Začasna izdaja
SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
MACIEJA SZPUNARJA,
predstavljeni 25. aprila 2024(1)
Zadeva C-21/23
ND
proti
DR
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija))
„Predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Pravna sredstva – Razmejitev pravnih sredstev – Obdelava posebnih vrst osebnih podatkov – Pojma ‚podatki v zvezi z zdravjem‘ in ‚podatki o zdravstvenem stanju‘“
I. Uvod
1. Ta zadeva se nanaša na razlago več določb Uredbe (EU) 2016/679(2) (v nadaljevanju: SUVP) v zvezi s sistemom pravnih sredstev, uvedenim s to uredbo, na eni strani in vrsto posebno občutljivih podatkov, to je „podatkov o zdravstvenem stanju“, na drugi strani.
2. Predlog za sprejetje predhodne odločbe spada v okvir opustitvene tožbe, ki jo je na podlagi prepovedi dejanj nelojalne konkurence po nacionalnem pravu vložilo podjetje, da bi eden od njegovih konkurentov prenehal s spletno prodajo zdravil, za katera ni potreben recept. Zatrjevano dejanje nelojalne konkurence po mnenju tega podjetja pomeni neupoštevanje zahtev, ki iz SUVP izhajajo v zvezi z obdelavo „podatkov o zdravstvenem stanju“.
3. Analizo bom začel s preučitvijo drugega vprašanja za predhodno odločanje, na podlagi katere bo lahko Sodišče pojasnilo obseg pojma „podatki o zdravstvenem stanju“, od katerega je odvisno, ali se okrepljeni sistem varstva uporablja ali ne.
4. Če namreč podatkov iz obravnavane zadeve ne bi bilo mogoče opredeliti kot „podatke o zdravstvenem stanju“ v smislu člena 9(1) SUVP, bi to pomenilo, da zatrjevano dejanje nelojalne konkurence ni podano. Zato ne bi bilo koristno odgovoriti na prvo vprašanje za predhodno odločanje, ki se nanaša na to, ali sistem pravnih sredstev, uveden s SUVP, dovoljuje obstoj pravnega sredstva v nacionalnem pravu, ki temelji na kršitvi pravil o prepovedi dejanj nelojalne konkurence in v okviru katerega se tožeča stranka sklicuje na kršitev materialnopravnih določb SUVP.
II. Pravni okvir
A. Pravo Unije
1. Direktiva 95/46/ES
5. Člen 8(1) Direktive 95/46/ES(3) določa:
„Države članice prepovejo obdelavo osebnih podatkov, ki kažejo na rasni ali etnični izvor, politična mnenja, verska ali filozofska prepričanja, pripadnost sindikatu, in obdelavo podatkov v zvezi z zdravjem ali spolnim življenjem.“
2. SUVP
6. V uvodnih izjavah 9, 10, 13, 35, 51 in 142 SUVP je navedeno:
„(9) Cilji in načela [Direktive 95/46] še vedno veljajo, vendar to ni preprečilo razdrobljenosti izvajanja varstva osebnih podatkov v Uniji, pravne negotovosti ali razširjenega javnega mnenja, da so precejšnja tveganja za varstvo posameznikov, zlasti glede spletne dejavnosti. Različne ravni varstva pravic in svoboščin posameznikov, zlasti pravice do varstva osebnih podatkov, pri obdelavi osebnih podatkov v državah članicah lahko preprečijo prosti pretok osebnih podatkov po celotni Uniji. Te razlike lahko pomenijo oviro pri izvajanju gospodarskih dejavnosti na ravni Unije, izkrivljajo konkurenco in ovirajo organe pri izpolnjevanju njihovih obveznosti po pravu Unije. Take različne ravni varstva izhajajo iz različnega izvajanja in uporabe [Direktive 95/46].
(10) Za zagotovitev dosledne in visoke ravni varstva posameznikov ter odstranitev ovir za prenos osebnih podatkov v Uniji bi morala biti raven varstva pravic in svoboščin posameznikov pri obdelavi osebnih podatkov enaka v vseh državah članicah. V vsej Uniji bi bilo treba zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov. […]
[…]
(13) Da se zagotovi skladna raven varstva posameznikov v vsej Uniji in prepreči, da bi razlike ovirale prosti pretok osebnih podatkov na notranjem trgu, je potrebna uredba, ki bo gospodarskim subjektom, tudi mikro, malim in srednjim podjetjem, zagotovila pravno varnost in preglednost, posameznikom v vseh državah članicah zagotovila enako raven pravno izvršljivih pravic ter obveznosti in odgovornosti upravljavcev in obdelovalcev, zagotovila dosledno spremljanje obdelave osebnih podatkov, enakovredne sankcije v vseh državah članicah in učinkovito sodelovanje nadzornih organov različnih držav članic. […]
[…]
(35) Osebni podatki v zvezi z zdravjem bi morali obsegati vse podatke o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki, ki razkrivajo informacije o njegovem preteklem, sedanjem ali prihodnjem telesnem ali duševnem zdravstvenem stanju. To vključuje informacije o posamezniku, zbrane med registracijo za storitve zdravstvenega varstva ali njihovim zagotavljanjem zadevnemu posamezniku, kakor je določeno v [Direktivi 2011/24/EU(4)]; številko, znak ali posebno oznako, dodeljeno posamezniku za njegovo edinstveno identifikacijo v zdravstvene namene; informacije, pridobljene s testiranjem ali preiskavo dela telesa ali telesne snovi, vključno z informacijami, pridobljenimi iz genetskih podatkov in bioloških vzorcev, in vse informacije o, na primer, bolezni, invalidnosti, tveganju za nastanek bolezni, zdravstveni anamnezi, kliničnem zdravljenju ali fiziološkem ali biomedicinskem stanju posameznika, na katerega se nanašajo osebni podatki, ne glede na vir teh podatkov, na primer zdravnik ali drug zdravstveni delavec, bolnišnica, medicinski pripomoček ali diagnostični preskus in vitro.
[…]
(51) Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine. […] Takšni osebni podatki se ne bi smeli obdelovati, razen če je obdelava dovoljena v posebnih primerih iz te uredbe, pri čemer je treba upoštevati, da se lahko v pravu držav članic opredelijo posebne določbe o varstvu podatkov, s katerimi se prilagodi uporaba pravil iz te uredbe zaradi izpolnjevanja pravne obveznosti ali zaradi izvajanja naloge v javnem interesu ali izvajanja javne oblasti, dodeljene upravljavcu. Poleg posebnih zahtev za takšno obdelavo bi morala veljati splošna načela in druga pravila iz te uredbe, zlasti glede pogojev zakonite obdelave. Izrecno bi morala biti določena odstopanja od splošne prepovedi obdelave takšnih posebnih vrst osebnih podatkov, med drugim kadar posameznik, na katerega se nanašajo osebni podatki, da izrecno privolitev, ali glede posebnih potreb, zlasti kadar se obdelava izvaja v okviru zakonitih dejavnosti nekaterih združenj ali ustanov, katerih namen je omogočiti uresničevanje temeljnih svoboščin.
[…]
(142) Kadar posameznik, na katerega se nanašajo osebni podatki, meni, da so bile kršene njegove pravice iz te uredbe, bi moral imeti pravico, da pooblasti telo, organizacijo ali združenje, ki je nepridobitne narave, ustanovljeno v skladu s pravom države članice, katerega statutarno določeni cilji so v javnem interesu ter je dejavno na področju varstva osebnih podatkov, da v njegovem imenu vloži pritožbo pri nadzornem organu, uveljavlja pravico do pravnega sredstva v imenu posameznikov, na katere se nanašajo osebni podatki, ali, če je tako določeno v pravu države članice, uveljavlja pravico do odškodnine v imenu posameznikov, na katere se nanašajo osebni podatki. Država članica lahko zahteva, da mora tako telo, organizacija ali združenje imeti pravico, da neodvisno od pooblastila posameznika, na katerega se nanašajo osebni podatki, v tej državi članici vloži pritožbo, in pravico do učinkovitega pravnega sredstva, kadar utemeljeno meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, kršene zaradi obdelave osebnih podatkov, ki krši to uredbo. To telo, organizacija ali združenje ne sme zahtevati odškodnine v imenu posameznika, na katerega se nanašajo osebni podatki, neodvisno od pooblastila posameznika.“
7. Člen 1 te uredbe, naslovljen „Predmet urejanja in cilji“, določa:
„1. Ta uredba določa pravila o varstvu posameznikov pri obdelavi osebnih podatkov in pravila o prostem pretoku osebnih podatkov.
2. Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.
3. Prosti pretok osebnih podatkov v Uniji ne sme biti omejen ali prepovedan iz razlogov, povezanih z varstvom posameznikov pri obdelavi osebnih podatkov.“
8. Člen 4 navedene uredbe določa:
„V tej uredbi:
(1) ,osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika; […]
(15) ,podatki o zdravstvenem stanju‘ pomeni osebne podatke, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju;
[…]“
9. Člen 9 iste uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:
„1. Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.
2. Odstavek 1 se ne uporablja, če velja eno od naslednjega:
(a) posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;
[…]
(h) obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3;
[…]“
10. Členi od 77 do 84 so v poglavju VIII SUVP, naslovljenem „Pravna sredstva, odgovornost in kazni“.
11. Člen 77 te uredbe, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, v odstavku 1 določa:
„Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.“
12. Člen 78 navedene uredbe, naslovljen „Pravica do učinkovitega pravnega sredstva zoper nadzorni organ“, v odstavku 1 določa:
„Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.“
13. Člen 79 iste uredbe, naslovljen „Pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca“, v odstavku 1 določa:
„Brez poseganja v katero koli razpoložljivo upravno ali izvensodno sredstvo, vključno s pravico do vložitve pritožbe pri nadzornem organu na podlagi člena 77, ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni bila v skladu s to uredbo.“
14. Člen 80 SUVP, naslovljen „Zastopanje posameznikov, na katere se nanašajo osebni podatki“, določa:
„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da pooblasti neprofitno telo, organizacijo ali združenje, ki je ustrezno ustanovljeno v skladu s pravom države članice, in katerega statutarno določeni cilji so v javnem interesu ter je dejavno na področju varstva pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, kar zadeva varstvo njihovih osebnih podatkov, da vloži pritožbo v njegovem imenu in da v njegovem imenu uveljavlja pravice iz členov 77, 78 in 79 ter da v njegovem imenu uveljavlja pravico do odškodnine iz člena 82, kadar tako določa pravo države članice.
2. Države članice lahko določijo, da ima katero koli telo, organizacija ali združenje iz odstavka 1 tega člena neodvisno od pooblastila posameznika, na katerega se nanašajo osebni podatki, v tej državi članici pravico, da vloži pritožbo pri nadzornem organu, ki je pristojen na podlagi člena 77, in da uveljavlja pravice iz členov 78 in 79, če meni, da so pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave.“
15. Člen 82 te uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavku 1 določa:
„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“
16. Člen 84 navedene uredbe, naslovljen „Kazni“, v odstavku 1 določa:
„Države članice določijo pravila o drugih kaznih, ki se uporabljajo za kršitve te uredbe, zlasti za kršitve, za katere se ne uporabljajo upravne globe v skladu s členom 83, in sprejmejo vse potrebne ukrepe za zagotovitev, da se te kazni izvajajo. Te kazni morajo biti učinkovite, sorazmerne in odvračilne.“
B. Nemško pravo
1. Zakon o preprečevanju nelojalne konkurence
17. Člen 3 Gesetz gegen den unlauteren Wettbewerb (zakon o preprečevanju nelojalne konkurence) z dne 3. julija 2004(5) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: zakon o preprečevanju nelojalne konkurence), naslovljen „Prepoved nepoštenega poslovnega ravnanja“, v odstavku 1 določa, da so „[n]epoštene poslovne prakse [...] prepovedane“.
18. Člen 3a tega zakona, naslovljen „Kršitev prava“, določa:
„Nelojalno ravna, kdor krši zakonsko določbo, s katero se med drugim v interesu udeležencev na trgu ureja ravnanje na trgu, če lahko ta kršitev občutno poseže v interese potrošnikov, drugih udeležencev na trgu ali konkurentov.“
19. Člen 8 navedenega zakona, naslovljen „Odprava in opustitev“, določa:
„(1) Zoper vsakogar, čigar poslovno ravnanje je v nasprotju s členom 3 ali 7, je mogoče vložiti tožbo za odpravo ali v primeru ponovitvene nevarnosti opustitveno tožbo. […]
[…]
(3) Tožbi iz odstavka 1 lahko vložijo:
[…]
1. vsi konkurenti, ki v nezanemarljivem obsegu in redno prodajajo blago ali storitve ali povprašujejo po njih,
[…]“
2. Zakon o zdravilih
20. Pretok zdravil ureja Arzneimittelgesetz (zakon o zdravilih) z dne 24. avgusta 1976 v različici, objavljeni 12. decembra 2005(6), kakor je bil nazadnje spremenjen s členom 8c zakona z dne 20. decembra 2022(7). V tem zakonu se razlikuje med zdravili, ki se prodajajo v lekarnah in na katera se nanašajo členi od 43 (naslovljen „Obvezna distribucija v lekarnah“) do 47, in zdravili, ki se izdajajo na recept, iz člena 48, naslovljenega „Obvezna izdaja na recept“.
III. Dejansko stanje v postopku v glavni stvari, postopek in vprašanje za predhodno odločanje
21. Osebi ND in DR vodita vsaka svojo lekarno. Vlagateljica revizije v postopku v glavni stvari, oseba ND, je poleg tega imetnica dovoljenja za prodajo po pošti in svoje izdelke, vključno z zdravili, ki se lahko prodajajo le v lekarnah, prodaja tudi prek Amazon Marketplace (v nadaljevanju: Amazon), platforme za elektronsko trgovanje, prek katere lahko prodajalci izdelke prodajajo neposredno potrošnikom.
22. Nasprotna stranka v postopku v glavni stvari, oseba DR, je vložila opustitveno tožbo, da bi se osebi ND prepovedala prodaja zdravil, ki se lahko prodajajo le v lekarnah, na platformi za spletno prodajo Amazon. Po mnenju osebe DR taka prodaja pomeni nepošteno poslovno ravnanje, saj oseba ND s tem krši zakonsko določbo v smislu člena 3a zakona o preprečevanju nelojalne konkurence, in sicer zlasti člen 9 SUVP, ki se nanaša na pridobitev predhodne izrecne privolitve stranke v obdelavo njenih osebnih podatkov o zdravstvenem stanju.
23. Landgericht Dessau-Roßlau (deželno sodišče v Dessau-Roßlauu, Nemčija) je tej tožbi ugodilo. Oberlandesgericht Naumburg (višje deželno sodišče v Naumburgu, Nemčija) je nato zavrnilo pritožbo, ki jo je vložila oseba ND, pri čemer je odločilo, da je to, da ta oseba na Amazonu prodaja zdravila, ki se lahko prodajajo le v lekarnah, v nasprotju z zakonom o preprečevanju nelojalne konkurence. Po mnenju tega sodišča namreč ta prodaja pomeni obdelavo podatkov o zdravstvenem stanju v smislu člena 9(1) SUVP, v katero naj stranke ne bi izrecno privolile. Določbe SUVP pa naj bi bilo treba šteti za pravila o ravnanju na trgu v smislu nacionalnega konkurenčnega prava, tako da naj bi imela oseba DR kot konkurentka pravico uveljavljati opustitveni zahtevek na podlagi nacionalnega konkurenčnega prava in se pri tem sklicevati na kršitev določb te uredbe s strani osebe ND.
24. Oseba ND je pri predložitvenem sodišču, Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija), vložila revizijo, s katero vztraja pri svojih predlogih za zavrnitev opustitvene tožbe.
25. Po navedbah predložitvenega sodišča je izid revizije odvisen od razlage poglavja VIII SUVP in člena 9 te uredbe ter člena 8(1) Direktive 95/46.
26. To sodišče namreč na eni strani poudarja, da je treba ugotoviti, ali ima tožeča stranka iz postopka v glavni stvari kot konkurentka potrebno procesno upravičenje za to, da zaradi kršitev SUVP na podlagi prepovedi izvajanja nepoštenih poslovnih praks proti kršitelju vloži tožbo pred civilnimi sodišči. Predložitveno sodišče pojasnjuje, da gre za sporno vprašanje, na katero je mogoče odgovoriti, da so pravila iz SUVP, namenjena izvajanju njenih določb, izčrpna, tako da je procesno upravičenje konkurentov na podlagi konkurenčnega prava izključeno. Vendar je mogoče tudi trditi, da določbe SUVP, ki se nanašajo na nadzor nad uporabo prava, niso izčrpne in da imajo torej konkurenti potrebno procesno upravičenje za uveljavljanje opustitvenih zahtevkov z vložitvijo tožbe zaradi kršitve te uredbe.
27. Na drugi strani predložitveno sodišče trdi, da je treba ugotoviti, ali so podatki, ki jih morajo stranke vnesti ob spletnem naročilu zdravil, ki jih lahko prodajajo le lekarnarji, vendar zanje ni potreben recept, podatki o zdravstvenem stanju v smislu člena 9(1) SUVP in pred tem člena 8(1) Direktive 95/46, ker je opustitveni zahtevek dopusten le, če je bilo ravnanje osebe ND nezakonito v času nastanka in ob reviziji.
28. V teh okoliščinah je Bundesgerichtshof (zvezno vrhovno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:
„1) Ali določbe iz poglavja VIII [SUVP] nasprotujejo nacionalni ureditvi, ki – poleg pooblastil za poseganje, ki jih priznava nadzornim organom, pristojnim za spremljanje in izvajanje Uredbe, in možnosti pravnega varstva, ki jih priznava posameznikom, na katere se nanašajo osebni podatki – konkurentom priznava pravico, da zaradi kršitev Splošne uredbe o varstvu podatkov na podlagi prepovedi izvajanja nepoštenih poslovnih praks proti kršitelju vložijo tožbo pred civilnimi sodišči?
2) Ali so podatki, ki jih morajo stranke lekarnarja, ki nastopa kot prodajalec v spletni trgovini, v tej trgovini vnesti pri naročanju zdravil, ki se sicer prodajajo samo v lekarni, zanje pa ni potreben recept (ime stranke, naslov za dostavo in informacije, potrebne za določitev naročenega zdravila, ki se lahko izdaja v lekarni), podatki o zdravstvenem stanju v smislu člena 9(1) [SUVP] in podatki v zvezi z zdravjem v smislu člena 8(1) Direktive 95/46/ES?“
29. Ta predlog za sprejetje predhodne odločbe je na Sodišče prispel 19. januarja 2023. Pisna stališča so predložile stranki v postopku v glavni stvari, nemška vlada in Evropska komisija. Vse te stranke so bile zastopane na obravnavi, ki je bila opravljena 9. januarja 2024.
IV. Analiza
30. V obravnavani zadevi oseba DR trdi, da je oseba ND kršila člen 9 SUVP s tem, da je obdelovala podatke strank, ki so na spletu naročile zdravila, za katera ni potreben recept, ne da bi upoštevala zahteve po pridobitvi izrecne privolitve strank v obdelavo teh podatkov.
31. Predložitveno sodišče s prvim vprašanjem za predhodno odločanje v bistvu sprašuje, ali je treba določbe poglavja VIII SUVP razlagati tako, da nasprotujejo nacionalni ureditvi, s katero se podjetjem priznava pravica, da se na podlagi prepovedi dejanj nelojalne konkurence sklicujejo na domnevne kršitve materialnopravnih določb SUVP s strani konkurentov. To sodišče z drugim vprašanjem za predhodno odločanje Sodišče sprašuje, ali je treba člen 9 SUVP razlagati tako, da zadevni podatki pomenijo zdravstvene podatke in torej spadajo med posebne vrste podatkov iz te določbe.(8)
32. Najprej naj navedem, da – kot sem že poudaril – v primeru nikalnega odgovora na drugo vprašanje ne bi bilo treba odgovoriti na prvo vprašanje, ker bi odgovor Sodišča zadostoval za to, da bi lahko predložitveno sodišče odločilo o sporu, ki poteka pred njim. V teh okoliščinah se mi zdi primerno, da analizo vprašanj za predhodno odločanje začnem s tem drugim vprašanjem.
A. Drugo vprašanje za predhodno odločanje
33. Predložitveno sodišče z drugim vprašanjem za predhodno odločanje v bistvu sprašuje, ali so podatki strank lekarnarja, ki se ob naročilu prenesejo na platformo za spletno prodajo zdravil, ki se lahko prodajajo le v lekarnah, vendar zanje ni potreben recept, „podatki o zdravstvenem stanju“ v smislu člena 9(1) SUVP.
34. Najprej moram pojasniti, da je pojem „podatki o zdravstvenem stanju“ iz člena 9(1) SUVP opredeljen v členu 4, točka 15, te uredbe. Odgovor na drugo vprašanje za predhodno odločanje torej predpostavlja skupno razlago teh dveh določb.
1. Razlaga pojma „podatki o zdravstvenem stanju“ glede na obstoječo sodno prakso
35. V skladu s členom 4, točka 15, SUVP „podatki o zdravstvenem stanju“ pomenijo osebne podatke, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju.
36. Ta opredelitev je poleg tega podprta z uvodno izjavo 35 SUVP. Sodišče je tako v sodni praksi poudarilo, da je „[v tej uvodni izjavi] navedeno, da „bi morali osebni podatki v zvezi z zdravjem obsegati vse podatke o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki, ki ‚razkrivajo‘ informacije o njegovem preteklem, sedanjem ali prihodnjem telesnem ali duševnem zdravstvenem stanju“(9).
37. Iz besedila člena 4, točka 15, SUVP, ki je pojasnjeno v uvodni izjavi 35 te uredbe, torej izhaja, da je odločilni element za ugotovitev, ali nekateri osebni podatki pomenijo podatke o zdravstvenem stanju, dejstvo, da je mogoče iz zadevnih podatkov sklepati o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki. Povedano drugače, „podatki o zdravstvenem stanju“ niso omejeni na zdravstvene podatke ali podatke, ki se neposredno nanašajo na zdravstvene težave, ampak zajemajo tudi vse podatke, iz katerih je mogoče sklepati o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki, ne glede na to, ali gre sicer za bolezensko ali fiziološko stanje.
38. To potrjuje cilj člena 9 SUVP. Sodišče je tako v sodni praksi poudarilo, da je namen te določbe zagotoviti povečano varstvo v zvezi s takimi obdelavami, ki lahko zaradi posebne občutljivosti zadevnih podatkov pomenijo – kot izhaja iz uvodne izjave 51 SUVP – posebno hud poseg v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki ju zagotavljata člena 7 in 8 Listine Evropske unije o temeljnih pravicah.(10)
39. Posebno občutljivost podatkov v zvezi z zdravjem je namreč mogoče pojasniti s tem, da se nanašajo na informacije, ki zadevajo najintimnejšo sfero oseb in lahko razkrijejo njihovo ranljivost. Posebna občutljivost teh podatkov in posledično posebna potreba po njihovem varstvu sta [sicer] priznani ne le v pravu Unije, ampak tudi v sodni praksi Evropskega sodišča za človekove pravice, ki poudarja, da je „spoštovanje zaupnosti informacij o zdravju temeljno načelo pravnega sistema vseh pogodbenic [Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane 4. novembra 1950 v Rimu]“(11).
40. Glede na ta cilj je torej treba pojem „posebne vrste osebnih podatkov“, med katere spadajo podatki o zdravstvenem stanju, v skladu s sodno prakso Sodišča razlagati široko, tako da se ne nanašajo le na podatke, ki so sami po sebi občutljivi, temveč tudi na podatke, ki take informacije razkrivajo posredno, prek miselne operacije sklepanja ali primerjanja.(12)
41. V zvezi s tem ugotavljam, da tudi Evropski odbor za varstvo podatkov, ustanovljen s členom 68 in naslednjimi SUVP, tako razume pojem „podatki o zdravstvenem stanju“, pri čemer poudarja, da je opredelitev informacij kot „podatkov o zdravstvenem stanju“ odvisna ne le od njihove notranje narave, ampak tudi od okoliščin, v katerih so bile te informacije zbrane in obdelane, ter v zvezi s tem navaja različne primere. Po mnenju tega odbora so torej „podatki o zdravstvenem stanju“ informacije iz zdravstvene kartoteke, informacije, ki razkrivajo zdravstveno stanje, ker se križajo še z drugimi podatki, ali celo podatki, ki postanejo podatki o zdravstvenem stanju, ker se uporabljajo v posebnih okoliščinah, kot so informacije o potovanju, ki jih zdravstveni delavec obdeluje za postavitev diagnoze.(13) Nasprotno pa se za „podatke o zdravstvenem stanju“ ne štejejo podatki, zbrani z aplikacijo, ki meri število korakov, ki jih je naredil posameznik, na katerega se nanašajo osebni podatki, če ta aplikacija teh podatkov ne more povezati z drugimi podatki te osebe in če se zbrani podatki ne obdelujejo v zdravstvenem okviru.(14)
42. Iz člena 4, točka 15, in člena 9 SUVP, kot se razlagata v sodni praksi, torej jasno izhaja, da je treba za „podatke o zdravstvenem stanju“ v smislu teh določb šteti podatke, iz katerih je mogoče sklepati o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki.
43. Ugotavljam torej, da na prvi pogled ni mogoče zanikati, da spletno naročilo zdravil, za katera ni potreben recept, predpostavlja obdelavo podatkov, iz katerih je mogoče razbrati nekatere informacije o zdravju ali vsaj nekatere indice v zvezi z zdravjem, ker to naročilo vključuje povezavo med nakupom zdravila, ki zadeva zdravje v pravem pomenu besede, in identiteto kupca zdravila. Vendar po mojem mnenju in iz razlogov, ki jih bom zdaj predstavil, iz informacij, ki jih je Sodišču poslalo predložitveno sodišče, izhaja, da je ta povezava prešibka, indici, ki bi jih bilo mogoče iz njih razbrati, pa so preveč nenatančni ali hipotetični, da bi bilo mogoče zadevne podatke opredeliti kot „podatke o zdravstvenem stanju“ v smislu člena 4, točka 15, in člena 9 SUVP.
2. Zahteva po določeni stopnji gotovosti sklepov, ki jih je mogoče izpeljati o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki
44. Navesti moram nekaj pojasnil v zvezi s to razlago pojma „podatki o zdravstvenem stanju“ v ožjem smislu in pojma „posebna vrsta podatkov“ na splošno.
45. Po eni strani se mi zdi, da je mogoče na podlagi teh elementov razlage za izdelek, naročen na spletu, šteti, da lahko razkriva splošne informacije o zdravstvenem stanju osebe, pa tudi – kot izhaja iz člena 9 SUVP – o rasnem ali etničnem poreklu, političnem mnenju, verskem ali filozofskem prepričanju ali spolni usmerjenosti osebe. Po mojem mnenju je mogoče nekatere informacije, ki se nanašajo na te različne elemente v zvezi s posameznikom, na katerega se nanašajo osebni podatki, razbrati iz blaga, naročenega na spletu.
46. Svoje mnenje lahko podkrepim z več primeri. Naročilo knjige o neki politični osebnosti lahko morebiti kaže na naklonjenost idejam, ki jih ta zagovarja, naročilo oblačila lahko izkazuje verska prepričanja posameznika, naročilo erotičnih pripomočkov pa lahko kaže na spolno usmerjenost osebe. Razen če naj bi ureditev iz člena 9(2) SUVP veljala za velik del obdelave podatkov v zvezi s spletno trgovino, se mi torej zdi potrebno dodatno pojasniti razlago pojma „podatki o zdravstvenem stanju“ v smislu, da sklepi, ki jih je mogoče izpeljati iz podatkov o naročilu, ne smejo biti zgolj potencialni. Povedano drugače, po mojem mnenju informacije, ki jih zadevni podatki razkrivajo o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki, ne morejo biti zgolj domneve, ampak je zanje potrebna določena stopnja gotovosti.
47. Po drugi strani menim, da je – razen v primerih, ko so podatki sami po sebi „podatki o zdravstvenem stanju“ – vprašanje, ali je podatke mogoče tako opredeliti, odvisno od okoliščin posameznega primera. Natančneje, zdi se mi, da so sklepi, ki jih je mogoče izpeljati iz teh podatkov, odvisni od okoliščin, v katerih se podatki zbirajo, in njihove obdelave. Kot poudarja Evropski odbor za varstvo podatkov, ustanovljen s členom 68 in naslednjimi SUVP, se lahko podatki, ki na prvi pogled ne spadajo na zdravstveno področje, kot so informacije o potovanju, vseeno štejejo za „podatke o zdravstvenem stanju“, kadar se analizirajo v zdravstvenem okviru in se povežejo še z drugimi informacijami, da bi se v danem primeru ugotovila morebitna okužba z bakterijo ali virusom, prisotnim v določeni regiji.
48. Zlasti poudarjam, da je v zvezi s tem še posebno upošteven element identiteta upravljavca podatkov. Če namreč podatke obdeluje organ s področja zdravstva, se mi zdi, da je to lahko indic, da so ti podatki dejansko „podatki o zdravstvenem stanju“. Nasprotno pa bi bilo te iste podatke mogoče opredeliti drugače, če jih ne obdeluje zdravstvena ustanova in jih ni mogoče povezati z drugimi podatki posameznika, na katerega se nanašajo osebni podatki. Povedano drugače, isti podatek lahko razkrije več informacij o zdravstvenem stanju posameznika oziroma še druge podatke o njem, če ga obdeluje zdravstvena ustanova, ki ima kompetence za razlago takih podatkov, kot pa če ga obdeluje organ, ki ni del tega sektorja.
49. V teh okoliščinah menim, da mora predložitveno sodišče preučiti tako vsebino zadevnih podatkov kot tudi vse okoliščine njihove obdelave, da bi ugotovilo, ali je mogoče iz njih z določeno stopnjo gotovosti razbrati informacije o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki.
50. Glede na elemente iz odločbe predložitvenega sodišča menim, da je vseeno mogoče podati pojasnila, ki bodo predložitveno sodišče usmerjala pri rešitvi spora o glavni stvari.(15)
3. Elementi, ki so za predložitveno sodišče upoštevni pri preučitvi, ali je mogoče razbrati informacije o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki
51. Na prvem mestu, v zvezi z izdelki, ki so predmet naročila, poudarjam, da zadevna zdravila, to je zdravila, za katera ni potreben recept, načeloma niso namenjena zdravljenju določenega stanja, temveč se lahko splošneje uporabljajo za zdravljenje vsakodnevnih tegob, ki lahko doletijo vsakogar in niso simptomatične za točno določeno bolezen ali zdravstveno stanje. Poleg tega se ta zdravila pogosto kupujejo preventivno, da so na voljo po potrebi, ali na primer pred odhodom iz kraja običajnega prebivališča. Za ponazoritev, naročilo paracetamola nikakor ne dopušča nikakršnega sklepanja o določenem zdravstvenem stanju osebe, saj je ta molekula indicirana za zdravljenje različnih bolečin in vročičnih stanj ter je pogosto med zdravili, ki jih imajo posamezniki doma, ne da bi za to obstajala posebna potreba.
52. Na drugem mestu, kot navaja oseba ND, to, da oseba na spletu naroči zdravilo, za katero ni potreben recept, ne pomeni nujno, da bo to zdravilo uporabljala ta oseba, katere podatki se obdelujejo, in ne druga oseba v njenem gospodinjstvu ali njenem krogu. Pogosto se namreč zgodi, da naročilo v spletni trgovini opravi oseba, ki ima račun v tej trgovini, v imenu in za račun osebe, ki tega računa nima. Ker ni recepta, na katerem bi bila poimensko navedena oseba, ki ji je zdravilo namenjeno, in na podlagi katerega bi se lahko domnevalo, da sta uporabnik zdravila in kupec ista oseba, iz naročila izdelka, ki je prosto dostopen na spletu, ni mogoče sklepati, da bo ta izdelek uporabljal zgolj in samo kupec. Iz tega izhaja, da iz teh podatkov ni mogoče razumno sklepati o zdravstvenem stanju osebe, katere podatki se obdelujejo, tako da bi jih bilo mogoče opredeliti kot „podatke o zdravstvenem stanju“.
53. Na tretjem mestu in ob upoštevanju preverjanj, ki jih mora opraviti predložitveno sodišče, to velja še toliko bolj, ker lahko oseba opravi naročilo prek interneta, ne da bi morala navesti natančne podatke o svoji identiteti, zlasti če se izdelek ne dobavi na naslovu posameznika, na katerega se nanašajo osebni podatki, ampak na prevzemnem mestu in če se za izdajo računa ne zahteva noben drug podatek o civilni identiteti.
54. Menim torej, da je treba na drugo vprašanje za predhodno odločanje odgovoriti, da podatki strank lekarnarja, ki se ob naročilu prenesejo na platformo za spletno prodajo zdravil, ki se lahko prodajajo le v lekarnah, vendar zanje ni potreben recept, niso „podatki o zdravstvenem stanju“ v smislu člena 4, točka 15, in člena 9 SUVP, če je iz njih mogoče izpeljati le hipotetične ali nenatančne sklepe o zdravstvenem stanju osebe, ki opravi naročilo na spletu, kar pa mora preveriti predložitveno sodišče.
55. Poleg tega moram še pojasniti, da lahko po mojem mnenju taka razlaga pojma „podatki o zdravstvenem stanju“, ki vključuje podatke, posredovane ob naročilu na platformi za spletno prodajo zdravil, ki se lahko prodajajo le v lekarnah, vendar zanje ni potreben recept, paradoksalno privede do razkritja še več občutljivih informacij zaradi sistema okrepljenega varstva iz člena 9(2) SUVP. Zahteva po izrecni privolitvi v obdelavo podatkov, ki so že opredeljeni kot občutljivi, bi namreč lahko kupca nazadnje spodbudila, da bi razkril identiteto končnega uporabnika izdelka. V tem primeru bi bilo mogoče izpeljati zanesljivejše sklepe o zdravstvenem stanju te osebe.
B. Prvo vprašanje za predhodno odločanje
56. Glede na odgovor, ki ga predlagam na drugo vprašanje za predhodno odločanje, menim, da na prvo vprašanje za predhodno odločanje ni treba odgovoriti. Zaradi izčrpnosti in ob upoštevanju presoje, ki jo bo moralo opraviti predložitveno sodišče, bom vseeno analiziral to vprašanje, s katerim predložitveno sodišče v bistvu sprašuje, ali je treba določbe poglavja VIII SUVP razlagati tako, da nasprotujejo nacionalni ureditvi, s katero se podjetjem priznava pravica, da se na podlagi prepovedi dejanj nelojalne konkurence sklicujejo na kršitve materialnopravnih določb te uredbe s strani konkurentov.
57. Stranke so na to vprašanje podale popolnoma nasprotne odgovore. Po eni strani je treba po mnenju Komisije in osebe ND sistem pravnih sredstev, uveden z določbami poglavja VIII SUVP in razlagan ob upoštevanju ciljev te uredbe, razumeti kot izčrpen sistem, ki izključuje vsakršno možnost držav članic, da v nacionalnem pravu določijo alternativna pravna sredstva.
58. Po drugi strani mora biti po mnenju nemške vlade sistem pravnih sredstev, uveden z določbami poglavja VIII SUVP, zasnovan kot minimalni sklop pravnih sredstev, ki ga lahko države članice dopolnijo. Neizčrpnost takega sistema naj bi bila utemeljena z dejstvom, da je cilj SUVP tudi zaščita pogojev konkurence in preprečevanje izkrivljanj, ki bi lahko izhajala iz razlik v ravni varstva podatkov, in da naj bi se z možnostjo konkurenta, da se sklicuje na kršitev materialnopravnih določb te uredbe s strani drugega konkurenta, okrepilo delovanje SUVP.
59. Stališča strank so se torej osredotočila na vprašanje, ali je treba sistem pravnih sredstev iz SUVP razumeti kot sistem izčrpne harmonizacije, kar po njihovem mnenju pogojuje možnost držav članic, da v nacionalnem pravu določijo pravna sredstva, alternativna tistim, ki jih določa ta uredba.
60. Vendar čeprav je ugotovitev, ali je sistem pravnih sredstev izčrpen ali ne, upošteven element za koristen odgovor na prvo vprašanje za predhodno odločanje, se mi iz razlogov, ki jih bom predstavil, zdi, da je treba za tako analizo najprej preučiti temeljno vprašanje opredelitve oseb, ki so upravičene do varstva, zagotovljenega z materialnopravnimi in postopkovnimi pravili iz SUVP. Če je treba podjetja, ki so upravljavci podatkov, šteti za imetnike pravic, zagotovljenih s SUVP, namreč menim, da bi bilo treba to uredbo razlagati tako, da se z njo zahteva uvedba pravnih sredstev v nacionalnem pravu za uveljavljanje teh pravic. Analizo bom torej začel s tem, nato pa bom odgovoril na vprašanje, ali je treba sistem pravnih sredstev, vzpostavljen s SUVP, razumeti kot izčrpen sistem v smislu, da izključuje možnost, ki jo ima podjetje po nacionalnem pravu, da na podlagi prepovedi dejanj nelojalne konkurence zoper konkurenta vloži opustitveno tožbo in se pri tem sklicuje na njegovo kršitev določb te uredbe.
1. Opredelitev imetnikov pravic, zagotovljenih s SUVP
61. Najprej bom poskušal pojasniti potrebo po taki opredelitvi, nato bom to opredelitev izvedel in nazadnje bom predstavil vpliv opredelitve posameznikov, na katere se nanašajo osebni podatki, kot edinih upravičencev do pravic, zagotovljenih s SUVP, kar zadeva odgovor na prvo vprašanje za predhodno odločanje.
a) Potreba po določitvi imetnikov pravic, varovanih s SUVP
62. Razloga za to, da je treba za odgovor na vprašanje za predhodno odločanje najprej opredeliti imetnike pravic, varovanih s SUVP, in šele nato obravnavati vprašanje izčrpnosti sistema pravnih sredstev, uvedenega s to uredbo, sta po mojem mnenju dva.
1) Obveznost držav članic, da določijo pravna sredstva za uveljavljanje pravice, ki izhaja iz prava Unije
63. Ugotavljam, da v sodni praksi ni sporno, da tako kot pravo Unije posameznikom nalaga obveznosti, je namenjeno tudi ustvarjanju pravic, ki spadajo med njihove pravne dobrine,(16) pri čemer Sodišče v zvezi s tem poudarja, da te pravice nastanejo med drugim na podlagi obveznosti, ki so naložene tako posameznikom kot državam članicam in institucijam Unije.(17) Vsaka obveznost, naložena fizični ali pravni osebi, namreč praviloma povzroči, da se drugi osebi podeli pravica.
64. Poleg tega ni sporno, da vsaka pravica, ki je posamezniku zagotovljena s pravom Unije, povzroči tudi obstoj pravnega sredstva, katerega namen je prav uveljavljanje te pravice, pri čemer morajo države članice, če ni posebnih pravil prava Unije v zvezi s tem, zagotoviti spoštovanje zadevnih pravic v okviru pravnih sredstev po nacionalnem pravu.(18) Iz sodne prakse namreč jasno izhaja, da morajo nacionalna sodišča varovati pravice, ki so posameznikom zagotovljene z določbami prava Unije.(19)
65. Če bi bilo treba, kot trdi nemška vlada, SUVP razlagati tako, da se z njo poleg posameznikov, na katere se nanašajo osebni podatki, varujejo tudi pogoji konkurence na trgu in torej in fine podjetja, bi bilo treba šteti, da se s to uredbo ustvarjajo pravice, ki spadajo med njihove pravne dobrine.(20)
66. V teh okoliščinah naj bi moralo biti ob neobstoju izrecnih določb prava Unije v zvezi s tem spoštovanje pravic, ki za podjetja izhajajo iz SUVP, mogoče zagotoviti v skladu s pravnimi sredstvi, ki jih določijo države članice.
67. Iz tega naj bi izhajalo, da bi bilo treba – ne da bi bilo nujno preučiti, ali je sistem pravnih sredstev, vzpostavljen s SUVP, izčrpen ali ne – na prvo vprašanje za predhodno odločanje odgovoriti tako, da se poglavje VIII te uredbe ne sme razlagati tako, da ne nasprotuje možnosti držav članic, da določijo možnost konkurenta, da vloži tožbo proti drugemu podjetju in se pri tem sklicuje na kršitev navedene uredbe, temveč da se z njim zahteva, da se spoštovanje njegovih določb lahko zagotovi v okviru tožbe, ki jo podjetje vloži proti konkurentu, pri čemer se sklicuje na njegovo kršitev navedenih določb.(21)
68. Odgovor na prvo vprašanje za predhodno odločanje je torej po mojem mnenju odvisen prav od opredelitve imetnikov pravic, zagotovljenih s SUVP.
2) Dvojna razsežnost izčrpnosti sistema pravnih sredstev
69. Sam pojem „izčrpnost sistema pravnih sredstev“ lahko zajema dve ločeni razsežnosti, kar predpostavlja različno analizo in zahteva predhodno opredelitev imetnikov pravic, katerih spoštovanje se zagotavlja s takim sistemom.
70. Prva razsežnost se nanaša na izčrpnost sistema pravnih sredstev glede na vsa druga pravna sredstva, namenjena varstvu iste pravice. Povedano drugače, gre za izčrpnost pravnih sredstev, ki so s pravom Unije določena za varstvo pravic, ki so z njegovimi pravili zagotovljene posameznikom. Sodišče se je v sodni praksi že izreklo o vplivu izčrpnosti pravnih sredstev, določenih s pravom Unije, na varstvo pravice, ki jo prav tako določa pravo Unije. Za ponazoritev, v skladu s tem je dosledno razsojalo, da lahko ureditev odgovornosti, ki je izčrpno harmonizirana s pravom Unije, vseeno soobstaja z alternativno ureditvijo odgovornosti, določeno v nacionalnem pravu, ki temelji na istih dejstvih in isti podlagi, če ta alternativna ureditev ne posega v harmonizirano ureditev ter ne ogroža njenih ciljev in polnega učinka.(22) Zgolj izčrpnost sistema pravnih sredstev, ki ga določa pravo Unije, torej ne zadostuje za izključitev možnosti države članice, da v nacionalnem pravu določi alternativno pravno sredstvo, ki temelji na istem pravu, če so izpolnjeni nekateri pogoji.
71. Druga razsežnost pojma „izčrpnost sistema pravnih sredstev“, ki ga določa pravo Unije, je širša in se nanaša na izčrpnost glede na vsa druga pravna sredstva, ki jih vložijo osebe, ki niso neposredno imetniki pravic, zagotovljenih s pravom Unije, vendar se nanje kljub temu sklicujejo v okviru pravnega sredstva, določenega z nacionalnim pravom. Tako pojmovanje izčrpnosti sistema pravnih sredstev, uvedenega s pravom Unije, torej zahteva drugačno analizo.(23)
72. Zato je treba tudi v tem primeru za upoštevno analizo morebitne izčrpnosti sistema pravnih sredstev, določenega v SUVP, predhodno določiti imetnike pravic, zagotovljenih s to uredbo, kar bom naredil v nadaljevanju.
b) Opredelitev imetnikov pravic, varovanih s SUVP
73. Osebno področje varstva, zagotovljenega s SUVP, je treba po mojem mnenju določiti ob upoštevanju ciljev in vsebine te uredbe.
74. Najprej, kar zadeva cilje SUVP, nemška vlada v zvezi s tem trdi, da je namen te uredbe poleg cilja zagotoviti visoko in dosledno raven varstva posameznikov tudi vzpostaviti enake pogoje konkurence.
75. Res je, da je v uvodni izjavi 9 SUVP navedeno, da se lahko zaradi razlik v varstvu pravice do varstva osebnih podatkov pri njihovi obdelavi izkrivlja konkurenca. Kljub temu menim, da take pojasnitve ni mogoče razlagati tako, da je zagotavljanje svobodne in neizkrivljene konkurence cilj SUVP. Zdi se mi, da je to, da razlike v zakonodajah med državami članicami v zvezi s pravili, ki veljajo za podjetja, povzročajo izkrivljanje konkurence, le preprosta ugotovitev, ki ne velja za SUVP. Če materialnopravne določbe omejujejo delovanje podjetij na trgu strožje v eni državi članici kot v drugi, iz tega nujno izhaja določena konkurenčna prednost za podjetja, ki delujejo v tej drugi državi članici, v primerjavi s tistimi iz prve, kar je mogoče omiliti s harmonizacijsko zakonodajo.
76. Zdi se mi, da tako razlago potrjuje sklicevanje v uvodni izjavi 9 SUVP na potrebo po zagotovitvi „prostega pretoka osebnih podatkov po celotni Uniji“, ki bi lahko bil ogrožen zaradi razlik v nacionalnih pravnih okvirih.
77. Poleg tega, kot je Komisija navedla na obravnavi, se uvodna izjava 9 SUVP ne nanaša na konkurenco med vsemi podjetji, temveč predvsem na konkurenco med podjetji iz dveh različnih držav članic, ki jo povzročata različna pravna okvira. Povedano drugače, v bistvu gre za zagotavljanje enakih pogojev konkurence v različnih državah članicah, tako da za podjetja veljajo harmonizirana pravila, tudi če ta pravila posredno prispevajo k temu, da nobeno podjetje nima konkurenčne prednosti pred drugimi podjetji v isti državi članici.
78. SUVP torej po mojem mnenju ni namenjena zagotavljanju svobodne in neizkrivljene konkurence na notranjem trgu.
79. Dalje, ugotavljam, da namen nobene od materialnopravnih določb SUVP ni zagotoviti svobodno in neizkrivljeno konkurenco med podjetji ter določiti, da so ta podjetja upravičena do varstva, uvedenega s to uredbo. Nasprotno, njihov glavni namen je naložiti obveznosti podjetjem, odgovornim za obdelavo podatkov. Čeprav je res, kot sem navedel, da vsaka obveznost, naložena fizični ali pravni osebi, nujno pomeni, da se z njo podeli pravica drugi osebi, pa edini imetniki zadevnih pravic niso podjetja, ampak osebe, katerih podatke ta obdelujejo. V zvezi s tem je poveden naslov SUVP, saj je v njem navedeno le varstvo posameznikov.
80. Nazadnje, v zvezi s postopkovnimi določbami poglavja VIII SUVP poudarjam, kot sem že navedel, da omogočajo pravna sredstva le posameznikom, na katere se nanašajo osebni podatki, in subjektom, pooblaščenim za njihovo zastopanje. Zdi se mi, da ta omejitev posameznikov, ki lahko na podlagi določb SUVP začnejo sodni postopek in se pri tem sklicujejo na kršitev varstva svojih osebnih podatkov, jasno kaže, da tako varstvo velja le zanje. Po mojem mnenju bi bilo namreč nedosledno, če bi SUVP postala tudi instrument za varstvo pravic konkurentov, ne da bi ta uredba določala pravno sredstvo, ki bi jim omogočilo, da vložijo tožbo zoper kršitev teh pravic, čeprav so taka pravna sredstva izrecno določena v zvezi z varstvom pravic posameznikov, na katere se nanašajo osebni podatki.
81. Zato menim, da varstvo na podlagi SUVP ne velja za podjetja, saj ta uredba zagotavlja pravice le posameznikom, na katere se nanašajo osebni podatki.
c) Vpliv razlage SUVP kot predpisa, s katerim se ščitijo le posamezniki, na katere se nanašajo osebni podatki
82. Razlaga SUVP, v skladu s katero določbe te uredbe ne zagotavljajo pravic podjetjem, ampak izključno posameznikom, na katere se nanašajo osebni podatki, me vodi do več ugotovitev.
83. Na prvem mestu, kot sem navedel, je glede na to razlago po mojem mnenju izključeno, da mora biti upoštevanje določb SUVP mogoče zagotoviti v okviru tožbe, ki jo podjetje vloži proti konkurentu, pri čemer se sklicuje na njegovo kršitev teh določb.
84. Na drugem mestu, ker je krog tistih, ki so jim s SUVP zagotovljene pravice, omejen le na posameznike, na katere se nanašajo osebni podatki, se mi zdi, da sodne prakse Sodišča v zvezi z možnostjo držav članic, da v nacionalnem pravu določijo dodatna pravna sredstva za imetnike teh pravic, če ta pravna sredstva ne posegajo v harmonizirani sistem pravnih sredstev in ne ogrozijo njegovih ciljev,(24) ni mogoče neposredno uporabiti v zadevnem primeru. Kot pa bom pokazal, se lahko zadevna sodna praksa, uporabi kot podlaga za analizo tega primera.
85. V skladu s tem pomenom pojma „izčrpnost sistema pravnih sredstev“ je namreč treba ugotoviti, ali je treba sistem pravnih sredstev, vzpostavljen s SUVP, razumeti kot izčrpen sistem v smislu, da nasprotuje temu, da bi lahko posamezniki, na katere se nanašajo osebni podatki, v nacionalnem pravu imeli na voljo še druga pravna sredstva poleg tistih, ki so določena s to uredbo.
86. V postopku v glavni stvari gre za tožbo, ki jo je vložilo podjetje, ki ne spada med imetnike pravic, zagotovljenih s SUVP.
87. V teh okoliščinah je glede na to, da SUVP podjetjem in njihovim konkurentom ne zagotavlja nobene pravice, upoštevno le vprašanje, ali je treba sistem pravnih sredstev, vzpostavljen s SUVP, razumeti kot izčrpen sistem v smislu, da ta uredba izključuje tudi to, da bi se podjetja na kršitev njenih določb sklicevala v okviru pravnih sredstev, določenih z nacionalnim pravom, kar bom ugotovil zdaj.
2. Možnost pravnih sredstev na podlagi nacionalnega prava, ki jih vložijo osebe, ki niso imetniki pravic, zagotovljenih s SUVP
88. Menim, da je treba na vprašanje, ali določbe o sistemu pravnih sredstev iz SUVP nasprotujejo temu, da se podjetja sklicujejo na kršitev določb te uredbe v okviru pravnih sredstev, določenih z nacionalnim pravom, odgovoriti dvoplastno.
89. Za odgovor na to vprašanje je namreč treba preučiti na eni strani možnost podjetij, da se sklicujejo na določbe SUVP, ne da bi bila imetniki pravic, zagotovljenih s temi določbami, in na drugi strani pogoje za medsebojni vpliv takih pravnih sredstev s sistemom pravnih sredstev, določenim s to uredbo.
90. Na prvem mestu, v zvezi s tem, da se podjetja lahko sklicujejo na določbe SUVP, ugotavljam, da je to v okviru pravnih sredstev, ki temeljijo na nacionalnem pravu, kot je to iz postopka v glavni stvari, mogoče le posredno. Natančneje, podjetje vloži tožbo na podlagi nacionalnega prava, in sicer prepovedi dejanj nelojalne konkurence. Nelojalnost zadevnega dejanja bi torej izhajala iz kršitve SUVP. Povedano drugače, tožba ne temelji na kršitvi določb SUVP, temveč posredno upošteva tako kršitev.(25)
91. Tako posredno upoštevanje pa je Sodišče že dopustilo v sicer drugačnih okoliščinah. Sodišče je namreč v sodbi Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja) odločilo, da „obdelava podatkov, ki jo opravlja podjetje s prevladujočim položajem in ki lahko pomeni zlorabo tega položaja, ni v skladu s [SUVP]“(26) in da je treba na splošno vključiti „pravil[a] na področju varstva osebnih podatkov iz pravnega okvira, ki ga morajo organi, pristojni za konkurenco, upoštevati pri preučitvi zlorabe prevladujočega položaja“.(27) Povedano drugače, Sodišče priznava, da gre za kršitev konkurenčnega prava zaradi kršitve določb SUVP.
92. Čeprav ta ugotovitev ni bila sprejeta v okviru spora med posamezniki, temveč v okviru preučitve protikonkurenčnega ravnanja, ki jo je izvedel nacionalni organ, pristojen za konkurenco, ne vidim nobenega razloga za to, da bi možnost posrednega upoštevanja kršitve določb SUVP omejili le na ta primer.
93. Kar zadeva konkurenčno pravo, se mi na eni strani, ker se tako upoštevanje dopušča v okviru public enforcement, namreč zdi potrebno, da se omogoči tudi v zvezi s private enforcement in torej v zvezi s spori med posamezniki, katerih glavna podlaga ni kršitev pravice, zagotovljene s SUVP, razen če naj bi veljalo, da posamezniki ne morejo dobiti odškodnine za škodo, povzročeno s kršitvijo konkurenčnega prava, ki pa jo vendarle ugotovi organ, pristojen za konkurenco.
94. Na drugi strani, kot je navedel generalni pravobranilec J. Richard de la Tour, ima lahko varstvo osebnih podatkov „posledice […] na drugih področjih, zlasti na področju delovnega, konkurenčnega ali potrošniškega prava“.(28) Zdi se mi, da je treba zaradi tega vpliva SUVP na drugih področjih dopustiti upoštevanje določb te uredbe v okviru pravnih sredstev, katerih glavna podlaga so določbe, ki z njo niso povezane.
95. Na drugem mestu, v zvezi z vprašanjem medsebojnega vpliva nacionalnih pravnih sredstev, ki vključujejo posredno upoštevanje določb SUVP, s sistemom pravnih sredstev, vzpostavljenim s to uredbo, menim, da bi morala biti taka pravna sredstva dopustna le, če ne posegajo v sistem pravnih sredstev iz navedene uredbe ali v uresničevanje njenih ciljev.
96. Ti pogoji so bili v sodni praksi oblikovani v zvezi z izčrpnostjo harmoniziranega sistema pravnih sredstev glede na nacionalna pravna sredstva, ki temeljijo na istem pravu.(29) Zato se mi zdi, da morajo biti a fortiori izpolnjeni, kadar gre za nacionalna pravila, s katerimi se podjetjem priznava pravica, da vložijo tožbo ne na podlagi istega prava, temveč na podlagi nacionalnega prava, in se pri tem kljub temu sklicujejo na domnevne kršitve materialnopravnih določb SUVP s strani drugega podjetja.
97. Preveriti je torej treba, ali so v obravnavanem primeru ti pogoji izpolnjeni.
98. Najprej, v zvezi z vprašanjem, ali opustitvena tožba, ki jo podjetje vloži proti konkurentu, pri čemer se sklicuje na njegovo kršitev določb SUVP, posega v sistem pravnih sredstev iz poglavja VIII te uredbe, menim, da ni tako. Ta pravna sredstva namreč posameznikom, na katere se nanašajo osebni podatki, oziroma neprofitnim telesom, organizacijam ali združenjem, ki jih ti pooblastijo, omogočajo vložitev pritožbe pri nadzornem organu (člen 77), vložitev tožbe zoper odločitev nadzornega organa (člen 78), začetek postopka zoper upravljavca ali obdelovalca (člen 79) ali pridobitev odškodnine od upravljavca ali obdelovalca zaradi kršitve Uredbe (člen 82).
99. Povedano drugače, kot Sodišče poudarja v sodni praksi, poglavje VIII SUVP „ureja […] pravna sredstva, ki omogočajo varstvo pravic posameznika, na katerega se nanašajo osebni podatki, kadar so bili osebni podatki, ki se nanj nanašajo, obdelani domnevno v nasprotju z določbami navedene uredbe“, pri čemer lahko varstvo teh pravic „zahteva neposredno posameznik, na katerega se nanašajo osebni podatki, ali subjekt, ki je s pooblastilom ali brez njega pooblaščen“.(30)
100. V teh okoliščinah pravno sredstvo, ki bi ga lahko podjetje vložilo proti konkurentu s sklicevanjem na njegovo kršitev SUVP, seveda in fine temelji na kršitvi iste določbe, vendar nima istega cilja in ne vključuje istih strank. Povedano drugače, tako pravno sredstvo, ki ga določa nacionalno pravo, ni namenjeno zagotavljanju spoštovanja pravic posameznikov, na katere se nanašajo osebni podatki.
101. Iz tega po mojem mnenju sledi, da se pravna sredstva, ki jih posameznikom, na katere se nanašajo osebni podatki, daje na voljo sistem pravnih sredstev, uveden s SUVP, ohranijo in jih je mogoče, tudi če podjetje vloži tožbo proti konkurentu, še vedno uveljavljati.
102. V zvezi s tem moram pojasniti tudi, da ne razumem, kako bi lahko taka pravna sredstva, kot trdi Komisija, ogrožala javni sistem nadzora nad uporabo prava, vzpostavljenega s SUVP, ker ta uredba poleg takega javnega sistema že izrecno določa možnost, da posameznik, na katerega se nanašajo osebni podatki, uveljavlja pravice, ki jih ima na podlagi SUVP, v sodnih postopkih.
103. Dalje, v zvezi s cilji, ki se uresničujejo s SUVP, je iz uvodne izjave 10 te uredbe razvidno, da je namen te uredbe med drugim zagotoviti visoko raven varstva posameznikov ter dosledno in enotno uporabo pravil o varstvu temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov.
104. Uresničevanje nobenega od teh ciljev se mi ne zdi ogroženo zaradi možnosti, ki jo ima podjetje, da na podlagi prepovedi dejanj nelojalne konkurence zoper konkurenta vloži opustitveno tožbo, pri čemer se sklicuje na njegovo kršitev določb SUVP. Po eni strani se mi zdi visoka raven varstva posameznikov pri obdelavi njihovih osebnih podatkov dosežena ali celo okrepljena z možnostjo, razširjeno na podjetje, da se sklicuje na to, da je konkurent kršil materialnopravne določbe SUVP. Po drugi strani to, da se lahko na te določbe sklicujejo še druge osebe poleg posameznikov, na katere se nanašajo osebni podatki, ne posega v uresničitev cilja doslednega in enotnega varstva v Uniji. Tudi če države članice ne bi predvidele take možnosti, to namreč ne bi vodilo v razdrobljenost izvajanja varstva podatkov v Uniji, saj materialnopravne določbe SUVP veljajo enako za vsa podjetja, njihovo upoštevanje pa je zagotovljeno s pravnimi sredstvi, določenimi v tej uredbi.
105. Nazadnje, kar zadeva polni učinek SUVP, se mi zdi, da je – daleč od tega, da bi bil ogrožen zaradi možnosti podjetja, da zoper konkurenta vloži opustitveno tožbo, pri čemer se sklicuje na kršitev SUVP –, kot sem navedel, okrepljen z dejstvom, da je upoštevanje določb te uredbe mogoče zagotoviti tudi v okviru sodnih postopkov, ločenih od tistih, ki so določeni s sistemom pravnih sredstev, uvedenim s to uredbo.
106. V teh okoliščinah menim, da lahko opustitvena tožba, ki jo podjetje vloži proti konkurentu, pri čemer se sklicuje na njegovo kršitev določb SUVP, soobstaja s pravnimi sredstvi, uvedenimi v poglavju VIII SUVP, če ne posega vanje ter ne ogroža ciljev in polnega učinka te uredbe.
107. Zato Sodišču predlagam, naj odloči, da določbe poglavja VIII SUVP ne nasprotujejo nacionalnim pravilom, s katerimi se podjetjem priznava pravica, da se na podlagi prepovedi dejanj nelojalne konkurence sklicujejo na kršitve materialnopravnih določb te uredbe, ki naj bi jih storili njihovi konkurenti.
V. Predlog
108. Glede na navedeno predlagam, naj se na vprašanji za predhodno odločanje, ki ju je postavilo Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija), odgovori:
Člen 4, točka 15, in člen 9(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
podatki strank lekarnarja, ki se ob naročilu prenesejo na platformo za spletno prodajo zdravil, ki se lahko prodajajo le v lekarnah, vendar zanje ni potreben recept, niso „podatki o zdravstvenem stanju“.