当前，国际竞争越来越体现为制度、规则、法律之争，案例是司法实践的生动体现，许多国家及地区的案例在统一裁判规则、指导法官办案、传播价值理念、促进社会治理等方面发挥着重要的作用，通过对这些典型案例的分析和总结，可以帮助我们了解不同国家及地区的司法现状及发展趋势，为我国法治建设提供借鉴。为此，本版特开辟“案例纵览”栏目，敬请关注，欢迎投稿。
欧盟《通用数据保护条例》（以下简称《条例》）对健康医疗数据作出了界定：健康医疗数据是指与自然人的身体健康或心理健康相关的个人数据，包括可以体现其健康状况的健康服务数据。欧盟法院在2024年10月对ND诉DR案所作的判决中，对上述定义进行了诠释。
基本案情
ND经营一家药店，从2017年开始在某网站销售仅限药店出售的非处方药品（以下简称药品）。顾客在线上下单购买药品时，必须输入相关信息，例如姓名、送货地址以及对这些药品进行个性化适配所需的详细信息等。
DR经营一家药店。DR认为，ND在某网站销售药品构成不公平商业行为，理由是顾客在某网站购买ND销售的药品时，输入的信息构成健康医疗数据，而ND在向这些顾客销售药品时，并未遵守《条例》第9条的规定，在处理这些顾客的健康医疗数据之前未取得他们的明确同意。DR遂向德国德绍-罗斯劳地区法院（以下简称德罗区法院）提起诉讼，请求该院责令ND在上述情况下，停止在某网站销售药品。
德罗区法院经审理，于2018年3月作出裁定，对DR的诉讼请求予以支持。
ND对德罗区法院的裁定不服，向德国瑙姆堡高等地区法院（以下简称瑙姆堡高院）提起上诉。瑙姆堡高院于2019年11月作出裁定，驳回了ND的上诉，主要理由是ND销售药品涉及对相关顾客健康医疗数据的处理，而根据《条例》第9条的规定，在顾客未就ND处理其健康医疗数据作出明确同意的情况下，ND应被禁止药品的销售。
ND对瑙姆堡高院的裁定不服，向德国联邦最高法院提起上诉。
因本案涉及《条例》的解释问题，德国联邦最高法院遂决定中止本案诉讼，并请求欧盟法院就相关问题作出先予裁决，其中一个问题是，根据《条例》第9条第1款的规定，顾客在下单购买这些药品时输入的相关信息，是否构成健康医疗数据，即使在这些药品的销售无需处方的情况下是否仍然构成健康医疗数据？
欧盟法院的判决
2024年10月4日，欧盟法院就本案作出判决。在判决中，欧盟法院指出，《条例》第9条第1款的规定与特殊种类的个人数据即敏感个人数据的处理相关，该款确立了敏感个人数据的处理应予禁止的原则，此处的敏感个人数据包括健康医疗数据。根据《条例》第4条第15项等规定，健康医疗数据是可以体现自然人过去、现在或未来健康状况的所有数据，包括向该自然人提供健康服务的数据。同时，健康医疗数据属于个人数据，根据《条例》第4条第1项的规定，个人数据是指已识别或可识别自然人的任何信息。据此，若基于购买药品所需的相关数据，可以已识别或可识别自然人的健康状况，则这些数据即构成《条例》第4条第15项规定的健康医疗数据。
具体到本案中，ND的顾客在购买药品时输入了相关信息，基于这些信息与自然人相关，故这些信息构成个人数据。
欧盟法院认为，考虑到《条例》的目的，即在个人数据处理方面，确保对自然人的基本权利和自由特别是对其隐私进行高标准的保护，《条例》第9条第1款规定的健康医疗数据应当进行广义解释。特别是为了不损害《条例》第9条第1款建立的敏感个人数据的保护机制以及该机制对自然人基本权利和自由保护的有效性，如果通过比对或推理等能从相关个人数据看出该个人的健康状况，则这些数据即可构成《条例》第9条第1款规定的健康医疗数据。本案中，通过比对或推理，可以从顾客输入的信息看出他们的健康状况，故这些信息构成健康医疗数据。
欧盟法院注意到，本案中，德国联邦最高法院对案涉药品的销售不需要处方这一事实是否与本案相关存在疑问，理由是，这些药品的实际用户可能不是下单的顾客而是第三方。对此，欧盟法院认为，在不需要处方的情况下，无论这些个人数据涉及该用户还是药品的实际用户，只要这些数据能够显示相关个人的健康状况，就构成健康医疗数据。理由是：
第一，将《条例》第9条第1款解释为，若案涉药品的销售需要处方，则用户输入的个人数据构成健康医疗数据，对这些数据的处理原则上应予禁止。若案涉药品的销售不需要处方，对这些数据的处理原则上又不予禁止，不仅与《条例》的目的相悖，而且也与《条例》第9条第1款的目的，即加强对自然人的基本权利和自由的保护不符。
第二，即使案涉药品因其销售不需要处方，而被用于下单用户之外的第三方，仍可对第三方进行健康识别。这些数据包括第三方的家庭地址等信息。此外，在用户必须披露其身份或者必须注册才能下单的情况下，该用户输入的信息不仅可能涉及自身的健康状况，而且还有可能涉及第三方的健康状况。
第三，如果认定上述个人数据构成健康医疗数据，就可以对这些个人数据进行处理，因为根据《条例》第9条第2款的规定，若相关个人对这些个人数据的处理给予了明示同意，或者这些个人数据处理为依据欧盟法律、欧盟成员国法律或者与医疗执业人员间的合同提供医疗服务所必需，则可以对这些个人数据进行处理。
综上，欧盟法院认为，对于德国联邦最高法院提出问题的答复是，根据《条例》第9条第1款的规定，药店经营者在网络平台销售药品的情况下，该经营者的顾客在下单购买这些药品（即使这些药品的销售无需处方）时，输入的相关信息构成健康医疗数据。
在欧盟法院就本案作出先予裁决之后，德国联邦最高法院于2025年3月27日对本案作出终审判决。在判决中，德国联邦最高法院认定，ND的顾客在某网站下单购买药品时输入的信息构成《条例》第9条第1款规定的健康医疗数据，ND在未取得这些顾客的明确同意的情况下对这些信息进行处理，违反了《条例》的规定，构成不公平商业行为。据此，德国联邦最高法院作出判决：驳回ND的上诉，维持原判。
