1.

Niniejsze odesłanie prejudycjalne dotyczy wykładni rozporządzenia (UE) 2016/679 ( 2 ) w odniesieniu do: a) przetwarzania danych osobowych dotyczących zdrowia; oraz b) odszkodowania za szkody poniesione w wyniku (domniemanego) naruszenia samego RODO.

2.

Chociaż Trybunał orzekał już w przedmiocie przepisów RODO ( 3 ), które dotyczą tych kwestii, kwestie poruszone w niniejszym odesłaniu prejudycjalnym są nowe, z wyjątkiem pytania czwartego ( 4 ).

3.

Istotne dla niniejszego sporu są motywy 4, 10, 35, 51–54 i 146 preambuły RODO.

4.

Zgodnie z art. 9 („Przetwarzanie szczególnych kategorii danych osobowych”):

„1.   Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

2.   Ustęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:

[…]

[…]

[…]

3.   Dane osobowe, o których mowa w ust. 1, mogą być przetwarzane do celów, o których mowa w ust. 2 lit. h), jeżeli są przetwarzane przez – lub na odpowiedzialność – pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe, lub przez inną osobę również podlegającą obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe.

4.   Państwa członkowskie mogą zachować lub wprowadzić dalsze warunki, w tym ograniczenia w odniesieniu do przetwarzania danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia”.

5.

Artykuł 82 („Prawo do odszkodowania i odpowiedzialność”) stanowi:

„1.   Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.

[…]

3.   Administrator lub podmiot przetwarzający zostają zwolnieni z odpowiedzialności wynikającej z ust. 2, jeżeli udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie, które doprowadziło do powstania szkody.

[…]”.

6.

Zgodnie z § 278 ust. 1 zdanie pierwsze Socialgesetzbuch Fünftes Buch w każdym kraju związkowym tworzy się służbę medyczną ( 6 ) kasy chorych ( 7 ) jako spółkę prawa publicznego. Jednym z jej zadań wynikających z ustawy jest sporządzanie ekspertyz w celu rozwiania wątpliwości dotyczących niezdolności ubezpieczonych do pracy.

7.

Zgodnie z § 275 ust. 1 zdanie pierwsze pkt 3 lit. b) KV są zobowiązane, w określonych przypadkach, zwrócić się do odpowiedniej MDK o sporządzenie ekspertyzy w celu rozwiania wątpliwości dotyczących niezdolności do pracy w przypadku niezdolności ubezpieczonego do pracy poświadczonej zaświadczeniem lekarskim.

8.

ZQ był zatrudniony przez MDK Nadrenii Północnej‑Westfalii (Niemcy) od 1991 r. jako administrator systemu w dziale informatycznym i pracownik helpdesku.

9.

MDK sporządza ekspertyzy dotyczące niezdolności do pracy osób ubezpieczonych w KV. Mogą one obejmować ekspertyzy dotyczące zdrowia samych pracowników MDK.

10.

Przetwarzanie danych odbywa się między innymi zgodnie z następującymi zasadami określonymi w wewnętrznej instrukcji służby ( 8 ):

11.

Po archiwizacji pracownicy działu informatycznego komórki organizacyjnej „Przypadki szczególne” mogą uzyskać dostęp, z zastrzeżeniem ustawowego obowiązku zachowania tajemnicy, do ekspertyz, które zostały sporządzone na podstawie zlecenia dotyczącego pracowników MDK.

12.

ZQ był niezdolny do pracy z powodu choroby nieprzerwanie od dnia 22 listopada 2017 r.

13.

Od dnia 24 maja 2018 r. ( 10 ) ZQ pobierał zasiłek chorobowy wypłacany przez KV, w której jest ubezpieczony. W dniu 6 czerwca 2018 r. KV zleciła MDK sporządzenie ekspertyzy w celu rozwiania wątpliwości dotyczących niezdolności ZQ do pracy.

14.

MDK przyjęła zlecenie, które powierzyła komórce „Przypadki szczególne”. W dniu 22 czerwca 2018 r. lekarka należąca do tej komórki i zatrudniona przez MDK sporządziła ekspertyzę zawierającą diagnozę ZQ. W celu sporządzenia tej ekspertyzy lekarka przeprowadziła rozmowy telefoniczne z lekarzem prowadzącym ZQ, od którego uzyskała odpowiednie informacje.

15.

Ekspertyza została zarchiwizowana elektronicznie przez MDK.

16.

ZQ dowiedział się o połączeniu telefonicznym wykonanym przez lekarkę MDK od jego lekarza prowadzącego.

17.

W dniu 1 sierpnia 2018 r. ZQ skontaktował się z koleżanką z działu informatycznego MDK, którą zapytał, czy dotycząca go ekspertyza została zarchiwizowana. Po wyszukaniu ekspertyzy w archiwum koleżanka ta odpowiedziała twierdząco. Na prośbę ZQ koleżanka wykonała zdjęcia ekspertyzy i przesłała je ZQ.

18.

W dniu 15 sierpnia 2018 r. ZQ zażądał bezskutecznie od MDK zapłaty odszkodowania w wysokości 20000 EUR na podstawie art. 82 RODO.

19.

W dniu 17 października 2018 r. ZQ wniósł powództwo do Arbeitsgericht Düsseldorf (sądu pracy w Düsseldorfie, Niemcy). W postępowaniu tym wniósł on również o zasądzenie odszkodowania odpowiadającego kwocie utraconych wynagrodzeń ( 11 ).

20.

W czasie trwania postępowania sądowego MDK rozwiązała stosunek pracy z ZQ.

21.

Żądania ZQ zostały oddalone zarówno w postępowaniu w pierwszej instancji, jak i w postępowaniu apelacyjnym ( 12 ).

22.

ZQ wniósł skargę rewizyjną do Bundesarbeitsgericht (federalnego sądu pracy, Niemcy), który kieruje następujące pytania prejudycjalne do Trybunału:

23.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do Trybunału w dniu 8 listopada 2021 r.

24.

Uwagi na piśmie zostały przedstawione przez ZQ, MDK, Irlandię i rząd włoski oraz Komisję Europejską.

25.

Nie uznano za konieczne przeprowadzenia rozprawy.

26.

Na wniosek Trybunału niniejsza opinia nie będzie dotyczyć czwartego pytania prejudycjalnego ( 13 ).

27.

Sąd odsyłający zmierza do ustalenia, czy art. 9 ust. 2 lit. h) RODO zakazuje MDK przetwarzania danych dotyczących zdrowia jednego z jej pracowników, jeżeli takie dane są niezbędne w celu oceny zdolności tego pracownika do pracy. Kwestionuje on zatem zgodność przetwarzania z prawem ze względu na podmiot dokonujący tego przetwarzania ( 14 ).

28.

Artykuł 9 RODO ma zastosowanie do szczególnych kategorii danych, takich jak dane dotyczące zdrowia danej osoby. Ustanowiono w nim ogólny zakaz przetwarzania danych „wrażliwych” (ust. 1) i wymieniono wyczerpująco warunki, w których ogólny zakaz nie ma zastosowania (ust. 2).

29.

W szczególności art. 9 ust. 2 lit. h) RODO zawiera wyjątek (od ogólnego zakazu) dotyczący przetwarzania danych osobowych „do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia”.

30.

W mojej ocenie przepis ten obejmuje swoim zakresem działanie MDK będące przedmiotem sporu ( 15 ). Nie ma znaczenia, że administrator jest jednocześnie pracodawcą osoby, której dane dotyczą, w zakresie, w jakim MDK nie działa jako taki pracodawca, lecz jako służba medyczna KV, w której osoba, której dane dotyczą, była ubezpieczona ( 16 ).

31.

Nie znajduję podstaw, by interpretować art. 9 ust. 2 lit. h) RODO w ten sposób, że zakazuje on służbie medycznej przetwarzania danych dotyczących zdrowia jej pracowników w celu określonym w tej literze. Zwykłe kryteria wykładni prowadzą raczej do rozwiązania przeciwnego (brak takiego zakazu).

32.

Z językowego punktu widzenia art. 9 ust. 2 lit. h) RODO nie przewiduje żadnego wyłączenia w tym względzie ani nie formułuje jako warunku przetwarzania, aby administrator był „neutralną osobą trzecią” ( 17 ).

33.

Prace przygotowawcze i ewolucja przepisu również nie wskazują na taki zakaz, o jakim mowa w pierwszym pytaniu prejudycjalnym, ani na zamiar jego włączenia ( 18 ).

34.

Celem przepisów RODO dotyczących przetwarzania danych dotyczących zdrowia jest, jak orzekł Trybunał ( 19 ), zapewnienie zwiększonej ochrony osobom, których dane dotyczą, ze względu na szczególną wrażliwość takich danych dla odnośnych praw podstawowych. Celowi temu służy ogólny zakaz przewidziany w art. 9 ust. 1 RODO, który nie ma jednak charakteru bezwzględnego ( 20 ).

35.

W tej dziedzinie, podobnie jak w innych dziedzinach dotyczących przetwarzania danych osobowych, wybór prawodawcy, po ustanowieniu ogólnego zakazu, polegał na:

36.

Tymczasem in abstracto nic nie stałoby na przeszkodzie temu, aby szczególne środki ostrożności, o których wspomniałem powyżej, obejmowały zakaz przetwarzania przez MDK danych dotyczących zdrowia jej pracowników. Nie wydaje mi się jednak, aby ta możliwość (której nie przewidział prawodawca europejski) była niezbędna dla zachowania celu, o którym mowa powyżej.

37.

Uważam zatem, że zakaz, którego dotyczy pytanie sądu odsyłającego, nie jest nieuniknioną konsekwencją wykładni celowościowej art. 9 ust. 2 lit. h) RODO.

38.

Nie uważam także, aby wykładnia systemowa tego przepisu prowadziła do innego rozwiązania, ponieważ:

39.

Podsumowując, proponuję udzielić odpowiedzi przeczącej (a mianowicie że sporny zakaz nie istnieje w RODO) na pierwsze pytanie prejudycjalne, co pozwala na przeanalizowanie następnego pytania prejudycjalnego.

40.

Gdyby (jak sugeruję) odpowiedź na pierwsze pytanie prejudycjalne była przecząca, sąd odsyłający zwraca się z pytaniem, czy „w przypadku takim jak w niniejszej sprawie istnieją inne, a jeżeli tak – jakie wymogi dotyczące ochrony danych, których należy przestrzegać, oprócz tych określonych w art. 9 ust. 3 RODO”.

41.

Ogólnie rzecz ujmując, odpowiedź nie powinna stwarzać większych problemów ( 26 ). Trybunał wskazał, że każda operacja przetwarzania danych osobowych musi być zgodna z wyrażonymi w art. 5 RODO zasadami oraz z jednym z kryteriów legalności wymienionych w art. 6 RODO ( 27 ).

42.

Zdaniem sądu odsyłającego przestrzeganie obowiązku zachowania tajemnicy (art. 9 ust. 3 RODO) nie byłoby wystarczające w celu ochrony danych w okolicznościach takich jak rozpatrywane w niniejszej sprawie. Sąd odsyłający proponuje inne środki uzupełniające, które jego zdaniem byłyby jedynymi odpowiednimi do tego celu ( 28 ).

43.

Uważam, że art. 9 ust. 3 RODO jako taki nie może stanowić podstawy tych dodatkowych środków. Jego wyraźne brzmienie (które jedynie precyzuje przepis zawarty już w dyrektywie 95/46 ( 29 )) nie stanowi podstawy dla propozycji takich jak ta przedstawiona przez sąd odsyłający.

44.

Propozycje te mogłyby natomiast wchodzić w zakres art. 9 ust. 4 RODO. Na mocy tego przepisu państwa członkowskie są uprawnione do wprowadzania „dalsz[ych] warunk[ów], w tym ogranicze[ń] w odniesieniu do przetwarzania danych […] dotyczących zdrowia” ( 30 ). Z postanowienia odsyłającego nie wynika jednak, by miało to miejsce w Niemczech.

45.

Niezależnie od powyższego, a także biorąc pod uwagę powody, które przedstawiłem powyżej, przetwarzanie danych osobowych dotyczących zdrowia musi podlegać między innymi zasadzie określonej w art. 5 ust. 1 lit. f) RODO i wynikającym z niej obowiązkom, które zostały wyszczególnione w rozdziale IV RODO.

46.

Administrator ( 31 ) musi również podjąć odpowiednie środki techniczne i organizacyjne w celu zapewnienia zgodności konkretnej operacji przetwarzania z RODO. Tak stanowi ogólnie art. 24 ust. 1 RODO.

47.

W szczególności art. 32 ust. 1 RODO zobowiązuje administratora do wdrożenia „odpowiedni[ch] środk[ów] techniczn[ych] i organizacyjn[ych], aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku”, na które narażone są dane osobowe, których to dotyczy.

48.

W zastosowaniu tych przepisów w niniejszej sprawie status MDK jako pracodawcy w stosunku do ZQ nakłada na MDK wyższy niż zwykle obowiązek staranności w przetwarzaniu danych dotyczących zdrowia ZQ, ponieważ ryzyko jest również wyższe ( 32 ).

49.

MDK jest świadoma tego faktu. Gdy MDK sporządza na zlecenie KV, w której ubezpieczony jest jej pracownik, ekspertyzy mające na celu rozwianie wątpliwości co do (nie)zdolności do pracy tego pracownika, stosuje ona zestaw doraźnych środków technicznych i organizacyjnych przewidzianych w celu dostosowania przetwarzania danych osobowych dotyczących zdrowia do RODO ( 33 ).

50.

Ocena tych środków należy do sądu odsyłającego, który po dokonaniu oceny może orzec, że podjęte środki nie były wystarczające. Nie upoważnia to jednak do tego, aby wywnioskować z art. 9 RODO obowiązek oddalenia z urzędu przez MDK każdego wniosku KV o sporządzenie ekspertyzy lekarskiej (dotyczącej jej pracowników) ( 34 ).

51.

Zakładając, że odpowiedź na pierwsze pytanie prejudycjalne jest przecząca, w trzecim pytaniu prejudycjalnym sąd odsyłający zmierza do ustalenia, czy wyjątek od zakazu przetwarzania danych dotyczących zdrowia „zależy ponadto od spełnienia co najmniej jednego z warunków określonych w art. 6 ust. 1 RODO”.

52.

W celu udzielenia odpowiedzi na to pytanie należy przeanalizować związek między art. 9 ust. 2 i art. 6 RODO, dotyczącym zgodności przetwarzania z prawem. Konieczność przestrzegania tego ostatniego artykułu w każdej operacji przetwarzania danych została wyrażona w wyrokach Trybunału, które przytoczyłem powyżej ( 35 ).

53.

W szczególności w wyroku wydanym w sprawie C‑439/19 ( 36 ) dokonano wykładni art. 10 RODO, dotyczącego innej kategorii wrażliwych danych osobowych (dotyczących wyroków skazujących i naruszeń prawa) ( 37 ), i orzeczono, że art. 6 RODO stosuje się kumulatywnie z art. 10 RODO.

54.

Czy to samo założenie można zastosować do danych osobowych, o których mowa w art. 9 RODO?

55.

Struktura art. 9 i 10 RODO jest odmienna. Artykuł 10 zawiera wyraźne odesłanie do art. 6 ust. 1 samego RODO, które nie znajduje się w art. 9.

56.

Treść art. 9 ust. 2 i art. 10 RODO również nie jest porównywalna: art. 10 wskazuje jedynie podmiotowe ograniczenie przetwarzania, natomiast art. 9 ust. 2 określa cele (lub okoliczności), które je uzasadniają, podobnie jak art. 6 ust. 1.

57.

Analogia między art. 6 ust. 1 i art. 9 ust. 2 RODO jest bowiem taka, że prima facie mogłoby się wydawać, iż okoliczności wymienione w art. 9 ust. 2 RODO stanowią uszczegółowienie warunków wymienionych w art. 6 ust. 1 RODO: precyzują je i jednocześnie sprawiają, że są surowsze.

58.

Historia i ewolucja art. 9 RODO stawia jednak pod znakiem zapytania, czy związek między art. 9 a art. 6 RODO można wyjaśnić poprzez stosunek „lex specialis” i „lex generalis”.

59.

Bezsporne jest, że taka wykładnia została rzeczywiście poparta przez delegacje niektórych państw członkowskich ( 38 ). Dokumenty odnoszące się do negocjacji dotyczących art. 9 nie wskazują jednak różnic zdań co do odesłania do art. 6 ( 39 ), lecz co do jego zakresu (tylko do ust. 1 tego artykułu, czy także do innych ustępów?) ( 40 ). Wreszcie usunięto w art. 9 odesłanie do art. 6 ( 41 ) i postanowiono utrzymać w preambule ustęp podobny do obecnego motywu 51 RODO ( 42 ).

60.

Koncepcję kumulacji lub komplementarności między tymi dwoma przepisami podziela Europejska Rada Ochrony Danych ( 43 ) i opowiadała się za nią tak zwana Grupa Robocza art. 29 ( 44 ) w odniesieniu do art. 8 dyrektywy 95/46 ( 45 ). Nie jest to natomiast stanowisko niekwestionowane w doktrynie ani na innych istotnych forach ( 46 ).

61.

Rozważając poszczególne podpunkty art. 9 ust. 2 RODO, skłaniam się ku temu, że związek między tym przepisem a art. 6 nie pozwala w rzeczywistości na jednolitą odpowiedź. W istocie:

62.

Uważam zatem, że aby przetwarzanie danych wrażliwych, na które zezwala art. 9 ust. 2 lit. h) RODO, było zgodne z prawem, należy ustalić, który z warunków wyszczególnionych w art. 6 ust. 1 uzasadnia je w każdym przypadku.

63.

Sąd odsyłający nie kwestionuje, że tak jest: przeciwnie, wychodząc z tego założenia, skupia się raczej na odrzuceniu stanowiska, zgodnie z którym przetwarzanie dokonane przez MDK jest uzasadnione w świetle art. 6 ( 48 ).

64.

Na pierwszy rzut oka nie wydaje mi się, aby istniała kolejność między podstawami prawnymi przewidzianymi w tym przepisie. Bardziej szczegółowa analiza mogłaby wskazywać na potrzebę wprowadzenia niuansów ( 49 ). Uważam jednak, że taka analiza wykraczałaby poza to, co jest konieczne do udzielenia odpowiedzi na niniejsze odesłanie prejudycjalne ( 50 ).

65.

Podsumowując: w odpowiedzi na trzecie pytanie prejudycjalne należałoby wskazać sądowi odsyłającemu, że wyjątek od zakazu przetwarzania danych dotyczących zdrowia wymaga spełnienia co najmniej jednego z warunków określonych w art. 6 ust. 1 RODO.

66.

Sąd odsyłający zmierza do ustalenia, czy „przy ustalaniu wysokości szkody niemajątkowej podlegającej naprawieniu na podstawie art. 82 ust. 1 RODO znaczenie ma stopień winy administratora lub podmiotu przetwarzającego”, a w szczególności czy „można wziąć pod uwagę nieistniejącą lub niewielką winę administratora lub podmiotu przetwarzającego na jego korzyść”.

67.

Pytanie to zakłada, że doszło do naruszenia RODO ( 51 ), którego dopuścił się podmiot występujący jako administrator danych, i dotyczy tego, czy stopień winy administratora danych ma znaczenie dla ustalenia wysokości odszkodowania za szkodę wynikającą z tego naruszenia. Zdaniem sądu odsyłającego nie jest pewne, czy brak winy lub niewielką winę administratora można uznać za dowód na jego obronę.

68.

Zgodnie z jego brzmieniem pytanie skupia się na ustaleniu wysokości odszkodowania. Wyjaśnienia, które mu towarzyszą, wywołały jednak pewną niejasność, ponieważ nie było jasne, czy odnosiły się one do winy jako przesłanki przypisania odpowiedzialności, czy też jako czynnika stopniowania kwoty odszkodowania.

69.

Sąd odsyłający, do którego Trybunał zwrócił się o wyjaśnienie tej niejasności, wskazał, że pytanie dotyczy tych dwóch aspektów, nie przedstawiając dalszych szczegółów co do ich związku z postępowaniem głównym.

70.

W świetle tej odpowiedzi zamierzam odpowiedzieć na kwestie podniesione przez sąd odsyłający po ustosunkowaniu się (również) do podniesionych przez MDK kwestii dotyczących ewentualnego przyczynienia się osoby, której dane dotyczą, do spowodowania szkody ( 52 ). Mój wywód zostanie podzielony na trzy etapy:

71.

Sąd odsyłający jest zdania, że art. 82 ust. 1 RODO nie uzależnia odpowiedzialności cywilnej (podmiotu przetwarzającego ( 54 )) od istnienia lub udowodnienia umyślności lub niedbalstwa. Sąd odsyłający dodaje, że ust. 3 tego artykułu nie przemawia za innym rozwiązaniem.

72.

Przyznaję, że nie jest jasne, jaki model odpowiedzialności cywilnej przyjęto w RODO, oraz że a priori możliwe są różne interpretacje ( 55 ). Jedną z nich jest rozumienie sądu odsyłającego: moim zdaniem słuszne.

73.

Dokonywanie wykładni art. 82 ust. 1 RODO w ten sposób, że ustanawia on system odpowiedzialności cywilnej niezależnej od winy administratora, jest moim zdaniem zgodne z jego brzmieniem, znajduje bezpośrednie poparcie w pracach przygotowawczych, a przede wszystkim wspiera cel tego przepisu. Jest to dopuszczalne w świetle innych ustępów owego przepisu, jak również całego systemu.

74.

Stanowisko, które zajmuje sąd odsyłający, jest zgodne z brzmieniem art. 82 ust. 1 RODO. Z punktu widzenia brzmienia prawo do uzyskania odszkodowania od administratora jest po prostu związane ze szkodami poniesionymi w wyniku naruszenia samego RODO.

75.

Pozostałe ustępy art. 82 nie wskazują na inną odpowiedź ( 56 ). W szczególności nie posunąłbym się do wnioskowania o przesłance winy w oparciu o zwrot „ponosi odpowiedzialności” (hiszp. „imputable”), który jest zawarty w art. 82 ust. 3. Termin ten pojawia się tylko w niektórych wersjach językowych RODO; natomiast w innych użyto zwrotu „odpowiedzialny”. W wersji niemieckiej ani art. 82, ani preambuła nie zawierają technicznego terminu właściwego dla przypisania winy („Verschulden”) ( 57 ).

76.

Porównanie różnych przepisów RODO pokazuje, że użyta terminologia nie zawsze jest jednoznaczna, w związku z czym należy zachować ostrożność przy wyciąganiu wniosków z jej brzmienia. Na przykład w wersji angielskiej słowo „responsible” jest używane w wielu znaczeniach ( 58 ).

77.

Brak odniesień do zamiaru lub winy administratora w art. 82 RODO kontrastuje z zawartymi w art. 83 wzmiankami dotyczącymi administracyjnych kar pieniężnych: „[d]ecydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku” należytą uwagę na umyślność lub niedbalstwo w naruszeniu RODO ( 59 ).

78.

O ile rozbieżność między tekstami osłabia wagę wykładni językowej, o tyle potwierdza ona co najmniej koncepcję, zgodnie z którą w art. 82 RODO nie zostały wymienione ani zamiar, ani wina, oraz że brak ten jest świadomy, nie wynika z niedopatrzenia prawodawcy.

79.

Dyskusja na temat ostatecznie przyjętej w RODO podstawy przypisania odpowiedzialności jest przesłonięta kontekstem, w jakim toczyła się ona w Radzie, zgodnie z założeniem o wielości podmiotów przetwarzających dane.

80.

Dyskusja ta została pomieszana z rozważaniami proceduralnymi, bez uwzględnienia aparatu pojęciowego, który pozwoliłby na rozróżnienie między funkcją winy jako podstawy przypisania odpowiedzialności z jednej strony a funkcją braku winy dla celów zwolnienia z tej samej odpowiedzialności z punktu widzenia związku przyczynowego z drugiej strony.

81.

Uważam jednak, że prace przygotowawcze potwierdzają takie rozumienie art. 82 ust. 1 RODO, w którym odpowiedzialność cywilna nie zależy od winy administratora.

82.

Wniosek Komisji był zgodny z dyrektywą 95/46 i nie wspomniano w nim niedbalstwa. W dokumentach Rady wskazano, że przewidziana odpowiedzialność określana jest jako „strict liability” ( 60 ).

83.

Poprawka zaproponowana w Komisji Wolności Obywatelskich, Sprawiedliwości i Spraw Wewnętrznych Parlamentu mogła nadać art. 82 (wówczas art. 77) ust. 1 treść, w której odpowiedzialność związana jest z umyślnością lub niedbalstwem ( 61 ). Nie została ona przyjęta ( 62 ).

84.

W Radzie dyskusja na temat art. 77 i kryterium przypisania odpowiedzialności była związana z przypisaniem i podziałem odpowiedzialności, w przypadku gdy w tej samej operacji przetwarzania uczestniczy kilka osób. W tym kontekście prezydencja zaproponowała wybór między dwoma wariantami ( 63 ):

85.

Tekst kompromisowy, przedstawiony przez prezydencję w celu jego przyjęcia jako ogólnych wytycznych ( 71 ), jest zgodny z pierwszym wariantem, choć wzmacnia wyjątkowy charakter zwolnienia z odpowiedzialności i trudność jego udowodnienia poprzez sformułowanie art. 77 ust. 3: „[…] if it [(administrator/podmiot przetwarzający)] proves that it is not in any way responsible […]” ( 72 ). Sformułowanie to i ostatecznie przyjęty artykuł odpowiadają sobie wzajemnie.

86.

Podsumowując: analiza procedury legislacyjnej, która doprowadziła do ostatecznego tekstu RODO, przemawia za tym, aby odpowiedzialność, o której mowa w art. 82 ust. 1 RODO, nie była związana z winą administratora.

87.

W RODO ustanowiono system mający na celu zapewnienie wysokiego poziomu ochrony osób fizycznych, usuwając jednocześnie przeszkody w przepływie danych osobowych ( 73 ). W systemie tym art. 82 realizuje cel odszkodowawczy, bez uszczerbku dla faktu, że służy on również dodatkowo odstraszaniu od zachowań niezgodnych z jego przepisami lub zapobieganiu takim zachowaniom ( 74 ).

88.

Zapewnienie odszkodowania jest celem samym w sobie: wynika to ze znaczenia, jakie przypisuje mu prawodawca i o którym świadczy sama lektura tekstu. W świetle RODO otrzymanie odszkodowania w przypadku wystąpienia szkody jest prawem osoby, której dane dotyczą; pojęcie szkody należy interpretować szeroko, a odszkodowanie musi być pełne i skuteczne.

89.

Odszkodowanie łączy się z dążeniem do zwiększenia zaufania obywateli do środowiska cyfrowego, co stanowi cel o charakterze ogólnym określony w motywie 7 RODO. Zapewnienie osoby, której dane dotyczą, że co do zasady nie będzie ona musiała po prostu ponosić szkód wynikających z niezgodnego z prawem przetwarzania jej danych, służy wspieraniu takiego zaufania: jej majątek jest bezpieczny, a pod względem proceduralnym jej roszczenie jest prostsze.

90.

Okoliczność, że art. 82 ust. 1 RODO nie łączy obowiązku wypłaty odszkodowania z naruszeniem obowiązku zachowania staranności, jest zgodna z tym podejściem. Decyzją prawodawcy obowiązek taki jest przypisany do osoby, która zajmuje w danym stosunku określoną pozycję strażnika lub gwaranta, i to właśnie ze względu na sam ten fakt.

91.

Można by zatem uznać, że w świetle RODO istotna jest sytuacja poszkodowanego, który ponosi szkodę wynikającą z naruszenia, w przypadku gdy żaden przepis nie nakłada na niego obowiązku poniesienia tej szkody.

92.

Dla poszkodowanego nie ma znaczenia, czy sprawca szkody ponosi winę w spowodowaniu szkody, czy też nie: decydujące znaczenie ma fakt, że administrator wyrządził mu szkodę, majątkową lub niemajątkową, wynikającą z popełnionego przez administratora naruszenia RODO.

93.

Opisane cele łatwiej jest osiągnąć w modelu, który zmierza do tego, aby udowodniona szkoda:

94.

W kontekście dostosowania do rewolucji cyfrowej ( 75 ) rozwiązanie to wydaje mi się spójne. Szybki rozwój technologiczny wymaga, aby w najczęstszych czynnościach przetwarzania danych wykonywanych w Internecie brak umyślności lub niedbalstwa nie uniemożliwiał naprawienia szkód, które w przeciwnym razie pozostałyby bez pokrycia.

95.

Proponowana przeze mnie wykładnia jest bardziej zgodna z systematyką RODO. W art. 82 RODO potwierdza to ust. 3: zwolnienie z odpowiedzialności jest możliwe, jeżeli „administrator […] udowodn[i], że w żaden sposób nie ponos[i] winy za zdarzenie, które doprowadziło do powstania szkody”.

96.

W sformułowaniu tym wyróżnia się wyrażenie „w żaden sposób”, które prowadzi do wniosku, że model ten nie jest oparty na winie (ani nawet na najlżejszym stopniu winy) z odwróceniem ciężaru dowodu.

97.

Uznanie, że odszkodowanie nie zależy od winy administratora, nadaje art. 82 odrębne znaczenie w rozdziale VIII i ostatecznie w RODO w całości.

98.

Prawodawca europejski zakłada, że przetwarzanie danych osobowych może być źródłem ryzyka. Zobowiązuje on podmioty przetwarzające do oceny tego ryzyka oraz do podjęcia i aktualizacji środków pozwalających na zapobieganie zidentyfikowanemu przez nie ryzyku i jego minimalizowanie ( 76 ).

99.

Stwierdzono, że model odpowiedzialności cywilnej oparty na winie promuje staranność, a tym samym ochronę przed ryzykiem, podczas gdy model alternatywny, w którym nie uwzględnia się sposobu, w jaki podmiot się zachował, zniechęcałby ten podmiot do zachowania ostrożności (ponieważ w przypadku wystąpienia szkody będzie on musiał w każdym razie wypłacić odszkodowanie).

100.

Jestem zdania, że taki rezultat ( 77 ) jest dopuszczalny w RODO. Artykuł 82 wpisuje się w złożoną strukturę normatywną wraz z instrumentami prawa publicznego i prywatnego w celu ochrony danych osobowych. W ramach tej struktury niedbalstwo (i umyślność) mają znaczenie dla celów kar administracyjnych. Nie widzę potrzeby, aby były one istotne również dla celów odpowiedzialności cywilnej ( 78 ), co naruszałoby cele art. 82, a ponadto umniejszałoby praktyczną atrakcyjność przewidzianego w nim środka zaradczego.

101.

Wątpliwości dotyczące konieczności wystąpienia winy administratora wiążą się w niniejszej sprawie z konsekwencjami, jakie mogą wyniknąć z interwencji osoby, której dane dotyczą ( 79 ).

102.

W celu lepszego zrozumienia dalszych uwag należy wyjaśnić, że okoliczności niniejszego sporu zostały rozpatrzone w dwóch scenariuszach:

103.

W każdym wypadku uważam, że – jak wydaje się utrzymywać sąd odsyłający ( 82 ) – w celu określenia (ewentualnego) wpływu zachowania osoby, której dane dotyczą, na popełnienie czynu stanowiącego naruszenie, który spowodował szkodę, należy powołać się na art. 82 ust. 3.

104.

W przepisie tym nie wymieniono nawet tytułem przykładu konkretnych podstaw zwolnienia z odpowiedzialności. Nie wskazano ich również w motywie 146 ( 83 ).

105.

RODO wydaje się odbiegać w tym względzie od dyrektywy 95/46, której art. 23 ust. 2 zawierał przepis podobny ( 84 ) do obecnego art. 82 ust. 3 RODO: w motywie 55 dyrektywy 95/46 zaproponowano jako przykłady podstaw zwolnienia z odpowiedzialności odpowiedzialność osoby, której dane dotyczą, lub siłę wyższą ( 85 ), które to przykłady podstaw nie są zawarte w RODO.

106.

O ile się nie mylę, z prac przygotowawczych nad RODO nie wynika, że dyskutowano na temat tych dwóch przykładów, które zostały przedstawione we wniosku Komisji ( 86 ) i które Parlament podtrzymał ( 87 ).

107.

Ich skreślenie oraz pojawienie się sformułowania „w żaden sposób” nastąpiły w ramach wspomnianej już dyskusji na temat sposobu uregulowania odpowiedzialności wobec przetwarzania z udziałem wielu administratorów lub podmiotów przetwarzających ( 88 ).

108.

Z dostępnej dokumentacji ( 89 ) wynika, że w ostatecznym brzmieniu administrator korzysta ze zwolnienia z odpowiedzialności, jeżeli udowodni, że nie jest w ogóle odpowiedzialny („responsible”) za szkodę („0 % responsibility”). To samo dotyczy podmiotu przetwarzającego ( 90 ).

109.

W związku z powyższym nie uważam, że wyłączenie działania osoby, której dane dotyczą, z podstaw zwolnienia z odpowiedzialności jest konsekwencją (lub celem) zniknięcia wspomnianych dwóch przykładów z preambuły, jednocześnie z dodaniem wyrażenia „w żaden sposób” w tejże preambule i w art. 82 ust. 3 RODO ( 91 ).

110.

Wydaje się raczej, że działanie osoby, której dane dotyczą, nadal może spowodować, w zależności od przypadku, przerwanie niezbędnego związku między „zdarzeniem” (wyrażenia tego użyto w art. 82 ust. 3 RODO) a okolicznością, że administrator jest sprawcą szkody. Podkreślenie ograniczonego charakteru klauzuli korekcyjnej nie stoi na przeszkodzie temu, by konkretne zachowanie osoby, której dane dotyczą, mogło samo w sobie spowodować powstanie szkody i w konsekwencji doprowadzić do zwolnienia administratora z odpowiedzialności.

111.

Wykładnia systemowa przemawia za uwzględnieniem w ramach odpowiedzialności za szkody okoliczności, że osoba, której dane dotyczą, przyczyniła się do powstania szkody. W systematyce RODO jednostki uczestniczą w ochronie swoich danych, gdyż przyznano im instrumenty, które same w sobie są prawami.

112.

Z celowościowego punktu widzenia uważam, że RODO zmierza do zapewnienia wysokiego poziomu ochrony, ale nie do tego stopnia, aby zobowiązać administratora do odszkodowania również za szkody wynikające ze zdarzeń lub działań, które można przypisać osobie, której dane dotyczą ( 92 ).

113.

Sąd odsyłający potwierdził, że piąte pytanie prejudycjalne dotyczy wyjaśnienia kwestii, czy stopień winy administratora wpływa na ustalenie wysokości odszkodowania, a dokładniej – czy brak winy lub niewielka wina administratora mogą zostać uwzględnione na jego korzyść.

114.

Artykuł 82 RODO jest z pewnością niezbyt szczegółowy lub wręcz milczy na temat kluczowych aspektów odszkodowania, które miałyby wpływ na ustalenie jego wysokości. Nie dostarcza on wskazówek dla organu mającego dokonać wykładni dotyczących elementów składowych odszkodowania ( 93 ), kryteriów oceny (ustalenia ilości) tych elementów ( 94 ) lub czynników, które mogłyby mieć wpływ na kwotę odszkodowania ( 95 ).

115.

Mimo to uważam, że RODO przyznaje osobie, której dane dotyczą, prawo do odszkodowania, którego wysokość ustala się w zależności od rzeczywiście poniesionych szkód. Po ustaleniu kwoty, która obiektywnie rekompensuje te szkody, nie powinna ona ulegać zmianie w zależności od większego lub mniejszego niedbalstwa administratora.

116.

Na poparcie mojego stanowiska odsyłam mutatis mutandis do tego, co wskazałem w odniesieniu do przypisania odpowiedzialności administratorowi, niezależnie od jego winy, w systematyce art. 82 RODO. Z perspektywy poszkodowanego, którego aktywa (materialne i niematerialne) muszą pozostać nienaruszone po powstaniu szkody, naprawienie szkody musi nastąpić bez powiązania jej z winą administratora, niezależnie od stopnia tej winy ( 96 ).

117.

Uważam, że do tego samego rozwiązania można dojść, zauważając, że art. 82 RODO (do którego prace przygotowawcze nie dostarczają żadnych wskazówek umożliwiających zajęcie takiego czy innego stanowiska) ( 97 ) różni się od innych instrumentów prawa Unii, w których rozróżnia się wyraźnie, czy udział w naruszeniu był „świadomy”, czy też nie, przy ustalaniu kwoty odszkodowania z tytułu odpowiedzialności cywilnej ( 98 ).

118.

Moim zdaniem ocenę tę potwierdzają dwa kolejne argumenty:

119.

W świetle powyższych rozważań proponuję udzielić Bundesarbeitsgericht (federalnemu sądowi pracy, Niemcy) następującej odpowiedzi:

Artykuł 9 ust. 2 lit. h), art. 9 ust. 3 oraz art. 82 ust. 1 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

należy interpretować w ten sposób, że:

Nie zakazują one służbie medycznej kasy chorych przetwarzania danych dotyczących zdrowia jej pracownika, w przypadku gdy dane te są niezbędne w celu dokonania oceny zdolności tego pracownika do pracy.

Dopuszczają wyjątek od zakazu przetwarzania danych osobowych dotyczących zdrowia, gdy takie przetwarzanie jest niezbędne do celów oceny zdolności pracownika do pracy, podlega zasadom określonym w art. 5 oraz jednej z przesłanek zgodności z prawem przewidzianych w art. 6 rozporządzenia 2016/679.

Stopień winy administratora lub podmiotu przetwarzającego nie ma znaczenia dla ustalenia odpowiedzialności jednego lub drugiego ani dla ustalenia kwoty szkód niemajątkowych podlegających naprawieniu na podstawie art. 82 ust. 1 rozporządzenia 2016/679.

Przyczynienie się osoby, której dane dotyczą, do zdarzenia, z którego wynika obowiązek odszkodowania, może prowadzić, w zależności od przypadku, do zwolnienia z odpowiedzialności administratora lub podmiotu przetwarzającego, przewidzianego w art. 82 ust. 3 rozporządzenia 2016/679.