–

ND, edustajinaan A. Datta, M. Mogendorf ja W. Spoerr, Rechtsanwälte,

–

DR, edustajanaan M. Bahmann, Rechtsanwalt,

–

Saksan hallitus, asiamiehinään J. Möller ja P.-L. Krüger,

–

Euroopan komissio, asiamiehinään A. Bouchagiar, F. Erlbacher ja H. Kranenborg,

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 9 artiklan 1 kohdan ja VIII luvun säännösten ja yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 8 artiklan 1 kohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat ND ja DR, jotka ovat kaksi apteekkia pitävää luonnollista henkilöä, ja jossa on kyse siitä, että ND myy verkkoalustalla lääkkeitä, joita saadaan myydä vain apteekeissa.

Asiaa koskevat oikeussäännöt

Unionin oikeus

3

Direktiivin 95/46 8 artiklassa, jonka otsikko oli ”Erityisiä tietoryhmiä koskeva tietojenkäsittely”, säädettiin seuraavaa:

4

Yleisen tietosuoja-asetuksen johdanto-osan 9–11, 13, 35, 51, 53, 141 ja 142 perustelukappaleessa todetaan seuraavaa:

5

Kyseisen asetuksen 1 artiklassa, jonka otsikko on ”Kohde ja tavoitteet”, säädetään seuraavaa:

6

Asetuksen 4 artiklassa säädetään seuraavaa:

7

Yleisen tietosuoja-asetuksen II luku, jonka otsikko on ”Periaatteet”, sisältää sen 5–11 artiklan.

8

Mainitun asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista, kun taas kyseisen asetuksen 6 artiklassa vahvistetaan tällaisen käsittelyn lainmukaisuuden edellytykset.

9

Asetuksen 9 artiklassa, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, säädetään seuraavaa:

10

Yleisen tietosuoja-asetuksen 51 artiklan, jonka otsikko on ”Valvontaviranomainen”, 1 kohdassa säädetään seuraavaa:

11

Yleisen tietosuoja-asetuksen VIII luku, jonka otsikko on ”Oikeussuojakeinot, vastuu ja seuraamukset”, sisältää kyseisen asetuksen 77–84 artiklan.

12

Mainitun asetuksen 77 artiklan, jonka otsikko on ”Oikeus tehdä kantelu valvontaviranomaiselle”, 1 kohdassa säädetään seuraavaa:

13

Asetuksen 78 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, 1 kohdassa säädetään seuraavaa:

14

Mainitun asetuksen 79 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan”, 1 kohdassa säädetään seuraavaa:

15

Tietosuoja-asetuksen 80 artiklassa, jonka otsikko on ”Rekisteröityjen edustaminen”, säädetään seuraavaa:

16

Kyseisen asetuksen 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, 1 kohdassa säädetään seuraavaa:

17

Kyseisen asetuksen 83 artiklan, jonka otsikko on ”Hallinnollisten seuraamusmaksujen määräämisen yleiset edellytykset”, 1 kohdassa säädetään seuraavaa:

18

Tämän asetuksen 84 artiklan, jonka otsikko on ”Seuraamukset”, 1 kohdassa säädetään seuraavaa:

19

Yleisen tietosuoja-asetuksen 94 artiklan 1 kohdassa säädetään seuraavaa:

20

Kyseisen asetuksen 99 artiklassa säädetään seuraavaa:

Saksan oikeus

Sopimattoman kilpailun estämisestä annettu laki

21

Sopimattoman kilpailun estämisestä 3.7.2004 annetun lain (Gesetz gegen den unlauteren Wettbewerb; BGBl. 2004 I, s. 1414), sellaisena kuin sitä sovelletaan pääasiaan (jäljempänä UWG), 3 §:n, jonka otsikko on ”Sopimattomien kaupallisten menettelyjen kielto ”, 1 momentissa säädetään seuraavaa:

22

UWG:n 3a §:ssä, jonka otsikko on ”Lain rikkominen”, säädetään seuraavaa:

23

UWG:n 8 §:ssä, jonka otsikko on ”Lopettaminen ja kieltäminen”, säädetään seuraavaa:

Lääkelaki

24

Lääkkeiden kaupasta säädetään lääkkeistä 24.8.1976 annetussa laissa (Gesetz über den Verkehr mit Arzneimitteln; BGBl. 1976 I, s. 2444), sellaisena kuin se on julkaistuna 12.12.2005 (BGBl. 2005 I, s. 3394) ja sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin. Tässä laissa erotetaan toisistaan yksinomaan apteekeissa myytävät lääkkeet ja sen 48 §:ssä, jonka otsikko on ”Lääkemääräyksen edellyttäminen”, tarkoitetut lääkemääräystä edellyttävät lääkkeet.

Pääasia ja ennakkoratkaisukysymykset

25

ND, joka pitää apteekkia toiminimellä ”Lindenapotheke”, on myynyt vuodesta 2017 lähtien Amazon-Marketplace‑verkkoalustalla (jäljempänä Amazon) lääkkeitä, joita saadaan myydä vain apteekeissa. Kun ND:n asiakkaat tilaavat näitä lääkkeitä verkossa, heidän on annettava mm. nimensä, toimitusosoite ja kyseisten lääkkeiden yksilöimiseksi tarvittavat tiedot.

26

DR, joka myös pitää apteekkia, nosti Landgericht Dessau-Roßlaussa (Dessau-Roßlaun alueellinen alioikeus, Saksa) kanteen, jossa hän vaati, että ND velvoitetaan uhkasakon uhalla lopettamaan Amazonissa sellaisten lääkkeiden myynti, joita saadaan myydä vain apteekeissa, kunnes on varmistettu, että asiakkaat voivat antaa etukäteen suostumuksensa terveystietojen käsittelyyn.

27

DR väitti kanteensa tueksi, että sellaisten lääkkeiden, joita saadaan myydä vain apteekeissa, myynti Amazonissa on sopimatonta, koska henkilötietojen suojaa koskevassa lainsäädännössä edellytetyn asiakkaan suostumuksen saamista koskevia lakisääteisiä vaatimuksia ei ole noudatettu.

28

Landgericht Dessau-Roßlau hyväksyi kanteen 28.3.2018 antamallaan tuomiolla.

29

ND valitti tästä tuomiosta Oberlandesgericht Naumburgiin (Naumburgissa sijaitseva osavaltion ylioikeus, Saksa), joka hylkäsi valituksen 7.11.2019 antamallaan ratkaisulla.

30

Oberlandesgericht Naumburg katsoi, että lääkkeiden, joita saadaan myydä vain apteekeissa, myynti Amazonissa oli sopimatonta menettelyä ja siten kiellettyä UWG:n 3 §:n 1 momentin nojalla. Sen mukaan tällainen lääkkeiden myynti johtaa nimittäin terveystietojen käsittelyyn, joka on kiellettyä yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan nojalla, jos lääkkeitä ostavat asiakkaat eivät ole antaneet kyseisen asetuksen 9 artiklan 2 kohdan a alakohdassa tarkoitettua nimenomaista suostumusta. Kyseisen asetuksen säännökset ovat kuitenkin UWG:n 3 a §:ssä tarkoitettuja säännöksiä, joilla on tarkoitus säännellä markkinakäyttäytymistä. Lisäksi DR:llä on kilpailijana UWG:n 8 §:n 3 momentin 1 kohdan nojalla oikeus vedota siviilituomioistuimissa siihen, että ND on rikkonut näitä sääntöjä, ja esittämää kieltomääräystä koskeva vaatimus.

31

ND esitti Revision-valituksen Bundesgerichtshofille (liittovaltion ylin yleinen tuomioistuin, Saksa), joka on ennakkoratkaisua pyytänyt tuomioistuin.

32

Kyseinen tuomioistuin toteaa, että asian ratkaisu riippuu siitä, miten on tulkittava yleisen tietosuoja-asetuksen VIII lukua ja saman asetuksen 9 artiklan 1 kohtaa sekä direktiivin 95/46 8 artiklan 1 kohtaa.

33

Ennakkoratkaisua pyytänyt tuomioistuin pohtii ensinnäkin sitä, voivatko jäsenvaltiot sen jälkeen, kun direktiivi 95/46 kumottiin 25.5.2018 alkavin vaikutuksin, jolloin yleistä tietosuoja-asetusta alettiin soveltaa, edelleen säätää kansallisessa oikeudessaan, että yrityksen UWG:n 8 §:n 3 momentin 1 kohdassa tarkoitettujen kaltaisilla kilpailijoilla on oikeus nostaa siviilituomioistuimessa sopimattomia kaupallisia menettelyjä koskevaan kieltoon perustuva kanne saadakseen kyseisen yrityksen lopettamaan yleisen tietosuoja-asetuksen säännösten rikkomiset.

34

Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, että tähän kysymykseen voidaan vastata eri tavoin kansallisella tasolla. Vastausta ei nimittäin voida johtaa yksiselitteisesti yleisen tietosuoja-asetuksen VIII luvun säännösten sanamuodosta, näiden säännösten yleisestä rakenteesta eikä edes mainitulla asetuksella tavoitellusta päämäärästä.

35

Ennakkoratkaisua pyytänyt tuomioistuin toteaa ensinnäkin yleisen tietosuoja-asetuksen VIII luvun säännösten sanamuodon osalta, että on totta, että näissä säännöksissä ei mainita missään kohdassa yrityksen kilpailijoiden mahdollisuutta nostaa kanne kyseistä yritystä vastaan erityisesti silloin, kun tietosuojalainsäädännön rikkominen merkitsee sopimattomia kaupallisia menettelyjä. Samanaikaisesti kyseisissä säännöksissä ei kuitenkaan nimenomaisesti suljeta tätä mahdollisuutta pois.

36

Tämän jälkeen ennakkoratkaisua pyytänyt tuomioistuin korostaa yleisen tietosuoja-asetuksen VIII luvun säännösten yleisestä rakenteesta yhtäältä, että – kuten unionin tuomioistuin on todennut 28.4.2022 antamassaan tuomiossa Meta Platforms Ireland (C‑319/20, EU:C:2022:322, 57 kohta) – kyseisellä asetuksella pyritään henkilötietojen suojaa koskevien kansallisten lainsäädäntöjen lähtökohtaisesti täydelliseen yhdenmukaistamiseen. Toisaalta se, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa, 78 artiklan 1 ja 2 kohdassa ja 79 artiklan 1 kohdassa on kussakin ilmaisu ”sanotun kuitenkaan rajoittamatta muita – – oikeussuojakeinoja”, voisi kuitenkin estää toteamasta, että oikeuden soveltamisen valvontaa on säännelty tyhjentävästi.

37

Lopuksi ennakkoratkaisua pyytänyt tuomioistuin korostaa tavoitteesta, joka koskee yhdenmukaistamista ja erityisesti oikeuden soveltamisen valvonnan tason yhtenäistämistä unionissa, mihin yleisellä tietosuoja-asetuksella pyritään, yhtäältä, että se, että kilpailijoilla voisi olla asiavaltuus kilpailuoikeuden nojalla ja ne siten voisivat vaatia tietosuojalainsäädännön säännösten soveltamista muilla kuin yleisessä tietosuoja-asetuksessa säädetyillä välineillä, voisi olla ristiriidassa tämän tavoitteen kanssa. Ei myöskään ole varmaa, että kyseisessä asetuksessa säädettyyn oikeuden soveltamista koskevaan valvontajärjestelmään sisältyy aukko, joka pitäisi korjata myöntämällä kilpailijoille asiavaltuus kilpailuoikeuden nojalla. Vastaavasti kilpailu valvontaviranomaisten ja siviilituomioistuinten välillä tietosuojaa koskevan oikeuden soveltamisen valvonnassa saattaisi loukata valvontaviranomaisten valtuuksia ja johtaa eroihin tietosuojalainsäädännön soveltamisen valvonnassa unionissa.

38

Toisaalta ennakkoratkaisua pyytäneen tuomioistuimen mukaan se, että kilpailijoilla olisi asiavaltuus kilpailulainsäädännön nojalla, voisi olla lisämahdollisuus valvoa oikeuden soveltamista, mikä olisi tehokkuusperiaatteen (tehokas vaikutus) nojalla toivottavaa, jotta voidaan varmistaa henkilötietojen suojan mahdollisimman korkea taso yleisen tietosuoja-asetuksen kymmenennen perustelukappaleen mukaisesti.

39

Ennakkoratkaisua pyytänyt tuomioistuin täsmentää, että tätä kysymystä ei ole selvennetty unionin tuomioistuimen oikeuskäytännössä ja että erityisesti 28.4.2022 annetussa tuomiossa Meta Platforms Ireland (C‑319/20, EU:C:2022:322) unionin tuomioistuin jätti nimenomaisesti avoimeksi kilpailijan asiavaltuutta koskevan kysymyksen.

40

Toiseksi ennakkoratkaisua pyytänyt tuomioistuin pohtii, ovatko tiedot, jotka asiakkaiden on lääkkeiden tilaamisen yhteydessä syötettävä verkkomyyntialustalle, kuten heidän nimensä, toimitusosoitteensa ja tilattujen lääkkeiden yksilöimiseksi tarvittavat tiedot, direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja terveystietoja.

41

Kyseisen tuomioistuimen mukaan vastaus tähän kysymykseen ei ole ilmeinen siinä tapauksessa, että tilatut lääkkeet eivät edellytä lääkemääräystä. Tällaisessa tapauksessa ei nimittäin ole poissuljettua, että näitä lääkkeitä ei ole tarkoitettu asiakkaille itselleen vaan kolmansille, jotka eivät ole tunnistettavissa.

42

Ennakkoratkaisua pyytänyt tuomioistuin korostaa, että pelkästään näiden säännösten ja yleisen tietosuoja-asetuksen 4 artiklan 15 alakohdan, luettuna yhdessä kyseisen asetuksen 35 perustelukappaleen kanssa, sanamuodon perusteella tähän kysymykseen ei voida vastata.

43

Sen mukaan unionin tuomioistuin on kuitenkin katsonut 1.8.2022 antamansa tuomion Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601) 125 kohdassa, että direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettua erityisten henkilötietoryhmien käsitettä on tulkittava laajasti, kun otetaan huomioon kyseisen asetuksen tavoite, jona on varmistaa luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien, erityisesti heidän yksityisyytensä, korkeatasoinen suoja heidän henkilötietojensa käsittelyssä. Jos kyseistä käsitettä tulkittaisiin tällä tavoin laajasti, voitaisiin päätellä, että tällaiset tiedot ovat terveystietoja, jos ei ole varmaa vaan ainoastaan todennäköistä, että asiakkaat, jotka tilaavat lääkkeitä, ovat henkilöitä, joiden käyttöön lääkkeet on tarkoitettu.

44

Ennakkoratkaisua pyytänyt tuomioistuin täsmentää, että oikeus kieltomääräykseen, johon DR vetoaa, edellyttää, että ND:n kyseessä oleva toiminta on ollut lainvastaista sekä toiminnan aloittamishetkellä että Revision-valituksen käsittelyajankohtana, ja että ensimmäiseen näistä ajankohdista sovellettiin vielä direktiivin 95/46 8 artiklan 1 kohtaa, kun taas jälkimmäinen kuuluu nykyisin yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan soveltamisalaan.

45

Tässä tilanteessa Bundesgerichtshof on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

Ennakkoratkaisukysymysten tarkastelu

Ensimmäinen kysymys

46

Ennakkoratkaisua pyytänyt tuomioistuin pyrkii ensimmäisellä kysymyksellään selvittämään, onko yleisen tietosuoja-asetuksen VIII luvun säännöksiä tulkittava siten, että ne ovat esteenä kansalliselle säännöstölle, jonka mukaan kyseisen asetuksen valvonnasta ja täytäntöönpanosta vastaavien valvontaviranomaisten toimintavallan ja rekisteröityjen käytettävissä olevien oikeussuojakeinojen ohella henkilötietojen suojan oletetun loukkaajan kilpailijoilla on sopimattomien kaupallisten menettelyjen kiellon perusteella asiavaltuus kanteen nostamiseen siviilituomioistuimessa loukkaajaa vastaan kyseisen asetuksen rikkomisten vuoksi.

47

Aluksi on muistutettava, että yleisen tietosuoja-asetuksen VIII luvussa säännellään muun muassa oikeussuojakeinoja rekisteröidyn oikeuksien suojaamiseksi silloin, kun häntä koskevia henkilötietoja on käsitelty väitetysti kyseisen asetuksen säännösten vastaisesti. Näiden oikeuksien suojaa voi siten vaatia joko suoraan rekisteröity kyseisen asetuksen 77–79 artiklan nojalla tai tietosuoja-asetuksen 80 artiklan nojalla oikeutettu yksikkö joko valtuutuksen perusteella tai ilman sitä (ks. vastaavasti tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 53 kohta).

48

Yhtäältä nimittäin yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa säädetään, että jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja. Kyseisen asetuksen 78 artiklan 1 kohdan mukaan jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja. Mainitun asetuksen 79 artiklan 1 kohdassa taataan, että jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien mainitun asetuksen 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle.

49

Toisaalta yleisen tietosuoja-asetuksen 80 artiklan 1 kohdan mukaan rekisteröidyllä on tietyin edellytyksin oikeus valtuuttaa voittoa tavoittelematon elin, järjestö tai yhdistys tekemään kantelu puolestaan sekä käyttämään puolestaan kyseisen asetuksen 77, 78 ja 79 artiklassa tarkoitettuja oikeuksia. Lisäksi yleisen tietosuoja-asetuksen 80 artiklan 2 kohdan mukaan jäsenvaltiot voivat säätää, että elimillä, järjestöillä tai yhdistyksillä on oltava rekisteröidyn valtuutuksesta riippumatta oikeus tehdä kyseisessä jäsenvaltiossa tällainen kantelu valvontaviranomaiselle ja oikeus käyttää näitä oikeuksia, jos ne katsovat, että kyseiseen asetukseen perustuvia rekisteröidyn oikeuksia on loukattu rekisteröityä koskevien henkilötietojen käsittelyssä.

50

Nyt käsiteltävässä asiassa unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että ND, joka pitää apteekkia, myy Amazonissa lääkkeitä, joita saadaan myydä vain apteekeissa, ja että asiakkaiden on näitä lääkkeitä verkossa tilatessaan syötettävä verkkoalustalle tietoja, kuten nimensä, toimitusosoitteensa ja kyseisten lääkkeiden yksilöimiseksi tarvittavat tiedot. Pääasiassa kyseessä olevaa kannetta eivät kuitenkaan ole nostaneet siviilituomioistuimessa nämä asiakkaat, jotka ovat yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettuja rekisteröityjä, kyseisen asetuksen 79 artiklan nojalla, eikä myöskään oikeutettu elin, järjestö tai yhdistys, joko rekisteröidyn tätä tarkoitusta varten antaman valtuutuksen perusteella tai ilman sitä, kyseisen asetuksen 80 artiklan nojalla, vaan kyseisen apteekkarin kilpailija sopimattomia kaupallisia menettelyjä koskevan kiellon perusteella, koska kyseisen apteekkarin väitetään rikkoneen kyseisen asetuksen säännöksiä.

51

Pääasiassa nousee siis esiin kysymys siitä, onko yleinen tietosuoja-asetus esteenä sille, että DR:n kaltaisella kilpailijalla, joka ei ole kyseisen asetuksen 4 artiklan 1 alakohdassa tarkoitettu rekisteröity, on oikeus nostaa tällainen kanne kansallisessa siviilituomioistuimessa.

52

Tältä osin on muistutettava, että unionin oikeuden säännöksen tai määräyksen tulkitsemiseksi on otettava huomioon sen sanamuodon lisäksi sen asiayhteys sekä sillä säännöstöllä tavoitellut päämäärät, jonka osa se on (tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 32 kohta).

53

Yleisen tietosuoja-asetuksen VIII luvun säännösten sanamuodosta on todettava, ettei missään niistä nimenomaisesti suljeta pois yrityksen kilpailijan mahdollisuutta nostaa siviilituomioistuimissa kanne kyseistä yritystä vastaan sopimattomien kaupallisten menettelyjen kiellon perusteella sen vuoksi, että tämän yrityksen väitetään rikkoneen kyseisessä asetuksessa säädettyjä velvoitteita. Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan, 78 artiklan 1 kohdan ja 79 artiklan 1 kohdan sanamuodosta, joka on palautettu mieleen tämän tuomion 48 kohdassa, ilmenee päinvastoin, että näissä säännöksissä tarkoitettu oikeus tehdä kantelu valvontaviranomaiselle ja oikeus tehokkaisiin oikeussuojakeinoihin tällaista viranomaista ja rekisterinpitäjää tai henkilötietojen käsittelijää vastaan ovat olemassa ”sanotun kuitenkaan rajoittamatta” muita hallinnollisia muutoksenhakukeinoja, oikeussuojakeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.

54

Asiayhteydestä, johon yleisen tietosuoja-asetuksen VIII luku kuuluu, on todettava, että kyseisen asetuksen II lukuun sisältyy joukko aineellisia säännöksiä, jotka koskevat muun muassa sen 5 artiklaan sisältyviä henkilötietojen käsittelyä koskevia periaatteita sekä käsittelyn lainmukaisuuden edellytyksiä, joista säädetään sen 6 artiklassa; näiden periaatteiden ja edellytysten tarkoituksena on varmistaa muun muassa SEUT 16 artiklan 1 kohdassa ja perusoikeuskirjan 8 artiklassa taatun rekisteröityjen henkilötietojen suojaa koskevan perusoikeuden täysimääräinen noudattaminen. Se, että yleisen tietosuoja-asetuksen VIII lukuun ei sisälly säännöksiä, joissa säädettäisiin, että yrityksen, jonka väitetään rikkoneen näitä aineellisia säännöksiä, kilpailijat voivat nostaa kanteen tämän rikkomisen lopettamiseksi, selittyy siten sillä, että, kuten julkisasiamies on todennut ratkaisuehdotuksensa 80 kohdassa, ainoastaan rekisteröidyt – eivät kyseiset kilpailijat – ovat kyseisellä asetuksella taatun henkilötietojen suojan kohteena.

55

On kuitenkin niin, että vaikka mainittujen aineellisten säännösten rikkominen on omiaan vaikuttamaan ensisijaisesti henkilöihin, joita kyseiset tiedot koskevat, se voi myös vahingoittaa kolmansia osapuolia, mistä on osoituksena se, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa säädetään oikeudesta saada korvaus, jos ”henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa”. Unionin tuomioistuimella on myös ollut jo tilaisuus todeta, että henkilötietojen suojaa koskevan säännön rikkominen voi samanaikaisesti johtaa kuluttajansuojaa tai sopimattomia kaupallisia menettelyjä koskevien sääntöjen rikkomiseen (tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 78 kohta) ja olla tärkeä viite arvioitaessa SEUT 102 artiklassa tarkoitetun määräävän markkina-aseman väärinkäytön olemassaoloa (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537, 47 ja 62 kohta).

56

Tässä yhteydessä on muistutettava, että pääsy henkilötietoihin sekä niiden hyödyntäminen ovat erittäin tärkeitä digitaalitaloudessa. Pääsystä henkilötietoihin ja mahdollisuudesta käsitellä niitä on näet tullut digitaalitalouden yritysten välisen kilpailun huomattava parametri. Näin ollen tämän taloudellisen kehityksen todellisuuden huomioon ottamiseksi ja reilun kilpailun varmistamiseksi voi osoittautua tarpeelliseksi ottaa huomioon henkilötietojen suojaa koskevat säännöt kilpailuoikeuden ja sopimattomia kaupallisia menettelyjä koskevien sääntöjen soveltamisen yhteydessä (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537, 50 ja 51 kohta).

57

Lisäksi on niin, että vaikka yleisen tietosuoja-asetuksen 1 artiklan 1 kohdasta, luettuna erityisesti kyseisen asetuksen 9 ja 13 perustelukappaleen valossa, ilmenee, että tällä asetuksella pyritään henkilötietojen suojaa koskevan kansallisen lainsäädännön yhdenmukaistamiseen, joka lähtökohtaisesti on täydellinen, mainitun asetuksen useilla säännöksillä annetaan kuitenkin jäsenvaltioille nimenomaisesti mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä, jotka jättävät niille harkintavaltaa sen suhteen, miten nämä säännökset voidaan panna täytäntöön (ns. avoimet lausekkeet) (tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 57 kohta).

58

Unionin tuomioistuin on jo todennut, että tämä pätee yleisen tietosuoja-asetuksen 80 artiklan 2 kohtaan, jossa jätetään jäsenvaltioille harkintavaltaa sen täytäntöönpanon osalta ja joka ei ole esteenä kansalliselle säännöstölle, jossa sallitaan kuluttajansuojayhdistyksen nostaa kanne tuomioistuimessa sille tätä varten annetun valtuutuksen puuttuessa ja riippumatta rekisteröityjen tosiasiallisten oikeuksien loukkaamisesta henkilötietojen suojan oletettua loukkaajaa vastaan ja vedota erityisesti sopimattomien kaupallisten menettelyjen kiellon rikkomiseen, kun kyseinen tietojen käsittely voi vaikuttaa tunnistettujen tai tunnistettavissa olevien luonnollisten henkilöiden kyseiseen asetukseen perustuviin oikeuksiin (tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 59 ja 83 kohta).

59

Yleisen tietosuoja-asetuksen VIII luvun säännöksissä ei tosin säädetä nimenomaisesti tällaisesta avoimesta lausekkeesta, jossa nimenomaisesti sallittaisiin jäsenvaltioille se, että ne säätävät sellaisen yrityksen, jonka väitetään rikkovan tämän asetuksen aineellisia säännöksiä, kilpailijan mahdollisuudesta nostaa kanne tämän rikkomisen lopettamiseksi.

60

Tämän tuomion 53–58 kohdassa mieleen palautetuista kyseisen VIII luvun säännösten sanamuodosta ja asiayhteydestä ilmenee kuitenkin, että antaessaan mainitun asetuksen unionin lainsäätäjän tarkoituksena ei ollut yhdenmukaistaa tyhjentävästi oikeussuojakeinoja, jotka ovat käytettävissä yleisen tietosuoja-asetuksen säännösten rikkomisen varalta, eikä se etenkään halunnut evätä henkilötietojen suojan oletetun loukkaajan kilpailijoilta mahdollisuutta nostaa kanne sopimattomien kaupallisten menettelyjen kieltämistä koskevan kansallisen oikeuden perusteella.

61

Tätä tulkinta tukevat yleisen tietosuoja-asetuksen tavoitteet; kyseisellä asetuksella pyritään – kuten muun muassa sen kymmenennestä perustelukappaleesta ilmenee – varmistamaan yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä ja poistamaan näiden tietojen liikkuvuuden esteet unionissa. Kyseisen asetuksen 11 perustelukappaleessa todetaan lisäksi, että henkilötietojen suojaaminen tehokkaasti edellyttää rekisteröityjen oikeuksien sekä henkilötietoja käsittelevien ja henkilötietojen käsittelystä päättävien velvollisuuksien vahvistamista samoin kuin samantasoisia valtuuksia valvoa henkilötietojen suojaa koskevien sääntöjen noudattamista ja samantasoisia seuraamuksia sääntöjen rikkomisesta jäsenvaltioissa. Mainitun asetuksen 13 perustelukappaleessa täsmennetään, että jotta voitaisiin varmistaa luonnollisten henkilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla, tarvitaan asetus, jolla taataan oikeusvarmuus ja läpinäkyvyys talouden toimijoille, annetaan luonnollisille henkilöille kaikissa jäsenvaltioissa samantasoiset, oikeudellisesti täytäntöönpanokelpoiset oikeudet ja rekisterinpitäjille ja henkilötietojen käsittelijöille velvollisuudet ja vastuut, joilla varmistetaan henkilötietojen käsittelyn yhdenmukainen valvonta ja samantasoiset seuraamukset kaikissa jäsenvaltioissa.

62

Yrityksen kilpailijan mahdollisuus nostaa siviilituomioistuimessa kanne sopimattomien kaupallisten menettelyjen kiellon perusteella yleisen tietosuoja-asetuksen aineellisten säännösten rikkomisen, johon kyseinen yritys väitetysti on syyllistynyt, lopettamiseksi, ei ole ristiriidassa näiden tavoitteiden kanssa, vaan se on päinvastoin omiaan vahvistamaan näiden säännösten tehokasta vaikutusta ja siten tässä asetuksessa tavoiteltua rekisteröityjen suojan korkeaa tasoa heidän henkilötietojensa käsittelyssä.

63

Yhtäältä nimittäin kieltokanne, jonka kilpailija nostaa sopimattomien kaupallisten menettelyjen kiellon perusteella yritystä vastaan yleisen tietosuoja-asetuksen aineellisten säännösten väitetyn rikkomisen vuoksi, ei millään tavoin vahingoita kyseisen asetuksen VIII luvussa säädettyä oikeussuojakeinojen järjestelmää eikä tavoitetta varmistaa luonnollisten henkilöiden yhdenmukainen suoja kaikkialla unionissa ja estää eroavuudet, jotka haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla.

64

On totta, että tällainen kanne voi perustua, vaikkakin liitännäisesti, yleisen tietosuoja-asetuksen niiden samojen säännösten rikkomiseen, joihin rekisteröityjen kyseisen asetuksen 77–79 artiklan nojalla tai saman asetuksen 80 artiklassa tarkoitetun elimen, järjestön tai yhdistyksen tekemä kantelu tai nostama kanne voisi perustua.

65

Ensinnäkin on kuitenkin niin, että toisin kuin yleisen tietosuoja-asetuksen 77–80 artiklassa, kilpailijan nostamalla kieltokanteella ei sellaisenaan pyritä rekisteröityjen perusoikeuksien ja ‑vapauksien suojaa heidän henkilötietojensa käsittelyssä koskevaan tavoitteeseen, vaan sillä pyritään varmistamaan reilu kilpailu erityisesti kyseisen kilpailijan edun mukaisesti.

66

Toiseksi kilpailijan mahdollisuus nostaa tällainen kanne siviilituomioistuimissa sopimattomien kaupallisten menettelyjen kiellon perusteella täydentää yleisen tietosuoja-asetuksen 77–79 artiklassa säädettyjä oikeussuojakeinoja, jotka säilyvät kaikilta osin ja joita rekisteröidyt ja tarvittaessa kyseisen asetuksen 80 artiklassa tarkoitetut elimet, järjestöt tai yhdistykset voivat aina käyttää.

67

Erityisesti on niin, että – kuten Saksan hallitus on todennut – tietosuojalainsäädännön ja kilpailuoikeuden alaan kuuluvien oikeussuojakeinojen samanaikainen olemassaolo ei vaaranna yleisen tietosuoja-asetuksen yhtenäistä soveltamista. Tässä yhteydessä on todettava, että kyseisen asetuksen 77–80 artiklasta ilmenee, että siinä ei säädetä ensisijaisesta tai yksinomaisesta toimivallasta eikä mistään sellaisesta säännöstä, joka koskee siinä mainitun viranomaisen tai mainittujen tuomioistuinten siitä tekemän arvioinnin ensisijaisuutta, onko tällä asetuksella myönnettyjä oikeuksia loukattu (ks. vastaavasti tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 35 kohta). Näin ollen se, että kieltokanteen on nostanut siviilituomioistuimissa henkilötietojen suojan oletetun loukkaajan kilpailija, ei loukkaa oikeussuojakeinojen järjestelmää, sellaisena kuin siitä säädetään yleisen tietosuoja-asetuksen VIII luvussa. Lisäksi – kuten Saksan hallitus on huomauttanut – kyseisen asetuksen aineellisten säännösten, joita yhtäältä valvontaviranomainen ja tuomioistuimet, joiden käsiteltäväksi asia on saatettu kyseisen asetuksen 77–80 artiklan nojalla, ja toisaalta tuomioistuimet, joiden käsiteltäväksi tällainen kilpailija on saattanut asian sopimattomien kaupallisten menettelyjen kiellon perusteella, voivat soveltaa samaan rikkomiseen, yhtenäinen tulkinta varmistetaan SEUT 267 artiklassa määrätyllä ennakkoratkaisumenettelyllä.

68

Kolmanneksi on todettava, että – kuten julkisasiamies on pääasiallisesti katsonut ratkaisuehdotuksensa 104 kohdassa – sillä, että yleisen tietosuoja-asetuksen aineellisiin säännöksiin voivat vedota laajemmin muutkin kuin vain rekisteröidyt sekä kyseisen asetuksen 80 artiklassa tarkoitetut elimet, järjestöt ja yhdistykset, ei aiheuteta haittaa sen tavoitteen saavuttamiselle, joka koskee näiden henkilöiden yhdenmukaista suojaa kaikkialla unionissa ja sellaisten eroavuuksien estämistä, jotka haittaavat henkilötietojen vapaata liikkuvuutta sisämarkkinoilla. On nimittäin niin, että vaikka jotkut jäsenvaltiot eivät säätäisikään tällaisesta mahdollisuudesta, tästä ei kuitenkaan seuraisi, että tietosuojan täytäntöönpano olisi hajanaista unionin alueella, koska yleisen tietosuoja-asetuksen aineelliset säännökset sitovat samalla tavalla kaikkia kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitettuja rekisterinpitäjiä, ja niiden noudattaminen varmistetaan kyseisessä asetuksessa säädetyillä oikeussuojakeinoilla.

69

Toisaalta tavoitteesta varmistaa rekisteröityjen tehokas suojelu heidän henkilötietojensa käsittelyssä ja yleisen tietosuoja-asetuksen aineellisten säännösten tehokkaasta vaikutuksesta on todettava, että vaikka henkilötietojen suojan oletetun loukkaajan kilpailijan nostamalla kieltokanteella ei pyritä, kuten tämän tuomion 65 kohdassa on todettu, tähän tavoitteeseen vaan sillä pyritään tavoitteeseen varmistaa reilu kilpailu, on kuitenkin niin, että se edesauttaa kiistatta näiden säännösten noudattamisessa ja siten rekisteröityjen oikeuksien vahvistamista ja korkeatasoisen suojan varmistamista (ks. vastaavasti tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 74 kohta).

70

Sitä paitsi tällainen kilpailijan nostama kieltokanne voi kuluttajansuojayhdistysten nostaman kieltokanteen tavoin osoittautua erityisen tehokkaaksi tällaisen suojan varmistamiseksi, siltä osin kuin sen avulla voidaan estää suuri joukko rekisteröityjen oikeuksien loukkaamisia henkilötietojen käsittelyssä (ks. vastaavasti tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 75 kohta).

71

Tästä seuraa, että tämän tuomion 60 kohdassa omaksuttu tulkinta on SEUT 16 artiklan 1 kohdasta ja perusoikeuskirjan 8 artiklasta johtuvien vaatimusten ja siten sen tietosuoja-asetuksen tavoitteen mukainen, että varmistetaan luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien tehokas suoja ja erityisesti jokaisen henkilötietojensa suojaa koskevan oikeuden korkeatasoinen suoja (ks. vastaavasti tuomio 28.4.2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 73 kohta).

72

Nyt käsiteltävässä asiassa ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, merkitseekö pääasiassa kyseessä olevien yleisen tietosuoja-asetuksen aineellisten säännösten oletettu rikkominen – mikäli se näytetään toteen – myös asian kannalta merkityksellisessä kansallisessa lainsäädännössä säädetyn sopimattomia kaupallisia menettelyjä koskevan kiellon rikkomista.

73

Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen VIII luvun säännöksiä on tulkittava siten, että ne eivät ole esteenä kansalliselle säännöstölle, jonka mukaan kyseisen asetuksen valvonnasta ja täytäntöönpanosta vastaavien valvontaviranomaisten toimintavallan ja rekisteröityjen käytettävissä olevien oikeussuojakeinojen ohella henkilötietojen suojan oletetun loukkaajan kilpailijoilla on asiavaltuus sopimattomien kaupallisten menettelyjen kiellon perusteella kanteen nostamiseen siviilituomioistuimessa loukkaajaa vastaan kyseisen asetuksen rikkomisten vuoksi.

Toinen kysymys

74

Toisella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin pyrkii selvittämään lähinnä, onko direktiivin 95/46 8 artiklan 1 kohtaa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa tulkittava siten, että tilanteessa, jossa apteekin pitäjä markkinoi verkkoalustan välityksellä lääkkeitä, joita saadaan myydä vain apteekeissa, tiedot, jotka kyseisen apteekin pitäjän asiakkaat syöttävät lääkkeiden verkossa tilaamisen yhteydessä, kuten heidän nimensä, toimitusosoitteensa ja lääkkeiden yksilöimiseksi tarvittavat tiedot, ovat näissä säännöksissä tarkoitettuja terveystietoja, myös silloin, kun näiden lääkkeiden myynti ei edellytä lääkemääräystä.

75

Direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa, joilla on samankaltainen ulottuvuus sen tulkinnan kannalta, joka unionin tuomioistuimen on annettava (tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 58 ja 117 kohta), ja jotka koskevat, kuten näiden artiklojen otsikosta ilmenee, ”erityisiä henkilötietoryhmiä” koskevaa käsittelyä, vahvistetaan periaate, jonka mukaan tällainen käsittely on kiellettyä. Kuten kyseisen asetuksen 51 perustelukappaleessa nimenomaisesti todetaan, henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja ‑vapauksille.

76

Näihin erityisiin henkilötietoryhmiin, jotka luetellaan direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa, kuuluvat muun muassa terveystiedot. Niillä tarkoitetaan kyseisen asetuksen 4 artiklan 15 alakohdan, luettuna yhdessä mainitun asetuksen 35 perustelukappaleen kanssa, mukaan kaikkia henkilötietoja, jotka paljastavat tietoja luonnollisen henkilön entisestä, nykyisestä tai tulevasta fyysisen terveyden tai mielenterveyden tilasta, mukaan lukien tiedot terveyspalvelujen tarjoamisesta kyseiselle henkilölle.

77

Lisäksi yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdasta ilmenee muun muassa, että henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja, ja että tunnistettavissa olevana pitämiseksi riittää, että rekisteröity voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.

78

Näin ollen silloin, kun lääkkeiden ostoa koskevien tietojen perusteella voidaan tehdä johtopäätöksiä tunnistetun tai tunnistettavissa olevan henkilön terveydentilasta, niitä on pidettävä yleisen tietosuoja-asetuksen 4 artiklan 15 alakohdassa tarkoitettuina terveystietoina.

79

Nyt käsiteltävässä asiassa unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että kun ND:n asiakkaat tilaavat verkossa Amazonista lääkkeitä, joita saadaan myydä vain apteekeissa, he syöttävät verkkoalustalle tietoja, kuten nimensä, toimitusosoitteensa ja lääkkeiden yksilöimiseksi tarvittavat tiedot. Tällaiset tiedot ovat kiistatta henkilötietoja, koska ne liittyvät tunnistettuihin tai tunnistettavissa oleviin luonnollisiin henkilöihin.

80

Näin ollen on määritettävä, voivatko tällaiset tiedot paljastaa yleisen tietosuoja-asetuksen 4 artiklan 15 alakohdassa tarkoitettuja tietoja kyseisten henkilöiden terveydentilasta ja ovatko ne näin ollen direktiivin 95/46 8 artiklan 1 kohdassa ja kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettuja terveystietoja.

81

Tältä osin unionin tuomioistuin on jo todennut, että kun otetaan huomioon direktiivin 95/46 ja yleisen tietosuoja-asetuksen tavoite, jona on turvata luonnollisille henkilöille heitä koskevien henkilötietojen käsittelyssä heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän yksityisyyttä koskevan oikeutensa korkeatasoinen suoja, kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettua terveystietojen käsitettä, joka vastaa kyseisen direktiivin 8 artiklan 1 kohdassa tarkoitettua terveyteen liittyvien tietojen käsitettä, on tulkittava laajasti (ks. vastaavasti tuomio 6.11.2003, Lindqvist, C‑101/01, EU:C:2003:596, 50 kohta ja tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 125 kohta).

82

On huomattava erityisesti, että näitä säännöksiä ei voida tulkita siten, että sellaisten henkilötietojen käsittely, joista voi selvitä epäsuorasti luonnollista henkilöä koskevia arkaluonteisia tietoja, jäävät mainituissa säännöksissä säädetyn tehostetun suojajärjestelmän ulkopuolelle, sillä muutoin vaarannettaisiin kyseisen järjestelmän tehokas vaikutus ja luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suoja, joka sillä pyritään varmistamaan (tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 127 kohta).

83

Jotta henkilötiedot voidaan luokitella direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitetuiksi terveystiedoiksi, riittää näin ollen, että niistä voi selvitä tietojen älyllisen yhdistämisen tai päättelyn avulla rekisteröidyn terveydentilaa koskevia tietoja (ks. vastaavasti tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, 123 kohta).

84

Tiedoista, jotka asiakas syöttää verkkoalustalle tilatessaan lääkkeitä, joita saadaan myydä vain apteekeissa, voi selvitä tietojen älyllisen yhdistämisen tai päättelyn avulla yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitetun rekisteröidyn terveydentilaa koskevia tietoja, siltä osin kuin tilaus saa aikaan yhteyden lääkkeen, sen lääkinnällisen tarkoituksen tai käyttötarkoituksen ja sen luonnollisen henkilön välille, joka on tunnistettu tai tunnistettavissa kyseisen henkilön nimen tai toimitusosoitteen kaltaisten seikkojen perusteella.

85

Ennakkoratkaisua pyytänyt tuomioistuin pohtii kuitenkin, onko sillä seikalla, että tilattujen lääkkeiden myynti ei edellytä lääkemääräystä, merkitystä, koska tällöin kyseiset lääkkeet voisi olla tarkoitettuja muille henkilöille kuin tilauksen tekevälle asiakkaalle.

86

Tältä osin on todettava, että direktiivin 95/46 8 artiklan 1 kohtaa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa sovellettaessa on niin, että kun apteekin pitäjä käsittelee henkilötietoja verkkoalustan välityksellä harjoitetun toiminnan yhteydessä, on selvitettävä, voiko kyseisistä tiedoista ilmetä johonkin näissä säännöksissä tarkoitettuun ryhmään kuuluvia tietoja riippumatta siitä, koskevatko kyseiset tiedot kyseisen alustan käyttäjää tai ketä tahansa muuta luonnollista henkilöä. Jos näin on, tällainen henkilötietojen käsittely on siis kiellettyä kyseisten säännösten 2 kohdassa säädetyin poikkeuksin (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537, 68 kohta).

87

Tähän lähtökohtaiseen kieltoon ei vaikuta se, onko kyseessä olevasta käsittelystä ilmenevä tieto paikkansapitävä, eikä se, onko apteekin pitäjän toiminnan tarkoituksena saada johonkin direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuun erityisryhmään kuuluvia tietoja. Kun nimittäin otetaan huomioon huomattavat riskit, joita kaikki näihin ryhmiin kuuluvien henkilötietojen käsittely aiheuttaa rekisteröityjen perusoikeuksille ja ‑vapauksille, kyseisten säännösten tarkoituksena on kieltää tämä käsittely riippumatta tavoitteesta, joka sillä on ilmoitettu olevan, ja siitä, pitävätkö nämä tiedot paikkansa (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537, 69 ja 70 kohta).

88

Tästä seuraa, että kun verkkoalustan käyttäjä tilatessaan lääkkeitä, joita saadaan myydä vain apteekeissa ja jotka eivät edellytä lääkemääräystä, luovuttaa henkilötietoja, apteekin pitäjän, joka myy näitä lääkkeitä kyseisen verkkoalustan välityksellä, suorittamaa näiden tietojen käsittelyä on pidettävä direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuna terveystietojen käsittelynä, koska kyseisestä henkilötietojen käsittelystä voi ilmetä luonnollisen henkilön terveydentilaa koskevia tietoja, riippumatta siitä, koskevatko kyseiset tiedot mainittua käyttäjää tai ketä tahansa muuta henkilöä, jota varten tämä tekee tilauksen (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537, 73 kohta).

89

Näiden säännösten tulkinta, joka johtaisi eron tekemiseen kyseessä olevien lääkkeiden tyypin ja sen seikan perusteella, edellyttääkö niiden myynti lääkemääräystä vai ei, ei nimittäin olisi johdonmukainen tämän tuomion 81 kohdassa mainitun korkeatasoista suojaa koskevan tavoitteen kanssa. Tällainen tulkinta olisi lisäksi ristiriidassa direktiivin 95/46 8 artiklan 1 kohdan ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan tarkoituksen kanssa, jona on varmistaa parempi suoja sellaista käsittelyä vastaan, joka sen kohteena olevien tietojen erityisen arkaluontoisuuden vuoksi voi merkitä – kuten erityisesti yleisen tietosuoja-asetuksen 51 perustelukappaleesta ilmenee – erityisen vakavaa puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin, jotka on taattu perusoikeuskirjan 7 ja 8 artiklassa (ks. vastaavasti tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 126 kohta oikeuskäytäntöviittauksineen).

90

Näin ollen tiedot, jotka apteekin pitäjän asiakkaat syöttävät myyntialustalle tilatessaan verkossa lääkkeitä, joita saadaan myydä vain apteekeissa mutta jotka eivät edellytä lääkemääräystä, ovat direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja terveystietoja, vaikka nämä lääkkeet on tarkoitettu näille asiakkaille vain tietyllä todennäköisyydellä mutta ei ehdottomalla varmuudella.

91

Ei sitä paitsi voida sulkea pois sitä, että vaikka tällaiset lääkkeet olisi tarkoitettu muille henkilöille kuin asiakkaille, nämä henkilöt on mahdollista tunnistaa ja heidän terveydentilastaan voidaan tehdä johtopäätöksiä. Näin voisi olla esimerkiksi silloin, kun kyseisiä lääkkeitä ei toimiteta ne tilanneen asiakkaan kotiin vaan toisen henkilön kotiin, tai kun asiakas on toimitusosoitteesta riippumatta viitannut tilauksessaan tai sitä koskevassa viestinnässään toiseen tunnistettavissa olevaan henkilöön, kuten perheenjäseneensä. Samoin silloin, kun tilauksessa vaaditaan asiakkaan tunnistamista ja/tai rekisteröintiä esimerkiksi perustamalla asiakastili tai liittymällä kanta-asiakasohjelmaan, ei ole poissuljettua, että asiakkaan tässä yhteydessä syöttämiä tietoja voitaisiin käyttää päätelmien tekemiseen paitsi tämän asiakkaan terveydentilasta myös toisen henkilön terveydentilasta, erityisesti yhdistettynä tilattuja lääkkeitä koskeviin tietoihin.

92

Kuten tämän tuomion 86 kohdassa on muistutettu, se, että pääasiassa kyseessä olevan kaltaiset tiedot ovat direktiivin 95/46 8 artiklan 1 kohdassa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja terveystietoja, ei ole esteenä – kuten muun muassa kyseisen asetuksen 53 perustelukappaleesta ilmenee – sille, että niitä voidaan käsitellä erityisesti terveydenhuoltopalvelujen ja ‑järjestelmien hallinnoinnin yhteydessä, jos jokin näiden säännösten 2 kohdassa säädetyistä edellytyksistä täyttyy.

93

Näin voi olla erityisesti yhtäältä silloin, kun rekisteröity antaa kyseisen 2 kohdan a alakohdan mukaisesti ja jollei muuta johdu siinä säädetystä poikkeuksesta nimenomaisen suostumuksensa yhteen tai useampaan kyseisten henkilötietojen käsittelyyn, jonka erityispiirteet ja erityiset tarkoitukset on ilmoitettu hänelle täsmällisesti, kattavasti ja helposti ymmärrettävällä tavalla. Toisaalta tällainen käsittely voi olla sallittua yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan perusteella, jos käsittely on tarpeen terveydenhuoltopalvelujen tarjoamiseksi unionin oikeuden, jäsenvaltion lainsäädännön tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti.

94

Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että direktiivin 95/46 8 artiklan 1 kohtaa ja yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa tulkittava siten, että tilanteessa, jossa apteekin pitäjä markkinoi verkkoalustan välityksellä lääkkeitä, joita saadaan myydä vain apteekeissa, tiedot, jotka kyseisen apteekin pitäjän asiakkaat syöttävät lääkkeiden verkossa tilaamisen yhteydessä, kuten heidän nimensä, toimitusosoitteensa ja lääkkeiden yksilöimiseksi tarvittavat tiedot, ovat näissä säännöksissä tarkoitettuja terveystietoja, myös silloin, kun näiden lääkkeiden myynti ei edellytä lääkemääräystä.

Oikeudenkäyntikulut

95

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.