–

ND, atstovaujamo Rechtsanwälte A. Datta, M. Mogendorf ir W. Spoerr,

–

DR, atstovaujamo Rechtsanwalt M. Bahmann,

–

Vokietijos vyriausybės, atstovaujamos J. Möller ir P.-L. Krüger,

–

Europos Komisijos, atstovaujamos A. Bouchagiar, F. Erlbacher ir H. Kranenborg,

1

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR) 9 straipsnio 1 dalies ir VIII skyriaus nuostatų ir 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 8 straipsnio 1 dalies išaiškinimo.

2

Šis prašymas pateiktas nagrinėjant ND ir DR, dviejų fizinių asmenų, kurių kiekvienas valdo po vieną vaistinę, ginčą dėl ND internetinėje platformoje vykdomos prekybos vaistais, kuriais prekiauti gali tik vaistinės.

Teisinis pagrindas

Sąjungos teisė

3

Direktyvos 95/46 8 straipsnyje „Ypatingų duomenų kategorijų tvarkymas“ nustatyta:

4

BDAR 9–11, 13, 35, 51, 53, 141 ir 142 konstatuojamosios dalys suformuluotos taip:

5

Šio reglamento 1 straipsnyje „Dalykas ir tikslai“ nustatyta:

6

Minėto reglamento 4 straipsnyje numatyta:

7

BDAR II skyriuje „Principai“ yra 5–11 straipsniai.

8

Šio reglamento 5 straipsnyje nustatyti su asmens duomenų tvarkymu susiję principai, o šio reglamento 6 straipsnyje nustatytos tokio tvarkymo teisėtumo sąlygos.

9

To paties reglamento 9 straipsnyje „Specialių kategorijų asmens duomenų tvarkymas“ nustatyta:

10

BDAR 51 straipsnio „Priežiūros institucija“ 1 dalyje numatyta:

11

BDAR VIII skyriuje „Teisių gynimo priemonės, atsakomybė ir sankcijos“ yra šio reglamento 77–84 straipsniai.

12

Šio reglamento 77 straipsnio „Teisė pateikti skundą priežiūros institucijai“ 1 dalyje nustatyta:

13

Minėto reglamento 78 straipsnio „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją“ 1 dalyje numatyta:

14

To paties reglamento 79 straipsnio „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš duomenų valdytoją arba duomenų tvarkytoją“ 1 dalyje nurodyta:

15

BDAR 80 straipsnis „Atstovavimas duomenų subjektams“ suformuluotas taip:

16

Šio reglamento 82 straipsnio „Teisė į kompensaciją ir atsakomybė“ 1 dalyje nustatyta:

17

Šio reglamento 83 straipsnio „Bendrosios administracinių baudų skyrimo sąlygos“ 1 dalyje numatyta:

18

Šio reglamento 84 straipsnio „Sankcijos“ 1 dalyje nustatyta:

19

BDAR 94 straipsnio 1 dalyje numatyta:

20

Šio reglamento 99 straipsnyje nustatyta:

Vokietijos teisė

Kovos su nesąžininga konkurencija įstatymas

21

Pagrindinės bylos aplinkybėms taikytinos redakcijos 2004 m. liepos 3 d. Gesetz gegen den unlauteren Wettbewerb (Kovos su nesąžininga konkurencija įstatymas; BGBl. 2004 I, p. 1414; toliau – UWG) 3 straipsnio „Nesąžiningos komercinės veiklos uždraudimas“ 1 dalyje numatyta:

22

UWG 3a straipsnis „Teisės pažeidimas“ suformuluotas taip:

23

UWG 8 straipsnyje „Pašalinimas ir įpareigojimas“ nustatyta:

Vaistų įstatymas

24

Prekybą vaistais reglamentuojama 1976 m. rugpjūčio 24 d. Gesetz über den Verkehr mit Arzneimitteln (Prekybos vaistais įstatymas; BGBl. 1976 I, p. 2444), pagrindinės bylos aplinkybėms taikytinoje jo redakcijoje, paskelbtoje 2005 m. gruodžio 12 d. (BGBl. 2005 I, p. 3394), daromas skirtumas tarp vaistinėse parduodamų ir receptinių vaistų, kuriems taikomas 48 straipsnis „Įpareigojimas dėl recepto“.

Pagrindinė byla ir prejudiciniai klausimai

25

Nuo 2017 m. ND, valdantis vaistinę prekiniu pavadinimu „Lindenapotheke“, internetinėje platformoje „Amazon-Marketplace“ (toliau – Amazon) prekiauja vaistais, kuriais prekiauti gali tik vaistinės. Užsisakydami šiuos vaistus internetu ND klientai turi pateikti informaciją, kaip antai vardą, pavardę, pristatymo adresą ir informaciją, būtiną šiems vaistams individualizuoti.

26

DR, kuris taip pat valdo vaistinę, kreipėsi į Landgericht Dessau-Roßlau (Desau-Roslau apygardos teismas, Vokietija) su ieškiniu, kuriuo prašė įpareigoti ND nutraukti prekybą Amazon svetainėje vaistais, kuriais gali prekiauti tik vaistinės, kol nebus užtikrinta, kad klientai gali duoti išankstinį sutikimą tvarkyti sveikatos duomenis, o nesilaikant įpareigojimo – skirti baudą.

27

Grįsdamas savo ieškinį DR nurodė, kad prekyba Amazon vaistais, kuriais gali prekiauti tik vaistinės, yra nesąžininga, nes buvo pažeisti teisiniai reikalavimai dėl kliento sutikimo, kurio reikalaujama pagal asmens duomenų apsaugos teisės aktus.

28

2018 m. kovo 28 d. sprendimu Landgericht Dessau-Roßlau (Desau-Roslau apygardos teismas) patenkino ieškinį.

29

ND pateikė apeliacinį skundą Oberlandesgericht Naumburg (Naumburgo aukštesnysis apygardos teismas, Vokietija), o šis 2019 m. lapkričio 7 d. sprendimu jį atmetė.

30

Apeliacinis teismas nusprendė, kad prekyba Amazon vaistais, kuriais gali prekiauti tik vaistinės, yra nesąžininga, taigi neteisėta veikla pagal UWG 3 straipsnio 1 dalį. Iš tiesų tokia prekyba vaistais reikštų sveikatos duomenų tvarkymą, kuris draudžiamas pagal BDAR 9 straipsnio 1 dalį, nesant aiškaus vaistus įsigyjančių klientų sutikimo pagal to reglamento 9 straipsnio 2 dalies a punktą. Minėtame reglamente numatytos taisyklės yra teisės nuostatos, skirtos elgesiui rinkoje reglamentuoti, kaip tai suprantama pagal UWG 3a straipsnį. Be to, pagal UWG 8 straipsnio 3 dalies 1 punktą DR, kaip konkurentas, turi teisę civilinių bylų teismuose remtis tuo, kad ND pažeidė šias taisykles, ir pateikti prašymą įpareigoti nutraukti veiksmus.

31

ND pateikė kasacinį skundą Bundesgerichtshof (Aukščiausiasis Federalinis Teismas, Vokietija), prašymą priimti prejudicinį sprendimą pateikusiam teismui.

32

Tas teismas pažymi, kad ginčo baigtis priklauso nuo BDAR VIII skyriaus nuostatų, taip pat šio reglamento 9 straipsnio 1 dalies ir Direktyvos 95/46 8 straipsnio 1 dalies išaiškinimo.

33

Pirma, prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar nuo 2018 m. gegužės 25 d., kai buvo panaikinta Direktyva 95/46, t. y. nuo dienos, kai BDAR tapo taikytinas, valstybės narės nacionalinėje teisėse vis dar gali numatyti, kad įmonės konkurentai, kaip antai nurodyti UWG 8 straipsnio 3 dalies 1 punkte, remdamiesi nesąžiningos komercinės veiklos draudimu, turi teisę pareikšti ieškinį civilinių bylų teisme, kad būtų nutraukti šios įmonės padaryti BDAR nuostatų pažeidimai.

34

Prašymą priimti prejudicinį sprendimą pateikęs teismas pažymi, kad į šį klausimą nacionaliniu lygmeniu pateikiami skirtingi atsakymai. Iš tiesų atsakymo į šį klausimą negalima vienareikšmiškai nustatyti nei iš BDAR VIII skyriaus nuostatų formuluotės, nei iš šių nuostatų bendros struktūros, nei iš minėtu reglamentu siekiamo tikslo.

35

Visų pirma dėl BDAR VIII skyriaus nuostatų formuluotės prašymą priimti prejudicinį sprendimą pateikęs teismas pabrėžia, kad, žinoma, šiose nuostatose niekur neminima įmonės konkurentų galimybė pareikšti jai ieškinį, ypač kai duomenų apsaugos teisės aktų pažeidimas yra nesąžininga komercinė veikla. Tačiau kartu minėtose nuostatose formaliai neatmetama tokia galimybė.

36

Be to, kiek tai susiję su BDAR VIII skyriaus nuostatų bendra struktūra, prašymą priimti prejudicinį sprendimą pateikęs teismas pažymi, kad, kaip Teisingumo Teismas nustatė 2022 m. balandžio 28 d. Sprendime Meta Platforms Ireland (C‑319/20, EU:C:2022:322, 57 punktas), šiuo reglamentu siekiama užtikrinti visišką nacionalinės teisės aktų, reglamentuojančių asmens duomenų apsaugą, suderinimą. Vis dėlto tai, kad BDAR 77 straipsnio 1 dalyje, 78 straipsnio 1 ir 2 dalyse ir 79 straipsnio 1 dalyje yra žodžių junginys „nedarant poveikio galimybei imtis kitų <…> priemonių“, gali trukdyti daryti išvadą, kad teisės taikymo kontrolė buvo išsamiai reglamentuota.

37

Galiausiai, prašymą priimti prejudicinį sprendimą pateikęs teismas pabrėžia, kad tai, jog konkurentai gali turėti locus standi pagal konkurencijos teisę, taigi ir taikyti duomenų apsaugos teisės nuostatas, viršijant BDAR numatytas priemones, gali prieštarauti BDAR siekiamam suderinimo tikslui ir visų pirma tikslui suvienodinti teisės taikymo Sąjungoje kontrolės lygį. Neaišku, ar minėtame reglamente numatyta teisės taikymo kontrolės sistema turi spragą, kurią turėtų panaikinti konkurentams pripažinta galimybė turėti locus standi pagal konkurencijos teisę. Priežiūros institucijų ir civilinių bylų teismų konkurencija duomenų apsaugos teisės taikymo priežiūros srityje gali pakenkti priežiūros institucijų įgaliojimams ir lemti duomenų apsaugos teisės taikymo priežiūros skirtumus Sąjungoje.

38

Be to, prašymą priimti prejudicinį sprendimą pateikusio teismo teigimu, leidimas konkurentams veikti pagal konkurencijos teisę galėtų būti papildoma galimybė kontroliuoti teisės taikymą, o tai būtų pageidautina pagal veiksmingumo principą („veiksmingumas“), siekiant užtikrinti kuo aukštesnį asmens duomenų apsaugos lygį, kaip nurodyta BDAR 10 konstatuojamojoje dalyje.

39

Prašymą priimti prejudicinį sprendimą pateikęs teismas patikslina, kad šis klausimas nebuvo išaiškintas Teisingumo Teismo jurisprudencijoje ir kad visų pirma 2022 m. balandžio 28 d. Sprendime Meta Platforms Ireland (C‑319/20, EU:C:2022:322) Teisingumo Teismas aiškiai paliko neatsakytą klausimą dėl konkurento teisės pareikšti ieškinį.

40

Antra, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar duomenys, kuriuos klientai turi pateikti elektroninės prekybos platformoje užsisakydami vaistų, kaip antai jų vardai, pavardės, pristatymo adresas ir užsakytiems vaistams individualizuoti reikalinga informacija, yra „sveikatos duomenys“, kaip jie suprantami pagal Direktyvos 95/46 8 straipsnio 1 dalį ir BDAR 9 straipsnio 1 dalį.

41

To teismo teigimu, atsakymas į šį klausimą nėra akivaizdus tuo atveju, kai užsakomiems vaistams nereikia gydytojo recepto. Iš tiesų tokiu atveju negalima atmesti galimybės, kad vaistai skirti ne patiems klientams, o tretiesiems asmenims, kurių tapatybės negalima nustatyti.

42

Prašymą priimti prejudicinį sprendimą pateikęs teismas pabrėžia, kad vien šių nuostatų ir BDAR 4 straipsnio 15 punkto, siejamo su šio reglamento 35 konstatuojamąja dalimi, formuluotės neleidžia atsakyti į šį klausimą.

43

Vis dėlto 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601) 125 punkte Teisingumo Teismas nustatė, kad Direktyvos 95/46 8 straipsnio 1 dalyje ir BDAR 9 straipsnio 1 dalyje vartojama sąvoka „specialių kategorijų asmens duomenys“ turi būti aiškinama plačiai, atsižvelgiant į šio reglamento tikslą užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų privataus gyvenimo tvarkant jų asmens duomenis, apsaugos lygį. Jei būtų pritarta tokiam plačiam šios sąvokos aiškinimui, būtų galima daryti išvadą, kad tokia informacija yra sveikatos duomenys, jeigu nėra aišku, o tik tikėtina, kad vaistus užsakantys klientai yra asmenys, kuriems jie skirti.

44

Prašymą priimti prejudicinį sprendimą pateikęs teismas patikslino, kad teisė reikalauti nutraukti veiksmus, kuria remiasi DR, suponuoja, kad nagrinėjama ND veikla buvo neteisėta tiek tuomet, kai buvo vykdoma, tiek vykstant teismo posėdžiui kasacinėje instancijoje, ir kad pirmasis iš šių momentų vis dar buvo reglamentuojamas Direktyvos 95/46 8 straipsnio 1 dalimi, o antrasis patenka į BDAR 9 straipsnio 1 dalies taikymo sritį.

45

Šiomis aplinkybėmis Bundesgerichtshof (Aukščiausiasis Federalinis Teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

Dėl prejudicinių klausimų

Dėl pirmojo klausimo

46

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar BDAR VIII skyriaus nuostatos turi būti aiškinamos taip, kad pagal jas draudžiamos nacionalinės teisės nuostatos, kuriomis (kartu su priežiūros institucijų, atsakingų už šio reglamento priežiūrą ir taikymą, įgaliojimais imtis veiksmų ir kartu su duomenų subjektų galimybėmis pareikšti ieškinį) tariamo asmens duomenų apsaugos pažeidėjo konkurentams suteikiama teisė pareikšti ieškinį civilinių bylų teismuose dėl minėto reglamento pažeidimo, remiantis nesąžiningos komercinės veiklos draudimu.

47

Pirmiausia reikia priminti, kad BDAR VIII skyriuje, be kita ko, reglamentuojamos teisių gynimo priemonės, leidžiančios apsaugoti duomenų subjekto teises, kai jo asmens duomenys buvo tvarkomi tariamai pažeidžiant šio reglamento nuostatas. Taigi šių teisių apsaugos gali tiesiogiai reikalauti: pagal šio reglamento 77–79 straipsnius duomenų subjektas arba pagal minėto reglamento 80 straipsnį atitinkamą teisę turintis – šiuo tikslu įgaliotas arba neįgaliotas – asmuo (šiuo klausimu žr. 2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 53 punktas).

48

Viena vertus, BDAR 77 straipsnio 1 dalyje numatyta, kad, neapribojant galimybių imtis kitų administracinių arba teisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai. Be to, pagal šio reglamento 78 straipsnio 1 dalį kiekvienas fizinis ar juridinis asmuo turi teisę imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros institucijos dėl jo priimtą teisiškai privalomą sprendimą, „nedarant poveikio galimybei imtis kitų administracinių arba neteisminių teisių gynimo priemonių“. Galiausiai to paties reglamento 79 straipsnio 1 dalyje kiekvienam duomenų subjektui garantuojama teisė imtis veiksmingų teisminių teisių gynimo priemonių, nedarant poveikio galimybei imtis bet kokių galimų administracinių arba neteisminių teisių gynimo priemonių, įskaitant teisę pateikti skundą priežiūros institucijai pagal to paties reglamento 77 straipsnį.

49

Kita vertus, pagal BDAR 80 straipsnio 1 dalį duomenų subjektas turi teisę tam tikromis sąlygomis įgalioti ne pelno įstaigą, organizaciją ar asociaciją pateikti skundą arba jo vardu naudotis šio reglamento 77–79 straipsniuose nurodytomis teisėmis. Galiausiai pagal to paties reglamento 80 straipsnio 2 dalį valstybės narės gali numatyti, kad bet kuri įstaiga, organizacija ar asociacija, nepriklausomai nuo duomenų subjekto suteiktų įgaliojimų, atitinkamoje valstybėje narėje turi teisę paduoti tokį skundą priežiūros institucijai ir pasinaudoti šiomis teisėmis, jeigu mano, kad tvarkant asmens duomenis buvo pažeistos šiame reglamente numatytos duomenų subjekto teisės.

50

Nagrinėjamu atveju iš Teisingumo Teismo turimos bylos medžiagos matyti, kad ND, kuris valdo vaistinę, Amazon prekiauja vaistais, kuriais gali prekiauti tik vaistinės, ir kad pirkdami šiuos vaistus internetu klientai turi pateikti duomenis, kaip antai savo vardą, pavardę, pristatymo adresą ir informaciją, būtiną minėtiems vaistams individualizuoti. Vis dėlto ieškinį pagrindinėje byloje civilinių bylų teisme pareiškė ne šie klientai, kurie yra duomenų subjektai, kaip tai suprantama pagal BDAR 4 straipsnio 1 punktą, remdamiesi šio reglamento 79 straipsniu, ir ne įgaliota įstaiga, organizacija ar asociacija, pagal šio reglamento 80 straipsnį turėdama šiuo tikslu iš duomenų subjekto gautą įgaliojimą ar jo neturėdama, bet šio vaistininko konkurentas, remdamasis nesąžiningos komercinės veiklos draudimu, dėl vaistininko tariamai padarytų BDAR nuostatų pažeidimų.

51

Taigi pagrindinėje byloje kyla klausimas, ar pagal BDAR draudžiama, kad konkurentas, kaip antai DR, kuris nėra duomenų subjektas, kaip tai suprantama pagal šio reglamento 4 straipsnio 1 punktą, turėtų teisę pareikšti tokį ieškinį nacionaliniuose civilinių bylų teismuose.

52

Šiuo klausimu reikia priminti, kad aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos formuluotę, bet ir į kontekstą bei teisės akto, kuriame ji įtvirtinta, tikslus (2023 m. sausio 12 d. Sprendimo Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 32 punktas).

53

Dėl BDAR VIII skyriaus nuostatų formuluotės reikia konstatuoti, kad nė vienoje iš jų aiškiai neatmetama galimybė, kad įmonės konkurentas pareikštų ieškinį civilinių bylų teismuose tokiai įmonei, remdamasis nesąžiningos komercinės veiklos draudimu, dėl to, kad ši įmonė tariamai pažeidė šiame reglamente numatytas pareigas. Priešingai, iš BDAR 77 straipsnio 1 dalies, 78 straipsnio 1 dalies ir 79 straipsnio 1 dalies formuluočių, primintų šio sprendimo 48 punkte, matyti, kad šiose nuostatose numatyta teisė pateikti skundą priežiūros institucijai ir teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš tokią instituciją ir duomenų valdytoją arba duomenų tvarkytoją suprantama kaip „nedarant[i] poveikio“ jokioms kitoms administracinėms, teisminėms ar neteisminėms teisių gynimo priemonėms.

54

Kiek tai susiję su BDAR VIII skyriaus kontekstu, reikia pažymėti, kad šio reglamento II skyriuje įtvirtintos materialinės nuostatos, susijusios su, be kita ko, jo 5 straipsnyje įtvirtintais asmens duomenų tvarkymo principais ir jo 6 straipsnyje įtvirtintomis duomenų tvarkymo teisėtumo sąlygomis, kurios turi užtikrinti visišką pagal SESV 16 straipsnio 1 dalį ir Chartijos 8 straipsnį garantuojamos pagrindinės duomenų subjektų teisės į asmens duomenų apsaugą paisymą. Tai, kad BDAR VIII skyriuje nėra nuostatų, kuriose būtų numatyta, kad įmonės, kuri tariamai pažeidė šias materialines nuostatas, konkurentai gali pareikšti ieškinį, siekdami, kad šis pažeidimas būtų nutrauktas, paaiškinama tuo, kad, kaip išvados 80 punkte pažymėjo generalinis advokatas, šiuo reglamentu užtikrinama asmens duomenų apsauga taikoma tik duomenų subjektams, o ne konkurentams.

55

Vis dėlto, nors minėtų materialinių nuostatų pažeidimas pirmiausia gali paveikti su nagrinėjamais duomenimis susijusius asmenis, jis taip pat gali pakenkti tretiesiems asmenims, o tai matyti iš to, kad pagal BDAR 82 straipsnio 1 dalį teisę į kompensaciją turi „[b]et kuris asmuo, patyręs materialinę ar nematerialinę [turtinę ar neturtinę] žalą dėl šio reglamento pažeidimo“. Teisingumo Teismas taip pat jau turėjo galimybę konstatuoti, kad asmens duomenų apsaugos nuostatos pažeidimas kartu gali lemti vartotojų apsaugos ar nesąžiningos komercinės veiklos nuostatų pažeidimą (2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 78 punktas) ir būti svarbus požymis vertinant piktnaudžiavimą dominuojančia padėtimi, kaip tai suprantama pagal SESV 102 straipsnį (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 47 ir 62 punktus).

56

Šiomis aplinkybėmis svarbu priminti, kad prieiga prie asmens duomenų ir jų naudojimas yra labai svarbūs skaitmeninei ekonomikai. Iš tiesų prieiga prie asmens duomenų ir galimybė juos tvarkyti tapo svarbiu įmonių konkurencijos veiksniu skaitmeninėje ekonomikoje. Vadinasi, siekiant atsižvelgti į realią ekonominę raidą ir užtikrinti sąžiningą konkurenciją, gali prireikti atsižvelgti į asmens duomenų apsaugos taisykles taikant konkurencijos teisę ir taisykles, susijusias su nesąžininga komercine veikla (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 50 ir 51 punktus).

57

Be to, nors iš BDAR 1 straipsnio 1 dalies, siejamos, be kita ko, su jo 9 ir 13 konstatuojamosiomis dalimis, matyti, kad šiuo reglamentu siekiama užtikrinti iš esmės visišką nacionalinės teisės aktų, reglamentuojančių asmens duomenų apsaugą, suderinimą, vis dėlto keliose šio reglamento nuostatose aiškiai numatyta galimybė valstybėms narėms numatyti papildomas, griežtesnes ar leidžiančias nukrypti nacionalines nuostatas, kurios suteikia joms diskreciją dėl galimo šių nuostatų įgyvendinimo būdo („leidžiančioji nuostata“) (2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 57 punktas).

58

Teisingumo Teismas jau yra nusprendęs, kad tai pasakytina, be kita ko, apie BDAR 80 straipsnio 2 dalį, pagal kurią valstybėms narėms paliekama diskrecija dėl jos įgyvendinimo ir nedraudžiamos nacionalinės teisės nuostatos, pagal kurias vartotojų teisių gynimo asociacijai leidžiama tariamam asmens duomenų apsaugos pažeidėjui pareikšti ieškinį neturint šiuo tikslu suteikto įgaliojimo ir nepriklausomai nuo konkrečių duomenų subjekto teisių pažeidimo, remiantis tuo, kad buvo pažeistas nesąžiningos komercinės veiklos draudimas, jeigu atitinkamai tvarkant duomenis gali būti daroma įtaka iš šio reglamento asmens, kurio tapatybė nustatyta arba gali būti nustatyta, kildinamoms teisėms (2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 59 ir 83 punktai).

59

Žinoma, BDAR VIII skyriaus nuostatose konkrečiai nenumatyta tokia leidžiančioji nuostata, kuri aiškiai leistų valstybėms narėms numatyti įmonės, tariamai pažeidžiančios šio reglamento materialines nuostatas, konkurentui galimybę pareikšti ieškinį, siekiant, kad pažeidimas būtų nutrauktas.

60

Vis dėlto iš šio VIII skyriaus nuostatų teksto ir konteksto, primintų šio sprendimo 53–58 punktuose, matyti, kad priimdamas minėtą reglamentą Sąjungos teisės aktų leidėjas neketino visiškai suderinti teisių gynimo priemonių, kuriomis galima pasinaudoti pažeidus BDAR nuostatas, ir, be kita ko, nenorėjo panaikinti tokios teisių gynimo galimybės tariamo asmens duomenų apsaugos pažeidėjo konkurentams pagal nacionalinę teisę, remiantis nesąžiningos komercinės veiklos draudimu.

61

Tokį aiškinimą patvirtina BDAR, kuriuo, kaip matyti, be kita ko, iš jo 10 konstatuojamosios dalies, siekiama užtikrinti nuoseklų ir aukštą fizinių asmenų apsaugos tvarkant asmens duomenis lygį ir pašalinti asmens duomenų judėjimo kliūtis Sąjungoje, tikslai. Be to, šio reglamento 11 konstatuojamojoje dalyje nurodyta, kad, siekiant veiksmingos asmens duomenų apsaugos, reikia ne tik sustiprinti ir išsamiai nustatyti duomenų subjektų teises ir asmens duomenis tvarkančių ir jų tvarkymą nustatančių subjektų prievoles, bet ir valstybėse narėse suteikti lygiaverčius įgaliojimus stebėti ir užtikrinti asmens duomenų apsaugos taisyklių laikymąsi ir nustatyti lygiavertes sankcijas dėl pažeidimų. Minėto reglamento 13 konstatuojamojoje dalyje patikslinta, kad siekiant užtikrinti vienodo lygio fizinių asmenų apsaugą visoje Sąjungoje ir neleisti atsirasti skirtumams, kurie kliudo laisvam asmens duomenų judėjimui vidaus rinkoje, reikia priimti reglamentą, kuriuo būtų užtikrintas teisinis tikrumas ir skaidrumas ekonominės veiklos vykdytojams, kuriuo fiziniams asmenims visose valstybėse narėse būtų užtikrintos vienodo lygio teisiškai įgyvendinamos teisės, o duomenų valdytojams ir duomenų tvarkytojams būtų nustatytos vienodo lygio prievolės bei atsakomybė ir kuriuo būtų užtikrinta nuosekli asmens duomenų tvarkymo stebėsena ir lygiavertės sankcijos visose valstybėse narėse.

62

Įmonės konkurentui suteikta galimybė pareikšti ieškinį civilinių bylų teismuose remiantis nesąžiningos komercinės veiklos draudimu, siekiant, kad būtų nutrauktas BDAR materialinių nuostatų pažeidimas, kurį tariamai padarė ši įmonė, ne tik nepažeidžia šių tikslų, bet, priešingai, gali sustiprinti šių nuostatų veiksmingumą ir šiuo reglamentu siekiamą aukštą duomenų subjektų apsaugos tvarkant jų asmens duomenis lygį.

63

Iš tiesų ieškinys dėl veiksmų nutraukimo, kurį konkurentas pareiškia įmonei remdamasis nesąžiningo komercinės veiklos draudimu dėl tariamo BDAR materialinių nuostatų pažeidimo, nedaro jokios žalos nei šio reglamento VIII skyriuje numatytai teisių gynimo priemonių sistemai, nei tikslui užtikrinti nuoseklų fizinių asmenų apsaugos lygį visoje Sąjungoje ir išvengti, kad skirtumai trukdytų laisvam asmens duomenų judėjimui vidaus rinkoje.

64

Žinoma, toks ieškinys, nors ir netiesiogiai, gali būti grindžiamas tų pačių BDAR nuostatų, kuriomis gali būti grindžiamas duomenų subjektų arba įstaigos, organizacijos ar asociacijos, kaip jos suprantamos pagal šio reglamento 80 straipsnį, pagal minėto reglamento 77–79 straipsnius pareikštas skundas ar ieškinys, pažeidimu.

65

Vis dėlto, pirma, skirtingai nuo BDAR 77–80 straipsnių, konkurento pareikštu ieškiniu dėl veiksmų nutraukimo siekiama ne apsaugoti duomenų subjektų pagrindines teises ir laisves tvarkant jų asmens duomenis, o užtikrinti sąžiningą konkurenciją, be kita ko, šio konkurento naudai.

66

Antra, konkurentui suteikta galimybė pareikšti ieškinį civilinių bylų teismuose remiantis nesąžiningos komercinės veiklos draudimu papildo BDAR 77–79 straipsniuose įtvirtintas teisių gynimo priemones, kurios visiškai išsaugomos ir kuriomis visada gali pasinaudoti duomenų subjektai, taip pat prireikus įstaigos, organizacijos ar asociacijos, kaip jos suprantamos pagal šio reglamento 80 straipsnį.

67

Konkrečiai kalbant, kaip pažymėjo Vokietijos vyriausybė, teisių gynimo priemonių koegzistavimas duomenų apsaugos ir konkurencijos teisės srityse nekelia pavojaus vienodam BDAR taikymui. Šiomis aplinkybėmis reikia pažymėti, kad iš šio reglamento 77–80 straipsnių išplaukia, kad jame nėra numatyta nei prioritetinė ar išimtinė kompetencija, nei kokia nors taisyklė, pagal kurią jame nurodytos institucijos ar teismų atliktam vertinimui dėl galimo minėtu reglamentu suteiktų teisių pažeidimo būtų teikiama pirmenybė (šiuo klausimu žr. 2023 m. sausio 12 d. Sprendimo Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 35 punktą). Vadinasi, tai, kad ieškinį dėl veiksmų nutraukimo civilinių bylų teismuose pareiškia tariamo asmens duomenų apsaugos pažeidėjo konkurentas, nepažeidžia BDAR VIII skyriuje įtvirtintos teisių gynimo priemonių sistemos. Be to, kaip pažymėjo minėta vyriausybė, vienodas šio reglamento materialinių nuostatų, kurias tam pačiam pažeidimui gali taikyti tiek priežiūros institucija ir teismai, į kuriuos kreiptasi pagal šio reglamento 77–80 straipsnius, tiek teismai, į kuriuos kreipėsi toks konkurentas, remdamasis nesąžiningos komercinės veiklos draudimu, aiškinimas užtikrinamas SESV 267 straipsnyje numatyta prašymo priimti prejudicinį sprendimą pateikimo procedūra.

68

Trečia, kaip išvados 104 punkte iš esmės pažymėjo generalinis advokatas, tai, kad kiti asmenys nei duomenų subjektai, taip pat įstaigos, organizacijos ir asociacijos, kaip jos suprantamos pagal šio reglamento 80 straipsnį, gali remtis BDAR materialinėmis nuostatomis, netrukdo pasiekti tikslo užtikrinti nuoseklų fizinių asmenų apsaugos lygį visoje Sąjungoje ir išvengti, kad skirtumai trukdytų laisvam asmens duomenų judėjimui vidaus rinkoje. Net jei valstybės narės tokios galimybės nenumatytų, duomenų apsaugos įgyvendinimas Sąjungoje nebūtų fragmentiškas, nes BDAR materialinės nuostatos vienodai taikomos visiems duomenų valdytojams, kaip tai suprantama pagal šio reglamento 4 straipsnio 7 punktą, o jų laikymasis užtikrinamas šiame reglamente numatytomis teisių gynimo priemonėmis.

69

Dėl tikslo užtikrinti veiksmingą duomenų subjektų apsaugą tvarkant jų asmens duomenis ir dėl BDAR materialinių nuostatų veiksmingumo reikia konstatuoti, kad nors tariamo asmens duomenų apsaugos pažeidėjo konkurento pareikštu ieškiniu dėl veiksmų nutraukimo siekiama, kaip pažymėta šio sprendimo 65 punkte, ne šio tikslo, o užtikrinti sąžiningą konkurenciją, vis dėlto jis neabejotinai prisideda prie šių nuostatų laikymosi, taigi ir prie duomenų subjektų teisių stiprinimo bei aukšto lygio apsaugos užtikrinimo (šiuo klausimu žr. 2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 74 punktą).

70

Be to, konkurento ieškinys dėl veiksmų nutraukimo, kaip ir vartotojų teisių gynimo asociacijų ieškinys, gali būti ypač veiksmingas užtikrinant tokią apsaugą, nes jis gali užkirsti kelią dideliam duomenų subjektų teisių pažeidimų tvarkant jų asmens duomenis skaičiui (šiuo klausimu žr. 2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 75 punktą).

71

Darytina išvada, kad šio sprendimo 60 punkte pateiktas aiškinimas atitinka reikalavimus, kylančius iš SESV 16 straipsnio 1 dalies ir Chartijos 8 straipsnio, taigi ir BDAR siekiamą tikslą – užtikrinti veiksmingą fizinių asmenų pagrindinių teisių ir laisvių apsaugą ir, be kita ko, aukštą kiekvieno asmens teisės į savo asmens duomenų apsaugą apsaugos lygį (šiuo klausimu žr. 2022 m. balandžio 28 d. Sprendimo Meta Platforms Ireland, C‑319/20, EU:C:2022:322, 73 punktą).

72

Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar tariamas pagrindinėje byloje nagrinėjamų BDAR materialinių nuostatų pažeidimas, jeigu jis bus nustatytas, taip pat yra nesąžiningos komercinės veiklos draudimo, numatyto taikytinuose nacionalinės teisės aktuose, pažeidimas.

73

Atsižvelgiant į tai, kas išdėstyta, į pirmąjį klausimą reikia atsakyti: BDAR VIII skyriaus nuostatos turi būti aiškinamos taip, kad pagal jas nedraudžiamos nacionalinės teisės nuostatos, kuriomis (kartu su priežiūros institucijų, atsakingų už šio reglamento priežiūrą ir taikymą, įgaliojimais imtis veiksmų ir kartu su duomenų subjektų galimybėmis pareikšti ieškinį) tariamo asmens duomenų apsaugos pažeidėjo konkurentams suteikiama teisė pareikšti ieškinį civilinių bylų teismuose dėl minėto reglamento pažeidimo remiantis nesąžiningos komercinės veiklos draudimu.

Dėl antrojo klausimo

74

Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 95/46 8 straipsnio 1 dalis ir BDAR 9 straipsnio 1 dalis turi būti aiškinamos taip, kad tuo atveju, kai vaistinės valdytojas internetinėje platformoje prekiauja vaistais, kuriais gali prekiauti tik vaistinės, informacija, kurią šio valdytojo klientai pateikia internetu užsisakydami vaistų, kaip antai jų vardas, pavardė, pristatymo adresas ir informacija, reikalinga vaistams individualizuoti, yra sveikatos duomenys, kaip jie suprantami pagal šias nuostatas, net jei parduodant šiuos vaistus nereikia gydytojo recepto.

75

Direktyvos 95/46 8 straipsnio 1 dalyje ir BDAR 9 straipsnio 1 dalyje (jos laikomos turinčiomis panašią taikymo sritį aiškinimo, kurį Teisingumo Teismas turi pateikti šioje byloje, tikslais (2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 58 ir 117 punktai) ir, kaip nurodyta šių straipsnių pavadinime, yra susijusios su „specialių kategorijų“ asmens duomenų tvarkymu) įtvirtintas tokių duomenų tvarkymo draudimo principas. Iš tiesų, kaip nurodyta to paties reglamento 51 konstatuojamojoje dalyje, asmens duomenims, kurie dėl savo pobūdžio yra ypač jautrūs pagrindinių teisių ir laisvių atžvilgiu, turi būti užtikrinta ypatinga apsauga, nes atsižvelgiant į jų tvarkymo kontekstą galėtų kilti didelis pavojus šioms teisėms ir laisvėms.

76

Tarp šių specialių asmens duomenų kategorijų, kurių sąrašas pateiktas Direktyvos 95/46 8 straipsnio 1 dalyje ir BDAR 9 straipsnio 1 dalyje, yra sveikatos duomenys. Pagal šio reglamento 4 straipsnio 15 punktą, siejamą su minėto reglamento 35 konstatuojamąja dalimi, šie duomenys apima visus asmens duomenis, susijusius su buvusia, esama ar būsima fizine ar psichine fizinio asmens sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą šiam asmeniui.

77

Be to, iš BDAR 4 straipsnio 1 punkto, be kita ko, matyti, kad „asmens duomenys“ – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti, ir kad tam, kad būtų galima nustatyti „tapatybę“, pakanka, kad ją būtų galima tiesiogiai arba netiesiogiai nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.

78

Vadinasi, kai duomenys apie vaistų pirkimus leidžia daryti išvadas apie asmens, kurio tapatybė yra nustatyta arba gali būti nustatyta, sveikatos būklę, jie turi būti laikomi sveikatos duomenimis, kaip tai suprantama pagal BDAR 4 straipsnio 15 punktą.

79

Nagrinėjamu atveju iš Teisingumo Teismo turimos bylos medžiagos matyti, kad ND klientai, užsisakydami Amazon vaistų, kuriais gali prekiauti tik vaistinės, pateikia tokią informaciją, kaip jų vardai, pavardės, pristatymo adresas ir informacija, būtina vaistui individualizuoti. Tokia informacija neabejotinai yra „asmens duomenys“, nes ji susijusi su fiziniais asmenimis, kurių tapatybė yra arba gali būti nustatyta.

80

Šiomis aplinkybėmis reikia nustatyti, ar tokie duomenys gali atskleisti informaciją apie šių asmenų sveikatos būklę, kaip tai suprantama pagal BDAR 4 straipsnio 15 punktą, taigi ar jie yra sveikatos duomenys, kaip tai suprantama pagal Direktyvos 95/46 8 straipsnio 1 dalį ir šio reglamento 9 straipsnio 1 dalį.

81

Šiuo klausimu Teisingumo Teismas jau yra nusprendęs, jog, atsižvelgiant į Direktyvos 95/46 ir BDAR tikslą užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų privataus gyvenimo, apsaugos lygį tvarkant su jais susijusius asmens duomenis, šio reglamento 9 straipsnio 1 dalyje vartojama sąvoka „sveikatos duomenys“ (ji atitinka šios direktyvos 8 straipsnio 1 dalyje vartojamą sąvoką „duomenys apie asmens sveikatą“) turi būti aiškinama plačiai (šiuo klausimu žr. 2003 m. lapkričio 6 d. Sprendimo Lindqvist, C‑101/01, EU:C:2003:596, 50 punktą ir 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 125 punktą).

82

Konkrečiai kalbant, šių nuostatų negalima aiškinti taip, kad asmens duomenų, galinčių netiesiogiai atskleisti su fiziniu asmeniu susijusią jautrią informaciją, tvarkymui netaikoma šiose nuostatose numatyta sustiprintos apsaugos sistema, nebent taip būtų pakenkta šios sistemos veiksmingumui ir fizinių asmenų pagrindinių laisvių ir teisių apsaugai, kurią ja siekiama užtikrinti (2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 127 punktas).

83

Taigi tam, kad asmens duomenys galėtų būti laikomi sveikatos duomenimis, kaip tai suprantama pagal Direktyvos 95/46 8 straipsnio 1 dalį ir BDAR 9 straipsnio 1 dalį, pakanka, kad juos lyginant ar dedukcijos būdu būtų galima atskleisti informaciją apie duomenų subjekto sveikatos būklę (šiuo klausimu žr. 2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 123 punktą).

84

Kliento pateikiami duomenys, šiam internetinėje platformoje užsakant vaistų, kuriuos gali parduoti tik vaistinės, gali lyginami ar dedukcijos būdu atskleisti informaciją apie duomenų subjekto sveikatos būklę, kaip tai suprantama pagal BDAR 4 straipsnio 1 punktą, nes šis užsakymas reiškia, kad turi būti nustatytas ryšys tarp vaisto, jo terapinių indikacijų ar naudojimo ir fizinio asmens, kurio tapatybė nustatyta arba gali būti nustatyta pagal tokius požymius, kaip šio asmens vardas ir pavardė arba pristatymo adresas.

85

Vis dėlto prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar svarbu tai, kad užsakytiems vaistams parduoti nereikalingas gydytojo receptas, nes tokiu atveju šie vaistai gali būti skirti ne užsakymą pateikiančiam klientui, o tretiesiems asmenims.

86

Šiuo klausimu reikia pažymėti, kad, siekiant taikyti Direktyvos 95/46 8 straipsnio 1 dalį ir BDAR 9 straipsnio 1 dalį, tuo atveju, kai asmens duomenis vaistinės valdytojas tvarko vykdydamas veiklą per elektroninę platformą, svarbu patikrinti, ar šie duomenys leidžia atskleisti informaciją, patenkančią į vieną iš šioje nuostatoje nurodytų kategorijų, ir ar ši informacija susijusi su šios platformos naudotoju ar bet kuriuo kitu fiziniu asmeniu. Jeigu taip, toks asmens duomenų tvarkymas draudžiamas, išskyrus BDAR 9 straipsnio 2 dalyje numatytas išimtis (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 68 punktą).

87

Šis principinis draudimas nepriklauso nuo to, ar taip tvarkant duomenis nustatyta informacija yra tiksli ir ar toks vaistinės valdytojas veikia siekdamas gauti informaciją, patenkančią į vieną iš Direktyvos 95/46 8 straipsnio 1 dalyje ir BDAR 9 straipsnio 1 dalyje numatytų specialių kategorijų. Atsižvelgiant į didelį pavojų duomenų subjektų pagrindinėms teisėms ir laisvėms, kurį kelia bet koks šių kategorijų asmens duomenų tvarkymas, šių nuostatų tikslas – uždrausti tokį tvarkymą, nepaisant tikslo, dėl kurio jie tvarkomis, ir atitinkamos informacijos tikslumo (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 69 ir 70 punktus).

88

Darytina išvada, kad tuo atveju, kai elektroninės platformos naudotojas pateikia asmens duomenis užsakydamas vaistų, kuriuos gali parduoti tik vaistinės ir kuriems parduoti nereikia gydytojo recepto, šių duomenų tvarkymas, kurį atlieka vaistinės valdytojas, parduodantis šiuos vaistus per šią internetinę platformą, turi būti laikomas sveikatos duomenų tvarkymu, kaip tai suprantama pagal Direktyvos 95/46 8 straipsnio 1 dalį ir BDAR 9 straipsnio 1 dalis, nes toks duomenų tvarkymas atskleidžia informaciją apie fizinio asmens sveikatos būklę, nesvarbu, ar ši informacija susijusi su šiuo naudotoju, ar su bet kuriuo kitu asmeniu, dėl kurio jis pateikia užsakymą (šiuo klausimu žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), C‑252/21, EU:C:2023:537, 73 punktą).

89

Iš tiesų šių nuostatų aiškinimas, kuriuo remiantis būtų daromas skirtumas atsižvelgiant į atitinkamų vaistų rūšį ir tai, ar jais prekiauti reikalingas gydytojo receptas, neatitiktų šio sprendimo 81 punkte priminto aukšto apsaugos lygio tikslo. Toks aiškinimas prieštarautų Direktyvos 95/46 8 straipsnio 1 dalies ir BDAR 9 straipsnio 1 dalies tikslui užtikrinti didesnę apsaugą nuo duomenų tvarkymo, kuris dėl ypatingo tvarkomų duomenų jautrumo gali, kaip matyti iš BDAR 51 konstatuojamosios dalies, labai stipriai suvaržyti Chartijos 7 ir 8 straipsniuose garantuojamas pagrindines teises į privataus gyvenimo gerbimą ir asmens duomenų apsaugą (2022 m. rugpjūčio 1 d. Sprendimo Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, 126 punktas ir jame nurodyta jurisprudencija).

90

Vadinasi, informacija, kurią vaistinės valdytojo klientai pateikia internetu užsisakydami vaistų, kuriais gali prekiauti tik vaistinės ir kuriems parduoti nereikia gydytojo recepto, yra sveikatos duomenys, kaip jie suprantami pagal Direktyvos 95/46 8 straipsnio 1 dalį ir BDAR 9 straipsnio 1 dalį, net jei tik tikėtina, bet neabsoliučiai aišku, kad šie vaistai skirti juos užsakiusiems klientams.

91

Be to, negalima atmesti galimybės, kad net tuo atveju, kai tokie vaistai užsakomi kitiems asmenims nei minėti klientai, galima nustatyti šių asmenų tapatybę ir padaryti išvadas apie jų sveikatos būklę. Taip galėtų būti, pavyzdžiui, tuo atveju, kai nagrinėjami vaistai pristatomi ne į kliento, kuris juos užsisakė, gyvenamąją vietą, o į kito asmens gyvenamąją vietą arba kai, neatsižvelgiant į pristatymo adresą, klientas savo užsakyme arba su juo susijusiuose pranešimuose nurodė kitą asmenį, kurio tapatybė gali būti nustatyta, pavyzdžiui, savo šeimos narį. Be to, kai užsakant reikalaujama, kad klientas būtų identifikuotas ir (arba) užregistruotas, pavyzdžiui, sukuriant kliento sąskaitą arba jam prisijungus prie lojalumo programos, negalima atmesti galimybės, kad šiomis aplinkybėmis kliento pateikta informacija gali būti naudojama siekiant padaryti išvadas ne tik apie kliento, bet ir apie kito asmens sveikatos būklę, be kita ko, susiejant ją su informacija apie užsakytus vaistus.

92

Galiausiai, kaip priminta šio sprendimo 86 punkte, tai, kad tokia informacija, kaip nagrinėjama pagrindinėje byloje, yra sveikatos duomenys, kaip jie suprantami pagal Direktyvos 95/46 8 straipsnio 1 dalį ir BDAR 9 straipsnio 1 dalį, netrukdo, kaip matyti, be kita ko, iš jo 53 konstatuojamosios dalies, juos tvarkyti, be kita ko, valdant sveikatos priežiūros paslaugas ir sistemas, jeigu tenkinama viena iš šių nuostatų 2 dalyje nustatytų sąlygų.

93

Taip visų pirma gali būti tuo atveju, kai pagal šios 2 dalies a punktą ir laikydamasis joje numatytos išimties duomenų subjektas duoda aiškų sutikimą, kad būtų atliekama viena ar daugiau su minėtais asmens duomenimis susijusių duomenų tvarkymo operacijų, kurių konkrečios savybės ir tikslai jam buvo pateikti tiksliai, išsamiai ir lengvai suprantama forma. Be to, toks duomenų tvarkymas gali būti leidžiamas remiantis BDAR 9 straipsnio 2 dalies h punktu, kai duomenis tvarkyti būtina siekiant užtikrinti sveikatos priežiūrą remiantis Sąjungos arba valstybės narės teise arba pagal sutartį su sveikatos priežiūros specialistu.

94

Atsižvelgiant į tai, kas išdėstyta, į antrąjį klausimą reikia atsakyti: Direktyvos 95/46 8 straipsnio 1 dalis ir BDAR 9 straipsnio 1 dalis turi būti aiškinamos taip, kad tuo atveju, kai vaistinės valdytojas internetinėje platformoje prekiauja vaistais, kuriais gali prekiauti tik vaistinės, informacija, kurią šio valdytojo klientai pateikia internetu užsisakydami vaistų, kaip antai jų vardas, pavardė, pristatymo adresas ir informacija, reikalinga vaistams individualizuoti, yra sveikatos duomenys, kaip jie suprantami pagal šias nuostatas, net jei parduodant šiuos vaistus nereikia gydytojo recepto.

Dėl bylinėjimosi išlaidų

95

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti tas teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.