62023CC0413
KOHTUJURISTI ETTEPANEK
DEAN SPIELMANN
esitatud 6. veebruaril 2025 (
1
)
Kohtuasi C‑413/23 P
Euroopa Andmekaitseinspektor
versus
Ühtne Kriisilahendusnõukogu
Apellatsioonkaebus – Isikuandmete töötlemine – Võlausaldajatele ja aktsionäridele hüvitise maksmise menetlus pärast krediidiasutuse kriisilahendust – Teavitamiskohustus – Määruse (EL) 2018/1725 artikli 15 lõike 1 punkt d – Võlausaldajate ja aktsionäride isikuandmete vastuvõtjast teavitamata jätmine – Euroopa Andmekaitseinspektori otsus, millega tuvastatakse pseudonümiseeritud isikuandmete töötlemist käsitleva määruse 2018/1725 rikkumine
I. Sissejuhatus
1.
Euroopa Andmekaitseinspektor (edaspidi „andmekaitseinspektor“) palub apellatsioonkaebuses tühistada Euroopa Liidu Üldkohtu 26. aprilli 2023. aasta otsus SRB vs. andmekaitseinspektor (T‑557/20, edaspidi vaidlustatud kohtuotsus, EU:T:2023:219), millega see kohus tühistas andmekaitseinspektori 24. novembri 2020. aasta muudetud otsuse (edaspidi „vaidlusalune otsus“) viie kaebuse kohta, mille olid esitanud Banco Popular Español SA (edaspidi „Banco Popular“) panga kriisilahendusest mõjutatud aktsionärid ja võlausaldajad, kes kaebasid, et neid ei teavitatud nende isikuandmete edastamisest.
2.
Käesolev kohtuasi annab Euroopa Kohtule võimaluse selgitada pseudonümiseeritud andmete kontekstis isikuandmete mõistet ja sellest tulenevaid kohustusi andmete õiglase ja läbipaistva töötlemise kohustuse järgimiseks.
II. Õiguslik raamistik
3.
Määruse (EL) 2018/1725 (
2
) peamised sätted, mis on käesoleva apellatsioonkaebuse puhul asjakohased, on järgmised.
4.
Selle määruse põhjendused 16 ja 17 on sõnastatud järgmiselt:
„(16)
Andmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes. Pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. Selleks et teha kindlaks, kas füüsilise isiku tuvastamiseks võetakse mõistliku tõenäosusega meetmeid, tuleks arvestada kõiki objektiivseid tegureid, näiteks tuvastamise maksumus ja selleks vajalik aeg, võttes arvesse nii andmete töötlemise ajal kättesaadavat tehnoloogiat kui ka tehnoloogia arengut. Andmekaitse põhimõtteid ei tuleks seetõttu kohaldada anonüümse teabe suhtes, mis on teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga, või isikuandmete suhtes, mis on muudetud anonüümseks sellisel viisil, et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada. Käesolevas määruses ei käsitleta seega sellise anonüümse teabe töötlemist, sealhulgas statistilisel või uuringute eesmärgil.
(17)
Isikuandmete pseudonümiseerimine võib vähendada asjaomaste andmesubjektide jaoks ohte ning aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi. „Pseudonümiseerimise“ selgesõnaline kasutuselevõtmine käesolevas määruses ei ole mõeldud välistama muid andmekaitsemeetmeid.“
5.
Nimetatud määruse artikli 3 „Mõisted“ punktides 1 ja 6 on ette nähtud:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
1)
„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekt“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal;
[…]
6)
„pseudonümiseerimine“ – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid“.
6.
Sama määruse artikli 4 „Isikuandmete töötlemise põhimõtted“ lõike 1 punktis a ja lõikes 2 on sätestatud:
„1.   Isikuandmete töötlemisel tagatakse, et
a)
töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);
[…]
2.   Vastutav töötleja vastutab lõike 1 täitmise eest ja peab olema võimeline selle täitmist tõendama („vastutus“).“
7.
Määruse 2018/1725 artikli 15 „Teave, mis tuleb esitada juhul, kui isikuandmed on kogutud andmesubjektilt“ lõike 1 punktis d on sätestatud:
„Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe:
[…]
d)
asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta“.
III. Vaidluse taust
8.
Ühtne Kriisilahendusnõukogu (SRB, edaspidi „kriisilahendusnõukogu“) võttis 7. juunil 2017 Euroopa Parlamendi ja nõukogu 15. juuli 2014. aasta määruse (EL) nr 806/2014, millega kehtestatakse ühtsed eeskirjad ja ühtne menetlus krediidiasutuste ja teatavate investeerimisühingute kriisilahenduseks ühtse kriisilahenduskorra ja ühtse kriisilahendusfondi raames ning millega muudetakse määrust (EL) nr 1093/2010 (
3
), alusel vastu Banco Populari kriisilahenduse skeemi, mis kiideti samal päeval Euroopa Komisjoni otsusega (
4
) heaks, mis tähendab konkreetselt, et panga kapitaliinstrumendid hinnati alla või konverteeriti ja võõrandati aktsiate üleandmisega.
9.
Kriisilahendusnõukogu tegi vastavalt määruse nr 806/2014 artikli 20 lõigetele 16–18 Deloitte’ile kui „sõltumatule isikule“ (
5
) ülesandeks hinnata kohtlemise erinevust, et teha kindlaks, kas aktsionäre ja võlausaldajaid, keda kriisilahenduse meede selliselt mõjutas, oleks koheldud paremini, kui selle asutuse suhtes oleks algatatud tavaline maksejõuetusmenetlus.
10.
Deloitte edastas 14. juunil 2018 kriisilahendusnõukogule erineva kohtlemise hinnangu (edaspidi „3. hinnang“). Kriisilahendusnõukogu märkis esialgses otsuses, et selleks, et ta saaks teha lõpliku otsuse selle kohta, kas Banco Populari kriisilahendusest mõjutatud aktsionäridele ja võlausaldajatele on vaja maksta määruse nr 806/2014 artikli 76 lõike 1 punkti e alusel hüvitist või mitte, algatas ta arvamuse avaldamise menetluse, mis hõlmas esimest ehk registreerimisetappi, et kontrollida huvi avaldavate isikute osalemiskõlblikkust, ja teist ehk konsulteerimisetappi, mille käigus esitasid mõjutatud aktsionärid ja võlausaldajad kommentaarid kriisilahendusnõukogu esialgse otsuse kohta, millele oli lisatud 3. hinnang.
11.
Registreerimisetapis kogutud andmed, st tõendid osalejate isikusamasuse ja Banco Populari alla hinnatud või konverteeritud ja üle antud kapitaliinstrumentide omandiõiguse kohta olid kättesaadavad piiratud arvule kriisilahendusnõukogu teenistujatele, kes tegelesid nende andmete töötlemisega isikute osalemiskõlblikkuse kindlakstegemiseks. Need andmed ei olnud nähtavad kriisilahendusnõukogu teenistujatele, kes töötlesid kommentaare, mis saadi konsulteerimisetapis, mille käigus nad said üksnes kommentaare, mis tehti kindlaks igale vormi abil esitatud kommentaarile omistatud tähtnumbrilise koodi (
6
) alusel.
12.
Pärast kommentaaride koondamist, automaatset sõelumist ja liigitamist edastas kriisilahendusnõukogu sel viisil sõelutud, kategoriseeritud ja koondatud kommentaarid 3. hinnangu kohta Deloitte’ile (
7
). Deloitte’ile edastatud kommentaarid puudutasid ainult konsulteerimisetapis saadud kommentaare ja neil oli tähtnumbriline kood, mis töötati välja auditi jaoks selleks, et kriisilahendusnõukogu saaks tagantjärele kontrollida ja vajaduse korral tõendada, et iga kommentaari on käsitletud ja nõuetekohaselt arvesse võetud. Selle koodi abil oli ainult kriisilahendusnõukogul võimalik kommentaare siduda registreerimisetapis saadud andmetega. Deloitte’il ei olnud ega ole ka praegu registreerimisetapis kogutud andmete kogumile juurdepääsu.
13.
Mõjutatud aktsionärid ja võlausaldajad (edaspidi „kaebajad“) edastasid määruse 2018/1725 alusel andmekaitseinspektorile viis kaebust põhjendusel, et kriisilahendusnõukogu avaldatud isikuandmete töötlemise konfidentsiaalsusdeklaratsioon ei sisaldanud märget vormi abil kogutud andmete Deloitte’ile edastamise kohta. Nad väitsid, et kriisilahendusnõukogu on rikkunud määruse 2018/1725 artikli 15 lõike 1 punktis d seoses selle määruse alusel isikuandmete töötlemisega ette nähtud teavitamiskohustust.
14.
Andmekaitseinspektor võttis 24. juunil 2020 vastu algse otsuse, mis kriisilahendusnõukogu läbivaatamistaotluse alusel tühistati ja asendati 24. novembril 2020 vaidlusaluse otsusega, mis oli sõnastatud järgmiselt:
„1.
Euroopa Andmekaitseinspektor leiab, et andmed, mida kriisilahendusnõukogu Deloitte’iga jagas, olid pseudonümiseeritud andmed nii seetõttu, et [konsulteerimis]etapi kommentaarid olid isikuandmed, kui ka seetõttu, et kriisilahendusnõukogu jagas tähtnumbrilist koodi, mis võimaldas seostada [registreerimis]etapis saadud vastuseid [konsulteerimis]etapis saadud vastustega, kuigi andmeid, mille osalejad esitasid [registreerimis]etapis enda tuvastamiseks, Deloitte’ile ei edastatud.
2.
Euroopa Andmekaitseinspektor leiab, et Deloitte oli kaebajate isikuandmete vastuvõtja määruse 2018/1725 artikli 3 punkti 13 tähenduses. Asjaolu, et Deloitte’i ei olnud kriisilahendusnõukogu konfidentsiaalsusdeklaratsioonis mainitud kriisilahendusnõukogu kui arvamuse avaldamise menetluses vastutava töötleja kogutavate ja töödeldavate isikuandmete võimaliku vastuvõtjana, kujutab endast [määruse 2018/1725] artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse rikkumist.
3.
Võttes arvesse kõiki tehnilisi ja korralduslikke meetmeid, mille kriisilahendusnõukogu on võtnud, et leevendada ohtu üksikisikute õigusele andmekaitsele arvamuse avaldamise menetluses, otsustab Euroopa Andmekaitseinspektor mitte kasutada [määruse 2018/1725] artikli 58 lõikes 2 ette nähtud õigust võtta parandusmeetmeid.
4.
Euroopa Andmekaitseinspektor soovitab siiski kriisilahendusnõukogul tagada, et tema konfidentsiaalsusdeklaratsioonid tulevastes arvamuse avaldamise menetlustes hõlmavad isikuandmete töötlemist nii registreerimisetapis kui ka konsulteerimisetapis ning et need hõlmavad kõiki kogutud teabe potentsiaalseid vastuvõtjaid, et täielikult täita andmesubjektide teavitamise kohustust vastavalt [määruse 2018/1725] artiklile 15.“
IV. Vaidlustatud kohtuotsus
15.
Hagiavaldusega, mis saabus Üldkohtu kantseleisse 1. septembril 2020, ja muutmisavaldusega, mis saabus 29. jaanuaril 2021, palus kriisilahendusnõukogu esiteks vaidlusalune otsus tühistada ja teiseks tunnistada andmekaitseinspektori 24. juuni 2020. aasta algne otsus õigusvastaseks.
16.
Kriisilahendusnõukogu esitas esimese nõude (
8
) põhjendamiseks kaks väidet. Esimese väite kohaselt oli rikutud määruse 2018/1725 artikli 3 punkti 1, kuna Deloitte’ile edastatud teave ei kujutanud endast isikuandmeid, ja teise väite kohaselt oli rikutud Euroopa Liidu põhiõiguste harta artiklis 41 sätestatud õigust heale haldusele.
17.
Üldkohus tunnistas vaidlustatud kohtuotsusega selle nõude vastuvõetavaks. Sisulistes küsimustes nõustus Üldkohus hagi esimese väitega ja tühistas vaidlusaluse otsuse, analüüsimata teist väidet.
18.
Esimese väite kohta leidis Üldkohus esiteks, et andmekaitseinspektor asus seisukohale, et Deloitte’ile edastatud teave on teave füüsilise isiku „kohta“ määruse 2018/1725 artikli 3 punkti 1 tähenduses, eelduse põhjal, analüüsimata Deloitte’ile edastatud teabe sisu, eesmärki ja mõju (
9
), rikkudes sellega kohtuotsust Nowak (
10
).
19.
Teiseks, mis puudutab määruse 2018/1725 artikli 3 punktis 1 ette nähtud tingimust, et teave peab olema seotud „tuvastatud või tuvastatava“ füüsilise isikuga, siis leidis Üldkohus, et käesoleval juhul oli andmekaitseinspektori ülesanne analüüsida, kas Deloitte’ile edastatud kommentaarid kujutasid endast tema jaoks isikuandmeid. Vaidlustatud kohtuotsuse kohaselt piirdus andmekaitseinspektor sellega, et analüüsis võimalust tuvastada kommentaaride esitajad uuesti kriisilahendusnõukogu, mitte Deloitte’i seisukohast. Seega, kuna andmekaitseinspektor ei uurinud, kas Deloitte’il olid olemas õiguslikud ja praktikas teostatavad vahendid, mis oleksid võimaldanud tal tutvuda kommentaaride esitajate uuesti tuvastamiseks vajaliku täiendava teabega, ei saanud andmekaitseinspektor järeldada, et Deloitte’ile edastatud teave kujutas endast teavet „tuvastatava füüsilise isiku“ kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses (
11
).
V. Menetlus Euroopa Kohtus ja poolte nõuded
20.
Andmekaitseinspektor esitas Euroopa Kohtu kantseleisse 5. juulil 2023 apellatsioonkaebuse vaidlustatud kohtuotsuse peale. Euroopa Kohtu presidendi 29. novembri 2023. aasta määrusega (
12
) lubati Euroopa Andmekaitsenõukogul astuda menetlusse andmekaitseinspektori nõuete toetuseks ja 20. oktoobri 2023. aasta otsusega lubati Euroopa Komisjonil astuda menetlusse kriisilahendusnõukogu nõuete toetuseks.
21.
Andmekaitseinspektor palub Euroopa Kohtul:
–
tühistada vaidlustatud kohtuotsus;
–
teha asjas lõplik otsus;
–
mõista apellatsioonimenetluse ja Üldkohtu menetluse kohtukulud välja kriisilahendusnõukogult.
22.
Euroopa Andmekaitsenõukogu, kes toetab andmekaitseinspektorit, palub Euroopa Kohtul:
–
tühistada vaidlustatud kohtuotsus;
–
teha vaidluses lõplik otsus, jättes vaidlusaluse otsuse muutmata.
23.
Kriisilahendusnõukogu palub Euroopa Kohtul:
–
jätta apellatsioonkaebus rahuldamata;
–
teise võimalusena tühistada vaidlusalune otsus;
–
kolmanda võimalusena saata kohtuasi tagasi Üldkohtusse ning
–
mõista apellatsioonimenetluse ja Üldkohtu menetluse kohtukulud välja andmekaitseinspektorilt.
24.
Euroopa Komisjon, kes toetab kriisilahendusnõukogu, palub Euroopa Kohtul:
–
jätta apellatsioonkaebus rahuldamata;
–
mõista kohtukulud välja andmekaitseinspektorilt.
VI. Apellatsioonkaebus
25.
Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, põhjendab oma apellatsioonkaebust kahe väitega. Esimesega vaidlustatakse see, kuidas Üldkohus tõlgendas mõistet „isikuandmed“ määruse 2018/1725 artikli 3 lõigete 1 ja 6 tähenduses, nagu seda on tõlgendatud Euroopa Kohtu praktikas. Teise väite kohaselt on rikutud sama määruse artikli 4 lõikes 2 ja artikli 26 lõikes 1 sätestatud vastutuse põhimõtet.
A. Apellatsioonkaebuse esimene väide
26.
Esimene väide koosneb kahest osast. Esimene osa puudutab tingimust, et vaidlusalune teave peab olema füüsilise isiku „kohta“, ja teine puudutab tingimust, et see isik peab olema „tuvastatud või tuvastatav“.
1.
Esimene osa, mis puudutab küsimust, kas teave on füüsilise isiku „kohta“
a)
Poolte argumendid
27.
Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, väidab, et Üldkohus tegi vea, kui ta otsustas, et andmekaitseinspektor tugines selle tingimuse tõlgendamisel eeldusele, et Deloitte’ile edastatud teave oli esitatud füüsilise isiku kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses. Ta leiab, et käesoleva juhtumi asjaoludel ei olnud temapoolne põhjalikum uurimine vajalik.
28.
Kriisilahendusnõukogu väidab omakorda, et nagu Üldkohus otsustas, piirdus andmekaitseinspektor ainult sellega, et ta märkis, et vaidlusalused kommentaarid, mille kaebajad esitasid arvamuse avaldamise menetluse konsulteerimisetapis, kajastavad nende arvamusi või seisukohti, samas kui ta oleks pidanud analüüsima, kas Deloitte’ile edastatud teave oli selle sisu, eesmärgi või mõju poolest seotud konkreetse isikuga, nagu on nõutud kohtuotsuses Nowak.
b)
Õiguslik hinnang
29.
Tuleb meenutada, et Euroopa Kohus on korduvalt otsustanud, et väljendi „igasugune teave“ kasutamine mõiste „isikuandmed“ määratlemisel peegeldab liidu seadusandja eesmärki anda sellele mõistele lai tähendus, mis hõlmab potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet (
13
) arvamuste või hinnangute vormis, tingimusel et need käivad kõnealuse isiku „kohta“.
30.
Sellega seoses puudutab teave tuvastatud või tuvastatavat füüsilist isikut, kui see on oma sisu, eesmärgi või mõju tõttu „seotud“ tuvastatava isikuga (
14
).
31.
Mis puudutab selliseid arvamusi või hinnanguid nagu käesolevas asjas kõne all olevate kaebajate kommentaarid, siis näib mulle asjakohane eristada seda, kas need arvamused või hinnangud on esitatud arvamuse või hinnangu tekstis nimetatud ühe või mitme isiku „kohta“ või kas – nagu käesoleval juhul – tuleb kindlaks teha, kas need on seotud nende koostajaga. Esimesel juhul tuleb selleks, et järeldada, et tegemist on teabega hinnatava isiku kohta, analüüsida, kas hinnangu sisu, eesmärk või mõju puudutab seda isikut. Seevastu teisel juhul võib selleks, et kindlaks teha, kas hinnang on seotud selle andnud isikuga, minu arvates eeldada, et see on nii ja et arvamus või hinnang on tingimata selle koostajaga seotud.
32.
Nii oli kohtuotsuses Nowak sisuliselt tegemist eksamitöös sisalduva teabe hindamisega. Seega puudutas see kahte isikut: eksaminandi ja eksamineerijat. On tõsi, et Euroopa Kohus analüüsis eksaminandi vastuste sisu, eesmärki ja mõju ning järeldas sellest, et need vastused puudutavad teda. Mis puudutab aga konkreetselt eksamineerija kommentaare, mis kajastavad tema arvamust või hinnangut (
15
), siis kuigi Euroopa Kohus analüüsis eksamitöös sisaldunud teabe sisu, eesmärki ja mõju selleks, et järeldada, et need hinnangud olid esitatud eksaminandi kohta, ei viinud ta sellist hindamist läbi selleks, et asuda seisukohale, et need kujutavad endast teavet eksamineerija kohta, kes need koostas (
16
). Minu arvates ei saa seega täielikult välistada, et hindamisel, kas arvamus või hinnang või – nagu käesolevas asjas – kommentaar on esitatud selle autori „kohta“, saab kohaldada (lihtsat) eeldust.
33.
Järeldan sellest, et kui ei ole tõendatud vastupidist, „puudutavad“ käesolevas asjas kõne all olevad kommentaarid, kuna need pärinesid kaebajatelt ja näitasid nende „loogikat ja arutluskäiku“, väljendades seega nende „subjektiivset arvamust“, tingimata neid kaebajaid, sõltumata nende kommentaaride eesmärgist või mõjust.
34.
Igal juhul, isegi kui käesolevas asjas sellist eeldust ei ole, olen arvamusel, et kõnealused kommentaarid on nende sisu, eesmärgi ja mõju tõttu tehtud kaebajate „kohta“.
35.
Sellega seoses väidab kriisilahendusnõukogu, et kõnealuste kommentaaride eesmärki ja konteksti kohta esitatud argumendid ei saa anda tulemust, kuna neid ei ole vaidlusaluses otsuses analüüsitud, ning need on vastuvõetamatud, kuna need sisaldavad uut faktilist väidet, ja need on igal juhul ekslikud.
36.
Need argumendid mind ei veena. Nimelt kuuluvad nii andmekaitseinspektori analüüs vaidlusaluses otsuses kui ka Üldkohtu hinnang õiguslikku konteksti, mida on arvesse võetud ja milles on selgelt mainitud kõnealuste kommentaaride eesmärki ja mõju, mis esitati arvamuse avaldamise menetluse raames. Need argumendid kõnealuste kommentaaride eesmärgi ja mõju kohta võivad seega olla tulemuslikud ja on vastuvõetavad.
37.
Lisaks nähtub kohaldatavast õiguslikust raamistikust sisulistes küsimustes, et arvamuse avaldamise menetluse – mille raames kõnealused kommentaarid esitati – eesmärk oli võimaldada mõjutatud aktsionäridel ja võlausaldajatel menetluses oma panus anda, eelkõige selleks, et võimaldada kriisilahendusnõukogul saada kogu vajalik teave, et teha lõplik otsus selle kohta, kas Banco Populari kriisilahendusest mõjutatud aktsionäridele ja võlausaldajatele on vaja maksta hüvitist, kohaldades põhimõtet, et ühtegi võlausaldajat ei tohi kohelda halvemini kui tavalises maksejõuetusmenetluses ettevõtja likvideerimise korral (
17
). Lisaks võisid need kommentaarid pärast seda, kui kriisilahendusnõukogu oli neid arvesse võtnud, mõjutada kaebajate huve ja õigusi rahalise hüvitise osas.
38.
Järeldan sellest, et nimetatud kommentaarid on esitatud käesolevas asjas kõne all olevate andmesubjektide kohta, sealhulgas nende kommentaaride eesmärgi ja mõju tõttu.
39.
Lisan, et kõnealused kommentaarid, nagu need edastati Deloitte’ile, olid tõepoolest „sõelutud, liigitatud ja koondatud“, mistõttu – nagu nähtub Üldkohtu tuvastatud faktilistest asjaoludest (
18
) – ei saanud sama teema raames üksikuid kommentaare eristada; võib siiski möönda, et isegi kui need ühised kommentaarid on koondatud, kajastavad need sisuliselt isiklikke seisukohti 3. hinnangu kohta. Nimelt kujutavad need endast arvamuste kogumit, mis sellistena on käsitatavad teabena, mis on esitatud selle avaldanud isikute kohta. Nende sõelumine, liigitamine ja koondamine seda järeldust ei muuda, sest vastasel juhul piisaks selleks, et tingimus, et teave peab olema esitatud füüsilise isiku „kohta“, oleks täidetud, mitme vaatepunkti koondamisest. Asjaolu, et selle kommentaaride kogumi raames ei ole võimalik erinevaid individuaalseid arvamusi eristada, kuulub minu arvates pigem teise kumulatiivse tingimuse alla, mis puudutab andmesubjektide tuvastatavust ja mida analüüsitakse käesoleva väite teise osa raames, kui selle tingimuse alla, mis eeldab, et kommentaar on „seotud“ füüsilise isikuga.
40.
Neil asjaoludel olen arvamusel, et Üldkohtu hinnangus on selles osas rikutud õigusnormi, kuna Üldkohus leidis, et andmekaitseinspektor ei olnud täitnud kohtuotsuses Nowak nõutud analüüsi nõuet, et järeldada, et kõnealused kommentaarid on tehtud füüsiliste isikute „kohta“ määruse 2018/1725 artikli 3 punkti 1 tähenduses.
41.
Kui Euroopa Kohus peaks selle väite esimese osa tagasi lükkama ja otsustama, et vaidlusalused pseudonümiseeritud kommentaarid ei ole tehtud nende autorite kohta, oleks väite teise osa analüüs üleliigne, kuna määruse 2018/1725 artikli 3 punkti 1 kohaselt on see isikuandmete olemasolu jaoks vajalik tingimus, mis on kumulatiivne andmesubjektide tuvastatavuse tingimusega, mida analüüsitakse allpool.
2.
Teine osa, mis puudutab andmesubjektide tuvastatavuse tingimust
42.
Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu väidavad sisuliselt, et Üldkohus tegi kaks viga, millest esimene puudutab pseudonümiseerimise mõistet ja teine kohtuotsuse Breyer (
19
) tõlgendamist, ning kriisilahendusnõukogu ja komisjon vaidlevad sellele vastu.
a)
Esimene etteheide, et on tehtud viga pseudonümiseerimise tagajärgede osas
43.
See etteheide illustreerib kahte väga erinevat lähenemisviisi seoses andmekaitset reguleerivate õigusnormide kohaldamisalaga. Kas pseudonümiseeritud andmed kuuluvad automaatselt nende õigusnormide kohaldamisalasse ainuüksi põhjusel, et andmesubjektid on jätkuvalt tuvastatavad, olenemata sellest, kas täiendavad tuvastamisandmed on kättesaadavad, või tuleb asuda seisukohale, et pseudonümiseerimise tulemusel on andmed isikuandmed ainult nende isikute jaoks, kes suudavad mõistliku tõenäosusega andmesubjekte tuvastada?
1) Poolte argumendid
44.
Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu väidavad sisuliselt, et pseudonümiseeritud andmed jäävad isikuandmeteks üksnes seetõttu, et andmesubjektid jäävad tuvastatavaks, kuna nende tuvastamist võimaldav teave on jätkuvalt olemas. Nende sõnul on Üldkohtu lähenemisviis ekslik, kuna see võimaldab pidada pseudonümiseeritud andmeid vastuvõtja jaoks anonüümseks muudetud andmeteks, see aga kujutab endast ohtu andmesubjektide kaitsele ning tekitab segadust pseudonümiseerimise ja anonümiseerimise vahel. Selline lähenemine, mis on vastuolus määruse 2018/1725 sõnastuse ja eesmärgiga, võimaldaks vastutaval töötlejal isikuandmed selliste andmete kaitset käsitleva liidu õiguse kohaldamisalast põhjendamatult välja jätta.
45.
Kriisilahendusnõukogu ja komisjon väidavad omakorda, et pseudonümiseeritud andmed jäävad isikuandmeteks vastutava töötleja jaoks, kes need pseudonümiseeris, kuid vastuvõtjate puhul tuleb analüüsida andmesubjektide tuvastatavust. Lisaks, isegi kui määruse 2018/1725 artikli 3 punktis 1 ei ole täpsustatud, kellel peab olema võimalik andmesubjekti tuvastada, on määruse põhjendust 16 arvestades ja artikli 15 lõike 1 punkti d kontekstis oluline andmete vastuvõtja vaatenurk. Nad leiavad, et kui vastuvõtja ei saa isikuandmeid, ei ole andmesubjektidel huvi olla andmete edastamisest teavitatud, kuna nende õigusi ei riivata.
2) Õiguslik hinnang
46.
Kõigepealt ei ole tarbetu meenutada, et pseudonümiseerimine on isikuandmete töötlemine selleks, et vastavalt määruse 2018/1725 põhjendusele 17 „vähendada ohte“, mis seisnevad andmekogumi sidumises andmesubjekti identiteediga, ning „aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi“.
47.
Määruse 2018/1725 artikli 3 punktis 6 on pseudonümiseerimine seega määratletud kui „isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, [kuna] sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid“ (
20
).
48.
Pseudonümiseerimine ei ole seega osa isikuandmete määratlusest, mis on omakorda määratletud määruse 2018/1725 artikli 3 punktis 1, arvestades mõistet „andmesubjekti tuvastatavus“. Pealegi, nagu märkis komisjon oma menetlusse astuja seisukohtades, viitab määrus pseudonümiseerimise mõiste määratlemisel kaitsemeetme või tehnilise ja korraldusliku meetme kehtestamise protsessile, kuid mitte pseudonümiseeritud andmete mõistele.
49.
Seda tõlgendust kinnitab sama määruse artikli 3 punkt 6 koostoimes põhjendusega 16, mille esimeses lauses on meenutatud, et „[a]ndmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes“.
50.
Lisaks väärib määruse 2018/1725 põhjendus 16 üksikasjalikumat analüüsimist (
21
). See sisaldab nimelt teist lauset, milles on märgitud, et „pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta“. Seejärel on esitatud kolmas ja neljas lause, mis täpsustavad tuvastatavuse nõude sisu.
51.
Järeldan nende sätete sõnastusest, et pseudonümiseerimine jätab võimaluse, et andmesubjekte ei ole võimalik tuvastada, kuna vastasel juhul ei oleks põhjenduse 16 sõnastusel mõtet. Lisan, et selle põhjenduse viimased laused, mis käsitlevad anonümiseerimist, kinnitavad seda tõlgendust: need jätavad anonümiseeritud (või anonüümseks muudetud) andmed määruse 2018/1725 (
22
) kohaldamisalast välja, kuid jätavad pseudonümiseeritud andmed sellest välja üksnes juhul, kui andmesubjekte ei ole võimalik tuvastada. Kui neid isikuid ei ole võimalik tuvastada, peetakse neid seega pseudonümiseerimisprotsessiga õiguslikult piisavalt kaitstuks, hoolimata asjaolust, et täiendavad tuvastamisandmed ei ole täielikult kustutatud.
52.
See tähendab, et pseudonümiseeritud andmed ei ole määruse kohaldamisalast automaatselt välja jäetud (
23
). Põhjenduse 16 kohaselt ei saa siiski välistada, et sellised andmed võivad teatavatel tingimustel mõiste „isikuandmed“ alt välja jääda.
53.
Vastupidi sellele, mida väidab andmekaitseinspektor, ei ole niisugune lähenemisviis minu arvates vastuolus eesmärgiga tagada isikuandmete kaitse kõrge tase, eelkõige arvestades esiteks kohaldatavate sätetega kehtestatud tuvastatavuse nõudeid ja teiseks nende tõlgendamist kohtupraktikas.
54.
Esiteks on määruse 2018/1725 põhjenduses 16 viidatud tuvastatavusele vastutava töötleja „või kellegi muu“ poolt: see lai, ehkki mitte piiramatu käsitusviis (
24
) on osa isikuandmete kaitsest.
55.
Põhjenduses 16 on samuti märgitud, et arvesse tuleks võtta vahendeid, mida võib mõistliku tõenäosusega kasutada füüsilise isiku otseseks või kaudseks tuvastamiseks, arvestades kõiki objektiivseid tegureid, nagu tuvastamise maksumus ja selleks vajalik aeg, pidades silmas töötlemise ajal kättesaadavat tehnoloogiat ja selle arengut – see on käsitatav isikuandmete laia ja kaitsva määratlusena.
56.
Teiseks võimaldab kohtupraktikas tuvastatavuse mõiste tõlgendamine, mis keskendub andmesubjektide uuesti tuvastamise ohule, kohaldada mõistet „isikuandmed“ samuti laialt. Näiteks on Euroopa Kohus süstemaatiliselt kvalifitseerinud isikuandmeteks andmed, mis on küll teise isiku valduses olevatest tuvastamisandmetest eraldatud, kuid võivad kõnealuses kontekstis tuua kaasa ohu, et andmesubjektid võidakse uuesti tuvastada (
25
).
57.
Seega võib ainult siis, kui isiku tuvastamise oht on olematu või tähtsusetu (
26
), jätta andmed õiguslikult „isikuandmeteks“ kvalifitseerimata.
58.
Andmekaitseinspektori ja Euroopa Andmekaitsenõukogu argumendid ohtude kohta, mis tulenevad isikuandmete liiga kitsast tõlgendamisest, mind ei veena. Nimelt ei takista asjaolu, et määrusest 2018/1725 tulenevaid õigusnorme ei kohaldata andmete suhtes isikute kohta, kes ei ole tuvastatavad, vastaval juhul õigusliku vastutuse tekkimist üksustel, kes panevad toime taunitavaid tegusid, näiteks andmete avalikustamise korral, millega kaasneb kahju. Seevastu näib mulle ebaproportsionaalne panna üksusele, kes ei suuda andmesubjekte mõistliku tõenäosusega tuvastada, määrusest 2018/1725 tulenevaid kohustusi (
27
), mida see üksus eeldatavasti ei saaks täita või mis kohustaksid teda just nimelt püüdma andmesubjekte tuvastada.
59.
Neid kaalutlusi arvestades, kui analüüsida vaidlust Deloitte’ile edastatud andmete alusel, olen arvamusel, et vastupidi sellele, mida väidab andmekaitseinspektor, tuleb kindlaks teha, kas kõnealuste andmete pseudonümiseerimine oli piisavalt usaldusväärne selleks, et järeldada, et Deloitte’ile edastatud teabe koostajad ei olnud mõistliku tõenäosusega tuvastatavad. Teisisõnu, kui Deloitte’il oleksid selles kontekstis olnud mõistlikud vahendid kaebajate tuvastamiseks, võiks teda pidada isikuandmeid töötlevaks.
60.
Andmekaitseinspektori esimene etteheide tuleks seega minu arvates tagasi lükata.
b)
Teine etteheide, et on tehtud viga võrdlemisel kohtuotsusega Breyer
1) Poolte argumendid
61.
Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, on seisukohal, et kõnealused pseudonümiseeritud andmed on kriisilahendusnõukogu jaoks isikuandmed ja seega oli kriisilahendusnõukogul kohustus teavitada andmesubjekte vastuvõtjast. Ta väidab sisuliselt, et Üldkohus tõlgendas vääralt kohtuotsust Breyer, mis puudutas teistsugust faktilist olukorda.
62.
Kriisilahendusnõukogu, keda toetab komisjon, leiab seevastu, et võrdlus kohtuotsusega Breyer on asjakohane ja viib järeldusele, et teavitamiskohustus on kohaldatav üksnes siis, kui edastatud andmed on isikuandmed vastuvõtja, käesoleval juhul Deloitte’i seisukohast, mida ei ole käesoleval juhul tõendatud, nagu Üldkohus tema hinnangul õigesti leidis.
2) Õiguslik hinnang
63.
Olen arvamusel, et määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustus ja paralleelsus kohtuotsusega Breyer viivad käesoleval juhul Üldkohtu lahendusest erineva lahenduseni, mida ma selgitan käesoleva etteheite analüüsimisel.
64.
Määruse 2018/1725 artikli 4 lõike 1 punktis a on sätestatud nõue, et töötlemine peab olema seaduslik, õiglane ja andmesubjektile läbipaistev.
65.
Täpsemalt on määruse artikli 15 lõike 1 punktis d ette nähtud, et kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teavitab vastutav töötleja andmesubjekte „isikuandmete saamise ajal“ nende andmete võimalikest vastuvõtjatest. Seega ilmneb, et vastutav töötleja peab selle teabe andma kohe, see tähendab andmete kogumise ajal (
28
).
66.
Sellise teavitamiskohustuse täitmise tähtsust kinnitab ka määruse 2018/1725 põhjendus 35, milles on märgitud, et õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest ning vastutav töötleja peaks esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti (
29
).
67.
Selline teavitamiskohustus on seda olulisem, et andmesubjekti antud nõusoleku kehtivus sõltub muu hulgas sellest, kas andmesubjekt on enne saanud nende andmete töötlemisega seotud kõikide asjaolude kohta teabe, millele tal on õigus määruse 2018/1725 artiklite 14 ja 15 alusel ning mis võimaldab tal anda nõusoleku kõiki asjaolusid teades (
30
).
68.
Lisan, et teavitamiskohustuse ainus erand, mis on ette nähtud määruse 2018/1725 artikli 15 lõikes 4, puudutab olukorda, kus andmesubjektil on kõnealune teave juba olemas.
69.
Järeldan sellest, et käesoleval juhul on see teavitamiskohustus osa õigussuhtest ühelt poolt andmesubjektide, käesoleval juhul kaebajate, ja teiselt poolt kriisilahendusnõukogu kui vastutava töötleja vahel, mitte aga kriisilahendusnõukogu ja andmete vastuvõtja, see tähendab Deloitte’i vahelise suhte raames. Teavitamiskohustuse ese on seega andmed, mis olid kriisilahendusnõukogu valduses enne Deloitte’ile edastamist. Vaidlust ei ole aga selles, et tegemist on isikuandmetega, kuna kriisilahendusnõukogu valduses on kommentaarid ja need esitanud isikute tuvastamist võimaldavad andmed.
70.
Selline „asjakohasest seisukohast“ (
31
) lähenemine viib mind seega Üldkohtu omast erineva lahenduseni, isegi kui võrrelda seda kohtuotsusega Breyer.
71.
Tuletan meelde, et selles kohtuotsuses esitatud eelotsuse küsimuse aluseks olevas vaidluses soovis P. Breyer keelata vastutaval töötlejal (Saksamaa Liitvabariik) säilitada enda dünaamilist IP-aadressi. Täiendav teave, mis võimaldas tuvastada tema arvutiga seotud IP-aadressi, ei olnud mitte vastutava töötleja, vaid internetiühenduse pakkuja valduses. Küsimus oli seega selles, kas vastutava töötleja valduses olevat dünaamilist IP-aadressi võib kvalifitseerida „isikuandmeteks“ ja seeläbi panna P. Breyeri ja nimetatud vastutava töötleja vahelise õigussuhte raames viimasele säilitamiskohustusi, kuigi P. Breyeri identifitseerimisandmed ei olnud vastutava töötleja, vaid teise isiku valduses. Sisuliselt leiti, et kuigi vastutaval töötlejal ei olnud täiendavaid tuvastamisandmeid, oli tal võimalik nendega mõistlikult tutvuda ja seega kvalifitseeriti dünaamiline IP‑aadress „isikuandmeteks“.
72.
Nagu on eespool meenutatud, (
32
) on käesoleval juhul teavitamiskohustus seotud andmesubjektide (kaebajad) ja vastutava töötleja (kriisilahendusnõukogu) vahelise suhtega: teavitamiskohustus tekib alles siis, kui kriisilahendusnõukogu kogub kõnealuseid andmeid ja, mis puudutab konkreetselt teavet vastuvõtja kohta, siis hiljemalt siis, kui vastuvõtja on teada. Sel hetkel aga on kõnealused andmed isikuandmed kriisilahendusnõukogu valduses, kellel on täiendavad tuvastamisandmed. Arvestades kõnealust teavitamiskohustust ja selle tekkimise hetke, kujutasid kõnealused andmed endast seega isikuandmeid, sõltumata sellest, kas need olid tuvastatavad Deloitte’i jaoks, keda ei puuduta ei kaebajate ja kriisilahendusnõukogu vaheline õigussuhe, mis on ainsana asjakohane, ega see kriisilahendusnõukogul lasuv teavitamiskohustus.
73.
Selles mõttes tuleb paralleeli kohtuotsusega Breyer minu arvates käesoleval juhul pidada suhteliseks.
74.
Sellest järeldub, et teavitamiskohustus lasus kriisilahendusnõukogul kui vastutaval töötlejal ja tema suhte tõttu kaebajatega, kellelt ta kõnealuseid andmeid kogus, ja seda sõltumata sellest, kas Deloitte’ile edastatud andmed on isikuandmed või mitte.
75.
Kriisilahendusnõukogu argument, mida ta kordas kohtuistungil ja mille kohaselt on vastuvõtja seisukoht asjakohane, kuna tuleb kontrollida, kas ta on „isikuandmete vastuvõtja“ või mitte, tuleb sellest loogikast lähtudes tagasi lükata.
76.
Sellega seoses on tõsi, et määruse 2018/1725 artikli 15 lõike 1 punkti d sõnastus, mis viitab „isikuandmete […] vastuvõtjate[le]“, võib tekitada segadust. Siiski nõuab selle sätte kasulik mõju, et teave edastatakse andmesubjektidele nii kiiresti kui võimalik ja enne andmete edastamist (
33
). Kuigi käesoleval juhul ei olnud kriisilahendusnõukogul kommentaaride esmasel kogumisel kavatsust küsida Deloitte’ilt arvamust, et saada teada, kas need kommentaarid muudavad 3. hinnangut, nähtub Üldkohtus vaidlustatud vaidlusalusest otsusest, et Deloitte abistas kriisilahendusnõukogu arvamuse avaldamise menetluses (
34
). Lisaks võib asuda seisukohale, et kriisilahendusnõukogu kavatsus edastada pseudonümiseeritud andmed Deloitte’ile oli olemas hiljemalt hetkel, mil otsustati kõnealuseid kommentaare töödelda just pseudonümiseerimiseks (
35
), sest ilma selle kavatsuseta ei oleks pseudonümiseerimine kuidagi põhjendatud.
77.
Olen seega arvamusel, et teavitamiskohustuse täitmise kontrollimine hetkel, mil kriisilahendusnõukogu edastas andmed Deloitte’ile, lähtudes tema kui vastuvõtja seisukohast, et kvalifitseerida kõnealused andmed isikuandmeteks või mitte, viib selle kontrolli ajalise nihkeni. See kontroll lükataks seega ekslikult edasi, kuna seda tehtaks andmete vastuvõtjale juba edastatud andmete suhtes, samas kui teavitamiskohustuse ese puudutab kriisilahendusnõukogu ja kaebajate vahelist suhet ning selle eesmärk on võimaldada viimastel anda teadlik nõusolek enne andmete edastamist.
78.
Pealegi, mis puutub kaebajate nõusolekusse, siis võib nende osalemist arvamuse avaldamise menetluses mõistagi tõlgendada kui kaudset nõusolekut jagada isikuandmeid vastutava töötlejaga, et nende kommentaare võetaks arvesse. See ei ole minu arvates siiski piisav selleks, et seda pidada teadlikuks nõusolekuks andmete pseudonümiseerimiseks ja nende Deloitte’ile edastamiseks, ilma et kriisilahendusnõukogu oleks sellest eelnevalt teatanud (
36
).
79.
Sellest tuleneb minu arvates, et kriisilahendusnõukogul lasuv teavitamiskohustus kehtis käesoleval juhul enne kõnealuste andmete edastamist ja sõltumata sellest, kas need olid Deloitte’i valduses kui isikuandmed või mitte.
80.
Seega näib mulle, et see, kas pseudonümiseerimine on piisavalt tugev ja tõhus, nii et saaks kaaluda, kas Deloitte’i valdusesse antud andmed kujutavad endast isikuandmeid või mitte, ei saa kriisilahendusnõukogul lasuva teavitamiskohustuse seisukohast lõpuks anda
tulemust.
81.
Järelikult tuli kriisilahendusnõukogul kui vastutaval töötlejal lasuvat teavitamiskohustust käesolevas asjas täita ja vaidlustatud kohtuotsus tuleb seetõttu õigusnormi rikkumise tõttu tühistada.
82.
Kuna kõnealuste andmete vastuvõtja seisukoht ei ole määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse seisukohast asjakohane, siis ei saa poolte argumendid selle kohta, et Deloitte’il on võimalik teha seaduslikul ja praktikas teostataval viisil kindlaks andmesubjektid, anda tulemust ning neid ei ole seega vaja analüüsida.
83.
Kui Euroopa Kohus ei ole sellel arvamusel, märgin teise võimalusena, et andmekaitseinspektor vaidleb selles osas vastu Üldkohtu järeldusele, et Deloitte’il puudus juurdepääs tuvastamisandmetele. Ta tugineb eelkõige kriisilahendusnõukogu ja Deloitte’i vahelisele alltöövõtusuhtele. Kriisilahendusnõukogu ja komisjon väidavad, et seda tehes esitab andmekaitseinspektor uusi faktiväiteid, mis on apellatsiooniastmes vastuvõetamatud. Olen nõus. Nimelt kujutab lepingulise suhte olemasolu kriisilahendusnõukogu ja Deloitte’i vahel, mis tõendab Deloitte’i võimalust nõuda kriisilahendusnõukogult kaebajate tuvastamist, endast uusi argumente, mille kohta ei ole Üldkohus pealegi seisukohta võtnud. Sellest järeldub, et need argumendid tuleb sel juhul vastuvõetamatuse tõttu tagasi lükata vastavalt Euroopa Kohtu kodukorra artikli 170 lõike 1 teisele lausele, mille kohaselt ei või apellatsioonkaebuses muuta Üldkohtu menetluses olnud hagi eset (
37
).
B. Teine väide, mida analüüsitakse teise võimalusena
84.
Teises väites, mille kohaselt on rikutud määruse 2018/1725 artikli 4 lõikes 2 ja artikli 26 lõikes 1 sätestatud vastutuse põhimõtet, väidab andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, et Üldkohus leidis vääralt, et tema peab tõendama, et Deloitte’ile edastatud teave kujutab endast isikuandmeid, rikkudes sellega kriisilahendusnõukogu vastutuse põhimõtet.
85.
Eeltoodut ja eelkõige käesoleva ettepaneku punkte 81 ja 82 arvestades leian, et seda teist väidet ei ole vaja analüüsida.
86.
Seega käsitlen seda vaid lühidalt, teise võimalusena.
87.
Selle Üldkohtus esitamata väite vastuvõetavuse kohta, millele kriisilahendusnõukogu vastu vaidleb, tuletan meelde, et apellandil on õigus apellatsioonkaebuses esitada väiteid, mis on tekkinud vaidlustatud kohtuotsuse enda pinnalt ja mille eesmärk on selle kohtuotsuse põhjendatust õiguslikult kritiseerida (
38
). Minu arvates on see nii käesoleva väite puhul, mis on seega vastuvõetav.
88.
Sisulises osas tuleb meenutada, et Üldkohus otsustas, et kuna andmekaitseinspektor ei uurinud, kas Deloitte’il olid seaduslikud ja praktikas teostatavad vahendid, mis oleksid tal võimaldanud tutvuda kaebajate uuesti tuvastamiseks vajaliku lisateabega, ei saanud andmekaitseinspektor järeldada, et Deloitte’ile edastatud teave kujutab endast teavet „tuvastatava füüsilise isiku“ kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses.
89.
Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, väidab sisuliselt, et Üldkohus oleks pidanud kontrollima, kas vastutav töötleja kriisilahendusnõukogu on tõendanud, et ta muutis vaidlusalused andmed Deloitte’i jaoks anonüümseks.
90.
Kriisilahendusnõukogu vaidleb nendele argumentidele vastu, väites, et vastutuse põhimõte on kohaldatav ainult siis, kui on olemas isikuandmed, ning et käesoleval juhul olid Deloitte’i valduses olevad andmed anonüümseks muudetud.
91.
Komisjon väidab omakorda, et esiteks on andmekaitseinspektoril mõistlik tõendamiskoormis, et olemasolevate tõendite alusel tõendada, et tegemist on isikuandmetega. Teiseks peab vastutav töötleja selle järelduse täiendavaid asjaolusid esitades ümber lükkama.
92.
Tuletan meelde, et määruse 2018/1725 artikli 4 lõike 1 punkti a kohaselt tuleb isikuandmeid töödelda seaduslikult, õiglaselt ja andmesubjektile läbipaistvalt. Nimetatud määruse artikli 4 lõikes 2 on sätestatud, et „[l]õike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja“. Seega tuleneb määruse 2018/1725 artikli 4 lõikes 2 sätestatud ja artikli 26 lõikes 1 täpsustatud vastutuse põhimõttest, et vastutav töötleja peab suutma tõendada, et ta järgib artikli 4 lõikes 1 sätestatud isikuandmete töötlemise põhimõtteid (
39
).
93.
Kui vastutav töötleja esitab selle kohta piisavaid tõendeid, võib asuda seisukohale, et ta on temal lasuva tõendamiskohustuse täitnud (
40
).
94.
Käesoleval juhul näib mulle, et kriisilahendusnõukogu tugines mitmele faktilisele asjaolule (eelkõige kommentaaride sõelumise, liigitamise, koondamise protsessile, mida on kirjeldatud vaidlusaluses otsuses ja vaidlustatud kohtuotsuses), et tõendada oma vastutuse põhimõtte kohaselt, et Deloitte’il oli võimatu andmesubjekte tuvastada.
95.
Andmekaitseinspektor vaidles Üldkohtus selles küsimuses vastu põhimõttelisele seisukohale, mis seisnes selles, et ta lähtus kriisilahendusnõukogu, mitte Deloitte’i seisukohast, ja seega kvalifitseeris Deloitte’ile edastatud kommentaarid „isikuandmeteks“.
96.
Kui nõustuda käesoleva väite teise võimalusena analüüsimiseks, et Deloitte’i seisukoht oli käesoleval juhul asjakohane (
41
), võiks asuda seisukohale, et nagu Üldkohus otsustas, pidi andmekaitseinspektor tõendama (
42
), millisel õiguslikul või tehnilisel põhjusel ei olnud kriisilahendusnõukogu poolt käesolevas asjas läbi viidud pseudonümiseerimise protsess piisav ja pidi viima järelduseni, et Deloitte töötles isikuandmeid.
97.
Olen seega arvamusel, et teise väite läbivaatamise korral tuleb vaidlustatud kohtuotsus selles osas muutmata jätta.
VII. Üldkohtule esitatud hagi
98.
Euroopa Liidu Kohtu põhikirja artikli 61 esimese lõigu kohaselt tühistab Euroopa Kohus Üldkohtu otsuse, kui apellatsioonkaebus on põhjendatud. Ta võib ise teha asja suhtes lõpliku kohtuotsuse, kui menetlusstaadium lubab, või suunata asja tagasi Üldkohtusse otsustamiseks.
99.
Esimene väide, mille kriisilahendusnõukogu esitas vaidlusaluse otsuse kohta Üldkohtus, puudutab määruse 2018/1725 artikli 3 punkti 1 rikkumist. Käesoleva ettepaneku punktidest 63–82 tuleneb, et kuna kriisilahendusnõukogu on rikkunud määruse 2018/1725 artikli 15 lõike 1 punktist d tulenevat teavitamiskohustust, tuleb vaidlusalune otsus minu arvates seega muutmata jätta.
100.
Seevastu ei luba menetlusstaadium otsustada teise väite üle, mille kohaselt andmekaitseinspektor on rikkunud õigust heale haldusele menetluses, mille tulemusel võeti vastu vaidlusalune otsus.
101.
Nimelt väidab kriisilahendusnõukogu eelkõige, et vaidlusaluse otsuse vastuvõtmisele eelnenud haldusmenetluses rikkus andmekaitseinspektor tema õigust tutvuda toimikuga, tema õigust olla ära kuulatud ja poolte võrdsuse põhimõtet, kui ta esiteks keeldus võimaldamast tal toimikuga tutvuda ja teiseks ei edastanud talle kaebajate seisukohti või nende sisu.
102.
Üldkohus leidis aga, et kuna hagi esimese väitega nõustuti, ei olnud talle esitatud teist väidet vaja analüüsida. Järelikult ei luba menetlusstaadium selle väite kohta, mis hõlmab eelkõige faktiliste asjaolude hindamist, kohtuotsust teha. Seega näib mulle, et kohtuasi tuleb suunata tagasi Üldkohtusse selles küsimuses otsuse tegemiseks ning kohtukulude kandmine otsustatakse edaspidi.
VIII. Ettepanek
103.
Eespool kirjeldatud kaalutlustel teen Euroopa Kohtule ettepaneku:
–
tühistada Euroopa Liidu Üldkohtu 26. aprilli 2023. aasta kohtuotsus SRB vs. andmekaitseinspektor (T‑557/20, EU:T:2023:219);
–
suunata kohtuasi tagasi Üldkohtusse, et ta teeks otsuse talle esitatud teise väite kohta;
–
teha kohtukulude kohta otsus edaspidi.
(
1
)	Algkeel: prantsuse.
(
2
)	Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT 2018, L 295, lk 39).
(
3
)	ELT 2014, L 225, lk 1.
(
4
)	Komisjoni 7. juuni 2017. aasta otsus (EL) 2017/1246, millega kinnitatakse Banco Popular Español S.A. kriisilahenduse skeem (ELT 2017, L 178, lk 15).
(
5
)	Määruse nr 806/2014 artikli 20 lõikes 1 on sätestatud, et see isik on „sõltumatu mis tahes ametiasutusest, sealhulgas kriisilahendusnõukogust, liikmesriigi kriisilahendusasutusest ja asjaomasest ettevõtjast“. Selle määruse artikli 20 lõikes 16 on seoses mõistega „sõltumatu isik“ viidatud artikli 20 lõikele 1.
(
6
)	Tegemist on 33-kohalise kordumatu tunnusega, mis on genereeritud juhuslikult.
(
7
)	Vaidlusalusest otsusest nähtub, et Deloitte abistas kriisilahendusnõukogu selles otsustusprotsessis sõltumatu isikuna. Sellest otsusest nähtub samuti, et 18. märtsil 2020 otsustas kriisilahendusnõukogu, et mõjutatud aktsionäridele ja võlausaldajatele ei tule hüvitist maksta, ning märkis, et see otsus põhineb Deloitte’i kriisilahendusjärgsel hinnangul ja arvamuse avaldamise menetluses saadud kommentaaride analüüsil.
(
8
)	Teises nõudes paluti tunnistada algne otsus õigusvastaseks. Vaidlustatud kohtuotsuses jättis Üldkohus selle teise nõude pädevuse puudumise tõttu läbi vaatamata põhjendusel, et sellega palus kriisilahendusnõukogu teha tuvastusotsuse, mitte akti tühistada.
(
9
)	Vt vaidlustatud kohtuotsus, punktid 64, 73 ja 74.
(
10
)	20. detsembri 2017. aasta kohtuotsus (C‑434/16, edaspidi kohtuotsus Nowak, EU:C:2017:994). Käesolevas ettepanekus viidatakse analoogia alusel kohtuotsustele, milles on kohaldatud Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355) ning Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrust (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“). Nimelt, nagu nähtub määruse 2018/1725 põhjendustest 4 ja 5 ning isikuandmete kaitse üldmääruse artikli 2 lõikest 3 ja artiklist 98, soovis liidu seadusandja kehtestada liidu institutsioonides, organites ja asutustes isikuandmete kaitse korra, mis on samaväärne isikuandmete kaitse üldmääruses sätestatuga, et tagada füüsiliste isikute ühetaoline ja järjepidev kaitse seoses nende isikuandmete töötlemisega liidus (vt 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215, punkt 43).
(
11
)	Vt vaidlustatud kohtuotsus, punktid 100, 103 ja 105.
(
12
)	C‑413/23 P, EU:C:2023:1036.
(
13
)	Vt eelkõige mitteammendav loetelu kohtujurist Pitruzzella ettepanekus kohtuasjas Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2022:1000), punkt 36.
(
14
)	Vt kohtuotsus Nowak, punktid 34 ja 35. Vt lisaks 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punktid 23 ja 24); 22. juuni 2023. aasta kohtuotsus Pankki S (C‑579/21, EU:C:2023:501, punktid 42 ja 43); 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon (C‑479/22 P, EU:C:2024:215, punkt 45) ning 7. märtsi 2024. aasta kohtuotsus IAB Europe (C‑604/22, EU:C:2024:214, punktid 36 ja 37).
(
15
)	Kohtuotsus Nowak, punkt 43.
(
16
)	Kohtuotsus Nowak, punkt 44 in fine.
(
17
)	Vt selle kohta vaidlustatud kohtuotsuse punktid 5–7 ja käesoleva ettepaneku punkt 9.
(
18
)	Vt vaidlustatud kohtuotsuse punkt 23.
(
19
)	19. oktoobri 2016. aasta kohtuotsus Breyer (C‑582/14, edaspidi kohtuotsus Breyer, EU:C:2016:779).
(
20
)	Vt selle kohta ka arvamus isikuandmete mõiste määratluse kohta (artikli 29 alusel asutatud töörühma 20. juuni 2007. aasta arvamus 4/2007, WP 136) ning arvamus, milles käsitletakse sõnaselgelt anonümiseerimis- ja pseudonümiseerimistehnikaid (artikli 29 alusel asutatud töörühma10. aprilli 2014. aasta arvamus 05/2014, WP 216). Pseudonümiseerimine on seega eriti oluline eelkõige teadusuuringute ja statistika kontekstis.
(
21
)	Kuigi neil ei ole siduvat õigusjõudu ja need ei saa olla aluseks tõlgendusele, mis oleks vastuolus määruse 2018/1725 eesmärkidega, on Euroopa Kohus liidu õigusakti sätete tõlgendamisel sageli lähtunud põhjendustest (vt nimelt kohtujurist Szpunari ettepanek kohtuasjas Planet49, C‑673/17, EU:C:2019:246, punkt 71, ja kohtujurist Kokott’i ettepanek kohtuasjas komisjon vs. CK Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).
(
22
)	Pealegi ei välista anonümiseerimine rangelt tehnilises plaanis uuesti tuvastamise võimalusi, mistõttu peavad anonümiseerimistehnikaid rakendavad vastutavad töötlejad regulaarselt analüüsima uuesti tuvastamise olemuslikku riski, hinnates selle ohu tõsidust ja tõenäosust igal üksikjuhul eraldi (vt selle kohta Tambou, O., Manuel de droit européen de la protection des données à caractère personnel, Bruylant, 2020, punkt 68, ja selle kohta esitatud viited, nimelt joonealuses märkuses 162).
(
23
)	Kuigi mõiste „pseudonümiseerimine“ isikuandmete kaitse üldmäärusesse võtmise algne eesmärk oli võimaldada paindlikkust andmekaitsekohustuste leevendamisel (vt selle kohta Kuner, C., Bygave, L. A. ja Docksey, C., „Background and Evolution of the EU General Data Protection Regulation (GDPR)“, teoses Kuner, C., Bygrave, L. A., Docksey, C. ja Drechsler, L. (toim), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, lk 1–47), ei järginud nõukogu seda kavatsust isikuandmete kaitse üldmääruse põhjenduses 26, mille sõnastus on üle võetud määruse 2018/1725 põhjenduses 16.
(
24
)	Nagu märkis kohtujurist Campos Sánchez-Bordona kohtuasjas Breyer esitatud ettepaneku (C‑582/14, EU:C:2016:339) punktides 64–67: „[k]unagi ei saaks täie kindlusega välistada võimalust, et võib leiduda keegi, kellel on lisaandmeid, mida saab selle teabega kombineerida ja mille abil saab järelikult isiku samasust kindlaks teha. […] Arvan siiski, et sellest – pealegi igati põhjendatud – hoolest kantuna ei tohi eirata õigusnormides seadusandja väljendatud tahet ja et [määruse 2018/1725 põhjenduse 16] süstemaatiline tõlgendamine taandub „vahenditele, mida võivad tõenäoliselt kasutada“teatavad kolmandad isikud“.
(
25
)	Näiteks on kohtuotsuses Breyer dünaamiline IP-aadress elektrooniliste teabe- ja sideteenuste pakkuja käes, isegi kui see on eraldatud internetiühenduse pakkuja valduses olevatest identimisandmetest, kvalifitseeritud „isikuandmeteks“, kui elektrooniliste teabe- ja sideteenuste pakkuja käsutuses olid vahendid, mida oli mõistlikult võimalik kasutada selle IP-aadressi andmesubjekti tuvastamiseks. Samamoodi 9. novembri 2023. aasta kohtuotsuses Gesamtverband Autoteile-Handel (sõidukiandmete kättesaadavus) (C‑319/22, EU:C:2023:837) oli kõne all sõiduki VIN-kood, mis oli määratletud kui tähtnumbriline kood, mille oli tootja sõidukile andnud, et tagada sõiduki nõuetekohane identifitseerimine. Kuigi VIN-kood ei ole iseenesest isiklik, omandab see sellise iseloomu igaühe suhtes, kellel on mõistlikult vahendeid, mis võimaldavad seda koodi seostada konkreetse isikuga (punkt 46) ja seega seostada seda tuvastatud või tuvastatava füüsilise isikuga (punkt 49). Ka Euroopa Pettustevastase Ameti (OLAF) pressiteade, mis sisaldab identifitseerimistunnuseid, mis võimaldavad hagejat tuvastada kas selle pressiteate lihtsa objektiivse lugemise või vahendite abil, mida võib üks selle lugejatest „mõistlikult kasutada“, kujutab endast isikuandmeid (7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215). Samamoodi oli 7. märtsi 2024. aasta kohtuotsuses IAB Europe (C‑604/22, EU:C:2024:214) digitaalse reklaami- ja turundussektori ettevõtjaid esindav ühendus IAB kehtestanud raamistiku veebisaitide kasutajate eelistuste registreerimiseks, mis on kodeeritud TC‑stringi (tähtede ja märkide kombinatsioon) abil. Seda TC‑stringi käsitati isikuandmetena, kuna koos identifikaatoriga võimaldab see identifitseerida asjaomase internetikasutaja, sealhulgas IAB jaoks, kellel puuduvad identifitseerimisandmed, kuid kellel on neile mõistlike vahendite abil kaudselt juurdepääs (kohtuotsuse punktid 48–50).
(
26
)	Kohtuotsuse Breyer punktist 46 tuleneb, et nii oleks see juhul, kui andmesubjekti tuvastamine oleks seadusega keelatud või praktikas teostamatu, näiteks seetõttu, et see nõuaks nii ajaliselt, majanduslikult kui ka inimressursside poolest ülemäärast jõupingutust.
(
27
)	Võib viidata näiteks määruse 2018/1725 artiklis 18 sätestatud isikuandmete parandamise õigusest tulenevatele kohustustele.
(
28
)	Vt analoogia alusel 29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629, punkt 104 ja seal viidatud kohtupraktika). Vt ka kohtujurist Szpunari ettepanek kohtuasjas Association Mousse (C‑394/23, EU:C:2024:610, punkt 58).
(
29
)	Vt analoogia alusel 1. oktoobri 2015. aasta kohtuotsus Bara jt (C‑201/14, EU:C:2015:638, punkt 34); 1. oktoobri 2019. aasta kohtuotsus Planet49 (C‑673/17, EU:C:2019:801, punkt 77) ja 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi) (C‑757/22, EU:C:2024:598, punkt 57). Määruse 2018/1725 põhjenduses 36 on lisaks täpsustatud, et „[k]ui isikuandmeid võib õiguspäraselt avaldada muule vastuvõtjale, tuleks andmesubjekti sellest teavitada andmete esmakordsel avaldamisel [nimetatud vastuvõtjale]“. Teisisõnu, kui tegemist on uue asjaoluga, tuleb andmesubjekte sellest teavitada enne „edasist töötlemist“ (vt selle kohta analoogia alusel 27. aprilli 2022. aasta kohtuotsus Roos jt vs. parlament, T‑710/21, T‑722/21 ja T‑723/21, EU:T:2022:262, punkt 171).
(
30
)	Vt analoogia alusel 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi) (C‑757/22, EU:C:2024:598, punkt 60) ja kohtujurist Richard de la Touri ettepanek samas kohtuasjas (EU:C:2024:88), punkt 47. Vt ka määruse 2018/1725 artikli 14 lõige 1, milles on sätestatud, et „[v]astutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 15 ja 16 osutatud teave ning teavitada teda […] isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt […]“.
(
31
)	Kui tuvastatakse, et seda lähenemist ei ole menetlusdokumentides selliselt käsitletud, märgin, et lisaks sellele, et sellele viidati kohtuistungil Euroopa Kohtus, kuulub see lähenemisviis käesoleva vaidluse raamesse, kuna selle eesmärk on teha kindlaks käesolevas asjas kõne all oleva teavitamiskohustuse suhtes asjakohane seisukoht. Kuigi otsus tuleb teha üksnes vaidluse raamistiku piiritlemise eest vastutavate poolte nõuete osas, ei pea kohus piirduma üksnes argumentidega, mille on pooled oma väidete toetuseks esitanud, kuna vastasel korral võib ta sattuda olukorda, kus ta on sunnitud oma otsuses tuginema vääratele õiguslikele kaalutlustele (vt 21. septembri 2010. aasta kohtuotsus Rootsi jt vs. API ja komisjon, C‑514/07 P, C‑528/07 P ja C‑532/07 P, EU:C:2010:541, punkt 65 ja seal viidatud kohtupraktika).
(
32
)	Vt käesoleva ettepaneku punkt 69.
(
33
)	Teadva nõusoleku andmiseks vajaliku eelneva teavitamise kohta vt 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi) (C‑757/22, EU:C:2024:598, punkt 60).
(
34
)	Vt 7. joonealune märkus käesoleva ettepaneku punktis 12.
(
35
)	Vt vaidlustatud kohtuotsuse punkt 13 jj. Vt ka kriisilahendusnõukogu vastused küsimustele kohtuistungil.
(
36
)	Selle kohta, et see teave on kokkuvõtlik, läbipaistev, arusaadav ja lihtsasti kättesaadav ning selges ja lihtsas sõnastuses, vt määruse 2018/1725 artikli 14 lõige 1. Vt ka artikli 29 alusel asutatud töörühma „Suunised määruse 2016/679 kohase läbipaistvuse kohta“, 11.4.2018, WP 260, vers. 01, punkt 30: „Kui teabe muutmine muudab oluliselt töötlemise laadi (nt vastuvõtjate kategooriate laiendamine või andmete edastamine kolmandasse riiki) või kui tegemist on muudatusega, mis ei pruugi olla töötlemistoimingu jaoks oluline, kuid võib olla andmesubjekti jaoks oluline ja mõjutada andmesubjekti, tuleks teave anda andmesubjektile aegsasti enne muudatuse tegemist ning andmesubjekti teavitamise meetod peaks olema selge ja tõhus. Eesmärk on tagada, et andmesubjekt ei jääks muudatusest „ilma“, ja anda talle piisavalt aega, et ta saaks a) hinnata muudatuse laadi ja mõju ning b) kasutada seoses muudatusega oma isikuandmete kaitse üldmäärusest tulenevaid õigusi (nt võtta nõusolek tagasi või esitada töötlemisele vastuväiteid).“
(
37
)	Vt eelkõige 29. veebruari 2024. aasta kohtuotsus Euranimi vs. komisjon (C‑95/23 P, ei avaldata, EU:C:2024:177, punkt 53).
(
38
)	Vt 25. jaanuari 2022. aasta kohtuotsus komisjon vs. European Food jt (C‑638/19 P, EU:C:2022:50, punkt 77 ja seal viidatud kohtupraktika).
(
39
)	Vt selle kohta eelkõige 4. mai 2023. aasta kohtuotsus Bundesrepublik Deutschland (kohtu elektrooniline postkast) (C‑60/22, EU:C:2023:373, punkt 53 ja seal viidatud kohtupraktika). Vt vastutaval töötlejal lasuva andmete töötlemiseks antud nõusoleku tõendamise kohustuse kohta ka 11. novembri 2020. aasta kohtuotsus Orange Romania (C‑61/19, EU:C:2020:901, punkt 52).
(
40
)	Vt analoogia alusel isikuandmete kaitse üldmäärusel põhineva kahju hüvitamise hagiga seoses 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn (C‑687/21, EU:C:2024:72, punktid 43‑45): asjaomasel vastutaval töötlejal on kohustus tõendada võetud turvameetmete asjakohasust ja asja menetlev kohus peab arvesse võtma kõiki tõendeid, mille on vastutav töötleja esitanud, et tõendada oma kohustuste täitmiseks võetud tehniliste ja korralduslike meetmete asjakohasust. Kuid ainuüksi asjaolust, et vastutava töötleja töötajad andsid isikuandmeid sisaldava dokumendi ekslikult üle volitamata kolmandale isikule, ei piisa, et asuda seisukohale, et vastutava töötleja võetud tehnilised ja korralduslikud meetmed ei olnud „asjakohased“.
(
41
)	Vt käesoleva ettepaneku punktid 59 ja 60.
(
42
)	Vt selle kohta komisjoni võrdlus riigiabiõigusega 12. oktoobri 2023. aasta kohtuotsuses Larko vs. komisjon (C‑445/22 P, EU:C:2023:773, punkt 29); samamoodi nagu konkreetse meetme riigiabiks kvalifitseerimine on eeltingimus selleks, et see meede kuuluks komisjoni pädevusse, et tagada ELTL artiklite 107 ja 108 rakendamine, on siin „isikuandmeteks“ kvalifitseerimine eeltingimus selleks, et kohaldada määrust 2018/1725 ja et andmekaitseinspektor oleks pädev (vt selle määruse artikli 52 lõige 3).