Hotărârea Curții (Marea Cameră) din 4 octombrie 2024.#ND împotriva lui DR.#Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Capitolul VIII – Căi de atac – Comercializarea de medicamente de către un farmacist prin intermediul unei platforme online – Acțiune introdusă în fața instanțelor civile de către un concurent al acestui farmacist în temeiul interdicției practicilor comerciale neloiale, ca urmare a unei încălcări de către acesta a obligațiilor prevăzute de regulamentul menționat – Calitate procesuală activă – Articolul 4 punctul 15 și articolul 9 alineatele (1) și (2) – Directiva 95/46/CE – Articolul 8 alineatele (1) și (2) – Noțiunea de «date privind sănătatea» – Condiții pentru prelucrarea unor astfel de date.#Cauza C-21/23.

Cauza C-21/23

împotriva

DR,

(cerere de decizie preliminară formulată de Bundesgerichtshof)

Hotărârea Curții (Marea Cameră) din 4 octombrie 2024

„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Capitolul VIII – Căi de atac – Comercializarea de medicamente de către un farmacist prin intermediul unei platforme online – Acțiune introdusă în fața instanțelor civile de către un concurent al acestui farmacist în temeiul interdicției practicilor comerciale neloiale, ca urmare a unei încălcări de către acesta a obligațiilor prevăzute de regulamentul menționat – Calitate procesuală activă – Articolul 4 punctul 15 și articolul 9 alineatele (1) și (2) – Directiva 95/46/CE – Articolul 8 alineatele (1) și (2) – Noțiunea de «date privind sănătatea» – Condiții pentru prelucrarea unor astfel de date”

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Căi de atac – Caracter neexhaustiv – Reglementare națională care permite concurenților autorului prezumat al unei încălcări a obligațiilor prevăzute de regulament să introducă o acțiune în fața instanțelor civile în temeiul interdicției practicilor comerciale neloiale – Admisibilitate

(Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 77-80)

(a se vedea punctele 53-57, 60 și 62-73 și dispozitiv 1)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Noțiunea de date privind sănătatea – Informații privind clienții unui exploatant al unei farmacii care pune în vânzare medicamente pe o platformă online, furnizate cu ocazia comandării acestor medicamente – Informații privind numele acestor clienți, adresa de livrare, precum și cele necesare individualizării medicamentelor – Includere – Vânzare a medicamentelor care se eliberează fără prescripție medicală – Lipsa incidenței

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 punctele 1 și 15 și art. 9 alin. (1); Directiva 95/46 a Parlamentului European și a Consiliului, art. 8 alin. (1)]

(a se vedea punctele 84 și 88-91 și dispozitiv 2)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Prelucrare a unor categorii speciale de date cu caracter personal – Interdicție – Derogări

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (53) și art. 9 alin. (1) și (2); Directiva 95/46 a Parlamentului European și a Consiliului, art. 8 alin. (1) și (2)]

(a se vedea punctele 86, 87, 92 și 93)

Rezumat

Sesizată cu titlu preliminar de Bundesgerichtshof (Curtea Federală de Justiție, Germania), Marea Cameră a Curții se pronunță cu privire la natura și la domeniul de aplicare al sistemului căilor de atac în materie de protecție a datelor ( 1 ), precum și cu privire la noțiunea de „date privind sănătatea” ( 2 ).

ND și DR, două persoane fizice, administrează fiecare o farmacie în Germania. Începând din anul 2017, ND comercializează, pe platforma online „Amazon-Marketplace”, medicamente a căror vânzare este rezervată farmaciilor. Atunci când comandă online, clienții lui ND trebuie să introducă informații precum numele lor, adresa de livrare și elementele necesare pentru individualizarea acestor medicamente.

Întemeindu-se pe dreptul german în materie de concurență neloială ( 3 ), DR a introdus o acțiune în încetare împotriva lui ND la instanțele naționale civile. DR a susținut că comercializarea medicamentelor de către ND era neloială din cauza nerespectării unei cerințe legale privind obținerea consimțământului prealabil al clientului pentru prelucrarea datelor sale privind sănătatea.

După ce instanțele inferioare au admis această acțiune, ND a formulat recurs la instanța de trimitere, care, la rândul său, a considerat necesar să sesizeze Curtea cu titlu preliminar.

În hotărârea sa, Curtea concluzionează în sensul caracterului neexhaustiv al sistemului căilor de atac instituit prin RGPD, recunoscând că acest regulament nu se opune ca statele membre să prevadă, în dreptul național, posibilitatea concurenților autorului prezumat al unei încălcări a dispozițiilor materiale ale regulamentului menționat de a o contesta în justiție ca practică comercială neloială. În plus, Curtea aduce precizări cu privire la noțiunea de „date privind sănătatea”.

Aprecierea Curții

În primul rând, Curtea arată că, deși capitolul VIII din RGPD nu prevede în mod specific o clauză de deschidere care ar permite expres statelor membre să prevadă o astfel de posibilitate de a introduce o acțiune pentru concurenți, rezultă totuși din termenii și din contextul dispozițiilor acestui capitol VIII că legiuitorul Uniunii nu a dorit să o excludă. Această interpretare este confirmată de obiectivele urmărite de RGPD.

Astfel, pe de o parte, o acțiune în încetare introdusă de un concurent împotriva unei întreprinderi în temeiul interdicției practicilor comerciale neloiale, ca urmare a pretinsei încălcări a dispozițiilor materiale ale RGPD, nu aduce nicidecum atingere sistemului căilor de atac prevăzut de acest regulament și nici obiectivului de a asigura un nivel uniform de protecție pentru persoanele fizice în întreaga Uniune Europeană și de a preîntâmpina discrepanțele care împiedică libera circulație a datelor cu caracter personal în cadrul pieței interne.

În acest context, Curtea precizează că, desigur, o astfel de acțiune este susceptibilă să se întemeieze, chiar dacă în mod incident, pe încălcarea acelorași dispoziții ale RGDP precum cele pe care s-ar putea întemeia o plângere sau o acțiune introdusă de persoanele vizate sau de o asociație care reprezintă aceste persoane ( 4 ). Cu toate acestea, spre deosebire de aceste căi de atac prevăzute de RGPD, acțiunea în încetare introdusă de un concurent nu urmărește, ca atare, un obiectiv de protecție a drepturilor și libertăților fundamentale ale persoanelor vizate în ceea ce privește prelucrarea datelor lor cu caracter personal, ci urmărește să asigure o concurență loială, în special în interesul acestui concurent.

În plus, posibilitatea unui concurent de a introduce o astfel de acțiune în fața instanțelor civile în temeiul interdicției practicilor comerciale neloiale se adaugă căilor de atac instituite de RGPD, care sunt menținute pe deplin și pot fi exercitate întotdeauna de persoanele vizate, precum și, dacă este cazul, de asociațiile care reprezintă aceste persoane. În special, coexistența unor căi de atac care țin de dreptul protecției datelor și de dreptul concurenței nu creează un risc pentru aplicarea uniformă a regulamentului menționat.

În plus, posibilitatea mai largă de invocare a dispozițiilor materiale ale RGPD de către alte persoane decât persoanele vizate și organismele, organizațiile și asociațiile nu aduce atingere realizării obiectivului de a asigura un nivel uniform de protecție a acestor persoane în întreaga Uniune și de a preîntâmpina discrepanțele care împiedică libera circulație a datelor în cadrul pieței interne. Astfel, chiar dacă statele membre nu ar prevedea o asemenea posibilitate, nu ar rezulta totuși de aici o fragmentare a punerii în aplicare a protecției datelor în Uniune, dispozițiile materiale ale RGPD impunându-se în același mod tuturor operatorilor, iar respectarea lor fiind asigurată prin căile de atac prevăzute de acest regulament.

Pe de altă parte, în legătură cu obiectivul de a asigura o protecție eficientă a persoanelor vizate în ceea ce privește prelucrarea datelor lor cu caracter personal și a efectului util al dispozițiilor materiale ale RGPD, Curtea arată că, deși o acțiune în încetare introdusă de un concurent al autorului prezumat al unei atingeri aduse protecției datelor cu caracter personal nu urmărește acest obiectiv, ci pe acela de a asigura o concurență loială, nu este mai puțin adevărat că ea contribuie în mod incontestabil la respectarea acestor dispoziții și, așadar, la consolidarea drepturilor persoanelor vizate și la realizarea unui nivel ridicat de protecție pentru acestea. De altfel, o asemenea acțiune în încetare a unui concurent se poate dovedi, asemenea celei a asociațiilor pentru apărarea intereselor consumatorilor, deosebit de eficientă pentru a asigura o astfel de protecție, în măsura în care este susceptibilă să prevină un număr ridicat de încălcări ale drepturilor persoanelor vizate prin prelucrarea datelor lor cu caracter personal ( 5 ).

Astfel, Curtea constată că dispozițiile RGPD privind sistemul căilor de atac trebuie interpretate în sensul că nu se opun unei reglementări naționale care, în plus față de competențele de intervenție ale autorităților de supraveghere responsabile pentru supravegherea și punerea în aplicare a acestui regulament, precum și față de căile de atac de care dispun persoanele vizate, conferă concurenților autorului prezumat al unei atingeri aduse protecției datelor cu caracter personal calitatea procesuală activă pentru a formula împotriva acestuia o acțiune în fața instanțelor civile, ca urmare a încălcării regulamentului menționat și în temeiul interdicției practicilor comerciale neloiale.

În al doilea rând, în ceea ce privește noțiunea de „date privind sănătatea”, Curtea constată că intră în sfera acestei noțiuni datele pe care un client le introduce pe o platformă online atunci când comandă medicamente a căror vânzare este rezervată farmaciilor. Astfel, aceste date sunt de natură să dezvăluie, printr-o operațiune intelectuală de combinare sau de deducție, informații cu privire la starea de sănătate a persoanei vizate ( 6 ), în măsura în care această comandă implică stabilirea unei legături între un medicament, indicațiile sale terapeutice sau utilizările sale și o persoană fizică identificată sau identificabilă prin elemente precum numele acestei persoane sau adresa de livrare.

În plus, Curtea apreciază că este indiferent în această privință că vânzarea medicamentelor comandate nu este supusă unei prescripții medicale și că acestea ar putea fi, așadar, destinate nu clientului care efectuează comanda, ci unor terțe persoane. Astfel, în cazul în care un utilizator al unei platforme online comunică date cu caracter personal atunci când comandă medicamente a căror vânzare este rezervată farmaciilor fără a fi condiționată de o prescripție medicală, prelucrarea acestor date de către operatorul unei farmacii care vinde aceste medicamente prin intermediul platformei online respective trebuie să fie considerată o prelucrare a unor date privind sănătatea ( 7 ), dat fiind că această prelucrare de date este de natură să dezvăluie informații cu privire la starea de sănătate a unei persoane fizice, indiferent dacă informațiile respective privesc utilizatorul menționat sau orice altă persoană pentru care acesta efectuează comanda ( 8 ).

Astfel, o interpretare care ar conduce la efectuarea unei distincții în funcție de tipul medicamentelor în cauză și de faptul că vânzarea lor este sau nu condiționată de o prescripție medicală nu ar fi în concordanță cu obiectivul unui nivel ridicat de protecție a libertăților și a drepturilor fundamentale ale persoanelor fizice, în special a vieții lor private, în ceea ce privește prelucrarea datelor cu caracter personal care le privesc. O asemenea interpretare ar fi, în plus, contrară finalității articolului 8 alineatul (1) din Directiva 95/46 și a articolului 9 alineatul (1) din RGPD, care constă în a asigura o protecție sporită împotriva prelucrărilor care, din cauza caracterului deosebit de sensibil al datelor care fac obiectul acestora, sunt susceptibile să constituie o ingerință deosebit de gravă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal ( 9 ). Prin urmare, informațiile pe care clienții le introduc atunci când comandă online medicamente a căror vânzare este rezervată farmaciilor fără a fi condiționată de o prescripție medicală constituie date privind sănătatea, chiar dacă medicamentele respective sunt destinate acestor clienți numai cu o anumită probabilitate, iar nu cu o certitudine absolută.

Curtea adaugă faptul că nu se poate exclude că, inclusiv în ipoteza în care astfel de medicamente sunt destinate altor persoane decât clienții, este posibil să se identifice aceste persoane și să se tragă concluzii cu privire la starea lor de sănătate. Aceasta ar putea fi situația, de exemplu, atunci când medicamentele în cauză nu sunt livrate la domiciliul clientului care le-a comandat, ci la domiciliul unei alte persoane sau atunci când, indiferent de adresa de livrare, clientul a făcut referire, în comanda sa ori în comunicările sale referitoare la aceasta, la o altă persoană identificabilă, cum ar fi un membru al familiei sale.

În sfârșit, Curtea observă că faptul că informațiile în discuție constituie date privind sănătatea nu se opune ca ele să poată face obiectul unei prelucrări, în special în contextul gestionării serviciilor și sistemelor de sănătate, dacă este îndeplinită una dintre condițiile prevăzute în această privință ( 10 ). Pe de o parte, aceasta poate fi situația în special atunci când persoana vizată își dă consimțământul explicit pentru una sau mai multe prelucrări ale datelor cu caracter personal menționate ale căror caracteristici și scopuri specifice i-au fost prezentate într-un mod exact, complet și ușor de înțeles. Pe de altă parte, un astfel de tratament poate fi admisibil atunci când este necesar în scopuri legate de furnizarea de asistență medicală în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul unui contract încheiat cu un cadru medical.

( 1 ) Capitolul VIII din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

( 2 ) Prevăzută la articolul 8 alineatul (1) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10) și, respectiv, la articolul 9 alineatul (1) din RGPD.

( 3 ) Gesetz gegen den unlauteren Wettbewerb (Legea privind combaterea concurenței neloiale) din 3 iulie 2004 (BGBl. 2004 I, p. 1414), în versiunea aplicabilă litigiului principal.

( 4 ) Articolele 77-80 din RGPD.

( 5 ) A se vedea în acest sens Hotărârea din 28 aprilie 2022, Meta Platforms Ireland (C-319/20, EU:C:2022:322, punctele 74 și 75).

( 6 ) În sensul articolului 4 punctul 1 din RGPD.

( 7 ) În sensul articolului 8 alineatul (1) din Directiva 95/46 și al articolului 9 alineatul (1) din RGPD.

( 8 ) A se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C-252/21, EU:C:2023:537, punctul 73).

( 9 ) A se vedea Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, punctul 126 și jurisprudența citată).

( 10 ) Condiții prevăzute la articolul 8 alineatul (2) din Directiva 95/46 și la articolul 9 alineatul (2) din RGPD.