1.

Zahtjev za prethodnu odluku odnosi se na tumačenje Uredbe (EU) 2016/679 ( 2 ) u pogledu (a) obrade osobnih podataka koji se odnose na zdravlje i (b) naknade štete uzrokovane (navodnom) povredom samog OUZP‑a.

2.

Iako je Sud već odlučivao o odredbama OUZP‑a ( 3 ) koje utječu na te aspekte, o pitanjima koja se upućuju u ovom zahtjevu za prethodnu odluku, osim o četvrtome ( 4 ), još ne postoji odluka.

3.

Za ovaj su spor relevantne uvodne izjave 4., 10., 35., 51. do 54. i 146. iz preambule OUZP‑a.

4.

U skladu s člankom 9. („Obrada posebnih kategorija osobnih podataka”):

„1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

2.   Stavak 1. ne primjenjuje se ako je ispunjeno jedno od sljedećeg:

[…]

[…]

[…]

3.   Osobni podaci iz stavka 1. mogu se obrađivati u svrhe navedene u stavku 2. točki (h) kada te podatke obrađuje stručnjak ili se podaci obrađuju pod odgovornošću stručnjaka koji podliježe obvezi čuvanja profesionalne tajne sukladno pravu Unije ili pravu države članice ili pravilima koja su odredila nadležna nacionalna tijela ili druga osoba koja također podliježe obvezi čuvanja tajne sukladno pravu Unije ili pravu države članice ili pravilima koja su utvrdila nadležna nacionalna tijela.

4.   Države članice mogu zadržati ili uvesti dodatne uvjete, uključujući ograničenja s obzirom na obradu genetskih podataka, biometrijskih podataka ili podataka koji se odnose na zdravlje.”

5.

Članak 82. („Pravo na naknadu štete i odgovornost”) glasi:

„1.   Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.

[…]

3.   Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.

[…].”

6.

U skladu s njegovim člankom 278. stavkom 1. prvom rečenicom, medicinska služba ( 6 ) fondova zdravstvenog osiguranja ( 7 ) osniva se u svakoj njemačkoj saveznoj zemlji kao subjekt javnog prava. Jedna od zadaća koja joj je zakonom dodijeljena sastavljanje je stručnog mišljenja radi uklanjanja dvojbi u pogledu radne nesposobnosti osiguranikâ.

7.

U skladu s člankom 275. stavkom 1. prvom rečenicom točkom 3. podtočkom (b), KV‑ovi u određenim slučajevima, kad je riječ o osiguranikovoj radnoj nesposobnosti koju je potvrdio liječnik, imaju obvezu tražiti od odgovarajućeg MDK‑a stručno mišljenje radi uklanjanja dvojbi u pogledu njegove radne nesposobnosti.

8.

Osoba ZQ je u MDK‑u Nordrhein (Njemačka) bila zaposlena od 1991. u informatičkom odjelu kao administrator sustava i zaposlenik u službi za korisnike.

9.

MDK sastavlja stručna mišljenja o radnoj nesposobnosti osiguranikâ KV‑ova. Među ostalim, stručna mišljenja o zdravstvenom stanju samih zaposlenika MDK‑a.

10.

Obrada podataka obavlja se, među ostalim, na temelju sljedećih pravila iz internog pravilnika službe ( 8 ):

11.

Nakon što se spis pohrani, zaposlenici „Informatičkog odjela” organizacijske jedinice „Posebni slučajevi”, koji imaju zakonsku obvezu čuvanja tajne, mogu pristupiti sastavljenim stručnim mišljenjima na temelju naloga koji se odnosi na MDK‑ove zaposlenike.

12.

Osoba ZQ je od 22. studenoga 2017. neprekidno bila nesposobna za rad zbog bolesti.

13.

Osoba ZQ je od 24. svibnja 2018. ( 10 ) novčano davanje za slučaj bolesti primala od KV‑a, čiji je osiguranik. Kako bi otklonio dvojbe u pogledu radne nesposobnosti osobe ZQ, KV je 6. lipnja 2018. od MDK‑a zatražio da sastavi stručno mišljenje.

14.

MDK je nalog prihvatio te je on dodijeljen jedinici „Posebni slučajevi”. Liječnica iz te jedinice, MDK‑ova zaposlenica, sastavila je 22. lipnja 2018. stručno mišljenje koje sadržava dijagnozu osobe ZQ. Kako bi sastavila to stručno mišljenje, liječnica je telefonski razgovarala s obiteljskim liječnikom osobe ZQ te je od njega pribavila potrebne informacije.

15.

MDK je stručno mišljenje pohranio u digitalnom obliku.

16.

Osoba ZQ preko svojeg je obiteljskog liječnika saznala za poziv MDK‑ove liječnice.

17.

Osoba ZQ stupila je 1. kolovoza 2018. u kontakt s kolegicom iz MDK‑ova informatičkog odjela te ju je pitala je li pohranjeno stručno mišljenje koje se odnosi na nju. Nakon što je pretražila arhiv, kolegica je odgovorila potvrdno. Na zahtjev osobe ZQ fotografirala je mišljenje i poslala joj fotografije.

18.

Osoba ZQ neuspješno je 15. kolovoza 2018. zahtijevala od MDK‑a da joj plati naknadu štete u iznosu od 20000 eura u skladu s člankom 82. OUZP‑a.

19.

Osoba ZQ 17. listopada 2018. podnijela je tužbu Arbeitsgerichtu Düsseldorf (Radni sud u Düsseldorfu, Njemačka). U tom je postupku usto zahtijevala naknadu štete u visini iznosa neisplaćenih plaća ( 11 ).

20.

Tijekom sudskog postupka MDK je prekinuo radni odnos s osobom ZQ.

21.

Zahtjevi osobe ZQ odbijeni su u prvostupanjskom i u žalbenom postupku ( 12 ).

22.

Osoba ZQ podnijela je pravni lijek Bundesarbeitsgerichtu (Savezni radni sud, Njemačka), koji je Sudu uputio sljedeća pitanja:

23.

Tajništvo Suda zaprimilo je zahtjev za prethodnu odluku 8. studenoga 2021.

24.

Pisana očitovanja podnijeli su osoba ZQ, MDK, irska i talijanska vlada te Europska komisija.

25.

Sud je odlučio da raspravu nije potrebno održati.

26.

U skladu s uputom Suda, ovo se mišljenje neće odnositi na četvrto prethodno pitanje ( 13 ).

27.

Sud koji je uputio zahtjev želi znati zabranjuje li se MDK‑u člankom 9. stavkom 2. točkom (h) OUZP‑a da obrađuje podatke koji se odnose na zdravlje jednog od njegovih zaposlenika kad su oni nužni za procjenu njegove radne sposobnosti. Prema tome, dovodi u pitanje zakonitost obrade zbog subjekta koji obradu obavlja ( 14 ).

28.

Člankom 9. OUZP‑a uređuju se posebne kategorije podataka, kao što su oni koji se odnose na zdravlje pojedinca. U njemu se utvrđuje opća zabrana obrade „osjetljivih” podataka (stavak 1.) i taksativno navode okolnosti u kojima se ta opća zabrana ne primjenjuje (stavak 2.).

29.

Konkretno, u članku 9. stavku 2. točki (h) OUZP‑a navodi se iznimka (od opće zabrane) koja se odnosi na obradu osobnih podataka „u svrhu preventivne medicine ili medicine rada radi procjene radne sposobnosti zaposlenika, medicinske dijagnoze, pružanja zdravstvene ili socijalne skrbi”.

30.

Prema mojem mišljenju, ta je odredba dovoljno pokriće za MDK‑ovo postupanje koje je predmet spora ( 15 ). Činjenica da je voditelj obrade istodobno ispitanikov poslodavac nije relevantna jer MDK ne djeluje u svojstvu tog poslodavca, nego medicinske službe KV‑a koji je osiguravao ispitanika ( 16 ).

31.

Ne vidim na kojoj bi se osnovi članak 9. stavak 2. točka (h) OUZP‑a mogao tumačiti na način da se njime medicinskoj službi zabranjuje da obrađuje podatke o zdravlju svojih zaposlenika u svrhe koje se navode u toj točki. Uobičajeni hermeneutički kriteriji prije upućuju na suprotno rješenje (nepostojanje takve zabrane).

32.

S doslovnog stajališta, članak 9. stavak 2. točka (h) OUZP‑a ne sadržava nikakvu iznimku u tom smislu niti se njime kao uvjet obrade određuje da voditelj obrade mora biti „neovisna treća strana” ( 17 ).

33.

Ni raniji propisi ni izmjene navedene odredbe ne upućuju na zabranu poput one koja se navodi u prvom prethodnom pitanju, kao niti da je postojala namjera da se ona uključi ( 18 ).

34.

Kao što je to utvrdio Sud ( 19 ), svrha pravnih pravila OUZP‑a o obradi podataka koji se odnose na zdravlje jest ispitanicima pružiti pojačanu zaštitu s obzirom na osobitu osjetljivost tih podataka za temeljna prava o kojima je riječ. Radi postizanja tog cilja utvrđuje se opća zabrana iz članka 9. stavka 1. OUZP‑a, ali ona nije apsolutna ( 20 ).

35.

U tom području, kao i u drugim područjima koja obuhvaćaju obradu osobnih podataka, zakonodavac je nakon utvrđivanja opće zabrane mogao:

36.

Prema tome, u teoriji ništa ne sprečava da se među posebne mjere opreza koje sam upravo istaknuo uvrsti zabrana da MDK obrađuje podatke koji se odnose na zdravlje njegovih zaposlenika. Međutim, ne smatram da je ta opcija (koju europski zakonodavac nije odabrao) nužna kako bi se očuvao prethodno navedeni cilj.

37.

Stoga ne smatram da je zabrana u pogledu koje sud koji je uputio zahtjev postavlja pitanje neizbježna posljedica teleološkog tumačenja članka 9. stavka 2. točke (h) OUZP‑a.

38.

Ne smatram ni da sustavno tumačenje odredbe dovodi do drukčijeg rješenja jer:

39.

Ukratko, predlažem da se na prvo prethodno pitanje odgovori niječno (odnosno, da OUZP ne sadržava spornu zabranu), zbog čega je moguće razmotriti sljedeće pitanje.

40.

U slučaju da je (kao što to predlažem) odgovor na prvo prethodno pitanje niječan, sud koji je uputio zahtjev želi znati „[postoje] li u slučaju kao što je ovaj osim uvjeta utvrđenih u članku 9. stavku 3. OUZP‑a […] i drug[i] zahtjev[i] u pogledu zaštite osobnih podataka i, ako [postoje], koji su to zahtjevi”.

41.

Općenito govoreći, ne postoje veći problemi da se na to pitanje odgovori ( 26 ). Sud je naglasio da svaka obrada osobnih podataka mora biti u skladu s načelima iz članka 5. OUZP‑a i nekim od uvjeta zakonitosti iz njegova članka 6. ( 27 ).

42.

Sud koji je uputio zahtjev smatra da poštovanje obveze čuvanja tajne (članak 9. stavak 3. OUZP‑a) nije dovoljno za zaštitu podataka u okolnostima kao u ovom slučaju. Predlaže druge dodatne mjere za koje smatra da su jedine prikladne za postizanje navedenog cilja ( 28 ).

43.

Smatram da članak 9. stavak 3. OUZP‑a kao takav ne može poslužiti kao osnova za te dodatne mjere. Njegov jasan tekst (u kojem se samo pojašnjava odredba koja je već bila dio Direktive 95/46) ( 29 ) ne može biti uporište za prijedloge kao što je onaj koji iznosi sud koji je uputio zahtjev.

44.

Osnova za te prijedloge mogao bi pak biti članak 9. stavak 4. OUZP‑a. U skladu s njim, države članice mogu uvesti „dodatne uvjete, uključujući ograničenja s obzirom na obradu […] podataka koji se odnose na zdravlje” ( 30 ). Međutim, iz odluke kojom se upućuje zahtjev za prethodnu odluku ne proizlazi da je to slučaj u Njemačkoj.

45.

S obzirom na to i na prethodno objašnjene razloge, na obradu osobnih podataka koji se odnose na zdravlje treba, među ostalim, primijeniti načelo iz članka 5. stavka 1. točke (f) OUZP‑a i obveze koje iz njega proizlaze, navedene u poglavlju IV. tog teksta.

46.

Voditelj obrade ( 31 ) treba usto donijeti odgovarajuće tehničke i organizacijske mjere kako bi zajamčio da se konkretna obrada obavlja u skladu s OUZP‑om. To se općenito utvrđuje u njegovu članku 24. stavku 1.

47.

Člankom 32. stavkom 1. OUZP‑a voditelja obrade konkretno se obvezuje na provedbu „odgovarajuć[ih] tehničk[ih] i organizacijsk[ih] mjer[a] kako bi osigura[o] odgovarajuću razinu sigurnosti s obzirom na rizik” koji postoji u pogledu osobnih podataka o kojima je riječ.

48.

Ako se ta pravila primijene na ovaj slučaj, MDK, s obzirom na to da ima status poslodavca osobe ZQ, ima obvezu da prilikom obrade njegovih podataka koji se odnose na zdravlje postupa s više pažnje nego inače jer su i rizici veći ( 32 ).

49.

MDK je upoznat s tom činjenicom. Kad na temelju naloga KV‑a, koji osigurava njegova zaposlenika, sastavlja stručno mišljenje kako bi otklonio dvojbe u pogledu njegove radne (ne)sposobnosti, provodi niz ad hoc tehničkih i organizacijskih mjera, predviđenih kako bi se obrada osobnih podataka koji se odnose na zdravlje uskladila s OUZP‑om ( 33 ).

50.

Na sudu koji je uputio zahtjev jest da ocijeni te mjere, a nakon te ocjene može odlučiti da poduzete mjere nisu bile dostatne. No na temelju toga nije moguće iz članka 9. OUZP‑a izvesti obvezu MDK‑ova da po službenoj dužnosti odbiju sve zahtjeve za medicinsko stručno mišljenje (o svojim zaposlenicima) koje im upute KV‑ovi ( 34 ).

51.

U slučaju niječnog odgovora na prvo prethodno pitanje, sud koji je uputio zahtjev trećim pitanjem želi saznati ovisi li iznimka od zabrane obrade podataka koji se odnose na zdravlje „i o tome da treba biti ispunjen barem jedan od uvjeta koji se navode u članku 6. stavku 1. OUZP‑a”.

52.

Za odgovor na to pitanje potrebno je analizirati vezu članka 9. stavka 2. OUZP‑a s njegovim člankom 6., koji se odnosi na zakonitost obrade. U presudama koje je donio Sud, a na koje sam prethodno uputio, navodi se da svaka obrada podataka mora biti u skladu s potonjim člankom ( 35 ).

53.

Konkretno, Sud je u presudi donesenoj u predmetu C‑439/19 ( 36 ) protumačio članak 10. OUZP‑a u pogledu druge kategorije osjetljivih osobnih podataka (koji se odnose na kaznene osude i kažnjiva djela) ( 37 ), pri čemu je utvrdio da se članak 6. OUZP‑a primjenjuje kumulativno s člankom 10.

54.

Može li se ta premisa primijeniti i na osobne podatke navedene u članku 9. OUZP‑a?

55.

Strukture članaka 9. i 10. OUZP‑a razlikuju se. U članku 10. izričito se upućuje na članak 6. stavak 1. samog OUZP‑a, što nije slučaj s člankom 9.

56.

Ni sadržaj članka 9. stavka 2. i članka 10. OUZP‑a nisu usporedivi: u članku 10. samo se navodi subjektivno ograničenje obrade, dok se u članku 9. stavku 2., kao i u članku 6. stavku 1., utvrđuju svrhe (ili okolnosti) kojima se obrada opravdava.

57.

Naime, članak 6. stavak 1. i članak 9. stavak 2. OUZP‑a do te su mjere slični da se na prvi pogled čini da su okolnosti koje se u potonjem članku navode objašnjenja uvjeta koji se navode u prvom članku: ti se uvjeti ujedno objašnjavaju i postaju teži.

58.

Međutim, povijest i promjene članka 9. OUZP‑a dovode u pitanje može li se veza između njega i članka 6. objasniti kao odnos „posebnog zakona” i „općeg zakona”.

59.

Utvrđeno je da su se za to tumačenje stvarno zalagale delegacije određenih država članica ( 38 ). Međutim, dokumenti koji se odnose na pregovore o članku 9. ne pokazuju da je bilo neslaganja u pogledu upućivanja na članak 6. ( 39 ), nego o njegovu opsegu (treba li uputiti samo na njegov stavak 1. ili i na ostale?) ( 40 ). Naposljetku, upućivanje na članak 6. ( 41 ) izostavljeno je iz članka 9. te se u preambuli odlučilo zadržati dio sličan današnjoj uvodnoj izjavi 51. OUZP‑a ( 42 ).

60.

Ideju kumulativnosti ili komplementarnosti navedenih dvaju odredbi dijeli i Europski odbor za zaštitu podataka ( 43 ), a branila ju je i takozvana Skupina iz članka 29. ( 44 ) u pogledu članka 8. Direktive 95/46 ( 45 ). Međutim, to tumačenje u sudskoj praksi, kao ni na ostalim relevantnim razinama, nije nesporno ( 46 ).

61.

Ako se razmotre različite točke članka 9. stavka 2. OUZP‑a, smatram da o odnosu te odredbe i članka 6. nije zapravo moguće dati jednoznačan odgovor. Naime:

62.

Stoga smatram da je, kako bi obrada osjetljivih podataka koja je dopuštena na temelju članka 9. stavka 2. točke (h) OUZP‑a bila zakonita, potrebno utvrditi koji je od uvjeta navedenih u članku 6. stavku 1. opravdava u svakom slučaju.

63.

Sud koji je uputio zahtjev to ne dovodi u pitanje, nego, polazeći od te premise, odbacuje da je za obradu koju je izvršio MDK moguće pronaći opravdanje u članku 6. ( 48 ).

64.

Na prvi mi se pogled ne čini da postoji redoslijed prvenstva pravnih osnova koje se predviđaju tom odredbom. Detaljnija analiza mogla bi pokazati da su potrebna dodatna pojašnjenja ( 49 ). Ipak, smatram da bi ta analiza bila šira od onoga što je nužno za odgovor na prethodno pitanje o kojem je riječ ( 50 ).

65.

Ukratko, u odgovoru na treće prethodno pitanje sudu koji je uputio zahtjev treba istaknuti da je za iznimku od zabrane obrade podataka koji se odnose na zdravlje potrebno da je ispunjen barem jedan od uvjeta koji se navode u članku 6. stavku 1. OUZP‑a.

66.

Sud koji je uputio zahtjev želi znati je li „prilikom određivanja iznosa nematerijalne štete koju je potrebno nadoknaditi na temelju članka 82. stavka 1. OUZP‑a relevantan stupanj krivnje voditelja obrade ili izvršitelja obrade” te, konkretno, „smije li se nepostojanje krivnje ili manji stupanj krivnje voditelja obrade ili izvršitelja obrade uzeti u obzir u njegovu korist”.

67.

U pitanju se polazi od presumpcije da je došlo do povrede OUZP‑a ( 51 ) koju je počinila stranka koja ima status voditelja obrade podataka te se nastoji saznati je li za određivanje iznosa naknade štete uzrokovane tom povredom važan stupanj krivnje navedenog voditelja obrade. Prema tvrdnjama suda koji je uputio zahtjev, nije utvrđeno da se nepostojanje krivnje ili manji stupanj krivnje voditelja obrade mogu smatrati elementima koji mu idu u korist.

68.

Ako se shvati doslovno, pitanje se odnosi na određivanje iznosa naknade štete. Međutim, pojašnjenja koja uz njega dolaze dovode do određene zbunjenosti jer nije jasno upućuje li se na krivnju kao na uvjet za pripisivanje odgovornosti ili kao na čimbenik za određivanje iznosa naknade štete.

69.

Nakon što je Sud od njega zatražio da razjasni tu dvosmislenost, sud koji je uputio zahtjev odgovorio je da se pitanje odnosi na oba aspekta, pri čemu nije iznio više detalja o njihovoj povezanosti s glavnim postupkom.

70.

S obzirom na taj odgovor, predlažem da se na pitanja suda koji je uputio zahtjev odgovori nakon što se razmotre (i) pitanja koja iznosi MDK u pogledu eventualnog sudjelovanja ispitanika u nastanku štete ( 52 ). Svoja razmatranja iznosim u tri faze:

71.

Sud koji je uputio zahtjev smatra da se člankom 82. stavkom 1. OUZP‑a građanskopravna odgovornost (voditelja ( 54 )) ne uvjetuje time da postoji ili da je dokazana namjera ili nepažnja. Dodaje da u skladu sa stavkom 3. istog članka drukčije rješenje nije moguće.

72.

Priznajem da nije jasno koji je model građanskopravne odgovornosti preuzet u OUZP‑u i da su a priori moguća različita tumačenja ( 55 ). Tumačenje suda koji je uputio zahtjev jedno je od njih, i to, prema moje mišljenju, pravilno.

73.

Tumačenje članka 82. stavka 1. OUZP‑a u smislu da se njime uspostavlja sustav građanskopravne odgovornosti koji ne ovisi o krivnji voditelja u skladu je, prema mojem mišljenju, s njegovim doslovnim tekstom, ima neposredno uporište u pripremnim aktima i, prije svega, ide u prilog svrsi tog pravnog pravila. Prihvatljivo je s obzirom na druge stavke iste odredbe, kao i sustav u cjelini.

74.

Stajalište koje zagovara sud koji je uputio zahtjev u skladu je s tekstom članka 82. stavka 1. OUZP‑a. Doslovno govoreći, pravo na naknadu štete na teret voditelja obrade jednostavno je povezano sa štetom nastalom zbog povrede samog OUZP‑a.

75.

Ostali stavci 82. ne upućuju u drugom smjeru ( 56 ). Konkretno, ne bih se usudio izvesti zahtjev postojanja krivnje na temelju izraza „[može pripisati]” iz članka 82. stavka 3. Taj se pojam pojavljuje samo u nekim jezičnim verzijama OUZP‑a, dok se u drugima rabi pojam „odgovoran”. U njemačkoj se verziji ni u članku 82. ni u preambuli ne navodi tehnički pojam pripisivanja krivnje („Verschulden”) ( 57 ).

76.

Usporedba različitih odredbi OUZP‑a pokazuje da izrazi koji se u njemu koriste nisu uvijek jednoznačni, pa treba biti iznimno oprezan kad se iz njegova doslovnog teksta žele izvesti posljedice. U engleskoj se verziji, primjerice, riječ „responsible” koristi u više navrata ( 58 ).

77.

Neupućivanje na namjeru ili krivnju voditelja obrade u članku 82. OUZP‑a u opreci je s onim što se u članku 83. navodi u pogledu upravnih novčanih kazni: „[p]ri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju” primjerena se pozornost posvećuje namjeri ili nepažnji prilikom počinjenja povrede OUZP‑a ( 59 ).

78.

Iako razlika između tih tekstova umanjuje važnost doslovnog hermeneutičkog kriterija, barem potvrđuje ideju da se u članku 82. OUZP‑a ne navode ni namjera ni krivnja te da je njihov izostanak namjeran odnosno da se ne može pripisati zakonodavčevoj nepažnji.

79.

Raspravu o osnovi za pripisivanje odgovornosti koja je konačno utvrđena u OUZP‑u narušava kontekst u kojem je ona vođena u okviru Vijeća, u pogledu slučaja u kojem postoji više sudionika obrade.

80.

Ta je rasprava isprepletena s postupovnim razmatranjima, pri čemu se nije slijedio konceptualni aparat na temelju kojeg bi se mogla razlikovati, s jedne strane, funkcija krivnje kao osnove za pripisivanje odgovornosti i, s druge strane, funkcija nepostojanja krivnje za potrebe izuzeća od iste odgovornosti, na razini uzročne veze.

81.

Međutim, smatram da pripremni akti idu u prilog tumačenju članka 82. stavka 1. OUZP‑a u skladu s kojim građanskopravna odgovornost ne ovisi o krivnji voditelja obrade.

82.

Komisija je u svojem prijedlogu slijedila Direktivu 95/46 i nije navodila nepažnju. U dokumentima Vijeća upućuje se na to da je navedena odgovornost zamišljena kao „strict liability” ( 60 ).

83.

Na temelju amandmana koji je predložio Odbor za građanske slobode, pravosuđe i unutarnje poslove Parlamenta, u članku 82. (tada članku 77.) stavku 1. dodao bi se sadržaj u kojem bi se odgovornost povezala s namjerom ili nepažnjom ( 61 ). Amandman nije prihvaćen ( 62 ).

84.

U Vijeću se rasprava o članku 77. i kriteriju za pripisivanje odgovornosti vodila u pogledu pripisivanja i podjele odgovornosti kad više osoba sudjeluje u istoj obradi. U tom je kontekstu Predsjedništvo predložilo da se izabere između dvije opcije ( 63 ):

85.

Kompromisni tekst koji je Predsjedništvo predložilo za donošenje kao opću smjernicu ( 71 ) u skladu je s prvom opcijom, iako se u njemu naglašava iznimnost izuzeća i težina njegova dokazivanja na temelju teksta članka 77. stavka 3.: „[…] if it [voditelj/izvršitelj obrade] proves that it is not in any way responsible (…)” ( 72 ). Taj tekst poklapa se s konačno donesenim člankom.

86.

Ukratko, analiza zakonodavnog itera koji je doveo do konačnog teksta OUZP‑a ide u prilog tumačenju da odgovornost na koju se upućuje u članku 82. stavku 1. nije povezana s krivnjom voditelja.

87.

OUZP‑om se uspostavlja sustav osmišljen kako bi se osigurala visoka razina zaštite pojedinaca i ujedno uklonile prepreke protoku osobnih podataka ( 73 ). Svrha njegova članka 82. u tom je sustavu naknada štete, ne dovodeći u pitanje da on podredno služi i za odvraćanje od postupanja koja nisu u skladu s njegovim odredbama ili za njihovo sprečavanje ( 74 ).

88.

Jamstvo naknade štete cilj je sam po sebi: to proizlazi iz važnosti koju joj zakonodavac pridaje, a koja postaje razvidna jednostavnim čitanjem teksta. Ostvarivanje naknade štete nakon njezina nastanka u OUZP‑u je ispitanikovo pravo, pojam štete treba tumačiti široko, a naknada štete treba biti puna i učinkovita.

89.

Naknada je povezana s nastojanjem da se potakne povjerenje građana u digitalno okruženje, a taj se opći cilj navodi u uvodnoj izjavi 7. OUZP‑a. Činjenica da se ispitaniku, kao načelno rješenje, jamči da ne mora jednostavno snositi štetu nastalu nezakonitom obradom njegovih podataka služi kako bi se potaknulo takvo povjerenje: njegova je imovina zaštićena, a u postupovnom je smislu jednostavnije zahtijevati njezino nadoknađivanje.

90.

U skladu je s tim pristupom da se u članku 82. stavku 1. OUZP‑a obveza naknade štete ne povezuje s nepoštovanjem obveze postupanja s pažnjom. Ta se obveza zakonodavčevom odlukom dodjeljuje onome koji zauzima određen položaj čuvara ili jamca u odnosu, i to upravo zbog same te činjenice.

91.

Stoga bi se moglo reći da je za OUZP relevantna situacija oštećenika koji je pretrpio štetu zbog povrede, kad mu se nijednim pravnim pravilom ne propisuje da ju je obvezan snositi.

92.

Za oštećenika je nevažno je li onaj koji je počinio štetu za nju kriv: odlučujuća je činjenica da mu je voditelj nanio materijalnu ili nematerijalnu štetu, koja proizlazi iz povrede OUZP‑a koju je navedeni voditelj počinio.

93.

Opisane ciljeve lakše je postići modelom u kojem utvrđena šteta:

94.

U okviru prilagodbe na digitalnu revoluciju ( 75 ) to mi se rješenje čini dosljednim. Zbog brzog razvoja tehnologije nužno je da izostanak namjere ili nepažnje u okviru najčešćih aktivnosti obrade podataka koje se obavljaju na internetu ne sprečava naknadu štete koja bi u protivnom ostala nepokrivena.

95.

Tumačenje koje predlažem bolje je usklađeno sa sustavom OUZP‑a. U okviru članka 82. to potvrđuje stavak 3.: izuzeće je moguće „ako [voditelj obrade] dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu”.

96.

U tom se tekstu ističe izraz „ni na koji način”, koji navodi na pomisao da nije riječ o modelu krivnje (čak ni s izrazito malim stupnjem krivnje) s prebacivanjem tereta dokazivanja.

97.

Ako bi se smatralo da naknada štete ne ovisi o krivnji voditelja obrade, članak 82. imao bi vlastito značenje u okviru poglavlja VIII. i, konačno, u OUZP‑u kao cjelini.

98.

Europski zakonodavac pretpostavlja da obrada osobnih podataka može biti izvor rizika. Voditeljima obrade nalaže da procijene te rizike te utvrde i ažuriraju odgovarajuće mjere za sprečavanje i umanjivanje utvrđenih rizika ( 76 ).

99.

Tvrdilo se da se modelom građanskopravne odgovornosti koji se temelji na krivnji promiče oprez i, prema tome, zaštita od rizika, dok bi se alternativnim modelom, u kojem se u obzir ne uzima postupanje voditelja obrade, voditelja obrade odvraćalo od toga da bude oprezan (jer štetu, ako postoji, treba nadoknaditi u svakom slučaju).

100.

Smatram da je taj rezultat ( 77 ) u OUZP‑u prihvatljiv. Članak 82. dio je složene strukture propisa, koja sadržava instrumente javnog i privatnog prava kojima se nastoje zaštititi osobni podaci. U okviru te strukture nepažnja (i namjera) važne su za potrebe upravnih sankcija. Ne vidim potrebu da budu relevantne i za potrebe građanskopravne odgovornosti ( 78 ): to bi naštetilo ciljevima članka 82. i usto smanjilo praktičnu privlačnost sredstva koje se njime predviđa.

101.

Pitanja o nužnosti krivnje voditelja obrade povezana su u ovom predmetu s posljedicama koje mogu proizaći iz ispitanikova sudjelovanja ( 79 ).

102.

Kako bi razmatranja koja slijede bila jasnija, treba istaknuti da su okolnosti spora promatrane iz dvaju kuteva:

103.

U svakom slučaju smatram da je, kao što to, čini se, smatra i sud koji je uputio zahtjev ( 82 ), kako bi se utvrdio utjecaj (ako on postoji) ispitanikova postupanja na počinjenje povrede koja je uzrokovala štetu, potrebno primijeniti članak 82. stavak 3.

104.

U odredbi se ne navode, čak ni kao primjer, posebni razlozi za izuzeće od odgovornosti. Ne navode se ni u uvodnoj izjavi 146 ( 83 ).

105.

Čini se da se OUZP u tom pogledu udaljava od Direktive 95/46, čiji je članak 23. stavak 2. sadržavao pravilo slično ( 84 ) sadašnjem članku 82. stavku 3. OUZP‑a: u uvodnoj izjavi 55. Direktive 95/46, kao primjer razloga za izuzeće, predlagala se ispitanikova odgovornost ili viša sila ( 85 ), što se u OUZP‑u ne navodi.

106.

Ako ne griješim, u pripremnim aktima OUZP‑a ne navodi se da je bilo rasprave o tim dvama primjerima, koji se jesu nalazili u Prijedlogu Komisije ( 86 ) i koje je Parlament zadržao ( 87 ).

107.

Do njihova izostavljanja i dodavanja priložnog izraza „ni na koji način” dolazi u okviru već navedene rasprave o načinu uređenja odgovornosti kad obradu obavlja više voditelja ili izvršitelja obrade ( 88 ).

108.

Iz dostupne dokumentacije ( 89 ) proizlazi da je u konačnoj verziji voditelj izuzet ako dokaže da nije uopće odgovoran („responsible”) za štetu („0 % responsibility”). Isto vrijedi i za izvršitelja obrade ( 90 ).

109.

Prema tome, ne smatram da izostavljanje tih dvaju primjera iz preambule, uz istodobno dodavanje izraza „ni na koji način” u tu preambulu i u članak 82. stavak 3. OUZP‑a, dovodi do izuzimanja ispitanikovih aktivnosti iz razloga za izuzeće od odgovornosti (niti da mu je to cilj) ( 91 ).

110.

Prije se čini da ispitanikova aktivnost i dalje može, ovisno o slučaju, izazvati prekid neophodne veze između „događaja” (u članku 82. stavku 3. OUZP‑a koristi se taj izraz) i toga da je počinitelj voditelj obrade. To što se naglašava ograničavajuća priroda odredbe o izuzeću ne znači da određeno postupanje ispitanika samo po sebi ne može uzrokovati štetu i, slijedom toga, dovesti do izuzeća voditelja od odgovornosti.

111.

Sustavno tumačenje ide u prilog tome da se u okviru odgovornosti za štetu u obzir uzme sudjelovanje ispitanika u njezinu nastanku. U sustavu iz OUZP‑a pojedinci su uključeni u zaštitu svojih podataka i u tu im se svrhu dodjeljuju instrumenti koji sami po sebi predstavljaju prava.

112.

S teleološkog stajališta, smatram da se OUZP‑om nastoji dodijeliti visoka razina zaštita, ali ne do te mjere da se voditelja obrade obvezuje da nadoknadi i štetu koja proizlazi iz događaja ili radnji koje se mogu staviti na teret ispitaniku ( 92 ).

113.

Sud koji je uputio zahtjev potvrdio je da se petim prethodnim pitanjem nastoji razjasniti utječe li stupanj krivnje voditelja obrade na izračun naknade štete. Konkretnije, mogu li se nepostojanje krivnje ili manji stupanj krivnje tog voditelja obrade uzeti u obzir u njegovu korist.

114.

Točno je da je članak 82. OUZP‑a nejasan odnosno da se u njemu jednostavno ne navodi ništa u pogledu ključnih aspekata naknade štete koji utječu na izračun njezina iznosa. Tumaču ne pruža smjernice u pogledu elemenata koji čine naknadu ( 93 ), kriterija za ocjenu tih elemenata (njihovo preračunavanje u iznos) ( 94 ) ni čimbenika koji bi mogli utjecati na njezin iznos ( 95 ).

115.

Unatoč tomu, smatram da se OUZP‑om ispitaniku dodjeljuje pravo na naknadu štete čiji se iznos određuje s obzirom na stvarno pretrpljenu štetu. Nakon što se utvrdi iznos koji tu štetu objektivno nadoknađuje, ne bi ga trebalo mijenjati ovisno o tome je li nepažnja voditelja obrade bila veća ili manja.

116.

U prilog svojem stajalištu upućujem, mutatis mutandis, na ono što sam iznio u pogledu pripisivanja odgovornosti voditelju, neovisno o njegovoj krivnji, u okviru sustava iz članka 82. OUZP‑a. Iz perspektive oštećenika, za čiju (materijalnu i nematerijalnu) imovinu treba isplatiti naknadu štete nakon njezina nastanka, štetu treba nadoknaditi a da se ona ne povezuje s krivnjom voditelja obrade, neovisno o stupnju njegove krivnje ( 96 ).

117.

Smatram da se do istog rješenja dolazi ako se u obzir uzme činjenica da se članak 82. OUZP‑a (čiji pripremni akti ne sadržavaju naznake u prilog jednom ili drugom stajalištu) ( 97 ) razlikuje od ostalih instrumenata prava Unije, u kojima se prilikom određivanja iznosa naknade štete na ime građanskopravne odgovornosti izričito razlikuje je li povreda počinjena „svjesno” ( 98 ).

118.

Prema mojem mišljenju, tu ocjenu potvrđuju još dva argumenta:

119.

S obzirom na prethodno navedeno, predlažem da se Bundesarbeitsgerichtu (Savezni radni sud, Njemačka) odgovori na sljedeći način:

„Članak 9. stavak 2. točku (h), članak 9. stavak 3. i članak 82. stavke 1. i 3. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da se njima:

medicinskoj službi fonda zdravstvenog osiguranja ne zabranjuje da obrađuje zaposlenikove podatke koji se odnose na zdravlje i koji su preduvjet za procjenu njegove radne sposobnosti.

Njima se dopušta iznimka od zabrane obrade osobnih podataka koji se odnose na zdravlje ako je ta obrada nužna za procjenu zaposlenikove radne sposobnosti te ako se na nju primjenjuju načela iz članka 5. i neki od uvjeta zakonitosti predviđenih člankom 6. Uredbe 2016/679.

Stupanj krivnje voditelja obrade ili izvršitelja obrade nije relevantan za nastanak odgovornosti voditelja odnosno izvršitelja obrade ni za određivanje iznosa nematerijalne štete koju se mora nadoknaditi u skladu s člankom 82. stavkom 1. Uredbe 2016/679.

Ispitanikovo sudjelovanje u događaju iz kojeg proizlazi obveza naknade štete može, ovisno o slučaju, dovesti do izuzeća voditelja obrade ili izvršitelja obrade od odgovornosti navedenog u članku 82. stavku 3. Uredbe 2016/679.”