ZQ v. Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts: K spracúvaniu osobných údajov o zdraví zamestnancov zamestnávateľom

1. Článok 9 ods. 2 písm. h) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa má vykladať v tom zmysle, že:

výnimka upravená v tomto ustanovení sa uplatňuje na situácie, v ktorých lekárska služba spracúva údaje týkajúce sa zdravia jedného zo svojich zamestnancov nie ako zamestnávateľ, ale ako lekárska služba, s cieľom posúdiť pracovnú schopnosť tohto zamestnanca, pod podmienkou, že dotknuté spracúvanie spĺňa podmienky a záruky výslovne stanovené v tomto písmene h) a odseku 3 uvedeného článku 9.

2. Článok 9 ods. 3 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

prevádzkovateľ spracúvajúci údaje týkajúce sa zdravia na základe článku 9 ods. 2 písm. h) tohto nariadenia nie je podľa týchto ustanovení povinný zabezpečiť, aby nijaký kolega dotknutej osoby nemal prístup k údajom týkajúcim sa jej zdravotného stavu. Takúto povinnosť však možno uložiť prevádzkovateľovi uvedeného spracúvania buď na základe právnej úpravy prijatej členským štátom podľa článku 9 ods. 4 uvedeného nariadenia, alebo na základe zásad integrity a dôvernosti uvedených v článku 5 ods. 1 písm. f) toho istého nariadenia a konkretizovaných v článku 32 ods. 1 písm. a) a b) tohto nariadenia.

3. Článok 9 ods. 2 písm. h) a článok 6 ods. 1 nariadenia 2016/679

sa majú vykladať v tomto zmysle, že:

spracúvanie údajov týkajúcich sa zdravia založené na prvom uvedenom ustanovení musí na to, aby bolo zákonné, spĺňať nielen požiadavky vyplývajúce z tohto ustanovenia, ale aj aspoň jednu z podmienok zákonnosti stanovených v uvedenom článku 6 ods. 1.

4. Článok 82 ods. 1 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

právo na náhradu škody stanovené v tomto ustanovení plní kompenzačnú funkciu, keďže peňažná náhrada založená na uvedenom ustanovení musí umožniť úplnú náhradu škody, ktorá bola konkrétne spôsobená porušením tohto nariadenia, a nie odrádzajúcu alebo sankčnú funkciu.

5. Článok 82 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

po prvé vznik zodpovednosti prevádzkovateľa je podmienený existenciou jeho zavinenia, ktoré sa predpokladá, pokiaľ prevádzkovateľ nepreukáže, že udalosť, ktorá spôsobila škodu, mu nemožno nijako pripísať, a po druhé tento článok 82 nevyžaduje, aby sa pri stanovení výšky náhrady škody priznanej ako náhrada nemajetkovej ujmy na základe tohto ustanovenia zohľadnil stupeň závažnosti tohto zavinenia.