62022CJ0333
UNIONIN TUOMIOISTUIMEN TUOMIO (viides jaosto)
16 päivänä marraskuuta 2023 (
*1
)
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Direktiivi (EU) 2016/680 – 17 artikla – Rekisteröidyn oikeuksien käyttö valvontaviranomaisen välityksellä – Tietojenkäsittelyn lainmukaisuuden tarkistaminen – 17 artiklan 3 kohta – Rekisteröidylle tiedottamista koskeva vähimmäisvelvollisuus – Ulottuvuus – Pätevyys – 53 artikla – Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan – Oikeudellisesti sitovan päätöksen käsite – Euroopan unionin perusoikeuskirja – 8 artiklan 3 kohta – Riippumattoman viranomaisen valvonta – 47 artikla – Oikeus tehokkaaseen oikeussuojaan
Asiassa C‑333/22,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka cour d’appel de Bruxelles (Brysselin ylioikeus, Belgia) on esittänyt 9.5.2022 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 20.5.2022, saadakseen ennakkoratkaisun asiassa
Ligue des droits humains ASBL ja
BA
vastaan
Organe de contrôle de l’information policière,
UNIONIN TUOMIOISTUIN (viides jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja E. Regan sekä tuomarit Z. Csehi, M. Ilešič, I. Jarukaitis ja D. Gratsias (esittelevä tuomari),
julkisasiamies: L. Medina,
kirjaaja: hallintovirkamies M. Siekierzyńska,
ottaen huomioon kirjallisessa käsittelyssä ja 29.3.2023 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
–
Ligue des droits humains ASBL ja BA, edustajanaan C. Forget, avocate,
–
Organe de contrôle de l’information policière (OCIP), edustajinaan J. Bosquet ja J.-F. De Bock, avocaten,
–
Belgian hallitus, asiamiehinään P. Cottin, J.-C. Halleux, C. Pochet ja A. Van Baelen, avustajinaan N. Cariat, C. Fischer, B. Lombaert ja J. Simba, avocats,
–
Tšekin hallitus, asiamiehinään O. Serdula, M. Smolek ja J. Vláčil,
–
Ranskan hallitus, asiamiehenään J. Illouz,
–
Euroopan parlamentti, asiamiehinään S. Alonso de León, O. Hrstková Šolcová, P. López-Carceller ja M. Thibault,
–
Euroopan komissio, asiamiehinään A. Bouchagiar, H. Kranenborg, A.‑C. Simon ja F. Wilman,
kuultuaan julkisasiamiehen 15.6.2023 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1
Ennakkoratkaisupyyntö koskee yhtäältä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 3 kohdan ja 47 artiklan tulkintaa ja toisaalta luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/860 (EUVL 2016, L 119, s. 89) 17 artiklan pätevyyttä edellä mainittuihin määräyksiin nähden.
2
Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat yhtäältä Ligue des droits humains ja BA ja toisaalta Organe de contrôle de l’information policière (OCIP) (poliisin tietojenhankinnan valvontaviranomainen, Belgia) ja joka koskee BA:n oikeuksien käyttämistä kyseisen elimen välityksellä sellaisten häntä koskevien henkilötietojen osalta, joita Belgian poliisiviranomaiset käsittelevät ja joiden perusteella Autorité nationale de sécurité (kansallinen turvallisuusviranomainen, Belgia) hylkäsi kyseisen henkilön esittämän turvallisuusselvityspyynnön.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3
Direktiivin 2016/680 johdanto-osan 7, 10, 43, 46, 48, 75, 82, 85 ja 86 perustelukappaleessa todetaan seuraavaa:
”(7)
Rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön varmistamiseksi on taattava luonnollisten henkilöiden henkilötietojen korkeatasoinen ja johdonmukainen suoja ja helpotettava henkilötietojen vaihtoa jäsenvaltioiden toimivaltaisten viranomaisten kesken. Sitä varten kaikkien jäsenvaltioiden olisi tarjottava samantasoinen luonnollisten henkilöiden oikeuksien ja vapauksien suoja toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Jotta henkilötietoja voidaan suojata tehokkaasti koko [Euroopan] unionissa, on vahvistettava rekisteröidyn oikeuksia ja lisättävä henkilötietoja käsittelevien vastuuta, sekä varmistettava samantasoiset valtuudet seurata henkilötietojen suojelua koskevien sääntöjen noudattamista jäsenvaltioissa ja varmistaa se.
– –
(10)
Lissabonin sopimuksen hyväksyneen hallitustenvälisen konferenssin päätösasiakirjan liitteenä olevassa julistuksessa N:o 21 henkilötietojen suojasta rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla konferenssi totesi, että [SEUT] 16 artiklan mukaiset erityissäännöt henkilötietojen suojasta ja henkilötietojen vapaasta liikkuvuudesta saattavat osoittautua tarpeellisiksi rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloilla näiden alojen erityisluonteen vuoksi.
– –
(43)
Luonnollisella henkilöllä olisi oltava oikeus saada pääsy tietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin voidakseen valvoa ja tarkistaa käsittelyn lainmukaisuuden. – –
– –
(46)
Kaikkien rekisteröityjen oikeuksien rajoitusten on oltava perusoikeuskirjan ja [Roomassa 4.11.1950 allekirjoitetun, ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen] mukaisia unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöjen tulkitsemalla tavalla, ja on noudatettava erityisesti kyseisten oikeuksien ja vapauksien olennaista sisältöä.
– –
(48)
Jos rekisterinpitäjä epää rekisteröidyn tiedonsaantioikeuden, pääsyn tietoihin tai oikeuden oikaista tai poistaa henkilötietoja tai rajoittaa niiden käsittelyä, rekisteröidyllä olisi oltava oikeus pyytää kansallista valvontaviranomaista tarkistamaan käsittelyn lainmukaisuuden puolestaan. – –
– –
(75)
Keskeinen osa luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä on perustaa jäsenvaltioihin sellaiset valvontaviranomaiset, jotka hoitavat tehtäviään täysin riippumattomasti. Valvontaviranomaisten olisi seurattava tämän direktiivin nojalla annettujen säännösten soveltamista ja edistettävä niiden yhdenmukaista soveltamista koko unionissa luonnollisten henkilöiden suojaamiseksi henkilötietojen käsittelyssä. – –
– –
(82)
Jotta voitaisiin varmistaa tämän direktiivin noudattamisen tosiasiallinen, luotettava ja johdonmukainen seuranta ja se, että direktiivi pannaan täytäntöön kaikkialla unionissa [EUT-]sopimuksen mukaisesti unionin tuomioistuimen tulkitsemalla tavalla, valvontaviranomaisilla olisi oltava kaikissa jäsenvaltioissa samanlaiset tehtävät ja valtuudet, mukaan lukien tutkintavaltuudet, korjaavat toimivaltuudet ja neuvontavaltuudet, jotka ovat tarpeen niiden tehtävien suorittamiseksi. – –
– –
(85)
Rekisteröidyllä olisi oltava oikeus tehdä valitus yhdelle valvontaviranomaiselle sekä oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen oikeuksiaan, jotka perustuvat tämän direktiivin nojalla annettuihin säännöksiin, on loukattu, tai jos valvontaviranomainen ei käsittele valitusta, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. – –
(86)
Kaikilla luonnollisilla henkilöillä tai oikeushenkilöillä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia. Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä. Tämä oikeus ei kuitenkaan koske valvontaviranomaisten muita toimenpiteitä, jotka eivät ole oikeudellisesti sitovia, kuten valvontaviranomaisen antamia lausuntoja tai neuvoja. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion lainsäädännön mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat sen käsiteltäväksi saatetun asian kannalta olennaisia.”
4
Tämän direktiivin 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 1 ja 2 kohdassa säädetään seuraavaa:
”1.   Tässä direktiivissä vahvistetaan säännöt luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.
2.   Tämän direktiivin mukaisesti jäsenvaltioiden on
a)
suojeltava luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan; ja
b)
varmistettava, että jos unionin oikeudessa tai jäsenvaltion lainsäädännössä edellytetään toimivaltaisten viranomaisten välistä henkilötietojen vaihtoa, tällaista vaihtoa ei rajoiteta eikä kielletä syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä.”
5
Mainitussa direktiivissä on III luku, jonka otsikko on ”Rekisteröidyn oikeudet” ja jossa ovat muun maussa direktiivin 13–17 artikla. Tämän 13 artiklan, jonka otsikko on ”Rekisteröidyn saataville asetettavat tai hänelle annettavat tiedot”, 1 kohdassa säädetään jäsenvaltioiden velvollisuudesta säätää siitä, että rekisterinpitäjä asettaa rekisteröidyn saataville tietyt vähimmäistiedot kuten esimerkiksi rekisterinpitäjän henkilöllisyyden ja yhteystiedot. Lisäksi artiklan 2 kohdassa luetellaan lisätiedot, joiden osalta jäsenvaltioiden on säädettävä laissa, että rekisterinpitäjä antaa ne rekisteröidylle, jotta hänen olisi mahdollista käyttää oikeuksiaan. Artiklan 3 ja 4 kohdassa säädetään seuraavaa:
”3.   Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla viivytetään, rajoitetaan tai jätetään kokonaan tekemättä 2 kohdan mukainen rekisteröidylle ilmoittaminen, siltä osin ja niin pitkäksi aikaa kuin tällainen toimenpide on välttämätön ja oikeasuhteinen demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut:
a)
jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;
b)
jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;
c)
yleisen turvallisuuden suojelemiseksi;
d)
kansallisen turvallisuuden suojelemiseksi;
e)
muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.
4.   Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä niiden käsittelyn ryhmien määrittämiseksi, jotka voivat kuulua kokonaan tai osittain jonkin 3 kohdan alakohdan soveltamisalaan.”
6
Direktiivin 14 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus saada pääsy henkilötietoihin”, säädetään seuraavaa:
”Jollei 15 artiklasta muuta johdu, jäsenvaltioiden on säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin – –”
7
Direktiivin 2016/680 15 artiklassa, jonka otsikko on ”Tietoihin pääsyn rajoittaminen”, säädetään seuraavaa:
”1.   Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla rajoitetaan kokonaan tai osittain rekisteröidyn oikeutta saada pääsy tietoihin siltä osin ja niin pitkäksi aikaa kuin osittainen tai täydellinen rajoittaminen on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut:
a)
jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;
b)
jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;
c)
yleisen turvallisuuden suojelemiseksi;
d)
kansallisen turvallisuuden suojelemiseksi;
e)
muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.
2.   Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä niiden käsittelyn ryhmien määrittämiseksi, jotka voivat kuulua kokonaan tai osittain 1 kohdan a–e alakohdan soveltamisalaan.
3.   Edellä 1 ja 2 kohdassa tarkoitetuissa tapauksissa jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ilmoittaa ilman aiheetonta viivytystä rekisteröidylle kirjallisesti, jos tietoihin pääsy evätään tai sitä rajoitetaan, sekä tällaisen epäämisen tai rajoittamisen perustelut. Tällaiset tiedot voidaan jättää pois, jos niiden ilmoittaminen vaarantaisi 1 kohdan mukaisen tarkoituksen. Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ilmoittaa rekisteröidylle mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja.
4.   Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä dokumentoi ne seikat tai oikeudelliset syyt, joihin päätös perustuu. Näiden tietojen on oltava pyynnöstä valvontaviranomaisten saatavilla.”
8
Tämän direktiivin 16 artiklassa, jonka otsikko on ”Oikeus henkilötietojen oikaisemiseen tai poistamiseen sekä käsittelyn rajoittamiseen”, säädetään seuraavaa:
1.   Jäsenvaltioiden on säädettävä siitä, että rekisteröidyllä on oikeus vaatia rekisterinpitäjää oikaisemaan ilman aiheetonta viivytystä rekisteröityä koskevat virheelliset henkilötiedot. Käsittelyn tarkoitukset huomioon ottaen jäsenvaltioiden on säädettävä siitä, että rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä – –
2.   Jäsenvaltioiden on vaadittava, että rekisterinpitäjä poistaa henkilötiedot ilman aiheetonta viivytystä ja säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, jos tietojen käsittely rikkoo 4, 8 tai 10 artiklan nojalla annettuja säännöksiä tai jos henkilötiedot on poistettava rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.
3.   Poistamisen sijasta rekisterinpitäjän on rajoitettava käsittelyä, jos
a)
rekisteröity kiistää tietojen paikkansapitävyyden eikä tietojen paikkansapitävyyttä tai virheellisyyttä voida todentaa; tai
b)
henkilötiedot on säilytettävä todistelua varten;
– –
4.   Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ilmoittaa rekisteröidylle kirjallisesti, jos henkilötietojen oikaisemisesta, poistamisesta tai käsittelyn rajoittamisesta kieltäydytään, sekä kieltäytymisen syistä. Jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla rajoitetaan kokonaan tai osittain velvoitetta antaa tällaisia tietoja siltä osin kuin tällainen rajoittaminen on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut:
a)
jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen;
b)
jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle;
c)
yleisen turvallisuuden suojelemiseksi;
d)
kansallisen turvallisuuden suojelemiseksi;
e)
muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ilmoittaa rekisteröidylle mahdollisuudesta tehdä valitus valvontaviranomaiselle tai käyttää muita oikeussuojakeinoja.
– –”
9
Mainitun direktiivin 17 artiklassa, jonka otsikko on ”Rekisteröidyn oikeuksien käyttäminen ja valvontaviranomaisen tekemät tarkistukset”, säädetään seuraavaa:
”1.   Jäsenvaltioiden on 13 artiklan 3 kohdassa, 15 artiklan 3 kohdassa ja 16 artiklan 4 kohdassa tarkoitetuissa tapauksissa toteutettava toimenpiteitä, joilla varmistetaan, että rekisteröidyn oikeuksia voidaan käyttää myös toimivaltaisen valvontaviranomaisen välityksellä.
2.   Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ilmoittaa rekisteröidylle mahdollisuudesta käyttää hänelle kuuluvia oikeuksia valvontaviranomaisen välityksellä 1 kohdan mukaisesti.
3.   Jos 1 kohdassa tarkoitettua oikeutta käytetään, valvontaviranomaisen on ilmoitettava rekisteröidylle ainakin siitä, että valvontaviranomainen on tehnyt kaikki tarvittavat tarkistukset tai toteuttanut uudelleentarkastelun. Valvontaviranomaisen on myös tiedotettava rekisteröidylle hänen oikeudestaan käyttää oikeussuojakeinoja.”
10
Direktiivin 42 artiklan, jonka otsikko on ”Riippumattomuus”, 1 kohdassa säädetään seuraavaa:
”Kunkin jäsenvaltion on säädettävä siitä, että jokainen valvontaviranomainen toimii täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään sille tämän direktiivin mukaisesti annettuja valtuuksia.”
11
Direktiivin 2016/680 46 artiklan, jonka otsikko on ”Tehtävät”, 1 kohdassa säädetään seuraavaa:
”Kunkin jäsenvaltion on säädettävä – – alueellaan siitä, että kukin valvontaviranomainen
a)
valvoo tämän direktiivin ja sen täytäntöönpanotoimenpiteiden nojalla annettujen säännösten soveltamista ja panee ne täytäntöön;
– –
f)
käsittelee rekisteröidyn – – tekemiä valituksia ja tutkii valituksen tarpeellisin osin ja ilmoittaa valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa – –
g)
tarkistaa 17 artiklan mukaisesti käsittelyn lainmukaisuuden ja ilmoittaa rekisteröidylle kohtuullisen ajan kuluessa kyseisen artiklan 3 kohdan mukaisesti tarkistuksen tuloksesta tai siitä, miksi tarkistusta ei ole suoritettu;
– –”
12
Tämän direktiivin 47 artiklassa, joka otsikko on ”Valtuudet”, säädetään seuraavaa:
”1.   Kunkin jäsenvaltion on säädettävä laissa, että sen valvontaviranomaisella on tehokkaat tutkintavaltuudet. Näihin valtuuksiin on sisällyttävä vähintään valtuudet saada rekisterinpitäjältä ja henkilötietojen käsittelijältä pääsy kaikkiin käsiteltävän oleviin henkilötietoihin ja kaikkiin tietoihin, jotka ovat tarpeen valvontaviranomaisen tehtävien suorittamisessa.
2.   Kunkin jäsenvaltion on säädettävä laissa, että sen valvontaviranomaisella on tehokkaat korjaavat toimivaltuudet, kuten esimerkiksi valtuudet
a)
varoittaa rekisterinpitäjää tai henkilötietojen käsittelijää siitä, että aiotut käsittelytoimet ovat todennäköisesti tämän direktiivin nojalla hyväksyttyjen säännösten vastaisia;
b)
määrätä rekisterinpitäjä tai henkilötietojen käsittelijä saattamaan käsittelytoimet tämän direktiivin nojalla hyväksyttyjen säännösten mukaisiksi tarvittaessa tietyllä tavalla ja tietyn määräajan kuluessa, erityisesti määräämällä henkilötietojen korjaamisesta tai poistamisesta taikka käsittelyn rajoittamisesta 16 artiklan mukaisesti;
c)
asettaa väliaikainen tai pysyvä rajoitus käsittelylle, mukaan lukien käsittelykielto.
– –
4.   Valvontaviranomaiselle tämän artiklan nojalla annetun toimivallan käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, siten kuin niistä säädetään unionin oikeudessa ja jäsenvaltion lainsäädännössä perusoikeuskirjan mukaisesti.
– –”
13
Mainitun direktiivin 52 artiklan, jonka otsikko on ”Oikeus tehdä valitus valvontaviranomaiselle”, 1 kohdassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että jokaisella rekisteröidyllä on oikeus tehdä valitus yhdelle valvontaviranomaiselle, jos rekisteröity katsoo, että häneen liittyvässä henkilötietojen käsittelyssä rikotaan tämän direktiivin nojalla annettuja säännöksiä, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”
14
Direktiivin 53 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, 1 kohdassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä luonnollisten henkilöiden tai oikeushenkilöiden oikeudesta käyttää tehokkaita oikeussuojakeinoja valvontaviranomaisen oikeudellisesti sitovia heitä koskevia päätöksiä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.”
15
Direktiivin 2016/680 54 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan”, sanamuoto on seuraava:
”Jäsenvaltioiden on säädettävä, että rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tämän direktiivin nojalla annettuihin säännöksiin perustuvia oikeuksiaan on rikottu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu kyseisiä säännöksiä, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 52 artiklan mukainen oikeus tehdä valitus valvontaviranomaiselle.”
Belgian oikeus
16
Direktiivi 2016/680 on saatettu osaksi Belgian oikeusjärjestystä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä 30.7.2018 annetun lain (loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel; Moniteur belge, 5.9.2018, s. 68616; jäljempänä LPD) 2 osaston säännöksillä. Kyseisen direktiivin 13–16 artiklan mukaisista oikeuksista säädetään mainitun osaston III luvussa, tarkemmin sanottuna kyseisen lain 37–39 §:ssä.
17
LPD:n 42 §:ssä säädetään seuraavaa:
”Pyyntö tässä luvussa tarkoitettujen oikeuksien käyttämisestä – –, kun pyyntö koskee poliisiviranomaisia tai Inspection générale de la police fédérale et de la police localea (liittovaltion poliisin ja paikallistason poliisin toimintaa valvova viranomainen, Belgia), osoitetaan 71 §:ssä tarkoitetulle valvontaviranomaiselle.
Edellä 37 §:n 2 momentissa, 38 §:n 2 momentissa [ja] 39 §:n 4 momentissa – – tarkoitetuissa tapauksissa 71 §:ssä tarkoitettu valvontaviranomainen ilmoittaa rekisteröidylle ainoastaan sen, että tarvittavat tarkistukset on tehty.
Sen estämättä, mitä 2 momentissa säädetään, 71 §:ssä tarkoitettu valvontaviranomainen voi antaa asianomaiselle henkilölle tiettyjä taustatietoja.
Kuningas määrittelee 71 §:ssä tarkoitetun valvontaviranomaisen lausunnon perusteella sellaisten taustatietojen ryhmät, joita valvontaviranomainen voi antaa asianomaiselle henkilölle.”
18
Cour d’appel de Bruxelles (Brysselin ylioikeus, Belgia), joka on ennakkoratkaisua pyytänyt tuomioistuin, toteaa, että LPD:n 42 §:n 4 momentin täytäntöönpanemiseksi ei ole annettu kuninkaan asetusta.
19
LPD:n 71 §:n 1 momentin sanamuoto on seuraava:
Edustajainhuoneen yhteyteen perustetaan riippumaton poliisin tietojenhankinnan valvontaviranomainen eli Organe de contrôle de l’information policière.
– –
[Sen tehtävänä on]:
1° valvoa tämän osaston soveltamista – –
2° valvoa poliisitoimesta 5.8.1992 annetun lain 44/1–44/11/13 §:ssä tarkoitettujen tietojen ja henkilötietojen käsittelyä, mukaan lukien saman lain 44/2 §:ssä tarkoitettuihin tietokantoihin sisältyvät tiedot ja henkilötiedot
3° hoitaa kaikki muut sille kuuluvat muissa laeissa säädetyt tai niihin perustuvat tehtävät.”
20
LPD:n 5 osaston I luvun otsikko on ”Kieltokanne”. Tähän lukuun sisältyvässä 209 §:ssä säädetään seuraavaa:
”Alioikeuden presidentti toteaa väliaikaista oikeussuojaa koskevassa menettelyssä, tämän kuitenkaan rajoittamatta lainkäyttö- tai hallintomenettelyihin tai tuomioistuimen ulkopuolisiin menettelyihin turvautumista, että kyse on henkilötietojen käsittelystä, joka on tapahtunut luonnollisten henkilöiden suojelua heidän henkilötietojensa käsittelyssä koskevien lakien tai asetusten vastaisesti, ja määrää sen lopetettavaksi.
Alioikeuden presidentti tutkii väliaikaista oikeussuojaa koskevassa menettelyssä vaatimukset, joissa on kyse laissa säädetystä tai siihen perustuvasta oikeudesta saada tieto henkilötiedoista, ja vaatimukset, joissa on kyse sellaisten henkilötietojen korjaamisesta, poistamisesta tai käytön kieltämisestä, jotka ovat virheellisiä tai käsittelyn tarkoituksen kannalta puutteellisia tai epäasianmukaisia taikka joiden rekisteröinti, tiedoksi antaminen tai säilyttäminen on kiellettyä ja joiden käsittelyä rekisteröity vastustaa tai joita on säilytetty sallittua ajanjaksoa pidempään.”
21
LPD:n 240 §:n 4 momentissa säädetään seuraavaa:
”[OCIP]
– –
4° käsittelee valituksia, tutkii valituksen tarpeellisin osin ja ilmoittaa valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa. – –”
Pääasia ja ennakkoratkaisukysymykset
22
Vuonna 2016 BA, joka oli tuolloin voittoa tavoittelemattoman yhdistyksen osa-aikainen työntekijä, pyysi turvallisuusselvitystä kansalliselta turvallisuusviranomaiselta (Autorité Nationale de Sécurité) voidakseen osallistua kymmenettä kertaa järjestettävien Brysselin (Belgia) unionin kehitysyhteistyöpäivien (Journées européennes du développement) laitteistojen asennus- ja purkutöihin.
23
Kyseinen viranomainen kieltäytyi 22.6.2016 päivätyssä kirjeessään myöntämästä tarvittavaa turvallisuusselvitystä BA:lle sillä perusteella, että sen saataville asetetuista tiedoista ilmeni, että BA oli osallistunut vuosina 2007–2016 kymmeneen mielenosoitukseen, minkä vuoksi turvallisuusselvitystä ei voitu myöntää sovellettavan säännöstön puitteissa ja erityisesti kansallisen turvallisuuden ja perustuslaillisen demokratian jatkuvuuden turvaamiseksi. Tätä päätöstä ei riitautettu.
24
BA:n oikeudellinen avustaja pyysi 4.2.2020 OCIP:tä yksilöimään kyseessä olevien henkilötietojen rekisterinpitäjät ja velvoittamaan ne antamaan avustajan asiakkaalle oikeuden tutustua kaikkiin itseään koskeviin tietoihin, jotta asiakas voisi käyttää oikeuksiaan asianmukaisessa määräajassa.
25
OCIP ilmoitti 6.2.2020 sähköpostitse vastaanottaneensa pyynnön. Se totesi, että BA:lla oli ainoastaan oikeus saada välillinen pääsy henkilötietoihin, ja totesi aikovansa varmistaa, että mahdollinen tietojenkäsittely Belgian valtion yleisessä tietokannassa (Banque de données nationale générale) eli kaikkien kansallisten poliisiviranomaisten käyttämässä tietokannassa on lainmukaista. Lisäksi se täsmensi, että se oli toimivaltainen määräämään poliisin tarvittaessa poistamaan tai muuttamaan henkilötietoja ja että tällaisen valvonnan päätteeksi BA:lle ilmoitettaisiin siitä, että tarvittavat tarkistukset on tehty.
26
OCIP ilmoitti 22.6.2020 lähettämässään sähköpostiviestissä BA:n oikeudelliselle avustajalle seuraavaa:
”– –
Saatan tiedoksenne [LPD:n] 42 §:n mukaisesti, että [OCIP] on tehnyt tarvittavat tarkistukset.
Tämä tarkoittaa sitä, että asiakkaanne henkilötiedot on tarkistettu poliisin tietokannoista niiden mahdollisen käsittelyn lainmukaisuuden takaamiseksi.
Henkilötietoja on muutettu tai poistettu, jos se on ollut tarpeen.
Kuten selvitin teille [2.6.2020] päivätyssä sähköpostiviestissäni, [OCIP:n] ei LPD:n 42 §:n mukaan ole mahdollista antaa tämän enempää tietoja.”
27
Ligue des droits humains ja BA tekivät LPD:n 209 §:n toisen momentin nojalla 2.9.2020 välitoimihakemuksen tribunal de première instance francophone de Bruxellesissa (Brysselin ranskankielinen alioikeus, Belgia).
28
Pääasioiden valittajat vaativat, että niiden tekemä välitoimihakemus oli otettava tutkittavaksi, ja pyysivät toissijaisesti sitä, että unionin tuomioistuimelle esitetään kysymys siitä, onko direktiivin 2016/680 47 artiklan 4 kohta, luettuna tämän direktiivin johdanto-osan 85 ja 86 perustelukappaleen valossa ja yhdessä perusoikeuskirjan 8 artiklan 3 kohdan ja 47 artiklan kanssa, esteenä LPD:n 42 ja 71 §:lle siltä osin kuin niissä ei säädetä minkäänlaisista OCIP:n päätöksiä koskevista oikeussuojakeinoista.
29
Toiseksi valittajat vaativat pääasiassa oikeutta tutustua kaikkiin BA:ta koskeviin henkilötietoihin OCIP:n välityksellä ja sitä, että viimeksi mainittu yksilöi rekisterinpitäjät ja tällaisten tietojen mahdolliset vastaanottajat.
30
Siltä varalta, että asiaa käsittelevä tuomioistuin katsoisi, että LPD:n 42 §:n 2 momentin nojalla oli mahdollista järjestelmällisesti rajoittaa pääsyä poliisiviranomaisten käsittelemiin henkilötietoihin, pääasian valittajat pyysivät toissijaisesti, että unionin tuomioistuimelle esitettäisiin kysymys siitä, oliko direktiivin 2016/680 14, 15 ja 17 artiklaa, luettuina yhdessä perusoikeuskirjan 8 ja 47 artiklan sekä 52 artiklan 1 kohdan kanssa, tulkittava siten, että ne ovat esteenä kansalliselle lainsäädännölle, jossa sallitaan yleinen ja järjestelmällinen poikkeus henkilötietoihin pääsyä koskevasta oikeudesta, koska yhtäältä tätä oikeutta käytetään valvontaviranomaisen välityksellä ja koska toisaalta valvontaviranomainen saattaa tyytyä ilmoittamaan rekisteröidylle, että se oli suorittanut kaikki tarvittavat tarkistukset ilmoittamatta tälle käsittelyn kohteena olevia henkilötietoja ja vastaanottajia sekä tavoitellusta päämäärästä riippumatta.
31
Tribunal de première instance francophone de Bruxelles totesi 17.5.2021 antamassaan päätöksessä, ettei sillä ollut toimivaltaa käsitellä kyseistä välitoimihakemusta.
32
Pääasian valittajat valittivat tästä päätöksestä cour d’appel de Bruxellesiin 15.6.2021 päivätyllä valituskirjelmällä. Ne lähinnä toistivat ensimmäisessä oikeusasteessa esittämänsä vaatimukset.
33
Ennakkoratkaisua pyytänyt tuomioistuin toteaa tässä yhteydessä muun muassa, että jos henkilöllä ei ole oikeutta käyttää henkilökohtaisesti direktiivissä 2016/680 säädettyjä oikeuksia, LPD:n 209 §:ssä ja sitä seuraavissa pykälissä säädettyä kieltokannetta ei voida nostaa. Ensinnäkin tällainen menettely voidaan nimittäin panna vireille rekisterinpitäjää mutta ei itse valvontaviranomaista vastaan. Asianomainen henkilö, tässä tapauksessa BA, ei voi myöskään nostaa kieltokannetta rekisterinpitäjää vastaan, koska hänen oikeuksiensa käyttäminen on annettu mainitun viranomaisen tehtäväksi. OCIP:n BA:lle antamat erittäin suppeat tiedot eivät mahdollista sitä, että BA tai tuomioistuin voisi määrittää, onko tämä valvontaviranomainen käyttänyt asianmukaisesti mainitun henkilön oikeuksia. Se toteaa lisäksi, että vaikka LPD:ssä säädetään, että tällainen kieltokanne ei rajoita lainkäyttö- tai hallintomenettelyihin tai tuomioistuimen ulkopuolisiin menettelyihin turvautumista, tällaiset BA:n muut mahdollisuudet käyttää oikeussuojakeinoja estyisivät samoista syistä.
34
Tässä tilanteessa cour d’appel de Bruxelles on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)
Velvoitetaanko [perusoikeuskirjan] 47 artiklassa ja 8 artiklan 3 kohdassa säätämään mahdollisuudesta oikeussuojakeinoon tuomioistuimessa [OCIP:n] kaltaista riippumatonta valvontaviranomaista vastaan tämän käyttäessä rekisteröidyn oikeuksia rekisterinpitäjään nähden?
2)
Onko direktiivin 2016/680 17 artikla [perusoikeuskirjan] 47 artiklan ja 8 artiklan 3 kohdan mukainen, sellaisina kuin unionin tuomioistuin on näitä määräyksiä tulkinnut, siltä osin kuin ensin mainitussa artiklassa velvoitetaan rekisteröidyn oikeuksia rekisterinpitäjään nähden käyttävä valvontaviranomainen vain ilmoittamaan rekisteröidylle, että se on ’tehnyt kaikki tarvittavat tarkistukset tai toteuttanut uudelleentarkastelun’, ja tiedottamaan ’hänen oikeudestaan käyttää oikeussuojakeinoja’, vaikka tällainen ilmoittaminen ei mahdollista sitä, että valvontaviranomaisen toimintaa ja arviota rekisteröityä koskevista tiedoista ja rekisterinpitäjän velvollisuuksista millään tavoin valvottaisiin jälkikäteen?”
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
35
Aluksi on todettava, että ennakkoratkaisupyynnöstä ilmenee, että ennakkoratkaisua pyytäneen tuomioistuimen kysymykset koskevat sitä, onko jäsenvaltioilla direktiivin 2016/680 53 artiklan 1 kohdan, luettuna perusoikeuskirjan 47 artiklan valossa, perusteella velvollisuus säätää oikeudesta tehokkaisiin oikeussuojakeinoihin toimivaltaista kansallista valvontaviranomaista vastaan silloin, kun sovelletaan kyseisen direktiivin 17 artiklan täytäntöön panemiseksi annettua kansallisen oikeuden säännöstä; viimeksi mainitun artiklan mukaan mainitun direktiivin 13 artiklan 3 kohdassa, 15 artiklan 3 kohdassa ja 16 artiklan 4 kohdassa tarkoitetuissa tapauksissa rekisteröidyn oikeuksia voidaan käyttää tällaisen valvontaviranomaisen välityksellä.
36
Lisäksi on todettava, että tähän kysymykseen annettava vastaus riippuu valvontaviranomaisen tehtävän ja valtuuksien luonteesta ja laajuudesta rekisteröidyn oikeuksien käytössä, josta säädetään direktiivin 2016/680 17 artiklassa. Nämä tehtävät ja valtuudet täsmennetään kyseisen direktiivin 46 artiklan 1 kohdan g alakohdassa ja 47 artiklan 1 ja 2 kohdassa, ja niitä on tarkasteltava perusoikeuskirjan 8 artiklan 3 kohdan valossa; siinä edellytetään, että riippumaton viranomainen valvoo 8 artiklan 1 ja 2 kohdassa vahvistettujen henkilötietojen suojaa koskevien sääntöjen noudattamista.
37
Näin ollen on ymmärrettävä, että ennakkoratkaisua pyytänyt tuomioistuin kysyy ensimmäisellä kysymyksellään, onko direktiivin 2016/680 17 artiklaa, luettuna yhdessä kyseisen direktiivin 46 artiklan 1 kohdan g alakohdan, 47 artiklan 1 ja 2 kohdan ja 53 artiklan 1 kohdan sekä perusoikeuskirjan 8 artiklan 3 kohdan ja 47 artiklan kanssa, tulkittava siten, että kun rekisteröidyn oikeuksia on käytetty mainitun 17 artiklan mukaisesti toimivaltaisen valvontaviranomaisen välityksellä, tällä rekisteröidyllä on oltava käytettävissään tehokas oikeussuojakeino mainittua viranomaista vastaan.
38
Aluksi on huomautettava, että direktiivin 2016/680 53 artiklan 1 kohdan mukaan jäsenvaltioiden on säädettävä luonnollisten henkilöiden tai oikeushenkilöiden oikeudesta käyttää tehokkaita oikeussuojakeinoja valvontaviranomaisen oikeudellisesti sitovia heitä koskevia päätöksiä vastaan.
39
On siis määritettävä, tekeekö valvontaviranomainen tällaisen päätöksen, kun mainitussa direktiivissä säädettyjä rekisteröityjen oikeuksia käytetään tämän direktiivin 17 artiklan mukaisesti kyseisen valvontaviranomaisen välityksellä.
40
Tästä on todettava, että direktiivin 2016/680 17 artiklan 1 kohdan mukaan tämän direktiivin ”13 artiklan 3 kohdassa, 15 artiklan 3 kohdassa ja 16 artiklan 4 kohdassa tarkoitetuissa tapauksissa” jäsenvaltioilla on velvollisuus toteuttaa toimenpiteitä, ”joilla varmistetaan, että rekisteröidyn oikeuksia voidaan käyttää myös toimivaltaisen valvontaviranomaisen välityksellä”.
41
Kuten adverbin ”myös” käytöstä ilmenee ja kuten julkisasiamies on ratkaisuehdotuksensa 41 ja 42 kohdassa todennut, rekisteröidyn oikeuksien välillinen käyttäminen toimivaltaisen valvontaviranomaisen välityksellä, mistä tässä säännöksessä säädetään, on rekisteröidylle annettu täydentävä tae siitä, että hänen henkilötietojaan käsitellään lainmukaisesti tilanteessa, jossa kansallisilla säännöksillä rajoitetaan direktiivin 2016/680 13 artiklan 2 kohdassa tarkoitettua oikeutta saada lisätietoja suoraan rekisterinpitäjältä, kyseisen direktiivin 14 artiklassa säädettyä oikeutta saada pääsy näihin tietoihin tai oikeutta henkilötietojen oikaisemiseen tai poistamiseen sekä käsittelyn rajoittamiseen kyseisen direktiivin 16 artiklan 1–3 kohdassa säädetyin edellytyksin.
42
On nimittäin niin, että kun otetaan huomioon niiden tarkoitusten erityinen luonne, joita varten tämän direktiivin soveltamisalaan kuuluva tietojenkäsittely suoritetaan ja joita korostetaan muun muassa sen johdanto-osan kymmenennessä perustelukappaleessa, direktiivin 2016/680 13 artiklan 3 kohdassa ja 15 artiklan 1 kohdassa annetaan kansalliselle lainsäätäjälle oikeus rajoittaa yhtäältä tiedonsaantioikeuden suoraa käyttämistä ja toisaalta suoraa pääsyä tietoihin ”siltä osin ja niin pitkäksi aikaa kuin tällainen toimenpide on välttämätön ja oikeasuhteinen demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut”, ”jotta vältetään virallisten tai laillisten tiedustelujen, tutkimusten tai menettelyjen estäminen”, ”jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, paljastamiselle, tutkimiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle”, tai ”yleisen turvallisuuden suojelemiseksi”, ”kansallisen turvallisuuden suojelemiseksi” tai ”muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi”. Lisäksi direktiivin 15 artiklan 3 kohdassa säädetään, että rekisterinpitäjä voi jättää ilmoittamatta rekisteröidylle tietoihin pääsyn epäämisestä tai rajoittamisesta tai epäämisen tai rajoittamisen perusteluista, jos tällaisten tietojen antaminen voisi vaarantaa jonkin edellä mainitun yleisen edun mukaisen tarkoituksen.
43
Samoin mainitun direktiivin 16 artiklan 4 kohdassa sallitaan se, että kansallinen lainsäätäjä rajoittaa rekisterinpitäjän velvollisuutta ”ilmoittaa rekisteröidylle kirjallisesti, jos henkilötietojen oikaisemisesta, poistamisesta tai käsittelyn rajoittamisesta kieltäydytään, sekä kieltäytymisen syistä”, samojen yleisen edun mukaisten tarkoitusten vuoksi ”siltä osin kuin tällainen rajoittaminen on välttämätön ja oikeasuhteinen toimenpide demokraattisessa yhteiskunnassa, ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön perusoikeudet ja oikeutetut edut”.
44
Kuten mainitun direktiivin johdanto-osan 48 perustelukappaleesta ilmenee, tämän tuomion 41 kohdassa tarkoitettujen oikeuksien välillistä käyttämistä toimivaltaisen valvontaviranomaisen välityksellä on näin ollen tässä yhteydessä pidettävä tarpeellisena näiden oikeuksien suojaamiseksi, koska niiden käyttäminen suoraan rekisterinpitäjään nähden on vaikeaa tai jopa mahdotonta.
45
Tässä tarkoituksessa direktiivin 2016/680 46 artiklan 1 kohdan g alakohdassa edellytetään, että kunkin toimivaltaisen kansallisen viranomaisen tehtävänä on tarkistaa käsittelyn lainmukaisuus direktiivin 2016/680 tarkistaa 17 artiklan mukaisesti eli kyseiseen säännökseen perustuvan pyynnön perusteella.
46
Lisäksi erityisesti mainitun direktiivin 47 artiklan 1 ja 2 kohdasta ilmenee, että jokaisella valvontaviranomaisella on kansallisen lainsäädännön nojalla oltava paitsi ”tehokkaat tutkintavaltuudet” myös ”tehokkaat korjaavat toimivaltuudet”.
47
Näitä säännöksiä on luettava perusoikeuskirjan 8 artiklan 3 kohdassa ilmaistun sen edellytyksen valossa, jonka mukaan niiden sääntöjen noudattamista, jotka koskevat jokaisen henkilön oikeutta henkilötietojen suojaan ja jotka vahvistetaan kyseisen artiklan 1 ja 2 kohdassa, ”[valvoo] riippumaton viranomainen”, ja erityisesti mainitun 2 kohdan toisessa virkkeessä asetetun sen edellytyksen valossa, jonka mukaan ”jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi”. Kuten vakiintuneessa oikeuskäytännössä nimittäin vahvistetaan, säätämällä riippumattomasta valvontaviranomaisesta pyritään varmistamaan luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä koskevien sääntöjen noudattamisen valvonnan tehokkuus ja luotettavuus, ja sitä on tulkittava tämän tavoitteen valossa (ks. vastaavasti lausunto 1/15 (EU:n ja Kanadan välinen PNR-sopimus), 26.7.2017, EU:C:2017:592, 229 kohta oikeuskäytäntöviittauksineen).
48
Kun tällainen valvontaviranomainen toimii varmistaakseen rekisteröidyn oikeuksien käyttämisen mainitun direktiivin 2016/680 17 artiklan perusteella, sen tehtävä on siis täysin sille unionin primaarioikeudessa määritetyn tehtävän mukainen, koska tämä määritelmä merkitsee erityisesti rekisteröidyn tiedonsaantioikeuden ja oikaisuoikeuden noudattamisen valvontaa. Tästä seuraa, että tätä erityistehtävää hoitaessaan, kuten minkä tahansa muun tehtävän yhteydessä, valvontaviranomaisen on voitava käyttää sille tämän direktiivin 47 artiklan nojalla annettuja valtuuksia toimimalla täysin riippumattomasti perusoikeuskirjan mukaisesti, kuten kyseisen direktiivin johdanto-osan 75 perustelukappaleessa todetaan.
49
Lisäksi sen jälkeen, kun toimivaltainen valvontaviranomainen on tarkistanut käsittelyn lainmukaisuuden, sen on mainitun direktiivin 17 artiklan 3 kohdan ensimmäisen virkkeen mukaan ilmoitettava rekisteröidylle ”ainakin” siitä, että ”valvontaviranomainen on tehnyt kaikki tarvittavat tarkistukset tai toteuttanut uudelleentarkastelun”.
50
Kuten julkisasiamies on todennut ratkaisuehdotuksensa 65 kohdassa, kaikista näistä säännöksistä on pääteltävä, että kun toimivaltainen valvontaviranomainen ilmoittaa rekisteröidylle tekemänsä tarkistuksen tuloksesta, se ilmoittaa tälle henkilölle myös päätöksestä, jonka se on tehnyt tämän henkilön osalta tarkistusmenettelyn lopettamisesta, ja tämä päätös vaikuttaa välttämättä tämän henkilön oikeusasemaan. Tämä päätös on siis rekisteröidyn osalta direktiivin 2016/680 53 artiklan 1 kohdassa tarkoitettu ”oikeudellisesti sitova päätös” riippumatta siitä, onko kyseinen viranomainen todennut – ja missä määrin – rekisteröityä koskevien tietojen käsittelyn lainmukaiseksi ja toteuttanut korjaavia toimenpiteitä.
51
Lisäksi kyseisen direktiivin johdanto-osan 86 perustelukappaleessa todetaan, että tässä direktiivissä tarkoitetun sitovan päätöksen käsitteen on katsottava tarkoittavan päätöstä, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia, ja erityisesti päätöstä, joka koskee valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä.
52
Näin ollen rekisteröidyllä on oltava mahdollisuus saattaa tuomioistuinvalvonnan kohteeksi direktiivin 2016/680 53 artiklan 1 kohdan perusteella tällaisen päätöksen perusteltavuus ja erityisesti tapa, jolla valvontaviranomainen on täyttänyt direktiivin 2016/680 17 artiklaan perustuvan velvollisuutensa – johon kyseisen direktiivin 46 artiklan 1 kohdan g alakohdassa viitataan – ”[tehdä] kaikki tarvittavat tarkistukset” ja tarvittaessa käyttää korjaavia toimivaltuuksiaan.
53
Tätä päätelmää tukee lisäksi direktiivin 2016/680 johdanto-osan 85 perustelukappale, josta ilmenee, että jokaisella rekisteröidyllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin tätä valvontaviranomaista vastaan, jos tämä valvontaviranomainen ”ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi”.
54
Lopuksi on todettava, että tällainen tulkinta on perusoikeuskirjan 47 artiklan mukainen, koska – kuten vakiintuneesta oikeuskäytännöstä ilmenee – tämä oikeus on tunnustettava kaikille henkilöille, jotka vetoavat unionin oikeudessa taattuihin oikeuksiin tai vapauksiin sellaisen heille vastaisen päätöksen osalta, joka voi loukata näitä oikeuksia tai vapauksia (ks. vastaavasti tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 87 kohta oikeuskäytäntöviittauksineen).
55
Kaiken edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että direktiivin 2016/680 17 artiklaa, luettuna yhdessä tämän direktiivin 46 artiklan 1 kohdan g alakohdan, 47 artiklan 1 ja 2 kohdan ja 53 artiklan 1 kohdan sekä perusoikeuskirjan 8 artiklan 3 kohdan ja 47 artiklan kanssa, on tulkittava siten, että kun rekisteröidyn oikeuksia on käytetty mainitun 17 artiklan mukaisesti toimivaltaisen valvontaviranomaisen välityksellä ja kyseinen viranomainen ilmoittaa tälle rekisteröidylle tekemänsä tarkistuksen tuloksesta, viimeksi mainitulla on oltava käytettävissään tehokas oikeussuojakeino tämän viranomaisen tarkistusmenettelyn lopettamisesta tekemää päätöstä vastaan.
Toinen kysymys
56
Ennakkoratkaisua pyytänyt tuomioistuin kysyy toisella kysymyksellään, onko direktiivin 2016/680 17 artiklan 3 kohta pätevä perusoikeuskirjan 8 artiklan 3 kohtaan ja 47 artiklaan nähden siltä osin kuin valvontaviranomainen velvoitetaan siinä tiedottamaan rekisteröidylle ainoastaan yhtäältä, että valvontaviranomainen on tehnyt kaikki tarvittavat tarkistukset tai toteuttanut uudelleentarkastelun, ja toisaalta, että tällä rekisteröidyllä on oikeus käyttää oikeussuojakeinoja, mikäli tällainen ilmoittaminen ei mahdollista valvontaviranomaisen toiminnan ja arviontien tuomioistuinvalvontaa, kun otetaan huomioon käsitellyt tiedot ja rekisterinpitäjän velvollisuudet.
57
Aluksi on huomautettava yhtäältä, että yleisen tulkintaperiaatteen mukaan unionin toimea on tulkittava niin pitkälle kuin mahdollista tavalla, joka ei aseta sen pätevyyttä kyseenalaiseksi, ja kaiken primaarioikeuden sekä erityisesti perusoikeuskirjan määräysten mukaisesti. Niinpä tilanteessa, jossa unionin johdettua oikeutta voidaan tulkita eri tavoin, etusija on annettava tulkinnalle, jonka ansiosta säännös on primaarioikeuden mukainen, eikä tulkinnalle, jonka johdosta säännöksen todetaan olevan ristiriidassa sen kanssa (tuomio 21.6.2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, 86 kohta oikeuskäytäntöviittauksineen).
58
Toisaalta perusoikeuskirjan 47 artiklassa taattu oikeus tehokkaisiin oikeussuojakeinoihin edellyttää lähtökohtaisesti, että asianomaisen on voitava saada tieto häntä koskevan päätöksen perusteluista, jotta hän voi puolustaa oikeuksiaan parhain mahdollisin edellytyksin ja päättää kaikista asiaan vaikuttavista seikoista tietoisena, onko asian saattaminen toimivaltaisen tuomioistuimen käsiteltäväksi tarpeellista, ja jotta viimeksi mainittu kykenee täysimääräisesti harjoittamaan tähän päätökseen kohdistuvaa laillisuusvalvontaa (ks. vastaavasti tuomio 4.6.2013, ZZ, C‑300/11, EU:C:2013:363, 53 kohta oikeuskäytäntöviittauksineen).
59
Vaikka tämä oikeus ei ole ehdoton ja vaikka perusoikeuskirjan 52 artiklan 1 kohdassa määrätään, että sitä voidaan rajoittaa, tämä edellyttää, että näistä rajoituksista säädetään lailla, että niissä kunnioitetaan kyseisten oikeuksien ja vapauksien keskeistä sisältöä ja että rajoitukset ovat suhteellisuusperiaatteen mukaisesti välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia (tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 89 kohta oikeuskäytäntöviittauksineen).
60
Nyt käsiteltävässä asiassa on todettava, että siltä osin kuin on kyse tämän tuomion 50 kohdassa yksilöidystä toimivaltaisen valvontaviranomaisen päätöksestä, direktiivin 2016/680 17 artiklan 3 kohdassa asetetaan kyseiselle valvontaviranomaiselle tiedottamista koskeva vähimmäisvelvollisuus, kun siinä säädetään, että kyseisen viranomaisen on ilmoitettava rekisteröidylle ”ainakin” siitä, että ”valvontaviranomainen on tehnyt kaikki tarvittavat tarkistukset tai toteuttanut uudelleentarkastelun”, ja ”hänen oikeudestaan käyttää oikeussuojakeinoja”.
61
Tästä seuraa, että koska kyseinen säännös ei ole esteenä sille, että valvontaviranomaisella voi tietyissä tapauksissa kansallisen lainsäätäjän säännöksen täytäntöön panemiseksi antamien sääntöjen mukaisesti olla mahdollisuus tai jopa velvollisuus rajoittaa tiedottaminen edellisessä kohdassa tarkoitettuihin vähimmäistietoihin ilman muita täsmennyksiä, erityisesti silloin, kun näillä säännöillä pyritään välttämään kyseisen direktiivin 13 artiklan 3 kohdassa, 15 artiklan 1 kohdassa ja 16 artiklan 4 kohdassa mainittujen yleisten etujen mukaisten tavoitteiden vaarantuminen, kuten tämän tuomion 42 ja 43 kohdassa on todettu, tämä säännös saattaa rajoittaa perusoikeuskirjan 47 artiklassa taattua oikeutta tehokkaisiin oikeussuojakeinoihin.
62
On kuitenkin todettava ensinnäkin, että tällaisesta rajoituksesta säädetään nimenomaisesti direktiivissä 2016/680 ja että näin se täyttää perusoikeuskirjan 52 artiklan 1 kohdassa vahvistetun edellytyksen, jonka mukaan perusoikeuden käyttämistä voidaan rajoittaa ainoastaan ”lailla”.
63
Toiseksi se, että direktiivin 2016/680 17 artiklan 3 kohdassa sallitaan se, että jäsenvaltiot voivat tietyissä tapauksissa rajoittaa kyseisen päätöksen perustelut säännöksessä mainittuihin vähimmäisseikkoihin, ei merkitse, kuten julkisasiamies toteaa ratkaisuehdotuksensa 89 kohdassa, että kaikissa olosuhteissa olisi mahdollista rajoittaa rekisteröidylle annettavat tiedot koskemaan vain näitä seikkoja.
64
Kyseistä säännöstä on nimittäin tulkittava perusoikeuskirjan 52 artiklan 1 kohdan valossa siten, että siinä mainitut muut edellytykset täyttyvät. Tämä merkitsee sitä, että siinä velvoitetaan jäsenvaltiot varmistamaan, että säännöksen täytäntöön panemiseksi annetuissa kansallisen oikeuden säännöksissä yhtäältä kunnioitetaan rekisteröidyn tehokasta oikeussuojaa koskevan oikeuden keskeistä sisältöä ja että ne toisaalta perustuvat niiden yleisen edun mukaisten tarkoitusten punnintaan, jotka oikeuttavat rajoittamaan kyseistä tiedottamista sekä rekisteröidyn perusoikeuksia ja oikeutettuja etuja, tarpeellisuus- ja suhteellisuusperiaatetta noudattaen, samoin kuin on sen punninnan osalta, joka kansallisen lainsäätäjän on tehtävä pannessaan täytäntöön tämän direktiivin 13 artiklan 3 kohdassa, 15 artiklan 3 kohdassa ja 16 artiklan 4 kohdassa säädettyjä rajoituksia.
65
Erityisesti silloin, kun yhtäältä rekisteröidyn oikeus tehokkaisiin oikeussuojakeinoihin tarkistusmenettelyn lopettamisesta tehtyä päätöstä vastaan sitä edellyttää ja jos toisaalta direktiivin 2016/680 13 artiklan 3 kohdassa, 15 artiklan 3 kohdassa ja 16 artiklan 4 kohdassa tarkoitetut yleisen edun mukaiset tavoitteet eivät ole esteenä, jäsenvaltioiden on säädettävä, että rekisteröidylle ilmoittaminen voi ylittää kyseisen direktiivin 17 artiklan 3 kohdassa säädetyt vähimmäistiedot, jotta hän voi puolustaa oikeuksiaan ja päättää kaikista asiaan vaikuttavista seikoista tietoisena, onko asian saattaminen toimivaltaisen tuomioistuimen käsiteltäväksi tarpeen.
66
Samoin viimeksi mainitun säännöksen täytäntöön panemiseksi toteutettavien kansallisten toimenpiteiden on mahdollisuuksien mukaan jätettävä toimivaltaiselle valvontaviranomaiselle sille perusoikeuskirjan 8 artiklan 3 kohdan mukaan tyypillisen riippumattomuuden mukaisesti tiettyä harkintavaltaa sen määrittämiseksi, onko kansallisessa lainsäädännössä tämän tuomion 65 kohdassa mainittujen vaatimusten mukaisesti määritelty kehys esteenä sille, että viranomainen ilmoittaa rekisteröidylle ainakin suppeasti tarkistustensa tulokset ja mahdollisesti toteuttamansa korjaavat toimenpiteet. Kuten julkisasiamies on todennut tästä ratkaisuehdotuksensa 73 ja 74 kohdassa, kyseisen viranomaisen tehtävänä on tätä kansallista lainsäädäntökehystä noudattaen aloittaa luottamuksellinen vuoropuhelu rekisterinpitäjän kanssa ja päättää tämän vuoropuhelun päätteeksi, mitkä ovat ne tiedot, jotka ovat tarpeen, jotta rekisteröity voi käyttää oikeuttaan tehokkaisiin oikeussuojakeinoihin, ja jotka viranomainen voi toimittaa rekisteröidylle vaarantamatta tämän tuomion 65 kohdassa tarkoitettuja yleisen edun mukaisia tavoitteita.
67
Lisäksi niissä tapauksissa, joissa mainitussa lainsäädäntökehyksessä edellytetään, että valvontaviranomaisen toimittamat tiedot rajoittuvat direktiivin 2016/680 17 artiklan 3 kohdassa säädettyyn, jäsenvaltioiden on kuitenkin menettelyllisen itsemääräämisoikeutensa puitteissa toteutettava tarvittavat toimenpiteet, jotta voidaan varmistaa kyseisen direktiivin 53 artiklan 1 kohdan mukaisesti sekä näiden tietojen rajoittamisen oikeuttavien perusteiden olemassaoloa ja perusteltavuutta koskeva tuomioistuinvalvonta että sen tuomioistuinvalvonta, että valvontaviranomainen tarkistaa asianmukaisesti tietojenkäsittelyn lainmukaisuuden. Tässä yhteydessä viimeksi mainitussa säännöksessä tarkoitettua tehokkaiden oikeussuojakeinojen käsitettä on tulkittava mainitun direktiivin johdanto-osan 86 perustelukappaleen valossa; sen mukaan tuomioistuinten, joissa kanne valvontaviranomaista vastaan on nostettu, ”olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat sen käsiteltäväksi saatetun asian kannalta olennaisia”.
68
Jäsenvaltioiden on erityisesti varmistettava, että toimivaltaisella tuomioistuimella on käytettävissään ja että se käyttää sellaisia prosessioikeuden sääntöjä ja keinoja, joiden avulla voidaan sovittaa yhteen yhtäältä direktiivin 2016/680 13 artiklan 3 kohdassa, 15 artiklan 3 kohdassa ja 16 artiklan 4 kohdassa tarkoitettuihin yleisen edun mukaisiin tavoitteisiin, jotka on otettu huomioon kansallisessa lainsäädännössä rekisteröidylle annettavien tietojen rajoittamiseksi, liittyvät legitiimit näkökohdat ja toisaalta tarve taata riittävästi yksityiselle se, että hänen menettelyllisiä oikeuksiaan, kuten oikeutta tulla kuulluksi ja kontradiktorista periaatetta, kunnioitetaan (ks. vastaavasti tuomio 4.6.2013, ZZ, C‑300/11, EU:C:2013:363, 57 kohta oikeuskäytäntöviittauksineen).
69
Sitä, soveltaako valvontaviranomainen kyseisen direktiivin 17 artiklaa asianmukaisesti, koskevan tuomioistuinvalvonnan yhteydessä jäsenvaltioiden on säädettävä säännöistä, joiden avulla toimivaltainen tuomioistuin voi ottaa huomioon kaikki perusteet ja niihin liittyvät todisteet, joihin tämä viranomainen on perustanut kyseessä olevan tietojenkäsittelyn lainmukaisuuden tarkistamisen sekä siitä tekemänsä johtopäätökset (ks. vastaavasti tuomio 4.6.2013, ZZ, C‑300/11, EU:C:2013:363, 59 kohta oikeuskäytäntöviittauksineen).
70
Kuten Euroopan parlamentti on todennut huomautuksissaan, direktiivin 2016/680 15 artiklan 4 kohdassa säädetään tältä osin, että rekisterinpitäjä dokumentoi ne seikat tai oikeudelliset syyt, joihin se perustaa päätöksensä, jolla se rajoittaa osittain tai kokonaan rekisteröidyn pääsyä tietoihin, ja että näiden tietojen on oltava pyynnöstä valvontaviranomaisten saatavilla. Kuten kyseinen toimielin on todennut, tämä säännös, luettuna yhdessä kyseisen direktiivin 17 ja 53 artiklan kanssa sekä perusoikeuskirjan 47 artiklan valossa, sellaisena kuin sitä on tulkittu tämän tuomion 68 ja 69 kohdassa mainitussa oikeuskäytännössä, merkitsee sitä, että nämä tiedot on myös annettava sen tuomioistuimen käyttöön, jolta valvontaviranomaista vastaan on haettu muutosta mainitun 17 artiklan asianmukaisen soveltamisen valvomiseksi.
71
Tämän tuomion 63–70 kohdasta ilmenee siten, että direktiivin 2016/680 17 artiklassa säädetyllä rajoituksella kunnioitetaan sen oikeuden sisältöä, joka rekisteröidyllä on tehokkaisiin oikeussuojakeinoihin valvontaviranomaisen kyseisessä säännöksessä tarkoitetun menettelyn lopettamisesta tekemää päätöstä vastaan, sekä noudatetaan tarpeellisuus- ja suhteellisuusperiaatetta perusoikeuskirjan 52 artiklan 1 kohdan mukaisesti.
72
Edellä esitetyn perusteella on todettava, ettei toista kysymystä tarkasteltaessa ole tullut esille seikkoja, jotka voisivat vaikuttaa direktiivin 2016/680 17 artiklan 3 kohdan pätevyyteen.
Oikeudenkäyntikulut
73
Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (viides jaosto) on ratkaissut asian seuraavasti:
1)
Luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/860 17 artiklaa, luettuna yhdessä tämän direktiivin 46 artiklan 1 kohdan g alakohdan, 47 artiklan 1 ja 2 kohdan ja 53 artiklan 1 kohdan sekä Euroopan unionin perusoikeuskirjan 8 artiklan 3 kohdan ja 47 artiklan kanssa,
on tulkittava siten, että
kun rekisteröidyn oikeuksia on käytetty mainitun 17 artiklan mukaisesti toimivaltaisen valvontaviranomaisen välityksellä ja kyseinen viranomainen ilmoittaa tälle rekisteröidylle tekemänsä tarkistuksen tuloksesta, viimeksi mainitulla on oltava käytettävissään tehokas oikeussuojakeino tämän viranomaisen tarkistusmenettelyn lopettamisesta tekemää päätöstä vastaan.
2)
Toista kysymystä tarkasteltaessa ei ole tullut esille seikkoja, jotka voisivat vaikuttaa direktiivin 2016/680 17 artiklan 3 kohdan pätevyyteen.
Allekirjoitukset
(
*1
)	Oikeudenkäyntikieli: ranska.