62023CC0169
JULKISASIAMIEHEN RATKAISUEHDOTUS
MEDINA
6 päivänä kesäkuuta 2024 (
1
)
Asia C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
vastaan
UC,
(Ennakkoratkaisupyyntö - Kúria (ylin yleinen tuomioistuin, Unkari))
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – Tietojen käsittely Covid-19-todistuksen myöntämistä varten – Toimitettavat henkilötiedot, kun tietoja ei ole saatu rekisteröidyltä – 14 artiklan 1 kohta – Poikkeukset tietojen toimittamista koskevasta velvollisuudesta – Tietojen hankinta tai luovuttaminen, josta säädetään nimenomaisesti unionin oikeudessa tai jäsenvaltion oikeudessa – Asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi – 14 artiklan 5 kohdan c alakohta – Oikeus tehdä kantelu valvontaviranomaiselle – 77 artikla
I Johdanto
1.
Velvollisuus toimittaa tietoja rekisteröidylle on yksi rekisterinpitäjän tärkeimmistä velvollisuuksista. Julkisasiamies Cruz Villalón ilmaisi tämän kirkkaasti Bara-asiassa antamassaan ratkaisuehdotuksessa todetessaan, että velvollisuus toimittaa tietoja rekisteröidylle ”takaa kaiken käsittelyn avoimuuden”. (
2
) Tietojen toimittamista koskeva velvollisuus vastaa rekisteröidyn keskeistä oikeutta saada tietoja omien henkilötietojensa käsittelystä. Oikeuskirjallisuudessa (
3
) todetaan, että tietojen saamista koskeva oikeus ”havainnollistaa” läpinäkyvyysperiaatetta ja edustaa kaikkien muiden oikeuksien ”keskipistettä”. Laajat tietoja koskevat vaatimukset antavat rekisteröidylle mahdollisuuden käyttää muita asetuksessa (EU) 2016/679 (
4
) tunnustettuja tärkeitä oikeuksiaan.
2.
Nyt käsiteltävä asia liittyy Covid-19-todistusten myöntämiseen. Se tarjoaa unionin tuomioistuimelle tilaisuuden tulkita ensimmäistä kertaa yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyä merkittävää poikkeusta rekisterinpitäjän velvollisuuteen toimittaa tietoja. Asianomaista poikkeusta arvioidaan suhteessa valvontaviranomaisen valtuuksiin rekisteröidyn tekemän kantelun yhteydessä.
II Asiaa koskevat oikeussäännöt
A
Unionin oikeus
3.
Yleisen tietosuoja-asetuksen 14 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja ei ole saatu rekisteröidyltä”, 1, 2 ja 5 kohdassa säädetään seuraavaa:
”1.   Kun tietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle seuraavat tiedot:
a)
rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti ja yhteystiedot;
b)
tapauksen mukaan mahdollisen tietosuojavastaavan yhteystiedot;
c)
henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;
d)
kyseessä olevat henkilötietoryhmät;
e)
mahdolliset henkilötietojen vastaanottajat tai vastaanottajaryhmät;
f)
tarvittaessa tieto siitä, että rekisterinpitäjä aikoo siirtää henkilötietoja kolmannessa maassa olevalle vastaanottajalle tai kansainväliselle järjestölle, ja tieto tietosuojan riittävyyttä koskevan [Euroopan] komission päätöksen olemassaolosta tai puuttumisesta – –
2.   Edellä 1 kohdassa tarkoitettujen tietojen lisäksi rekisterinpitäjän on toimitettava rekisteröidylle seuraavat tiedot, jotka ovat tarpeen rekisteröidyn kannalta asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi:
a)
henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
b)
rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;
c)
rekisteröidyn oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista taikka käsittelyn rajoittamista ja vastustaa käsittelyä sekä oikeutta siirtää tiedot järjestelmästä toiseen;
d)
oikeus peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen, jos käsittely perustuu 6 artiklan 1 kohdan a alakohtaan tai 9 artiklan 2 kohdan a alakohtaan;
e)
oikeus tehdä valitus [oikeammin: kantelu] valvontaviranomaiselle;
f)
mistä henkilötiedot on saatu sekä tarvittaessa se, onko tiedot saatu yleisesti saatavilla olevista lähteistä;
g)
jäljempänä 22 artiklan 1 ja 4 kohdassa tarkoitetun automaattisen päätöksenteon, mukaan lukien profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.
– –
5.   Edellä olevaa 1–4 kohtaa ei sovelleta, jos ja siltä osin kuin
– –
c)
tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi;
– –”
4.
Yleisen tietosuoja-asetuksen 32 artiklan, jonka otsikko on ”Käsittelyn turvallisuus”, 1 kohdassa säädetään seuraavaa:
”Ottaen huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten – –
– –”
5.
Yleisen tietosuoja-asetuksen 77 artiklan, jonka otsikko on ”Oikeus tehdä kantelu valvontaviranomaiselle”, 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”
B
Unkarin oikeus
6.
Koronavirukselta suojaavalta immuniteetilta annettavasta todistuksesta 12.2.2021 annetun hallituksen asetuksen 60/2021 (koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet; jäljempänä asetus 60/2021), sellaisena kuin sitä sovelletaan pääasiassa, 2 §:n 1 momentin a–g kohdassa säädetään seuraavaa:
”Immuniteettitodistuksessa mainitaan
a)
rekisteröidyn nimi;
b)
rekisteröidyn passin numero, jos hänellä on passi;
c)
rekisteröidyn pysyvän henkilökortin numero ja tunniste, jos hänellä on henkilökortti;
d)
immuniteettitodistuksen sarjanumero;
e)
jos esitetään rokotustodistus, rokotuksen päivämäärä;
f)
jos esitetään todistus sairastetusta taudista, todistuksen viimeinen voimassaolopäivä;
g)
tietoteknisellä laitteella optisesti luettava koodi, johon on tallennettu edellä a-f kohdassa mainitut tiedot;
– –”
7.
Asetuksen 60/2021 2 §:n 6 ja 7 momentin mukaan immuniteettitodistuksen antaa viran puolesta tai hakemuksesta Budapest Főváros Kormányhivatala (Budapestin pääkaupunkiseudun hallintoviranomainen, Unkari, jäljempänä Budapestin hallintoviranomainen) luonnolliselle henkilölle, joka on siihen oikeutettu.
8.
Asetuksen 60/2021 3 §:n 3 momentissa säädetään seuraavaa:
”Edellä 2 §:n 6 momentin c ja d kohdassa tarkoitetuissa tapauksissa [Budapestin hallintoviranomainen] kerää automaattisesti – ja tarvittaessa összerendelési nyilvántartásin [tunnistetietojen sähköinen hallintarekisteri, Unkari] asiasta vastaavien yksiköiden välityksellä –
a)
EESZT:n [Elektronikus Egészségügyi Szolgáltatási Tér (sähköisten terveyspalvelujen palveluinfrastruktuuri, Unkari)] ylläpitäjältä seuraavat tiedot: rekisteröidyn sosiaaliturvatunnus, 2 §:n 1 momentin e ja g kohdassa tarkoitetut tiedot sekä 1 momentissa tarkoitetut tiedot;
b)
henkilö- ja osoitetietojen rekisteröinnistä vastaavalta laitokselta seuraavat tiedot: rekisteröidyn nimi, rekisteröidyn passin numero ja pysyvän henkilökortin numero ja tunniste sekä rekisteröidyn osoite.”
III Pääasia ja ennakkoratkaisukysymykset
9.
Luonnollinen henkilö UC sai Budapestin hallintoviranomaiselta immuniteettitodistuksen, jossa vahvistettiin hänen saaneen rokotuksen Covid-19:tä vastaan.
10.
UC teki 30.4.2021 kantelun Nemzeti Adatvédelmi és Információszabadság Hatóságille (tietosuojasta ja tiedonvälityksen vapaudesta vastaava kansallinen viranomainen, Unkari; jäljempänä Unkarin valvontaviranomainen) yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan perusteella. UC pyysi, että kyseinen viranomainen velvoittaa Budapestin hallintoviranomaisen saattamaan käsittelytoimensa yleisen tietosuoja-asetuksen säännösten mukaiseksi. UC väitti kantelussaan muun muassa, että Budapestin hallintoviranomainen ei laatinut eikä julkaissut immuniteettitodistusten antamiseen liittyvien henkilötietojen käsittelyä koskevaa tietosuojaselostetta ja ettei käsittelyn tarkoituksesta ja oikeusperusteesta, rekisteröityjen oikeuksista ja siitä, miten näitä oikeuksia voitiin käyttää, ollut riittävästi tietoja.
11.
Tehdyn kantelun johdosta aloitetussa menettelyssä Budapestin hallintoviranomainen ilmoitti, että se suoritti immuniteettitodistusten antamiseen liittyvät tehtävänsä asetuksen 60/2021 2 §:n mukaisesti ja että käsittelyn oikeusperuste oli yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta ja erityisiä henkilötietoryhmiä koskevan käsittelyn osalta yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohta.
12.
Budapestin hallintoviranomainen totesi lisäksi, että se oli kerännyt käsittelemänsä henkilötiedot automaattisesti asetuksen 60/2021 3 §:n 2 ja 3 momentin mukaisesti sähköisten terveyspalvelujen palveluinfrastruktuurin ylläpitäjältä ja henkilö- ja osoitetietojen rekisteröinnistä vastaavalta laitokselta. Se katsoi, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan nojalla sen ei tarvinnut toimittaa tietoja käsittelystä. Näin ollen se laati asianomaista tietojenkäsittelyä koskevan tiesuojaselosteen ja julkaisi sen verkkosivustollaan.
13.
Unkarin valvontaviranomainen hylkäsi 15.11.2021 antamallaan päätöksellä kantelun sillä perusteella, että Budapestin hallintoviranomaisella ei ollut velvollisuutta toimittaa tietoja, koska käsittelyyn sovellettiin yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyä poikkeusta. Täsmällisemmin kyseinen valvontaviranomainen katsoi, että asetus 60/2021 oli käsittelyn oikeusperuste eikä Budapestin hallintoviranomainen saanut henkilötietoja rekisteröidyiltä itseltään. Lisäksi se totesi, että asetuksen 60/2021 3 §:n 1 momentissa nimenomaisesti säädetään, että Budapestin hallintoviranomaisen on kerättävä kyseiset henkilötiedot. Sitä, että Budapestin hallintoviranomainen julkaisi tietoja henkilötietojen käsittelystä verkkosivustollaan, vaikka sillä ei ollut asiaa koskevaa lakisääteistä velvollisuutta, pidettiin hyvänä käytänteenä.
14.
Unkarin valvontaviranomainen tutki omasta aloitteestaan yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa tarkoitetut asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi, ja katsoi, että asetuksen 60/2021 2, 3, 5, 6 ja 7 §:ää voitiin pitää tällaisina toimenpiteinä.
15.
UC nosti kanteen Unkarin valvontaviranomaisen päätöksestä Fővárosi Törvényszékissä (Budapestin alioikeus, Unkari). Kyseinen tuomioistuin hyväksyi sen, kumosi Unkarin valvontaviranomaisen päätöksen ja määräsi sen suorittamaan uuden menettelyn.
16.
Fővárosi Törvényszék totesi tuomionsa perusteluissa, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetty poikkeus ei tullut sovellettavaksi, koska osaa immuniteettitodistuksiin liittyvistä henkilötiedoista ei ollut kerätty toiselta elimeltä vaan kyseinen rekisterinpitäjä oli tuottanut ne. Kyseisiin henkilötietoihin sisältyivät immuniteettitodistuksen sarjanumero, todistuksen voimassaoloaika, todistukseen sisältyvä QR-koodi, viivakoodi ja muut rekisterinpitäjän menettelynsä aikana luomat aakkosnumeeriset koodit.
17.
Unkarin valvontaviranomainen teki Fővárosi Törvényszékin lainvoimaisesta tuomiosta ylimääräisenä muutoksenhakuna kassaatiovalituksen Kúriaan (ylin yleinen tuomioistuin, Unkari).
18.
Yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisen osalta ennakkoratkaisua pyytänyt tuomioistuin katsoo, että sitä voidaan soveltaa kaikenlaiseen tietojenkäsittelyyn, jonka kohteena eivät ole yleisen tietosuoja-asetuksen 13 artiklassa tarkoitetut rekisteröidyltä kerätyt henkilötiedot, mukaan luettuna rekisterinpitäjän tuottamat henkilötiedot.
19.
Jos tätä yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdasta tehtyä tulkintaa sovelletaan, ennakkoratkaisua pyytäneellä tuomioistuimella on epäilyksiä siitä, mikä on kansallisten valvontaviranomaisten korjaavien toimivaltuuksien laajuus yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehdyn kantelun yhteydessä. Täsmällisemmin ennakkoratkaisua pyytäneellä tuomioistuimella on epäilyjä siitä, onko valvontaviranomaisella tällaisen kantelun yhteydessä valtuus tutkia kysymys, joka koskee kansallisessa lainsäädännössä vahvistettuja asianmukaisia toimenpiteitä rekisteröidyn oikeutettujen etujen suojaamiseksi, joihin viitataan yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa.
20.
Jos katsotaan, että valvontaviranomaisella on tämä valtuus, ennakkoratkaisua pyytänyt tuomioistuin on epävarma siitä, mikä on käsitteen ”asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi” täsmällinen merkitys. Tältä osin se huomauttaa, että asianmukaisiin toimenpiteisiin voidaan yhtäältä katsoa sisältyvän se, että yleisen tietosuoja-asetuksen 14 artiklan 1 kohdan a–f alakohdassa luetellut seikat saatetaan osaksi kansallista lainsäädäntöä. Toisaalta näihin toimenpiteisiin voi kuulua oikeus vaatia, että yleisen tietosuoja-asetuksen 32 artiklassa säädetty käsittelyn turvallisuus tutkitaan. Sen mukaan tällaiseen asianmukaisten toimenpiteiden käsitteen tulkintaan sisältyy kuitenkin vaara siitä, että lainsäädäntöä kuormitetaan teknisillä säännöksillä, mikä on vastoin säädösten ymmärrettävyyden ja selkeyden vaatimusta. Sen mukaan riittävä tae voi olla myös se, että henkilötietojen turvallisuuteen liittyviä toimenpiteitä noudatetaan silloinkin, kun niitä ei ole nimenomaisesti saatettu osaksi kansallista lainsäädäntöä.
21.
Tässä tilanteessa Kúria on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)
Onko [yleisen tietosuoja-asetuksen] 14 artiklan 5 kohdan c alakohtaa, luettuna yhdessä 14 artiklan 1 kohdan ja johdanto-osan 62 perustelukappaleen kanssa, tulkittava siten, että 14 artiklan 5 kohdan c alakohdassa säädetty poikkeus ei koske rekisterinpitäjän omassa menettelyssä tuotettuja tietoja vaan ainoastaan tietoja, jotka rekisterinpitäjä on saanut nimenomaisesti toiselta henkilöltä?
2)
Jos yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa sovelletaan myös rekisterinpitäjän omassa menettelyssä tuotettuihin tietoihin, onko yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa vahvistettua oikeutta tehdä kantelu valvontaviranomaiselle tulkittava siten, että luonnollinen henkilö, joka katsoo, että tietojen toimittamista koskevaa velvollisuutta on jätetty noudattamatta, voi kanteluoikeutta käyttäessään vaatia tutkimaan, vahvistetaanko jäsenvaltion lainsäädännössä asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan mukaisesti?
3)
Jos toiseen kysymykseen vastataan myöntävästi, voidaanko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa tulkita siten, että kyseisessä säännöksessä mainituilla ’asianmukaisilla toimenpiteillä’ tarkoitetaan sitä, että kansallisen lainsäätäjän on saatettava tietosuoja-asetuksen 32 artiklassa tarkoitetut turvatoimet osaksi kansallista lainsäädäntöä (oikeussääntöjen avulla)?”
22.
UC, Unkarin valvontaviranomainen, Unkarin hallitus ja komissio ovat esittäneet kirjallisia huomautuksia. Unionin tuomioistuin esitti Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitetuille asianosaisille ja muille osapuolille kysymyksiä kirjallisten vastausten antamista varten, joihin UC, Tšekin hallitus, Unkarin hallitus ja komissio vastasivat.
IV Arviointi
A
Alustavat huomautukset tietojen toimittamista koskevasta velvollisuudesta ja yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetystä poikkeuksesta
23.
Tietojen toimittaminen rekisteröidylle on yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa säädetyn läpinäkyvyysperiaatteen keskeinen osa. Läpinäkyvyyden avulla ”rekisteröidyt voivat saattaa rekisterinpitäjät ja henkilötietojen käsittelijät vastuuseen”, koska se vahvistaa heidän mahdollisuuksiaan hallita henkilötietojaan. (
5
) Kuten tuomiossa Bara ym. todetaan, ”vaatimus antaa tietoja niille henkilöille, joita heidän henkilötietojensa käsittely koskee, on sitäkin tärkeämpi, sillä se on välttämätön edellytys sille, että kyseiset henkilöt käyttävät – – oikeuttaan tutustua käsiteltäviin tietoihin ja oikaista niitä”. (
6
) Tätä koskevat keskeiset säännökset ovat yleisen tietosuoja-asetuksen 12, 13 ja 14 artikla.
24.
Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ”tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä”. Tiedot annetaan tavanomaisesti tietosuojaselosteessa (josta käytetään englanniksi nimityksiä privacy policy, privacy notice ja privacy statement). (
7
)
25.
Tietojen toimittamista koskevan velvollisuuden sisältö ja laajuus vahvistetaan yleisen tietosuoja-asetuksen 13 ja 14 artiklassa. Yleisen tietosuoja-asetuksen 13 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja kerätään rekisteröidyltä (suora kerääminen), kun taas 14 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja ei ole saatu rekisteröidyltä (epäsuora kerääminen). (
8
) Näiden kahden säännöksen nojalla toimitettavissa tiedoissa on huomattavia päällekkäisyyksiä. (
9
)
26.
Siltä osin kuin kyseessä on epäsuora kerääminen, yleisen tietosuoja-asetuksen 14 artiklan 1 kohtaan sisältyy ”perustietoluettelo” (
10
) rekisterinpitäjän identiteettiä, käsittelyn tarkoituksia, henkilötietojen vastaanottajia ja mahdollista henkilötietojen siirtoa kolmannessa maassa olevalle vastaanottajalle koskevista tiedoista. Rekisteröidyn kannalta asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi tarpeellisten lisätietojen osalta yleisen tietosuoja-asetuksen 14 artiklan 2 kohdassa viitataan nimenomaisesti henkilötietojen säilytysaikaan, rekisterinpitäjän oikeutettuihin etuihin (
11
) ja oikeuteen pyytää rekisterinpitäjältä pääsy henkilötietoihin sekä niiden oikaisemista tai poistamista.
27.
Yleisen tietosuoja-asetuksen 14 artiklan mukaista rekisterinpitäjän velvollisuutta toimittaa tietoja epäsuoran keräämisen tapauksessa koskee neljä poikkeusta, jotka on vahvistettu sen 5 kohdassa. Pääasian kannalta merkityksellinen on 14 artiklan 5 kohdan c alakohdassa säädetty poikkeus, johon sisältyy ”avoin lauseke”. (
12
) Rekisterinpitäjän ei tarvitse toimittaa tietoja, jos ja siltä osin kuin ”tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä” ja tässä oikeudessa tai lainsäädännössä vahvistetaan ”asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi”.
28.
Ei yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan englanninkielisessä toisinnossa eikä myöskään tietyissä muun kielisissä toisinnoissa (
13
) viitata nimenomaisesti ”hankinnan tai luovuttamisen” kohteeseen. Tietyissä muissa kieliversioissa viitataan nimenomaisesti henkilötietoja merkitsevien ”tietojen” [”data”] hankintaan tai luovuttamiseen. (
14
) Vaikuttaa siltä, että ainoastaan ranskankielisessä toisinnossa viitataan muiden ”tietojen” [”information”] hankintaan tai luovuttamiseen. (
15
)
29.
Koska kaikille unionin toimien kieliversioille on kuitenkin lähtökohtaisesti annettava sama arvo, erikielisten versioiden poiketessa toisistaan kyseessä olevaa määräystä tai säännöstä on tulkittava sen säännöstön systematiikan ja tarkoituksen mukaan, jonka osa se on. (
16
)
30.
Tältä osin sen säännöstön, johon yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohta kuuluu, systematiikasta käy ilmi, että hankinta tai luovuttaminen koskee henkilötietoja (eikä muita tietoja). Jo 14 artiklan otsikosta ilmenee, että ”tiedot” toimitetaan, kun taas hankinta koskee ”henkilötietoja”. Tätä tulkintaa tukee johdanto-osan 61 perustelukappale, jossa viitataan muusta lähteestä saatuihin henkilötietoihin, ja johdanto-osan 62 perustelukappale, jossa viitataan henkilötietojen tallentamiseen tai luovuttamiseen. Kun lisäksi otetaan huomioon yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa olevan käsittelyn, jolla tarkoitetaan henkilötietoihin kohdistettavaa toimintoa tai toimintoja (
17
), käsitteen laaja merkitys, hankinnan tai luovuttamisen on katsottava merkitsevän henkilötietoihin kohdistuvaa käsittelytoimintoa.
31.
Kun otetaan huomioon sen säännöstön tarkoitus, johon 14 artiklan 5 kohdan c alakohta kuuluu, asianomaisen poikkeuksen taustalla vaikuttaa olevan oletus siitä, että unionin oikeus tai jäsenvaltion lainsäädäntö korvaa rekisterinpitäjällä tavanomaisesti olevan velvollisuuden toimittaa tietoja henkilötietojen hankinnasta tai luovuttamisesta. (
18
) Asianomaisen lainsäädännön nojalla rekisteröidyillä on jo riittävät tiedot henkilötietojen hankinnasta tai luovuttamisesta. (
19
) Rekisterinpitäjään sovellettavan tällaisen lainsäädännön on nimenomaisesti koskettava henkilötietojen hankintaa tai luovuttamista ja kyseessä olevan tietojen hankinnan tai luovuttamisen on oltava pakollista rekisterinpitäjälle. (
20
)
32.
Näin ollen edellä esitetystä seuraa selkeästi, että hankintaa tai luovuttamista koskeva poikkeus kohdistuu henkilötietoihin.
33.
Jatkan näiden havaintojen valossa yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen tarkastelua ennakkoratkaisukysymysten arvioinnin yhteydessä.
B
Ensimmäinen kysymys
34.
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään pääasiassa, onko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa tulkittava siten, että poikkeusta rekisterinpitäjän velvollisuuteen toimittaa tietoja rekisteröidylle sovelletaan ainoastaan henkilötietoihin, jotka rekisterinpitäjä on nimenomaisesti hankkinut muulta henkilöltä, siten, että ulkopuolelle suljetaan rekisterinpitäjän omassa menettelyssään tuottamat henkilötiedot.
35.
Kysymys kumpuaa siitä, että pääasiassa tiettyjä Covid-19-todistuksiin sisältyviä henkilötietoja ei hankittu muilta elimiltä vaan Budapestin hallintoviranomainen tuotti ne. (
21
)
36.
Näin ollen on määritettävä, jäävätkö rekisterinpitäjän tuottamat henkilötiedot yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa olevan hankinnan käsitteen ulkopuolelle.
37.
Esitettyyn kysymykseen vastaamiseksi aluksi on syytä muistuttaa, että unionin oikeussäännön tulkinta edellyttää, että huomioon otetaan paitsi sen sanamuoto myös asiayhteys, johon se kuuluu, sekä sen toimen tavoitteet ja tarkoitus, jonka osa se on. (
22
)
38.
Yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan sanamuodon osalta on todettava, että tässä säännöksessä ei säädetä tietyntyyppistä käsittelyä tai rekisterinpitäjän henkilötietojen hankinnan täsmällistä menetelmää koskevaa rajoitusta. Henkilötiedot voidaan hankkia teknisen menettely avulla esimerkiksi siten, että rekisteripitäjä tuottaa henkilötiedot.
39.
Hankinnan käsitteen laaja tulkinta vahvistetaan yleisen tietosuoja-asetuksen johdanto-osan 62 perustelukappaleessa. Kyseisessä perustelukappaleessa käytetään käsitettä henkilötietojen tallentaminen; kuten ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, kyseinen toiminto viittaa laajempaan sellaisten käsittelytoimintojen joukkoon, joita rekisterinpitäjä voi suorittaa. Näin ollen 14 artiklan 5 alakohdan c alakohtaa ei voida tulkita siten, että sitä sovelletaan ainoastaan muulta yksiköltä hankittuihin tietoihin eikä rekisterinpitäjän tuottamiin tietoihin.
40.
Tätä yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan tulkintaa tukevat myös kyseisen säännöksen asiayhteys sekä sen tavoitteet.
41.
Tältä osin on huomautettava, että 14 artiklan 5 kohdassa säädetyt poikkeukset viittaavat saman artiklan 1–4 kohtaan. Kyseisen 14 artiklan (johon asianomainen poikkeus sisältyy) aineellinen soveltamisala määritellään negaation kautta 13 artiklaan verraten. Kun yleisen tietosuoja-asetuksen 13 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja kerätään rekisteröidyltä, 14 artiklassa taas säädetään tietojen toimittamisesta, kun henkilötietoja ei ole saatu rekisteröidyltä. Tästä suoran ja epäsuoran henkilötietojen keräämisen välisestä kahtiajaosta seuraa, että kaikki tapaukset, joissa henkilötietoja ei ole saatu rekisteröidyltä, kuuluvat 14 artiklan aineelliseen soveltamisalaan. Se seikka, onko rekisterinpitäjä tuottanut henkilötiedot, on merkityksetön siltä osin kuin niitä ei ole saatu rekisteröidyltä. Asetuksen 14 artiklan laaja aineellinen soveltamisala vahvistetaan myös johdanto-osan 61 perustelukappaleessa, jossa viitataan henkilötietoihin, jotka ”on saatu jostain muusta lähteestä”, eli muusta lähteestä kuin rekisteröidyltä.
42.
Lisäksi on niin, kuten komissio ja Unkarin valvontaviranomainen pääasiallisesti huomauttavat, että yleisen tietosuoja-asetuksen 13 ja 14 artiklassa vahvistetut säännöt muodostavat kattavan järjestelmän, joka sääntelee tietojen toimittamista rekisteröidylle kaikissa mahdollisissa tilanteissa. Jos yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa olevaa hankinnan käsitettä tulkittaisiin siten, että rekisterinpitäjän tuottamat tiedot jäisivät sen ulkopuolelle, kyseisen säännöksen soveltamisala olisi suppeampi kuin 14 artiklan, johon se kuuluu.
43.
Siltä osin kuin kyse on asianomaisen poikkeuksen erityisestä tarkoituksesta, rekisterinpitäjän tietojen toimittamista koskeva poikkeus perustuu oletukseen, että lainsäädäntö korvaa rekisterinpitäjälle tavanomaisesti kuuluvan tietojen toimittamista koskevan velvollisuuden, kuten tämän ratkaisuehdotuksen alustavissa huomautuksissa todetaan. (
23
) Yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyssä poikkeuksessa annetaan jäsenvaltioille harkintavalta tarjota vaihtoehtoinen väylä, jolla tietoja toimitetaan rekisteröidylle ja jolla taataan käsittelyn asianmukaisuus ja läpinäkyvyys verrattuna tietoihin, joita rekisterinpitäjä toimittaa yksittäistapauksissa. Erilaisen oikeudellisen väylän on silti johdettava samoihin tuloksiin. Lainsäädännön, joka korvaa rekisterinpitäjän velvollisuuden toimittaa tietoja, on saatettava rekisteröity asemaan, jossa hän voi hallinnoida omia henkilötietojaan ja käyttää tietosuoja-asetuksen mukaisia oikeuksiaan. (
24
)
44.
Jos 14 artiklan 5 alakohdan c alakohtaa tulkittaisiin siten, että rekisterinpitäjän toteuttama tietojen tuottaminen jätettäisiin sen soveltamisalan ulkopuolelle, rajoitettaisiin jäsenvaltioille jätettyä harkintavaltaa sellaisella perusteella, joka ei vaikuta merkitykselliseltä rekisteröidyn oikeutettujen etujen suojaamiseksi.
45.
Lisäksi erilaisesta tulkinnasta – jolla otettaisiin käyttöön 14 artiklan 5 kohdan c alakohdassa säädettyä poikkeusta koskeva poikkeus tilanteessa, jossa rekisterinpitäjä tuottaa tiedot – aiheutuisi vaara monimutkaisuuden lisääntymisestä rekisteröidyn kannalta. Rekisteröidyn on voitava tietää, mistä lähteestä hän saa tietoja omien henkilötietojensa käsittelystä silloin, kun kyseisiä henkilötietoja ei kerätä rekisteröidyltä itseltään. Asianomaisen lainsäädännön nojalla käsittelyn on oltava rekisteröidyn kannalta ennakoitavaa kaikissa tällaisissa tilanteissa. (
25
)
46.
Edellä esitetyn perusteella yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa on tulkittava siten, että poikkeusta rekisterinpitäjän velvollisuuteen toimittaa tietoja rekisteröidylle sovelletaan kaikkiin henkilötietoihin, joita rekisterinpitäjä ei ole saanut rekisteröidyltä. Tältä osin on merkityksetöntä, onko henkilötiedot saatu nimenomaisesti toiselta laitokselta vai onko rekisterinpitäjä tuottanut ne omassa menettelyssään.
C
Toinen kysymys
47.
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaa tulkittava siten, että kantelumenettelyn yhteydessä valvontaviranomaisella on valtuus selvittää, säädetäänkö rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi, jotta kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyä poikkeusta voidaan soveltaa.
48.
Tältä osin on palautettava mieleen ensiksi, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta. (
26
)
49.
Toiseksi yleisen tietosuoja-asetuksen 55 artiklan 1 kohdassa säädetään, että jokaisella valvontaviranomaisella on sille tämän asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella. (
27
) Lisäksi yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan a alakohdan mukaan kansallisten valvontaviranomaisten on valvottava yleisen tietosuoja-asetuksen soveltamista ja täytäntöönpanoa.
50.
Kahdessa edeltävässä kohdassa mainitut säännökset eivät sulje yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisedellytyksiä kansallisten valvontaviranomaisten toimivallan piirin ulkopuolelle.
51.
Kuten Unkarin hallitus ja komissio pääasiallisesti esittivät, näin ollen yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehdyn kantelun yhteydessä valvontaviranomaisilla on valtuus selvittää, noudatetaanko kaikkia 14 artiklan 5 kohdan c alakohdassa säädettyjä edellytyksiä. Kuten 14 artiklan 5 kohdan ensimmäisestä virkkeestä käy ilmi, kaikkia siinä säädettyjä poikkeuksia sovelletaan, ”jos ja siltä osin kuin” siinä vahvistetut edellytykset täyttyvät.
52.
Tältä osin valvontaviranomaisilla on oltava valtuus selvittää tarkemmin ensiksi, koskeeko laki rekisterinpitäjää suoraan ja onko rekisterinpitäjällä velvollisuus hankkia tai luovuttaa tietoja. (
28
) Toiseksi valvontaviranomaisten on voitava tutkia, vahvistetaanko siinä lainsäännössä, johon rekisterinpitäjä vetoaa, ”asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi” ja voiko rekisterinpitäjä osoittaa, että henkilötietojen hankinta ja luovuttaminen on näiden toimenpiteiden mukaista. (
29
)
53.
Unkarin valvontaviranomainen esittää, että sen selvittäminen, vahvistetaanko kansallisessa lainsäädännössä asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi, ylittää sillä olevat yleisen tietosuoja-asetuksen 57 ja 58 artiklan mukaiset tehtävät ja valtuudet. Kyseinen viranomainen katsoo, että näissä säännöksissä ei anneta valvontaviranomaiselle kansallista lainsäädäntöä koskevia korjaavia toimivaltuuksia eikä se voi käyttää tällaisia valtuuksia sellaisen rekisterinpitäjän osalta, joka on ainoastaan noudattanut kansallista lainsäädäntöä.
54.
Tältä osin on huomautettava, että siihen, että kansallinen valvontaviranomainen selvittää, täyttyvätkö kaikki 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisedellytykset, ei sisälly kansallisen lainsäädännön pätevyyden tutkimista, kuten komissio perustellusti totesi. Valvontaviranomainen tutkii ainoastaan sen, onko rekisterinpitäjällä oikeus vedota poikkeukseen rekisteröityä vastaan tietyssä tilanteessa.
55.
Kansallisen valvontaviranomaisen on näin ollen tutkittava rekisteröidyn vaatimus, jonka mukaan rekisterinpitäjää ei pidä vapauttaa tietojen toimittamisesta sillä perusteella, että merkityksellisessä lainsäädännössä ei vahvisteta asianmukaisia toimenpiteitä rekisteröidyn oikeutettujen etujen suojaamiseksi.
56.
Jos kansallinen valvontaviranomainen katsoo, että vaatimus on perusteeton, vaatimuksen esittäneellä ja tämän toteamuksen riitauttavalla henkilöllä on oltava yleisen tietosuoja-asetuksen 78 artiklasta ilmenevällä tavalla mahdollisuus käyttää oikeussuojakeinoja, joiden avulla hän voi riitauttaa tällaisen päätöksen kansallisissa tuomioistuimissa.
57.
Jos kansallinen valvontaviranomainen katsoo, että vaatimus on perusteltu ja poikkeuksen edellytykset eivät täyty, sillä on valtuus määrätä rekisterinpitäjä noudattamaan rekisteröidyn vaatimusta, kuten Unkarin hallitus ja komissio pääasiallisesti esittivät. Tässä tapauksessa rekisterinpitäjän on toimitettava tiedot 14 artiklan 1–4 kohdan mukaisesti.
58.
Vastauksena unionin tuomioistuimen esittämiin kirjallisiin kysymyksiin Tšekin hallitus argumentoi, että sen tutkiminen, ovatko toimenpiteet asianmukaisia rekisteröidyn oikeutettujen etujen suojaamiseksi, ei ole mahdollista silloin, jos kansallisessa lainsäädännössä säädetään kohdennetusti tietyn tilanteen osalta poikkeuksesta tietojen toimittamista koskevaan velvollisuuteen. Kyseinen hallitus vetoaa tuomioon Schrems (
30
) ja huomauttaa pääasiallisesti, että sen selvittäminen, onko oikeuslähde yhteensopiva toisen oikeuslähteen kanssa, on yksinomaan tuomioistuinten eikä hallintoviranomaisen tehtävä.
59.
Tältä osin on muistutettava, että yksi tärkeimmistä Schremsissä esiin nousseista kysymyksistä koski kansallisten valvontaviranomaisten valtuuksia tutkia henkilön vaatimus hänen oikeuksiensa ja vapauksiensa suojelusta sellaisen komission päätöksen osalta, jossa todetaan, että kolmas maa varmistaa riittävän tietosuojan tason. (
31
) Unionin tuomioistuin katsoi pääasiallisesti, että kun kansalliset valvontaviranomaiset tutkivat tällaisen vaatimuksen, niillä ei ole oikeutta itse todeta tällaisen päätöksen pätemättömyyttä. (
32
) Jos kansallinen valvontaviranomainen pitää vaatimuksen esittäneen henkilön esittämiä perusteita perusteltuina, saman viranomaisen on voitava panna vireille oikeustoimia. (
33
)
60.
Asiassa Schrems annettu tuomio ei kuitenkaan vaikuta olevan suoraan merkityksellinen sen kannalta, mitkä ovat valvontaviranomaisen valtuudet suhteessa yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen tutkimiseen. Aluksi on huomautettava, että kyseisen tutkinnan yhteydessä valvontaviranomainen ei puutu rekisterinpitäjälle asetettuun lakisääteiseen velvollisuuteen hankkia tai luovuttaa henkilötietoja. Toisin sanoen valvontaviranomainen ei määrää, että rekisterinpitäjän on jätettävä soveltamatta rekisterinpitäjää edelleen sitovaa lakisääteistä vaatimusta hankkia tai luovuttaa tietoja. Kuten komissio ja Unkarin hallitus totesivat pääasiallisesti, tällaisessa tilanteessa kansallisen valvontaviranomaisen valtuudet pitävät sisällään mahdollisuuden määrätä rekisterinpitäjä toimittamaan tarvittavat tiedot tietosuojaselosteessaan (
34
), jos asianomaisen poikkeuksen edellytykset eivät täyty. Tällaisella määräyksellä ei edellä esitetyllä tavalla puututa rekisterinpitäjää koskevan lainsäädännöllisen toimenpiteen pätevyyteen.
61.
Valvontaviranomaisen valtuus määrätä rekisterinpitäjä toimittamaan tietoja eivät vaikuta kyseisen viranomaisen valtuuksiin panna vireille kansallisessa lainsäädännössä tätä tarkoitusta varten säädetyt oikeustoimet yleisen tietosuoja-asetuksen 58 artiklan 5 kohdan mukaisesti, jos se katsoo, että kyseessä oleva lainsäädännöllinen toimenpide on pätemätön.
62.
Lopuksi laajemman kokonaisuuden kannalta katsottuna on niin, kuten kaikki asianosaiset ja muut osapuolet ovat todenneet, että valvontaviranomaisella on valtuus antaa lainsäätäjälle tai toimeenpanevalle elimelle neuvoja, jotka koskevat asianomaisen lainsäädännöllisen toimenpiteen muuttamista, jos se katsoo, että siinä ei säädetä asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi. Tältä osin on palautettava mieleen, että yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan mukaan valvontaviranomaisen tehtävänä on antaa neuvoja kansalliselle parlamentille, jäsenvaltion hallitukselle tai muille toimielimille ja elimille. Niillä on myös yleisen tietosuoja-asetuksen 58 artiklan 3 kohdan b alakohdassa säädetyt valtuudet antaa lausuntoja.
63.
Edellä esitetystä seuraa, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaa on tulkittava siten, että kantelumenettelyn yhteydessä valvontaviranomaisella on valtuus selvittää, noudatetaanko kaikkia kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyjä edellytyksiä. Erityisesti sillä on valtuus tutkia, säädetäänkö rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi.
D
Kolmas kysymys
64.
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kolmannella kysymyksellään pääasiassa, onko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa tulkittava siten, että kyseisessä säännöksessä mainitut asianmukaiset toimenpiteet edellyttävät, että kansallisen lainsäätäjän on saatettava kyseisen asetuksen 32 artiklassa tarkoitetut turvallisuutta koskevat toimenpiteet osaksi kansallista lainsäädäntöä.
65.
Tältä osin on palautettava mieleen yhtäältä, että yleisen tietojen toimittamista koskevaan velvollisuuteen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen sovellettavuus riippuu siitä, onko säädetty asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi. Toisaalta yleisen tietosuoja-asetuksen 32 artiklasta seuraa, että rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava ”asianmukaiset tekniset ja organisatoriset toimenpiteet” tietojenkäsittelyn turvallisuuden varmistamiseksi.
66.
Kuten komissio totesi, 14 ja 32 artiklalla on kuitenkin erilainen soveltamisala. Asianmukaisten toimenpiteiden soveltamisalaa on tarkasteltava yleisen tietosuoja-asetuksen 14 artiklan asiayhteydessä. Näin ollen ei ole mahdollista määrittää 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen jotakin soveltamisedellytystä siten, että sovelletaan toisessa säännöksessä käytettyä asianmukaisten teknisten ja organisatoristen toimenpiteiden käsitettä. Yleisen tietosuoja-asetuksen 32 artiklan yhteydessä ei myöskään vaikuta merkitykselliseltä, toimittaako rekisterinpitäjä tiedot vai säädetäänkö tietojen hankinnasta tai luovuttamisesta lainsäädännössä. Näin ollen valvontaviranomaisen suorittaman tutkinnan kohde on rajattava 14 artiklan soveltamisalan mukaiseksi.
67.
Yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa ei täsmennetä asianmukaisten toimenpiteiden täsmällistä sisältöä. Se on riittävän laaja kattamaan kaikki toimenpiteet, joita lainsäätäjä pitää tarpeellisina ja asianmukaisina. Kuten komissio pääasiallisesti esitti, asianmukaisten toimenpiteiden käsitettä on tutkittava yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa vahvistetun läpinäkyvyysperiaatteen valossa. Tältä osin on tärkeää ottaa huomioon se, että merkityksellinen lainsäädäntö, kuten edellä alustavissa huomautuksissa todetaan, (
35
) on rekisterinpitäjälle tavanomaisesti kuuluvan tietojen toimittamista koskevan velvollisuuden ”korvaaja”. Lainsäätäjän tehtävänä on määrittää asianmukaiset toimenpiteet riippuen esimerkiksi hankitusta henkilötietoryhmästä ja käsittelyn asiayhteydestä.
68.
Tšekin hallitus esitti vastauksessaan unionin tuomioistuimen esittämään kysymykseen, että asianmukaisten toimenpiteiden soveltamisala on yleisen tietosuoja-asetuksen 14 artiklan 1, 2 ja 4 kohdassa olevaa tietojen luetteloa laajempi.
69.
Olen samaa mieltä siitä, että toimenpiteiden asianmukaisuutta ei voida arvioida yksinomaan suorittamalla ”mekaanista” vertailua yleisellä tietosuoja-asetuksella yhdenmukaistettujen rekisterinpitäjän tietojen toimittamista koskevien velvollisuuksien kanssa. Vaikuttaisi merkityksettömältä säätää avoin lauseke 14 artiklan 5 kohdan c alakohdassa (
36
) ja samalla asettaa täsmälleen samat velvollisuudet jättämättä lainsäätäjälle lainkaan harkintavaltaa. Asianomaisella lainsäädännöllä on kuitenkin varmistettava käsittelyn asianmukaisuuden ja läpinäkyvyyden tietty taso, joka vastaa 14 artiklan 1–4 kohdassa taattua tasoa. (
37
) Jotta rekisteröity voi arvioida henkilötietojen hankintaan ja niiden käsittelyyn liittyvät vaarat (
38
), pelkän merkityksellisen säännöksen tarkastelun perusteella on oltava selvää, kuka käsittelee tietoja, mitä tarkoitusta varten se tapahtuu ja miten. (
39
) Kuten olen edellä todennut (
40
), erilaisen oikeudellisen väylän on johdettava samaan lopputulokseen, joka on rekisteröidyn saattaminen asemaan, jossa hän voi hallinnoida omia henkilötietojaan ja käyttää tietosuoja-asetuksen mukaisia oikeuksiaan.
70.
Tietojenkäsittelyn erityisellä oikeusperusteella on myös vaikutusta, kun määritetään käsittelyn erityisten olosuhteiden kannalta asianmukaisia toimenpiteitä. Tältä osin on palautettava mieleen, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c ja e alakohdasta ilmenee, että käsittely on lainmukaista jos ja vain siltä osin kuin käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi ja käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Tällaisen käsittelyn osalta 6 artiklan 2 kohdassa todetaan, että jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön yksityiskohtaisempia säännöksiä yleisessä tietosuoja-asetuksessa vahvistettujen sääntöjen soveltamisen mukauttamiseksi käsittelyssä määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely. (
41
) Lisäksi yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohdan mukaan silloin, jos käsittely on tarpeen kansanterveyteen liittyvän yleisen edun vuoksi, jäsenvaltion (tai unionin) lainsäädännössä on säädettävä asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn oikeuksien ja vapauksien suojaamiseksi.
71.
Pääasiassa tietojen hankintaa koskevasta velvollisuudesta säädettiin asetuksella 60/2021, joka – kuten asiakirja-aineistosta ilmenee – annettiin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c ja e alakohdan sekä 9 artiklan 2 kohdan i alakohdan perusteella. Unkarin hallitus esittää, että asetuksessa 60/2021 säädettiin – niiden yleisten suojatoimien lisäksi, joita sovelletaan käsittelyn lainmukaisuuden varmistamiseksi annettujen oikeussääntöjen nojalla – ylimääräisistä suojatoimista. Tältä osin Unkarin hallitus on todennut, että yksi noista takeista oli se, että kyseisessä asetuksessa nimetyt alihankkijat ovat valtion omistuksessa ja niiden on noudatettava valtion elimiin ja paikallishallintoon sovellettavia tietoturvaa koskevia oikeussääntöjä. Ennakkoratkaisua pyytäneen tuomioistuimen on tutkittava kyseiset toteamukset ja arvioitava, vahvistetaanko kansallisessa lainsäädännössä asianmukaiset toimenpiteet, edellä esitettyjen näkökohtien valossa.
72.
Edellä esitetyn perusteella katson, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa on tulkittava siten, että kyseisessä säännöksessä mainitut asianmukaiset toimenpiteet eivät edellytä sitä, että kansallisen lainsäätäjän on saatettava kyseisen asetuksen 32 artiklassa tarkoitetut turvallisuutta koskevat toimenpiteet osaksi kansallista lainsäädäntöä.
V Ratkaisuehdotus
73.
Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Kúrian (ylin yleinen tuomioistuin) ennakkoratkaisukysymyksiin seuraavasti:
1)
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 14 artiklan 5 kohdan c alakohtaa
on tulkittava siten, että poikkeusta rekisterinpitäjän velvollisuuteen toimittaa tietoja rekisteröidylle sovelletaan kaikkiin henkilötietoihin, joita rekisterinpitäjä ei ole saanut rekisteröidyltä. Tältä osin on merkityksetöntä, onko henkilötiedot saatu nimenomaisesti toiselta yksiköltä vai onko rekisterinpitäjä tuottanut ne omassa menettelyssään.
2)
Asetuksen 2016/679 77 artiklan 1 kohtaa
on tulkittava siten, että kantelumenettelyn yhteydessä valvontaviranomaisella on valtuus selvittää, noudatetaanko kaikkia kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyjä edellytyksiä. Erityisesti sillä on valtuus tutkia, säädetäänkö rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi.
3)
Asetuksen 2016/679 14 artiklan 5 kohdan c alakohtaa
on tulkittava siten, että kyseisessä säännöksessä mainitut asianmukaiset toimenpiteet eivät edellytä sitä, että kansallinen lainsäätäjä saattaa kyseisen asetuksen 32 artiklassa tarkoitetut turvallisuutta koskevat toimenpiteet osaksi kansallista lainsäädäntöä.
(
1
)	Alkuperäinen kieli: englanti.
(
i
)	Tämän asian nimi on kuvitteellinen nimi. Se ei vastaa oikeudenkäynnin minkään asianosaisen todellista nimeä.
(
2
)	Julkisasiamies Cruz Villalónin ratkaisuehdotus asiassa Bara ym. (C‑201/14, EU:C:2015:461, 74 kohta) (kursivointi tässä).
(
3
)	Vrabec, U., H., “Data Subject Rights under the GDPR”, Oxford University Press, Oxford, 2021, s. 64.
(
4
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).
(
5
)	Ks. 29.11.2017 annettujen 29 artiklan mukaisen tietosuojatyöryhmän asetuksen 2016/679 mukaista läpinäkyvyyttä koskevien suuntaviivojen 17/EN WP260 rev. 01 (jäljempänä läpinäkyvyyttä koskevat suuntaviivat) 4 kohta. Euroopan tietosuojaneuvosto (European Data Protection Board, EDPB) korvasi sittemmin kyseisen työryhmän. Läpinäkyvyyttä koskevat suuntaviivat ovat kuitenkin yhä voimassa. Ks. myös 21.4.2020 annettujen Euroopan tietosuojaneuvoston suuntaviivojen 03/2020 terveystietojen käsittelystä tieteellistä tutkimusta varten covid-19-epidemian yhteydessä 5.1.2.4 kohta.
(
6
)	Tuomio 1.10.2015, Bara ym., (C‑201/14, EU:C:2015:638, 33 kohta), jossa lainataan julkisasiamies Cruz Villalónin kyseisessä asiassa antamaa ratkaisuehdotusta.
(
7
)	Ks. läpinäkyvyyttä koskevien suuntaviivojen 24 kohta. Ks. myös Vrabec, U., H., Data Subject Rights under the GDPR, mainittu edellä alaviitteessä 3, s. 84.
(
8
)	Ks. Zanfir-Fortuna, G., ”Article 14. Information to be provided where personal data have not been obtained from the data subject”, teoksessa Kuner, C., Bygrave, L.A. ja Docksey, C. (eds.), The EU General Data Protection Regulation (GDPR) – A Commentary, Oxford University Press, Oxford, 2020, s. 435–448 ja erityisesti s. 436.
(
9
)	Ibid., s. 444.
(
10
)	Vrabec, U., H., Data Subject Rights under the GDPR, mainittu edellä alaviitteessä 3, s. 68.
(
11
)	Jos käsittely perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaan.
(
12
)	Koska tämä säännös sisältää avoimen lausekkeen, siinä annetaan jäsenvaltioille mahdollisuus säätää tiukemmista tai poikkeavista kansallisista täydentävistä säännöistä ja jätetään niille harkintavaltaa sen suhteen, miten asianomainen säännös voidaan panna täytäntöön (ks. tältä osin tuomio 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 51 kohta). Ks. Knyrim, R., ”IV. Ausnahme von der Informationspflicht” teoksessa Ehmann, E., Selmayr ja M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2. painos, 2018, 14 artikla, 42–48 kohta ja erityisesti 47 kohta.
(
13
)	Eli bulgarian-, tanskan-, saksan-, kreikan-, espanjan-, italian-, latvian-, puolan-, slovakin- ja ruotsinkielisissä toisinnoissa.
(
14
)	Asia on erityisesti näin viron- (”isikuandmed”), liettuan- (”duomenų”), unkarin- ("adat"), hollannin- (”gegevens”), portugalin- (”dados”), romanian- (”datelor”) ja suomenkielisten (”tietojen”) kielitoisintojen osalta.
(
15
)	Ranskankielisessä oikeuskirjallisuudessa huomautetaan, että ranskankielisessä toisinnossa olisi tullut viitata muiden ”tietojen” [”information”] sijaan henkilötietoihin [”data”], kuten tehtiin yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan edeltäjässä eli yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 11 artiklan 2 kohdassa (ks. de Terwangne, C. ja Rosier, K., ”Section 1. – Droit d’être informée de l’existence de traitements la concernant” teoksessa Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Bryssel, ensimmäinen painos, 2018, s. 409–432, alaviite 132).
(
16
)	Ks. vastaavasti tuomio 21.3.2024, Cobult (C‑76/23, EU:C:2024:253, 25 kohta oikeuskäytäntöviittauksineen).
(
17
)	Ks. vastaavasti tuomio 5.10.2023, Ministerstvo zdravotnictví (Covid-19-mobiilisovellus) (C‑659/22, EU:C:2023:745, 27 kohta).
(
18
)	Ebner, K., ”6. Ausschluss der Informationspflicht”, Weniger IST Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, s. 272-298, ja erityisesti s. 280. Kirjoittaja huomauttaa myös (s. 281), että rekisterinpitäjän vapauttaminen tietojen toimittamisesta 14 artiklan 5 kohdan c alakohdassa tarkoitetussa tilanteessa on keino välttää ”tietoväsymyksen” tai ”tietokuormituksen” vaara. Dix, A., ”DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)” teoksessa Simitis, S., Hornung, G., ja Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, 27 ja 28 kohta, ja erityisesti 27 kohta, jossa viitataan asianomaiseen lainsäädäntöön rekisterinpitäjän toimittamien tarpeellisten tietojen ”riittävänä korvaajana” (”hinreichendes Surrogat”).
(
19
)	Dix, A., mainittu edellä alaviitteessä 18.
(
20
)	Läpinäkyvyyttä koskevien suuntaviivojen 66 kohta. Näin ollen rekisterinpitäjien on pystyttävä osoittamaan, kuinka kyseessä olevaa lainsäädäntöä sovelletaan niihin ja kuinka siinä edellytetään, että ne joko hankkivat tai luovuttavat kyseessä olevat henkilötiedot.
(
21
)	Ks. edellä 16 kohta.
(
22
)	Tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958; 48 kohta oikeuskäytäntöviittauksineen).
(
23
)	Ks. edellä 31 kohta.
(
24
)	Ks. edellä 23 kohta.
(
25
)	Dix, A., teoksessa Simitis, S., Hornung, G. ja Spiecker, I., mainittu edellä alaviitteessä 18, ja Ebner, K., ”6. Ausschluss der Informationspflicht”, mainittu edellä alaviitteessä 18, s. 281.
(
26
)	Tuomio 16.1.2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, 61 kohta).
(
27
)	Ibid.
(
28
)	Ks. läpinäkyvyyttä koskevien suuntaviivojen 66 kohta.
(
29
)	Ibid.
(
30
)	Tuomio 6.10.2016, Schrems (C‑362/14, EU:C:2015:650, 65 kohta).
(
31
)	Kyseinen päätös on annettu direktiivin 95/46 25 artiklan 6 kohdan nojalla.
(
32
)	Ks. vastaavasti tuomio 6.10.2015, Schrems (C‑362/14, EU:C:2015:650, 62 kohta).
(
33
)	Ibid., 65 kohta.
(
34
)	Tämä ei vaikuta unionin oikeudessa tai jäsenvaltion lainsäädännössä mahdollisesti säädettäviin rajoituksiin, jotka koskevat oikeutta saada tietoja, jollakin yleisen tietosuoja-asetuksen 23 artiklassa säädetyllä perusteella.
(
35
)	Edellä 31 kohta.
(
36
)	Ks. edellä 27 kohta.
(
37
)	Ks. vastaavasti Ebner, K., ”6. Ausschluss der Informationspflicht”, mainittu edellä alaviitteessä 18, s. 281, joka viittaa vastaavaan suojelun tasoon (”vergleichbares Schutzniveau”); Mester, B.-A., ”DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, teoksessa Taeger, J. ja Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, 26 kohta; Paal, B. ja Hennemann, M., ”DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, teoksessa Paal, B. ja Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, 42 kohta.
(
38
)	Mester, B.‑A., teoksessa Taeger, J. ja Gabel, D., mainittu edellä alaviitteessä 37.
(
39
)	Ebner, K., ”6. Ausschluss der Informationspflicht”, mainittu edellä alaviitteessä 18, s. 281.
(
40
)	Edellä 43 kohta.
(
41
)	Nämä yksityiskohtaiset säännökset voivat sisältää yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa vahvistettuja seikkoja, muun muassa: yleisiä edellytyksiä, jotka koskevat tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja sekä käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita yleisen tietosuoja-asetuksen IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten.