62022CJ0231_RES
Kohtuasi C‑231/22
État belge
versus
Autorité de protection des données
(eelotsusetaotlus, mille on esitanud Cour d’appel de Bruxelles (Brüsseli apellatsioonikohus))
Euroopa Kohtu (kolmas koda) 11. jaanuari 2024. aasta otsus
Eelotsusetaotlus – Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel ja selliste andmete vaba liikumine (isikuandmete kaitse üldmäärus) – Määrus (EL) 2016/679 – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Liikmesriigi ametlik väljaanne – Kohustus avaldada äriühingute või nende seaduslike esindajate ettevalmistatud dokumendid muutmata kujul – Artikli 5 lõige 2 – Sellistes dokumentides sisalduvate isikuandmete järjestikune töötlemine mitme eraldiseisva isiku või üksuse poolt – Vastutuse kindlaksmääramine
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Mõiste „vastutav töötleja“ – Liikmesriigi ametlik väljaanne, kes tagab kolmandate isikute ettevalmistatud ametlike aktide ja dokumentide avaldamise ja kellel puudub õigus nende sisu kontrollida – Hõlmamine – Tingimus – Ametliku väljaande poolt isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramine riigisiseses õiguses – Üksikasjalikud eeskirjad – Õigusvõime puudumise mõju puudumine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 4 punkt 7)
(vt punktid 28, 30 ja 34–39 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Töötlemise põhimõtted – Selle kindlaksmääramine, kes vastutab nende põhimõtete järgimise eest samade andmete järjestikuse töötlemise korral – Liikmesriigi sellise ametliku väljaande vastutus, kes tagab kolmandate isikute ettevalmistatud ametlike aktide ja dokumentide avaldamise ja kes on vastutav töötleja – Ulatus – Ametliku väljaande individuaalne vastutus – Kaasvastutus teiste üksustega – Tingimus – Riigisiseses õiguses nende eesmärkide ja vahendite kindlaksmääramine, mis ühendavad erinevaid töötlemistoiminguid, ning kaasvastutavate töötlejate vastavate kohustuste kindlaksmääramine – Üksikasjalikud eeskirjad
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 4 punkt 7, artikli 5 lõiked 1 ja 2 ning artikli 26 lõige 1)
(vt punktid 42–45, 49, 50 ja 52 ning resolutsiooni punkt 2)
Kokkuvõte
Lahendades cour d’appel de Bruxelles’i (Brüsseli apellatsioonikohus, Belgia) eelotsusetaotlust, täpsustas Euroopa Kohus esiteks mõiste „vastutav töötleja“ ulatust ja teiseks vastutava töötleja kohustuste piire olukorras, kus samu isikuandmeid töötlevad järjestikused üksused.
Moniteur belge, kes toodab ja levitab Belgias laia valikut ametlikke ja avalikke väljaandeid paberil ja elektroonilisel teel, avaldas 12. veebruaril 2019 väljavõtte ühe äriühingu otsusest vähendada selle äriühingu kapitali. See väljavõte, mille äriühingu osaniku notar koostas ja edastas pädevale kohtule, kes omakorda edastas selle avaldamiseks ametliku väljaande direktoraadile, sisaldas selle osaniku isikuandmeid.
Olles tuvastanud, et tema andmeid sisaldav lõik oli väljavõttesse lisatud notari eksimuse tõttu, taotles andmesubjekt selle kustutamist tulenevalt oma õigusest andmete kustutamisele (
1
). Justiitsministeerium, mille juurde Moniteur belge’i direktoraat kuulub, jättis tema taotluse siiski rahuldamata. Rahuldamata jätmise tõttu esitas andmesubjekt justiitsministeeriumi vastu kaebuse Autorité de protection des données’le (andmekaitseamet, Belgia; edaspidi „andmekaitseamet“). Andmekaitseamet tegi 23. märtsi 2021. aasta otsusega justiitsministeeriumile ettekirjutuse rahuldada kustutamistaotlus võimalikult kiiresti. État belge (Belgia riik) pöördus seejärel andmekaitseameti otsuse tühistamise nõudes cour d’appel de Bruxelles’i (Brüsseli apellatsioonikohus) poole.
Selles kontekstis küsis cour d’appel de Bruxelles (Brüsseli apellatsioonikohus) Euroopa Kohtult, kas Moniteur belge’i võib kvalifitseerida „vastutavaks töötlejaks“ (
2
) ja kas teda tuleb pidada andmetöötluse põhimõtete järgimise eest ainuvastutavaks (
3
) või kas see vastutus lasub kumulatiivselt ka üksustel, kes on asjaomases lõigus sisalduvaid andmeid enne töödelnud.
Euroopa Kohtu hinnang
Mis puudutab esimesena küsimust, kas liikmesriigi ametliku väljaande eest vastutava asutuse või organi, nagu Moniteur belge, võib kvalifitseerida „vastutavaks töötlejaks“ isikuandmete kaitse üldmääruse tähenduses, siis täpsustas Euroopa Kohus, et pidades silmas selle mõiste laia määratlust, võib töötlemise eesmärkide ja vahendite kindlaksmääramine ning olenevalt olukorrast vastutava töötleja määramine riigisisese õigusega olla nii sõnaselge kui ka kaudne. Viimasel juhul on siiski nõutav, et kindlaksmääramine tuleneks piisavalt kindlalt asjaomasele asutusele või organile antud rollist, ülesannetest ja volitustest.
Euroopa Kohus tõdes, et kõnealusel juhul olid Belgia õiguses vähemalt kaudselt kindlaks määratud Moniteur belge’i poolt isikuandmete töötlemise eesmärgid ja vahendid. Sellest järeldub, et viimast võib pidada „vastutavaks töötlejaks“.
Euroopa Kohus rõhutas, et seda järeldust ei sea kahtluse alla ei asjaolu, et Moniteur belge’il puudub õigusvõime, ega asjaolu, et riigisisese õiguse kohaselt ei kontrolli ta enne nende avaldamist isikuandmeid, mis sisalduvad aktides ja dokumentides, mille see väljaanne on saanud.
Kuigi on tõsi, et see organ peab asjaomase dokumendi muutmata kujul avaldama, täidab seda ülesannet ja levitab seejärel asjaomast akti või dokumenti ainult tema üksi. Ühelt poolt on selliste aktide ja dokumentide avaldamine ilma nende sisu kontrollimise või muutmise võimaluseta lahutamatult seotud riigisiseses õiguses kindlaks määratud töötlemise eesmärkide ja vahenditega. Ametliku väljaande roll piirdub nimelt üldsuse teavitamisega nende aktide ja dokumentide olemasolust, nagu need on talle edastatud koopiana vastavalt kohaldatavale riigisisesele õigusele, selleks et neile saaks kolmandate isikute vastu tugineda. Teiselt poolt oleks isikuandmete kaitse üldmääruse artikli 4 punkti 7 eesmärgiga vastuolus see, kui liikmesriigi ametlik väljaanne jäetaks mõiste „vastutav töötleja“ alt välja põhjusel, et tal puudub kontroll oma väljaannetes sisalduvate isikuandmete üle.
Mis puudutab teisena küsimust, kas niisugust organit nagu Moniteur belge tuleb pidada ainuvastutavaks isikuandmete töötlemise nende põhimõtete järgimise eest, mis on sätestatud isikuandmete kaitse üldmääruses (
4
), siis märkis Euroopa Kohus, et Moniteur belge’ile usaldatud töötlemine on ühtaegu nii notari ja pädeva kohtu kantselei tehtud töötlemisest hilisem kui ka tehniliselt erinev, kuivõrd see lisandub nende kahe üksuse poolsele töötlemisele. Nimelt on Moniteur belge’i tehtavad toimingud talle riigisiseste õigusaktidega usaldatud ja need hõlmavad muu hulgas talle esitatud aktides või aktide väljavõtetes sisalduvate andmete digitaliseerimist, avaldamist, üldsusele kättesaadavaks tegemist ja säilitamist. Seega tuleb teda pidada vastutavaks kõikide nende kohustuste täitmise eest, mis on vastutavale töötlejale isikuandmete kaitse üldmäärusega pandud.
Lisaks tuletas Euroopa Kohus meelde, et isikuandmete kaitse üldmääruse artikli 4 punktis 7 ei ole ette nähtud mitte ainult see, et mitu isikut võivad vastutavate töötlejatena ühiselt kindlaks määrata isikuandmete töötlemise eesmärgid ja vahendid, vaid ka see, et riigisisene õigus võib need eesmärgid ja vahendid kindlaks määrata ning määrata vastutava töötleja või tema määramise konkreetsed kriteeriumid. Nii võib riigisisene õigus erinevate isikute või üksuste poolsete töötlemiste ahelas, mis puudutavad samu isikuandmeid, määrata kindlaks nende erinevate isikute või üksuste poolt järjestikku tehtavate töötlemistoimingute eesmärgid ja vahendid nii, et neid isikuid peetakse ühiselt vastutavateks töötlejateks.
Euroopa Kohus rõhutas, et isikuandmete kaitse üldmääruse (
5
) kohaselt võib samade isikuandmete töötlemise ahela mitme osalise kaasvastutuse ette näha riigisiseses õiguses, tingimusel et erinevaid töötlemistoiminguid ühendavad selles õiguses kindlaks määratud eesmärgid ja vahendid ning selles õiguses on määratletud iga kaasvastutava töötleja vastavad kohustused. Ahelas mitme osalise erinevaid töötlemistoiminguid ühendavate eesmärkide ja vahendite ning nende vastavate kohustuste kindlaksmääramine ei pruugi olla mitte ainult otsene, vaid see võib olla tehtud ka kaudselt riigisisese õigusega, tingimusel et viimati nimetatud juhul saab selle piisavalt selgelt tuletada õigusnormidest, mis reguleerivad asjaomaseid isikuid või üksusi ning isikuandmete töötlemist, millega nad tegelevad selle õigusega kehtestatud töötlemisahelas.
Seega järeldas Euroopa Kohus, et liikmesriigi ametliku väljaande eest vastutav asutus või organ, kes on kvalifitseeritud „vastutavaks töötlejaks“, on isikuandmete kaitse üldmääruses sätestatud põhimõtete järgimise eest ainuvastutav seoses isikuandmete töötlemise toimingutega, mida ta peab tegema riigisisese õiguse kohaselt, välja arvatud juhul, kui sellest õigusest tuleneb nende toimingute suhtes kaasvastutus teiste üksustega.
(
1
)	Mis on ette nähtud Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artiklis 17.
(
2
)	Isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses.
(
3
)	Vastavalt isikuandmete kaitse üldmääruse artikli 5 lõikele 2.
(
4
)	Isikuandmete kaitse üldmääruse artikli 5 lõikes 1 kohustustena ette nähtud põhimõtted.
(
5
)	Vastavalt isikuandmete kaitse üldmääruse artikli 26 lõikele 1 koostoimes artikli 4 punktiga 7.