Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
M. SZPUNAR
van 25 april 2024 (1)
Zaak C‑21/23
ND
tegen
DR
[verzoek van het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Rechtsmiddelen – Afbakening van de rechtsmiddelen – Verwerking met betrekking tot bijzondere categorieën persoonsgegevens – Begrippen ‚gegevens die de gezondheid betreffen’ en ‚gegevens over gezondheid’”
I. Inleiding
1. In deze zaak staat de uitlegging centraal van verschillende bepalingen van verordening (EU) 2016/679(2) (hierna: „AVG”), die enerzijds betrekking hebben op het bij deze verordening ingevoerde stelsel van rechtsmiddelen en anderzijds op een categorie van bijzonder gevoelige gegevens, namelijk „gegevens over gezondheid”.
2. Het verzoek om een prejudiciële beslissing is ingediend in het kader van een verbodsactie die een onderneming op basis van het in het nationale recht geldende verbod van oneerlijke mededinging had ingesteld teneinde een halt toe te roepen aan de verkoop via het internet van receptvrije geneesmiddelen door een van haar concurrenten. De gestelde oneerlijke mededinging was volgens deze onderneming gelegen in het feit dat de uit de AVG voortvloeiende vereisten met betrekking tot de verwerking van „gegevens over gezondheid” niet in acht werden genomen.
3. Ik zal eerst de tweede prejudiciële vraag analyseren. Deze analyse zal het Hof in staat stellen de grenzen van het begrip „gegevens over gezondheid” nader af te bakenen, welk begrip bepalend is voor de vraag of er al dan niet een sterkere bescherming geldt.
4. Mochten de in casu centraal staande gegevens namelijk niet als „gegevens over gezondheid” in de zin van artikel 9, lid 1, AVG kunnen worden gekwalificeerd, dan zou dit betekenen dat er geen sprake is van de gestelde oneerlijke mededinging. In dat geval zou het niet zinvol zijn om antwoord te geven op de eerste prejudiciële vraag, die erop neerkomt of het bij de AVG ingevoerde stelsel van rechtsmiddelen toestaat dat het nationale recht voorziet in een vordering wegens schending van de regels betreffende het verbod van oneerlijke mededinging waarbij de verzoeker zich beroept op schending van de materiële bepalingen van de AVG.
II. Toepasselijke bepalingen
A. Unierecht
1. Richtlijn 95/46
5. Richtlijn 95/46/EG(3) bepaalt in artikel 8, lid 1:
„De lidstaten verbieden de verwerking van persoonlijke gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt, alsook de verwerking van gegevens die de gezondheid of het seksuele leven betreffen.”
2. AVG
6. De overwegingen 9, 10, 13, 35, 51 en 142 AVG luiden als volgt:
„(9) De doelstellingen en beginselen van [richtlijn 95/46] blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst of dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico’s voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. Die verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van [richtlijn 95/46].
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]
[...]
(13) Teneinde natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, is een verordening nodig om marktdeelnemers, met inbegrip van kleine, middelgrote en micro-ondernemingen, rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor natuurlijke personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de verwerkingsverantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. [...]
[...]
(35) Persoonsgegevens over gezondheid dienen alle gegevens te omvatten die betrekking hebben op de gezondheidstoestand van een betrokkene en die informatie geven over de lichamelijke of geestelijke gezondheidstoestand van de betrokkene in het verleden, het heden en de toekomst. Dit omvat informatie over de natuurlijke persoon die is verzameld in het kader van de registratie voor of de verlening van gezondheidszorgdiensten als bedoeld in [richtlijn 2011/24/EU(4)] aan die natuurlijke persoon; een aan een natuurlijke persoon toegekend cijfer, symbool of kenmerk dat als unieke identificatie van die natuurlijke persoon geldt voor gezondheidsdoeleinden; informatie die voortkomt uit het testen of onderzoeken van een lichaamsdeel of lichaamseigen stof, met inbegrip van genetische gegevens en biologische monsters; en informatie over bijvoorbeeld ziekte, handicap, ziekterisico, medische voorgeschiedenis, klinische behandeling of de fysiologische of biomedische staat van de betrokkene, ongeacht de bron, zoals bijvoorbeeld een arts of een andere gezondheidswerker, een ziekenhuis, een medisch hulpmiddel of een in-vitrodiagnostiek.
[...]
(51) Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden, verdienen specifieke bescherming aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor de grondrechten en de fundamentele vrijheden. [...] Dergelijke persoonsgegevens mogen niet worden verwerkt, tenzij de verwerking is toegestaan in in deze verordening vermelde specifieke gevallen, rekening houdend met het feit dat in de wetgeving van de lidstaten specifieke bepalingen inzake gegevensbescherming kunnen worden opgenomen teneinde de toepassing van de regels van deze verordening aan te passen met het oog op de vervulling van een wettelijke verplichting of met het oog op de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking. Er moet onder meer uitdrukkelijk in afwijkingen van het algemene verbod op de verwerking van die bijzondere categorieën persoonsgegevens worden voorzien ingeval de betrokkene zijn uitdrukkelijke toestemming geeft of in geval van specifieke behoeften, met name wanneer de verwerking wordt verricht in het kader van gerechtvaardigde activiteiten door bepaalde verenigingen of stichtingen die ernaar streven de uitoefening van de fundamentele vrijheden mogelijk te maken.
[...]
(142) Wanneer een betrokkene van oordeel is dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening, moet hij het recht hebben organen, organisaties of verenigingen zonder winstoogmerk, die overeenkomstig het recht van een lidstaat zijn opgericht, die statutaire doelstellingen hebben die in het publieke belang zijn en die actief zijn op het gebied van de bescherming van persoonsgegevens, te machtigen om namens hem een klacht in te dienen bij een toezichthoudende autoriteit, om namens betrokkenen het recht op een voorziening in rechte uit te oefenen, of om namens betrokkenen het recht op de ontvangst van een vergoeding uit te oefenen indien dit in het lidstatelijke recht is voorzien. De lidstaten kunnen bepalen dat deze organen, organisaties of verenigingen over het recht beschikken om, ongeacht een eventuele machtiging door een betrokkene, in die lidstaat een klacht in te dienen en over het recht op een doeltreffende voorziening in rechte, indien zij redenen hebben om aan te nemen dat de rechten van een betrokkene zijn geschonden als gevolg van een verwerking van persoonsgegevens die inbreuk maakt op deze verordening. Voor deze organen, organisaties of verenigingen kan worden bepaald dat zij niet het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.”
7. Artikel 1 van deze verordening, dat het opschrift „Onderwerp en doelstellingen” draagt, bepaalt:
„1. Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.
2. Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.
3. Het vrije verkeer van persoonsgegevens in de Unie wordt noch beperkt noch verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.”
8. Artikel 4 van deze verordening bepaalt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
[...]
15) ‚gegevens over gezondheid’: persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven;
[...]”
9. Artikel 9 van deze verordening, met het opschrift „Verwerking van bijzondere categorieën van persoonsgegevens”, bepaalt:
„1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
[...]
h) de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en waarborgen;
[...]”
10. De artikelen 77 tot en met 84 zijn opgenomen in hoofdstuk VIII AVG, dat het opschrift „Beroep, aansprakelijkheid en sancties” draagt.
11. Artikel 77, met het opschrift „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.”
12. Artikel 78, met het opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.”
13. Artikel 79, met het opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”
14. Artikel 80, met het opschrift „Vertegenwoordiging van betrokkenen”, luidt als volgt:
„1. De betrokkene heeft het recht een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doelstellingen het algemeen belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, opdracht te geven de klacht namens hem in te dienen, namens hem de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hem het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet.
2. De lidstaten kunnen bepalen dat een orgaan, organisatie of vereniging als bedoeld in lid 1 van dit artikel, over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat een klacht in te dienen bij de overeenkomstig artikel 77 bevoegde toezichthoudende autoriteit en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen, indien het, onderscheidenlijk zij, van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking.”
15. Artikel 82, dat het opschrift „Recht op schadevergoeding en aansprakelijkheid” draagt, bepaalt in lid 1:
„Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”
16. Artikel 84, met het opschrift „Sancties”, bepaalt in lid 1:
„De lidstaten stellen de regels inzake andere sancties vast die van toepassing zijn op inbreuken op deze verordening, in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. Die sancties zijn doeltreffend, evenredig en afschrikkend.”
B. Duits recht
1. Wet inzake oneerlijke mededinging
17. § 3 van het Gesetz gegen den unlauteren Wettbewerb (wet inzake oneerlijke mededinging) van 3 juli 2004(5), in de versie die van toepassing is op het hoofdgeding (hierna: „wet inzake oneerlijke mededinging”), draagt het opschrift „Verbod van oneerlijke mededinging” en bepaalt in lid 1 dat „[o]neerlijke handelspraktijken [...] verboden [zijn]”.
18. § 3a van deze wet, met het opschrift „Inbreuken op het recht”, luidt als volgt:
„Eenieder die handelt in strijd met een wettelijk voorschrift dat mede is vastgesteld om in het belang van de marktdeelnemers het marktgedrag te reguleren, maakt zich schuldig aan een oneerlijke handelspraktijk indien de inbreuk de belangen van consumenten, andere marktdeelnemers of concurrenten wezenlijk kan aantasten.”
19. § 8 van deze wet, met het opschrift „Verbodsactie en vordering tot nalaten”, bepaalt:
„(1) Van eenieder die zich schuldig maakt aan een krachtens § 3 of § 7 verboden handelspraktijk kan worden gevorderd dat hij deze praktijk staakt en er, in geval van gevaar voor recidive, in de toekomst van afziet. [...]
[...]
(3) De in lid 1 bedoelde vorderingen komen toe aan:
1. elke concurrent die in een niet te veronachtzamen mate en anders dan op incidentele basis goederen of diensten aanbiedt of afneemt;
[...]”
2. Geneesmiddelenwet
20. De verkoop van medicijnen wordt geregeld in het Arzneimittelgesetz (geneesmiddelenwet) van 24 augustus 1976, zoals gepubliceerd op 12 december 2005(6) en laatstelijk gewijzigd bij § 8c van de wet van 20 december 2022.(7) Deze wet maakt een onderscheid tussen enerzijds geneesmiddelen die in een apotheek worden verkocht als bedoeld in § 43 („Verplichting tot verkoop in apotheken”) tot en met § 47 en anderzijds geneesmiddelen die uitsluitend op recept verkrijgbaar zijn als bedoeld in § 48 („Receptplichtige geneesmiddelen”).
III. Feiten van het hoofdgeding, procedure en prejudiciële vragen
21. ND en DR exploiteren beiden een apotheek. Verzoeker in het hoofdgeding, ND, heeft bovendien een vergunning voor onlinehandel en verkoopt zijn producten, met inbegrip van geneesmiddelen die uitsluitend in een apotheek mogen worden verkocht, ook via Amazon Marketplace (hierna: „Amazon”), een platform voor onlinehandel waar verkopers hun producten rechtstreeks aan consumenten te koop kunnen aanbieden.
22. Verweerder in het hoofdgeding, DR, heeft een verbodsactie ingesteld teneinde ND te verbieden om geneesmiddelen die uitsluitend in een apotheek mogen worden verkocht, via Amazon te verkopen. Volgens DR vormt een dergelijke verkoop een oneerlijke handelspraktijk, omdat ND daarmee inbreuk maakt op een wettelijk voorschrift in de zin van § 3 van de wet inzake oneerlijke mededinging, namelijk onder meer artikel 9 AVG, dat betrekking heeft op het vooraf verkrijgen van de uitdrukkelijke toestemming van de klant voor de verwerking van zijn persoonsgegevens over gezondheid.
23. Het Landgericht Dessau-Roßlau (rechter in eerste aanleg van de deelstaat Saksen-Anhalt, Duitsland) heeft deze vordering toegewezen. Het Oberlandesgericht Naumburg (hoogste rechterlijke instantie van de deelstaat Saksen-Anhalt, Duitsland) heeft vervolgens het door ND ingestelde hoger beroep verworpen, omdat het van oordeel was dat de verkoop op Amazon door ND van geneesmiddelen waarvan de verkoop is voorbehouden aan apotheken in strijd is met de wet inzake oneerlijke mededinging. Volgens deze rechterlijke instantie vormt deze verkoop namelijk een verwerking van gegevens over gezondheid in de zin van artikel 9, lid 1, AVG waarvoor klanten geen uitdrukkelijke toestemming hebben gegeven. De bepalingen van de AVG moeten worden beschouwd als voorschriften die het marktgedrag reguleren in de zin van het nationale mededingingsrecht, zodat DR als concurrent gerechtigd is om een verbodsactie op basis van het nationale mededingingsrecht in te stellen en zich daarbij op schending door ND van de bepalingen van deze verordening te beroepen.
24. ND heeft beroep in Revision ingesteld bij de verwijzende rechter, het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland), waarbij hij zijn vordering tot afwijzing van de verbodsactie heeft gehandhaafd.
25. Volgens de verwijzende rechter hangt de uitkomst van het beroep in Revision af van de uitlegging van zowel hoofdstuk VIII AVG als artikel 9 van deze verordening, alsook van artikel 8, lid 1, van richtlijn 95/46.
26. Ten eerste moet namelijk worden uitgemaakt of verzoeker in het hoofdgeding als concurrent over de vereiste procesbevoegdheid beschikt om op grond van het verbod van oneerlijke handelspraktijken bij de burgerlijke rechter een vordering wegens inbreuken op de AVG in te stellen tegen degene die die inbreuken heeft gepleegd. Volgens de verwijzende rechter is dit een omstreden vraagstuk. Aan de ene kant zou namelijk kunnen worden geantwoord dat de voorschriften die in de AVG ter handhaving van de bepalingen ervan zijn opgenomen, van uitputtende aard zijn, zodat concurrenten geen procesbevoegdheid aan het mededingingsrecht kunnen ontlenen. Aan de andere kant is het echter ook verdedigbaar dat de handhavingsbepalingen van de AVG niet van uitputtende aard zijn, zodat concurrenten over de vereiste procesbevoegdheid beschikken om een verbodsactie wegens inbreuken op deze verordening in te stellen.
27. Ten tweede moet volgens de verwijzende rechter worden uitgemaakt of de gegevens die klanten moeten invoeren wanneer zij online geneesmiddelen bestellen die alleen in apotheken mogen worden verkocht maar zonder recept verkrijgbaar zijn, gegevens over gezondheid zijn in de zin van artikel 9, lid 1, AVG (voorheen artikel 8, lid 1, van richtlijn 95/46), aangezien een verbod slechts kan worden afgedwongen indien de gedraging van ND zowel op het tijdstip dat hij zich daaraan schuldig maakte als op het tijdstip van behandeling van het beroep in Revision als onrechtmatig gold.
28. In deze context heeft het Bundesgerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Staan de bepalingen in hoofdstuk VIII [AVG] in de weg aan nationale regelingen die, naast de bevoegdheden tot optreden van de voor het toezicht op en de handhaving van de verordening bevoegde autoriteiten en de aan de betrokkene geboden rechtsbeschermingsmogelijkheden, aan concurrenten de bevoegdheid verlenen om wegens inbreuken op die verordening bij de civiele rechter een vordering tegen de inbreukmaker in te stellen op grond van het verbod op oneerlijke handelspraktijken?
2) Zijn de gegevens die klanten van een apotheek die op een platform voor onlinehandel als verkoper optreedt, invoeren bij de bestelling van geneesmiddelen die alleen in apotheken mogen worden verkocht maar zonder recept verkrijgbaar zijn (naam van de klant, afleveradres en de informatie die noodzakelijk is voor de individualisering van de bestelde geneesmiddelen die alleen in apotheken mogen worden verkocht), gegevens over gezondheid in de zin van artikel 9, lid 1, [AVG] alsook gegevens die de gezondheid betreffen in de zin van artikel 8, lid 1, van richtlijn 95/46?”
29. Het onderhavige verzoek om een prejudiciële beslissing is bij het Hof ingekomen op 19 januari 2023. Partijen in het hoofdgeding, de Duitse regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Alle deelnemers aan de procedure zijn ter terechtzitting van 9 januari 2024 verschenen.
IV. Analyse
30. In de onderhavige zaak stelt DR dat ND inbreuk op artikel 9 AVG heeft gemaakt door de gegevens van klanten die online niet-receptplichtige geneesmiddelen hadden besteld, te verwerken zonder dat die klanten de voor de verwerking van dergelijke gegevens vereiste uitdrukkelijke toestemming hadden gegeven.
31. Met zijn eerste prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of hoofdstuk VIII AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling die ondernemingen het recht toekent om zich op basis van het verbod van oneerlijke mededinging te beroepen op schendingen van de materiële bepalingen van de AVG door hun concurrenten. Met zijn tweede prejudiciële vraag wenst deze rechter van het Hof te vernemen of artikel 9 AVG aldus moet worden uitgelegd dat de betrokken gegevens moeten worden aangemerkt als gegevens over gezondheid, zodat zij onder de in deze bepaling bedoelde bijzondere categorieën van gegevens vallen.(8)
32. Ik merk op voorhand op, zoals ik hiervoor ook reeds heb benadrukt, dat de eerste vraag niet hoeft te worden beantwoord indien de tweede vraag ontkennend wordt beantwoord, aangezien het antwoord van het Hof voor de verwijzende rechter zou volstaan om het bij hem aanhangige geding te kunnen beslechten. In die omstandigheden acht ik het logisch om mijn analyse van de prejudiciële vragen te beginnen met deze tweede vraag.
A. Tweede prejudiciële vraag
33. De tweede prejudiciële vraag van de verwijzende rechter komt er in wezen op neer of de gegevens van klanten van een apotheek die worden ingevoerd bij een bestelling op een platform voor de onlineverkoop van geneesmiddelen die alleen in apotheken mogen worden verkocht maar zonder recept verkrijgbaar zijn, „gegevens over gezondheid” in de zin van artikel 9, lid 1, AVG zijn.
34. Op voorhand verdient opmerking dat het in artikel 9, lid 1, AVG gebezigde begrip „gegevens over gezondheid” wordt gedefinieerd in artikel 4, punt 15, van die verordening. Het antwoord op de tweede prejudiciële vraag vergt dus een gezamenlijke uitlegging van deze twee bepalingen.
1. Uitlegging van het begrip „gegevens over gezondheid” in het licht van de bestaande rechtspraak
35. Volgens artikel 4, punt 15, AVG zijn „gegevens over gezondheid” persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven.
36. Deze definitie vindt ook steun in overweging 35 AVG. Zo heeft het Hof in zijn rechtspraak onderstreept dat „[volgens deze overweging] persoonsgegevens over gezondheid alle gegevens dienen te omvatten die betrekking hebben op de gezondheidstoestand van een betrokkene en die informatie ‚geven’ over de lichamelijke of geestelijke gezondheidstoestand van de betrokkene in het verleden, het heden en de toekomst”.(9)
37. Uit de formulering van artikel 4, punt 15, AVG, zoals verduidelijkt door overweging 35 van deze verordening, komt dus naar voren dat het doorslaggevende element bij het aanmerken van bepaalde persoonsgegevens als gegevens over gezondheid is dat op basis van die gegevens conclusies over de gezondheidstoestand van de betrokkene kunnen worden getrokken. Met andere woorden, „gegevens over gezondheid” zijn niet beperkt tot medische gegevens of gegevens die rechtstreeks verband houden met gezondheidsproblemen, maar omvatten ook alle gegevens waaruit conclusies kunnen worden getrokken over de gezondheidstoestand van de betrokkene, ongeacht of het daarbij gaat om een pathologische dan wel fysiologische staat.
38. Dit vindt steun in de doelstelling van artikel 9 AVG. Zo heeft het Hof in zijn rechtspraak onderstreept dat de doelstelling van deze bepaling erin bestaat een hogere mate van bescherming te bieden tegen verwerkingen die, zoals blijkt uit overweging 51 AVG, wegens de bijzondere gevoeligheid van de gegevens die er het voorwerp van zijn, een bijzonder ernstige inmenging kunnen opleveren in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens.(10)
39. De bijzondere gevoeligheid van gegevens over gezondheid wordt namelijk verklaard door het feit dat deze gegevens verband houden met de meest intieme aspecten van iemands leven en de kwetsbaarheid van die persoon kunnen onthullen. Deze bijzondere gevoeligheid en de daaruit voortvloeiende specifieke behoefte aan bescherming worden niet alleen erkend in het Unierecht, maar ook in de rechtspraak van het Europees Hof voor de Rechten van de Mens, dat onderstreept dat „de eerbiediging van de vertrouwelijke aard van gegevens over gezondheid een essentieel beginsel vormt van de rechtsorde van alle partijen bij het [Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, zoals ondertekend te Rome op 4 november 1950]”.(11)
40. Gelet op die doelstelling moet volgens de rechtspraak van het Hof dan ook een ruime uitlegging worden gegeven aan het begrip „bijzondere categorieën van persoonsgegevens”, waaronder gegevens over gezondheid vallen, zodat zij niet alleen zien op intrinsiek gevoelige gegevens maar ook op gegevens waaruit indirect, door beredeneerde deductie of vergelijking, dergelijke informatie kan worden afgeleid.(12)
41. Ik wijs er in dit verband op dat ook het bij de artikelen 68 e.v. AVG ingestelde Europees Comité voor gegevensbescherming een dergelijke benadering van het begrip „gegevens over gezondheid” hanteert. Zo benadrukt dit comité dat voor de kwalificatie van informatie als „gegevens over gezondheid” niet alleen de intrinsieke aard van de informatie bepalend is maar ook de omstandigheden waarin die informatie wordt vergaard en verwerkt, waarvan het verschillende voorbeelden geeft. Volgens dit comité valt derhalve onder „gegevens over gezondheid” niet alleen informatie in een medisch dossier, maar ook informatie waaruit de gezondheidstoestand blijkt door kruisverwijzingen naar andere gegevens, of informatie die neerkomt op gegevens over gezondheid wegens het gebruik ervan in een specifieke context, zoals informatie over een reis die bij het stellen van een diagnosis is verwerkt door een zorgverlener.(13) Daarentegen vormen gegevens die zijn verzameld door een applicatie die het aantal stappen meet dat door de betrokkene is gezet, geen „gegevens over gezondheid” als deze applicatie deze gegevens niet kan koppelen aan andere gegevens over die persoon en als de verzamelde gegevens niet in een medische context worden verwerkt.(14)
42. Uit artikel 4, punt 15, en artikel 9 AVG, zoals uitgelegd in de rechtspraak, blijkt dus duidelijk dat onder „gegevens over gezondheid” in de zin van deze bepalingen moeten worden verstaan gegevens waaruit conclusies over de gezondheidstoestand van de betrokkene kunnen worden getrokken.
43. Ik wijs er dan ook op dat op het eerste gezicht niet kan worden ontkend dat het online bestellen van niet-receptplichtige geneesmiddelen noodzakelijkerwijs gepaard gaat met de verwerking van gegevens waaruit bepaalde informatie over de gezondheid of althans bepaalde aanwijzingen daaromtrent kunnen worden afgeleid, aangezien deze bestelling een verband impliceert tussen de aankoop van een geneesmiddel, een product dat bij uitstek de gezondheid betreft, en de identiteit van de koper. Naar mijn mening komt, om de redenen die ik hieronder zal toelichten, uit de door de verwijzende rechter aan het Hof verstrekte informatie echter naar voren dat dit verband te zwak is en dat de aanwijzingen die daaruit kunnen worden afgeleid te vaag of te hypothetisch zijn om de betrokken gegevens als „gegevens over gezondheid” in de zin van artikel 4, punt 15, en artikel 9 AVG te kunnen aanmerken.
2. Vereiste dat met een bepaalde mate van zekerheid conclusies over de gezondheidstoestand van de betrokkene kunnen worden getrokken
44. Deze uitlegging van het begrip „gegevens over gezondheid” in het bijzonder en van het begrip „bijzondere categorie van gegevens” in het algemeen verdient enige precisering.
45. Ten eerste komt het mij voor dat een online besteld product op basis van deze uitleggingselementen geacht kan worden niet alleen algemene informatie over iemands gezondheidstoestand te onthullen, maar ook, zoals uit artikel 9 AVG blijkt, iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of iemands seksuele gerichtheid. Naar mijn mening kan uit online bestelde goederen bepaalde informatie over deze verschillende aspecten van de betrokkene worden afgeleid.
46. Ik kan mijn betoog onderbouwen met diverse voorbeelden. Zo kan het bestellen van een boek van een politicus erop duiden dat iemand het gedachtengoed van die politicus onderschrijft, terwijl het bestellen van een kledingstuk kan getuigen van iemands geloofsovertuiging en het bestellen van erotisch materiaal iets kan zeggen over iemands seksuele gerichtheid. Om te voorkomen dat grote delen van de gegevensverwerking in verband met de onlineverkoop onder de regeling van artikel 9, lid 2, AVG komen te vallen, acht ik het dan ook noodzakelijk om de uitlegging van het begrip „gegevens over gezondheid” nader te verfijnen in die zin dat de conclusies die uit de gegevens in verband met een bestelling kunnen worden getrokken niet slechts van potentiële aard mogen zijn. Met andere woorden, de informatie over de gezondheidstoestand van de betrokkene die de betrokken gegevens onthullen, mag naar mijn mening niet louter op vermoedens berusten, maar dient met een gewisse mate van zekerheid vast te staan.
47. Ten tweede ben ik van mening dat – afgezien van de gevallen dat gegevens naar hun intrinsieke aard „gegevens over gezondheid” zijn – de vraag of gegevens als zodanig kunnen worden aangemerkt, afhangt van de omstandigheden van het concrete geval. Meer in het bijzonder lijken de conclusies die uit die gegevens kunnen worden getrokken, af te hangen van de context waarin deze worden verzameld en van de verwerking die zij ondergaan. Zoals het bij de artikelen 68 e.v. AVG in het leven geroepen Europees Comité voor gegevensbescherming onderstreept, kunnen gegevens die op het eerste gezicht niet van medische aard zijn, zoals informatie over een reis, tóch als „gegevens over gezondheid” worden beschouwd wanneer ze in een medische context worden geanalyseerd en met andere informatie worden gecombineerd om, in het aangehaalde voorbeeld, een mogelijke besmetting met een bacterie of virus in een bepaalde regio vast te stellen.
48. Ik wil met name benadrukken dat de identiteit van de verwerkingsverantwoordelijke in dit verband een bijzonder belangrijke factor is. Als de gegevens worden verwerkt door een orgaan dat actief is op het gebied van de gezondheid, kan dat volgens mij een aanwijzing zijn dat de gegevens daadwerkelijk „gegevens over gezondheid” zijn. Daarentegen zouden dezelfde gegevens anders kunnen worden gekwalificeerd omdat ze niet door een gezondheidsinstelling worden verwerkt en niet aan andere gegevens over de betrokkene kunnen worden gekoppeld. Met andere woorden, een en hetzelfde gegeven kan méér informatie over iemands gezondheidstoestand onthullen wanneer het wordt verwerkt door een gezondheidsinstelling die over de vereiste competentie beschikt om die informatie te interpreteren of in het bezit is van andere gegevens over de betrokkene dan wanneer het wordt verwerkt door een orgaan dat niet actief is in deze sector.
49. In die omstandigheden ben ik van mening dat het de taak van de verwijzende rechter is om zowel de inhoud van de betrokken gegevens als de omstandigheden waarin die gegevens worden verwerkt te onderzoeken, teneinde te bepalen of daaruit met een gewisse mate van zekerheid informatie over de gezondheidstoestand van de betrokkene kan worden afgeleid.
50. Gelet op de gegevens in de beslissing van de verwijzende rechter acht ik het niettemin mogelijk enige preciseringen te geven teneinde deze rechter bij de beslechting van het hoofdgeding te leiden.(15)
3. Elementen die relevant zijn voor het onderzoek door de verwijzende rechter van de mogelijkheid om informatie over iemands gezondheidstoestand af te leiden
51. Wat de bestelde producten betreft, wijs ik er in de eerste plaats op dat de betrokken geneesmiddelen, dat wil zeggen geneesmiddelen die zonder recept verkrijgbaar zijn, in principe niet bedoeld zijn om een bepaalde aandoening te behandelen, maar meer algemeen kunnen worden gebruikt voor de behandeling van alledaagse kwalen waarmee iedereen te maken kan krijgen en die niet symptomatisch zijn voor een specifieke pathologie of gezondheidstoestand. Deze geneesmiddelen worden bovendien vaak preventief aangeschaft, zodat ze beschikbaar zijn in geval van nood of bijvoorbeeld vóór vertrek uit de gewone verblijfplaats. Ter illustratie: bij een bestelling van paracetamol kan geen enkele conclusie worden getrokken over de toestand waarin iemand precies verkeert, aangezien paracetamol geïndiceerd is voor de behandeling van een grote verscheidenheid aan pijnklachten en koortsachtige aandoeningen en doorgaans een van de geneesmiddelen is die mensen thuis, los van enige specifieke noodzaak, beschikbaar hebben.
52. In de tweede plaats betekent het feit dat iemand online een niet- receptplichtig geneesmiddel bestelt, niet noodzakelijkerwijs dat deze persoon, wiens gegevens worden verwerkt, ook de gebruiker zal zijn en niet iemand anders uit zijn gezin of directe omgeving, zoals ND opmerkt. Het komt namelijk veelvuldig voor dat iemand die een account op de betrokken website heeft een onlinebestelling plaatst namens en voor rekening van iemand die zelf geen account heeft. Bij gebreke van een recept dat de naam vermeldt van degene voor wie het geneesmiddel bestemd is en op basis waarvan moet worden aangenomen dat de gebruiker en de koper van het geneesmiddel een en dezelfde persoon zijn, kan uit de bestelling van een online vrij toegankelijk product niet worden afgeleid dat dit product bestemd is om uitsluitend door de koper te worden gebruikt. Dit betekent dat uit deze gegevens redelijkerwijs geen enkele conclusie over de gezondheidstoestand van de persoon wiens gegevens worden verwerkt, kan worden getrokken waardoor ze als „gegevens over gezondheid” zouden kunnen worden aangemerkt.
53. In de derde plaats en onder voorbehoud van de door de verwijzende rechter te verrichten verificaties geldt dit temeer daar iemand via het internet een bestelling kan plaatsen zonder concrete gegevens over zijn identiteit te hoeven verstrekken, met name wanneer het product niet op het adres van de betrokkene maar via een afhaalpunt wordt geleverd en de facturering geen andere gegevens omtrent zijn burgerlijke identiteit vergt.
54. Ik ben dan ook de mening toegedaan dat de tweede prejudiciële vraag in die zin moet worden beantwoord dat de gegevens van de klanten van een apotheek die worden ingevoerd bij een bestelling op een platform voor de onlineverkoop van geneesmiddelen die alleen in apotheken mogen worden verkocht maar zonder recept verkrijgbaar zijn, geen „gegevens over gezondheid” in de zin van artikel 4, punt 15, en artikel 9 AVG vormen, aangezien daaruit slechts hypothetische of vage conclusies over de gezondheidstoestand van degene die de bestelling online heeft geplaatst, kunnen worden getrokken, hetgeen door de verwijzende rechter moet worden nagegaan.
55. Voor het overige wil ik nog preciseren dat indien het begrip „gegevens over gezondheid” in die zin zou worden uitgelegd dat het ook de gegevens omvat die worden ingevoerd bij een bestelling op een platform voor de onlineverkoop van geneesmiddelen die alleen in apotheken mogen worden verkocht maar zonder recept verkrijgbaar zijn, dit naar mijn mening paradoxaal genoeg tot gevolg zou kunnen hebben dat er dan, gelet op de strengere beschermingsregeling van artikel 9, lid 2, AVG, méér gevoelige informatie wordt onthuld. Het verzoek om uitdrukkelijke toestemming voor de verwerking van reeds als gevoelig aangemerkte gegevens zou de koper er uiteindelijk immers toe kunnen aanzetten om de identiteit van de eindgebruiker van het product te onthullen. In deze situatie zouden dan minder onzekere conclusies over de gezondheidstoestand van die persoon kunnen worden getrokken.
B. Eerste prejudiciële vraag
56. Gelet op het antwoord dat ik voorstel te geven op de tweede prejudiciële vraag acht ik het niet noodzakelijk om de eerste prejudiciële vraag te beantwoorden. Omwille van de volledigheid en gelet op de door de verwijzende rechter te verrichten beoordeling waag ik mij echter tóch aan een analyse van deze vraag, waarmee de verwijzende rechter in wezen wenst te vernemen of hoofdstuk VIII AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling die ondernemingen het recht toekent om zich op basis van het verbod van oneerlijke mededinging te beroepen op een schending van de materiële bepalingen van deze verordening door hun concurrenten.
57. De deelnemers aan de procedure hebben deze vraag op diametraal tegengestelde wijze beantwoord. Volgens de Commissie en ND dient het bij hoofdstuk VIII AVG ingevoerde stelsel van rechtsmiddelen, uitgelegd tegen de achtergrond van de doelstellingen van deze verordening, te worden beschouwd als een uitputtend stelsel, zodat de lidstaten niet over de mogelijkheid beschikken om in hun nationale recht in andere rechtsmiddelen te voorzien.
58. De Duitse regering beweert daarentegen dat het bij hoofdstuk VIII AVG ingevoerde stelsel van rechtsmiddelen moet worden opgevat als een minimum aan rechtsmiddelen, dat door de lidstaten kan worden aangevuld. Dat dit stelsel niet uitputtend is, zou niet alleen worden gerechtvaardigd door het feit dat de AVG tevens beoogt de mededingingsvoorwaarden te beschermen en verstoringen als gevolg van eventuele verschillen in de niveaus van gegevensbescherming te voorkomen, maar ook doordat de mogelijkheid voor een concurrent om in rechte op te treden wanneer een andere concurrent de materiële bepalingen van deze verordening heeft geschonden, de effectieve werking van deze verordening zou versterken.
59. De deelnemers aan de procedure hebben hun opmerkingen dus toegespitst op de vraag of het stelsel van rechtsmiddelen waarin de AVG voorziet, moet worden opgevat als een stelsel van uitputtende harmonisatie, hetgeen naar hun mening bepalend is voor de mogelijkheid voor de lidstaten om in hun nationale recht te voorzien in andere rechtsmiddelen dan die welke in deze verordening worden geboden.
60. Om een nuttig antwoord op de eerste prejudiciële vraag te kunnen geven, is het beslist van belang om vast te stellen of het stelsel van rechtsmiddelen al dan niet van uitputtende aard is. Om de redenen die ik hieronder zal toelichten, ben ik echter van mening dat een dergelijke analyse moet worden voorafgegaan door een onderzoek van de onderliggende vraag welke personen in aanmerking komen voor de bescherming die door zowel de materiële als de procedurele voorschriften van de AVG wordt geboden. Indien de ondernemingen die verantwoordelijk zijn voor de gegevensverwerking moeten worden geacht rechten aan de AVG te kunnen ontlenen, dient deze verordening naar mijn mening namelijk aldus te worden uitgelegd dat zij van het nationale recht verlangt dat het in rechtsmiddelen voorziet om deze rechten te kunnen afdwingen. Ik zal mijn analyse dan ook hiermee beginnen, waarna ik de vraag zal beantwoorden of het bij de AVG ingevoerde stelsel van rechtsmiddelen moet worden opgevat als een uitputtend stelsel in die zin dat het uitsluit dat wanneer het nationale recht aan ondernemingen de mogelijkheid biedt om een verbodsactie wegens oneerlijke mededinging tegen een concurrent in te stellen, die vordering wordt gebaseerd op schending van de bepalingen van die verordening door een concurrent.
1. Afbakening van de personen die de door de AVG toegekende rechten genieten
61. Allereerst zal ik ingaan op de noodzaak van een dergelijke afbakening, waarna ik daadwerkelijk tot die afbakening zal overgaan. Tot slot zal ik uiteenzetten welke gevolgen het voor het antwoord op de eerste prejudiciële vraag heeft dat alleen de betrokkenen als begunstigden van de door de AVG toegekende rechten worden aangemerkt.
a) Noodzaak om de begunstigden van de door de AVG beschermde rechten af te bakenen
62. Naar mijn mening valt het feit dat het ter beantwoording van de prejudiciële vraag nodig is om eerst de begunstigden van de door de AVG beschermde rechten af te bakenen en pas daarna in te gaan op de vraag naar het uitputtende karakter van het bij deze verordening ingestelde stelsel van rechtsmiddelen, op twee manieren te verklaren.
1) Verplichting van de lidstaten om te voorzien in rechtsmiddelen waarmee aan het Unierecht ontleende rechten geldend kunnen worden gemaakt
63. Volgens vaste rechtspraak roept het Unierecht zowel verplichtingen ten laste van particulieren in het leven als rechten die dezen uit eigen hoofde kunnen doen gelden(16), waarbij het Hof onderstreept dat deze rechten onder meer ontstaan als weerslag van de verplichtingen die het Unierecht zowel aan particulieren als aan de lidstaten en de instellingen van de Unie oplegt.(17) Elke verplichting die aan een natuurlijke of rechtspersoon wordt opgelegd, heeft in de regel namelijk als tegenhanger dat aan een andere persoon een recht wordt verleend.
64. Daarnaast staat vast dat elk recht dat door het Unierecht aan een particulier wordt verleend, impliceert dat er ook een rechtsmiddel bestaat dat specifiek bedoeld is om dat recht te kunnen afdwingen, met dien verstande dat het bij gebreke van specifieke, daartoe strekkende regels van Unierecht aan de lidstaten is om de naleving van de betrokken rechten te verzekeren in het kader van nationale rechtsmiddelen.(18) Uit de rechtspraak blijkt immers duidelijk dat het aan de nationale rechter staat om de rechten te beschermen die het Unierecht aan particulieren toekent.(19)
65. Indien de AVG, zoals de Duitse regering stelt, aldus moet worden uitgelegd dat zij naast de betrokkenen ook de mededingingsvoorwaarden op de markt en uiteindelijk dus ook ondernemingen beschermt, komt dit erop neer dat deze verordening geacht moet worden rechten in het leven te roepen die die ondernemingen uit eigen hoofde kunnen doen gelden.(20)
66. In dat geval zou de naleving van de rechten die ondernemingen krachtens de AVG zouden genieten, bij gebreke van uitdrukkelijke, daartoe strekkende bepalingen van Unierecht, moeten kunnen worden verzekerd door de rechtsmiddelen waarin elke lidstaat heeft voorzien.
67. Dit zou tot gevolg hebben – zonder dat zou hoeven te worden onderzocht of het bij de AVG ingevoerde stelsel van rechtsmiddelen al dan niet uitputtend is – dat op de eerste prejudiciële vraag zou moeten worden geantwoord dat hoofdstuk VIII van deze verordening niet in die zin mag worden uitgelegd dat het niet eraan in de weg staat dat de lidstaten kunnen voorzien in de mogelijkheid voor een concurrent om een vordering wegens schending van deze verordening in te stellen tegen een andere onderneming, maar in die zin dat het juist vereist dat de naleving van de bepalingen ervan kan worden verzekerd in het kader van een vordering die door een onderneming tegen een concurrent wordt ingesteld op grond dat die concurrent die bepalingen zou hebben geschonden.(21)
68. Het antwoord op de eerste prejudiciële vraag hangt naar mijn mening dus af van de afbakening van de begunstigden van de door de AVG toegekende rechten.
2) Dubbele dimensie van het uitputtende karakter van een stelsel van rechtsmiddelen
69. Het begrip „uitputtend karakter van een stelsel van rechtsmiddelen” kent als zodanig twee verschillende dimensies. Elke dimensie vergt een eigen analyse, die moet worden voorafgegaan door een afbakening van de begunstigden van de rechten waarvan de naleving door een dergelijk stelsel wordt verzekerd.
70. De eerste dimensie heeft betrekking op het uitputtende karakter van het stelsel van rechtsmiddelen ten opzichte van elk ander rechtsmiddel dat hetzelfde recht beoogt te beschermen. Hierbij gaat het met andere woorden om het uitputtende karakter van de rechtsmiddelen waarin het Unierecht voorziet ter bescherming van de rechten die de bepalingen ervan verlenen aan particulieren. Het Hof heeft zich in zijn rechtspraak reeds uitgesproken over de gevolgen van het uitputtende karakter van de rechtsmiddelen die het Unierecht biedt ter bescherming van een recht dat op zijn beurt in het Unierecht is neergelegd. Zo heeft het bijvoorbeeld consequent geoordeeld dat naast een uitputtend door het Unierecht geharmoniseerde aansprakelijkheidsregeling nog een andere, op dezelfde feiten en grondslag gebaseerde nationaalrechtelijke aansprakelijkheidsregeling kan bestaan, mits daardoor geen afbreuk wordt gedaan aan de geharmoniseerde regeling en de doelstellingen en het nuttig effect ervan niet worden ondermijnd.(22) De uitputtende aard van een door het Unierecht geboden stelsel van rechtsmiddelen volstaat op zich dus niet om de mogelijkheid uit te sluiten dat een lidstaat in zijn nationale recht voorziet in een ander rechtsmiddel dat op datzelfde recht is gebaseerd, mits aan bepaalde voorwaarden is voldaan.
71. De tweede dimensie van het begrip „uitputtend karakter van een stelsel van rechtsmiddelen” dat door het Unierecht is ingesteld, is ruimer en doelt op het uitputtende karakter in relatie tot elk ander rechtsmiddel dat wordt aangewend door personen die niet de rechtstreekse begunstigden van door het Unierecht verleende rechten zijn maar zich daarop niettemin beroepen in het kader van een nationaal rechtsmiddel. Aldus opgevat vergt het uitputtende karakter van een door het Unierecht ingesteld stelsel van rechtsmiddelen dan ook een andere analyse.(23)
72. Ook hier blijkt dus dat een relevante analyse van het eventuele uitputtende karakter van het stelsel van rechtsmiddelen waarin de AVG voorziet, pas mogelijk is nadat is vastgesteld wie de begunstigden van de door deze verordening toegekende rechten zijn, hetgeen ik hieronder zal trachten te doen.
b) Afbakening van de begunstigden van de door de AVG beschermde rechten
73. De personele werkingssfeer van de door de AVG geboden bescherming moet naar mijn mening worden bepaald in het licht van zowel de doelstellingen als de inhoud van deze verordening.
74. Wat om te beginnen de doelstellingen van de AVG betreft, betoogt de Duitse regering dat deze verordening niet alleen beoogt een hoog en coherent niveau van bescherming voor natuurlijke personen te waarborgen, maar ook gelijke mededingingsvoorwaarden tot stand wil brengen.
75. Inderdaad kan in overweging 9 AVG worden gelezen dat verschillende niveaus van bescherming van het recht op bescherming van persoonsgegevens bij de verwerking ervan de mededinging kunnen verstoren. Dit betekent volgens mij echter nog niet dat deze verduidelijking in die zin kan worden uitgelegd dat het waarborgen van een vrije en onvervalste mededinging daarmee een doelstelling van de AVG wordt. Het feit dat verschillen in de regelgeving van de lidstaten met betrekking tot de voorschriften die ondernemingen in acht moeten nemen, tot verstoringen van de mededinging leiden, lijkt mij gewoon een constatering, die niet alleen geldt voor de AVG. Wanneer materiële bepalingen het marktoptreden van ondernemingen in de ene lidstaat strenger reguleren dan in de andere lidstaat, leidt dit noodzakelijkerwijs tot een zeker concurrentievoordeel voor ondernemingen die hun activiteiten in laatstgenoemde lidstaat ontplooien ten opzichte van ondernemingen die in eerstgenoemde lidstaat zijn gevestigd, dat door elke harmonisatiemaatregel kan worden geneutraliseerd.
76. Deze uitlegging vindt volgens mij ook steun in het feit dat overweging 9 AVG verwijst naar de noodzaak om „het vrije verkeer van persoonsgegevens binnen de Unie”, dat mogelijk door verschillen in de nationale rechtskaders wordt bedreigd, te waarborgen.
77. Bovendien doelt overweging 9 AVG, zoals de Commissie ter terechtzitting heeft opgemerkt, niet op de mededinging tussen alle ondernemingen, maar vooral op de mededinging tussen ondernemingen uit twee verschillende lidstaten die wordt veroorzaakt door het bestaan van verschillende rechtskaders. Met andere woorden, in wezen gaat het erom gelijke mededingingsvoorwaarden in de verschillende lidstaten te waarborgen door ondernemingen aan geharmoniseerde voorschriften te onderwerpen, ook al dragen die voorschriften er incidenteel toe bij dat geen enkele onderneming een concurrentievoordeel ten opzichte van andere ondernemingen binnen een en dezelfde lidstaat geniet.
78. Naar mijn mening heeft de AVG dus niet tot doel om een vrije en onvervalste mededinging binnen de interne markt te waarborgen.
79. Ik wijs er voorts op dat geen enkele materiële bepaling van de AVG tot doel heeft een vrije en onvervalste mededinging tussen ondernemingen te waarborgen en ondernemingen als adressaten van de door deze verordening geboden bescherming aan te merken. Integendeel, deze bepalingen strekken er in hoofdzaak toe om verplichtingen op te leggen aan ondernemingen die verantwoordelijk zijn voor de verwerking van gegevens. Weliswaar heeft elke verplichting die wordt opgelegd aan een natuurlijke of rechtspersoon noodzakelijkerwijs als tegenhanger dat aan iemand anders een recht wordt toegekend, zoals ik reeds heb opgemerkt, doch dit laat onverlet dat de enige begunstigden van de in geding zijnde rechten niet de ondernemingen zijn maar de personen wier gegevens door hen worden verwerkt. De titel van de AVG is in dit opzicht veelzeggend, omdat deze enkel van de bescherming van natuurlijke personen spreekt.
80. Ten slotte wil ik met betrekking tot de procedurele bepalingen van hoofdstuk VIII AVG nog onderstrepen dat, zoals reeds opgemerkt, deze enkel een rechtsmiddel bieden aan de betrokkenen en aan de organisaties die hen vertegenwoordigen. Deze beperking van de personen die op grond van de bepalingen van de AVG in rechte kunnen optreden tegen een aantasting van de bescherming van hun persoonsgegevens, duidt er mijns inziens onomstotelijk op dat zij de enige adressaten van deze bescherming zijn. Ik acht het namelijk weinig consistent om van de AVG een instrument ter bescherming van de rechten van concurrenten te maken zonder dat deze verordening in enig rechtsmiddel voorziet waarmee die concurrenten in rechte kunnen opkomen tegen een schending van deze rechten, terwijl in dergelijke rechtsmiddelen wél uitdrukkelijk is voorzien wanneer de bescherming van de rechten van de betrokkenen in het geding is.
81. Ik ben dan ook van mening dat ondernemingen geen adressaten van de door de AVG geboden bescherming zijn, omdat deze verordening alleen rechten toekent aan de betrokkenen.
c) Gevolgen van de uitlegging van de AVG als een regeling die uitsluitend de betrokkenen beschermt
82. De uitlegging van de AVG dat de bepalingen van deze verordening geen rechten aan ondernemingen maar uitsluitend aan de betrokkenen verlenen, noopt mij tot de volgende conclusies.
83. In de eerste plaats sluit deze uitlegging naar mijn mening uit, zoals ik reeds uiteen heb gezet, dat de naleving van de bepalingen van de AVG moet kunnen worden verzekerd in het kader van een vordering die door een onderneming tegen een concurrent wordt ingesteld op grond dat die concurrent deze bepalingen zou hebben geschonden.
84. Aangezien de kring van begunstigden van de rechten die de AVG toekent, uitsluitend beperkt is tot de betrokkenen, denk ik in de tweede plaats dat de rechtspraak van het Hof betreffende de mogelijkheid voor de lidstaten om in hun nationale recht te voorzien in aanvullende rechtsmiddelen voor degenen die deze rechten genieten, mits deze rechtsmiddelen geen afbreuk doen aan het geharmoniseerde stelsel van rechtsmiddelen en de doelstellingen daarvan niet ondermijnen, niet rechtstreeks kan worden toegepast op de in casu in geding zijnde situatie.(24) Zoals ik hieronder zal aantonen, kan deze rechtspraak echter wél als basis voor de analyse van deze situatie dienen.
85. Volgens deze opvatting van het begrip „uitputtend karakter van een stelsel van rechtsmiddelen” moet namelijk worden vastgesteld of het bij de AVG ingevoerde stelsel van rechtsmiddelen moet worden beschouwd als een uitputtend stelsel in die zin dat het uitsluit dat in het nationale recht andere rechtsmiddelen voor de betrokkenen openstaan dan die waarin deze verordening voorziet.
86. In het hoofdgeding staat een vordering centraal die is ingesteld door een onderneming die niet tot de begunstigden van de door de AVG verleende rechten behoort.
87. Gelet op het feit dat de AVG geen rechten aan ondernemingen of hun concurrenten toekent, is in casu derhalve uitsluitend de vraag relevant of het bij de AVG ingevoerde stelsel van rechtsmiddelen moet worden opgevat als een uitputtend stelsel in die zin dat deze verordening ook uitsluit dat ondernemingen zich in het kader van nationale rechtsmiddelen op een schending van de bepalingen ervan kunnen beroepen, hetgeen ik hieronder zal onderzoeken.
2. Mogelijkheid dat personen waaraan de AVG geen rechten toekent, een rechtsmiddel op basis van het nationale recht aanwenden
88. De vraag of de bepalingen inzake het stelsel van rechtsmiddelen waarin de AVG voorziet, eraan in de weg staan dat ondernemingen zich op een schending van de bepalingen van deze verordening beroepen in het kader van een naar nationaal recht openstaand rechtsmiddel, moet volgens mij in twee stappen worden beantwoord.
89. Om deze vraag te beantwoorden, moet namelijk worden onderzocht, ten eerste, of ondernemingen zich op de bepalingen van de AVG kunnen beroepen, ook al kennen die bepalingen hun geen rechten toe, en, ten tweede, wat precies de wisselwerking is tussen die rechtsmiddelen en het stelsel van rechtsmiddelen waarin deze verordening voorziet.
90. Wat ten eerste de vraag betreft of ondernemingen zich op de bepalingen van de AVG kunnen beroepen, merk ik op dat zij die bepalingen slechts incidenteel kunnen inroepen in het kader van vorderingen die op basis van het nationale recht worden ingesteld, zoals de in het hoofdgeding centraal staande vordering. Meer in het bijzonder stelt de onderneming een vordering in op basis van het nationale recht, namelijk het verbod van oneerlijke mededinging. Het oneerlijke karakter van de betrokken handelspraktijk zou dus voortvloeien uit een schending van de AVG. Met andere woorden, de vordering is niet gebaseerd op een schending van de bepalingen van de AVG, maar neemt een dergelijke schending incidenteel in aanmerking.(25)
91. Een dergelijke incidentele inaanmerkingneming is door het Hof reeds erkend, zij het in een andere context. Het Hof heeft namelijk in het arrest Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een sociaal netwerk) geoordeeld dat „gegevensverwerking die wordt verricht door een onderneming met een machtspositie en die misbruik van die positie kan opleveren, niet verenigbaar is met [de AVG]”(26) en dat het in het algemeen noodzakelijk is om „de regels inzake de bescherming van persoonsgegevens [niet uit te sluiten] van het rechtskader dat de mededingingsautoriteiten bij het onderzoek naar misbruik van een machtspositie in aanmerking moeten nemen”.(27) Met andere woorden, het Hof erkent dat schending van de bepalingen van de AVG een schending van het mededingingsrecht kan opleveren.
92. Hoewel het Hof deze vaststelling niet heeft gedaan in het kader van een geding tussen particulieren maar in het kader van het onderzoek van een mededingingsverstorende gedraging door een nationale mededingingsautoriteit, zie ik geen enkele reden waarom de mogelijkheid van een incidentele inaanmerkingneming van een schending van de bepalingen van de AVG beperkt zou moeten zijn tot dit ene geval.
93. Wanneer in het mededingingsrecht een dergelijke inaanmerkingneming wordt toegestaan op het gebied van public enforcement, moet die mogelijkheid volgens mij namelijk ook worden geboden in het kader van private enforcement, dat wil zeggen in het kader van gedingen tussen particulieren die niet in hoofdzaak gebaseerd zijn op een schending van een door de AVG toegekend recht, omdat anders zou moeten worden aanvaard dat particulieren geen vergoeding kunnen krijgen voor de schade die is veroorzaakt door een inbreuk op het mededingingsrecht, terwijl die inbreuk wél door een mededingingsautoriteit is vastgesteld.
94. Bovendien kan de bescherming van persoonsgegevens, zoals advocaat-generaal Richard de la Tour heeft opgemerkt, „mogelijke vertakkingen [...] hebben op andere gebieden, met name betreffende het arbeidsrecht, het mededingingsrecht of het consumentenrecht”.(28) Deze invloed van de AVG op andere gebieden lijkt tot de conclusie te dwingen dat de bepalingen van deze verordening in aanmerking moeten kunnen worden genomen in het kader van vorderingen die in hoofdzaak zijn gebaseerd op bepalingen die geen deel uitmaken van de AVG.
95. Wat ten tweede de vraag betreft naar de wisselwerking tussen nationale rechtsmiddelen waarbij de bepalingen van de AVG incidenteel in aanmerking worden genomen en het bij deze verordening ingevoerde stelsel van rechtsmiddelen, ben ik van mening dat dergelijke rechtsmiddelen alleen zouden mogen worden erkend voor zover zij geen afbreuk doen aan het bij deze verordening ingevoerde stelsel van rechtsmiddelen en de doelstellingen ervan niet ondermijnen.
96. Deze voorwaarden zijn ontwikkeld in de rechtspraak over het uitputtende karakter van een geharmoniseerd stelsel van rechtsmiddelen ten opzichte van nationale rechtsmiddelen die op hetzelfde recht zijn gebaseerd.(29) Naar mijn mening moet daaraan dus a fortiori worden voldaan wanneer het gaat om nationale voorschriften die aan ondernemingen het recht toekennen om beroep in te stellen niet op basis van hetzelfde recht maar op basis van het nationale recht en zich daarbij niettemin op een schending van de materiële bepalingen van de AVG door een andere onderneming te beroepen.
97. In casu moet derhalve worden onderzocht of aan deze voorwaarden is voldaan.
98. Wat in de eerste plaats de vraag betreft of een verbodsactie die een onderneming tegen een concurrent instelt op grond dat die concurrent de bepalingen van de AVG zou hebben geschonden, afbreuk doet aan het stelsel van rechtsmiddelen waarin hoofdstuk VIII van die verordening voorziet, ben ik van mening dat dit niet het geval is. Deze rechtsmiddelen bieden betrokkenen of door hen gemachtigde organen, organisaties of verenigingen zonder winstoogmerk namelijk de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit (artikel 77), een voorziening in rechte in te stellen tegen een besluit van een toezichthoudende autoriteit (artikel 78), een procedure tegen een verwerkingsverantwoordelijke of een verwerker in te stellen (artikel 79) of van de verwerkingsverantwoordelijke of de verwerker vergoeding te krijgen van de schade die als gevolg van een inbreuk op deze verordening is geleden (artikel 82).
99. Anders gezegd, zoals het Hof in zijn rechtspraak onderstreept, regelt hoofdstuk VIII AVG „de rechtsmiddelen waarmee de rechten van de betrokkene kunnen worden beschermd wanneer zijn persoonsgegevens beweerdelijk in strijd met de bepalingen van de verordening zijn verwerkt”, waarbij de bescherming van deze rechten kan „worden ingeroepen hetzij rechtstreeks door de betrokkene, hetzij door een daartoe gemachtigde entiteit, al dan niet met een daartoe strekkende opdracht”.(30)
100. De vordering die een onderneming tegen een concurrent zou kunnen instellen op grond dat die concurrent de bepalingen van de AVG heeft geschonden berust uiteindelijk dus weliswaar op schending van dezelfde bepaling, maar beoogt niet hetzelfde doel en houdt niet dezelfde partijen verdeeld. Anders gezegd, dit nationale rechtsmiddel is niet in het leven geroepen om de naleving te verzekeren van de rechten waarvan de betrokkenen de adressaat zijn.
101. Hieruit volgt mijns inziens dat de rechtsmiddelen waarover de betrokkenen op grond van het bij de AVG ingevoerde stelsel van rechtsmiddelen beschikken, nog steeds openstaan en nog steeds kunnen worden aangewend, ook al is door een onderneming een vordering tegen een concurrent ingesteld.
102. Ik wil hier nog verduidelijken dat ik niet inzie in hoeverre dergelijke rechtsmiddelen, zoals de Commissie stelt, afbreuk zouden kunnen doen aan het bij de AVG ingevoerde publiekrechtelijke handhavingsstelsel, aangezien deze verordening naast een dergelijk publiekrechtelijk stelsel reeds uitdrukkelijk in de mogelijkheid voor een betrokkene voorziet om de rechten die hij krachtens de AVG geniet, af te dwingen in het kader van een gerechtelijke procedure.
103. Wat voorts de doelstellingen van de AVG aangaat, blijkt uit overweging 10 ervan dat deze verordening onder meer tot doel heeft om zowel natuurlijke personen een hoog beschermingsniveau te bieden als om te zorgen voor een coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens.
104. De verwezenlijking van een van deze doelstellingen lijkt mij niet in gevaar te komen doordat een onderneming de mogelijkheid wordt geboden om op grond van het verbod van oneerlijke mededinging een verbodsactie tegen een concurrent in te stellen wegens schending van de bepalingen van de AVG. Ten eerste denk ik dat het hoge beschermingsniveau van natuurlijke personen in verband met de verwerking van hun persoonsgegevens wordt bereikt of zelfs nog beter wordt bereikt indien de mogelijkheid om zich op schending door een onderneming van de materiële bepalingen van de AVG te beroepen wordt uitgebreid tot de concurrenten van die onderneming. Ten tweede wordt de verwezenlijking van de doelstelling van een coherente en homogene bescherming in de Unie niet ondermijnd door het feit dat deze bepalingen op ruimere schaal, door andere personen dan alleen de betrokkenen zelf, kunnen worden ingeroepen. Ook al zouden de lidstaten niet in een dergelijke mogelijkheid voorzien, dan nog zou dit namelijk niet tot een gefragmenteerde toepassing van de gegevensbescherming in de Unie leiden, aangezien de materiële bepalingen van de AVG in gelijke mate voor alle ondernemingen gelden en de naleving ervan wordt verzekerd door de rechtsmiddelen waarin deze verordening voorziet.
105. Wat ten slotte het nuttig effect van de AVG betreft, dit wordt volgens mij niet ondermijnd indien aan een onderneming de mogelijkheid wordt geboden om een verbodsactie tegen een concurrent in te stellen op grond dat die concurrent de AVG zou hebben geschonden. Integendeel, doordat de naleving van de bepalingen van deze verordening ook kan worden verzekerd in het kader van andere gerechtelijke procedures dan die waarin het bij deze verordening ingevoerde stelsel van rechtsmiddelen voorziet, wordt het nuttig effect van de AVG juist versterkt.
106. In deze omstandigheden ben ik van mening dat een verbodsactie die door een onderneming tegen een concurrent wordt ingesteld op grond dat die concurrent de bepalingen van de AVG zou hebben geschonden, kan bestaan naast de rechtsmiddelen waarin hoofdstuk VIII AVG voorziet, aangezien een dergelijke verbodsactie geen afbreuk doet aan deze rechtsmiddelen en de doelstellingen en het nuttig effect van deze verordening niet ondermijnt.
107. Ik stel het Hof derhalve voor om voor recht te verklaren dat hoofdstuk VIII AVG zich niet verzet tegen een nationale regeling die aan ondernemingen het recht toekent om zich op basis van het verbod van oneerlijke mededinging te beroepen op schending van de materiële bepalingen van deze verordening door hun concurrenten.
V. Conclusie
108. Gelet op het voorgaande geef ik het Hof in overweging de prejudiciële vragen van het Bundesgerichtshof te beantwoorden als volgt:
„Artikel 4, punt 15, en artikel 9, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moeten aldus worden uitgelegd dat
de gegevens van klanten van een apotheek die worden ingevoerd bij een bestelling op een platform voor de onlineverkoop van geneesmiddelen die alleen in apotheken mogen worden verkocht maar zonder recept verkrijgbaar zijn, geen ‚gegevens over gezondheid’ zijn.”