–

ND képviseletében A. Datta, M. Mogendorf és W. Spoerr Rechtsanwälte,

–

DR képviseletében M. Bahmann Rechtsanwalt,

–

a német kormány képviseletében J. Möller és P.‑L. Krüger, meghatalmazotti minőségben,

–

az Európai Bizottság képviseletében A. Bouchagiar, F. Erlbacher és H. Kranenborg, meghatalmazotti minőségben,

1

Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 9. cikke (1) bekezdésének és e rendelet VIII. fejezete rendelkezéseinek, valamint a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) 8. cikke (1) bekezdésének értelmezésére vonatkozik.

2

E kérelmet az ND és DR, két, gyógyszertárat működtető természetes személy között folyamatban lévő jogvita keretében terjesztették elő, amelynek tárgya olyan gyógyszerek ND általi, online platformon keresztül történő értékesítése, amelyek kizárólag gyógyszertárban forgalmazhatók.

Jogi háttér

Az uniós jog

3

A 95/46 irányelv „Különleges adatok feldolgozása [helyesen: kezelése]” címet viselő 8. cikke szerint:

4

A GDPR (9)–(11), (13), (35), (51), (53), (141) és (142) preambulumbekezdésének szövege a következő:

5

E rendelet „Tárgy” című 1. cikke a következőképpen rendelkezik:

6

Az említett rendelet 4. cikke a következőképpen rendelkezik:

7

A GDPR „Elvek” című II. fejezete tartalmazza e rendelet 5–11. cikkét.

8

E rendelet 5. cikke rögzíti a személyes adatok kezelésére vonatkozó elveket, míg e rendelet 6. cikke azon feltételeket határozza meg, amelyek között az adatkezelés jogszerű.

9

Az említett rendeletnek „A személyes adatok különleges kategóriáinak kezelése” című 9. cikke értelmében:

10

Ugyanezen rendelet „Felügyeleti hatóság” című 51. cikkének (1) bekezdése a következőképpen rendelkezik:

11

A GDPR „Jogorvoslat, felelősség és szankciók” című VIII. fejezete tartalmazza e rendelet 77–84. cikkét.

12

E rendeletnek „A felügyeleti hatóságnál történő panasztételhez való jog” című 77. cikkének (1) bekezdése a következőképpen rendelkezik:

13

Ugyanezen rendeletnek „A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog” című 78. cikkének (1) bekezdése kimondja:

14

Ugyanezen rendeletnek „Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog” című 79. cikkének (1) bekezdése a következőket írja elő:

15

A GDPR‑nak „Az érintettek képviselete” című 80. cikke a következőképpen szól:

16

E rendeletnek „A kártérítéshez való jog és a felelősség” című 82. cikkének (1) bekezdése így rendelkezik:

17

E rendeletnek „A közigazgatási bírságok kiszabására vonatkozó általános feltételek” című 83. cikkének (1) bekezdése a következőket írja elő:

18

Ugyanezen rendelet „Szankciók” című 84. cikkének (1) bekezdése a következőképpen rendelkezik:

19

A GDPR 94. cikkének (1) bekezdése előírja:

20

E rendelet 99. cikke szerint:

A német jog

A tisztességtelen verseny tilalmáról szóló törvény

21

A 2004. július 3‑i Gesetz gegen den unlauteren Wettbewerb (a tisztességtelen verseny tilalmáról szóló törvény; BGBl. 2004. I, 1414. o.) alapügyben alkalmazandó szövegének (a továbbiakban: UWG) „A tisztességtelen kereskedelmi magatartások tilalma” című 3. §‑a az (1) bekezdésében előírja:

22

Az UWG „Jogsértés” című 3a. §‑ának szövege a következő:

23

Az említett törvény „Abbahagyás és eltiltás” című 8. §‑a kimondja:

A gyógyszertörvény

24

A gyógyszerek forgalmát az 1976. augusztus 24‑i Gesetz über den Verkehr mit Arzneimitteln (a gyógyszerek forgalmazásáról szóló törvény; BGBl. 1976 I, 2444. o.) szabályozza, és 2005. december 12‑én kihirdetett (BGBl. 2005 I., 3394. o.), az alapügy tényállására alkalmazandó változata szerint különbséget tesz a gyógyszertárban értékesített gyógyszerek és az orvosi vény alapján értékesített gyógyszerek között, mely utóbbiak a „Vénykötelezettség” című 48. § tárgyát képezik.

Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések

25

A „Lindenapotheke” kereskedelmi név alatt gyógyszertárat működtető ND 2017 óta értékesít kizárólag gyógyszertárban forgalmazható gyógyszereket az „Amazon‑Marketplace” (a továbbiakban: Amazon) online platformon. E gyógyszerek online megrendelésekor az ND ügyfeleinek olyan információkat kell feltüntetniük, mint a nevük, a szállítási cím és az említett gyógyszerek személyre szabásához szükséges adatok.

26

DR, aki szintén gyógyszertárat működtet, keresetet indított a Landgericht Dessau‑Roßlau (dessau‑roßlau‑i regionális bíróság, Németország) előtt, amelyben azt kérte, hogy ND‑t kényszerítő bírság terhe mellett kötelezzék a kizárólag gyógyszertárban forgalmazható gyógyszerek Amazonon történő értékesítésének megszüntetésére mindaddig, amíg nem biztosított, hogy az ügyfél előzetes hozzájárulását adhatja az egészségügyi adatok kezeléséhez.

27

Keresetének alátámasztása érdekében DR arra hivatkozott, hogy tisztességtelen volt a kizárólag gyógyszertárban forgalmazható gyógyszereknek az Amazonon történő értékesítése, mivel megsértették a személyes adatok védelmére vonatkozó jogszabályok által megkövetelt ügyféli hozzájárulás megszerzésére vonatkozó jogszabályi előírásokat.

28

2018. március 28‑i határozatával a Landgericht Dessau‑Roßlau (dessau‑roßlau‑i regionális bíróság) helyt adott a keresetnek.

29

ND e határozattal szemben fellebbezést nyújtott be az Oberlandesgericht Naumburghoz (naumburgi regionális felsőbíróság, Németország), amely azt 2019. november 7‑i határozatával elutasította.

30

A fellebbviteli bíróság úgy ítélte meg, hogy a kizárólag gyógyszertárban forgalmazható gyógyszereknek az Amazonon történő forgalmazása tisztességtelen gyakorlatnak minősül, és ezért az UWG 3. §‑ának (1) bekezdése értelmében jogellenes. A gyógyszerek ilyen forgalmazása ugyanis az egészségügyi adatok kezeléséhez vezet, amely a GDPR 9. cikkének (1) bekezdése értelmében a gyógyszereket vásárló ügyfelek e rendelet 9. cikke (2) bekezdésének a) pontja szerinti kifejezett hozzájárulása hiányában tilos. Márpedig az említett rendeletben előírt szabályok az UWG 3a. §‑a értelmében vett, a piaci magatartás szabályozására irányuló jogi rendelkezéseknek minősülnek. Ezenkívül az UWG 8. §‑a (3) bekezdésének 1. pontja alapján DR versenytársként jogosult arra, hogy e szabályok ND általi megsértésére a polgári bíróságok előtt jogsértés megszüntetésére kötelezés iránti kérelem útján hivatkozzon.

31

ND felülvizsgálati kérelmet nyújtott be a Bundesgerichtshofhoz (szövetségi legfelsőbb bíróság, Németország), amely a kérdést előterjesztő bíróság.

32

E bíróság rámutat, hogy a jogvita kimenetele a GDPR VIII. fejezete rendelkezéseinek, valamint e rendelet 9. cikke (1) bekezdésének és a 95/46 irányelv 8. cikke (1) bekezdésének értelmezésétől függ.

33

Először is a kérdést előterjesztő bíróság arra keresi a választ, hogy a 95/46 irányelv 2018. május 25‑i hatállyal történő hatályon kívül helyezése óta – amely időponttól a GDPR alkalmazandóvá vált – a tagállamok továbbra is előírhatják‑e a nemzeti jogban, hogy valamely vállalkozásnak az UWG 8. §‑a (3) bekezdésének 1. pontjában említettekhez hasonló versenytársai jogosultak arra, hogy polgári bíróság előtt indított kereset útján a tisztességtelen kereskedelmi gyakorlatok tilalma alapján kérjék a GDPR rendelkezései e vállalkozás általi megsértésének megszüntetését.

34

A kérdést előterjesztő bíróság megjegyzi, hogy e kérdésre nemzeti szinten eltérő válaszokat lehet adni. Ilyen válasz ugyanis nem vezethető le egyértelműen sem a GDPR VIII. fejezete rendelkezéseinek szövegéből, sem e rendelkezések általános rendszeréből, sem pedig az említett rendelet által követett célból.

35

Így mindenekelőtt, ami a GDPR VIII. fejezete rendelkezéseinek szövegét illeti, a kérdést előterjesztő bíróság hangsúlyozza, hogy bár kétségtelen, hogy e rendelkezések egyáltalán nem említik azt a lehetőséget, hogy valamely vállalkozás versenytársai keresetet indíthatnak e vállalkozással szemben, különösen akkor, ha az adatvédelmi jogszabályok megsértése tisztességtelen kereskedelmi gyakorlatnak minősül. Ugyanakkor az említett rendelkezések nem zárják ki kifejezetten ezt a lehetőséget.

36

Ami ezt követően a GDPR VIII. fejezete rendelkezéseinek általános rendszerét illeti, a kérdést előterjesztő bíróság egyrészt hangsúlyozza, hogy – amint azt a Bíróság a 2022. április 28‑i Meta Platforms Ireland ítéletben (C‑319/20, EU:C:2022:322, 57. pont) kimondta – e rendelet célja a személyes adatok védelmére vonatkozó nemzeti jogszabályok főszabály szerint teljes harmonizációjának biztosítása. Másrészt azonban az a körülmény, hogy a GDPR 77. cikkének (1) bekezdése, 78. cikkének (1) és (2) bekezdése és 79. cikkének (1) bekezdése egyaránt tartalmazza az „egyéb […] jogorvoslatok sérelme nélkül” kifejezést, azon megállapítás ellen szólhat, hogy a jogérvényesítést kimerítő jelleggel szabályozták.

37

Végül, ami a GDPR által követett harmonizációs célkitűzést és különösen a jogérvényesítés Unión belüli egységesítésének célját illeti, a kérdést előterjesztő bíróság hangsúlyozza egyrészt, hogy az a tény, hogy a versenytársak a versenyjog alapján kereshetőségi joggal rendelkezhetnek, és ennélfogva az adatvédelmi jog rendelkezéseit a GDPR‑ban előírt eszközöktől eltérő eszközök útján is érvényesíthetik, ellentétes lehet ezzel a célkitűzéssel. Ezenkívül nem biztos, hogy az említett rendeletben előírt jogérvényesítési rendszer olyan joghézagot tartalmaz, amelyet orvosolni kell a versenytársak számára elismert azon lehetőséggel, hogy a versenyjog alapján kereshetőségi joggal rendelkezzenek. Hasonlóképpen, az adatvédelmi jog érvényesítése terén egyrészt a felügyeleti hatóságok, másrészt a polgári bíróságok közötti verseny azzal a kockázattal járna, hogy sértené a felügyeleti hatóságok hatásköreit, és az Unión belül eltérésekhez vezetne az adatvédelmi jog érvényesítése terén.

38

Másrészt a kérdést előterjesztő bíróság szerint annak lehetővé tétele, hogy a versenytársak a versenyjog alapján lépjenek fel, további lehetőséget ad a jogérvényesítésre, amely a tényleges érvényesülés elve („hatékony érvényesülés”) értelmében kívánatos lenne a személyes adatok lehető legmagasabb szintű védelmének biztosítása érdekében, a GDPR (10) preambulumbekezdésének megfelelően.

39

A kérdést előterjesztő bíróság pontosítja, hogy e kérdést a Bíróság ítélkezési gyakorlata nem tisztázta, és hogy különösen a 2022. április 28‑i Meta Platforms Ireland ítéletben (C‑319/20, EU:C:2022:322) a Bíróság kifejezetten nyitva hagyta a versenytárs kereshetőségi jogának kérdését.

40

Másodszor, a kérdést előterjesztő bíróság arra keresi a választ, hogy a 95/46 irányelv 8. cikkének (1) bekezdése értelmében vett „egészségi állapotra vonatkozó adatoknak” és a GDPR 9. cikkének (1) bekezdése értelmében vett „egészségügyi adatoknak” minősülnek‑e azok az adatok, amelyeket az ügyfeleknek az online értékesítési platformon a gyógyszerek megrendelésekor meg kell adniuk, például a nevük, a szállítási cím és a megrendelt gyógyszerek személyre szabásához szükséges információk.

41

E bíróság szerint az e kérdésre adandó válasz nem nyilvánvaló abban az esetben, ha a megrendelt gyógyszerek nem vénykötelesek. Ilyen esetben ugyanis nem zárható ki, hogy e gyógyszereket nem maguknak a fogyasztóknak, hanem harmadik személyeknek szánják, akik nem azonosíthatók.

42

A kérdést előterjesztő bíróság hangsúlyozza, hogy e rendelkezések szövege és a GDPR (35) preambulumbekezdésével összefüggésben értelmezett 4. cikke 15. pontjának szövege önmagában nem teszi lehetővé e kérdés megválaszolását.

43

Mindazonáltal a 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet (C‑184/20, EU:C:2022:601) 125. pontjában a Bíróság kimondta, hogy a 95/46 irányelv 8. cikkének (1) bekezdésében és a GDPR 9. cikkének (1) bekezdésében szereplő „személyes adatok különleges kategóriáinak” fogalmát tágan kell értelmezni, figyelembe véve e rendelet célját, amely a természetes személyek alapvető jogai és szabadságai, különösen a magánélet tiszteletben tartásához való joguk magas szintű védelmének biztosítására irányul a személyes adataik kezelése tekintetében. E fogalom ilyen tág értelmezésének elfogadása esetén arra lehet következtetni, hogy az ilyen információk akkor minősülnek egészségügyi adatoknak, ha nem biztos, hanem csak valószínű, hogy a gyógyszereket megrendelő ügyfelek azok a személyek, akiknek a gyógyszereket szánják.

44

A kérdést előterjesztő bíróság pontosítja, hogy a DR által hivatkozott, jogsértés megszüntetéshez való jog azt feltételezi, hogy ND szóban forgó magatartása mind annak bekövetkezésekor, mind pedig a felülvizsgálati eljárás keretében tartott tárgyalás időpontjában jogellenes volt, és hogy ezen időpontok közül az előbbi még a 95/46 irányelv 8. cikke (1) bekezdésének hatálya alá tartozott, míg a második immár a GDPR 9. cikke (1) bekezdésének hatálya alá tartozik.

45

E körülmények között a Bundesgerichtshof (szövetségi legfelsőbb bíróság, Németország) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

Az előzetes döntéshozatalra előterjesztett kérdésekről

Az első kérdésről

46

Első kérdésével a kérdést előterjesztő bíróság arra keresi a választ, hogy a GDPR VIII. fejezetének rendelkezéseit úgy kell‑e értelmezni, hogy azokkal ellentétes az olyan nemzeti szabályozás, amely – az e rendelet alkalmazásának nyomon követésére és kikényszerítésére hatáskörrel rendelkező felügyeleti hatóságok beavatkozási jogkörei és az érintettek jogorvoslati lehetőségei mellett – a személyes adatok védelmét feltételezetten megsértő személy versenytársait feljogosítja arra, hogy a tisztességtelen kereskedelmi gyakorlatok tilalmára hivatkozva az említett rendelet megsértése miatt polgári peres úton lépjenek fel e jogsértő személlyel szemben.

47

Elöljáróban emlékeztetni kell arra, hogy a GDPR VIII. fejezete szabályozza többek között azokat a jogorvoslati lehetőségeket, amelyek lehetővé teszik az érintett személy jogainak védelmét, amennyiben a rá vonatkozó személyes adatokat állítólag az említett rendelet rendelkezéseivel ellentétes módon kezelték. E jogok védelmét ilya módon kérheti akár közvetlenül az érintett személy, akár az említett rendelet 80. cikke szerint feljogosított, erre vonatkozó megbízással rendelkező vagy éppenséggel nem rendelkező szervezet (lásd ebben az értelemben: 2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 53. pont).

48

Egyrészt ugyanis a GDPR 77. cikkének (1) bekezdése előírja, hogy az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül minden érintett jogosult arra, hogy panaszt nyújtson be a felügyeleti hatósághoz. Az említett rendelet 78. cikkének (1) bekezdése értelmében az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben. Ugyanezen rendelet 79. cikkének (1) bekezdése biztosítja, hogy a „rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül”, minden érintett hatékony bírósági jogorvoslatra jogosult.

49

Másrészt, a GDPR 80. cikkének (1) bekezdése értelmében az érintett jogosult arra, hogy bizonyos feltételek mellett egy nonprofit szervet, szervezetet vagy egyesületet bízzon meg azzal, hogy nyújtson be panaszt, vagy az ő nevében gyakorolja az említett rendelet 77–79. cikkében biztosított jogokat. Ezenkívül az említett rendelet 80. cikkének (2) bekezdése szerint a tagállamok rendelkezhetnek úgy, hogy az adott tagállamban az e cikk (1) bekezdésében említett bármely szerv, szervezet vagy egyesület – az érintettől kapott megbízástól függetlenül – jogosult legyen arra, hogy a felügyeleti hatósághoz panaszt nyújtson be, valamint hogy gyakorolja a fent említett jogokat, ha megítélése szerint az érintett személyes adatainak kezelése következtében megsértették az érintett ugyanezen rendelet szerinti jogait.

50

A jelen ügyben a Bíróság rendelkezésére álló iratokból kitűnik, hogy a gyógyszertárat működtető ND az Amazonon olyan gyógyszereket értékesít, amelyek kizárólag gyógyszertárban forgalmazhatók, és hogy e gyógyszerek online megrendelésekor az ügyfeleknek olyan adatokat kell megadniuk, mint a nevük, a szállítási cím és az említett gyógyszerek személyre szabásához szükséges információk. Mindazonáltal az alapügyben a keresetet a polgári bíróság előtt a GDPR 79. cikke alapján nem ezen ügyfelek indították, akik e rendelet 4. cikkének (1) bekezdése értelmében vett érintettek, sem pedig az említett rendelet 80. cikke alapján az érintettől kapott megbízással rendelkező vagy nem rendelkező, felhatalmazott szerv, szervezet vagy egyesület, hanem e gyógyszerész versenytársa a tisztességtelen kereskedelmi gyakorlatok tilalma alapján, az ugyanezen rendelet rendelkezéseinek az említett gyógyszerész általi megsértése miatt.

51

Az alapügy tehát azt a kérdést veti fel, hogy ellentétes‑e a GDPR‑ral, ha a DR‑hez hasonló versenytárs, amely nem minősül az e rendelet 4. cikkének 1. pontja értelmében vett érintettnek, jogosult ilyen keresetet indítani a nemzeti polgári bíróságok előtt.

52

E tekintetben emlékeztetni kell arra, hogy valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit, hanem szövegkörnyezetét, és annak a szabályozásnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi (2023. január 12‑i Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet, C‑132/21, EU:C:2023:2, 32. pont).

53

Ami a GDPR VIII. fejezete rendelkezéseinek szövegét illeti, meg kell állapítani, hogy e rendelkezések egyike sem zárja ki kifejezetten annak lehetőségét, hogy valamely vállalkozás versenytársa polgári bíróság előtt keresetet indítson e vállalkozással szemben a tisztességtelen kereskedelmi gyakorlatok tilalma alapján, mivel e vállalkozás állítólagosan megsértette az e rendeletben előírt kötelezettségeket. Éppen ellenkezőleg, a GDPR 77. cikke (1) bekezdésének, 78. cikke (1) bekezdésének és 79. cikke (1) bekezdésének a jelen ítélet 48. pontjában idézett szövegéből az következik, hogy a felügyeleti hatóságnál történő panasztételhez való jog, valamint az ilyen hatósággal, továbbá az e rendelkezésekben említett adatkezelővel vagy adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog az egyéb közigazgatási, bírósági vagy nem bírósági útra tartozó egyéb jogorvoslatok „sérelme nélkül” érvényesül.

54

Azon szövegkörnyezetet illetően, amelybe a GDPR VIII. fejezete illeszkedik, meg kell állapítani, hogy e rendelet a II. fejezetében olyan anyagi jogi rendelkezéseket tartalmaz, amelyek többek között a személyes adatok kezelésére vonatkozó, a rendelet 5. cikkében szereplő elvekre és az adatkezelés jogszerűségének e rendelet 6. cikkében foglalt feltételeire vonatkoznak, amelyek célja többek között az érintettek személyes adatainak védelméhez való, az EUMSZ 16. cikk (1) bekezdésében és a Charta 8. cikkében biztosított alapvető jog teljes körű tiszteletben tartásának biztosítása. A GDPR VIII. fejezete olyan rendelkezéseinek hiánya, amelyek előírják, hogy az ezen anyagi jogi rendelkezéseket feltételezetten megsértő vállalkozás versenytársai keresetet indíthatnak e jogsértés megszüntetése érdekében, azzal magyarázható, hogy – amint arra a főtanácsnok az indítványának 80. pontjában rámutatott – kizárólag az érintettek, nem pedig e versenytársak jogosultak a személyes adatok e rendelet által biztosított védelmére.

55

Mindemellett, noha az említett anyagi jogi rendelkezések megsértése elsősorban azon érintettek számára lehet sérelmes, akiknek az adatairól szó van, harmadik személyeket is sérthet, amit az is szemléltet, hogy a GDPR 82. cikkének (1) bekezdése alapján kártérítésre jogosult „[m]inden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett”. A Bíróságnak már azt is volt alkalma megállapítani, hogy a személyes adatok védelmére vonatkozó valamely szabály megsértése egyidejűleg a fogyasztóvédelemre vagy a tisztességtelen kereskedelmi gyakorlatokra vonatkozó szabályok megsértését is eredményezheti (2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 78. pont), és az EUMSZ 102. cikk értelmében vett erőfölénnyel való visszaélés fennállásának értékelése szempontjából fontos valószínűsítő körülménynek minősülhet (lásd ebben az értelemben: 2023. július 4‑i Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet, C‑252/21, EU:C:2023:537, 47. és 62. pont).

56

Ezen összefüggésben emlékeztetni kell arra, hogy a személyes adatokhoz való hozzáférés, valamint azok felhasználása a digitális gazdaság keretében kiemelt jelentőséggel bír. A személyes adatokhoz való hozzáférés és ezen adatok kezelésének lehetősége ugyanis a digitális gazdaságban működő vállalkozások közötti verseny jelentős tényezőjévé vált. Következésképpen, e tényleges gazdasági fejlődés figyelembevétele és a tisztességes verseny biztosítása érdekében szükségesnek bizonyulhat a személyes adatok védelmére vonatkozó szabályoknak a versenyjog és a tisztességtelen kereskedelmi gyakorlatokra vonatkozó szabályok alkalmazása keretében történő figyelembevétele (lásd ebben az értelemben: 2023. július 4‑i Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet, C‑252/21, EU:C:2023:537, 50. és 51. pont).

57

Ezenkívül, bár a GDPR 1. cikkének – többek között a (9) és (13) preambulumbekezdésével összefüggésben értelmezett – (1) bekezdéséből kitűnik, hogy e rendelet célja a személyes adatok védelmére vonatkozó nemzeti jogszabályok főszabály szerint teljes harmonizációjának biztosítása, az említett rendelet több rendelkezése lehetőséget ad a tagállamok számára, hogy további, szigorúbb vagy eltérést engedő nemzeti szabályokat írjanak elő, amelyek mérlegelési mozgásteret hagynak a tagállamok számára e rendelkezések végrehajtásának módját illetően („engedő rendelkezések”) (2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 57. pont).

58

A Bíróság már megállapította, hogy ez a helyzet áll fenn a GDPR 80. cikkének (2) bekezdése esetében, amely mérlegelési mozgásteret hagy a tagállamoknak a végrehajtását illetően, és amellyel nem ellentétes az olyan nemzeti szabályozás, amely lehetővé teszi a fogyasztói érdekvédelmi egyesületek számára, hogy a személyes adatok védelmét állítólagosan megsértő személlyel szemben a tisztességtelen kereskedelmi gyakorlatok tilalmára hivatkozva bírósághoz forduljanak e célból számukra adott megbízás nélkül és az érintett személyek konkrét jogainak megsértésétől függetlenül, amennyiben az érintett adatkezelés érintheti az azonosított vagy azonosítható természetes személyeket e rendelet alapján megillető jogokat (2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 59. és 83. pont).

59

Kétségtelen, hogy a GDPR VIII. fejezetének rendelkezései nem tartalmaznak konkrétan ilyen engedő rendelkezést, amely kifejezetten lehetővé tenné a tagállamok számára, hogy lehetőséget adjanak az e rendelet anyagi jogi rendelkezéseit feltételezetten megsértő vállalkozás versenytársa számára, hogy keresetet indítson e jogsértés megszüntetése érdekében.

60

Mindazonáltal e VIII. fejezet rendelkezéseinek a jelen ítélet 53–58. pontjában felidézett szövegéből és szövegösszefüggéséből az következik, hogy az említett rendelet elfogadásával az uniós jogalkotó nem kívánta kimerítően harmonizálni a GDPR rendelkezéseinek megsértése esetén nyitva álló jogorvoslati lehetőségeket, és különösen nem kívánta kizárni, hogy az ilyen a személyes adatok védelmét feltételezetten megsértő személy versenytársai a tisztességtelen kereskedelmi gyakorlatok tilalmára vonatkozó nemzeti jog alapján ilyen jogorvoslati lehetőséggel rendelkezzenek.

61

Ezt az értelmezést megerősítik a GDPR által követett célok, amely – amint az többek között annak (10) preambulumbekezdéséből kitűnik – a természetes személyek egységes és magas szintű védelmének a személyes adatok kezelése tekintetében történő biztosítására és a személyes adatok Unión belüli áramlása előtti akadályok elhárítására irányul. E rendelet (11) preambulumbekezdése ezenkívül kimondja, hogy ahhoz, hogy ezen adatok hatékony védelméhez meg kell erősíteni az érintettek jogait, valamint a személyes adatokat kezelő, illetve az adatkezelést meghatározó személyek kötelezettségeit, ugyanakkor pedig az egyes tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatáskört is biztosítani szükséges, és a jogsértőkre azonos szankciókat kell alkalmazni. Az említett rendelet (13) preambulumbekezdése kimondja, hogy a természetes személyek egységes, uniós szintű védelmének biztosítása, valamint a személyes adatok belső piacon való szabad áramlását akadályozó eltérések megelőzése érdekében rendelettel kell biztosítani a jogbiztonságot és az áttekinthetőséget valamennyi tagállam gazdasági szereplői részére, továbbá rendelettel kell biztosítani a természetes személyek részére minden tagállamban azonos szintű, jogi úton érvényesíthető jogokat és kötelezettségeket, az adatkezelők és adatfeldolgozók számára azonos felelősséget, a személyes adatok kezelésének következetes nyomon követését, és valamennyi tagállamban azonos szankciók alkalmazását.

62

Valamely vállalkozás versenytársának azon lehetősége, hogy a tisztességtelen kereskedelmi gyakorlatok tilalma alapján keresetet indítson a polgári bíróságok előtt a GDPR anyagi jogi rendelkezései e vállalkozás által állítólagosan elkövetett megsértésének megszüntetése iránt, nem csupán nem sérti e célokat, hanem éppen ellenkezőleg, erősíti e rendelkezések hatékony érvényesülését, és ezáltal az érintettek számára személyes adataik kezelése tekintetében biztosított magas szintű védelmet.

63

Egyrészt ugyanis a valamely versenytárs által a vállalkozással szemben a tisztességtelen kereskedelmi gyakorlatok tilalma alapján, a GDPR anyagi jogi rendelkezéseinek feltételezett megsértése miatt indított jogsértés megszüntetése iránti kereset semmilyen módon nem sérti az e rendelet VIII. fejezetében előírt jogorvoslati rendszert, sem pedig azon célkitűzést, hogy e személyek számára egységes, uniós szintű védelmet biztosítsanak, és megelőzzék a személyes adatok belső piacon való szabad áramlását akadályozó eltéréseket.

64

Kétségtelen, hogy az ilyen kereset – jóllehet közvetett módon – az említett rendelet ugyanazon rendelkezéseinek megsértésére is alapítható, mint amelyeken az ugyanezen rendelet 77–79. cikke alapján az érintettek vagy az említett rendelet 80. cikke értelmében vett valamely szerv, szervezet vagy egyesület által benyújtott panasz vagy kereset alapulhat.

65

Mindazonáltal, először is, a GDPR 77–80. cikkétől eltérően a versenytárs által indított jogsértés megszüntetése iránti kereset önmagában nem az érintettek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelmére irányuló célkitűzést követi, hanem a tisztességes verseny biztosítására irányul, többek között e versenytárs érdekében.

66

Másodszor, a versenytárs azon lehetősége, hogy a tisztességtelen kereskedelmi gyakorlatok tilalma alapján ilyen keresetet indítson a polgári bíróságok előtt, kiegészíti a GDPR 77–79. cikkében bevezetett azon jogorvoslati lehetőségeket, amelyeket teljes mértékben fennmaradnak, és amelyekkel az érintett személyek, valamint adott esetben az e rendelet 80. cikke értelmében vett szervek, szervezetek vagy egyesületek továbbra is élhetnek.

67

Konkrétabban, amint arra a német kormány rámutatott, az adatvédelmi jog és a versenyjog hatálya alá tartozó jogorvoslati lehetőségek egyidejű fennállása nem teremt kockázatot az említett rendelet egységes alkalmazására nézve. Ebben az összefüggésben meg kell állapítani, hogy e rendelet 77–80. cikkéből az következik, hogy az nem ír elő sem elsődleges vagy kizárólagos hatáskört, sem pedig az abban említett hatóság vagy bíróságok által – az említett rendelet által biztosított jogok megsértésére vonatkozóan – végzett értékelés elsőbbségéről nem rendelkezik (lásd ebben az értelemben: 2023. január 12‑i Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet, C‑132/21, EU:C:2023:2, 35. pont). Következésképpen az a tény, hogy a jogsértés megszüntetése iránti keresetet a polgári bíróságok előtt a személyes adatok védelmét feltételezetten megsértő személy versenytársa indította, nem sérti a GDPR VIII. fejezetében kialakított jogorvoslati rendszert. Ezenkívül, amint azt e kormány megjegyezte, e rendelet azon anyagi jogi rendelkezéseinek egységes értelmezését, amelyeket ugyanazon jogsértésre egyrészt az említett rendelet 77–80. cikke alapján eljáró felügyeleti hatóság és bíróságok, másrészt pedig az ilyen versenytárs által indított kereset tárgyában a tisztességtelen kereskedelmi gyakorlatok tilalma alapján eljáró bíróságok alkalmazhatnak, az EUMSZ 267. cikkben előírt előzetes döntéshozatali eljárás biztosítja.

68

Harmadszor, amint arra a főtanácsnok az indítványának 104. pontjában lényegében rámutatott, az a tény, hogy a GDPR anyagi jogi rendelkezéseire az érintettektől és az e rendelet 80. cikke értelmében vett szervektől, szervezetektől és egyesületektől eltérő személyek szélesebb körben hivatkozhatnak, nem sérti azon célkitűzés megvalósítását, hogy e személyek számára egységes, uniós szintű védelmet biztosítsanak, és megelőzzék a személyes adatok belső piacon való szabad áramlását akadályozó eltéréseket. Még ha ugyanis a tagállamok nem is írnak elő ilyen lehetőséget, ebből nem következik az adatvédelem Unión belüli végrehajtásának széttagoltsága, mivel a GDPR anyagi jogi rendelkezései egyformán vonatkoznak az e rendelet 4. cikkének 7. pontja értelmében vett valamennyi adatkezelőre, és tiszteletben tartásukat az említett rendeletben előírt jogorvoslati lehetőségek biztosítják.

69

Másrészt, ami az érintetteknek a személyes adataik kezelése tekintetében való hatékony védelmének biztosítására irányuló célkitűzést és a GDPR anyagi jogi rendelkezéseinek hatékony érvényesülését illeti, meg kell állapítani, hogy bár a személyes adatok védelmét feltételezetten megsértő személy versenytársa által indított, jogsértés megszüntetése iránti kereset – amint az a jelen ítélet 65. pontjában megállapításra került – nem e célra, hanem a tisztességes verseny biztosítására irányul, vitathatatlanul hozzájárul e rendelkezések tiszteletben tartásához, és ezzel az érintettek jogainak megerősítéséhez, valamint a magas szintű védelmük biztosításához (lásd ebben az értelemben: 2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 74. pont).

70

Végeredményben a versenytárs által indított, jogsértés megszüntetése iránti ilyen kereset a fogyasztóvédelmi egyesületek által indítottakhoz hasonlóan különösen hatékony lehet e védelem biztosítása szempontjából, mivel a személyes adataik kezelésével érintett személyek jogai széles körben való megsértésének megelőzését teheti lehetővé (lásd ebben az értelemben: 2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 75. pont).

71

Ebből következik, hogy a jelen ítélet 60. pontjában elfogadott értelmezés megfelel az EUMSZ 16. cikk (1) bekezdéséből és a Charta 8. cikkéből eredő követelményeknek, és így a GDPR által követett azon célnak, amely a természetes személyek alapvető jogai és szabadságai hatékony védelmének, valamint többek között a bármely személyt megillető, a rá vonatkozó személyes adatok védelméhez való jog magas szintű védelmének biztosítására irányul (lásd ebben az értelemben: 2022. április 28‑i Meta Platforms Ireland ítélet, C‑319/20, EU:C:2022:322, 73. pont).

72

A jelen ügyben a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy a GDPR alapügy tárgyát képező anyagi jogi rendelkezéseinek feltételezett megsértése – amennyiben bizonyítást nyer – a tisztességtelen kereskedelmi gyakorlatok releváns nemzeti szabályozásban előírt tilalma megsértésének is minősül‑e.

73

A fenti megfontolásokra tekintettel az első kérdésre azt a választ kell adni, hogy a GDPR VIII. fejezetének rendelkezéseit úgy kell értelmezni, hogy azokkal nem ellentétes az olyan nemzeti szabályozás, amely – az e rendelet alkalmazásának nyomon követésére és kikényszerítésére hatáskörrel rendelkező felügyeleti hatóságok beavatkozási jogkörei és az érintettek jogorvoslati lehetőségei mellett – a személyes adatok védelmét feltételezetten megsértő személy versenytársait feljogosítja arra, hogy a tisztességtelen kereskedelmi gyakorlatok tilalmára hivatkozva az említett rendelet megsértése miatt polgári peres úton lépjenek fel e jogsértő személlyel szemben.

A második kérdésről

74

Második kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a 95/46 irányelv 8. cikkének (1) bekezdését és a GDPR 9. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy olyan helyzetben, amikor egy gyógyszertár működtetője online értékesítési platformon keresztül kizárólag gyógyszertárban forgalmazható gyógyszereket értékesít, azon információk, amelyeket e működtető ügyfelei a gyógyszerek online megrendelésekor megadnak, például a nevük, a szállítási cím és a gyógyszerek személyre szabásához szükséges információk, a fenti rendelkezés értelmében vett egészségügyi adatoknak minősülnek, még akkor is, ha e gyógyszerek értékesítése nem vényköteles.

75

A 95/46 irányelv 8. cikkének (1) bekezdése és a GDPR 9. cikkének (1) bekezdése, mivel e rendelkezéseket a Bíróság által adandó értelmezés szempontjából hasonló tartalmúnak kell tekinteni (2022. augusztus 1‑jei Vyriausioji tarnybinės ésikos komisija ítélet, C‑184/20, EU:C:2022:601, 58. és 117. pont), és amint azt e cikkek címe jelzi, a személyes adatok „különleges kategóriáira” vonatkozó adatkezelésekre vonatkoznak, az ilyen adatkezelés tilalmának elvét fejezik ki. Amint azt ugyanis ugyanezen rendelet (51) preambulumbekezdése kifejezetten kimondja, az alapvető jogok és szabadságok szempontjából a jellegüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel a kezelésük körülményei jelentős kockázatot hordozhatnak az alapvető jogokra és szabadságokra nézve.

76

A személyes adatok e különleges kategóriái között, amelyeket a 95/46 irányelv 8. cikkének (1) bekezdése és a GDPR 9. cikkének (1) bekezdése sorol fel, szerepelnek az egészségügyi adatok. Ezen adatok az említett rendelet (35) preambulumbekezdésével összefüggésben értelmezett 4. cikke 15. pontjának megfelelően magukban foglalják mindazokat a személyes adatokat, amelyek információt hordoznak valamely természetes személy múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotáról, az e személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó adatokat is ideértve.

77

Ezenkívül különösen a GDPR 4. cikkének 1. pontja szerint a „személyes adat” fogalma az azonosított vagy azonosítható természetes személyre vonatkozó bármely információt érint, és ahhoz, hogy „azonosítható” legyen, elegendő, ha az érintett közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

78

Amennyiben tehát a gyógyszerek vásárlására vonatkozó adatok lehetővé teszik a valamely azonosított vagy azonosítható személy egészségi állapotára vonatkozó következtetések levonását, azokat a GDPR 4. cikkének 15. pontja értelmében vett egészségügyi adatoknak kell tekinteni.

79

A jelen ügyben a Bíróság rendelkezésére álló iratokból kitűnik, hogy ND ügyfelei a kizárólag gyógyszertárban forgalmazható gyógyszerek Amazonon történő online megrendelésekor olyan információkat adnak meg, mint a nevük, a szállítási címük és a gyógyszerek személyre szabásának elemei. Ezen információk kétségkívül „személyes adatoknak” minősülnek, mivel azonosított vagy azonosítható természetes személyekre vonatkoznak.

80

E körülmények között meg kell határozni, hogy ezen adatok a GDPR 4. cikkének 15. pontja értelmében e személyek egészségi állapotára vonatkozó információkat hordozhatnak‑e, és ennek folytán a 95/46 irányelv 8. cikkének (1) bekezdése szerinti, az egészségi állapotra vonatkozó adatoknak és e rendelet 9. cikkének (1) bekezdése értelmében vett egészségügyi adatoknak minősülnek‑e.

81

E tekintetben a Bíróság korábban már kimondta, hogy a 95/46 irányelv és a GDPR céljára tekintettel, amely arra irányul, hogy biztosítsa a természetes személyek alapvető jogai és szabadságai, különösen a magánélet tiszteletben tartásához való joguk védelmének magas szintjét a személyes adataik kezelése tekintetében, az e rendelet 9. cikkének (1) bekezdése értelmében vett „egészségügyi adatok” fogalmát, amely megfelel az említett irányelv 8. cikkének (1) bekezdése szerinti, „az egészségi állapotra vonatkozó adatok” fogalmának, tágan kell értelmezni (lásd ebben az értelemben: 2003. november 6‑i Lindqvist ítélet, C‑101/01, EU:C:2003:596, 50. pont; 2022. augusztus 1‑jei Vyriausioji tarnybinės ésikos komisija ítélet, C‑184/20, EU:C:2022:601, 125. pont).

82

Konkrétabban, e rendelkezéseket nem lehet úgy értelmezni, hogy az olyan személyesadat‑kezelés, amely közvetett módon valamely természetes személyre vonatkozó különleges információkat fedhet fel, nem tartozik az említett rendelkezésekben előírt megerősített védelmi rendszer hatálya alá, kivéve ha veszélyezteti e rendszer hatékony érvényesülését, valamint a természetes személyek alapvető jogainak és szabadságainak általa biztosítani kívánt védelmét (2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 127. pont).

83

Következésképpen ahhoz, hogy a személyes adatokat a a 95/46 irányelv 8. cikkének (1) bekezdése szerinti, az egészségi állapotra vonatkozó adatoknak és a GDPR 9. cikkének (1) bekezdése szerinti egészségügyi adatoknak lehessen minősíteni, elegendő, ha azok az összevetésükre vagy következtetés levonására irányuló szellemi művelet révén az érintett egészségi állapotára vonatkozó információkat fedhetnek fel (lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 123. pont).

84

Márpedig azok az adatok, amelyeket valamely ügyfél egy online platformon a kizárólag gyógyszertárban forgalmazható gyógyszerek megrendelésekor megad, összevetésre vagy következtetésre irányuló szellemi művelet révén a GDPR 4. cikkének 1. pontja értelmében vett, az érintett egészségi állapotára vonatkozó információkat hordozhatnak, amennyiben e megrendelés folytán kapcsolat jön létre a gyógyszer, annak terápiás javallatai vagy felhasználása és az olyan adatokkal azonosított vagy azonosítható természetes személy között, mint e személy neve vagy a szállítási cím.

85

A kérdést előterjesztő bíróság mindazonáltal arra keresi a választ, hogy az a tény, hogy a megrendelt gyógyszerek értékesítése nem vényköteles, releváns‑e annyiban, amennyiben ebben az esetben e gyógyszereket nem a megrendelést leadó ügyfélnek, hanem harmadik személyeknek szánták.

86

E tekintetben rá kell mutatni arra, hogy a 95/46 irányelv 8. cikke (1) bekezdésének és a GDPR 9. cikke (1) bekezdésének alkalmazásában a személyes adatoknak a gyógyszertár működtetője által online platformon keresztül végzett tevékenység keretében történő kezelése esetén meg kell vizsgálni, hogy ezen adatok lehetővé teszik‑e az e rendelkezésben említett kategóriák valamelyikébe tartozó információk felfedését, függetlenül attól, hogy ezen információk az említett platform felhasználójára vagy bármely más természetes személyre vonatkoznak. Igenlő válasz esetén az ilyen személyesadat‑kezelés – az említett rendelkezések (2) bekezdésében foglalt eltérési lehetőségek mellett – tehát tilos (lásd ebben az értelemben: 2023. július 4‑i Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet, C‑252/21, EU:C:2023:537, 68. pont).

87

Ezen elvi tilalom független attól, hogy a szóban forgó adatkezelés által feltárt információ helyes‑e, vagy sem, és hogy az adatkezelő a 95/46 irányelv 8. cikkének (1) bekezdésében és a GDPR 9. cikkének (1) bekezdésében említett különleges kategóriák valamelyikébe tartozó információk megszerzése érdekében jár‑e el. Figyelembe véve ugyanis az érintettek alapvető jogait és szabadságait érintő azon jelentős kockázatokat, amelyeket az említett kategóriákba tartozó személyes adatok bármilyen kezelése idéz elő, e rendelkezések célja, hogy ezen adatkezeléseket, azok kinyilvánított céljától és szóban forgó információk pontosságától függetlenül megtiltsa (lásd ebben az értelemben: 2023. július 4‑i Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet, C‑252/21, EU:C:2023:537, 69. és 70. pont).

88

Ebből következik, hogy abban az esetben, ha egy online platform valamely felhasználója személyes adatokat közöl kizárólag a gyógyszertárban forgalmazható, de nem vényköteles gyógyszerek megrendelésekor, ezen adatoknak az e gyógyszereket ezen online platformon keresztül értékesítő gyógyszertár működtetője általi kezelését a 95/46 irányelv 8. cikkének (1) bekezdése szerinti, az egészségi állapotra vonatkozó adatok és a GDPR 9. cikkének (1) bekezdése szerinti egészségügyi adatok kezelésének kell tekinteni, mivel ezen adatkezelés alkalmas arra, hogy valamely természetes személy egészségi állapotára vonatkozó információt tárjon fel, függetlenül attól, hogy ezek az információk e felhasználóra vagy olyan más személyre vonatkoznak, akinek a részére a felhasználó a megrendelést végzi (lásd ebben az értelemben: 2023. július 4‑i Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet, C‑252/21, EU:C:2023:537, 73. pont).

89

E rendelkezések olyan értelmezése ugyanis, amely az érintett gyógyszerek típusa, valamint azon tény alapján történő különbségtételhez vezetne, hogy értékesítésük vényköteles‑e, vagy sem, nem lenne összhangban a védelem magas szintje biztosításának a jelen ítélet 81. pontjában említett célkitűzésével. Ez az értelmezés ráadásul ellentétes lenne a 95/46 irányelv 8. cikke (1) bekezdésének és a GDPR 9. cikke (1) bekezdésének azon céljával, hogy fokozott védelmet biztosítson az olyan adatkezelésekkel szemben, amelyek – amint az a GDPR (51) preambulumbekezdéséből következik – a tárgyukat képező különleges adatok különösen érzékeny jellege folytán különösen súlyos beavatkozást jelenthet a magánélet tiszteletben tartásához és a személyes adatok védelméhez való, a Charta 7. és 8. cikkében biztosított alapvető jogokba (2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 126. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

90

Következésképpen azok az információk, amelyeket a gyógyszertár működtetőjének ügyfelei a kizárólag gyógyszertárban forgalmazható, de nem vényköteles gyógyszerek online rendelésekor megadnak, a 95/46 irányelv 8. cikkének (1) bekezdése szerinti, az egészségi állapotra vonatkozó adatoknak és a GDPR 9. cikkének (1) bekezdése szerinti egészségügyi adatoknak minősülnek, még akkor is, ha e gyógyszereket csak bizonyos valószínűséggel, nem pedig teljes bizonyossággal szánják ezen ügyfeleknek.

91

Egyébiránt nem zárható ki, hogy még abban az esetben is, ha az ilyen gyógyszereket az ügyfelektől eltérő személyeknek szánják, e személyek azonosíthatók, és következtetéseket lehet levonni az egészségi állapotukra vonatkozóan. Ez lehet a helyzet például akkor, ha a szóban forgó gyógyszereket nem az azokat megrendelő ügyfél lakóhelyére, hanem egy másik személy lakóhelyére szállítják, vagy ha a szállítási címtől függetlenül az ügyfél megrendelésében vagy azzal kapcsolatos közléseiben más azonosítható személyre, például valamely családtagjára utalt. Hasonlóképpen, ha a megrendeléshez szükséges az ügyfél azonosítása, illetve nyilvántartásba vétele, például ügyfélfiók létrehozása vagy valamely hűségprogramhoz való csatlakozása révén, nem kizárt, hogy az ügyfél által ezzel összefüggésben megadott információk nem csupán ezen ügyfél, hanem más személy egészségi állapotára vonatkozó következtetések levonására is felhasználhatók, különösen a megrendelt gyógyszerekre vonatkozó információkkal összefüggésben.

92

Végül, amint az a jelen ítélet 86. pontjában említésre került, az a tény, hogy az olyan információk, mint amelyekről az alapügyben szó van, a 95/46 irányelv 8. cikkének (1) bekezdése szerinti, az egészségi állapotra vonatkozó adatoknak és a GDPR 9. cikkének (1) bekezdése szerinti egészségügyi adatoknak minősülnek, amint az többek között az utóbbi rendelet (53) preambulumbekezdéséből kitűnik, nem képezi akadályát annak, hogy azokat többek között az egészségügyi és szociális szolgáltatások és rendszerek irányításának összefüggésében kezeljék, ha az e rendelkezések (2) bekezdésében meghatározott feltételek valamelyike teljesül.

93

Különösen ez a helyzet állhat fenn egyrészt akkor, ha e (2) bekezdés a) pontjának megfelelően és az ott meghatározott kivétel mellett az érintett kifejezett hozzájárulását adja az említett személyes adatok egy vagy több alkalommal történő olyan kezeléséhez, amelynek sajátos jellemzőit és céljait pontos, teljes körű és könnyen érthető módon ismertették vele. Másrészt az ilyen adatkezelés akkor tekinthető a GDPR 9. cikke (2) bekezdésének h) pontja alapján elfogadhatónak, ha ezen adatkezelés egészségügyi ellátás érdekében az uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében szükséges.

94

A fentiekre tekintettel a második kérdésre azt a választ kell adni, hogy a 95/46 irányelv 8. cikkének (1) bekezdését és a GDPR 9. cikkének (1) bekezdését úgy kell értelmezni, hogy olyan helyzetben, amikor egy gyógyszertár működtetője online értékesítési platformon keresztül kizárólag gyógyszertárban forgalmazható gyógyszereket értékesít, azon információk, amelyeket e működtető ügyfelei a gyógyszerek online megrendelésekor megadnak, például a nevük, a szállítási cím és a gyógyszerek személyre szabásához szükséges információk, a fenti rendelkezés értelmében vett egészségügyi adatoknak minősülnek, még akkor is, ha e gyógyszerek értékesítése nem vényköteles.

A költségekről

95

Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.