62023CJ0021_RES
C‑21/23. sz. ügy
ND
kontra
DR
(a Bundesgerichtshof [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (nagytanács), 2024. október 4.
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – VIII. fejezet – Jogorvoslati lehetőségek – Gyógyszerek gyógyszerész által online platformon keresztül történő forgalmazása – E gyógyszerész versenytársa által az említett rendeletben előírt kötelezettségek e gyógyszerész általi megsértése miatt a polgári bíróságok előtt benyújtott, a tisztességtelen kereskedelmi gyakorlatok tilalmán alapuló kereset – Kereshetőségi jog – A 4. cikk 15. pontja és 9. cikkének (1) és (2) bekezdése. – 95/46/EK irányelv – A 8. cikk (1) és (2) bekezdése – Az »egészségügyi adatok« fogalma – Az ilyen adatok kezelésének feltételei”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Jogorvoslati lehetőségek – Nem kimerítő jelleg – A rendelet által előírt kötelezettségeket állítólagosan megsértő személy versenytársai számára azt lehetővé tévő nemzeti szabályozás, hogy a tisztességtelen kereskedelmi gyakorlatok tilalmára hivatkozva keresetet indítsanak a polgári bíróságok előtt – Megengedhetőség
(2016/679 európai parlamenti és tanácsi rendelet, 77–80. cikk)
(lásd: 53–57., 60., 62–73. pont és a rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az egészségügyi adatok fogalma – A gyógyszereket online platformon értékesítő gyógyszertár működtetőjének ügyfeleire vonatkozó, az e gyógyszerek megrendelésekor szolgáltatott információk – Az ügyfelek nevére és a szállítási címre vonatkozó, valamint a gyógyszerek személyre szabásához szükséges adatok – Bennfoglaltság – Nem vényköteles gyógyszerek forgalmazása – Hatás hiánya
(2016/679 európai parlamenti és tanácsi rendelet, 4. cikk, (1) bekezdés, 15. cikk, és 9. cikk, (1) bekezdés; 95/46 európai parlamenti és tanácsi irányelv, 8. cikk, (1) bekezdés)
(lásd: 84., 88–91. pont és a rendelkező rész 2. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A személyes adatok különleges kategóriáinak kezelése – Tilalom – Eltérések
(2016/679 európai parlamenti és tanácsi rendelet, (53) preambulumbekezdés; 9. cikk, (1) és (2) bekezdés; 95/46 európai parlamenti és tanácsi irányelv, 8. cikk, (1) és (2) bekezdés)
(lásd: 86., 87., 92., 93. pont)
Összefoglalás
A Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország) által előterjesztett előzetes döntéshozatal iránti kérelem alapján a Bíróság nagytanácsa az adatvédelmi jogorvoslati rendszer (
1
) jellegéről és tartalmáról, valamint az „egészségügyi adatok” fogalmáról (
2
) határoz.
ND és DR természetes személyek mindketten gyógyszertárat működtetnek Németországban. ND 2017 óta értékesít az „Amazon‑Marketplace” platformon kizárólag gyógyszertárban forgalmazható gyógyszereket. Az utóbbiak online megrendelésekor az ND ügyfeleinek olyan információkat kell megadniuk, mint a nevük, a szállítási cím és az említett gyógyszerek személyre szabásához szükséges adatok.
A tisztességtelen versenyre vonatkozó német jogszabályok (
3
) alapján DR jogsértés megszüntetése iránti keresetet indított ND ellen a nemzeti polgári bíróságok előtt. DR arra hivatkozik, hogy az ND általi gyógyszerforgalmazás tisztességtelen, mivel sérti az ügyfél személyes egészségügyi adatainak kezeléséhez való előzetes hozzájárulás megszerzésére vonatkozó jogi követelményt.
Azt követően, hogy az alsóbb szintű bíróságok helyt adtak e kérelemnek, ND felülvizsgálati kérelmet terjesztett elő a kérdést előterjesztő bíróság előtt, mely utóbbi szükségesnek találta, hogy előzetes döntéshozatali kérelemmel forduljon a Bírósághoz.
Ítéletében a Bíróság megállapítja, hogy a GDPR által létrehozott jogorvoslati rendszer nem kimerítő jellegű, és elismeri, hogy e rendelettel nem ellentétes, ha a tagállamok a nemzeti jogban előírják a személyes adatok védelmét állítólagosan megsértő személy versenytársai számára, hogy e jogsértéssel mint tisztességtelen kereskedelmi gyakorlattal szemben peres úton fellépjenek. Ezenkívül pontosítja az „egészségügyi adatok” fogalmának határait.
A Bíróság álláspontja
Először is a Bíróság rámutat, hogy bár a GDPR VIII. fejezete nem tartalmaz olyan konkrét engedő rendelkezést, amely kifejezetten lehetővé tenné a tagállamok számára, hogy a versenytársak ilyen jogorvoslati lehetőségéről rendelkezzenek, e VIII. fejezet rendelkezéseinek szövegéből és összefüggéseiből az következik, hogy az uniós jogalkotó e lehetőséget nem kívánta kizárni. Ezt az értelmezést a GDPR által követett célkitűzések is megerősítik.
Egyrészt ugyanis a valamely versenytárs által a vállalkozással szemben a tisztességtelen kereskedelmi gyakorlatok tilalma alapján, a GDPR anyagi jogi rendelkezéseinek állítólagos megsértése miatt indított jogsértés megszüntetése iránti kereset semmilyen módon nem sérti az e rendeletben előírt jogorvoslati rendszert, sem pedig azon célkitűzést, hogy e személyek számára egységes, európai uniós szintű védelmet biztosítsanak, és megelőzzék a személyes adatok belső piacon való szabad áramlását akadályozó eltéréseket.
Ezen összefüggésben a Bíróság kifejti, hogy az ilyen kereset ‑ jóllehet közvetett módon ‑ az említett rendelet ugyanazon rendelkezéseinek megsértésére is alapítható, mint amelyeken az érintettek vagy az érintetteket képviselő szervezet által benyújtott panasz vagy kereset alapulhat. (
4
) Mindazonáltal, a GDPR‑ban előírt e jogorvoslatoktól eltérően a versenytárs által indított jogsértés megszüntetése iránti kereset önmagában nem az érintettek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelmére irányuló célkitűzést követi, hanem a tisztességes verseny biztosítására irányul, többek között e versenytárs érdekében.
Ezenkívül a versenytárs azon lehetősége, hogy a tisztességtelen kereskedelmi gyakorlatok tilalma alapján ilyen keresetet indítson a polgári bíróságok előtt, kiegészíti a GDPR‑ban bevezetett azon jogorvoslati lehetőségeket, amelyek teljes mértékben fennmaradnak, és amelyekkel az érintettek, valamint adott esetben az ezen érintetteket képviselő szervezetek továbbra is élhetnek. Konkrétabban, az adatvédelmi jog és a versenyjog hatálya alá tartozó jogorvoslati lehetőségek egyidejű fennállása nem teremt kockázatot az említett rendelet egységes alkalmazására nézve.
Ráadásul az a tény, hogy a GDPR anyagi jogi rendelkezéseire az érintettektől és a szervektől, szervezetektől és egyesületektől eltérő személyek szélesebb körben hivatkozhatnak, nem sérti azon célkitűzés megvalósítását, hogy e személyek számára egységes, uniós szintű védelmet biztosítsanak, és megelőzzék a személyes adatok belső piacon való szabad áramlását akadályozó eltéréseket. Még ha ugyanis a tagállamok nem is írnak elő ilyen lehetőséget, ebből nem következik az adatvédelem Unión belüli végrehajtásának széttagoltsága, mivel a GDPR anyagi jogi rendelkezései egyformán vonatkoznak valamennyi adatkezelőre, és tiszteletben tartásukat az e rendeletben előírt jogorvoslati lehetőségek biztosítják.
Másrészt, ami az érintetteknek a személyes adataik kezelése tekintetében való hatékony védelmének biztosítására irányuló célkitűzést és a GDPR anyagi jogi rendelkezéseinek hatékony érvényesülését illeti, a Bíróság megjegyzi, hogy bár a személyes adatok védelmét feltételezetten megsértő személy versenytársa által indított, jogsértés megszüntetése iránti kereset nem e célra, hanem a tisztességes verseny biztosítására irányul, vitathatatlanul hozzájárul e rendelkezések tiszteletben tartásához, és ezzel az érintettek jogainak megerősítéséhez, valamint a magas szintű védelmük biztosításához. Végeredményben a versenytárs által indított, jogsértés megszüntetése iránti ilyen kereset a fogyasztóvédelmi egyesületek által indított keresetekhez hasonlóan különösen hatékony lehet e védelem biztosítása szempontjából, mivel a személyes adataik kezelésével érintett személyek jogai széles körben való megsértésének megelőzését teheti lehetővé. (
5
)
Ily módon a Bíróság megállapítja, hogy a GDPR jogorvoslati rendszerre vonatkozó rendelkezéseit úgy kell értelmezni, hogy azokkal nem ellentétes az olyan nemzeti szabályozás, amely – az e rendelet alkalmazásának nyomon követésére és kikényszerítésére hatáskörrel rendelkező felügyeleti hatóságok beavatkozási jogkörei és az érintettek jogorvoslati lehetőségei mellett – a személyes adatok védelmét állítólagosan megsértő személy versenytársait feljogosítja arra, hogy a tisztességtelen kereskedelmi gyakorlatok tilalmára hivatkozva az említett rendelet megsértése miatt polgári peres úton lépjenek fel e jogsértő személlyel szemben.
Másodszor az „egészségügyi adatok” fogalmát illetően a Bíróság megállapítja, hogy e fogalom körébe tartoznak azok az adatok, amelyeket valamely ügyfél egy online platformon a kizárólag gyógyszertárban forgalmazható gyógyszerek megrendelésekor megad. Ezen adatok ugyanis összevetés vagy következtetés útján az érintett egészségi állapotára vonatkozó információkat hordozhatnak, (
6
) amennyiben e megrendelés folytán kapcsolat jön létre a gyógyszer, annak terápiás javallatai vagy felhasználása és az olyan adatokkal azonosított vagy azonosítható természetes személy között, mint e személy neve vagy a szállítási cím.
A Bíróság ezenkívül kimondja, hogy e tekintetben nincs jelentősége annak, hogy a megrendelt gyógyszerek értékesítése nem vényköteles, és hogy ezért e gyógyszereket esetleg nem a megrendelést leadó ügyfélnek, hanem harmadik személyeknek szánták. Abban az esetben tehát, ha egy online platform valamely felhasználója személyes adatokat közöl a kizárólag gyógyszertárban forgalmazható, de nem vényköteles gyógyszerek megrendelésekor, ezen adatoknak az e gyógyszereket ezen online platformon keresztül értékesítő gyógyszertár működtetője általi kezelését egészségügyi adatok (
7
) kezelésének kell tekinteni, mivel ezen adatkezelés alkalmas arra, hogy valamely természetes személy egészségi állapotára vonatkozó információt fedjen fel, függetlenül attól, hogy ezek az információk e felhasználóra vagy olyan más személyre vonatkoznak, akinek a részére a felhasználó a megrendelést végzi. (
8
)
Az olyan értelmezés ugyanis, amely az érintett gyógyszerek típusa, valamint azon tény alapján történő különbségtételhez vezetne, hogy az értékesítésük vényköteles‑e, vagy sem, nem lenne összhangban a természetes személyek alapvető jogai és szabadságai, különösen a magánélet tiszteletben tartásához való joguk védelme magas szintjének a személyes adatok kezelésére tekintettel történő biztosításának célkitűzésével. Ez az értelmezés ráadásul ellentétes a 95/46 irányelv 8. cikke (1) bekezdésének és a GDPR 9. cikke (1) bekezdésének azon céljával, hogy fokozott védelmet biztosítson az olyan adatkezelésekkel szemben, amelyek a tárgyukat képező adatok különösen érzékeny jellege folytán különösen súlyos beavatkozást jelenthetnek a magánélet tiszteletben tartásához és a személyes adatok védelméhez való jogba. (
9
) Következésképpen azok az információk, amelyeket az ügyfelek a kizárólag gyógyszertárban forgalmazható, de nem vényköteles gyógyszerek online rendelésekor megadnak, egészségügyi adatoknak minősülnek, még akkor is, ha e gyógyszereket csak bizonyos valószínűséggel, nem pedig teljes bizonyossággal szánják ezen ügyfeleknek.
A Bíróság hozzáteszi, hogy nem zárható ki, hogy még abban az esetben is, ha az ilyen gyógyszereket az ügyfelektől eltérő személyeknek szánják, e személyek azonosíthatók, és következtetéseket lehet levonni az egészségi állapotukra vonatkozóan. Ez lehet a helyzet például akkor, ha a szóban forgó gyógyszereket nem az azokat megrendelő ügyfél lakóhelyére, hanem egy másik személy lakóhelyére szállítják, vagy ha a szállítási címtől függetlenül az ügyfél megrendelésében vagy azzal kapcsolatos közléseiben más azonosítható személyre, például valamely családtagjára utalt.
Végül a Bíróság megjegyzi, hogy az a tény, hogy a szóban forgó információk egészségügyi adatoknak minősülnek, nem képezi akadályát annak, hogy azokat többek között az egészségügyi és szociális szolgáltatások és rendszerek irányításának összefüggésében kezeljék, ha az e tekintetben meghatározott feltételek valamelyike teljesül. (
10
) Ez a helyzet állhat fenn egyrészt akkor, ha az érintett kifejezett hozzájárulását adja az említett személyes adatok egy vagy több alkalommal történő olyan kezeléséhez, amelynek sajátos jellemzőit és céljait pontos, teljes körű és könnyen érthető módon ismertették vele. Másrészt az ilyen adatkezelés akkor tekinthető elfogadhatónak, ha ezen adatkezelés egészségügyi ellátás érdekében az uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében szükséges.
(
1
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR).
(
2
)	E fogalmat a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) 8. cikkének (1) bekezdése, illetve a GDPR 9. cikkének (1) bekezdése tartalmazza.
(
3
)	A 2004. július 3‑i Gesetz gegen den unlauteren Wettbewerb (a tisztességtelen verseny tilalmáról szóló törvény; BGBl. 2004. I, 1414. o.) alapügyben alkalmazandó változata.
(
4
)	A GDPR 77–80. cikke.
(
5
)	Lásd ebben az értelemben: 2022. április 28‑iMeta Platforms Ireland ítélet (C‑319/20, EU:C:2022:322, 74. és 75. pont).
(
6
)	A GDPR 4. cikkének 1. pontja értelmében.
(
7
)	A 95/46 irányelv 8. cikkének (1) bekezdése és a GDPR 9. cikkének (1) bekezdése értelmében.
(
8
)	Lásd ebben az értelemben: 2023. július 4‑iMeta Platforms és társai (Közösségi hálózat általános felhasználási feltételei) ítélet (C‑252/21, EU:C:2023:537, 73. pont).
(
9
)	Lásd: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet (C‑184/20, EU:C:2022:601, 126. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
10
)	A 95/46 irányelv 8. cikkének (2) bekezdésében és a GDPR 9. cikkének (2) bekezdésében előírt feltételek.