62021CC0667
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
M. CAMPOS SÁNCHEZ-BORDONA
представено на 25 май 2023 година (
1
)
Дело C‑667/21
ZQ
срещу
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(Преюдициално запитване, отправено от Bundesarbeitsgericht (Федерален съд по трудови спорове, Германия)
„Преюдициално запитване — Защита на личните данни — Лични данни за здравословното състояние — Оценка на трудоспособността на работник или служител — Медицинска служба на здравноосигурителна каса — Обработване на лични данни за здравословното състояние на работниците или служителите — Право на обезщетение за вреди — Значение на степента на вина“
1.
Настоящото преюдициално запитване се отнася до тълкуването на Регламент (ЕС) 2016/679 (
2
) във връзка със: а) обработването на лични данни за здравословното състояние и б) обезщетението за вреди, претърпени вследствие на (предполагаемо) нарушение на ОРЗД.
2.
Въпреки че Съдът вече се е произнесъл относно разпоредбите от ОРЗД (
3
), засягащи тези въпроси, отправените в настоящото преюдициално запитване не са разглеждани, с изключение на четвъртия въпрос (
4
).
I. Правна уредба
А.
Правото на Съюза. ОРЗД
3.
Релевантни в настоящото производство са съображения 4, 10, 35, 51—54 и 146 от преамбюла на ОРЗД.
4.
Съгласно член 9 („Обработване на специални категории лични данни“):
„1.   Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.
2.   Параграф 1 не се прилага, ако е налице едно от следните условия:
[…]
б)
обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора или на субекта на данните по силата на трудовото право и правото в областта на социалната сигурност и социалната закрила, дотолкова, доколкото това е разрешено от правото на Съюза или правото на държава членка, или съгласно колективна договореност в съответствие с правото на държава членка, в което се предвиждат подходящи гаранции за основните права и интересите на субекта на данните;
[…]
з)
обработването е необходимо за целите на превантивната или трудовата медицина, за оценка на трудоспособността на служителя, медицинската диагноза, осигуряването на здравни или социални грижи или лечение, или за целите на управлението на услугите и системите за здравеопазване или социални грижи въз основа на правото на Съюза или правото на държава членка или съгласно договор с медицинско лице и при условията и гаранциите, посочени в параграф 3;
[…]
3.   Личните данни, посочени в параграф 1, могат да бъдат обработвани за целите, посочени в параграф 2, буква з), когато въпросните данни се обработват от или под ръководството на професионален работник, обвързан от задължението за професионална тайна по силата на правото на Съюза или правото на държавата членка или правилата, установени от националните компетентни органи или от друго лице, също обвързано от задължение за тайна по силата на правото на Съюза или правото на държавата членка или правилата, установени от националните компетентни органи.
4.   Държавите членки могат да запазят или да въведат допълнителни условия, включително и ограничения, по отношение на обработването на генетични данни, биометрични данни или данни за здравословното състояние“.
5.
Член 82 („Право на обезщетение и отговорност за причинени вреди“) гласи:
„1.   Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди.
[…]
3.   Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата.
[…]“.
Б.
Националното право. Sozialgesetzbuch Fünftes Buch (
5
)
6.
Съгласно член 278, параграф 1, първо изречение от този кодекс във всяка федерална провинция се създава медицинска служба (
6
) на здравноосигурителните каси под формата на публичноправен субект (
7
). Една от възложените ѝ със закон функции е изготвянето на експертно становище за отстраняването на съмнения относно нетрудоспособността на осигурените лица.
7.
Съгласно член 275, параграф 1, първо изречение, точка 3, буква б) в определени случаи KV са длъжни при медицински удостоверена нетрудоспособност на осигурено лице да получат експертно становище от MDK за отстраняването на съмнения относно нетрудоспособността.
II. Фактите, спорът и преюдициалните въпроси
8.
От 1991 г. ZQ е нает на работа при MDK, Нордхайм (Германия), в отдела по информационни технологии като системен администратор и служител към бюрото за техническа поддръжка (helpdesk).
9.
MDK изготвя експертни становища относно нетрудоспособността на осигурените в KV лица. Тези експертни становища могат да се отнасят до здравословното състояние и на самите служители на MDK.
10.
За обработването на данните се спазват по-специално следните правила, съдържащи се във вътрешни инструкции за работа (
8
):
–
„социалните данни“ на служителите не могат да се събират и съхраняват на работното им място. Освен това тези данни, които се създават при възлагане от KV на MDK на изготвянето на експертно становище, не трябва да се бъркат с обработваните данни на служителите в рамките на трудовото или служебното правоотношение,
–
исканията за изготвяне на експертно становище относно служителите на MDK се класифицират като „специални случаи“ и се обработват единствено от определена организационна единица (
9
),
–
след изготвяне на експертно становище за служител на MDK както съответните документи, така и експертното становище се съхраняват в електронния архив на самата MDK. Документите могат да бъдат свързани с определени лица само чрез специален „ключ“, като за разрешаването на достъпа се използва техническа процедура.
11.
След архивиране служителите от отдела по информационни технологии в организационната единица „Специални случаи“ имат възможност за достъп при спазване на законово задължение за тайна до експертните становища, които са изготвени въз основа на поръчка, отнасяща се до служителите на MDK.
12.
От 22 ноември 2017 г. ZQ е бил без прекъсване нетрудоспособен поради болест.
13.
От 24 май 2018 г. (
10
) ZQ получава обезщетение за болест от KV, в която е осигурен. На 6 юни 2018 г. последната възлага на MDK изготвянето на експертно становище за отстраняването на съмнения относно нетрудоспособността на ZQ.
14.
MDK приема поръчката и я възлага на организационната единица „Специални случаи“. На 22 юни 2018 г. наета от MDK лекарка от посочената организационна единица изготвя експертно становище, съдържащо диагнозата на ZQ. За да го изготви, тя се свързва по телефона с лекуващия лекар на ZQ, от когото получава необходимата информация.
15.
MDK архивира по електронен път експертното становище.
16.
ZQ научава от своя лекуващ лекар за обаждането на лекарката от MDK.
17.
На 1 август 2018 г. ZQ се обажда на колежка от отдела по информационни технологии на MDK и я пита дали е съхранено експертно становище за него. След проверка в архива колежката отговаря утвърдително. По молба на ZQ тя заснема експертното становище и му изпраща снимките.
18.
На 15 август 2018 г. ZQ иска от MDK да му заплати обезщетение в размер на 20000 евро на основание член 82 от ОРЗД, но искането му е отхвърлено.
19.
На 17 октомври 2018 г. ZQ подава искова молба до Arbeitsgericht Düsseldorf (Съд по трудови спорове Дюселдорф, Германия). В хода на това производство той претендира и обезщетение в размер на пропуснатите ползи (
11
).
20.
В хода на съдебното производство MDK прекратява трудовото правоотношение на ZQ.
21.
Исканията на ZQ са отхвърлени както от първоинстанционния, така и от апелативния съд (
12
).
22.
ZQ сезира Bundesarbeitsgericht (Федерален съд по трудови спорове, Германия), който отправя следните въпроси до Съда:
„1)
Трябва ли член 9, параграф 2, буква з) от ОРЗД да се тълкува в смисъл, че на медицинска служба на здравноосигурителна каса е забранено да обработва данни за здравословното състояние на свой работник или служител, които са условие за оценка на трудоспособността на този работник или служител?
2)
Ако Съдът отговори отрицателно на първия въпрос, в резултат на което, съгласно член 9, параграф 2, буква з) от ОРЗД се допуска изключение от предвидената в член 9, параграф 1 от ОРЗД забрана за обработване на данни за здравословното състояние: в случай като настоящия има ли други изисквания за защита на данните, които трябва да се спазват извън определените в член 9, параграф 3 от ОРЗД, и евентуално какви са те?
3)
Ако Съдът отговори отрицателно на първия въпрос, в резултат на което, съгласно член 9, параграф 2, буква з) от ОРЗД се допуска изключение от предвидената в член 9, параграф 1 от ОРЗД забрана за обработване на данни за здравословното състояние: в случай като настоящия зависи ли допустимостта, съответно законосъобразността на обработването на данни за здравословното състояние и от обстоятелството, че е изпълнено поне едно от условията, които са посочени в член 6, параграф 1 от ОРЗД?
4)
Има ли член 82, параграф 1 от ОРЗД специален или общ превантивен характер и трябва ли това да се вземе предвид при оценката на размера на нематериалните вреди, които подлежат на обезщетяване на основание член 82, параграф 1 от ОРЗД от администратора, съответно от обработващия лични данни?
5)
Има ли значение степента на вина на администратора, съответно на обработващия лични данни, при оценката на размера на нематериалните вреди, които подлежат на обезщетяване на основание член 82, параграф 1 от ОРЗД? По-специално, може ли липсата или ниската степен на вина на администратора, съответно на обработващия лични данни, да се вземе предвид в негова полза?“.
III. Производството пред Съда
23.
Преюдициалното запитване постъпва в Съда на 8 ноември 2021 г.
24.
Писмени становища представят ZQ, MDK, ирландското и италианското правителство, както и Европейската комисия.
25.
Не е счетено за необходимо провеждането на съдебно заседание.
26.
По указание на Съда в настоящото заключение няма да бъде разгледан четвъртият преюдициален въпрос (
13
).
IV. Анализ
А.
По първия преюдициален въпрос
27.
Запитващата юрисдикция иска да се установи дали член 9, параграф 2, буква з) от ОРЗД забранява на MDK да обработва данни за здравословното състояние на свой работник или служител, които са условие за оценка на неговата трудоспособност. Следователно тя поставя под съмнение законосъобразността на обработването поради субекта, който го извършва (
14
).
28.
Член 9 от ОРЗД се прилага за специални категории данни, като свързаните със здравословното състояние на дадено лице. В него е установена обща забрана за обработване на „чувствителни“ данни (параграф 1) и са изброени изчерпателно условията, при които тя не се прилага (параграф 2).
29.
По-конкретно в член 9, параграф 2, буква з) от ОРЗД се съдържа изключението (от общата забрана), свързано с обработването на лични данни „за целите на превантивната или трудовата медицина, за оценка на трудоспособността на служителя, медицинската диагноза, осигуряването на здравни или социални грижи“.
30.
Според мен разглежданите действия на MDK, които са предмет на спора, са обхванати в достатъчна степен от тази разпоредба (
15
). Няма значение, че администраторът е същевременно и работодател на субекта на данни, доколкото MDK не действа като такъв работодател, а като медицинска служба на KV, в която е осигурен (
16
).
31.
Не намирам основание за тълкуване на член 9, параграф 2, буква з) от ОРЗД в смисъл, че забранява на медицинска служба да обработва данни за здравословното състояние на своите служителите за предвидената в тази буква цел. Обичайните тълкувателни критерии водят по-скоро до обратното решение (несъществуване на тази забрана).
32.
От гледна точка на буквалното тълкуване член 9, параграф 2, буква з) от ОРЗД не предвижда никакво изключение в този смисъл, нито налага като условие за обработването администраторът да е „трето неутрално лице“ (
17
).
33.
Законодателната предистория и развитието на разпоредбата също не разкриват забрана като посочената в първия преюдициален въпрос, нито намерение за включване на такава (
18
).
34.
Целта на правилата на ОРЗД за обработване на данни за здравословното състояние се състои, както е приел Съдът (
19
), в предоставянето на засилена защита на субектите на данни с оглед на особената чувствителност на тези данни за засегнатите основни права. За постигането на тази цел е въведена общата забрана по член 9, параграф 1 от ОРЗД, която обаче не е абсолютна (
20
).
35.
В тази област, както в други, свързани с обработването на лични данни области, след установяването на тази забрана законодателят е избрал:
–
да въведе изключения под формата на списък с конкретни случаи, които могат да бъдат групирани (най-общо) в случаи, при които самият субект на данни дава съгласието си за обработването или се ползва от него, и в случаи, при които са налице интереси с предимство пред интересите на всяко лице,
–
да обгради определен вид обработване с по-големи предпазни мерки от прилаганите за останалите „нечувствителни“ лични данни в допълнение към тях (
21
),
–
да предостави право на държавите членки да въведат други условия, включително ограничения, за обработването на лични данни. Това е така във връзка със свързаните със здравословното състояние (член 9, параграф 4 от ОРЗД и съображение 53 in fine) или с данните на наетите лица по трудово или служебно правоотношение (член 88 от ОРЗД) (
22
).
36.
Следователно, абстрактно, нищо не пречи специфичните предпазни мерки, които току-що посочих, да включват забрана за MDK да обработва данни за здравословното състояние на нейните служители. Според мен обаче тази възможност (която европейският законодател не е предвидил) не е необходима, за да се съхрани посочената по-горе цел.
37.
Поради това смятам, че забраната, за която пита запитващата юрисдикция, не е неизбежна последица от телеологичното тълкуване на член 9, параграф 2, буква з) от ОРЗД.
38.
Също така не мисля, че систематичното тълкуване на разпоредбата води до друго решение, тъй като:
–
ако за целите на анализа се приеме, че е правилно член 9, параграф 2, точка б) от ОРЗД да се разбира като единственото основание, на което работодател може да обработва данни за здравословното състояние на своите служители (
23
), това не би засягало възможността същият субект, вече не като работодател, а като медицинска служба, приела поръчката на KV, да извършва обработването на основание на друго изключение, предвидено в същия член 9, параграф 2 (
24
),
–
член 9, параграф 3 от ОРЗД предвижда условията, на които трябва да отговарят лицата, обработващи лични данни за здравословното състояние. Член 9, параграф 2, буква з) препраща изрично към параграф 3: по отношение на субектите няма друго изискване за обработването (
25
).
39.
В обобщение предлагам на първия преюдициален въпрос да се отговори отрицателно (т.е. че в ОРЗД не съществува разглежданата забрана), което позволява да се разгледа следващият.
Б.
По втория преюдициален въпрос
40.
Ако (както предлагам) отговорът на първия преюдициален въпрос е отрицателен, запитващата юрисдикция иска да се установи дали „в случай като настоящия има […] други изисквания за защита на данните, които трябва да се спазват извън определените в член 9, параграф 3 от ОРЗД, и евентуално какви са те“.
41.
Отговорът като цяло не би трябвало да поражда големи проблеми (
26
). Съдът е посочил, че всяко обработване на лични данни трябва да отговаря на принципите на член 5 от ОРЗД и на някое от условията за законосъобразност, предвидени в член 6 от него (
27
).
42.
Според запитващата юрисдикция спазването на задължението за тайна (член 9, параграф 3 от ОРЗД) не е достатъчно за защитата на данните при обстоятелства като тези в настоящия случай. Тя предлага други допълнителни мерки, които според нея са единствените подходящи мерки за такава цел (
28
).
43.
Смятам, че като такъв член 9, параграф 3 от ОРЗД не може да служи като основание за тези допълнителни мерки. Неговият ясен текст (който се свежда до уточняване на съществуваща в Директива 95/46 разпоредба) (
29
) не предоставя основание за предложения като това на запитващата юрисдикция.
44.
Обратно, тези предложения биха могли да попадат в обхвата на член 9, параграф 4 от ОРЗД. Съгласно този параграф държавите членки имат право да въведат „допълнителни условия, включително и ограничения, по отношение на обработването на […] данни за здравословното състояние“ (
30
). От акта за преюдициално запитване обаче не следва, че това е така в Германия.
45.
При това положение и с оглед на изложените по-горе съображения при обработването на лични данни за здравословното състояние трябва да се спазва, наред с другите принципи, съдържащият се в член 5, параграф 1, буква е) от ОРЗД принцип и произтичащите от него задължения, описани подробно в глава IV от него.
46.
Освен това администраторът (
31
) трябва да въведе подходящи технически и организационни мерки, с които да се гарантира, че конкретно обработване се извършва в съответствие с ОРЗД. Това предвижда най-общо член 24, параграф 1 от него.
47.
Конкретно член 32, параграф 1 от ОРЗД задължава администратора да прилага „подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност“, на който са изложени разглежданите лични данни.
48.
При прилагането на тези правила към настоящия случай качеството на MDK като работодател на ZQ го задължава да полага по-голяма от обичайната дължима грижа при обработването на неговите данни за здравословното състояние, тъй като и рисковете са по-големи (
32
).
49.
Този факт не е известен на MDK. Когато по поръчка на KV, в която неин служител е осигурен, MDK изготвя експертни становища за отстраняването на съмнения относно неговата (не)трудоспособност, тя прилага съвкупност от технически и организационни мерки ad hoc, предвидени за съответствието на обработването на лични данни за здравословното състояние с ОРЗД (
33
).
50.
Преценката на тези мерки следва да се извърши от запитващата юрисдикция, която след тяхната оценка може да приеме, че прилаганите мерки не са били достатъчни. Това обаче не дава основания да се изведе от член 9 от ОРЗД задължение за MDK да отказва служебно всяко искане за изготвяне на експертно становище (за нейните служители), отправено от KV (
34
).
В.
По третия преюдициален въпрос
51.
Ако отговорът на първия преюдициален въпрос е отрицателен, с третия запитващата юрисдикция иска да се установи дали изключението от забраната за обработване на данни за здравословното състояние „зависи […] от обстоятелството, че е изпълнено поне едно от условията, които са посочени в член 6, параграф 1 от ОРЗД“.
52.
За да се отговори на този въпрос, трябва да се разгледа връзката между член 9, параграф 2 и член 6 от ОРЗД относно законосъобразността на обработването. Необходимостта от спазването на последния член при всяко обработване на данни се съдържа в решенията на Съда, които посочих по-горе (
35
).
53.
По-конкретно в постановеното по дело C‑439/19 (
36
) решение се тълкува член 10 от ОРЗД относно друга категория чувствителни лични данни (отнасящите се до присъди и нарушения) (
37
), като се приема, че член 6 от ОРЗД се прилага кумулативно с член 10.
54.
Важи ли този извод и за личните данни, посочени в член 9 от ОРЗД?
55.
Структурата на членове 9 и 10 от ОРЗД е различна. Член 10 съдържа изрична препратка към член 6, параграф 1 от самия ОРЗД, която не фигурира в член 9.
56.
Не са сходни и текстовете на член 9, параграф 2 и член 10 от ОРЗД: в член 10 се посочва само кръгът от лицата, които могат да обработват данни, докато член 9, параграф 2 предвижда целите (или условията), обосноваващи обработването, като член 6, параграф 1.
57.
Всъщност сходството между член 6, параграф 1 и член 9, параграф 2 от ОРЗД е от такова естество, че при първи прочит би изглеждало, че изброените в последния условия са уточнения на съдържащите се в първия условия: едновременно с уточняването им ги превръщат в по-строги.
58.
Историята и развитието на член 9 от ОРЗД обаче поставят под съмнение възможността да се обясни връзката между него и член 6 с това, че представляват „специален закон“ и „общ закон“.
59.
Изглежда, че това тълкуване действително е поддържано от делегациите на определени държави членки (
38
). Документите относно преговорите във връзка с член 9 обаче не свидетелстват за разногласия по препратката към член 6 (
39
), а по нейния обхват (дали да е само към параграф 1 от него или и към други) (
40
). В крайна сметка препратката на член 9 към член 6 е заличена (
41
) и е взето решение в преамбюла да се остави съображение, сходно със сегашното съображение 51 от ОРЗД (
42
).
60.
Идеята за кумулирането или взаимното допълване между двете разпоредби е предложена от Европейския комитет по защита на данните (
43
) и е защитена от т.нар. „работна група по член 29“ (
44
) по отношение на член 8 от Директива 95/46 (
45
). Това разбиране обаче не е останало необсъдено в доктрината и в други съответни форуми (
46
).
61.
Разглеждайки отделните букви от член 9, параграф 2 от ОРЗД, съм склонен да приема, че връзката между тази разпоредба и член 6 в действителност не дава възможност за един-единствен отговор. Всъщност:
–
изключенията от забраната за обработване на лични данни като предвидените в член 9, параграф 2, букви а), в) ж) и и) (
47
) имат непосредствена връзка с конкретно законно основание по член 6, параграф 1 от ОРЗД и го поглъщат,
–
това не важи за другите изключения, изброени в член 9, параграф 2 от ОРЗД, за които се изисква допълнително основание съгласно член 6, параграф 1. Според мен това е така по отношение на член 9, параграф 2, буква з), за която се отнася настоящото преюдициално запитване.
62.
Ето защо смятам, че за да е законосъобразно разрешеното с член 9, параграф 2, буква з) от ОРЗД обработване на чувствителни данни, е необходимо да се установи във всеки конкретен случай на кое от посочените в член 6, параграф 1 условия се основава.
63.
Запитващата юрисдикция не се съмнява, че това е така: като изхожда от тази предпоставка, тя по-скоро приема, че извършеното от MDK обработване не намира основание в член 6 (
48
).
64.
На пръв поглед не смятам, че между предвидените в разпоредбата правни основания има йерархия. По-задълбоченият анализ би могъл да разкрие необходимост от нюансиране (
49
). Според мен обаче този анализ би надхвърлил необходимото, за да се отговори на този преюдициален въпрос (
50
).
65.
В обобщение отговорът на третия преюдициален въпрос би трябвало да указва на запитващата юрисдикция, че изключението от забраната за обработване на данни за здравословното състояние изисква да е изпълнено поне едно от условията, посочени в член 6, параграф 1 от ОРЗД.
Г.
По петия преюдициален въпрос
66.
Запитващата юрисдикция иска да се установи дали „има […] значение степента на вина на администратора, съответно на обработващия лични данни, при оценката на размера на нематериалните вреди, които подлежат на обезщетяване на основание член 82, параграф 1 от ОРЗД“, и по-специално дали „може […] липсата или ниската степен на вина на администратора, съответно на обработващия лични данни, да се вземе предвид в негова полза“.
67.
Във въпроса се изхожда от разбирането, че е имало нарушение на ОРЗД (
51
), извършено от лице, което се явява администратор на данни, и се пита дали за оценката на обезщетението за вредите, настъпили в резултат на това нарушение, има значение степента на неговата вина. Според запитващата юрисдикция не е сигурно, че липсата или ниската степен на вина на администратора може да се приеме за оневиняващо обстоятелство.
68.
Въпросът, разгледан буквално, е съсредоточен върху оценката на обезщетението. Придружаващите го обяснения обаче пораждат определено объркване, тъй като не става ясно дали се отнасят до вината като условие за ангажиране на отговорност или като фактор, с който да се степенува размерът на обезщетението.
69.
По искане на Съда да отстрани тази неяснота запитващата юрисдикция посочва, че въпросът се отнася и до двата аспекта, без да прави други уточнения относно връзката им със спора в главното производство.
70.
С оглед на този отговор възнамерявам да отговоря на поставените от запитващата юрисдикция въпроси, след като отделя внимание (и) на повдигнатото от MDK във връзка с евентуалното участие на субекта на данни в причиняването на вредите (
52
). Изложението ми ще се състои от три части:
–
в първата ще разгледам основанието за ангажиране на отговорност, предвидена в член 82 от ОРЗД,
–
във втората ще анализирам значението, което може да има консултирането на лични данни от служител на администратора на данни (
53
). В настоящия случай е специфично и съществено обстоятелството, че този служител е извършил консултирането по искане на субекта на данни,
–
в третата ще изразя становището си относно значението, което може да има степента на тежест на вината на администратора върху конкретната оценка на обезщетението за нематериалната вреда.
1. Основание за ангажиране на гражданска отговорност по член 82 от ОРЗД
71.
Запитващата юрисдикция смята, че член 82, параграф 1 от ОРЗД не поставя гражданската отговорност (на администратора (
54
)) в зависимост от съществуването или доказването на умисъл или небрежност. Тя добавя, че параграф 3 от същия член не обосновава друго решение.
72.
Признавам, че не е ясно какъв модел на гражданска отговорност е възприет в ОРЗД и че са възможни a priori няколко тълкувания (
55
). Разбирането на запитващата юрисдикция е едно от тях: правилно според мен.
73.
Смятам, че буквалното тълкуване на член 82, параграф 1 от ОРЗД в смисъл, че въвежда режим на гражданска отговорност, независеща от вината на администратора, се потвърждава непосредствено от подготвителните работи и преди всичко съответства на целта на нормата. То е приемливо с оглед на други параграфи от разпоредбата, както и на системата в нейната цялост.
а) Довод, изведен от текста
74.
Защитаваната от запитващата юрисдикция позиция е в съответствие с текста на член 82, параграф 1 от ОРЗД. Буквално правото на получаване на обезщетение от администратора е свързано автоматично с вредите, претърпени вследствие на самото нарушение на ОРЗД.
75.
Останалите параграфи от член 82 не насочват към друг отговор (
56
). По-конкретно не бих се осмелил да изведа изискване за вина от думата „imputable“ („носи отговорност“) в член 82, параграф 3. Думата се среща в текста на ОРЗД само на някои езици, докато в текста на други езици е използвана „responsable“ („отговорен“). В текста на немски език самият термин за вина („Verschulden“) не е включен нито в член 82, нито в преамбюла (
57
).
76.
От сравнението на различните разпоредби на ОРЗД става ясно, че използваната терминология невинаги е еднозначна, поради което трябва да се подходи с изключителна предпазливост, когато се правят заключения въз основа на техния текст. Например в текста на английски език думата „responsible“ се използва в много значения (
58
).
77.
Непосочването на умисъла или вината на администратора в член 82 от ОРЗД контрастира с упоменаването им в член 83 за целите на административните наказания: „Когато се взема решение дали да бъде наложено административно наказание „глоба“ или „имуществена санкция“ и се определя нейният размер, във всеки конкретен случай“ надлежно се разглежда дали нарушението на ОРЗД е извършено умишлено или по небрежност (
59
).
78.
Ако различията в текстовете намалява тежестта на буквалното тълкуване, те поне потвърждават идеята, че умисълът и вината не фигурират в член 82 от ОРЗД и че тази липса е съзнателна, а не се дължи на невнимание от страна на законодателя.
б) Подготвителни работи
79.
Обсъждането на окончателно приетото в ОРЗД основание за ангажиране на отговорност е замъглено от контекста на провеждането им в рамките на Съвета във връзка със случаите на множество участници в обработването на лични данни.
80.
Това обсъждане е смесено с процедурни въпроси без концептуален механизъм за разграничаване между функцията на вината като основание за ангажиране на отговорност и функцията на липсата на вина за целите на освобождаването от нея с оглед на причинно-следствената връзка.
81.
Въпреки това смятам, че подготвителните работи потвърждават тълкуване на член 82, параграф 1 от ОРЗД в смисъл, че гражданската отговорност не зависи от вината на администратора.
82.
В предложението на Комисията се следва Директива 95/46 и не се упоменава небрежността. В документите на Съвета се посочва, че разглежданата отговорност се определя като „strict liability“ (
60
).
83.
Изменение, предложено от Комисията по граждански свободи, правосъдие и вътрешни работи на Парламента, определя за член 82 (тогава 77), параграф 1 текст, в който отговорността се свързва с умисъл или небрежност (
61
). Не е било прието (
62
).
84.
Обсъждането в Съвета на член 77 и критерия за ангажиране на отговорност е проведено във връзка с определянето и разпределянето на отговорността, когато няколко лица участват в една и съща операция по обработване на лични данни. В този контекст председателството е предложило два варианта за избор (
63
):
–
според първия вариант (
64
) всеки администратор или обработващ лични данни носи юридическа отговорност за целия размер на вредите спрямо субекта на данни (
65
) при неизпълнение на наложените му с ОРЗД задължения (
66
). Дори незначителното му участие във вредата дава право на субекта на данни да получи пълно обезщетение, а ако участниците са няколко, от всеки един от тях (
67
). Всеки един от тях обаче се освобождава от отговорност, ако докаже, че изобщо не носи отговорност („responsible“) за вредата („0 % responsibility“), което е щяло да бъде отразено в параграф 3 от посочения член. Моделът се описва като „closer (but certainly not equal to) to the“liability follows fault principle” (
68
),
–
вторият вариант предполага за администратора неизбежно задължение да обезщети субекта на данни за целия размер на вредата като един вид абсолютна отговорност, доколкото не предвижда никакво освобождаване от отговорност (
69
). Искът на субекта на данни срещу обработващия лични данни може да се предяви само при условията на евентуалност (
70
). За него също не е предвидено никакво освобождаване от отговорност.
85.
Компромисният текст, представен от председателството за приемането му като общ подход (
71
), следва първия вариант, въпреки че подсилва изключителния характер на освобождаването от отговорност и трудността на доказването му с текста на член 77, параграф 3: „[…] if it [администраторът/обработващият лични данни] proves that it is not in any way responsible (…)“ (
72
). Този текст съответства на окончателно приетия член.
86.
В обобщение анализът на законодателния процес, довел до окончателния текст на ОРЗД, подкрепя извода, че отговорността, посочена в член 82, параграф 1 от него, не е свързана с вината на администратора.
в) Цел
87.
ОРЗД въвежда система, предназначена да се гарантира високо ниво на защита на физическите лица и същевременно да се премахнат препятствията пред движението на лични данни (
73
). В рамките на тази система целта на член 82 от него е обезщетяването на вредите, независимо от втората му цел да възпира или предотвратява нарушения на неговите разпоредби (
74
).
88.
Гарантирането на обезщетяването само по себе си е цел: това следва от значението, което законодателят му придава и проличава от обикновения прочит на текста. Според ОРЗД получаването на обезщетение, когато е настъпила вреда, е право на субекта на данни; понятието „вреди“ следва да се тълкува разширително и обезщетяването трябва да е пълно и действително.
89.
Обезщетяването е свързано с общата цел за повишаване на доверието на гражданите в цифровата среда, предвидена в съображение 7 от ОРЗД. Гарантирането на субекта на данни като принципно разрешение, че няма да му се наложи автоматично да понесе вредите, произтичащи от незаконно обработване на данните му, служи за укрепване на това доверие: неговият патримониум е в безопасност, а от процесуална гледна точка предявяването на иск е по-лесно.
90.
Този подход съответства на отсъствието в член 82, параграф 1 от ОРЗД на връзка между задължението за обезщетяване и неизпълнението на задължение за полагане на дължима грижа. Такова задължение е наложено по решение на законодателя на лицето, което изпълнява определена функция на пазител или гарант в отношението, и то само с оглед на този факт.
91.
Следователно би могло да се каже, че според ОРЗД важното е положението на потърпевшия, който претърпява вредата, произтичаща от нарушението, когато никоя друга норма не го задължава да я понесе.
92.
За потърпевшия няма значение дали вредата е настъпила при наличие или отсъствие на вина на лицето, което я е причинило: решаващо е обстоятелството, че администраторът му е причинил материална или нематериална вреда вследствие на извършеното от него нарушение на ОРЗД.
93.
Описаните цели се постигат много по-лесно с модел, при който доказаната вреда:
–
се обезщетява при всички случаи (освен при наличие на основание за освобождаване от отговорност, което е изключение), и
–
води до обезщетяване, което се получава (сравнително) лесно, не само защото не трябва да се доказва вината на администратора, а защото при наличие на нарушение и свързана с него вреда, ангажирането на отговорност не зависи от никаква степен на вината.
94.
Смятам, че в рамките на адаптирането към цифровата революция (
75
) това разрешение е логично. Бързото технологично развитие изисква при най-често срещаните дейности по обработване на данни, извършвани онлайн, отсъствието на умисъл или небрежност да не възпрепятства обезщетяването на вреди, които в противен случаи биха останали непоправени.
г) Система
95.
Тълкуването, което предлагам, съответства по-добре на структурата на ОРЗД. В рамките на член 82 от него това се потвърждава от параграф 3: администраторът може да се освободи от отговорност, ако „докаже, че по никакъв начин не е отговорен за събитието, причинило вредата“.
96.
В този текст се отличава изразът „по никакъв начин“, който навежда на мисълта, че в модела няма вина (включително най-малката степен на вина) с обръщане на доказателствената тежест.
97.
Разбирането, че обезщетяването не зависи от вината на администратора, придава на член 82 собствено значение в глава VIII и в крайна сметка в целия ОРЗД.
98.
Европейският законодател приема, че обработването на лични данни може да е източник на рискове. Той задължава участниците в обработването да извършват оценка на тези рискове и да приемат подходящи мерки за предотвратяване и ограничаване на идентифицираните рискове, както и да ги актуализират (
76
).
99.
Приема се, че модел с основана на вината гражданска отговорност насърчава полагането на дължима грижа и съответно защитата срещу рискове, докато алтернативният модел, който не отчита поведението на участника в обработването на лични данни, не поощрява неговата предпазливост (тъй като, ако настъпи вреда, той така или иначе ще трябва да плати обезщетение).
100.
Смятам, че в ОРЗД този резултат (
77
) е приемлив. Член 82 е включен в сложна нормативна структура с публичноправни и частноправни инструменти за защита на личните данни. В рамките на тази структура небрежността (и умисълът) са от значение за целите на административните наказания. Не смятам за необходимо да са релевантни и за целите на гражданската отговорност (
78
), което би накърнило целите на член 82 и освен това би отнело на практика привлекателността на предвиденото в него средство за защита.
2. Значение на участието на субекта на данни
101.
Въпросите относно необходимостта от наличие на вина на администратора се свързват в настоящия случай с евентуалните последици от участието на субекта на данни (
79
).
102.
За по-добро разбиране на изложеното по-долу следва да се уточни, че обстоятелствата по спора се разглеждат в два сценария:
–
в първия обработването на личните данни на ZQ от MDK представлява нарушение на ОРЗД (на член 9 или член 6 от него). Самото нарушение поражда вреда (
80
),
–
във втория описаното обработване на данни не представлява нарушение на ОРЗД или не поражда вреда. Тя настъпва вследствие на консултирането на данните от конкретен служител на MDK, подтикнат от субекта на данните (
81
).
103.
При всички случаи смятам, че както изглежда твърди запитващата юрисдикция (
82
), за да се определи значението (дали има такова) на поведението на субекта на данни при извършването на нарушението, довело до причиняването на вредата, трябва да се приложи член 82, параграф 3.
104.
В разпоредбата не са изброени, включително като пример, конкретни основания за освобождаване от отговорност. Това се отнася и до съображение 146 (
83
).
105.
Очевидно ОРЗД се отклонява в това отношение от Директива 95/46, член 23, параграф 2 от която съдържа правило (
84
), което е сходно със сегашния член 82, параграф 3 от ОРЗД: съображение 55 от Директива 95/46 предлага, като примерни основания за освобождаване от отговорност, грешка от страна на съответното физическо лице или непреодолима сила (
85
), които не са включени в ОРЗД.
106.
В подготвителните работи по приемането на ОРЗД не се посочва, освен ако не греша, че е имало обсъждане относно тези два примера, които се съдържат в предложението на Комисията (
86
) и са запазени от Парламента (
87
).
107.
Тяхното премахване и включването на наречието „по никакъв начин“ става в хода на посочения по-горе дебат относно начина на регулиране на отговорността в случай на обработване на лични данни с множество администратори или обработващи лични данни (
88
).
108.
От наличните документи (
89
) следва, че в окончателния текст администраторът се ползва от освобождаването от отговорност, ако докаже, че изобщо не носи отговорност („responsible“) за вредата („0 % responsibility“). Това се прилага и за обработващия лични данни (
90
).
109.
Въз основа на горното смятам, че премахването на двата примера от преамбюла едновременно с добавянето на „по никакъв начин“ в него и в член 82, параграф 3 от ОРЗД не води до (нито има за цел) изключването на действията на субекта на данни от основанията за освобождаване от отговорност (
91
).
110.
По-скоро изглежда, че действията на субекта на данни все още могат да нарушат в зависимост от случая необходимата връзка между „събитието“ (тази дума е използвана в член 82, параграф 3 от ОРЗД) и извършителството от страна на администратора. Подчертаването на ограничения характер на клаузата за дерогация не пречи определено действие на субекта на данни да доведе само по себе си до причиняване на вреда и съответно до освобождаване на администратора от отговорност.
111.
Систематичното тълкуване потвърждава, че в рамките на отговорността за вреди се взема предвид участието на субекта на данни в причиняването им. В системата на ОРЗД физическите лица участват в защитата на своите данни, като за целта са им предоставени инструменти, които сами по себе си са права.
112.
Смятам, че от телеологична гледна точка ОРЗД има за цел да осигури висока защита, но не до такава степен, че да задължи администратора да обезщетява и вреди, произтичащи от събития или действия, за които субектът на данни носи отговорност (
92
).
3. Определяне на размера на обезщетението. Значение на степента на вина на лицето, което носи отговорност за вредата
113.
Запитващата юрисдикция потвърждава, че с петия преюдициален въпрос иска да се установи дали степента на вината на администратора има значение за определянето на размера на обезщетението. По-конкретно дали отсъствието на вина или ниската степен на вина на администратора могат да бъдат взети предвид в негова полза.
114.
Член 82 от ОРЗД наистина е лаконичен или направо мълчи по отношение на основните аспекти на обезщетението, които биха имали значение за определянето на неговия размер. Той не дава насоки на тълкувателя относно елементите, от които то се състои (
93
), критериите за оценка (превръщането в стойност) на тези елементи (
94
) или факторите, които имат значение за техния размер (
95
).
115.
Въпреки това смятам, че ОРЗД предоставя на субекта на данни право на обезщетение, чийто размер се определя с оглед на действително претърпените вреди. След като сумата, която обективно компенсира тези вреди, бъде определена, тя не трябва да се променя в зависимост от по-голямата или по-малката степен на небрежност на администратора.
116.
В подкрепа на моята позиция препращам mutatis mutandis към изложението ми във връзка с предвидената в системата на член 82 от ОРЗД безвиновна отговорност на администратора. От гледна точка на потърпевшия, чийто патримониум (материален и нематериален) трябва да остане непроменен след настъпването на вредата, обезщетяването не трябва да се свързва с вината на администратора, независимо от нейната степен (
96
).
117.
Смятам, че до това решение се стига, като се вземе предвид, че член 82 от ОРЗД (подготвителните работи по чието приемане не предлагат ключови насоки в подкрепа на една или друга позиция) (
97
) се различава от други правни актове на Съюза, в които изрично се прави разграничение в зависимост от това дали участието в нарушението е било „съзнателно“ или не при определянето на размера на обезщетението при гражданска отговорност (
98
).
118.
Според мен тази преценка се потвърждава от още два аргумента:
–
член 83 от ОРЗД отчита небрежността (и умисъла) на извършителя на нарушението за определяне на размера на глобата или имуществената санкция (
99
). Законодателят е могъл да възприеме този критерий и за определянето на размера на обезщетението при гражданска отговорност, но не го е направил,
–
в ОРЗД се подчертава, че обезщетяването трябва да е пълно и действително (
100
) (съображение 146 и член 82, параграф 4 относно случаите на няколко администратори или обработващи лични данни, участващи в една и съща операция по обработване) (
101
). Според мен качественото определение „пълно“ е в противоречие с намаляването на размера на обезщетението с оглед на по-ниската степен на небрежност на администратора (
102
).
V. Заключение
119.
С оглед на гореизложените съображения предлагам на Bundesarbeitsgericht (Федерален съд по трудови спорове, Германия) да се отговори по следния начин:
„Член 9, параграф 2, буква з) и параграф 3, както и член 82, параграфи 1 и 3 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
следва да се тълкуват в смисъл, че
на медицинска служба на здравноосигурителна каса не е забранено да обработва данни за здравословното състояние на свой работник или служител, които са условие за оценка на неговата трудоспособност;
допускат изключението от забраната за обработване на лични данни за здравословното състояние, когато то е необходимо за оценка на трудоспособността на работника или служителя, да се обвързва с принципите на член 5 и с някое от условията за законосъобразност, предвидени в член 6 от Регламент 2016/679;
степента на вина на администратора или на обработващия лични данни няма значение за ангажирането на отговорността на единия или на другия, нито за оценката на размера на нематериалните вреди, които подлежат на обезщетяване на основание член 82, параграф 1 от Регламент 2016/679;
участието на субекта на данни в събитието, от което произтича задължението за обезщетяване, може да доведе в зависимост от случая до освобождаването от отговорност на администратора или на обработващия лични данни, предвидено в член 82, параграф 3 от Регламент 2016/679“.
(
1
)	Език на оригиналния текст: испански.
(
2
)	Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
3
)	Както и относно член 8 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), предхождащ пряко член 9 от ОРЗД.
(
4
)	Четвъртият въпрос е идентичен по същество с първия по дело C‑300/21, Österreichische Post (Нематериални вреди, свързани с обработването на лични данни), по което представих заключението си на 6 октомври 2022 г. (EU:C:2022:756) (наричано по-нататък „заключението по дело C‑300/21“), а Съдът се произнесе с решение от 4 май 2023 г. (EU:C:2023:370).
(
5
)	Социален кодекс, книга пет.
(
6
)	Medizinischer Dienst der Krankenversicherung (наричана по-нататък „MDK“).
(
7
)	Krankenversicherung (наричана по-нататък „KV“).
(
8
)	„Инструкция относно защитата на социалните данни на служителите [на MDK] и членовете на техните семейства“, обобщена в точка 6 и сл. от акта за преюдициално запитване.
(
9
)	В системата за обработване на данни, която се използва в рамките на MDK, е създадена виртуална организационна единица, наречена „Специални случаи“, достъп до която имат само нейните служители.
(
10
)	След прекратяването (по предвидения в закона ред) на продължаващото изплащане на трудовото възнаграждение от страна на MDK.
(
11
)	Според него без нарушенията на защитата на личните му данни е можел да възобнови трудовата си дейност от декември 2018 г.
(
12
)	Съответно ArbG Düsseldorf, Urteil vom 22.02.2019 — 4 Ca 6116/18, и LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 — 12 Sa 186/19.
(
13
)	По отношение на неговото съдържание препращам към решение от 4 май 2023 г., Österreichische Post (Нематериални вреди, свързани с обработването на лични данни) (C‑300/21, EU:C:2023:370).
(
14
)	Изложеното по-нататък не предопределя отговора на третия преюдициален въпрос.
(
15
)	Считам, че тази разпоредба се прилага с предимство пред член 9, параграф 2, точка б) от ОРЗД. Според мен обработването не е необходимо (нито по отношение на MDK като работодател, нито по отношение на ZQ като служител) за изпълнението на задълженията или за упражняването на правата в рамките на трудовото правоотношение.
(
16
)	Обработването на чувствителни данни като работодател (т.е. за цели, свързани с трудовото правоотношение) би било законосъобразно само ако отговаря на предвидените в ОРЗД условия за обработване на данни с цел, различна от тази, за която са събрани.
(
17
)	Точка 22 от акта за преюдициално запитване. Обратно, ОРЗД изисква да притежава други характеристики, предвидени в член 9, параграф 3 от него: за неговия обхват вж. по-долу точка 40 и сл.
(
18
)	Предшественик на член 9 от ОРЗД е член 8 от Директива 95/46. В предложението на Комисията (Предложение за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните) (COM/2012/011 final) от 25 януари 2012 г., наричано по-нататък „предложението на Комисията“) обработването на лични данни за здравословното състояние се урежда от член 81, в който се предвиждат основанията и се посочва, че то трябва да се основава на правото на Съюза или на правото на държавите членки. Последните трябва да предвидят необходимите мерки за защита, за да се гарантират законните права на субекта на данните. Съдържанието на член 81 става част от член 9, параграф 2, буква з) и параграф 4, както се посочва в документ № 14270/14, бележка от председателството на Съвета до работна група „Защита на данните“ от 16 октомври 2014 г.
(
19
)	Решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773), точка 44: „[…] специфичните изисквания […] по отношение на обработването на специалните категории от данни [имат за] цел[…] […] да се осигури по-голяма защита по отношение на подобно обработване, което поради особената чувствителност на тези данни може да представлява, както следва и от съображение 33 от Директива [95/46] и от съображение 51 от този регламент, особено тежко вмешателство в основните права на зачитане на личния живот и на защита на личните данни, гарантирани от членове 7 и 8 от Хартата“.
(
20
)	Основното право на защита на личните данни няма автоматично предимство пред никое друго право, включително когато става въпрос за специалните категории по член 9, параграф 1 от ОРЗД: решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 66—68).
(
21
)	Член 9, параграф 3 от ОРЗД.
(
22
)	Член 88 от ОРЗД дава възможност на държавите членки да приемат „по-конкретни правила, за да гарантират защитата на правата и свободите по отношение на обработването на личните данни на наетите лица по трудово [и]ли служебно правоотношение“. Относно неговото тълкуване препращам към решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2022:710).
(
23
)	Изглежда, че така го разбира запитващата юрисдикция. От своя страна препращам към бележка под линия 15 по-горе.
(
24
)	Споделям мнението на Комисията, когато посочва, че „вторият параграф [от член 9 от ОРЗД] не предвижда конкретна йерархия или възможна зависимост между изключенията, които съществуват съвместно при равни условия“ (т. 13 от писменото ѝ становище).
(
25
)	Не се изисква, както в Директива 95/46, данните да „се обработват от медицинско лице, което […] е длъжно да спазва професионална тайна, или от друго лице, което е също обвързано с равностойно задължение за пазене на тайна“ (курсивът е мой). Изисква се обаче да се обработват от лица, обвързани от задължение за тайна.
(
26
)	Съображение 51 от ОРЗД, като се отнася до данните, които „са особено чувствителни от гледна точка на основните права и свободи“, предвижда, че „[в] допълнение към конкретните изисквания за такова обработване следва да се прилагат общите принципи и другите правила, залегнали в настоящия регламент, по-специално по отношение на условията за законосъобразно обработване“.
(
27
)	Решение от 16 януари 2019 г., Deutsche Post (C‑496/17, EU:C:2019:26, т. 57 и цитираната съдебна практика). По отношение на чувствителните данни, решения от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 64), и от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 96, 99, 100 и 102).
(
28
)	Актът за преюдициално запитване, точки 25—27. Тя прибягва до създаването на две независими организационни единици за „специални случаи“ и на различни отдели по информационни технологии в случай на експертни становища за служителите в областта на информационните технологии (като ZQ). Крайната цел е никой служител на MDK да няма фактически достъп до данните за здравословното състояние на свой колега и да не узнава извършена ли е проверка на неговата трудоспособност.
(
29
)	Член 8, параграф 3. Както посочих по-горе, в ОРЗД е разширен кръгът от лица, които имат право да обработват данни.
(
30
)	Параграф 4 е включен в член 9 от ОРЗД по предложение на Германия: документ № 6834/15, бележка от председателството до Съвета, от 9 март 2015 г.
(
31
)	Запитващата юрисдикция определя по този начин MDK (т. 16 от акта за преюдициално запитване.). Поради това няма да споменавам по-нататък обработващия лични данни, освен ако е уместно в определен момент. По принцип изложените съображения по отношение на първия важат и за втория.
(
32
)	Запитващата юрисдикция се страхува по-конкретно, че при евентуално нарушаване на сигурността колегите на ZQ ще узнаят здравословното му състояние, което може да доведе до спекулации относно неговата работоспособност. Тя добавя, че информацията за самото съществуване на експертно становище относно нетрудоспособността е чувствителна, тъй като може да възникне възможност за симулиране на тази нетрудоспособност (т. 26 от акта за преюдициално запитване).
(
33
)	Вж. точка 10 по-горе.
(
34
)	Точка 27 от акта за преюдициално запитване.
(
35
)	Вж. бележка под линия 27 по-горе. Относно връзката между член 6 и член 9 от ОРЗД вж. също дело C‑252/21, Meta Platforms и др. (Общи условия за ползване на социална мрежа). Заключението на генерален адвокат Rantos е от 20 септември 2022 г. (C‑252/21, EU:C:2022:704).
(
36
)	Решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (EU:C:2021:504, т. 96, 99, 100 и 102).
(
37
)	Текстът на член 10 от ОРЗД се съдържа в член 8 от Директива 95/46. В последния са обединени всички специални категории данни, въпреки че е разграничено обработването на отнасящите се до закононарушения, наказателни присъди или мерки за сигурност, които са уредени в параграф 5. Формалното им разделяне в ОРЗД не се дължи на промяна в убеждението, че личните данни, отнасящи се до присъди и нарушения, са „чувствителни“.
(
38
)	Документ № 17072/4/14 Rev 4, бележка от Съвета до Комитета на постоянните представители от 4 март 2015 г., бележка под линия 60.
(
39
)	Отнасящ се, както в окончателната му редакция, до законосъобразността на обработването.
(
40
)	Документ № 17072/4/14 Rev 4, бележка от Съвета до Комитета на постоянните представители от 4 март 2015 г., член 9, параграф 2 („Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]“.) и бележка под линия 60.
(
41
)	След документ № 6834/15, бележка от председателството до Съвета от 9 март 2015 г.
(
42
)	С което несъмнено не са отстранени съмненията на всички делегации. Вж. например документ № 7466/15, бележка от председателството до делегациите от 26 март 2015 г., бележка под линия 38.
(
43
)	Насоки 03/2020 относно обработването на данни за здравето за целите на научните изследвания в контекста на избухването на COVID‑19, април 2020 г., точка 15.
(
44
)	„Advice paper on special categories of data“, Ares(2011)444105 - 20/04/2011, p. 5.
(
45
)	То представлява и публично изразено от Комисията становище: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, проведено на 10 октомври 2016 г., с. 2 и Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, проведено на 20 февруари 2018 г., с. 2.
(
46
)	Становище в подкрепа на кумулирането или взаимното допълване изразява например Petri T. „Art. 9“ — In: Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019, marg. 26, който обаче признава, че не е безспорно. Противоположно становище е изразено в Наръчника по европейско право в областта на защитата на данните на Агенцията на Европейския съюз за основните права от 2018 г., точка 4.1.1.
(
47
)	Съответно изрично съгласие на субекта на данни; необходимо обработване, за да бъдат защитени жизненоважните интереси на лице, което е физически или юридически неспособно да даде своето съгласие и необходимо обработване по причини от обществен интерес.
(
48
)	Точки 30 и 31 от акта за преюдициално запитване.
(
49
)	Например дали съгласието на субекта на данни като законно основание в допълнение към разрешеното обработване по член 9, параграф 2, буква з) от ОРЗД следва да е изискваното от самия член изрично съгласие, или е достатъчно предвиденото в член 6, параграф 1, буква а).
(
50
)	Различен, с по-ограничен обхват, е въпросът дали с оглед на съображенията на запитващата юрисдикция във връзка с член 6, параграф 1 би било целесъобразно да се изясни значението на изброените в него условия, по-конкретно в букви в) и д). В този смисъл препращам към практиката на Съда: относно разпоредбите на Директива 95/46 решения от 16 декември 2008 г., Huber (C‑524/06, EU:C:2008:724, т. 62), и от 30 май 2013 г., Worten (C‑342/12, EU:C:2013:355, т. 37); относно ОРЗД решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, т. 66 и сл).
(
51
)	Запитващата юрисдикция е склонна да приеме, че е налице нарушение на членове 9 и 6 от ОРЗД, произтичащо от извършеното от MDK обработване. В точка 32 от акта за преюдициално запитване тя посочва, че нарушението само по себе си поражда право на обезщетение; в точка 33 настоява, че нарушението автоматично се изразява във вреда („нарушението на ОРЗД вече води до подлежащи на обезщетяване нематериални вреди“). По изложените в заключението ми по дело C‑300/21 съображения не споделям това мнение.
(
52
)	Точки 78—80. Според MDK самият субект на данни си е причинил вредата, като не е поискал документите, нито е упражнил пред MDK правото си на достъп съгласно член 15 от ОРЗД, а е прибегнал до услугите на колега от неговия отдел, предизвиквайки консултирането на разглежданите данни. В същия смисъл е решението на апелативния съд LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 — 12 Sa 186/19, точка 4.3.4.3.
(
53
)	Служителят от същия отдел, в който работи и субектът на данните, е осъществил достъп до данните извън случаите, за които има право, т.е. за цели, различни от изпълнението на работата, предвидена в трудовия му договор.
(
54
)	По-нататък ще използвам без разлика термина „gestor“ като синоним на „responsable [администратор]“.
(
55
)	Като се оставят настрана тези, които поддържат, че става въпрос за нерегулиран аспект, мненията се разминават между поддръжниците на режим на обективна отговорност и поддръжниците на виновна отговорност с обръщане на доказателствената тежест. Всъщност подобно на други режими за (гражданска) отговорност в определена област, смятам, че ОРЗД не се вписва напълно в никой от тези два основни теоретични модела, чиито граници не са и достатъчно добре очертани. С оглед на неговия текст той може да бъде отнесен и към двата с нюанси, които в крайна сметка смесват двата модела: в първия, с оглед на високия стандарт на дължима грижа, която би следвало да се докаже за освобождаването от отговорност; във втория, предвид включването на преценки за дължима грижа/небрежност в основанията за освобождаване от отговорност или при установяването на нарушението в зависимост от естеството на съответната норма.
(
56
)	В параграф 2, който може да се приеме като противоположен на параграф 1, тъй като разглежда отговорността по отношение на отговорните лица, също не се упоменава изискване за вина.
(
57
)	Обратно, в текста на испански език думата „imputable“ се съдържа в член 47, параграф 2, буква е) от ОРЗД, в който във връзка с изискваната информация за одобряване на задължителните фирмени правила се посочва освобождаване от отговорност в рамките на групи предприятия, установени в Съюза или извън него. В текста на немски език е използвана перифраза („dem betreffenden Mitglied nicht zur Last gelegt werden kann“).
(
58
)	Вж. член 82, параграф 3, член 68, параграф 4 или член 75, параграф 6.
(
59
)	Член 83, параграф 2, буква б) и параграф 3. Относно неговото тълкуване изразих становището си в заключението по дело C‑807/21, Deutsche Wohnen (EU:C:2023:360).
(
60
)	По-специално документ № 17831/13, бележка от председателството на Съвета до работна група „Защита на данните“ от 16 декември 2013 г., бележка под линия 542.
(
61
)	Изменение № 2819, предложено от С. Илчев, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), документ PE501.927v04‑00, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered“„unless the controller or processor proves that they are not responsible for the damage either by intent or negligence“. Курсивът е мой.
(
62
)	Вж. приложения текст към законодателната резолюция от 12 март 2014 г. относно предложението на Комисията (ОВ C 378, 2017 г., стр. 399).
(
63
)	Документ № 9083/15, бележка от председателството до членовете на Съвета по правосъдие и вътрешни работи на работна група „Защита на данните“ от 27 май 2015 г. Разликата между вариантите е свързана с член 77, параграфи 3—6. Параграф 1, с който се установява принципът на отговорността на администратора и обработващия лични данни, и параграф 2, който посочва материалноправния обхват на отговорността на двамата, ограничавайки отговорността на обработващия лични данни, съвпадат.
(
64
)	Пак там, точка 5.
(
65
)
(
66
)	Или, в случай на обработващ лични данни, при неизпълнение на указания на администратора, които са в съответствие с ОРЗД.
(
67
)	С възможност за последващо повторение при първия вариант: член 77, параграф 6.
(
68
)	Документ № 9083/15, бележка от председателството до членовете на Съвета по правосъдие и вътрешни работи на работна група „Защита на данните“ от 27 май 2015 г., точка 7. Виновната отговорност е формулирана ясно от делегацията на Обединеното кралство. С оглед на нейните аргументи е отправено запитване до останалите в това отношение (документ № 7722/15, бележка на председателството до работна група „Защита на данните“ от 13 април 2015 г., т. 10 и 11). Окончателно предложеният вариант, изглежда, следва посоченото от германската делегация компромисно решение (документ № 8150/1/15 Rev 1 от 6 май 2015 г.), в което се разграничава отношението между администратора/обработващия лични данни и субекта на данните от отношението между първите помежду им, като за последното се поддържа умисълът или вината като основание за ангажиране на отговорност: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation“. Спрямо субекта на данни отсъствието на небрежност освобождава от отговорност.
(
69
)	Пак там, точка 6 in fine: „In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages“.
(
70
)	Член 77, параграф 4a в този вариант: „If a data subject is not able to bring a claim for compensation against the controller […]“.
(
71
)	Документ № 9565/15, бележка от председателството до Съвета от 11 юни 2015 г.
(
72
)	Курсивът е мой. Паралелно с това допълнение са заличени примерите за основания за освобождаване от отговорност в съображение 118: вж. точка 104 и сл. по-долу.
(
73
)	Съображение 10 от ОРЗД.
(
74
)	Препращам към заключението ми по дело C‑300/21. Както посочих в него, законодателят иска да насърчи прилагането от страна на частноправните субекти на правилата в областта на защитата на личните данни. За тази цел глава VIII от ОРЗД предоставя инструменти на субекта на данни. Обезщетението на основание гражданска отговорност е едно от тях, но няма наказателни функции.
(
75
)	Това е един от аргументите за отмяната на Директива 95/46 в предложението на Комисията.
(
76
)	Съображение 77 и сл. от ОРЗД.
(
77
)	За който следва да се уточни, че отговорността има превантивна функция, доколкото засяга решението на участника в обработването на лични данни относно обема на дейностите, които трябва да извършва. Тълкуването, което предлагам, позволява свързването на член 82 от ОРЗД с принципите на обработването на лични данни като ограничение на целите, свеждане на данните до минимум и точността (член 5, параграф 1, букви б), в) и г) от ОРЗД).
(
78
)	С определянето на небрежността като критерий за ангажиране на отговорност.
(
79
)	Вж. бележка под линия 52 по-горе.
(
80
)	Позиция на запитващата юрисдикция (вж. бележка под линия 51 по-горе). Според нея участието на субекта на данни, поискал консултирането на неговите данни, не трябва да има значение за ангажирането на отговорността. Обратно, то може да се вземе предвид за определянето на размера на обезщетението.
(
81
)	Позиция на MDK и апелативния съд (вж. бележка под линия 52 по-горе). Всъщност в този сценарий би могло да се твърди, че липсва елементът „вреда“: volenti non fit iniuria.
(
82
)	Точка 40 от акта за преюдициално запитване.
(
83
)	За разлика от други области (напр. при отговорността за дефектни продукти) основанията за освобождаване от отговорност не са уредени в ОРЗД под формата на изрично изброяване.
(
84
)
(
85
)	Администраторът „може да бъде освободен от отговорност, ако докаже, че не е виновен за вредите, в частност в случаите, когато той установи грешка от страна на съответното физическо лице или в случай на непреодолима сила“. Курсивът е мой.
(
86
)	Съображение 118 от предложението на Комисията.
(
87
)	Съображение 118 от текста към законодателната резолюция на Парламента от 12 март 2014 г. относно предложението на Комисията.
(
88
)	Точка 84 и сл. по-горе. Примерите се срещат в документите, свързани с преговорите в рамките на Съвета, но не и в компромисния текст, документ № 9565/15 от 11 юни 2015 г.
(
89
)	Препращам главно към документ № 9083/15, бележка от председателството до членовете на Съвета по правосъдие и вътрешни работи на работна група „Защита на данните“ от 27 май 2015 г.
(
90
)	Предвид контекста (повтарям, отделянето на специално внимание на случая с множество участници в обработването) е логично да се приеме, че една от възможностите в това отношение за администратора е да докаже, че вредата е причинена единствено от действие на обработващия лични данни, а за последния — обратното.
(
91
)	Нито на непреодолимата сила, която е представлявала другото изрично посочено основание в съображение 55 от Директива 95/46 (вж. т. 105 по-горе).
(
92
)	Разбира се, не предрешавам случая на участие на трети лица. По този аспект виж заключение на генерален адвокат Pitruzzella, представено на 27 април 2023 г. по дело Национална агенция за приходите (C‑340/21, EU:C:2023:353).
(
93
)	С цел да се изяснят съществувалите при действието на Директива 95/46 съмнения, в ОРЗД се уточнява, че обхваща нематериалните вреди. В съображение 146 се посочват „всички вреди“ и се подчертава, че понятието „вреда“ следва да се тълкува в широк смисъл въз основа на практиката на Съда. Точният обхват на указанието остава спорен.
(
94
)	Не указва дали за определянето на стойността на вредата във всеки конкретен случай трябва да се използват стойности, или да се предпочетат общи суми, или да се използват други системи за изчисление.
(
95
)	Тези фактори биха могли да бъдат евентуално: а) предложеният от запитващата юрисдикция; б) наличието на вина на субекта на данни, посочено от MDK в точка 80 от писменото ѝ становище; в) други като въвеждането на количествени граници на обезщетението, за да не се произведе необосновано възпиращ ефект по отношение на операциите по обработване на данни или зависещите от него икономически дейности.
(
96
)	Точка 87 и сл. по-горе.
(
97
)	Директива 95/46 не предвижда нищо в това отношение. В подготвителните работи по приемането на ОРЗД не намирам индиции за дебат по този въпрос.
(
98
)	Регламент (ЕО) № 2100/94 на Съвета от 27 юли 1994 година относно правната закрила на Общността на сортовете растения (ОВ L 227, 1994 г., стр. 1; Специално издание на български език, 2007 г., глава 3, том 15, стр. 197), член 94, параграф 2, или Директива 2004/48/ЕО на Европейския парламент и на Съвета от 29 април 2004 година относно упражняването на права върху интелектуалната собственост (ОВ L 157, 2004 г., стр. 45; Специално издание на български език, 2007 г., глава 17, том 2, стр. 56), член 13, съображение 26.
(
99
)	Член 83, параграф 2, буква б) и съображение 148 от ОРЗД. В този контекст се взема предвид критерият за пропорционалност не само във връзка със събитието, но и с оглед на това дали глобата предполага непропорционална тежест за физическо лице. В точка 54 от писменото му становище ирландското правителство предлага този критерий да се прилага и по отношение на гражданската отговорност. За да се счита за елемент от член 82, отново липсва изведен от текста довод; това не се потвърждава и от подготвителните работи, нито от целта на нормата или нейната функция в регламента като цяло.
(
100
)	Действителното обезщетяване трябва да може да изпълнява функцията си, състояща се в опазването на правото на защита на данните.
(
101
)	И едните, и другите носят гражданска отговорност съгласно член 82, параграфи 2 и 3 от ОРЗД. Те носят пълна отговорност, независимо от степента, в която са допринесли за причиняването на вредата.
(
102
)	Не изключвам възможността да има и други обстоятелства, чието наличие обосновава намаляването на размера: имам предвид например претеглянето в конкретни случаи на правото на обезщетение (и чрез него на защита на данните) с други имущества или права от този ранг. В ОРЗД прилагателното пълно служи също така, за да се осигури компенсирането на определен вид вреди (нематериалните); да се предотврати свеждането на обезщетяването до косвените вреди (то трябва да обхваща други понятия, както посочва Съдът в други области), както и да се гарантира, че множеството участници в обработването не затруднява достъпа до обезщетяване, а точно обратното.