Domstolens dom (stora avdelningen) den 4 oktober 2024
I mål C‑21/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesgerichtshof (Federala högsta domstolen, Tyskland) genom beslut av den 12 januari 2023, som inkom till EU-domstolen den 19 januari 2023, i målet
DOMSTOLEN (stora avdelningen) sammansatt av ordföranden K. Lenaerts, vice-ordföranden L. Bay Larsen, avdelningsordförandena K. Jürimäe, C. Lycourgos, E. Regan, F. Biltgen och N. Piçarra samt domarna S. Rodin, P.G. Xuereb, L.S. Rossi, I. Jarukaitis, N. Jääskinen, och I. Ziemele (referent), generaladvokat: M. Szpunar, justitiesekreterare: handläggaren N. Mundhenke,
efter det skriftliga förfarandet och förhandlingen den 9 januari 2024,
med beaktande av de yttranden som avgetts av: ND, genom A. Datta, M. Mogendorf och W. Spoerr, Rechtsanwälte, DR, genom M. Bahmann, Rechtsanwalt, Tysklands regering, genom J. Möller och P.-L. Krüger, båda i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, F. Erlbacher och H. Kranenborg, samtliga i egenskap av ombud,
och efter att den 25 april 2024 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1. Begäran om förhandsavgörande avser tolkningen av artikel 9.1 och bestämmelserna i kapitel VIII i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2, och i EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen) samt av artikel 8.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).
2. Begäran har framställts i ett mål mellan ND och DR, två fysiska personer som var och en driver ett apoteksföretag. Målet rör ND:s försäljning, via en e‑handelsplattform, av läkemedel som endast får säljas på apotek (nedan även kallade apoteksexklusiva läkemedel).
Tillämpliga bestämmelser
Unionsrätt
3. I artikel 8 (”Behandlingen av särskilda kategorier av uppgifter”) i direktiv 95/46 föreskrivs följande:
”1. Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv.
2. Punkt 1 gäller inte om
a) den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke
…”
4. Skälen 9–11, 13, 35, 51, 53, 141 och 142 i dataskyddsförordningen har följande lydelse:
(”(9) Målen och principerna för [direktiv 95/46] är fortfarande giltiga, men det har inte kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen, rättsosäkerhet eller allmänt spridda uppfattningar om att betydande risker kvarstår för fysiska personer, särskilt med avseende på användning av internet. Skillnader i nivån på skyddet av fysiska personers rättigheter och friheter, särskilt rätten till skydd av personuppgifter, vid behandling av personuppgifter i olika medlemsstater kan förhindra det fria flödet av personuppgifter över hela unionen. Dessa skillnader kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, de kan snedvrida konkurrensen och hindra myndigheterna att fullgöra sina skyldigheter enligt unionsrätten. De varierande skyddsnivåerna beror på skillnader i genomförandet och tillämpningen av [direktiv 95/46].
(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. … Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter (nedan kallade känsliga uppgifter). …
(11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna.
…
(13) För att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer, däribland mikroföretag samt små och medelstora företag, och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt. …
…
(35) Personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. …
…
(51) Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. … Sådana personuppgifter bör inte behandlas, såvida inte behandling medges i särskilda fall som fastställs i denna förordning, med beaktande av att det i medlemsstaternas lagstiftning får införas särskilda bestämmelser om dataskydd för att anpassa tillämpningen av bestämmelserna i denna förordning i syfte att fullgöra en rättslig skyldighet eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra. Utöver de särskilda kraven för sådan behandling, bör de allmänna principerna och andra bestämmelser i denna förordning tillämpas, särskilt när det gäller villkoren för laglig behandling. Undantag från det allmänna förbudet att behandla sådana särskilda kategorier av personuppgifter bör uttryckligen fastställas, bland annat om den registrerade lämnar sitt uttryckliga samtycke eller för att tillgodose specifika behov, i synnerhet när behandlingen utförs inom ramen för legitima verksamheter som bedrivs av vissa sammanslutningar eller stiftelser i syfte att göra det möjligt att utöva grundläggande friheter.
…
(53) Särskilda kategorier av personuppgifter som förtjänar ett mer omfattande skydd bör endast behandlas i hälsorelaterade syften om detta krävs för att uppnå dessa syften och gagnar fysiska personer och samhället i stort, särskilt inom ramen för förvaltningen av tjänster för hälso- och sjukvård … och deras system … Denna förordning bör därför innehålla harmoniserade villkor för behandling av särskilda kategorier av personuppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behandlingen av uppgifterna utförs för vissa hälsorelaterade syften av personer som enligt lag är underkastade yrkesmässig tystnadsplikt. Unionsrätten eller medlemsstaternas nationella rätt bör föreskriva särskilda och lämpliga åtgärder som skyddar fysiska personers grundläggande rättigheter och personuppgifter. Medlemsstaterna bör få behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. …
…
(141) Alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet, särskilt i den medlemsstat där den registrerade har sin hemvist, och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i [Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan)], om den registrerade anser att hans eller hennes rättigheter enligt denna förordning har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter. …
(142) Om en registrerad anser att hans eller hennes rättigheter enligt denna förordning har kränkts, bör han eller hon ha rätt att ge mandat till ett organ, en organisation eller en sammanslutning som drivs utan vinstsyfte och som har inrättats i enlighet med en medlemsstats nationella rätt, som har stadgeenliga mål av allmänt intresse och bedriver verksamhet på området skydd av personuppgifter, att på hans eller hennes vägnar lämna in ett klagomål till en tillsynsmyndighet, om detta föreskrivs i medlemsstatens nationella rätt, att på den registrerades vägnar utöva rätten till domstolsprövning eller att på den registrerades vägnar utöva rätten att ta emot ersättning. En medlemsstat får föreskriva att ett sådant organ, en sådan organisation eller en sådan sammanslutning ska ha rätt att lämna in ett klagomål i den medlemsstaten, oberoende av en registrerad persons mandat, och ha rätt till ett effektivt rättsmedel, om det eller den har skäl att anse att en registrerad persons rättigheter har kränkts till följd av behandling av personuppgifter som strider mot denna förordning. Detta organ, denna organisation eller denna sammanslutning får inte ges rätt att kräva ersättning på en registrerad persons vägnar oberoende av den registrerades mandat.”
5. I artikel 1 (”Syfte”) i dataskyddsförordningen föreskrivs följande:
”1. I denna förordning fastställs bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter.
2. Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.
3. Det fria flödet av personuppgifter inom unionen får varken begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.”
6. I artikel 4 i dataskyddsförordningen föreskrivs följande:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,
…
15. uppgifter om hälsa: personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus,
…
21. tillsynsmyndighet: en oberoende offentlig myndighet som är utsedd av en medlemsstat i enlighet med artikel 51,
…”
7. Kapitel II (”Principer”) i dataskyddsförordningen innehåller artiklarna 5–11.
8. I artikel 5 i förordningen anges principerna för behandling av personuppgifter och i artikel 6 fastställs villkoren för laglig behandling av sådana uppgifter.
9. Artikel 9 (”Behandling av särskilda kategorier av personuppgifter”) i dataskyddsförordningen har följande lydelse:
”1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.
2. Punkt 1 ska inte tillämpas om något av följande gäller:
a) Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.
…
h) Behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda.
…”
10. I artikel 51 (”Tillsynsmyndighet”) i dataskyddsförordningen föreskrivs följande i punkt 1:
”Varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling samt att underlätta det fria flödet av sådana uppgifter inom unionen (nedan kallad tillsynsmyndighet).”
11. Kapitel VIII (”Rättsmedel, ansvar och sanktioner”) i dataskyddsförordningen innehåller artiklarna 77–84.
12. I artikel 77 (”Rätt att lämna in klagomål till en tillsynsmyndighet”) föreskrivs följande i punkt 1:
”Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.”
13. I artikel 78 (”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut”) föreskrivs följande i punkt 1:
”Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.”
14. I artikel 79 (”Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde”) föreskrivs följande i punkt 1:
”Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.”
15. Artikel 80 (”Företrädande av registrerade”) har följande lydelse:
”1. Den registrerade ska ha rätt att ge ett organ, en organisation eller sammanslutning utan vinstsyfte, som har inrättats på lämpligt sätt i enlighet med lagen i en medlemsstat, vars stadgeenliga mål är av allmänt intresse och som är verksam inom området skydd av registrerades rättigheter och friheter när det gäller skyddet av deras personuppgifter, i uppdrag att lämna in ett klagomål för hans eller hennes räkning, att utöva de rättigheter som avses i artiklarna 77, 78 och 79 för hans eller hennes räkning samt att för hans eller hennes räkning utöva den rätt till ersättning som avses i artikel 82 om så föreskrivs i medlemsstatens nationella rätt.
2. Medlemsstaterna får föreskriva att ett organ, en organisation eller en sammanslutning enligt punkt 1 i den här artikeln, oberoende av en registrerads mandat, har rätt att i den medlemsstaten inge klagomål till den tillsynsmyndighet som är behörig enligt artikel 77 och utöva de rättigheter som avses i artiklarna 78 och 79 om organet, organisationen eller sammanslutningen anser att den registrerades rättigheter enligt den här förordningen har kränkts som en följd av behandlingen.”
16. I artikel 82 (”Ansvar och rätt till ersättning”) föreskrivs följande i punkt 1:
”Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.”
17. I artikel 83 (”Allmänna villkor för påförande av administrativa sanktionsavgifter”) föreskrivs följande i punkt 1:
”Varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande.”
18. I artikel 84 (”Sanktioner”) föreskrivs följande i punkt 1:
”Medlemsstaterna ska fastställa regler om andra sanktioner för överträdelser av denna förordning, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83, och vidta alla nödvändiga åtgärder för att säkerställa att de genomförs. Dessa sanktioner ska vara effektiva, proportionella och avskräckande.”
19. I artikel 94.1 i dataskyddsförordningen föreskrivs följande:
”Direktiv [95/46] ska upphöra att gälla med verkan från och med den 25 maj 2018.”
20. I artikel 99 i dataskyddsförordningen föreskrivs följande:
”1. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
2. Den ska tillämpas från och med den 25 maj 2018.”
Tysk rätt
Lagen om förbud mot otillbörlig konkurrens
21. I 3 § (”Förbud mot otillbörliga affärsmetoder”) i Gesetz gegen den unlauteren Wettbewerb (lag om förbud mot otillbörlig konkurrens) av den 3 juli 2004 (BGBl. 2004 I, s. 1414), i den lydelse som är tillämplig i det nationella målet (nedan kallad UWG), föreskrivs följande i punkt 1:
”Otillbörliga affärsmetoder är förbjudna.”
22. I 3a § (”Lagöverträdelser”) UWG föreskrivs följande:
”Det utgör otillbörlig konkurrens om en näringsidkare överträder bestämmelser som bland annat är avsedda att reglera beteendet på marknaden i marknadsaktörernas intresse och denna överträdelse är ägnad att märkbart påverka konsumenters, andra marknadsaktörers eller konkurrenters intressen.”
23. I 8 § (”Föreläggande om upphörande och förbud”) UWG föreskrivs följande:
”1). Den som använder affärsmetoder som är förbjudna enligt 3 eller 7 §§ kan bli föremål för ett föreläggande om upphörande och, om det föreligger risk för att beteendet upprepas, ett förbudsföreläggande. …
…
3). Följande personer kan ansöka om de förelägganden som avses i punkt 1:
1) Varje konkurrent som inte endast tillfälligt saluför eller efterfrågar varor eller tjänster i icke försumbar mängd.
…”
Läkemedelslagen
24. Handel med läkemedel regleras av Gesetz über den Verkehr mit Arzneimitteln (lag om handel med läkemedel) av den 24 augusti 1976 (BGBl. 1976 I, s. 2445), i den lydelse som offentliggjordes den 12 december 2005 (BGBl. 2005 I, s. 3394), vilken är tillämplig i det nationella målet. I denna lag görs åtskillnad mellan apoteksexklusiva läkemedel och receptbelagda läkemedel, varav de sistnämnda omhandlas i 48 § (”Förskrivningsläkemedel”).
Målet vid den nationella domstolen och tolkningsfrågorna
25. ND driver apoteksföretaget ”Lindenapotheke”, som sedan år 2017 bedriver e‑handel med apoteksexklusiva läkemedel på e‑handelsplattformen ”Amazon-Marketplace” (nedan kallad Amazon). När Lindenapothekes kunder gör beställningar av läkemedel via företagets e‑handelsbutik måste de lämna en rad uppgifter, såsom namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen.
26. DR, som också driver ett apoteksföretag, väckte talan vid Landgericht Dessau-Roßlau (Regionala domstolen i Dessau-Roßlau, Tyskland) och yrkade att ND skulle föreläggas att vid vite upphöra med sin försäljning av apoteksexklusiva läkemedel på Amazon, så länge det inte var säkerställt att kunderna i förväg hade möjlighet att ge sitt samtycke till behandling av hälsouppgifter.
27. Till stöd för sin talan gjorde DR gällande att Lindenapothekes e‑handelsförsäljning av apoteksexklusiva läkemedel på Amazon var otillbörlig, på grund av att företaget inte uppfyllde de lagstadgade krav på att inhämta kundernas samtycke till sådan behandling som följer av lagstiftningen om skydd av personuppgifter.
28. Genom dom av den 28 mars 2018 biföll Landgericht Dessau-Roßlau (Regionala domstolen i Dessau-Roßlau) DR:s talan.
29. ND överklagade denna dom till Oberlandesgericht Naumburg (Regionala överdomstolen i Naumburg, Tyskland), som ogillade överklagandet genom dom av den 7 november 2019.
30. I domskälen anförde denna domstol följande. Lindenapothekes e‑handelsförsäljning av apoteksexklusiva läkemedel på Amazon utgör en otillbörlig affärsmetod och är därmed förbjuden enligt 3 § punkt 1 UWG. Vid sådan läkemedelsförsäljning behandlas nämligen hälsouppgifter på ett sätt som, om de kunder som köper läkemedlen inte har lämnat sitt uttryckliga samtycke till behandlingen, i enlighet med artikel 9.2 a i dataskyddsförordningen, är förbjudet enligt artikel 9.1 i förordningen. Bestämmelserna i dataskyddsförordningen ska anses utgöra bestämmelser som reglerar aktörernas beteende på marknaden, i den mening som avses i 3a § UWG. Härtill kommer att DR har rätt enligt 8 § punkt 3 led 1 UWG att vid allmän domstol yrka att ett förbudsföreläggande ska utfärdas mot ND på grund av överträdelse av bestämmelserna i dataskyddsförordningen.
31. ND överklagade denna dom till den hänskjutande domstolen, Bundesgerichtshof (Federala högsta domstolen, Tyskland).
32. I sin begäran om förhandsavgörande har den hänskjutande domstolen anfört att utgången av målet beror på tolkningen av bestämmelserna i kapitel VIII och artikel 9.1 i dataskyddsförordningen samt av artikel 8.1 i direktiv 95/46.
33. För det första vill den hänskjutande domstolen få klarhet i vad som gäller efter den 25 maj 2018, då direktiv 95/46 upphörde att gälla och dataskyddsförordningen började gälla. Frågan gäller närmare bestämt huruvida det fortfarande är tillåtet för medlemsstaterna att i nationell rätt föreskriva att konkurrenter, i den mening som avses i 8 § punkt 3 led 1 UWG, till ett företag som påstås ha begått en överträdelse av dataskyddsförordningens bestämmelser har möjlighet att få överträdelserna att upphöra genom att vid allmän domstol väcka talan med stöd av förbudet mot otillbörliga affärsmetoder.
34. Den hänskjutande domstolen har förklarat att det i Tyskland råder olika uppfattningar om hur denna fråga ska besvaras. Svaret på frågan kan nämligen inte entydigt utläsas vare sig av lydelsen av bestämmelserna i kapitel VIII i dataskyddsförordningen eller av den allmänna systematiken i dessa bestämmelser och inte heller av det mål som eftersträvas med förordningen.
35. Vad först gäller lydelsen av bestämmelserna i kapitel VIII i dataskyddsförordningen har den hänskjutande domstolen påpekat följande. Möjligheten för ett företags konkurrenter att väcka talan mot detta företag, särskilt i fall där företagets överträdelse av dataskyddslagstiftningen utgör otillbörliga affärsmetoder, nämns visserligen inte uttryckligen på något ställe i dessa bestämmelser. Samtidigt innebär de dock inte att det är formellt uteslutet med en sådan talemöjlighet.
36. Vad sedan beträffar systematiken i bestämmelserna i kapitel VIII i dataskyddsförordningen har den hänskjutande domstolen påpekat följande. Å ena sidan gäller att dataskyddsförordningen syftar till att säkerställa en i princip fullständig harmonisering av nationell lagstiftning om skydd av personuppgifter, såsom framgår av EU-domstolens uttalande i punkt 57 i domen av den 28 april 2022, Meta Platforms Ireland ( C‑319/20, EU:C:2022:322). Å andra sidan kan det konstateras att det faktum att formuleringen ”[u]tan att det påverkar något annat … prövningsförfarande eller rättsmedel” återfinns i artiklarna 77.1, 78.1 och 78.2 samt 79.1 i förordningen skulle kunna utgöra hinder för att anse att frågan om tillsyn över förordningens efterlevnad är uttömmande reglerad i förordningen.
37. Vad slutligen gäller det med förordningen eftersträvade harmoniseringsmålet – och i synnerhet målet att åstadkomma en enhetlig nivå av efterlevnadskontroll inom unionen – har den hänskjutande domstolen påpekat följande. Å ena sidan skulle det kunna anses vara i strid med detta mål att ett företags konkurrenter har möjlighet att väcka talan mot företaget på konkurrensrättslig grund för att på detta sätt få till stånd att dataskyddsrättsliga bestämmelser efterlevs, eftersom en sådan möjlighet går utöver de i dataskyddsförordningen angivna sätten att säkerställa efterlevnad. Det kan inte heller anses stå utom tvivel att det genom förordningen inrättade systemet för efterlevnadskontroll innehåller en lucka som bör fyllas genom en sådan talemöjlighet på konkurrensrättslig grund. Det finns dessutom en risk för att det vid tillsynen av dataskyddslagstiftningens efterlevnad uppstår en konkurrens mellan tillsynsmyndigheter och allmänna domstolar vad gäller kontrollen av efterlevnaden av dataskyddslagstiftningen som kan inkräkta på tillsynsmyndigheternas befogenheter och leda till att det inom unionen uppstår skillnader i denna efterlevnadskontroll.
38. Å andra sidan skulle man – enligt den hänskjutande domstolen – med stöd av effektivitetsprincipen (”effet utile”), kunna anse att institutet talerätt på konkurrensrättslig grund för konkurrenter utgör ett önskvärt komplement till de befintliga möjligheterna till efterlevnadskontroll, eftersom det bidrar till att säkerställa en så hög skyddsnivå som möjligt för personuppgifter, vilket ligger i linje med det som anges i skäl 10 i dataskyddsförordningen.
39. Den hänskjutande domstolen har anfört att denna fråga inte har klargjorts i EU-domstolens praxis och att det särskilt av domen av den 28 april 2022, Meta Platforms Ireland ( C‑319/20, EU:C:2022:322), framgår att domstolen uttryckligen lämnade frågan om en konkurrents talerätt öppen.
40. För det andra vill den hänskjutande domstolen få klarhet i huruvida de uppgifter som kunderna måste lämna när de beställer läkemedel på den aktuella e‑handelsplattformen (såsom kundens namn och leveransadress samt information som krävs för att kunna individualisera de beställda läkemedlen) utgör ”uppgifter om hälsa”, i den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen.
41. Enligt den hänskjutande domstolen är det inte uppenbart hur denna fråga ska besvaras i det fallet att de beställda läkemedlen inte är receptbelagda. I ett sådant fall kan det nämligen inte uteslutas att läkemedlen är avsedda för andra icke identifierbara personer och inte för kunderna själva.
42. Enligt den hänskjutande domstolen är det inte möjligt att besvara frågan enbart utifrån ordalydelsen i dessa bestämmelser och i artikel 4.15 jämförd med skäl 35 i dataskyddsförordningen.
43. Den har dock påpekat att det framgår av EU-domstolens uttalande i punkt 125 i domen av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20, EU:C:2022:601), att begreppet ”särskilda kategorier av personuppgifter” i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen ska ges en vid tolkning med hänsyn till förordningens syfte, vilket är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av deras personuppgifter. Vid en sådan vid tolkning av begreppet ligger det enligt den hänskjutande domstolen nära till hands att anse att uppgifter som kunderna lämnar vid beställning av läkemedel utgör hälsouppgifter i fall där det inte med säkerhet, utan endast med viss grad av sannolikhet, kan fastställas att läkemedlen är avsedda för de kunder som beställt dem.
44. Den hänskjutande domstolen har förklarat att den av DR åberopade rätten att bringa det aktuella agerandet att upphöra förutsätter att ND:s agerande var rättsstridigt både vid den tidpunkt då det ägde rum och vid tidpunkten för huvudförhandlingen i det nationella målet, och att artikel 8.1 i direktiv 95/46 fortfarande var relevant vid den förstnämnda tidpunkten, medan den sistnämnda tidpunkten omfattas av tillämpningsområdet för artikel 9.1 i dataskyddsförordningen.
45. Det är mot den nu redovisade bakgrunden som Bundesgerichtshof (Federala högsta domstolen) har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1) Utgör bestämmelserna i kapitel VIII i dataskyddsförordningen hinder för en nationell lagstiftning som – vid sidan av de ingripandebefogenheter som tillkommer tillsynsmyndigheter med ansvar för att övervaka och säkerställa efterlevnaden av förordningen samt vid sidan av de registrerades möjligheter att tillvarata sina rättigheter på rättslig väg – ger en möjlighet för ett företags konkurrenter att väcka talan mot detta företag vid allmän domstol med stöd av förbudet mot otillbörliga affärsmetoder på grund av överträdelser av dataskyddsförordningen?
2) I ett fall där ett apoteksföretag bedriver e‑handel med läkemedel på en elektronisk marknadsplats, ska då de uppgifter som kunderna lämnar vid beställning av apoteksexklusiva, men receptfria, läkemedel (såsom kundens namn och leveransadress samt information som krävs för att kunna individualisera det beställda apoteksexklusiva läkemedlet) anses utgöra hälsouppgifter i den mening som avses i artikel 9.1 i dataskyddsförordningen och artikel 8.1 i direktiv 95/46?”
Prövning av tolkningsfrågorna
Den första frågan
46. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida bestämmelserna i kapitel VIII i dataskyddsförordningen ska tolkas på så sätt att de utgör hinder för en nationell lagstiftning som – vid sidan av de ingripandebefogenheter som tillkommer tillsynsmyndigheter med ansvar för att övervaka och säkerställa efterlevnaden av förordningen samt vid sidan av de registrerades möjligheter att tillvarata sina rättigheter på rättslig väg – ger en möjlighet för konkurrenter till ett företag som påstås ha åsidosatt bestämmelser om skydd av personuppgifter att med stöd av förbudet mot otillbörliga affärsmetoder väcka talan mot detta företag vid allmän domstol på grund av överträdelser av dataskyddsförordningen.
47. EU-domstolen gör i denna del följande bedömning. Det ska inledningsvis påpekas att kapitel VIII i dataskyddsförordningen bland annat innehåller bestämmelser om de rättsmedel som gör det möjligt att skydda de registrerades rättigheter när personuppgifter som rör dem har behandlats på ett sätt som påstås strida mot bestämmelserna i förordningen. Bestämmelserna innebär att skyddet av dessa rättigheter kan göras gällande antingen direkt av den registrerade (enligt artiklarna 77–79 i dataskyddsförordningen) eller av ett bemyndigat organ, med eller utan uppdrag från den registrerade (enligt artikel 80 i förordningen) (se, för ett liknande resonemang, som av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 53).
48. Av artikel 77.1 i dataskyddsförordningen framgår att den registrerade ska ha rätt att lämna in ett klagomål till en tillsynsmyndighet, utan att detta påverkar andra möjligheter till administrativ prövning eller domstolsprövning. Av artikel 78.1 i dataskyddsförordningen framgår att alla fysiska eller juridiska personer ska ha rätt till en effektiv domstolsprövning av ett rättsligt bindande beslut som fattats av en tillsynsmyndighet, om beslutet avser dem, utan att detta påverkar andra möjligheter till administrativ eller utomrättslig prövning. Av artikel 79.1 i förordningen framgår att alla registrerade ska ha rätt till en effektiv domstolsprövning, utan att detta påverkar andra möjligheter till administrativ eller utomrättslig prövning, däribland rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77 i förordningen.
49. Vidare framgår av artikel 80.1 i dataskyddsförordningen att en registrerad ska ha rätt att på vissa villkor ge ett organ, en organisation eller sammanslutning utan vinstsyfte (nedan kallade ideella organisationer) i uppdrag att lämna in ett klagomål eller utöva de rättigheter som avses i artiklarna 77–79 i förordningen för hans eller hennes räkning. Härtill kommer att artikel 80.2 i dataskyddsförordningen föreskriver en möjlighet för medlemsstaterna att ge ideella organisationer rätt att utan uppdrag från en registrerad lämna in ett klagomål till tillsynsmyndigheten och utöva de rättigheter som avses i denna förordning i den aktuella medlemsstaten, om en sådan organisation anser att en registrerads rättigheter enligt förordningen har kränkts vid behandlingen av hans eller hennes personuppgifter.
50. Vad gäller det nu aktuella fallet framgår följande av handlingarna i målet. ND driver ett apoteksföretag som bedriver e‑handel med apoteksexklusiva läkemedel på Amazon. När kunderna beställer läkemedel via företagets e‑handelsbutik måste de lämna en rad uppgifter, såsom namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen. Det är dock inte företagets kunder, i egenskap av registrerade i den mening som avses i artikel 4.1 i dataskyddsförordningen, som med stöd av artikel 79 i förordningen har väckt den i det nationella målet aktuella talan vid allmän domstol. Inte heller är det någon ideell organisation som med eller utan uppdrag från en registrerad har väckt denna talan med stöd av artikel 80 i förordningen. Talan har i stället väckts av en konkurrent till apoteksföretaget med stöd av förbudet mot otillbörliga affärsmetoder, på grund av att företaget påstås ha begått en överträdelse av dataskyddsförordningens bestämmelser.
51. Det nationella målet aktualiserar således frågan om dataskyddsförordningen utgör hinder för att en konkurrent som DR, som inte är en registrerad i den mening som avses i artikel 4.1 i förordningen, har rätt att väcka en sådan talan vid allmän domstol i en medlemsstat.
52. I detta avseende ska det påpekas att det framgår av rättspraxis att vid tolkningen av en unionsbestämmelse ska inte bara lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 32).
53. Vad gäller lydelsen av bestämmelserna i kapitel VIII i dataskyddsförordningen kan det konstateras att ingen av dem uttryckligen utesluter möjligheten för en konkurrent till ett företag att väcka talan vid allmän domstol mot företaget med stöd av förbudet mot otillbörliga affärsmetoder på grund av företagets påstådda åsidosättande av skyldigheter enligt förordningen. Tvärtom framgår det av lydelsen i artiklarna 77.1, 78.1 och 79.1 i förordningen (se punkt 48 ovan) att rätten att lämna in ett klagomål till en tillsynsmyndighet samt rätten till en effektiv domstolsprövning av en tillsynsmyndighets beslut och rätten att väcka talan mot en personuppgiftsansvarig eller ett personuppgiftsbiträde, som följer av dessa bestämmelser, ”[inte] påverkar” andra möjligheter för de registrerade att få till stånd en administrativ prövning, domstolsprövning eller utomrättslig prövning.
54. När det gäller det sammanhang i vilket kapitel VIII i dataskyddsförordningen ingår, ska det påpekas att förordningens kapitel II innehåller ett antal materiella bestämmelser som bland annat handlar om principerna för behandling av personuppgifter (artikel 5) och om förutsättningarna för laglig behandling av sådana uppgifter (artikel 6), vilka syftar till att fullt ut tillgodose, i synnerhet, den i artikel 16.1 FEUF och artikel 8 i stadgan fastslagna grundläggande rätten till skydd av personuppgifter, som gäller för alla registrerade. Såsom generaladvokaten har påpekat i punkt 80 i sitt förslag till avgörande gäller personuppgiftsskyddet enligt förordningen endast för registrerade, och inte för konkurrenter till ett företag som påstås ha begått en överträdelse av nämnda materiella bestämmelser. Således är det av det skälet som det i kapitel VIII i dataskyddsförordningen inte finns några bestämmelser om att konkurrenter till ett sådant företag har rätt att väcka talan mot det i syfte att få överträdelsen att upphöra.
55. Det nu sagda innebär dock inte att överträdelser av de materiella bestämmelserna i dataskyddsförordningens kapitel II inte också kan drabba andra än registrerade, även om sådana överträdelser i första hand påverkar de vars personuppgifter berörs. Detta visas av att det i artikel 82.1 i förordningen föreskrivs en rätt till ersättning för ”varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning”. Domstolen har även i tidigare praxis slagit fast att en överträdelse av en bestämmelse om personuppgiftsskydd samtidigt kan medföra en överträdelse av bestämmelser om konsumentskydd eller om otillbörliga affärsmetoder (dom av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 78) samt utgöra en viktig faktor vid bedömningen av om det föreligger missbruk av dominerande ställning i den mening som avses i artikel 102 FEUF (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 47 och 62).
56. I detta sammanhang ska det erinras om att tillgång till och utnyttjande av personuppgifter har en mycket stor betydelse i den digitala ekonomin. Tillgång till personuppgifter och möjligheten att behandla dessa uppgifter har nämligen blivit en viktig konkurrensfaktor för företagen i den digitala ekonomin. För att beakta den faktiska ekonomiska utvecklingen och säkerställa konkurrens på lika villkor kan det därmed bli nödvändigt att beakta bestämmelserna om personuppgiftsskydd i samband med förfaranden för kontroll av efterlevnad av konkurrensreglerna eller bestämmelserna om otillbörliga affärsmetoder (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 50 och 51).
57. Härtill kommer att även om det framgår av artikel 1.1 jämförd med skälen 9 och 13 i dataskyddsförordningen att förordningen syftar till att säkerställa en i princip fullständig harmonisering av nationell lagstiftning om skydd av personuppgifter, så kvarstår det faktum att förordningen innehåller flera bestämmelser som uttryckligen öppnar en möjlighet för medlemsstaterna att införa nationella tilläggsregler, som är strängare eller avvikande i förhållande till förordningen, och som ger dem ett handlingsutrymme för hur dessa bestämmelser i förordningen ska genomföras (så kallade öppningsklausuler) (dom av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 57).
58. Av rättspraxis framgår att artikel 80.2 i dataskyddsförordningen tillhör denna kategori. Vidare framgår att bestämmelsen ger medlemsstaterna ett handlingsutrymme när det gäller hur den ska genomföras och att den inte utgör hinder för en nationell lagstiftning som innebär att nationella konsumentskyddsorganisationer har rätt att väcka talan mot den som påstås ha åsidosatt bestämmelser om skydd av personuppgifter – utan att getts i uppdrag att göra det och oberoende av om något åsidosättande av registrerades konkreta rättigheter har skett – på den särskilda grunden att agerandet varit i strid med förbudet mot otillbörliga affärsmetoder, i fall där den aktuella personuppgiftsbehandlingen kan påverka identifierade eller identifierbara fysiska personers rättigheter enligt förordningen (dom av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkterna 59 och 83).
59. Bestämmelserna i kapitel VIII i dataskyddsförordningen innehåller visserligen inte specifikt någon sådan öppningsklausul som uttryckligen gör det möjligt för medlemsstaterna att föreskriva en möjlighet för en konkurrent till ett företag som påstås överträda de materiella bestämmelserna i förordningen att väcka talan mot företaget för att få överträdelsen att upphöra.
60. Det framgår dock av lydelsen av och sammanhanget för bestämmelserna i kapitel VIII (se punkterna 53–58 ovan), att unionslagstiftarens avsikt med förordningen inte har varit att genomföra en uttömmande harmonisering av de rättsmedel som står till buds vid överträdelser av bestämmelserna i dataskyddsförordningen och att avsikten inte att har varit att särskilt utesluta en sådan talemöjlighet för konkurrenter till ett företag som påstås ha åsidosatt bestämmelser om skydd av personuppgifter, på grundval av förbudet mot otillbörliga affärsmetoder.
61. Den nu angivna tolkningen vinner stöd av de mål som eftersträvas med dataskyddsförordningen. Såsom framgår av skäl 10 i förordningen syftar förordningen nämligen till att säkerställa en enhetlig och hög skyddsnivå för fysiska personer med avseende på behandling av personuppgifter och att undanröja hindren för det fria flödet av personuppgifter inom unionen. Av skäl 11 i förordningen framgår dessutom att ett effektivt skydd av personuppgifter förutsätter att de registrerades rättigheter förstärks och att personuppgiftsansvarigas och personuppgiftsbiträdens skyldigheter vid behandling av personuppgifter skärps samt att det i medlemsstaterna finns likvärdiga befogenheter för övervakning och kontroll av efterlevnaden av reglerna om personuppgiftskydd och likvärdiga sanktioner för överträdelser. Av skäl 13 framgår att det för att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden krävs en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer och som ger fysiska personer i alla medlemsstater samma nivå av rättsligt verkställbara rättigheter samt föreskriver samma skyldigheter och ansvar för personuppgiftsansvariga och personuppgiftsbiträden, så att övervakningen av behandling av personuppgifter blir enhetlig och sanktionerna i alla medlemsstater blir likvärdiga.
62. Möjligheten för en konkurrent till ett företag att med stöd av förbudet mot otillbörliga affärsmetoder väcka talan vid allmän domstol mot detta företag i syfte att få företagets påstådda överträdelse av de materiella bestämmelserna i dataskyddsförordningen att upphöra står inte i strid med förordningens syften. Tvärtom kan detta bidra till ett ökat genomslag för dessa bestämmelser och därmed till att förbättra den i förordningen eftersträvade höga skyddsnivån för registrerade vid behandling av deras personuppgifter.
63. Det kan nämligen inledningsvis konstateras att möjligheten för en konkurrent till ett företag att väcka talan om förbudsföreläggande mot företaget med stöd av förbudet mot otillbörliga affärsmetoder, på grund av att företaget påstås ha begått en överträdelse av de materiella bestämmelserna i dataskyddsförordningen, inte inverkar negativt på det system med rättsmedel som föreskrivs i kapitel VIII i förordningen eller på möjligheten att uppnå målet att säkerställa en enhetlig skyddsnivå för fysiska personer i hela unionen samt att undvika avvikelser som hindrar den fria rörligheten av personuppgifter på den inre marknaden.
64. Det är visserligen möjligt att, om än indirekt, grunda en sådan talan på ett påstående om att det skett en överträdelse av samma bestämmelser i dataskyddsförordningen som de som registrerade eller ideella organisationer, i den mening som avses i artikel 80 i förordningen, skulle kunna lägga till grund för ett klagomål eller en talan enligt artiklarna 77–79 i förordningen.
65. Det ska dock, för det första, påpekas att en talan om förbudsföreläggande som väcks av en konkurrent inte i sig – till skillnad från artiklarna 77–80 i dataskyddsförordningen – syftar till att skydda de registrerades grundläggande fri- och rättigheter vid behandling av deras personuppgifter, utan till att säkerställa konkurrens på lika villkor, bland annat i den processförande konkurrentens intresse.
66. För det andra ska möjligheten för en konkurrent att väcka en sådan talan vid allmän domstol med stöd av förbudet mot otillbörliga affärsmetoder anses utgöra ett komplement till de rättsmedel som föreskrivs i artiklarna 77–79 i dataskyddsförordningen, vilka utan hinder av en sådan talemöjlighet fortsatt står till buds för och alltid kan utnyttjas av registrerade och, i förekommande fall, av ideella organisationer, i den mening som avses i artikel 80 i förordningen.
67. I synnerhet kan det konstateras, i likhet med vad den tyska regeringen har påpekat, att det förhållandet att dataskyddsrättsliga och konkurrensrättsliga rättsmedel existerar parallellt med varandra inte utgör något hot mot dataskyddsförordningens enhetliga tillämpning. I detta sammanhang ska det påpekas att artiklarna 77–80 i dataskyddsförordningen ger vid handen att det i förordningen inte finns någon regel om primär eller exklusiv behörighet eller om att den i förordningen angivna tillsynsmyndigheten, eller där angivna domstolar, har prioritet vad gäller att bedöma huruvida det skett en kränkning av de registrerades rättigheter enligt förordningen (se, för ett liknande resonemang, dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 35). Det nu sagda innebär att det inte står i strid med dataskyddsförordningens rättsmedelssystem, såsom det utformats i dess kapitel VIII, att en konkurrent väcker talan om förbudsföreläggande vid allmän domstol mot ett företag som påstås ha åsidosatt bestämmelser om personuppgiftsskydd. EU-domstolen instämmer även i vad den tyska regeringen anfört om att förfarandet för förhandsavgörande enligt artikel 267 FEUF får anses utgöra en garanti för en enhetlig tolkning av de materiella bestämmelserna i dataskyddsförordningen, vilka kan komma att tillämpas på en och samma överträdelse dels av tillsynsmyndigheten eller av en domstol i ett förfarande som inletts med stöd av artiklarna 77–80 i förordningen, dels av en domstol vid vilken en sådan konkurrensrättslig talan har väckts med stöd av förbudet mot otillbörliga affärsmetoder.
68. För det tredje kan det konstateras, i likhet med vad generaladvokaten har påpekat i punkt 104 i sitt förslag till avgörande, att den omständigheten att inte bara registrerade och ideella organisationer, i den mening som avses i artikel 80 i dataskyddsförordningen, utan även andra personer, ges möjlighet att åberopa förordningens materiella bestämmelser inte utgör något hot mot uppnåendet av målet att säkerställa en enhetlig skyddsnivå för registrerade i hela unionen och att undvika avvikelser som hindrar den fria rörligheten för personuppgifter på den inre marknaden. Det förhållandet att en sådan möjlighet eventuellt inte finns i vissa medlemsstater kan inte anses medföra att genomförandet av skyddet av personuppgifter i unionen blir fragmenterat. De materiella bestämmelserna i dataskyddsförordningen gäller nämligen på samma sätt för alla personuppgiftsansvariga och efterlevnaden av dem säkerställs genom det i förordningen angivna rättsmedelssystemet.
69. EU-domstolen övergår därefter till att behandla det med dataskyddsförordningen eftersträvade målet att säkerställa att registrerade ges ett effektivt skydd vid behandling av deras personuppgifter och att de materiella bestämmelserna i förordningen får genomslag. Såsom redan anförts i punkt 65 angående en talan om förbudsföreläggande som en konkurrent till ett företag väcker mot detta företag med stöd av förbudet mot otillbörliga affärsmetoder, på grund av att företaget påstås ha begått en överträdelse av bestämmelser om skydd av personuppgifter, är syftet med en talan av detta slag visserligen inte att uppnå dataskyddsförordningens mål, utan att uppnå målet att säkerställa konkurrens på lika villkor. Faktum kvarstår dock att en sådan talan otvivelaktigt bidrar till efterlevnaden av nämnda bestämmelser i förordningen och därmed till att stärka de registrerades rättigheter samt till att tillförsäkra dessa en hög skyddsnivå (se, för ett liknande resonemang, dom av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 74).
70. Därutöver kan en sådan konkurrensrättslig talan om förbudsföreläggande – i likhet med en talan som väcks av en konsumentskyddsorganisation – visa sig vara särskilt effektiv för att säkerställa det eftersträvade skyddet, eftersom den kan bidra till att förhindra ett stort antal rättighetskränkningar för registrerade i samband behandling av deras personuppgifter (se, för ett liknande resonemang, dom av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 75).
71. Härav följer att den ovan i punkt 60 angivna tolkningen är förenlig med de krav som följer av artikel 16.1 FEUF och artikel 8 i stadgan, vilket innebär att den ligger i linje med dataskyddsförordningens syfte att säkerställa ett effektivt skydd för fysiska personers grundläggande fri- och rättigheter och, i synnerhet, att säkerställa enskilda individers rätt till ett starkt skydd av sina personuppgifter (se, för ett liknande resonemang, som av den 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 73).
72. I förevarande fall ankommer det på den hänskjutande domstolen att pröva huruvida det finns fog för påståendet om att det skett en överträdelse av de i målet aktuella materiella bestämmelserna i dataskyddsförordningen och att, om så är fallet, ta ställning till om denna överträdelse även utgör en överträdelse av förbudet mot otillbörliga affärsmetoder, såsom detta regleras i den relevanta nationella lagstiftningen.
73. Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Bestämmelserna i kapitel VIII i dataskyddsförordningen ska tolkas på så sätt att de inte utgör hinder för en nationell lagstiftning som – vid sidan av de ingripandebefogenheter som tillkommer tillsynsmyndigheter med ansvar för att övervaka och säkerställa efterlevnaden av förordningen samt vid sidan av de registrerades möjligheter att tillvarata sina rättigheter på rättslig väg – ger en möjlighet för konkurrenter till ett företag som påstås ha åsidosatt bestämmelser om skydd av personuppgifter att med stöd av förbudet mot otillbörliga affärsmetoder väcka talan mot detta företag vid allmän domstol på grund av överträdelser av dataskyddsförordningen.
Den andra frågan
74. Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen ska tolkas på så sätt att de uppgifter som kunder till ett apoteksföretag som bedriver e‑handel med apoteksexklusiva läkemedel på en e‑handelsplattform måste lämna när de beställer läkemedel på plattformen (såsom kundens namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen) utgör hälsouppgifter i dessa bestämmelsers mening, även i fall där de beställda läkemedlen inte är receptbelagda.
75. EU-domstolen gör i denna del följande bedömning. Artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen får anses ha en liknande innebörd med avseende på den tolkning som domstolen har att göra i förevarande mål (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkterna 58 och 117). Det som regleras i dessa bestämmelser är, såsom framgår av rubriken till dem, behandling av ”särskilda kategorier” av personuppgifter, och bestämmelserna innebär ett principiellt förbud mot att behandla sådana uppgifter. Av skäl 51 i dataskyddsförordningen framgår nämligen uttryckligen att personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande fri- och rättigheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för dessa fri- och rättigheter.
76. Artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen innehåller en uppräkning av dessa särskilda kategorier av personuppgifter, och dit hör bland annat hälsouppgifter. Av artikel 4.15 jämförd med skäl 35 i dataskyddsförordningen framgår att hälsouppgifter omfattar samtliga personuppgifter som avslöjar information om en fysisk persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd, däribland uppgifter om tillhandahållande av hälso- och sjukvårdstjänster till denna person.
77. Vidare framgår av bland annat artikel 4.1 i dataskyddsförordningen att med begreppet ”personuppgifter” avses varje upplysning som avser en identifierad eller identifierbar fysisk person (en registrerad) och att det för att en registrerad ska anses vara ”identifierbar” räcker att han eller hon direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare, såsom ett namn, ett identifikationsnummer, lokaliseringsuppgifter, en onlineidentifierare eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
78. Av detta följer att uppgifter om läkemedelsinköp som gör det möjligt att dra slutsatser om en identifierad eller identifierbar persons hälsotillstånd ska anses utgöra hälsouppgifter, i den mening som avses i artikel 4.15 i dataskyddsförordningen.
79. Vad gäller det nu aktuella fallet framgår följande av handlingarna i målet. När ND:s kunder beställer apoteksexklusiva läkemedel på e‑handelsplattformen Amazon lämnar de upplysningar om bland annat namn och leveransadress samt upplysningar som krävs för att kunna individualisera läkemedlen. Det är utrett att dessa upplysningar utgör ”personuppgifter”, eftersom de avser identifierade eller identifierbara fysiska personer.
80. Vid dessa förhållanden måste det fastställas huruvida sådana uppgifter kan avslöja information om dessa personers hälsotillstånd, i den mening som avses i artikel 4.15 i dataskyddsförordningen, och därmed utgör hälsouppgifter, i den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen.
81. I detta avseende har EU-domstolen redan slagit fast att syftet med direktiv 95/46 och dataskyddsförordningen – som är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av deras personuppgifter – kräver att begreppet ”uppgifter om hälsa” i artikel 9.1 i dataskyddsförordningen, som motsvarar begreppet ”uppgifter som rör hälsa” i artikel 8.1 i direktiv 95/46, ges en vid tolkning (se, för ett liknande resonemang, dom av den 6 november 2003, Lindqvist, C‑101/01, EU:C:2003:596, punkt 50, och dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 125).
82. I synnerhet gäller att dessa bestämmelser inte kan tolkas på ett sätt som medför att behandling av personuppgifter som indirekt kan avslöja känslig information om en fysisk person undantas från den särskilda skyddsreglering som föreskrivs i nämnda bestämmelser, eftersom detta skulle vara i strid med regleringens ändamålsenliga verkan och det skydd för fysiska personers grundläggande fri- och rättigheter som den syftar till att säkerställa (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 127).
83. Vad som nu anförts innebär att det är en tillräcklig förutsättning för att personuppgifter ska kunna anses utgöra hälsouppgifter – i den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen – att uppgifterna till sin karaktär är sådana att de, genom associering eller slutledning, kan avslöja information om den registrerades hälsotillstånd (se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 123).
84. Uppgifter som en kund lämnar på en e‑handelsplattform vid beställning av apoteksexklusiva läkemedel är till sin karaktär sådana att de, genom associering eller slutledning, kan avslöja information om den registrerades hälsotillstånd, i den mening som avses i artikel 4.1 i dataskyddsförordningen. En sådan beställning innebär nämligen att det skapas ett samband mellan ett läkemedel, dess terapeutiska indikationer eller dess användning, och en fysisk person som är identifierad eller identifierbar genom exempelvis namn eller leveransadress.
85. Den hänskjutande domstolen vill dock få klarhet i huruvida det är relevant att de beställda läkemedlen inte är receptbelagda, eftersom det i det fallet skulle kunna vara så, att läkemedlen inte är avsedda för den kund som gjort beställningen, utan för någon annan person.
86. Vid tillämpning av artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen med avseende på ett apoteksföretags behandling av personuppgifter i samband med e‑handelsverksamhet på en plattform gäller att företaget måste kontrollera om de uppgifter som det behandlar kan avslöja information som omfattas av någon av de i bestämmelserna angivna kategorierna, och detta oavsett om informationen rör en användare av denna plattform eller någon annan fysisk person. Om så är fallet är den aktuella personuppgiftsbehandlingen förbjuden, om inte annat följer av undantagen i artikel 9.2 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 68).
87. Detta principiella förbud gäller oavsett om den information som avslöjas genom den aktuella personuppgiftsbehandlingen är korrekt eller inte och oavsett om apoteksföretaget agerar i syfte att erhålla information som ingår i någon av de särskilda kategorier som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen. Syftet med dessa bestämmelser är nämligen att förbjuda all behandling av personuppgifter hänförliga till någon av dessa kategorier oavsett det angivna ändamålet med behandlingen och oavsett om den aktuella informationen är korrekt. Detta syfte har sin grund i att all sådan personuppgiftsbehandling är förenad med betydande risker för de registrerades grundläggande fri- och rättigheter (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 69 och 70).
88. Det nu sagda innebär följande. När en användare av en e‑handelsplattform lämnar personuppgifter i samband med beställning av apoteksexklusiva receptfria läkemedel, och dessa uppgifter behandlas av ett apoteksföretag som säljer dessa läkemedel via plattformen, så ska det anses vara fråga om behandling av hälsouppgifter i den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen. Detta eftersom denna personuppgiftsbehandling till sin karaktär är sådan att den kan avslöja information om en fysisk persons hälsotillstånd, oavsett om informationen rör användaren eller någon annan person för vars räkning användaren gör beställningen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 73).
89. Det skulle nämligen strida mot dataskyddsförordningens mål om att säkerställa en hög skyddsnivå (se punkt 81 ovan) att tolka dessa bestämmelser på så sätt att det ska göras en distinktion utifrån vilken typ av läkemedel det är fråga om och huruvida de är receptbelagda eller inte. En sådan tolkning skulle dessutom strida mot syftet med 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen, vilket är att säkerställa ett utökat skydd mot personuppgiftsbehandling som på grund av att den avser särskilt känsliga uppgifter kan utgöra ett synnerligen allvarligt ingrepp i de i artiklarna 7 och 8 i stadgan fastslagna grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter, såsom framgår av skäl 51 i dataskyddsförordningen (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 126 och där angiven rättspraxis).
90. Det anförda innebär att information som ett apoteksföretags kunder lämnar i samband med att de beställer apoteksexklusiva receptfria läkemedel på en e‑handelsplattform utgör hälsouppgifter, i den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen, även om det endast med viss grad av sannolikhet, och inte med full säkerhet, kan fastställas att dessa läkemedel är avsedda för kunderna som beställt dem.
91. Härtill kommer att det även i det fallet att läkemedlen är avsedda för andra personer än kunderna som beställt dem inte kan uteslutas att det skulle kunna gå att identifiera dessa personer och att dra slutsatser om deras hälsotillstånd. Så skulle exempelvis kunna vara fallet när de aktuella läkemedlen inte levereras till den beställande kundens hemadress, utan till en annan persons hemadress. Detta skulle även kunna hända i fall där kunden – oavsett vilken leveransadress som angetts – i sin beställning eller i sina meddelanden angående beställningen har hänvisat till en annan identifierbar person, till exempel en familjemedlem. På samma sätt gäller att det i fall där det för att kunna göra en beställning krävs att kunden identifierar sig och/eller registrerar sig – till exempel genom att skapa ett användarkonto eller bli medlem i ett lojalitetsprogram – inte kan uteslutas att den information som kunden lämnar i detta sammanhang skulle kunna användas för att dra slutsatser inte bara om kundens hälsotillstånd, utan även om en annan persons hälsotillstånd, bland annat i kombination med informationen om de beställda läkemedlen.
92. Slutligen vill EU-domstolen erinra om det som anförts ovan i punkt 86, nämligen att den omständigheten att information av nu aktuellt slag utgör hälsouppgifter – i den mening som avses i artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen – inte utgör hinder för att den kan bli föremål för behandling, särskilt i samband med förvaltning av hälso- och sjukvårdstjänster och hälso- och sjukvårdssystem, om något av villkoren i punkt 2 i respektive artikel är uppfyllt. Detta framgår av bland annat skäl 53 i dataskyddsförordningen.
93. Så kan särskilt vara fallet om den registrerade – i enlighet med led a) i punkt 2 i nämnda artiklar och om inte annat följer av det där angivna undantaget – ger sitt uttryckliga samtycke till en eller flera typer av behandling av dessa personuppgifter, efter att ha fått klar, fullständig och lättförståelig information om hur och för vilka specifika ändamål uppgifterna kommer att behandlas. Sådan personuppgiftsbehandling kan också vara tillåten enligt artikel 9.2 h i dataskyddsförordningen om den är nödvändig för att kunna tillhandahålla hälso- och sjukvård på grundval av unionsrätten, medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet.
94. Mot bakgrund av det ovan anförda ska den andra frågan besvaras enligt följande. Artikel 8.1 i direktiv 95/46 och artikel 9.1 i dataskyddsförordningen ska tolkas på så sätt att de uppgifter som kunder till ett apoteksföretag som bedriver e‑handel med apoteksexklusiva läkemedel på en e‑handelsplattform måste lämna när de beställer läkemedel på plattformen (såsom kundens namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen) utgör hälsouppgifter i dessa bestämmelsers mening, även i fall där de beställda läkemedlen inte är receptbelagda.
Rättegångskostnader
95. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:
1) Bestämmelserna i kapitel VIII i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas på följande sätt: Dessa bestämmelser utgör inte hinder för en nationell lagstiftning som – vid sidan av de ingripandebefogenheter som tillkommer tillsynsmyndigheter med ansvar för att övervaka och säkerställa efterlevnaden av förordningen samt vid sidan av de registrerades möjligheter att tillvarata sina rättigheter på rättslig väg – ger en möjlighet för konkurrenter till ett företag som påstås ha åsidosatt bestämmelser om skydd av personuppgifter att med stöd av förbudet mot otillbörliga affärsmetoder väcka talan mot detta företag vid allmän domstol på grund av överträdelser av dataskyddsförordningen.
2) Artikel 8.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och artikel 9.1 i förordning 2016/679 ska tolkas på följande sätt: De uppgifter som kunder till ett apoteksföretag som bedriver e‑handel med apoteksexklusiva läkemedel på en e‑handelsplattform måste lämna när de beställer läkemedel på plattformen (såsom kundens namn och leveransadress samt information som krävs för att kunna individualisera läkemedlen) utgör hälsouppgifter i dessa bestämmelsers mening, även i fall där de beställda läkemedlen inte är receptbelagda.
1 Rättegångsspråk: tyska.