C-667/21

Trybunał Sprawiedliwości Unii Europejskiej2023-12-21

cjeuochrona_danychRODOWysokatrybunal

RODOochrona danych osobowychdane dotyczące zdrowiaprzetwarzanie danychprawo pracyodszkodowanieodpowiedzialność administratorasłużba medycznaocena zdolności do pracy

Podsumowanie

Trybunał Sprawiedliwości UE orzekł, że służba medyczna kasy chorych może przetwarzać dane zdrowotne własnych pracowników w celu oceny ich zdolności do pracy, pod warunkiem przestrzegania określonych wymogów RODO, a prawo do odszkodowania za naruszenie RODO ma charakter wyłącznie kompensacyjny.

Sprawa dotyczyła możliwości przetwarzania danych zdrowotnych pracownika przez służbę medyczną jego pracodawcy w celu oceny zdolności do pracy oraz prawa do odszkodowania za naruszenie RODO. Bundesarbeitsgericht zadał pytania prejudycjalne dotyczące wykładni art. 9 RODO w kontekście przetwarzania danych zdrowotnych przez pracodawcę będącego jednocześnie służbą medyczną oraz wykładni art. 82 RODO w zakresie funkcji odszkodowania i odpowiedzialności administratora. Trybunał Sprawiedliwości UE wyjaśnił, że służba medyczna może przetwarzać dane zdrowotne własnych pracowników w celu oceny zdolności do pracy, pod warunkiem spełnienia wymogów RODO, a prawo do odszkodowania ma charakter wyłącznie kompensacyjny, a odpowiedzialność administratora opiera się na zasadzie winy.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesarbeitsgericht (Niemcy) dotyczył wykładni przepisów RODO w sprawie przetwarzania danych dotyczących zdrowia przez służbę medyczną kasy ubezpieczenia zdrowotnego (MDK Nordrhein) w odniesieniu do jej własnych pracowników oraz kwestii prawa do odszkodowania za naruszenie RODO. Sąd odsyłający pytał, czy MDK Nordrhein może przetwarzać dane zdrowotne swojego pracownika w celu oceny jego zdolności do pracy, jakie dodatkowe wymogi ochrony danych należy spełnić, czy zgodność przetwarzania z prawem zależy od spełnienia warunków z art. 6 RODO, a także czy prawo do odszkodowania ma charakter kompensacyjny czy odstraszający oraz czy odpowiedzialność administratora zależy od winy. Trybunał Sprawiedliwości UE orzekł, że art. 9 ust. 2 lit. h) RODO zezwala służbie medycznej na przetwarzanie danych zdrowotnych własnych pracowników w celu oceny ich zdolności do pracy, pod warunkiem przestrzegania wymogów z art. 9 ust. 3 RODO oraz innych przepisów rozporządzenia, w tym art. 6 ust. 1. Trybunał podkreślił, że art. 9 ust. 3 RODO nie nakłada obowiązku zapewnienia, by żaden współpracownik nie miał dostępu do danych zdrowotnych, jednakże administrator musi wdrożyć odpowiednie środki bezpieczeństwa zgodnie z art. 32 RODO. Ponadto, Trybunał stwierdził, że prawo do odszkodowania na podstawie art. 82 ust. 1 RODO ma wyłącznie charakter kompensacyjny i nie pełni funkcji odstraszającej ani represyjnej. Odpowiedzialność administratora opiera się na zasadzie winy, przy czym istnienie winy jest domniemane, chyba że administrator udowodni brak swojej winy. Stopień winy nie wpływa na wysokość odszkodowania za szkodę niemajątkową.

Asystent AI do analizy prawnej

Przeanalizuj tę sprawę w kontekście orzecznictwa, przepisów i doktryny. Uzyskaj pogłębioną analizę, projekt pisma lub odpowiedź na pytanie prawne.

Analiza orzecznictwa Badanie przepisów Odpowiedzi na pytania Drafting pism

Wypróbuj Asystenta AI

Zagadnienia prawne (5)

Odpowiedź sądu

Tak, art. 9 ust. 2 lit. h) RODO należy interpretować w ten sposób, że wyjątek przewidziany w tym przepisie ma zastosowanie do sytuacji, w których organ kontroli medycznej przetwarza dane dotyczące zdrowia jednego ze swoich pracowników nie jako pracodawca, lecz jako służba medyczna, w celu oceny zdolności tego pracownika do pracy, pod warunkiem że odnośne przetwarzanie spełnia warunki i gwarancje wyraźnie określone w tym art. 9 ust. 2 lit. h) i w art. 9 ust. 3.

Uzasadnienie

Trybunał podkreślił, że art. 9 ust. 2 lit. h) RODO nie wyklucza przetwarzania danych zdrowotnych przez służbę medyczną pracodawcy, jeśli odbywa się ono w ramach funkcji służby medycznej, a nie pracodawcy. Kluczowe jest spełnienie warunków z art. 9 ust. 3 RODO oraz innych przepisów rozporządzenia.

Rozstrzygnięcie

Decyzja

odpowiedz_na_pytanie

Strona wygrywająca

udzielono odpowiedzi na pytanie

Strony

Nazwa	Typ	Rola
ZQ	osoba_fizyczna	skarżący
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts	organ_krajowy	pozwany
Irlandia	panstwo_czlonkowskie	interwenient
rząd włoski	panstwo_czlonkowskie	interwenient
Komisja Europejska	instytucja_ue	interwenient