Asia C-21/23

ND

vastaan

DR

(Ennakkoratkaisupyyntö – Bundesgerichtshof)

Unionin tuomioistuimen tuomio (suuri jaosto) 4.10.2024

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – VIII luku – Oikeussuojakeinot – Apteekkarin harjoittama lääkkeiden myynti internetin myyntialustalla – Kanne, jonka kyseisen apteekkarin kilpailija on nostanut siviilituomioistuimissa sopimattomia kaupallisia menettelyjä koskevan kiellon perusteella sen vuoksi, että kyseinen apteekkari ei ole noudattanut mainitussa asetuksessa säädettyjä velvoitteita – Asiavaltuus – 4 artiklan 15 alakohta ja 9 artiklan 1 ja 2 kohta – Direktiivi 95/46/EY – 8 artiklan 1 ja 2 kohta – Terveystietojen käsite – Edellytykset tällaisten tietojen käsittelylle

1. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeussuojakeinot – Ei-tyhjentävä luonne – Kansallinen säännöstö, jonka nojalla asetuksessa säädettyjen velvollisuuksien oletetun loukkaajan kilpailijoilla on sopimattomien kaupallisten menettelyjen kiellon perusteella oikeus nostaa siviilituomioistuimissa kanne – Sallittavuus

   (Euroopan parlamentin ja neuvoston asetuksen 2016/679 77–80 artikla)

   (ks. 53–57, 60 ja 62–73 kohta sekä tuomiolauselman 1 kohta)

2. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Terveystietojen käsite – Lääkkeitä verkkoalustalla myyvän apteekinpitäjän asiakkaita koskevat tiedot, jotka annetaan näitä lääkkeitä tilattaessa – Asiakkaiden nimeä ja toimitusosoitetta koskevat tiedot sekä tilattujen lääkkeiden yksilöimiseksi tarvittavat tiedot – Käsitteen alaan kuuluminen – Lääkkeiden, jotka eivät edellytä lääkemääräystä, myynti – Vaikutuksettomuus

   (Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 1 ja 15 alakohta sekä 9 artiklan 1 kohta; Euroopan parlamentin ja neuvoston direktiivin 95/46 8 artiklan 1 kohta)

   (ks. 84 ja 88–91 kohta sekä tuomiolauselman 2 kohta)

3. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Erityisiä henkilötietoryhmiä koskeva käsittely – Kielto – Poikkeukset

   (Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 53 perustelukappale sekä 9 artiklan 1 ja 2 kohta; Euroopan parlamentin ja neuvoston direktiivin 95/46 8 artiklan 1 ja 2 kohta)

   (ks. 86, 87, 92 ja 93 kohta)

Tiivistelmä

Unionin tuomioistuimen suuri jaosto, jolle Bundesgerichtshof (liittovaltion ylin tuomioistuin, Saksa) on esittänyt ennakkoratkaisupyynnön, lausuu tietosuojaa koskevan oikeussuojakeinojen järjestelmän ( 1 ) luonteesta ja ulottuvuudesta sekä terveystietojen käsitteestä ( 2 ).

ND ja DR, jotka ovat kaksi luonnollista henkilöä, pitävät kumpikin apteekkiliikettä Saksassa. ND on myynyt vuodesta 2017 lähtien Amazon-Marketplace -verkkoalustalla lääkkeitä, joita saadaan myydä vain apteekeissa. Kun ND:n asiakkaat tilaavat näitä lääkkeitä verkossa, heidän on syötettävä verkkoalustalle mm. nimensä, toimitusosoite ja kyseisten lääkkeiden yksilöimiseksi tarvittavat tiedot.

DR vetosi sopimattoman kilpailun estämistä koskevaan Saksan oikeuteen ( 3 ) ja nosti ND:tä vastaan kieltokanteen kansallisissa siviilituomioistuimessa. DR väitti, että ND:n harjoittama lääkkeiden markkinointi on sopimatonta, koska laissa säädettyä vaatimusta, jonka mukaan asiakkaalta on saatava etukäteen suostumus hänen terveystietojensa käsittelyyn, ei ole noudatettu.

Sen jälkeen, kun alemmat oikeusasteet olivat hyväksyneet kanteen, ND teki Revision-valituksen ennakkoratkaisua pyytäneelle tuomioistuimelle, joka puolestaan katsoi tarpeelliseksi esittää unionin tuomioistuimelle ennakkoratkaisupyynnön.

Unionin tuomioistuin toteaa tuomiossaan, että yleisellä tietosuoja-asetuksella käyttöön otettu oikeussuojakeinojen järjestelmä ei ole tyhjentävä, ja katsoo, ettei kyseinen asetus ole esteenä sille, että jäsenvaltiot säätävät kansallisessa oikeudessa kyseisen asetuksen aineellisten säännösten oletetun loukkaajan kilpailijoiden mahdollisuudesta riitauttaa rikkominen tuomioistuimessa sopimattomana kaupallisena menettelynä. Lisäksi se täsmentää terveystietojen käsitteen rajoja.

Unionin tuomioistuimen arviointi asiasta

Unionin tuomioistuin toteaa ensinnäkin, että vaikka yleisen tietosuoja-asetuksen VIII luvussa ei säädetä nimenomaisesti avoimesta lausekkeesta, jonka nojalla jäsenvaltiot voisivat nimenomaisesti säätää tällaisesta kilpailijoiden mahdollisuudesta nostaa kanne, kyseisen VIII luvun säännösten sanamuodosta ja asiayhteydestä ilmenee kuitenkin, ettei unionin lainsäätäjä ole halunnut sulkea sitä pois. Yleisen tietosuoja-asetuksen tavoitteet vahvistavat tämän tulkinnan.

Yhtäältä nimittäin kieltokanne, jonka kilpailija nostaa sopimattomien kaupallisten menettelyjen kiellon perusteella yritystä vastaan yleisen tietosuoja-asetuksen aineellisten säännösten väitetyn rikkomisen vuoksi, ei millään tavoin vahingoita kyseisen asetuksen VIII luvussa säädettyä oikeussuojakeinojen järjestelmää eikä tavoitetta varmistaa luonnollisten henkilöiden yhdenmukainen suojelu koko unionissa ja välttää se, että eroavuudet haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla.

Unionin tuomioistuin täsmentää tässä yhteydessä, että tällainen kanne voi tosin perustua, vaikkakin liitännäisesti, yleisen tietosuoja-asetuksen niiden samojen säännösten rikkomiseen, joihin rekisteröityjen tai näitä henkilöitä edustavan yhdistyksen valitus tai kanne voisi perustua ( 4 ). Näistä yleisessä tietosuoja-asetuksessa säädetyistä oikeussuojakeinoista poiketen kilpailijan nostamalla kieltokanteella ei kuitenkaan tavoitella sellaisenaan rekisteröityjen perusoikeuksien ja -vapauksien suojelua heidän henkilötietojensa käsittelyssä, vaan sillä pyritään varmistamaan reilu kilpailu erityisesti kyseisen kilpailijan edun mukaisesti.

Lisäksi kilpailijan mahdollisuus nostaa tällainen kanne siviilituomioistuimissa sopimattomien kaupallisten menettelyjen kiellon perusteella täydentää yleisessä tietosuoja-asetuksessa säädettyjä oikeussuojakeinoja, jotka säilyvät kaikilta osin ja joita rekisteröidyt ja tarvittaessa heitä edustavat järjestöt voivat aina käyttää. Erityisesti on niin, että tietosuojalainsäädännön ja kilpailuoikeuden alaan kuuluvien oikeussuojakeinojen samanaikainen olemassaolo ei vaaranna yleisen tietosuoja-asetuksen yhdenmukaista soveltamista.

Sillä, että yleisen tietosuoja-asetuksen aineellisiin säännöksiin voivat vedota laajemmin muutkin kuin vain rekisteröidyt sekä elimet, järjestöt ja yhdistykset, ei aiheuteta haittaa sen tavoitteen saavuttamiselle, joka koskee näiden henkilöiden yhdenmukaista suojelua kaikkialla unionissa ja sen välttämistä, että eroavuudet haittaisivat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla. On nimittäin niin, että vaikka jäsenvaltiot eivät säätäisikään tällaisesta mahdollisuudesta, tästä ei kuitenkaan seuraisi, että tietosuojan täytäntöönpano olisi hajanaista unionin alueella, koska yleisen tietosuoja-asetuksen aineellisia säännöksiä sovelletaan samalla tavalla kaikkiin rekisterinpitäjiin ja niiden noudattaminen varmistetaan kyseisessä asetuksessa säädetyillä oikeussuojakeinoilla.

Toisaalta tavoitteesta varmistaa rekisteröityjen tehokas suojelu heidän henkilötietojensa käsittelyssä ja yleisen tietosuoja-asetuksen aineellisten säännösten tehokkaasta vaikutuksesta on todettava, että vaikka henkilötietojen suojan oletetun loukkaajan kilpailijan nostamalla kieltokanteella ei pyritä tähän tavoitteeseen vaan sillä pyritään vilpittömän kilpailun varmistamiseen, on kuitenkin niin, että se edesauttaa kiistatta näiden säännösten noudattamista ja siten rekisteröityjen oikeuksien vahvistamista ja korkeatasoisen suojan varmistamista. Käsiteltävässä asiassa tällainen kilpailijan nostama kieltokanne voi kuluttajansuojayhdistysten nostaman kieltokanteen tavoin osoittautua erityisen tehokkaaksi tällaisen suojelun varmistamiseksi, siltä osin kuin sen avulla voidaan estää suuri joukko rekisteröityjen oikeuksien loukkaamisia henkilötietojen käsittelyssä ( 5 ).

Unionin tuomioistuin toteaa näin ollen, että yleisen tietosuoja-asetuksen oikeussuojakeinojen järjestelmää koskevia säännöksiä on tulkittava siten, että ne eivät ole esteenä kansalliselle säännöstölle, jonka mukaan kyseisen asetuksen valvonnasta ja täytäntöönpanosta vastaavien valvontaviranomaisten toimintavallan ja rekisteröityjen käytettävissä olevien oikeussuojakeinojen ohella henkilötietojen suojan oletetun loukkaajan kilpailijoilla on sopimattomien kaupallisten menettelyjen kiellon perusteella oikeus nostaa siviilituomioistuimessa kanne rikkojaa vastaan kyseisen asetuksen rikkomisten vuoksi.

Toiseksi unionin tuomioistuin toteaa terveystietojen käsitteestä, että tämän käsitteen alaan kuuluvat tiedot, jotka asiakas syöttää verkkoalustalle tilatessaan lääkkeitä, joita saadaan myydä vain apteekeissa. Tällaisista tiedoista selviää näet tietojen yhdistämisen tai älyllisen päättelyn avulla rekisteröidyn terveydentilaa koskevia tietoja ( 6 ), siltä osin kuin tilaus saa aikaan yhteyden lääkkeen, sen lääkinnällisen tarkoituksen tai käyttötarkoituksen ja sen luonnollisen henkilön välille, joka on tunnistettu tai tunnistettavissa kyseisen henkilön nimen tai toimitusosoitteen kaltaisten seikkojen perusteella.

Lisäksi unionin tuomioistuin katsoo, että tältä osin merkitystä ei ole sillä, että tilattujen lääkkeiden myynti ei edellytä lääkemääräystä ja että ne on tarkoitettu muulle henkilölle kuin tilauksen tekevälle asiakkaalle. Tästä seuraa, että kun verkkoalustan käyttäjä tilatessaan lääkkeitä, joita saadaan myydä vain apteekeissa ja jotka eivät edellytä lääkemääräystä, luovuttaa henkilötietoja, apteekin pitäjän, joka myy näitä lääkkeitä kyseisen verkkoalustan välityksellä, suorittamaa kyseisten tietojen käsittelyä on pidettävä direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuna terveystietojen käsittelynä ( 7 ), koska kyseisestä henkilötietojen käsittelystä voi ilmetä luonnollisen henkilön terveydentilaa koskevia tietoja, riippumatta siitä, koskevatko kyseiset tiedot mainittua käyttäjää tai ketä tahansa muuta henkilöä, jota varten tämä tekee tilauksen ( 8 ).

Tulkinta, joka johtaisi eron tekemiseen kyseessä olevien lääkkeiden tyypin ja sen seikan perusteella, edellyttääkö niiden myynti lääkemääräystä vai ei, ei nimittäin olisi johdonmukainen luonnollisten henkilöiden perusoikeuksien ja -vapauksien, erityisesti heidän yksityisyyttä koskevan oikeutensa, korkeatasoista suojaa koskevan tavoitteen kanssa heidän henkilötietojensa käsittelyssä. Tällainen tulkinta olisi lisäksi ristiriidassa direktiivin 95/46 8 artiklan 1 kohdan ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan tarkoituksen kanssa, jona on varmistaa parempi suoja sellaista käsittelyä vastaan, joka sen kohteena olevien tietojen erityisen arkaluontoisuuden vuoksi voi merkitä erityisen vakavaa puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin ( 9 ). Näin ollen tiedot, jotka apteekin pitäjän asiakkaat syöttävät verkkoalustalle tilatessaan verkossa lääkkeitä, joita saadaan myydä vain apteekeissa mutta jotka eivät edellytä lääkemääräystä, ovat terveystietoja, vaikka nämä lääkkeet on tarkoitettu näille asiakkaille vain tietyllä todennäköisyydellä mutta ei ehdottomalla varmuudella.

Unionin tuomioistuin toteaa lisäksi, että käsiteltävässä asiassa ei myöskään voida sulkea pois sitä, että vaikka tällaiset lääkkeet olisi tarkoitettu muille henkilöille kuin kyseisille asiakkaille, nämä henkilöt on mahdollista tunnistaa ja heidän terveydentilastaan voidaan tehdä johtopäätöksiä. Näin voisi olla esimerkiksi silloin, kun kyseisiä lääkkeitä ei toimiteta ne tilanneen asiakkaan kotiin vaan toisen henkilön kotiin, tai kun asiakas on toimitusosoitteesta riippumatta viitannut tilauksessaan tai sitä koskevassa viestinnässään toiseen tunnistettavissa olevaan henkilöön, kuten perheenjäseneensä.

Lopuksi unionin tuomioistuin toteaa, että se, että kyseiset tiedot ovat terveystietoja, ei estä sitä, että niitä voidaan käsitellä erityisesti terveydenhuoltopalvelujen ja -järjestelmien hallinnoinnin yhteydessä, jos jokin tätä koskevista edellytyksistä täyttyy ( 10 ). Yhtäältä näin voi olla erityisesti silloin, kun rekisteröity antaa nimenomaisen suostumuksensa yhteen tai useampaan kyseisten henkilötietojen käsittelyyn, jonka erityiset ominaisuudet ja tarkoitukset on ilmoitettu hänelle täsmällisesti, kattavasti ja helposti ymmärrettävällä tavalla. Toisaalta tällainen käsittely voi olla sallittua, jos käsittely on tarpeen terveyspalvelujen tarjoamiseksi unionin oikeuden, jäsenvaltion lainsäädännön tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti.

( 1 ) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä tietosuoja-asetus) VIII luku.

( 2 ) Ks. yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EUVL 1995, L 281, s. 31) 8 artiklan 1 kohta ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohta.

( 3 ) Sopimattoman kilpailun estämisestä 3.7.2004 annettu laki (Gesetz gegen den unlauteren Wettbewerb (BGBl. 2004 I, s. 1414), sellaisena kuin sitä sovelletaan pääasiassa.

( 4 ) Yleisen tietosuoja-asetuksen 77–80 artikla.

( 5 ) Ks. vastaavasti tuomio 28.4.2022, Meta Platforms Ireland (C-319/20, EU:C:2022:322, 74 ja 75 kohta).

( 6 ) Yleisen tietosuoja-asetuksen 4 artiklan 1 alakohta.

( 7 ) Direktiivin 95/46 8 artiklan 1 kohta ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohta.

( 8 ) Ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C-252/21, EU:C:2023:537, 73 kohta).

( 9 ) Ks. tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, 126 kohta oikeuskäytäntöviittauksineen).

( 10 ) Edellytykset mainitaan direktiivin 95/46 8 artiklan 2 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa.