62022TO0578_RES
Kohtuasi T‑578/22
Euroopa Andmekaitseinspektor
versus
Euroopa ParlamentjaEuroopa Liidu Nõukogu
Üldkohtu (esimene koda laiendatud koosseisus) 6. septembri 2023. aasta määrus
Tühistamishagi – Institutsiooniline õigus – Isikuandmete töötlemine Europolis – Määrus (EL) 2016/794 – Euroopa Andmekaitseinspektori institutsioonilised õigused – Õigus esitada hagi – Osaliselt vastuvõetamatu ja osaliselt ilmselgelt vastuvõetamatu hagi
Tühistamishagi – Liidu kohtu pädevus – Liidu organi esitatud hagi – Euroopa Andmekaitseinspektori esitatud hagi – Oma institutsiooniliste õiguste kaitseks hagi esitamise õigus, millele on selle hagi põhjendamiseks tuginetud
(ELTL artikkel 263; Euroopa Parlamendi ja nõukogu määrus nr 45/2001, artikli 41 lõige 1)
(vt punktid 26–36)
Tühistamishagi – Füüsilised või juriidilised isikud – Põhjendatud huvi – Õigus esitada hagi – Euroopa Andmekaitseinspektori esitatud hagi – Oma institutsiooniliste õiguste kaitseks hagi esitamise õigus – Puudumine – Hagi esitamise õiguse ja põhjendatud huvi tõendamisest sõltuv vastuvõetavus
(ELTL artikli 263 neljas lõik)
(vt punktid 41–48 ja 54–57)
Tühistamishagi – Õigus esitada hagi – Juriidilised isikud – Mõiste – Euroopa Andmekaitseinspektor – Liidu organ – Hõlmamine – Tingimused
(ELTL artikli 263 neljas lõik)
(vt punktid 60–65)
Tühistamishagi – Füüsilised või juriidilised isikud – Neid otseselt ja isiklikult puudutavad aktid – Europoli poolt isikuandmete töötlemist käsitlevad sätted – Euroopa Andmekaitseinspektori poolt Europoli suhtes tehtud otsus – Nende sätete mõju puudumine kõnealusele otsusele ja Euroopa Andmekaitseinspektori pädevusele – Otsese puutumuse puudumine – Vastuvõetamatus
(ELTL artikli 16 lõige 2 ja artikli 263 neljas lõik; Euroopa Parlamendi ja nõukogu määrus 2016/794, muudetud määrusega 2022/991, artiklid 74a ja 74b)
(vt punktid 66, 68–76, 78–82, 84 ja 85)
Kokkuvõte
Pärast omal algatusel teostatud uurimist võttis Euroopa Andmekaitseinspektor 3. jaanuaril 2022 vastu Euroopa Liidu Õiguskaitsekoostöö Ametit (Europol) puudutava otsuse (
1
). Selle otsusega pani Euroopa Andmekaitseinspektor Europolile sisuliselt kohustuse jagada alates 4. jaanuarist 2022 saadud andmete puhul andmesubjektid kategooriatesse kuue kuu jooksul alates andmete saamisest ning otsuse kuupäeva seisuga olemas olevate andmekogumite puhul 12 kuu jooksul, kusjuures nende tähtaegade möödumisel oli Europol kohustatud nimetatud andmed kustutama.
Euroopa Parlament ja nõukogu võtsid 8. juunil 2022 vastu muudetud Europoli määruse (
2
). Nimetatud määruses olid kahe üleminekusättega (
3
) sisuliselt ette nähtud tingimused, millistel Europol jagab kindlaksmääratud tähtaja jooksul kategooriatesse muudetud Europoli määruse jõustumise ajal tema valduses olevad andmekogumid, ning täpsustatud olid tingimused ja menetlused, millistel on lubatud käimasoleva kriminaaluurimise toetamiseks töödelda isikuandmeid, mis ei puuduta muudetud Europoli määruse II lisas loetletud andmesubjektide kategooriaid ja mis on saadetud Europolile enne 28. juunit 2022.
Euroopa Andmekaitseinspektor leidis, et nende sätetega on rikutud tema kui järelevalveasutuse sõltumatust ja volitusi, kuna need sätted seadustavad tagasiulatuvalt vaidlusaluste Europoli andmete säilitamise praktika ja tühistavad de facto3. jaanuari 2022. aasta otsuse. Seetõttu palus ta ELTL artikli 263 alusel Üldkohtult nende sätete tühistamist. Euroopa Andmekaitseinspektor väitis, et tema õigus esitada hagi on põhjendatud vajadusega kasutada õiguskaitsevahendit selleks, et kaitsta oma institutsioonilisi õigusi, eelkõige oma sõltumatust järelevalveasutusena.
Kõnealuses asjas menetles Üldkohus esimest korda Euroopa Andmekaitseinspektori esitatud tühistamishagi nõukogu ja parlamendi seadusandliku akti peale, mistõttu tõstatusid muu hulgas küsimused, kas Üldkohus on pädev seda hagi menetlema, kas kõnealuses asjas võib analoogia alusel kohaldada kohtuotsust parlament vs. nõukogu (C‑70/88) (
4
) ning kas Euroopa Andmekaitseinspektor, kes on samastatud juriidilise isikuga ELTL artikli 263 neljanda lõigu tähenduses, on otseselt puudutatud.
Üldkohtu hinnang
Esimesena kontrollis Üldkohus, kas Euroopa Andmekaitseinspektori hagi lahendamine on tema pädevuses, ning täheldas kõigepealt, et Euroopa Andmekaitseinspektor ei kuulu ELTL artikli 263 (
5
) teises ja kolmandas lõigus nimetatud hagejate hulka ning teda ei ole ka ELL artikli 13 lõikes 1 (
6
) esitatud institutsioonide loetelus. Seejärel märkis Üldkohus, et kuigi ELTL artikli 263 esimene lõik viitab sõnaselgelt liidu organitele ja asutustele nende aktide vastuvõtjate loetelus, mille õiguspärasust saab tühistamishagi raames vaidlustada, ei ole see nii ELTL artikli 263 teise ja kolmanda lõigu puhul. Ta täpsustas, et kuigi Euroopa Andmekaitseinspektori kui sõltumatu järelevalveasutuse staatust on tunnustatud EL toimimise lepingus ja hartas (
7
), on ta liidu organina siiski asutatud teisese õiguse aktiga (
8
), mitte esmase õiguse aktiga. Seega, kuigi Euroopa Andmekaitseinspektor on liidu eristaatusega organ, ei ole ta liidu institutsioon ning igal juhul ei saa teda pidada ELTL artikli 263 teises ja kolmandas lõigus nimetatud hagejate hulka kuuluvaks. Lõpuks jõudis Üldkohus järeldusele, et ta on pädev hagi lahendama, sest Euroopa Kohtu ainupädevusse kuuluvad ELTL artiklis 263 osutatud hagid, mille on esitanud seadusandliku akti peale muu hulgas liidu institutsioon (
9
), ning kuna Euroopa Andmekaitseinspektor ei ole ei institutsioon ega hageja, kellele on osutatud ELTL artikli 263 teises ja kolmandas lõigus.
Teisena analüüsis Üldkohus, kas Euroopa Andmekaitseinspektoril oli õigus esitada hagi kohtuotsusest parlament vs. nõukogu (C‑70/88) tuleneva kohtupraktika kohaselt. Üldkohus märkis, et selles kohtuotsuses, millele Euroopa Andmekaitseinspektor tugines, et põhjendada oma erilist õigust esitada oma institutsiooniliste õiguste kaitseks hagi, leidis Euroopa Kohus, et parlamendil ei ole mingit võimalust vaidlustada liidu kohtutes teiste institutsioonide vastu võetud akte, mis võivad kahjustada tema enda õigusi, ning otsustas selle lünga täita institutsioonidevahelise tasakaalu üldpõhimõtet kasutades. Seevastu Euroopa Andmekaitseinspektor võib esitada tühistamishagi ELTL artikli 263 neljanda lõigu alusel, sest ta on liidu teisese õiguse aktiga loodud organ, mille võib samastada juriidilise isikuga. Ühtlasi täpsustas Üldkohus, et kuigi Euroopa Andmekaitseinspektoril on eristaatus, mida on tunnustatud nii EL toimimise lepingus kui ka hartas, ning kuigi sõltumatute järelevalveasutuste loomine on üksikisikute kaitse oluline element seoses isikuandmete kaitsega, ei piira sõltumatus, milles Euroopa Andmekaitseinspektor peab oma ülesandeid praktikas täitma, liidu seadusandja pädevust (
10
). Järelikult on Euroopa Andmekaitseinspektor kohustatud oma ülesandeid täitma ja pädevust rakendama täiesti sõltumatult ning liidu institutsioonides, organites ja asutustes isikuandmete töötlemisel füüsiliste isikute kaitset käsitlevate eeskirjade täitmist tuleb tal kontrollida parlamendi ja nõukogu ühiselt vastuvõetud seadusandlike aktide raames ja nendega kooskõlas. Üldkohus järeldas, et kohtuotsust parlament vs. nõukogu (C‑70/88) ei saa analoogia alusel Euroopa Andmekaitseinspektori olukorra suhtes kohaldada ning Euroopa Andmekaitseinspektoril ei ole selle kohtuotsuse põhjal hagi esitamise õigust ja teda tuleb pidada hagejaks, kes peab vastama ELTL artikli 263 neljandas lõigus ette nähtud vastuvõetavuse tingimustele.
Kolmandana analüüsis Üldkohus seoses Euroopa Andmekaitseinspektori hagi esitamise õigusega ELTL artikli 263 neljanda lõigu alusel kõigepealt seda, kas Euroopa Andmekaitseinspektorit kui liidu organit võib samastada juriidilise isikuga selle artikli tähenduses. Ta märkis, et selle sätte tõhusa kohtuliku kontrolli ja õigusriigi põhimõtetest lähtuva tõlgenduse kohaselt on Euroopa Andmekaitseinspektoril liidu organina õigus esitada hagi „juriidilise isikuna“ vaidlustatud sätete tühistamiseks tingimusel, et need sätted puudutavad teda selle artikli tähenduses otseselt ja isiklikult. Niisuguse juriidilise isiku õigusi või huve võib liidu akt negatiivselt mõjutada sama tõenäoliselt kui muu isiku või üksuse puhul ning seega peab tal olema võimalik neid tingimusi järgides esitada hagi sellise akti tühistamiseks.
Seoses tingimusega, et juriidiline isik peab olema otseselt puudutatud, meenutas Üldkohus, et selle kohaselt peavad olema korraga täidetud kaks kriteeriumi. Mis puudutab esiteks tingimust seoses vaidlustatud sätete mõjuga Euroopa Andmekaitseinspektori õiguslikule olukorrale, siis märkis Üldkohus, et Euroopa Andmekaitseinspektori ülesanne on jälgida asjakohaste isikuandmete kaitse sätete kohaldamist liidu institutsioonides, organites ja asutustes (
11
). Kõnealuses asjas muutsid vaidlustatud sätted esialgset Europoli määrust ja ei mõjutanud Euroopa Andmekaitseinspektorile liidu õigusaktidega antud ülesannete laadi või ulatust. Kuigi on tõsi, et muudeti õiguslikku regulatsiooni, mida Euroopa Andmekaitseinspektor peab kontrollima, ei muudetud tema pädevust, sest ei muudetud viisi, kuidas ta saab seda pädevust seaduslikult teostada. Seega ei puudutanud vaidlustatud sätted Euroopa Andmekaitseinspektorit otseselt, kuna need sätted ei mõjutanud tema õigusi, kohustusi ega pädevust. Mis puudutab vaidlustatud sätete mõju 3. jaanuari 2022. aasta otsusele, siis täpsustas Üldkohus, et tegemist on haldusotsusega, mis ei avalda mõju sellistele seadusandlikele aktidele nagu muudetud Europoli määrus ega mõjuta nende sisu.
Teiseks, seoses kriteeriumiga, mis puudutab vaidlustatud sätete rakendamise eest vastutavate adressaatide kaalutlusruumi, märkis Üldkohus, et kõnealused sätted jätavad Europolile teatava kaalutlusruumi. Need ei ole seega puhtautomaatsed ega tulene üksnes liidu õigusnormidest Euroopa Andmekaitseinspektori suhtes, ilma et kohaldataks muid vahenorme.
Kuna vaidlustatud sätted ei mõjutanud otseselt Euroopa Andmekaitseinspektori õiguslikku olukorda ning arvestades seda, et akt, mille tühistamist taotleti, peab korraga puudutama nii otseselt kui ka isiklikult, järeldas Üldkohus, et hagi on vastuvõetamatu.
(
1
)	Euroopa Parlamendi ja nõukogu 11. mai 2016. aasta määruse (EL) 2016/794, mis käsitleb Euroopa Liidu Õiguskaitsekoostöö Ametit (Europol) ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsused 2009/371/JSK, 2009/934/JSK, 2009/935/JSK, 2009/936/JSK ja 2009/968/JSK (ELT 2016, L 135, lk 53; edaspidi „esialgne Europoli määrus“), artikli 43 lõike 3 punkti e alusel.
(
2
)	Euroopa Parlamendi ja nõukogu 8. juuni 2022. aasta määrus (EL) 2022/991, millega muudetakse määrust (EL) 2016/794 selles osas, mis puudutab Europoli koostööd eraõiguslike isikutega, Europolis isikuandmete töötlemist kriminaaluurimiste toetamiseks ning Europoli rolli teadusuuringute ja innovatsiooni valdkonnas (ELT 2022, L 169, lk 1; edaspidi „muudetud Europoli määrus“).
(
3
)	Muudetud Europoli määruse artiklid 74a ja 74b (edaspidi „vaidlustatud sätted“).
(
4
)	22. mai 1990. aasta kohtuotsus parlament vs. nõukogu (C‑70/88, EU:C:1990:217).
(
5
)	Selle sätte alusel võivad Euroopa Kohtule hagi esitada esiteks liikmesriik, parlament, nõukogu või komisjon ja teiseks kontrollikoda, Euroopa Keskpank (EKP) ja regioonide komitee.
(
6
)	Selles sättes nimetatud seitse institutsiooni on: parlament, Euroopa Ülemkogu, nõukogu, komisjon, Euroopa Liidu Kohus, Euroopa Keskpank ja kontrollikoda.
(
7
)	ELTL artikli 16 lõike 2 ja Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõike 3 kohaselt kontrollivad liidu institutsioonides, organites ja asutustes isikuandmete töötlemisel füüsiliste isikute kaitset käsitlevate eeskirjade täitmist sõltumatud asutused.
(
8
)	Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määruse (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (EÜT 2001, L 8, lk 1; ELT eriväljaanne 13/26, lk 102) artikli 41 lõige 1.
(
9
)	Euroopa Liidu Kohtu põhikirja artikli 51 punkti b alusel.
(
10
)	Nagu on ette nähtud ELL artikli 14 lõikes 1 ja artikli 16 lõikes 1.
(
11
)	Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määruse (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT 2018, L 295, lk 39), artikli 1 lõike 3 ja esialgse Europoli määruse artikli 43 lõike 1 alusel.