Sprawa C‑21/23

ND

przeciwko

DR

(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesgerichtshof)

Wyrok Trybunału (wielka izba) z dnia 4 października 2024 r.

Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Rozdział VIII – Środki ochrony prawnej – Wprowadzanie do obrotu produktów leczniczych przez farmaceutę za pośrednictwem platformy internetowej – Wniesione do sądów cywilnych przez konkurenta tego farmaceuty powództwo, w którym powołano się na zakaz nieuczciwych praktyk handlowych z powodu naruszenia przez rzeczonego farmaceutę obowiązków określonych w tym rozporządzeniu – Legitymacja procesowa – Artykuł 4 pkt 15 i art. 9 ust. 1 i 2 – Dyrektywa 95/46/WE – Artykuł 8 ust. 1 i 2 – Pojęcie „danych dotyczących zdrowia” – Warunki przetwarzania takich danych

1. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Środki ochrony prawnej – Charakter niewyczerpujący – Uregulowanie krajowe umożliwiające konkurentom domniemanego sprawcy naruszenia obowiązków przewidzianych w rozporządzeniu wniesienie powództwa do sądów cywilnych z powołaniem się na zakaz nieuczciwych praktyk handlowych – Dopuszczalność

   (rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 77–80)

   (zob. pkt 53–57, 60, 62–73; pkt 1 sentencji)

2. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Pojęcie danych dotyczących zdrowia – Informacje dotyczące klientów prowadzącego aptekę, który oferuje do sprzedaży produkty lecznicze na platformie internetowej, udzielane przy zamawianiu tych produktów leczniczych – Informacje wskazujące imiona i nazwiska tych klientów i adres dostawy, a także informacje niezbędne do indywidualizacji produktów leczniczych – Objęcie zakresem badania – Sprzedaż produktów leczniczych niewymagających recepty – Brak wpływu

   (rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 4 pkt 1, 15, art. 9 ust. 1; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 8 ust. 1)

   (zob. pkt 84, 88–91, pkt 2 sentencji)

3. Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Przetwarzanie szczególnych kategorii danych osobowych – Zakaz – Odstępstwa

   (rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 53, art. 9 ust. 1, 2; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 8 ust. 1, 2)

   (zob. pkt 86, 87, 92, 93)

Streszczenie

W ramach badania wniosku o wydanie orzeczenia w trybie prejudycjalnym złożonego przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) wielka izba Trybunału wypowiedziała się w przedmiocie charakteru i zakresu systemu środków ochrony prawnej w dziedzinie ochrony danych ( 1 ), a także pojęcia „danych dotyczących zdrowia” ( 2 ).

ND i DR, jako osoby fizyczne, prowadzą apteki w Niemczech. Od 2017 r. ND wprowadza do obrotu, za pośrednictwem platformy internetowej „Amazon-Marketplace”, produkty lecznicze, których sprzedaż jest zastrzeżona dla aptek. Przy składaniu zamówienia przez Internet klienci ND muszą podać informacje takie jak imię i nazwisko, adres dostawy i informacje niezbędne do indywidualizacji rzeczonych produktów leczniczych.

Opierając się na prawie niemieckim dotyczącym nieuczciwej konkurencji ( 3 ), DR wniósł do krajowych sądów cywilnych powództwo o zaniechanie przeciwko ND. DR podniósł, że wprowadzanie do obrotu produktów leczniczych przez ND było nieuczciwe ze względu na naruszenie wymogu prawnego dotyczącego uzyskania uprzedniej zgody klienta na przetwarzanie jego danych dotyczących zdrowia.

Po uwzględnieniu tego powództwa przez sądy niższej instancji ND wniósł skargę rewizyjną do sądu odsyłającego, który z kolei uznał za konieczne zwrócenie się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym.

W swoim wyroku Trybunał stwierdził, że ustanowiony w RODO system środków ochrony prawnej ma charakter niewyczerpujący i uznał, że rozporządzenie to nie stoi na przeszkodzie temu, by państwa członkowskie przewidziały w prawie krajowym możliwość zakwestionowania naruszenia przepisów materialnych tego rozporządzenia, jako nieuczciwej praktyki handlowej, przez konkurentów domniemanego sprawcy tego naruszenia. Ponadto przedstawił on wyjaśnienia dotyczące zakresu pojęcia „danych dotyczących zdrowia”.

Ocena Trybunału

W pierwszej kolejności Trybunał zauważył, że o ile rozdział VIII RODO nie przewiduje konkretnie klauzuli upoważniającej, która wyraźnie pozwalałaby państwom członkowskim na ustanowienie takiej możliwości dochodzenia roszczeń przez konkurentów, o tyle z brzmienia i kontekstu przepisów tego rozdziału VIII wynika, że prawodawca Unii nie zamierzał jej wykluczać. Wykładnię tę potwierdzają cele realizowane przez RODO.

Po pierwsze, wniesione przez konkurenta przeciwko przedsiębiorstwu powództwo o zaniechanie, oparte na zarzucie naruszenia zakazu nieuczciwych praktyk handlowych z powodu domniemanego naruszenia przepisów materialnych RODO, w żaden sposób nie podważa bowiem systemu środków ochrony prawnej przewidzianego w tym rozporządzeniu ani celu polegającego na zapewnieniu spójnego poziomu ochrony osób fizycznych w Unii Europejskiej i zapobieganiu rozbieżnościom hamującym swobodny przepływ danych osobowych na rynku wewnętrznym.

W tym kontekście Trybunał wyjaśnił, że jest prawdą, iż takie powództwo może opierać się, choć w sposób incydentalny, na naruszeniu tych samych przepisów RODO co przepisy, na których można oprzeć skargę lub środek ochrony prawnej wniesione przez osoby, których dane dotyczą, bądź przez stowarzyszenie reprezentujące te osoby ( 4 ). Jednakże, w odróżnieniu od tych środków ochrony prawnej przewidzianych w RODO, powództwo o zaniechanie wniesione przez konkurenta nie realizuje jako takie celu polegającego na ochronie podstawowych praw i wolności osób, których dane dotyczą, w związku z przetwarzaniem ich danych osobowych, lecz zmierza do zapewnienia uczciwej konkurencji, w szczególności w interesie tego konkurenta.

Ponadto możliwość wytoczenia takiego powództwa przez konkurenta przed sądami cywilnymi, w oparciu o zarzut naruszenia zakazu nieuczciwych praktyk handlowych, ma charakter dodatkowy w stosunku do środków ochrony prawnej ustanowionych w RODO, które są w pełni zachowane i nadal mogą być wykonywane przez osoby, których dane dotyczą, a także, w stosownych przypadkach, przez stowarzyszenia reprezentujące te osoby. W szczególności współistnienie środków ochrony prawnej z zakresu prawa ochrony danych i prawa konkurencji nie stwarza zagrożenia dla jednolitego stosowania rzeczonego rozporządzenia.

Co więcej, możliwość powoływania się na przepisy materialne RODO w szerszym zakresie przez osoby inne niż tylko te, których dane dotyczą, oraz podmioty, organizacje i zrzeszenia nie zagraża realizacji celu, jakim jest zapewnienie spójnego poziomu ochrony tych osób w Unii oraz zapobieganie rozbieżnościom hamującym swobodny przepływ danych osobowych na rynku wewnętrznym. Nawet bowiem gdyby państwa członkowskie nie przewidziały takiej możliwości, nie skutkowałoby to rozdrobnieniem wdrażania ochrony danych w Unii, skoro materialnoprawne przepisy RODO są tak samo wiążące dla wszystkich administratorów danych, a ich przestrzeganie zapewniają przewidziane w tym rozporządzeniu środki ochrony prawnej.

Po drugie, co się tyczy celu, jakim jest zapewnienie skutecznej ochrony osób, których dane dotyczą, w zakresie przetwarzania ich danych osobowych i skuteczności (effet utile) przepisów materialnych RODO, Trybunał wskazał że o ile powództwo o zaniechanie wniesione przez konkurenta domniemanego sprawcy naruszenia ochrony danych osobowych nie zmierza do tego celu, lecz do celu polegającego na zapewnieniu uczciwej konkurencji, o tyle jednak niewątpliwie przyczynia się ono do przestrzegania tych przepisów, a zatem do wzmocnienia praw osób, których dane dotyczą, i do zapewnienia im wysokiego poziomu ochrony. Ponadto takie powództwo o zaniechanie wniesione przez konkurenta – w zakresie, w jakim pozwala ono zapobiec licznym naruszeniom praw osób, których dotyczy przetwarzanie ich danych osobowych – może okazać się, podobnie jak powództwo wytoczone przez stowarzyszenia, których celem jest ochrona interesów konsumentów, szczególnie skuteczne dla zapewnienia takiej ochrony ( 5 ).

Trybunał stwierdził zatem, że przepisy RODO odnoszące się do systemu środków ochrony prawnej należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu, które poza uprawnieniami interwencyjnymi organów nadzorczych właściwych w zakresie monitorowania i wykonywania tego rozporządzenia oraz możliwościami ochrony osób, których dane dotyczą, przyznaje konkurentom domniemanego sprawcy naruszenia ochrony danych osobowych prawo do występowania przeciwko niemu w drodze powództwa do sądów cywilnych z powodu naruszenia wspomnianego rozporządzenia i w aspekcie zakazu stosowania nieuczciwych praktyk handlowych.

W drugiej kolejności, co się tyczy pojęcia „danych dotyczących zdrowia”, Trybunał stwierdził, że pojęcie to obejmuje dane, które klient wprowadza na platformie internetowej przy zamawianiu produktów leczniczych, których sprzedaż jest zastrzeżona dla aptek. Dane te – w zakresie, w jakim zamówienie to wiąże się z ustaleniem związku między produktem leczniczym, wskazaniami leczniczymi, wskazaniami co do jego stosowania a osobą fizyczną zidentyfikowaną lub możliwą do zidentyfikowania za pomocą informacji takich jak jej imię i nazwisko lub adres dostawy – mogą bowiem wskazywać, poprzez intelektualną operację kojarzenia lub dedukcji, na informacje dotyczące stanu zdrowia osoby, której dane dotyczą ( 6 ).

Ponadto Trybunał orzekł, że bez znaczenia jest w tym względzie okoliczność, że sprzedaż zamówionych produktów leczniczych nie wymaga recepty i że produkty te mogą wobec tego być przeznaczone nie dla klienta składającego zamówienie, lecz dla osób trzecich. Tak więc w przypadku gdy użytkownik platformy internetowej przekazuje dane osobowe przy zamawianiu produktów leczniczych, których sprzedaż jest zastrzeżona dla aptek i które nie wymagają recepty, przetwarzanie tych danych przez prowadzącego aptekę, który sprzedaje te produkty lecznicze za pośrednictwem tej platformy internetowej, należy uznać za przetwarzanie danych dotyczących zdrowia ( 7 ), ponieważ takie przetwarzanie może ujawniać informacje dotyczące stanu zdrowia osoby fizycznej, niezależnie od tego, czy informacje te dotyczą owego użytkownika, czy jakiejkolwiek innej osoby fizycznej, dla której składa on zamówienie ( 8 ).

Wykładnia, która prowadziłaby do wprowadzenia rozróżnienia w zależności od rodzaju danych produktów leczniczych i tego, czy ich sprzedaż wymaga recepty, nie byłaby bowiem spójna z celem, jakim jest zapewnienie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich życia prywatnego, w zakresie przetwarzania danych osobowych, które ich dotyczą. Taka wykładnia stałaby co więcej w sprzeczności z celem art. 8 ust. 1 dyrektywy 95/46 i art. 9 ust. 1 RODO, którym jest zapewnienie zwiększonej ochrony względem przetwarzania, które – ze względu na szczególnie chroniony charakter danych będących jego przedmiotem – może stanowić szczególnie poważną ingerencję w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych ( 9 ). W związku z tym informacje, które klienci wprowadzają przy zamawianiu przez Internet produktów leczniczych, których sprzedaż jest zastrzeżona dla aptek i nie wymaga recepty, stanowią dane dotyczące zdrowia, nawet jeśli istnieje tylko pewne prawdopodobieństwo, a nie całkowita pewność, że owe produkty lecznicze są przeznaczone dla tych klientów.

Trybunał dodał, że nie można wykluczyć, iż nawet w przypadku, gdy takie produkty lecznicze są przeznaczone dla osób innych niż ci klienci, możliwe będzie zidentyfikowanie tych osób i wyciągnięcie wniosków co do ich stanu zdrowia. Może tak być na przykład w przypadku, gdy dane produkty lecznicze dostarczane są nie do miejsca zamieszkania klienta, który je zamówił, lecz do miejsca zamieszkania innej osoby, lub gdy, niezależnie od adresu dostawy, klient odniósł się w swoim zamówieniu lub w informacjach dotyczących dostawy do innej możliwej do zidentyfikowania osoby, takiej jak członek jego rodziny.

Wreszcie, Trybunał zaznaczył, iż okoliczność, że rozpatrywane informacje stanowią dane dotyczące zdrowia, nie stoi na przeszkodzie przetwarzaniu tych informacji, w szczególności w ramach zarządzania usługami i systemami opieki zdrowotnej, jeżeli spełniony jest jeden z przewidzianych w tym względzie warunków ( 10 ). Po pierwsze, może tak być w szczególności, jeżeli osoba, której dane dotyczą, udzieli wyraźnej zgody na co najmniej jedno przetwarzanie tych danych osobowych, którego szczególne cechy i cele zostały jej przedstawione w dokładny, kompletny i łatwy do zrozumienia sposób. Po drugie, takie przetwarzanie może być dopuszczalne, jeżeli jest ono niezbędne do celów zapewnienia opieki zdrowotnej na podstawie prawa Unii, prawa państwa członkowskiego lub zgodnie z umową zawartą z pracownikiem służby zdrowia.

( 1 ) Rozdział VIII rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia w sprawie ochrony danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).

( 2 ) Zobacz odpowiednio art. 8 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) oraz art. 9 ust. 1 RODO.

( 3 ) Gesetz gegen den unlauteren Wettbewerb (ustawa o zwalczaniu nieuczciwej konkurencji) z dnia 3 lipca 2004 r. (BGBl. 2004 I, s. 1414), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym.

( 4 ) Artykuły 77–80 RODO.

( 5 ) Zobacz podobnie wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland (C‑319/20, EU:C:2022:322, pkt 74, 75).

( 6 ) W rozumieniu art. 4 pkt 1 RODO.

( 7 ) W rozumieniu art. 8 ust. 1 dyrektywy 95/46 i art. 9 ust. 1 RODO.

( 8 ) Zobacz podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2023:537, pkt 73).

( 9 ) Zobacz wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, pkt 126 i przytoczone tam orzecznictwo).

( 10 ) Warunki te określono w art. 8 ust. 2 dyrektywy 95/46 i w art. 9 ust. 2 RODO.