C-21/23

62023CC0021

NÁVRHY GENERÁLNEHO ADVOKÁTA

MACIEJ SZPUNAR

prednesené 25. apríla 2024 ( 1 )

Vec C‑21/23

ND

Prejednávaná vec sa týka výkladu viacerých ustanovení nariadenia (EÚ) 2016/679 ( 2 ) (ďalej len „GDPR“) týkajúcich sa jednak systému prostriedkov nápravy zavedeného týmto nariadením a jednak kategórie osobitne citlivých údajov, ktorými sú „údaje týkajúce sa zdravia“.

2.

Návrh na začatie prejudiciálneho konania bol podaný v konaní o žalobe o upustenie od protiprávneho konania založenej na zákaze nekalého súťažného konania vo vnútroštátnom práve a podanej podnikom s cieľom dosiahnuť, aby jeden z jeho konkurentov ukončil distribúciu liekov, ktorých výdaj nie je viazaný na lekársky predpis, na internete. Údajným nekalým súťažným konaním je podľa tohto podniku nerešpektovanie požiadaviek vyplývajúcich z GDPR, ktoré sa vzťahujú na spracovanie „údajov týkajúcich sa zdravia“.

3.

Svoju analýzu začnem preskúmaním druhej prejudiciálnej otázky, ktorá umožní Súdnemu dvoru spresniť pojem „údaje týkajúce sa zdravia“, ktorý je určujúci pre to, či sa uplatní posilnená ochrana.

4.

Smernica 95/46/ES ( 3 ) vo svojom článku 8 ods. 1 stanovuje:

„Členské štáty môžu zabrániť [zabránia – neoficiálny preklad ] spracovaniu osobných údajov prezrádzajúcich rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenia, členstvo v odborových zväzoch a spracovaniu údajov týkajúcich sa zdravia alebo sexuálneho života.“

2.

GDPR

6.

Odôvodnenia 9, 10, 13, 35, 51 a 142 GDPR znejú takto:

S cieľom zaručiť konzistentnú úroveň ochrany fyzických osôb v celej Únii a zabrániť rozdielom, ktoré sú prekážkou voľného pohybu osobných údajov v rámci vnútorného trhu, je potrebné prijať nariadenie, ktorým sa poskytne právna istota a transparentnosť pre hospodárske subjekty vrátane mikropodnikov a malých a stredných podnikov, a ktorým sa fyzickým osobám vo všetkých členských štátoch poskytne rovnaká úroveň právne vymožiteľných práv, ktorým sa prevádzkovateľom a sprostredkovateľom uložia povinnosti a zodpovednosti, ktorým sa zabezpečí konzistentné monitorovanie spracúvania osobných údajov a ktorým sa stanovia rovnocenné sankcie vo všetkých členských štátoch, ako aj účinná spolupráca dozorných orgánov rozličných členských štátov.…

…

(35)

Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. … Takéto osobné údaje by sa nemali spracúvať, pokiaľ spracúvanie nie je povolené v osobitných prípadoch stanovených v tomto nariadení, pričom sa zohľadní, že právo členských štátov môže stanoviť osobitné ustanovenia o ochrane údajov, ktorými prispôsobia uplatňovanie pravidiel tohto nariadenia na účely splnenia zákonnej povinnosti alebo úlohy realizovanej vo verejnom záujme či pri výkone verejnej moci zverenej prevádzkovateľovi. Okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie. Výnimky zo všeobecného zákazu spracúvania týchto osobitných kategórií osobných údajov by sa mali výslovne uviesť okrem iného vtedy, ak dotknutá osoba poskytla svoj výslovný súhlas alebo v súvislosti s osobitnými potrebami, najmä ak spracúvanie vykonávajú v rámci legitímnych činností určité združenia alebo nadácie, ktorých účelom je umožniť výkon základných slobôd.

…

(142)

8.

Článok 4 tohto nariadenia stanovuje:

„Na účely tohto nariadenia:

1.

‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;

…

2. Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:

a)

dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;

…

h)

spracúvanie je nevyhnutné na účely preventívneho alebo pracovného lekárstva, posúdenia pracovnej spôsobilosti zamestnanca, lekárskej diagnózy, poskytovania zdravotnej alebo sociálnej starostlivosti alebo liečby, alebo riadenia systémov a služieb zdravotnej alebo sociálnej starostlivosti na základe práva Únie alebo práva členského štátu alebo podľa zmluvy so zdravotníckym pracovníkom, a podlieha podmienkam a zárukám uvedeným v odseku 3;

12.

Článok 78 toho istého nariadenia, nazvaný „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“, v odseku 1 uvádza:

„Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.“

13.

Článok 79 toho istého nariadenia, nazvaný „Právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi“, vo svojom odseku 1 stanovuje:

„Bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s týmto nariadením došlo k porušeniu jej práv ustanovených v tomto nariadení.“

„Každá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia tohto nariadenia, má právo na náhradu utrpenej škody od prevádzkovateľa alebo sprostredkovateľa.“

16.

Článok 84 tohto nariadenia, nazvaný „Sankcie“, v odseku 1 uvádza:

„Členské štáty stanovia pravidlá pre iné sankcie za porušenia tohto nariadenia, predovšetkým za tie, na ktoré sa nevzťahujú správne pokuty podľa článku 83, a prijmú všetky opatrenia potrebné na zabezpečenie ich vykonávania. Takéto sankcie musia byť účinné, primerané a odrádzajúce.“

B. Nemecké právo

1.

19.

Ustanovenie § 8 uvedeného zákona, nazvaného „Upustenie od protiprávneho konania a zdržanie sa protiprávneho konania“, uvádza:

„1. Proti každému, kto sa dopustí nedovolenej obchodnej praktiky v zmysle § 3 alebo § 7, možno podať návrh na upustenie od protiprávneho konania a v prípade rizika opakovania aj návrh na nariadenie predbežného opatrenia na zdržanie sa konania.…

…

3. Návrhy uvedené v odseku 1 môže podať:

(1)

III. Skutkový stav vo veci samej, konanie a prejudiciálna otázka

21.

ND a DR prevádzkujú každý vlastnú lekáreň. Žalobca vo veci samej, ND, je okrem toho držiteľom oprávnenia na zásielkový obchod a svoj tovar, vrátane liekov, ktorých predaj je vyhradený lekárňam, predáva prostredníctvom Amazon Marketplace (ďalej len „Amazon“), čo je elektronická obchodná platforma, prostredníctvom ktorej môžu predávajúci ponúkať výrobky na predaj priamo spotrebiteľom.

22.

Žalovaný vo veci samej, DR, podal žalobu o upustenie od protiprávneho konania, ktorou sa domáhal, aby bol ND uložený zákaz distribuovať na online predajnej platforme Amazon lieky, ktorých predaj je vyhradený lekárňam. Podľa DR predstavuje takáto distribúcia nekalé súťažné konanie, keďže vedie k tomu, že ND porušuje zákonné ustanovenie v zmysle § 3a zákona proti nekalej súťaži, a to najmä článok 9 GDPR upravujúci získanie predchádzajúceho a výslovného súhlasu zákazníka so spracovaním jeho osobných údajov týkajúcich sa zdravia.

23.

Tento súd totiž jednak zdôrazňuje, že treba určiť, či má žalobca vo veci samej ako súťažiteľ požadovanú aktívnu legitimáciu podať z dôvodu porušení GDPR proti osobe, ktorá sa ich dopustila, žalobu na občianskoprávne súdy na základe zákazu nekalých obchodných praktík. Vnútroštátny súd spresňuje, že ide o kontroverznú otázku, na ktorú možno odpovedať tak, že pravidlá obsiahnuté v GDPR, ktoré majú presadzovať uplatňovanie jeho ustanovení, sú úplné, takže aktívna legitimácia súťažiteľov podľa práva hospodárskej súťaže je vylúčená. Možno však tiež obhajovať názor, že ustanovenia GDPR, ktoré majú monitorovať uplatňovanie práva, nie sú úplné a že súťažitelia teda majú požadovanú aktívnu legitimáciu na to, aby prostredníctvom žaloby uplatnili právo na upustenie od protiprávneho konania s odvolaním sa na porušenie tohto nariadenia.

27.

Vnútroštátny súd okrem toho tvrdí, že treba určiť, či údaje, ktoré zákazníci musia zadať pri online objednávaní liekov, ktorých predaj je vyhradený lekárňam, ale ktorých výdaj nie je viazaný na lekársky predpis, predstavujú údaje týkajúce sa zdravia v zmysle článku 9 ods. 1 GDPR a predtým článku 8 ods. 1 smernice 95/46, pretože právo na upustenie od protiprávneho konania existuje iba vtedy, ak správanie ND bolo protiprávne v čase, keď sa ho dopustil a zároveň v čase pojednávania o opravnom prostriedku „Revision“.

28.

Práve za týchto okolností Bundesgerichtshof (Spolkový súdny dvor) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1.

30.

V prejednávanej veci DR tvrdí, že ND porušil článok 9 GDPR tým, že spracúva údaje zákazníkov, ktorí si objednali online lieky, ktorých výdaj nie je viazaný na lekársky predpis, bez splnenia požiadaviek, ktoré si vyžadujú získať na spracovanie týchto údajov výslovný súhlas zákazníkov.

31.

Vo svojej prvej prejudiciálnej otázke sa vnútroštátny súd v podstate pýta, či sa ustanovenia kapitoly VIII GDPR majú vykladať v tom zmysle, že bránia vnútroštátnym ustanoveniam, ktoré priznávajú podnikom právo odvolávať sa na základe zákazu nekalého súťažného konania na porušenia hmotnoprávnych ustanovení GDPR, ktorých sa údajne dopustili ich konkurenti. Vo svojej druhej prejudiciálnej otázke sa tento súd pýta Súdneho dvora na to, či sa článok 9 GDPR má vykladať v tom zmysle, že údaje, o ktoré ide, sú údajmi týkajúcimi sa zdravia, a teda patria k osobitným kategóriám údajov uvedeným v tomto ustanovení. ( 8 )

32.

Na úvod, ako som už zdôraznil, uvádzam, že ak je odpoveď na druhú otázku záporná, netreba odpovedať na prvú, keďže odpoveď Súdneho dvora by v takomto prípade postačovala na to, aby vnútroštátny súd rozhodol v spore, ktorý prejednáva. Za týchto okolností si myslím, že je vhodné, aby som svoju analýzu prejudiciálnych otázok začal touto druhou otázkou.

O výklade pojmu „údaje týkajúce sa zdravia“ s prihliadnutím na existujúcu judikatúru

35.

Podľa článku 4 bodu 15 GDPR predstavujú „údaje týkajúce sa zdravia“ osobné údaje týkajúce sa fyzického alebo duševného zdravia fyzickej osoby, vrátane údajov o poskytovaní služieb zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave.

36.

Táto definícia je navyše podložená odôvodnením 35 GDPR. Súdny dvor tiež zdôraznil vo svoje judikatúre, že „[toto odôvodnenie] uvádza, že osobné údaje týkajúce sa zdravia by mali zahŕňať všetky údaje týkajúce sa zdravotného stavu dotknutej osoby, ktoré ‚poskytujú [odhaľujú – neoficiálny preklad ]‘ informácie o minulom, súčasnom alebo budúcom fyzickom alebo duševnom zdravotnom stave dotknutej osoby“ ( 9 ).

37.

40.

S prihliadnutím na tento cieľ teda treba podľa judikatúry Súdneho dvora vykladať extenzívne pojem „osobitné kategórie osobných údajov“, medzi ktoré patria údaje týkajúce sa zdravia, takže nejde len o údaje, ktoré sú zo svojej podstaty citlivé, ale aj údaje, ktoré odhaľujú informácie tejto povahy nepriamo na základe myšlienkového pochodu spočívajúceho vo vyvodení alebo v spojení súvislostí. ( 12 )

41.

V tejto súvislosti zdôrazňujem, že Európsky výbor pre ochranu údajov zriadený v článku 68 a nasl. GDPR prijal tiež takýto pojem „údajov týkajúcich sa zdravia“, keď zdôraznil, že kvalifikáciu informácie ako „údaja týkajúceho sa zdravia“ neurčuje iba jej vlastná povaha, ale aj okolnosti sprevádzajúce jej získanie a spracovanie, a uvádza v tejto súvislosti rôzne príklady. Podľa tohto výboru teda predstavujú „údaje týkajúce sa zdravia“ informácie obsiahnuté v zdravotnom zázname, informácie, ktoré odhaľujú zdravotný stav, keďže s inými údajmi na seba navzájom odkazujú, alebo tiež údaje, ktoré sa stanú údajmi týkajúcimi sa zdravia z dôvodu ich použitia v špecifickom kontexte, ako napríklad informácie týkajúce sa cesty spracúvané zdravotníckym pracovníkom na účely stanovenia diagnózy. ( 13 ) Naproti tomu „údajmi týkajúci sa zdravia“ nie sú údaje zhromaždené aplikáciou, ktorá umožňuje merať počet krokov urobených dotknutou osobou, keď táto aplikácia nedokáže spájať tieto údaje s inými údajmi tejto osoby a keď zhromaždené údaje nie sú spracúvané v lekárskom kontexte. ( 14 )

42.

Z článku 4 bodu 15 a z článku 9 GDPR tak, ako sú vykladané v judikatúre, teda jasne vyplýva, že za „údaje týkajúce sa zdravia“ v zmysle týchto ustanovení sa musia považovať údaje, ktoré môžu umožňovať vyvodiť závery o zdravotnom stave dotknutej osoby.

45.

Jednak si myslím, že na základe týchto spresnení výkladu sa možno domnievať, že tovar objednaný online môže odhaľovať všeobecné informácie týkajúce sa zdravotného stavu osoby, ale aj, ako to vyplýva z článku 9 GDPR, rasového alebo etnického pôvodu, politických názorov, náboženského alebo filozofického presvedčenia alebo sexuálnej orientácie osoby. Podľa môjho názoru niektoré informácie týkajúce sa týchto rôznych charakteristík dotknutej osoby možno vyvodiť z tovaru objednaného online.

46.

Svoje slová môžem podložiť viacerými príkladmi. Objednávka knihy od politika môže potenciálne naznačovať súhlas s myšlienkami, ktoré tento politik zastáva, objednávka oblečenia môže byť znakom náboženského presvedčenia jednotlivca alebo objednávka erotického tovaru môže predstavovať nepriamy dôkaz o sexuálnej orientácii osoby. Aby sa na obrovskú časť spracúvania údajov týkajúcich sa online obchodu nevzťahovala úprava stanovená v článku 9 ods. 2 GDPR, považujem preto za nevyhnutné ešte viac precizovať výklad pojmu „údaje týkajúce sa zdravia“ v tom zmysle, že závery, ktoré možno vyvodiť z údajov obsiahnutých v objednávke, nesmú byť iba možné. Inými slovami, podľa môjho názoru informácie o zdravotnom stave dotknutej osoby, ktoré odhaľujú dané údaje, nemôžu byť iba domnienkami, ale musia vykazovať určitú mieru istoty.

47.

Navyše si myslím, že okrem prípadov, v ktorých sú údaje zo svojej podstaty „údajmi týkajúcimi sa zdravia“, otázka, či údaje možno takto kvalifikovať, závisí od okolností každého prípadu. Konkrétnejšie si myslím, že závery, ktoré je možné vyvodiť z týchto údajov, závisia od kontextu, v ktorom boli tieto údaje zhromaždené a od spracovania, ktorého sú predmetom. Ako to zdôrazňuje Európsky výbor pre ochranu údajov zriadený v článku 68 a nasl. GDPR, údaje, ktoré na prvý pohľad nesúvisia s oblasťou zdravia, ako sú napríklad informácie týkajúce sa cesty, možno napriek tomu považovať za „údaje týkajúce sa zdravia“, keď sú posudzované v lekárskom kontexte a spojené s inými informáciami, aby v uvedenom príklade preukázali potenciálnu kontamináciu baktériou alebo vírusom, ktorý sa vyskytuje v danom regióne.

3.

O skutočnostiach relevantných pri preskúmaní možnosti vyvodiť informácie o zdravotnom stave dotknutej osoby vykonávanom vnútroštátnym súdom

51.

V prvom rade, pokiaľ ide o tovary, ktoré sú predmetom objednávky, zdôrazňujem, že lieky, o ktoré ide, teda lieky, ktorých výdaj nie je viazaný na lekársky predpis, nie sú v zásade určené na liečbu osobitného stavu, ale možno ich užívať všeobecnejšie na liečbu bežných ochorení, s ktorými sa môže stretnúť každý a ktoré nie sú príznakmi žiadnej konkrétnej choroby alebo zdravotného stavu. Navyše tieto lieky sú často kupované aj preventívne, aby boli k dispozícii v prípade potreby alebo napríklad pred odchodom z miesta obvyklého bydliska. Napríklad objednávka paracetamolu neumožňuje vyvodiť žiaden záver o konkrétnom stave osoby, pretože táto molekula je indikovaná na liečbu rôznych druhov bolesti a horúčkových stavov a často patrí k liekom, ktoré majú jednotlivci k dispozícii doma bez toho, aby to bolo konkrétne potrebné.

52.

V druhom rade, ako zdôrazňuje ND, skutočnosť, že osoba si online objedná liek, ktorého výdaj nie je viazaný na lekársky predpis, nevyhnutne neznamená, že tento liek bude užívať táto osoba, ktorej údaje sú spracúvané, a nie iná osoba z jej domácnosti alebo okruhu. Je totiž bežné, že objednávku v internetovom obchode uskutoční osoba, ktorá má užívateľský účet na tejto stránke v mene a na účet osoby, ktorá ho nemá. Bez lekárskeho predpisu, ktorý menovite označuje osobu, ktorej je liek určený a na základe ktorého treba predpokladať, že užívateľ lieku a kupujúci je tá istá osoba, nemožno z objednávky produktu voľne dostupného online vyvodiť, že ho má užívať kupujúci a iba on. Z toho vyplýva, že z týchto údajov nemožno dôvodne vyvodiť žiadny záver o zdravotnom stave osoby, ktorej údaje sú spracúvané tak, aby tieto údaje bolo možné kvalifikovať ako „údaje týkajúce sa zdravia“.

B. O prvej prejudiciálnej otázke

56.

S prihliadnutím na odpoveď, ktorú navrhujem dať na druhú prejudiciálnu otázku, netreba podľa môjho názoru odpovedať na prvú prejudiciálnu otázku. Pre úplnosť a vzhľadom na posúdenie, ktoré bude musieť vykonať vnútroštátny súd, však posúdim túto otázku, ktorou sa vnútroštátny súd v podstate pýta, či sa ustanovenia kapitoly VIII GDPR majú vykladať v tom zmysle, že bránia vnútroštátnym ustanoveniam, ktoré priznávajú podnikom právo odvolávať sa na základe zákazu nekalého súťažného konania na porušenia hmotnoprávnych ustanovení tohto nariadenia, ktorých sa údajne dopustili ich konkurenti.

57.

Účastníci konania odpovedali na túto otázku diametrálne odlišne. Po prvé podľa Komisie a ND systém prostriedkov nápravy zavedený ustanoveniami kapitoly VIII GDPR, vykladaný s prihliadnutím na ciele tohto nariadenia, treba chápať ako úplný systém, vylučujúci akúkoľvek možnosť členských štátov upraviť vo vnútroštátnom práve alternatívne prostriedky nápravy.

58.

Hoci je však určenie toho, či je systém prostriedkov nápravy úplný alebo neúplný, relevantné na účely užitočnej odpovede na prvú prejudiciálnu otázku, myslím si, že z dôvodov, ktoré vysvetlím, si takáto analýza vyžaduje preskúmať najprv otázku identifikácie osôb, ktoré požívajú ochranu poskytovanú tak hmotnoprávnymi, ako aj procesnými normami GDPR, ktorá je v pozadí. Myslím si totiž, že ak by sa za nositeľov práv priznaných GDPR mali považovať podniky, ktoré sú prevádzkovateľmi spracovania údajov, treba toto nariadenia vykladať tak, že vyžaduje, aby vnútroštátne právo zaviedlo prostriedky nápravy na uplatnenie týchto práv. Svoju analýzu teda začnem touto otázkou a následne odpoviem na otázku, či systém prostriedkov zavedený GDPR treba chápať ako úplný v tom zmysle, že vylučuje možnosť ponúkanú vo vnútroštátnom práve podniku podať na základe zákazu nekalého súťažného konania žalobu o upustenie od protiprávneho konania proti konkurentovi s odvolaním sa na to, že tento konkurent porušil ustanovenia tohto nariadenia.

1.

Identifikácia nositeľov práv priznaných GDPR

61.

Najprv sa pokúsim spresniť potrebu takejto identifikácie, aby som ju následne vykonal a napokon vysvetlil vplyv, ktorý má identifikácia dotknutých osôb ako jediných nositeľov práv priznaných GDPR na odpoveď na prvú prejudiciálnu otázku.

a)

64.

Navyše nie je sporné, že každé právo priznané jednotlivcovi právom Únie má za následok aj existenciu právneho prostriedku určeného konkrétne na uplatnenie tohto práva, pričom ak právo Únie neobsahuje osobitné pravidlá na tento účel, prináleží členským štátom, aby zabezpečili dodržiavanie dotknutých práv pomocou prostriedkov vnútroštátneho práva. ( 18 ) Z judikatúry totiž jasne vyplýva, že je úlohou vnútroštátnych súdov chrániť práva, ktoré ustanovenia práva Únie priznávajú jednotlivcom. ( 19 )

65.

Ak by sa GDPR malo vykladať tak, že okrem dotknutých osôb chráni aj podmienky hospodárskej súťaže na trhu, a teda v konečnom dôsledku podniky, ako to tvrdí nemecká vláda, potom by sa bolo treba domnievať, že toto nariadenie priznáva práva, ktoré patria do právneho majetku týchto podnikov. ( 20 )

66.

Za týchto okolností, keďže neexistuje výslovné ustanovenie práva Únie na tento účel, by dodržiavanie práv, ktoré by podniky vyvodzovali z GDPR, muselo byť možné zabezpečiť prostriedkami, ktoré upravia členské štáty.

Samotný pojem „úplnosť systému prostriedkov nápravy“ sa môže vzťahovať na dva odlišné rozmery, ktoré predpokladajú odlišnú analýzu a vyžadujú si najprv identifikovať osoby, ktoré sú nositeľmi práv, ktorých dodržiavanie zabezpečuje tento systém.

70.

Prvý rozmer sa týka úplnosti systému prostriedkov nápravy vo vzťahu k akémukoľvek inému prostriedku určenému na ochranu toho istého práva. Inak povedané, ide o otázku úplnosti prostriedkov upravených právom Únie na ochranu práv, ktoré jeho normy priznávajú jednotlivcom. Súdny dvor sa už vo svojej judikatúre vyjadril k vplyvu, ktorý má úplnosť prostriedkov stanovených právom Únie na ochranu samotného práva priznaného právom Únie. Rozhodol tak ustálene napríklad o tom, že režim zodpovednosti úplne harmonizovaný právom Únie môže napriek tomu existovať súbežne s alternatívnym režimom zodpovednosti upraveným vnútroštátnym právom, ktorý spočíva na rovnakých skutočnostiach a rovnakom základe, pod podmienkou, že tento alternatívny režim nepoškodzuje harmonizovaný režim a jeho ciele a potrebný účinok. ( 22 ) Iba úplnosť systému prostriedkov nápravy stanoveného právom Únie teda nestačí na vylúčenie možnosti členského štátu upraviť vo vnútroštátnom práve alternatívny prostriedok nápravy založený na tom istom práve, pokiaľ sú dodržané určité podmienky.

71.

Druhý rozmer pojmu „úplnosť systému prostriedkov nápravy“ stanoveného právom Únie je všeobecnejší a týka sa úplnosti vo vzťahu k akémukoľvek inému prostriedku uplatnenému osobami, ktoré nie sú priamo nositeľmi práv priznaných právom Únie, ale napriek tomu sa na ne odvolávajú v rámci prostriedku upraveného vnútroštátnym právom. Takéto chápanie úplnosti systému prostriedkov nápravy zavedeného právom Únie si teda vyžaduje odlišnú analýzu. ( 23 )

74.

Pokiaľ ide najprv o ciele GDPR, nemecká vláda v tejto súvislosti tvrdí, že toto nariadenie má okrem cieľa, ktorým je zabezpečiť vysokú a konzistentnú úroveň ochrany fyzických osôb, vytvoriť rovnaké podmienky hospodárskej súťaže.

75.

Je pravda, že v odôvodnení 9 GDPR sa uvádza, že rozdiely v ochrane práva na ochranu osobných údajov pri ich spracovaní môžu narúšať hospodársku súťaž. Podľa môjho názoru však zároveň platí, že takéto spresnenie nemožno vykladať tak, že zo záruky slobodnej a nenarušenej hospodárskej súťaže robí cieľ GDPR. Skutočnosť, že rozdiely v právnych úpravách medzi členskými štátmi, pokiaľ ide o pravidlá uložené podnikom, skresľujú hospodársku súťaž, sa mi javí ako jednoduché konštatovanie, ktoré nie je špecifické pre GDPR. Pokiaľ hmotnoprávne ustanovenia regulujú činnosť podnikov na trhu v jednom členskom štáte prísnejšie ako v druhom, nevyhnutne z toho pre podniky vykonávajúce činnosť v tomto druhom členskom štáte vyplýva v porovnaní s podnikmi usadenými v prvom z nich určitá súťažná výhoda, ktorú môže zmierniť každá harmonizačná úprava.

76.

Myslím si, že takýto výklad potvrdzuje odkaz urobený v odôvodnení 9 GDPR na potrebu zaručiť „voľný tok osobných údajov v Únii“, ktorý je potenciálne ohrozený rozdielmi vo vnútroštátnych právnych rámcoch.

80.

Napokon, pokiaľ ide o procesné ustanovenia kapitoly VIII GDPR, zdôrazňujem, ako som už uviedol, že tieto ustanovenia dávajú k dispozícii prostriedky nápravy iba dotknutým osobám a subjektom povereným ich zastupovaním. Toto obmedzenie osôb, ktoré môžu podľa ustanovení GDPR začať konanie s odvolaním sa na porušenie ochrany ich osobných údajov, podľa môjho názoru jasne naznačuje, že tieto osoby sú jedinými príjemcami tejto ochrany. Podľa mňa by totiž bolo nelogické, aby sa z GDPR stal aj nástroj ochrany práv súťažiteľov, keď toto nariadenie neupravuje žiadny prostriedok nápravy, ktorý by mohli podať proti porušeniu týchto práv, hoci sú takéto prostriedky výslovne stanovené v prípade ochrany práv dotknutých osôb.

81.

Myslím si preto, že podniky nie sú príjemcami ochrany, ktorú poskytuje GDPR, keďže toto nariadenie priznáva práva iba dotknutým osobám.

c)

O vplyve, ktorý má výklad GDPR ako normy chrániacej iba dotknuté osoby

85.

Na základe tohto významu pojmu „úplnosť systému prostriedkov nápravy“ treba totiž určiť, či systém prostriedkov nápravy, ktorý zavádza GDPR, treba chápať ako úplný systém v tom zmysle, že bráni tomu, aby mohli byť vo vnútroštátnom práve k dispozícii dotknutých osôb iné prostriedky nápravy než upravuje toto nariadenie.

86.

Vo veci samej však ide o žalobu podanú podnikom, ktorý sa nenachádza medzi nositeľmi práv priznaných GDPR.

87.

Za týchto okolností vzhľadom na skutočnosť, že GDPR nepriznáva žiadne právo podnikom a ich konkurentom, je relevantnou iba otázka, či systém prostriedkov nápravy, ktorý zavádza GDPR, treba chápať ako úplný systém v tom zmysle, že toto nariadenie vylučuje aj to, aby sa podniky odvolali na porušenie jeho ustanovení v rámci prostriedku nápravy upraveného vnútroštátnym právom, čo sa teraz pokúsim určiť.

90.

Pokiaľ ide po prvé o možnosť podnikov odvolávať sa na ustanovenia GDPR, zdôrazňujem, že táto je v rámci takých prostriedkov nápravy založených na vnútroštátnom práve, o aké ide vo veci samej, iba vedľajšia. Konkrétnejšie, podnik podáva prostriedok nápravy na základe vnútroštátneho práva, a to zákazu nekalého súťažného konania. Nekalosť daného konania vyplýva teda z porušenia GDPR. Inak povedané, prostriedok nápravy sa nezakladá na porušení ustanovení GDPR, ale zohľadňuje takéto porušenie ako predbežnú otázku. ( 25 )

91.

Takéto incidenčné zohľadnenie však už Súdny dvor pripustil, samozrejme za odlišných okolností. Súdny dvor totiž v rozsudku Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) rozhodol, že „nesúlad spracúvania údajov vykonávaného podnikom v dominantnom postavení [s GDPR]… môže predstavovať zneužitie tohto postavenia“ ( 26 ) a že vo všeobecnosti je nevyhnutné zahrnutie „pravidiel v oblasti ochrany osobných údajov [do] právneho rámca, ktorý majú orgány na ochranu hospodárskej súťaže zohľadniť pri preskúmaní, či došlo k zneužitiu tohto postavenia“ ( 27 ). Inak povedané, Súdny dvor pripúšťa, aby porušenie ustanovení GDPR predstavovalo porušenie práva hospodárskej súťaže.

92.

Hoci toto konštatovanie nebolo urobené v spore medzi jednotlivcami, ale v rámci preskúmania protisúťažnej praktiky vnútroštátnym orgánom hospodárskej súťaže, nevidím žiadny dôvod obmedzovať možnosť zohľadniť porušenie ustanovení GDPR ako predbežnú otázku iba na túto situáciu.

96.

Tieto podmienky boli vypracované v judikatúre týkajúcej sa úplnosti harmonizovaného systému prostriedkov nápravy vo vzťahu k vnútroštátnemu prostriedku nápravy založenému na tom istom práve. ( 29 ) Myslím si teda, že tým skôr musia byť splnené, keď ide o vnútroštátne ustanovenia, ktoré priznávajú podnikom právo podať prostriedok nápravy nie na základe toho istého práva, ale na základe vnútroštátneho práva, avšak s odvolaním sa na porušenia hmotnoprávnych ustanovení GDPR, ktorých sa údajne dopustil iný podnik.

97.

Treba teda overiť, či sú v tomto prípade tieto podmienky splnené.

98.

Pokiaľ ide najprv o otázku, či žaloba o upustenie od protiprávneho konania podaná podnikom proti konkurentovi s odvolaním sa na to, že porušil ustanovenia GDPR, poškodzuje systém prostriedkov nápravy upravený v kapitole VIII tohto nariadenia, myslím si, že to tak nie je. Tieto prostriedky nápravy totiž umožňujú dotknutým osobám alebo neziskovým subjektom, organizáciám alebo združeniam, ktoré poverili, podať sťažnosť dozornému orgánu (článok 77), podať prostriedok nápravy voči rozhodnutiu dozorného orgánu (článok 78), podať žalobu voči prevádzkovateľovi alebo sprostredkovateľovi (článok 79) alebo získať od prevádzkovateľa alebo spracovateľa náhradu škody spôsobenej porušením nariadenia (článok 82).

102.

V tejto súvislosti považujem za potrebné tiež spresniť, že nevidím, do akej miery by takéto prostriedky nápravy mohli ohroziť verejnoprávny systém dozoru nad uplatňovaním práva, ktorý zaviedlo GDPR, ako to tvrdí Komisia, keďže toto nariadenie už popri takomto verejnoprávnom systéme výslovne upravuje možnosť dotknutej osoby uplatňovať v súdnych konaniach práva, ktoré vyvodzuje z GDPR.

103.

Pokiaľ ide ďalej o ciele, ktoré sleduje GDPR, z jeho odôvodnenia 10 vyplýva, že toto nariadenie má najmä zabezpečiť tak vysokú úroveň ochrany fyzických osôb, ako aj konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov.

104.

107.

Navrhujem preto Súdnemu dvoru, aby rozhodol, že ustanovenia kapitoly VIII GDPR nebránia vnútroštátnym ustanoveniam, ktoré priznávajú podnikom právo odvolávať sa na základe zákazu nekalého súťažného konania na porušenia hmotnoprávnych ustanovení tohto nariadenia, ktorých sa údajne dopustili ich konkurenti.

V. Návrh

108.

Vzhľadom na všetky predchádzajúce úvahy navrhujem odpovedať na prejudiciálne otázky, ktoré položil Bundesgerichtshof (Spolkový súdny dvor, Nemecko), takto:

Článok 4 bod 15 a článok 9 ods. 1 nariadenia Európskeho parlamentu a Rady 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane osobných údajov),

( 5 ) BGBl. 2004 I, s. 1414.

( 6 ) BGBl. 2005 I, s. 3394.

( 7 ) BGBl. 2022 I, s. 2793.

( 8 ) V tejto súvislosti zdôrazňujem, že vnútroštátny súd sa pýta Súdneho dvora aj na pojem „údaje týkajúce sa zdravia“ v zmysle článku 8 ods. 1 smernice 95/46. Myslím si však, že netreba rozlišovať medzi týmto ustanovením a článkom 9 ods. 1 GDPR, keďže sa treba domnievať, že tieto ustanovenia majú pre potreby výkladu, ktorý musí Súdny dvor poskytnúť v prejednávanej veci, podobný význam. Pozri v tejto súvislosti rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20 , EU:C:2022:601 , bod 58 ). Vo svojej analýze teda budem odkazovať iba na článok 9 ods. 1 GDPR, pričom to platí aj pre článok 8 ods. 1 smernice 95/46.

( 9 ) Rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20 , EU:C:2022:601 , bod 124 ).

( 10 ) Rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20 , EU:C:2022:601 , bod 126 ).

( 17 ) Rozsudok z 20. septembra 2001, Courage a Crehan ( C‑453/99 , EU:C:2001:465 , bod 19 ).

( 18 ) Pozri v tejto súvislosti VAN GERVEN, W.: Of Rights, Remedies and Procedures. In: Common Market Law Review , zv. 37(3), 2000, s. 501 – 536.

( 19 ) Rozsudok z 20. septembra 2001, Courage a Crehan ( C‑453/99 , EU:C:2001:465 , bod 25 ).

( 20 ) Rozsudky z 19. novembra 1991, Francovich a i. ( C‑6/90 a C‑9/90 , EU:C:1991:428 , bod 31 ), ako aj z 20. septembra 2001, Courage a Crehan ( C‑453/99 , EU:C:2001:465 , bod 19 ).

( 23 ) Myslím si, že tento dvojaký rozmer úplnosti systému prostriedkov nápravy závislej od identifikácie nositeľov práva vyplývajúceho z práva Únie sa v judikatúre Súdneho dvora ukazuje v rozsudku z 2. septembra 2021, CRCAM ( C‑337/20 , EU:C:2021:671 ). V tomto rozsudku Súdny dvor skúmal, či je so smernicou Európskeho parlamentu a Rady 2007/64/ES z 13. novembra 2007 o platobných službách na vnútornom trhu, ktorou sa menia a dopĺňajú smernice 97/7/ES, 2002/65/ES, 2005/60/ES a 2006/48/ES a ktorou sa zrušuje smernica 97/5/ES ( Ú. v. EÚ L 319, 2007, s. 1 ) zlučiteľný vnútroštátny režim zodpovednosti umožňujúci, aby sa ručiteľ používateľa platobných služieb dovolával z dôvodu, že poskytovateľ platobných služieb nesplnil svoje povinnosti vyplývajúce zo smernice, občianskoprávnej zodpovednosti takého poskytovateľa platobných služieb v súlade s úpravou zmluvnej zodpovednosti podľa všeobecného práva. Súdny dvor začal svoju analýzu konštatovaním, že táto smernica nepriznáva práva ručiteľovi, ale iba poskytovateľom a užívateľom platobných služieb a následne analyzoval, či režim zodpovednosti zavedený smernicou bráni alternatívnemu režimu založenému na vnútroštátnom práve.

( 24 ) Rozsudky z 21. decembra 2011, Dutrueux ( C‑495/10 , EU:C:2011:869 , body 29 a 30 ), a zo 16. marca 2023, Beobank ( C‑351/21 , EU:C:2023:215 , bod 38 ).

( 25 ) V tejto súvislosti zdôrazňujem, že v prípade, keď porušenie ustanovenia GDPR možno považovať za nekalú obchodnú praktiku v zmysle smernice Európskeho parlamentu a Rady 2005/29/ES z 11. mája 2005 o nekalých obchodných praktikách podnikateľov voči spotrebiteľom na vnútornom trhu, a ktorou sa mení a dopĺňa smernica Rady 84/450/EHS, smernice Európskeho parlamentu a Rady 97/7/ES, 98/27/ES a 2002/65/ES a nariadenie Európskeho parlamentu a Rady (ES) č. 2006/2004 ( Ú. v. EÚ L 149, 2005, s. 22 ), musia sa podľa môjho názoru uplatňovať všetky ustanovenia tejto smernice, vrátane povinnosti členských štátov prijať podľa článku 11 uvedenej smernice ustanovenia umožňujúce účastníkom hospodárskej súťaže podať žalobu na súde proti týmto nekalým obchodným praktikám.