Concluziile avocatului general M. Campos Sánchez-Bordona prezentate la 25 mai 2023.#ZQ împotriva Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts.#Cerere de decizie preliminară formulată de Bundesarbeitsgericht.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 6 alineatul (1) – Condiții de legalitate a prelucrării – Articolul 9 alineatele (1)-(3) – Prelucrarea de categorii speciale de date – Date privind sănătatea – Evaluarea capacității de muncă a unui angajat – Serviciu medical în materie de asigurări de sănătate care prelucrează date privind sănătatea propriilor angajați – Admisibilitatea și condițiile unei astfel de prelucrări – Articolul 82 alineatul (1) – Dreptul la despăgubiri și răspunderea – Despăgubiri pentru un prejudiciu moral – Funcție compensatorie – Relevanța culpei operatorului.#Cauza C-667/21.

Prezenta trimitere preliminară are ca obiect interpretarea Regulamentului (UE) 2016/679 ( 2 ) în ceea ce privește: a) prelucrarea datelor cu caracter personal privind sănătatea; și b) despăgubirile pentru prejudiciile cauzate ca urmare a unei (pretinse) încălcări a propriului RGPD.

Deși Curtea s‑a pronunțat deja asupra dispozițiilor din RGPD ( 3 ) care fac obiectul acestor întrebări preliminare, cele formulate în prezenta trimitere preliminară sunt noi, cu excepția celei de a patra ( 4 ).

Sunt relevante pentru prezentul litigiu considerentele (4), (10), (35), (51)-(54) și (146) ale RGPD.

Articolul 9 („Prelucrarea de categorii speciale de date cu caracter personal”) prevede: „(1) Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a persoanei fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice. (2) Alineatul (1) nu se aplică în următoarele situații: […] (b) prelucrarea este necesară în scopul îndeplinirii obligațiilor și al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forței de muncă și al securității sociale și protecției sociale, în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanții adecvate pentru drepturile fundamentale și interesele persoanei vizate; […] (h) prelucrarea este necesară în scopuri legate de medicina preventivă sau a muncii, de evaluarea capacității de muncă a angajatului, de stabilirea unui diagnostic medical, de furnizarea de asistență medicală sau socială sau a unui tratament medical sau de gestionarea sistemelor și serviciilor de sănătate sau de asistență socială, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul unui contract încheiat cu un cadru medical și sub rezerva respectării condițiilor și garanțiilor prevăzute la alineatul (3); […] (3) Datele cu caracter personal menționate la alineatul (1) pot fi prelucrate în scopurile menționate la alineatul (2) litera (h) în cazul în care datele respective sunt prelucrate de către un profesionist supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia, în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naționale competente. (4) Statele membre pot menține sau introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date genetice, date biometrice sau date privind sănătatea.”

Articolul 82 („Dreptul la despăgubiri și răspunderea”) prevede: „(1) Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit. […] (3) Operatorul sau persoana împuternicită de operator este exonerat(ă) de răspundere în temeiul alineatului (2) dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul. […]”

În temeiul articolului 278 alineatul (1) prima teză, în fiecare land se înființează un serviciu medical ( 6 ) al caselor de asigurări de sănătate, sub forma unui organism de drept public ( 7 ). Printre sarcinile acestuia, atribuite prin lege, figurează întocmirea de rapoarte de expertiză în vederea înlăturării îndoielilor cu privire la incapacitatea de muncă a asiguraților.

În temeiul articolului 275 alineatul (1) prima teză punctul 3 litera (b), KV sunt obligate, în anumite situații, să obțină din partea MDK, în caz de incapacitate de muncă a unui asigurat atestată prin certificat medical, o expertiză în vederea înlăturării îndoielilor cu privire la incapacitatea de muncă.

ZQ este angajat al MDK din Nordrhein (Germania) din anul 1991, în calitate de administrator în cadrul departamentului informatic și în serviciul de asistență al acestui departament.

MDK întocmește rapoarte de expertiză cu privire la incapacitatea de muncă a afiliaților la KV. Printre aceste rapoarte se pot regăsi și cele privitoare la sănătatea propriilor angajați ai MDK.

Prelucrarea datelor se realizează printre altele în conformitate cu următoarele reguli stabilite într‑o instrucțiune internă de serviciu ( 8 ): – „Datele sociale” ale angajaților nu pot fi colectate și nici stocate la locul de muncă al acestora. În plus, aceste date, care se generează atunci când o KV solicită de la MDK un raport de expertiză, nu trebuie confundate cu acele date ale angajaților care se prelucrează în cadrul raportului de muncă sau de serviciu. – Cererile de expertiză care privesc angajați ai MDK sunt desemnate drept „cazuri speciale” și sunt prelucrate exclusiv de o unitate organizațională specifică ( 9 ). – După întocmirea unui raport privitor la un angajat al MDK, atât documentele, cât și raportul de expertiză se păstrează într‑o bază de date electronică a MDK. Doar prin intermediul unei „chei” specifice se poate stabili legătura dintre documente și persoane individuale, pe baza unei autorizații de acces supuse unei proceduri tehnice.

După arhivarea dosarului, angajații din „Departamentul informatic” al unității organizaționale „Cazuri speciale” pot avea acces la rapoartele de expertiză întocmite la cerere, privitoare la angajații MDK, sub rezerva obligației de păstrare a secretului.

ZQ s‑a aflat în incapacitate permanentă de muncă pe motiv de boală începând de la 22 noiembrie 2017.

De la 24 mai 2018 ( 10 ), ZQ a primit prestații de boală de la KV, la care este afiliat. La 6 iunie 2018, aceasta din urmă a însărcinat MDK cu întocmirea unui raport de expertiză în vederea înlăturării îndoielilor cu privire la incapacitatea de muncă a lui ZQ.

MDK a preluat cererea și a atribuit‑o unității „Cazuri speciale”. La 22 iunie 2018, un medic din această unitate, angajată a MDK, a întocmit un raport de expertiză care conținea diagnosticul lui ZQ. Pentru întocmirea raportului, a discutat telefonic cu medicul curant al lui ZQ, de la care a obținut informații relevante.

MDK a arhivat electronic raportul de expertiză.

ZQ a aflat de la medicul său curant despre apelul telefonic al medicului de la MDK.

La 1 august 2018, ZQ a contactat o colegă din departamentul informatic al MDK și a întrebat‑o dacă a fost stocat un raport de expertiză care îl privește. În urma unei căutări în arhivă, colega a răspuns afirmativ. La rugămintea lui ZQ, ea a fotografiat raportul de expertiză și i‑a trimis fotografiile.

La 15 august 2018, ZQ a solicitat de la MDK, fără succes, plata unei despăgubiri în cuantum de 20000 de euro, în temeiul articolului 82 din RGPD.

La 17 octombrie 2018, ZQ a introdus o acțiune la Arbeitsgericht Düsseldorf (Tribunalul pentru Litigii de Muncă din Düsseldorf, Germania). În cadrul acesteia, a solicitat, de asemenea, despăgubiri în cuantum echivalent beneficiului nerealizat ( 11 ).

În cursul procedurii judiciare, MDK a reziliat raportul de muncă al lui ZQ.

Pretențiile lui ZQ au fost respinse atât de prima instanță, cât și de instanța de apel ( 12 ).

ZQ a formulat recurs la Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania), care adresează Curții următoarele întrebări preliminare: „1) Articolul 9 alineatul (2) litera (h) din RGPD trebuie interpretat în sensul că interzice unui serviciu medical al unei case de asigurări de sănătate să prelucreze datele privind sănătatea ale unui angajat al său de care depinde evaluarea capacității de muncă a acestuia? 2) În ipoteza în care Curtea ar răspunde negativ la prima întrebare, cu consecința că articolul 9 alineatul (2) litera (h) din RGPD ar permite o excepție de la interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, într‑o situație precum cea din speță, pe lângă cerințele prevăzute la articolul 9 alineatul (3) din RGPD, trebuie respectate și alte cerințe în materie de protecție a datelor și, dacă este cazul, care sunt acestea? 3) În ipoteza în care Curtea va răspunde negativ la prima întrebare, cu consecința că articolul 9 alineatul (2) litera (h) ar permite o excepție de la interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, într‑o situație precum cea din speță, admisibilitatea sau legalitatea prelucrării datelor privind sănătatea presupune de asemenea ca cel puțin una dintre condițiile menționate la articolul 6 alineatul (1) din RGPD să fie îndeplinită? 4) Articolul 82 alineatul (1) din RGPD are un caracter de prevenție specială sau generală, iar acesta trebuie să fie luat în considerare la calcularea cuantumului prejudiciului moral pe care operatorul sau persoana împuternicită de operator trebuie să îl repare în temeiul articolului 82 alineatul (1) din RGPD? 5) La calcularea cuantumului prejudiciului moral care trebuie reparat în temeiul articolului 82 alineatul (1) din RGPD trebuie să se țină seama de gravitatea culpei operatorului sau a persoanei împuternicite de operator? Mai precis, lipsa culpei sau culpa minoră a operatorului sau a persoanei împuternicite de operator poate fi luată în considerare în apărarea sa?”

Cererea de decizie preliminară a fost înregistrată la grefa Curții la 8 noiembrie 2021.

Au prezentat observații scrise ZQ, MDK, guvernele irlandez și italian, precum și Comisia Europeană.

S‑a considerat că nu este necesar să se desfășoare o ședință.

Urmare a indicațiilor Curții, prezentele concluzii nu abordează cea de a patra întrebare preliminară ( 13 ).

Instanța de trimitere solicită să se stabilească dacă articolul 9 alineatul (2) litera (h) din RGPD interzice unui MDK să prelucreze datele privind sănătatea unui angajat al său de care depinde evaluarea capacității de muncă a acestuia. Astfel, aceasta pune în discuție legalitatea prelucrării datelor pe motive legate de instituția care efectuează prelucrarea ( 14 ).

Articolul 9 din RGPD se aplică unor categorii speciale de date, precum cele privind sănătatea unei persoane. El stabilește interdicția generală privind prelucrarea datelor „sensibile” [alineatul (1)] și enumeră toate situațiile de excepție în care interdicția nu se aplică [alineatul (2)].

Mai precis, articolul 9 alineatul (2) litera (h) din RGPD prevede o excepție (de la interdicția generală) atunci când prelucrarea datelor cu caracter personal este necesară „în scopuri legate de medicina preventivă sau a muncii, de evaluarea capacității de muncă a angajatului, de stabilirea unui diagnostic medical, de furnizarea de asistență medicală sau socială sau a unui tratament medical”.

În opinia noastră, această dispoziție furnizează o acoperire suficientă acțiunii MDK care face obiectul litigiului ( 15 ). Este irelevant că operatorul de date este, în același timp, angajatorul persoanei vizate, având în vedere că MDK nu acționează în calitate de angajator, ci de serviciu medical al unei KV la care persoana vizată era afiliată ( 16 ).

Nu identificăm niciun temei pentru a interpreta articolul 9 alineatul (2) litera (h) din RGPD în sensul că ar interzice unui serviciu medical să prelucreze datele angajaților săi privind sănătatea în scopul prevăzut de această dispoziție. Criteriile hermeneutice uzuale conduc mai degrabă la concluzia contrară (inexistența unei astfel de interdicții).

Din punct de vedere literal, articolul 9 alineatul (2) litera (h) din RGPD nu stabilește nicio excludere în acest sens și nici nu impune, în vederea prelucrării, condiția ca operatorul să fie un „terț neutru” ( 17 ).

Nici antecedentele legislative, nici evoluția dispoziției în cauză nu indică existența unei interdicții precum cea evocată la prima întrebare preliminară și nici intenția de a o stabili ( 18 ).

Astfel cum a statuat Curtea ( 19 ), scopul dispozițiilor din RGPD privitoare la protecția datelor privind sănătatea constă în a asigura o protecție sporită persoanelor vizate, din cauza caracterului deosebit de sensibil al acestor date pentru drepturile fundamentale respective. În acest scop, s‑a stabilit interdicția generală de la articolul 9 alineatul (1) din RGPD, care, însă, nu este una absolută ( 20 ).

În acest domeniu, precum și în altele referitoare la prelucrarea datelor cu caracter personal, soluția legiuitorului, odată prevăzută interdicția generală, a constat în: – A introduce, sub forma unei liste de situații concrete, clasificabile (grosso modo) în cele în care persoana vizată însăși autorizează prelucrarea sau în care se beneficiază în urma acesteia și cele în care sunt vizate interese superioare celor individuale. – A însoțit anumite tipuri de prelucrări de garanții specifice, sporite față de cele aplicabile celorlalte categorii de date cu caracter personal, „nesensibile”, și care se adaugă acestora ( 21 ). – A permite statelor membre să introducă alte condiții, inclusiv restricții, în ceea ce privește prelucrarea datelor cu caracter personal. Mai concret, în ceea ce privește datele privind sănătatea [articolul 9 alineatul (4) din RGPD și considerentul (53) in fine] sau datele angajaților în contextul ocupării unui loc de muncă (articolul 88 din RGPD) ( 22 ).

Astfel, în abstract, nimic nu s‑ar opune ca între garanțiile specifice la care ne‑am referit mai sus să figureze aceea de a interzice MDK prelucrarea datelor privind sănătatea angajaților săi. Cu toate acestea, nu considerăm că această opțiune (pentru care legiuitorul european nu a optat) ar fi indispensabilă în vederea protejării obiectivului sus‑menționat.

Prin urmare, considerăm că interdicția cu privire la care instanța de trimitere se referă în întrebarea preliminară nu constituie o consecință inexorabilă ce rezultă din interpretarea teleologică a articolului 9 alineatul (2) litera (h) din RGPD.

De asemenea, nu credem că o interpretare sistematică a acestei dispoziții ar putea conduce la o altă concluzie, având în vedere că: – Presupunând, din considerente de argumentație, că ar fi corect să se înțeleagă că articolul 9 alineatul (2) litera (b) din RGPD ar fi singurul temei care permite unui angajator să prelucreze datele privind sănătatea angajaților săi ( 23 ), acest lucru nu ar aduce atingere posibilității ca aceeași instituție, nu în calitate de angajator, ci de serviciu medical care este însărcinat de o KV, să efectueze prelucrarea datelor în temeiul altei derogări prevăzute la același articol 9 alineatul (2) ( 24 ). – Articolul 9 alineatul (3) din RGPD stabilește condițiile pe care trebuie să le îndeplinească cei care prelucrează date cu caracter personal privind sănătatea. Articolul 9 alineatul (2) litera (h) face trimitere în mod expres la alineatul (3); din punct de vedere subiectiv, prelucrarea nu este supusă niciunei alte cerințe ( 25 ).

În concluzie, propunem să se răspundă negativ la prima întrebare preliminară (cu alte cuvinte, că RGPD nu prevede interdicția în discuție), ceea ce permite să fie abordată următoarea.

În cazul în care (după cum propunem) răspunsul la prima întrebare preliminară ar fi negativ, instanța de trimitere dorește să afle dacă, „într‑o situație precum cea din speță, pe lângă cerințele prevăzute la articolul 9 alineatul (3) din RGPD, [trebuie respectate] și alte cerințe în materie de protecție a datelor și, dacă este cazul, care sunt acestea”.

În linii generale, răspunsul nu ar trebui să ridice probleme majore ( 26 ). Curtea s‑a pronunțat în sensul că orice prelucrare de date cu caracter personal trebuie să respecte principiile enunțate la articolul 5 din RGPD și să îndeplinească cel puțin una dintre condițiile de legitimitate enunțate la articolul 6 ( 27 ).

În opinia instanței de trimitere, într‑o situație precum cea din speță, respectarea obligației de păstrare a secretului [articolul 9 alineatul (3) din RGPD] nu este suficientă pentru protecția datelor. Aceasta propune alte măsuri suplimentare care, în opinia sa, ar fi singurele în măsură să garanteze această finalitate ( 28 ).

Considerăm că articolul 9 alineatul (3) din RGPD nu poate servi drept bază acestor măsuri suplimentare. Formularea sa clară (care se limitează la a contura o dispoziție deja existentă în Directiva 95/46 ( 29 )) nu susține propuneri precum cele ale instanței de trimitere.

În schimb, aceste propuneri ar putea fi justificate în temeiul articolului 9 alineatul (4) din RGPD. În conformitate cu acesta, statele membre pot introduce „condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date […] privind sănătatea ( 30 )”. Din conținutul deciziei de trimitere nu se desprinde, însă, că acest lucru s‑ar fi produs în Germania.

Acestea fiind spuse și pentru motivele menționate anterior, prelucrarea datelor cu caracter personal privind sănătatea trebuie să respecte, printre altele, principiul enunțat la articolul 5 alineatul (1) litera (f) din RGPD și obligațiile care decurg din acesta, detaliate în capitolul IV din același regulament.

În plus, operatorul ( 31 ) trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta că prelucrarea se efectuează în conformitate cu RGPD. Este ceea ce stabilește, cu caracter general, articolul 24 alineatul (1).

În particular, articolul 32 alineatul (1) din RGPD impune operatorului obligația de a implementa „măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc” pe care îl prezintă datele cu caracter personal.

Din aplicarea acestor norme la prezenta cauză reiese că statutul MDK de angajator al lui ZQ îi impune o obligație de protecție în materie de prelucrare a datelor acestuia privind sănătatea, mai mare decât cea obișnuită, întrucât și riscurile sunt mai mari ( 32 ).

MDK nu este străin acestei situații. În cazul în care întocmește, la cererea unei KV la care este afiliat un angajat al său, rapoarte de expertiză pentru a înlătura îndoielile cu privire la (in)capacitatea de muncă a acestuia, el aplică măsuri tehnice și organizatorice ad‑hoc, stabilite cu scopul de a adapta la RGPD prelucrarea datelor cu caracter personal privind sănătatea ( 33 ).

Analiza acestor măsuri revine instanței de trimitere, care, în urma analizei sale, va putea stabili dacă măsurile adoptate erau insuficiente. Acest lucru nu permite însă ca din articolul 9 din RGPD să se tragă concluzia că există o obligație a MDK de a refuza din oficiu orice cerere de întocmire de rapoarte medicale (privitoare la propriii angajați) care emană de la KV ( 34 ).

În ipoteza unui răspuns negativ la prima întrebare preliminară, prin intermediul celei de a treia întrebări, instanța de trimitere dorește să afle dacă interdicția prelucrării datelor privind sănătatea „presupune, de asemenea, ca cel puțin una dintre condițiile menționate la articolul 6 alineatul (1) din RGPD să fie îndeplinită”.

Pentru a răspunde la această întrebare, trebuie să se analizeze legătura dintre articolul 9 alineatul (2) din RGPD și articolul 6 al acestuia, referitor la legalitatea prelucrării. Obligația respectării acestuia din urmă în orice prelucrare de date a fost stabilită în sentințele Curții de Justiție, mai sus citate ( 35 ).

În special, hotărârea pronunțată în cauza C‑439/19 ( 36 ) a interpretat articolul 10 din RGPD, referitor la o categorie diferită de date cu caracter personal sensibile (cele privitoare la condamnări penale și infracțiuni) ( 37 ), în sensul că articolele 6 și 10 din RGPD trebuie aplicate cumulativ.

Se poate extinde acest postulat la datele cu caracter personal la care se referă articolul 9 din RGPD?

Structura articolelor 9 și 10 din RGPD este diferită. Articolul 10 face o trimitere explicită la articolul 6 alineatul (1) din același RGPD, trimitere care nu apare la articolul 9.

Nici conținutul articolului 9 alineatul (2), nici cel al articolului 10 din RGPD nu sunt comparabile: articolul 10 se limitează la a menționa o interdicție a prelucrării ratione personae, în timp ce articolul 9 alineatul (2) stabilește scopul (situațiile) care o justifică, la fel ca și articolul 6 alineatul (1).

Astfel, paralelismul dintre articolul 6 alineatul (1) și articolul 9 alineatul (2) din RGPD este de o asemenea anvergură încât, la o primă lectură, se pare că situațiile pe care acesta din urmă le enumeră sunt specificații ale condițiilor definite în cel dintâi: le detaliază și, în același timp, le face să devină mai stricte.

Cu toate acestea, geneza și evoluția articolului 9 din RGPD pune în discuție explicarea relației dintre acesta și articolul 6 în termeni de „lege specială” și „lege generală”.

Se constată că această interpretare a fost efectiv susținută de delegațiile unor state membre ( 38 ). În schimb, documentele referitoare la negocierea articolului 9 nu evidențiază discrepanțe în legătură cu trimiterea la articolul 6 ( 39 ), ci în legătură cu întinderea acestuia [doar la alineatul (1) sau și la altele ( 40 )?]. În final, a fost eliminată trimiterea la articolul 6 ( 41 ) din cuprinsul articolului 9 și s‑a optat pentru menținerea în preambul a unui paragraf similar actualului considerent (51) al RGPD ( 42 ).

Ideea de cumul sau de complementaritate între cele două dispoziții este împărtășită de Comitetul european pentru protecția datelor ( 43 ) și era susținută de așa‑numitul Grup de lucru „Articolul 29” ( 44 ) în ceea ce privește articolul 8 din Directiva 95/46 ( 45 ). Aceasta nu este însă o opinie unanim acceptată nici de doctrină, nici de alte organisme relevante ( 46 ).

Analizând diferitele litere ale articolului 9 alineatul (2) din RGPD, tindem să considerăm că relația dintre această dispoziție și articolul 6 nu permite, în realitate, un răspuns unic. Astfel: – Unele excepții de la interdicția prelucrării, precum cele prevăzute la articolul 9 alineatul (2) literele (a), (c), (g) și (i) ( 47 ), au o legătură directă cu baza juridică specifică a articolului 6 alineatul (1) din RGPD și o asimilează. – Această situație nu se regăsește în cazul altor excepții enumerate la articolul 9 alineatul (2) din RGPD, care impun o motivare suplimentară în temeiul articolului 6 alineatul (1). Acest lucru este valabil, în opinia noastră, în privința articolului 9 alineatul (2) litera (h), care face obiectul acestei întrebări preliminare.

Considerăm, prin urmare, că, pentru a conferi legalitate prelucrării datelor sensibile, autorizată de articolul 9 alineatul (2) litera (h) din RGPD, este necesar să se determine care dintre condițiile detaliate de articolul 6 alineatul (1) o justifică în fiecare caz în parte.

Instanța de trimitere nu pune în discuție acest aspect: mai mult, pornind de la această premisă, ea se străduiește să demonstreze că prelucrarea realizată de MDK nu poate fi justificată în temeiul articolului 6 ( 48 ).

La prima vedere, nu ni se pare că ar exista o ordine prioritară între temeiurile legale pe care le prevede dispoziția menționată. O analiză mai profundă ar putea evidenția necesitatea unei interpretări mai nuanțate ( 49 ). Considerăm însă că o atare analiză ar depăși ceea ce este necesar pentru a răspunde la această trimitere preliminară ( 50 ).

În concluzie, răspunsul la cea de a treia întrebare preliminară ar trebui să indice instanței de trimitere că excepția de la interdicția prelucrării datelor privind sănătatea presupune îndeplinirea cel puțin a uneia dintre condițiile menționate la articolul 6 alineatul (1) din RGPD.

Instanța de trimitere dorește să afle dacă, „la calcularea cuantumului prejudiciului moral care trebuie reparat în temeiul articolului 82 alineatul (1) din RGPD, trebuie să se țină seama de gravitatea culpei operatorului sau a persoanei împuternicite de operator” și, mai precis, dacă „lipsa culpei sau culpa minoră a operatorului sau a persoanei împuternicite de operator poate fi luată în considerare în apărarea sa”.

Întrebarea pornește de la premisa că există o încălcare a RGPD ( 51 ) săvârșită de operator și ridică problema dacă, la calcularea cuantumului prejudiciului produs ca urmare a acestei infracțiuni trebuie să se țină seama de gravitatea culpei acestuia. În opinia instanței a quo, nu este clar dacă lipsa culpei sau culpa minoră a operatorului pot fi luate în considerare în apărarea sa.

În sens literal, întrebarea are ca aspect central stabilirea cuantumului prejudiciului. Explicațiile care o însoțesc au generat însă o oarecare confuzie, deoarece nu era clar dacă se refereau la culpă în sensul de condiție pentru imputarea răspunderii sau de element de diferențiere la stabilirea cuantumului despăgubirilor.

La cererea Curții, în vederea clarificării acestei ambiguități, instanța de trimitere a menționat că întrebarea se referă la ambele aspecte, fără a preciza care este legătura cu litigiul principal.

Având în vedere acest răspuns, ne propunem să răspundem întrebărilor ridicate de instanța de trimitere ținând seama (și) de susținerile MDK în legătură cu posibila participare a persoanei vizate la producerea prejudiciului ( 52 ). Expunerea noastră va cuprinde trei etape: – În prima, ne vom referi la temeiul imputării răspunderii prevăzute la articolul 82 din RGPD. – În cea de a doua, vom analiza impactul pe care ar putea să îl aibă accesul unui angajat al operatorului la date cu caracter personal ( 53 ). Un element specific și esențial al acestui scenariu este faptul că accesul angajatului respectiv la date s‑a realizat la cererea persoanei vizate. – În cea de a treia, ne vom pronunța asupra consecințelor pe care gravitatea culpei operatorului o poate avea la aprecierea concretă a cuantumului prejudiciului moral care trebuie reparat.

Instanța de trimitere consideră că răspunderea civilă (a administratorului ( 54 )) în temeiul articolului 82 alineatul (1) nu este condiționată de existența sau de dovedirea culpei sau a neglijenței. Aceasta adaugă că din alineatul (3) al aceluiași articol nu ar trebui să rezulte o concluzie diferită.

Suntem de acord cu faptul că nu este clar ce model de răspundere civilă a adoptat RGPD și că, a priori, sunt posibile mai multe interpretări ( 55 ). Cea a instanței de trimitere este una dintre acestea și, în opinia noastră, este corectă.

Interpretarea articolului 82 alineatul (1) din RGPD în sensul că stabilește un sistem de răspundere civilă care nu ia în calcul culpa administratorului este conformă, din punctul nostru de vedere, cu modul său de redactare, este susținută în mod direct de lucrările pregătitoare și, mai ales, servește scopul acestei norme. Această interpretare este acceptabilă în lumina altor alineate ale dispoziției menționate, precum și a sistemului în ansamblu.

Poziția pe care o susține instanța de trimitere este conformă cu redactarea articolului 82 alineatul (1) din RGPD. Din textul acestuia rezultă că dreptul de a obține despăgubiri de la operator depinde doar de prejudiciile suferite ca urmare a unei încălcări a RGPD însuși.

Nici celelalte alineate ale articolului 82 nu indică un alt răspuns ( 56 ). În mod special, nu am îndrăzni să deducem o condiție referitoare la culpă pornind de la termenul „răspunzător” din cuprinsul alineatului (3) al articolului 82. Termenul apare doar în unele versiuni lingvistice ale RGPD; altele, însă, utilizează termenul „responsabil”. În versiunea în limba germană, nici articolul 82, nici preambulul nu includ termenul tehnic specific imputabilității din culpă („Verschulden”) ( 57 ).

Din compararea diverselor dispoziții ale RGPD, reiese că terminologia utilizată nu este mereu inechivocă, motiv pentru care trebuie să se dea dovadă de prudență sporită atunci când se trag concluzii din modul său de redactare. De exemplu, în versiunea în limba engleză, termenul „responsible” este utilizat cu multiple sensuri ( 58 ).

Inexistența unor trimiteri la intenția sau la culpa operatorului în cuprinsul articolului 82 din RGPD este în contrast cu mențiunile de la articolul 83 referitoare la amenzile administrative: „[a]tunci când se ia decizia dacă să se impună o amendă administrativă și decizia cu privire la valoarea amenzii administrative în fiecare caz în parte”, se acordă atenția cuvenită intenției sau neglijenței în încălcarea RGPD ( 59 ).

Dacă divergența dintre texte diminuează importanța criteriului interpretării literale, ea coroborează cel puțin ideea că nici intenția, nici culpa nu figurează în cuprinsul articolului 82 din RGPD, iar această absență este una conștientă și nu poate fi atribuită neglijenței legiuitorului.

Discuția referitoare la temeiul imputării răspunderii adoptat în cele din urmă în RGPD este umbrită de contextul în care a aceasta a avut loc, în cadrul Consiliului, în ceea ce privește ipoteza pluralității de agenți operatori.

Această discuție s‑a întrepătruns cu considerații procedurale, fără a respecta o schemă conceptuală care să permită să se diferențieze între rolul culpei ca temei al imputării răspunderii, pe de o parte, și, pe de altă parte, absența culpei pentru exonerarea de aceeași răspundere, sub aspectul legăturii de cauzalitate.

Cu toate acestea, considerăm că lucrările pregătitoare pledează în favoarea unei interpretări a articolului 82 alineatul (1) din RGPD în sensul că răspunderea civilă nu este condiționată de culpa operatorului.

Propunerea Comisiei reproducea Directiva 95/46 și nu menționa neglijența. În documentele Consiliului se arată că răspunderea preconizată este definită ca „strict liability” ( 60 ).

Ca urmare a unui amendament propus în cadrul Comisiei pentru libertăți civile, justiție și afaceri interne a Parlamentului, articolul 82 (articolul 77 de atunci) alineatul (1) ar fi fost formulat astfel încât răspunderea ar fi fost condiționată de intenție sau de neglijență ( 61 ). Amendamentul nu a fost adoptat ( 62 ).

În cadrul Consiliului, discuțiile cu privire la articolul 77 și la criteriul de imputare au fost legate de atribuirea și distribuirea răspunderii în situațiile în care mai multe persoane intervin într‑o operațiune de prelucrare. În acest context, Președinția a propus să se aleagă între două opțiuni ( 63 ): – În conformitate cu prima opțiune ( 64 ), fiecare administrator sau persoană împuternicită de acesta ar fi considerați responsabili din punct de vedere juridic față de persoana vizată pentru întregul prejudiciu produs ( 65 ), în cazul în care ar fi săvârșit o încălcare a obligațiilor care le revin în temeiul RGPD ( 66 ). O participare a acestora la producerea prejudiciului, chiar și una foarte nesemnificativă, ar permite persoanei vizate să reclame despăgubirea integrală; în cazul în care ar exista mai mulți participanți, oricăruia dintre ei ( 67 ). În schimb, fiecare ar fi exonerat dacă ar demonstra că nu este responsabil („responsible”) în niciun fel de producerea prejudiciului („0 % responsibility”), după cum se menționa la alineatul (3) al articolului. Modelul a fost descris drept „closer (but certainly not equal to) to the«liability follows fault principle»” ( 68 ). – Cea de a doua opțiune ar fi presupus pentru administrator obligația inevitabilă de a despăgubi persoana vizată pentru întregul prejudiciu, impunându‑i‑se un fel de răspundere absolută, având în vedere că nu se prevedea nicio exonerare ( 69 ). Reclamația persoanei vizate împotriva persoanei împuternicite de operator era posibilă doar cu caracter subsidiar ( 70 ). Nici pentru el nu se prevedea vreo excepție.

Textul de compromis prezentat spre aprobare ca orientare generală de Președinție ( 71 ) reține prima opțiune, dar întărește caracterul excepțional al exonerării și prin textul articolului 77 alineatul (3): „[…] if it [operatorul/persoana împuternicită de operator] proves that it is not in any way responsible […] ( 72 )”. Acest text corespunde articolului aprobat în cele din urmă.

În concluzie, analiza procesului legislativ care a condus la textul final al RGPD permite să se conchidă că răspunderea la care se referă articolul 82 alineatul (1) nu este condiționată de culpa administratorului de date.

RGPD instituie un sistem conceput pentru a asigura un nivel ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal ( 73 ). În cadrul acestui sistem, articolul 82 are rolul de a compensa prejudiciile și, în același timp, are un efect accesoriu disuasiv pentru prevenirea comportamentelor care nu sunt în conformitate cu dispozițiile sale ( 74 ).

Asigurarea compensării este un obiectiv în sine: astfel se deduce din importanța pe care legiuitorul i‑o acordă și care reiese la simpla lectură a textului. Pentru RGPD, obținerea unei despăgubiri atunci când se produce un prejudiciu reprezintă un drept al persoanei vizate; noțiunea de prejudiciu trebuie interpretată în sens larg, iar despăgubirea trebuie să fie integrală și efectivă.

Compensația se raportează la dorința de a spori încrederea cetățenilor în mediul digital, obiectiv general pe care RGPD îl menționează în considerentul (7). A garanta persoanei vizate că, în principiu și ca soluție, nu va trebui să suporte prejudiciul cauzat de prelucrarea ilicită a datelor sale este de natură să sporească această încredere: patrimoniul său este protejat, iar din punct de vedere procedural, cererea sa de despăgubire este mai simplă.

Faptul că articolul 82 alineatul (1) din RGPD nu asociază obligația de despăgubire cu neîndeplinirea unei obligații de diligență este coerent cu această abordare. O atare obligație este impusă, prin decizia legiuitorului, celui care, în cadrul relației, ocupă poziția de paznic sau de garant și tocmai în temeiul acestei unice împrejurări.

Astfel, s‑ar putea considera că pentru RGPD este relevantă situația victimei care suferă prejudiciul cauzat de încălcare, în situația în care nicio normă nu îi impune obligația de a‑l suporta.

Victimei îi este indiferent dacă a existat sau nu culpă din partea celui care a produs prejudiciul: decisiv este faptul că operatorul i‑a cauzat un prejudiciu, material sau moral, consecință a unei încălcări a RGPD săvârșite de acesta.

Obiectivele enunțate se realizează mai ușor în cadrul unui model în care prejudiciul dovedit: – se repară în orice caz (cu excepția cazurilor de exonerare, care sunt excepționale) și – determină o reparație a cărei obținere este (comparativ) simplă, nu doar pentru că nu trebuie dovedită culpa operatorului, ci și pentru că, în măsura în care există o încălcare și un prejudiciu asociat acesteia, imputarea nu depinde de gravitatea culpei.

În contextul adaptării la revoluția digitală ( 75 ), această concluzie ni se pare coerentă. Evoluția tehnologică rapidă impune ca, în cazul activităților simple de prelucrare a datelor, care se realizează online, absența culpei sau a neglijenței să nu împiedice compensarea prejudiciilor care, în altă situație, nu ar fi acoperite.

Interpretarea pe care o propunem este mai conformă economiei RGPD. Acest lucru este confirmat de articolul 82 alineatul (3): este posibilă exonerarea dacă „persoana împuternicită de operator dovedește că nu este răspunzătoare în niciun fel pentru evenimentul care a cauzat prejudiciul”.

În acest text, se detașează expresia „în niciun fel”, care sugerează ideea că modelul nu este unul bazat pe culpă (nici măcar pe o culpă minoră) cu inversarea sarcinii probei.

A considera că despăgubirea nu este condiționată de culpa operatorului conferă articolului 82 o semnificație proprie în cadrul capitolului VIII și, în cele din urmă, în RGPD în ansamblu.

Legiuitorul Uniunii este conștient că prelucrarea datelor poate fi sursă de riscuri. Acesta impune operatorilor obligația de a evalua aceste riscuri și de a pune în aplicare măsuri adecvate pentru a preveni și a reduce riscurile identificate ( 76 ).

S‑a susținut că un model de răspundere civilă bazat pe culpă incită la diligență și, prin urmare, și la protecția împotriva riscurilor, în timp ce modelul alternativ, care nu ia în calcul comportamentul operatorului, l‑ar descuraja pe acesta din urmă să dea dovadă de precauție (deoarece, în cazul în care ar exista un prejudiciu, ar trebui în orice caz să îl repare).

Considerăm că această concluzie ( 77 ) este acceptabilă în cadrul RGPD. Articolul 82 se încadrează într‑o structură legală complexă, cu instrumente de drept public și privat pentru protecția datelor cu caracter personal. În cadrul acestei structuri, neglijența (și intenția) se iau în considerare în ceea ce privește amenzile administrative. Nu vedem necesitatea ca acestea să fie relevante și pentru răspunderea civilă ( 78 ), situație care ar contrazice obiectivele articolului 82 și, în plus, ar face mai puțin atractivă în practică soluția pe care o prevede.

Problemele referitoare la necesitatea culpei operatorului sunt legate, în speță, de consecințele care s‑ar putea produce ca urmare a intervenției persoanei vizate ( 79 ).

Pentru o mai bună înțelegere a ceea ce vom expune în continuare, trebuie precizat că circumstanțele litigiului au fost abordate din perspectiva a două scenarii: – În primul scenariu, prelucrarea datelor cu caracter personal ale lui ZQ de către MDK constituie o încălcare a RGPD (a articolului 9 sau 6). Încălcarea produce automat un prejudiciu ( 80 ). – În cel de al doilea scenariu, prelucrarea datelor sus‑menționată nu constituie o încălcare a RGPD și nu produce un prejudiciu. Acesta din urmă ar rezulta în urma consultării datelor de către un angajat concret al MDK, la cererea persoanei vizate ( 81 ).

Considerăm, în orice caz, că, după cum pare să susțină instanța de trimitere ( 82 ), pentru a determina gradul de relevanță (dacă aceasta există) a comportamentului persoanei vizate în comiterea actului ilicit cauzator de prejudicii, trebuie să se recurgă la articolul 82 alineatul (3).

Această dispoziție nu enumeră, nici măcar cu titlu de exemplu, cauze concrete de exonerare de răspundere. Nici considerentul (146) nu procedează la o astfel de enumerare ( 83 ).

În aparență, sub acest aspect, RGPD se îndepărtează de Directiva 95/46, al cărei articol 23 alineatul (2) prevedea o normă asemănătoare ( 84 ) cu actualul articol 82 alineatul (3) din RGPD: considerentul (55) al Directivei 95/46 menționa, ca exemple de cauze de exonerare, răspunderea persoanei vizate sau forța majoră ( 85 ), care nu se regăsesc în RGPD.

În lucrările pregătitoare ale RGPD nu există, dacă nu greșim, nicio discuție în legătură cu aceste două exemple care apăreau în Propunerea Comisiei ( 86 ) și pe care Parlamentul le‑a menținut ( 87 ).

Înlăturarea acestora și apariția locuțiunii adverbiale „în niciun fel” se produc în cadrul dezbaterii menționate, referitoare la modul de reglementare a răspunderii în cazul unei prelucrări cu o pluralitate de administratori sau persoane împuternicite ( 88 ).

Din documentele disponibile ( 89 ) rezultă că, în versiunea finală, operatorul este exonerat dacă dovedește că nu este răspunzător („responsible”) în niciun fel pentru prejudiciu („0 % responsibility”). Același lucru este valabil și pentru persoana împuternicită de operator ( 90 ).

Având în vedere cele de mai sus, nu considerăm că dispariția celor două exemple din preambul, în paralel cu adăugarea expresiei „în niciun fel” chiar în preambul și în articolul 82 alineatul (3) din RGPD, ar putea să determine (sau să aibă drept obiectiv) excluderea activității persoanei vizate din sfera cauzelor de exonerare de răspundere ( 91 ).

Se pare că, mai degrabă, activitatea persoanei vizate reprezintă în continuare un element care poate determina, de la caz la caz, ruptura relației de cauzalitate necesare dintre „eveniment” [termenul este utilizat la articolul 82 alineatul (3) din RGPD] și răspunderea imputabilă. Sublinierea caracterului restrictiv al clauzei derogatorii nu exclude ca o acțiune concretă a persoanei vizate să declanșeze, prin ea însăși, prejudiciul și să determine, în consecință, exonerarea de răspundere a administratorului de date.

Interpretarea sistematică pledează în favoarea ideii de a lua în considerare, în ceea ce privește răspunderea pentru prejudicii, implicarea persoanei vizate în producerea acestora. În sistemul RGPD, persoanele se implică în protecția datelor lor și dispun în acest scop de instrumente care sunt, ele însele, drepturi.

Din punct de vedere teleologic, apreciem că RGPD urmărește să ofere o protecție ridicată, însă nu într‑o asemenea măsură încât să impună operatorului o obligație de despăgubire și pentru prejudiciile produse ca urmare a unor acțiuni sau evenimente care sunt imputabile persoanei vizate ( 92 ).

Instanța de trimitere a confirmat că, prin intermediul celei de a cincea întrebări preliminare, se urmărește să se stabilească dacă, la calcularea despăgubirii, trebuie să se țină seama de gravitatea culpei operatorului. Mai precis, dacă lipsa culpei sau culpa minoră a acestui operator poate fi luată în considerare în apărarea sa.

Articolul 82 din RGPD este într‑adevăr laconic sau nu precizează nimic în legătură cu aspectele‑cheie privind compensația care ar trebui luate în considerare la calcularea cuantumului acesteia. Acest articol nu oferă interpretului juridic indicații în ceea ce privește elementele care o alcătuiesc ( 93 ), criteriile de evaluare (de cuantificare) a acestor elemente ( 94 ) sau factorii care ar putea influența cuantumul său ( 95 ).

Cu toate acestea, considerăm că RGPD dă persoanei vizate dreptul de a obține o despăgubire al cărei cuantum se fixează în funcție de prejudiciul suferit efectiv. Odată calculată suma care compensează aceste prejudicii în mod obiectiv, aceasta nu ar trebui să fie modificată în funcție de gradul de neglijență, mai mic sau mai mare, al operatorului.

În susținerea acestei poziții, facem trimitere, mutatis mutandis, la cele expuse în legătură cu atribuirea răspunderii administratorului, indiferent de culpa acestuia, în sistemul articolului 82 din RGPD. Din punctul de vedere al victimei, al cărei patrimoniu (corporal sau necorporal) nu trebuie să fie afectat ca urmare a producerii prejudiciului, compensația nu trebuie să fie condiționată de culpa operatorului, indiferent de gravitatea acesteia ( 96 ).

Considerăm că se poate ajunge la această concluzie și pornind de la constatarea că articolul 82 din RGPD (ale cărui lucrări pregătitoare nu oferă indicii într‑un sens sau altul ( 97 )) este diferit față de alte instrumente de drept al Uniunii, care, la calcularea despăgubirii datorate în temeiul răspunderii civile, efectuează o distincție expresă între situațiile în care persoana vizată a participat la încălcare „în cunoștință de cauză” sau nu ( 98 ).

Această apreciere este coroborată, în opinia noastră, de alte două argumente: – Articolul 83 din RGPD se referă la neglijența (și la intenția) autorului încălcării pentru a adapta cuantumul amenzii ( 99 ). Legiuitorul ar fi putut să adopte același criteriu și pentru calculul sumei datorate în temeiul răspunderii civile, însă nu a făcut acest lucru. – RGPD subliniază că despăgubirea trebuie să fie integrală și efectivă ( 100 ) [considerentul (146) și articolul 82 alineatul (4), referitor la cazul în care mai mulți operatori sau persoane împuternicite de operator sunt implicați în aceeași operațiune de prelucrare ( 101 )). După părerea noastră, termenul integral se opune unei nuanțări în sensul reducerii cuantumului despăgubirilor în funcție de gradul, mai mic sau mai mare, de neglijență a operatorului ( 102 ).

În temeiul considerațiilor prezentate, propunem să se răspundă Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) după cum urmează: „Articolul 9 alineatul (2) litera (h) și alineatul (3), precum și articolul 82 alineatele (1) și (3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că: Nu interzic unui serviciu medical al unei case de asigurări de sănătate să prelucreze datele privind sănătatea ale unui angajat al său de care depinde evaluarea capacității de muncă a acestuia. Permit o excepție de la interdicția prelucrării datelor cu caracter personal privind sănătatea în situația în care prelucrarea este necesară în scopul evaluării capacității de muncă a angajatului, respectă principiile enunțate la articolul 5 și îndeplinesc cel puțin una dintre condițiile menționate la articolul 6 din Regulamentul 2016/679. Gravitatea culpei operatorului sau a persoanei împuternicite de operator nu trebuie luată în considerare nici la stabilirea răspunderii unuia sau a celuilalt, nici la calcularea cuantumului prejudiciului moral pe care trebuie să îl repare în temeiul articolului 82 alineatul (1) din Regulamentul 2016/679. Participarea persoanei vizate la producerea evenimentului care a cauzat prejudiciul poate determina, de la caz la caz, exonerarea de răspundere a operatorului sau a persoanei împuternicite de operator prevăzută la articolul 82 alineatul (3) din Regulamentul 2016/679.”

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL M. CAMPOS SÁNCHEZ‑BORDONA

prezentate la 25 mai 2023 ( 1 )