C-667/21

62021CC0667

NÁVRHY GENERÁLNEHO ADVOKÁTA

MANUEL CAMPOS SÁNCHEZ‑BORDONA

prednesené 25. mája 2023 ( 1 )

Vec C‑667/21

ZQ

2.

Hoci Súdny dvor už rozhodol o ustanoveniach GDPR ( 3 ), ktoré sa týkajú uvedených otázok, otázky položené v prejednávanom návrhu na začatie prejudiciálneho konania sú – s výnimkou štvrtej otázky – nové. ( 4 )

I. Právny rámec

A.

Právo Únie. GDPR

3.

b)

spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby;

…

h)

spracúvanie je nevyhnutné na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti alebo liečby, alebo riadenia systémov a služieb zdravotnej alebo sociálnej starostlivosti na základe práva Únie alebo práva členského štátu alebo podľa zmluvy so zdravotníckym pracovníkom, a podlieha podmienkam a zárukám uvedeným v odseku 3;

…

3. Prevádzkovateľ alebo sprostredkovateľ je zbavený zodpovednosti podľa odseku 2, ak sa preukáže, že nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu.

…“

B.

Vnútroštátne právo. Sozialgesetzbuch, Fünftes Buch ( 5 )

6.

Podľa § 278 ods. 1 prvej vety piatej knihy Zákonníka sociálneho zabezpečenia sa v každej spolkovej krajine zriadi lekárska služba ( 6 ) zdravotných poisťovní ( 7 ) ako verejnoprávna ustanovizeň. K jej úlohám, ktoré určuje zákon, patrí vypracúvanie posudkov na odstránenie pochybností o práceneschopnosti poistencov.

LSZP vypracúva posudky o práceneschopnosti poistencov zdravotných poisťovní. Medzi týmito posudkami sa môžu nachádzať posudky týkajúce sa zdravia vlastných zamestnancov LSZP.

10.

Spracúvanie údajov sa riadi okrem iného týmito pravidlami, ktoré sú stanovené v internom služobnom predpise ( 8 ):

–

„sociálne údaje“ zamestnancov sa nemôžu zhromažďovať ani uchovávať na ich pracovisku. Tieto údaje, ktoré sa vytvoria, keď zdravotná poisťovňa požiada LSZP o vypracovanie znaleckého posudku, sa navyše nesmú zmiešavať s údajmi zamestnancov, ktoré sa spracúvajú v rámci pracovného alebo služobného pomeru;

–

ZQ bol od 22. novembra 2017 nepretržite práceneschopný z dôvodu choroby.

13.

ZQ poberal od 24. mája 2018 ( 10 ) nemocenské, ktoré mu vyplácala zdravotná poisťovňa, v ktorej je poistený. Táto zdravotná poisťovňa 6. júna 2018 požiadala LSZP o vypracovanie posudku na odstránenie pochybností o práceneschopnosti ZQ.

14.

LSZP prijala túto žiadosť, ktorú pridelila organizačnej jednotke pre špeciálne prípady. Dňa 22. júna 2018 lekárka tejto organizačnej jednotky, ktorá bola zamestnankyňou LSZP, vypracovala posudok, ktorý obsahoval diagnózu ZQ. Na účely jeho vypracovania telefonovala s ošetrujúcim lekárom ZQ a získala od neho príslušné informácie.

15.

Dňa 15. augusta 2018 ZQ neúspešne požiadal LSZP o vyplatenie odškodnenia vo výške 20000 eur na základe článku 82 GDPR.

19.

Dňa 17. októbra 2018 ZQ podal žalobu na Arbeitsgericht Düsseldorf (Pracovný súd Düsseldorf, Nemecko). V tomto konaní navyše žiadal náhradu majetkovej ujmy vo výške svojho ušlého zárobku. ( 11 )

20.

V priebehu súdneho konania LSZP ukončila pracovný pomer so ZQ.

21.

Ak by Súdny dvor odpovedal na prvú otázku záporne, v dôsledku čoho by podľa článku 9 ods. 2 písm. h) GDPR prichádzala do úvahy výnimka zo zákazu spracúvania údajov týkajúcich sa zdravia stanoveného v článku 9 ods. 1 GDPR, majú sa v prípade, ako je tento, vziať do úvahy okrem požiadaviek uvedených v článku 9 ods. 3 GDPR ďalšie požiadavky týkajúce sa ochrany údajov, prípadne aké požiadavky sa majú vziať do úvahy?

3.

Ak by Súdny dvor odpovedal na prvú otázku záporne, v dôsledku čoho by podľa článku 9 ods. 2 písm. h) GDPR prichádzala do úvahy výnimka zo zákazu spracúvania údajov týkajúcich sa zdravia stanoveného v článku 9 ods. 1 GDPR, závisí v prípade, ako je tento, prípustnosť, resp. zákonnosť spracúvania údajov týkajúcich sa zdravia navyše od toho, že je splnená aspoň jedna z podmienok uvedených v článku 6 ods. 1 GDPR?

4.

Má článok 82 ods. 1 GDPR charakter ustanovenia, ktorého cieľom je špeciálna, resp. generálna prevencia, a musí sa to zohľadniť pri určovaní výšky nemajetkovej ujmy, ktorú má na základe článku 82 ods. 1 GDPR nahradiť prevádzkovateľ, resp. sprostredkovateľ?

5.

25.

Uskutočnenie pojednávania sa nepovažovalo za nevyhnutné.

26.

Na základe pokynu Súdneho dvora sa v týchto návrhoch nebudem zaoberať štvrtou prejudiciálnou otázkou. ( 13 )

IV. Analýza

A.

Článok 9 ods. 2 písm. h) GDPR konkrétne zahŕňa výnimku (zo všeobecného zákazu) týkajúcu sa spracúvania osobných údajov „na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti“.

30.

Podľa môjho názoru uvedené ustanovenie poskytuje dostatočnú oporu pre postup LSZP, ktorý je predmetom sporu. ( 15 ) Je nepodstatné, že prevádzkovateľ je zároveň zamestnávateľom dotknutej osoby, keďže LSZP nekoná v postavení takého zamestnávateľa, ale v postavení lekárskej služby zdravotnej poisťovne, v ktorej bola dotknutá osoba poistená. ( 16 )

31.

Domnievam sa, že neexistuje základ na to, aby sa článok 9 ods. 2 písm. h) GDPR vykladal v tom zmysle, že zakazuje, aby lekárska služba spracúvala údaje o zdravotnom stave svojich zamestnancov na účel uvedený v tomto ustanovení. Obvyklé výkladové kritériá vedú skôr k opačnému riešeniu (neexistencia tohto zákazu).

32.

V tejto oblasti, tak ako v iných oblastiach týkajúcich sa spracúvania osobných údajov, mal normotvorca po stanovení všeobecného zákazu možnosť:

–

zaviesť výnimky v podobe zoznamu konkrétnych situácií, ktoré možno (približne) rozdeliť na situácie, v ktorých samotná dotknutá osoba povolí spracúvanie alebo má z neho prospech, a situácie, v ktorých existujú záujmy, ktoré prevažujú nad záujmom daného jednotlivca,

–

stanoviť pre určitý typ spracúvania osobitné záruky, ktoré sú prísnejšie než záruky vzťahujúce sa na ostatné „iné ako citlivé“ osobné údaje a ktoré platia popri týchto zárukách, ( 21 )

–

Tiež si nemyslím, že systematický výklad tohto ustanovenia vedie k inému riešeniu, keďže

–

ak by sa hypoteticky uznalo, že by bolo správne chápať článok 9 ods. 2 písm. b) GDPR ako jediný základ na to, aby zamestnávateľ mohol spracúvať údaje o zdravotnom stave svojich zamestnancov, ( 23 ) nemalo by to vplyv na možnosť, aby ten istý subjekt, už nie v postavení zamestnávateľa, ale v postavení lekárskej služby, ktorá prijme žiadosť zdravotnej poisťovne, vykonával spracúvanie na základe inej výnimky stanovenej v článku 9 ods. 2 GDPR, ( 24 )

–

článok 9 ods. 3 GDPR stanovuje podmienky, ktoré musia splniť subjekty, ktoré spracúvajú osobné údaje týkajúce sa zdravia. Článok 9 ods. 2 písm. h) výslovne odkazuje na odsek 3, pričom zo subjektívneho hľadiska spracúvanie nepodlieha žiadnej inej požiadavke. ( 25 )

39.

Odpoveď na túto otázku vo všeobecnej rovine by nemala vyvolávať väčšie ťažkosti. ( 26 ) Súdny dvor uviedol, že každé spracúvanie osobných údajov musí byť v súlade s princípmi článku 5 GDPR a s niektorou z podmienok zákonnosti stanovených v článku 6 GDPR. ( 27 )

42.

Podľa vnútroštátneho súdu na ochranu údajov za okolností, akými sú okolnosti prejednávanej veci, nepostačuje dodržanie povinnosti mlčanlivosti (článok 9 ods. 3 GDPR). Tento súd navrhuje iné doplňujúce opatrenia, ktoré sú podľa jeho názoru jedinými opatreniami vhodnými na tento účel. ( 28 )

43.

Domnievam sa, že článok 9 ods. 3 GDPR ako taký nemôže tvoriť základ uvedených dodatočných opatrení. Jeho jednoznačné znenie (v ktorom sa len spresňuje ustanovenie, ktoré sa nachádzalo už v smernici 95/46) ( 29 ) neposkytuje oporu pre také návrhy, ako je návrh vnútroštátneho súdu.

44.

Článok 32 ods. 1 GDPR konkrétne vyžaduje, aby prevádzkovateľ prijal „primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú… riziku“, ktoré hrozí predmetným osobným údajom.

48.

Ak sa uvedené pravidlá uplatnia na prejednávanú vec, LSZP má z dôvodu, že je zamestnávateľom ZQ, povinnosť starostlivosti pri spracúvaní jeho údajov týkajúcich sa zdravia, ktorá je prísnejšia než obvyklá povinnosť starostlivosti, lebo aj riziká sú vyššie. ( 32 )

49.

LSZP uznáva túto skutočnosť. Ak na základe žiadosti zdravotnej poisťovne, v ktorej je poistený jej zamestnanec, vypracúva posudky na odstránenie pochybností o jeho pracovnej spôsobilosti, resp. práceneschopnosti, uplatňuje súbor technických a organizačných opatrení ad hoc , ktorých účelom ja zabezpečiť, aby bolo spracúvanie osobných údajov týkajúcich sa zdravia v súlade s GDPR. ( 33 )

50.

Na zodpovedanie tejto otázky je potrebné preskúmať vzťah medzi článkom 9 ods. 2 GDPR a článkom 6 GDPR, ktorý sa týka zákonnosti spracúvania. Povinnosť dodržiavať tento druhý článok pri každom spracúvaní údajov je stanovená v rozsudkoch Súdneho dvora, ktoré som citoval vyššie. ( 35 )

53.

Konkrétne v rozsudku vydanom vo veci C‑439/19 ( 36 ) bol podaný výklad článku 10 GDPR, ktorý sa vzťahuje na inú kategóriu citlivých osobných údajov (osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky), ( 37 ) pričom sa v ňom konštatovalo, že článok 6 GDPR sa uplatňuje spolu s článkom 10.

54.

Možno uvedený záver uplatniť aj na osobné údaje uvedené v článku 9 GDPR?

55.

Vzhľadom na históriu a vývoj článku 9 GDPR je však sporné, či možno vzťah medzi týmto článkom a článkom 6 označiť ako vzťah medzi „ lex specialis “ a „ lex generalis “.

59.

Je nesporné, že delegácie niektorých členských štátov skutočne podporovali uvedený výklad. ( 38 ) Dokumenty týkajúce sa rokovaní o článku 9 však nesvedčia o rozporoch, pokiaľ ide o odkaz na článok 6 ( 39 ), ale o jeho rozsahu (ide len o odkaz na odsek 1, alebo aj na iné odseky tohto článku?). ( 40 ) Napokon bol z článku 9 vypustený odkaz na článok 6 ( 41 ) a bolo prijaté rozhodnutie ponechať v preambule odôvodnenie podobné súčasnému odôvodneniu 51 GDPR. ( 42 )

60.

S myšlienkou kumulácie alebo komplementárnosti týchto dvoch ustanovení súhlasí Európsky výbor pre ochranu údajov ( 43 ) a podporila ju takzvaná skupina zriadená podľa článku 29 ( 44 ), pokiaľ ide o článok 8 smernice 95/46. ( 45 ) Toto chápanie sa však nepovažuje za jednoznačné v právnej náuke ani v iných relevantných kruhoch. ( 46 )

61.

Domnievam sa teda, že na to, aby bolo spracúvanie citlivých údajov, ktoré povoľuje článok 9 ods. 2 písm. h) GDPR, zákonné, je potrebné preskúmať, ktorá z podmienok špecifikovaných v článku 6 ods. 1 spôsobuje, že je v danom prípade oprávnené.

63.

Vnútroštátny súd nespochybňuje tento záver: naopak, vychádzajúc z uvedeného predpokladu, sa zameriava na zamietnutie tvrdenia, že spracúvanie, ktoré vykonáva LSZP, je odôvodnené článkom 6. ( 48 )

64.

Na prvý pohľad podľa môjho názoru neexistuje poradie právnych základov uvedených v tomto ustanovení. Podrobnejší rozbor by mohol odhaliť potrebu zaviesť spresnenia. ( 49 ) Domnievam sa však, že taký rozbor by prekračoval rámec toho, čo je nevyhnutné na zodpovedanie predmetných prejudiciálnych otázok. ( 50 )

65.

Táto otázka vychádza z predpokladu, že došlo k porušeniu GDPR, ( 51 ) ktorého sa dopustil subjekt, ktorý vystupuje ako prevádzkovateľ, a vnútroštátny súd sa ňou pýta, či pri určovaní výšky náhrady škody spôsobenej týmto porušením záleží na miere zavinenia tohto subjektu. Podľa vnútroštátneho súdu nie je isté, že neexistenciu alebo nízku mieru zavinenia prevádzkovateľa možno považovať za okolnosť, ktorá je v jeho prospech.

68.

Z doslovného hľadiska sa táto otázka zameriava na určenie výšky náhrady škody. Vysvetlenia, ktoré boli uvedené v súvislosti s ňou, však vyvolali určité nejasnosti, keďže nebolo jasné, či v nich bolo zavinenie uvedené ako podmienka pripísania zodpovednosti alebo ako faktor na určenie výšky náhrady škody.

69.

Vnútroštátny súd na základe výzvy Súdneho dvora, aby objasnil uvedené nejasnosti, uviedol, že otázka sa týka oboch aspektov, pričom neposkytol podrobnejšie spresnenia týkajúce sa jej súvislosti so sporom vo veci samej.

70.

v tretej fáze sa vyjadrím k prípadným dôsledkom miery závažnosti zavinenia prevádzkovateľa na konkrétne posúdenie náhrady nemajetkovej ujmy, ktorú možno nahradiť.

1. Dôvod zodpovednosti za škodu stanovený v článku 82 GDPR

71.

Vnútroštátny súd sa domnieva, že podľa článku 82 ods. 1 GDPR zodpovednosť (spracúvateľa ( 54 )) za škodu nie je podmienená existenciou alebo preukázaním úmyslu alebo nedbanlivosti. Ďalej uvádza, že odsek 3 toho istého článku nepodporuje iné riešenie.

72.

Uznávam, že nie je jasné, ktorý model zodpovednosti za škodu bol prijatý v GDPR, a že a priori prichádza do úvahy niekoľko výkladov. ( 55 ) Jedným z nich je výklad, ktorý podáva vnútroštátny súd, a tento výklad je podľa môjho názoru správny.

Zvyšné odseky článku 82 nenasvedčujú v prospech inej odpovede. ( 56 ) Najmä by som si netrúfal vyvodiť požiadavku týkajúcu sa zavinenia zo slova „pripísateľný“, ktoré sa nachádza v článku 82 ods. 3 Tento výraz sa objavuje len v niektorých jazykových verziách GDPR, pričom v iných verziách je naopak použitý pojem „zodpovedný“. V nemeckej verzii súčasťou článku 82 ani preambuly nie je technický termín charakteristický pre pripísanie zodpovednosti na základe zavinenia („Verschulden“). ( 57 )

76.

Porovnanie jednotlivých ustanovení GDPR svedčí o tom, že použitá terminológia nie je vždy jednoznačná, a preto je potrebné postupovať pri vyvodzovaní dôsledkov z jeho doslovného znenia čo najobozretnejšie. V anglickej verzii sa napríklad slovo „responsible“ („zodpovedný“) používa vo viacerých významoch. ( 58 )

77.

Zatiaľ čo v článku 82 GDPR sa neodkazuje na úmysel alebo zavinenie prevádzkovateľa, v článku 83 sa nachádzajú také zmienky v súvislosti so správnymi pokutami: „Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade“ náležite zohľadní úmyselný alebo nedbanlivostný charakter porušenia GDPR. ( 59 )

78.

81.

Domnievam sa však, že prípravné práce podporujú chápanie článku 82 ods. 1 GDPR, podľa ktorého zodpovednosť za škodu nezávisí od zavinenia prevádzkovateľa.

82.

Návrh Komisie vychádzal zo smernice 95/46 a nebola v ňom spomenutá nedbanlivosť. V dokumentoch Rady sa spomína, že stanovená zodpovednosť je vymedzená ako „strict liability“. ( 60 )

83.

Pozmeňujúci a doplňujúci návrh predložený vo Výbore Parlamentu pre občianske slobody, spravodlivosť a vnútorné veci by mal za následok, že odsek 1 článku 82 (vtedajšieho článku 77) by mal obsah, v ktorom je zodpovednosť viazaná na úmysel alebo nedbanlivosť. ( 61 ) Tento pozmeňujúci a doplňujúci návrh nebol úspešný. ( 62 )

85.

V kompromisnom znení, ktoré predložilo predsedníctvo na schválenie v podobe všeobecného smerovania, ( 71 ) bola použitá prvá možnosť, aj keď v ňom bol prostredníctvom znenia článku 77 ods. 3 posilnený výnimočný charakter zbavenia zodpovednosti a jeho preukázanie bolo sťažené: „… if it [prevádzkovateľ/sprostredkovateľ] proves that it is not in any way responsible…“ ( 72 ). Toto znenie sa zhoduje s článkom, ktorý bol napokon schválený.

86.

Aby som to zhrnul, rozbor legislatívneho postupu, ktorý viedol ku konečnému zneniu GDPR, svedčí v prospech záveru, že zodpovednosť, ktorá je uvedená v článku 82 ods. 1 GDPR, nie je viazaná na zavinenie spracúvateľa.

c) Účel

87.

Záver, že podľa článku 82 ods. 1 GDPR povinnosť nahradiť škodu nezávisí od nesplnenia povinnosti starostlivosti, je v súlade s týmto prístupom. Takú povinnosť má – na základe rozhodnutia normotvorcu – subjekt, ktorý má v tomto vzťahu určité postavenie strážcu alebo garanta, a to práve na základe tejto samotnej skutočnosti.

91.

Dalo by sa teda povedať, že podľa GDPR je rozhodujúca situácia poškodeného, ktorému vznikne škoda spôsobená porušením, ak mu žiadny predpis neukladá povinnosť znášať ju.

92.

Pre poškodeného nie je podstatné, či ten, kto spôsobil škodu, zavinil jej vznik: rozhodujúce je, že spracúvateľ spôsobil poškodenému majetkovú alebo nemajetkovú ujmu vyplývajúcu z porušenia GDPR, ktorého sa spracúvateľ dopustil.

93.

Domnievam sa, že v rámci prispôsobovania sa digitálnej revolúcii ( 75 ) je toto riešenie koherentné. Rýchly technologický vývoj si vyžaduje, aby pri najbežnejších činnostiach týkajúcich sa spracúvania údajov, ktoré sa vykonávajú online, neexistencia úmyslu alebo nedbanlivosti nebránila náhrade škody, ktorá by inak nebola nahradená.

d) Systematika

95.

Výklad, ktorý navrhujem, viac zodpovedá systematike GDPR. V rámci jeho článku 82 to potvrdzuje odsek 3: zbavenie zodpovednosti prichádza do úvahy, ak „sa preukáže, že [prevádzkovateľ alebo sprostredkovateľ] nenesie žiadnu zodpovednosť za udalosť, ktorá spôsobila škodu“.

96.

V uvedenej formulácii má osobitný význam pojem „žiadnu“, ktorý vzbudzuje dojem, že nejde o model založený na zavinení (dokonca ani na najmenšej nedbanlivosti) s obrátením dôkazného bremena.

100.

Domnievam sa, že v GDPR je tento výsledok ( 77 ) prijateľný. Článok 82 je súčasťou zložitej právnej úpravy, ktorá zahŕňa verejnoprávne a súkromnoprávne nástroje na ochranu osobných údajov. V rámci tejto právnej úpravy má nedbanlivosť (a úmysel) význam, pokiaľ ide o správne sankcie. Podľa môjho názoru nie je potrebné, aby nedbanlivosť, resp. úmysel boli dôležité aj na účely zodpovednosti za škodu, ( 78 ) čo by odporovalo cieľom článku 82 a navyše znižovalo praktickú efektívnosť prostriedku nápravy, ktorý je v tomto článku stanovený.

2. Vplyv účasti dotknutej osoby

101.

Pochybnosti týkajúce sa nevyhnutnosti zavinenia prevádzkovateľa sú v prejednávanej veci spojené s dôsledkami, ktoré by mohli vyplynúť z účasti dotknutej osoby. ( 79 )

102.

V každom prípade sa domnievam, že – ako podľa všetkého tvrdí vnútroštátny súd ( 82 ) – na určenie, aký vplyv (ak vôbec) malo konanie dotknutej osoby na spáchanie porušenia, ktoré spôsobilo škodu, treba použiť článok 82 ods. 3.

104.

V tomto ustanovení nie sú ani demonštratívne vymenované konkrétne dôvody zbavenia zodpovednosti. Nie sú vymenované ani v odôvodnení 146. ( 83 )

105.

GDPR sa v tomto smere zjavne odlišuje od smernice 95/46, ktorej článok 23 ods. 2 obsahoval ustanovenie podobné ( 84 ) súčasnému článku 82 ods. 3 GDPR: v odôvodnení 55 smernice 95/46 boli ako prípady dôvodov zbavenia zodpovednosti uvedené zodpovednosť dotknutej osoby alebo vyššia moc, ( 85 ) ktoré sa v GDPR nenachádzajú.

106.

Vzhľadom na to sa domnievam, že vypustenie uvedených dvoch prípadov z preambuly a súbežné vloženie zámena „žiadnu“ do tejto preambuly a do článku 82 ods. 3 GDPR nemá za následok (ani za cieľ) vylúčenie činnosti dotknutej osoby z dôvodov zbavenia zodpovednosti. ( 91 )

110.

Skôr sa zdá, že činnosť dotknutej osoby naďalej môže v určitých prípadoch spôsobiť narušenie nevyhnutnej súvislosti medzi „udalosťou“ (tento pojem je použitý v článku 82 ods. 3 GDPR) a zodpovednosťou prevádzkovateľa. Zdôraznenie obmedzeného charakteru únikovej klauzuly nebráni tomu, aby určité konanie dotknutej osoby samo osebe spôsobilo škodu a v konečnom dôsledku malo za následok, že spracúvateľ bude zbavený zodpovednosti.

111.

Systematický výklad podporuje záver, že v rámci zodpovednosti za škodu treba zohľadniť účasť dotknutej osoby na jej vzniku. V systéme GDPR sa jednotlivci podieľajú na ochrane svojich údajov, pričom GDPR im na tento účel poskytuje nástroje, ktoré sú samy osebe právami.

112.

115.

Napriek tomu sa domnievam, že GDPR priznáva dotknutej osobe právo na náhradu škody, ktorej výška sa určí na základe skutočne vzniknutej škody. Ak sa stanoví suma, ktorá z objektívneho hľadiska predstavuje náhradu tejto škody, táto suma by sa nemala meniť podľa toho, či sa prevádzkovateľ dopustil väčšej alebo menšej nedbanlivosti.

116.

Na podporu svojho stanoviska analogicky odkazujem na úvahy, ktoré som uviedol v súvislosti s pripísaním zodpovednosti spracúvateľovi, odhliadnuc od jeho zavinenia, v systematike článku 82 GDPR. Z pohľadu poškodeného, ktorého (hmotný a nehmotný) majetok musí zostať po vzniku škody nezmenený, sa náhrada škody musí poskytnúť bez toho, aby bola viazaná na zavinenie spracúvateľa, a to bez ohľadu na mieru jeho závažnosti. ( 96 )

117.

Domnievam sa, že k tomu istému riešeniu sa dospeje, ak sa vezme do úvahy, že článok 82 GDPR (pričom prípravné dokumenty, ktoré sa ho týkajú, nepodporujú také či onaké stanovisko) ( 97 ) sa odlišuje od iných nástrojov práva Únie, v ktorých sa pri určovaní sumy, ktorú možno nahradiť z dôvodu zodpovednosti za škodu, výslovne rozlišuje, či bola účasť na porušení „zámerná“. ( 98 )

V. Návrh

119.

Vzhľadom na všetky vyššie uvedené úvahy navrhujem odpovedať na prejudiciálne otázky, ktoré položil Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko), takto:

Článok 9 ods. 2 písm. h), článok 9 ods. 3, ako aj článok 82 ods. 1 a 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa majú vykladať v tomto zmysle:

Nezakazujú, aby lekárska služba zdravotnej poisťovne spracúvala údaje týkajúce sa zdravia zamestnanca tejto služby, ak sú nevyhnutné na posúdenie jeho pracovnej spôsobilosti.

( 4 ) Štvrtá otázka je v podstate totožná s prvou otázkou vo veci C‑300/21, Österreichische Post (Nemajetková ujma spôsobená spracúvaním osobných údajov), v ktorej som predniesol návrhy 6. októbra 2022 ( EU:C:2022:756 ) (ďalej len „návrhy vo veci C‑300/21“) a Súdny dvor rozhodol vo svojom rozsudku zo 4. mája 2023 ( EU:C:2023:370 ).

( 5 ) Piata kniha Zákonníka sociálneho zabezpečenia.

( 6 ) Medizinischer Dienst der Krankenversicherung (ďalej len „LSZP“).

( 7 ) Krankenversicherung (ďalej len „zdravotná poisťovňa“).

( 8 ) „Memorandum týkajúce sa ochrany sociálnych údajov zamestnancov [LSZP] a ich rodinných príslušníkov“, zhrnuté v bode 6 a nasl. rozhodnutia vnútroštátneho súdu.

( 9 ) V systéme na informatické spracúvanie údajov, ktorý LSZP interne využíva, bola zriadená virtuálna organizačná jednotka pre tzv. špeciálne prípady, ku ktorej majú prístup len zamestnanci tejto jednotky.

( 16 ) Spracúvanie citlivých údajov v postavení zamestnávateľa (teda na účely súvisiace s pracovným pomerom) by bolo zákonné len vtedy, ak by spĺňalo podmienky, ktoré GDPR stanovuje pre spracúvanie údajov na iný účel, než je účel, na ktorý boli získané.

( 17 ) Bod 22 rozhodnutia vnútroštátneho súdu. GDPR naopak vyžaduje, aby boli splnené iné znaky uvedené v jeho článku 9 ods. 3: pokiaľ ide o jeho dosah, pozri bod 40 nižšie a nasl.

( 18 ) Článku 9 GDPR predchádzal článok 8 smernice 95/46. V návrhu Komisie [návrh nariadenia Európskeho parlamentu a rady o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov), COM(2012) 11 final, z 25. januára 2012; ďalej len „návrh Komisie“] bolo spracúvanie osobných údajov týkajúcich sa zdravia upravené v článku 81, v ktorom boli stanovené odôvodnenia a v ktorom bolo uvedené, že toto spracúvanie sa má vykonávať v súlade s právom Únie alebo s právnymi predpismi členských štátov. Je úlohou členských štátov stanoviť záruky potrebné na ochranu oprávnených záujmov dotknutej osoby. Obsah článku 81 bol prevzatý do článku 9 ods. 2 písm. h) a článku 9 ods. 4, ako je to vyjadrené v dokumente predsedníctva Rady č. 14270/14 určenom skupine pre ochranu údajov zo 16. októbra 2014.

( 19 ) Rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) ( C‑136/17 , EU:C:2019:773 , bod 44 ): účelom „… osobitných požiadaviek… pre spracúvanie… osobitných kategórií údajov… je zabezpečiť zvýšenú ochranu v prípade takéhoto spracúvania, pričom, ako vyplýva aj z odôvodnenia 33 [smernice 95/46] a z odôvodnenia 51 tohto nariadenia, ich spracúvanie môže vzhľadom na osobitnú citlivosť týchto údajov predstavovať obzvlášť závažný zásah do základných práv na ochranu súkromia a na ochranu osobných údajov zaručených článkami 7 a 8 Charty“.

( 26 ) Odôvodnenie 51 GDPR, ktoré odkazuje na „obzvlášť citlivé v súvislosti so základnými právami a slobodami“, stanovuje, že „okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie“.

( 27 ) Rozsudok zo 16. januára 2019, Deutsche Post ( C‑496/17 , EU:C:2019:26 , bod 57 a tam citovaná judikatúra). Pokiaľ ide o citlivé údaje, pozri rozsudky z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) ( C‑136/17 , EU:C:2019:773 , bod 64 ), a z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) ( C‑439/19 , EU:C:2021:504 , body 96 , 99 , 100 a 102 ).

( 28 ) Body 25 až 27 rozhodnutia vnútroštátneho súdu. V tomto rozhodnutí je spomenuté vytvorenie dvoch nezávislých organizačných jednotiek pre špeciálne prípady a samostatných IT oddelení, ak ide o posudky týkajúce sa zamestnancov, ktorí pracujú v oblasti IT služieb (ako je ZQ). Konečným cieľom je, aby žiadny zamestnanec LSZP nemal faktický prístup k údajom týkajúcim sa zdravia kolegu ani vedomosť o existencii kontroly týkajúcej sa jeho pracovnej spôsobilosti.

( 29 ) Článok 8 ods. 3 Ako som už uviedol, v GDPR bol rozšírený okruh osôb oprávnených vykonávať spracúvanie.

( 30 ) Odsek 4 bol vložený do článku 9 GDPR na základe návrhu Nemecka: dokument predsedníctva č. 6834/15 určený Rade z 9. marca 2015.

( 31 ) Vnútroštátny súd označuje LSZP za prevádzkovateľa (bod 16 rozhodnutia vnútroštátneho súdu). Ďalej preto nebudem spomínať sprostredkovateľa, pokiaľ to na určitom mieste nebude vhodné. Úvahy uvedené v súvislosti s prevádzkovateľom v zásade platia aj pre sprostredkovateľa.

( 38 ) Dokument Rady č. 17072/4/14 Rev 4 určený Výboru stálych predstaviteľov zo 4. marca 2015, poznámka pod čiarou 60.

( 39 ) Ktorý sa – tak ako v konečnej verzii – týka zákonnosti spracúvania.

( 40 ) Dokument Rady č. 17072/4/14 Rev 4 určený Výboru stálych predstaviteľov zo 4. marca 2015, článok 9 ods. 2 [„Paragraph 1 shall not apply if one of the following applies and Article 6(1) is complied with…“] a poznámka pod čiarou 60.

( 41 ) Od dokumentu predsedníctva č. 6834/15 určeného Rade z 9. marca 2015.

( 42 ) Čím sa určite nepodarilo rozptýliť pochybnosti všetkých delegácií. Pozri napríklad dokument predsedníctva č. 7466/15 určený delegáciám z 26. marca 2015, poznámka pod čiarou 38.

( 43 ) Usmernenia 3/2020 k spracúvaniu údajov týkajúcich sa zdravia na účely vedeckého výskumu v kontexte vypuknutia nákazy COVID‑19 z apríla 2020, bod 15.

( 50 ) Odlišnou otázkou, ktorá má obmedzenejší dosah, je, či by vzhľadom na úvahy, ktoré vnútroštátny súd uviedol v súvislosti s článkom 6 ods. 1, bolo vhodné objasniť význam podmienok, ktoré sú v ňom stanovené, najmä podmienok uvedených v písmenách c) a e). V tomto zmysle odkazujem na judikatúru Súdneho dvora: pokiaľ ide o ustanovenia smernice 95/46, rozsudky zo 16. decembra 2008, Huber ( C‑524/06 , EU:C:2008:724 , bod 62 ), a z 30. mája 2013, Worten ( C‑342/12 , EU:C:2013:355 , bod 37 ), a pokiaľ ide o GDPR, rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20 , EU:C:2022:601 , bod 66 a nasl.).

( 51 ) Vnútroštátny súd sa prikláňa ku konštatovaniu, že došlo k porušeniu článkov 9 a 6 GDPR spôsobeného spracúvaním, ktoré uskutočnila LSZP. V bode 32 rozhodnutia vnútroštátneho súdu sa uvádza, že toto porušenie samo osebe zakladá nárok na náhradu škody a v bode 33 sa zdôrazňuje, že porušenie automaticky spôsobuje škodu („samotné porušenie GDPR má za následok vznik nemajetkovej ujmy, ktorá sa má nahradiť“). Z dôvodov, ktoré som uviedol v návrhoch prednesených vo veci C‑300/21, s týmto názorom nesúhlasím.

( 52 ) Body 78 až 80 pripomienok LSZP. Podľa nej si samotná dotknutá osoba tým, že si nevyžiadala spis ani neuplatnila svoje právo na prístup v súvislosti s ním v súlade s článkom 15 GDPR, a naopak využila služby kolegu zo svojej organizačnej jednotky, v dôsledku čoho došlo k nahliadnutiu do sporných údajov, sama spôsobila škodu. Pozri v tom istom zmysle rozsudok Landesarbeitsgericht Düsseldorf (Krajinský pracovný súd Düsseldorf) (12. senát), z 11. marca 2020, 12 Sa 186/19, bod 4.3.4.3, ktorý bol vydaný v odvolacom konaní.

( 58 ) Pozri článok 82 ods. 3, článok 68 ods. 4 alebo článok 75 ods. 6.

( 59 ) Článok 83 ods. 2 písm. b) a článok 83 ods. 3 K ich výkladu som sa vyjadril v návrhoch vo veci C‑807/21, Deutsche Wohnen ( EU:C:2023:360 ).

( 60 ) Okrem iného dokument predsedníctva Rady č. 17831/13 určený skupine pre ochranu údajov zo 16. decembra 2013, poznámka pod čiarou 542.

( 61 ) Pozmeňujúci a doplňujúci návrh č. 2819, ktorý predložil S. Ilčev, Draft Report on the proposal for a regulation of the European Parliament and of the Council on the protection of individual with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation), dokument PE501.927v04‑00, Amendments (9): „Any person who has suffered damage as a result of an unlawful processing operation or of an action incompatible with this Regulation shall have the right to receive compensation from the controller or the processor for the damage suffered unless the controller or processor proves that they are not responsible for the damage either by intent or negligence “. Kurzívou zvýraznil generálny advokát.

( 62 ) Pozri text pripojený k legislatívnemu uzneseniu z 12. marca 2014 o návrhu Komisie ( Ú. v. EÚ C 378, 2017, s. 399 ).

( 63 ) Dokument predsedníctva č. 9083/15 určený členom skupiny pre ochranu údajov zodpovedným za oblasť SVV z 27. mája 2015. Rozdiel medzi týmito možnosťami sa týka článku 77 ods. 3 až 6. Odsek 1, ktorý stanovuje zásadu zodpovednosti prevádzkovateľa a sprostredkovateľa, a odsek 2, v ktorom je uvedený materiálny rozsah zodpovednosti prevádzkovateľa a sprostredkovateľa, pričom zodpovednosť sprostredkovateľa je obmedzená, boli zhodné.

( 70 ) Článok 77 ods. 4a pri tejto možnosti: „If a data subject is not able to bring a claim for compensation against the controller…“.

( 71 ) Dokument predsedníctva č. 9565/15 určený Rade z 11. júna 2015.

( 72 ) Kurzívou zvýraznil generálny advokát. Súbežne s vložením tejto formulácie boli v odôvodnení 118 vypustené príklady dôvodov zbavenia zodpovednosti: pozri bod 104 nižšie a nasl.

( 73 ) Odôvodnenie 10 GDPR.

( 74 ) Odkazujem na návrhy, ktoré som predniesol vo veci C‑300/21. Ako som v nich uviedol, normotvorca chce poskytnúť motiváciu na presadzovanie predpisov týkajúcich sa ochrany osobných údajov súkromnoprávnymi prostriedkami. Na tento účel boli v kapitole VIII GDPR zavedené nástroje, ktoré má k dispozícii dotknutá osoba. Náhrada škody je jedným z nich, ale nemá sankčné funkcie.

( 75 ) To bol jeden z argumentov v prospech nahradenia smernice 95/46, ktoré boli uvedené v návrhu Komisie.

( 82 ) Bod 40 rozhodnutia vnútroštátneho súdu.

( 83 ) Na rozdiel od toho, ako je to v iných oblastiach (napríklad v oblasti zodpovednosti za chybné výrobky), zoznam dôvodov zbavenia zodpovednosti v GDPR nemá podobu taxatívneho výpočtu.

( 84 )

( 85 ) Prevádzkovateľ „môže byť zbavený zodpovednosti, ak dokáže, že nie je zodpovedný za škodu, zvlášť v prípadoch, kde konštatuje chybu zo strany osoby pracujúcej s údajmi [ zo strany dotknutej osoby – neoficiálny preklad ], alebo v prípade vis major “. Kurzívou zvýraznil generálny advokát.

( 86 ) Odôvodnenie 118 návrhu Komisie.

( 87 ) Odôvodnenie 118 textu pripojeného k legislatívnemu uzneseniu Parlamentu z 12. marca 2014 o návrhu Komisie.

( 94 ) Nie je v ňom uvedené, či sa majú pri stanovení výšky škody v každom prípade použiť sadzobníky alebo uprednostniť celkové sumy, resp. použiť iné systémy výpočtu.

( 95 ) Medzi uvedenými faktormi by sa prípadne mohli nachádzať: a) faktor navrhovaný vnútroštátnym súdom, b) existencia zavinenia dotknutej osoby, ktorú LSZP uvádza v bode 80 svojich pripomienok, c) iné faktory, ako je zavedenie kvantitatívnych obmedzení náhrady škody, aby nedošlo k neodôvodnenému odradeniu od operácií spočívajúcich v spracúvaní údajov alebo ekonomických činností, ktoré od nich závisia.

( 96 ) Bod 87 vyššie a nasl.

( 97 ) V smernici 95/46 táto otázka nebola upravená. V prípravných dokumentoch týkajúcich sa GDPR som nenašiel nič, čo by nasvedčovalo diskusii o tejto otázke.

( 98 ) Článok 94 ods. 2 nariadenia Rady (ES) č. 2100/94 z 27. júla 1994 o právach spoločenstva k odrodám rastlín ( Ú. v. ES L 227, 1994, s. 1 ; Mim. vyd. 03/016, s. 390) alebo článok 13 a odôvodnenie 26 smernice Európskeho parlamentu a Rady 2004/48/ES z 29. apríla 2004 o vymožiteľnosti práv duševného vlastníctva ( Ú. v. EÚ L 157, 2004, s. 45 ; Mim. vyd. 17/002, s. 32).

( 99 ) Článok 83 ods. 2 písm. b) a odôvodnenie 148 GDPR. V tomto kontexte sa berie do úvahy kritérium proporcionality, a to nielen v súvislosti s udalosťou, ale aj so zreteľom na to, či pokuta predstavuje pre fyzickú osobu neprimeranú záťaž. Írska vláda v bode 54 svojich pripomienok navrhla uplatniť toto kritérium aj na zodpovednosť za škodu. Na to, aby sa toto kritérium považovalo za neoddeliteľnú súčasť článku 82, opäť chýba odôvodnenie založené na jeho doslovnom znení, pričom ho nepodporujú ani prípravné dokumenty, ani účel ustanovenia alebo jeho funkcia v rámci právneho predpisu ako celku.