Soudní dvůr Evropské unie zveřejnil svůj rozsudek ve věci C-21/23 | Lindenapotheke, týkající se ochrany osobních údajů (GDPR). Soud rozhodl, že online prodej léčivých přípravků vyhrazených lékárnám vyžaduje výslovný souhlas zákazníka se zpracováním jeho údajů, i když tyto léčivé přípravky nepodléhají omezení výdeje na lékařský předpis. Prodávající musí zákazníky informovat přesným, úplným a srozumitelným způsobem o specifických charakteristikách a účelech zpracování uvedených údajů a požádat je o jejich výslovný souhlas s tímto zpracováním. Podle SD EU dále platí, že členské státy mohou stanovit, že konkurenti údajného původce porušení ochrany osobních údajů mohou toto porušení napadnout u soudu jako zakázanou nekalou obchodní praktiku.
Německý Spolkový soudní dvůr, který má rozhodnout spor mezi dvěma konkurenčními lékárníky, pořádal Soudní dvůr o výklad nařízení o ochraně osobních údajů (GDPR). Soudní dvůr konstatuje, že GDPR nebrání vnitrostátní právní úpravě, která umožňuje konkurentům údajného původce porušení ochrany osobních údajů napadnout toto porušení u soudu jako zakázanou nekalou obchodní praktiku. Taková možnost prostředku nápravy pro konkurenty doplňuje intervenční pravomoci dozorových úřadů pověřených dohledem a vymáháním GDPR, jakož i možnost subjektů údajů podat opravný prostředek, které jsou stanoveny v tomto nařízení.
Soudní dvůr má dále za to, že informace poskytnuté zákazníky při online objednávce léčivých přípravků vyhrazených lékárnám představují údaje o zdravotním stavu ve smyslu GDPR, i když prodej těchto léčivých přípravků nepodléhá omezení výdeje na lékařský předpis. Prodávající proto musí tyto zákazníky přesným, úplným a snadno srozumitelným způsobem informovat o specifických charakteristikách a účelech zpracování těchto údajů a požádat je o jejich výslovný souhlas s tímto zpracováním.
Německý Spolkový soudní dvůr musí rozhodnout ve sporu mezi dvěma německými lékárníky. Lékárník, který je majitelem lékárny „Lindenapotheke“, uvádí od roku 2017 na trh na platformě Amazon léčivé přípravky, jejichž prodej je vyhrazen lékárnám. Zákazníci musí při objednávce těchto léčivých přípravků online zadat několik informací.
Na základě německé právní úpravy v oblasti nekalých obchodních praktik požádal konkurenční lékárník německé soudy, aby nařídily majiteli Lindenapotheke, aby tuto činnost ukončil, dokud nebude zaručeno, že zákazníci mohou udělit svůj předchozí souhlas se zpracováním údajů o zdravotním stavu. Soudy prvního a druhého stupně rozhodly, že toto uvádění na trh skutečně představuje nekalou a nezákonnou praktiku, protože je v rozporu s nařízením o ochraně osobních údajů (GDPR)1. V případě neexistence výslovného souhlasu zákazníků kupujících léčivé přípravky by prodej vedl ke zpracování údajů o zdravotním stavu, které je podle tohoto nařízení zakázáno.
Německý Spolkový soudní dvůr si klade otázku, zda vnitrostátní právní úprava, která konkurentovi umožňuje podat žalobu proti údajnému pachateli porušení GDPR na základě zákazu nekalých obchodních praktik, je v souladu s tímto nařízením. Podle GDPR je totiž v zásadě na vnitrostátních dozorových úřadech, aby sledovaly a vymáhaly toto nařízení, a na subjektech údajů (v tomto případě na zákaznících), aby hájily svá práva. Německý soud se rovněž táže, zda informace získané při on-line nákupech léčivých přípravků, jejichž prodej je vyhrazen lékárnám, představují údaje o zdravotním stavu ve smyslu GDPR, a to i v případě, že tyto léčivé přípravky nepodléhají omezení výdeje na lékařský předpis. Německý Spolkový soudní dvůr se proto obrátil na Soudní dvůr.
Soudní dvůr na prvním místě odpovídá, že GDPR nebrání vnitrostátní právní úpravě, která nad rámec práv a pravomocí přiznaných GDPR vnitrostátním dozorovým úřadům, subjektům údajů a sdružením zastupujícím tyto subjekty umožňuje konkurentům údajného původce porušení ochrany osobních údajů podat proti němu žalobu z důvodu porušení tohoto nařízení na základě zákazu nekalých obchodních praktik. Naopak, taková úprava nesporně přispívá k posílení práv subjektů údajů a k zajištění vysoké úrovně ochrany. Kromě toho se může ukázat jako obzvláště účinná, neboť tímto způsobem je možné zabránit velkému počtu porušení GDPR.
Na druhém místě má Soudní dvůr za to, že údaji o zdravotním stavu ve smyslu GDPR jsou informace poskytované zákazníky (jako je jejich jméno, adresa dodání a údaje nezbytné k individualizaci léčivých přípravků) při on-line objednávce léčivých přípravků vyhrazených lékárnám, i když prodej těchto léčivých přípravků nepodléhá omezení výdeje na lékařský předpis.
Z takovýchto údajů lze myšlenkovou asociací nebo dedukcí odhalit informace o zdravotním stavu identifikované nebo identifikovatelné fyzické osoby, protože se vytvoří vazba mezi ní a léčivým přípravkem, jeho terapeutickými indikacemi nebo použitím bez ohledu na to, zda se tyto informace týkají zákazníka nebo jakékoliv jiné osoby, pro niž zákazník objednávku vytváří. V důsledku toho je irelevantní, že v případě neexistence lékařského předpisu lze pouze s určitou pravděpodobností, a nikoliv s absolutní jistotou určit, že tyto léčivé přípravky jsou určeny pro zákazníky, kteří si je objednali. Rozlišování podle druhu léčivých přípravků a toho, zda jejich prodej podléhá omezení výdeje na lékařský předpis, by bylo v rozporu s cílem GDPR, kterým je zajištění vysoké ochrany.
Proto musí prodávající informovat tyto zákazníky přesným, úplným a snadno srozumitelným způsobem o specifických charakteristikách a účelech zpracování uvedených údajů a požádat je o jejich výslovný souhlas s tímto zpracováním.
Úplné znění rozsudku, a případně jeho shrnutí jsou zveřejněny na stránce curia.europa.eu v den vyhlášení.
Zdroj: Soudní dvůr EU
Ilustrační foto: PIXABAY.com
1 Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).
