–

ZQ, esindaja: Rechtsanwalt E. Daun,

–

Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts, esindaja: Rechtsanwalt M. Wehner,

–

Iirimaa, esindajad: Chief State Solicitor M. Browne, A. Joyce ja M. Lane, keda abistas D. Fennelly, BL,

–

Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato M. Russo,

–

Euroopa Komisjon, esindajad: A. Bouchagiar, M. Heller ja H. Kranenborg,

1

Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandused ELT 2016, L 314, lk 72; ELT 2018, L 6, lk 3) (edaspidi „isikuandmete kaitse üldmäärus“) artikli 9 lõiget 1, lõike 2 punkti h ja lõiget 3 koostoimes selle määruse artikli 6 lõikega 1, ning samuti selle määruse artikli 82 lõiget 1.

2

Taotlus on esitatud ZQ ja tema tööandja Medizinischer Dienst der Krankenversicherung Nordrheini (Nordrheini tervisekassa, Saksamaa; edaspidi „MDK Nordrhein“) vahelises kohtuvaidluses nõude üle hüvitada kahju, mida ZQ enda väitel kandis seetõttu, et MDK Nordrhein töötles tema terviseandmeid väidetavalt õigusvastaselt.

3

Isikuandmete kaitse üldmääruse põhjendused 4–8, 10, 35, 51–53, 75 ja 146 on sõnastatud järgmiselt:

[…]

[…]

[…]

[…]

[…]

4

Määruse I peatüki „Üldsätted“ artikli 2 „Sisuline kohaldamisala“ lõikes 1 on ette nähtud:

„Käesolevat määrust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.“

5

Määruse artiklis 4 „Mõisted“ on sätestatud:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

[…]

[…]

[…]“.

6

Isikuandmete kaitse üldmääruse II peatükki „Põhimõtted“ kuuluvad selle määruse artiklid 5–11.

7

Määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud:

„1.   Isikuandmete töötlemisel tagatakse, et

[…]

2.   Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).

8

Määruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõikes 1 on sätestatud:

„Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.“

9

Sama määruse artikkel 9 „Isikuandmete eriliikide töötlemine“ on sõnastatud järgmiselt:

„1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:

[…]

[…]

[…]

3.   Lõikes 1 osutatud isikuandmeid võib töödelda lõike 2 punktis h osutatud eesmärkidel, kui neid andmeid töötleb töötaja, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel ametisaladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel või kui neid andmeid töötleb mõni teine isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel samuti saladuse hoidmise kohustus.

4.   Liikmesriigid võivad säilitada või kehtestada täiendavad tingimused, sealhulgas piirangud seoses geneetiliste, biomeetriliste või terviseandmete töötlemisega.“

10

Isikuandmete kaitse üldmääruse IV peatükk „Vastutav töötleja ja volitatud töötleja“ sisaldab artikleid 24–43.

11

Selle peatüki 1. jaos „Üldkohustused“ asuva artikli 24 „Vastutava töötleja vastutus“ lõikes 1 on ette nähtud:

„Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.“

12

Nimetatud peatüki 2. jaos „Isikuandmete turvalisus“ asuva artikli 32 „Töötlemise turvalisus“ lõikes 1 on sätestatud:

„Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist:

[…]“.

13

Isikuandmete kaitse üldmääruse VIII peatükk „Õiguskaitsevahendid, vastutus ja karistused“ sisaldab selle määruse artikleid 77–84.

14

Määruse artiklis 82 „Õigus hüvitisele ja vastutus“ on sätestatud:

„1.   Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest.

2.   Kõnealuse töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. […]

3.   Vastutav töötleja või volitatud töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.

[…]“.

15

Isikuandmete kaitse üldmääruse artiklis 83 „Trahvide määramise üldtingimused“ on ette nähtud:

„1.   Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.

2.   […] Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:

[…]

[…]

3.   Kui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega.

[…]“.

16

Määruse artikli 84 „Karistused“ lõikes 1 on sätestatud:

„Liikmesriigid kehtestavad käesoleva määruse rikkumiste korral kohaldatavad karistusnormid, eelkõige seoses selliste rikkumistega, mille korral ei määrata artikli 83 kohaseid trahve, ning võtavad kõik vajalikud meetmed, et tagada kõnealuste normide rakendamine. Sellised karistused on tõhusad, proportsionaalsed ja heidutavad.“

17

Sotsiaalkindlustusseadustiku viienda osa (Sozialgesetzbuch, Fünftes Buch) (põhikohtuasjas kohaldatavas redaktsioonis) § 275 lõike 1 kohaselt peavad riiklikud tervisekassad tellima neid abistavalt Medizinischer Dienstilt (meditsiiniteenistus) ekspertiisi, et seaduses sätestatud juhtudel või juhul, kui on vaja kindlustatud isiku haiguse tõttu, kõrvaldada kahtlused kindlustatu töövõimetuse suhtes.

18

Selle seadustiku § 278 lõige 1 näeb ette, et selline meditsiiniteenistus luuakse igal liidumaal avalik-õigusliku asutusena.

19

Avalik-õiguslik asutuse MDK Nordrheini kui tervisekassade meditsiiniteenistuse üks seadusest tulenevatest ülesannetest on viia läbi selliseid arstlikke ekspertiise, mille eesmärk on kõrvaldada kahtlused kohustuslikku ravikindlust pakkuvates ja tema tööpiirkonda kuuluvates tervisekassades kindlustatute töövõimetuse suhtes ja seda ka juhul, kui ekspertiis puudutab tema enda töötajaid.

20

Sellisel juhul on ainult spetsiaalse nn erijuhtumite üksuseks nimetatava üksuse liikmetel lubatud töödelda niisuguse töötaja sotsiaalkindlustusandmeid, kasutades selle asutuse arvutisüsteemi lukustatud ala, ja pääseda pärast ekspertiisitoimiku sulgemist ligi digiarhiivile. Niisuguste juhtumite kohta koostatud asutusesiseses memorandumis on muu hulgas ette nähtud, et nende andmetega on õigus tutvuda piiratud arvul volitatud ametnikel, sealhulgas mõnel IT-osakonna teenistujal.

21

Põhikohtuasja hageja töötas enne tervislikel põhjustel töövõimetuks jäämist MDK Nordrheini IT‑osakonnas. Kuue kuu jooksul jätkas see asutus tööandjana talle töötasu maksmist, pärast seda hakkas ta saama haigushüvitist kohustuslikku ravikindlustust pakkuvalt tervisekassalt, kus ta oli kindlustatud.

22

Kõnealune tervisekassa palus seejuures MDK Nordrheinil viia läbi ekspertiis põhikohtuasja hageja töövõimetuse kohta. MDK Nordrheini erijuhtumite üksuses tegutsev arst hankis ekspertiisi läbiviimisel muu hulgas teavet põhikohtuasja hageja raviarstilt. Hageja võttis pärast seda, kui hageja raviarst oli teda sellest teavitanud, ühendust oma kolleegiga IT-osakonnast, et viimane teeks ja seejärel edastaks talle fotod eksperdiarvamusest, mis oli MDK Nordrheini digiarhiivis.

23

Leides, et tööandja on tema terviseandmeid ebaseaduslikult töödelnud, nõudis põhikohtuasja hageja, et tööandja maksaks talle hüvitisena 20000 eurot, millest MDK Nordrhein keeldus.

24

Seejärel pöördus põhikohtuasja hageja Arbeitsgericht Düsseldorfi (Düsseldorfi töökohus, Saksamaa) poole, paludes isikuandmete kaitse üldmääruse artikli 82 lõike 1 ja Saksa õigusnormide alusel mõista MDK Nordrheinilt välja hüvitis kahju eest, mida ta väidab end olevat kandnud sel viisil toimunud isikuandmete töötlemise tõttu. Hageja väitis peamiselt, et ühest küljest oleks kõnealuse ekspertiisi pidanud läbi viima mõni teine meditsiiniteenistus vältimaks võimalust, et hageja kolleegid tutvuvad tema terviseandmetega, ning et teisest küljest olid eksperdiarvamuse arhiveerimisega seotud turvameetmed ebapiisavad. Veel väitis hageja, et see töötlemine kujutab endast niisuguseid andmeid kaitsvate õigusnormide rikkumist ja sellega tekitati talle nii mittevaralist kui ka varalist kahju.

25

MDK Nordrhein väitis enda kaitseks peamiselt, et põhikohtuasja hageja terviseandmeid koguti ja säilitati kooskõlas selliste andmete kaitset käsitlevate sätetega.

26

Kuna põhikohtuasja hageja hagi jäeti esimeses kohtuastmes rahuldamata, esitas ta apellatsioonkaebuse Landesarbeitsgericht Düsseldorfile (liidumaa kõrgeim töökohus Düsseldorfis, Saksamaa), kes samuti jättis tema kaebuse rahuldamata. Seejärel esitas ta kassatsioonkaebuse Bundesarbeitsgerichtile (Saksamaa Liitvabariigi kõrgeim töökohus), kes on käesolevas kohtuasjas eelotsusetaotluse esitanud kohus.

27

Viimati nimetatud kohus lähtub eeldusest, et põhikohtuasja vaidluse puhul kujutab MDK Nordrheini kui meditsiiniteenistuse läbi viidud ekspertiis endast „isikuandmete“ ja täpsemalt „terviseandmete töötlemist“ isikuandmete kaitse üldmääruse artikli 4 punktide 1, 2 ja 15 tähenduses, mistõttu kuulub see toiming sama määruse esemelisse kohaldamisalasse, nagu see on määratletud kõnealuse määruse artikli 2 lõikes 1. Lisaks leiab ta, et MDK Nordrhein on „vastutav töötleja“ nimetatud määruse artikli 4 punkti 7 tähenduses.

28

Tema küsimused puudutavad esiteks seda, kuidas tõlgendada mitut sätet isikuandmete kaitse üldmääruse artiklis 9, mis käsitleb isikuandmete eriliikide töötlemist, kui võtta eelkõige arvesse asjaolu, et põhikohtuasjas kõne all oleva töötlemise viis läbi asutus, kes on ühtlasi selle määruse artikli 4 punktis 1 määratletud andmesubjekti tööandja.

29

Kõigepealt kahtleb eelotsusetaotluse esitanud kohus selles, kas põhikohtuasjas kõne all olev terviseandmete töötlemine võib kuuluda mõne isikuandmete kaitse üldmääruse artikli 9 lõikes 2 ette nähtud erandi alla. Eelotsusetaotluse esitanud kohtu sõnul on käesoleval juhul asjakohased üksnes viidatud lõike 2 punktides b ja h sätestatud erandid. Ta välistab siiski kohe punktis b ette nähtud erandi kohaldatavuse käesolevas asjas põhjusel, et põhikohtuasjas kõne all olev töötlemine ei olnud vajalik vastutava töötleja kui andmesubjekti tööandja õiguste ja kohustuste täitmiseks. Selle töötlemise algatas nimelt teine asutus, kes palus MDK Nordrheinil viia läbi kontroll meditsiiniteenistusena. Seevastu, kuigi eelotsusetaotluse esitanud kohus kaldub ka punktis h ette nähtud erandi kohaldamata jätmise poole, kuna talle tundub, et see peaks hõlmama üksnes „neutraalse kolmanda isiku“ poolset töötlemist ning asutus ei saa sellise töötlemise keelu kohaldamata jätmiseks tugineda oma „kahetisele funktsioonile“ tööandja ja meditsiiniteenistusena, ei ole eelotsusetaotluse esitanud kohus selles osas kategooriline.

30

Järgmiseks, juhul kui terviseandmete töötlemine on sellistel asjaoludel lubatud isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h alusel, on eelotsusetaotluse esitanud kohtul tekkinud kahtlus seoses terviseandmete kaitset käsitlevate õigusnormidega, mida tuleb sellega seoses järgida. Tema arvates tähendab see määrus, et ei piisa sellest, et vastutav töötleja vastab määruse artikli 9 lõikes 3 sätestatud nõuetele. Vastutav töötleja peaks lisaks tagama, et ühelgi andmesubjekti kolleegil ei oleks mingit võimalust tutvuda andmetega andmesubjekti tervisliku seisundi kohta.

31

Lõpuks soovib eelotsusetaotluse esitanud kohus veel samasuguse olukorra puhul teada, kas selleks, et niisugune töötlemine oleks seaduslik, peab lisaks olema täidetud vähemalt üks isikuandmete kaitse üldmääruse artikli 6 lõikes 1 sätestatud tingimustest. Tema hinnangul peaks see nii olema ja põhikohtuasjas võivad a priori olla asjakohased üksnes artikli 6 lõike 1 esimese lõigu punktid c ja e. Neid kahte punkti c ja e ei tohiks siiski kohaldada, sest kõnealune töötlemine ei ole nende sätete tähenduses „vajalik“, kuna seda saaks sama hästi osutada mõni muu meditsiiniteenistus peale MDK Nordrheini.

32

Teiseks, juhul kui käesoleval juhul on tegemist isikuandmete kaitse üldmääruse rikkumisega, on eelotsusetaotluse esitanud kohtul tekkinud küsimus, kas põhikohtuasja hagejal on õigus hüvitisele selle määruse artikli 82 alusel.

33

Ühelt poolt soovib ta teada, kas isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ette nähtud norm on lisaks heastamisfunktsioonile ka heidutav või karistuslik, ning kui see on nii, siis kas seda omadust tuleb arvesse võtta mittevaralise kahju eest makstava hüvitise summa kindlaksmääramisel, pidades eelkõige silmas tõhususe, proportsionaalsuse ja võrdväärsuse põhimõtteid, mis on tagatud teistes liidu õiguse valdkondades.

34

Teiselt poolt kaldub see kohus arvama, et vastutav töötleja võib olla vastutav nimetatud artikli 82 lõike 1 alusel, ilma et oleks vaja tõendada, et ta on käitunud süüliselt. Kuna tal on siiski eelkõige Saksa õigusnormidest lähtudes kahtlusi, soovib ta ka teada, kas tuleks kontrollida, kas vastutav töötleja on kõnealuse isikuandmete kaitse üldmääruse rikkumise eest vastutav tahtliku või hooletusest toime pandud teo tõttu ning kas tema võimaliku süü suurus peaks mõjutama mittevaralise kahju hüvitamiseks väljamõistetavat kahjuhüvitist.

35

Neil asjaoludel otsustas Bundesarbeitsgericht (liitvabariigi kõrgeim töökohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

36

Esimese küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud terviseandmete töötlemise keeldu arvestades tuleb selle artikli lõike 2 punkti h tõlgendada nii, et selles ette nähtud erand on kohaldatav olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana.

37

Väljakujunenud kohtupraktikast nähtub, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult normi sõnastust, vaid ka selle konteksti ning selle õigusaktiga taotletavaid eesmärke, mille osa õigusnorm on. Ka liidu õigusnormi tekkelugu võib anda asjakohast teavet selle normi tõlgendamiseks (16. märtsi 2023. aasta kohtuotsus Towercast, C‑449/21, EU:C:2023:207, punkt 31 ja seal viidatud kohtupraktika).

38

Esimesena tuleb meenutada, et isikuandmete kaitse üldmääruse artikkel 9 puudutab – nagu selle pealkirigi näitab – „[i]sikuandmete eriliikide töötlemist“, mida selle määruse põhjendustes 10 ja 51 nimetatakse ka „tundlikeks“ andmeteks.

39

Isikuandmete kaitse üldmääruse põhjenduses 51 on märgitud, et isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib neid õigusi ja vabadusi olulisel määral ohustada.

40

Seega on isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud selles loetletud isikuandmete eriliikide töötlemise keelu põhimõte. Nende hulgas on käesolevas kohtuasjas kõne all olevad „terviseandmed“, nii nagu need on määratletud selle määruse artikli 4 punktis 15, tõlgendatuna määruse põhjenduse 35 alusel.

41

Euroopa Kohus on täpsustanud, et määruse artikli 9 lõike 1 eesmärk on tagada suurem kaitse niisuguse töötlemise eest, mis võib nende andmete erilise tundlikkuse tõttu eriti tõsiselt riivata põhiõiguste harta artiklitega 7 ja 8 tagatud põhiõigusi eraelu puutumatuse austamisele ja isikuandmete kaitsele (vt selle kohta 5. juuni 2023. aasta kohtuotsus komisjon vs. Poola (kohtunike sõltumatus ja eraelu), C‑204/21, EU:C:2023:442, punkt 345 ja seal viidatud kohtupraktika).

42

Isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktides a–j on siiski ette nähtud ammendav erandite loetelu nende tundlike andmete töötlemise keelu põhimõttest.

43

Muu hulgas lubab isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h sellist töötlemist, kui see on vajalik „töötaja töövõime hindamiseks […], tuginedes liidu või liikmesriigi õigusele või tervishoiutöötajaga sõlmitud lepingule“. Selles sättes on täpsustatud, et selle sätte alusel toimuv mis tahes töötlemine eeldab, et artikli 9 „lõikes 3 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud“.

44

Isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktist h koostoimes selle artikli lõikega 3 tuleneb, et võimalus töödelda selliseid tundlikke andmeid nagu terviseandmed on rangelt piiritletud rea kumulatiivsete tingimustega. Need puudutavad esiteks kõnealuses punktis h loetletud eesmärke – mille hulka kuulub töötaja töövõime hindamine –, teiseks selle töötlemise õiguslikku alust – sama punkti h kohaselt võib selleks olla liidu õigus, liikmesriigi õigus või tervishoiutöötajaga sõlmitud leping – ning kolmandaks konfidentsiaalsuskohustust, mis on artikli 9 lõike 3 kohaselt isikutel, kellel on niisuguse töötlemise õigus, kusjuures kõigil neil isikutel peab olema viimati nimetatud sätte kohaselt ametisaladuse hoidmise kohustus.

45

Nagu sisuliselt märkis kohtujurist oma ettepaneku punktides 32 ja 33, ei anna ei isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h sõnastus ega selle sätte tekkelugu teavet, mis võimaldaks asuda seisukohale, et selles sättes ette nähtud erand on – nii nagu eelotsusetaotluse esitanud kohus oletas – kohaldatav üksnes juhtudel, kui andmeid töötleb selle määruse artikli 4 punktis 1 määratletud andmesubjekti suhtes „neutraalne kolmas isik, mitte tema tööandja“.

46

Arvestades eelotsusetaotluse esitanud kohtu arvamust, et sisuliselt ei tohiks asutus isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud terviseandmete töötlemise keelu põhimõtte vältimiseks tugineda oma „kahetisele funktsioonile“ andmesubjekti tööandja ja meditsiiniteenistusena, tuleb täpsustada, et määrav on see, millisel alusel nende andmete töötlemine toimub.

47

Kuigi artikli 9 lõige 1 keelab põhimõtteliselt terviseandmete töötlemise, on selle artikli lõike 2 punktides a–j nimelt ette nähtud kümme erandit, mis on üksteisest sõltumatud ja mida tuleb seega hinnata eraldiseisvalt. Sellest järeldub, et asjaolu, et mõne lõikes 2 ette nähtud erandi kohaldamise tingimused ei ole täidetud, ei takista vastutaval töötlejal tugineda mõnele teisele selles sättes nimetatud erandile.

48

Eeltoodust tuleneb, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h koostoimes selle artikli lõikega 3 ei välista mingil moel punktis h sätestatud erandi kohaldatavust olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana.

49

Teisena kinnitab sellist tõlgendust süsteem, millesse isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt h kuulub, ning selle määruse ja selle sätte eesmärgid.

50

Esiteks, peab tõesti paika, et kuna isikuandmete kaitse üldmääruse artikli 9 lõige 2 näeb ette erandi isikuandmete eriliikide töötlemise keelu põhimõttest, tuleb seda sätet tõlgendada kitsalt (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 76).

51

Sellele vaatamata ei tohi isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud keelu põhimõtte järgimine viia selle määruse mõne teise sätte kohaldamisala piiramiseni viisil, mis oleks vastuolus selle sätte selge sõnastusega. Välja pakutud tõlgendus, mille kohaselt artikli 9 lõike 2 punktis h ette nähtud erandi kohaldamisala peaks piirduma juhtudega, kus töötaja töövõime hindamiseks töötleb tema terviseandmeid „neutraalne kolmas isik“, lisab aga nõude, mis mingil moel ei tulene selle sätte selgest sõnastusest.

52

Selles osas ei ole oluline, et juhul, kui MDK Nordrheinil keelataks täita meditsiiniteenistusena tegutsemise ülesannet, kui tegemist on tema enda töötajaga, saaks mõni teine tervisekontrolli asutus selle ülesande enda kanda võtta. Tuleb rõhutada, et alternatiiv, millele eelotsusetaotluse esitanud kohus viitab, ei pruugi olla olemas või teostatav kõikides liikmesriikides ja kõikides olukordades, mis võivad kuuluda isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h kohaldamisalasse. Selle sätte tõlgendamisel ei saa aga juhinduda ainult ühe liikmesriigi tervishoiusüsteemist või põhikohtuasja konkreetsetest asjaoludest tulenevatest kaalutlustest.

53

Teiseks on käesoleva kohtuotsuse punktis 48 esitatud tõlgendus kooskõlas isikuandmete kaitse üldmääruse ja selle määruse artikli 9 eesmärkidega.

54

Nii on isikuandmete kaitse üldmääruse põhjenduses 4 märgitud, et õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda õigust tuleb käsitleda lähtuvalt selle ülesandest ühiskonnas ja leida tasakaal selle õiguse ja muude põhiõiguste vahel vastavalt proportsionaalsuse põhimõttele (vt selle kohta 22. juuni 2023. aasta kohtuotsus Pankki S, C‑579/21, EU:C:2023:501, punkt 78). Lisaks on Euroopa Kohus juba rõhutanud, et mehhanismid, mis võimaldavad leida õiglase tasakaalu erinevate asjasse puutuvate õiguste ja huvide vahel, leiduvad isikuandmete kaitse üldmääruses endas (vt selle kohta 17. juuni 2021. aasta kohtuotsus M.I.C.M., C‑597/19, EU:C:2021:492, punkt 112).

55

Need kaalutlused kehtivad ka juhul, kui asjaomased andmed kuuluvad selle määruse artiklis 9 nimetatud eriliikidesse (vt selle kohta 24. septembri 2019. aasta kohtuotsus GC jt (delikaatsetele andmetele viitavate linkide eemaldamine), C‑136/17, EU:C:2019:773, punktid 57 ja 66–68), näiteks kui tegu on terviseandmetega.

56

Täpsemalt nähtub isikuandmete kaitse üldmääruse põhjendusest 52, et „[i]sikuandmete eriliikide töötlemise keelust peaks olema lubatud kõrvale kalduda“ juhul, „kui see on avalikes huvides, eelkõige […] tööõiguse [ja] sotsiaalkaitseõiguse […] valdkonnas“ ning „tervisega seotud eesmärkidel […] eelkõige selleks, et tagada tervisekindlustussüsteemis hüvitisi ja teenuseid puudutavate nõuete rahuldamiseks kasutatavate menetluste kvaliteet ja kulutasuvus“. Selle määruse põhjenduses 53 on veel märgitud, et töötlemine „tervisega seotud eesmärkidel“ peaks olema võimalik, „kui need eesmärgid on vaja saavutada füüsiliste isikute ja kogu ühiskonna hüvanguks, eelkõige tervishoiu- või sotsiaalhoolekandeteenuste ja -süsteemide juhtimise kontekstis“.

57

Just selles tervikvaates ja võttes arvesse erinevaid õigustatud huve nägi liidu seadusandja isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis h ette võimaluse kalduda kõrvale selle artikli lõikes 1 sätestatud terviseandmete töötlemise keelu põhimõttest tingimusel, et niisugune töötlemine vastab tingimustele ja tagatistele, mis on sõnaselgelt ette nähtud samas punktis h ja teistes selle määruse asjakohastes sätetes, eelkõige artikli 9 lõikes 3, milles ei ole sätestatud nõuet, et meditsiiniteenistus, kes töötleb nimetatud punkti h alusel selliseid andmeid, peab olema andmesubjekti tööandjast eraldiseisev üksus.

58

Eeltoodud kaalutlusi arvestades ja ilma et see mõjutaks teisele ja kolmandale küsimusele antavaid vastuseid, tuleb esimesele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h tuleb tõlgendada nii, et selles ette nähtud erand on kohaldatav olukordadele, kus tervisekontrolli asutus töötleb oma töötaja töövõime hindamiseks tema terviseandmeid meditsiiniteenistusena, mitte tööandjana, tingimusel, et niisugune töötlemine vastab tingimustele ja tagatistele, mis on sõnaselgelt ette nähtud samas punktis h ja artikli 9 lõikes 3.

59

Eelotsusetaotluse esitanud kohtu sõnul nähtub isikuandmete kaitse üldmääruse põhjendustest 35, 51, 53 ja 75, et isikuandmete kaitse üldmääruse artikli 9 lõike 3 nõuete täitmisest ei piisa sellises olukorras, nagu on kõne all põhikohtuasjas, kus vastutav töötleja on ühtlasi selle isiku tööandja, kelle töövõimet hinnatakse. Määrus nõuab tema hinnangul lisaks, et terviseandmete töötlemisest tuleb kõrvale jätta kõik vastutava töötleja töötajad, kes selle isikuga ametialaselt ükskõik mis moel kokku puutuvad. Selle kohtu sõnul peaks iga vastutav töötleja, kellel on mitu struktuuriüksust, nagu MDK Nordrhein, tagama, et üksus, mis vastutab vastutava töötleja töötajate terviseandmete töötlemise eest, kuulub alati muusse struktuuriüksusesse kui see, kus asjaomane töötaja töötab. Lisaks ei takista selliste andmete töötlemiseks volitatud töötajatel lasuv ametisaladuse hoidmise kohustus praktikas andmesubjekti kolleegi võimalust tutvuda teda puudutavate andmetega, millega omakorda kaasneb kahju tekkimise oht, näiteks andmesubjekti maine kahjustamine.

60

Neil asjaoludel soovib eelotsusetaotluse esitanud kohus oma teise küsimusega sisuliselt teada, kas isikuandmete kaitse üldmääruse sätteid tuleb tõlgendada nii, et selle määruse artikli 9 lõike 2 punkti h alusel terviseandmete töötlemise eest vastutav töötleja on kohustatud tagama, et ühelgi andmesubjekti kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta.

61

Tuleb meenutada, et isikuandmete kaitse üldmääruse artikli 9 lõike 3 kohaselt võib selle artikli 9 lõikes 1 nimetatud andmeid töödelda lõike 2 punktis h loetletud eesmärkidel, käesoleval juhul töötaja terviseandmeid tema töövõime hindamiseks, üksnes juhul, kui neid andmeid töötleb tervishoiutöötaja, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel ametisaladuse hoidmise kohustus, või kui neid andmeid töödeldakse sellise isiku vastutusel, või kui neid andmeid töötleb mõni teine isik, kellel on liidu või liikmesriigi õiguse või pädevate riiklike asutuste kehtestatud eeskirjade alusel samuti saladuse hoidmise kohustus.

62

Kui liidu seadusandja võttis vastu selle määruse artikli 9 lõike 3, mis viitab just sama artikli lõike 2 punktile h, määratles ta eriomased kaitsemeetmed, mida ta soovis sellise töötlemise eest vastutavatele isikutele kehtestada ja mis seisnevad selles, et see töötlemine on lubatud ainult isikutele, kellel on saladuse hoidmise kohustus vastavalt nimetatud lõikes 3 täpsustatud tingimustele. Seega ei ole viimati nimetatud sätte sõnastusele vaja lisada nõudeid, mida seal ei ole mainitud.

63

Sellest järeldub – nagu sisuliselt märkis ka kohtujurist oma ettepaneku punktis 43 –, et isikuandmete kaitse üldmääruse artikli 9 lõige 3 ei saa olla õiguslik alus meetmele, millega tagatakse, et andmesubjekti ühelgi kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta.

64

Siiski tuleb hinnata, kas nõuet tagada, et mitte ühelgi andmesubjekti kolleegil ei oleks võimalik tutvuda andetega andmesubjekti tervisliku seisundi kohta, saab isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h alusel kohaldada terviseandmete töötlemise eest vastutava töötleja suhtes selle määruse mõne muu sätte alusel.

65

Sellega seoses tuleb täpsustada, et liikmesriikide ainus võimalus lisada selline nõue kõnealuse määruse artikli 9 lõigetes 2 ja 3 sätestatud nõuetele seisneb liikmesriikidele selle artikli lõikes 4 sõnaselgelt antud võimaluses „säilitada või kehtestada täiendavad tingimused, sealhulgas piirangud seoses […] terviseandmete töötlemisega“.

66

Need võimalikud täiendavad tingimused ei tulene siiski isikuandmete kaitse üldmääruse sätetest endist, vaid sellisel juhul tulenevad need sedalaadi töötlemist reguleerivatest riigisisestest õigusnormidest, mille puhul see määrus jätab liikmesriikidele sõnaselgelt kaalutlusruumi (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punktid 51 ja 78).

67

Lisaks tuleb rõhutada, et liikmesriik, kes kavatseb kasutada nimetatud määruse artikli 9 lõikes 4 antud võimalust, peab vastavalt proportsionaalsuse põhimõttele tagama, et praktilised tagajärjed, eelkõige korralduslikud, majanduslikud ja meditsiinilised, mis tulenevad täiendavatest nõuetest, mille järgimist liikmesriik soovib nõuda, ei oleks ülemäärased vastutavatele töötlejatele, kes ei pruugi olla nende nõuete täitmiseks piisavalt suured või omada selleks piisavalt tehnilisi või inimressursse. Need ei tohiks nimelt kahjustada sama määruse artikli 9 lõike 2 punktis h sõnaselgelt ette nähtud ja selle artikli lõikes 3 piiritletud töötlemise loa soovitavat toimet.

68

Lõpuks tuleb rõhutada, et vastavalt isikuandmete kaitse üldmääruse artikli 32 lõike 1 punktidele a ja b, mis täpsustavad selle määruse artikli 5 lõike 1 punktis f sätestatud usaldusväärsuse ja konfidentsiaalsuse põhimõtet, on iga vastutav töötleja kohustatud rakendama ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, eelkõige selliste andmete pseudonümiseerimist ja krüpteerimist, ning meetmeid, mis võimaldavad tagada isikuandmeid töötlevate süsteemide ja teenuste kestva konfidentsiaalsuse ja tervikluse. Selle kohustuse täitmise praktilise korra kindlaksmääramisel peab vastutav töötleja vastavalt artikli 32 lõikele 1 võtma arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele.

69

Eelotsusetaotluse esitanud kohtu ülesanne on siiski hinnata, kas kõik tehnilised ja korralduslikud meetmed, mida MDK Nordrhein käesoleval juhul rakendas, on kooskõlas isikuandmete kaitse üldmääruse artikli 32 lõike 1 punktide a ja b nõuetega.

70

Teisele küsimusele tuleb seega vastata, et isikuandmete kaitse üldmääruse artikli 9 lõiget 3 tuleb tõlgendada nii, et selle määruse artikli 9 lõike 2 punkti h alusel terviseandmete töötlemise eest vastutav töötleja ei ole kohustatud tagama, et ühelgi andmesubjekti kolleegil ei ole võimalik tutvuda andmetega andmesubjekti tervisliku seisundi kohta. Samas võib selline kohustus niisuguse töötlemise eest vastutaval isikul lasuda kas liikmesriigi poolt määruse artikli 9 lõike 4 alusel vastu võetud normide alusel või sama määruse artikli 5 lõike 1 punktis f sätestatud ja artikli 32 lõike 1 punktides a ja b konkretiseeritud tervikluse ja konfidentsiaalsuse põhimõtete alusel.

71

Kolmanda küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h ja artikli 6 lõiget 1 tuleb tõlgendada nii, et esimesena nimetatud sättel põhinev terviseandmete töötlemine peab selleks, et see oleks seaduslik, vastama nii sellest sättest tulenevatele nõuetele kui ka täitma vähemalt ühte artikli 6 lõikes 1 sätestatud seaduslikkuse tingimustest.

72

Sellega seoses tuleb meelde tuletada, et isikuandmete kaitse üldmääruse artiklid 5, 6 ja 9 asuvad selle määruse II peatükis „Põhimõtted“ ning käsitlevad vastavalt isikuandmete töötlemise põhimõtteid, isikuandmete töötlemise seaduslikkust ja isikuandmete eriliikide töötlemist.

73

Veel tuleb märkida, et isikuandmete kaitse üldmääruse põhjenduses 51 on sõnaselgelt märgitud, et „lisaks“ isikuandmete, mis on „eriti tundlikud“, töötlemise suhtes selle määruse artikli 9 lõigete 2 ja 3 alusel kohaldatavatele „erinõuetele“, mis ei takista liikmesriikidel võtta täiendavaid meetmeid sama artikli lõike 4 alusel, tuleks sellise töötlemise suhtes kohaldada ka kõnealuse „määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses töötlemise seaduslikkuse tingimustega“, nagu need tulenevad sama määruse artiklist 6.

74

Seega on isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu kohaselt „eriti tundlike“ andmete, näiteks terviseandmete töötlemine seaduslik ainult juhul, kui on täidetud vähemalt üks osutatud lõike 1 esimese lõigu punktides a–f sätestatud tingimustest.

75

Nimetatud määruse artikli 6 lõike 1 esimene lõik näeb aga ette ammendava ja piiratud loetelu juhtudest, mil isikuandmete töötlemist saab pidada seaduslikuks. Nõnda peab isikuandmete töötlemine selleks, et seda saaks pidada seaduslikuks, kuuluma mõne selles sättes ette nähtud juhtumi alla (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 90 ja seal viidatud kohtupraktika).

76

Seetõttu on Euroopa Kohus korduvalt otsustanud, et isikuandmete mis tahes töötlemine peab olema kooskõlas isikuandmete kaitse üldmääruse artikli 5 lõikes 1 sätestatud andmetöötluse põhimõtetega ja vastama selle määruse artiklis 6 loetletud töötlemise seaduslikkuse tingimustele (4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast), C‑60/22, EU:C:2023:373, punkt 57 ja seal viidatud kohtupraktika).

77

Lisaks on juba otsustatud, et kuna isikuandmete kaitse üldmääruse artiklite 7–11, mis – nagu ka selle määruse artiklid 5 ja 6 – asuvad selle määruse põhimõtteid käsitlevas II peatükis, eesmärk on täpsustada selle määruse artikli 5 lõike 1 punktist a ja artikli 6 lõikest 1 tulenevate vastutava töötleja kohustuste ulatust, peab isikuandmete töötlemine selleks, et see oleks seaduslik, nähtuvalt Euroopa Kohtu praktikast järgima ka selle peatüki teisi sätteid, mis sisuliselt käsitlevad nõusolekut, delikaatsete isikuandmete eriliikide töötlemist ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete töötlemist (4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast), C‑60/22, EU:C:2023:373, punkt 58 ja seal viidatud kohtupraktika).

78

Sellest järeldub eelkõige, et kuna isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h eesmärk on täpsustada selle määruse artikli 5 lõike 1 punktist a ja artikli 6 lõikest 1 vastutavale töötlejale tulenevate kohustuste ulatust, peab esimesena nimetatud sättel põhinev terviseandmete töötlemine selleks, et see oleks seaduslik, vastama ühtaegu nii sellest sättest tulenevatele nõuetele kui ka kahest viimati nimetatud sättest tulenevatele kohustustele ning eelkõige täitma vähemalt ühe artikli 6 lõikes 1 sätestatud seaduslikkuse tingimusest.

79

Eeltoodut arvestades tuleb kolmandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti h ja artikli 6 lõiget 1 tuleb tõlgendada nii, et esimesena nimetatud sättel põhinev terviseandmete töötlemine peab selleks, et see oleks seaduslik, vastama nii sellest sättest tulenevatele nõuetele kui ka täitma vähemalt ühte artikli 6 lõikes 1 sätestatud seaduslikkuse tingimustest.

80

Neljanda küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes ette nähtud õigus hüvitisele ei täida mitte ainult hüvitamisfunktsiooni, vaid ka heidutavat või karistavat funktsiooni, ning kui see on nii, siis kas seda tuleb vajaduse korral arvesse võtta selle sätte alusel mittevaralise kahju hüvitamiseks väljamõistetava kahjuhüvitise summa kindlaksmääramisel.

81

Tuleb meenutada, et isikuandmete kaitse üldmääruse artikli 82 lõikes 1 on sätestatud, et „[i]gal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest“.

82

Euroopa Kohus tõlgendas seda sätet nii, et pelgalt isikuandmete kaitse üldmääruse rikkumine ei ole piisav, et tekiks õigus kahju hüvitamisele, olles muu hulgas rõhutanud, et „kantud kahju“ või „tekitatud kahju“ olemasolu on üks artikli 82 lõikes 1 ette nähtud hüvitise saamise õiguse tingimustest, nagu ka selle määruse rikkumise esinemine ja põhjuslik seos kahju ja rikkumise vahel, kusjuures need kolm tingimust on kumulatiivsed (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 32 ja 42).

83

Lisaks on Euroopa Kohus otsustanud, et kuna isikuandmete kaitse üldmäärus ei sisalda sätet, mille eesmärk oleks määratleda selle määruse artiklis 82 tagatud hüvitise saamise õiguse alusel makstava kahjuhüvitise hindamist reguleerivad õigusnormid, peavad liikmesriikide kohtud kohaldama liikmesriigi riigisiseseid õigusnorme, mis käsitlevad rahalise hüvitamise ulatust, tingimusel, et järgitakse liidu õiguses kehtivaid võrdväärsuse ja tõhususe põhimõtteid, nagu need on määratletud Euroopa Kohtu väljakujunenud praktikas (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 53, 54 ja 59).

84

Selles kontekstis ja võttes arvesse isikuandmete kaitse üldmääruse põhjenduse 146 kuuendat lauset, mille kohaselt on selle õigusakti eesmärk tagada, et andmesubjektid saavad „täieliku ja tõhusa hüvitise kahju eest, mida nad on kandnud“, on Euroopa Kohus märkinud, et võttes arvesse selle määruse artiklis 82 ette nähtud hüvitise saamise õiguse hüvitamisfunktsiooni, tuleb sellele sättele tuginevat rahalist hüvitist pidada „täielikuks ja tõhusaks“, kui see võimaldab täielikult hüvitada selle määruse rikkumisega tegelikult tekitatud kahju, ilma et täieliku hüvitamise jaoks oleks vaja välja mõista karistuslikku kahjuhüvitist (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 57 ja 58).

85

Sellega seoses tuleb rõhutada, et isikuandmete kaitse üldmääruse artiklil 82 ei ole mitte karistuslik, vaid hüvitamisfunktsioon, erinevalt teistest selle määruse VIII peatükis asuvatest sätetest, nimelt artiklitest 83 ja 84, millel omakorda on peamiselt karistuslik eesmärk, kuna need võimaldavad vastavalt määrata trahve ja muid sanktsioone. Artiklis 82 sätestatud õigusnormide suhestatus artiklites 83 ja 84 sätestatutega näitab, et need kaks sätete kategooriat on erinevad, aga ka üksteist täiendavad, kuivõrd need motiveerivad isikuandmete kaitse üldmäärust järgima, kusjuures tuleb märkida, et igaühe õigus nõuda kahju hüvitamist tugevdab selles määruses ette nähtud kaitsenormide toimivust ja võib pärssida õigusvastase tegevuse kordumist (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 38 ja 40).

86

Kuna isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ette nähtud õigusel hüvitisele ei ole sellist heidutavat ega ka mitte karistavat funktsiooni, nagu eelotsusetaotluse esitanud kohus seda kirjeldas, ei saa see, kui raske oli kõnealuse määruse rikkumine, mis kahju põhjustas, mõjutada selle sätte alusel välja mõistetava kahjuhüvitise suurust, isegi kui tegemist ei ole mitte varalise, vaid mittevaralise kahjuga. Sellest järeldub, et määratav summa ei tohi olla nii suur, et see ületab kahju täieliku hüvitamise.

87

Järelikult tuleb neljandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selles sättes ette nähtud õigus hüvitisele täidab hüvitamisfunktsiooni, kuna sellel sättel põhinev rahaline hüvitis peab võimaldama täielikult hüvitada kõnealuse määruse rikkumisega tegelikult tekitatud kahju, kuid sellel ei ole heidutavat ega karistavat funktsiooni.

88

Teabest, mille eelotsusetaotluse esitanud kohus edastas vastuseks talle Euroopa Kohtu kodukorra artikli 101 alusel saadetud selgituste nõudele, nähtub, et viienda küsimusega soovitakse esiteks kindlaks teha, kas süü olemasolu ja/või selle tõendamine on tingimused, mis peavad olema täidetud, et saaks kohaldada vastutava töötleja või volitatud töötleja vastutust, ja teiseks, millist mõju võib vastutava töötleja või volitatud töötleja süü suurus avaldada kantud mittevaralise kahju hüvitamiseks makstava kahjuhüvitise konkreetsele hindamisele.

89

Võttes arvesse eelotsusetaotluse esitanud kohtu vastust, tuleb viiendat küsimust mõista nii, et sellega soovitakse sisuliselt teada esiteks seda, kas isikuandmete kaitse üldmääruse artiklit 82 tuleb tõlgendada nii, et vastutava töötleja vastutuse tekkimine sõltub vastutava töötleja süü olemasolust, ja teiseks seda, kas nimetatud sätte alusel mittevaralise kahju hüvitamiseks väljamõistetava kahjuhüvitise summa kindlaksmääramisel tuleb arvesse võtta selle süü suurust.

90

Selle küsimuse esimese osa kohta tuleb märkida, et nagu on meenutatud käesoleva kohtuotsuse punktis 82, seab isikuandmete kaitse üldmääruse artikli 82 lõige 1 hüvitise saamise õiguse sõltuvusse kolme elemendi samaaegsest esinemisest: selle määruse rikkumise olemasolu, tekitatud kahju olemasolu ning põhjusliku seose olemasolu rikkumise ja kahju vahel.

91

Isikuandmete kaitse üldmääruse artikli 82 lõikes 2 on omakorda sätestatud, et isikuandmete töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse seda määrust. Selle sätte sõnastus teatavates keeleversioonides, eelkõige käesoleva kohtuasja menetluskeeleks olevas saksa keeles, ei võimalda siiski üheselt kindlaks teha, kas kõnealune rikkumine peab vastutava töötleja vastutuse tekkimiseks olema talle omistatav.

92

Sellega seoses ilmneb isikuandmete kaitse üldmääruse artikli 82 lõike 2 esimese lause eri keeleversioonide analüüsist, et eeldatakse, et vastutav töötleja on osalenud töötlemises, mis kujutab endast selle määruse asjaomast rikkumist. Nimelt, kui saksa‑, prantsus‑ või soomekeelne versioon on sõnastatud lahtiselt, siis hulk teisi keeleversioone on täpsemad ja kasutavad näitavat asesõna sõna „töötlemine“ kolmanda esinemise või kolmanda viite puhul sellele sõnale, mistõttu on selge, et see kolmas esinemine või viide tähistab sama toimingut kui selle sõna teine esinemine. Nii on see hispaania-, eesti-, kreeka-, itaalia- ja rumeeniakeelses versioonis.

93

Isikuandmete kaitse üldmääruse artikli 82 lõikes 3 on sellega seoses täpsustatud, et vastutav töötleja vabastatakse artikli 82 lõikest 2 tulenevast vastutusest, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest.

94

Isikuandmete kaitse üldmääruse artikli 82 erinevate sätete koostoime analüüsist nähtub seega, et selles artiklis on ette nähtud süüline vastutus, milles tõendamiskoormis ei lasu mitte isikul, kellele on kahju tekitatud, vaid vastutaval töötlejal.

95

Niisugust tõlgendust kinnitavad ka artikli 82 kontekst ja eesmärgid, mida liidu seadusandja isikuandmete kaitse üldmäärusega taotleb.

96

Esiteks nähtub sellega seoses isikuandmete kaitse üldmääruse artiklite 24 ja 32 sõnastusest, et need sätted piirduvad sellega, et kohustavad vastutavat töötlejat võtma tehnilisi ja korralduslikke meetmeid, et vältida nii palju kui võimalik isikuandmetega seotud rikkumisi. Selliste meetmete asjakohasust tuleb hinnata konkreetselt, analüüsides, kas vastutav töötleja on nende meetmete rakendamisel võtnud arvesse kõnealustes artiklites mainitud erinevaid kriteeriume ja andmekaitsevajadusi, mis on konkreetselt seotud asjaomase töötlemisega, ning sellest tulenevaid riske (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 30).

97

Selline kohustus seataks aga kahtluse alla, kui vastutav töötleja oleks seejärel kohustatud hüvitama kogu kahju, mis on tekitatud isikuandmete kaitse üldmääruse vastaselt toimunud töötlemisega.

98

Mis teiseks puudutab isikuandmete kaitse üldmääruse eesmärke, siis nähtub selle määruse põhjendustest 4–8, et määruse eesmärk on saavutada tasakaal isikuandmete vastutavate töötlejate huvide ja nende isikute õiguste vahel, kelle andmeid töödeldakse. Eesmärk on võimaldada digimajanduse arengut, tagades samal ajal isikute kõrgetasemelise kaitse. Seega tuleb leida tasakaal vastutava töötleja huvide ja nende isikute huvide vahel, kelle isikuandmeid töödeldakse. Süülise vastutuse mehhanism, millega kaasneb tõendamiskoormise ümberpööramine, nagu on ette nähtud isikuandmete kaitse üldmääruse artiklis 82, võimaldab aga just sellise tasakaalu tagada.

99

Ühelt poolt – nagu sisuliselt märkis kohtujurist oma ettepaneku punktis 93 –, ei oleks sellise kõrgetasemelise kaitse eesmärgiga kooskõlas otsustada niisuguse tõlgenduse kasuks, mille kohaselt andmesubjektid, kes on kandnud kahju isikuandmete kaitse üldmääruse rikkumise tõttu, ei peaks selle määruse artiklil 82 põhineva kahju hüvitamise hagi raames tõendama mitte ainult rikkumise olemasolu ja sellest neile tekkinud kahju, vaid ka vastutava töötleja süüd, st tahtlust või hooletust, või isegi süü suurust, olgugi et artiklis 82 ei ole selliseid nõudeid sätestatud (vt analoogia alusel 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 56).

100

Teisest küljest ei tagaks mittesüülise vastutuse kord seadusandja poolt nähtuvalt isikuandmete kaitse üldmääruse põhjendusest 7 taotletava õiguskindluse eesmärgi saavutamist.

101

Viienda küsimuse teise osa kohta, mis puudutab isikuandmete kaitse üldmääruse artikli 82 alusel maksmisele kuuluva võimaliku kahjuhüvitise summa kindlaksmääramist, tuleb meenutada, et nagu on rõhutatud käesoleva kohtuotsuse punktis 83, peavad liikmesriikide kohtud kohaldama liikmesriigi‑siseseid õigusnorme, mis käsitlevad rahalise hüvitamise ulatust, järgides liidu õiguses kehtivaid võrdväärsuse ja tõhususe põhimõtteid, nagu need on määratletud Euroopa Kohtu väljakujunenud praktikas.

102

Olgu täpsustatud, et isikuandmete kaitse üldmääruse artikli 82 hüvitamisfunktsiooni arvestades ei ole selles sättes nõutud, et selle alusel mittevaralise kahju hüvitamiseks väljamõistetava kahjuhüvitise summa kindlaksmääramisel võetaks arvesse seda, kui raske oli selle määruse rikkumine, mille vastutava töötleja eeldatavalt toime pani, vaid nõutud on, et see summa määrataks kindlaks nii, et see hüvitaks täielikult selle määruse rikkumisega tegelikult tekitatud kahju, nagu nähtub käesoleva kohtuotsuse punktidest 84 ja 87.

103

Järelikult tuleb viiendale küsimusele vastata, et isikuandmete kaitse üldmääruse artiklit 82 tuleb tõlgendada nii, et esiteks on vastutava töötleja vastutuse eeldus tema süü, mida eeldatakse, välja arvatud juhul, kui ta tõendab, et kahju põhjustanud tegu ei ole talle omistatav, ning teiseks ei nõua nimetatud artikkel 82, et selle sätte alusel mittevaralise kahju hüvitamiseks välja mõistetava kahjuhüvitise summa kindlaksmääramisel võetaks arvesse süü suurust.

104

Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (kolmas koda) otsustab: