1.

Toto řízení o předběžné otázce se týká výkladu nařízení (EU) 2016/679 ( 2 ) ve spojení se: a) zpracováním osobních údajů o zdravotním stavu a b) s náhradou újmy způsobené (domnělým) porušením GDPR.

2.

Přestože k ustanovením GDPR ( 3 ) týkajícím se těchto otázek se již Soudní dvůr vyjádřil, otázky položené v tomto řízení o předběžné otázce jsou zatím neznámé, s výjimkou čtvrté z nich ( 4 ).

3.

Pro tento spor jsou relevantní body odůvodnění, které jsou v preambuli GDPR uvedeny pod čísly 4, 10, 35, 51 až 54 a 146.

4.

V souladu s článkem 9 („Zpracování zvláštních kategorií osobních údajů“):

„1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:

[…]

[…]

[…]

3.   Osobní údaje uvedené v odstavci 1 mohou být zpracovávány pro účely uvedené v odst. 2 písm. h), jsou-li tyto údaje zpracovány pracovníkem vázaným služebním tajemstvím nebo na jeho odpovědnost podle práva Unie nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány nebo jinou osobou, na niž se rovněž vztahuje povinnost mlčenlivosti podle práva Unie nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány.

4.   Členské státy mohou zachovat nebo zavést další podmínky, včetně omezení, pokud jde o zpracování genetických údajů, biometrických údajů či údajů o zdravotním stavu.“

5.

Článek 82 („Právo na náhradu újmy a odpovědnost“) stanoví:

„1.   Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.

[…]

3.   Správce nebo zpracovatel jsou odpovědnosti podle odstavce 2 zproštěni, pokud prokáží, že nenesou žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla.

[…]“

6.

Podle jeho § 278 odst. 1 první věty se v každé spolkové zemi zřizuje lékařská služba ( 6 ) zdravotních pojišťoven jako veřejnoprávní korporace ( 7 ). Mezi její úkoly, jež stanoví zákon, patří mimo jiné vypracování posudků k odstranění pochybností o pracovní neschopnosti pojištěnců.

7.

Podle § 275 odst. 1 první věty bodu 3 písm. b) jsou KV za určitých okolností povinny vyžádat si u příslušné MDK v případě lékařsky doložené pracovní neschopnosti pojištěnce posudek za účelem odstranění pochybností o pracovní neschopnosti.

8.

ZQ byl zaměstnán u MDK v Nordrheinu (Německo) od roku 1991 v IT oddělení jako systémový administrátor a zaměstnanec helpdesku.

9.

MDK zpracovává posudky o pracovní neschopnosti pojištěnců KV. Mezi těmito posudky se mohou nacházet i posudky týkající se zdravotního stavu vlastních zaměstnanců MDK.

10.

Zpracování údajů se řídí mimo jiné níže uvedenými pravidly obsaženými v interním pokynu lékařské služby ( 8 ):

11.

Zaměstnanci IT oddělení organizační jednotky „Speciální případ“, kteří jsou ze zákona vázáni povinností zachovávat tajemství, mají po archivaci spisu přístup k posudkům vypracovaným na základě určitého posudkového požadavku, který se týká zaměstnanců MDK.

12.

Pan ZQ byl od 22. listopadu 2017 nepřetržitě nemocen a v pracovní neschopnosti.

13.

Od 24. května 2018 ( 10 ) pobíral ZQ dávku nemocenského pojištění od své KV. Dne 6. června 2018 KV pověřila MDK, aby za účelem odstranění pochybností o pracovní neschopnosti ZQ vypracovala posudek.

14.

MDK tento požadavek na vypracování posudku převzala a přiřadila ho organizační jednotce „Speciální případy“. Lékařka zaměstnaná u MDK, která byla zařazena v této organizační jednotce, vypracovala dne 22. června 2018 posudek, v němž byla uvedena diagnóza nemoci ZQ. Za účelem vypracování tohoto posudku lékařka telefonicky hovořila s ošetřujícím lékařem ZQ a vyžádala si od něj relevantní informace.

15.

MDK posudek elektronicky archivovala.

16.

ZQ se od svého ošetřujícího lékaře dozvěděl o telefonátu lékařky MDK.

17.

Dne 1. srpna 2018 se ZQ obrátil na kolegyni z IT oddělení MDK a zeptal se jí, zda je uložen posudek o jeho osobě. Po nahlédnutí do archivu kolegyně odpověděla, že ano. Na žádost ZQ kolegyně posudek vyfotografovala a fotografie zaslala ZQ.

18.

Dne 15. srpna 2018 ZQ bez úspěchu požadoval, aby MDK zaplatila odškodnění ve výši 20000 eur na základě článku 82 GDPR.

19.

Dne 17. října 2018 podal ZQ žalobu k Arbeitsgericht Düsseldorf (pracovní soud v Dusseldorfu, Německo). Ve zmíněném řízení se navíc domáhal náhrady hmotné újmy ve výši ušlého výdělku ( 11 ).

20.

V průběhu soudního řízení vypověděla MDK pracovní poměr se ZQ.

21.

Návrhová žádání ZQ byla zamítnuta jak v prvním stupni, tak v odvolacím řízení ( 12 ).

22.

Pan ZQ se odvolal k Bundesarbeitsgericht (Spolkový pracovní soud, Německo), který pokládá Soudnímu dvoru tyto předběžné otázky:

23.

Žádost o rozhodnutí o předběžné otázce byla zapsána do rejstříku kanceláře Soudního dvora dne 8. listopadu 2021.

24.

Písemná vyjádření předložili ZQ, MDK, irská a italská vláda a Evropská komise.

25.

Ústní jednání nebylo shledáno nezbytným.

26.

Na základě pokynu Soudního dvora se toto stanovisko nebude zabývat čtvrtou předběžnou otázkou ( 13 ).

27.

Předkládající soud si přeje zjistit, zda čl. 9 odst. 2 písm. h) GDPR zakazuje, aby MDK zpracovala údaje o zdravotním stavu jednoho ze svých vlastních zaměstnanců, které jsou podmínkou pro posouzení jeho pracovní schopnosti. Není si tedy jist zákonností tohoto zpracování s ohledem na subjekt, který toto zpracování provádí ( 14 ).

28.

Článek 9 GDPR upravuje zvláštní kategorie údajů, mezi něž patří i údaje o zdravotním stavu osob. Stanoví obecný zákaz zpracovávání „citlivých“ údajů (odstavec 1) a obsahuje taxativní výčet případů, v nichž se tento obecný zákaz nepoužije (odstavec 2).

29.

Konkrétně čl. 9 odst. 2 písm. h) GDPR zavádí výjimku (z obecného zákazu) v případě zpracování osobních údajů „pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče“.

30.

Mám za to, že toto ustanovení poskytuje dostatečnou oporu jednání MDK, které je předmětem sporu ( 15 ). Není podstatné, že zpracovatel byl současně zaměstnavatelem subjektu údajů, neboť MDK nejedná jakožto zaměstnavatel, nýbrž jako lékařská služba KV, u níž byl subjekt údajů pojištěn ( 16 ).

31.

Neshledávám žádný důvod k tomu, aby byl čl. 9 odst. 2 písm. h) GDPR vykládán v tom smyslu, že zakazuje lékařské službě zpracovávat údaje o zdravotním stavu svých zaměstnanců pro účel, který je uveden ve zmíněném písmeni. Obvyklá výkladová kritéria vedou spíše k opačnému řešení (neexistence tohoto zákazu).

32.

Vycházíme-li ze znění čl. 9 odst. 2 písm. h) GDPR, toto ustanovení nezavádí v tomto smyslu žádnou výjimku ani nestanoví, že by podmínkou zpracování bylo, že správce musí být „třetí neutrální osobou“ ( 17 ).

33.

Ani z legislativní historie a vývoje, jímž prošlo zmíněné ustanovení, nelze vyvodit žádný zákaz podobný tomu, na jaký odkazuje první předběžná otázka, ba ani snahu o jeho začlenění ( 18 ).

34.

Jak prohlásil Soudní dvůr ( 19 ), účelem ustanovení GDPR upravujících zpracování údajů o zdravotním stavu je zajistit zvýšenou ochranu subjektů údajů z důvodu zvláštní citlivosti těchto údajů, pokud jde o dotčená základní práva. Právě za tímto účelem byl stanoven obecný zákaz uvedený v čl. 9 odst. 1 GDPR, který však není absolutní ( 20 ).

35.

Stejně jako je tomu v jiných oblastech týkajících se zpracování osobních údajů, i v této oblasti měl normotvůrce po stanovení obecného zákazu v úmyslu:

36.

Obecně tedy nic nebrání tomu, aby mezi zvláštní záruky, jež jsem zmínil výše, patřila také záruka spočívající v tom, že by bylo zakázáno, aby MDK zpracovávala údaje o zdravotním stavu svých zaměstnanců. Nepovažuji nicméně tuto možnost (pro kterou se evropský normotvůrce nerozhodl) za nezbytnou k zajištění výše uvedeného účelu.

37.

Mám tedy za to, že na základě teleologického výkladu čl. 9 odst. 2 písm. h) GDPR není nevyhnutelně nutné dospět k existenci zákazu, na nějž se táže předkládající soud.

38.

Jinak tomu podle mého mínění není ani při použití systematického výkladu daného ustanovení, neboť:

39.

Navrhuji tedy, aby byla první předběžná otázka zodpovězena záporně (tj. v tom smyslu, že GDPR neobsahuje sporný zákaz), což umožní zabývat se další předběžnou otázkou.

40.

Pro případ, že bude první předběžná otázka zodpovězena záporně (což navrhuji), si předkládající soud přeje zjistit, zda „v takovém případě, jako je ten, o který se jedná v projednávané věci, […] [existují] další, případně jaké podmínky ochrany osobních údajů jdoucí nad rámec ustanovení čl. 9 odst. 3 GDPR“.

41.

Zodpovězení by nemělo být v zásadě spojeno s žádnými většími problémy ( 26 ). Soudní dvůr již rozhodl, že každé zpracování osobních údajů musí být v souladu se zásadami, které jsou uvedeny v článku 5 GDPR, a musí odpovídat některé ze zásad týkajících se zákonnosti zpracování, které jsou vyjmenovány v jeho článku 6 ( 27 ).

42.

Podle předkládajícího soudu nepostačuje dodržení povinnosti mlčenlivosti (čl. 9 odst. 3 GDPR) k tomu, aby byla zajištěna ochrana údajů za takových okolností, jako jsou okolnosti v projednávaném případě. Zmíněný soud navrhuje další doplňková opatření, jež jsou podle jeho názoru jako jediná vhodná k dosažení takového cíle ( 28 ).

43.

Mám za to, že čl. 9 odst. 3 GDPR jako takový nemůže být základem pro tato doplňková opatření. Jeho jasné znění (které pouze upřesňuje ustanovení již obsažené ve směrnici 95/46) ( 29 ) neposkytuje žádnou oporu takovým návrhům, jako je návrh předložený předkládajícím soudem.

44.

Na druhou stranu by však tyto návrhy mohly nalézt základ v čl. 9 odst. 4 GDPR. V souladu s tímto ustanovením jsou členské státy oprávněny k tomu, aby uložily „další podmínky, včetně omezení, pokud jde o zpracování […] údajů o zdravotním stavu“ ( 30 ). Z předkládacího rozhodnutí nicméně nevyplývá, že by tato situace nastala v Německu.

45.

S ohledem na to, co bylo uvedeno výše, a z důvodů, které jsem již vysvětlil, musí být zpracování osobních údajů o zdravotním stavu kromě jiných zásad v souladu se zásadou stanovenou v čl. 5 odst. 1 písm. f) GDPR a musí splňovat povinnosti z tohoto ustanovení vyplývající, které jsou vyjmenovány v kapitole IV téhož předpisu.

46.

Správce ( 31 ) musí kromě toho zavést vhodná technická a organizační opatření, aby zajistil, že konkrétní zpracování je prováděno v souladu s GDPR. V obecném duchu to stanoví jeho čl. 24 odst. 1.

47.

Článek 32 odst. 1 GDPR ukládá správcům konkrétní povinnost provést „vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku“, jemuž by mohly být vystaveny dané osobní údaje.

48.

Použijí-li se tato pravidla na projednávaný případ, z postavení zaměstnavatele, jež má MDK ve vztahu k ZQ, vyplývá pro MDK povinnost postupovat při zpracování údajů o zdravotním stavu ZQ pečlivěji, než je obvyklé, vzhledem k tomu, že i rizika jsou vyšší ( 32 ).

49.

MDK si je této skutečnosti vědoma. V okamžiku, kdy na základě požadavku ze strany KV, u níž je její zaměstnanec pojištěn, připravuje zprávy s cílem odstranit pochybnosti o jeho pracovní (ne)schopnosti, použije soubor technických a organizačních opatření ad hoc s cílem zajistit, aby bylo dané zpracování osobních údajů o zdravotním stavu v souladu s GDPR ( 33 ).

50.

Posouzení těchto opatření náleží předkládajícímu soudu, který může na základě této analýzy dospět k závěru, že přijatá opatření nebyla dostatečná. Neznamená to však, že by bylo možné vyvozovat z článku 9 GDPR povinnost MDK zamítnout z vlastního podnětu veškeré žádosti o lékařskou zprávu (týkající se jejích zaměstnanců), které přijme od KV ( 34 ).

51.

Pro případ záporného zodpovězení první předběžné otázky si předkládající soud přeje prostřednictvím třetí předběžné otázky zjistit, zda výjimka ze zákazu zpracování údajů o zdravotním stavu „závisí […] dále na tom, zda je splněna alespoň jedna podmínka uvedená v čl. 6 odst. 1 GDPR“.

52.

K zodpovězení této otázky je nezbytné analyzovat vztah mezi čl. 9 odst. 2 GDPR a jeho článkem 6, který se týká zákonnosti zpracování. Na nutnost dodržovat posledně jmenovaný článek při každém zpracování údajů upozorňuje Soudní dvůr v rozsudcích, jež byly uvedeny výše ( 35 ).

53.

Konkrétně v rozsudku vydaném ve věci C‑439/19 ( 36 ) byl podán výklad článku 10 GDPR v souvislosti s jinou kategorií citlivých osobních údajů (údajů týkající se odsouzení v trestních věcech a trestných činů) ( 37 ) a bylo prohlášeno, že článek 6 GDPR se použije společně s článkem 10.

54.

Lze toto prohlášení vztáhnout i na osobní údaje, jichž se týká článek 9 GDPR?

55.

Články 9 a 10 GDPR mají rozdílnou strukturu. Článek 10 obsahuje výslovný odkaz na čl. 6 odst. 1 GDPR, který není v článku 9 obsažen.

56.

Ani obsahy čl. 9 odst. 2 a článku 10 GDPR nejsou vzájemně srovnatelné: článek 10 stanoví pouze subjektivní omezení zpracování, zatímco čl. 9 odst. 2 stejně jako čl. 6 odst. 1 stanoví účely (nebo okolnosti), které toto zpracování odůvodňují.

57.

Vzájemná podobnost čl. 6 odst. 1 a čl. 9 odst. 2 GDPR je tedy taková, že se na první pohled může zdát, že okolnosti vyjmenované v posledně jmenovaném ustanovení navazují na podmínky uvedené v prvně jmenovaném ustanovení: dále je upřesňují a současně zvyšují jejich závažnost.

58.

Závěr, podle něhož lze vztah mezi článkem 9 GDPR a článkem 6 vyjádřit jako vztah mezi lex specialis a lex generalis, je nicméně zpochybněn historií a vývojem prvně jmenovaného článku.

59.

Je pravda, že delegace některých členských států tento způsob výkladu skutečně prosazovaly ( 38 ). Dokumenty týkající se jednání o článku 9 svědčí nicméně o tom, že předmětem neshod nebyl odkaz na článek 6 ( 39 ), nýbrž jeho rozsah (má být odkazováno jen na odstavec 1 tohoto článku, nebo i na jiné odstavce?) ( 40 ). Nakonec byl odkaz na článek 6 z článku 9 odstraněn ( 41 ) a bylo rozhodnuto, že bude v preambuli ponechán pododstavec podobný současnému bodu 51 odůvodnění GDPR ( 42 ).

60.

Myšlenku, že obě tato ustanovení váže vztah kumulace nebo komplementarity, sdílí i Evropský sbor pro ochranu osobních údajů ( 43 ) a obhajovala ji i tzv. pracovní skupina podle článku 29 ( 44 ) v souvislosti s článkem 8 směrnice 95/46 ( 45 ). Nejedná se však o postoj, který by nebyl v právní teorii či na jiných relevantních platformách zpochybněn ( 46 ).

61.

Po posouzení jednotlivých odrážek čl. 9 odst. 2 GDPR se přikláním k názoru, že vztah existující mezi tímto ustanovením a článkem 6 nelze ve skutečnosti jednoznačně vysvětlit. Důvody jsou následující:

62.

Mám tudíž za to, že má-li být zpracování citlivých údajů, jejž povoluje čl. 9 odst. 2 písm. h) GDPR, považováno za zákonné, je nutné zjistit v každém případě zvlášť, která z podmínek upřesněných v čl. 6 odst. 1 zajišťuje jeho zákonnost.

63.

Předkládající soud tento závěr nijak nezpochybňuje: z tohoto předpokladu sám vychází a zaměřuje se přitom spíše na to, aby vyloučil, že zpracování údajů, jež uskutečnila MDK, bylo odůvodněno na základě článku 6 ( 48 ).

64.

Na první pohled se nejeví, že by mezi právními základy, jež toto ustanovení obsahuje, existovala nějaká hierarchie. Hlubší analýza by však mohla poukázat na potřebu dalších upřesnění ( 49 ). Domnívám se nicméně, že tato analýza by překročila rámec toho, co je nezbytné k vyřešení tohoto řízení o předběžné otázce ( 50 ).

65.

Odpověď na třetí předběžnou otázku by tedy měla předkládajícímu soudu objasnit, že výjimka ze zákazu zpracování údajů o zdravotním stavu vyžaduje, aby byla splněna nejméně jedna z podmínek uvedených v čl. 6 odst. 1 GDPR.

66.

Předkládající soud si přeje zjistit, zda je „při určení výše nehmotné újmy, která má být nahrazena na základě čl. 82 odst. 1 GDPR, relevantní míra zavinění správce nebo zpracovatele“, a konkrétně, zda „může být ve prospěch správce nebo zpracovatele přihlédnuto zejména k neexistenci nebo nízké míře jejich zavinění“.

67.

Tato otázka vychází z předpokladu, že došlo k porušení GDPR ( 51 ), jehož se dopustila osoba jednající jakožto správce, a jejím účelem je zjistit, zda má pro určení výše náhrady újmy způsobené tímto porušením význam míra zavinění na straně této osoby. Podle předkládajícího soudu není jisté, zda lze neexistenci nebo nízkou míru zavinění na straně správce považovat za polehčující okolnost.

68.

Z hlediska doslovného znění je tato otázka zaměřena na určení výše odškodnění. Poskytnuté vysvětlivky vytvořily nicméně určitou nejistotu, neboť nebylo jasné, zda se týkají zavinění ve smyslu podmínky přičitatelnosti odpovědnosti, nebo ve smyslu faktoru zvyšujícího částku odškodnění.

69.

Poté, co byl předkládající soud vyzván Soudním dvorem k objasnění této dvojznačnosti, uvedl, že se otázka týká obou těchto bodů, a neposkytl žádná další upřesnění ohledně jejich souvislosti se sporem v původním řízení.

70.

Ve světle této otázky je vhodné, aby byly dotazy položené předkládajícím soudem zodpovězeny (také) s přihlédnutím k otázkám, jež vznáší MDK v souvislosti s případnou účastí subjektu údajů na vzniku újmy ( 52 ). Níže poskytnutý výklad bude rozdělen na tři etapy:

71.

Předkládající soud je toho názoru, že čl. 82 odst. 1 GDPR nepodmiňuje občanskoprávní odpovědnost (gestora ( 54 ) zpracování údajů) existencí či prokázáním úmyslu nebo nedbalosti. Dodává, že odstavec 3 téhož článku nepřipouští žádnou jinou možnost.

72.

Uznávám, že není jasné, kterou z forem občanskoprávní odpovědnosti GDPR upravuje, a že existuje a priori několik možností výkladu ( 55 ). Jedním z nich, podle mého názoru správným, je způsob, jakým tuto otázku chápe předkládající soud.

73.

Takový výklad čl. 82 odst. 1 GDPR, podle něhož toto ustanovení zavádí režim občanskoprávní odpovědnosti, který je nezávislý na zavinění gestora, odpovídá podle mého názoru doslovnému znění daného ustanovení, bezprostředně vychází z přípravných prací, a zejména klade důraz na cíl tohoto předpisu. Je přípustný nejen ve světle dalších odstavců tohoto ustanovení, ale i ve světle systému chápaného jako celek.

74.

Postoj, který zastává předkládající soud, naráží na znění čl. 82 odst. 1 GDPR. V doslovném smyslu je právo obdržet od správce náhradu újmy vázáno pouze na újmu utrpěnou v důsledku porušení samotného GDPR.

75.

Ostatní odstavce článku 82 nedávají prostor pro jinou odpověď ( 56 ). Zejména bych se neodvážil vyvodit požadavek týkající se zavinění z použití výrazu „přičitatelný“ v čl. 82 odst. 3. Tento výraz nalezneme pouze v některých jazykových zněních GDPR; v jiných zněních je naopak použit výraz „odpovědný“. V německém znění neobsahuje článek 82 ani preambule žádný konkrétní výraz vyjadřující zavinění („Verschulden“) ( 57 ).

76.

Z porovnání různých ustanovení GDPR je zřejmé, že použitá terminologie není vždy jednotná, což znamená, že z jejich doslovného znění lze vyvozovat závěry jen s nejvyšší obezřetností. Například v anglickém znění je slovo „responsible“ použito v několika různých významech ( 58 ).

77.

Zatímco článek 82 GDPR neobsahuje žádné odkazy na úmysl či zavinění správce, článek 83 se v souvislosti se správními pokutami zmiňuje o tom, že „[p]ři rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech“ se řádně zohlední, zda k porušení GDPR došlo úmyslně nebo z nedbalosti ( 59 ).

78.

Přestože rozdíly mezi ustanoveními snižují váhu kritéria doslovného výkladu, přinejmenším potvrzují myšlenku, že v článku 82 GDPR není zmíněn úmysl ani zavinění a že tato skutečnost není projevem opomenutí na straně normotvůrce, nýbrž jeho záměru.

79.

Diskusi o způsobu, jakým má být v GDPR s konečnou platností upraveno přičtení odpovědnosti, ztížil kontext, v němž se tato otázka projednávala v Radě v souvislosti s existencí několika subjektů zpracování.

80.

Do této diskuse vstupovaly i procesní úvahy, zcela mimo rámec obvyklého pojmového aparátu, v němž by bylo možné rozlišovat mezi funkcí, kterou plní zavinění jakožto titul pro přičtení odpovědnosti, na straně jedné a neexistencí zavinění pro účely zproštění téže odpovědnosti ve smyslu příčinné souvislosti na straně druhé.

81.

Navzdory výše uvedenému se domnívám, že přípravné práce nasvědčují takovému výkladu čl. 82 odst. 1 GDPR, podle něhož není vznik občanskoprávní odpovědnosti závislý na zavinění správce.

82.

Návrh Komise vycházel ze směrnice 95/46 a neobsahoval zmínku o nedbalosti. V dokumentech Rady je uváděno, že odpovědnost by měla být upravena v podobě „strict liability“ ( 60 ).

83.

Pozměňovací návrh předložený Výborem pro občanské svobody, spravedlnost a vnitřní věci Parlamentu směřoval k takovému obsahu čl. 82 (tehdejšího čl. 77) odst. 1, v němž by byla odpovědnost podmíněna existencí úmyslu nebo nedbalosti ( 61 ). Tento pozměňovací návrh nebyl přijat ( 62 ).

84.

Diskuse, která byla vedena v Radě ohledně článku 77 a kritéria přičitatelnosti, se zaměřila na přičtení a rozdělení odpovědnosti v případech, kdy je do téhož zpracování zapojeno několik osob. Za těchto okolností předsednictví navrhlo, aby byla zvolena jedna ze dvou variant ( 63 ):

85.

Kompromisní znění, které předložilo předsednictví ke schválení jakožto obecný přístup ( 71 ), vychází z první varianty, současně však zněním čl. 77 odst. 3 zdůrazňuje výjimečnou povahu zproštění odpovědnosti a obtížnost jeho prokázání: „[…] if it [správce/zpracovatel] proves that it is not in any way responsible (…)“ ( 72 ). Toto znění odpovídá znění článku, který byl s konečnou platností přijat.

86.

Z analýzy legislativního vývoje, který vedl ke konečnému znění GDPR, tedy vyplývá, že odpovědnost, na niž odkazuje jeho čl. 82 odst. 1, není podmíněna zaviněním na straně gestora zpracování.

87.

GDPR zavádí systém, jehož cílem je zajistit vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů ( 73 ). Součástí tohoto systému je článek 82, jehož hlavním cílem je zajistit náhradu újmy a vedlejším cílem je odrazovat od jednání, jež není v souladu s jeho ustanoveními, a tomuto jednání předcházet ( 74 ).

88.

Zajištění náhrady újmy představuje již samo o sobě cíl: lze to vyvodit z významu, který mu přikládá normotvůrce a který je patrný již z pouhého znění daného textu. Získání náhrady v případě, že byla utrpěna újma, je podle GDPR právem subjektu údajů, výklad pojmu „újma“ by měl být široký a náhrada újmy musí být úplná a účinná.

89.

Náhrada újmy souvisí se snahou zvýšit důvěru občanů v digitálním prostředí, což představuje obecný cíl, který je uveden v bodě 7 odůvodnění GDPR. Subjektu údajů musí být zaručeno, že již z podstaty nebude muset nést bez dalšího újmu způsobenou protiprávním zpracováním jeho údajů, což tuto důvěru podpoří: majetek subjektu údajů bude chráněn a jeho vymáhání bude z procesního hlediska jednodušší.

90.

V souladu s výše uvedenými charakteristikami čl. 82 odst. 1 GDPR neváže povinnost nahradit újmu na nedodržení povinnosti péče. Z rozhodnutí normotvůrce náleží taková povinnost osobám, které v daném vztahu zaujímají určité postavení strážce nebo garanta, přičemž tato okolnost je jediná, která se zohlední.

91.

Za relevantní by tedy mohlo být v rámci GDPR považováno postavení oběti, která utrpěla újmu v důsledku protiprávního jednání, za předpokladu, že neexistuje žádný právní předpis, který by jí ukládal povinnost tuto újmu nést.

92.

Pro oběť není podstatné, zda újma vznikla zaviněním osoby, která tuto újmu způsobila: rozhodující je, že jí gestor zpracování způsobil hmotnou či morální újmu v důsledku porušení GDPR, jehož se dopustil.

93.

Zmíněných cílů lze nejsnáze dosáhnout v rámci modelu, který směřuje k tomu, aby prokázaná újma:

94.

V souvislosti s přizpůsobením digitální revoluci ( 75 ) považuji toto řešení za soudržné. S ohledem na rychlý rozvoj technologií je nutné, aby ani v nejběžnějších činnostech, v nichž jsou zpracovávány údaje online, nebránila neexistence úmyslu či nedbalosti náhradě újmy, jež by jinak zůstala nenahrazena.

95.

Výklad, který navrhuji, nejlépe vyhovuje systematice GDPR. V rámci jeho článku 82 to potvrzuje odstavec 3: ke zproštění dojde, pokud správce „prokáž[e], že nenes[e] žádným způsobem odpovědnost za událost, která ke vzniku újmy vedla“.

96.

Ve výše uvedené větě má význam slovní spojení „žádným způsobem“, jehož použití nasvědčuje tomu, že zvoleným modelem není model odpovědnosti za zavinění (ani to nejmírnější) s obrácením důkazního břemene.

97.

Myšlenka, že náhrada újmy nezávisí na zavinění na straně správce, propůjčuje článku 82 zvláštní význam v rámci kapitoly VIII a v konečném důsledku i v celém GDPR.

98.

Evropský normotvůrce si je vědom toho, že zpracování osobních údajů může být spojeno s mnohými riziky. Subjektům zpracování ukládá povinnost tato rizika posuzovat a současně přijímat a aktualizovat opatření vhodná k prevenci a minimalizaci zjištěných rizik ( 76 ).

99.

Bylo potvrzeno, že model založený na občanskoprávní odpovědnosti vycházející ze zavinění podporuje řádnou péči a tím i ochranu před riziky, zatímco alternativní model, v němž se nepřihlíží k tomu, jakým způsobem jednal subjekt zpracování, oslabuje jeho obezřetnost (neboť způsobenou újmu bude muset každopádně nahradit).

100.

Mám za to, že tento způsob řešení ( 77 ) je v rámci GDPR přijatelný. Článek 82 je součástí složité normativní struktury, která obsahuje nástroje práva veřejného a soukromého sloužící k ochraně osobních údajů. Nedbalost (a úmysl) mají v rámci této struktury význam pro správní sankce. Neshledávám žádné důvody, z nichž by měly být relevantní i pro účely občanskoprávní odpovědnosti ( 78 ), což by odporovalo cílům článku 82 a kromě toho snižovalo v praxi zájem o využití prostředku, jejž tento článek stanoví.

101.

Otázky týkající se nutnosti zavinění správce jsou v projednávané věci propojeny s následky, jež by mohly plynout z účasti subjektu údajů ( 79 ).

102.

Pro lepší pochopení následujících úvah je třeba upřesnit, že okolnosti projednávaného sporu jsou nahlíženy dvěma různými způsoby:

103.

V každém případě se domnívám, že jak zřejmě tvrdí předkládající soud ( 82 ), k určení (případného) dopadu, který mohlo mít jednání subjektu údajů na spáchání protiprávního skutku vedoucího ke vzniku újmy, je namístě vycházet z čl. 82 odst. 3.

104.

Toto ustanovení neuvádí, a to ani příkladmo, žádné konkrétní důvody zproštění odpovědnosti. Nejsou uvedeny ani v bodě 146 odůvodnění ( 83 ).

105.

V tomto ohledu se GDPR zdánlivě vzdaluje od směrnice 95/46, jejíž čl. 23 odst. 2 obsahoval pravidlo podobné ( 84 ) současnému čl. 82 odst. 3 GDPR: bod 55 odůvodnění směrnice 95/46 uváděl jakožto příklady zproštění chybu subjektu údajů nebo vyšší moc ( 85 ), které nejsou v GDPR uvedeny.

106.

Nemýlím-li se, během přípravných prací týkajících se GDPR nebyla zaznamenána žádná diskuse, která by se týkala těchto dvou příkladů, jež byly uvedeny v návrhu Komise ( 86 ) a jež Parlament zachoval ( 87 ).

107.

Ke zrušení těchto příkladů a vložení příslovečné vazby „žádným způsobem“ došlo až během již zmíněné diskuse, jejímž předmětem byla otázka, jak upravit odpovědnost za zpracování, které je prováděno několika gestory nebo zpracovateli ( 88 ).

108.

Z dostupných dokumentů ( 89 ) lze vyvodit, že podle konečného znění je gestor zpracování zproštěn odpovědnosti, pokud prokáže, že nenese žádným způsobem odpovědnost („responsible“) za újmu („0 % responsibility“). Totéž se použije i na zpracovatele ( 90 ).

109.

Výše uvedené mě nepřesvědčuje o tom, že by odstranění obou dvou příkladů z preambule společně s vložením výrazu „žádným způsobem“ do téže preambule a do čl. 82 odst. 3 GDPRD mělo za následek (či za cíl) vyloučit jednání subjektu údajů z důvodů zproštění odpovědnosti ( 91 ).

110.

Jeví se spíše, že jednání subjektu údajů může i nadále případ od případu přetrhnout nezbytnou souvislost mezi „událostí“ (tento výraz je použit v čl. 82 odst. 3 GDPR) a přičtením odpovědnosti. Ač je potřeba zdůraznit, že tato úniková doložka má omezenou povahu, neznamená to, že by určité jednání subjektu údajů nemohlo samo o sobě způsobit újmu a vést v důsledku k tomu, že by byl gestor zpracování zproštěn odpovědnosti.

111.

Systematický výklad nasvědčuje tomu, že by měla být v rámci odpovědnosti za újmu zohledněna účast subjektu údajů na vzniku újmy. Systém zavedený prostřednictvím GDPR zapojuje jednotlivce do ochrany jejich údajů a poskytuje jim pro tyto účely nástroje, jež samy o sobě představují práva.

112.

Z teleologického pohledu mám za to, že GDPR má za cíl zajistit vysokou úroveň ochrany, nikoli však do té míry, že by ukládalo správci povinnost poskytnout náhrady újmy i v případě, že vznikla v důsledku událostí či jednání přičitatelných subjektu údajů ( 92 ).

113.

Předkládající soud potvrdil, že smyslem páté předběžné otázky je zjistit, zda má míra zavinění na straně osoby odpovědné za zpracování dopad na výpočet výše náhrady újmy. Konkrétně jde o to, zda může být ve prospěch této odpovědné osoby přihlédnuto zejména k neexistenci nebo nízké míře jejího zavinění.

114.

V článku 82 GDPR nejsou uvedena žádná nebo téměř žádná klíčová hlediska, jež by mohla mít dopad na výpočet výše náhrady újmy. Pro účely výkladu tento článek neposkytuje žádná vodítka týkající se prvků, jež tento výpočet tvoří ( 93 ), ani kritéria pro posouzení těchto prvků (ve smyslu jejich převedení na konkrétní částku) ( 94 ) či faktory, které by tuto částku mohly ovlivnit ( 95 ).

115.

I přesto se domnívám, že GDPR přiznává subjektu údajů právo na náhradu újmy ve výši, která se určí s přihlédnutím ke skutečně utrpěné újmě. Jakmile je určena částka, kterou se tato újma objektivně nahradí, nesmí se již měnit v závislosti na vyšší či nižší míře zavinění na straně správce.

116.

Na podporu svého postoje odkazuji obdobně na to, co bylo uvedeno výše v souvislosti s přičtením odpovědnosti gestoru zpracování údajů bez ohledu na jeho zavinění, v rámci systému zavedeného článkem 82 GDPR. Z pohledu oběti, jejíž majetek (hmotný a nehmotný) musí zůstat i po vzniku újmy nepoškozený, je nutné, aby byla za tuto újmu poskytnuta náhrada, která nebude vázána na zavinění gestora zpracování údajů bez ohledu na to, jaká je míra jeho zavinění ( 96 ).

117.

Mám za to, že k témuž závěru lze dospět, uvědomíme-li si, že článek 82 GDPR (u něhož přípravné práce neposkytují žádné vodítko pro vytvoření konkrétního názoru) ( 97 ) se liší od ostatních nástrojů unijního práva, které pro účely určení výše náhrady z titulu občanskoprávní odpovědnosti výslovně rozlišují, zda bylo protiprávní jednání spácháno „úmyslně“ ( 98 ).

118.

Podle mého názoru existují další dva argumenty, které tento závěr potvrzují:

119.

S ohledem na výše uvedené úvahy navrhuji Soudnímu dvoru, aby odpověděl Bundesarbeitsgericht (Spolkový pracovní soud, Německo) takto:

„Článek 9 odst. 2 písm. h) a čl. 9 odst. 3, jakož i čl. 82 odst. 1 a 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být vykládány v tom smyslu, že

nezakazují, aby lékařská služba zdravotní pojišťovny zpracovala údaje o zdravotním stavu zaměstnance této lékařské služby, které jsou podmínkou pro posouzení pracovní schopnosti tohoto zaměstnance;

připouštějí výjimku ze zákazu zpracování údajů o zdravotním stavu, pokud je toto zpracování nezbytné pro posouzení pracovní schopnosti zaměstnance a pokud je v souladu se zásadami uvedenými v článku 5 a s některou z podmínek zákonnosti stanovených v článku 6 nařízení 2016/679.

Míra zavinění správce nebo zpracovatele není relevantní pro vznik odpovědnosti těchto subjektů ani pro určení výše nehmotné újmy, která má být nahrazena na základě čl. 82 odst. 1 nařízení 2016/679.

Účast subjektu údajů na události, z níž plyne povinnost poskytnout náhradu újmy, může v jednotlivých případech vést ke zproštění odpovědnosti správce nebo zpracovatele, které je uvedeno v čl. 82 odst. 3 nařízení 2016/679.“