ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ

MANUEL CAMPOS SÁNCHEZ-BORDONA

της 25ης Μαΐου 2023 ( 1 )

Υπόθεση C‑667/21

κατά

Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts

[αίτηση του Bundesarbeitsgericht
(Ομοσπονδιακού Δικαστηρίου Εργατικών Διαφορών, Γερμανία)
για την έκδοση προδικαστικής αποφάσεως]

«Προδικαστική παραπομπή – Προστασία δεδομένων προσωπικού χαρακτήρα – Δεδομένα προσωπικού χαρακτήρα που αφορούν την υγεία – Εκτίμηση της ικανότητας προς εργασία υπαλλήλου – Ιατρική ελεγκτική υπηρεσία ταμείου ασφαλίσεως υγείας – Επεξεργασία των δεδομένων προσωπικού που αφορούν την υγεία των υπαλλήλων – Δικαίωμα αποζημίωσης – Σημασία του βαθμού υπαιτιότητας»

1.	Η υπό κρίση αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του κανονισμού (ΕΕ) 2016/679 ( 2 ) σε σχέση με: α) την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία και β) την αποκατάσταση της ζημίας που προκλήθηκε συνεπεία (προβαλλόμενης) παράβασης του ΓΚΠΔ.

2.	Μολονότι το Δικαστήριο έχει αποφανθεί επί των διατάξεων του ΓΚΠΔ ( 3 ) που σχετίζονται με τα ως άνω ζητήματα, τα προδικαστικά ερωτήματα που υποβάλλονται με την υπό κρίση αίτηση προδικαστικής αποφάσεως, πλην του τετάρτου ( 4 ), είναι καινοφανή.

I. Το νομικό πλαίσιο

Α. Το δίκαιο της Ένωσης. Ο ΓΚΠΔ

3.	Κρίσιμες εν προκειμένω είναι οι αιτιολογικές σκέψεις 4, 10, 35, 51 έως 54 και 146 του ΓΚΠΔ.

Το άρθρο 9 («Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα») του ΓΚΠΔ έχει ως εξής:

«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.

2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:

[…]

β)

η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας, εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή κράτους μέλους ή από συλλογική συμφωνία σύμφωνα με το εθνικό δίκαιο παρέχοντας κατάλληλες εγγυήσεις για τα θεμελιώδη δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων,

[…]

η)

η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, εκτίμησης της ικανότητας προς εργασία του εργαζομένου, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας ή διαχείρισης υγειονομικών και κοινωνικών συστημάτων και υπηρεσιών βάσει του ενωσιακού δικαίου ή του δικαίου κράτους μέλους ή δυνάμει σύμβασης με επαγγελματία του τομέα της υγείας και με την επιφύλαξη των προϋποθέσεων και των εγγυήσεων που αναφέρονται στην παράγραφο 3,

[…]

3. Τα δεδομένα προσωπικού χαρακτήρα που αναφέρονται στην παράγραφο 1 μπορεί να τύχουν επεξεργασίας για τους σκοπούς που προβλέπονται στην παράγραφο 2 στοιχείο η), όταν τα δεδομένα αυτά υποβάλλονται σε επεξεργασία από ή υπό την ευθύνη επαγγελματία που υπόκειται στην υποχρέωση τήρησης του επαγγελματικού απορρήτου βάσει του δικαίου της Ένωσης ή κράτους μέλους ή βάσει κανόνων που θεσπίζονται από αρμόδιους εθνικούς φορείς ή από άλλο πρόσωπο το οποίο υπέχει επίσης υποχρέωση τήρησης του απορρήτου βάσει του δικαίου της Ένωσης ή κράτους μέλους ή βάσει κανόνων που θεσπίζονται από αρμόδιους εθνικούς φορείς.

4. Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν περαιτέρω όρους, μεταξύ άλλων και περιορισμούς, όσον αφορά την επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων ή δεδομένων που αφορούν την υγεία.»

Το άρθρο 82 («Δικαίωμα αποζημίωσης και ευθύνη») διαλαμβάνει τα εξής:

«1. Κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη.

[…]

3. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία απαλλάσσεται από την ευθύνη που έχουν δυνάμει της παραγράφου 2, εάν αποδεικνύει ότι δεν φέρει καμία ευθύνη για το γενεσιουργό γεγονός της ζημίας.

[…]»

Β. Το εθνικό δίκαιο. Το Sozialgesetzbuch Fünftes Buch ( 5 )

Κατά το άρθρο 278, παράγραφος 1, πρώτη περίοδος, του SGB V, σε κάθε ομόσπονδο κράτος ιδρύεται, υπό μορφή οργανισμού δημοσίου δικαίου, ιατρική υπηρεσία ( 6 ) των ταμείων ασφάλισης υγείας ( 7 ). Στα καθήκοντα της εν λόγω υπηρεσίας, τα οποία ορίζονται εκ του νόμου, καταλέγεται η εκπόνηση εκθέσεων με σκοπό την άρση αμφιβολιών όσον αφορά την ανικανότητα προς εργασία των ασφαλισμένων.

Κατά το άρθρο 275, παράγραφος 1, πρώτη περίοδος, σημείο 3, στοιχείο b, του SGB V, υπό συγκεκριμένες προϋποθέσεις, σε περίπτωση ανικανότητας προς εργασία ασφαλισμένου η οποία βεβαιώνεται με ιατρικό πιστοποιητικό, τα KV υποχρεούνται να ζητούν από την αρμόδια MDK την εκπόνηση έκθεσης με σκοπό την άρση αμφιβολιών όσον αφορά την ανικανότητα προς εργασία.

II. Τα πραγματικά περιστατικά, η ένδικη διαφορά και τα προδικαστικά ερωτήματα

8.	Ο ZQ εργαζόταν ως υπάλληλος στην MDK Nordrhein (Γερμανία) από το 1991, ως διαχειριστής συστήματος στο τμήμα πληροφορικής του σημείου εξυπηρέτησης Α και ως υπάλληλος της υπηρεσίας υποστήριξης.

9.	Η MDK εκπονεί εκθέσεις σχετικά με την ανικανότητα προς εργασία των ασφαλισμένων των KV. Στις εν λόγω εκθέσεις μπορεί να περιέχονται δεδομένα που αφορούν την υγεία των ίδιων των εργαζομένων της MDK.

10.

Η επεξεργασία δεδομένων πραγματοποιείται, μεταξύ άλλων, σύμφωνα με τους ακόλουθους κανόνες, οι οποίοι περιέχονται σε εσωτερική υπηρεσιακή οδηγία ( 8 ).

–

Τα «κοινωνικοασφαλιστικά δεδομένα» των υπαλλήλων δεν συλλέγονται ούτε αποθηκεύονται στον χώρο εργασίας τους. Επιπλέον, τα εν λόγω δεδομένα, τα οποία παράγονται όταν ένα KV αναθέτει στην MDK την εκπόνηση έκθεσης εμπειρογνωμοσύνης, δεν πρέπει να συγχέονται με τα δεδομένα των εργαζομένων τα οποία υποβάλλονται σε επεξεργασία στο πλαίσιο της εργασιακής ή υπηρεσιακής σχέσης.

–	Οι αιτήσεις εκπόνησης έκθεσης σχετικά με τους εργαζομένους της MDK χαρακτηρίζονται «ειδικές περιπτώσεις», η δε διαχείρισή τους πραγματοποιείται αποκλειστικά και μόνο από συγκεκριμένη μονάδα ( 9 ).

–

Μετά την εκπόνηση έκθεσης σχετικά με υπάλληλο της MDK, τόσο τα σχετικά έγγραφα όσο και η έκθεση αποθηκεύονται στο ηλεκτρονικό αρχείο της MDK. Η συσχέτιση των εγγράφων με συγκεκριμένα πρόσωπα είναι δυνατή μόνον με τη χρήση ειδικού κλειδιού, κατόπιν απόκτησης άδειας πρόσβασης η οποία υπόκειται σε τεχνική διαδικασία.

11.

Οι εργαζόμενοι στο «Τμήμα πληροφορικής» της μονάδας «Ειδικές περιπτώσεις», οι οποίοι υπόκεινται εκ του νόμου σε υποχρέωση τήρησης του απορρήτου, έχουν δυνατότητα πρόσβασης, μετά την αρχειοθέτηση, στις εκθέσεις οι οποίες εκπονήθηκαν βάσει σχετικής αίτησης και οι οποίες αφορούν τους υπαλλήλους της MDK.

12.	Από τις 22 Νοεμβρίου 2017 ο ZQ βρισκόταν συνεχώς σε κατάσταση ανικανότητας προς εργασία λόγω ασθένειας.

13.	Από τις 24 Μαΐου 2018 ( 10 ) ο ZQ λάμβανε επίδομα ασθενείας από το KV στο οποίο είναι ασφαλισμένος. Στις 6 Ιουνίου 2018 το KV ανέθεσε στην MDK την εκπόνηση έκθεσης με σκοπό την άρση των αμφιβολιών όσον αφορά την ανικανότητα προς εργασία του ZQ.

14.

H MDK αποδέχθηκε την αίτηση και ανέθεσε την εκπόνηση της έκθεσης στη μονάδα «Ειδικές περιπτώσεις». Στις 22 Ιουνίου 2018 ιατρός της εν λόγω μονάδας, υπάλληλος της MDK, εκπόνησε έκθεση η οποία περιείχε τη διάγνωση σχετικά με την κατάσταση της υγείας του ZQ. Για την εκπόνηση της έκθεσης, η ιατρός επικοινώνησε τηλεφωνικώς με τον γενικό ιατρό του ZQ, από τον οποίο έλαβε τις κρίσιμες πληροφορίες.

15.	Η MDK καταχώρισε την έκθεση στο ηλεκτρονικό αρχείο.

16.	Ο ZQ πληροφορήθηκε από τον γενικό ιατρό του την τηλεφωνική επικοινωνία του με την ιατρό της MDK.

17.

Την 1η Αυγούστου 2018 ο ZQ επικοινώνησε με συνάδελφο του τμήματος πληροφορικής της MDK και τη ρώτησε αν υπήρχε αποθηκευμένη έκθεση για το πρόσωπό του. Κατόπιν έρευνας στο αρχείο, η συνάδελφος του έδωσε καταφατική απάντηση. Κατόπιν παράκλησης του ZQ, η συνάδελφος φωτογράφισε την έκθεση και του απέστειλε τις σχετικές φωτογραφίες.

18.	Στις 15 Αυγούστου 2018 ο ZQ ζήτησε, ανεπιτυχώς, από την MDK την καταβολή αποζημίωσης ύψους 20000 ευρώ, βάσει του άρθρου 82 του ΓΚΠΔ.

19.	Στις 17 Οκτωβρίου 2018 ο ZQ άσκησε αγωγή ενώπιον του Arbeitsgericht Düsseldorf (πρωτοδικείου εργατικών διαφορών Düsseldorf, Γερμανία). Στο πλαίσιο της αγωγής ζήτησε επίσης αποζημίωση που αντιστοιχεί στους οφειλόμενους μισθούς. ( 11 ).

20.	Εκκρεμούσης της δίκης, η MDK κατήγγειλε τη σχέση εργασίας με τον ZQ.

21.	Τα αιτήματα του ZQ απορρίφθηκαν τόσο πρωτοδίκως όσο και κατ’ έφεση ( 12 ).

22.

Ο ZQ άσκησε αναίρεση ενώπιον του Bundesarbeitsgericht (Ομοσπονδιακού Δικαστηρίου Εργατικών Διαφορών, Γερμανία), το οποίο υποβάλλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

«1)	Έχει το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ την έννοια ότι απαγορεύεται σε ιατρική υπηρεσία ταμείου ασφαλίσεως υγείας να επεξεργάζεται δεδομένα που αφορούν την υγεία εργαζομένου της και συνιστούν προϋπόθεση για την εκτίμηση της ικανότητας προς εργασία του εργαζομένου αυτού;

Σε περίπτωση που το Δικαστήριο δώσει αρνητική απάντηση στο πρώτο ερώτημα, με αποτέλεσμα να προκύπτει εξαίρεση από την προβλεπόμενη στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ απαγόρευση επεξεργασίας δεδομένων που αφορούν την υγεία δυνάμει του άρθρου 9, παράγραφος 2, στοιχείο ηʹ: επιβάλλεται, σε περίπτωση όπως η προκειμένη, να πληρούνται απαιτήσεις προστασίας δεδομένων πέραν εκείνων που ορίζει το άρθρο 9, παράγραφος 3, του ΓΚΠΔ και, αν συντρέχει τέτοια υποχρέωση, ποιες είναι οι απαιτήσεις αυτές;

Σε περίπτωση που το Δικαστήριο δώσει αρνητική απάντηση στο πρώτο ερώτημα, με αποτέλεσμα να προκύπτει εξαίρεση από την προβλεπόμενη στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ απαγόρευση επεξεργασίας δεδομένων που αφορούν την υγεία δυνάμει του άρθρου 9, παράγραφος 2, στοιχείο ηʹ: εξαρτάται, σε περίπτωση όπως η προκειμένη, το παραδεκτό ή η νομιμότητα της επεξεργασίας δεδομένων που αφορούν την υγεία και από τη συνδρομή τουλάχιστον μίας εκ των προϋποθέσεων που προβλέπει το άρθρο 6, παράγραφος 1, του ΓΚΠΔ;

Έχει το άρθρο 82, παράγραφος 1, του ΓΚΠΔ ειδικό ή γενικό προληπτικό χαρακτήρα και πρέπει τούτο να λαμβάνεται υπόψη κατά τον προσδιορισμό του ύψους της προς αποκατάσταση μη υλικής ζημίας βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ εις βάρος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία;

Εξαρτάται ο προσδιορισμός του ύψους της προς αποκατάσταση μη υλικής ζημίας βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ από τον βαθμό υπαιτιότητας του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία; Ειδικότερα, μπορεί η απουσία υπαιτιότητας ή η ύπαρξη ήσσονος σημασίας πταίσματος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία να ληφθεί υπόψη υπέρ του;»

III. Η διαδικασία ενώπιον του Δικαστηρίου

23.	Η αίτηση προδικαστικής αποφάσεως περιήλθε στο Δικαστήριο στις 8 Νοεμβρίου 2021.

24.	Γραπτές παρατηρήσεις υπέβαλαν ο ZQ, η MDK, η Ιρλανδική και η Ιταλική Κυβέρνηση, καθώς και η Ευρωπαϊκή Επιτροπή.

25.	Δεν κρίθηκε αναγκαία η διεξαγωγή επ’ ακροατηρίου συζήτησης.

26.	Καθ’ υπόδειξιν του Δικαστηρίου, με τις παρούσες προτάσεις δεν θα εξετασθεί το τέταρτο προδικαστικό ερώτημα ( 13 ).

IV. Ανάλυση

Α. Επί του πρώτου προδικαστικού ερωτήματος

27.

Το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ απαγορεύει σε MDK να επεξεργάζεται δεδομένα που αφορούν την υγεία εργαζομένου της, όταν συνιστούν προϋπόθεση για την εκτίμηση της ικανότητάς του προς εργασία. Διατηρεί, επομένως, αμφιβολίες όσον αφορά τη νομιμότητα της επεξεργασίας λόγω της οντότητας που την πραγματοποιεί ( 14 ).

28.

Το άρθρο 9 του ΓΚΠΔ ρυθμίζει ειδικές κατηγορίες δεδομένων, περιλαμβανομένων αυτών που αφορούν την υγεία ενός προσώπου. Θεσπίζει γενική απαγόρευση επεξεργασίας των «ευαίσθητων» δεδομένων (παράγραφος 1) και απαριθμεί, με εξαντλητικό τρόπο, τις περιπτώσεις στις οποίες η γενική απαγόρευση δεν έχει εφαρμογή (παράγραφος 2).

29.

Συγκεκριμένα, το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ προβλέπει την εξαίρεση (από τη γενική απαγόρευση) η οποία αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα «για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, εκτίμησης της ικανότητας προς εργασία του εργαζομένου, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης».

30.

Κατά τη γνώμη μου, η προμνησθείσα διάταξη παρέχει επαρκή κάλυψη για την επίμαχη στην υπόθεση της κύριας δίκης ενέργεια της MDK ( 15 ). Το γεγονός ότι ο υπεύθυνος επεξεργασίας είναι συγχρόνως εργοδότης του υποκειμένου των δεδομένων δεν ασκεί επιρροή, στο μέτρο που η MDK δεν ενεργεί ως εργοδότης, αλλά ως ιατρική υπηρεσία ενός KV του οποίου το υποκείμενο των δεδομένων είναι ασφαλισμένος ( 16 ).

31.

Το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ δεν έχει την έννοια ότι απαγορεύει σε ιατρική υπηρεσία να επεξεργάζεται τα δεδομένα που αφορούν την υγεία των υπαλλήλων της για τον σκοπό που μνημονεύεται στο συγκεκριμένο στοιχείο της διάταξης. Οι συνήθεις ερμηνευτικοί κανόνες οδηγούν μάλλον στο αντίθετο συμπέρασμα (ήτοι την ανυπαρξία τέτοιας απαγόρευσης).

32.	Από γραμματικής απόψεως, το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ δεν προβλέπει οποιαδήποτε εξαίρεση συναφώς ούτε θέτει ως προϋπόθεση για την επεξεργασία να είναι ο υπεύθυνος επεξεργασίας «ουδέτερος τρίτος» ( 17 ).

33.	Το ιστορικό θέσπισης της διάταξης και η εξέλιξή της επίσης δεν καταδεικνύουν απαγόρευση όπως η μνημονευόμενη στο πρώτο προδικαστικό ερώτημα ούτε βούληση συμπερίληψης τέτοιας απαγόρευσης στη διάταξη ( 18 ).

34.

Ο σκοπός των διατάξεων του ΓΚΠΔ σχετικά με την επεξεργασία δεδομένων που αφορούν την υγεία συνίσταται, όπως έχει αποφανθεί το Δικαστήριο ( 19 ), στην παροχή ενισχυμένης προστασίας στα υποκείμενα των δεδομένων, λαμβανομένου υπόψη του ιδιαιτέρως ευαίσθητου χαρακτήρα των εν λόγω δεδομένων όσον αφορά τα επηρεαζόμενα θεμελιώδη δικαιώματα. Προς τούτο, θεσπίζεται η γενική απαγόρευση του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, η οποία δεν είναι, όμως, απόλυτη ( 20 ).

35.

Στον συγκεκριμένο τομέα, όπως και σε άλλους τομείς σχετικούς με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, έχοντας θέσει τη γενική απαγόρευση, ο νομοθέτης προέκρινε:

–

τη θέσπιση εξαιρέσεων, υπό μορφή καταλόγου συγκεκριμένων περιπτώσεων, οι οποίες ομαδοποιούνται (σε αδρές γραμμές) σε εκείνες στις οποίες το ίδιο το υποκείμενο των δεδομένων επιτρέπει την επεξεργασία ή επωφελείται αυτής και εκείνες στις οποίες υπάρχουν συμφέροντα τα οποία υπερισχύουν των συμφερόντων οποιουδήποτε φυσικού προσώπου·

–	την πρόβλεψη ειδικών εγγυήσεων για συγκεκριμένο τύπο επεξεργασίας, οι οποίες είναι πιο απαιτητικές από εκείνες που εφαρμόζονται στα λοιπά «μη ευαίσθητα» δεδομένα προσωπικού χαρακτήρα και εφαρμόζονται επιπροσθέτως αυτών ( 21 )·

–

την παροχή στα κράτη μέλη της ευχέρειας να θεσπίζουν άλλους όρους, ακόμη και περιορισμούς, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Τούτο συμβαίνει όσον αφορά τα δεδομένα που αφορούν την υγεία (άρθρο 9, παράγραφος 4, του ΓΚΠΔ και αιτιολογική σκέψη 53, in fine) και τα δεδομένα των εργαζομένων στο πλαίσιο της απασχόλησης (άρθρο 88 του ΓΚΠΔ) ( 22 ).

36.

Επομένως, in abstracto, κανένα στοιχείο δεν θα εμπόδιζε να περιλαμβάνεται στις προμνησθείσες ειδικές εγγυήσεις η επιβολή σε MDK της απαγόρευσης επεξεργασίας δεδομένων που αφορούν την υγεία των υπαλλήλων της. Εντούτοις, δεν θεωρώ ότι η συγκεκριμένη επιλογή (την οποία δεν προέκρινε ο νομοθέτης της Ένωσης) είναι απαραίτητη για τη διαφύλαξη του προμνησθέντος σκοπού.

37.	Επομένως, εκτιμώ ότι η απαγόρευση που μνημονεύεται στο πρώτο προδικαστικό ερώτημα δεν συνιστά αναπόφευκτη συνέπεια της τελολογικής ερμηνείας του άρθρου 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ.

38.

Ομοίως, δεν θεωρώ ότι η συστημική ερμηνεία της διάταξης οδηγεί σε άλλη λύση, καθότι:

–

εάν υποτεθεί, χάριν επιχειρηματολογίας, ότι είναι ορθό να θεωρείται το άρθρο 9, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ, ως η μόνη βάση η οποία παρέχει στον εργοδότη τη δυνατότητα να επεξεργάζεται τα δεδομένα που αφορούν την υγεία των υπαλλήλων του ( 23 ), τούτο δεν θα εμπόδιζε την ίδια οντότητα, όχι πλέον ως εργοδότη αλλά ως ιατρική υπηρεσία που ασκεί το καθήκον που της αναθέτει ένα KV, να προβεί στην επεξεργασία βάσει άλλης εξαίρεσης του ίδιου άρθρου 9, παράγραφος 2· ( 24 )

–

το άρθρο 9, παράγραφος 3, του ΓΚΠΔ καθορίζει τις γενικές προϋποθέσεις τις οποίες πρέπει να πληρούν όσοι επεξεργάζονται δεδομένα προσωπικού χαρακτήρα που αφορούν την υγεία. Το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, παραπέμπει ρητώς στην παράγραφο 3 του ίδιου άρθρου· από υποκειμενικής απόψεως, η επεξεργασία δεν υπόκειται σε οποιαδήποτε άλλη απαίτηση ( 25 ).

39.	Εν κατακλείδι, προτείνω να δοθεί αρνητική απάντηση (ήτοι ότι η επίμαχη απαγόρευση δεν προβλέπεται στον ΓΚΠΔ) στο πρώτο προδικαστικό ερώτημα, και τούτο καθιστά δυνατή την εξέταση του δεύτερου προδικαστικού ερωτήματος.

Β. Επί του δευτέρου προδικαστικού ερωτήματος

40.

Εάν (όπως προτείνω) η απάντηση που θα δοθεί στο πρώτο προδικαστικό ερώτημα είναι αρνητική, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν, «σε περίπτωση όπως η προκειμένη, [επιβάλλεται] να πληρούνται απαιτήσεις προστασίας δεδομένων πέραν εκείνων που ορίζει το άρθρο 9, παράγραφος 3, του ΓΚΠΔ και, αν συντρέχει τέτοια υποχρέωση, ποιες είναι οι απαιτήσεις αυτές».

41.	Σε αδρές γραμμές, η απάντηση είναι μάλλον απλή ( 26 ). Το Δικαστήριο έχει κρίνει ότι κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να τηρεί τις αρχές του άρθρου 5 του ΓΚΠΔ και οποιαδήποτε εκ των προϋποθέσεων νομιμότητας του άρθρου 6 του ίδιου κανονισμού. ( 27 )

42.

Κατά το αιτούν δικαστήριο, η τήρηση της υποχρέωσης του απορρήτου (άρθρο 9, παράγραφος 3, του ΓΚΠΔ) δεν επαρκεί για την προστασία των δεδομένων υπό συνθήκες όπως οι επίμαχες στην υπόθεση της κύριας δίκης. Το αιτούν δικαστήριο προτείνει άλλα συμπληρωματικά μέτρα, τα οποία θα ήταν, κατά τη γνώμη του, τα μόνα πρόσφορα για τον σκοπό αυτόν ( 28 ).

43.

Εκτιμώ ότι το άρθρο 9, παράγραφος 3, του ΓΚΠΔ δεν μπορεί, αυτό καθεαυτό, να αποτελέσει τη βάση για τη λήψη τέτοιων πρόσθετων μέτρων. Το σαφές γράμμα της διάταξης (το οποίο αποσαφηνίζει απλώς και μόνον μια διάταξη που περιείχε η οδηγία 95/46) ( 29 ) δεν μπορεί να αποτελέσει τη βάση για προτάσεις όπως αυτή του αιτούντος δικαστηρίου.

44.

Αντιθέτως οι εν λόγω προτάσεις θα μπορούσαν να θεμελιωθούν στο άρθρο 9, παράγραφος 4, του ΓΚΠΔ. Κατά την εν λόγω διάταξη, τα κράτη μέλη δύνανται να επιβάλλουν «περαιτέρω όρους, μεταξύ άλλων και περιορισμούς, όσον αφορά την επεξεργασία […] δεδομένων που αφορούν την υγεία» ( 30 ). Εντούτοις, δεν προκύπτει από τη διάταξη περί παραπομπής ότι κάτι τέτοιο συνέβη στη Γερμανία.

45.

Τούτου λεχθέντος, και για τους λόγους που προεκτέθηκαν, η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία πρέπει να υπόκειται, μεταξύ άλλων, στην αρχή που προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ και στις υποχρεώσεις που απορρέουν από αυτήν, οι οποίες αναλύονται στο κεφάλαιο IV του ΓΚΠΔ.

46.	Επιπλέον, ο υπεύθυνος επεξεργασίας ( 31 ) οφείλει να λαμβάνει κατάλληλα τεχνικά και οργανωτικά μέτρα τα οποία τείνουν να διασφαλίζουν ότι συγκεκριμένη επεξεργασία πραγματοποιείται σύμφωνα με τον ΓΚΠΔ. Τούτο προβλέπεται, γενικά, στο άρθρο του 24, παράγραφος 1.

47.	Ειδικότερα, το άρθρο 32, παράγραφος 1, του ΓΚΠΔ υποχρεώνει τον υπεύθυνο επεξεργασίας να εφαρμόζει «κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων» που διατρέχουν τα οικεία δεδομένα προσωπικού χαρακτήρα.

48.

Εφαρμόζοντας τους προμνησθέντες κανόνες στην υπό κρίση υπόθεση, η ιδιότητα της MDK ως εργοδότη του ZQ συνεπάγεται την υποχρέωσή της να επιδεικνύει υψηλότερο από τον συνήθη βαθμό επιμέλειας κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία του ZQ, καθότι οι κίνδυνοι είναι επίσης μεγαλύτεροι ( 32 ).

49.

Η MDK έχει επίγνωση των προεκτεθέντων. Όταν, κατόπιν ανάθεσης από ένα KV του οποίου υπάλληλός της είναι ασφαλισμένος, εκπονεί εκθέσεις για την άρση των αμφιβολιών όσον αφορά την (αν)ικανότητά του προς εργασία, η MDK λαμβάνει ένα σύνολο ad hoc, τεχνικών και οργανωτικών, μέτρων, τα οποία έχουν προβλεφθεί για τη συμμόρφωση προς τον ΓΚΠΔ της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία ( 33 ).

50.

Απόκειται στο αιτούν δικαστήριο να αξιολογήσει τα εν λόγω μέτρα και να αποφανθεί, ενδεχομένως, στο πέρας της αξιολόγησής του, ότι τα ληφθέντα μέτρα δεν ήταν επαρκή. Εντούτοις, τούτο δεν μπορεί να οδηγήσει στο συμπέρασμα ότι το άρθρο 9 του ΓΚΠΔ επιβάλλει στις MDK υποχρέωση να απορρίπτουν αυτομάτως κάθε αίτηση εκπόνησης ιατρικής έκθεσης (σχετικά με τους υπαλλήλους της) που προέρχεται από τα KV ( 34 ).

Γ. Επί του τρίτου προδικαστικού ερωτήματος

51.

Σε περίπτωση αρνητικής απάντησης στο πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, με το τρίτο προδικαστικό ερώτημα, να διευκρινιστεί αν η εξαίρεση από την απαγόρευση επεξεργασίας δεδομένων που αφορούν την υγεία «εξαρτάται […] από τη συνδρομή τουλάχιστον μίας εκ των προϋποθέσεων που προβλέπει το άρθρο 6, παράγραφος 1, του ΓΚΠΔ».

52.

Προκειμένου να δοθεί απάντηση στο ως άνω ερώτημα πρέπει να εξεταστεί η σχέση μεταξύ του άρθρου 9, παράγραφος 2, του ΓΚΠΔ και του άρθρου 6 του ίδιου κανονισμού, το οποίο αφορά τη νομιμότητα της επεξεργασίας. Η αναγκαιότητα συμμόρφωσης με το τελευταίο αυτό άρθρο σε κάθε επεξεργασία δεδομένων υπογραμμίζεται σε προμνησθείσες αποφάσεις του Δικαστηρίου ( 35 ).

53.

Ειδικότερα, με την απόφαση στην υπόθεση C‑439/19 ( 36 ) το Δικαστήριο ερμήνευσε το άρθρο 10 του ΓΚΠΔ, σε σχέση με άλλη κατηγορία ευαίσθητων δεδομένων προσωπικού χαρακτήρα (συγκεκριμένα, εκείνων που αφορούν ποινικές καταδίκες και αδικήματα) ( 37 ), και αποφάνθηκε ότι το άρθρο 6 του ΓΚΠΔ εφαρμόζεται σωρευτικά με το άρθρο 10.

54.	Μπορεί η ως άνω κρίση να εφαρμοστεί επίσης στα δεδομένα προσωπικού χαρακτήρα που προβλέπονται στο άρθρο 9 του ΓΚΠΔ;

55.	Τα άρθρα 9 και 10 του ΓΚΠΔ έχουν διαφορετική διάρθρωση. Εν αντιθέσει προς το άρθρο 9, το άρθρο 10 περιέχει ρητή παραπομπή στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ.

56.

Επιπλέον, το περιεχόμενο του άρθρου 9, παράγραφος 2, και το περιεχόμενο του άρθρου 10 του ΓΚΠΔ δεν είναι συγκρίσιμα: το άρθρο 10 προβλέπει απλώς και μόνον υποκειμενικό περιορισμό της επεξεργασίας, ενώ το άρθρο 9, παράγραφος 2, καθορίζει σκοπούς (ή περιστάσεις) που δικαιολογούν τον εν λόγω περιορισμό, όπως και το άρθρο 6, παράγραφος 1.

57.

Συγκεκριμένα, ο παραλληλισμός μεταξύ του άρθρου 6, παράγραφος 1, και του άρθρου 9, παράγραφος 2, του ΓΚΠΔ είναι τέτοιος ώστε, εκ πρώτης όψεως, μπορεί να φαίνεται ότι οι περιστάσεις που απαριθμούνται στη δεύτερη διάταξη συνιστούν εξειδίκευση των προϋποθέσεων που εκτίθενται στην πρώτη διάταξη: τις αποσαφηνίζουν και συγχρόνως τις καθιστούν σοβαρότερες.

58.	Εντούτοις, το ιστορικό θέσπισης και εξέλιξης του άρθρου 9 του ΓΚΠΔ δημιουργούν αμφιβολίες για το αν η σχέση μεταξύ του συγκεκριμένου άρθρου και του άρθρου 6 είναι σχέση «lex specialis» προς «lex generalis».

59.

Είναι αληθές ότι την ερμηνεία αυτή υποστήριξαν, όντως, οι αντιπροσωπείες ορισμένων κρατών μελών ( 38 ). Εντούτοις, από τα σχετικά με τη διαπραγμάτευση του άρθρου 9 έγγραφα δεν προκύπτουν διαφορές όσον αφορά την παραπομπή στο άρθρο 6 ( 39 ), αλλά όσον αφορά την εμβέλεια της εν λόγω παραπομπής (μόνον στην παράγραφό του 1 ή και σε άλλες παραγράφους;) ( 40 ). Τελικώς, η παραπομπή του άρθρου 9 στο άρθρο 6 απαλείφθηκε ( 41 ) και προκρίθηκε η διατήρηση στο προοίμιο παραγράφου παρεμφερούς με την αιτιολογική σκέψη 51 του ΓΚΠΔ ( 42 ).

60.

Την άποψη της σώρευσης, ή της συμπληρωματικότητας, των δύο ως άνω διατάξεων συμμερίζεται το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων ( 43 ) και προασπίστηκε η καλούμενη ομάδα εργασίας για την προστασία δεδομένων του άρθρου 29 ( 44 ) σε σχέση με το άρθρο 8 της οδηγίας 95/46 ( 45 ). Δεν είναι, όμως, άποψη η οποία τυγχάνει καθολικής αποδοχής στη θεωρία ή σε άλλους σχετικούς τομείς ( 46 ).

61.

Εξετάζοντας τις διάφορες περιπτώσεις που απαριθμούνται στο άρθρο 9, παράγραφος 2, του ΓΚΠΔ, τείνω να πιστεύω ότι το ερώτημα που αφορά τη σχέση μεταξύ της εν λόγω διάταξης και του άρθρου 6 δεν επιδέχεται, στην πραγματικότητα, μία και μόνη απάντηση. Συγκεκριμένα:

–	εξαιρέσεις από την επεξεργασία δεδομένων όπως οι προβλεπόμενες στο άρθρο 9, παράγραφος 2, στοιχεία αʹ, γʹ, ζʹ και θʹ ( 47 ) σχετίζονται άμεσα με ειδική νομική βάση του άρθρου 6, παράγραφος 1, του ΓΚΠΔ και την αφομοιώνουν·

–

δεν συμβαίνει το ίδιο με άλλες εξαιρέσεις οι οποίες απαριθμούνται στο άρθρο 9, παράγραφος 2, του ΓΚΠΔ και οι οποίες θα απαιτούν πρόσθετο δικαιολογητικό λόγο δυνάμει του άρθρου 6, παράγραφος 1. Τούτο συμβαίνει, κατά τη γνώμη μου, στην περίπτωση του άρθρου 9, παράγραφος 2, στοιχείο ηʹ, την οποία αφορά το τρίτο προδικαστικό ερώτημα.

62.

Εκτιμώ, επομένως, ότι, προκειμένου η επεξεργασία ευαίσθητων δεδομένων η οποία επιτρέπεται από το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ να είναι σύννομη, πρέπει να αναζητείται, σε κάθε περίπτωση, η συγκεκριμένη προϋπόθεση, από τις προβλεπόμενες στο άρθρο 6, παράγραφος 1, η οποία τη νομιμοποιεί.

63.	Το αιτούν δικαστήριο δεν αμφισβητεί την ως άνω εκτίμηση: αντιθέτως, εκκινώντας από τη συγκεκριμένη παραδοχή, επικεντρώνεται στην απόρριψη του ισχυρισμού ότι η επεξεργασία που πραγματοποίησε η MDK μπορεί να δικαιολογείται βάσει του άρθρου 6 ( 48 ).

64.

Εκ πρώτης όψεως, δεν θεωρώ ότι υφίσταται σειρά προτεραιότητας μεταξύ των νομικών βάσεων που προβλέπονται στη διάταξη. Διεξοδικότερη ανάλυση θα μπορούσε να αναδείξει κάποιες διαφοροποιήσεις ( 49 ). Εκτιμώ, εντούτοις, ότι τέτοια ανάλυση θα υπερέβαινε τα αναγκαία για την απάντηση που πρέπει να δοθεί στην υπό κρίση αίτηση προδικαστικής αποφάσεως ( 50 ).

65.	Εν κατακλείδι, στο τρίτο προδικαστικό ερώτημα του αιτούντος δικαστηρίου θα πρέπει να δοθεί η απάντηση ότι η απαγόρευση επεξεργασίας δεδομένων που αφορούν την υγεία επιτάσσει τη συνδρομή τουλάχιστον μίας εκ των προϋποθέσεων που προβλέπονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ.

Δ. Επί του πέμπτου προδικαστικού ερωτήματος

66.

Το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν «ο προσδιορισμός του ύψους της προς αποκατάσταση μη υλικής ζημίας βάσει του άρθρου 82, παράγραφος 1, του ΓΚΠΔ [εξαρτάται] από τον βαθμό υπαιτιότητας του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία» και, ειδικότερα, αν «η απουσία υπαιτιότητας ή η ύπαρξη ήσσονος σημασίας πταίσματος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία [μπορεί] να ληφθεί υπόψη υπέρ του».

67.

Με το συγκεκριμένο ερώτημα το αιτούν δικαστήριο εκκινεί από την παραδοχή ότι υπήρξε παράβαση του ΓΚΠΔ ( 51 ), τελεσθείσα από τον φερόμενο ως υπεύθυνο επεξεργασίας των δεδομένων, και ζητεί να διευκρινιστεί αν, για τον ποσοτικό προσδιορισμό της αποζημίωσης που οφείλεται λόγω της παράβασης, έχει σημασία ο βαθμός υπαιτιότητας του υπευθύνου επεξεργασίας. Κατά το αιτούν δικαστήριο, δεν είναι βέβαιο ότι η απουσία υπαιτιότητας ή η ύπαρξη ήσσονος σημασίας πταίσματος εκ μέρους του υπευθύνου επεξεργασίας μπορεί να ληφθεί υπόψη υπέρ του.

68.

Κατ’ ουσίαν, το προδικαστικό ερώτημα επικεντρώνεται στον ποσοτικό προσδιορισμό της αποζημίωσης. Εντούτοις, οι επεξηγήσεις που το συνοδεύουν δημιούργησαν κάποια αβεβαιότητα, καθότι δεν ήταν σαφές εάν αφορούσαν την υπαιτιότητα ως προϋπόθεση καταλογισμού της ευθύνης ή ως παράγοντα καθορισμού του ύψους της αποζημίωσης.

69.	Το Δικαστήριο ζήτησε διευκρινίσεις από το αιτούν δικαστήριο, το οποίο απάντησε ότι το ερώτημα αφορά πλείονα ζητήματα, χωρίς περαιτέρω διευκρινίσεις όσον αφορά τη σχέση του με τη διαφορά της κύριας δίκης.

70.

Λαμβανομένης υπόψη της ως άνω απάντησης, θα απαντήσω στα ερωτήματα που υπέβαλε το αιτούν δικαστήριο εξετάζοντας (επίσης) τους ισχυρισμούς της MDK σχετικά με την ενδεχόμενη συμβολή του υποκειμένου των δεδομένων στην πρόκληση της ζημίας. ( 52 ) Η εξέταση θα περιλαμβάνει τρία στάδια.

–	Στο πρώτο στάδιο θα εξετάσω τον λόγο καταλογισμού της ευθύνης που προβλέπεται στο άρθρο 82 του ΓΚΠΔ.

–

Στο δεύτερο στάδιο θα εξετάσω τη σημασία που μπορεί να έχει η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα εκ μέρους υπαλλήλου του υπευθύνου επεξεργασίας ( 53 ). Ειδικό και κρίσιμο στοιχείο στο συγκεκριμένο στάδιο αποτελεί το γεγονός ότι η υπάλληλος απέκτησε πρόσβαση στα δεδομένα κατόπιν αιτήματος του υποκειμένου των δεδομένων.

–	Στο τρίτο στάδιο θα εκθέσω τη γνώμη μου σχετικά με τον αντίκτυπο που μπορεί να έχει ο βαθμός υπαιτιότητας του υπευθύνου επεξεργασίας στη συγκεκριμένη αποτίμηση της προς ικανοποίηση ηθικής βλάβης.

1. Λόγος στοιχειοθέτησης της προβλεπόμενης στο άρθρο 82 του ΓΚΠΔ αστικής ευθύνης

71.

Κατά το αιτούν δικαστήριο, το άρθρο 82, παράγραφος 1, του ΓΚΠΔ δεν εξαρτά την αστική ευθύνη (του διαχειριστή ( 54 ) της επεξεργασίας) από την ύπαρξη ή την απόδειξη δόλου ή αμέλειας. Το αιτούν δικαστήριο διευκρινίζει επίσης ότι η παράγραφος 3 του ίδιου άρθρου δεν μπορεί να θεμελιώσει διαφορετική απάντηση.

72.	Είναι αληθές ότι το καθεστώς αστικής ευθύνης που έχει υιοθετήσει ο ΓΚΠΔ δεν είναι σαφές και ότι επιδέχεται, εκ προοιμίου, διάφορες ερμηνείες ( 55 ). Η ερμηνεία του αιτούντος δικαστηρίου είναι μία εξ αυτών και είναι, κατά τη γνώμη μου, ορθή.

73.

Εκτιμώ ότι ερμηνεία του άρθρου 82, παράγραφος 1, του ΓΚΠΔ υπό την έννοια ότι θεσπίζει καθεστώς αστικής ευθύνης ανεξάρτητο από την υπαιτιότητα του διαχειριστή της επεξεργασίας ανταποκρίνεται στο γράμμα της διάταξης, έχει άμεσο έρεισμα στις προπαρασκευαστικές εργασίες και, κυρίως, εξυπηρετεί τον σκοπό της διάταξης. Η συγκεκριμένη ερμηνεία είναι αποδεκτή υπό το πρίσμα άλλων παραγράφων της διάταξης, καθώς και του συνολικού πλαισίου στο οποίο εντάσσεται.

α) Γραμματική ερμηνεία

74.	Η θέση του αιτούντος δικαστηρίου συνάδει προς το γράμμα του άρθρου 82, παράγραφος 1, του ΓΚΠΔ. Κατ’ ουσίαν, το δικαίωμα λήψης αποζημίωσης από τον υπεύθυνο επεξεργασίας συνδέεται, απλώς και μόνον, με τη ζημία που προκαλείται λόγω παράβασης του ΓΚΠΔ.

75.

Οι λοιπές παράγραφοι του άρθρου 82 δεν αφήνουν περιθώριο για άλλη ερμηνεία ( 56 ). Ειδικότερα, δεν μπορώ να συμπεράνω την ύπαρξη απαίτησης υπαιτιότητας λόγω της χρήσης του όρου «imputable» στο άρθρο 82, παράγραφος 3. Ο όρος περιέχεται σε ορισμένες μόνον γλωσσικές αποδόσεις του ΓΚΠΔ· αντιθέτως, σε άλλες, χρησιμοποιείται ο όρος «responsable» (στο ελληνικό κείμενο του κανονισμού: «φέρει […] ευθύνη»). Στο κείμενο στη γερμανική γλώσσα, ούτε το άρθρο 82 ούτε το προοίμιο περιέχουν τον όρο που αντιστοιχεί στον καταλογισμό λόγω υπαιτιότητας («Verschulden») ( 57 ).

76.

Από τη σύγκριση των διαφόρων διατάξεων του ΓΚΠΔ προκύπτει ότι η χρησιμοποιηθείσα ορολογία δεν είναι πάντοτε ομοιόμορφη και, επομένως, απαιτείται ιδιαίτερη προσοχή κατά την άντληση συμπερασμάτων από το γράμμα των διατάξεων. Για παράδειγμα, στο κείμενο στην αγγλική γλώσσα, ο όρος «responsible» χρησιμοποιείται σε πλήθος περιπτώσεων ( 58 ).

77.

Η απουσία μνείας δόλου ή υπαιτιότητας του υπευθύνου επεξεργασίας στο άρθρο 82 του ΓΚΠΔ βρίσκεται σε αντίθεση με τις μνείες που περιέχονται στο άρθρο 83 σε σχέση με τα διοικητικά πρόστιμα: «[κ]ατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση» λαμβάνονται δεόντως υπόψη ο δόλος ή η αμέλεια που προκάλεσε την παράβαση του ΓΚΠΔ ( 59 ).

78.	Μολονότι οι διαφορές μεταξύ των αποδόσεων απομειώνουν τη σημασία της γραμματικής ερμηνείας, επιρρωννύουν τουλάχιστον την άποψη ότι ούτε ο δόλος ούτε η υπαιτιότητα προβλέπονται στο άρθρο 82 του ΓΚΠΔ και ότι η συγκεκριμένη απουσία είναι σκόπιμη και δεν μπορεί να αποδοθεί σε αβλεψία του νομοθέτη.

β) Προπαρασκευαστικές εργασίες

79.	Η εξέταση του λόγου καταλογισμού της ευθύνης που τελικά υιοθετήθηκε στον ΓΚΠΔ δυσχεραίνεται από το πλαίσιο εντός του οποίου συζητήθηκε στο Συμβούλιο, εκκινώντας από την παραδοχή της ύπαρξης πλειόνων φορέων επεξεργασίας.

80.

Στη συζήτηση παρεισέφρησαν διαδικαστικοί παράγοντες, οι οποίοι δεν είχαν θέση σε έναν εννοιολογικό μηχανισμό ο οποίος καθιστά δυνατή τη διάκριση μεταξύ, αφενός, της λειτουργίας της υπαιτιότητας ως λόγου καταλογισμού της ευθύνης και, αφετέρου, της απουσίας υπαιτιότητας για τον σκοπό της απαλλαγής από την εν λόγω ευθύνη, σε επίπεδο αιτιώδους συνάφειας.

81.	Τούτου λεχθέντος, εκτιμώ ότι οι προπαρασκευαστικές εργασίες συνηγορούν υπέρ ερμηνείας του άρθρου 82, παράγραφος 1, του ΓΚΠΔ κατά την οποία η αστική ευθύνη δεν εξαρτάται από την υπαιτιότητα του υπευθύνου επεξεργασίας.

82.	Η πρόταση της Επιτροπής ακολούθησε την οδηγία 95/46 και δεν μνημόνευε την αμέλεια. Σε έγγραφα του Συμβουλίου γίνεται μνεία στο γεγονός ότι η προβλεπόμενη ευθύνη συνιστά «strict liability» ( 60 ).

83.	Τροπολογία την οποία πρότεινε η Επιτροπή Πολιτικών Ελευθεριών, Δικαιοσύνης και Εσωτερικών Υποθέσεων του Κοινοβουλίου θα είχε προσδώσει στο άρθρο 82 (τότε άρθρο 77), παράγραφος 1, περιεχόμενο στο οποίο η ευθύνη συνδέεται με δόλο ή αμέλεια ( 61 ). Η εν λόγω τροπολογία καταψηφίστηκε ( 62 ).

84.

Στο Συμβούλιο η συζήτηση σχετικά με το άρθρο 77 και το κριτήριο καταλογισμού συνδέθηκε με την απόδοση και την κατανομή ευθύνης όταν πλείονα πρόσωπα παρεμβαίνουν στην ίδια πράξη επεξεργασίας. Στο πλαίσιο αυτό, η Προεδρία πρότεινε να προκριθεί μία από τις δύο ακόλουθες επιλογές ( 63 ):

–

κατά την πρώτη επιλογή ( 64 ), κάθε διαχειριστής ή εκτελών την επεξεργασία θα ελογίζετο κατά νόμον υπεύθυνος για το σύνολο της ζημίας έναντι του υποκειμένου των δεδομένων ( 65 ), σε περίπτωση παράβασης των υποχρεώσεων που ανατίθενται σε αυτούς από τον ΓΚΠΔ ( 66 ). Η συμβολή του στην πρόκληση της ζημίας, έστω μηδαμινή, θα παρείχε στο υποκείμενο των δεδομένων τη δυνατότητα να αξιώσει το σύνολο της αποζημίωσης· σε περίπτωση πλειόνων κατά νόμον υπευθύνων, το υποκείμενο των δεδομένων θα μπορούσε να αξιώσει το σύνολο της αποζημίωσης από καθέναν εξ αυτών ( 67 ). Εντούτοις, καθένας τους θα μπορούσε να απαλλαγεί εάν αποδείκνυε ότι δεν φέρει καμία ευθύνη («responsible») για τη ζημία («0 % responsibility»)· τούτο θα αντικατοπτριζόταν στην παράγραφο 3 του άρθρου. Η συγκεκριμένη πρόταση περιγράφεται ως «closer (but certainly not equal to) to the “liability follows fault principle”» ( 68 )·

–

η δεύτερη επιλογή θα συνεπαγόταν, για τον διαχειριστή της επεξεργασίας, αναπόφευκτη υποχρέωση αποζημίωσης του υποκειμένου των δεδομένων για το σύνολο της ζημίας, βάσει ενός είδους απόλυτης ευθύνης, καθότι δεν προβλεπόταν καμία απαλλαγή ( 69 ). Το υποκείμενο των δεδομένων θα είχε αξίωση έναντι του εκτελούντος την επεξεργασία μόνον επικουρικώς ( 70 ). Δεν προβλεπόταν επίσης οποιαδήποτε απαλλαγή για αυτόν.

85.

Το συμβιβαστικό κείμενο που η Προεδρία υπέβαλε προς έγκριση ως γενική κατευθυντήρια αρχή ( 71 ) ακολουθεί την πρώτη επιλογή, μολονότι ενισχύει τον εξαιρετικό χαρακτήρα της απαλλαγής και δυσχεραίνει τη σχετική απόδειξη με τη διατύπωση του άρθρου 77, παράγραφος 3: «[…] εάν [ο υπεύθυνος επεξεργασίας/εκτελών την επεξεργασία] αποδεικνύει ότι δεν φέρει καμία ευθύνη […]» ( 72 ). Η διατύπωση αυτή και το άρθρο που τελικώς εγκρίθηκε συμπίπτουν.

86.	Εν κατακλείδι, η εξέταση της νομοθετικής διαδικασίας η οποία κατέληξε στο τελικό κείμενο του ΓΚΠΔ συνηγορεί υπέρ της μη σύνδεσης της ευθύνης του άρθρου 82, παράγραφος 1, με την υπαιτιότητα του διαχειριστή της επεξεργασίας.

γ) Τελολογική ερμηνεία

87.

Ο ΓΚΠΔ θεσπίζει ένα σύστημα το οποίο αποσκοπεί στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων καθώς και στην άρση των εμποδίων στη ροή δεδομένων προσωπικού χαρακτήρα ( 73 ). Στο εν λόγω σύστημα, σκοπός του άρθρου 82 του ΓΚΠΔ είναι η αποκατάσταση της ζημίας, μολονότι χρησιμεύει επίσης, δευτερευόντως, για την αποτροπή ή την πρόληψη συμπεριφορών που δεν συνάδουν με τους κανόνες του ( 74 ).

88.

Η διασφάλιση της καταβολής αποζημίωσης συνιστά αυτοτελή σκοπό: τούτο συνάγεται από τη σημασία που της αποδίδει ο νομοθέτης, η οποία προκύπτει από το ίδιο το κείμενο του ΓΚΠΔ. Κατά τον ΓΚΠΔ, η λήψη αποζημίωσης, σε περίπτωση επέλευσης ζημίας, αποτελεί δικαίωμα του υποκειμένου των δεδομένων· η έννοια της ζημίας πρέπει να ερμηνεύεται διασταλτικά, η δε αποζημίωση πρέπει να είναι πλήρης και ουσιαστική.

89.

Η αποζημίωση συνδέεται με τη βούληση ενίσχυσης της εμπιστοσύνης των πολιτών στο ψηφιακό περιβάλλον, σκοπό γενικής εμβέλειας ο οποίος αποτυπώνεται στην αιτιολογική σκέψη 7 του ΓΚΠΔ. Η λύση βάσει της οποίας διασφαλίζεται κατ’ αρχήν ότι το υποκείμενο των δεδομένων δεν θα επιβαρυνθεί με τη ζημία που απορρέει από μη σύννομη επεξεργασία των δεδομένων του έχει σκοπό την ενίσχυση της εν λόγω εμπιστοσύνης: η περιουσία του είναι ασφαλής και, από διαδικαστικής απόψεως, η άσκηση της αξίωσής του καθίσταται απλούστερη.

90.

Συνάδει προς την ως άνω προσέγγιση το γεγονός ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ δεν συνδέει την υποχρέωση αποζημίωσης με την παράβαση καθήκοντος επιμέλειας. Τέτοια υποχρέωση υπέχει, κατά τον νομοθέτη, όποιος κατέχει συγκεκριμένη θέση ρυθμιστή ή εγγυητή στη σχέση και, ακριβώς, λαμβάνοντας υπόψη το γεγονός αυτό και μόνον.

91.	Επομένως, κατά τον ΓΚΠΔ, σημασία έχει η κατάσταση του ζημιωθέντος ως αποτέλεσμα της παράβασης, όταν καμία διάταξη δεν επιβάλλει στον ζημιωθέντα την υποχρέωση να επιβαρυνθεί με την εν λόγω ζημία.

92.	Για τον ζημιωθέντα είναι αλυσιτελές το αν στην πρόκληση της ζημίας υπήρξε υπαιτιότητα του προσώπου που την προκάλεσε: καθοριστικής σημασίας είναι το στοιχείο ότι ο διαχειριστής της επεξεργασίας προκάλεσε στον ζημιωθέντα υλική ζημία ή ηθική βλάβη, ως αποτέλεσμα της παράβασης του ΓΚΠΔ που διέπραξε.

93.

Οι προμνησθέντες σκοποί επιτυγχάνονται ευχερέστερα σε ένα σύστημα στο οποίο η αποδεδειγμένη ζημία:

–	αποκαθίσταται σε κάθε περίπτωση (εκτός εάν συντρέχει λόγος απαλλαγής, σε εξαιρετικές μόνον περιπτώσεις) και

–	συνεπάγεται αποκατάσταση, η λήψη της οποίας είναι (σχετικά) απλή, όχι μόνον διότι δεν απαιτείται να αποδειχθεί η υπαιτιότητα του υπευθύνου επεξεργασίας, αλλά και διότι, εφόσον υπάρχει παράβαση και ζημία που συνδέεται με αυτή, ο καταλογισμός δεν εξαρτάται από κανένα βαθμό υπαιτιότητας.

94.

Εκτιμώ ότι η συγκεκριμένη λύση είναι συνεκτική στο πλαίσιο της προσαρμογής στην ψηφιακή επανάσταση ( 75 ). Η ταχεία εξέλιξη της τεχνολογίας απαιτεί, στο πλαίσιο των συνηθέστερων δραστηριοτήτων επεξεργασίας δεδομένων που πραγματοποιούνται επιγραμμικά, η απουσία δόλου ή αμέλειας να μην εμποδίζει την αποκατάσταση ζημιών οι οποίες σε διαφορετική περίπτωση δεν θα αποκαθίσταντο.

δ) Συστημική ερμηνεία

95.	Η ερμηνεία που προτείνω απηχεί καλύτερα την οικονομία του ΓΚΠΔ. Στο πλαίσιο του άρθρου 82, τούτο επιρρωννύεται από την παράγραφο 3: ο υπεύθυνος επεξεργασίας μπορεί να απαλλαγεί από την ευθύνη εάν «αποδεικνύει ότι δεν φέρει καμία ευθύνη για το γενεσιουργό γεγονός της ζημίας».

96.	Στην ως άνω διατύπωση ξεχωρίζει ο όρος «καμία», ο οποίος οδηγεί στο συμπέρασμα ότι το σύστημα δεν είναι σύστημα υπαιτιότητας (ούτε καν ήσσονος σημασίας πταίσματος) με αντιστροφή του βάρους αποδείξεως.

97.	Η διαπίστωση ότι η αποζημίωση δεν εξαρτάται από την υπαιτιότητα του υπευθύνου επεξεργασίας αποδίδει στο άρθρο 82 ιδιαίτερη σημασία εντός του κεφαλαίου VIII και, εν τέλει, στο σύνολο του ΓΚΠΔ.

98.

Ο νομοθέτης της Ένωσης αναγνωρίζει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να ενέχει κινδύνους. Επιβάλλει στους φορείς της επεξεργασίας την υποχρέωση να αξιολογούν τους εν λόγω κινδύνους καθώς και να λαμβάνουν και να επικαιροποιούν μέτρα κατάλληλα για την πρόληψη και την ελαχιστοποίηση των κινδύνων που εντοπίζουν ( 76 ).

99.

Έχει υποστηριχθεί ότι ένα καθεστώς αστικής ευθύνης βασισμένο στην υπαιτιότητα προάγει την επιμέλεια και, επομένως, την προστασία από τους κινδύνους, ενώ το εναλλακτικό καθεστώς, το οποίο δεν λαμβάνει υπόψη τη συμπεριφορά που επέδειξε ο φορέας επεξεργασίας, δεν παρέχει κίνητρα για τη λήψη μέτρων προφύλαξης εκ μέρους του (διότι, σε περίπτωση ζημίας, θα πρέπει, εν πάση περιπτώσει, να την αποκαταστήσει).

100.

Κατά τη γνώμη μου, στον ΓΚΠΔ το ως άνω αποτέλεσμα ( 77 ) είναι αποδεκτό. Το άρθρο 82 εντάσσεται σε πολύπλοκη κανονιστική δομή, η οποία περιλαμβάνει μέσα δημόσιου και ιδιωτικού δικαίου για την προστασία των δεδομένων προσωπικού χαρακτήρα. Εντός της εν λόγω δομής η αμέλεια (και ο δόλος) έχει σημασία για σκοπούς διοικητικών κυρώσεων. Δεν θεωρώ ότι είναι αναγκαίο να είναι επίσης λυσιτελής για σκοπούς αστικής ευθύνης ( 78 ), καθότι κάτι τέτοιο θα αντέβαινε στους σκοπούς του άρθρου 82 και, επιπλέον, θα αναιρούσε τον εύχρηστο χαρακτήρα της προβλεπόμενης θεραπείας.

2. Σημασία της συμβολής του υποκειμένου των δεδομένων

101.	Στην υπό κρίση υπόθεση, τα ερωτήματα σχετικά με την αναγκαιότητα ύπαρξης υπαιτιότητας εκ μέρους του υπευθύνου της επεξεργασίας συνδέονται με τις συνέπειες που μπορεί να απορρέουν από τη συμβολή του υποκειμένου των δεδομένων στην επέλευση της ζημίας ( 79 ).

102.

Για την καλύτερη κατανόηση όσων θα εκθέσω στη συνέχεια, πρέπει να διευκρινιστεί ότι οι περιστάσεις της ένδικης διαφοράς εξετάστηκαν από δύο απόψεις:

–	στην πρώτη, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα του ZQ εκ μέρους της MDK συνιστά παράβαση του ΓΚΠΔ (των άρθρων του 9 ή 6). Η παράβαση, αυτή καθεαυτήν, συνεπάγεται ζημία ( 80 )·

–	στη δεύτερη, η προεκτεθείσα επεξεργασία δεδομένων δεν συνιστά παράβαση του ΓΚΠΔ ή δεν συνεπάγεται ζημία. Η ζημία θα ήταν αποτέλεσμα της πρόσβασης στα δεδομένα εκ μέρους συγκεκριμένου υπαλλήλου της MDK κατόπιν παράκλησης του υποκειμένου των δεδομένων ( 81 ).

103.

Εν πάση περιπτώσει, φρονώ, όπως φαίνεται ότι εκτιμά και το αιτούν δικαστήριο ( 82 ), ότι, προκειμένου να εξακριβωθεί η (ενδεχόμενη) σημασία της συμπεριφοράς του υποκειμένου των δεδομένων στην τέλεση της πράξης που συνιστά την παράβαση που προκάλεσε τη ζημία, πρέπει να εξεταστεί το άρθρο 82, παράγραφος 3.

104.	Η διάταξη δεν προβλέπει, ούτε εν είδει παραδείγματος, συγκεκριμένους λόγους απαλλαγής από την ευθύνη. Το ίδιο συμβαίνει και στην αιτιολογική σκέψη 146. ( 83 )

105.

Όπως φαίνεται, ο ΓΚΠΔ διαφέρει, ως προς το ζήτημα αυτό, από την οδηγία 95/46, το άρθρο 23, παράγραφος 2, της οποίας περιείχε διάταξη ( 84 ) παρεμφερή με αυτή του άρθρου 82, παράγραφος 3, του ΓΚΠΔ: στην αιτιολογική σκέψη 55 της οδηγίας 95/46 μνημονεύονταν ως παραδείγματα λόγων απαλλαγής το πταίσμα του υποκειμένου των δεδομένων ή η ανωτέρα βία ( 85 ), λόγοι απαλλαγής οι οποίοι απουσιάζουν στον ΓΚΠΔ.

106.	Εάν δεν απατώμαι, δεν προκύπτει από τις προπαρασκευαστικές εργασίες του ΓΚΠΔ ότι τα δύο προμνησθέντα παραδείγματα, τα οποία περιλαμβάνονταν στην πρόταση της Επιτροπής ( 86 ) και τα οποία το Κοινοβούλιο διατήρησε ( 87 ), αποτέλεσαν αντικείμενο συζήτησης.

107.	Η απαλοιφή τους και η εμφάνιση του όρου «καμία» είναι αποτέλεσμα της προμνησθείσας συζήτησης σχετικά με τον τρόπο ρύθμισης της ευθύνης σε περίπτωση επεξεργασίας με πλείονες διαχειριστές της επεξεργασίας ή εκτελούντες την επεξεργασία ( 88 ).

108.	Από τα διαθέσιμα έγγραφα ( 89 ) προκύπτει ότι, στην τελική διατύπωση, ο διαχειριστής της επεξεργασίας απαλλάσσεται, εάν αποδεικνύει ότι δεν φέρει καμία ευθύνη («responsible») για τη ζημία («0 % responsibility»). Το ίδιο ισχύει για τον εκτελούντα την επεξεργασία ( 90 ).

109.

Λαμβανομένων υπόψη των προεκτεθέντων, δεν θεωρώ ότι η απαλοιφή των δύο παραδειγμάτων στο προοίμιο, σε συνδυασμό με την προσθήκη του όρου «καμία» στο προοίμιο καθώς και στο άρθρο 82, παράγραφος 3, του ΓΚΠΔ, έχει ως συνέπεια (ή ως σκοπό) τον αποκλεισμό της δραστηριότητας του υποκειμένου των δεδομένων από τους λόγους απαλλαγής από την ευθύνη ( 91 ).

110.

Φαίνεται, αντιθέτως, ότι η δραστηριότητα του υποκειμένου των δεδομένων παραμένει ικανή να προκαλέσει, κατά περίπτωση, τη διάρρηξη του απαραίτητου συνδέσμου μεταξύ του «γεγονότος» (όρος που χρησιμοποιείται στο άρθρο 82, παράγραφος 3, του ΓΚΠΔ) και της ευθύνης του υπευθύνου επεξεργασίας. Η υπογράμμιση του περιορισμένου χαρακτήρα της ρήτρας διαφυγής δεν εμποδίζει το ενδεχόμενο συγκεκριμένη ενέργεια του υποκειμένου των δεδομένων να προκαλέσει, αυτή καθεαυτήν, τη ζημία και να καθορίσει, κατά συνέπεια, την απαλλαγή του διαχειριστή της επεξεργασίας από την ευθύνη.

111.

Η συστημική ερμηνεία κλίνει υπέρ της άποψης να λαμβάνεται υπόψη, στο πλαίσιο της ευθύνης αποζημίωσης, η συμβολή του υποκειμένου των δεδομένων στην πρόκληση της ζημίας. Στο σύστημα του ΓΚΠΔ τα φυσικά πρόσωπα συμμετέχουν στην προστασία των δεδομένων που τα αφορούν, και προς τούτο τους αναγνωρίζονται μέσα που, αυτά καθεαυτά, συνιστούν δικαιώματα.

112.	Από τελολογικής απόψεως εκτιμώ ότι ο ΓΚΠΔ έχει σκοπό την παροχή αυξημένης προστασίας, πλην όμως όχι μέχρι του σημείου να υποχρεώνει τον υπεύθυνο επεξεργασίας να αποζημιώνει επίσης τις ζημίες που οφείλονται σε γεγονότα ή πράξεις που καταλογίζονται στο υποκείμενο των δεδομένων ( 92 ).

3. Υπολογισμός της αποζημίωσης. Σημασία του βαθμού υπαιτιότητας του υπευθύνου επεξεργασίας

113.

Το αιτούν δικαστήριο επιβεβαίωσε ότι, με το πέμπτο προδικαστικό ερώτημα, ζητεί να αποσαφηνιστεί αν ο βαθμός υπαιτιότητας του υπευθύνου επεξεργασίας επηρεάζει τον υπολογισμό της αποζημίωσης. Συγκεκριμένα, ζητεί να διευκρινιστεί αν η απουσία υπαιτιότητας ή η ύπαρξη ήσσονος σημασίας πταίσματος εκ μέρους του υπευθύνου επεξεργασίας μπορεί να ληφθεί υπόψη υπέρ του.

114.

Το άρθρο 82 του ΓΚΠΔ είναι βεβαίως λακωνικό, ή τηρεί σιγή, όσον αφορά σημαντικά ζητήματα της αποζημίωσης τα οποία θα είχαν αντίκτυπο στον υπολογισμό του ύψους της. Δεν παρέχει καθοδήγηση για την ερμηνεία των στοιχείων που τη συνιστούν ( 93 ), των κριτηρίων για την αποτίμηση (τη μετατροπή σε ποσά) των εν λόγω στοιχείων ( 94 ) ή των παραγόντων που θα μπορούσαν να επηρεάσουν το ύψος της ( 95 ).

115.

Παρά ταύτα, εκτιμώ ότι ο ΓΚΠΔ παρέχει στο υποκείμενο των δεδομένων δικαίωμα αποζημίωσης, το ύψος της οποίας καθορίζεται λαμβανομένης υπόψη της πραγματικά προκληθείσας ζημίας. Αφού διαπιστωθεί το ποσό το οποίο αντισταθμίζει, αντικειμενικά, την επίμαχη ζημία, το συγκεκριμένο ποσό δεν θα πρέπει να τροποποιείται ανάλογα με τον μεγαλύτερο ή μικρότερο βαθμό αμέλειας του υπευθύνου επεξεργασίας.

116.

Προς στήριξη της γνώμης αυτής, παραπέμπω, τηρουμένων των αναλογιών, σε όσα εξέθεσα σχετικά με την απόδοση ευθύνης στον διαχειριστή της επεξεργασίας, ανεξαρτήτως της υπαιτιότητάς του, στο σύστημα του άρθρου 82 του ΓΚΠΔ. Από την άποψη του ζημιωθέντος, του οποίου η (υλική και μη υλική) περιουσία πρέπει να παραμείνει ακέραια μετά την επέλευση της ζημίας, η αποζημίωση πρέπει να καταβάλλεται χωρίς να συνδέεται με την υπαιτιότητα του διαχειριστή της επεξεργασίας, ανεξαρτήτως του βαθμού σοβαρότητάς της ( 96 ).

117.

Φρονώ ότι στο ίδιο συμπέρασμα οδηγεί η διαπίστωση ότι το άρθρο 82 του ΓΚΠΔ (οι προπαρασκευαστικές εργασίες του οποίου δεν περιέχουν ενδείξεις υπέρ της μίας ή της άλλης θέσης) ( 97 ) διαφέρει από άλλα μέσα του δικαίου της Ένωσης, στα οποία γίνεται ρητή διάκριση μεταξύ τού κατά πόσον η συνδρομή στη παράβαση πραγματοποιήθηκε «μετά λόγου γνώσεως» ή όχι, όταν πρέπει να καθοριστεί το ύψος της αποζημίωσης λόγω αστικής ευθύνης ( 98 ).

118.

Κατά τη γνώμη μου, η ως άνω εκτίμηση επιρρωννύεται από δύο ακόμη παρατηρήσεις:

–	το άρθρο 83 του ΓΚΠΔ λαμβάνει υπόψη την αμέλεια (και τον δόλο) του παραβάτη κατά τη στάθμιση του ύψους του προστίμου ( 99 ). Ο νομοθέτης θα μπορούσε να εφαρμόσει το ίδιο κριτήριο για τον υπολογισμό της αστικής ευθύνης, πλην όμως δεν το έπραξε·

–

στον ΓΚΠΔ τονίζεται ότι η αποζημίωση πρέπει να είναι πλήρης και ουσιαστική ( 100 ) (αιτιολογική σκέψη 146 και άρθρο 82, παράγραφος 4, σχετικά με την περίπτωση στην οποία πλείονες υπεύθυνοι επεξεργασίας ή εκτελούντες την επεξεργασία μετέχουν στην ίδια πράξη επεξεργασίας) ( 101 ). Κατά τη γνώμη μου, ο επιθετικός προσδιορισμός «πλήρης» αντιτίθεται στη διαφοροποίηση, προς τα κάτω, του ύψους της αποζημίωσης βάσει του μικρότερου βαθμού αμέλειας του υπευθύνου επεξεργασίας ( 102 ).

V. Πρόταση

119.

Λαμβανομένων υπόψη των προεκτεθέντων, προτείνω να απαντηθούν τα προδικαστικά ερωτήματα που υπέβαλε το Bundesarbeitsgericht (Ομοσπονδιακό Δικαστήριο Εργατικών Διαφορών, Γερμανία) στο εξής:

«Το άρθρο 9, παράγραφος 2, στοιχείο ηʹ, και παράγραφος 3, καθώς και το άρθρο 82, παράγραφοι 1 και 3, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχουν την έννοια ότι:

Δεν απαγορεύεται σε ιατρική υπηρεσία ταμείου ασφαλίσεως υγείας να επεξεργάζεται δεδομένα που αφορούν την υγεία εργαζομένου της και συνιστούν προϋπόθεση για την εκτίμηση της ικανότητάς του προς εργασία.

Επιτρέπεται η εξαίρεση από την απαγόρευση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία, όταν η εν λόγω επεξεργασία είναι αναγκαία για σκοπούς εκτίμησης της ικανότητας προς εργασία του εργαζομένου, υπόκειται στις αρχές που κατοχυρώνονται στο άρθρο 5 και πληροί οποιαδήποτε από τις προϋποθέσεις νομιμότητας που προβλέπονται στο άρθρο 6 του κανονισμού 2016/679.

Η στοιχειοθέτηση της ευθύνης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και ο προσδιορισμός του ύψους της προς αποκατάσταση μη υλικής ζημίας βάσει του άρθρου 82, παράγραφος 1, του κανονισμού 2016/679 δεν εξαρτώνται από τον βαθμό υπαιτιότητας του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.

Η συμβολή του υποκειμένου των δεδομένων στην πράξη από την οποία απορρέει η υποχρέωση αποζημίωσης μπορεί να καθορίζει, κατά περίπτωση, την απαλλαγή από την ευθύνη του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία η οποία προβλέπεται στο άρθρο 82, παράγραφος 3, του κανονισμού 2016/679.»

( 1 ) Γλώσσα του πρωτοτύπου: η ισπανική.

( 2 ) Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικά ΕΕ 2018, L 127, σ. 2, και ΕΕ 2021, L 74, σ. 35) (στο εξής: ΓΚΠΔ).

( 3 ) Καθώς και επί του άρθρου 8 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), προϊσχύσασας διάταξης του άρθρου 9 του ΓΚΠΔ.

( 4 ) Το τέταρτο προδικαστικό ερώτημα είναι κατ’ ουσίαν πανομοιότυπο με το πρώτο προδικαστικό ερώτημα στην υπόθεση C‑300/21, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα), επί της οποίας ανέπτυξα τις προτάσεις μου στις 6 Οκτωβρίου 2022 (EU:C:2022:756) (στο εξής: προτάσεις μου στην υπόθεση C‑300/21), και για την οποία εκδόθηκε η απόφαση της 4ης Μαΐου 2023 (EU:C:2023:370).

( 5 ) Βιβλίο V του κώδικα κοινωνικής ασφάλισης (στο εξής: SGB V).

( 6 ) Medizinischer Dienst der Krankenversicherung (στο εξής: MDK).

( 7 ) Krankenversicherung (στο εξής: KV).

( 8 ) «Σημείωμα σχετικά με την προστασία των κοινωνικοασφαλιστικών δεδομένων των εργαζομένων [της MDK] και των μελών της οικογένειάς τους», το περιεχόμενο του οποίου εκτίθεται συνοπτικά στη διάταξη περί παραπομπής, σημεία 6 επ.

( 9 ) Στο πληροφοριακό σύστημα επεξεργασίας δεδομένων που χρησιμοποιείται εντός της MDK έχει συσταθεί ψηφιακός τομέας για την οργανωτική μονάδα «Ειδικές περιπτώσεις», στον οποίο έχουν πρόσβαση μόνον οι υπάλληλοι της συγκεκριμένης μονάδας.

( 10 ) Μετά το πέρας της (εκ του νόμου οριζόμενης) περιόδου κατά την οποία η MDK εξακολούθησε να καταβάλλει τον μισθό του ZQ.

( 11 ) Κατά τη γνώμη του, αν δεν είχε συμβεί η παραβίαση των δεδομένων του προσωπικού χαρακτήρα, θα μπορούσε να έχει επιστρέψει στα καθήκοντά του από τον Δεκέμβριο του 2018.

( 12 ) ArbG Düsseldorf, Urteil vom 22.02.2019 – 4 Ca 6116/18, και LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19, αντιστοίχως.

( 13 ) Όσον αφορά το περιεχόμενό του, βλ. απόφαση της 4ης Μαΐου 2023, Österreichische Post (Μη υλική ζημία λόγω της επεξεργασίας δεδομένων προσωπικού χαρακτήρα) (C‑300/21, EU:C:2023:370),

( 14 ) Η ανάλυση που ακολουθεί δεν προδικάζει την απάντηση που πρέπει να δοθεί στο τρίτο προδικαστικό ερώτημα.

( 15 ) Φρονώ ότι είναι προτιμότερη η χρήση της συγκεκριμένης διάταξης αντί εκείνης του άρθρου 9, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ. Δεν προκύπτει ότι η επεξεργασία ήταν απαραίτητη (ούτε για την MDK ως εργοδότη ούτε για τον ZQ ως υπάλληλο) για την εκπλήρωση υποχρεώσεων ή την άσκηση δικαιωμάτων στο πλαίσιο της εργασιακής σχέσης.

( 16 ) Επεξεργασία ευαίσθητων δεδομένων υπό την ιδιότητα του εργοδότη (ήτοι για σκοπούς που σχετίζονται με την εργασιακή σχέση) θα είναι σύννομη μόνον εφόσον πληρούνται οι προϋποθέσεις που ο ΓΚΠΔ προβλέπει για την επεξεργασία δεδομένων με σκοπό διαφορετικό από εκείνον για τον οποίο συλλέχθηκαν.

( 17 ) Σημείο 22 της διατάξεως περί παραπομπής. Αντιθέτως, ο ΓΚΠΔ επιτάσσει να πληρούνται άλλες προϋποθέσεις, οι οποίες προβλέπονται στο άρθρο 9, παράγραφος 3: όσον αφορά την εμβέλειά του, βλ. σημεία 40 επ. των παρουσών προτάσεων.

( 18 ) Το άρθρο 9 του ΓΚΠΔ έλκει την καταγωγή του από το άρθρο 8 της οδηγίας 95/46. Στην πρόταση της Επιτροπής [πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων) COM(2012) 11 final, της 25ης Ιανουαρίου 2012, στο εξής: πρόταση της Επιτροπής], η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία ρυθμιζόταν από το άρθρο 81, το οποίο προέβλεπε δικαιολογητικούς λόγους για την εν λόγω επεξεργασία, επισημαίνοντας ότι η επεξεργασία πρέπει να πραγματοποιείται σύμφωνα με το δίκαιο της Ένωσης ή των κρατών μελών. Τα κράτη μέλη έπρεπε να προβλέπουν τα αναγκαία μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων. Το περιεχόμενο του άρθρου 81 ενσωματώθηκε τελικώς στο άρθρο 9, παράγραφος 2, στοιχείο ηʹ, και παράγραφος 4, όπως προκύπτει από το έγγραφο αριθ. 14270/14 της Προεδρίας του Συμβουλίου προς την ομάδα «Προστασία Δεδομένων», της 16ης Οκτωβρίου 2014.

( 19 ) Απόφαση της 24ης Σεπτεμβρίου 2019, GC κ.λπ. (Διαγραφή συνδέσμων προς ευαίσθητα δεδομένα) (C‑136/17, EU:C:2019:773), κατά τη σκέψη 44 της οποίας: «[…] [οι] ειδικές απαιτήσεις […] που αφορούν την επεξεργασία των ειδικών […] κατηγοριών δεδομένων [έχουν ως] σκοπό […] [τη] διασφάλιση αυξημένης προστασίας έναντι της επεξεργασίας των ως άνω δεδομένων η οποία, λόγω του ιδιαίτερα ευαίσθητου χαρακτήρα τους, μπορεί να συνιστά, όπως προκύπτει επίσης από την αιτιολογική σκέψη 33 της οδηγίας [95/46] και την αιτιολογική σκέψη 51 του κανονισμού, ιδιαιτέρως σοβαρή επέμβαση στα θεμελιώδη δικαιώματα στον σεβασμό της ιδιωτικής ζωής και στην προστασία των δεδομένων προσωπικού χαρακτήρα, τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη».

( 20 ) Το θεμελιώδες δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν υπερισχύει αυτομάτως κάθε άλλου δικαιώματος ούτε στην περίπτωση των ειδικών κατηγοριών του άρθρου 9, παράγραφος 1, του ΓΚΠΔ: απόφαση της 24ης Σεπτεμβρίου 2019, GC κ.λπ. (Διαγραφή συνδέσμων προς ευαίσθητα δεδομένα) (C‑136/17, EU:C:2019:773, σκέψεις 66 έως 68).

( 21 ) Άρθρο 9, παράγραφος 3, του ΓΚΠΔ.

( 22 ) Το άρθρο 88 του ΓΚΠΔ παρέχει στα κράτη μέλη τη δυνατότητα να θεσπίζουν «ειδικούς κανόνες προκειμένου να διασφαλίζουν την προστασία των δικαιωμάτων και των ελευθεριών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των εργαζομένων στο πλαίσιο της απασχόλησης». Όσον αφορά την ερμηνεία του, βλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270).

( 23 ) Τούτη φαίνεται ότι η είναι η γνώμη του αιτούντος δικαστηρίου. Επί του ζητήματος αυτού, βλ. υποσημείωση 15 των παρουσών προτάσεων.

( 24 ) Συντάσσομαι με την άποψη της Επιτροπής, η οποία υποστηρίζει ότι «η παράγραφος 2 [του άρθρου 9 του ΓΚΠΔ] δεν προβλέπει ιδιαίτερη ιεράρχηση ή ενδεχόμενη σχέση εξάρτησης μεταξύ των εξαιρέσεων, οι οποίες συνυπάρχουν επί ίσοις όροις» (σημείο 13 των γραπτών παρατηρήσεών της).

( 25 ) Δεν απαιτείται, όπως στην οδηγία 95/46, η επεξεργασία να «εκτελείται από κατ’ επάγγελμα θεράποντα της υγείας υποκείμενο στο επαγγελματικό απόρρητο […] ή από άλλο πρόσωπο το οποίο ομοίως υπέχει αντίστοιχη υποχρέωση» (η υπογράμμιση δική μου). Εντούτοις, απαιτείται η επεξεργασία να πραγματοποιείται από πρόσωπα που υπόκεινται στην υποχρέωση τήρησης του απορρήτου.

( 26 ) Όσον αφορά τα δεδομένα που είναι «ιδιαίτερα ευαίσθητα σε σχέση με θεμελιώδη δικαιώματα και ελευθερίες», στην αιτιολογική σκέψη 51 του ΓΚΠΔ επισημαίνεται ότι «[ε]κτός από τις ειδικές απαιτήσεις στις οποίες υπάγεται η εν λόγω επεξεργασία, θα πρέπει να εφαρμόζονται οι γενικές αρχές και οι λοιποί κανόνες του παρόντος κανονισμού, ιδίως σε ό,τι αφορά τους όρους νόμιμης επεξεργασίας».

( 27 ) Απόφαση της 16ης Ιανουαρίου 2019, Deutsche Post (C‑496/17, EU:C:2019:26, σκέψη 57 και εκεί μνημονευόμενη νομολογία). Όσον αφορά τα ευαίσθητα δεδομένα, βλ. αποφάσεις της 24ης Σεπτεμβρίου 2019, GC κ.λπ. (Διαγραφή συνδέσμων προς ευαίσθητα δεδομένα) (C‑136/17, EU:C:2019:773, σκέψη 64), και της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής για τροχαίες παραβάσεις) (C‑439/19, EU:C:2021:504, σκέψεις 96, 99, 100 και 102).

( 28 ) Σημεία 25 έως 27 της διατάξεως περί παραπομπής. Το αιτούν δικαστήριο κάνει λόγο για τη δημιουργία δύο ανεξάρτητων μονάδων «ειδικών περιπτώσεων» καθώς και χωριστών τμημάτων πληροφορικής σε περίπτωση εκθέσεων που αφορούν υπαλλήλους υπηρεσιών πληροφορικής (όπως ο ZQ). Απώτερος σκοπός ενός τέτοιου μέτρου θα ήταν κανένας υπάλληλος της MDK να μην μπορεί να έχει εν τοις πράγμασι πρόσβαση στα δεδομένα που αφορούν την υγεία συναδέλφου του, ούτε να γνωρίζει την ύπαρξη ελέγχου σχετικά με την ικανότητα προς εργασία συναδέλφου του.

( 29 ) Άρθρο 8, παράγραφος 3. Όπως προεκτέθηκε, με τον ΓΚΠΔ διευρύνθηκε ο κύκλος των προσώπων που μπορούν να πραγματοποιούν την επεξεργασία.

( 30 ) Η παράγραφος 4 προστέθηκε στο άρθρο 9 του ΓΚΠΔ κατόπιν πρότασης της Γερμανίας: βλ. έγγραφο αριθ. 6834/15, Προεδρία προς Συμβούλιο, της 9ης Μαρτίου 2015.

( 31 ) Το αιτούν δικαστήριο χαρακτηρίζει υπεύθυνο επεξεργασίας την MDK (σημείο 16 της διατάξεως περί παραπομπής). Επομένως, στη συνέχεια, δεν θα μνημονεύω τον εκτελούντα την επεξεργασία, παρά μόνον εάν απαιτείται. Κατ’ αρχήν, οι παρατηρήσεις που διατυπώνονται για τον πρώτο ισχύουν και για τον δεύτερο.

( 32 ) Ειδικότερα, το αιτούν δικαστήριο εκφράζει την ανησυχία ότι, σε περίπτωση παραβίασης ασφαλείας, οι συνάδελφοι του ZQ θα λάβουν γνώση της κατάστασης της υγείας του με ενδεχόμενη συνέπεια εικασίες σχετικά με την παραγωγικότητά του. Το αιτούν δικαστήριο επισημαίνει επίσης ότι οι πληροφορίες σχετικά με την ύπαρξη και μόνον ιατρικής έκθεσης σχετικά με την ανικανότητα προς εργασία είναι ευαίσθητες πληροφορίες, καθόσον μπορεί να υποδηλώνουν το ενδεχόμενο προσποίησης ανικανότητας προς εργασία (σημείο 26 της διατάξεως περί παραπομπής).

( 33 ) Βλ. σημείο 10 των παρουσών προτάσεων.

( 34 ) Σημείο 27 της διατάξεως περί παραπομπής.

( 35 ) Βλ. υποσημείωση 27 των παρουσών προτάσεων. Όσον αφορά τη σχέση μεταξύ του άρθρου 6 και του άρθρου 9 του ΓΚΠΔ, βλ. επίσης υπόθεση C‑252/21, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης μέσου κοινωνικής δικτύωσης). Ο γενικός εισαγγελέας Α. Ράντος ανέπτυξε τις προτάσεις του στις 20 Σεπτεμβρίου 2022 (C‑252/21, EU:C:2022:704).

( 36 ) Απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής για τροχαίες παραβάσεις) (EU:C:2021:504, σκέψεις 96, 99, 100 και 102).

( 37 ) Το περιεχόμενο του άρθρου 10 του ΓΚΠΔ έλκει την καταγωγή του από το άρθρο 8 της οδηγίας 95/46. Το τελευταίο αυτό άρθρο συγκέντρωνε όλες τις ειδικές κατηγορίες δεδομένων, μολονότι ρύθμιζε χωριστά, στην παράγραφο 5, την επεξεργασία δεδομένων σχετικών με παραβάσεις, ποινικές καταδίκες ή μέτρα ασφαλείας. Ο τυπικός διαχωρισμός που πραγματοποιείται στον ΓΚΠΔ δεν οφείλεται σε μεταβολή της πεποίθησης όσον αφορά τον «ευαίσθητο» χαρακτήρα των δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα.

( 38 ) Έγγραφο αριθ. 17072/4/14 Rev 4, Συμβούλιο προς Επιτροπή Μονίμων Αντιπροσώπων, της 4ης Μαρτίου 2015, υποσημείωση 60.

( 39 ) Αφορά, όπως και στο τελικό κείμενο, τη νομιμότητα της επεξεργασίας.

( 40 ) Έγγραφο αριθ. 17072/4/14 Rev 4, Συμβούλιο προς Επιτροπή Μονίμων Αντιπροσώπων, της 4ης Μαρτίου 2015, άρθρο 9, παράγραφος 2 [«Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]» και υποσημείωση 60.

( 41 ) Αρχής γενομένης από το έγγραφο αριθ. 6834/15, Προεδρία προς Συμβούλιο, της 9ης Μαρτίου 2015.

( 42 ) Βεβαίως, η επιλογή αυτή δεν διασκέδασε τις αμφιβολίες όλων των αντιπροσωπειών. Βλ., για παράδειγμα, έγγραφο αριθ. 7466/15, Προεδρία προς Αντιπροσωπείες, της 26ης Μαρτίου 2015, υποσημείωση 38.

( 43 ) Κατευθυντήριες γραμμές 03/2020 σχετικά με την επεξεργασία δεδομένων που αφορούν την υγεία για σκοπούς επιστημονικής έρευνας στο πλαίσιο της έξαρσης της νόσου COVID‑19, Απρίλιος 2020, σημείο 15.

( 44 ) «Advice paper on special categories of data», Ares(2011)444105 – 20/04/2011, σ. 5.

( 45 ) Αυτή είναι επίσης η άποψη που η Επιτροπή έχει διατυπώσει δημοσίως: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, συνεδρίαση της 10ης Οκτωβρίου 2016, σ. 2, και Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, συνεδρίαση της 20ής Φεβρουαρίου 2018, σ. 2.

( 46 ) Για παράδειγμα, υπέρ της άποψης της σώρευσης ή της συμπληρωματικότητας τάσσεται ο Petri, T., «Art. 9», σε Simitis, Sp., Hornung, G. και Spiecker gen. Döhmann, Ι., Datenschutzrecht, 2019, σημείο 26, μολονότι αναγνωρίζει την έλλειψη ομοφωνίας επί του ζητήματος. Αντίθετη άποψη υποστηρίζεται στο Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων του Οργανισμού Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, 2018, σημείο 4.1.1.

( 47 ) Ρητή συγκατάθεση του υποκειμένου των δεδομένων, επεξεργασία απαραίτητη για την προστασία των ζωτικών συμφερόντων του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου που είναι σωματικά ή νομικά ανίκανο να παράσχει συγκατάθεση, και επεξεργασία απαραίτητη για λόγους δημόσιου συμφέροντος, αντιστοίχως.

( 48 ) Σημεία 30 και 31 της διατάξεως περί παραπομπής.

( 49 ) Για παράδειγμα, αν η συγκατάθεση του υποκειμένου των δεδομένων, ως νομική βάση η οποία συνοδεύει τη δυνατότητα που προβλέπεται στο άρθρο 9, παράγραφος 2, στοιχείο ηʹ, πρέπει να είναι ρητή, όπως επιτάσσει η ίδια διάταξη, ή αν αρκεί η συγκατάθεση που προβλέπεται στο άρθρο 6, παράγραφος 1, στοιχείο αʹ.

( 50 ) Διαφορετικό ζήτημα, πιο περιορισμένης εμβέλειας, είναι το αν, λαμβανομένων υπόψη των παρατηρήσεων του αιτούντος δικαστηρίου σχετικά με το άρθρο 6, παράγραφος 1, θα πρέπει να αποσαφηνιστεί η έννοια των προϋποθέσεων που προβλέπονται σε αυτό, και ιδίως αυτών των στοιχείων γʹ και εʹ. Συναφώς, βλ. νομολογία του Δικαστηρίου: όσον αφορά τις διατάξεις της οδηγίας 95/46, αποφάσεις της 16ης Δεκεμβρίου 2008, Huber (C‑524/06, EU:C:2008:724, σκέψη 62), και της 30ής Μαΐου 2013, Worten (C‑342/12, EU:C:2013:355, σκέψη 37), και, όσον αφορά τον ΓΚΠΔ, απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, σκέψεις 66 επ.).

( 51 ) Το αιτούν δικαστήριο κλίνει υπέρ της διαπίστωσης παράβασης των άρθρων 9 και 6 του ΓΚΠΔ λόγω της πραγματοποιηθείσας από την MDK επεξεργασίας. Στο σημείο 32 της διατάξεως περί παραπομπής, επισημαίνεται ότι η παράβαση, αυτή καθεαυτήν, συνεπάγεται δικαίωμα προς αποζημίωση· στο σημείο 33 υπογραμμίζεται ότι η παράβαση συνεπάγεται αυτομάτως ζημία («η παράβαση του ΓΚΠΔ προκαλεί ηθική βλάβη η οποία γεννά δικαίωμα προς ικανοποίηση»). Για τους λόγους που εξέθεσα με τις προτάσεις μου στην υπόθεση C‑300/21, δεν συμμερίζομαι τη γνώμη αυτή.

( 52 ) Σημεία 78 έως 80 των παρατηρήσεων της MDK. Σύμφωνα με την MDK το υποκείμενο των δεδομένων προκάλεσε το ίδιο τη ζημία στον εαυτό του, μη ζητώντας τον φάκελο καθώς και πρόσβαση στον εν λόγω φάκελο από την MDK, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, και καταφεύγοντας, αντιθέτως, σε συνάδελφο στη μονάδα του, με αποτέλεσμα την πρόσβαση της υπαλλήλου της MDK στα επίμαχα δεδομένα. Βλ., στο ίδιο πνεύμα, την κατ’ έφεση εκδοθείσα απόφαση LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19], σημείο 4.3.4.3.

( 53 ) Η διορισμένη στην ίδια μονάδα με το υποκείμενο των δεδομένων υπάλληλος απέκτησε πρόσβαση στα δεδομένα εκτός του πλαισίου για το οποίο διαθέτει σχετική εξουσιοδότηση, ήτοι για σκοπούς ξένους προς την εκτέλεση της εργασίας που προβλέπεται στη σύμβασή της.

( 54 ) Στο εξής θα χρησιμοποιώ αδιακρίτως τον όρο «διαχειριστής» ως συνώνυμο του όρου «υπεύθυνος».

( 55 ) Πέραν αυτών που υποστηρίζουν ότι πρόκειται για ζήτημα το οποίο δεν ρυθμίζεται, οι απόψεις διίστανται μεταξύ εκείνων που τάσσονται υπέρ ενός καθεστώτος αντικειμενικής ευθύνης και εκείνων που κλίνουν υπέρ της ευθύνης λόγω υπαιτιότητας με αντιστροφή του βάρους αποδείξεως. Στην πραγματικότητα, όπως συμβαίνει και με άλλα καθεστώτα τομεακής (αστικής) ευθύνης, δεν θεωρώ ότι οι διατάξεις του ΓΚΠΔ αντιστοιχούν πλήρως σε οποιοδήποτε από τα δύο κύρια θεωρητικά παραδείγματα, τα οποία δεν οριοθετούνται άλλωστε με επαρκή ακρίβεια. Βάσει της διατύπωσής τους, μπορεί να εμπίπτουν σε αμφότερα τα καθεστώτα, με διαφοροποιήσεις οι οποίες οδηγούν, τελικώς, σε σύγχυση των παραδειγμάτων: συγκεκριμένα, μπορεί να εμπίπτουν στο πρώτο καθεστώς, λόγω του υψηλού επιπέδου επιμέλειας που θα πρέπει να αποδειχθεί προς αποφυγή του καταλογισμού· μπορεί να εμπίπτουν στο δεύτερο καθεστώς, λόγω της εισαγωγής κριτηρίων επιμέλειας/αμέλειας στους λόγους απαλλαγής, ή κατά τη διαπίστωση της παράβασης, ανάλογα με την επίμαχη διάταξη.

( 56 ) Η παράγραφος 2, η οποία μπορεί να ερμηνευθεί ως η άλλη όψη της παραγράφου 1 στο μέτρο που εξετάζει την ευθύνη από την άποψη των υποχρέων, επίσης δεν περιέχει μνεία οποιασδήποτε απαίτησης υπαιτιότητας.

( 57 ) Στο κείμενο στην ισπανική γλώσσα, ο όρος «imputable» περιέχεται, αντιθέτως, στο άρθρο 47, παράγραφος 2, στοιχείο στʹ, του ΓΚΠΔ, το οποίο, σε σχέση με τις πληροφορίες από τις οποίες εξαρτάται η έγκριση δεσμευτικών εταιρικών κανόνων, μνημονεύει την απαλλαγή από την ευθύνη στο πλαίσιο ομίλων επιχειρήσεων εγκατεστημένων εντός και εκτός της Ένωσης. Στο κείμενο στη γερμανική γλώσσα χρησιμοποιήθηκε περιφραστική διατύπωση («dem betreffenden Mitglied nicht zur Last gelegt werden kann»).

( 58 ) Πρβλ. το άρθρο 82, παράγραφος 3, το άρθρο 68, παράγραφος 4, ή το άρθρο 75, παράγραφος 6.

( 59 ) Άρθρο 83, παράγραφος 2, στοιχείο βʹ, και παράγραφος 3. Επί της ερμηνείας του, βλ. προτάσεις μου στην υπόθεση C‑807/21, Deutsche Wohnen (EU:C:2023:360).

( 60 ) Βλ., μεταξύ άλλων, έγγραφο 17831/13, Προεδρία του Συμβουλίου προς ομάδα «Προστασία Δεδομένων», της 16ης Δεκεμβρίου 2013, υποσημείωση 542.

( 61 ) Τροπολογία αριθ. 2819, την οποία πρότεινε ο S. Ilchev, Σχέδιο έκθεσης σχετικά με την πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων), έγγραφο PE501.927v04-00, Τροπολογίες (9): «Κάθε πρόσωπο το οποίο υπέστη ζημία ως αποτέλεσμα παράνομης πράξης επεξεργασίας ή πράξης ασυμβίβαστης προς τον παρόντα κανονισμό δικαιούται αποζημίωσης από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη, εκτός εάν εκείνος αποδείξει ότι δεν βαρύνεται ούτε από δόλο ούτε από αμέλεια». Η υπογράμμιση δική μου.

( 62 ) Βλ. κείμενο που συνοδεύει το νομοθετικό ψήφισμα της 12ης Μαρτίου 2014 σχετικά με την πρόταση της Επιτροπής (ΕΕ 2017, C 378, σ. 399).

( 63 ) Έγγραφο αριθ. 9083/15, Προεδρία προς τα μέλη ΔΕΥ της ομάδας «Προστασία δεδομένων», της 27ης Μαΐου 2015. Η διαφορά μεταξύ των δύο επιλογών αφορά το άρθρο 77, παράγραφοι 3 έως 6. Η παράγραφος 1, στην οποία καθιερώνεται η αρχή της ευθύνης του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία, και η παράγραφος 2, στην οποία καθορίζονται τα ουσιαστικά όρια ευθύνης αμφοτέρων, περιορίζοντας αυτήν του εκτελούντος την επεξεργασία, είναι πανομοιότυπες στις δύο επιλογές.

( 64 ) Όπ.π., σημείο 5.

( 65 )

( 66 ) Ή, στην περίπτωση του εκτελούντος την επεξεργασία, σε περίπτωση παράβασης οδηγιών του υπευθύνου επεξεργασίας οι οποίες είναι σύμφωνες με τον ΓΚΠΔ.

( 67 ) Με δυνατότητα μεταγενέστερης αναγωγής μεταξύ τους: άρθρο 77, παράγραφος 6, κατά την πρώτη επιλογή.

( 68 ) Έγγραφο αριθ. 9083/15, Προεδρία προς τα μέλη ΔΕΥ της ομάδας «Προστασία δεδομένων», της 27ης Μαΐου 2015, σημείο 7. Η αντιπροσωπεία του Ηνωμένου Βασιλείου είχε ταχθεί ρητώς υπέρ της ευθύνης λόγω υπαιτιότητας. Λαμβανομένων υπόψη των επιχειρημάτων της, τέθηκε σχετική ερώτηση στις λοιπές αντιπροσωπείες (έγγραφο αριθ. 7722/15, Προεδρία προς ομάδα «Προστασία Δεδομένων», της 13ης Απριλίου 2015, σημεία 10 και 11). Η τελικώς προταθείσα επιλογή φαίνεται ότι ήταν αποτέλεσμα του συμβιβασμού που πρότεινε η γερμανική αντιπροσωπεία (έγγραφο αριθ. 8150/1/15 Rev 1, της 6ης Μαΐου 2015), ο οποίος διέκρινε μεταξύ, αφενός, της σχέσης υπευθύνου επεξεργασίας/εκτελούντος την επεξεργασία και υποκειμένου των δεδομένων και, αφετέρου, της σχέσης μεταξύ αυτών, και υποστήριζε στη δεύτερη περίπτωση καταλογισμό βασισμένο σε δόλο ή αμέλεια: «liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation». Όσον αφορά το υποκείμενο των δεδομένων, η απουσία αμέλειας θα επέτρεπε την απαλλαγή από την ευθύνη.

( 69 ) Όπ.π., σημείο 6, το οποίο καταλήγει ως εξής: «In other words, the mere fact that an entity was involved in a non-compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages».

( 70 ) Άρθρο 77, παράγραφος 4a, στην εν λόγω επιλογή: «If a data subject is not able to bring a claim for compensation against the controller […]».

( 71 ) Έγγραφο αριθ. 9565/15, Προεδρία προς Συμβούλιο, της 11ης Ιουνίου 2015.

( 72 ) Η υπογράμμιση δική μου. Παράλληλα με την προσθήκη αυτή, εξαλείφονται τα παραδείγματα λόγων απαλλαγής στην αιτιολογική σκέψη 118: σημεία 104 επ. των παρουσών προτάσεων.

( 73 ) Αιτιολογική σκέψη 10 του ΓΚΠΔ.

( 74 ) Βλ. προτάσεις μου στην υπόθεση C‑300/21. Όπως επισήμανα στις εν λόγω προτάσεις, βούληση του νομοθέτη είναι να παράσχει κίνητρα για την ιδιωτική επιβολή των κανόνων σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα. Προς τούτο, στο κεφάλαιο VIII του ΓΚΠΔ παρέχονται στο υποκείμενο των δεδομένων σχετικά μέσα. Η αποζημίωση λόγω αστικής ευθύνης είναι ένα εξ αυτών, πλην όμως δεν έχει λειτουργία τιμωρίας.

( 75 ) Τούτο ήταν ένα από τα επιχειρήματα υπέρ της κατάργησης της οδηγίας 95/46 στην πρόταση της Επιτροπής.

( 76 ) Αιτιολογικές σκέψεις 77 επ. του ΓΚΠΔ.

( 77 ) Αποτέλεσμα το οποίο επιδέχεται διαφοροποιήσεις: η ευθύνη θα έχει προληπτική λειτουργία, στο μέτρο που επηρεάζει την απόφαση του φορέα επεξεργασίας όσον αφορά το επίπεδο δραστηριότητας που πρέπει να ασκήσει. Η ερμηνεία που προτείνω καθιστά δυνατή τη σύνδεση του άρθρου 82 του ΓΚΠΔ με αρχές της επεξεργασίας όπως τον περιορισμό του σκοπού, την ελαχιστοποίηση των δεδομένων και την ακρίβεια (άρθρο 5, παράγραφος 1, στοιχεία βʹ, γʹ και δʹ, του ΓΚΠΔ).

( 78 ) Καθιστώντας την αμέλεια το κριτήριο καταλογισμού.

( 79 ) Βλ. υποσημείωση 52 των παρουσών προτάσεων.

( 80 ) Θέση του αιτούντος δικαστηρίου (βλ. υποσημείωση 51 των παρουσών προτάσεων). Κατά τη γνώμη του, η συμμετοχή του υποκειμένου των δεδομένων, το οποίο ζητεί πρόσβαση στα δεδομένα που τον αφορούν, δεν θα πρέπει να έχει σημασία κατά τον καταλογισμό της ευθύνης. Μπορεί, αντιθέτως, να έχει σημασία για τον ποσοτικό προσδιορισμό της αποζημίωσης.

( 81 ) Θέση της MDK και του δευτεροβάθμιου δικαστηρίου (βλ. υποσημείωση 52 των παρουσών προτάσεων). Στην πραγματικότητα, μπορεί να υποστηριχθεί ότι, στην περίπτωση αυτή, απουσιάζει η συνιστώσα της «ζημίας»: volenti non fit iniuria.

( 82 ) Σημείο 40 της διατάξεως περί παραπομπής.

( 83 ) Αντίθετα προς ό,τι συμβαίνει σε άλλους τομείς (για παράδειγμα, στον τομέα της ευθύνης για ελαττωματικά προϊόντα), ο καθορισμός των λόγων απαλλαγής δεν προσλαμβάνει στον ΓΚΠΔ τη μορφή εξαντλητικής απαρίθμησης.

( 84 )

( 85 ) Ο υπεύθυνος επεξεργασίας «μπορεί να απαλλαγεί από την ευθύνη του μόνον αν αποδείξει ότι δεν ευθύνεται για το ζημιογόνο γεγονός, ιδίως λόγω πταίσματος του ενδιαφερομένου ή ανωτέρας βίας». Η υπογράμμιση δική μου.

( 86 ) Αιτιολογική σκέψη 118 της πρότασης της Επιτροπής.

( 87 ) Αιτιολογική σκέψη 118 του κειμένου που συνοδεύει το νομοθετικό ψήφισμα του Κοινοβουλίου, της 12ης Μαρτίου 2014, σχετικά με την πρόταση της Επιτροπής.

( 88 ) Σημεία 84 επ. των παρουσών προτάσεων. Τα παραδείγματα περιέχονται στα έγγραφα σχετικά με τις διαπραγματεύσεις στους κόλπους του Συμβουλίου, όχι όμως στο συμβιβαστικό κείμενο, ήτοι το έγγραφο αριθ. 9565/15, της 11ης Ιουνίου 2015.

( 89 ) Βλ. ιδίως έγγραφο αριθ. 9083/15, Προεδρία προς τα μέλη ΔΕΥ της ομάδας «Προστασία δεδομένων», της 27ης Μαΐου 2015.

( 90 ) Λαμβανομένου υπόψη του πλαισίου (ήτοι της ιδιαίτερης προσοχής που επιδεικνύεται σε περίπτωση ύπαρξης πλειόνων φορέων επεξεργασίας), μπορεί ευλόγως να συναχθεί ότι τέτοια δυνατότητα θα ήταν, για τον υπεύθυνο επεξεργασίας, να αποδείξει ότι η ζημία προκλήθηκε αποκλειστικά και μόνον λόγω ενέργειας του εκτελούντος την επεξεργασία, και το αντίστροφο, όσον αφορά τον δεύτερο.

( 91 ) Το ίδιο ισχύει και για την ανωτέρα βία, η οποία ήταν ο έτερος λόγος που μνημονευόταν ρητώς στην αιτιολογική σκέψη 55 της οδηγίας 95/46 (βλ. σημείο 105 των παρουσών προτάσεων).

( 92 ) Δεν προδικάζω, βεβαίως, την περίπτωση της παρέμβασης τρίτων. Βλ., ως προς το ζήτημα αυτό, προτάσεις του γενικού εισαγγελέα G. Pitruzzella, της 27ης Απριλίου 2023, στην υπόθεση Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:353).

( 93 ) Προς άρση των αμφιβολιών που υφίσταντο στο πλαίσιο της οδηγίας 95/46, ο ΓΚΠΔ διευκρινίζει ότι η αποζημίωση περιλαμβάνει τη μη υλική ζημία. Στην αιτιολογική σκέψη 146 γίνεται μνεία σε «κάθε ζημία» και υπογραμμίζεται ότι η έννοια της «ζημίας» πρέπει να ερμηνεύεται διασταλτικά με γνώμονα τη νομολογία του Δικαστηρίου. Η ακριβής έκταση της μνείας παραμένει αμφιλεγόμενη.

( 94 ) Δεν επισημαίνεται αν, για τον προσδιορισμό της αξίας της ζημίας σε κάθε περίπτωση πρέπει να χρησιμοποιούνται κλίμακες ή να προτιμώνται συνολικά ποσά ή να χρησιμοποιούνται άλλα συστήματα υπολογισμού.

( 95 ) Οι εν λόγω παράγοντες θα μπορούσαν, ενδεχομένως να περιλαμβάνουν τα εξής: α) τον προτεινόμενο από το αιτούν δικαστήριο παράγοντα, β) τη συνδρομή της υπαιτιότητας του υποκειμένου των δεδομένων, την οποία προβάλλει η MDK στο σημείο 80 των παρατηρήσεών της, γ) άλλους παράγοντες, όπως τη θέσπιση ανώτατων ποσοτικών ορίων της αποζημίωσης, με σκοπό να μην αποθαρρύνονται αδικαιολόγητα πράξεις επεξεργασίας δεδομένων ή οικονομικές δραστηριότητες που εξαρτώνται από αυτές.

( 96 ) Σημεία 87 επ. των παρουσών προτάσεων.

( 97 ) Η οδηγία 95/46 δεν περιείχε συναφώς καμία πρόβλεψη. Δεν εντόπισα στις προπαρασκευαστικές εργασίες του ΓΚΠΔ ενδείξεις περί συζητήσεως της συγκεκριμένης περίπτωσης.

( 98 ) Κανονισμός (ΕΚ) 2100/94 του Συμβουλίου, της 27ης Ιουλίου 1994, για τα κοινοτικά δικαιώματα επί φυτικών ποικιλιών (ΕΕ 1994, L 227, σ. 1), άρθρο 94, παράγραφος 2, ή οδηγία 2004/48/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 29ης Απριλίου 2004, σχετικά με την επιβολή των δικαιωμάτων διανοητικής ιδιοκτησίας (ΕΕ 2004, L 157, σ. 45), άρθρο 13, αιτιολογική σκέψη 26.

( 99 ) Άρθρο 83, παράγραφος 2, στοιχείο βʹ, και αιτιολογική σκέψη 148 του ΓΚΠΔ. Στο πλαίσιο αυτό λαμβάνεται υπόψη το κριτήριο της αναλογικότητας, όχι μόνον σε σχέση με την πράξη, αλλά επίσης συνεκτιμώντας το αν το πρόστιμο είναι υπέρμετρα επαχθές για το φυσικό πρόσωπο. Στο σημείο 54 των παρατηρήσεών της, η Ιρλανδική Κυβέρνηση προτείνει την εφαρμογή του συγκεκριμένου κριτηρίου στην αστική ευθύνη. Εκ νέου, από το γράμμα της διάταξης δεν προκύπτει ότι το εν λόγω στοιχείο περιέχεται στο άρθρο 82· τέτοια ερμηνεία δεν υποστηρίζεται ούτε από τις προπαρασκευαστικές εργασίες, ούτε από τον σκοπό της διάταξης ή τη λειτουργία της στην οικονομία του ΓΚΠΔ.

( 100 ) Η ουσιαστική αποζημίωση πρέπει να μπορεί να επιτελέσει τη λειτουργία της διαφύλαξης του δικαιώματος στην προστασία των δεδομένων.

( 101 ) Αμφότεροι υπέχουν αστική ευθύνη κατά τα προβλεπόμενα στο άρθρο 82, παράγραφοι 2 και 3, του ΓΚΠΔ. Ευθύνονται για το σύνολο της ζημίας, ανεξαρτήτως του βαθμού συνδρομής τους στην πρόκληση της ζημίας.

( 102 ) Δεν αποκλείω την ύπαρξη άλλων περιστάσεων η συνδρομή των οποίων μπορεί να δικαιολογεί τη μείωση του ύψους της αποζημίωσης: για παράδειγμα, σταθμίσεις, σε συγκεκριμένες περιπτώσεις, του δικαιώματος προς αποζημίωση (και, μέσω αυτού, του δικαιώματος προστασίας των δεδομένων) με άλλα αγαθά ή δικαιώματα της ίδιας τάξης. Στον ΓΚΠΔ, ο επιθετικός προσδιορισμός «πλήρης» χρησιμεύει επίσης για τη διασφάλιση της κάλυψης ορισμένης κατηγορίας ζημιών (των μη υλικών)· την αποφυγή του περιορισμού της αποζημίωσης στην παρεπόμενη ζημία (θα πρέπει να περιλαμβάνει και άλλες έννοιες, όπως έχει κρίνει το Δικαστήριο σε άλλους τομείς)· και τη διασφάλιση όχι μόνον της μη παρεμπόδισης αλλά και της διευκόλυνσης της πρόσβασης σε αποζημίωση εάν οι φορείς επεξεργασίας είναι πλείονες.