerí spracúvatelia alebo sprostredkovatelia. (
88
)
108.
Z dostupných dokumentov (
89
) vyplýva, že podľa konečného znenia je spracúvateľ zbavený zodpovednosti, ak preukáže, že vôbec nie je zodpovedný („responsible“) za škodu („0 % responsibility“). To isté platí pre sprostredkovateľa. (
90
)
109.
Vzhľadom na to sa domnievam, že vypustenie uvedených dvoch prípadov z preambuly a súbežné vloženie zámena „žiadnu“ do tejto preambuly a do článku 82 ods. 3 GDPR nemá za následok (ani za cieľ) vylúčenie činnosti dotknutej osoby z dôvodov zbavenia zodpovednosti. (
91
)
110.
Skôr sa zdá, že činnosť dotknutej osoby naďalej môže v určitých prípadoch spôsobiť narušenie nevyhnutnej súvislosti medzi „udalosťou“ (tento pojem je použitý v článku 82 ods. 3 GDPR) a zodpovednosťou prevádzkovateľa. Zdôraznenie obmedzeného charakteru únikovej klauzuly nebráni tomu, aby určité konanie dotknutej osoby samo osebe spôsobilo škodu a v konečnom dôsledku malo za následok, že spracúvateľ bude zbavený zodpovednosti.
111.
Systematický výklad podporuje záver, že v rámci zodpovednosti za škodu treba zohľadniť účasť dotknutej osoby na jej vzniku. V systéme GDPR sa jednotlivci podieľajú na ochrane svojich údajov, pričom GDPR im na tento účel poskytuje nástroje, ktoré sú samy osebe právami.
112.
Z teleologického hľadiska sa domnievam, že cieľom GDPR je zabezpečiť vysokú úroveň ochrany, ale nie do takej miery, že by prevádzkovateľ mal povinnosť nahradiť aj škodu spôsobenú udalosťami alebo konaniami, ktoré možno pripísať dotknutej osobe. (
92
)
3. Výpočet náhrady škody. Vplyv stupňa zavinenia subjektu zodpovedného za škodu
113.
Vnútroštátny súd potvrdil, že piatou prejudiciálnou otázkou žiada aj o vysvetlenie, či má miera zavinenia prevádzkovateľa vplyv na výpočet náhrady škody, konkrétne či sa neexistencia alebo nízka miera zavinenia tohto prevádzkovateľa môže zohľadniť v jeho prospech.
114.
Je pravda, že – pokiaľ ide kľúčové aspekty náhrady škody, ktoré majú vplyv na výpočet jej výšky – článok 82 GDPR je stručný alebo túto otázku priamo neupravuje. Subjektu, ktorý podáva výklad, neposkytuje usmernenia týkajúce sa prvkov, ktoré sú v ňom uvedené, (
93
) kritérií na posúdenie (vyčíslenie) týchto prvkov (
94
) alebo faktorov, ktoré môžu ovplyvniť výšku náhrady škody (
95
).
115.
Napriek tomu sa domnievam, že GDPR priznáva dotknutej osobe právo na náhradu škody, ktorej výška sa určí na základe skutočne vzniknutej škody. Ak sa stanoví suma, ktorá z objektívneho hľadiska predstavuje náhradu tejto škody, táto suma by sa nemala meniť podľa toho, či sa prevádzkovateľ dopustil väčšej alebo menšej nedbanlivosti.
116.
Na podporu svojho stanoviska analogicky odkazujem na úvahy, ktoré som uviedol v súvislosti s pripísaním zodpovednosti spracúvateľovi, odhliadnuc od jeho zavinenia, v systematike článku 82 GDPR. Z pohľadu poškodeného, ktorého (hmotný a nehmotný) majetok musí zostať po vzniku škody nezmenený, sa náhrada škody musí poskytnúť bez toho, aby bola viazaná na zavinenie spracúvateľa, a to bez ohľadu na mieru jeho závažnosti. (
96
)
117.
Domnievam sa, že k tomu istému riešeniu sa dospeje, ak sa vezme do úvahy, že článok 82 GDPR (pričom prípravné dokumenty, ktoré sa ho týkajú, nepodporujú také či onaké stanovisko) (
97
) sa odlišuje od iných nástrojov práva Únie, v ktorých sa pri určovaní sumy, ktorú možno nahradiť z dôvodu zodpovednosti za škodu, výslovne rozlišuje, či bola účasť na porušení „zámerná“. (
98
)
118.
Tento záver podľa môjho názoru potvrdzujú ďalšie dva argumenty:
–
článok 83 GDPR stanovuje, že výška pokuty sa určí so zreteľom na nedbanlivosť (a úmysel) porušovateľa. (
99
) Normotvorca mohol stanoviť, že to isté kritérium sa použije pri určovaní rozsahu zodpovednosti za škodu, no neurobil to,
–
v GDPR sa zdôrazňuje, že náhrada škody musí byť úplná a účinná (
100
) (odôvodnenie 146 a článok 82 ods. 4, ktorý sa týka prípadu, keď sa na tom istom spracúvaní zúčastnili viacerí prevádzkovatelia alebo sprostredkovatelia). (
101
) Podľa môjho názoru prívlastok „úplná“ svedčí v neprospech zníženia náhrady škody na základe menšej miery nedbanlivosti prevádzkovateľa. (
102
)
V. Návrh
119.
Vzhľadom na všetky vyššie uvedené úvahy navrhujem odpovedať na prejudiciálne otázky, ktoré položil Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko), takto:
Článok 9 ods. 2 písm. h), článok 9 ods. 3, ako aj článok 82 ods. 1 a 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa majú vykladať v tomto zmysle:
Nezakazujú, aby lekárska služba zdravotnej poisťovne spracúvala údaje týkajúce sa zdravia zamestnanca tejto služby, ak sú nevyhnutné na posúdenie jeho pracovnej spôsobilosti.
Povoľujú výnimku zo zákazu spracúvať osobné údaje týkajúce sa zdravia, ak je toto spracúvanie potrebné na účely posúdenia pracovnej spôsobilosti zamestnanca a vykonáva sa v súlade so zásadami stanovenými v článku 5 a s niektorou z podmienok zákonnosti stanovených v článku 6 nariadenia 2016/679.
Miera zavinenia prevádzkovateľa alebo sprostredkovateľa nie je relevantná pre vznik jeho zodpovednosti ani pre určenie výšky nemajetkovej ujmy, ktorá sa má nahradiť v súlade s článkom 82 ods. 1 nariadenia 2016/679.
Účasť dotknutej osoby na konaní, z ktorého vyplýva povinnosť nahradiť škodu, môže mať v určitých prípadoch za následok, že prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa článku 82 ods. 3 nariadenia 2016/679.
(
1
)	Jazyk prednesu: španielčina.
(
2
)	Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „GDPR“).
(
3
)	A o článku 8 smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355), ktorý priamo predchádzal článku 9 GDPR.
(
4
)	Štvrtá otázka je v podstate totožná s prvou otázkou vo veci C‑300/21, Österreichische Post (Nemajetková ujma spôsobená spracúvaním osobných údajov), v ktorej som predniesol návrhy 6. októbra 2022 (EU:C:2022:756) (ďalej len „návrhy vo veci C‑300/21“) a Súdny dvor rozhodol vo svojom rozsudku zo 4. mája 2023 (EU:C:2023:370).
(
5
)	Piata kniha Zákonníka sociálneho zabezpečenia.
(
6
)	Medizinischer Dienst der Krankenversicherung (ďalej len „LSZP“).
(
7
)	Krankenversicherung (ďalej len „zdravotná poisťovňa“).
(
8
)	„Memorandum týkajúce sa ochrany sociálnych údajov zamestnancov [LSZP] a ich rodinných príslušníkov“, zhrnuté v bode 6 a nasl. rozhodnutia vnútroštátneho súdu.
(
9
)	V systéme na informatické spracúvanie údajov, ktorý LSZP interne využíva, bola zriadená virtuálna organizačná jednotka pre tzv. špeciálne prípady, ku ktorej majú prístup len zamestnanci tejto jednotky.
(
10
)	Na základe (zákonom stanoveného) skončenia doby ďalšieho vyplácania mzdy zo strany LSZP.
(
11
)	Domnieva sa, že ak by nedošlo k porušeniu týkajúcemu sa jeho osobných údajov, v decembri 2018 by mohol opäť začať pracovať.
(
12
)	Rozsudok Arbeitsgericht Düsseldorf (Pracovný súd Düsseldorf, Nemecko) z 22. februára 2019, 4 Ca 6116/18, a rozsudok Landesarbeitsgericht Düsseldorf (Krajinský pracovný súd Düsseldorf, Nemecko) (12. senát) z 11. marca 2020, 12 Sa 186/19.
(
13
)	Pokiaľ ide o jej obsah, odkazujem na rozsudok zo 4. mája 2023, Österreichische Post (Nemajetková ujma spôsobená spracúvaním osobných údajov) (C-300/21, EU:C:2023:370).
(
14
)	Nasledujúce úvahy nemajú vplyv na odpoveď na tretiu prejudiciálnu otázku.
(
15
)	Domnievam sa, že namiesto článku 9 ods. 2 písm. b) GDPR treba prednostne použiť uvedené ustanovenie. Spracúvanie podľa všetkého nie je nevyhnutné (ani pokiaľ ide o LSZP ako zamestnávateľa, ani pokiaľ ide o ZQ ako zamestnanca) na účely plnenia povinností a výkonu práv v rámci pracovného pomeru.
(
16
)	Spracúvanie citlivých údajov v postavení zamestnávateľa (teda na účely súvisiace s pracovným pomerom) by bolo zákonné len vtedy, ak by spĺňalo podmienky, ktoré GDPR stanovuje pre spracúvanie údajov na iný účel, než je účel, na ktorý boli získané.
(
17
)	Bod 22 rozhodnutia vnútroštátneho súdu. GDPR naopak vyžaduje, aby boli splnené iné znaky uvedené v jeho článku 9 ods. 3: pokiaľ ide o jeho dosah, pozri bod 40 nižšie a nasl.
(
18
)	Článku 9 GDPR predchádzal článok 8 smernice 95/46. V návrhu Komisie [návrh nariadenia Európskeho parlamentu a rady o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov), COM(2012) 11 final, z 25. januára 2012; ďalej len „návrh Komisie“] bolo spracúvanie osobných údajov týkajúcich sa zdravia upravené v článku 81, v ktorom boli stanovené odôvodnenia a v ktorom bolo uvedené, že toto spracúvanie sa má vykonávať v súlade s právom Únie alebo s právnymi predpismi členských štátov. Je úlohou členských štátov stanoviť záruky potrebné na ochranu oprávnených záujmov dotknutej osoby. Obsah článku 81 bol prevzatý do článku 9 ods. 2 písm. h) a článku 9 ods. 4, ako je to vyjadrené v dokumente predsedníctva Rady č. 14270/14 určenom skupine pre ochranu údajov zo 16. októbra 2014.
(
19
)	Rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) (C‑136/17, EU:C:2019:773, bod 44): účelom „… osobitných požiadaviek… pre spracúvanie… osobitných kategórií údajov… je zabezpečiť zvýšenú ochranu v prípade takéhoto spracúvania, pričom, ako vyplýva aj z odôvodnenia 33 [smernice 95/46] a z odôvodnenia 51 tohto nariadenia, ich spracúvanie môže vzhľadom na osobitnú citlivosť týchto údajov predstavovať obzvlášť závažný zásah do základných práv na ochranu súkromia a na ochranu osobných údajov zaručených článkami 7 a 8 Charty“.
(
20
)	Základné právo na ochranu osobných údajov nemá automaticky prednosť pred ktorýmkoľvek iným právom, a to ani v prípade, ak ide o osobitné kategórie uvedené v článku 9 ods. 1 GDPR: rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) (C‑136/17, EU:C:2019:773, body 66 až 68).
(
21
)	Článok 9 ods. 3 GDPR.
(
22
)	Podľa článku 88 GDPR sú členské štáty oprávnené prijať „konkrétnejšie pravidlá na zabezpečenie ochrany práv a slobôd pri spracúvaní osobných údajov zamestnancov v súvislosti so zamestnaním“. Pokiaľ ide o jeho výklad, odkazujem na rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).
(
23
)	Tak ho podľa všetkého chápe vnútroštátny súd. Odkazujem na poznámku pod čiarou 15 vyššie.
(
24
)	Súhlasím s tvrdením Komisie, že „odsek 2 [článku 9 GDPR] nestanovuje osobitnú hierarchiu alebo možný vzťah závislosti medzi výnimkami, ktoré existujú popri sebe za rovnakých podmienok“ (bod 13 písomných pripomienok Komisie).
(
25
)	Nevyžaduje sa – ako sa vyžadovalo v smernici 95/46 –, aby spracúvanie bolo vykonávané „zdravotníckym odborníkom[, ktorý má povinnosť] zachovávania služobného tajomstva[,] alebo inou osobou, ktorá tiež podlieha rovnakej povinnosti zachovávania tajomstva“ (kurzívou zvýraznil generálny advokát). Vyžaduje sa však, aby ho vykonávali osoby, ktoré majú povinnosť zachovávať mlčanlivosť.
(
26
)	Odôvodnenie 51 GDPR, ktoré odkazuje na „obzvlášť citlivé v súvislosti so základnými právami a slobodami“, stanovuje, že „okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie“.
(
27
)	Rozsudok zo 16. januára 2019, Deutsche Post (C‑496/17, EU:C:2019:26, bod 57 a tam citovaná judikatúra). Pokiaľ ide o citlivé údaje, pozri rozsudky z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) (C‑136/17, EU:C:2019:773, bod 64), a z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, body 96, 99, 100 a 102).
(
28
)	Body 25 až 27 rozhodnutia vnútroštátneho súdu. V tomto rozhodnutí je spomenuté vytvorenie dvoch nezávislých organizačných jednotiek pre špeciálne prípady a samostatných IT oddelení, ak ide o posudky týkajúce sa zamestnancov, ktorí pracujú v oblasti IT služieb (ako je ZQ). Konečným cieľom je, aby žiadny zamestnanec LSZP nemal faktický prístup k údajom týkajúcim sa zdravia kolegu ani vedomosť o existencii kontroly týkajúcej sa jeho pracovnej spôsobilosti.
(
29
)	Článok 8 ods. 3 Ako som už uviedol, v GDPR bol rozšírený okruh osôb oprávnených vykonávať spracúvanie.
(
30
)	Odsek 4 bol vložený do článku 9 GDPR na základe návrhu Nemecka: dokument predsedníctva č. 6834/15 určený Rade z 9. marca 2015.
(
31
)	Vnútroštátny súd označuje LSZP za prevádzkovateľa (bod 16 rozhodnutia vnútroštátneho súdu). Ďalej preto nebudem spomínať sprostredkovateľa, pokiaľ to na určitom mieste nebude vhodné. Úvahy uvedené v súvislosti s prevádzkovateľom v zásade platia aj pre sprostredkovateľa.
(
32
)	Vnútroštátny súd sa najmä obáva, že ak by došlo k porušeniu bezpečnosti, toto porušenie by umožnilo kolegom ZQ dozvedieť sa o jeho zdravotnom stave, z čoho by mohli vyplynúť špekulácie o jeho výkonnosti. Ďalej uvádza, že informácia o samotnej existencii lekárskeho posudku týkajúceho sa práceneschopnosti je citlivou informáciou, keďže s ním môže byť spájaná možnosť predstierania práceneschopnosti (bod 26 rozhodnutia vnútroštátneho súdu).
(
33
)	Pozri bod 10 vyššie.
(
34
)	Bod 27 rozhodnutia vnútroštátneho súdu.
(
35
)	Pozri poznámku pod čiarou 27 vyššie. Pokiaľ ide o vzťah medzi článkami 6 a 9 GDPR, pozri tiež vec C‑252/21, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete). Generálny advokát Rantos predniesol 20. septembra 2022návrhy v tejto veci (C‑252/21, EU:C:2022:704).
(
36
)	Rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (EU:C:2021:504, body 96, 99, 100 až 102).
(
37
)	Obsah článku 10 GDPR sa nachádzal v článku 8 smernice 95/46. V tomto druhom článku boli uvedené všetky osobitné kategórie údajov, aj keď sa v ňom rozlišovalo spracúvanie údajov týkajúcich sa trestných činov, registra trestov alebo bezpečnostných opatrení, ktoré bolo upravené v odseku 5. Formálne oddelenie, ktoré sa nachádza v GDPR, nie je spôsobené zmenou názoru, že osobné údaje týkajúce sa uznania viny za trestné činy a priestupky sú „citlivé“.
(
38
)	Dokument Rady č. 17072/4/14 Rev 4 určený Výboru stálych predstaviteľov zo 4. marca 2015, poznámka pod čiarou 60.
(
39
)	Ktorý sa – tak ako v konečnej verzii – týka zákonnosti spracúvania.
(
40
)	Dokument Rady č. 17072/4/14 Rev 4 určený Výboru stálych predstaviteľov zo 4. marca 2015, článok 9 ods. 2 [„Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with…“] a poznámka pod čiarou 60.
(
41
)	Od dokumentu predsedníctva č. 6834/15 určeného Rade z 9. marca 2015.
(
42
)	Čím sa určite nepodarilo rozptýliť pochybnosti všetkých delegácií. Pozri napríklad dokument predsedníctva č. 7466/15 určený delegáciám z 26. marca 2015, poznámka pod čiarou 38.
(
43
)	Usmernenia 3/2020 k spracúvaniu údajov týkajúcich sa zdravia na účely vedeckého výskumu v kontexte vypuknutia nákazy COVID‑19 z apríla 2020, bod 15.
(
44
)	„Advice paper on special categories of data“, Ares(2011)444105 – 20/04/2011, s. 5.
(
45
)	Tento názor verejne vyjadrila aj Komisia: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, uskutočnené 10. októbra 2016, s. 2, a Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, uskutočnené 20. februára 2018, s. 2.
(
46
)	Názor v prospech kumulácie alebo komplementárnosti podporuje napríklad PETRI, T.: Art. 9. In: SIMITIS, S., HORNUNG, G., SPIECKER, gen. DÖHMANN, I.: Datenschutzrecht. 2019, marg. č. 26, ktorý však uznáva, že tento názor nie je jednomyseľný. Z bodu 4.1.1 Príručky o európskych právnych predpisoch v oblasti ochrany údajov, ktorú vydala Agentúra Európskej únie pre základné práva v roku 2018, vyplýva opačný názor.
(
47
)	Výslovný súhlas dotknutej osoby; spracúvanie, ktoré je nevyhnutné na ochranu životne dôležitých záujmov osoby, ktorá nie je fyzicky alebo právne spôsobilá vyjadriť svoj súhlas, a spracúvanie, ktoré je nevyhnutné z dôvodov verejného záujmu.
(
48
)	Body 30 a 31 rozhodnutia vnútroštátneho súdu.
(
49
)	Napríklad či súhlas dotknutej osoby ako právny základ spojený s oprávnením stanoveným v článku 9 ods. 2 písm. h) musí byť výslovný súhlas, ktorý sa vyžaduje v tomto článku, alebo stačí súhlas podľa článku 6 ods. 1 písm. a).
(
50
)	Odlišnou otázkou, ktorá má obmedzenejší dosah, je, či by vzhľadom na úvahy, ktoré vnútroštátny súd uviedol v súvislosti s článkom 6 ods. 1, bolo vhodné objasniť význam podmienok, ktoré sú v ňom stanovené, najmä podmienok uvedených v písmenách c) a e). V tomto zmysle odkazujem na judikatúru Súdneho dvora: pokiaľ ide o ustanovenia smernice 95/46, rozsudky zo 16. decembra 2008, Huber (C‑524/06, EU:C:2008:724, bod 62), a z 30. mája 2013, Worten (C‑342/12, EU:C:2013:355, bod 37), a pokiaľ ide o GDPR, rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 66 a nasl.).
(
51
)	Vnútroštátny súd sa prikláňa ku konštatovaniu, že došlo k porušeniu článkov 9 a 6 GDPR spôsobeného spracúvaním, ktoré uskutočnila LSZP. V bode 32 rozhodnutia vnútroštátneho súdu sa uvádza, že toto porušenie samo osebe zakladá nárok na náhradu škody a v bode 33 sa zdôrazňuje, že porušenie automaticky spôsobuje škodu („samotné porušenie GDPR má za následok vznik nemajetkovej ujmy, ktorá sa má nahradiť“). Z dôvodov, ktoré som uviedol v návrhoch prednesených vo veci C‑300/21, s týmto názorom nesúhlasím.
(
52
)	Body 78 až 80 pripomienok LSZP. Podľa nej si samotná dotknutá osoba tým, že si nevyžiadala spis ani neuplatnila svoje právo na prístup v súvislosti s ním v súlade s článkom 15 GDPR, a naopak využila služby kolegu zo svojej organizačnej jednotky, v dôsledku čoho došlo k nahliadnutiu do sporných údajov, sama spôsobila škodu. Pozri v tom istom zmysle rozsudok Landesarbeitsgericht Düsseldorf (Krajinský pracovný súd Düsseldorf) (12. senát), z 11. marca 2020, 12 Sa 186/19, bod 4.3.4.3, ktorý bol vydaný v odvolacom konaní.
(
53
)	Tento zamestnanec, ktorý pracoval na rovnakom oddelení ako dotknutá osoba, získal prístup k údajom v situácii, keď na to nebol oprávnený, teda na účely, ktoré nesúvisia s výkonom práce určenej v jeho zmluve.
(
54
)	Pojem „spracúvateľ“ budem ďalej používať bez rozlišovania ako synonymum pojmu „prevádzkovateľ“.
(
55
)	Odhliadnuc od tých, ktorí tvrdia, že ide o neupravený aspekt, sa objavujú odlišné názory zástancov systému objektívnej zodpovednosti a zástancov zodpovednosti za zavinenie s obráteným dôkazným bremenom. Domnievam, sa, že GDPR v skutočnosti – tak ako je to v iných režimoch odvetvovej zodpovednosti (za škodu) – úplne nezodpovedá žiadnej z týchto dvoch hlavných teórií, ktorých hranice tiež nie sú príliš presné. Vzhľadom na svoje znenie môže patriť pod obe tieto teórie, pričom zavádza špecifikácie, ktoré v konečnom dôsledku vedú k zmiešaniu modelov: v prvom v dôsledku vysokého štandardu starostlivosti, ktorý by sa musel preukázať, aby nedošlo k pripísaniu zodpovednosti, a v druhom z dôvodu zavedenia posudzovania starostlivosti/nedbanlivosti do dôvodov zbavenia zodpovednosti alebo pri konštatovaní porušenia podľa povahy predmetného ustanovenia.
(
56
)	V odseku 2, ktorý možno chápať ako opak odseku 1, keďže je v ňom upravená zodpovednosť z pohľadu povinných osôb, tiež nie je spomenutá žiadna požiadavka zavinenia.
(
57
)	V španielskej verzii sa výraz „imputable“ („pripísateľný“) naopak nachádza v článku 47 ods. 2 písm. f) GDPR, v ktorom sa v súvislosti s informáciami, ktoré sú podmienkou schválenia záväzných vnútropodnikových pravidiel, uvádza zbavenie zodpovednosti v rámci skupín podnikov, ktoré sú usadené v Únii a mimo Únie. V nemeckej verzií bola použitá opisná formulácia („dem betreffenden Mitglied nicht zur Last gelegt werden kann“).
(
58
)	Pozri článok 82 ods. 3, článok 68 ods. 4 alebo článok 75 ods. 6.
(
59
)	Článok 83 ods. 2 písm. b) a článok 83 ods. 3 K ich výkladu som sa vyjadril v návrhoch vo veci C‑807/21, Deutsche Wohnen (EU:C:2023:360).
(
60
)	Okrem iného dokument predsedníctva Rady č. 17831/13 určený skupine pre ochranu údajov zo 16. decembra 2013, poznámka pod čiarou 542.
(
61
)	Pozmeňujúci a doplňujúci návrh č. 2819, ktorý predložil S. Ilčev, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), dokument PE501.927v04‑00, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence“. Kurzívou zvýraznil generálny advokát.
(
62
)	Pozri text pripojený k legislatívnemu uzneseniu z 12. marca 2014 o návrhu Komisie (Ú. v. EÚ C 378, 2017, s. 399).
(
63
)	Dokument predsedníctva č. 9083/15 určený členom skupiny pre ochranu údajov zodpovedným za oblasť SVV z 27. mája 2015. Rozdiel medzi týmito možnosťami sa týka článku 77 ods. 3 až 6. Odsek 1, ktorý stanovuje zásadu zodpovednosti prevádzkovateľa a sprostredkovateľa, a odsek 2, v ktorom je uvedený materiálny rozsah zodpovednosti prevádzkovateľa a sprostredkovateľa, pričom zodpovednosť sprostredkovateľa je obmedzená, boli zhodné.
(
64
)	Tamže, bod 5.
(
65
)
(
66
)	Alebo ak sprostredkovateľ porušil pokyny prevádzkovateľa, ktoré sú v súlade s GDPR.
(
67
)	S možnosťou neskoršieho opakovania: článok 77 ods. 6 pri prvej možnosti.
(
68
)	Dokument predsedníctva č. 9083/15 určený členom skupiny pre ochranu údajov zodpovedným za oblasť SVV z 27. mája 2015, bod 7. Delegácia Spojeného kráľovstva otvorene sformulovala zodpovednosť za zavinenie. Vzhľadom na jej tvrdenia bola ostatným delegáciám položená otázka v tomto zmysle (dokument predsedníctva č. 7722/15 určený skupine pre ochranu údajov z 13. apríla 2015, body 10 a 11). Možnosť, ktorá bola napokon navrhnutá, podľa všetkého vychádza z kompromisu, na ktorý poukázala nemecká delegácia (dokument č. 8150/1/15 Rev 1 zo 6. mája 2015), v ktorom sa rozlišovalo medzi vzťahom prevádzkovateľa/sprostredkovateľa a dotknutej osoby a vzájomným vzťahom prevádzkovateľa a sprostredkovateľa, pričom pre tento vzťah bolo navrhnuté pripísanie zodpovednosti založené na úmysle alebo zavinení: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation“. Vo vzťahu k dotknutej osobe by neexistencia nedbanlivosti umožnila zbavenie zodpovednosti.
(
69
)	Tamže, bod 6, v závere ktorého sa uvádza: „In other words, the mere fact that an entity was involved in a non‑compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages.“
(
70
)	Článok 77 ods. 4a pri tejto možnosti: „If a data subject is not able to bring a claim for compensation against the controller…“.
(
71
)	Dokument predsedníctva č. 9565/15 určený Rade z 11. júna 2015.
(
72
)	Kurzívou zvýraznil generálny advokát. Súbežne s vložením tejto formulácie boli v odôvodnení 118 vypustené príklady dôvodov zbavenia zodpovednosti: pozri bod 104 nižšie a nasl.
(
73
)	Odôvodnenie 10 GDPR.
(
74
)	Odkazujem na návrhy, ktoré som predniesol vo veci C‑300/21. Ako som v nich uviedol, normotvorca chce poskytnúť motiváciu na presadzovanie predpisov týkajúcich sa ochrany osobných údajov súkromnoprávnymi prostriedkami. Na tento účel boli v kapitole VIII GDPR zavedené nástroje, ktoré má k dispozícii dotknutá osoba. Náhrada škody je jedným z nich, ale nemá sankčné funkcie.
(
75
)	To bol jeden z argumentov v prospech nahradenia smernice 95/46, ktoré boli uvedené v návrhu Komisie.
(
76
)	Odôvodnenie 77 a nasl. GDPR.
(
77
)	Ktorý treba špecifikovať: zodpovednosť bude plniť preventívnu funkciu, keďže ovplyvní rozhodnutie subjektu týkajúce sa úrovne činnosti, ktorú má vykonávať. Výklad, ktorý navrhujem, umožňuje prepojiť článok 82 GDPR so zásadami spracúvania, akými sú obmedzenie účelu, minimalizácia údajov a správnosť [článok 5 ods. 1 písm. b), c) a d) GDPR].
(
78
)	V dôsledku čoho by nedbanlivosť bola kritériom na pripísanie zodpovednosti.
(
79
)	Pozri poznámku pod čiarou 52 vyššie.
(
80
)	Stanovisko vnútroštátneho súdu (pozri poznámku pod čiarou 51 vyššie). Podľa jeho názoru by účasť dotknutej osoby, ktorá požiada o nahliadnutie do jej údajov, nemala mať význam pri pripísaní zodpovednosti. Naopak by mohla mať význam pri určení výšky náhrady škody.
(
81
)	Stanovisko LSZP a odvolacieho súdu (pozri poznámku pod čiarou 52 vyššie). V skutočnosti by sa dalo tvrdiť, že v tomto prípade chýba prvok „škoda“: volenti non fit iniuria.
(
82
)	Bod 40 rozhodnutia vnútroštátneho súdu.
(
83
)	Na rozdiel od toho, ako je to v iných oblastiach (napríklad v oblasti zodpovednosti za chybné výrobky), zoznam dôvodov zbavenia zodpovednosti v GDPR nemá podobu taxatívneho výpočtu.
(
84
)
(
85
)	Prevádzkovateľ „môže byť zbavený zodpovednosti, ak dokáže, že nie je zodpovedný za škodu, zvlášť v prípadoch, kde konštatuje chybu zo strany osoby pracujúcej s údajmi [zo strany dotknutej osoby – neoficiálny preklad], alebo v prípade
vis major“. Kurzívou zvýraznil generálny advokát.
(
86
)	Odôvodnenie 118 návrhu Komisie.
(
87
)	Odôvodnenie 118 textu pripojeného k legislatívnemu uzneseniu Parlamentu z 12. marca 2014 o návrhu Komisie.
(
88
)	Bod 84 vyššie a nasl. Tieto príklady sú uvedené v dokumentoch týkajúcich sa rokovaní v rámci Rady, ale v kompromisnom znení – dokumente č. 9565/15 z 11. júna 2015 – už nie sú uvedené.
(
89
)	Odkazujem predovšetkým na dokument predsedníctva č. 9083/15 určený členom skupiny pre ochranu údajov zodpovedným za oblasť SVV z 27. mája 2015.
(
90
)	Vzhľadom na kontext (ktorým je – pripomínam – osobitná pozornosť venovaná prípadu, keď sa na spracúvaní zúčastňujú viaceré subjekty) je opodstatnené vyvodiť, že prevádzkovateľ by mal v tomto zmysle možnosť preukázať, že škodu spôsobilo výlučne konanie sprostredkovateľa, a sprostredkovateľ by mal možnosť preukázať opak.
(
91
)	Ani vyššej moci, ktorá bola druhým dôvodom výslovne spomenutým v odôvodnení 55 smernice 95/46 (pozri bod 105 vyššie).
(
92
)	Tento záver sa, prirodzene, netýka prípadu účasti tretích osôb. V tejto súvislosti pozri návrhy, ktoré predniesol generálny advokát Pitruzzella 27. apríla 2023vo veci Nacionalna agencija za prichodite (C-340/21, EU:C:2023:353).
(
93
)	S cieľom rozptýliť pochybnosti, ktoré existovali počas účinnosti smernice 95/46, GDPR spresňuje, že sa vzťahuje aj na nemajetkovú ujmu. V jeho odôvodnení 146 sa poukazuje na „akúkoľvek škodu“ a zdôrazňuje, že podľa judikatúry Súdneho dvora by sa mal pojem „škody“ vykladať v širokom zmysle. Presný dosah tejto formulácie je zatiaľ sporný.
(
94
)	Nie je v ňom uvedené, či sa majú pri stanovení výšky škody v každom prípade použiť sadzobníky alebo uprednostniť celkové sumy, resp. použiť iné systémy výpočtu.
(
95
)	Medzi uvedenými faktormi by sa prípadne mohli nachádzať: a) faktor navrhovaný vnútroštátnym súdom, b) existencia zavinenia dotknutej osoby, ktorú LSZP uvádza v bode 80 svojich pripomienok, c) iné faktory, ako je zavedenie kvantitatívnych obmedzení náhrady škody, aby nedošlo k neodôvodnenému odradeniu od operácií spočívajúcich v spracúvaní údajov alebo ekonomických činností, ktoré od nich závisia.
(
96
)	Bod 87 vyššie a nasl.
(
97
)	V smernici 95/46 táto otázka nebola upravená. V prípravných dokumentoch týkajúcich sa GDPR som nenašiel nič, čo by nasvedčovalo diskusii o tejto otázke.
(
98
)	Článok 94 ods. 2 nariadenia Rady (ES) č. 2100/94 z 27. júla 1994 o právach spoločenstva k odrodám rastlín (Ú. v. ES L 227, 1994, s. 1; Mim. vyd. 03/016, s. 390) alebo článok 13 a odôvodnenie 26 smernice Európskeho parlamentu a Rady 2004/48/ES z 29. apríla 2004 o vymožiteľnosti práv duševného vlastníctva (Ú. v. EÚ L 157, 2004, s. 45; Mim. vyd. 17/002, s. 32).
(
99
)	Článok 83 ods. 2 písm. b) a odôvodnenie 148 GDPR. V tomto kontexte sa berie do úvahy kritérium proporcionality, a to nielen v súvislosti s udalosťou, ale aj so zreteľom na to, či pokuta predstavuje pre fyzickú osobu neprimeranú záťaž. Írska vláda v bode 54 svojich pripomienok navrhla uplatniť toto kritérium aj na zodpovednosť za škodu. Na to, aby sa toto kritérium považovalo za neoddeliteľnú súčasť článku 82, opäť chýba odôvodnenie založené na jeho doslovnom znení, pričom ho nepodporujú ani prípravné dokumenty, ani účel ustanovenia alebo jeho funkcia v rámci právneho predpisu ako celku.
(
100
)	Účinná náhrada škody musí byť spôsobilá zabezpečiť, aby slúžila na ochranu práva na ochranu údajov.
(
101
)	Prevádzkovatelia aj sprostredkovatelia zodpovedajú za škodu podľa článku 82 ods. 2 a 3. Zodpovedajú v plnej výške bez ohľadu na to, do akej miery prispeli ku vzniku škody.
(
102
)	Nevylučujem, že existujú iné okolnosti, ktorých výskyt odôvodňuje zníženie tejto sumy: mám na mysli napríklad zváženie práva na náhradu škody (a prostredníctvom neho práva na ochranu údajov) v konkrétnych prípadoch s inými záujmami alebo právami rovnakého významu. V GDPR prídavné meno úplná tiež slúži na zabezpečenie pokrytia určitej kategórie škody (nemajetkovej ujmy), aby sa zabránilo tomu, že náhrada škody bude obmedzená na skutočnú škodu (ako Súdny dvor uviedol v iných oblastiach, musí zahŕňať ďalšie zložky), a aby sa zaručilo, že skutočnosť, že na spracúvaní sa zúčastňujú viaceré subjekty, nesťaží prístup k náhrade škody, ale naopak.