62022CC0231
KOHTUJURISTI ETTEPANEK
LAILA MEDINA
esitatud 8. juunil 2023 (
1
)
Kohtuasi C‑231/22
État belge
versus
Autorité de protection des données,
menetluses osales:
LM
(eelotsusetaotlus, mille on esitanud Cour d’appel de Bruxelles (Brüsseli apellatsioonikohus, Belgia))
Eelotsusetaotlus – Määrus (EL) 2016/679 – Artikli 4 punktid 7 ja 8 – Isikuandmete töötlemine – Mõisted „vastutav töötleja“ ja „volitatud töötleja“ – Isikuandmete töötlemise eesmärgi ja vahendite kindlaksmääramine – Riigisiseses õiguses vastutava töötleja määramise kohustus – Ametlik väljaanne – Notari koostatud äriühinguõigusliku akti avaldamine – Tagasivõtmise taotlus – Kaalutlusõigus – Muutmiskeelu põhimõte – Artikli 5 lõige 2 – Järgnevad vastutavad töötlejad – Eri üksuste eri kohustused
1.
Acta diurna olid Vana-Rooma igapäevased ametlikud teadaanded, mis pandi kivisse või metalli graveeritult välja avalikes kohtades, näiteks Rooma foorumil. Digiajastul võivad aga riigi ametiasutused seista vastamisi küsimusega, kas riigi ametlikus väljaandes avaldatud andmed on samuti – kujundlikult väljendudes – kivisse raiutud või kas neid võib ka kustutada või muuta.
2.
Põhikohtuasja aluseks on andmete avaldamine ametlikke dokumente paberkandjal ja elektrooniliselt publitseeriva Belgia ametliku väljaande Moniteur belge poolt.
3.
Põhikohtuasja pooled on État belge (Belgia riik) ja Autorité de protection des données (andmekaitseasutus, Belgia; edaspidi „andmekaitseasutus“). Olles märganud, et notari poolt tõestatud äriühingu otsuse lõik, mis sisaldas lisaks Belgia õiguses nõutavatele andmetele füüsilise isiku isikuandmeid, oli avaldatud ekslikult, palus notari andmekaitseametnik Moniteur belge’il need andmed kustutada. Service Public Fédéral Justice (Belgia föderaalne justiitsministeerium; edaspidi „justiitsministeerium“), kes on Moniteur belge’i haldav asutus, jättis aga selle taotluse rahuldamata.
4.
Neil asjaoludel on Cour d’appel de Bruxelles’i (Brüsseli apellatsioonikohus, Belgia) eelotsusetaotluses esitatud küsimuste ulatus üsna kitsas. Eelotsusetaotluse esitanud kohus küsib sisuliselt, kas Moniteur belge’i või justiitsministeeriumi tuleb pidada „vastutavaks töötlejaks“ määruse (EL) 2016/679 (
2
) (edaspidi „isikuandmete kaitse üldmäärus“) artikli 4 punkti 7 tähenduses. Kui vastus sellele küsimusele on jaatav, küsib eelotsusetaotluse esitanud kohus ka seda, millised on vastutava töötleja kohustuste piirid, kui töötlemine toimub järjestikuste üksuste poolt.
I. Õiguslik raamistik
A.
Euroopa Liidu õigus
5.
Isikuandmete kaitse üldmääruse I peatükis „Üldsätted“ sisalduvas artiklis 4 on määratletud eelkõige järgmised mõisted: „isikuandmed“, „töötlemine“, „vastutav töötleja“ ja „volitatud töötleja“.
6.
Käesoleval juhul on asjakohased ka isikuandmete kaitse üldmääruse artiklid 5, 6, 17 ja 26.
B.
Liikmesriigi õigus
1. Äriühinguseadustik
7.
7. mai 1999. aasta seaduse äriühinguseadustiku kohta (Loi du 7 mai 1999 contenant le Code des sociétés; (
3
) edaspidi „äriühinguseadustik“) artikli 67 lõigetes 1 ja 2 oli sätestatud:
„(1)   Ametlike dokumentide tõestatud ärakirjad, eradokumentide duplikaadid või originaalid ja elektroonilised või mitteelektroonilised väljavõtted, mille esitamine või avaldamine on järgmistes artiklites ette nähtud, esitatakse selle kaubanduskohtu kantseleile, kelle tööpiirkonnas on äriühingu registrijärgne asukoht.
[…]
(2)   Esitatud dokumente hoitakse selles kantseleis iga äriühingu kohta peetavas toimikus ja kõnealused äriühingud kantakse juriidiliste isikute registrisse Banque-Carrefour des Entreprises [keskne ettevõtjate andmepank].“
8.
Seadustiku artiklis 71 oli sätestatud:
„Äriühingute dokumentide väljavõtteid allkirjastavad ametlike dokumentide puhul notarid ja eradokumentide puhul kõik osanikud või üks osanik, kellele teised on andnud erivolituse.“
9.
Selle seadustiku artiklis 73 oli sätestatud:
„Avaldamine toimub Moniteur belge’i lisades viieteistkümne päeva jooksul pärast dokumendi esitamist ning avaldamata jätmise või hilinemise korral hüvitavad avaldamise eest vastutavad ametnikud sellega tekitatud kahju.
[…]“
10.
Selle seadustiku artikli 74 lõikes 1 oli sätestatud:
„Vastavalt eelnevatele artiklitele esitatakse ja avaldatakse järgmised dokumendid:
1) dokumendid, millega muudetakse andmeid, mille avaldamine on käesoleva seadustiku kohaselt nõutav;“.
2. 30. jaanuari 2001. aasta kuninglik dekreet
11.
30. jaanuari 2001. aasta kuningliku dekreedi, millega rakendatakse äriühinguseadustik (Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés), (
4
) artiklis 1 oli sätestatud:
„[…] kõik aktid, aktide väljavõtted, protokollid ja dokumendid, mille avalikustamine on ette nähtud äriseadustikuga, esitatakse vastava kaubanduskohtu kantseleisse […]“.
12.
Selle kuningliku dekreedi artiklis 11 oli sätestatud:
„(1)   Aktid, aktide väljavõtted ja dokumendid, mis kuuluvad avaldamisele Moniteur belge’i lisades, esitatakse kantseleisse koos ühe ärakirjaga. […]
(2)   Kõik paberdokumendid peavad vastama järgmistele tingimustele:
[…]
6)
allkirjastatud dokumendi kinnitanud notari poolt või juriidilist isikut suhetes kolmandate isikutega esindama volitatud isikute poolt, märkides allakirjutanute nimed ja rollid;
[…].
(3)   Äriühinguseadustiku artiklites 67, 68, 74 […] nimetatud dokumentide ärakirjad, dokumentide väljavõtted ja dokumendid […], mis on ette nähtud Moniteur belge’i jaoks, esitatakse ilma paranduste või redigeerimiseta. […]
[…]“.
13.
Kuningliku dekreedi artikkel 14 oli sõnastatud järgmiselt:
„Kantselei edastab hiljemalt teisel tööpäeval pärast talle esitamist Moniteur belge’i direktoraadile aktide ärakirjad ning aktide ja dokumentide väljavõtted […], mis kuuluvad avaldamisele Moniteur belge’i lisades.“
14.
Selle kuningliku dekreedi artiklis 16 oli sätestatud:
„Kui on ette nähtud avaldamine, tehakse seda Moniteur belge’i lisades seaduses sätestatud tähtaja jooksul.“
3. 24. detsembri 2002. aasta I programmseadus
15.
24. detsembri 2002. aasta programmseaduse (Loi-programme du 24 décembre 2002) (
5
) artiklis 472 on sätestatud:
„Moniteur belge on ametlik väljaanne, mida annab välja Moniteur belge’i direktoraat ja mis sisaldab kõiki tekste, mis on ette nähtud avaldamiseks Moniteur belge’is.“
16.
Programmseaduse artiklis 474 on sätestatud:
„Moniteur belge’i direktoraat avaldab väljaandes Moniteur belge avaldatavad tekstid paberkandjale trükitud kujul kolmes eksemplaris.
[…]
Üks eksemplar salvestatakse elektrooniliselt. Kuningas määrab kindlaks elektroonilise säilitamise korra […]“.
17.
Sama programmseaduse artikkel 475 on sõnastatud järgmiselt:
„Muul viisil üldsusele kättesaadavaks tegemine toimub Moniteur belge’i direktoraadi veebisaidi kaudu.
Sellel veebilehel kättesaadavaks tehtud väljaanded on artiklis 474 ette nähtud pabereksemplaride täpsed elektroonilises vormis reproduktsioonid.“
18.
24. detsembri 2002. aasta programmseaduse artiklis 475bis on sätestatud:
„Iga kodanik võib saada Moniteur belge’is avaldatud akti ja dokumendi koopia omahinnaga Moniteur belge’ilt tasuta abitelefoni kaudu. See teenistus pakub ühtlasi kodanikele dokumendiotsingu abiteenust.“
19.
Programmseaduse artiklis 475ter on sätestatud:
„Ministrite nõukogus arutatava kuningliku dekreediga kehtestatakse täiendavad meetmed, et tagada Moniteur belge’is sisalduva teabe võimalikult laialdane levik ja kättesaadavus.“
II. Faktilised asjaolud, menetlus ja eelotsuse küsimused
20.
LM on Belgia osaühingu Bureau LM enamusaktsionär.
21.
23. jaanuaril 2019 otsustas nimetatud äriühingu üldkoosolek vähendada ühingu osakapitali, muutes selleks äriühingu põhikirja.
22.
Kooskõlas avalikustamist reguleerivate õigusnormidega tegi notar väljavõtte. Notar saatis selle 12. veebruaril 2019 Tribunal de l’entreprise néerlandophone de Bruxelles’i (Brüsseli hollandikeelne kaubanduskohus, Belgia) kantseleisse ametlikuks avaldamiseks Moniteur belge’is.
23.
See väljavõte avaldati 22. veebruaril 2019Moniteur belge’i lisades. Eelkõige sisaldas see otsustust vähendada äriühingu kapitali, algkapitali suurust, vähendamise summat, osakapitali uut suurust ja põhikirja uut teksti. Lisaks seaduses ette nähtud teabele sisaldas vaidlusalune väljavõte äriühingu kahe osaniku nimesid, neile tagasi makstud summasid ja nende pangakontode numbreid (edaspidi „vaidlusalune lõik“), mille avaldamine ei olnud seadusega nõutav.
24.
Olles märganud, et notar oli lisanud vaidlusaluse lõigu avaldatud väljavõttesse ekslikult, palus notari andmekaitseametnik isikuandmete kaitse üldmääruse artiklile 17 viidates justiitsministeeriumil vaidlusalune lõik kustutada ja avaldada väljavõte uuesti, seekord ilma selle lõiguta.
25.
Justiitsministeerium keeldus 10. aprillil 2019 seda taotlust rahuldamast (
6
) ja tegi ettepaneku avaldada uus väljavõte, milles vaidlusalune lõik on kustutatud, ning jätta algne, 22. veebruaril 2019 avaldatud tekst muutmata.
26.
21. jaanuaril 2020 esitas LM, üks asjaomase äriühingu kahest osanikust, andmekaitseasutusele kaebuse Moniteur belge’i (justiitsministeeriumi) vastu seoses isikuandmete kaitse üldmääruse artikli 5 (võimalikult väheste andmete kogumine), artikli 6 (isikuandmete töötlemine) ja artikli 17 (õigus andmete kustutamisele) väidetava rikkumisega.
27.
Andmekaitseasutus rahuldas 23. märtsi 2021. aasta otsusega kaebuse ja kohustas sisuliselt vaidlusaluse lõigu kustutama.
28.
22. aprillil 2021 esitas Belgia riik nimetatud otsuse peale kaebuse Cour d’appel de Bruxelles’ile (Brüsseli apellatsioonikohus), kes on eelotsusetaotluse esitanud kohus, paludes otsuse tühistamist. LM astus sellesse menetlusse.
29.
Eelotsusetaotluse esitanud kohus märgib, et pooled on eriarvamusel küsimuses, kuidas tuleb tõlgendada isikuandmete kaitse üldmääruse artikli 4 punktis 7 määratletud mõistet „vastutav töötleja“. Ta märgib, et pärast Tribunal de l’entreprise néerlandophone de Bruxelles’ilt (Brüsseli hollandikeelne kaubanduskohus) väljavõtte saamist avaldas Moniteur belge vastavalt oma staatust ja ülesandeid reguleerivatele õigusnormidele selle teksti muutmata kujul, omamata mingit kontrolli- või muutmispädevust. Eelkõige soovib eelotsusetaotluse esitanud kohus teada, kas iga võimalikku järjestikust üksust või ainult ühte neist tuleb pidada „vastutavaks töötlejaks“ selle artikli tähenduses ja seega vastavalt isikuandmete kaitse üldmääruse artikli 5 lõikele 2 vastutavaks selle määruse artikli 5 lõikes 1 sätestatud põhimõtete järgimise eest.
30.
Sellega seoses soovib nimetatud kohus teada, kas määrusest tuleneb selline järjestikuse või hilisema vastutuse mõiste. Seoses võimalusega, et Moniteur belge on andmete vastuvõtja isikuandmete kaitse üldmääruse artikli 4 punkti 9 tähenduses, on sel kohtul küsimus, kas see väljaanne võis omakorda olla „hilisem“ vastutav töötleja seoses kõnealuse isikuandmete töötlemisega. See aga ei näi nii olevat, kuna kohaldatava Belgia õiguse kohaselt ei ole Moniteur belge’i pädevuses seoses tema poolt isikuandmete töötlemisega kindlaks määrata selle töötlemise vahendeid ja eesmärke isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses.
31.
Neil asjaoludel on Cour d’appel de Bruxelles (Brüsseli apellatsioonikohus, Belgia) esitanud Euroopa Kohtule järgmised eelotsuse küsimused:
„1.
Kas isikuandmete kaitse üldmääruse artikli 4 punkti 7 tuleb tõlgendada nii, et liikmesriigi amet[lik väljaanne] – kellele on usaldatud avaliku teenuse ülesanne avaldada ja arhiveerida ametlikke dokumente ja kes kohaldatava liikmesriigi õiguse kohaselt vastutab ametlike aktide ja dokumentide avaldamise eest, mille avaldamiseks on andnud korralduse kolmandad avalik-õiguslikud asutused ja mis on neile edastatud pärast neis aktides sisalduvate isikuandmete töötlemist nende asutuste endi poolt, kusjuures see amet[lik väljaanne] ei ole saanud liikmesriigi seadusandjalt avaldatavate dokumentide sisu hindamise õigust ega otsustusõigust avaldamise eesmärgi ja vahendite osas – omab vastutava töötleja staatust?
2.
Kui vastus esimesele küsimusele on jaatav, siis kas isikuandmete kaitse üldmääruse artikli 5 lõiget 2 tuleb tõlgendada nii, et vaid see asjaomane amet[lik väljaanne] peab järgima vastutava töötleja kohustusi, mis tulenevad nimetatud sättest, välistades kolmandad avalik-õiguslikud asutused, kes on enne töödelnud andmeid, mis sisalduvad ametlikes aktides ja dokumentides, mille avaldamist nad taotlevad, või lasuvad need kohustused kumulatiivselt igal järjestikusel vastutaval töötlejal?“
32.
Kirjalikud seisukohad esitasid andmekaitseasutus, Belgia ja Ungari valitsus ning Euroopa Komisjon.
33.
23. märtsi 2023. aasta kohtuistungil osalesid Euroopa Kohtus andmekaitseasutus, Belgia valitsus ja komisjon.
III. Hinnang
A.
Esimene eelotsuse küsimus
34.
Esimese küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 4 punkti 7 tuleb tõlgendada nii, et liikmesriigi ametlik väljaanne on vastutav töötleja. Algatuseks pean esitama kaks märkust, mis puudutavad selle küsimuse sõnastust.
35.
Esiteks nähtub eelotsusetaotluse esitanud kohtu otsusest, et äriühinguseadustikus on sätestatud, et äriühingutel on õiguslik kohustus avaldada Moniteur belge’i lisades mitmesuguseid dokumente ja otsuseid. Nimetatud kohus märgib samuti, et Moniteur belge allub justiitsministeeriumile, ilma et seda oleks täpsemalt selgitatud. Kuna liikmesriigi asutuste pädevuse jaotust reguleerib riigisisene õigus, viitan käesolevas ettepanekus üksnes Moniteur belge’ile.
36.
Teiseks märgin, et eelotsusetaotluse esitanud kohus on lisanud oma küsimuses mõttekriipsude vahel oleva lõigu, mis näib selgitavat Belgia seadusandja poolt Moniteur
belge’ile antud pädevust.
37.
Järelikult võib selle küsimuse ümber sõnastada nii, et sellega soovitakse sisuliselt teada, kas sellist liikmesriigi ametlikku väljaannet nagu Moniteur belge, kellele on kohaldatavate riigisiseste õigusnormide kohaselt antud ülesanne avaldada ja arhiveerida ametlikke dokumente, võib pidada vastutavaks töötlejaks isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, kui nende dokumentide sellisel kujul avaldamise otsustavad kolmandad isikud, kes on ise töödelnud nendes dokumentides sisalduvaid isikuandmeid, ja ametlikul väljaandel puudub igasugune kaalutlusõigus avaldatavate dokumentide sisu või avaldamise eesmärgi ja vahendite suhtes.
38.
Sellele küsimusele vastamiseks pean kõigepealt märkima, et mõiste „vastutav töötleja“ on isikuandmete kaitse üldmääruse artikli 4 punktis 7 määratletud kui „füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses“. Sellest sättest koostoimes isikuandmete töötlemise põhimõtted sätestava artikli 5 lõikega 1 nähtub, et iga andmetöötluse etapp eeldab vastutava töötleja olemasolu. (
7
) Seega peaks isikuandmete töötlemisel alati olema vastutav töötleja, kes on „andmekaitseõiguse rakendamisel keskse tähtsusega“, (
8
) mistõttu on oluline kindlaks teha, kes on töötlemise igas etapis vastutav töötleja. (
9
) Mõiste „vastutav töötleja“ hõlmab nii füüsilisi kui ka juriidilisi isikuid, samuti avaliku sektori asutusi, ameteid või muid organeid. Siiski on selge, et üksuse liigitamine ei tekita käesolevas asjas mingeid raskusi.
39.
Enne kui pöörduda küsimuse tuuma juurde, milleks on mõiste „vastutav töötleja“ piiritlemine isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, pean oluliseks selgitada, kas käesolevas asjas vaidluse all olevad toimingud kujutavad endast isikuandmete töötlemist isikuandmete kaitse üldmääruse artikli 4 punktide 1 ja 2 tähenduses.
1. Mõisted „isikuandmed“ ja „töötlemine“
40.
Esiteks tuleb meenutada, et „isikuandmed“ isikuandmete kaitse üldmääruse artikli 4 punkti 1 tähenduses on „mis tahes teave tuvastatud või tuvastatava füüsilise isiku […] kohta“, kusjuures kohtupraktika kohaselt on see määratlus kohaldatav juhul, kui asjaomane teave on tema sisu, eesmärki või toimet arvestades seotud konkreetse isikuga. (
10
) Käesolevas asjas ei vaidle pooled vastu sellele, et vaidlusaluses lõigus sisalduvad andmed, nagu äriühingu kahe osaniku nimi ja pangakontonumbrid, kujutavad endast isikuandmeid. Minu arvates ei ole nendele osanikele tagasimakstud summad tingimata iseenesest isikuandmed. Neid summasid tuleb siiski pidada isikuandmeteks, kui neid kombineeritakse neid saanud isikute nimedega.
41.
Teiseks on isikuandmete kaitse üldmääruse artikli 4 punkti 2 kohaselt mõiste „töötlemine“ määratletud kui „isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum“, nagu muu hulgas isikuandmete „lugemine“, „kasutamine“, „edastamise teel avalikustamine“, „levitamine“ või „muul viisil kättesaadavaks tegemine“. Need määratlused peegeldavad asjaolu, et liidu seadusandja soovis anda neile kahele mõistele laia kohaldamisala. (
11
)
42.
Näiteks kohtuotsuses Google Spain leidis Euroopa Kohus, et otsingumootori tegevust, mis seisneb kolmandate isikute poolt internetis avaldatud või sinna lisatud teabe leidmises, automaatses indekseerimises, ajutises säilitamises ja lõpuks internetikasutajatele kättesaadavaks tegemises teatavas eelistusjärjekorras, tuleb pidada „isikuandmete töötlemiseks“ direktiivi 95/46/EÜ (
12
) artikli 2 punkti b – mis sisuliselt vastab isikuandmete kaitse üldmääruse artikli 4 punktile 2 – tähenduses, kui see teave sisaldab „isikuandmeid“. (
13
) Lisaks leidis Euroopa Kohus kohtuotsuses Fashion ID, (
14
) et isikuandmete töötlemine võib koosneda ühest või mitmest toimingust, millest igaüks puudutab ühte nendest eri etappidest, mida isikuandmete töötlemine võib hõlmata.
43.
Minu arvates toimus käesoleval juhul kolm järjestikust isikuandmete töötlemise juhtumit. Esimesena töötles isikuandmeid notar, kes koostas Moniteur belge’is avaldatava dokumendi (ja tegi seda tehes vea vaidlusaluste isikuandmete lisamisel) ning esitas selle kaubanduskohtu kantseleisse. Teine töötlemine leidis aset nimetatud kantseleis, kes lisas kõnealuse dokumendi äriühingu toimikusse ja saatis selle Moniteur belge’ile avaldamiseks. Kolmandana töötles isikuandmeid Moniteur belge, kes lisaks paberdokumendi muutmisele elektrooniliseks dokumendiks tegi sellega kogumise, salvestamise, säilitamise, avalikustamise ja levitamise toiminguid. Minu arvates on vaieldamatu, et kõik kolm juhtumit ja eelkõige Moniteur belge’i toimingud kujutavad endast „töötlemist“ isikuandmete kaitse üldmääruse artikli 4 punkti 2 tähenduses.
44.
Asjaolu, et nendel kolmel juhul toimus isikuandmete töötlemine, ei tähenda siiski tingimata, et Moniteur belge tegutses vastutava töötlejana. Seda seetõttu, et isikuandmete kaitse üldmäärus teeb oma artikli 4 punktides 7 ja 8 vahet ühelt poolt vastutavatel töötlejatel ja teiselt poolt volitatud töötlejatel. Nimelt, kui vastutav töötleja määrab kindlaks töötlemise eesmärgi ja vahendid, (
15
) siis volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel. (
16
) Seega, kuigi on selge, et need kolm juhtumit on isikuandmete kaitse üldmääruse artikli 4 punkti 2 tähenduses „töötlemine“, ei võimalda see järeldus kindlaks teha, kas Moniteur belge – või mõni muu selles kolmeastmelises ahelas osalev üksus – on käesoleval juhul vastutav töötleja.
2. Isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramine
45.
Selle tuvastamiseks, kas Moniteur belge toimis „vastutava töötlejana“, tuleb minu arvates analüüsida, kas ta „määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid“ isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses.
46.
Esiteks pean märkima, et Euroopa Kohtu asjakohase praktika kohaselt tuleb mõistet „vastutav töötleja“ tõlgendada laialt. Nimelt on Euroopa Kohus juba otsustanud, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 eesmärk on tagada mõiste „vastutav töötleja“ laia määratluse kaudu andmesubjektide tõhus ja täielik kaitse. (
17
) Lisaks on „vastutava töötleja ja volitatud töötleja mõisted funktsionaalsed mõisted, mille eesmärk on määrata vastutus faktilise mõju järgi“. (
18
) Ehk teisisõnu, „isikuandmeid töötlev vastutav töötleja on isik, kes otsustab, miks ja kuidas neid andmeid töödeldakse“. (
19
) Seega põhineb vastutava töötleja kohustuste kindlaksmääramine „pigem faktiliste kui formaalsete asjaolude analüüsil“. (
20
)
47.
Teiseks näeb isikuandmete kaitse üldmääruse artikli 4 punktis 7 kasutatud täpsustus „eraldi või koos teistega“ ette võimaluse, et andmetöötluse „eesmärgid ja vahendid“ võib kindlaks määrata rohkem kui üks üksus. Siiski võib ühine kontroll olla erineva ulatusega või esineda eri vormides, (
21
) mida käsitlen teise küsimuse analüüsimisel.
48.
Kolmandaks märgin, et 25. juuni 2020. aasta kuningliku dekreedi vastuvõtmisega on Belgia Kuningriik määranud justiitsministeeriumi vastutavaks töötlejaks isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses. (
22
) Põhikohtuasja asjaolud leidsid aga aset enne selle dekreedi jõustumist. Seega ei ole see käesolevas asjas ratione temporis kohaldatav. Sellest järeldub, et Euroopa Kohus peab analüüsima pädevuse ja vastutuse jaotust riigisiseste üksuste vahel enne dekreedi jõustumist.
49.
Olles esitanud need sissejuhatavad märkused, analüüsin nüüd isikuandmete kaitse üldmääruse artikli 4 punktis 7 ette nähtud tingimusi, st kes asjaomastest üksustest „määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid“.
a) Vastutava töötleja kaudne kindlaksmääramine riigisiseses õiguses
50.
Vastutava töötleja staatus võib põhineda asjakohastel õigusaktidel või tuleneda juhtumi faktiliste elementide või asjaolude analüüsist. (
23
) Isikuandmete kaitse üldmääruse artikli 4 punktis 7 on muu hulgas sätestatud, et kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada nimetatud õiguses. Sellest järeldub, et kui üksus on seaduses konkreetselt määratletud vastutava töötlejana, on see kindlaksmääramine otsustava tähtsusega. (
24
) Käesoleval juhul ei ole aga ühtegi konkreetset sätet, mis määraks sõnaselgelt kindlaks vastutava töötleja.
51.
Samuti on võimalik, et seadus määrab teatava üksuse vastutavaks töötlejaks kaudselt. (
25
) Näiteks kui riigisiseste õigusaktidega kehtestatakse asjaomasele üksusele kohustus säilitada või esitada teatavaid andmeid, käsitatakse sellist üksust selle kohustuse täitmiseks vajaliku töötlemise puhul vastutava töötlejana. Selline kaudne vastutavaks töötlejaks määramine liikmesriigi õigusnormidega toimub siis, kui asutusele antud rollist, ülesannetest ja volitustest nähtub, et ta määrab kindlaks asjaomase töötlemise eesmärgid ja vahendid. Kohtuotsuses Manni tugines Euroopa Kohus faktiliste asjaolude hindamisele, märkides, et kui äriregistrit pidav ametiasutus „kannab nimetatud teabe registrisse, säilitab seda seal ja annab selle vastavalt olukorrale taotluse alusel kolmandale isikule üle“, teostab ta „isikuandmete töötlemist“, mille eest ta „vastutab“ direktiivi 95/46 artikli 2 punktides b ja d esitatud määratluste tähenduses. (
26
)
52.
Käesoleval juhul ei ole riigisisestes õigusnormides vastutavat töötlejat sõnaselgelt nimetatud, vaid selles on sätestatud, et äriühingutel on juriidiline kohustus avaldada teatavad dokumendid Moniteur belge’is. (
27
) Seega on sellega kehtestatud õiguslik kohustus töödelda andmeid, millega peab tegelema vastutav töötleja. Riigisisene seadusandja on ette näinud süsteemi, milles kolm üksust töötlevad andmeid järjestikku, kuid pooled on eriarvamusel küsimuses, milline neist kolmest üksusest on tegelikult vastutav töötleja. (
28
) Seega tuleb kindlaks määrata nendele üksustele antud konkreetsed volitused, et teha kindlaks, kes neist on kaudselt määratud vastutavaks töötlejaks töötlemise kolmandas etapis, see tähendab Moniteur belge’i toimingute osas.
b) Andmesubjektide tõhus ja täielik kaitse
53.
Isikuandmete kaitse üldmääruse artikli 4 punktis 7 on tegusõna „kindlaks määrama“ kasutamisega seatud tingimuseks, et vastutav töötleja mõjutab isikuandmete töötlemist otsustusõiguse kasutamise kaudu. (
29
) Näiteks Facebooki moodulit „meeldib“ käsitlevas kohtuasjas (
30
) oli küsimus selles, kas internetis rõivaste jaemüüja Fashion ID, kes lisas oma veebisaidile sotsiaalvõrgustiku Facebooki sotsiaalmooduli „meeldib“, määras ühiselt koos Facebookiga kindlaks vahendid Fashion ID veebisaidi külastajate isikuandmete kogumiseks ja avalikustamiseks edastamise teel. Selles kohtuasjas märkis Euroopa Kohus sõnaselgelt, et nimetatud sotsiaalmooduli lisamisega oma veebisaidile mõjutas Fashion ID otsustavalt selle veebisaidi külastajate isikuandmete kogumist ja edastamist mooduli pakkuja ehk käesoleval juhul Facebook Irelandi heaks, mida mooduli lisamata jätmise korral ei oleks toimunud. (
31
) Sellest järeldub, et otsustav mõju isikuandmete töötlemisele tähendab kaudselt, et seda mõju avaldav üksus on vastutav töötleja. Otsustava mõju puudumine ei ole samas piisav selleks, et välistada üksuse staatus vastutava töötlejana.
54.
Teabe elektroonilise esitamise ja levitamise viiside tõttu suurendab andmete levitamine internetis märkimisväärselt ohtu, et rikutakse eraelu puutumatuse ja isikuandmete kaitse põhiõigusi. (
32
) Sellest ohust teadlik olles on Euroopa Kohus tõlgendanud mõistet „vastutav töötleja“ laialt, (
33
) et isikuandmete kaitse üldmäärus tagaks andmesubjektide tõhusa ja täieliku kaitse, eelkõige nende õiguse eraelu puutumatusele. (
34
) Sellega seoses otsustas Euroopa Kohus kohtuotsuses Google Spain, et mitte ainult direktiivi 95/46 artikli 2 punkti d selge sõnastusega – mis sisuliselt vastab isikuandmete kaitse üldmääruse artikli 4 punktile 7 –, vaid ka selle eesmärgiga oleks vastuolus, kui otsingumootori haldaja arvatakse välja selle mõiste kohaldamisalast põhjendusel, et tal puudub kontroll kolmandate isikute veebilehtedel avaldatud isikuandmete üle. (
35
) Nii laiast määratlusest on selge, et Euroopa Kohus on valinud kõnealuse sätte teleoloogilise tõlgenduse: vastutava töötleja määratlus peab tagama andmesubjektide tõhusa ja täieliku kaitse. Lisaks pean märkima, et selline tõlgendus saab olla vaid veelgi kindlam seoses isikuandmete kaitse üldmäärusega, mis võeti vastu ELTL artikli 16 lõike 1 alusel, mis annab liidu seadusandjale volituse tagada Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõikes 1 ette nähtud põhiõigus isikuandmete kaitsele. (
36
)
55.
Käesoleval juhul on selge, et liikmesriigi seadusandja on välja töötanud süsteemi, mis hõlmab kolme erinevat töötlemisetappi – tegemist on ahelaga, mis algab asjaomaste dokumentide koostamisest ja allkirjastamisest notari juures, millele järgneb dokumentide äriühingu toimikusse lisamine ja säilitamine kaubanduskohtu kantseleis, ning mis lõpeb dokumentide digimise ja avaldamisega Moniteur belge’is. Kuigi on tõsi, et Moniteur belge peab asjaomase dokumendi avaldama muutmata kujul, ei digi seda seoses avaldamisega digidokumendiks ei notar ega kaubanduskohtu kantselei. Seda teeb Moniteur belge üksi ja levitab seejärel asjaomast dokumenti internetis.
56.
Eelkõige pean märkima, et 24. detsembri 2002. aasta programmseaduse artiklite 474–475ter vastuvõtmisega andis liikmesriigi seadusandja Moniteur belge’ile teatud pädevuse. Nendest sätetest tuleneb, et Moniteur belge mitte ainult ei avalda asjaomaste dokumentide paberversioone, vaid teeb need ühtlasi kättesaadavaks veebisaidil elektroonilisel kujul, salvestab need elektrooniliselt, teeb need kodanikele kättesaadavaks, pakkudes abitelefoni ja otsinguabi teenust, ning lisaks tagab Moniteur belge’is sisalduva teabe võimalikult laialdase levitamise ja kättesaadavuse. Seega tuleneb minu arvates nendest sätetest, et andes Moniteur belge’ile volitused asjaomaste dokumentide digimiseks, avaldamiseks, levitamiseks ja säilitamiseks, on liikmesriigi seadusandja andnud sellele väljaandele volitused, mis kuuluvad mõiste „vastutav töötleja“ alla isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses. (
37
)
57.
Tehes eespool nimetatud toiminguid, mille seadusandja on talle ülesandeks määranud, nimelt dokumente digides, avaldades ja levitades, suurendab Moniteur belge hüppeliselt asjaomase isiku põhiõiguste rikkumise ohtu (võrreldes dokumendi pelga avaldamisega tema paberversioonis). Just see töötlemine ametliku väljaande poolt ohustabki tegelikult andmesubjekti tõhusat ja täielikku kaitset. Seetõttu ei näe ma muud alternatiivi kui asuda seisukohale, et tulenevalt eesmärgist tagada andmesubjektide tõhus ja täielik kaitse ning võimalikust kahjust, mida digimine ja levitamine võib neile isikutele põhjustada, ei saa Moniteur belge’i isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses andmete „vastutava töötleja“ määratlusest välja jätta.
58.
Lõpuks, mis puudutab eraõiguslike otsingumootorite kohtupraktika kohaldatavust sellistele avalik-õiguslikele üksustele nagu Moniteur belge, siis tuleb märkida, et Euroopa Kohus kohaldas seda kohtupraktikat hiljutises kohtuotsuses selleks, et kinnitada, et prokuratuuri tuleb pidada „vastutavaks töötlejaks“. (
38
) Minu arvates tuleneb sellise kohaldamise loogika isikuandmete kaitse üldmääruse artikli 4 punktis 7 määratletud mõiste „vastutav töötleja“ laiast tõlgendusest, mille eesmärk on tagada andmesubjektidele esmases õiguses ette nähtud põhiõiguste ja ‑vabaduste tõhus ja täielik kaitse, (
39
) olenemata sellest, kas vastutav töötleja on avalik-õiguslik või eraõiguslik isik. (
40
) Sellise tõhusa ja täieliku kaitse tagamiseks on seoses eraõiguslike otsingumootoritega kehtestatud isikuandmete kaitse põhimõtted asjakohased nii era- kui ka avalik-õiguslikele üksuste puhul, kelle suhtes kohaldatakse isikuandmete kaitse üldmääruses sätestatud andmete ja kohustuste osas samu üldpõhimõtteid, mis kujutavad endast esmase õiguse konkreetset väljendust.
c) Kas muu üksus on vastutav töötleja
59.
Kohtuistungil väitis Belgia valitsus, et notar tuleks lugeda vastutavaks töötlejaks, kuna tema määrab kindlaks andmetöötluse vahendid ja eesmärgid.
60.
Minu arvates tähendaks see, kui notarit peetaks tegelikult ainsaks vastutavaks töötlejaks, et keegi ei oleks töötlemise kolmanda etapi, s.o Moniteur belge’i toimingute vastutav töötleja, kuna seadusandja ei ole andnud notarile pädevust – nagu nähtub käesoleva kohtuasja asjaoludest – otsustavalt mõjutada seda töötlemise kolmandat etappi. Samas võivad kolm asjaomast üksust olla kaasatud isikuandmete töötlemisse eri etappides ja erineval määral, nii et iga üksust võib pidada vastutavaks töötlejaks, kuigi sellest staatusest tuleneva vastutuse ulatus ja tase on erinev. (
41
) Lisaks täheldan, et nagu komisjon kohtuistungil märkis, võib seadus teoreetiliselt määrata Moniteur belge’i volitatud töötlejaks, tingimusel et riigisiseste õigusnormidega on kehtestatud vaidlusaluse dokumendi koostamise, säilitamise ja digitaalse levitamise kohustus mitmele üksusele. Kuid selleks, et Moniteur belge kvalifitseeruks volitatud töötlejaks, peaksid olema täidetud isikuandmete kaitse üldmääruse artiklis 28 sätestatud tingimused, mis Euroopa Kohtule esitatud asjaoludel ilmselgelt nii ei ole, sest iga asjaomane üksus vastutab töötlemise oma osa eest. (
42
) Seetõttu ei saa Moniteur
belge’i pidada volitatud töötlejaks nimetatud sätte tähenduses.
61.
Lisaks väitis Belgia valitsus, et liikmesriigi seadusandja tegutseb ise vastutava töötlejana või määratleb mõne üksuse töötlemise eest vastutavaks ning et Moniteur belge teostas üksnes talle antud volitusi. Nimetatud valitsuse sõnul ei saa eraõiguslike otsingumootoritega seotud kohtupraktikat kohaldada avalik-õiguslikele üksustele, kuna Moniteur belge kui seadusandja loodud avaliku sektori asutus ei saa üksinda otsustada oma ülesannete ja kohustuste üle.
62.
Nagu ma juba märkisin, (
43
) on liikmesriigi seadusandja käesoleval juhul kaudselt määranud Moniteur belge’i vastutavaks töötlejaks, volitades teda täitma teatavat arvu konkreetseid ülesandeid, mida on kirjeldatud käesoleva ettepaneku punktides 55–57.
63.
Igal juhul olen seisukohal, et kui Euroopa Kohus peaks leidma, et liikmesriigi seadusandja on vastutav töötleja alati, kui ta kasutab oma pädevust määrata kindlaks konkreetse töötlemistoimingu eesmärgid ja vahendid, tooks selline lähenemisviis kaasa selle, et füüsilised isikud ei saa enam tõhusat kaitset, mistõttu mõiste „vastutav töötleja“ kaotaks oma soovitava toime. Andmesubjektide tõhusat kaitset ei saa nimelt tagada, kui vastutava töötleja arvukaid kohustusi täidaks kõigi liikmesriigi õigusaktides ette nähtud isikuandmete töötlemise juhtude puhul seadusandja ise. Seetõttu leian, et kui ametiasutusele on antud volitused töödelda isikuandmeid, ei ole vastutav töötleja mitte seadusandja, vaid üksus, kes kontrollib sellise töötlemise eesmärke ja vahendeid, st neid avalik-õiguslikke ülesandeid täitev asutus. (
44
) Käesoleval juhul nähtub asjaoludest, et kõnealune töötlemine, nagu on selgitatud käesoleva ettepaneku punktis 43, toimub riigisiseste õigusnormide rakendamisena, mis välistab võimaluse, et seadusandja on ise – seaduste vastuvõtmisel – isikuandmete vastutav töötleja.
d) Kaalutlusõiguse puudumine
64.
Käesoleval juhul nähtub Euroopa Kohtule esitatud liikmesriigi õigusnormidest, et Moniteur belge’il ei ole mingit otsustusõigust tekstide osas, mida ta peab avaldama. (
45
) Nagu Belgia valitsus oma kirjalikes seisukohtades ja kohtuistungil rõhutas, on Moniteur belge’il 15 päeva (
46
) dokumendi avaldamiseks ning avaldada tuleb notari koostatud dokumendi täpne koopia. Avaldamata jätmise või hilinemise korral on oht, et Moniteur belge’i ametniku vastu esitatakse kahju hüvitamise nõue. (
47
) Selle vältimiseks ei kontrolli nimetatud asutus, kas teave, mille ta peab avaldama, on täielik, kehtiv või täpne. Seega, nagu väidab Belgia valitsus, ei ole Moniteur belge’il pädevust kontrollida nende dokumentide sisu, sealhulgas isikuandmeid, mida need võivad sisaldada.
65.
Kuna aga seadusandja ei tegutse seadusi vastu võttes ise vastutava töötlejana ja kuna ükski teine üksus ei mõjuta tegelikult kõnealuse töötlemise eesmärkide ja vahendite – st vaidlusaluste dokumentide digimise ja digitaalse levitamise – kindlaksmääramist, siis vältimaks vastutava töötleja puudumist, tuleb selleks lugeda Moniteur belge. Notaril ja kaubanduskohtu kantseleil lihtsalt puudub selles etapis sekkumise pädevus. Moniteur belge’i kaalutlusõiguse puudumine ei saa tekitada lünka andmesubjektide tõhusal kaitsel. Seetõttu tuleb asuda seisukohale, et Moniteur belge on – ehkki küll kaudselt määratud – vastutav töötleja isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses seoses isikuandmete töötlemisega dokumentide avaldamisel vastavalt riigisisestele õigusnormidele.
e) Isikuandmete kustutamine
66.
Käesoleva kohtuasja asjaoludest nähtub, et notar palus justiitsministeeriumil (kes tegutseb Moniteur belge’i nimel) vaidlusalune lõik kustutada, st see internetist eemaldada, ja avaldada kõnealune väljavõte ilma selle lõiguta. Justiitsministeerium keeldus seda taotlust rahuldamast ja tegi ettepaneku avaldada uus väljavõte. Neil asjaoludel näib, et asjaomasel notaril puudub pädevus nõuda vaidlusaluse lõigu tagasivõtmist või eemaldamist. Pean siiski rõhutama, et ka ühelgi teisel üksusel ei ole sellist pädevust.
67.
Belgia valitsus märgib, et liikmesriigi seadusandja tahe oli hoida Moniteur belge’is avaldatud dokumendid arhiveerimise eesmärgil aja jooksul muutumatuna ning et väljaannete elektrooniline versioon jääb alatiseks paberversiooni täpseks koopiaks, mis välistab tagasiulatuva muutmise. See valitsus lisab, et Moniteur belge’is avaldatud juriidilise isiku dokumendi parandamiseks peab notar esitama muutmisdokumendi kaubanduskohtu kantseleile, kes seejärel palub Moniteur belge’i direktoraadil see muutmisakt avaldada. Belgia õiguse kohaselt ei ole aga võimalik algset akti täiesti kustutada, sest vastasel juhul rikutaks Moniteur belge’i muutmiskeelu põhimõtet.
68.
Kui nimetatud ametiasutus keeldub kõnealuseid isikuandmeid sisaldava lõigu kustutamisest ja vaidlusaluse dokumendi avaldamisest ilma selle lõiguta, siis minu meelest tuleneb sellest, et need andmed jäävad üldsusele kättesaadavaks. See tähendab minu arvates, et see asutus tegutseb riigisiseseid õigusnorme kohaldades „vastutava töötlejana“ isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, kuna vaidlusalust lõiku eemaldamata jättes ja seda avalikuna hoides määrab ta kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Kui Moniteur belge’i ei tunnustataks vastutava töötlejana, siis ei oleks ühelgi asutusel sellist staatust. (
48
)
69.
Minu arvates ei või „vastutava töötleja“ staatus sõltuda asjaolust, et selline asutus nagu Moniteur belge ei saa riigisisese õiguse kohaselt täita andmete kustutamise taotlust. Seega, kui riigisisestes õigusnormides esineb lünk, on liikmesriigi ametiasutuste ja käesolevas etapis liikmesriigi kohtu ülesanne määrata isikuandmete kaitse üldmäärust kohaldades üksus, kes peab täitma nimetatud üldmäärusest tulenevaid kohustusi. Kuna käesoleval juhul toimub isikuandmete töötlemine, on need jätkuvalt üldsusele kättesaadavad, kuid riigisiseses õiguses ei ole määratud asutust, kes oleks töötlemise selle osa osas vastutav töötleja.
70.
Kuna taolisel juhul on liikmesriigi seadusandja põhjustanud lünga, jättes vastutava töötleja määramata, peaks Euroopa Kohus märkima, et eelotsusetaotluse esitanud kohtu pädevuses on määrata Euroopa Kohtule kirjeldatud asjaolude alusel vastutavaks töötlejaks Moniteur belge (või justiitsministeerium, kui ta nii leiab). Minu arvates oleks ainult selline tõlgendus kooskõlas isikuandmete kaitse üldmääruse artikli 4 punkti 7 eesmärgiga tagada mõiste „vastutav töötleja“ laia määratluse abil andmesubjektide tõhus ja täielik kaitse. (
49
) Ühtlasi võimaldaks see vältida lünki ega laseks kõrvale hoida isikuandmete kaitse üldmääruse eeskirjadest.
71.
Mis puudutab Moniteur belge’is avaldatud teabe muutmiskeelu põhimõttest tulenevaid praktilisi argumente, siis on liikmesriigi seadusandja ülesanne, arvestades eelkõige isikuandmete kaitse üldmääruse artiklitest 5 ja 17 tulenevaid kohustusi, kehtestada õigusraamistik, milles võetakse arvesse andmesubjektide kaitset ja seda põhimõtet. Kuna isikuandmete avaldamine suurendab andmesubjektidele kahju tekitamise ohtu hüppeliselt, on vaja uuenduslikke lahendusi riigisiseses õiguses. (
50
)
72.
Kokkuvõttes teen käesolevas asjas Euroopa Kohtule ettepaneku asuda seisukohale, et Moniteur belge tegutseb „vastutava töötlejana“ isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, kui ta otsustab keelduda vaidlusaluse lõigu muutmisest üldsusele kättesaamatuks, st kui ta hoiab seda lõiku üldsusele kättesaadavana.
3. Vahekokkuvõte
73.
Käesoleval juhul on riigisiseste õigusaktidega kehtestatud kohustus määrata vastutav töötleja, et täita isikuandmete kaitse üldmäärusest tulenevaid kohustusi. Esiteks, mis puudutab asjaomaste andmete digimist, avaldamist ja levitamist, siis tuleb Moniteur belge lugeda „vastutavaks töötlejaks“ isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, et tagada puudutatud isiku põhiõigused. Teiseks, mis puudutab vaidlusaluste andmete tagasivõtmise võimatust, siis esineb riigisiseses õiguses lünk, kuna ühelgi asjasse puutuval üksusel ei ole lubatud neid andmeid tagasi võtta. Niisugusel juhul peab liikmesriigi kohus asjaomaste isikute põhiõiguste kaitseks isikuandmete kaitse üldmäärust kohaldades määrama vastutava töötleja, kes näib käesoleval juhul olevat Moniteur belge.
74.
Seetõttu teen ettepaneku vastata esimesele küsimusele, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 tuleb tõlgendada nii, et sellist liikmesriigi ametlikku väljaannet nagu Moniteur belge, kelle ülesanne on kohaldatavate riigisiseste õigusnormide kohaselt avaldada ja arhiveerida ametlikke dokumente, võib pidada – tagamaks andmesubjektide tõhus ja täielik kaitse – vastutavaks töötlejaks isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses olukorras, kus nende dokumentide avaldamist muutmata kujul nõuavad kolmandad isikud, kuna liikmesriigi seadusandja on andnud sellele väljaandele pädevuse määrata kindlaks asjaomaste dokumentide digimise, avaldamise, levitamise ja säilitamise vahendid ning kehtestanud avaldamise ja levitamise ulatuslikud eesmärgid. Mis puudutab aga andmete tagasivõtmise või kustutamise pädevusega vastutava töötleja puudumist, siis kuna vaidlusalused andmed on endiselt avalikult kättesaadavad, on liikmesriigi kohtu ülesanne määrata üksus, kes peab täitma isikuandmete kaitse üldmäärusest tulenevaid kohustusi.
75.
Ainult juhul, kui Euroopa Kohus nõustub esimesele küsimusele pakutud vastusega, peaks ta vastama teisele küsimusele, st kas Moniteur belge või teda haldav asutus peab olema ainuvastutav isikuandmete kaitse üldmäärusega vastutavale töötlejale pandud kohustuste täitmise eest.
B.
Teine eelotsuse küsimus
76.
Teise küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 5 lõiget 2 tuleb tõlgendada nii, et sellest sättest tulenevaid vastutava töötleja kohustusi peab täitma ainult asjaomane ametlik väljaanne ja mitte varem neid ametlikes dokumentides sisalduvaid andmeid töödelnud kolmandad isikud, kes esitavad need dokumendid avaldamiseks, või on need kohustused kumulatiivselt igal järjestikusel vastutaval töötlejal.
77.
Isikuandmete kaitse üldmääruse artikli 5 lõike 2 kohaselt vastutab vastutav töötleja selle artikli lõikes 1 sätestatud põhimõtete, muu hulgas võimalikult väheste andmete kogumise ja õigsuse (
51
) põhimõtte järgimise eest ning peab suutma tõendada, et neid põhimõtteid järgitakse. Kuna füüsiline isik taotleb selliste isikuandmete kustutamist, mille avaldamist liikmesriigi õigusnormid ei nõua, siis selgitab eelotsusetaotluse esitanud kohus, et ta peab otsustama, kas Moniteur belge või teda haldav asutus peab ainuisikuliselt vastutama võimalikult väheste andmete kogumise ja õigsuse põhimõtte järgimise eest või vastutavad ka kõnealused kaks teist üksust nende põhimõtete järgimise eest.
78.
Märkides, et põhikohtuasja pooled ei tugine isikuandmete kaitse üldmääruse artiklis 26 ette nähtud kaasvastutavate töötlejate olemasolule, küsib eelotsusetaotluse esitanud kohus, kas iga võimalikku järjestikust vastutavat töötlejat või ainult ühte neist tuleb pidada „vastutavaks töötlejaks“ selle määruse artikli 4 punkti 7 tähenduses ja seega pidada neid määruse artikli 5 lõike 2 alusel vastutavaks eelnimetatud põhimõtete järgimise eest.
1. Ajaliselt järgnevad toimingud
79.
Nagu ma juba märkisin, (
52
) töötlesid Moniteur belge’is avaldatud vaidlusaluses lõigus ära toodud isikuandmeid järjest mitu üksust, nimelt väljavõtte koostanud notar, Tribunal de l’entreprise néerlandophone de Bruxelles’i (Brüsseli hollandikeelne kaubanduskohus) kantselei, kes selle äriühingu toimikusse lisas, ja lõpuks Moniteur belge, kes avaldas selle muutmata kujul.
80.
Mis puudutab seda sündmuste ahelat, siis tuleb märkida, et Moniteur belge’ile ülesandeks antud isikuandmete töötlemine mitte ainult ei järgne andmete töötlemisele notari ja kaubanduskohtu kantselei poolt, vaid on tehniliselt erinev nende kahe üksuse töötlemisest ja lisandub sellele. Oluline on rõhutada, et kuna Moniteur belge’i toimingud hõlmavad eelkõige talle esitatud dokumentide väljavõtetes sisalduvate andmete digimist, avaldamist, laialdast levitamist üldsusele ja säilitamist, on Moniteur belge’ile seadusega määratud toimingutel – võrreldes eelneva töötlemisega kahe teise üksuse poolt – märkimisväärne ja täiendav mõju ning need ohustavad eraelu puutumatuse ja isikuandmete kaitse põhiõigust. (
53
)
81.
Seega peab Moniteur belge talle riigisiseses õiguses ülesandeks antud töötlemistoimingute puhul täitma kõiki kohustusi, mis on vastutavale töötlejale pandud isikuandmete kaitse üldmäärusega.
2. Kaasvastutuse välistamine
82.
Isikuandmete kaitse üldmääruse artikli 4 punktis 7 on sätestatud, et „töötlemise eesmärgid ja vahendid“ võib kindlaks määrata rohkem kui üks üksus. Selles on sätestatud, et mõiste „vastutav töötleja“ tähendab üksust, kes määrab „üksi või koos teistega“ kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Seda olukorda käsitletakse isikuandmete kaitse üldmääruse artiklis 26, mille kohaselt võivad sama töötlemise käigus olla vastutavateks töötlejateks mitu eri üksust, kellest igaühe suhtes kohaldatakse kohaldatavaid andmekaitsenorme. (
54
)
83.
Tuletan meelde, et isikuandmete kaitse üldmääruse artikli 26 lõikes 1 on sätestatud, et kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Samas lõikes on lisatud, et kaasvastutavad töötlejad peavad määrama kaasvastutava töötleja vastutusvaldkonna, et tagada kõigi isikuandmete kaitse üldmääruse nõuete täitmine läbipaistval viisil, välja arvatud juhul ja sel määral, mil vastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud muu hulgas liikmesriigi õigusega, mida vastutavate töötlejate suhtes kohaldatakse. Seega ei sõltu mitme vastutava töötleja ühine vastutus tingimata eri vastutavate töötlejate vahelisest kokkuleppest ega isegi nende tahtest, vaid see võib tuleneda riigisisesest õigusest, tingimusel et sellest õigusest saab tuletada mitme vastutava töötleja olemasolu ja iga vastutava töötleja vastavad kohustused isikuandmete kaitse üldmääruse nõuete alusel.
84.
Asjaolu, et samas töötlemisahelas osaleb mitu osalejat, ei tähenda siiski, et nad tegutsevad tingimata kaasvastutavate töötlejatena. (
55
) Lisaks on Euroopa Kohus otsustanud, et füüsilist või juriidilist isikut ei saa pidada vastutavaks töötlemisahela eelnevate ega järgnevate etappide eest, mille eesmärke ega vahendeid ta kindlaks ei määra. (
56
) Seega ei näi käesoleval juhul, et riigisiseses õiguses oleks ette nähtud kaasvastutavad töötlejad, kuna notaril ei ole kontrolli Moniteur belge’i toimingute üle.
85.
Seetõttu olen seisukohal, et käesoleval juhul ei ole liikmesriigi õiguses ette nähtud kõnealuse kolme üksuse kaasvastutust ning ühtlasi ei ole seda võimalik tuvastada ka eelotsusetaotluse esitanud kohtu esitatud faktiliste asjaolude põhjal. Mis puudutab eelkõige põhikohtuasja asjaolusid, siis pean märkima, et ahela kolme üksuse puhul ei ole ette nähtud samu töötlemisvahendeid, kuna asjaomaste dokumentide digimise, avaldamise ja levitamisega tegeleb Moniteur belge. Lisaks, võttes arvesse põhikohtuasja asjaolusid, peaks füüsiline isik, kes soovib teostada oma isikuandmete kaitse üldmääruse artikli 17 kohast õigust andmete kustutamisele, kasutama oma õigusi iga kaasvastutava töötleja suhtes ja vastu. Seda silmas pidades vastutab iga üksus seega eraldi isikuandmete kaitse üldmääruse artikli 5 lõikes 1 sätestatud põhimõtete järgimise eest. (
57
)
86.
Sellest järeldub, et minu arvates ei saa eksisteerida erinevate vastutavate töötlejate „kumulatiivset“ vastutust isikuandmete kaitse üldmääruse artikli 5 lõike 2 alusel. Iga töötlemisahelas osaleja saab olla vastutav isikuandmete kaitse üldmääruse artikli 5 lõikes 1 osutatud põhimõtete järgimise eest ainult individuaalselt seoses nende andmetöötlustoimingutega, mida ta on teinud kooskõlas andmetöötluse eesmärkide ja vahenditega. Kuna käesoleval juhul ei avaldanud andmeid ebaõigesti mitte notar, vaid Moniteur belge, näib mulle, et hoolimata asjaolust, et see asutus ise ei lisanud vaidlusalusesse lõiku andmeid, tuleb teda ühtlasi pidada ka individuaalselt vastutavaks isikuandmete kaitse üldmääruse artikli 5 lõikes 1 sätestatud põhimõtete järgimise eest.
87.
Lõpuks tahaksin rõhutada, et eelotsusetaotluse esitanud kohtu ülesanne on kontrollida, kas riigisisesed normid, mis näevad ette Moniteur belge’is avaldatud andmete parandamise, kuid mitte kustutamise võimaluse, on kooskõlas isikuandmete kaitse üldmäärusega. Nimelt ei võimalda need riigisisesed normid Moniteur belge’il tagasiulatuvalt kustutada juba avaldatud (sealhulgas elektroonilisel kujul) andmeid. Selles kontekstis on tõsi, et isikuandmete kaitse üldmääruse artiklites 16 ja 17 ette nähtud õigust andmete parandamisele ja kustutamisele võib riigisisese õiguse kohaselt piirata, nagu on sätestatud isikuandmete kaitse üldmääruse artiklis 23. Selline piirang peab aga vastavalt harta artikli 52 lõikele 1 olema kehtestatud seadusega, austama füüsiliste isikute põhiõiguste olemust ja järgima proportsionaalsuse põhimõtet. (
58
)
3. Vahekokkuvõte
88.
Seetõttu teen ettepaneku vastata teisele küsimusele, et isikuandmete kaitse üldmääruse artikli 5 lõiget 2 tuleb tõlgendada nii, et asjaomane ametlik väljaanne on kohustatud seoses tema toimingutega täitma nimetatud sättest tulenevaid vastutava töötleja kohustusi. Vaidlusalune töötlemine ei too kaasa kaasvastutust ja Moniteur belge vastutab ainuisikuliselt talle riigisisese õigusega pandud töötlemistoimingute eest.
IV. Ettepanek
89.
Esitatud põhjendustest lähtudes teen Euroopa Kohtule ettepaneku vastata Cour d’appel de Bruxelles’i (Brüsseli apellatsioonikohus, Belgia) eelotsuse küsimusele järgmiselt:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 4 punkti 7
tuleb tõlgendada nii, et sellist liikmesriigi ametlikku väljaannet nagu Moniteur belge, kelle ülesanne on kohaldatavate riigisiseste õigusnormide kohaselt avaldada ja arhiveerida ametlikke dokumente, võib pidada – tagamaks andmesubjektide tõhus ja täielik kaitse – vastutavaks töötlejaks määruse 2016/679 artikli 4 punkti 7 tähenduses olukorras, kus nende dokumentide avaldamist muutmata kujul nõuavad kolmandad isikud, kuna liikmesriigi seadusandja on andnud sellele väljaandele pädevuse määrata kindlaks asjaomaste dokumentide digimise, avaldamise, levitamise ja säilitamise vahendid ning kehtestanud avaldamise ja levitamise ulatuslikud eesmärgid. Mis puudutab aga andmete tagasivõtmise või kustutamise pädevusega vastutava töötleja puudumist, siis kuna vaidlusalused andmed on endiselt avalikult kättesaadavad, on liikmesriigi kohtu ülesanne määrata üksus, kes peab täitma määrusest 2016/679 tulenevaid kohustusi.
Määruse 2016/679 artikli 5 lõiget 2 tuleb tõlgendada nii, et asjaomane ametlik väljaanne on kohustatud seoses tema toimingutega täitma nimetatud sättest tulenevaid vastutava töötleja kohustusi. Vaidlusalune töötlemine ei too kaasa kaasvastutust ja Moniteur belge vastutab ainuisikuliselt talle riigisisese õigusega pandud töötlemistoimingute eest.
(
1
)	Algkeel: inglise.
(
2
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1).
(
3
)	Moniteur belge, 6.8.1999, lk 29440.
(
4
)	Moniteur belge, 6.2.2001, lk 3008.
(
5
)	Moniteur belge, 31.12.2022, lk 58686.
(
6
)	Ta tugines isikuandmete kaitse üldmääruse artikli 17 lõikes 3 ja artiklis 86 ette nähtud erandile.
(
7
)	Isikuandmete kaitse üldmääruse artikli 4 punkti 2 kohaselt on „töötlemine“„isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine“.
(
8
)	Vt 13. mai 2014. aasta kohtuotsus Google Spain ja Google (C‑131/12, EU:C:2014:317; edaspidi „kohtuotsus Google Spain“) ja Lynskey, O., „Control over personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez“, Modern Law Review, 2015, 78(3), lk 522–534.
(
9
)	Vt kohtujurist Ćapeta ettepanek kohtuasjas Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, punkt 17). Vt ka 10. juuli 2018. aasta kohtuotsus Jehovan todistajat (C‑25/17, EU:C:2018:551, punkt 68) ja Bygrave, L. A., ja Tossoni, L., „Article 4(7). Controller“ teoses Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L. ja Tosoni, L. (toimetajad), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, lk 146–150.
(
10
)	Vt selle kohta 20. detsembri 2017. aasta kohtuotsus Nowak (C‑434/16, EU:C:2017:994, punkt 35).
(
11
)	Ibid., punkt 34, ja 24. veebruari 2022. aasta kohtuotsus Valsts ieņēmumu dienests (isikuandmete töötlemine maksustamise eesmärgil) (C‑175/20, EU:C:2022:124, punkt 35).
(
12
)	Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31).
(
13
)	Kohtuotsus Google Spain, punkt 41. Vt ka 8. detsembri 2022. aasta kohtuotsus Google (väidetavalt ebaõigele sisule suunava lingi eemaldamine) (C‑460/20, EU:C:2022:962, punkt 49).
(
14
)	29. juuli 2019. aasta kohtuotsus (C‑40/17, EU:C:2019:629, punkt 72).
(
15
)	Isikuandmete kaitse üldmääruse artikli 4 punkt 7.
(
16
)	Isikuandmete kaitse üldmääruse artikli 4 punkt 8. Näiteks leidis Euroopa Kohus seoses otsingumootori vastutusega, et otsingumootori tegevuse raames toimuv isikuandmete töötlemine erineb sellest ja lisandub sellele, mida teevad veebisaidi väljaandjad, kes lisavad need andmed internetileheküljele, rõhutades, et otsingumootori haldaja on isik, kes määrab kindlaks otsingumootori tegevuse eesmärgid ja vahendid (8. detsembri 2022. aasta kohtuotsus Google (väidetavalt ebaõigele sisule suunava lingi eemaldamine), C‑460/20, EU:C:2022:962, punkt 44).
(
17
)	Vt selle kohta kohtuotsus Google Spain, punkt 34, ja 5. juuni 2018. aasta kohtuotsus Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punkt 28).
(
18
)	Vt Euroopa Andmekaitsenõukogu suunised 07/2020 mõistete „vastutav töötleja“ ja „volitatud töötleja“ kohta isikuandmete kaitse üldmääruses, punkt 12.
(
19
)	Kohtujurist Boti ettepanek kohtuasjas Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2017:796, punkt 46).
(
20
)	Direktiivi 95/46 artikli 29 alusel nõuandva organina asutatud andmekaitse töörühma arvamus 1/2010 mõistete „vastutav töötleja“ ja „volitatud töötleja“ kohta, WP 169, lk 11; nüüdseks on andmekaitse töörühm asendatud isikuandmete kaitse üldmääruse artikli 68 alusel loodud Euroopa Andmekaitsenõukoguga (edaspidi „andmekaitsenõukogu“).
(
21
)	Van Alsenoy, B., „Chapter 4. Allocation of Responsibility“, Data Protection Law in the EU: Roles, Responsibilities and Liability, 1. trükk, Intersentia, Mortsel, 2019, lk 43–53.
(
22
)	Vt 25. juuni 2020. aasta kuningliku dekreedi, millega kehtestatakse kohtumenetluse seadustiku artiklis 1250 osutatud Moniteur belge’is avaldamise näidis (Arrêté royal du 25 juin 2020 établissant le modèle de publication au Moniteur belge visée à l’article 1250 du Code judiciaire), artikkel 2. Tuletan meelde, et vastutava töötlejana isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses ei pea justiitsministeerium mitte ainult „korraldama avaldamist ja tagama tehnilised vahendid töötlemiseks“, vaid täitma ka nimetatud määruses seoses isikuandmete töötlemisega ette nähtud kohustusi (vt isikuandmete kaitse üldmääruse artiklid 5 ja 6).
(
23
)	Euroopa Andmekaitsenõukogu suunised 07/2020 mõistete „vastutav töötleja“ ja „volitatud töötleja“ kohta isikuandmete kaitse üldmääruses, punkt 20.
(
24
)	Ibid.
(
25
)	Samas nõuab isikuandmete kaitse üldmääruse artikli 4 punktis 7 koostoimes artikli 5 lõike 1 punktiga b sätestatud kohustus, mille kohaselt peavad eesmärgid olema selgelt kindlaks määratud, vähemalt seda, et töötlemise eesmärkide kaudne kindlaksmääramine peab tulenema asjaomase asutuse tegevuse aluseks olevatest õigusnormidest.
(
26
)	Vt 9. märtsi 2017. aasta kohtuotsus Manni (C‑398/15, EU:C:2017:197, punkt 35).
(
27
)	Vt äriühinguseadustiku artiklid 71 ja 73.
(
28
)	Kohtuistungil väitis Belgia valitsus, et seaduses oli kaudselt määratud vastutavaks töötlejaks notar, samas kui andmekaitseasutus väitis, et see roll oli määratud Moniteur belge’ile.
(
29
)	10. juuli 2018. aasta kohtuotsus Jehovan todistajat (C‑25/17, EU:C:2018:551, punkt 68).
(
30
)	29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629).
(
31
)	Ibid., punktid 78 ja 79.
(
32
)	Nagu märkis kohtujurist Pitruzzella oma ettepanekus kohtuasjas Google (väidetavalt valeandmeid sisaldavad lingid) (C‑460/20, EU:C:2022:271, punkt 15), otsustas Euroopa Kohus selle aspekti tõttu kohtuotsuses Google Spain, et otsingumootori tegevuse raames toimuv isikuandmete töötlemine erineb sellest ja lisandub sellele, mida teevad veebisaidi väljaandjad, kes lisavad need andmed internetileheküljele.
(
33
)	29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629, punkt 70).
(
34
)	Vt selle kohta 24. septembri 2019. aasta kohtuotsus GC jt (delikaatseid andmeid sisaldavate linkide eemaldamine) (C‑136/17, EU:C:2019:773, punkt 37).
(
35
)	Kohtuotsus Google Spain, punkt 34.
(
36
)	Vt isikuandmete kaitse üldmääruse põhjendus 1.
(
37
)	Vt käesoleva ettepaneku punkt 68.
(
38
)	8. detsembri 2022. aasta kohtuotsus Inspektor vs. Inspektorata kam Visshia sadeben savet (isikuandmete töötlemise eesmärgid – kriminaalmenetlus) (C‑180/21, EU:C:2022:967, punkt 80).
(
39
)	Vt käesoleva ettepaneku punkt 54.
(
40
)	Vt isikuandmete kaitse üldmääruse põhjendused 1 ja 4 ning artikli 1 lõige 2.
(
41
)	Vt selle kohta 10. juuli 2018. aasta kohtuotsus Jehovan todistajat (C‑25/17, EU:C:2018:551, punkt 66).
(
42
)	Isikuandmete kaitse üldmääruse artiklite 28 ja 29 kohaselt töötleb volitatud töötleja andmeid volitatud töötlejat ja vastutavat töötlejat omavahel siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, mis on volitatud töötleja suhtes siduv ning milles sätestatakse töötlemise tingimused. Et Moniteur belge saaks kvalifitseeruda volitatud töötlejaks, oleks liikmesriigi seadusandja pidanud kehtestama tema jaoks töötlemiseeskirjad.
(
43
)	Vt käesoleva ettepaneku punktid 55–57.
(
44
)	Lisaks on see Belgia valitsuse argument vastuolus tema enda poolt kohtuistungil esitatud argumendiga, mille kohaselt Moniteur belge ei täida seaduses ette nähtud kohustust, vaid notari nõuet.
(
45
)	24. detsembri 2002. aasta programmseaduse artiklid 474–476.
(
46
)	Uute normide järgi 10 päeva.
(
47
)	Vt äriühinguseadustiku artiklid 73 ja 76.
(
48
)	Siin tekib küsimus, kas Belgia seadusandja ei ole piiranud vastutava töötleja volitusi viisil, mis on vastuolus isikuandmete kaitse üldmäärusega. Võib väita, et selline piirang on problemaatiline mitte ainult isikuandmete kaitse üldmääruse artikli 17, vaid ka ELTL artikli 16 lõike 1 ja harta artikli 8 lõike 1 seisukohast ning võib kahjustada isikuandmete kaitse üldmäärusega tagatud kaitse soovitavat toimet. Kuigi eelotsusetaotluse esitanud kohus peab neid küsimusi analüüsima, kuna andmesubjekti taotlus põhineb isikuandmete kaitse üldmääruse artiklil 17, ei kuulu need ilmselgelt selle kohtu poolt esitatud käesoleva eelotsusetaotluse esemesse.
(
49
)	Vt käesoleva ettepaneku punkt 54.
(
50
)	Kohtuistungil selgitas komisjon, et näiteks Euroopa Liidu Teatajat on võimalik muuta ja et selleks on lahendused olemas.
(
51
)	Vt isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktid c ja d.
(
52
)	Vt käesoleva ettepaneku punkt 55.
(
53
)	Nagu märkis kohtujurist Pitruzzella oma ettepanekus kohtuasjas Google (väidetavalt valeandmeid sisaldavad lingid) (C‑460/20, EU:C:2022:271, punkt 15), otsustas Euroopa Kohus selle aspekti tõttu kohtuotsuses Google Spain, et otsingumootori tegevuse raames toimuv isikuandmete töötlemine erineb sellest ja lisandub sellele, mida teevad veebisaidi väljaandjad, kes lisavad need andmed internetileheküljele.
(
54
)	29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629, punkt 67). Vt ka Euroopa Andmekaitsenõukogu suunised 07/2020 mõistete „vastutav töötleja“ ja „volitatud töötleja“ kohta, punkt 29.
(
55
)	Vt Euroopa Andmekaitsenõukogu suunised 07/2020 mõistete „vastutav töötleja“ ja „volitatud töötleja“ kohta, punkt 67. Nagu komisjon on märkinud, ei tähenda kõik partnerluse, koostöö või ühise tegutsemise liigid seda, et üksused on kaasvastutavad töötlejad, kuna selline staatus nõuab iga töötlemisjuhu ja iga üksuse täpse rolli eraldi analüüsi seoses asjaomase töötlemisega. Väidaksin, et kaasvastusega on tegemist siis, kui kaks üksust teevad töötlemistoiminguid, mida ei saa eristada töötlemise eraldi etappidena.
(
56
)	Vt selle kohta 29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629, punkt 74).
(
57
)	Näiteks saab vaidlusaluse lõigu äriühingu toimikusse lisada ainult kaubanduskohtu kantselei.
(
58
)	Vt selle kohta 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punktid 172–176).