MIŠLJENJE NEZAVISNOG ODVJETNIKA
MANUELA CAMPOSA SÁNCHEZ‑BORDONE
od 25. svibnja 2023. ( 1 )
Predmet C‑667/21
ZQ
protiv
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(zahtjev za prethodnu odluku koji je uputio Bundesarbeitsgericht (Savezni radni sud, Njemačka))
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Osobni podaci koji se odnose na zdravlje – Procjena zaposlenikove radne sposobnosti – Medicinska služba za nadzor fonda zdravstvenog osiguranja – Obrada osobnih podataka koji se odnose na zdravlje zaposlenikâ – Pravo na naknadu štete – Utjecaj stupnja krivnje”
1. |
Zahtjev za prethodnu odluku odnosi se na tumačenje Uredbe (EU) 2016/679 ( 2 ) u pogledu (a) obrade osobnih podataka koji se odnose na zdravlje i (b) naknade štete uzrokovane (navodnom) povredom samog OUZP‑a. |
2. |
Iako je Sud već odlučivao o odredbama OUZP‑a ( 3 ) koje utječu na te aspekte, o pitanjima koja se upućuju u ovom zahtjevu za prethodnu odluku, osim o četvrtome ( 4 ), još ne postoji odluka. |
I. Pravni okvir
A. Pravo Unije: OUZP
3. |
Za ovaj su spor relevantne uvodne izjave 4., 10., 35., 51. do 54. i 146. iz preambule OUZP‑a. |
4. |
U skladu s člankom 9. („Obrada posebnih kategorija osobnih podataka”): „1. Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca. 2. Stavak 1. ne primjenjuje se ako je ispunjeno jedno od sljedećeg: […]
[…]
[…] 3. Osobni podaci iz stavka 1. mogu se obrađivati u svrhe navedene u stavku 2. točki (h) kada te podatke obrađuje stručnjak ili se podaci obrađuju pod odgovornošću stručnjaka koji podliježe obvezi čuvanja profesionalne tajne sukladno pravu Unije ili pravu države članice ili pravilima koja su odredila nadležna nacionalna tijela ili druga osoba koja također podliježe obvezi čuvanja tajne sukladno pravu Unije ili pravu države članice ili pravilima koja su utvrdila nadležna nacionalna tijela. 4. Države članice mogu zadržati ili uvesti dodatne uvjete, uključujući ograničenja s obzirom na obradu genetskih podataka, biometrijskih podataka ili podataka koji se odnose na zdravlje.” |
5. |
Članak 82. („Pravo na naknadu štete i odgovornost”) glasi: „1. Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu. […] 3. Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu. […].” |
B. Nacionalno pravo Sozialgesetzbuch Fünftes Buch ( 5 )
6. |
U skladu s njegovim člankom 278. stavkom 1. prvom rečenicom, medicinska služba ( 6 ) fondova zdravstvenog osiguranja ( 7 ) osniva se u svakoj njemačkoj saveznoj zemlji kao subjekt javnog prava. Jedna od zadaća koja joj je zakonom dodijeljena sastavljanje je stručnog mišljenja radi uklanjanja dvojbi u pogledu radne nesposobnosti osiguranikâ. |
7. |
U skladu s člankom 275. stavkom 1. prvom rečenicom točkom 3. podtočkom (b), KV‑ovi u određenim slučajevima, kad je riječ o osiguranikovoj radnoj nesposobnosti koju je potvrdio liječnik, imaju obvezu tražiti od odgovarajućeg MDK‑a stručno mišljenje radi uklanjanja dvojbi u pogledu njegove radne nesposobnosti. |
II. Činjenice, spor i prethodna pitanja
8. |
Osoba ZQ je u MDK‑u Nordrhein (Njemačka) bila zaposlena od 1991. u informatičkom odjelu kao administrator sustava i zaposlenik u službi za korisnike. |
9. |
MDK sastavlja stručna mišljenja o radnoj nesposobnosti osiguranikâ KV‑ova. Među ostalim, stručna mišljenja o zdravstvenom stanju samih zaposlenika MDK‑a. |
10. |
Obrada podataka obavlja se, među ostalim, na temelju sljedećih pravila iz internog pravilnika službe ( 8 ):
|
11. |
Nakon što se spis pohrani, zaposlenici „Informatičkog odjela” organizacijske jedinice „Posebni slučajevi”, koji imaju zakonsku obvezu čuvanja tajne, mogu pristupiti sastavljenim stručnim mišljenjima na temelju naloga koji se odnosi na MDK‑ove zaposlenike. |
12. |
Osoba ZQ je od 22. studenoga 2017. neprekidno bila nesposobna za rad zbog bolesti. |
13. |
Osoba ZQ je od 24. svibnja 2018. ( 10 ) novčano davanje za slučaj bolesti primala od KV‑a, čiji je osiguranik. Kako bi otklonio dvojbe u pogledu radne nesposobnosti osobe ZQ, KV je 6. lipnja 2018. od MDK‑a zatražio da sastavi stručno mišljenje. |
14. |
MDK je nalog prihvatio te je on dodijeljen jedinici „Posebni slučajevi”. Liječnica iz te jedinice, MDK‑ova zaposlenica, sastavila je 22. lipnja 2018. stručno mišljenje koje sadržava dijagnozu osobe ZQ. Kako bi sastavila to stručno mišljenje, liječnica je telefonski razgovarala s obiteljskim liječnikom osobe ZQ te je od njega pribavila potrebne informacije. |
15. |
MDK je stručno mišljenje pohranio u digitalnom obliku. |
16. |
Osoba ZQ preko svojeg je obiteljskog liječnika saznala za poziv MDK‑ove liječnice. |
17. |
Osoba ZQ stupila je 1. kolovoza 2018. u kontakt s kolegicom iz MDK‑ova informatičkog odjela te ju je pitala je li pohranjeno stručno mišljenje koje se odnosi na nju. Nakon što je pretražila arhiv, kolegica je odgovorila potvrdno. Na zahtjev osobe ZQ fotografirala je mišljenje i poslala joj fotografije. |
18. |
Osoba ZQ neuspješno je 15. kolovoza 2018. zahtijevala od MDK‑a da joj plati naknadu štete u iznosu od 20000 eura u skladu s člankom 82. OUZP‑a. |
19. |
Osoba ZQ 17. listopada 2018. podnijela je tužbu Arbeitsgerichtu Düsseldorf (Radni sud u Düsseldorfu, Njemačka). U tom je postupku usto zahtijevala naknadu štete u visini iznosa neisplaćenih plaća ( 11 ). |
20. |
Tijekom sudskog postupka MDK je prekinuo radni odnos s osobom ZQ. |
21. |
Zahtjevi osobe ZQ odbijeni su u prvostupanjskom i u žalbenom postupku ( 12 ). |
22. |
Osoba ZQ podnijela je pravni lijek Bundesarbeitsgerichtu (Savezni radni sud, Njemačka), koji je Sudu uputio sljedeća pitanja:
|
III. Postupak pred Sudom
23. |
Tajništvo Suda zaprimilo je zahtjev za prethodnu odluku 8. studenoga 2021. |
24. |
Pisana očitovanja podnijeli su osoba ZQ, MDK, irska i talijanska vlada te Europska komisija. |
25. |
Sud je odlučio da raspravu nije potrebno održati. |
26. |
U skladu s uputom Suda, ovo se mišljenje neće odnositi na četvrto prethodno pitanje ( 13 ). |
IV. Analiza
A. Prvo prethodno pitanje
27. |
Sud koji je uputio zahtjev želi znati zabranjuje li se MDK‑u člankom 9. stavkom 2. točkom (h) OUZP‑a da obrađuje podatke koji se odnose na zdravlje jednog od njegovih zaposlenika kad su oni nužni za procjenu njegove radne sposobnosti. Prema tome, dovodi u pitanje zakonitost obrade zbog subjekta koji obradu obavlja ( 14 ). |
28. |
Člankom 9. OUZP‑a uređuju se posebne kategorije podataka, kao što su oni koji se odnose na zdravlje pojedinca. U njemu se utvrđuje opća zabrana obrade „osjetljivih” podataka (stavak 1.) i taksativno navode okolnosti u kojima se ta opća zabrana ne primjenjuje (stavak 2.). |
29. |
Konkretno, u članku 9. stavku 2. točki (h) OUZP‑a navodi se iznimka (od opće zabrane) koja se odnosi na obradu osobnih podataka „u svrhu preventivne medicine ili medicine rada radi procjene radne sposobnosti zaposlenika, medicinske dijagnoze, pružanja zdravstvene ili socijalne skrbi”. |
30. |
Prema mojem mišljenju, ta je odredba dovoljno pokriće za MDK‑ovo postupanje koje je predmet spora ( 15 ). Činjenica da je voditelj obrade istodobno ispitanikov poslodavac nije relevantna jer MDK ne djeluje u svojstvu tog poslodavca, nego medicinske službe KV‑a koji je osiguravao ispitanika ( 16 ). |
31. |
Ne vidim na kojoj bi se osnovi članak 9. stavak 2. točka (h) OUZP‑a mogao tumačiti na način da se njime medicinskoj službi zabranjuje da obrađuje podatke o zdravlju svojih zaposlenika u svrhe koje se navode u toj točki. Uobičajeni hermeneutički kriteriji prije upućuju na suprotno rješenje (nepostojanje takve zabrane). |
32. |
S doslovnog stajališta, članak 9. stavak 2. točka (h) OUZP‑a ne sadržava nikakvu iznimku u tom smislu niti se njime kao uvjet obrade određuje da voditelj obrade mora biti „neovisna treća strana” ( 17 ). |
33. |
Ni raniji propisi ni izmjene navedene odredbe ne upućuju na zabranu poput one koja se navodi u prvom prethodnom pitanju, kao niti da je postojala namjera da se ona uključi ( 18 ). |
34. |
Kao što je to utvrdio Sud ( 19 ), svrha pravnih pravila OUZP‑a o obradi podataka koji se odnose na zdravlje jest ispitanicima pružiti pojačanu zaštitu s obzirom na osobitu osjetljivost tih podataka za temeljna prava o kojima je riječ. Radi postizanja tog cilja utvrđuje se opća zabrana iz članka 9. stavka 1. OUZP‑a, ali ona nije apsolutna ( 20 ). |
35. |
U tom području, kao i u drugim područjima koja obuhvaćaju obradu osobnih podataka, zakonodavac je nakon utvrđivanja opće zabrane mogao:
|
36. |
Prema tome, u teoriji ništa ne sprečava da se među posebne mjere opreza koje sam upravo istaknuo uvrsti zabrana da MDK obrađuje podatke koji se odnose na zdravlje njegovih zaposlenika. Međutim, ne smatram da je ta opcija (koju europski zakonodavac nije odabrao) nužna kako bi se očuvao prethodno navedeni cilj. |
37. |
Stoga ne smatram da je zabrana u pogledu koje sud koji je uputio zahtjev postavlja pitanje neizbježna posljedica teleološkog tumačenja članka 9. stavka 2. točke (h) OUZP‑a. |
38. |
Ne smatram ni da sustavno tumačenje odredbe dovodi do drukčijeg rješenja jer:
|
39. |
Ukratko, predlažem da se na prvo prethodno pitanje odgovori niječno (odnosno, da OUZP ne sadržava spornu zabranu), zbog čega je moguće razmotriti sljedeće pitanje. |
B. Drugo prethodno pitanje
40. |
U slučaju da je (kao što to predlažem) odgovor na prvo prethodno pitanje niječan, sud koji je uputio zahtjev želi znati „[postoje] li u slučaju kao što je ovaj osim uvjeta utvrđenih u članku 9. stavku 3. OUZP‑a […] i drug[i] zahtjev[i] u pogledu zaštite osobnih podataka i, ako [postoje], koji su to zahtjevi”. |
41. |
Općenito govoreći, ne postoje veći problemi da se na to pitanje odgovori ( 26 ). Sud je naglasio da svaka obrada osobnih podataka mora biti u skladu s načelima iz članka 5. OUZP‑a i nekim od uvjeta zakonitosti iz njegova članka 6. ( 27 ). |
42. |
Sud koji je uputio zahtjev smatra da poštovanje obveze čuvanja tajne (članak 9. stavak 3. OUZP‑a) nije dovoljno za zaštitu podataka u okolnostima kao u ovom slučaju. Predlaže druge dodatne mjere za koje smatra da su jedine prikladne za postizanje navedenog cilja ( 28 ). |
43. |
Smatram da članak 9. stavak 3. OUZP‑a kao takav ne može poslužiti kao osnova za te dodatne mjere. Njegov jasan tekst (u kojem se samo pojašnjava odredba koja je već bila dio Direktive 95/46) ( 29 ) ne može biti uporište za prijedloge kao što je onaj koji iznosi sud koji je uputio zahtjev. |
44. |
Osnova za te prijedloge mogao bi pak biti članak 9. stavak 4. OUZP‑a. U skladu s njim, države članice mogu uvesti „dodatne uvjete, uključujući ograničenja s obzirom na obradu […] podataka koji se odnose na zdravlje” ( 30 ). Međutim, iz odluke kojom se upućuje zahtjev za prethodnu odluku ne proizlazi da je to slučaj u Njemačkoj. |
45. |
S obzirom na to i na prethodno objašnjene razloge, na obradu osobnih podataka koji se odnose na zdravlje treba, među ostalim, primijeniti načelo iz članka 5. stavka 1. točke (f) OUZP‑a i obveze koje iz njega proizlaze, navedene u poglavlju IV. tog teksta. |
46. |
Voditelj obrade ( 31 ) treba usto donijeti odgovarajuće tehničke i organizacijske mjere kako bi zajamčio da se konkretna obrada obavlja u skladu s OUZP‑om. To se općenito utvrđuje u njegovu članku 24. stavku 1. |
47. |
Člankom 32. stavkom 1. OUZP‑a voditelja obrade konkretno se obvezuje na provedbu „odgovarajuć[ih] tehničk[ih] i organizacijsk[ih] mjer[a] kako bi osigura[o] odgovarajuću razinu sigurnosti s obzirom na rizik” koji postoji u pogledu osobnih podataka o kojima je riječ. |
48. |
Ako se ta pravila primijene na ovaj slučaj, MDK, s obzirom na to da ima status poslodavca osobe ZQ, ima obvezu da prilikom obrade njegovih podataka koji se odnose na zdravlje postupa s više pažnje nego inače jer su i rizici veći ( 32 ). |
49. |
MDK je upoznat s tom činjenicom. Kad na temelju naloga KV‑a, koji osigurava njegova zaposlenika, sastavlja stručno mišljenje kako bi otklonio dvojbe u pogledu njegove radne (ne)sposobnosti, provodi niz ad hoc tehničkih i organizacijskih mjera, predviđenih kako bi se obrada osobnih podataka koji se odnose na zdravlje uskladila s OUZP‑om ( 33 ). |
50. |
Na sudu koji je uputio zahtjev jest da ocijeni te mjere, a nakon te ocjene može odlučiti da poduzete mjere nisu bile dostatne. No na temelju toga nije moguće iz članka 9. OUZP‑a izvesti obvezu MDK‑ova da po službenoj dužnosti odbiju sve zahtjeve za medicinsko stručno mišljenje (o svojim zaposlenicima) koje im upute KV‑ovi ( 34 ). |
C. Treće prethodno pitanje
51. |
U slučaju niječnog odgovora na prvo prethodno pitanje, sud koji je uputio zahtjev trećim pitanjem želi saznati ovisi li iznimka od zabrane obrade podataka koji se odnose na zdravlje „i o tome da treba biti ispunjen barem jedan od uvjeta koji se navode u članku 6. stavku 1. OUZP‑a”. |
52. |
Za odgovor na to pitanje potrebno je analizirati vezu članka 9. stavka 2. OUZP‑a s njegovim člankom 6., koji se odnosi na zakonitost obrade. U presudama koje je donio Sud, a na koje sam prethodno uputio, navodi se da svaka obrada podataka mora biti u skladu s potonjim člankom ( 35 ). |
53. |
Konkretno, Sud je u presudi donesenoj u predmetu C‑439/19 ( 36 ) protumačio članak 10. OUZP‑a u pogledu druge kategorije osjetljivih osobnih podataka (koji se odnose na kaznene osude i kažnjiva djela) ( 37 ), pri čemu je utvrdio da se članak 6. OUZP‑a primjenjuje kumulativno s člankom 10. |
54. |
Može li se ta premisa primijeniti i na osobne podatke navedene u članku 9. OUZP‑a? |
55. |
Strukture članaka 9. i 10. OUZP‑a razlikuju se. U članku 10. izričito se upućuje na članak 6. stavak 1. samog OUZP‑a, što nije slučaj s člankom 9. |
56. |
Ni sadržaj članka 9. stavka 2. i članka 10. OUZP‑a nisu usporedivi: u članku 10. samo se navodi subjektivno ograničenje obrade, dok se u članku 9. stavku 2., kao i u članku 6. stavku 1., utvrđuju svrhe (ili okolnosti) kojima se obrada opravdava. |
57. |
Naime, članak 6. stavak 1. i članak 9. stavak 2. OUZP‑a do te su mjere slični da se na prvi pogled čini da su okolnosti koje se u potonjem članku navode objašnjenja uvjeta koji se navode u prvom članku: ti se uvjeti ujedno objašnjavaju i postaju teži. |
58. |
Međutim, povijest i promjene članka 9. OUZP‑a dovode u pitanje može li se veza između njega i članka 6. objasniti kao odnos „posebnog zakona” i „općeg zakona”. |
59. |
Utvrđeno je da su se za to tumačenje stvarno zalagale delegacije određenih država članica ( 38 ). Međutim, dokumenti koji se odnose na pregovore o članku 9. ne pokazuju da je bilo neslaganja u pogledu upućivanja na članak 6. ( 39 ), nego o njegovu opsegu (treba li uputiti samo na njegov stavak 1. ili i na ostale?) ( 40 ). Naposljetku, upućivanje na članak 6. ( 41 ) izostavljeno je iz članka 9. te se u preambuli odlučilo zadržati dio sličan današnjoj uvodnoj izjavi 51. OUZP‑a ( 42 ). |
60. |
Ideju kumulativnosti ili komplementarnosti navedenih dvaju odredbi dijeli i Europski odbor za zaštitu podataka ( 43 ), a branila ju je i takozvana Skupina iz članka 29. ( 44 ) u pogledu članka 8. Direktive 95/46 ( 45 ). Međutim, to tumačenje u sudskoj praksi, kao ni na ostalim relevantnim razinama, nije nesporno ( 46 ). |
61. |
Ako se razmotre različite točke članka 9. stavka 2. OUZP‑a, smatram da o odnosu te odredbe i članka 6. nije zapravo moguće dati jednoznačan odgovor. Naime:
|
62. |
Stoga smatram da je, kako bi obrada osjetljivih podataka koja je dopuštena na temelju članka 9. stavka 2. točke (h) OUZP‑a bila zakonita, potrebno utvrditi koji je od uvjeta navedenih u članku 6. stavku 1. opravdava u svakom slučaju. |
63. |
Sud koji je uputio zahtjev to ne dovodi u pitanje, nego, polazeći od te premise, odbacuje da je za obradu koju je izvršio MDK moguće pronaći opravdanje u članku 6. ( 48 ). |
64. |
Na prvi mi se pogled ne čini da postoji redoslijed prvenstva pravnih osnova koje se predviđaju tom odredbom. Detaljnija analiza mogla bi pokazati da su potrebna dodatna pojašnjenja ( 49 ). Ipak, smatram da bi ta analiza bila šira od onoga što je nužno za odgovor na prethodno pitanje o kojem je riječ ( 50 ). |
65. |
Ukratko, u odgovoru na treće prethodno pitanje sudu koji je uputio zahtjev treba istaknuti da je za iznimku od zabrane obrade podataka koji se odnose na zdravlje potrebno da je ispunjen barem jedan od uvjeta koji se navode u članku 6. stavku 1. OUZP‑a. |
D. Peto prethodno pitanje
66. |
Sud koji je uputio zahtjev želi znati je li „prilikom određivanja iznosa nematerijalne štete koju je potrebno nadoknaditi na temelju članka 82. stavka 1. OUZP‑a relevantan stupanj krivnje voditelja obrade ili izvršitelja obrade” te, konkretno, „smije li se nepostojanje krivnje ili manji stupanj krivnje voditelja obrade ili izvršitelja obrade uzeti u obzir u njegovu korist”. |
67. |
U pitanju se polazi od presumpcije da je došlo do povrede OUZP‑a ( 51 ) koju je počinila stranka koja ima status voditelja obrade podataka te se nastoji saznati je li za određivanje iznosa naknade štete uzrokovane tom povredom važan stupanj krivnje navedenog voditelja obrade. Prema tvrdnjama suda koji je uputio zahtjev, nije utvrđeno da se nepostojanje krivnje ili manji stupanj krivnje voditelja obrade mogu smatrati elementima koji mu idu u korist. |
68. |
Ako se shvati doslovno, pitanje se odnosi na određivanje iznosa naknade štete. Međutim, pojašnjenja koja uz njega dolaze dovode do određene zbunjenosti jer nije jasno upućuje li se na krivnju kao na uvjet za pripisivanje odgovornosti ili kao na čimbenik za određivanje iznosa naknade štete. |
69. |
Nakon što je Sud od njega zatražio da razjasni tu dvosmislenost, sud koji je uputio zahtjev odgovorio je da se pitanje odnosi na oba aspekta, pri čemu nije iznio više detalja o njihovoj povezanosti s glavnim postupkom. |
70. |
S obzirom na taj odgovor, predlažem da se na pitanja suda koji je uputio zahtjev odgovori nakon što se razmotre (i) pitanja koja iznosi MDK u pogledu eventualnog sudjelovanja ispitanika u nastanku štete ( 52 ). Svoja razmatranja iznosim u tri faze:
|
1. Osnova građanskopravne odgovornosti u članku 82. OUZP‑a
71. |
Sud koji je uputio zahtjev smatra da se člankom 82. stavkom 1. OUZP‑a građanskopravna odgovornost (voditelja ( 54 )) ne uvjetuje time da postoji ili da je dokazana namjera ili nepažnja. Dodaje da u skladu sa stavkom 3. istog članka drukčije rješenje nije moguće. |
72. |
Priznajem da nije jasno koji je model građanskopravne odgovornosti preuzet u OUZP‑u i da su a priori moguća različita tumačenja ( 55 ). Tumačenje suda koji je uputio zahtjev jedno je od njih, i to, prema moje mišljenju, pravilno. |
73. |
Tumačenje članka 82. stavka 1. OUZP‑a u smislu da se njime uspostavlja sustav građanskopravne odgovornosti koji ne ovisi o krivnji voditelja u skladu je, prema mojem mišljenju, s njegovim doslovnim tekstom, ima neposredno uporište u pripremnim aktima i, prije svega, ide u prilog svrsi tog pravnog pravila. Prihvatljivo je s obzirom na druge stavke iste odredbe, kao i sustav u cjelini. |
a) Doslovni argument
74. |
Stajalište koje zagovara sud koji je uputio zahtjev u skladu je s tekstom članka 82. stavka 1. OUZP‑a. Doslovno govoreći, pravo na naknadu štete na teret voditelja obrade jednostavno je povezano sa štetom nastalom zbog povrede samog OUZP‑a. |
75. |
Ostali stavci 82. ne upućuju u drugom smjeru ( 56 ). Konkretno, ne bih se usudio izvesti zahtjev postojanja krivnje na temelju izraza „[može pripisati]” iz članka 82. stavka 3. Taj se pojam pojavljuje samo u nekim jezičnim verzijama OUZP‑a, dok se u drugima rabi pojam „odgovoran”. U njemačkoj se verziji ni u članku 82. ni u preambuli ne navodi tehnički pojam pripisivanja krivnje („Verschulden”) ( 57 ). |
76. |
Usporedba različitih odredbi OUZP‑a pokazuje da izrazi koji se u njemu koriste nisu uvijek jednoznačni, pa treba biti iznimno oprezan kad se iz njegova doslovnog teksta žele izvesti posljedice. U engleskoj se verziji, primjerice, riječ „responsible” koristi u više navrata ( 58 ). |
77. |
Neupućivanje na namjeru ili krivnju voditelja obrade u članku 82. OUZP‑a u opreci je s onim što se u članku 83. navodi u pogledu upravnih novčanih kazni: „[p]ri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju” primjerena se pozornost posvećuje namjeri ili nepažnji prilikom počinjenja povrede OUZP‑a ( 59 ). |
78. |
Iako razlika između tih tekstova umanjuje važnost doslovnog hermeneutičkog kriterija, barem potvrđuje ideju da se u članku 82. OUZP‑a ne navode ni namjera ni krivnja te da je njihov izostanak namjeran odnosno da se ne može pripisati zakonodavčevoj nepažnji. |
b) Pripremni akti
79. |
Raspravu o osnovi za pripisivanje odgovornosti koja je konačno utvrđena u OUZP‑u narušava kontekst u kojem je ona vođena u okviru Vijeća, u pogledu slučaja u kojem postoji više sudionika obrade. |
80. |
Ta je rasprava isprepletena s postupovnim razmatranjima, pri čemu se nije slijedio konceptualni aparat na temelju kojeg bi se mogla razlikovati, s jedne strane, funkcija krivnje kao osnove za pripisivanje odgovornosti i, s druge strane, funkcija nepostojanja krivnje za potrebe izuzeća od iste odgovornosti, na razini uzročne veze. |
81. |
Međutim, smatram da pripremni akti idu u prilog tumačenju članka 82. stavka 1. OUZP‑a u skladu s kojim građanskopravna odgovornost ne ovisi o krivnji voditelja obrade. |
82. |
Komisija je u svojem prijedlogu slijedila Direktivu 95/46 i nije navodila nepažnju. U dokumentima Vijeća upućuje se na to da je navedena odgovornost zamišljena kao „strict liability” ( 60 ). |
83. |
Na temelju amandmana koji je predložio Odbor za građanske slobode, pravosuđe i unutarnje poslove Parlamenta, u članku 82. (tada članku 77.) stavku 1. dodao bi se sadržaj u kojem bi se odgovornost povezala s namjerom ili nepažnjom ( 61 ). Amandman nije prihvaćen ( 62 ). |
84. |
U Vijeću se rasprava o članku 77. i kriteriju za pripisivanje odgovornosti vodila u pogledu pripisivanja i podjele odgovornosti kad više osoba sudjeluje u istoj obradi. U tom je kontekstu Predsjedništvo predložilo da se izabere između dvije opcije ( 63 ):
|
85. |
Kompromisni tekst koji je Predsjedništvo predložilo za donošenje kao opću smjernicu ( 71 ) u skladu je s prvom opcijom, iako se u njemu naglašava iznimnost izuzeća i težina njegova dokazivanja na temelju teksta članka 77. stavka 3.: „[…] if it [voditelj/izvršitelj obrade] proves that it is not in any way responsible (…)” ( 72 ). Taj tekst poklapa se s konačno donesenim člankom. |
86. |
Ukratko, analiza zakonodavnog itera koji je doveo do konačnog teksta OUZP‑a ide u prilog tumačenju da odgovornost na koju se upućuje u članku 82. stavku 1. nije povezana s krivnjom voditelja. |
c) Svrha
87. |
OUZP‑om se uspostavlja sustav osmišljen kako bi se osigurala visoka razina zaštite pojedinaca i ujedno uklonile prepreke protoku osobnih podataka ( 73 ). Svrha njegova članka 82. u tom je sustavu naknada štete, ne dovodeći u pitanje da on podredno služi i za odvraćanje od postupanja koja nisu u skladu s njegovim odredbama ili za njihovo sprečavanje ( 74 ). |
88. |
Jamstvo naknade štete cilj je sam po sebi: to proizlazi iz važnosti koju joj zakonodavac pridaje, a koja postaje razvidna jednostavnim čitanjem teksta. Ostvarivanje naknade štete nakon njezina nastanka u OUZP‑u je ispitanikovo pravo, pojam štete treba tumačiti široko, a naknada štete treba biti puna i učinkovita. |
89. |
Naknada je povezana s nastojanjem da se potakne povjerenje građana u digitalno okruženje, a taj se opći cilj navodi u uvodnoj izjavi 7. OUZP‑a. Činjenica da se ispitaniku, kao načelno rješenje, jamči da ne mora jednostavno snositi štetu nastalu nezakonitom obradom njegovih podataka služi kako bi se potaknulo takvo povjerenje: njegova je imovina zaštićena, a u postupovnom je smislu jednostavnije zahtijevati njezino nadoknađivanje. |
90. |
U skladu je s tim pristupom da se u članku 82. stavku 1. OUZP‑a obveza naknade štete ne povezuje s nepoštovanjem obveze postupanja s pažnjom. Ta se obveza zakonodavčevom odlukom dodjeljuje onome koji zauzima određen položaj čuvara ili jamca u odnosu, i to upravo zbog same te činjenice. |
91. |
Stoga bi se moglo reći da je za OUZP relevantna situacija oštećenika koji je pretrpio štetu zbog povrede, kad mu se nijednim pravnim pravilom ne propisuje da ju je obvezan snositi. |
92. |
Za oštećenika je nevažno je li onaj koji je počinio štetu za nju kriv: odlučujuća je činjenica da mu je voditelj nanio materijalnu ili nematerijalnu štetu, koja proizlazi iz povrede OUZP‑a koju je navedeni voditelj počinio. |
93. |
Opisane ciljeve lakše je postići modelom u kojem utvrđena šteta:
|
94. |
U okviru prilagodbe na digitalnu revoluciju ( 75 ) to mi se rješenje čini dosljednim. Zbog brzog razvoja tehnologije nužno je da izostanak namjere ili nepažnje u okviru najčešćih aktivnosti obrade podataka koje se obavljaju na internetu ne sprečava naknadu štete koja bi u protivnom ostala nepokrivena. |
d) Sustav
95. |
Tumačenje koje predlažem bolje je usklađeno sa sustavom OUZP‑a. U okviru članka 82. to potvrđuje stavak 3.: izuzeće je moguće „ako [voditelj obrade] dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu”. |
96. |
U tom se tekstu ističe izraz „ni na koji način”, koji navodi na pomisao da nije riječ o modelu krivnje (čak ni s izrazito malim stupnjem krivnje) s prebacivanjem tereta dokazivanja. |
97. |
Ako bi se smatralo da naknada štete ne ovisi o krivnji voditelja obrade, članak 82. imao bi vlastito značenje u okviru poglavlja VIII. i, konačno, u OUZP‑u kao cjelini. |
98. |
Europski zakonodavac pretpostavlja da obrada osobnih podataka može biti izvor rizika. Voditeljima obrade nalaže da procijene te rizike te utvrde i ažuriraju odgovarajuće mjere za sprečavanje i umanjivanje utvrđenih rizika ( 76 ). |
99. |
Tvrdilo se da se modelom građanskopravne odgovornosti koji se temelji na krivnji promiče oprez i, prema tome, zaštita od rizika, dok bi se alternativnim modelom, u kojem se u obzir ne uzima postupanje voditelja obrade, voditelja obrade odvraćalo od toga da bude oprezan (jer štetu, ako postoji, treba nadoknaditi u svakom slučaju). |
100. |
Smatram da je taj rezultat ( 77 ) u OUZP‑u prihvatljiv. Članak 82. dio je složene strukture propisa, koja sadržava instrumente javnog i privatnog prava kojima se nastoje zaštititi osobni podaci. U okviru te strukture nepažnja (i namjera) važne su za potrebe upravnih sankcija. Ne vidim potrebu da budu relevantne i za potrebe građanskopravne odgovornosti ( 78 ): to bi naštetilo ciljevima članka 82. i usto smanjilo praktičnu privlačnost sredstva koje se njime predviđa. |
2. Utjecaj ispitanikova sudjelovanja
101. |
Pitanja o nužnosti krivnje voditelja obrade povezana su u ovom predmetu s posljedicama koje mogu proizaći iz ispitanikova sudjelovanja ( 79 ). |
102. |
Kako bi razmatranja koja slijede bila jasnija, treba istaknuti da su okolnosti spora promatrane iz dvaju kuteva:
|
103. |
U svakom slučaju smatram da je, kao što to, čini se, smatra i sud koji je uputio zahtjev ( 82 ), kako bi se utvrdio utjecaj (ako on postoji) ispitanikova postupanja na počinjenje povrede koja je uzrokovala štetu, potrebno primijeniti članak 82. stavak 3. |
104. |
U odredbi se ne navode, čak ni kao primjer, posebni razlozi za izuzeće od odgovornosti. Ne navode se ni u uvodnoj izjavi 146 ( 83 ). |
105. |
Čini se da se OUZP u tom pogledu udaljava od Direktive 95/46, čiji je članak 23. stavak 2. sadržavao pravilo slično ( 84 ) sadašnjem članku 82. stavku 3. OUZP‑a: u uvodnoj izjavi 55. Direktive 95/46, kao primjer razloga za izuzeće, predlagala se ispitanikova odgovornost ili viša sila ( 85 ), što se u OUZP‑u ne navodi. |
106. |
Ako ne griješim, u pripremnim aktima OUZP‑a ne navodi se da je bilo rasprave o tim dvama primjerima, koji se jesu nalazili u Prijedlogu Komisije ( 86 ) i koje je Parlament zadržao ( 87 ). |
107. |
Do njihova izostavljanja i dodavanja priložnog izraza „ni na koji način” dolazi u okviru već navedene rasprave o načinu uređenja odgovornosti kad obradu obavlja više voditelja ili izvršitelja obrade ( 88 ). |
108. |
Iz dostupne dokumentacije ( 89 ) proizlazi da je u konačnoj verziji voditelj izuzet ako dokaže da nije uopće odgovoran („responsible”) za štetu („0 % responsibility”). Isto vrijedi i za izvršitelja obrade ( 90 ). |
109. |
Prema tome, ne smatram da izostavljanje tih dvaju primjera iz preambule, uz istodobno dodavanje izraza „ni na koji način” u tu preambulu i u članak 82. stavak 3. OUZP‑a, dovodi do izuzimanja ispitanikovih aktivnosti iz razloga za izuzeće od odgovornosti (niti da mu je to cilj) ( 91 ). |
110. |
Prije se čini da ispitanikova aktivnost i dalje može, ovisno o slučaju, izazvati prekid neophodne veze između „događaja” (u članku 82. stavku 3. OUZP‑a koristi se taj izraz) i toga da je počinitelj voditelj obrade. To što se naglašava ograničavajuća priroda odredbe o izuzeću ne znači da određeno postupanje ispitanika samo po sebi ne može uzrokovati štetu i, slijedom toga, dovesti do izuzeća voditelja od odgovornosti. |
111. |
Sustavno tumačenje ide u prilog tome da se u okviru odgovornosti za štetu u obzir uzme sudjelovanje ispitanika u njezinu nastanku. U sustavu iz OUZP‑a pojedinci su uključeni u zaštitu svojih podataka i u tu im se svrhu dodjeljuju instrumenti koji sami po sebi predstavljaju prava. |
112. |
S teleološkog stajališta, smatram da se OUZP‑om nastoji dodijeliti visoka razina zaštita, ali ne do te mjere da se voditelja obrade obvezuje da nadoknadi i štetu koja proizlazi iz događaja ili radnji koje se mogu staviti na teret ispitaniku ( 92 ). |
3. Izračun naknade štete: Utjecaj stupnja krivnje osobe odgovorne za štetu
113. |
Sud koji je uputio zahtjev potvrdio je da se petim prethodnim pitanjem nastoji razjasniti utječe li stupanj krivnje voditelja obrade na izračun naknade štete. Konkretnije, mogu li se nepostojanje krivnje ili manji stupanj krivnje tog voditelja obrade uzeti u obzir u njegovu korist. |
114. |
Točno je da je članak 82. OUZP‑a nejasan odnosno da se u njemu jednostavno ne navodi ništa u pogledu ključnih aspekata naknade štete koji utječu na izračun njezina iznosa. Tumaču ne pruža smjernice u pogledu elemenata koji čine naknadu ( 93 ), kriterija za ocjenu tih elemenata (njihovo preračunavanje u iznos) ( 94 ) ni čimbenika koji bi mogli utjecati na njezin iznos ( 95 ). |
115. |
Unatoč tomu, smatram da se OUZP‑om ispitaniku dodjeljuje pravo na naknadu štete čiji se iznos određuje s obzirom na stvarno pretrpljenu štetu. Nakon što se utvrdi iznos koji tu štetu objektivno nadoknađuje, ne bi ga trebalo mijenjati ovisno o tome je li nepažnja voditelja obrade bila veća ili manja. |
116. |
U prilog svojem stajalištu upućujem, mutatis mutandis, na ono što sam iznio u pogledu pripisivanja odgovornosti voditelju, neovisno o njegovoj krivnji, u okviru sustava iz članka 82. OUZP‑a. Iz perspektive oštećenika, za čiju (materijalnu i nematerijalnu) imovinu treba isplatiti naknadu štete nakon njezina nastanka, štetu treba nadoknaditi a da se ona ne povezuje s krivnjom voditelja obrade, neovisno o stupnju njegove krivnje ( 96 ). |
117. |
Smatram da se do istog rješenja dolazi ako se u obzir uzme činjenica da se članak 82. OUZP‑a (čiji pripremni akti ne sadržavaju naznake u prilog jednom ili drugom stajalištu) ( 97 ) razlikuje od ostalih instrumenata prava Unije, u kojima se prilikom određivanja iznosa naknade štete na ime građanskopravne odgovornosti izričito razlikuje je li povreda počinjena „svjesno” ( 98 ). |
118. |
Prema mojem mišljenju, tu ocjenu potvrđuju još dva argumenta:
|
V. Zaključak
119. |
S obzirom na prethodno navedeno, predlažem da se Bundesarbeitsgerichtu (Savezni radni sud, Njemačka) odgovori na sljedeći način: „Članak 9. stavak 2. točku (h), članak 9. stavak 3. i članak 82. stavke 1. i 3. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da se njima: medicinskoj službi fonda zdravstvenog osiguranja ne zabranjuje da obrađuje zaposlenikove podatke koji se odnose na zdravlje i koji su preduvjet za procjenu njegove radne sposobnosti. Njima se dopušta iznimka od zabrane obrade osobnih podataka koji se odnose na zdravlje ako je ta obrada nužna za procjenu zaposlenikove radne sposobnosti te ako se na nju primjenjuju načela iz članka 5. i neki od uvjeta zakonitosti predviđenih člankom 6. Uredbe 2016/679. Stupanj krivnje voditelja obrade ili izvršitelja obrade nije relevantan za nastanak odgovornosti voditelja odnosno izvršitelja obrade ni za određivanje iznosa nematerijalne štete koju se mora nadoknaditi u skladu s člankom 82. stavkom 1. Uredbe 2016/679. Ispitanikovo sudjelovanje u događaju iz kojeg proizlazi obveza naknade štete može, ovisno o slučaju, dovesti do izuzeća voditelja obrade ili izvršitelja obrade od odgovornosti navedenog u članku 82. stavku 3. Uredbe 2016/679.” |
( 1 ) Izvorni jezik: španjolski
( 2 ) Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP)
( 3 ) I o članku 8. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.), koji izravno prethodi članku 9. OUZP‑a.
( 4 ) Četvrto pitanje u bitnome je istovjetno prvome iz predmeta C‑300/21, Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), u kojem sam iznio svoje mišljenje 6. listopada 2022. (EU:C:2022:756) (u daljnjem tekstu: mišljenje u predmetu C‑300/21) i u kojem je Sud donio presudu 4. svibnja 2023. (EU:C:2023:370)
( 5 ) Peta knjiga Socijalnog zakonika
( 6 ) Medizinischer Dienst der Krankenversicherung (u daljnjem tekstu: MDK)
( 7 ) Krankenversicherung (u daljnjem tekstu: KV)
( 8 ) „Memorandum o zaštiti socijalnih podataka o [MDK‑ovim] zaposlenicima i njihovim obiteljima”, sažet u točki 6. i sljedećim točkama odluke kojom se upućuje zahtjev za prethodnu odluku:
( 9 ) U sustavu za računalnu obradu podataka koji interno upotrebljava MDK uređena je virtualna organizacijska jedinica naziva „Posebni slučajevi”, kojoj mogu pristupiti samo zaposlenici te organizacijske jedinice.
( 10 ) Nakon što je završilo (zakonom utvrđeno) razdoblje naknade plaće koju joj je isplaćivao MDK.
( 11 ) Prema mišljenju osobe ZQ, da nije došlo do povrede u pogledu njezinih osobnih podataka, u prosincu 2018. mogla je nastaviti s radom.
( 12 ) ArbG Düsseldorf, Urteil vom 22.02.2019 - 4 Ca 6116/18, te LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19.
( 13 ) U pogledu njegova sadržaja upućujem na presudu od 4. svibnja 2023Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka) (C‑300/21, EU:C:2023:370).
( 14 ) Odgovor na treće prethodno pitanje ne ovisi o razmatranjima koja slijede.
( 15 ) Smatram da treba dati prednost primjeni te odredbe, a ne članku 9. stavku 2. točki (b) OUZP‑a. Ne čini se da je obrada bila nužna (ni u pogledu MDK‑a kao poslodavca ni u pogledu osobe ZQ kao zaposlenika) za ispunjavanje obveza ili ostvarivanje prava u okviru radnog odnosa.
( 16 ) Obrada osjetljivih podataka u svojstvu poslodavca (odnosno za potrebe radnog odnosa) bila bi zakonita samo ako ispunjava uvjete koji se u OUZP‑u utvrđuju za obradu podataka u svrhu koja se razlikuje od one zbog koje su podaci prikupljeni.
( 17 ) Točka 22. odluke kojom se upućuje zahtjev za prethodnu odluku. OUZP‑om se pak nalaže da moraju biti ispunjena druga obilježja, koja se propisuju njegovim člankom 9. stavkom 3.: u pogledu njegova opsega vidjeti točku 40. i sljedeće infra.
( 18 ) Preteča članka 9. OUZP‑a jest članak 8. Direktive 95/46. U Prijedlogu Komisije (Prijedlog uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka) COM(2012) 11 final od 25. siječnja 2012.; u daljnjem tekstu: Prijedlog Komisije) obrada osobnih podataka koji se odnose na zdravlje bila je uređena člankom 81., u kojem su se utvrđivala opravdanja i određivalo da obradu treba obavljati u skladu s pravom Unije ili pravom država članica. Na državama je članicama bilo da osiguraju nužna jamstva kako bi se zaštitila ispitanikova legitimna prava. Sadržaj članka 81. prenesen je u članak 9. stavak 2. točku (h) i članak 9. stavak 4., kao što je to razvidno iz dokumenta br. 14270/14, Predsjedništvo Vijeća Skupini „Zaštita podataka”, od 16. listopada 2014.
( 19 ) Presuda od 24. rujna 2019., GC i dr. (Uklanjanje poveznica na osjetljive podatke) (C‑136/17, EU:C:2019:773, t. 44.): „[…] specifičn[i] zahtjev[i] […] u vezi s obradama u njima navedenih posebnih kategorija podataka [imaju za] ci[lj] […] osiguravanje pojačane zaštite od obrada koje, zbog posebne osjetljivosti tih podataka, mogu predstavljati – kao što to proizlazi iz uvodne izjave 33. [Direktive 95/46] i uvodne izjave 51. te uredbe – osobito teško miješanje u temeljna prava na privatnost i na zaštitu osobnih podataka, zajamčena u člancima 7. i 8. Povelje”.
( 20 ) Temeljno pravo na zaštitu osobnih podataka nema automatsku prednost pred bilo kojim drugim pravom, čak ni kad su posrijedi posebne kategorije iz članka 9. stavka 1. OUZP‑a: presuda od 24. rujna 2019., GC i dr. (Uklanjanje poveznica na osjetljive podatke) (C‑136/17, EU:C:2019:773, t. 66. do 68.).
( 21 ) Članak 9. stavak 3. OUZP‑a
( 22 ) Člankom 88. OUZP‑a omogućuje se državama članicama da predvide „preciznija pravila s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenika u kontekstu zaposlenja”. U pogledu njegova tumačenja upućujem na presudu od 30. ožujka 2023., Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2022:710).
( 23 ) Čini se da je to shvaćanje suda koji je uputio zahtjev. Ja pak upućujem na bilješku 15. supra.
( 24 ) Slažem se s Komisijom kad tvrdi da se „drugim stavkom [članka 9. OUZP‑a] ne predviđa posebna hijerarhija ili moguća ovisnost iznimaka, nego da one supostoje prema jednakim uvjetima” (točka 13. njezinih pisanih očitovanja).
( 25 ) Ne zahtijeva se, kao što je to bio slučaj u Direktivi 95/46, da podatke „obrađuje zdravstveni radnik koji […] podliježe obvezi čuvanja profesionalne tajne ili druga osoba koja također podliježe istoj obvezi čuvanja tajne” (moje isticanje). Međutim, zahtijeva se da obradu obavljaju osobe koje podliježu obvezi čuvanja tajne.
( 26 ) Uvodnom izjavom 51. OUZP‑a, koja se odnosi na podatke koji su „posebno osjetljive prirode u pogledu temeljnih prava i sloboda”, utvrđuje se da bi se „[o]sim posebnih zahtjeva za takvu obradu, trebala […] primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu”.
( 27 ) Presuda od 16. siječnja 2019., Deutsche Post (C‑496/17, EU:C:2019:26, t. 57. i navedena sudska praksa). U pogledu osjetljivih podataka presude od 24. rujna 2019., GC i dr. (Uklanjanje poveznica na osjetljive podatke) (C‑136/17, EU:C:2019:773, t. 64.) i od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 96., 99., 100. i 102.)
( 28 ) Točke 25. do 27. odluke kojom se upućuje zahtjev za prethodnu odluku. Upućuje se na uspostavljanje dviju neovisnih jedinica za „posebne slučajeve” i zasebnih informatičkih jedinica ako je riječ o stručnim mišljenjima o zaposlenicima informatičkih službi (kao što je osoba ZQ). Krajnji je cilj da nijedan MDK‑ov zaposlenik nema stvarni pristup podacima o zdravlju određenog kolege niti da zna da se u odnosu na njega provodio nadzor radne sposobnosti.
( 29 ) Članak 8. stavak 3. Kao što sam to već naveo, u OUZP‑u je proširen opseg osoba koje mogu obavljati obradu.
( 30 ) Stavak 4. dodan je u članak 9. OUZP‑a na prijedlog Njemačke: dokument br. 6834/15, Predsjedništvo Vijeću, od 9. ožujka 2015.
( 31 ) Sud koji je uputio zahtjev tako kvalificira MDK (točka 16. odluke kojom se upućuje zahtjev za prethodnu odluku). U daljnjem tekstu stoga, osim ako to ne bude potrebno, neću upućivati na izvršitelja obrade. Načelno, razmatranja u pogledu voditelja obrade vrijede i za izvršitelja obrade.
( 32 ) Sud koji je uputio zahtjev boji se osobito toga da bi, kad bi došlo do povrede sigurnosti, kolege osobe ZQ mogli saznati za njegovo zdravstveno stanje, na temelju čega bi mogle krenuti glasine o njegovoj produktivnosti. Napominje da je informacija o samom postojanju medicinskog stručnog mišljenja o nesposobnosti za rad osjetljiva informacija jer može upućivati na mogućnost prijetvornog ponašanja u pogledu te nesposobnosti (točka 26. odluke kojom se upućuje zahtjev za prethodnu odluku).
( 33 ) Vidjeti točku 10. supra
( 34 ) Točka 27. odluke kojom se upućuje zahtjev za prethodnu odluku
( 35 ) Vidjeti bilješku 27. supra. U pogledu veze članka 6. s člankom 9. OUZP‑a vidjeti i predmet C‑252/21, Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže). Mišljenje nezavisnog odvjetnika A. Rantosa objavljeno je 20. rujna 2022. (C‑252/21, EU:C:2022:704).
( 36 ) Presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (EU:C:2021:504, t. 96., 99., 100. i 102.)
( 37 ) Sadržaj članka 10. OUZP‑a bio je dio članka 8. Direktive 95/46. U potonjem su članku bile razvrstane sve posebne kategorije podataka, iako je postojala razlika u obradi podataka koji se odnose na kaznena djela, kaznene presude ili sigurnosne mjere, na koje se odnosio stavak 5. Formalno razdvajanje u OUZP‑u ne počiva na promjeni uvjerenja da su svi osobni podaci koji se odnose na kaznena djela ili kaznene presude „osjetljivi”.
( 38 ) Dokument br. 17072/4/14 Rev 4, Vijeće Odboru stalnih predstavnika, od 4. ožujka 2015., bilješka 60.
( 39 ) Koji se, kao i u konačnoj verziji, odnosi na zakonitost obrade.
( 40 ) Dokument br. 17072/4/14 Rev 4, Vijeće Odboru stalnih predstavnika, od 4. ožujka 2015., članak 9. stavak 2. („Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with […]” i bilješka 60.
( 41 ) Na temelju dokumenta br. 6834/15, Predsjedništvo Vijeću, od 9. ožujka 2015.
( 42 ) To, uzgred rečeno, nije uspjelo otkloniti dvojbe svih delegacija. Vidjeti, primjerice, dokument br. 7466/15, Predsjedništvo delegacijama, od 26. ožujka 2015., bilješka 38.
( 43 ) Smjernice 03/2020 o obradi podataka koji se odnose na zdravlje u svrhu znanstvenog istraživanja u kontekstu izbijanja bolesti COVID-19, travanj 2020., t. 15.
( 44 ) „Advice paper on special categories of data”, Ares(2011)444105 - 20/04/2011, str. 5.
( 45 ) To je mišljenje javno iznijela i Komisija: Minutes of the second meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, održan10. listopada de 2016., str. 2.; te Minutes of the meeting of the Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680, održan 20. veljače 2018., str. 2.
( 46 ) Pozitivno mišljenje o kumulativnosti odnosno komplementarnosti ima, primjerice, T. Petri, „Art. 9”, u Simitis/Hornung/Spiecker gen. Döhmann, Datenschutzrecht, 2019., marg. 26, ali ipak priznaje da ono nije jednoglasno. Suprotno se mišljenje iznosi u Priručniku o europskom zakonodavstvu o zaštiti podataka Agencije Europske unije za temeljna prava, 2018., t. 4.1.1.
( 47 ) Redom, ispitanikova izričita privola, obrada nužna za zaštitu životno važnih interesa pojedinca koji fizički ili pravno nije u mogućnosti dati privolu i obrada nužna za potrebe javnog interesa.
( 48 ) Točke 30. i 31. odluke kojom se upućuje zahtjev za prethodnu odluku
( 49 ) Primjerice, mora li ispitanikova privola, kao pravna osnova koja dolazi uz dopuštenje predviđeno člankom 9. stavkom 2. točkom (h), biti izričita kako se to zahtijeva tim člankom ili je dovoljna privola iz članka 6. stavka 1. točke (h).
( 50 ) Drugo je, uže, pitanje treba li, s obzirom na rasuđivanja suda koji je uputio zahtjev u pogledu članka 6. stavka 1., razjasniti značenje uvjeta koji se u njemu navode, osobito onih koji se odnose na točke (c) i (e). U tom smislu upućujem na sudsku praksu Suda: u pogledu odredbi Direktive 95/46, presude od 16. prosinca 2008., Huber (C‑524/06, EU:C:2008:724, t. 62.) i od 30. svibnja 2013., Worten (C‑342/12, EU:C:2013:355, t. 37.); u pogledu OUZP‑a, presuda od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, t. 66. i sljedeće).
( 51 ) Sud koji je uputio zahtjev sklon je utvrđivanju povrede članaka 9. i 6. OUZP‑a, proizašlu iz obrade koju je izvršio MDK. U točki 32. svoje odluke kojom se upućuje zahtjev za prethodnu odluku tvrdi da pravo na naknadu štete proizlazi iz povrede same po sebi, dok u točki 33. ustraje na automatskoj pretvorbi povrede u štetu („povreda OUZP‑a već podrazumijeva nematerijalnu štetu koja dovodi do prava na naknadu štete”). Zbog razloga koje sam iznio u svojem mišljenju u predmetu C‑300/21 ne slažem se s tim mišljenjem.
( 52 ) Točke 78. do 80. očitovanja MDK‑a. Prema MDK‑ovu mišljenju, sam si je ispitanik nanio štetu time što nije zatražio spis niti je u pogledu njega ostvario pravo na pristup, koje ima u skladu s člankom 15. OUZP‑a, nego se obratio kolegi iz svoje jedinice da obavi uvid u sporne podatke. U istom smislu presuda donesena u žalbenom postupku LAG Düsseldorf (12. Kammer), Urteil vom 11.03.2020 – 12 Sa 186/19, t. 4.3.4.3.
( 53 ) Zaposlenik, koji radi u istom odjelu kao i ispitanik, pristupio je podacima a da nije bila riječ o slučaju u kojem mu je to dopušteno, odnosno, to je učinio u svrhu koja nije dio obavljanja njegova posla predviđenog ugovorom.
( 54 ) U daljnjem tekstu bez razlike koristim pojam „voditelj” kao sinonim za „voditelja obrade”.
( 55 ) Ako ostavimo po strani one koji tvrde da je riječ o aspektu koji nije uređen, u mišljenju se razilaze oni koji zagovaraju sustav objektivne odgovornosti i oni koji zagovaraju sustav odgovornosti za štetu s prebacivanjem tereta dokazivanja. Zapravo smatram da OUZP, kao ni drugi sustavi (građanskopravne) sektorske odgovornosti, nije u potpunosti u skladu ni s jednom od dviju glavnih teorijskih paradigmi, čije granice također nisu suviše jasne. S obzirom na svoj tekst, OUZP se može upisati u obje paradigme, uz pojašnjenja koja naposljetku poništavaju razliku između tih dvaju modela: u prvi, zbog visokog standarda pažnje koji treba dokazati kako bi se izbjeglo pripisivanje odgovornosti, a u drugi zbog uvođenja ocjene pažnje/nepažnje među razloge za izuzeće ili zbog utvrđenja povrede, ovisno o prirodi pravnog pravila o kojem je riječ.
( 56 ) Ni u stavku 2., koji se može tumačiti kao naličje stavka 1., jer se njime predviđa odgovornost sa stajališta obveznika, ne navodi se nikakav zahtjev postojanja krivnje.
( 57 ) U španjolskoj se verziji pojam „imputable” navodi pak u članku 47. stavku 2. točki (f) OUZP‑a u kojem se u pogledu informacija o kojima ovisi donošenje korporativnih obvezujućih pravila upućuje na izuzeće od odgovornosti unutar grupe poduzetnika s poslovnim nastanom unutar Unije i izvan nje. U njemačkoj verziji upotrijebljena je parafraza („dem betreffenden Mitglied nicht zur Last gelegt werden kann”).
( 58 ) Vidjeti članak 82. stavak 3., članak 68. stavak 4. ili članak 75. stavak 6.
( 59 ) Članak 83. stavak 2. točka (b) i članak 83. stavak 3. Tumačenje tog članka iznio sam u mišljenju u predmetu C‑807/21, Deutsche Wohnen (EU:C:2023:360).
( 60 ) Među ostalim, dokument br. 17831/13, Predsjedništvo Vijeća Skupini „Zaštita podataka”, od 16. prosinca 2013., bilješka 542.
( 61 ) Amandman br. 2819, koji je predložio S. Ilchev, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), dokument PE501.927v04‑00, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence”. Moje isticanje
( 62 ) Vidjeti tekst koji prati Zakonodavnu rezoluciju od 12. ožujka 2014. o Komisijinu prijedlogu (SL 2017., C 378, str. 399.).
( 63 ) Dokument br. 9083/15, Predsjedništvo članovima PUP‑a iz Skupine „Zaštita podataka”, od 27. svibnja 2015. Mišljenja se razilaze u pogledu članka 77. stavaka 3. do 6. Stavak 1., u kojem se utvrđuje načelo odgovornosti voditelja obrade i izvršitelja obrade, i stavak 2., u kojem se ističe materijalni opseg njihove odgovornosti i ograničava odgovornost izvršitelja obrade, poklapaju se.
( 64 ) Loc. cit., točka 5.
( 65 )
( 66 ) Ili, ako je riječ o izvršitelju obrade, ako je povrijedio upute voditelja obrade u skladu s OUZP‑om.
( 67 ) Uz mogućnost kasnijeg ponavljanja: članak 77. stavak 6., u prvoj opciji
( 68 ) Dokument br. 9083/15, Predsjedništvo članovima PUP‑a iz Skupine „Zaštita podataka”, od 27. svibnja 2015., točka 7. Za odgovornost na temelju krivnje otvoreno se zalagala delegacija Ujedinjene Kraljevine. S obzirom na njezine argumente, ostalima je upućeno pitanje u tom smislu (dokument br. 7722/15, Predsjedništvo Skupini „Zaštita podataka”, od 13. travnja 2015, t. 10. i 11.). Čini se da konačno predložena opcija slijedi obvezu koju je iznijela njemačka delegacija (dokument br. 8150/1/15 Rev 1, od 6. svibnja 2015.), koja razlikuje sferu odnosa voditelja/izvršitelja obrade s ispitanikom i njihov međusobni odnos te u okviru potonjeg odnosa određuje pripisivanje odgovornosti na osnovi nepažnje ili krivnje: „liability follows fault, meaning that a party is only liable if he/she has intentionally or negligently acted contrary to his duties laid down in this Regulation”. Na temelju nepostojanja nepažnje bilo bi moguće izuzeće od odgovornosti u odnosu na ispitanika.
( 69 ) Loc. cit, t. 6., koja završava na sljedeći način: „In other words, the mere fact that an entity was involved in a non‑compliant processing operation which caused damage suffices for it to be held liable for the full amount of damages”.
( 70 ) Članak 77. stavak 4.a, u toj verziji: „If a data subject is not able to bring a claim for compensation against the controller […]”.
( 71 ) Dokument br. 9565/15, Predsjedništvo Vijeću, od 11. lipnja 2015.
( 72 ) Moje isticanje. Uz to dodavanje izostavljeni su primjeri razloga za izuzeće iz uvodne izjave 118.: točke 104. i sljedeće infra.
( 73 ) Uvodna izjava 10. OUZP‑a
( 74 ) Upućujem na svoje mišljenje u predmetu C‑300/21. Kao što sam to u njemu istaknuo, zakonodavac nastoji potaknuti privatnu provedbu pravila u području zaštite osobnih podataka. U tu se svrhu u poglavlju VIII. OUZP‑a ispitaniku na raspolaganje stavljaju instrumenti. Naknada štete zbog građanskopravne odgovornosti jedan je od njih, ali nema kaznene funkcije.
( 75 ) To je u Prijedlogu Komisije bio jedan od argumenata za stavljanje Direktive 95/46 izvan snage.
( 76 ) Uvodna izjava 77. i sljedeće OUZP‑a.
( 77 ) Treba pojasniti: odgovornost ima preventivnu funkciju jer utječe na odluku voditelja obrade o razini aktivnosti koju će obavljati. Na temelju tumačenja koje predlažem moguće je povezati članak 82. OUZP‑a s načelima obrade kao što su ograničavanje svrhe, smanjenje količine podataka i točnost (članak 5. stavak 1. točke (b), (c), (d) OUZP‑a).
( 78 ) Nepažnja tako postaje kriterij za pripisivanje odgovornosti.
( 79 ) Vidjeti bilješku 52. supra.
( 80 ) To je stajalište suda koji je uputio zahtjev (vidjeti bilješku 51. supra). Prema njegovu mišljenju, sudjelovanje ispitanika koji traži uvid u svoje podatke ne bi trebalo biti relevantno prilikom pripisivanja odgovornosti. Moglo bi pak biti za određivanje iznosa štete.
( 81 ) To je stajalište MDK‑a i žalbenog suda (vidjeti bilješku 52. supra). Zapravo bi se moglo tvrditi da u tom scenariju nedostaje element „štete”: volenti non fit iniuria.
( 82 ) Točka 40. odluke kojom se upućuje zahtjev za prethodnu odluku
( 83 ) Za razliku od drugih područja (primjerice, od područja odgovornosti za neispravne proizvode), uzroci za izuzeće u OUZP‑u se ne navode u obliku taksativnog popisa.
( 84 )
( 85 ) Nadzornik obrade „može [se] izuzeti od odgovornosti ako dokaže da nije odgovoran za štetu, posebno u slučajevima kada utvrdi grešku osobe čiji se podaci obrađuju ili u slučaju više sile”. Moje isticanje
( 86 ) Uvodna izjava 118. Prijedloga Komisije
( 87 ) Uvodna izjava 118. teksta koji prati Zakonodavnu rezoluciju Parlamenta od 12. ožujka 2014. o Komisijinu prijedlogu.
( 88 ) Točka 84. i sljedeće supra. Primjeri se navode u dokumentima o pregovorima u okviru Vijeća, ali ih nema u kompromisnom tekstu, dokumentu br. 9565/15, od 11. lipnja 2015.
( 89 ) Upućujem prije svega na dokument br. 9083/15, Predsjedništvo članovima PUP‑a iz Skupine „Zaštita podataka”, od 27. svibnja 2015.
( 90 ) S obzirom na kontekst (da ponovim, poseban naglasak na slučaj u kojem više voditelja obavlja obradu), može se zaključiti da bi jednu mogućnost u tom smislu za voditelja obrade predstavljalo dokazivanje da je šteta nastala isključivo djelovanjem izvršitelja obrade, a za izvršitelja obrade da je za nju odgovoran samo voditelj obrade.
( 91 ) Ni viša sila, koja je bila drugi razlog koji se izričito navodio u uvodnoj izjavi 55. Direktive 95/46 (vidjeti točku 105. supra).
( 92 ) Ne isključujem, logično, mogućnost sudjelovanja trećih osoba. U tom pogledu vidjeti mišljenje nezavisnog odvjetnika G. Pitruzzelle od 27. travnja 2023.u predmetu Nacionalna agencia za prihodite (C‑340/21, EU:C:2023:353).
( 93 ) Kako bi se otklonile dvojbe koje su postojale u pogledu Direktive 95/46, u OUZP‑u se ističe da on obuhvaća nematerijalnu štetu. U uvodnoj izjavi 146. upućuje se na „svaku štetu” i naglašava da pojam „šteta” treba tumačiti široko, oslanjajući se na sudsku praksu Suda. Točan doseg tog navoda još je predmet rasprave.
( 94 ) Ne navodi se treba li za određivanje vrijednosti štete u svakom pojedinom slučaju upotrijebiti skalu, prednost dati jednokratnoj isplati iznosa ili primijeniti druge sustave izračuna.
( 95 ) Među tim bi čimbenicima eventualno mogli biti: (a) čimbenik koji je predložio sud koji je uputio zahtjev, (b) postojanje ispitanikove krivnje, na koje se poziva MDK u točki 80. svojih pisanih očitovanja; (c) drugi čimbenici, kao što je uvođenje maksimalnih iznosa naknade štete kako se ne bi neopravdano odvratilo od obrade podataka ili gospodarskih djelatnosti koje o njoj ovise.
( 96 ) Točka 87. i sljedeće supra
( 97 ) Direktivom 95/46 ništa se nije propisivalo u tom pogledu. U pripremnim aktima za OUZP nisam pronašao naznaku da je o tom pitanju bilo rasprave.
( 98 ) Članak 94. stavak 2. Uredbe Vijeća (EZ) br. 2100/94 od 27. srpnja 1994. o oplemenjivačkim pravima na biljnu sortu Zajednice (SL 1994., L 227, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 3., svezak 24., str. 3.) ili članak 13. i uvodna izjava 26. Direktive 2004/48/EZ Europskog parlamenta i Vijeća od 29. travnja 2004. o provedbi prava intelektualnog vlasništva (SL 2004., L 157, str. 45.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 17. svezak 2., str. 74.)
( 99 ) Članak 83. stavak 2. točka (b) i uvodna izjava 148. OUZP‑a. U tom se okviru u obzir uzima kriterij proporcionalnosti, i to ne samo u pogledu djela, nego i s obzirom na to predstavlja li novčana kazna neproporcionalan teret za fizičku osobu. Irska vlada u točki 54. svojih pisanih očitovanja predlaže da se taj kriterij primijeni na građanskopravnu odgovornost. Kako bi se on smatrao sastavnim dijelom članka 82., ponavljam da nedostaje tekstualni argument; u prilog tome ne idu ni pripremni akti, ni svrha pravnog pravila, kao ni njegova funkcija unutar cjeline.
( 100 ) Učinkovita naknada štete treba moći ispuniti funkciju zaštite prava na zaštitu podataka.
( 101 ) I jedan i drugi imaju građanskopravnu odgovornost u skladu s odredbama članka 82. stavaka 2. i 3. OUZP‑a. Neovisno o stupnju sudjelovanja u nastanku štete, odgovorni su za nju u cijelosti.
( 102 ) Ne isključujem mogućnost da postoje druge okolnosti koje opravdavaju smanjenje iznosa: mislim, primjerice, na odvagivanje prava na naknadu štete (i, na temelju tog prava, na pravo na zaštitu podataka) s drugom imovinom ili pravima iste razine u konkretnim slučajevima. Pridjev puna u OUZP‑u se upotrebljava i kako bi se zajamčilo da su obuhvaćene određene vrste štete (nematerijalna); kako bi se izbjeglo da se naknada štete ograniči samo na naknadu za stvarni gubitak (ona, kao što je u drugim područjima istaknuo Sud, mora uključivati i druge elemente) te kako bi se zajamčilo da to što postoji više voditelja obrade ne otežava ostvarivanje prava na naknadu štete, već upravo suprotno.