–

ND ved Rechtsanwälte A. Datta, M. Mogendorf og W. Spoerr,

–

DR ved Rechtsanwalt M. Bahmann,

–

den tyske regering ved J. Möller og P.-L. Krüger, som befuldmægtigede,

–

Europa-Kommissionen ved A. Bouchagiar, F. Erlbacher og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 9, stk. 1, og bestemmelserne i kapitel VIII i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«), samt artikel 8, stk. 1, i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EUT 1995, L 281, s. 31).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem ND og DR, to fysiske personer, der begge driver et apotek, vedrørende ND’s forhandling via en onlineplatform af lægemidler, som det er forbeholdt apoteker at sælge.

3

Artikel 8 i direktiv 95/46 med overskriften »Behandlinger, der vedrører særlige kategorier af oplysninger«, bestemte følgende:

»1.   Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.

2.   Stk. 1 finder ikke anvendelse, hvis

[...]«

4

9.-11., 13., 35., 51., 53., 141. og 142. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

[...]

[...]

5

Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer følgende:

»1.   I denne forordning fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og regler om fri udveksling af personoplysninger.

2.   Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.

3.   Den frie udveksling af personoplysninger i Unionen må hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.«

6

Forordningens artikel 4 fastsætter følgende:

»I denne forordning forstås ved:

[...]

[...]

[...]

[...]«

7

Databeskyttelsesforordningens kapitel II med overskriften »Principper« indeholder forordningens artikel 5-11.

8

Forordningens artikel 5 fastsætter principperne for behandling af personoplysninger, mens artikel 6 fastsætter betingelserne for lovligheden af en sådan behandling.

9

Forordningens artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« bestemmer følgende:

»1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.

2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:

[...]

[...]«

10

Samme forordnings artikel 51 med overskriften »Tilsynsmyndighed« fastsætter følgende i stk. 1:

»Hver medlemsstat sikrer, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at føre tilsyn med anvendelsen af denne forordning, for at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling og for at lette fri udveksling af personoplysninger i Unionen (»tilsynsmyndighed«).«

11

Databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner« indeholder forordningens artikel 77-84.

12

Forordningens artikel 77 med overskriften »Ret til at indgive klage til en tilsynsmyndighed« bestemmer følgende i stk. 1:

»Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning.«

13

Forordningens artikel 78 med overskriften »Adgang til effektive retsmidler over for en tilsynsmyndighed« fastsætter følgende i stk. 1:

»Uden at det berører andre administrative eller udenretslige klageadgange, har enhver fysisk eller juridisk person ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.«

14

Samme forordnings artikel 79 med overskriften »Adgang til effektive retsmidler over for en dataansvarlig eller databehandler« fastsætter følgende i stk. 1:

»Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.«

15

Databeskyttelsesforordningens artikel 80 med overskriften »Repræsentation af registrerede« har følgende ordlyd:

»1.   Den registrerede har ret til at bemyndige et organ, en organisation eller en sammenslutning, der er etableret i overensstemmelse med en medlemsstats nationale ret, som ikke arbejder med gevinst for øje, hvis vedtægtsmæssige formål er af almen interesse, og som er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger, til at indgive en klage på sine vegne, til at udøve de rettigheder, der er omhandlet i artikel 77, 78 og 79, på sine vegne og til, hvis det er fastsat i medlemsstaternes nationale ret, at udøve retten til at modtage erstatning som omhandlet i artikel 82 på sine vegne.

2.   Medlemsstaterne kan fastsætte, at ethvert organ, enhver organisation eller enhver sammenslutning, jf. denne artikels stk. 1, uafhængigt af en bemyndigelse fra den registrerede har ret til at indgive en klage i den pågældende medlemsstat til den tilsynsmyndighed, der er kompetent i henhold til artikel 77, og til at udøve de rettigheder, der er omhandlet i artikel 78 og 79, hvis den/det har grund til at formode, at den registreredes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling.«

16

Denne forordnings artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« bestemmer følgende i stk. 1:

»Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.«

17

Forordningens artikel 83 med overskriften »Generelle betingelser for pålæggelse af administrative bøder« fastsætter følgende i stk. 1:

»Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.«

18

Samme forordnings artikel 84 med overskriften »Sanktioner« bestemmer følgende i stk. 1:

»Medlemsstaterne fastsætter regler om andre sanktioner, der skal anvendes i tilfælde af overtrædelser af denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 83, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.«

19

Databeskyttelsesforordningens artikel 94 fastsætter følgende i stk. 1:

»Direktiv [95/46] ophæves med virkning fra den 25. maj 2018.«

20

Forordningens artikel 99 bestemmer følgende:

»1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

2.   Den anvendes fra den 25. maj 2018.«

21

§ 3 i Gesetz gegen den unlauteren Wettbewerb (lov om illoyal konkurrence) af 3. juli 2004 (BGBl. 2004 I, s. 1414) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »UWG«), med overskriften »Forbud mod urimelig handelspraksis« fastsætter følgende i stk. 1:

»Urimelig handelspraksis er ulovlig.«

22

UWG’s § 3a med overskriften »Lovbrud« har følgende ordlyd:

»Urimeligt handler den, som handler i strid med en lovbestemmelse, der bl.a. har til formål at regulere adfærden på markedet i markedsaktørernes interesse, for så vidt som overtrædelsen mærkbart kan skade forbrugernes, øvrige markedsaktørers eller konkurrenters interesser.«

23

UWG’s § 8 med overskriften »Ophør og forbud« bestemmer følgende:

»(1)   Den, der gør sig skyldig i ulovlig handelspraksis som omhandlet i § 3 eller § 7, kan meddeles påbud om at ophøre med den retsstridige handling og kan, såfremt der er risiko for gentagelse, meddeles forbud mod denne. [...]

[...]

(3)   Påbud og forbud i henhold til stk. 1 kan begæres af:

[...]«

24

Omsætningen af lægemidler er reguleret ved Gesetz über den Verkehr mit Arzneimitteln (lov om handel med lægemidler) af 24. august 1976 (BGBl. 1976 I, s. 2444) i den affattelse, der blev offentliggjort den 12. december 2005 (BGBl. 2005 I, s. 3394), således som denne finder anvendelse på de faktiske omstændigheder i hovedsagen, i hvilken lov der sondres mellem lægemidler, som sælges på apoteker, og lægemidler, som sælges på recept, og som er omfattet af lovens § 48 med overskriften »Receptpligt«.

25

ND, der driver et apotek under virksomhedsnavnet »Lindenapotheke«, har siden 2017 forhandlet lægemidler, som det er forbeholdt apoteker at sælge, på onlineplatformen »Amazon-Marketplace« (herefter »Amazon«). Når ND’s kunder bestiller disse lægemidler online, skal de afgive nogle oplysninger, såsom deres navn, leveringsadressen og de nødvendige detaljer med henblik på individualisering af lægemidlerne.

26

DR, der ligeledes driver et apotek, anlagde et søgsmål ved Landgericht Dessau-Roßlau (den regionale ret i første instans i Dessau-Roßlau, Tyskland) med påstand om, at ND under bødeansvar blev pålagt at ophøre med at forhandle lægemidler, som det er forbeholdt apoteker at sælge, på Amazon, så længe det ikke sikres, at kunden kan give forudgående samtykke til behandlingen af helbredsoplysninger.

27

Til støtte for søgsmålet gjorde DR gældende, at forhandlingen på Amazon af lægemidler, som det er forbeholdt apoteker at sælge, var illoyal på grund af tilsidesættelse af lovkrav vedrørende indhentning af kundens samtykke som krævet i lovgivningen vedrørende beskyttelse af personoplysninger.

28

Ved afgørelse af 28. marts 2018 gav Landgericht Dessau-Roßlau (den regionale ret i første instans i Dessau-Roßlau) sagsøgeren medhold i søgsmålet.

29

ND iværksatte appel af denne afgørelse ved Oberlandesgericht Naumburg (den regionale appeldomstol i Naumburg, Tyskland), som forkastede appellen ved afgørelse af 7. november 2019.

30

Appeldomstolen fandt, at forhandlingen på Amazon af lægemidler, som det er forbeholdt apoteker at sælge, udgjorde en urimelig praksis, som derfor var ulovlig i henhold til UWG’s § 3, stk. 1. Denne forhandling af lægemidler giver nemlig anledning til en behandling af helbredsoplysninger, som er forbudt i henhold til databeskyttelsesforordningens artikel 9, stk. 1, hvis der ikke foreligger et udtrykkeligt samtykke fra de kunder, der køber lægemidler, jf. denne forordnings artikel 9, stk. 2, litra a). De regler, der er fastsat i den nævnte forordning, udgør lovbestemmelser, der har til formål at regulere adfærden på markedet som omhandlet i UWG’s § 3a. Desuden havde DR i henhold til UWG’s § 8, stk. 3, nr. 1, som konkurrent ret at gøre gældende, at ND havde tilsidesat disse regler, ved at begære påbud om ophør ved de civile domstole.

31

ND iværksatte revisionsanke ved Bundesgerichtshof (forbundsdomstol, Tyskland), som er den forelæggende ret.

32

Den forelæggende ret har anført, at afgørelsen af tvisten afhænger af fortolkningen af bestemmelserne i databeskyttelsesforordningens kapitel VIII og af denne forordnings artikel 9, stk. 1, samt af artikel 8, stk. 1, i direktiv 95/46.

33

Den forelæggende ret ønsker for det første oplyst, om det efter ophævelsen af direktiv 95/46 med virkning fra den 25. maj 2018, fra hvilken dato databeskyttelsesforordningen har fundet anvendelse, stadig er tilladt for medlemsstaterne at fastsætte bestemmelser i national ret om, at en virksomheds konkurrenter, såsom dem, der er omhandlet i UWG’s § 8, stk. 3, nr. 1, har ret til, gennem et søgsmål ved en civil domstol, at nedlægge påstand om, at de overtrædelser af databeskyttelsesforordningens bestemmelser, som virksomheden har begået, bringes til ophør, på grundlag af forbuddet mod urimelig handelspraksis.

34

Den forelæggende ret har anført, at dette spørgsmål kan besvares forskelligt på nationalt plan. Svaret kan nemlig ikke udledes entydigt af hverken ordlyden af bestemmelserne i databeskyttelsesforordningens kapitel VIII, af den generelle opbygning af disse bestemmelser eller af det formål, der forfølges med forordningen.

35

Hvad først angår ordlyden af bestemmelserne i databeskyttelsesforordningens kapitel VIII har den forelæggende ret således fremhævet, at disse bestemmelser intetsteds nævner muligheden for en virksomheds konkurrenter for at anlægge sag mod denne virksomhed, navnlig når overtrædelsen af databeskyttelseslovgivningen udgør en urimelig handelspraksis. Samtidig udelukker disse bestemmelser imidlertid ikke formelt denne mulighed.

36

Hvad dernæst angår den generelle opbygning af bestemmelserne i databeskyttelsesforordningens kapitel VIII har den forelæggende ret på den ene side fremhævet, at denne forordning, således som Domstolen har fastslået i dom af 28. april 2022, Meta Platforms Ireland (C-319/20, EU:C:2022:322, præmis 57), har til formål at sikre en harmonisering af de nationale lovgivninger om beskyttelse af personoplysninger, som i princippet er fuldstændig. På den anden side kan den omstændighed, at databeskyttelsesforordningens artikel 77, stk. 1, artikel 78, stk. 1 og 2, og artikel 79, stk. 1, hver især indeholder udtrykket »[u]den at det berører andre [...] klageadgange«, imidlertid være til hinder for, at det konkluderes, at tilsynet med anvendelsen af lovgivningen er blevet udtømmende reguleret.

37

Hvad endelig angår det formål om harmonisering og navnlig ensretning af niveauet for tilsynet med anvendelse af lovgivningen i EU, som databeskyttelsesforordningen forfølger, har den forelæggende ret på den ene side fremhævet, at den omstændighed, at konkurrenter kan have søgsmålskompetence i henhold til konkurrenceretten og dermed udvirke, at databeskyttelsesrettens bestemmelser håndhæves i videre omfang end ved de instrumenter, der er fastsat i databeskyttelsesforordningen, kan gå imod dette formål. Desuden er det ikke sikkert, at det system for tilsyn med anvendelsen af lovgivningen, der er fastsat ved forordningen, medfører en lakune, der skal udfyldes gennem konkurrenternes mulighed for at have søgsmålskompetence i henhold til konkurrenceretten. På samme måde risikerer konkurrence på området for tilsyn med anvendelsen af databeskyttelsesretten mellem tilsynsmyndighederne på den ene side og de civile domstole på den anden side at gribe ind i tilsynsmyndighedernes beføjelser og føre til forskelle inden for EU med hensyn til tilsynet med anvendelsen af databeskyttelsesretten.

38

Ifølge den forelæggende ret vil anerkendelse af konkurrenters søgsmålskompetence i henhold til konkurrenceretten på den anden side kunne udgøre en yderligere mulighed for retshåndhævelse, som vil være ønskelig ifølge effektivitetsprincippet (»effektiv virkning«) for at sikre et så højt beskyttelsesniveau som muligt med hensyn til personoplysninger i overensstemmelse med tiende betragtning til databeskyttelsesforordningen.

39

Den forelæggende ret har præciseret, at dette spørgsmål ikke er blevet afklaret i Domstolens praksis, og at Domstolen navnlig i dom af 28. april 2022, Meta Platforms Ireland (C-319/20, EU:C:2022:322), udtrykkeligt lod spørgsmålet om en konkurrents søgsmålskompetence stå åbent.

40

For det andet ønsker den forelæggende ret oplyst, om de oplysninger, som kunderne skal afgive på onlinesalgsplatformen ved bestilling af lægemidler, såsom deres navn, leveringsadressen og de nødvendige informationer med henblik på individualisering af de bestilte lægemidler, udgør »helbredsoplysninger« som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1.

41

Ifølge den forelæggende ret er det ikke indlysende, hvordan dette spørgsmål skal besvares, når de bestilte lægemidler ikke er receptpligtige. I så fald kan det nemlig ikke udelukkes, at lægemidlerne ikke er til kunderne selv, men til tredjemænd, som ikke kan identificeres.

42

Den forelæggende ret har fremhævet, at ordlyden af disse bestemmelser og af databeskyttelsesforordningens artikel 4, nr. 15), sammenholdt med 35. betragtning til forordningen, ikke i sig selv gør det muligt at besvare dette spørgsmål.

43

Imidlertid har Domstolen i præmis 125 i dom af 1. august 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601), fastslået, at begrebet »særlige kategorier af personoplysninger« som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, skal fortolkes bredt, henset til denne forordnings formål, som består i at sikre et højt niveau for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af deres personoplysninger. Hvis en sådan bred fortolkning af dette begreb blev lagt til grund, ville det kunne konkluderes, at sådanne oplysninger udgør helbredsoplysninger, når det ikke er sikkert, men kun sandsynligt, at de kunder, der bestiller lægemidlerne, er de personer, som de er bestemt til.

44

Den forelæggende ret har præciseret, at den ret til ophør, som DR har påberåbt sig, forudsætter, at den omhandlede adfærd fra ND’s side var ulovlig både på det tidspunkt, hvor den blev udvist, og på det tidspunkt, hvor retsmødet i revisionsankesagen fandt sted, og at det første af disse tidspunkter stadig var reguleret af artikel 8, stk. 1, i direktiv 95/46, mens det andet tidspunkt nu er omfattet af anvendelsesområdet for databeskyttelsesforordningens artikel 9, stk. 1.

45

Bundesgerichtshof (forbundsdomstol) har på denne baggrund besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

46

Med det første spørgsmål ønsker den forelæggende ret oplyst, om bestemmelserne i databeskyttelsesforordningens kapitel VIII skal fortolkes således, at de er til hinder for en national lovgivning, der ved siden af de beføjelser til at gribe ind, som er tillagt de tilsynsmyndigheder, der skal føre tilsyn med og håndhæve denne forordning, og de registreredes adgang til retsmidler giver konkurrenterne til den, der formodes at have krænket beskyttelsen af personoplysninger, ret til at anlægge sag mod den pågældende ved de civile domstole på grund af overtrædelser af denne forordning og støttet på forbuddet mod urimelig handelspraksis.

47

Indledningsvis bemærkes, at databeskyttelsesforordningens kapitel VIII bl.a. regulerer de retsmidler, der gør det muligt at beskytte den registreredes rettigheder, når personoplysningerne vedrørende vedkommende har været genstand for en behandling, der angiveligt er i strid med denne forordnings bestemmelser. Beskyttelsen af disse rettigheder kan således påberåbes enten direkte af den registrerede i henhold til forordningens artikel 77-79 eller af et bemyndiget organ/en bemyndiget organisation, når der foreligger eller ikke foreligger bemyndigelse hertil i henhold til forordningens artikel 80 (jf. i denne retning dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 53).

48

For det første fastsætter databeskyttelsesforordningens artikel 77, stk. 1, nemlig, at uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed. Denne forordnings artikel 78, stk. 1, bestemmer, at enhver fysisk eller juridisk person har ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende, uden at det berører andre administrative eller udenretslige klageadgange. Forordningens artikel 79, stk. 1, sikrer den enkelte registrerede adgang til effektive retsmidler, uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til samme forordnings artikel 77.

49

For det andet har den registrerede i henhold til databeskyttelsesforordningens artikel 80, stk. 1, ret til under visse betingelser at bemyndige et organ, en organisation eller en sammenslutning, som ikke arbejder med gevinst for øje, til at indgive en klage eller udøve de rettigheder, der er omhandlet i forordningens artikel 77-79, på sine vegne. Desuden kan medlemsstaterne i overensstemmelse med databeskyttelsesforordningens artikel 80, stk. 2, fastsætte, at ethvert organ, enhver organisation eller enhver sammenslutning, uafhængigt af en bemyndigelse fra den registrerede, har ret til at indgive en sådan klage i den pågældende medlemsstat til tilsynsmyndigheden og til at udøve disse rettigheder, hvis den/det har grund til at formode, at den registreredes rettigheder i henhold til samme forordning er blevet krænket som følge af behandlingen af personoplysninger vedrørende vedkommende.

50

I det foreliggende tilfælde fremgår det af sagsakterne for Domstolen, at ND, der driver et apotek, forhandler lægemidler på Amazon, som det er forbeholdt apoteker at sælge, og at kunderne, når de bestiller disse lægemider online, skal afgive nogle oplysninger, såsom deres navn, leveringsadressen og de nødvendige informationer med henblik på individualisering af lægemidlerne. Søgsmålet i hovedsagen er imidlertid ikke blevet anlagt ved en civil domstol af disse kunder – der er registrerede som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1) – på grundlag af denne forordnings artikel 79 og heller ikke af et organ, en organisation eller en sammenslutning med eller uden bemyndigelse hertil fra en registreret i henhold til forordningens artikel 80, men af en konkurrent til denne apoteker på grundlag af forbuddet mod urimelig handelspraksis på grund af overtrædelser af samme forordnings bestemmelser, som denne apoteker skulle have begået.

51

Hovedsagen rejser således spørgsmålet om, hvorvidt databeskyttelsesforordningen er til hinder for, at en konkurrent såsom DR, der ikke er en registreret som omhandlet i denne forordnings artikel 4, nr. 1), har kompetence til at anlægge et sådant søgsmål ved de nationale civile domstole.

52

I denne henseende bemærkes, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (dom af 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, præmis 32).

53

Hvad angår ordlyden af bestemmelserne i databeskyttelsesforordningens kapitel VIII skal det fastslås, at ingen af disse udtrykkeligt udelukker muligheden for en virksomheds konkurrent for at anlægge sag ved de civile domstole mod denne virksomhed støttet på forbuddet mod urimelig handelspraksis på grund af virksomhedens hævdede tilsidesættelse af forpligtelser, der er fastsat i denne forordning. Det følger tværtimod af ordlyden af databeskyttelsesforordningens artikel 77, stk. 1, artikel 78, stk. 1, og artikel 79, stk. 1, jf. denne doms præmis 48, at retten til at indgive klage til en tilsynsmyndighed og adgangen til effektive retsmidler over for en sådan myndighed og over for en dataansvarlig eller databehandler som omhandlet i disse bestemmelser gælder, »uden at det berører« andre administrative klageadgange eller adgang til retsmidler eller andre udenretslige klageadgange.

54

Hvad angår den sammenhæng, hvori databeskyttelsesforordningens kapitel VIII indgår, bemærkes, at denne forordning i kapitel II indeholder en række materielle bestemmelser, som bl.a. vedrører principperne for behandling af personoplysninger i artikel 5 og betingelserne for lovligheden af en sådan behandling i artikel 6, og som skal sikre, at bl.a. de registreredes grundlæggende ret til beskyttelse af personoplysninger som sikret ved artikel 16, stk. 1, TEUF og chartrets artikel 8 overholdes fuldt ud. Når der ikke findes bestemmelser i databeskyttelsesforordningens kapitel VIII, der giver konkurrenterne til en virksomhed, som angiveligt har overtrådt disse materielle bestemmelser, mulighed for at anlægge et søgsmål, med henblik på at denne overtrædelse bringes til ophør, skyldes dette således, at kun de registrerede, og ikke disse konkurrenter, er omfattet af den beskyttelse af personoplysninger, der er sikret ved denne forordning, således som generaladvokaten har anført i punkt 80 i forslaget til afgørelse.

55

Selv om en overtrædelse af de nævnte materielle bestemmelser først og fremmest kan påvirke de registrerede, hvis oplysninger er omhandlet, kan den imidlertid også skade tredjemænd, hvilket illustreres af den omstændighed, at databeskyttelsesforordningens artikel 82, stk. 1, fastsætter en ret til erstatning for »[e]nhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning«. Domstolen har ligeledes allerede haft lejlighed til at fastslå, at tilsidesættelse af en regel om beskyttelse af personoplysninger samtidigt kan medføre en tilsidesættelse af reglerne om forbrugerbeskyttelse eller urimelig handelspraksis (dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 78) og udgøre et væsentligt indicium ved vurderingen af, om der foreligger et misbrug af dominerende stilling som omhandlet i artikel 102 TEUF (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 47 og 62).

56

I denne sammenhæng skal det bemærkes, at adgangen til personoplysninger og udnyttelsen heraf har stor betydning i den digitale økonomi. Adgangen til personoplysninger og muligheden for behandling af disse oplysninger er nemlig blevet et væsentligt parameter i konkurrencen mellem virksomhederne i den digitale økonomi. For at tage hensyn til denne økonomiske udviklings realitet og sikre fair konkurrence kan det derfor vise sig nødvendigt at tage hensyn til reglerne om beskyttelse af personoplysninger i forbindelse med anvendelsen af konkurrenceretten og reglerne om urimelig handelspraksis (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 50 og 51).

57

Selv om det fremgår af databeskyttelsesforordningens artikel 1, stk. 1, sammenholdt med bl.a. 9. og 13. betragtning, at denne forordning har til formål at sikre en harmonisering af de nationale lovgivninger om beskyttelse af personoplysninger, som i princippet er fuldstændig, åbner flere bestemmelser i forordningen ikke desto mindre udtrykkeligt mulighed for, at medlemsstaterne kan fastsætte supplerende nationale regler, der er strengere, eller undtagelsesbestemmelser, som overlader medlemsstaterne et skøn med hensyn til, hvorledes disse bestemmelser kan gennemføres (»åbningsbestemmelser«) (dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 57).

58

Domstolen har allerede fastslået, at dette gælder databeskyttelsesforordningens artikel 80, stk. 2, som overlader medlemsstaterne et skøn med hensyn til dens gennemførelse, og som ikke er til hinder for en national lovgivning, som gør det muligt for en sammenslutning, der varetager beskyttelsen af forbrugernes interesser – uden bemyndigelse, som er blevet givet denne med henblik herpå, og uafhængigt af en krænkelse af en registrerets konkrete rettigheder – at anlægge sag mod den, der formodes at have krænket beskyttelsen af personoplysninger, ved bl.a. at gøre gældende, at der foreligger en tilsidesættelse af forbuddet mod urimelig handelspraksis, når den pågældende behandling af oplysninger kan påvirke de rettigheder, som identificerede eller identificerbare fysiske personer har i henhold til denne forordning (dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 59 og 83).

59

Bestemmelserne i databeskyttelsesforordningens kapitel VIII fastsætter ganske vist ikke specifikt en sådan åbningsbestemmelse, der udtrykkeligt gør det muligt for medlemsstaterne at give en konkurrent til en virksomhed, der angiveligt overtræder denne forordnings materielle bestemmelser, mulighed for at anlægge sag med henblik på at bringe denne overtrædelse til ophør.

60

Det følger imidlertid af ordlyden af og den sammenhæng, hvori de bestemmelser i databeskyttelsesforordningens kapitel VIII, der er henvist til i denne doms præmis 53-58, indgår, at EU-lovgiver med vedtagelsen af denne forordning ikke har haft til hensigt at foretage en udtømmende harmonisering af de retsmidler, der er til rådighed i tilfælde af overtrædelse af forordningens bestemmelser, og navnlig ikke har ønsket at udelukke en sådan adgang til at anlægge sag for konkurrenterne til den, der formodes at have krænket beskyttelsen af personoplysninger, støttet på national ret vedrørende forbuddet mod urimelig handelspraksis.

61

Denne fortolkning støttes af de mål, der forfølges med databeskyttelsesforordningen, der, således som det bl.a. fremgår af 10. betragtning hertil, har til formål at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og at fjerne hindringerne for udveksling af disse oplysninger inden for EU. I 11. betragtning til denne forordning er det desuden anført, at det for at sikre effektiv beskyttelse af disse oplysninger er nødvendigt at styrke de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af oplysninger, samt at der gives tilsvarende beføjelser til at føre tilsyn med og sikre overholdelse af reglerne om beskyttelse af personoplysninger og indføres tilsvarende sanktioner ved overtrædelser i medlemsstaterne. I 13. betragtning til forordningen er det præciseret, at der for at sikre et ensartet beskyttelsesniveau for fysiske personer i hele EU og for at hindre, at forskelle hæmmer den frie udveksling af personoplysninger på det indre marked, er behov for en forordning for at skabe retssikkerhed og gennemsigtighed for erhvervsdrivende, at give fysiske personer i alle medlemsstaterne det samme niveau af rettigheder, som kan håndhæves, og forpligtelser og ansvar for dataansvarlige og databehandlere og at sikre konsekvent tilsyn med behandling af personoplysninger og tilsvarende sanktioner i alle medlemsstaterne.

62

Muligheden for en konkurrent til en virksomhed for at anlægge sag ved de civile domstole støttet på forbuddet mod urimelig handelspraksis med henblik på at bringe en overtrædelse af de materielle bestemmelser i databeskyttelsesforordningen, som denne virksomhed hævdes at have begået, til ophør, bringer ikke alene ikke disse mål i fare, men kan tværtimod styrke disse bestemmelsers effektive virkning og dermed det høje beskyttelsesniveau for de registrerede i forbindelse med behandlingen af deres personoplysninger som omhandlet i denne forordning.

63

For det første skader et søgsmål med påstand om ophør, som en konkurrent anlægger mod en virksomhed på grundlag af forbuddet mod urimelig handelspraksis på grund af en hævdet overtrædelse af de materielle bestemmelser i databeskyttelsesforordningen, nemlig på ingen måde det retsmiddelsystem, der er fastsat i denne forordnings kapitel VIII, eller formålet om at sikre et ensartet beskyttelsesniveau for fysiske personer i hele EU og hindre, at forskelle hæmmer den frie udveksling af personoplysninger på det indre marked.

64

Et sådant søgsmål kan ganske vist – om end ikke selvstændigt – være baseret på en overtrædelse af de samme bestemmelser i databeskyttelsesforordningen som dem, der henvises til som grundlag for en klage eller et søgsmål, der indgives henholdsvis anlægges i henhold til denne forordnings artikel 77-79 af de registrerede eller af et organ, en organisation eller en sammenslutning som omhandlet i forordningens artikel 80.

65

For det første forfølger et søgsmål med påstand om ophør, til forskel fra databeskyttelsesforordningens artikel 77-80, imidlertid ikke som sådant et formål om beskyttelse af de registreredes grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af deres personoplysninger, men tager sigte på at sikre fair konkurrence, bl.a. i denne konkurrents interesse.

66

For det andet supplerer muligheden for en konkurrent for at anlægge et sådant søgsmål ved de civile domstole støttet på forbuddet mod urimelig handelspraksis de retsmidler, der er indført ved databeskyttelsesforordningens artikel 77-79, som fuldt ud bevares og altid kan udøves af de registrerede og, efter omstændighederne, af organer, organisationer eller sammenslutninger som omhandlet i denne forordnings artikel 80.

67

Som den tyske regering har anført, bringer den omstændighed, at retsmidler i henhold til databeskyttelsesretten består samtidigt med retsmidler i henhold til konkurrenceretten, navnlig ikke den ensartede anvendelse af databeskyttelsesforordningen i fare. I denne sammenhæng bemærkes, at det følger af denne forordnings artikel 77-80, at denne ikke fastsætter en primær kompetence eller enekompetence, og heller ikke en regel om forrang af den vurdering, som den heri omhandlede myndighed eller de heri omhandlede domstole skal foretage af, om der foreligger en tilsidesættelse af de rettigheder, som er tillagt ved forordningen (jf. i denne retning dom af 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, præmis 35). Den omstændighed, at søgsmålet med påstand om ophør er anlagt af en konkurrent til den, der formodes at have krænket beskyttelsen af personoplysninger, ved de civile domstole, skader derfor ikke retsmiddelsystemet som fastsat i databeskyttelsesforordningens kapitel VIII. Som den tyske regering har anført, sikres den ensartede fortolkning af denne forordnings materielle bestemmelser, der kan blive anvendt på samme overtrædelse af dels tilsynsmyndigheden og de retter, der behandler sager indbragt i henhold til forordningens artikel 77-80, dels de retter, ved hvilke en sådan konkurrent anlægger sag støttet på forbuddet mod urimelig handelspraksis, desuden af den præjudicielle procedure i henhold til artikel 267 TEUF.

68

For det tredje er den øgede adgang for andre personer end blot de registrerede og organer, organisationer og sammenslutninger som omhandlet i databeskyttelsesforordningens artikel 80 til at påberåbe sig forordningens materielle bestemmelser, således som generaladvokaten har anført i punkt 104 i forslaget til afgørelse, ikke til fare for opfyldelsen af formålet om at sikre et ensartet beskyttelsesniveauniveau for de registrerede i hele EU og hindre, at forskelle hæmmer den frie udveksling af personoplysninger på det indre marked. Selv om medlemsstaterne ikke har indført en sådan mulighed, fører dette nemlig ikke af den grund til en fragmentering af gennemførelsen af databeskyttelsen i EU, da databeskyttelsesforordningens materielle bestemmelser gælder på samme måde for alle dataansvarlige som omhandlet i denne forordnings artikel 4, nr. 7), og overholdelsen af disse bestemmelser sikres af de retsmidler, der er fastsat i forordningen.

69

Hvad for det andet angår formålet om at sikre en effektiv beskyttelse af de registrerede i forbindelse med behandlingen af deres personoplysninger og den effektive virkning af databeskyttelsesforordningens materielle bestemmelser skal det fastslås, at selv om et søgsmål med påstand om ophør, der anlægges af en konkurrent til den, der formodes at have krænket beskyttelsen af personoplysninger, ikke tager sigte på dette formål, men på formålet om at sikre fair konkurrence, således som det er blevet anført i denne doms præmis 65, forholder det sig ikke desto mindre således, at det ubestrideligt bidrager til overholdelsen af disse bestemmelser og dermed til at styrke de registreredes rettigheder og sikre dem et højt beskyttelsesniveau (jf. i denne retning dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 74).

70

I øvrigt kan et sådant søgsmål med påstand om ophør anlagt af en konkurrent, ligesom søgsmål anlagt af forbrugerbeskyttelsesorganisationer, vise sig at være særligt effektivt til at sikre en sådan beskyttelse, for så vidt som det kan forebygge et stort antal krænkelser af de registreredes rettigheder ved behandlingen af deres personoplysninger (jf. i denne retning dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 75).

71

Det følger heraf, at den fortolkning, der er lagt til grund i denne doms præmis 60, er i overensstemmelse med de krav, der følger af artikel 16, stk. 1, TEUF og af chartrets artikel 8, og dermed med det formål, der forfølges med databeskyttelsesforordningen, som består i at sikre en effektiv beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder samt bl.a. at sikre et højt beskyttelsesniveau for enhver persons ret til beskyttelse af personoplysninger vedrørende vedkommende (jf. i denne retning dom af 28.4.2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, præmis 73).

72

I det foreliggende tilfælde tilkommer det den forelæggende ret at efterprøve, om den formodede overtrædelse af databeskyttelsesforordningens materielle bestemmelser, som er omhandlet i hovedsagen, hvis den godtgøres, ligeledes udgør en tilsidesættelse af forbuddet mod urimelig handelspraksis som fastsat i den relevante nationale lovgivning.

73

Henset til ovenstående betragtninger skal det første spørgsmål besvares med, at bestemmelserne i databeskyttelsesforordningens kapitel VIII skal fortolkes således, at de ikke er til hinder for en national lovgivning, der ved siden af de beføjelser til at gribe ind, som er tillagt de tilsynsmyndigheder, der skal føre tilsyn med og håndhæve denne forordning, og de registreredes adgang til retsmidler giver konkurrenterne til den, der formodes at have krænket beskyttelsen af personoplysninger, ret til at anlægge sag mod den pågældende ved de civile domstole på grund af overtrædelser af denne forordning og støttet på forbuddet mod urimelig handelspraksis.

74

Med det andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, skal fortolkes således, at i en situation, hvor en person, der driver et apotek, og som via en onlineplatform forhandler lægemidler, som det er forbeholdt apoteker at sælge, udgør de oplysninger, som denne persons kunder afgiver i forbindelse med bestilling af lægemidlerne online, såsom deres navn, leveringsadressen og de nødvendige detaljer med henblik på individualisering af lægemidlerne, helbredsoplysninger som omhandlet i disse bestemmelser, også når salget af disse lægemidler ikke er undergivet receptpligt.

75

Artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, der har samme indhold i forbindelse med den fortolkning, som Domstolen er blevet anmodet om (dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 58 og 117), og som, således som disse artiklers overskrifter angiver, vedrører behandling af »særlige kategorier« af personoplysninger, fastsætter princippet om forbud mod denne behandling. Som udtrykkeligt anført i 51. betragtning til denne forordning bør personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, nyde specifik beskyttelse, da sammenhængen for behandling af dem kan indebære betydelige risici for disse rettigheder og frihedsrettigheder.

76

Til disse særlige kategorier af personoplysninger, jf. opregningen i artikel 8, stk. 1, i direktiv 95/46 og i databeskyttelsesforordningens artikel 9, stk. 1, hører helbredsoplysninger. Disse omfatter i henhold til denne forordnings artikel 4, nr. 15), sammenholdt med 35. betragtning til forordningen, alle personoplysninger, som giver information om en fysisk persons tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand, herunder oplysninger om levering af sundhedsydelser til den pågældende person.

77

Desuden følger det af bl.a. databeskyttelsesforordningens artikel 4, nr. 1), at begrebet »personoplysninger« omfatter enhver form for information om en identificeret eller identificerbar fysisk person, og at en person for at kunne kvalificeres om »identificerbar« blot direkte eller indirekte skal kunne identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.

78

Når oplysningerne om køb af lægemidler gør det muligt at drage konklusioner om en identificeret eller identificerbar persons helbredstilstand, skal de således anses for at være helbredsoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 15).

79

I det foreliggende tilfælde fremgår det af sagsakterne for Domstolen, at ND’s kunder i forbindelse med onlinebestillingen på Amazon af lægemidler, som det er forbeholdt apoteker at sælge, afgiver oplysninger såsom deres navn, leveringsadressen og detaljer med henblik på individualisering af lægemidlerne. Sådanne oplysninger udgør uden tvivl »personoplysninger«, for så vidt som de vedrører identificerede eller identificerbare fysiske personer.

80

Under disse omstændigheder skal det undersøges, om sådanne oplysninger kan give information om disse personers helbredstilstand som omhandlet i databeskyttelsesforordningens artikel 4, nr. 15), og derfor udgør helbredsoplysninger som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og denne forordnings artikel 9, stk. 1.

81

I denne henseende har Domstolen allerede fastslået, at begrebet »helbredsoplysninger« i databeskyttelsesforordningens artikel 9, stk. 1, der svarer til begrebet »oplysninger om helbredsforhold« i artikel 8, stk. 1, i direktiv 95/46, henset til formålet med dette direktiv og med denne forordning, som består i at sikre et højt niveau for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af deres personoplysninger, skal fortolkes bredt (jf. i denne retning dom af 6.11.2003, Lindqvist, C-101/01, EU:C:2003:596, præmis 50, og af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 125).

82

Navnlig kan disse bestemmelser ikke fortolkes således, at behandling af personoplysninger, der indirekte kan afsløre følsomme oplysninger om en fysisk person, er undtaget fra den skærpede beskyttelsesordning, der er fastsat i de nævnte bestemmelser, idet den effektive virkning af denne ordning og den beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, som den tilsigter at sikre, da ville blive bragt i fare (dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 127).

83

For at personoplysninger kan kvalificeres som helbredsoplysninger som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, er det derfor tilstrækkeligt, at de gennem en intellektuel refleksion, som består i sammenstilling eller deduktion, kan afsløre informationer om den registreredes helbredstilstand (jf. i denne retning dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 123).

84

De oplysninger, som en kunde afgiver på en onlineplatform i forbindelse med bestilling af lægemidler, som det er forbeholdt apoteker at sælge, kan gennem en intellektuel refleksion, der består i sammenstilling eller deduktion, afsløre oplysninger om helbredstilstanden for den registrerede som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), for så vidt som denne bestilling indebærer, at der etableres en forbindelse mellem et lægemiddel, dets terapeutiske indikationer eller dets anvendelser og en identificeret eller identificerbar fysisk person gennem oplysninger om f.eks. denne persons navn eller leveringsadressen.

85

Den forelæggende ret er imidlertid i tvivl om, hvorvidt den omstændighed, at salget af de bestilte lægemidler ikke er undergivet receptpligt, er relevant, for så vidt som disse lægemidler i så fald måske ikke er til den kunde, der bestiller dem, men til tredjepersoner.

86

I denne henseende bemærkes, at det med henblik på anvendelsen af artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, skal efterprøves, om de personoplysninger, som en person, der driver et apotek, behandler i forbindelse med en aktivitet, der udøves via en onlineplatform, kan afsløre oplysninger, der hører under en af de kategorier, der er omhandlet i disse bestemmelser, uanset om disse oplysninger vedrører en bruger af denne platform eller enhver anden fysisk person. I bekræftende fald er behandlingen af personoplysninger følgelig forbudt med forbehold for undtagelserne i stk. 2 i disse bestemmelser (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 68).

87

Dette principielle forbud er uafhængigt af, om de oplysninger, der afsløres ved den pågældende behandling, er korrekte eller ej, og om apotekeren handler med henblik på at opnå oplysninger, som henhører under en af de særlige kategorier, der er omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1. Henset til de betydelige risici for de pågældende personers grundlæggende rettigheder og frihedsrettigheder, som enhver behandling af personoplysninger i disse kategorier bevirker, har de nævnte bestemmelser til formål at forbyde denne behandling uafhængigt af det anførte formål hermed og nøjagtigheden af de pågældende oplysninger (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 69 og 70).

88

Det følger heraf, at såfremt en bruger af en onlineplatform afgiver personoplysninger i forbindelse med bestilling af lægemidler, som det er forbeholdt apoteker at sælge, men som ikke er receptpligtige, skal den behandling af disse oplysninger, som foretages af en person, der driver et apotek, og som sælger disse lægemidler via denne onlineplatform, anses for at udgøre en behandling af helbredsoplysninger som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, eftersom denne behandling af oplysninger kan give information om en fysisk persons helbredstilstand, uanset om disse oplysninger vedrører denne bruger eller enhver anden person, for hvem brugeren foretager bestillingen (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 73).

89

En fortolkning af disse bestemmelser, som ville medføre en sondring afhængigt af, hvilken type lægemiddel der er tale om, og om salget heraf er undergivet receptpligt eller ej, ville ikke være forenelig med formålet om et højt beskyttelsesniveau, jf. denne doms præmis 81. En sådan fortolkning ville desuden være i strid med formålet med artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, der består i at sikre en øget beskyttelse mod behandlinger, der som følge af de behandlede oplysningers særligt følsomme karakter, således som det bl.a. fremgår af 51. betragtning til databeskyttelsesforordningen, kan udgøre et særligt alvorligt indgreb i de grundlæggende rettigheder til respekt for privatliv og beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8 (dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 126 og den deri nævnte retspraksis).

90

Følgelig udgør de oplysninger, som kunderne hos en person, der driver et apotek, afgiver i forbindelse med onlinebestilling af lægemidler, som det er forbeholdt apoteker at sælge, men som ikke er receptpligtige, helbredsoplysninger som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, selv om det kun er med en vis sandsynlighed og ikke med absolut sikkerhed, at disse lægemidler er til disse kunder.

91

I øvrigt kan det ikke udelukkes, at det, selv hvis de pågældende lægemidler er til andre personer end kunderne, er muligt identificere disse personer og drage konklusioner om deres helbredstilstand. Dette kan f.eks. være tilfældet, når de pågældende lægemidler ikke leveres til bopælen for den kunde, der har bestilt dem, men til en anden persons bopæl, eller når kunden uafhængigt af leveringsadressen i sin bestilling eller i sine beskeder vedrørende denne har henvist til en anden identificerbar person, såsom et familiemedlem. På samme måde er det, når bestillingen kræver, at kunden identificerer eller registrerer sig, f.eks. ved at oprette en kundekonto eller tilmelde sig et loyalitetsprogram, ikke udelukket, at de oplysninger, som kunden afgiver i denne forbindelse, kan anvendes til at drage konklusioner om ikke blot kundens egen, men også en anden persons helbredstilstand, bl.a. i kombination med oplysninger om de bestilte lægemidler.

92

Som det er blevet anført i denne doms præmis 86, er den omstændighed, at oplysninger som de i hovedsagen omhandlede udgør helbredsoplysninger som omhandlet i artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, som det fremgår af bl.a. 53. betragtning til denne forordning, endelig ikke til hinder for, at de kan gøres til genstand for behandling, navnlig i forbindelse med forvaltning af sundhedsydelser og ‑systemer, hvis en af betingelserne i stk. 2 i disse bestemmelser er opfyldt.

93

For det første kan dette navnlig være tilfældet, når den registrerede i overensstemmelse med stk. 2, litra a), og med forbehold af den heri fastsatte undtagelse, giver udtrykkeligt samtykke til en eller flere behandlinger af de pågældende personoplysninger, hvis karakteristika og specifikke formål er blevet præsenteret for den registrerede på en nøjagtig, fuldstændig og letforståelig måde. For det andet kan en sådan behandling være tilladt på grundlag af databeskyttelsesforordningens artikel 9, stk. 2, litra h), hvis denne behandling er nødvendig med henblik på ydelse af sundhedsomsorg på grundlag af EU-retten eller medlemsstaternes nationale ret eller i henhold til en kontrakt med en sundhedsperson.

94

Henset til det ovenstående skal det andet spørgsmål besvares med, at artikel 8, stk. 1, i direktiv 95/46 og databeskyttelsesforordningens artikel 9, stk. 1, skal fortolkes således, at i en situation, hvor en person, der driver et apotek, og som via en onlineplatform forhandler lægemidler, som det er forbeholdt apoteker at sælge, udgør de oplysninger, som denne persons kunder afgiver i forbindelse med bestilling af lægemidlerne online, såsom deres navn, leveringsadressen og de nødvendige detaljer med henblik på individualisering af lægemidlerne, helbredsoplysninger som omhandlet i disse bestemmelser, også når salget af disse lægemidler ikke er undergivet receptpligt.

95

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret: