Sprawa C-667/21, Krankenversicherung Nordrhein: Wyrok Trybunału (trzecia izba) z dnia 21 grudnia 2023 r. - ZQ v. Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
Dz.U.UE.C.2024.1367
Akt nienormatywnyWyrok Trybunału (trzecia izba) z dnia 21 grudnia 2023 r. (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesarbeitsgericht - Niemcy) - ZQ/Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
(Sprawa C-667/21 1 , Krankenversicherung Nordrhein)
[Odesłanie prejudycjalne - Ochrona osób fizycznych w zakresie przetwarzania danych osobowych - Rozporządzenie (UE) 2016/679 - Artykuł 6 ust. 1 - Warunki zgodności przetwarzania z prawem - Artykuł 9 ust. 1-3 - Przetwarzanie szczególnych kategorii danych - Dane dotyczące zdrowia - Ocena zdolności pracownika do pracy - Służba medyczna w dziedzinie ubezpieczenia zdrowotnego przetwarzająca dane dotyczące zdrowia jej własnych pracowników - Dopuszczalność i warunki takiego przetwarzania - Artykuł 82 ust. 1 - Prawo do odszkodowania i odpowiedzialność - Odszkodowanie za szkodę niemajątkową - Funkcja kompensacyjna - Wpływ winy administratora danych]
(C/2024/1367)
(Dz.U.UE C z dnia 19 lutego 2024 r.)
Sąd odsyłający
Bundesarbeitsgericht
Strony w postępowaniu głównym
Strona skarżąca: ZQ
Strona pozwana: Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts
Sentencja
należy interpretować w ten sposób, że:
wyjątek przewidziany w tym przepisie ma zastosowanie do sytuacji, w których organ kontroli medycznej przetwarza dane dotyczące zdrowia jednego ze swoich pracowników nie jako pracodawca, lecz jako służba medyczna, w celu oceny zdolności tego pracownika do pracy, pod warunkiem że odnośne przetwarzanie spełnia warunki i gwarancje wyraźnie określone w tym art. 9 ust. 2 lit. h) i w art. 9 ust. 3.
należy interpretować w ten sposób, że:
administrator przetwarzający dane dotyczące zdrowia, na podstawie art. 9 ust. 2 lit. h) tego rozporządzenia, nie jest zobowiązany, na mocy tych przepisów, do zagwarantowania, że żaden współpracownik osoby, której dane dotyczą, nie będzie mógł uzyskać dostępu do danych dotyczących stanu zdrowia tej osoby. Jednakże taki obowiązek może ciążyć na administratorze przetwarzającym takie dane albo na podstawie uregulowania przyjętego przez państwo członkowskie na podstawie art. 9 ust. 4 wspomnianego rozporządzenia, albo na podstawie zasad integralności i poufności określonych w art. 5 ust. 1 lit. f) tego rozporządzenia i skonkretyzowanych w jego art. 32 ust. 1 lit. a) i b).
należy interpretować w ten sposób, że:
przetwarzanie danych dotyczących zdrowia oparte na tym pierwszym przepisie musi, aby było zgodne z prawem, nie tylko spełniać wymogi wynikające z tego przepisu, lecz także spełniać co najmniej jeden z warunków zgodności z prawem wymienionych w tym art. 6 ust. 1.
należy interpretować w ten sposób, że:
prawo do odszkodowania przewidziane w tym przepisie pełni funkcję kompensacyjną, ponieważ odszkodowanie pieniężne oparte na tym przepisie powinno umożliwić pełne naprawienie szkody poniesionej konkretnie w wyniku naruszenia tego rozporządzenia, a nie pełnić funkcję odstraszającą lub represyjną.
należy interpretować w ten sposób, że:
po pierwsze, powstanie odpowiedzialności administratora danych jest uzależnione od istnienia jego winy, której istnienie domniemywa się, chyba że wykaże on, iż w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody, i, po drugie, ten art. 82 nie wymaga wzięcia pod uwagę stopnia tej winy przy określaniu kwoty odszkodowania przyznawanego za szkodę niemajątkową na podstawie tego przepisu.