62021CJ0667
EUROOPA KOHTU OTSUS (kolmas koda)
21. detsember 2023 (
*1
)
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 6 lõige 1 – Töötlemise seaduslikkuse tingimused – Artikli 9 lõiked 1–3 – Isikuandmete eriliikide töötlemine – Terviseandmed – Töötaja töövõime hindamine – Ravikindlustusega seotud meditsiiniteenistus, kes töötleb oma töötajate terviseandmeid – Sellise töötlemise lubatavus ja tingimused – Artikli 82 lõige 1 – Õigus hüvitisele ja vastutus – Mittevaralise kahju hüvitamine – Hüvitamisfunktsioon – Vastutava töötleja süü mõju
Kohtuasjas C‑667/21,
mille ese on ELTL artikli 267 alusel Bundesarbeitsgerichti (Saksamaa Liitvabariigi kõrgeim töökohus) 26. augusti 2021. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 8. novembril 2021, menetluses
ZQ
versus
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts,
EUROOPA KOHUS (kolmas koda),
koosseisus: koja president K. Jürimäe, kohtunikud N. Piçarra, M. Safjan, N. Jääskinen (ettekandja) ja M. Gavalec,
kohtujurist: M. Campos Sánchez-Bordona,
kohtusekretär: A. Calot Escobar,
arvestades kirjalikku menetlust,
arvestades seisukohti, mille esitasid:
–
ZQ, esindaja: Rechtsanwalt E. Daun,
–
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts, esindaja: Rechtsanwalt M. Wehner,
–
Iirimaa, esindajad: Chief State Solicitor M. Browne, A. Joyce ja M. Lane, keda abistas D. Fennelly, BL,
–
Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato M. Russo,
–
Euroopa Komisjon, esindajad: A. Bouchagiar, M. Heller ja H. Kranenborg,
olles 25. mai 2023. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
otsuse
1
Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandused ELT 2016, L 314, lk 72; ELT 2018, L 6, lk 3) (edaspidi „isikuandmete kaitse üldmäärus“) artikli 9 lõiget 1, lõike 2 punkti h ja lõiget 3 koostoimes selle määruse artikli 6 lõikega 1, ning samuti selle määruse artikli 82 lõiget 1.
2
Taotlus on esitatud ZQ ja tema tööandja Medizinischer Dienst der Krankenversicherung Nordrheini (Nordrheini tervisekassa, Saksamaa; edaspidi „MDK Nordrhein“) vahelises kohtuvaidluses nõude üle hüvitada kahju, mida ZQ enda väitel kandis seetõttu, et MDK Nordrhein töötles tema terviseandmeid väidetavalt õigusvastaselt.
Õiguslik raamistik
Liidu õigus
3
Isikuandmete kaitse üldmääruse põhjendused 4–8, 10, 35, 51–53, 75 ja 146 on sõnastatud järgmiselt:
„(4)
Isikuandmete töötlemine peaks olema mõeldud teenima inimesi. Õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Käesolevas määruses austatakse kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja [Euroopa Liidu põhiõiguste] hartas tunnustatud põhimõtetest, eelkõige õigusest era- ja perekonnaelu […] austamisele, isikuandmete kaitsest, […].
(5)
Siseturu toimimisest tulenev majandus- ja sotsiaalne integratsioon on isikuandmete piiriüleseid andmevoogusid märkimisväärselt suurendanud. Avaliku ja erasektori osalejate, sealhulgas füüsiliste isikute, ühenduste ja ettevõtjate vaheline isikuandmete vahetus on suurenenud kogu [Euroopa Liidus]. Liikmesriikide ametiasutusi kutsutakse liidu õiguses üles tegema koostööd ja vahetama isikuandmeid, et neil oleks võimalik täita oma ülesandeid või teha seda teise liikmesriigi ametiasutuse nimel.
(6)
Kiire tehnoloogiline areng ja üleilmastumine on tekitanud isikuandmete kaitsel uusi väljakutseid. Isikuandmete kogumise ja jagamise ulatus on märkimisväärselt suurenenud. Tehnoloogia võimaldab nii era- kui ka avaliku sektori asutustel kasutada isikuandmeid oma tegevuses enneolematus ulatuses. Füüsilise[d] isikud avaldavad isikuandmeid üha avalikumalt ja ülemaailmsemalt. Tehnoloogia on põhjalikult muutnud nii majandust kui ka ühiskondlikku elu ja peaks täiendavalt hõlbustama liidusisest andmete vaba liikumist ning nende kolmandatesse riikidesse ja rahvusvahelistele organisatsioonidele edastamist, tagades samal ajal isikuandmete kõrgetasemelise kaitse.
(7)
Nende muudatuste tõttu on liidus vaja tugevat ja ühtsemat andmekaitseraamistikku ning selle täitmise tõhusat tagamist, kuna tähtis on luua usaldus, mis võimaldab digitaalsel majandusel areneda kogu siseturu ulatuses. Füüsilistel isikutel peaks olema kontroll oma isikuandmete üle ning tugevdada tuleks õigus- ja tegelikku kindlust füüsiliste isikute, ettevõtjate ja avaliku sektori asutuste seisukohast.
(8)
Kui käesolevas määruses on ette nähtud eeskirjade täpsustamine või piiramine liikmesriigi õigusega, võivad liikmesriigid sidususe seisukohast vajalikul määral ja liikmesriigi õiguse sätete arusaadavaks muutmiseks isikutele, kelle suhtes neid kohaldatakse, integreerida määruse elemente oma õigusesse.
[…]
(10)
Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. […] Samuti nähakse käesoleva määrusega liikmesriikidele ette manööverdamisruum oma eeskirjade, sealhulgas isikuandmete eriliikide töötlemise eeskirjade täpsustamiseks. […]
[…]
(35)
Tervisealaste isikuandmete hulka peaksid kuuluma kõik andmesubjekti tervislikku seisundit käsitlevad andmed, mis annavad teavet andmesubjekti endise, praeguse või tulevase füüsilise või vaimse tervise kohta. […]
[…]
(51)
Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada. […] Lisaks sellise töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas, kui andmesubjekt annab selleks oma selgesõnalise nõusoleku, või konkreetse vajaduse korral, […].
(52)
Isikuandmete eriliikide töötlemise keelust peaks olema lubatud kõrvale kalduda ka juhul, kui see on sätestatud liidu või liikmesriigi õiguses, ja eeldusel, et kehtestatakse asjakohased kaitsemeetmed, et kaitsta isikuandmeid ja muid põhiõigusi, kui see on avalikes huvides, eelkõige isikuandmete töötlemine tööõiguse, sotsiaalkaitseõiguse, sealhulgas pensionide valdkonnas ning terviseturbe, -seire ja hoiatamisega seotud eesmärkidel, nakkushaiguste ennetamine ja tõrje ning muud tõsised terviseohud. Sellise erandi võib teha tervisega seotud eesmärkidel, sealhulgas rahvatervise ja tervishoiuteenuste korraldamise valdkonnas, eelkõige selleks, et tagada tervisekindlustussüsteemis hüvitisi ja teenuseid puudutavate nõuete rahuldamiseks kasutatavate menetluste kvaliteet ja kulutasuvus, või avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil. […]
(53)
Tugevamat kaitset väärivate isikuandmete eriliike tuleks töödelda üksnes tervisega seotud eesmärkidel, kui need eesmärgid on vaja saavutada füüsiliste isikute ja kogu ühiskonna hüvanguks, eelkõige tervishoiu- või sotsiaalhoolekandeteenuste ja -süsteemide juhtimise kontekstis, sealhulgas selliste andmete töötlemisel juhtkonna ja kesksete riiklike terviseasutuste poolt sellistel eesmärkidel nagu kvaliteedikontroll, juhtimisteave ning tervishoiu- või sotsiaalhoolekandesüsteemi üldine riiklik ja kohalik järelevalve ning tervishoiu või sotsiaalhoolekande järjepidevuse […] tagamine […]. Seetõttu tuleks käesolevas määruses ette näha ühtsed tervisealaste isikuandmete eriliikide töötlemise tingimused konkreetsete vajaduste osas, eelkõige juhul, kui selliseid andmeid töötlevad teatavatel tervishoiuga seotud eesmärkidel isikud, kellel on juriidiline kohustus hoida ametisaladust. Liidu või liikmesriigi õiguses tuleks ette näha konkreetsed ja sobivad meetmed, et kaitsta füüsiliste isikute põhiõigusi ja isikuandmeid. Liikmesriikidel peaks olema lubatud säilitada või kehtestada täiendavad tingimused, sealhulgas piirangud seoses geneetiliste, biomeetriliste või terviseandmete töötlemisega. […]
[…]
(75)
Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tulemusel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui töötlemine võib põhjustada diskrimineerimist, identiteedivargust või ‑pettust, rahalist kahju, maine kahjustamist, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu, pseudonümiseerimise loata tühistamist või mõnda muud tõsist majanduslikku või sotsiaalset kahju; kui andmesubjektid võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle; kui töödeldakse isikuandmeid, mis paljastavad […] andmeid tervise […] kohta […]; kui hinnatakse isiklikke aspekte, eelkõige töötulemuste, majandusliku olukorra, tervise […] analüüsimisel või prognoosimisel, et luua või kasutada isiklikke profiile; […].
[…]
(146)
Vastutav töötleja või volitatud töötleja peaks hüvitama igasuguse kahju, mida füüsilisele isikule võib põhjustada töötlemine, mis ei ole käesoleva määrusega kooskõlas. Vastutav töötleja või volitatud töötleja tuleks sellest vastutusest vabastada, kui ta tõendab, et ta ei ole kahju eest mingil viisil vastutav. Kahju mõistet tuleks Euroopa Kohtu praktikat arvestades tõlgendada laialt ja sellisel viisil, mis kajastab täielikult käesoleva määruse eesmärke. See ei mõjuta muude liidu või liikmesriigi õiguses sätestatud normide rikkumisest tuleneva kahju eest esitatavaid nõudeid. Töötlemine, mis ei ole käesoleva määrusega kooskõlas, hõlmab […] samuti töötlemist, mis ei ole kooskõlas delegeeritud õigusaktide ja rakendusaktidega, mis on võetud vastu kooskõlas käesoleva määrusega ja liikmesriigi õigusega, milles täpsustatakse käesoleva määruse eeskirju. Andmesubjektid peaksid saama täieliku ja tõhusa hüvitise kahju eest, mida nad on kandnud. […]“.
4
Määruse I peatüki „Üldsätted“ artikli 2 „Sisuline kohaldamisala“ lõikes 1 on ette nähtud:
„Käesolevat määrust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.“
5
Määruse artiklis 4 „Mõisted“ on sätestatud:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
1)
„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; […]
2)
„isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum […]
[…]
7)
„vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; […]
[…]
15)
„terviseandmed“ – füüsilise isiku füüsilise ja vaimse tervisega seotud isikuandmed, sealhulgas temale tervishoiuteenuste osutamist käsitlevad andmed, mis annavad teavet tema tervisliku seisundi kohta;
[…]“.
6
Isikuandmete kaitse üldmääruse II peatükki „Põhimõtted“ kuuluvad selle määruse artiklid 5–11.
7
Määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud:
„1.   Isikuandmete töötlemisel tagatakse, et
a)
töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);
[…]
f)
isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“);
2.   Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).
8
Määruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõikes 1 on sätestatud:
„Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:
a)
andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;
b)
isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;
c)
isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;
d)
isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks;
e)
isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;
f)
isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.
Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.“
9
Sama määruse artikkel 9 „Isikuandmete eriliikide töötlemine“ on sõnastatud järgmiselt:
„1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.
2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:
[…]
b)
töötlemine on vajalik seoses vastutava töötleja või andmesubjekti tööõigusest ning sotsiaalkindlustuse ja sotsiaalkaitse valdkonna õigusest tulenevate kohustuste ja eriõigustega niivõrd, kuivõrd see on lubatud liidu või liikmesriigi õigusega või liikmesriigi õiguse kohase kollektiivlepinguga, millega kehtestatakse asjakohased kaitsemeetmed andmesubjekti põhiõiguste ja huvide kaitseks;
[…]
h)
töötlemine on vajalik ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks, meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi võimaldamiseks või tervishoiu- või sotsiaalhoolekandesüsteemi ja -teenuste korraldamiseks, tuginedes liidu või liikmesriigi õigusele või tervishoiutöötajaga sõlmitud lepingule ja eeldusel, et lõikes 3 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud;
[…]
3.   Lõikes 1 osutatud isikuandmeid võib töödelda lõike 2 punktis h osutatud eesmärkidel, kui neid andmeid töötleb töötaja, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel ametisaladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel või kui neid andmeid töötleb mõni teine isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel samuti saladuse hoidmise kohustus.
4.   Liikmesriigid võivad säilitada või kehtestada täiendavad tingimused, sealhulgas piirangud seoses geneetiliste, biomeetriliste või terviseandmete töötlemisega.“
10
Isikuandmete kaitse üldmääruse IV peatükk „Vastutav töötleja ja volitatud töötleja“ sisaldab artikleid 24–43.
11
Selle peatüki 1. jaos „Üldkohustused“ asuva artikli 24 „Vastutava töötleja vastutus“ lõikes 1 on ette nähtud:
„Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.“
12
Nimetatud peatüki 2. jaos „Isikuandmete turvalisus“ asuva artikli 32 „Töötlemise turvalisus“ lõikes 1 on sätestatud:
„Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist:
a)
isikuandmete pseudonümiseerimine ja krüpteerimine;
b)
võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus;
[…]“.
13
Isikuandmete kaitse üldmääruse VIII peatükk „Õiguskaitsevahendid, vastutus ja karistused“ sisaldab selle määruse artikleid 77–84.
14
Määruse artiklis 82 „Õigus hüvitisele ja vastutus“ on sätestatud:
„1.   Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.
2.   Kõnealuse töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. […]
3.   Vastutav töötleja või volitatud töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.
[…]“.
15
Isikuandmete kaitse üldmääruse artiklis 83 „Trahvide määramise üldtingimused“ on ette nähtud:
„1.   Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.
2.   […] Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:
a)
rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust;
b)
kas rikkumine pandi toime tahtlikult või hooletusest;
[…]
d)
vastutava töötleja või volitatud töötleja vastutuse aste, võttes arvesse nende poolt artiklite 25 ja 32 kohaselt võetud tehnilisi ja korralduslikke meetmeid;
[…]
k)
juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju.
3.   Kui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega.
[…]“.
16
Määruse artikli 84 „Karistused“ lõikes 1 on sätestatud:
„Liikmesriigid kehtestavad käesoleva määruse rikkumiste korral kohaldatavad karistusnormid, eelkõige seoses selliste rikkumistega, mille korral ei määrata artikli 83 kohaseid trahve, ning võtavad kõik vajalikud meetmed, et tagada kõnealuste normide rakendamine. Sellised karistused on tõhusad, proportsionaalsed ja heidutavad.“
Saksa õigus
17
Sotsiaalkindlustusseadustiku viienda osa (Sozialgesetzbuch, Fünftes Buch) (põhikohtuasjas kohaldatavas redaktsioonis) § 275 lõike 1 kohaselt peavad riiklikud tervisekassad tellima neid abistavalt Medizinischer Dienstilt (meditsiiniteenistus) ekspertiisi, et seaduses sätestatud juhtudel või juhul, kui on vaja kindlustatud isiku haiguse tõttu, kõrvaldada kahtlused kindlustatu töövõimetuse suhtes.
18
Selle seadustiku § 278 lõige 1 näeb ette, et selline meditsiiniteenistus luuakse igal liidumaal avalik-õigusliku asutusena.
Põhikohtuasi ja eelotsuse küsimused
19
Avalik-õiguslik asutuse MDK Nordrheini kui tervisekassade meditsiiniteenistuse üks seadusest tulenevatest ülesannetest on viia läbi selliseid arstlikke ekspertiise, mille eesmärk on kõrvaldada kahtlused kohustuslikku ravikindlust pakkuvates ja tema tööpiirkonda kuuluvates tervisekassades kindlustatute töövõimetuse suhtes ja seda ka juhul, kui ekspertiis puudutab tema enda töötajaid.
20
Sellisel juhul on ainult spetsiaalse nn erijuhtumite üksuseks nimetatava üksuse liikmetel lubatud töödelda niisuguse töötaja sotsiaalkindlustusandmeid, kasutades selle asutuse arvutisüsteemi lukustatud ala, ja pääseda pärast ekspertiisitoimiku sulgemist ligi digiarhiivile. Niisuguste juhtumite kohta koostatud asutusesiseses memorandumis on muu hulgas ette nähtud, et nende andmetega on õigus tutvuda piiratud arvul volitatud ametnikel, sealhulgas mõnel IT-osakonna teenistujal.
21
Põhikohtuasja hageja töötas enne tervislikel põhjustel töövõimetuks jäämist MDK Nordrheini IT‑osakonnas. Kuue kuu jooksul jätkas see asutus tööandjana talle töötasu maksmist, pärast seda hakkas ta saama haigushüvitist kohustuslikku ravikindlustust pakkuvalt tervisekassalt, kus ta oli kindlustatud.
22
Kõnealune tervisekassa palus seejuures MDK Nordrheinil viia läbi ekspertiis põhikohtuasja hageja töövõimetuse kohta. MDK Nordrheini erijuhtumite üksuses tegutsev arst hankis ekspertiisi läbiviimisel muu hulgas teavet põhikohtuasja hageja raviarstilt. Hageja võttis pärast seda, kui hageja raviarst oli teda sellest teavitanud, ühendust oma kolleegiga IT-osakonnast, et viimane teeks ja seejärel edastaks talle fotod eksperdiarvamusest, mis oli MDK Nordrheini digiarhiivis.
23
Leides, et tööandja on tema terviseandmeid ebaseaduslikult töödelnud, nõudis põhikohtuasja hageja, et tööandja maksaks talle hüvitisena 20000 eurot, millest MDK Nordrhein keeldus.
24
Seejärel pöördus põhikohtuasja hageja Arbeitsgericht Düsseldorfi (Düsseldorfi töökohus, Saksamaa) poole, paludes isikuandmete kaitse üldmääruse artikli 82 lõike 1 ja Saksa õigusnormide alusel mõista MDK Nordrheinilt välja hüvitis kahju eest, mida ta väidab end olevat kandnud sel viisil toimunud isikuandmete töötlemise tõttu. Hageja väitis peamiselt, et ühest küljest oleks kõnealuse ekspertiisi pidanud läbi viima mõni teine meditsiiniteenistus vältimaks võimalust, et hageja kolleegid tutvuvad tema terviseandmetega, ning et teisest küljest olid eksperdiarvamuse arhiveerimisega seotud turvameetmed ebapiisavad. Veel väitis hageja, et see töötlemine kujutab endast niisuguseid andmeid kaitsvate õigusnormide rikkumist ja sellega tekitati talle nii mittevaralist kui ka varalist kahju.
25
MDK Nordrhein väitis enda kaitseks peamiselt, et põhikohtuasja hageja terviseandmeid koguti ja säilitati kooskõlas selliste andmete kaitset käsitlevate sätetega.
26
Kuna põhikohtuasja hageja hagi jäeti esimeses kohtuastmes rahuldamata, esitas ta apellatsioonkaebuse Landesarbeitsgericht Düsseldorfile (liidumaa kõrgeim töökohus Düsseldorfis, Saksamaa), kes samuti jättis tema kaebuse rahuldamata. Seejärel esitas ta kassatsioonkaebuse Bundesarbeitsgerichtile (Saksamaa Liitvabariigi kõrgeim töökohus), kes on käesolevas kohtuasjas eelotsusetaotluse esitanud kohus.
27
Viimati nimetatud kohus lähtub eeldusest, et põhikohtuasja vaidluse puhul kujutab MDK Nordrheini kui meditsiiniteenistuse läbi viidud ekspertiis endast „isikuandmete“ ja täpsemalt „terviseandmete töötlemist“ isikuandmete kaitse üldmääruse artikli 4 punktide 1, 2 ja 15 tähenduses, mistõttu kuulub see toiming sama määruse esemelisse kohaldamisalasse, nagu see on määratletud kõnealuse määruse artikli 2 lõikes 1. Lisaks leiab ta, et MDK Nordrhein on „vastutav töötleja“ nimetatud määruse artikli 4 punkti 7 tähenduses.
28
Tema küsimused puudutavad esiteks seda, kuidas tõlgendada mitut sätet isikuandmete kaitse üldmääruse artiklis 9, mis käsitleb isikuandmete eriliikide töötlemist, kui võtta eelkõige arvesse asjaolu, et põhikohtuasjas kõne all oleva töötlemise viis läbi asutus, kes on ühtlasi selle määruse artikli 4 punktis 1 määratletud andmesubjekti tööandja.
29
Kõigepealt kahtleb eelotsusetaotluse esitanud kohus selles, kas põhikohtuasjas kõne all olev terviseandmete töötlemine võib kuuluda mõne isikuandmete kaitse üldmääruse artikli 9 lõikes 2 ette nähtud erandi alla. Eelotsusetaotluse esitanud kohtu sõnul on käesoleval juhul asjakohased üksnes viidatud lõike 2 punktides b ja h sätestatud erandid. Ta välistab siiski kohe punktis b ette nähtud erandi kohaldatavuse käesolevas asjas põhjusel, et põhikohtuasjas kõne all olev töötlemine ei olnud vajalik vastutava töötleja kui andmesubjekti tööandja õiguste ja kohustuste täitmiseks. Selle töötlemise algatas nimelt teine asutus, kes palus MDK Nordrheinil viia läbi kontroll meditsiiniteenistusena. Seevastu, kuigi eelotsusetaotluse esitanud kohus kaldub ka punktis h ette nähtud erandi kohaldamata jätmise poole, kuna talle tundub, et see peaks hõlmama üksnes „neutraalse kolmanda isiku“ poolset töötlemist ning asutus ei saa sellise töötlemise keelu kohaldamata jätmiseks tugineda oma „kahetisele funktsioonile“ tööandja ja meditsiiniteenistusena, ei ole eelotsusetaotluse esitanud kohus selles osas kategooriline.
30
Järgmiseks, juhul kui terviseandmete töötlemine on sellistel asjaoludel lubatud isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h alusel, on eelotsusetaotluse esitanud kohtul tekkinud kahtlus seoses terviseandmete kaitset käsitlevate õigusnormidega, mida tuleb sellega seoses järgida. Tema arvates tähendab see määrus, et ei piisa sellest, et vastutav töötleja vastab määruse artikli 9 lõikes 3 sätestatud nõuetele. Vastutav töötleja peaks lisaks tagama, et ühelgi andmesubjekti kolleegil ei oleks mingit võimalust tutvuda andmetega andmesubjekti tervisliku seisundi kohta.
31
Lõpuks soovib eelotsusetaotluse esitanud kohus veel samasuguse olukorra puhul teada, kas selleks, et niisugune töötlemine oleks seaduslik, peab lisaks olema täidetud vähemalt üks isikuandmete kaitse üldmääruse artikli 6 lõikes 1 sätestatud tingimustest. Tema hinnangul peaks see nii olema ja põhikohtuasjas võivad a priori olla asjakohased üksnes artikli 6 lõike 1 esimese lõigu punktid c ja e. Neid kahte punkti c ja e ei tohiks siiski kohaldada, sest kõnealune töötlemine ei ole nende sätete tähenduses „vajalik“, kuna seda saaks sama hästi osutada mõni muu meditsiiniteenistus peale MDK Nordrheini.
32
Teiseks, juhul kui käesoleval juhul on tegemist isikuandmete kaitse üldmääruse rikkumisega, on eelotsusetaotluse esitanud kohtul tekkinud küsimus, kas põhikohtuasja hagejal on õigus hüvitisele selle määruse artikli 82 alusel.
33
Ühelt poolt soovib ta teada, kas isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ette nähtud norm on lisaks heastamisfunktsioonile ka heidutav või karistuslik, ning kui see on nii, siis kas seda omadust tuleb arvesse võtta mittevaralise kahju eest makstava hüvitise summa kindlaksmääramisel, pidades eelkõige silmas tõhususe, proportsionaalsuse ja võrdväärsuse põhimõtteid, mis on tagatud teistes liidu õiguse valdkondades.
34
Teiselt poolt kaldub see kohus arvama, et vastutav töötleja võib olla vastutav nimetatud artikli 82 lõike 1 alusel, ilma et oleks vaja tõendada, et ta on käitunud süüliselt. Kuna tal on siiski eelkõige Saksa õigusnormidest lähtudes kahtlusi, soovib ta ka teada, kas tuleks kontrollida, kas vastutav töötleja on kõnealuse isikuandmete kaitse üldmääruse rikkumise eest vastutav tahtliku või hooletusest toime pandud teo tõttu ning kas tema võimaliku süü suurus peaks mõjutama mittevaralise kahju hüvitamiseks väljamõistetavat kahjuhüvitist.
35
Neil asjaoludel otsustas Bundesarbeitsgericht (liitvabariigi kõrgeim töökohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.
Kas [isikuandmete kaitse üldmääruse] artikli 9 lõike 2 punkti h tuleb tõlgendada nii, et tervisekassa meditsiiniteenistusel on keelatud töödelda oma töötaja terviseandmeid, mis on selle töötaja töövõime hindamise eeldus?
2.
Juhul kui Euroopa Kohus peaks vastama esimesele küsimusele eitavalt, mistõttu tuleks kõne alla isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis h sätestatud erand isikuandmete kaitse üldmääruse artikli 9 lõikes 1 ette nähtud terviseandmete töötlemise keelust: kas sellises olukorras nagu käesolev tuleb peale isikuandmete kaitse üldmääruse artikli 9 lõikes 3 sätestatud nõuete järgida ka muid andmekaitsenõudeid ning kui jah, siis milliseid?
3.
Juhul kui Euroopa Kohus peaks vastama esimesele küsimusele eitavalt – mistõttu tuleks kõne alla isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis h sätestatud erand isikuandmete kaitse üldmääruse artikli 9 lõikes 1 ette nähtud terviseandmete töötlemise keelust –, siis kas sellises olukorras nagu käesolev on terviseandmete töötlemine lubatav või seaduslik ainult juhul, kui täidetud on vähemalt üks isikuandmete kaitse üldmääruse artikli 6 lõikes 1 nimetatud tingimustest?
4.
Kas isikuandmete kaitse üldmääruse artikli 82 lõige 1 on oma olemuselt eri- või üldpreventiivne ja kas seda tuleb arvesse võtta vastutavalt töötlejalt või volitatud töötlejalt selle sätte alusel mittevaralise kahju eest nõutava hüvitise suuruse arvutamisel?
5.
Kas mittevaralise kahju tekitamise eest isikuandmete kaitse üldmääruse artikli 82 lõike 1 alusel nõutava hüvitise suuruse arvutamisel on oluline vastutava töötleja või volitatud töötleja süü suurus? Eelkõige, kas nimetatud isiku kasuks võib arvesse võtta vastutava töötleja või volitatud töötleja süü puudumist või süü väiksust?“
Eelotsuse küsimuste analüüs
Esimene küsimus
36
Esimese küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud terviseandmete töötlemise keeldu arvestades tuleb selle artikli lõike 2 punkti h tõlgendada nii, et selles ette nähtud erand on kohaldatav olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana.
37
Väljakujunenud kohtupraktikast nähtub, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult normi sõnastust, vaid ka selle konteksti ning selle õigusaktiga taotletavaid eesmärke, mille osa õigusnorm on. Ka liidu õigusnormi tekkelugu võib anda asjakohast teavet selle normi tõlgendamiseks (16. märtsi 2023. aasta kohtuotsus Towercast, C‑449/21, EU:C:2023:207, punkt 31 ja seal viidatud kohtupraktika).
38
Esimesena tuleb meenutada, et isikuandmete kaitse üldmääruse artikkel 9 puudutab – nagu selle pealkirigi näitab – „[i]sikuandmete eriliikide töötlemist“, mida selle määruse põhjendustes 10 ja 51 nimetatakse ka „tundlikeks“ andmeteks.
39
Isikuandmete kaitse üldmääruse põhjenduses 51 on märgitud, et isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib neid õigusi ja vabadusi olulisel määral ohustada.
40
Seega on isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud selles loetletud isikuandmete eriliikide töötlemise keelu põhimõte. Nende hulgas on käesolevas kohtuasjas kõne all olevad „terviseandmed“, nii nagu need on määratletud selle määruse artikli 4 punktis 15, tõlgendatuna määruse põhjenduse 35 alusel.
41
Euroopa Kohus on täpsustanud, et määruse artikli 9 lõike 1 eesmärk on tagada suurem kaitse niisuguse töötlemise eest, mis võib nende andmete erilise tundlikkuse tõttu eriti tõsiselt riivata põhiõiguste harta artiklitega 7 ja 8 tagatud põhiõigusi eraelu puutumatuse austamisele ja isikuandmete kaitsele (vt selle kohta 5. juuni 2023. aasta kohtuotsus komisjon vs. Poola (kohtunike sõltumatus ja eraelu), C‑204/21, EU:C:2023:442, punkt 345 ja seal viidatud kohtupraktika).
42
Isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktides a–j on siiski ette nähtud ammendav erandite loetelu nende tundlike andmete töötlemise keelu põhimõttest.
43
Muu hulgas lubab isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h sellist töötlemist, kui see on vajalik „töötaja töövõime hindamiseks […], tuginedes liidu või liikmesriigi õigusele või tervishoiutöötajaga sõlmitud lepingule“. Selles sättes on täpsustatud, et selle sätte alusel toimuv mis tahes töötlemine eeldab, et artikli 9 „lõikes 3 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud“.
44
Isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktist h koostoimes selle artikli lõikega 3 tuleneb, et võimalus töödelda selliseid tundlikke andmeid nagu terviseandmed on rangelt piiritletud rea kumulatiivsete tingimustega. Need puudutavad esiteks kõnealuses punktis h loetletud eesmärke – mille hulka kuulub töötaja töövõime hindamine –, teiseks selle töötlemise õiguslikku alust – sama punkti h kohaselt võib selleks olla liidu õigus, liikmesriigi õigus või tervishoiutöötajaga sõlmitud leping – ning kolmandaks konfidentsiaalsuskohustust, mis on artikli 9 lõike 3 kohaselt isikutel, kellel on niisuguse töötlemise õigus, kusjuures kõigil neil isikutel peab olema viimati nimetatud sätte kohaselt ametisaladuse hoidmise kohustus.
45
Nagu sisuliselt märkis kohtujurist oma ettepaneku punktides 32 ja 33, ei anna ei isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h sõnastus ega selle sätte tekkelugu teavet, mis võimaldaks asuda seisukohale, et selles sättes ette nähtud erand on – nii nagu eelotsusetaotluse esitanud kohus oletas – kohaldatav üksnes juhtudel, kui andmeid töötleb selle määruse artikli 4 punktis 1 määratletud andmesubjekti suhtes „neutraalne kolmas isik, mitte tema tööandja“.
46
Arvestades eelotsusetaotluse esitanud kohtu arvamust, et sisuliselt ei tohiks asutus isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud terviseandmete töötlemise keelu põhimõtte vältimiseks tugineda oma „kahetisele funktsioonile“ andmesubjekti tööandja ja meditsiiniteenistusena, tuleb täpsustada, et määrav on see, millisel alusel nende andmete töötlemine toimub.
47
Kuigi artikli 9 lõige 1 keelab põhimõtteliselt terviseandmete töötlemise, on selle artikli lõike 2 punktides a–j nimelt ette nähtud kümme erandit, mis on üksteisest sõltumatud ja mida tuleb seega hinnata eraldiseisvalt. Sellest järeldub, et asjaolu, et mõne lõikes 2 ette nähtud erandi kohaldamise tingimused ei ole täidetud, ei takista vastutaval töötlejal tugineda mõnele teisele selles sättes nimetatud erandile.
48
Eeltoodust tuleneb, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h koostoimes selle artikli lõikega 3 ei välista mingil moel punktis h sätestatud erandi kohaldatavust olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana.
49
Teisena kinnitab sellist tõlgendust süsteem, millesse isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h kuulub, ning selle määruse ja selle sätte eesmärgid.
50
Esiteks, peab tõesti paika, et kuna isikuandmete kaitse üldmääruse artikli 9 lõige 2 näeb ette erandi isikuandmete eriliikide töötlemise keelu põhimõttest, tuleb seda sätet tõlgendada kitsalt (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 76).
51
Sellele vaatamata ei tohi isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud keelu põhimõtte järgimine viia selle määruse mõne teise sätte kohaldamisala piiramiseni viisil, mis oleks vastuolus selle sätte selge sõnastusega. Välja pakutud tõlgendus, mille kohaselt artikli 9 lõike 2 punktis h ette nähtud erandi kohaldamisala peaks piirduma juhtudega, kus töötaja töövõime hindamiseks töötleb tema terviseandmeid „neutraalne kolmas isik“, lisab aga nõude, mis mingil moel ei tulene selle sätte selgest sõnastusest.
52
Selles osas ei ole oluline, et juhul, kui MDK Nordrheinil keelataks täita meditsiiniteenistusena tegutsemise ülesannet, kui tegemist on tema enda töötajaga, saaks mõni teine tervisekontrolli asutus selle ülesande enda kanda võtta. Tuleb rõhutada, et alternatiiv, millele eelotsusetaotluse esitanud kohus viitab, ei pruugi olla olemas või teostatav kõikides liikmesriikides ja kõikides olukordades, mis võivad kuuluda isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h kohaldamisalasse. Selle sätte tõlgendamisel ei saa aga juhinduda ainult ühe liikmesriigi tervishoiusüsteemist või põhikohtuasja konkreetsetest asjaoludest tulenevatest kaalutlustest.
53
Teiseks on käesoleva kohtuotsuse punktis 48 esitatud tõlgendus kooskõlas isikuandmete kaitse üldmääruse ja selle määruse artikli 9 eesmärkidega.
54
Nii on isikuandmete kaitse üldmääruse põhjenduses 4 märgitud, et õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda õigust tuleb käsitleda lähtuvalt selle ülesandest ühiskonnas ja leida tasakaal selle õiguse ja muude põhiõiguste vahel vastavalt proportsionaalsuse põhimõttele (vt selle kohta 22. juuni 2023. aasta kohtuotsus Pankki S, C‑579/21, EU:C:2023:501, punkt 78). Lisaks on Euroopa Kohus juba rõhutanud, et mehhanismid, mis võimaldavad leida õiglase tasakaalu erinevate asjasse puutuvate õiguste ja huvide vahel, leiduvad isikuandmete kaitse üldmääruses endas (vt selle kohta 17. juuni 2021. aasta kohtuotsus M.I.C.M., C‑597/19, EU:C:2021:492, punkt 112).
55
Need kaalutlused kehtivad ka juhul, kui asjaomased andmed kuuluvad selle määruse artiklis 9 nimetatud eriliikidesse (vt selle kohta 24. septembri 2019. aasta kohtuotsus GC jt (delikaatsetele andmetele viitavate linkide eemaldamine), C‑136/17, EU:C:2019:773, punktid 57 ja 66–68), näiteks kui tegu on terviseandmetega.
56
Täpsemalt nähtub isikuandmete kaitse üldmääruse põhjendusest 52, et „[i]sikuandmete eriliikide töötlemise keelust peaks olema lubatud kõrvale kalduda“ juhul, „kui see on avalikes huvides, eelkõige […] tööõiguse [ja] sotsiaalkaitseõiguse […] valdkonnas“ ning „tervisega seotud eesmärkidel […] eelkõige selleks, et tagada tervisekindlustussüsteemis hüvitisi ja teenuseid puudutavate nõuete rahuldamiseks kasutatavate menetluste kvaliteet ja kulutasuvus“. Selle määruse põhjenduses 53 on veel märgitud, et töötlemine „tervisega seotud eesmärkidel“ peaks olema võimalik, „kui need eesmärgid on vaja saavutada füüsiliste isikute ja kogu ühiskonna hüvanguks, eelkõige tervishoiu- või sotsiaalhoolekandeteenuste ja -süsteemide juhtimise kontekstis“.
57
Just selles tervikvaates ja võttes arvesse erinevaid õigustatud huve nägi liidu seadusandja isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis h ette võimaluse kalduda kõrvale selle artikli lõikes 1 sätestatud terviseandmete töötlemise keelu põhimõttest tingimusel, et niisugune töötlemine vastab tingimustele ja tagatistele, mis on sõnaselgelt ette nähtud samas punktis h ja teistes selle määruse asjakohastes sätetes, eelkõige artikli 9 lõikes 3, milles ei ole sätestatud nõuet, et meditsiiniteenistus, kes töötleb nimetatud punkti h alusel selliseid andmeid, peab olema andmesubjekti tööandjast eraldiseisev üksus.
58
Eeltoodud kaalutlusi arvestades ja ilma et see mõjutaks teisele ja kolmandale küsimusele antavaid vastuseid, tuleb esimesele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h tuleb tõlgendada nii, et selles ette nähtud erand on kohaldatav olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana, tingimusel, et niisugune töötlemine vastab tingimustele ja tagatistele, mis on sõnaselgelt ette nähtud samas punktis h ja artikli 9 lõikes 3.
Teine küsimus
59
Eelotsusetaotluse esitanud kohtu sõnul nähtub isikuandmete kaitse üldmääruse põhjendustest 35, 51, 53 ja 75, et isikuandmete kaitse üldmääruse artikli 9 lõike 3 nõuete täitmisest ei piisa sellises olukorras, nagu on kõne all põhikohtuasjas, kus vastutav töötleja on ühtlasi selle isiku tööandja, kelle töövõimet hinnatakse. Määrus nõuab tema hinnangul lisaks, et terviseandmete töötlemisest tuleb kõrvale jätta kõik vastutava töötleja töötajad, kes selle isikuga ametialaselt ükskõik mis moel kokku puutuvad. Selle kohtu sõnul peaks iga vastutav töötleja, kellel on mitu struktuuriüksust, nagu MDK Nordrhein, tagama, et üksus, mis vastutab vastutava töötleja töötajate terviseandmete töötlemise eest, kuulub alati muusse struktuuriüksusesse kui see, kus asjaomane töötaja töötab. Lisaks ei takista selliste andmete töötlemiseks volitatud töötajatel lasuv ametisaladuse hoidmise kohustus praktikas andmesubjekti kolleegi võimalust tutvuda teda puudutavate andmetega, millega omakorda kaasneb kahju tekkimise oht, näiteks andmesubjekti maine kahjustamine.
60
Neil asjaoludel soovib eelotsusetaotluse esitanud kohus oma teise küsimusega sisuliselt teada, kas isikuandmete kaitse üldmääruse sätteid tuleb tõlgendada nii, et selle määruse artikli 9 lõike 2 punkti h alusel terviseandmete töötlemise eest vastutav töötleja on kohustatud tagama, et ühelgi andmesubjekti kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta.
61
Tuleb meenutada, et isikuandmete kaitse üldmääruse artikli 9 lõike 3 kohaselt võib selle artikli 9 lõikes 1 nimetatud andmeid töödelda lõike 2 punktis h loetletud eesmärkidel, käesoleval juhul töötaja terviseandmeid tema töövõime hindamiseks, üksnes juhul, kui neid andmeid töötleb tervishoiutöötaja, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel ametisaladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel, või kui neid andmeid töötleb mõni teine isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel samuti saladuse hoidmise kohustus.
62
Kui liidu seadusandja võttis vastu selle määruse artikli 9 lõike 3, mis viitab just sama artikli lõike 2 punktile h, määratles ta eriomased kaitsemeetmed, mida ta soovis sellise töötlemise eest vastutavatele isikutele kehtestada ja mis seisnevad selles, et see töötlemine on lubatud ainult isikutele, kellel on saladuse hoidmise kohustus vastavalt nimetatud lõikes 3 täpsustatud tingimustele. Seega ei ole viimati nimetatud sätte sõnastusele vaja lisada nõudeid, mida seal ei ole mainitud.
63
Sellest järeldub – nagu sisuliselt märkis ka kohtujurist oma ettepaneku punktis 43 –, et isikuandmete kaitse üldmääruse artikli 9 lõige 3 ei saa olla õiguslik alus meetmele, millega tagatakse, et andmesubjekti ühelgi kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta.
64
Siiski tuleb hinnata, kas nõuet tagada, et mitte ühelgi andmesubjekti kolleegil ei oleks võimalik tutvuda andetega andmesubjekti tervisliku seisundi kohta, saab isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h alusel kohaldada terviseandmete töötlemise eest vastutava töötleja suhtes selle määruse mõne muu sätte alusel.
65
Sellega seoses tuleb täpsustada, et liikmesriikide ainus võimalus lisada selline nõue kõnealuse määruse artikli 9 lõigetes 2 ja 3 sätestatud nõuetele seisneb liikmesriikidele selle artikli lõikes 4 sõnaselgelt antud võimaluses „säilitada või kehtestada täiendavad tingimused, sealhulgas piirangud seoses […] terviseandmete töötlemisega“.
66
Need võimalikud täiendavad tingimused ei tulene siiski isikuandmete kaitse üldmääruse sätetest endist, vaid sellisel juhul tulenevad need sedalaadi töötlemist reguleerivatest riigisisestest õigusnormidest, mille puhul see määrus jätab liikmesriikidele sõnaselgelt kaalutlusruumi (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 51 ja 78).
67
Lisaks tuleb rõhutada, et liikmesriik, kes kavatseb kasutada nimetatud määruse artikli 9 lõikes 4 antud võimalust, peab vastavalt proportsionaalsuse põhimõttele tagama, et praktilised tagajärjed, eelkõige korralduslikud, majanduslikud ja meditsiinilised, mis tulenevad täiendavatest nõuetest, mille järgimist liikmesriik soovib nõuda, ei oleks ülemäärased vastutavatele töötlejatele, kes ei pruugi olla nende nõuete täitmiseks piisavalt suured või omada selleks piisavalt tehnilisi või inimressursse. Need ei tohiks nimelt kahjustada sama määruse artikli 9 lõike 2 punktis h sõnaselgelt ette nähtud ja selle artikli lõikes 3 piiritletud töötlemise loa soovitavat toimet.
68
Lõpuks tuleb rõhutada, et vastavalt isikuandmete kaitse üldmääruse artikli 32 lõike 1 punktidele a ja b, mis täpsustavad selle määruse artikli 5 lõike 1 punktis f sätestatud usaldusväärsuse ja konfidentsiaalsuse põhimõtet, on iga vastutav töötleja kohustatud rakendama ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, eelkõige selliste andmete pseudonümiseerimist ja krüpteerimist, ning meetmeid, mis võimaldavad tagada isikuandmeid töötlevate süsteemide ja teenuste kestva konfidentsiaalsuse ja tervikluse. Selle kohustuse täitmise praktilise korra kindlaksmääramisel peab vastutav töötleja vastavalt artikli 32 lõikele 1 võtma arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele.
69
Eelotsusetaotluse esitanud kohtu ülesanne on siiski hinnata, kas kõik tehnilised ja korralduslikud meetmed, mida MDK Nordrhein käesoleval juhul rakendas, on kooskõlas isikuandmete kaitse üldmääruse artikli 32 lõike 1 punktide a ja b nõuetega.
70
Teisele küsimusele tuleb seega vastata, et isikuandmete kaitse üldmääruse artikli 9 lõiget 3 tuleb tõlgendada nii, et selle määruse artikli 9 lõike 2 punkti h alusel terviseandmete töötlemise eest vastutav töötleja ei ole kohustatud tagama, et ühelgi andmesubjekti kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta. Samas võib selline kohustus niisuguse töötlemise eest vastutaval isikul lasuda kas liikmesriigi poolt määruse artikli 9 lõike 4 alusel vastu võetud normide alusel või sama määruse artikli 5 lõike 1 punktis f sätestatud ja artikli 32 lõike 1 punktides a ja b konkretiseeritud tervikluse ja konfidentsiaalsuse põhimõtete alusel.
Kolmas küsimus
71
Kolmanda küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h ja artikli 6 lõiget 1 tuleb tõlgendada nii, et esimesena nimetatud sättel põhinev terviseandmete töötlemine peab selleks, et see oleks seaduslik, vastama nii sellest sättest tulenevatele nõuetele kui ka täitma vähemalt ühte artikli 6 lõikes 1 sätestatud seaduslikkuse tingimustest.
72
Sellega seoses tuleb meelde tuletada, et isikuandmete kaitse üldmääruse artiklid 5, 6 ja 9 asuvad selle määruse II peatükis „Põhimõtted“ ning käsitlevad vastavalt isikuandmete töötlemise põhimõtteid, isikuandmete töötlemise seaduslikkust ja isikuandmete eriliikide töötlemist.
73
Veel tuleb märkida, et isikuandmete kaitse üldmääruse põhjenduses 51 on sõnaselgelt märgitud, et „lisaks“ isikuandmete, mis on „eriti tundlikud“, töötlemise suhtes selle määruse artikli 9 lõigete 2 ja 3 alusel kohaldatavatele „erinõuetele“, mis ei takista liikmesriikidel võtta täiendavaid meetmeid sama artikli lõike 4 alusel, tuleks sellise töötlemise suhtes kohaldada ka kõnealuse „määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses töötlemise seaduslikkuse tingimustega“, nagu need tulenevad sama määruse artiklist 6.
74
Seega on isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu kohaselt „eriti tundlike“ andmete, näiteks terviseandmete töötlemine seaduslik ainult juhul, kui on täidetud vähemalt üks osutatud lõike 1 esimese lõigu punktides a–f sätestatud tingimustest.
75
Nimetatud määruse artikli 6 lõike 1 esimene lõik näeb aga ette ammendava ja piiratud loetelu juhtudest, mil isikuandmete töötlemist saab pidada seaduslikuks. Nõnda peab isikuandmete töötlemine selleks, et seda saaks pidada seaduslikuks, kuuluma mõne selles sättes ette nähtud juhtumi alla (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 90 ja seal viidatud kohtupraktika).
76
Seetõttu on Euroopa Kohus korduvalt otsustanud, et isikuandmete mis tahes töötlemine peab olema kooskõlas isikuandmete kaitse üldmääruse artikli 5 lõikes 1 sätestatud andmetöötluse põhimõtetega ja vastama selle määruse artiklis 6 loetletud töötlemise seaduslikkuse tingimustele (4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast), C‑60/22, EU:C:2023:373, punkt 57 ja seal viidatud kohtupraktika).
77
Lisaks on juba otsustatud, et kuna isikuandmete kaitse üldmääruse artiklite 7–11, mis – nagu ka selle määruse artiklid 5 ja 6 – asuvad selle määruse põhimõtteid käsitlevas II peatükis, eesmärk on täpsustada selle määruse artikli 5 lõike 1 punktist a ja artikli 6 lõikest 1 tulenevate vastutava töötleja kohustuste ulatust, peab isikuandmete töötlemine selleks, et see oleks seaduslik, nähtuvalt Euroopa Kohtu praktikast järgima ka selle peatüki teisi sätteid, mis sisuliselt käsitlevad nõusolekut, delikaatsete isikuandmete eriliikide töötlemist ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete töötlemist (4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast), C‑60/22, EU:C:2023:373, punkt 58 ja seal viidatud kohtupraktika).
78
Sellest järeldub eelkõige, et kuna isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h eesmärk on täpsustada selle määruse artikli 5 lõike 1 punktist a ja artikli 6 lõikest 1 vastutavale töötlejale tulenevate kohustuste ulatust, peab esimesena nimetatud sättel põhinev terviseandmete töötlemine selleks, et see oleks seaduslik, vastama ühtaegu nii sellest sättest tulenevatele nõuetele kui ka kahest viimati nimetatud sättest tulenevatele kohustustele ning eelkõige täitma vähemalt ühe artikli 6 lõikes 1 sätestatud seaduslikkuse tingimusest.
79
Eeltoodut arvestades tuleb kolmandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h ja artikli 6 lõiget 1 tuleb tõlgendada nii, et esimesena nimetatud sättel põhinev terviseandmete töötlemine peab selleks, et see oleks seaduslik, vastama nii sellest sättest tulenevatele nõuetele kui ka täitma vähemalt ühte artikli 6 lõikes 1 sätestatud seaduslikkuse tingimustest.
Neljas küsimus
80
Neljanda küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes ette nähtud õigus hüvitisele ei täida mitte ainult hüvitamisfunktsiooni, vaid ka heidutavat või karistavat funktsiooni, ning kui see on nii, siis kas seda tuleb vajaduse korral arvesse võtta selle sätte alusel mittevaralise kahju hüvitamiseks väljamõistetava kahjuhüvitise summa kindlaksmääramisel.
81
Tuleb meenutada, et isikuandmete kaitse üldmääruse artikli 82 lõikes 1 on sätestatud, et „[i]gal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest“.
82
Euroopa Kohus tõlgendas seda sätet nii, et pelgalt isikuandmete kaitse üldmääruse rikkumine ei ole piisav, et tekiks õigus kahju hüvitamisele, olles muu hulgas rõhutanud, et „kantud kahju“ või „tekitatud kahju“ olemasolu on üks artikli 82 lõikes 1 ette nähtud hüvitise saamise õiguse tingimustest, nagu ka selle määruse rikkumise esinemine ja põhjuslik seos kahju ja rikkumise vahel, kusjuures need kolm tingimust on kumulatiivsed (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 32 ja 42).
83
Lisaks on Euroopa Kohus otsustanud, et kuna isikuandmete kaitse üldmäärus ei sisalda sätet, mille eesmärk oleks määratleda selle määruse artiklis 82 tagatud hüvitise saamise õiguse alusel makstava kahjuhüvitise hindamist reguleerivad õigusnormid, peavad liikmesriikide kohtud kohaldama liikmesriigi riigisiseseid õigusnorme, mis käsitlevad rahalise hüvitamise ulatust, tingimusel, et järgitakse liidu õiguses kehtivaid võrdväärsuse ja tõhususe põhimõtteid, nagu need on määratletud Euroopa Kohtu väljakujunenud praktikas (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 53, 54 ja 59).
84
Selles kontekstis ja võttes arvesse isikuandmete kaitse üldmääruse põhjenduse 146 kuuendat lauset, mille kohaselt on selle õigusakti eesmärk tagada, et andmesubjektid saavad „täieliku ja tõhusa hüvitise kahju eest, mida nad on kandnud“, on Euroopa Kohus märkinud, et võttes arvesse selle määruse artiklis 82 ette nähtud hüvitise saamise õiguse hüvitamisfunktsiooni, tuleb sellele sättele tuginevat rahalist hüvitist pidada „täielikuks ja tõhusaks“, kui see võimaldab täielikult hüvitada selle määruse rikkumisega tegelikult tekitatud kahju, ilma et täieliku hüvitamise jaoks oleks vaja välja mõista karistuslikku kahjuhüvitist (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 57 ja 58).
85
Sellega seoses tuleb rõhutada, et isikuandmete kaitse üldmääruse artiklil 82 ei ole mitte karistuslik, vaid hüvitamisfunktsioon, erinevalt teistest selle määruse VIII peatükis asuvatest sätetest, nimelt artiklitest 83 ja 84, millel omakorda on peamiselt karistuslik eesmärk, kuna need võimaldavad vastavalt määrata trahve ja muid sanktsioone. Artiklis 82 sätestatud õigusnormide suhestatus artiklites 83 ja 84 sätestatutega näitab, et need kaks sätete kategooriat on erinevad, aga ka üksteist täiendavad, kuivõrd need motiveerivad isikuandmete kaitse üldmäärust järgima, kusjuures tuleb märkida, et igaühe õigus nõuda kahju hüvitamist tugevdab selles määruses ette nähtud kaitsenormide toimivust ja võib pärssida õigusvastase tegevuse kordumist (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 38 ja 40).
86
Kuna isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ette nähtud õigusel hüvitisele ei ole sellist heidutavat ega ka mitte karistavat funktsiooni, nagu eelotsusetaotluse esitanud kohus seda kirjeldas, ei saa see, kui raske oli kõnealuse määruse rikkumine, mis kahju põhjustas, mõjutada selle sätte alusel välja mõistetava kahjuhüvitise suurust, isegi kui tegemist ei ole mitte varalise, vaid mittevaralise kahjuga. Sellest järeldub, et määratav summa ei tohi olla nii suur, et see ületab kahju täieliku hüvitamise.
87
Järelikult tuleb neljandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes ette nähtud õigus hüvitisele täidab hüvitamisfunktsiooni, kuna sellel sättel põhinev rahaline hüvitis peab võimaldama täielikult hüvitada kõnealuse määruse rikkumisega tegelikult tekitatud kahju, kuid sellel ei ole heidutavat ega karistavat funktsiooni.
Viies küsimus
88
Teabest, mille eelotsusetaotluse esitanud kohus edastas vastuseks talle Euroopa Kohtu kodukorra artikli 101 alusel saadetud selgituste nõudele, nähtub, et viienda küsimusega soovitakse esiteks kindlaks teha, kas süü olemasolu ja/või selle tõendamine on tingimused, mis peavad olema täidetud, et saaks kohaldada vastutava töötleja või volitatud töötleja vastutust, ja teiseks, millist mõju võib vastutava töötleja või volitatud töötleja süü suurus avaldada kantud mittevaralise kahju hüvitamiseks makstava kahjuhüvitise konkreetsele hindamisele.
89
Võttes arvesse eelotsusetaotluse esitanud kohtu vastust, tuleb viiendat küsimust mõista nii, et sellega soovitakse sisuliselt teada esiteks seda, kas isikuandmete kaitse üldmääruse artiklit 82 tuleb tõlgendada nii, et vastutava töötleja vastutuse tekkimine sõltub vastutava töötleja süü olemasolust, ja teiseks seda, kas nimetatud sätte alusel mittevaralise kahju hüvitamiseks väljamõistetava kahjuhüvitise summa kindlaksmääramisel tuleb arvesse võtta selle süü suurust.
90
Selle küsimuse esimese osa kohta tuleb märkida, et nagu on meenutatud käesoleva kohtuotsuse punktis 82, seab isikuandmete kaitse üldmääruse artikli 82 lõige 1 hüvitise saamise õiguse sõltuvusse kolme elemendi samaaegsest esinemisest: selle määruse rikkumise olemasolu, tekitatud kahju olemasolu ning põhjusliku seose olemasolu rikkumise ja kahju vahel.
91
Isikuandmete kaitse üldmääruse artikli 82 lõikes 2 on omakorda sätestatud, et isikuandmete töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse seda määrust. Selle sätte sõnastus teatavates keeleversioonides, eelkõige käesoleva kohtuasja menetluskeeleks olevas saksa keeles, ei võimalda siiski üheselt kindlaks teha, kas kõnealune rikkumine peab vastutava töötleja vastutuse tekkimiseks olema talle omistatav.
92
Sellega seoses ilmneb isikuandmete kaitse üldmääruse artikli 82 lõike 2 esimese lause eri keeleversioonide analüüsist, et eeldatakse, et vastutav töötleja on osalenud töötlemises, mis kujutab endast selle määruse asjaomast rikkumist. Nimelt, kui saksa‑, prantsus‑ või soomekeelne versioon on sõnastatud lahtiselt, siis hulk teisi keeleversioone on täpsemad ja kasutavad näitavat asesõna sõna „töötlemine“ kolmanda esinemise või kolmanda viite puhul sellele sõnale, mistõttu on selge, et see kolmas esinemine või viide tähistab sama toimingut kui selle sõna teine esinemine. Nii on see hispaania-, eesti-, kreeka-, itaalia- ja rumeeniakeelses versioonis.
93
Isikuandmete kaitse üldmääruse artikli 82 lõikes 3 on sellega seoses täpsustatud, et vastutav töötleja vabastatakse artikli 82 lõikest 2 tulenevast vastutusest, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.
94
Isikuandmete kaitse üldmääruse artikli 82 erinevate sätete koostoime analüüsist nähtub seega, et selles artiklis on ette nähtud süüline vastutus, milles tõendamiskoormis ei lasu mitte isikul, kellele on kahju tekitatud, vaid vastutaval töötlejal.
95
Niisugust tõlgendust kinnitavad ka artikli 82 kontekst ja eesmärgid, mida liidu seadusandja isikuandmete kaitse üldmäärusega taotleb.
96
Esiteks nähtub sellega seoses isikuandmete kaitse üldmääruse artiklite 24 ja 32 sõnastusest, et need sätted piirduvad sellega, et kohustavad vastutavat töötlejat võtma tehnilisi ja korralduslikke meetmeid, et vältida nii palju kui võimalik isikuandmetega seotud rikkumisi. Selliste meetmete asjakohasust tuleb hinnata konkreetselt, analüüsides, kas vastutav töötleja on nende meetmete rakendamisel võtnud arvesse kõnealustes artiklites mainitud erinevaid kriteeriume ja andmekaitsevajadusi, mis on konkreetselt seotud asjaomase töötlemisega, ning sellest tulenevaid riske (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 30).
97
Selline kohustus seataks aga kahtluse alla, kui vastutav töötleja oleks seejärel kohustatud hüvitama kogu kahju, mis on tekitatud isikuandmete kaitse üldmääruse vastaselt toimunud töötlemisega.
98
Mis teiseks puudutab isikuandmete kaitse üldmääruse eesmärke, siis nähtub selle määruse põhjendustest 4–8, et määruse eesmärk on saavutada tasakaal isikuandmete vastutavate töötlejate huvide ja nende isikute õiguste vahel, kelle andmeid töödeldakse. Eesmärk on võimaldada digimajanduse arengut, tagades samal ajal isikute kõrgetasemelise kaitse. Seega tuleb leida tasakaal vastutava töötleja huvide ja nende isikute huvide vahel, kelle isikuandmeid töödeldakse. Süülise vastutuse mehhanism, millega kaasneb tõendamiskoormise ümberpööramine, nagu on ette nähtud isikuandmete kaitse üldmääruse artiklis 82, võimaldab aga just sellise tasakaalu tagada.
99
Ühelt poolt – nagu sisuliselt märkis kohtujurist oma ettepaneku punktis 93 –, ei oleks sellise kõrgetasemelise kaitse eesmärgiga kooskõlas otsustada niisuguse tõlgenduse kasuks, mille kohaselt andmesubjektid, kes on kandnud kahju isikuandmete kaitse üldmääruse rikkumise tõttu, ei peaks selle määruse artiklil 82 põhineva kahju hüvitamise hagi raames tõendama mitte ainult rikkumise olemasolu ja sellest neile tekkinud kahju, vaid ka vastutava töötleja süüd, st tahtlust või hooletust, või isegi süü suurust, olgugi et artiklis 82 ei ole selliseid nõudeid sätestatud (vt analoogia alusel 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 56).
100
Teisest küljest ei tagaks mittesüülise vastutuse kord seadusandja poolt nähtuvalt isikuandmete kaitse üldmääruse põhjendusest 7 taotletava õiguskindluse eesmärgi saavutamist.
101
Viienda küsimuse teise osa kohta, mis puudutab isikuandmete kaitse üldmääruse artikli 82 alusel maksmisele kuuluva võimaliku kahjuhüvitise summa kindlaksmääramist, tuleb meenutada, et nagu on rõhutatud käesoleva kohtuotsuse punktis 83, peavad liikmesriikide kohtud kohaldama liikmesriigi‑siseseid õigusnorme, mis käsitlevad rahalise hüvitamise ulatust, järgides liidu õiguses kehtivaid võrdväärsuse ja tõhususe põhimõtteid, nagu need on määratletud Euroopa Kohtu väljakujunenud praktikas.
102
Olgu täpsustatud, et isikuandmete kaitse üldmääruse artikli 82 hüvitamisfunktsiooni arvestades ei ole selles sättes nõutud, et selle alusel mittevaralise kahju hüvitamiseks väljamõistetava kahjuhüvitise summa kindlaksmääramisel võetaks arvesse seda, kui raske oli selle määruse rikkumine, mille vastutava töötleja eeldatavalt toime pani, vaid nõutud on, et see summa määrataks kindlaks nii, et see hüvitaks täielikult selle määruse rikkumisega tegelikult tekitatud kahju, nagu nähtub käesoleva kohtuotsuse punktidest 84 ja 87.
103
Järelikult tuleb viiendale küsimusele vastata, et isikuandmete kaitse üldmääruse artiklit 82 tuleb tõlgendada nii, et esiteks on vastutava töötleja vastutuse eeldus tema süü, mida eeldatakse, välja arvatud juhul, kui ta tõendab, et kahju põhjustanud tegu ei ole talle omistatav, ning teiseks ei nõua nimetatud artikkel 82, et selle sätte alusel mittevaralise kahju hüvitamiseks välja mõistetava kahjuhüvitise summa kindlaksmääramisel võetaks arvesse süü suurust.
Kohtukulud
104
Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
Esitatud põhjendustest lähtudes Euroopa Kohus (kolmas koda) otsustab:
1.
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 9 lõike 2 punkti h
tuleb tõlgendada nii, et
selles ette nähtud erand on kohaldatav olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana, tingimusel, et niisugune töötlemine vastab tingimustele ja tagatistele, mis on sõnaselgelt ette nähtud samas punktis h ja artikli 9 lõikes 3.
2.
Määruse 2016/679 artikli 9 lõiget 3
tuleb tõlgendada nii, et
selle määruse artikli 9 lõike 2 punkti h alusel terviseandmete töötlemise eest vastutav töötleja ei ole kohustatud tagama, et ühelgi andmesubjekti kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta. Samas võib selline kohustus niisuguse töötlemise eest vastutaval isikul lasuda kas liikmesriigi poolt määruse artikli 9 lõike 4 alusel vastu võetud normide alusel või sama määruse artikli 5 lõike 1 punktis f sätestatud ja artikli 32 lõike 1 punktides a ja b konkretiseeritud tervikluse ja konfidentsiaalsuse põhimõtete alusel.
3.
Määruse 2016/679 artikli 9 lõike 2 punkti h ja artikli 6 lõiget 1
tuleb tõlgendada nii, et
esimesena nimetatud sättel põhinev terviseandmete töötlemine peab selleks, et see oleks seaduslik, vastama nii sellest sättest tulenevatele nõuetele kui ka täitma vähemalt ühte artikli 6 lõikes 1 sätestatud seaduslikkuse tingimustest.
4.
Määruse 2016/679 artikli 82 lõiget 1
tuleb tõlgendada nii, et
selles sättes ette nähtud õigus hüvitisele täidab hüvitamisfunktsiooni, kuna sellel sättel põhinev rahaline hüvitis peab võimaldama täielikult hüvitada kõnealuse määruse rikkumisega tegelikult tekitatud kahju, kuid sellel ei ole heidutavat ega karistavat funktsiooni.
5.
Määruse 2016/679 artiklit 82
tuleb tõlgendada nii, et
esiteks on vastutava töötleja vastutuse eeldus tema süü, mida eeldatakse, välja arvatud juhul, kui ta tõendab, et kahju põhjustanud tegu ei ole talle omistatav, ning teiseks ei nõua nimetatud artikkel 82, et selle sätte alusel mittevaralise kahju hüvitamiseks välja mõistetava kahjuhüvitise summa kindlaksmääramisel võetaks arvesse süü suurust.
Allkirjad
(
*1
)	Kohtumenetluse keel: saksa.