62023CJ0021

ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τμήμα μείζονος συνθέσεως)

της 4ης Οκτωβρίου 2024 ( *1 )

«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Κεφάλαιο VIII – Μέσα έννομης προστασίας – Εμπορία φαρμάκων από φαρμακοποιό μέσω διαδικτυακής πλατφόρμας – Αγωγή ασκηθείσα ενώπιον των πολιτικών δικαστηρίων από ανταγωνιστή του φαρμακοποιού, επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, λόγω παράβασης από τον φαρμακοποιό των υποχρεώσεων που προβλέπει ο κανονισμός αυτός – Ενεργητική νομιμοποίηση – Άρθρο 4, σημείο 15, και άρθρο 9, παράγραφοι 1 και 2, του εν λόγω κανονισμού – Οδηγία 95/46/ΕΚ– Άρθρο 8, παράγραφοι 1 και 2 – Έννοια των “δεδομένων που αφορούν την υγεία” – Προϋποθέσεις για την επεξεργασία τέτοιων δεδομένων»

Στην υπόθεση C‑21/23,

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) με απόφαση της 12ης Ιανουαρίου 2023, η οποία περιήλθε στο Δικαστήριο στις 19 Ιανουαρίου 2023, στο πλαίσιο της δίκης

κατά

DR,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τμήμα μείζονος συνθέσεως),

συγκείμενο από τους K. Lenaerts, Πρόεδρο, M. L. Bay Larsen, Αντιπρόεδρο, K. Jürimäe, Κ. Λυκούργο, E. Regan, F. Biltgen και N. Piçarra, προέδρους τμήματος, S. Rodin, P. G. Xuereb, L. S. Rossi, I. Jarukaitis, N. Jääskinen και I. Ziemele (εισηγήτρια), δικαστές,

γενικός εισαγγελέας: M. Szpunar

γραμματέας: N. Mundhenke, διοικητική υπάλληλος,

έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 9ης Ιανουαρίου 2024,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	ο ND, εκπροσωπούμενος από τους A. Datta, M. Mogendorf και W. Spoerr, Rechtsanwälte,

–	ο DR, εκπροσωπούμενος από τον M. Bahmann, Rechtsanwalt,

–	η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller και P.‑L. Krüger,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher και H. Kranenborg,

αφού άκουσε τον γενικό εισαγγελέα, που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 25ης Απριλίου 2024,

εκδίδει την ακόλουθη

Απόφαση

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 9, παράγραφος 1, και των διατάξεων του κεφαλαίου VIII του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ), καθώς και του άρθρου 8, παράγραφος 1, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31).

2	Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του ND και του DR, δύο φυσικών προσώπων έκαστο εκ των οποίων έχει την εκμετάλλευση φαρμακείου, σχετικά με την εμπορία από τον ND, μέσω διαδικτυακής πλατφόρμας, φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία.

Το νομικό πλαίσιο

Το δίκαιο της Ένωσης

Το άρθρο 8 της οδηγίας 95/46, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων», προβλέπει τα εξής:

«1. Τα κράτη μέλη απαγορεύουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα που παρέχουν πληροφορίες για τη φυλετική ή εθνική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, τη συμμετοχή σε συνδικαλιστικές οργανώσεις και την υγεία και τη σεξουαλική ζωή.

2. Η παράγραφος 1 δεν ισχύει εφόσον:

α)	το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει ρητά τη συγκατάθεσή του για την επεξεργασία, εκτός αν η νομοθεσία του κράτους μέλους ορίζει ότι η συγκατάθεση δεν αίρει την απαγόρευση της παραγράφου 1

[…]».

Οι αιτιολογικές σκέψεις 9 έως 11, 13, 35, 51, 53, 141 και 142 του ΓΚΠΔ έχουν ως εξής:

«(9)

Ενώ οι στόχοι και οι αρχές της οδηγίας [95/46] παραμένουν ισχυροί, η οδηγία δεν κατόρθωσε να αποτρέψει τον κατακερματισμό της εφαρμογής της προστασίας των δεδομένων σε ολόκληρη την Ένωση, την ανασφάλεια δικαίου ή τη διαδεδομένη στο κοινό αντίληψη ότι υπάρχουν σημαντικοί κίνδυνοι για την προστασία των φυσικών προσώπων, ιδίως όσον αφορά την επιγραμμική δραστηριότητα. Διαφορές στο επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων, ιδίως του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη, ενδέχεται να εμποδίζουν την ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Επομένως, οι διαφορές αυτές μπορεί να συνιστούν εμπόδιο για την άσκηση οικονομικών δραστηριοτήτων στο επίπεδο της Ένωσης, να στρεβλώνουν τον ανταγωνισμό και να εμποδίζουν τις αρχές στην εκτέλεση των αρμοδιοτήτων τους, όπως αυτές απορρέουν από το δίκαιο της Ένωσης. Αυτή η διαφορά ως προς τα επίπεδα προστασίας οφείλεται στην ύπαρξη αποκλίσεων κατά την εκτέλεση και εφαρμογή της οδηγίας 95/46/ΕΚ. Αυτή η διαφορά ως προς τα επίπεδα προστασίας οφείλεται στην ύπαρξη αποκλίσεων κατά την εκτέλεση και εφαρμογή της οδηγίας [95/46].

(10)

Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […] Ο παρών κανονισμός παρέχει επίσης περιθώρια χειρισμού στα κράτη μέλη, ώστε να εξειδικεύσουν τους κανόνες του, συμπεριλαμβανομένων αυτών που αφορούν την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα (“ευαίσθητα δεδομένα”). […]

(11)

Η αποτελεσματική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση και τον λεπτομερή καθορισμό των δικαιωμάτων των υποκειμένων των δεδομένων, καθώς και των υποχρεώσεων όσων επεξεργάζονται και καθορίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και των αντίστοιχων εξουσιών παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα και των αντίστοιχων κυρώσεων για τις παραβιάσεις στα κράτη μέλη.

[…]

(13)

Για να διασφαλιστεί συνεκτικό επίπεδο προστασίας των φυσικών προσώπων σε ολόκληρη την Ένωση και προς αποφυγή αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα στην εσωτερική αγορά, απαιτείται κανονισμός ο οποίος θα κατοχυρώνει την ασφάλεια δικαίου και τη διαφάνεια για τους οικονομικούς παράγοντες, περιλαμβανομένων των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων, και θα προβλέπει για τα φυσικά πρόσωπα σε όλα τα κράτη μέλη το ίδιο επίπεδο νομικά εκτελεστών δικαιωμάτων και υποχρεώσεων, καθώς και ευθυνών για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία, ώστε να διασφαλιστεί η συνεκτική παρακολούθηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και οι ισοδύναμες κυρώσεις σε όλα τα κράτη μέλη και η αποτελεσματική συνεργασία μεταξύ των εποπτικών αρχών των διάφορων κρατών μελών. […]

[…]

(35)

Τα δεδομένα προσωπικού χαρακτήρα σχετικά με την υγεία θα πρέπει να περιλαμβάνουν όλα τα δεδομένα που αφορούν την κατάσταση της υγείας του υποκειμένου των δεδομένων και τα οποία αποκαλύπτουν πληροφορίες για την παρελθούσα, τρέχουσα ή μελλοντική κατάσταση της σωματικής ή ψυχικής υγείας του υποκειμένου των δεδομένων. […]

[…]

(51)

Δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαίτερα ευαίσθητα σε σχέση με θεμελιώδη δικαιώματα και ελευθερίες χρήζουν ειδικής προστασίας, καθότι το πλαίσιο της επεξεργασίας τους θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις ελευθερίες. […] Τέτοια δεδομένα προσωπικού χαρακτήρα δεν θα πρέπει να υποβάλλονται σε επεξεργασία, εκτός εάν η επεξεργασία επιτρέπεται σε ειδικές περιπτώσεις που προβλέπονται στον παρόντα κανονισμό, λαμβάνοντας υπόψη ότι το δίκαιο των κρατών μελών μπορεί να προβλέπει ειδικές διατάξεις για την προστασία των δεδομένων, προκειμένου να προσαρμόζεται η εφαρμογή των κανόνων του παρόντος κανονισμού λόγω συμμόρφωσης προς νομική υποχρέωση ή λόγω εκπλήρωσης καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Εκτός από τις ειδικές απαιτήσεις στις οποίες υπάγεται η εν λόγω επεξεργασία, θα πρέπει να εφαρμόζονται οι γενικές αρχές και οι λοιποί κανόνες του παρόντος κανονισμού, ιδίως σε ό,τι αφορά τους όρους νόμιμης επεξεργασίας. Παρεκκλίσεις από τη γενική απαγόρευση επεξεργασίας δεδομένων προσωπικού χαρακτήρα που υπάγονται στις εν λόγω ειδικές κατηγορίες θα πρέπει να προβλέπονται ρητώς, μεταξύ άλλων, σε περίπτωση ρητής συγκατάθεσης του υποκειμένου των δεδομένων ή όταν πρόκειται για ειδικές ανάγκες, ιδίως όταν η επεξεργασία διενεργείται στο πλαίσιο θεμιτών δραστηριοτήτων ορισμένων ενώσεων ή ιδρυμάτων, σκοπός των οποίων είναι να επιτρέπουν την άσκηση των θεμελιωδών ελευθεριών.

[…]

(53)

Η επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα που χρήζουν υψηλότερης προστασίας θα πρέπει να γίνεται μόνο για σκοπούς που σχετίζονται με την υγεία, εφόσον αυτό είναι απαραίτητο για την επίτευξη των εν λόγω στόχων, προς όφελος των φυσικών προσώπων και της κοινωνίας στο σύνολό της, ιδίως στο πλαίσιο της διαχείρισης των υπηρεσιών και συστημάτων υγειονομικής περίθαλψης […] Συνεπώς, ο παρών κανονισμός θα πρέπει να προβλέπει εναρμονισμένες προϋποθέσεις για την επεξεργασία των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία, σε σχέση με ειδικές ανάγκες, ιδίως όταν η επεξεργασία των εν λόγω δεδομένων πραγματοποιείται για ορισμένους σκοπούς που αφορούν την υγεία από πρόσωπα που υπέχουν νομική υποχρέωση τήρησης επαγγελματικού απορρήτου. Το δίκαιο της Ένωσης ή των κρατών μελών θα πρέπει να προβλέπει ειδικά και κατάλληλα μέτρα για την προστασία των θεμελιωδών δικαιωμάτων και των δεδομένων προσωπικού χαρακτήρα των φυσικών προσώπων. Τα κράτη μέλη θα πρέπει να μπορούν να διατηρούν ή να θεσπίζουν περαιτέρω όρους, μεταξύ άλλων και περιορισμούς, όσον αφορά την επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων ή δεδομένων που αφορούν την υγεία. […]

[…]

(141)

Κάθε υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να υποβάλει καταγγελία σε μία μόνη εποπτική αρχή, ιδίως στο κράτος μέλος της συνήθους διαμονής του, και το δικαίωμα πραγματικής δικαστικής προσφυγής σύμφωνα με το άρθρο 47 του [Χάρτη των θεμελιωδών δικαιωμάτων της Ευρωπαϊκής Ένωσης, στο εξής: Χάρτης], εφόσον θεωρεί ότι παραβιάζονται τα δικαιώματά του βάσει του παρόντος κανονισμού ή όταν η εποπτική αρχή δεν δίνει συνέχεια σε μια καταγγελία, απορρίπτει εν όλω ή εν μέρει ή κρίνει απαράδεκτη μια καταγγελία ή δεν ενεργεί ενώ οφείλει να ενεργήσει για να προστατεύσει τα δικαιώματα του υποκειμένου των δεδομένων. […]

(142)

Όταν το υποκείμενο των δεδομένων θεωρεί ότι παραβιάζονται τα δικαιώματά του βάσει του παρόντος κανονισμού, θα πρέπει να έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργανισμό ή οργάνωση που έχει συσταθεί σύμφωνα με το δίκαιο κράτους μέλος, διαθέτει καταστατικούς σκοπούς που είναι προς το δημόσιο συμφέρον και δραστηριοποιείται στον τομέα της προστασίας των δεδομένων προσωπικού χαρακτήρα, να υποβάλει καταγγελία εξ ονόματός του σε εποπτική αρχή, να ασκήσει το δικαίωμα δικαστικής προσφυγής για λογαριασμό των υποκειμένων των δεδομένων ή, εφόσον προβλέπεται από το δίκαιο κράτους μέλους, το δικαίωμα να λάβει αποζημίωση για λογαριασμό των υποκειμένων των δεδομένων. Κράτος μέλος μπορεί να προβλέπει ότι αυτός ο φορέας, οργανισμός ή οργάνωση να έχει το δικαίωμα να υποβάλει σε αυτό το κράτος μέλος καταγγελία, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, και δικαίωμα πραγματικής δικαστικής προσφυγής, όταν έχει λόγους να θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά παράβαση του παρόντος κανονισμού. Ο εν λόγω φορέας, οργανισμός ή οργάνωση ενδέχεται να μην έχει το δικαίωμα να απαιτεί αποζημίωση για λογαριασμό του υποκειμένου των δεδομένων, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων.»

Το άρθρο 1 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει τα εξής:

«1. Ο παρών κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα.

2. Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.

3. Η ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης δεν περιορίζεται ούτε απαγορεύεται για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.»

Το άρθρο 4 του εν λόγω κανονισμού προβλέπει τα εξής:

«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:

“δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,

“επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,

[…]

“υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,

[…]

15)	“δεδομένα που αφορούν την υγεία”: δεδομένα προσωπικού χαρακτήρα τα οποία σχετίζονται με τη σωματική ή ψυχική υγεία ενός φυσικού προσώπου, περιλαμβανομένης της παροχής υπηρεσιών υγειονομικής φροντίδας, και τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας του,

[…]

21)	“εποπτική αρχή”: ανεξάρτητη δημόσια αρχή που συγκροτείται από κράτος μέλος σύμφωνα με το άρθρο 51,

[…]».

7	Το κεφάλαιο II του ΓΚΠΔ, το οποίο τιτλοφορείται «Αρχές», περιλαμβάνει τα άρθρα 5 έως 11.

8	Στο άρθρο 5 του κανονισμού αυτού διατυπώνονται οι αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ενώ στο άρθρο 6 καθορίζονται οι προϋποθέσεις νομιμότητας της επεξεργασίας αυτής.

Κατά το άρθρο 9 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα»:

«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.

2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:

α)

το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων,

[…]

η)

η επεξεργασία είναι απαραίτητη για σκοπούς προληπτικής ή επαγγελματικής ιατρικής, εκτίμησης της ικανότητας προς εργασία του εργαζομένου, ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας ή διαχείρισης υγειονομικών και κοινωνικών συστημάτων και υπηρεσιών βάσει του ενωσιακού δικαίου ή του δικαίου κράτους μέλους ή δυνάμει σύμβασης με επαγγελματία του τομέα της υγείας και με την επιφύλαξη των προϋποθέσεων και των εγγυήσεων που αναφέρονται στην παράγραφο 3,

[…]».

Το άρθρο 51 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:

«Κάθε κράτος μέλος διασφαλίζει ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του παρόντος κανονισμού, με σκοπό την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της [επεξεργασίας] και τη διευκόλυνση της ελεύθερης κυκλοφορίας δεδομένων προσωπικού χαρακτήρα στην Ένωση (“εποπτική αρχή”).»

11	Το κεφάλαιο VIII του ΓΚΠΔ, το οποίο επιγράφεται «Προσφυγές, ευθύνη και κυρώσεις», περιλαμβάνει τα άρθρα 77 έως 84 του κανονισμού.

Το άρθρο 77 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.»

Το άρθρο 78 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά αρχής ελέγχου», ορίζει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.»

Το άρθρο 79 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία», προβλέπει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη κάθε διαθέσιμης διοικητικής ή μη δικαστικής προσφυγής, συμπεριλαμβανομένου του δικαιώματος υποβολής καταγγελίας σε εποπτική αρχή δυνάμει του άρθρου 77, έκαστο υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής εάν θεωρεί ότι τα δικαιώματά του που απορρέουν από τον παρόντα κανονισμό παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του που το αφορούν κατά παράβαση του παρόντος κανονισμού.»

Το άρθρο 80 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εκπροσώπηση υποκειμένων των δεδομένων», ορίζει τα εξής:

«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργάνωση ή ένωση που έχει συσταθεί δεόντως σύμφωνα με το δίκαιο κράτους μέλους, διαθέτει καταστατικούς σκοπούς που είναι γενικού συμφέροντος και δραστηριοποιείται στον τομέα της προστασίας των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων σε σχέση με την προστασία των δεδομένων τους προσωπικού χαρακτήρα να υποβάλει την καταγγελία για λογαριασμό του και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 77, 78 και 79 για λογαριασμό του και να ασκήσει το δικαίωμα αποζημίωσης που αναφέρεται στο άρθρο 82 εξ ονόματός του, εφόσον προβλέπεται από το δίκαιο του κράτους μέλους.

2. Τα κράτη μέλη μπορούν να προβλέπουν ότι κάθε φορέας, οργάνωση ή ένωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου έχει το δικαίωμα, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, να υποβάλει στο εν λόγω κράτος μέλος καταγγελία στην εποπτική αρχή που είναι αρμόδια δυνάμει του άρθρου 77 και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 78 και 79, εφόσον θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του παρόντος κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας.»

Το άρθρο 82 του ως άνω κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα αποζημίωσης και ευθύνη», ορίζει στην παράγραφο 1 τα εξής:

«Κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη.»

Το άρθρο 83 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Γενικοί όροι επιβολής διοικητικών προστίμων», προβλέπει στην παράγραφο 1 τα εξής:

«Κάθε εποπτική αρχή μεριμνά ώστε η επιβολή διοικητικών προστίμων σύμφωνα με το παρόν άρθρο έναντι παραβάσεων του παρόντος κανονισμού που αναφέρονται στις παραγράφους 4, 5 και 6 να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματική, αναλογική και αποτρεπτική.»

Το άρθρο 84 του ίδιου κανονισμού, το οποίο επιγράφεται «Κυρώσεις», προβλέπει στην παράγραφο 1 τα εξής:

«Τα κράτη μέλη θεσπίζουν τους κανόνες σχετικά με τις άλλες κυρώσεις που επιβάλλονται για παραβάσεις του παρόντος κανονισμού, ιδίως για τις παραβάσεις που δεν αποτελούν αντικείμενο διοικητικών προστίμων δυνάμει του άρθρου 83, και λαμβάνουν όλα τα αναγκαία μέτρα για να διασφαλιστεί ότι εφαρμόζονται. Οι εν λόγω κυρώσεις είναι αποτελεσματικές, αναλογικές και αποτρεπτικές.»

19	Το άρθρο 94 του ΓΚΠΔ προβλέπει στην παράγραφο 1 τα εξής: «Η οδηγία [95/46] καταργείται από τις 25 Μαΐου 2018.»

20	Κατά το άρθρο 99 του κανονισμού αυτού: «1. Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης. 2. Τίθεται σε εφαρμογή από τις 25 Μαΐου 2018.»

Το γερμανικό δίκαιο

Ο νόμος περί αθέμιτου ανταγωνισμού

Το άρθρο 3 του Gesetz gegen den unlauteren Wettbewerb (νόμου περί αθέμιτου ανταγωνισμού), της 3ης Ιουλίου 2004 (BGBl. 2004 I, σ. 1414), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης (στο εξής: UWG), το οποίο επιγράφεται «Απαγόρευση αθέμιτων εμπορικών συμπεριφορών», προβλέπει στην παράγραφο 1 τα εξής:

«Απαγορεύονται οι αθέμιτες εμπορικές πρακτικές.»

Το άρθρο 3a του UWG, το οποίο φέρει τον τίτλο «Παραβίαση της νομοθεσίας», έχει ως εξής:

«Αθέμιτα ενεργεί όποιος παραβαίνει διάταξη του νόμου η οποία έχει ως σκοπό, μεταξύ άλλων, να ρυθμίσει τη συναλλακτική συμπεριφορά προς το συμφέρον των συναλλασσομένων στη σχετική αγορά και η παράβαση είναι ικανή να βλάψει σημαντικά τα συμφέροντα των καταναλωτών, άλλων φορέων της αγοράς ή των ανταγωνιστών.»

Το άρθρο 8 του UWG, το οποίο φέρει τον τίτλο «Άρση και παράλειψη», ορίζει τα εξής:

«(1) Στις περιπτώσεις αθέμιτων εμπορικών πρακτικών κατά την έννοια των άρθρων 3 ή 7, μπορεί να διαταχθεί η άρση και, σε περίπτωση κινδύνου υποτροπής, η παράλειψή τους στο μέλλον. […]

[…]

(3) Την αξίωση της παραγράφου 1 μπορούν να ασκήσουν:

1.	κάθε ανταγωνιστής ο οποίος εμπορεύεται ή ζητεί αγαθά ή υπηρεσίες σε σημαντικό βαθμό και όχι μόνο περιστασιακά,

[…]».

Ο νόμος περί φαρμάκων

Η κυκλοφορία των φαρμάκων διέπεται από τον Gesetz über den Verkehr mit Arzneimitteln (νόμο περί εμπορίας φαρμάκων), της 24ης Αυγούστου 1976 (BGBl. 1976 I, σ. 2444), όπως δημοσιεύθηκε στις 12 Δεκεμβρίου 2005 (BGBl. 2005 I, σ. 3394) και ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης, ο οποίος διακρίνει μεταξύ των διατιθέμενων από τα φαρμακεία φαρμάκων και των διατιθέμενων με ιατρική συνταγή φαρμάκων, τα οποία ρυθμίζονται στο άρθρο 48 με τίτλο «Υποχρέωση συνταγογράφησης».

Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα

Ο ND, ο οποίος εκμεταλλεύεται φαρμακείο υπό την εμπορική ονομασία «Lindenapotheke», εμπορεύεται, από το 2017, μέσω της διαδικτυακής πλατφόρμας «Amazon-Marketplace» (στο εξής: Amazon), φάρμακα τα οποία πρέπει να διατίθενται αποκλειστικά από φαρμακεία. Κατά τη διαδικτυακή παραγγελία των φαρμάκων, οι πελάτες του ND οφείλουν να παρέχουν πληροφορίες, όπως το όνομά τους, τη διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των φαρμάκων.

Ο DR, ο οποίος εκμεταλλεύεται και αυτός φαρμακείο, άσκησε ενώπιον του Landgericht Dessau-Roßlau (πρωτοδικείου Dessau-Roßlau, Γερμανία) αγωγή με αίτημα να διαταχθεί ο ND να παύσει, επ’ απειλή χρηματικής ποινής, την εμπορία, μέσω της Amazon, φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, διότι δεν διασφαλίζεται η δυνατότητα του πελάτη να παράσχει την προηγούμενη συγκατάθεσή του για την επεξεργασία δεδομένων που αφορούν την υγεία.

Προς στήριξη της αγωγής του, ο DR ισχυρίστηκε ότι η εμπορία μέσω της Amazon φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία ήταν αθέμιτη λόγω της μη τήρησης νομικών απαιτήσεων σχετικών με τη λήψη της συγκατάθεσης του πελάτη την οποία απαιτεί η νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα.

28	Με απόφαση της 28ης Μαρτίου 2018, το Landgericht Dessau-Roßlau (πρωτοδικείο Dessau-Roßlau) δέχθηκε την αγωγή.

29	Ο ND άσκησε έφεση κατά της πρωτοβάθμιας απόφασης ενώπιον του Oberlandesgericht Naumburg (εφετείου Naumburg, Γερμανία), το οποίο την απέρριψε με απόφαση της 7ης Νοεμβρίου 2019.

Το εφετείο έκρινε ότι η εμπορία μέσω της Amazon φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία συνιστά πρακτική αθέμιτη και, ως εκ τούτου, παράνομη, δυνάμει του άρθρου 3, παράγραφος 1, του UWG. Συγκεκριμένα, αποφάνθηκε ότι μια τέτοια εμπορία φαρμάκων συνεπάγεται επεξεργασία δεδομένων που αφορούν την υγεία, η οποία απαγορεύεται δυνάμει του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, ελλείψει ρητής συγκατάθεσης των πελατών που αγοράζουν τα φάρμακα, σύμφωνα με το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του κανονισμού αυτού. Οι κανόνες που προβλέπει ο εν λόγω κανονισμός αποτελούν νομικές διατάξεις οι οποίες αποσκοπούν στη ρύθμιση της συμπεριφοράς στην αγορά, κατά την έννοια του άρθρου 3a του UWG. Επιπλέον, κατ’ εφαρμογήν του άρθρου 8, παράγραφος 3, σημείο 1, του UWG, ο DR νομιμοποιείται, ως ανταγωνιστής, να επικαλεστεί παράβαση των κανόνων αυτών από τον ND, ασκώντας αγωγή παραλείψεως ενώπιον των πολιτικών δικαστηρίων.

31	Ο ND άσκησε αναίρεση (Revision) ενώπιον του Bundesgerichtshof (Ανωτάτου Ομοσπονδιακού Δικαστηρίου, Γερμανία), ήτοι του αιτούντος δικαστηρίου.

32	Το αιτούν δικαστήριο επισημαίνει ότι η έκβαση της διαφοράς εξαρτάται από την ερμηνεία των διατάξεων του κεφαλαίου VIII του ΓΚΠΔ και του άρθρου 9, παράγραφος 1, του κανονισμού αυτού, καθώς και του άρθρου 8, παράγραφος 1, της οδηγίας 95/46.

Κατά πρώτον, το αιτούν δικαστήριο διερωτάται αν, μετά την κατάργηση της οδηγίας 95/46 από τις 25 Μαΐου 2018, ημερομηνία από την οποία τέθηκε σε εφαρμογή ο ΓΚΠΔ, τα κράτη μέλη εξακολουθούν να έχουν τη δυνατότητα να προβλέπουν στο εθνικό τους δίκαιο ότι οι ανταγωνιστές μιας επιχείρησης, όπως οι αναφερόμενοι στο άρθρο 8, παράγραφος 3, σημείο 1, του UWG, νομιμοποιούνται να ασκήσουν αγωγή ενώπιον πολιτικού δικαστηρίου, επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, αξιώνοντας την παύση των παραβάσεων των διατάξεων του ΓΚΠΔ τις οποίες διαπράττει η επιχείρηση αυτή.

Το αιτούν δικαστήριο παρατηρεί ότι στο ερώτημα αυτό έχουν δοθεί αποκλίνουσες απαντήσεις σε εθνικό επίπεδο. Συγκεκριμένα, δεν μπορεί να συναχθεί σαφής απάντηση ούτε από το γράμμα των διατάξεων του κεφαλαίου VIII του ΓΚΠΔ, ούτε από τη γενική οικονομία των διατάξεων αυτών, ούτε καν από τον σκοπό που επιδιώκει ο εν λόγω κανονισμός.

Ειδικότερα, κατ’ αρχάς, όσον αφορά το γράμμα των διατάξεων του κεφαλαίου VIII του ΓΚΠΔ, το αιτούν δικαστήριο υπογραμμίζει ότι, πράγματι, οι διατάξεις αυτές ουδόλως μνημονεύουν τη δυνατότητα των ανταγωνιστών μιας επιχείρησης να ασκήσουν αγωγή κατ’ αυτής, ειδικώς όταν η παραβίαση της νομοθεσίας για την προστασία των δεδομένων συνιστά αθέμιτη εμπορική πρακτική. Ταυτοχρόνως, όμως, οι εν λόγω διατάξεις δεν αποκλείουν ρητώς μια τέτοια δυνατότητα.

Εν συνεχεία, όσον αφορά την όλη οικονομία των διατάξεων του κεφαλαίου VIII του ΓΚΠΔ, το αιτούν δικαστήριο υπογραμμίζει, αφενός, ότι, όπως έκρινε το Δικαστήριο με την απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322, σκέψη 57), ο κανονισμός αυτός σκοπεί να διασφαλίσει την κατ’ αρχήν πλήρη εναρμόνιση των εθνικών νομοθεσιών περί προστασίας των δεδομένων προσωπικού χαρακτήρα. Ωστόσο, αφετέρου, το γεγονός ότι το άρθρο 77, παράγραφος 1, το άρθρο 78, παράγραφοι 1 και 2, και το άρθρο 79, παράγραφος 1, του ΓΚΠΔ περιέχουν τη φράση «με την επιφύλαξη κάθε άλλης […] προσφυγής» θα μπορούσε να σημαίνει ότι δεν επιτρέπεται να συναχθεί το συμπέρασμα ότι ο έλεγχος της εφαρμογής του δικαίου έχει ρυθμιστεί εξαντλητικά.

Τέλος, όσον αφορά τον σκοπό της εναρμόνισης και, ειδικότερα, της ομοιογενοποίησης του επιπέδου ελέγχου της εφαρμογής του δικαίου εντός της Ένωσης, τον οποίο επιδιώκει ο ΓΚΠΔ, το αιτούν δικαστήριο υπογραμμίζει, αφενός, ότι το γεγονός ότι είναι δυνατόν οι ανταγωνιστές να νομιμοποιούνται ενεργητικώς βάσει του δικαίου του ανταγωνισμού και, ως εκ τούτου, να επιτυγχάνουν την εφαρμογή των διατάξεων του δικαίου περί προστασίας των δεδομένων χρησιμοποιώντας μέσα πέραν εκείνων που προβλέπει ο ΓΚΠΔ ενδέχεται να αντιβαίνει στον προαναφερθέντα σκοπό. Επιπλέον, δεν είναι βέβαιο ότι το σύστημα ελέγχου της εφαρμογής του προβλεπόμενου από τον εν λόγω κανονισμό δικαίου παρουσιάζει κενό το οποίο θα πρέπει να καλυφθεί με τη δυνατότητα που αναγνωρίζεται στους ανταγωνιστές να νομιμοποιούνται ενεργητικώς βάσει του δικαίου του ανταγωνισμού. Ομοίως, η παράλληλη αρμοδιότητα των εποπτικών αρχών και των πολιτικών δικαστηρίων στον τομέα της εφαρμογής του δικαίου περί προστασίας των δεδομένων ενέχει τον κίνδυνο να θιγούν οι εξουσίες των εποπτικών αρχών και να δημιουργηθούν αποκλίσεις, εντός της Ένωσης, όσον αφορά τον έλεγχο της εφαρμογής του δικαίου περί προστασίας των δεδομένων.

Αφετέρου, κατά το αιτούν δικαστήριο, η αναγνώριση στους ανταγωνιστές του δικαιώματος άσκησης αγωγής βάσει του δικαίου του ανταγωνισμού μπορεί να αποτελέσει πρόσθετη δυνατότητα ελέγχου της εφαρμογής του δικαίου, η οποία είναι ευκταία σύμφωνα με την αρχή της αποτελεσματικότητας («πρακτική αποτελεσματικότητα»), προκειμένου να διασφαλιστεί όσο το δυνατόν υψηλότερο επίπεδο προστασίας στον τομέα των δεδομένων προσωπικού χαρακτήρα, σύμφωνα με την αιτιολογική σκέψη 10 του ΓΚΠΔ.

Το αιτούν δικαστήριο επισημαίνει ότι το ζήτημα αυτό δεν έχει αποσαφηνιστεί από τη νομολογία του Δικαστηρίου και ότι, ειδικότερα, με την απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322), το Δικαστήριο επιφυλάχθηκε ρητώς ως προς το ζήτημα της ενεργητικής νομιμοποίησης ανταγωνιστή.

Κατά δεύτερον, το αιτούν δικαστήριο διερωτάται αν τα δεδομένα τα οποία οι πελάτες πρέπει να εισαγάγουν στη διαδικτυακή πλατφόρμα πωλήσεων κατά την παραγγελία φαρμάκων, όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των φαρμάκων που παραγγέλλονται, συνιστούν «δεδομένα που αφορούν την υγεία» κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ.

Κατά το αιτούν δικαστήριο, η απάντηση στο ερώτημα αυτό δεν είναι προφανής στην περίπτωση κατά την οποία δεν απαιτείται ιατρική συνταγή για τα φάρμακα που παραγγέλλονται. Συγκεκριμένα, σε μια τέτοια περίπτωση, δεν αποκλείεται τα φάρμακα να μην προορίζονται για τους ίδιους τους πελάτες, αλλά για τρίτους, των οποίων η ταυτότητα δεν μπορεί να εξακριβωθεί.

42	Το αιτούν δικαστήριο υπογραμμίζει ότι το γράμμα των διατάξεων αυτών και το γράμμα του άρθρου 4, σημείο 15, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική σκέψη 35 του κανονισμού αυτού, δεν καθιστούν, αφ’ εαυτών, δυνατό να δοθεί απάντηση στο συγκεκριμένο ερώτημα.

Πάντως, στη σκέψη 125 της απόφασης της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), το Δικαστήριο έκρινε ότι η έννοια των «ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα» κατά το άρθρο 8, παράγραφος 1, της οδηγίας 95/46 και κατά το άρθρο 9, παράγραφος 1, του ΓΚΠΔ, πρέπει να ερμηνεύεται ευρέως, λαμβανομένου υπόψη του σκοπού του κανονισμού αυτού, ο οποίος συνίσταται στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, ιδίως της ιδιωτικής τους ζωής, έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν. Αν γίνει δεκτή μια τέτοια ευρεία ερμηνεία της ως άνω έννοιας, μπορεί να συναχθεί το συμπέρασμα ότι οι πληροφορίες αυτές συνιστούν δεδομένα που αφορούν την υγεία όταν δεν είναι βέβαιο, αλλά μόνον πιθανό, ότι τα φάρμακα αυτά προορίζονται για τον πελάτη που τα παραγγέλνει.

Το αιτούν δικαστήριο διευκρινίζει ότι η αξίωση προς παράλειψη, την οποία επικαλείται ο DR, προϋποθέτει ότι η επίμαχη συμπεριφορά του ND ήταν παράνομη τόσο κατά το χρονικό σημείο κατά το οποίο αυτή η συμπεριφορά έλαβε χώρα όσο και κατά το χρονικό σημείο της επ’ ακροατηρίου συζητήσεως στο πλαίσιο της αναιρετικής δίκης (Revision) και ότι κατά το πρώτο από τα χρονικά αυτά σημεία εξακολουθούσε να έχει εφαρμογή το άρθρο 8, παράγραφος 1, της οδηγίας 95/46, ενώ ως προς το δεύτερο έχει πλέον εφαρμογή το άρθρο 9, παράγραφος 1, του ΓΚΠΔ.

Υπό τις συνθήκες αυτές, το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

«1)

Αντιτίθενται οι ρυθμίσεις του κεφαλαίου VIIΙ του [ΓΚΠΔ] προς εθνικές ρυθμίσεις οι οποίες –πέραν των εξουσιών παρεμβάσεως των αρμοδίων για την παρακολούθηση και τη διασφάλιση της εφαρμογής του κανονισμού εποπτικών αρχών και πέραν των δυνατοτήτων έννομης προστασίας των υποκειμένων των δεδομένων– αναγνωρίζουν σε ανταγωνιστές, στην περίπτωση παραβάσεων του εν λόγω κανονισμού, ενεργητική νομιμοποίηση προς άσκηση αγωγής κατά του παραβάτη ενώπιον των πολιτικών δικαστηρίων επί τη βάσει της απαγορεύσεως των αθεμίτων εμπορικών πρακτικών;

Αποτελούν τα δεδομένα τα οποία οι πελάτες φαρμακοποιού, ο οποίος εμφανίζεται ως πωλητής σε διαδικτυακή πλατφόρμα πωλήσεων, εισάγουν στην πλατφόρμα αυτή, κατά την παραγγελία φαρμάκων που διατίθενται μεν αποκλειστικά από φαρμακεία, πλην όμως δεν απαιτούν ιατρική συνταγή (όνομα του πελάτη, διεύθυνση παραδόσεως και πληροφορίες αναγκαίες για την εξατομίκευση του παραγγελθέντος φαρμάκου που διατίθεται αποκλειστικά από φαρμακεία), δεδομένα που αφορούν την υγεία κατά την έννοια του άρθρου 9, παράγραφος 1, του [ΓΚΠΔ], καθώς και δεδομένα προσωπικού χαρακτήρα που παρέχουν πληροφορίες για την υγεία κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46;»

Επί των προδικαστικών ερωτημάτων

Επί του πρώτου προδικαστικού ερωτήματος

Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν οι διατάξεις του κεφαλαίου VIII του ΓΚΠΔ έχουν την έννοια ότι αντιτίθενται σε εθνική ρύθμιση η οποία, παράλληλα με τις εξουσίες παρέμβασης των εποπτικών αρχών που είναι επιφορτισμένες με την εποπτεία και την εφαρμογή του κανονισμού αυτού καθώς και παράλληλα με τις δυνατότητες προσφυγής των υποκειμένων των δεδομένων, παρέχει στους ανταγωνιστές του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα ενεργητική νομιμοποίηση για την άσκηση αγωγής κατ’ αυτού ενώπιον των πολιτικών δικαστηρίων, λόγω παραβάσεων των διατάξεων του εν λόγω κανονισμού και επί τη βάσει της απαγόρευσης των αθέμιτων εμπορικών πρακτικών.

Υπενθυμίζεται, προκαταρκτικώς, ότι το κεφάλαιο VIII του ΓΚΠΔ ρυθμίζει, μεταξύ άλλων, τα μέσα έννομης προστασίας που καθιστούν δυνατή την προστασία των δικαιωμάτων του υποκειμένου των δεδομένων όταν τα δεδομένα προσωπικού χαρακτήρα που το αφορούν έχουν υποστεί επεξεργασία η οποία φέρεται ότι αντιβαίνει στις διατάξεις του κανονισμού αυτού. Επομένως, την προστασία των δικαιωμάτων αυτών μπορεί να ζητήσει είτε απευθείας το υποκείμενο των δεδομένων, κατ’ εφαρμογήν των άρθρων 77 έως 79 του κανονισμού αυτού, είτε νομιμοποιούμενη οντότητα, ανεξαρτήτως του αν έχει δοθεί σχετική εντολή, βάσει του άρθρου 80 του εν λόγω κανονισμού (πρβλ. απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 53).

Πράγματι, αφενός, το άρθρο 77, παράγραφος 1, του ΓΚΠΔ προβλέπει ότι, με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή. Κατά το άρθρο 78, παράγραφος 1, του εν λόγω κανονισμού, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά, με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής. Το άρθρο 79, παράγραφος 1, του ίδιου κανονισμού εξασφαλίζει σε έκαστο υποκείμενο των δεδομένων το δικαίωμα πραγματικής δικαστικής προσφυγής, με την επιφύλαξη κάθε διαθέσιμης διοικητικής ή μη δικαστικής προσφυγής, συμπεριλαμβανομένου του δικαιώματος υποβολής καταγγελίας σε εποπτική αρχή δυνάμει του άρθρου 77 του ίδιου κανονισμού.

Αφετέρου, σύμφωνα με το άρθρο 80, παράγραφος 1, του ΓΚΠΔ, το υποκείμενο των δεδομένων έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργάνωση ή ένωση, υπό ορισμένες προϋποθέσεις, να υποβάλει καταγγελία ή να ασκήσει για λογαριασμό του τα αναφερόμενα στα άρθρα 77 έως 79 του ΓΚΠΔ δικαιώματα. Επιπλέον, κατά το άρθρο 80, παράγραφος 2, του εν λόγω κανονισμού, τα κράτη μέλη μπορούν να προβλέπουν ότι κάθε φορέας, οργάνωση ή ένωση έχει το δικαίωμα, ανεξάρτητα από τυχόν ανάθεση εντολής από το υποκείμενο των δεδομένων, να υποβάλει, εντός του οικείου κράτους μέλους, καταγγελία στην εποπτική αρχή και να ασκήσει τα δικαιώματα αυτά, εφόσον θεωρεί ότι τα απορρέοντα από τον κανονισμό δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

Εν προκειμένω, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο προκύπτει ότι ο ND, ο οποίος εκμεταλλεύεται φαρμακείο, εμπορεύεται μέσω της Amazon φάρμακα τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, και ότι, κατά τη διαδικτυακή παραγγελία των φαρμάκων αυτών, οι πελάτες οφείλουν να παρέχουν δεδομένα, όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των εν λόγω φαρμάκων. Εντούτοις, η αγωγή ενώπιον πολιτικού δικαστηρίου στην υπόθεση της κύριας δίκης δεν ασκήθηκε από τους πελάτες αυτούς, οι οποίοι είναι υποκείμενα των δεδομένων κατά την έννοια του άρθρου 4, παράγραφος 1, του ΓΚΠΔ, βάσει του άρθρου 79 του κανονισμού αυτού, ούτε από εξουσιοδοτημένο φορέα, οργάνωση ή ένωση, ανεξάρτητα από τυχόν ανάθεση εντολής προς τούτο εκ μέρους υποκειμένου των δεδομένων, βάσει του άρθρου 80 του εν λόγω κανονισμού, αλλά από ανταγωνιστή του φαρμακοποιού επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, λόγω παράβασης των διατάξεων του ΓΚΠΔ την οποία φέρεται ότι διέπραξε ο εν λόγω φαρμακοποιός.

51	Επομένως, η υπόθεση της κύριας δίκης εγείρει το ζήτημα αν αντιβαίνει στον ΓΚΠΔ η ύπαρξη νομιμοποίησης ανταγωνιστή όπως ο DR, ο οποίος δεν είναι υποκείμενο δεδομένων κατά την έννοια του άρθρου 4, σημείο 1, του κανονισμού αυτού, προς άσκηση τέτοιας αγωγής ενώπιον των εθνικών πολιτικών δικαστηρίων.

Συναφώς, υπενθυμίζεται ότι, για την ερμηνεία διάταξης του δικαίου της Ένωσης, πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο εντάσσεται και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος (απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 32).

Όσον αφορά το γράμμα των διατάξεων του κεφαλαίου VIII του ΓΚΠΔ, διαπιστώνεται ότι καμία από αυτές δεν αποκλείει ρητώς τη δυνατότητα του ανταγωνιστή επιχείρησης να ασκήσει αγωγή κατά της επιχείρησης αυτής ενώπιον των πολιτικών δικαστηρίων επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, λόγω της προβαλλόμενης παράβασης εκ μέρους της επιχείρησης αυτής των υποχρεώσεων που προβλέπει ο ΓΚΠΔ. Αντιθέτως, από το γράμμα του άρθρου 77, παράγραφος 1, του άρθρου 78, παράγραφος 1, και του άρθρου 79, παράγραφος 1, του κανονισμού αυτού, τα οποία υπομνήσθηκαν στη σκέψη 48 της παρούσας απόφασης, προκύπτει ότι τα δικαιώματα τα οποία προβλέπονται στις διατάξεις αυτές, ήτοι το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή και το δικαίωμα πραγματικής δικαστικής προσφυγής κατά μιας τέτοιας αρχής και κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία, νοούνται «με την επιφύλαξη» κάθε άλλης διοικητικής, δικαστικής ή εξωδικαστικής προσφυγής.

Όσον αφορά το πλαίσιο στο οποίο εντάσσεται το κεφάλαιο VIII του ΓΚΠΔ, επισημαίνεται ότι ο κανονισμός αυτός περιέχει, στο κεφάλαιο II, ένα σύνολο ουσιαστικών διατάξεων που αφορούν, μεταξύ άλλων, τις διαλαμβανόμενες στο άρθρο του 5 αρχές σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και τις διαλαμβανόμενες στο άρθρο του 6 προϋποθέσεις νομιμότητας της επεξεργασίας, οι οποίες αποσκοπούν στη διασφάλιση του πλήρους σεβασμού, μεταξύ άλλων, του θεμελιώδους δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων, το οποίο κατοχυρώνεται στο άρθρο 16, παράγραφος 1, ΣΛΕΕ και στο άρθρο 8 του Χάρτη. Η απουσία διατάξεων στο κεφάλαιο VIII του ΓΚΠΔ οι οποίες να προβλέπουν ότι οι ανταγωνιστές μιας επιχείρησης, η οποία φέρεται ότι παρέβη τις εν λόγω ουσιαστικές διατάξεις, μπορούν να ασκήσουν αγωγή με αίτημα την παύση της παράβασης αυτής εξηγείται από το γεγονός ότι μόνον τα υποκείμενα των δεδομένων, και όχι οι ανταγωνιστές της επιχείρησης, είναι, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 80 των προτάσεών του, αποδέκτες της προστασίας των δεδομένων προσωπικού χαρακτήρα την οποία εγγυάται ο κανονισμός αυτός.

Τούτου λεχθέντος, μολονότι η παράβαση των εν λόγω ουσιαστικών διατάξεων είναι ικανή να επηρεάσει πρωτίστως τα πρόσωπα τα οποία αφορούν τα επίμαχα δεδομένα, μπορεί επίσης να θίξει τρίτους, όπερ καταδεικνύεται από το γεγονός ότι το άρθρο 82, παράγραφος 1, του ΓΚΠΔ προβλέπει δικαίωμα αποζημίωσης για «κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του [κανονισμού αυτού]». Το Δικαστήριο έχει επίσης διαπιστώσει ότι η παράβαση κανόνα σχετικού με την προστασία των δεδομένων προσωπικού χαρακτήρα μπορεί να συνεπάγεται ταυτόχρονα την παράβαση κανόνων σχετικών με την προστασία των καταναλωτών ή με τις αθέμιτες εμπορικές πρακτικές (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 78) και να συνιστά σημαντική ένδειξη προκειμένου να εκτιμηθεί αν υφίσταται κατάχρηση δεσπόζουσας θέσης κατά την έννοια του άρθρου 102 ΣΛΕΕ [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου),C‑252/21, EU:C:2023:537, σκέψεις 47 και 62].

Στο πλαίσιο αυτό, υπενθυμίζεται ότι η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και η εκμετάλλευσή τους έχουν μείζονα σημασία στο πλαίσιο της ψηφιακής οικονομίας. Πράγματι, η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και η δυνατότητα επεξεργασίας τους έχουν καταστεί σημαντική παράμετρος του ανταγωνισμού μεταξύ επιχειρήσεων της ψηφιακής οικονομίας. Ως εκ τούτου, προκειμένου να ληφθεί υπόψη αυτή η πραγματική εξέλιξη της οικονομίας και να διασφαλιστεί ο θεμιτός ανταγωνισμός, μπορεί να αποδειχθεί αναγκαίο να ληφθούν υπόψη οι κανόνες οι οποίοι διέπουν την προστασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της εφαρμογής του δικαίου του ανταγωνισμού και των κανόνων για τις αθέμιτες εμπορικές πρακτικές [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου),C‑252/21, EU:C:2023:537, σκέψεις 50 και 51].

Επιπλέον, μολονότι από το άρθρο 1, παράγραφος 1, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα, μεταξύ άλλων, των αιτιολογικών του σκέψεων 9 και 13, προκύπτει ότι ο κανονισμός αυτός σκοπεί να διασφαλίσει την κατ’ αρχήν πλήρη εναρμόνιση των εθνικών νομοθεσιών περί προστασίας των δεδομένων προσωπικού χαρακτήρα, εντούτοις πολλές διατάξεις του εν λόγω κανονισμού παρέχουν ρητώς στα κράτη μέλη τη δυνατότητα να θεσπίζουν πρόσθετους εθνικούς κανόνες, αυστηρότερους ή εισάγοντες παρεκκλίσεις, οι οποίοι καταλείπουν στα κράτη μέλη περιθώριο εκτιμήσεως ως προς τον τρόπο με τον οποίο οι εν λόγω διατάξεις μπορούν να τίθενται σε εφαρμογή («ρήτρες ανοίγματος») (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 57).

Το Δικαστήριο έχει κρίνει ότι τούτο ισχύει για το άρθρο 80, παράγραφος 2, του ΓΚΠΔ, το οποίο καταλείπει στα κράτη μέλη περιθώριο εκτιμήσεως όσον αφορά την εφαρμογή του και δεν αντιτίθεται σε εθνική ρύθμιση η οποία επιτρέπει σε ένωση για την προστασία των καταναλωτών να κινηθεί δικαστικώς, χωρίς να της έχει ανατεθεί εντολή προς τούτο και ανεξαρτήτως της ύπαρξης προσβολής συγκεκριμένων δικαιωμάτων των υποκειμένων των δεδομένων, κατά του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, προβάλλοντας, μεταξύ άλλων, την παραβίαση της απαγόρευσης των αθέμιτων εμπορικών πρακτικών, εφόσον η επίμαχη επεξεργασία δεδομένων είναι ικανή να θίξει τα δικαιώματα που αντλούν από τον εν λόγω κανονισμό ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψεις 59 και 83).

Βεβαίως, οι διατάξεις του κεφαλαίου VIII του ΓΚΠΔ δεν προβλέπουν ειδικώς τέτοια ρήτρα ανοίγματος η οποία να παρέχει ρητώς στα κράτη μέλη τη δυνατότητα να προβλέπουν ότι ο ανταγωνιστής επιχείρησης η οποία φέρεται ότι παρέβη τις ουσιαστικές διατάξεις του κανονισμού μπορεί να ασκήσει αγωγή με αίτημα την παύση της εν λόγω παράβασης.

Παρά ταύτα, από το γράμμα και το πλαίσιο στο οποίο εντάσσονται οι διατάξεις του κεφαλαίου VIII οι οποίες υπομνήσθηκαν στις σκέψεις 53 έως 58 της παρούσας απόφασης προκύπτει ότι ο νομοθέτης της Ένωσης δεν θέλησε, με τη θέσπιση του εν λόγω κανονισμού, να προβεί σε εξαντλητική εναρμόνιση των μέσων έννομης προστασίας που παρέχονται σε περίπτωση παράβασης των διατάξεων του ΓΚΠΔ ούτε, ιδίως, θέλησε να αποκλείσει μια τέτοια δυνατότητα άσκησης αγωγής από τους ανταγωνιστές του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, βάσει του εθνικού δικαίου για την απαγόρευση των αθέμιτων εμπορικών πρακτικών.

Η ερμηνεία αυτή επιβεβαιώνεται από τους σκοπούς τους οποίους επιδιώκει ο ΓΚΠΔ, οι οποίοι, όπως προκύπτει ιδίως από την αιτιολογική του σκέψη 10, συνίστανται στη διασφάλιση συνεκτικού και υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και στην άρση των εμποδίων στη ροή των δεδομένων αυτών εντός της Ένωσης. Η αιτιολογική σκέψη 11 του κανονισμού αναφέρει, επιπλέον, ότι η αποτελεσματική προστασία των δεδομένων αυτών απαιτεί την ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων και των υποχρεώσεων όσων επεξεργάζονται δεδομένα και καθορίζουν την επεξεργασία τους, καθώς και τον καθορισμό, στα κράτη μέλη, αντίστοιχων εξουσιών παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα και αντίστοιχων κυρώσεων για τις παραβιάσεις. Η αιτιολογική σκέψη 13 του κανονισμού διευκρινίζει ότι, για να διασφαλιστεί συνεκτικό επίπεδο προστασίας των φυσικών προσώπων σε ολόκληρη την Ένωση και προς αποφυγή αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα στην εσωτερική αγορά, απαιτείται κανονισμός ο οποίος θα κατοχυρώνει την ασφάλεια δικαίου και τη διαφάνεια για τους οικονομικούς παράγοντες και θα προβλέπει για τα φυσικά πρόσωπα σε όλα τα κράτη μέλη το ίδιο επίπεδο νομικά εκτελεστών δικαιωμάτων και υποχρεώσεων, καθώς και ευθυνών για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία, ώστε να διασφαλιστεί η συνεκτική παρακολούθηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και ισοδύναμες κυρώσεις σε όλα τα κράτη μέλη.

Η δυνατότητα του ανταγωνιστή επιχείρησης να ασκήσει αγωγή ενώπιον των πολιτικών δικαστηρίων επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών προκειμένου να παύσει παράβαση των ουσιαστικών διατάξεων του ΓΚΠΔ την οποία φέρεται ότι διέπραξε η επιχείρηση αυτή, όχι μόνο δεν θίγει τους ως άνω σκοπούς, αλλά, αντιθέτως, μπορεί να ενισχύσει την πρακτική αποτελεσματικότητα των συγκεκριμένων διατάξεων και, κατ’ επέκταση, το επιδιωκόμενο με τον εν λόγω κανονισμό υψηλό επίπεδο προστασίας των υποκειμένων των δεδομένων έναντι της επεξεργασίας των προσωπικών τους δεδομένων.

Πράγματι, αφενός, αγωγή παραλείψεως ασκούμενη από ανταγωνιστή κατά επιχείρησης επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, λόγω φερόμενης παράβασης των ουσιαστικών διατάξεων του ΓΚΠΔ, ουδόλως θίγει το σύστημα μέσων έννομης προστασίας που προβλέπεται στο κεφάλαιο VIII του κανονισμού αυτού ούτε τον σκοπό της διασφάλισης συνεκτικού επιπέδου προστασίας των φυσικών προσώπων σε ολόκληρη την Ένωση και της αποτροπής αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της εσωτερικής αγοράς.

Βεβαίως, μια τέτοια αγωγή μπορεί να στηριχθεί, έστω και παρεμπιπτόντως, σε παράβαση των ίδιων διατάξεων του ΓΚΠΔ με εκείνες επί των οποίων θα μπορούσε να στηριχθεί καταγγελία ή προσφυγή ασκούμενη, κατ’ εφαρμογήν των άρθρων 77 έως 79 του ίδιου κανονισμού, από τα υποκείμενα των δεδομένων ή από φορέα, οργάνωση ή ένωση, κατά την έννοια του άρθρου 80 του κανονισμού αυτού.

Ωστόσο, πρώτον, σε αντίθεση με τα άρθρα 77 έως 80 του ΓΚΠΔ, η αγωγή παραλείψεως την οποία ασκεί ανταγωνιστής δεν αποσκοπεί, αυτή καθεαυτήν, στην προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα, αλλά στη διασφάλιση θεμιτού ανταγωνισμού, και δη προς το συμφέρον του εν λόγω ανταγωνιστή.

Δεύτερον, η δυνατότητα ανταγωνιστή να ασκήσει τέτοια αγωγή ενώπιον των πολιτικών δικαστηρίων επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών προστίθεται στα μέσα έννομης προστασίας που προβλέπονται στα άρθρα 77 έως 79 του ΓΚΠΔ, τα οποία ουδόλως θίγονται και μπορούν πάντοτε να ασκηθούν από τα υποκείμενα των δεδομένων καθώς και, κατά περίπτωση, από τους φορείς, τις οργανώσεις ή τις ενώσεις, κατά την έννοια του άρθρου 80 του κανονισμού αυτού.

Ειδικότερα, όπως επισήμανε η Γερμανική Κυβέρνηση, η συνύπαρξη μέσων έννομης προστασίας τα οποία εμπίπτουν στο δίκαιο της προστασίας των δεδομένων και στο δίκαιο του ανταγωνισμού δεν δημιουργεί κίνδυνο για την ομοιόμορφη εφαρμογή του ΓΚΠΔ. Στο πλαίσιο αυτό, επισημαίνεται ότι από τα άρθρα 77 έως 80 του ΓΚΠΔ προκύπτει ότι ο κανονισμός αυτός δεν προβλέπει κατά προτεραιότητα ή αποκλειστική αρμοδιότητα ούτε οποιονδήποτε κανόνα σύμφωνα με τον οποίο υπερισχύει η κρίση της αρχής ή των δικαστηρίων που μνημονεύονται στα άρθρα αυτά, ως προς την ύπαρξη προσβολής των δικαιωμάτων που παρέχει ο κανονισμός (πρβλ. απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 35). Ως εκ τούτου, το γεγονός ότι η αγωγή παραλείψεως ασκείται ενώπιον των πολιτικών δικαστηρίων από ανταγωνιστή του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα δεν θίγει το σύστημα μέσων έννομης προστασίας, όπως αυτό προβλέπεται στο κεφάλαιο VIII του ΓΚΠΔ. Επιπλέον, όπως παρατήρησε η κυβέρνηση αυτή, η ομοιόμορφη ερμηνεία των ουσιαστικών διατάξεων του κανονισμού αυτού, οι οποίες μπορούν να εφαρμοστούν στην ίδια παράβαση, αφενός, από την εποπτική αρχή και τα επιλαμβανόμενα δικαστήρια δυνάμει των άρθρων 77 έως 80 του εν λόγω κανονισμού, και, αφετέρου, από τα δικαστήρια ενώπιον των οποίων ο ανταγωνιστής αυτός έχει ασκήσει αγωγή επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, διασφαλίζεται μέσω της διαδικασίας προδικαστικής παραπομπής του άρθρου 267 ΣΛΕΕ.

Τρίτον, όπως επισήμανε κατ’ ουσίαν ο γενικός εισαγγελέας στο σημείο 104 των προτάσεών του, η διευρυμένη δυνατότητα επίκλησης των ουσιαστικών διατάξεων του ΓΚΠΔ και από άλλα πρόσωπα, και όχι μόνο από τα υποκείμενα των δεδομένων και τους φορείς, τις οργανώσεις και τις ενώσεις, κατά την έννοια του άρθρου 80 του κανονισμού αυτού, δεν θίγει την επίτευξη του σκοπού της διασφάλισης συνεκτικού επιπέδου προστασίας των υποκειμένων των δεδομένων σε ολόκληρη την Ένωση και της αποφυγής αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της εσωτερικής αγοράς. Πράγματι, ακόμη και αν κάποια κράτη μέλη δεν προβλέπουν τέτοια δυνατότητα, τούτο δεν συνεπάγεται κατακερματισμό της εφαρμογής της προστασίας δεδομένων εντός της Ένωσης, δεδομένου ότι οι ουσιαστικές διατάξεις του ΓΚΠΔ επιβάλλονται κατά τον ίδιο τρόπο σε όλους τους υπευθύνους επεξεργασίας, κατά την έννοια του άρθρου 4, σημείο 7, του κανονισμού αυτού, η δε τήρησή τους διασφαλίζεται με τα μέσα έννομης προστασίας που προβλέπει ο εν λόγω κανονισμός.

Αφετέρου, όσον αφορά τον σκοπό της διασφάλισης αποτελεσματικής προστασίας των υποκειμένων των δεδομένων έναντι της επεξεργασίας των προσωπικών τους δεδομένων και την πρακτική αποτελεσματικότητα των ουσιαστικών διατάξεων του ΓΚΠΔ, διαπιστώνεται ότι, μολονότι αγωγή παραλείψεως ασκούμενη από ανταγωνιστή του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα δεν επιδιώκει, όπως επισημάνθηκε στη σκέψη 65 της παρούσας απόφασης, τον προαναφερθέντα σκοπό, αλλά τον σκοπό της διασφάλισης θεμιτού ανταγωνισμού, εντούτοις συμβάλλει αναμφισβήτητα στην τήρηση των διατάξεων αυτών και, επομένως, στην ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων και στη διασφάλιση υψηλού επιπέδου προστασίας τους (πρβλ. απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 74).

Άλλωστε, μια τέτοια αγωγή παραλείψεως ασκούμενη από ανταγωνιστή μπορεί να αποδειχθεί, όπως και η αγωγή των ενώσεων για την προστασία των συμφερόντων των καταναλωτών, ιδιαιτέρως αποτελεσματική για τη διασφάλιση της προστασίας αυτής, στο μέτρο που είναι ικανή να αποτρέψει μεγάλο αριθμό προσβολών των δικαιωμάτων των υποκειμένων των δεδομένων οι οποίες οφείλονται στην επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα (πρβλ. απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 75).

Επομένως, η ερμηνεία που έγινε δεκτή στη σκέψη 60 της παρούσας απόφασης είναι σύμφωνη με τις απαιτήσεις που απορρέουν από το άρθρο 16, παράγραφος 1, ΣΛΕΕ και το άρθρο 8 του Χάρτη και, ως εκ τούτου, με τον σκοπό που επιδιώκει ο ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων καθώς και, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας του δικαιώματος κάθε προσώπου στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν (πρβλ. απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 73).

Εν προκειμένω, εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει αν η φερόμενη παράβαση των επίμαχων στην υπόθεση της κύριας δίκης ουσιαστικών διατάξεων του ΓΚΠΔ, εφόσον αποδειχθεί, συνιστά επίσης παράβαση της απαγόρευσης των αθέμιτων εμπορικών πρακτικών, όπως αυτή προβλέπεται από τη σχετική εθνική νομοθεσία.

Κατόπιν των ανωτέρω σκέψεων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι οι διατάξεις του κεφαλαίου VIII του ΓΚΠΔ έχουν την έννοια ότι δεν αντιτίθενται σε εθνική ρύθμιση η οποία, παράλληλα με τις εξουσίες παρέμβασης των εποπτικών αρχών που είναι επιφορτισμένες με την εποπτεία και την εφαρμογή του κανονισμού αυτού καθώς και παράλληλα με τις δυνατότητες προσφυγής των υποκειμένων των δεδομένων, παρέχει στους ανταγωνιστές του φερόμενου ως παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα ενεργητική νομιμοποίηση για την άσκηση αγωγής κατ’ αυτού ενώπιον των πολιτικών δικαστηρίων, λόγω παραβάσεων των διατάξεων του εν λόγω κανονισμού και επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών.

Επί του δευτέρου προδικαστικού ερωτήματος

Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 8, παράγραφος 1, της οδηγίας 95/46 και το άρθρο 9, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι, στην περίπτωση κατά την οποία ο έχων την εκμετάλλευση φαρμακείου εμπορεύεται, μέσω διαδικτυακής πλατφόρμας, φάρμακα τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, οι πληροφορίες τις οποίες οι πελάτες του εν λόγω προσώπου παρέχουν κατά τη διαδικτυακή παραγγελία φαρμάκων, όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των φαρμάκων, συνιστούν δεδομένα που αφορούν την υγεία κατά την έννοια των διατάξεων αυτών, ακόμη και όταν για την πώληση των φαρμάκων δεν απαιτείται ιατρική συνταγή.

Το άρθρο 8, παράγραφος 1, της οδηγίας 95/46 και το άρθρο 9, παράγραφος 1, του ΓΚΠΔ, τα οποία έχουν παρόμοιο περιεχόμενο για τις ανάγκες της ερμηνείας που καλείται να δώσει το Δικαστήριο (απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija,C‑184/20, EU:C:2022:601, σκέψεις 58 και 117) και τα οποία διέπουν, όπως προκύπτει από τον τίτλο τους, την επεξεργασία που αφορά «ειδικές κατηγορίες» δεδομένων προσωπικού χαρακτήρα, καθιερώνουν την αρχή της απαγόρευσης της επεξεργασίας αυτής. Πράγματι, όπως διευκρινίζεται ρητώς στην αιτιολογική σκέψη 51 του ΓΚΠΔ, τα δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαιτέρως ευαίσθητα από την άποψη θεμελιωδών δικαιωμάτων και ελευθεριών χρήζουν ειδικής προστασίας, καθότι το πλαίσιο εντός του οποίου υποβάλλονται σε επεξεργασία θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα εν λόγω δικαιώματα και τις εν λόγω ελευθερίες.

Μεταξύ των ειδικών αυτών κατηγοριών δεδομένων προσωπικού χαρακτήρα, των οποίων ο κατάλογος παρατίθεται στο άρθρο 8, παράγραφος 1, της οδηγίας 95/46 και στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ, συγκαταλέγονται τα δεδομένα που αφορούν την υγεία. Τα δεδομένα αυτά περιλαμβάνουν, σύμφωνα με το άρθρο 4, σημείο 15, του κανονισμού αυτού, σε συνδυασμό με την αιτιολογική του σκέψη 35, το σύνολο των δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν πληροφορίες σχετικά με την προηγούμενη, ενεστώσα ή μελλοντική κατάσταση της σωματικής ή ψυχικής υγείας φυσικού προσώπου, συμπεριλαμβανομένων των δεδομένων που αφορούν την παροχή υπηρεσιών υγειονομικής φροντίδας στο πρόσωπο αυτό.

Επιπλέον, από το άρθρο 4, σημείο 1, του ΓΚΠΔ προκύπτει ότι με τον όρο «δεδομένα προσωπικού χαρακτήρα» νοείται κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο και ότι, προκειμένου να μπορεί να χαρακτηριστεί ένα πρόσωπο «ταυτοποιήσιμο» αρκεί η ταυτότητα του προσώπου αυτού να μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως σε όνομα, αριθμό ταυτότητας, δεδομένα θέσης, επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου.

Επομένως, όταν τα στοιχεία σχετικά με τις αγορές φαρμάκων καθιστούν δυνατή τη συναγωγή συμπερασμάτων σχετικά με την κατάσταση της υγείας ενός ταυτοποιημένου ή ταυτοποιήσιμου προσώπου, τότε τα στοιχεία αυτά πρέπει να θεωρούνται ως δεδομένα που αφορούν την υγεία, κατά την έννοια του άρθρου 4, σημείο 15, του ΓΚΠΔ.

Εν προκειμένω, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο προκύπτει ότι οι πελάτες του ND, κατά τη διαδικτυακή παραγγελία μέσω της Amazon φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, παρέχουν πληροφορίες όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία εξατομίκευσης των φαρμάκων. Τέτοιου είδους πληροφορίες αποτελούν αναμφίβολα «δεδομένα προσωπικού χαρακτήρα», δεδομένου ότι σχετίζονται με φυσικά πρόσωπα ταυτοποιημένα ή ταυτοποιήσιμα.

Υπό τις προεκτεθείσες συνθήκες, πρέπει να κριθεί αν τα δεδομένα αυτά είναι ικανά να αποκαλύψουν πληροφορίες σχετικά με την κατάσταση της υγείας των προσώπων αυτών, κατά την έννοια του άρθρου 4, σημείο 15, του ΓΚΠΔ και, ως εκ τούτου, αν συνιστούν δεδομένα που αφορούν την υγεία, κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του κανονισμού αυτού.

Συναφώς, το Δικαστήριο έχει κρίνει ότι, υπό το πρίσμα του σκοπού που επιδιώκουν η οδηγία 95/46 και ο ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και δη της ιδιωτικής τους ζωής, έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν, πρέπει να δοθεί ευρεία ερμηνεία στην κατά το άρθρο 9, παράγραφος 1, του κανονισμού αυτού έννοια των «δεδομένων που αφορούν την υγεία», η οποία αντιστοιχεί στην κατά το άρθρο 8, παράγραφος 1, της οδηγίας αυτής έννοια των «δεδομένων που παρέχουν πληροφορίες για […] την υγεία» (πρβλ. αποφάσεις της 6ης Νοεμβρίου 2003, Lindqvist,C‑101/01, EU:C:2003:596, σκέψη 50, και της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija,C‑184/20, EU:C:2022:601, σκέψη 125).

Ειδικότερα, οι διατάξεις αυτές δεν μπορούν να ερμηνευθούν υπό την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα οποία μπορεί να προκύψουν εμμέσως ευαίσθητες πληροφορίες που αφορούν φυσικό πρόσωπο εξαιρείται από το καθεστώς ενισχυμένης προστασίας που προβλέπεται από τις εν λόγω διατάξεις, διότι σε αντίθετη περίπτωση θα θιγόταν η πρακτική αποτελεσματικότητα του καθεστώτος αυτού και η προστασία των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων την οποία αποσκοπεί να διασφαλίσει (απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija,C‑184/20, EU:C:2022:601, σκέψη 127).

Ως εκ τούτου, για τον χαρακτηρισμό δεδομένων προσωπικού χαρακτήρα ως δεδομένων που αφορούν την υγεία κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, αρκεί τα δεδομένα αυτά να είναι ικανά να αποκαλύψουν, μέσω νοητικής διεργασίας συσχετισμού ή επαγωγής, πληροφορίες σχετικά με την κατάσταση της υγείας του υποκειμένου των δεδομένων (πρβλ. απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija,C‑184/20, EU:C:2022:601, σκέψη 123).

Τα δεδομένα τα οποία ο πελάτης εισάγει σε διαδικτυακή πλατφόρμα κατά την παραγγελία φαρμάκων, τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, είναι ικανά να αποκαλύψουν, μέσω νοητικής διεργασίας συσχετισμού ή επαγωγής, πληροφορίες σχετικά με την κατάσταση της υγείας του υποκειμένου των δεδομένων, κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ, στο μέτρο που η παραγγελία αυτή συνεπάγεται τη σύνδεση ενός φαρμάκου, των θεραπευτικών του ενδείξεων ή των χρήσεων του με ένα φυσικό πρόσωπο, ταυτοποιημένο ή ταυτοποιήσιμο βάσει στοιχείων όπως το όνομα του προσώπου αυτού και η διεύθυνση παράδοσης.

Το αιτούν δικαστήριο διερωτάται, ωστόσο, αν είναι κρίσιμο το γεγονός ότι για την πώληση των φαρμάκων που παραγγέλλονται δεν απαιτείται ιατρική συνταγή, δεδομένου ότι, στην περίπτωση αυτή, τα φάρμακα θα μπορούσαν να μην προορίζονται για τον πελάτη που προβαίνει στην παραγγελία, αλλά για τρίτα πρόσωπα.

Συναφώς, επισημαίνεται ότι, για τους σκοπούς της εφαρμογής του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, πρέπει να ελέγχεται, σε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τον έχοντα την εκμετάλλευση φαρμακείου στο πλαίσιο δραστηριότητας που ασκείται μέσω διαδικτυακής πλατφόρμας, αν από τα δεδομένα αυτά αποκαλύπτονται πληροφορίες εμπίπτουσες σε κάποια από τις αναφερόμενες στις ως άνω διατάξεις κατηγορίες, είτε οι πληροφορίες αυτές αφορούν χρήστη της εν λόγω πλατφόρμας είτε οποιοδήποτε άλλο φυσικό πρόσωπο. Σε περίπτωση καταφατικής απάντησης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα απαγορεύεται, υπό την επιφύλαξη των εξαιρέσεων που προβλέπει η παράγραφος 2 των εν λόγω διατάξεων [πρβλ. αποφάσεις της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου),C‑252/21, EU:C:2023:537, σκέψη 68].

Αυτή η κατ’ αρχήν απαγόρευση είναι ανεξάρτητη από το αν η πληροφορία η οποία αποκαλύπτεται κατόπιν της επίμαχης επεξεργασίας είναι ακριβής και από το αν ο εν λόγω έχων την εκμετάλλευση του φαρμακείου ενεργεί με σκοπό να αποκτήσει πληροφορίες που εμπίπτουν σε κάποια από τις αναφερόμενες στο άρθρο 8, παράγραφος 1, της οδηγίας 95/46 και στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ ειδικές κατηγορίες. Τούτο διότι, λαμβανομένων υπόψη των σημαντικών κινδύνων τους οποίους ενέχει για τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα τα οποία εμπίπτουν στις κατηγορίες αυτές, οι εν λόγω διατάξεις αποσκοπούν στην απαγόρευση τέτοιας επεξεργασίας ανεξαρτήτως του προβαλλόμενου σκοπού της και της ακρίβειας των επίμαχων πληροφοριών [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου),C‑252/21, EU:C:2023:537, σκέψεις 69 και 70].

Επομένως, στην περίπτωση κατά την οποία χρήστης διαδικτυακής πλατφόρμας γνωστοποιεί δεδομένα προσωπικού χαρακτήρα κατά την παραγγελία φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, χωρίς να απαιτείται ιατρική συνταγή, η επεξεργασία των δεδομένων αυτών από τον έχοντα την εκμετάλλευση φαρμακείου που πωλεί τα εν λόγω φάρμακα μέσω της διαδικτυακής αυτής πλατφόρμας πρέπει να θεωρηθεί ως επεξεργασία δεδομένων που αφορούν την υγεία, κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, διότι η εν λόγω επεξεργασία δεδομένων είναι ικανή να αποκαλύψει πληροφορίες σχετικά με την κατάσταση της υγείας φυσικού προσώπου, ανεξαρτήτως του αν οι πληροφορίες αυτές αφορούν τον συγκεκριμένο χρήστη ή οποιοδήποτε άλλο πρόσωπο για λογαριασμό του οποίου ο χρήστης πραγματοποιεί την παραγγελία [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου),C‑252/21, EU:C:2023:537, σκέψη 73].

Πράγματι, ερμηνεία των διατάξεων αυτών η οποία θα κατέληγε σε διάκριση αναλόγως του είδους των οικείων φαρμάκων και του αν για την πώλησή τους απαιτείται ή όχι ιατρική συνταγή δεν θα ήταν σύμφωνη με τον σκοπό που συνίσταται στην επίτευξη υψηλού επιπέδου προστασίας, ο οποίος υπομνήσθηκε στη σκέψη 81 της παρούσας απόφασης. Μια τέτοια ερμηνεία θα αντέβαινε άλλωστε στον σκοπό του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση αυξημένης προστασίας έναντι επεξεργασίας η οποία, λόγω του ιδιαίτερα ευαίσθητου χαρακτήρα των δεδομένων, μπορεί να συνιστά, όπως προκύπτει από την αιτιολογική σκέψη 51 του ΓΚΠΔ, ιδιαιτέρως σοβαρή επέμβαση στα θεμελιώδη δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα, τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη (απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija,C‑184/20, EU:C:2022:601, σκέψη 126 και εκεί μνημονευόμενη νομολογία).

Ως εκ τούτου, οι πληροφορίες τις οποίες παρέχουν οι πελάτες του έχοντος την εκμετάλλευση φαρμακείου κατά τη διαδικτυακή παραγγελία φαρμάκων τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, χωρίς να απαιτείται ιατρική συνταγή, συνιστούν δεδομένα που αφορούν την υγεία, κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, ακόμη και αν υπάρχει μόνον ορισμένος βαθμός πιθανότητας, και όχι απόλυτη βεβαιότητα, ότι τα φάρμακα αυτά προορίζονται για τους συγκεκριμένους πελάτες.

Εξάλλου, δεν μπορεί να αποκλειστεί το ενδεχόμενο, ακόμη και στην περίπτωση που τα φάρμακα αυτά προορίζονται για πρόσωπα διαφορετικά από τους πελάτες, να είναι δυνατή η ταυτοποίηση των προσώπων αυτών και η συναγωγή συμπερασμάτων σχετικά με την κατάσταση της υγείας τους. Τούτο θα μπορούσε να συμβεί, για παράδειγμα, όταν τα επίμαχα φάρμακα δεν παραδίδονται στην κατοικία του πελάτη που τα παρήγγειλε, αλλά στην κατοικία άλλου προσώπου, ή όταν, ανεξαρτήτως της διεύθυνσης παράδοσης, ο πελάτης αναφέρθηκε, με την παραγγελία του ή με τις σχετικές με αυτήν επικοινωνίες του, σε άλλο πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, όπως είναι ένα μέλος της οικογενείας του. Ομοίως, όταν η παραγγελία απαιτεί την ταυτοποίηση και/ή την καταχώριση του πελάτη, για παράδειγμα με τη δημιουργία λογαριασμού πελάτη ή με την προσχώρησή του σε πρόγραμμα επιβράβευσης σταθερών πελατών, δεν αποκλείεται οι πληροφορίες που παρέχει ο πελάτης στο πλαίσιο αυτό να μπορούν να χρησιμοποιηθούν για τη συναγωγή συμπερασμάτων όχι μόνον σχετικά με την κατάσταση της υγείας του πελάτη αυτού, αλλά και σχετικά με την κατάσταση της υγείας άλλου προσώπου, ιδίως σε συνδυασμό με τις πληροφορίες οι οποίες αφορούν τα παραγγελθέντα φάρμακα.

Τέλος, όπως υπομνήσθηκε στη σκέψη 86 της παρούσας απόφασης, το γεγονός ότι πληροφορίες όπως οι επίμαχες στην υπόθεση της κύριας δίκης συνιστούν δεδομένα που αφορούν την υγεία, κατά την έννοια του άρθρου 8, παράγραφος 1, της οδηγίας 95/46 και του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, δεν εμποδίζει, όπως προκύπτει ιδίως από την αιτιολογική σκέψη 53 του ΓΚΠΔ, την υποβολή τους σε επεξεργασία, ιδίως στο πλαίσιο της διαχείρισης των υπηρεσιών και των συστημάτων υγειονομικής περίθαλψης, εφόσον πληρούται μια από τις προϋποθέσεις της παραγράφου 2 των διατάξεων αυτών.

Αυτό μπορεί ιδίως να συμβαίνει, αφενός, όταν, σύμφωνα με το στοιχείο αʹ της εν λόγω παραγράφου 2, και με την επιφύλαξη της εκεί προβλεπόμενης εξαίρεσης, το υποκείμενο των δεδομένων παρέχει τη ρητή συγκατάθεσή του για μία ή περισσότερες περιπτώσεις επεξεργασίας των εν λόγω δεδομένων προσωπικού χαρακτήρα, των οποίων τα συγκεκριμένα χαρακτηριστικά και οι συγκεκριμένοι σκοποί τού έχουν εκτεθεί κατά τρόπο ακριβή, πλήρη και εύληπτο. Αφετέρου, μια τέτοια επεξεργασία μπορεί να γίνει δεκτή βάσει του άρθρου 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ, όταν είναι αναγκαία για την παροχή υγειονομικής περίθαλψης βάσει του δικαίου της Ένωσης, του δικαίου κράτους μέλους ή δυνάμει σύμβασης που έχει συναφθεί με επαγγελματία του τομέα της υγείας.

Κατόπιν των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 8, παράγραφος 1, της οδηγίας 95/46 και το άρθρο 9, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι, στην περίπτωση κατά την οποία ο έχων την εκμετάλλευση φαρμακείου εμπορεύεται, μέσω διαδικτυακής πλατφόρμας φάρμακα τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία οι πληροφορίες τις οποίες οι πελάτες του εν λόγω προσώπου παρέχουν κατά τη διαδικτυακή παραγγελία φαρμάκων, όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των φαρμάκων, συνιστούν δεδομένα που αφορούν την υγεία, κατά την έννοια των διατάξεων αυτών, ακόμη και όταν για την πώληση των φαρμάκων δεν απαιτείται ιατρική συνταγή.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (τμήμα μείζονος συνθέσεως) αποφαίνεται:

Οι διατάξεις του κεφαλαίου VIII του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχουν την έννοια ότι:

δεν αντιτίθενται σε εθνική ρύθμιση η οποία, παράλληλα με τις εξουσίες παρέμβασης των εποπτικών αρχών που είναι επιφορτισμένες με την εποπτεία και την εφαρμογή του κανονισμού αυτού καθώς και παράλληλα με τις δυνατότητες προσφυγής των υποκειμένων των δεδομένων, παρέχει στους ανταγωνιστές του φερόμενου παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα ενεργητική νομιμοποίηση για την άσκηση αγωγής κατ’ αυτού ενώπιον των πολιτικών δικαστηρίων, λόγω παραβάσεων των διατάξεων του εν λόγω κανονισμού και επί τη βάσει της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών.

Το άρθρο 8, παράγραφος 1, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, και το άρθρο 9, παράγραφος 1, του κανονισμού 2016/679,

έχουν την έννοια ότι:

στην περίπτωση κατά την οποία ο έχων την εκμετάλλευση φαρμακείου εμπορεύεται μέσω διαδικτυακής πλατφόρμας φάρμακα τα οποία πρέπει να διατίθενται αποκλειστικώς από φαρμακεία, οι πληροφορίες τις οποίες οι πελάτες του εν λόγω προσώπου παρέχουν κατά την διαδικτυακή παραγγελία φαρμάκων, όπως το όνομά τους, η διεύθυνση παράδοσης και τα στοιχεία που είναι αναγκαία για την εξατομίκευση των φαρμάκων, συνιστούν δεδομένα που αφορούν την υγεία, κατά την έννοια των διατάξεων αυτών, ακόμη και όταν για την πώληση των φαρμάκων δεν απαιτείται ιατρική συνταγή.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η γερμανική.