1.

A jelen előzetes döntéshozatal iránti kérelem az (EU) 2016/679 rendeletnek ( 2 ) a következőkkel kapcsolatos értelmezésére vonatkozik: a) az egészségügyi személyes adatok kezelése; valamint b) magának az általános adatvédelmi rendeletnek az (állítólagos) megsértése folytán elszenvedett kár megtérítése.

2.

Noha a Bíróság már állást foglalt a GDPR ( 3 ) e kérdéseket érintő rendelkezéseiről, a jelen előzetes döntéshozatal iránti kérelem keretében előterjesztett kérdések – a negyedik kérdés kivételével – újaknak tekinthetők. ( 4 )

3.

A jelen jogvita szempontjából a GDPR (4), (10), (35), (51)–(54) és (146) preambulumbekezdése releváns.

4.

A 9. cikk („A személyes adatok különleges kategóriáinak kezelése”) értelmében:

„(1)   A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha:

[…]

[…]

[…]

(3)   Az (1) bekezdésben említett személyes adatokat abban az esetben lehet a (2) bekezdés h) pontjában említett célokból kezelni, ha ezen adatok kezelése olyan szakember által vagy olyan szakember felelőssége mellett történik, aki uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott szakmai titoktartási kötelezettség hatálya alatt áll, illetve olyan más személy által, aki szintén uniós vagy tagállami jogban, illetve az arra hatáskörrel rendelkező tagállami szervek által megállapított szabályokban meghatározott titoktartási kötelezettség hatálya alatt áll.

(4)   A tagállamok további feltételeket – köztük korlátozásokat – tarthatnak hatályban, illetve vezethetnek be a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan.”

5.

A 82. cikk („A kártérítéshez való jog és a felelősség”) így szól:

„(1)   Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.

[…]

(3)   Az adatkezelő, illetve az adatfeldolgozó mentesül az e cikk (2) bekezdése szerinti felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.

[…]”

6.

A 278. § (1) bekezdésének első mondata szerint minden szövetségi tartományban létre kell hozni közjogi szervezetként az egészségbiztosítási pénztárak ( 6 ) egészségügyi szolgálatát. ( 7 ) E szolgálat törvény által előírt egyik feladata, hogy a tagok munkaképtelenségével kapcsolatos kétségek eloszlatására szolgáló jelentéseket készítsen.

7.

A 275. § (1) bekezdése első mondata 3. pontjának b) alpontja értelmében a biztosított orvosi igazolással alátámasztott munkaképtelensége esetén az egészségbiztosítási pénztárak kötelesek meghatározott körülmények mellett a munkaképtelenséggel kapcsolatos kétségek eloszlatása céljából az illetékes egészségügyi szolgálat jelentését beszerezni.

8.

ZQ 1991 óta dolgozik a nordrheini (Németország) egészségügyi szolgálatnál munkavállalóként, az informatikai osztályon rendszergazdaként és helpdesk‑munkatársként.

9.

Az egészségügyi szolgálat az egészségbiztosítási pénztári tagok munkaképtelenségéről szóló szakvélemény készít. E szakvélemények között fellehetők az egészségügyi szolgálat saját munkavállalóinak egészségi állapotára vonatkozó jelentések is.

10.

Az adatkezelés többek között a következő – egy belső szolgáltatási utasításban meghatározott – ( 8 ) szabályokat követi:

11.

A „Különleges ügyek” szervezeti egysége „Informatikai osztálya” alegységének egyes munkatársai az archiválást követően – a törvényben előírt titoktartási kötelezettség mellett – hozzáférhetnek azon szakvéleményekhez, amelyek az egészségügyi szolgálat munkavállalóit érintő szakvéleménykészítési megbízás alapján készültek.

12.

ZQ 2017. november 22. óta betegség miatt folyamatosan munkaképtelen volt.

13.

2018. május 24‑tól ( 10 ) ZQ táppénzben részesült az egészségbiztosítási pénztárától. 2018. június 6‑án az egészségbiztosítási pénztár megbízta az egészségügyi szolgálatot azzal, hogy készítsen szakvéleményt a ZQ munkaképtelenségével kapcsolatos kétségek eloszlatása céljából.

14.

Az egészségügyi szolgálat vállalta a megbízást, és a „Különleges ügyek” egységet jelölték ki ügyintézésre. 2018. június 22‑én ezen egység egyik, az egészségügyi szolgálat alkalmazásában álló orvosa ZQ diagnózisát tartalmazó szakvéleményt készített. E szakvélemény elkészítése során ezen orvos telefonon beszélt ZQ kezelőorvosával, és információkat szerzett be tőle.

15.

Az egészségügyi szolgálat elektronikusan archiválta a jelentést.

16.

ZQ a kezelőorvosától értesült arról, hogy az egészségügyi szolgálat orvosa felhívta őt.

17.

2018. augusztus 1‑jén ZQ felvette a kapcsolatot egészségügyi szolgálat informatikai osztályának egyik munkatársával, és megkérdezte tőle, hogy tárolnak‑e róla szakvéleményt. Az archívumban végzett keresés után a munkatárs igennel válaszolt. A ZQ kérésére a munkatárs lefényképezte a szakvéleményt, és a felvételeket elküldte ZQ részére.

18.

2018. augusztus 15‑én ZQ eredménytelenül követelte az egészségügyi szolgálattól 20000,00 euró összegű kártérítés megfizetését a GDPR 82. cikke alapján.

19.

2018. október 17‑én ZQ keresetet nyújtott be az Arbeitsgericht Düsseldorfhoz (düsseldorfi munkaügyi bíróság, Németország). Az eljárás során ezenfelül vagyoni kártérítést is követelt az elmaradt jövedelmének megfelelő összegben. ( 11 )

20.

A bírósági eljárás ideje alatt az egészségügyi szolgálat megszüntette ZQ munkaviszonyát.

21.

A kérelmét mind az elsőfokú, mind pedig a másodfokú bírósági eljárásban elutasították. ( 12 )

22.

ZQ a Bundesarbeitsgerichthez (szövetségi munkaügyi bíróság) fordult, amely a következő kérdéseket terjesztette a Bíróság elé:

23.

Az előzetes döntéshozatal iránti kérelem 2021. november 8‑án érkezett a Bírósághoz.

24.

Írásbeli észrevételeket ZQ, az egészségügyi szolgálat, az ír és az olasz kormány, valamint az Európai Bizottság terjesztett elő.

25.

A Bíróság tárgyalás tartását nem tartotta szükségesnek.

26.

A Bíróság kérésének megfelelően a jelen indítvány nem foglalkozik az előzetes döntéshozatalra előterjesztett negyedik kérdéssel. ( 13 )

27.

A kérdést előterjesztő bíróság azt kívánja megtudni, hogy a GDPR 9. cikke (2) bekezdésének h) pontja tiltja-e az egészségügyi szolgálat részére azt, hogy kezelje saját munkavállalójának az e munkavállaló munkavégzési képessége felmérésének feltételét képező egészségügyi adatait. Az adatkezelés – az adatkezelést végző szerv miatti – jogszerűségét kérdőjelezi meg tehát. ( 14 )

28.

A GDPR 9. cikke az adatok olyan különleges kategóriáit szabályozza, mint a természetes személyek egészségére vonatkozó adatok. A rendelet általános tilalmat állapít meg a „különleges” adatok kezelésére vonatkozóan (az (1) bekezdés), és kimerítően felsorolja azokat a körülményeket, amelyek között az általános tilalom nem alkalmazható (a (2) bekezdés).

29.

Konkrétan a GDPR 9. cikke (2) bekezdésének h) pontja tartalmazza a személyes adatok „megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása […] érdekében” történő kezelésére vonatkozó (az általános tilalom alóli) kivételt.

30.

Véleményem szerint e rendelkezés megfelelő jogalapot nyújt az egészségügyi szolgálat jogvita tárgyát képező tevékenységére. ( 15 ) Nincs jelentősége annak, hogy az adatkezelő egyúttal az érintett munkáltatója is, mivel az egészségügyi szolgálat nem ilyen munkáltatóként, hanem egy olyan egészségbiztosítási pénztár egészségügyi szolgálataként jár el, amelynek az érintett a tagja. ( 16 )

31.

Nem látom okát annak, hogy a GDPR 9. cikke (2) bekezdésének h) pontját úgy értelmezzem, hogy az tiltja az egészségügyi szolgálatoknak, hogy munkavállalóik egészségügyi adatait az e pontban említett célokból kezeljék. A szokásos hermeneutikai szempontok inkább ellentétes eredményre vezetnek (nincs ilyen tilalom).

32.

A szó szerinti értelmezés szempontjából a GDPR 9. cikke (2) bekezdésének h) pontja e tekintetben nem tesz ilyen kizárást, és az adatkezelés feltételeként sem írja elő, hogy az adatkezelőnek „semleges harmadik félnek” kell lennie. ( 17 )

33.

A jogalkotási előzményekből és a rendelkezés fejlődéséből sem tűnik ki az előzetes döntéshozatalra előterjesztett első kérdésben felvetetthez hasonló tilalom, sem az annak belefoglalására irányuló szándék. ( 18 )

34.

A GDPR egészségügyi adatok kezelésére vonatkozó rendelkezéseinek célja – amint azt a Bíróság megállapította – az, ( 19 ) hogy fokozott védelmet biztosítsanak az érintettek számára, tekintettel arra, hogy ezen adatok különösen érzékeny jellegűek az érintett alapvető jogok szempontjából. E célt szolgálja a GDPR 9. cikkének (1) bekezdésében foglalt általános tilalom, amely azonban nem abszolút jellegű. ( 20 )

35.

E területen – csakúgy mint a személyes adatok kezelésével összefüggő egyéb területeken – az általános tilalom megállapítását követően a jogalkotó a következők mellett döntött:

36.

Márpedig absztrakt módon nincs akadálya annak, hogy az imént említett konkrét biztosítékok között szerepeljen az, hogy megtiltják az egészségügyi szolgálatok számára a munkavállalók egészségügyi adatainak kezelését. Nekem azonban nem tűnik úgy, hogy e lehetőség (amelyet az európai jogalkotó nem fogadott el) elengedhetetlen lenne a fent említett cél fenntartásához.

37.

Úgy vélem tehát, hogy az a tilalom, amelyre a kérdést előterjesztő bíróság kérdése irányul, nem következik feltétlenül a GDPR 9. cikke (2) bekezdése h) pontjának teleologikus értelmezéséből.

38.

Azt sem gondolom, hogy a rendelkezés rendszertani értelmezése eltérő eredményhez vezetne, mivel:

39.

Összefoglalva, az előzetes döntéshozatalra előterjesztett első kérdésre nemleges választ javaslok adni (vagyis, hogy a vitatott tilalom nem létezik a GDPR-ban), ami lehetővé teszi a következő kérdés megválaszolását.

40.

Ha – amint azt javaslom – az előzetes döntéshozatalra előterjesztett első kérdésre nemleges a válasz, a kérdést előterjesztő bíróság azt kívánja megtudni, hogy „a jelen ügyben szereplőhöz hasonló helyzetben a GDPR 9. cikkének (3) bekezdésében foglalt követelményeken túlmenően további adatvédelmielőírások[…] is [léteznek‑e], és adott esetben [melyek]”.

41.

A válaszadás általában véve nem vet fel különösebb problémát. ( 26 ) A Bíróság megállapította, hogy a személyes adatok minden kezelésének meg kell felelnie a GDPR 5. cikkében foglalt elveknek, valamint a 6. cikkében foglalt jogszerűségi feltételek valamelyikének. ( 27 )

42.

A kérdést előterjesztő bíróság szerint a titoktartási kötelezettség (a GDPR 9. cikkének (3) bekezdése) tiszteletben tartása a jelen ügyhöz hasonló körülmények között nem elegendő az adatok védelméhez. A Bizottság további kiegészítő intézkedéseket javasol, és álláspontja szerint e célra kizárólag ezen intézkedések lennének alkalmasak. ( 28 )

43.

Úgy vélem, hogy a GDPR 9. cikkének (3) bekezdése önmagában nem szolgálhat e további intézkedések alapjául. Annak egyértelmű szövege (amely a 95/46 irányelvben már szereplő rendelkezés pontosítására szorítkozik) ( 29 ) nem támasztja alá a kérdést előterjesztő bíróság javaslataihoz hasonló javaslatokat.

44.

E javaslatok ezzel szemben a GDPR 9. cikke (4) bekezdésének hatálya alá tartozhatnának. E rendelkezés értelmében „a tagállamok további feltételeket – köztük korlátozásokat – […] vezethetnek be […] az egészségügyi adatok kezelésére vonatkozóan”. ( 30 ) Az előzetes döntéshozatalra utaló határozatból mindazonáltal nem következik, hogy Németországban ez a helyzet állt volna fenn.

45.

Mindemellett és az általam fent kifejtett okok miatt az egészségügyi személyes adatok kezelésének meg kell felelnie – egyéb elvek mellett – a GDPR 5. cikke (1) bekezdésének f) pontjában foglalt elveknek és az említett rendelkezésből eredő, IV. fejezetében részletezett kötelezettségeknek.

46.

Az adatkezelőnek ( 31 ) továbbá megfelelő technikai és szervezési intézkedéseket kell hoznia annak biztosítása céljából, hogy a konkrét adatkezelés a GDPR-ral összhangban történjen. Ezt írja elő általános jelleggel a rendelet 24. cikkének (1) bekezdése.

47.

A GDPR 32. cikkének (1) bekezdése kifejezetten arra kötelezi az adatkezelőt, hogy alkalmazzon „megfelelő technikai és szervezési intézkedéseket” annak érdekében, hogy a szóban forgó személyes adatokat érintő „kockázat mértékének megfelelő szintű adatbiztonságot garantálja”.

48.

E szabályoknak a jelen ügyre történő alkalmazásával az egészségügyi szolgálat ZQ vonatkozásában betöltött munkáltatói minősége a szokásosnál nagyobb gondossági kötelezettséget ír elő az egészségügyi szolgálat számára az egészségügyi adatok kezelése során, mivel a kockázatok is magasabbak. ( 32 )

49.

Az egészségügyi szolgálat előtt nem ismeretlen e tény. Amikor egy olyan egészségbiztosítási pénztár megbízásából, amelynek a munkavállaló tagja, szakvéleményt készít a munkavállaló munkaképességével(‑képtelenségével) kapcsolatos kétségek eloszlatása érdekében, egy sor ad hoc technikai és szervezeti intézkedést alkalmaz, amelyek célja, hogy az egészségügyi személyes adatok kezelését összhangba hozzák a GDPR-ral. ( 33 )

50.

Ezen intézkedések értékelése a kérdést előterjesztő bíróság feladata, amely az értékelését követően határozhat úgy, hogy az elfogadott intézkedések nem voltak elegendőek. Ez azonban nem teszi lehetővé, hogy a GDPR 9. cikkéből arra lehessen következtetni, hogy az egészségügyi szolgálat köteles lenne hivatalból elutasítani az egészségbiztosítási pénztáraktól származó (munkavállalókra vonatkozó) orvosi szakvélemény iránti kérelmet. ( 34 )

51.

Az előzetes döntéshozatalra előterjesztett első kérdésre adandó nemleges válasz esetén a harmadik kérdéssel az előterjesztő bíróság azt kívánja megtudni, hogy az egészségügyi adatok kezelésének tilalma alóli kivétel fennállásához „a GDPR 6. cikkének (1) bekezdésében felsorolt feltételek egyikének is teljesülnie kell‑e”.

52.

E kérdés megválaszolásához elemezni kell a GDPR 9. cikkének (2) bekezdése és az adatkezelés jogszerűségére vonatkozó 6. cikke közötti kapcsolatot. Annak szükségességét, hogy ez utóbbi rendelkezésnek minden adatkezelés során meg kell felelni, a Bíróság – általam fentiekben hivatkozott – ítéletei rögzítik. ( 35 )

53.

A C‑439/19. sz. ügyben hozott ítélet ( 36 ) különösen a GDPR-nak a különleges személyes adatok egy másik kategóriájára (a büntetőjogi felelősség megállapítására vonatkozó határozatok és a bűncselekményekre vonatkozó személyes adatok) ( 37 ) vonatkozó 10. cikkét értelmezte, megállapítva, hogy a GDPR6. cikke a 10. cikkel együttesen alkalmazandó.

54.

Kiterjeszthető‑e ugyanez a követelmény a GDPR 9. cikke szerinti személyes adatokra?

55.

A GDPR 9. és 10. cikkének szerkezete eltérő. A 10. cikk kifejezett utalást tartalmaz a GDPR 6. cikkének (1) bekezdésére, amely utalás a 9. cikkben nem szerepel.

56.

A GDPR 9. cikkének (2) bekezdése és 10. cikke tartalmilag sem hasonlítható össze: a 10. cikk csupán az adatkezelés szubjektív korlátozására hivatkozik, míg a 9. cikk (2) bekezdése – a 6. cikk (1) bekezdéséhez hasonlóan – az adatkezelést igazoló célokat (vagy körülményeket) határozza meg.

57.

A GDPR 6. cikkének (1) bekezdése és 9. cikkének (2) bekezdése közötti párhuzam ugyanis olyan mértékű, hogy első olvasatban úgy tűnik, hogy az utóbbiban felsorolt körülmények az előbbiben szereplő feltételek meghatározását jelentik: pontosítják és egyben szigorítják is azokat.

58.

A GDPR 9. cikkének története és fejlődése ugyanakkor megkérdőjelezi, hogy a 9. cikk és a 6. cikk közötti kapcsolat a „különös szabályok” és az „általános szabályok” fogalmaival magyarázható‑e.

59.

Nem vitatott, hogy ezen értelmezést egyes tagállamok küldöttségei ténylegesen támogatták. ( 38 ) A 9. cikk megtárgyalására vonatkozó dokumentumok azonban nem a 6. cikkre való hivatkozással, ( 39 ) hanem annak hatályával kapcsolatban mutatnak eltéréseket (azt illetően, hogy az vajon csak az (1) bekezdésre, vagy másokra is vonatkozik). ( 40 ) Végül a 9. cikkből törölték a 6. cikkre való hivatkozást, ( 41 ) és a preambulumban a GDPR jelenlegi (51) preambulumbekezdéséhez hasonló bekezdés fenntartása mellett döntöttek. ( 42 )

60.

A két rendelkezés közötti halmozó vagy kiegészítő jelleg gondolatát az Európai Adatvédelmi Bizottság ( 43 ) is osztja, és az úgynevezett 29. cikk szerinti munkacsoport ( 44 ) támogatta az elgondolást a 95/46/EK irányelv 8. cikkét illetően. ( 45 ) Ez azonban sem a jogelméletben, sem más releváns fórumokon nem megkérdőjelezhetetlen felfogás. ( 46 )

61.

A GDPR 9. cikke (2) bekezdésének különböző pontjait vizsgálva inkább úgy gondolom, hogy az e rendelkezés és a 6. cikk közötti kapcsolat valójában nem teszi lehetővé az egységes választ. Ugyanis:

62.

Úgy vélem tehát, hogy ahhoz, hogy a különleges adatoknak a GDPR 9. cikke (2) bekezdésének h) pontja által engedélyezett kezelése jogszerű legyen, meg kell vizsgálni, hogy a 6. cikk (1) bekezdésében részletezett feltételek közül esetről esetre melyik feltétel teszi jogszerűvé az adatkezelést.

63.

A kérdést előterjesztő bíróság nem vitatja, hogy ez így van: ezzel szemben ezen előfeltevésből kiindulva inkább annak elutasítására összpontosítja figyelmét, hogy az egészségügyi szolgálat által végzett adatkezelést a 6. cikk igazolná. ( 48 )

64.

Első ránézésre számomra nem tűnik úgy, hogy a rendelkezés által előírt jogalapok között elsőbbségi sorrend állna fenn. Egy részletesebb elemzés rávilágíthat arra, hogy árnyalatokra van szükség. ( 49 ) Úgy vélem azonban, hogy az ilyen elemzés túlmenne azon, ami az előzetes döntéshozatal iránti kérelem megválaszolásához szükséges. ( 50 )

65.

Összefoglalva, az előzetes döntéshozatalra előterjesztett harmadik kérdésre adandó válasznak jeleznie kell a kérdést előterjesztő bíróság számára, hogy az egészségügyi adatok kezelésének tilalma alóli kivétel feltételezi, hogy a GDPR 6. cikkének (1) bekezdésében felsorolt feltételek legalább egyike teljesüljön.

66.

A kérdést előterjesztő bíróság azt kívánja megtudni, hogy „jelentőséggel bír‑e a megtérítendő nem vagyoni kár mértékének a GDPR 82. cikkének (1) bekezdése alapján történő megállapítása során az adatkezelő, illetve adatfeldolgozó vétkességének mértéke”, és hogy „figyelembe vehető‑e különösen az adatkezelő, illetve adatfeldolgozó javára vétkességének hiánya vagy kis mértéke”.

67.

A kérdés feltételezi, hogy az adatkezelőként megjelenő személy megsértette a GDPR-t, ( 51 ) és azt a kérdést veti fel, hogy az adatkezelő vétkességének mértéke jelentőséggel bír‑e az e jogsértésből eredő kár megtérítésének összegszerűsítése szempontjából. A kérdést előterjesztő bíróság szerint nem biztos, hogy az adatkezelő vétkességének hiánya vagy kis mértéke mentő körülménynek minősíthető.

68.

Szó szerint értelmezve a kérdés a kártérítés összegszerűsítésére irányul. A hozzáfűzött magyarázatok azonban némi zavart keltettek, mivel nem volt egyértelmű, hogy a vétkességre mint a felelősség betudásának feltételére vagy mint a kártérítés összegének kiigazításához szükséges tényezőre utalnak‑e.

69.

A kérdést előterjesztő bíróság – miután a Bíróság felhívta e kétértelműség tisztázására – kifejtette, hogy a kérdés mindkét szempontra vonatkozik, anélkül hogy pontosította volna a kérdésnek az eredeti jogvitával való kapcsolatát.

70.

E válasz tükrében a kérdést előterjesztő bíróság által előterjesztett kérdésekre az egészségügyi szolgálat által az érintett személynek a kár okozásában való esetleges részvételére vonatkozóan előterjesztetett kérdések megválaszolása után (is) kívánok válaszolni. ( 52 ) Elemzésem három lépésben fogom levezetni:

71.

A kérdést előterjesztő bíróság úgy véli, hogy a GDPR 82. cikkének (1) bekezdése a polgári jogi felelősséget nem teszi függővé (az adatgazda tekintetében) ( 54 ) a szándékosság vagy gondatlanság fennállásától vagy bizonyítékától. Hozzáteszi, hogy ugyanezen cikk (3) bekezdése nem támaszt alá más megoldást.

72.

Elismerem, hogy nem egyértelmű, hogy a GDPR milyen polgári jogi felelősségi modellt fogadott el, és hogy előzetesen többféle értelmezés is lehetséges. ( 55 ) A kérdést előterjesztő bíróság értelmezése ezek egyike: véleményem szerint, helyes.

73.

A GDPR 82. cikke (1) bekezdésének olyan értelmezése, amely szerint az az adatkezelő vétkességétől független polgári jogi felelősségi rendszert vezet be, véleményem szerint összhangban áll annak szövegével, az előkészítő munkálatok közvetlenül alátámasztják, és mindenekelőtt a szabály célját szolgálja. A rendelkezés más bekezdéseire, valamint a rendszer egészére tekintettel elfogadható.

74.

A kérdést előterjesztő bíróság által képviselt álláspont összhangban van a GDPR 82. cikkének (1) bekezdésével. Szó szerint, az adatkezelőt terhelő kártérítéshez való jog minden további nélkül kapcsolódik önmagában a GDPR megsértése miatt elszenvedett kárhoz.

75.

A 82. cikk többi bekezdése nem tesz lehetővé más választ. ( 56 ) Többek között a 82. cikk (3) bekezdésében szereplő „felróható” szóból nem mennék el addig, hogy vétkességi követelményre következtessek. E kifejezés csak a GDPR egyes nyelvi változataiban szerepel; más nyelvi változatok ezzel szemben a „felelős” kifejezést használják. A német nyelvi változatban sem a 82. cikk, sem a preambulum nem tartalmazza a vétkességen alapuló betudásra jellemző szakkifejezést („Verschulden”). ( 57 )

76.

A GDPR különböző rendelkezéseinek összehasonlítása azt mutatja, hogy a használt terminológia nem mindig egyértelmű, ennélfogva körültekintően kell eljárni a megfogalmazásukból való következtetések levonásakor. Az angol nyelvi változatban például a „responsible” szó számos jelentésben szerepel. ( 58 )

77.

Az adatkezelő szándékára vagy vétkességére való hivatkozásnak a GDPR 82. cikkében való hiánya ellentétes a 83. cikk szerinti közigazgatási bírságokra való hivatkozással: „[a]nnak eldöntésekor, hogy szükség van‑e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben” kellőképpen figyelembe kell venni a GDPR megsértésének szándékos vagy gondatlan jellegét. ( 59 )

78.

Noha a szövegek közötti eltérés gyengíti a nyelvtani értelmezési szempont súlyát, legalább megerősíti azt az elképzelést, hogy sem a szándék, sem a vétkesség nem jelenik meg a GDPR 82. cikkében, és hogy ez a hiány tudatos, és nem a jogalkotó mulasztásának tulajdonítható.

79.

A GDPR -ban végül elfogadott felelősség betudásának jogcíméről szóló vitát elhomályosítja az a kontextus, amelyben a vita – több adatkezelő feltételezésével összhangban – a Tanácson belül zajlott.

80.

E vita eljárási megfontolásokkal keveredett anélkül, hogy olyan fogalmi módszer alapján folyna, amely lehetővé tenné egyrészt a vétkesség mint a felelősség betudásának jogcíme, másrészt a vétkesség hiányának az ugyanezen felelősség alóli mentesítés céljából való funkciója közötti különbségtételt az ok‑okozati összefüggés szintjén.

81.

Ugyanakkor úgy vélem, hogy az előkészítő munkálatok a GDPR 82. cikke (1) bekezdésének olyan értelmezését támasztják alá, amely szerint a polgári jogi felelősség nem függ az adatkezelő vétkességétől.

82.

A bizottsági javaslat a 95/46/EK irányelvet követte, és nem említette a gondatlanságot. A tanácsi dokumentumok megemlítik, hogy az előírt felelősség meghatározása „strict liability”. ( 60 )

83.

A Parlament Állampolgári Jogi, Bel‑ és Igazságügyi Bizottságában javasolt módosítás a 82. cikk (akkori 77. cikk) (1) bekezdését olyan tartalommal ruházta volna fel, amelyben a felelősség szándékosságon vagy gondatlanságon alapul. ( 61 ) Nem járt sikerrel. ( 62 )

84.

A Tanácsban a 77. cikkről és a betudás kritériumáról folytatott vita a több személy ugyanazon adatkezelési műveletben való részvétele esetén történő felelősség megállapításához és megosztásához kapcsolódóan zajlott. Ebben az összefüggésben az elnökség két lehetőség közötti választást javasolt: ( 63 )

85.

Az elnökség által általános iránymutatásként ( 71 ) elfogadásra benyújtott kompromisszumos szöveg az első lehetőséget követi, bár a 77. cikk (3) bekezdésének megfogalmazásával megerősíti a mentesítés kivételességét és bizonyításának nehézségét: „[…] if it [adatkezelő/adatfeldolgozó] proves that it is not in any way responsible […].” ( 72 ) E megfogalmazás és a végül jóváhagyott cikk megegyezik.

86.

Összefoglalva, a GDPR végleges szövegéhez vezető jogalkotási folyamat elemzése amellett szól, hogy az általános adatvédelmi rendelet 82. cikkének (1) bekezdésében említett felelősség ne az adatkezelő vétkességéhez kapcsolódjon.

87.

A GDPR olyan rendszert hoz létre, amely a természetes személyek magas szintű védelmének biztosítására irányul, miközben megszünteti a személyes adatok áramlása előtt álló akadályokat. ( 73 ) Ebben a rendszerben a 82. cikk veszteség‑ellensúlyozó célt követ, annak sérelme nélkül, hogy másodlagosan a rendelkezéseivel ellentétes magatartásoktól való elrettentésre vagy azok megelőzésére is szolgál. ( 74 )

88.

A kártérítés biztosítása önmagában is cél: ez abból a jelentőségből következik, amelyet a jogalkotó tulajdonít neki, és amely a jogszabályszöveg egyszerű olvasatából is kiderül. A GDPR értelmében – ha már kár merült fel – a kártérítéshez való jog az érintett joga; a kár fogalmát tágan kell értelmezni; és a kártérítésnek teljesnek és ténylegesnek kell lennie.

89.

A kártérítés a polgárok digitális környezetbe vetett bizalmának megerősítése irányuló szándékhoz kapcsolódik, amely a GDPR (7) preambulumbekezdésében meghatározott általános jellegű célkitűzés. A bizalom erősítésére szolgál annak biztosítása, hogy az érintett – elvi megoldásként – ne szenvedjen el minden további nélkül adatainak jogellenes kezeléséből eredő károkat: vagyona biztonságban van, és eljárási szempontból egyszerűbb a követelés érvényesítése.

90.

E megközelítéssel összhangban áll, hogy a GDPR 82. cikkének (1) bekezdése a kártérítési kötelezettséget nem kapcsolja össze a gondossági kötelezettség megsértésével. Az ilyen kötelezettség a jogalkotó döntése értelmében azt a személyt terheli, aki a jogviszonyban bizonyos jogvédő vagy garantáló szerepet tölt be, és éppen e puszta tényre tekintettel.

91.

Kijelenthető tehát, hogy a GDPR szempontjából a jogsértésből eredően kárt elszenvedő sértett helyzete bír jelentőséggel, amennyiben semmilyen szabály nem kötelezi őt a kár viselésére.

92.

A sértett számára nincs jelentősége annak, hogy a kár bekövetkezését illetően a károkozó vétkes volt‑e vagy sem: a döntő tényező az, hogy az adatkezelő okozta‑e neki a GDPR megsértéséből eredő – vagyoni vagy nem vagyoni – kárt.

93.

A fent leírt célkitűzések könnyebben megvalósíthatók egy olyan modellben, amely arra irányul, hogy a bizonyított kár:

94.

A digitális forradalomhoz való alkalmazkodás keretében ( 75 ) ez a megoldás számomra koherensnek tűnik. A gyors technológiai fejlődés megköveteli, hogy az online végzett leggyakoribb adatkezelési tevékenységek esetében a szándékosság vagy gondatlanság hiánya ne akadályozza meg az egyébként megtérítetlenül maradó károk megtérítését.

95.

Az általam javasolt értelmezés jobban megfelel a GDPR rendszerének. Ezt a 82. cikk (3) bekezdése is megerősíti: az adatkezelő mentesül, ha „bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség”.

96.

Ebből a megfogalmazásból kiemelkedik a „semmilyen módon” fordulat, ami azt sugallja, hogy a modell nem a bizonyítási teher megfordításával járó vétkesség (vagy akár csak a nagyon csekély mértékű vétkesség) modellje.

97.

Az a felfogás, hogy a kártérítés nem függ az adatkezelő vétkességétől, önálló jelentést ad a 82. cikknek a VIII. fejezeten és végső soron a GDPR egészén belül.

98.

Az uniós jogalkotó abból indul ki, hogy a személyes adatok kezelése kockázati forrást jelenthet. Előírja az adatkezelők számára, hogy értékeljék ezen kockázatokat, és hozzanak olyan intézkedéseket, amelyek megelőzik és minimalizálják az általuk azonosított kockázatokat, illetve időnként frissítsék azokat. ( 76 )

99.

Bebizonyosodott, hogy a vétkességen alapuló polgári jogi felelősség modellje előmozdítja a gondosságot és ily módon a kockázatokkal szembeni védelmet, míg az alternatív modell, amely nem veszi figyelembe, hogy az adatkezelő milyen módon járt el, visszatartja az adatkezelőt az óvatosságtól (mivel kár esetén mindenképpen meg kell térítenie azt).

100.

Véleményem szerint ez az eredmény ( 77 ) elfogadható a GDPR -ban. A 82. cikk egy összetett szabályozási rendszer részét képezi, amely közjogi és magánjogi eszközöket tartalmaz a személyes adatok védelmére. E rendszer keretében a gondatlanság (és a szándékosság) jelentőséggel bír a közigazgatási szankciók szempontjából. Nem tartom szükségesnek, hogy a polgári jogi felelősség szempontjából is jelentőséggel bírjanak, ( 78 ) ami sértené a 82. cikk célkitűzéseit, és ezenfelül csökkentené az általa előírt jogorvoslat tényleges vonzerejét.

101.

Az adatkezelő vétkességének szükségességére vonatkozó kérdések a jelen ügyben azon következményekhez kapcsolódnak, amelyek az érintett beavatkozásából eredhetnek. ( 79 )

102.

Az alábbiak jobb megértése érdekében pontosítani kell, hogy a jogvita körülményeit két forgatókönyv szerint vették figyelembe:

103.

Mindenesetre az én nézetem szerint – amely nézetet a kérdést előterjesztő bíróság is osztani látszik – ( 82 ) az érintett magatartása által a kárt okozó jogsértő cselekmény elkövetésére gyakorolt hatás (amennyiben volt ilyen) meghatározása érdekében a 82. cikk (3) bekezdéséhez kell folyamodni.

104.

A rendelkezés még példálózó jelleggel sem sorolja fel a felelősség alóli mentesülés konkrét okait. Hasonlóképpen, a (146) preambulumbekezdés sem teszi ezt meg. ( 83 )

105.

Úgy tűnik, a GDPR e tekintetben eltér a 95/46 irányelvtől, amely rendelet 23. cikkének (2) bekezdése a GDPR jelenlegi 82. cikkének (3) bekezdéséhez hasonló szabályt ( 84 ) tartalmazott: a 95/46 irányelv (55) preambulumbekezdése a mentességi okok példájaként az érintett felelősségét vagy a vis maiort sorolta fel, ( 85 ) amelyek nem szerepelnek a GDPR-ban.

106.

Ha nem tévedek, a GDPR előkészítő munkálataiból nem az derül ki, hogy e két, a Bizottság ( 86 ) és a Parlament ( 87 ) javaslatában szereplő példát megvitatták volna.

107.

Az elvetésére és a „semmilyen módon” fordulat megjelenésére a már említett, a számos adatkezelő, illetve adatfeldolgozó adatkezeléssel kapcsolatos felelőssége szabályozásának módjáról szóló vita keretében került sor. ( 88 )

108.

A rendelkezésre álló dokumentumokból ( 89 ) kitűnik, hogy a végleges tervezetben az adatkezelő akkor részesül mentességben, ha bizonyítja, hogy egyáltalán nem felelős („responsible”) a kárért („0 % responsibility”). Ugyanez vonatkozik az adatfeldolgozóra is. ( 90 )

109.

Ez alapján nem gondolom, hogy a két példa preambulumból való eltűnése – a GDPR ugyanezen preambulumában és 82. cikkének (3) bekezdésében szereplő „semmilyen módon” fordulattal való kiegészítéssel párhuzamosan – azzal a következménnyel (és nem is azzal a céllal) járna, hogy az érintett tevékenységét kizárják a felelősség alóli mentesülési okok köréből. ( 91 )

110.

Inkább úgy tűnik, hogy az érintett tevékenysége továbbra is alkalmas arra, hogy az esettől függően megszakítsa a „tény” (a GDPR 82. cikkének (3) bekezdése e kifejezést használja) és az adatkezelő elkövetése közötti nélkülözhetetlen kapcsolatot. A mentesítő záradék korlátozott jellegének hangsúlyozása nem akadályozza meg, hogy az érintett adott magatartása önmagában megalapozza a kárt, és ennek megfelelően meghatározza az adatkezelő felelősség alóli mentesülését.

111.

A rendszertani értelmezés amellett szól, hogy a kártérítési felelősség keretében figyelembe kell venni az érintettnek a kár keletkezésében való szerepét. A GDPR rendszerében az egyének vesznek részt az adataik védelmében azáltal, hogy e célból olyan eszközöket biztosítanak számukra, amelyek önmagukban is jogok.

112.

Teleológiai szempontból úgy látom, hogy a GDPR magas szintű védelmet kíván biztosítani, de nem olyan mértékben, hogy arra kötelezné az adatkezelőt, hogy az érintettnek betudható tevékenységekből vagy cselekményekből eredő károkat is megtérítse. ( 92 )

113.

A kérdést előterjesztő bíróság megerősítette, hogy az előzetes döntéshozatalra előterjesztett ötödik kérdés arra vonatkozik, hogy az adatkezelő vétkességének mértéke befolyásolja‑e a kártérítés kiszámítását. Pontosabban, hogy az adott adatkezelő vétkességének hiánya vagy kis mértéke figyelembe vehető‑e a javára.

114.

A GDPR 82. cikke alig szól, vagy egyenesen hallgat a kártérítés fő kérdései tekintetben, amelyek hatással lehetnek a kártérítés összegének kiszámítására. Nem ad iránymutatást az értelmezőnek arra vonatkozóan, hogy az milyen elemekből áll, ( 93 ) milyen kritériumok alapján kell értékelni (összegre átszámítani) ezen elemeket, ( 94 ) vagy hogy milyen tényezők befolyásolhatják az összeget. ( 95 )

115.

Ennek ellenére úgy látom, hogy a GDPR kártérítéshez való jogot biztosít az érintett számára, amelynek összegét a ténylegesen elszenvedett kár alapján határozzák meg. Miután megállapították azt az összeget, amely objektív értelemben ellentételezi ezt a kárt, az nem változtatható meg az adatkezelő kisebb vagy nagyobb mértékű gondatlanságának függvényében.

116.

Álláspontom alátámasztására – mutatis mutandis – utalok arra, amit a GDPR 82. cikkének rendszerében a felelősség adatkezelőnek – vétkességétől függetlenül – való betudásával kapcsolatban kifejtettem. A sértett szempontjából, akinek (anyagi és nem anyagi) helyzetét a kár bekövetkeztét követően is helyre kell állítani, a kártérítésnek anélkül kell megtörténnie, hogy azt az adatkezelő vétkességéhez kapcsolnák, függetlenül annak súlyossága mértékétől. ( 96 )

117.

Úgy vélem, hogy ugyanerre a megoldásra jutunk annak megállapításával, hogy a GDPR 82. cikke (amelynek előkészítő munkálatai nem adnak támpontokat arra vonatkozóan, hogy melyik álláspontot kell képviselni) ( 97 ) eltér más uniós jogi eszközöktől, amelyek kifejezetten különbséget tesznek a kártérítésként megfizetendő összeg polgári jogi felelősség alapján történő megállapításakor aszerint, hogy a jogsértésben való közreműködésről volt-e bárkinek „tudomása” vagy sem. ( 98 )

118.

Véleményem szerint ezt az értékelést két további érv is alátámasztja:

119.

A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság a Bundesarbeitsgericht (szövetségi munkaügyi bíróság, Németország) részére a következő választ adja:

„A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 9. cikke (2) bekezdésének h) pontját és (3) bekezdését, valamint a 82. cikkének (1) és (3) bekezdését

a következőképpen kell értelmezni:

E rendelkezések nem tiltják, hogy az egészségbiztosítási pénztár orvosi szolgálata az e szolgálat munkavállalójának egészségi állapotára vonatkozó adatokat kezeljen, amennyiben azok elengedhetetlenek a munkaképesség értékeléséhez.

Lehetővé teszik az egészségügyi személyes adatok kezelésének tilalmától való eltérést, amennyiben ezen adatkezelés a munkavállaló munkavégzési képességének felmérése céljából szükséges, a 2016/679 rendelet 5. cikkében foglalt elvek és a 2016/679 rendelet 6. cikkében előírt jogszerűségi feltételek valamelyikének tiszteletben tartása mellett.

Az adatkezelő, illetve az adatfeldolgozó vétkességének mértéke nem bír jelentőséggel sem valamelyikük felelősségének megállapításánál, sem pedig a megtérítendő nem vagyoni kár összegének az általános adatvédelmi rendelet 82. cikkének (1) bekezdése alapján történő megállapításánál.

Az érintettnek a kártérítési kötelezettség alapjául szolgáló cselekményben való közreműködése adott esetben meghatározhatja az adatkezelő vagy az adatfeldolgozó felelősség alóli, a 2016/679 rendelet 82. cikkének (3) bekezdése szerinti mentesülését.”