62022CJ0333
TEISINGUMO TEISMO (penktoji kolegija) SPRENDIMAS
2023 m. lapkričio 16 d. (
*1
)
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Direktyva (ES) 2016/680 – 17 straipsnis – Duomenų subjekto teisių įgyvendinimas per priežiūros instituciją – Duomenų tvarkymo teisėtumo tikrinimas – 17 straipsnio 3 dalis – Minimali pareiga informuoti duomenų subjektui – Apimtis – Galiojimas – 53 straipsnis – Teisė imtis veiksmingos teisminės teisių gynimo priemonės prieš priežiūros instituciją – Sąvoka „teisiškai privalomas sprendimas“ – Europos Sąjungos pagrindinių teisių chartija – 8 straipsnio 3 dalis – Nepriklausomos institucijos vykdoma kontrolė – 47 straipsnis – Teisė į veiksmingą teisminę gynybą“
Byloje C‑333/22
dėl Cour d’appel de Bruxelles (Briuselio apeliacinis teismas, Belgija) 2022 m. gegužės 9 d. sprendimu, kurį Teisingumo Teismas gavo 2022 m. gegužės 20 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
Ligue des droits humains ASBL,
BA
prieš
Organe de contrôle de l’information policière
TEISINGUMO TEISMAS (penktoji kolegija),
kurį sudaro kolegijos pirmininkas E. Regan, teisėjai Z. Csehi, M. Ilešič, I. Jarukaitis ir D. Gratsias (pranešėjas),
generalinė advokatė L. Medina,
posėdžio sekretorė M. Siekierzyńska, administratorė,
atsižvelgęs į rašytinę proceso dalį ir įvykus 2023 m. kovo 29 d. posėdžiui,
išnagrinėjęs pastabas, pateiktas:
–
Ligue des droits humains ASBL ir BA, atstovaujamų advokatės C. Forget,
–
Organe de contrôle de l’information policière (OCIP), atstovaujamos advocaten J. Bosquet ir J.-F. De Bock,
–
Belgijos vyriausybės, atstovaujamos P. Cottin, J.-C. Halleux, C. Pochet ir A. Van Baelen, padedamų advokatų N. Cariat, C. Fischer, B. Lombaert ir J. Simba,
–
Čekijos vyriausybės, atstovaujamos O. Serdula, M. Smolek ir J. Vláčil,
–
Prancūzijos vyriausybės, atstovaujamos J. Illouz,
–
Europos Parlamento, atstovaujamo S. Alonso de León, O. Hrstková Šolcová, P. López-Carceller ir M. Thibault,
–
Europos Komisijos, atstovaujamos A. Bouchagiar, H. Kranenborg, A.-C. Simon ir F. Wilman,
susipažinęs su 2023 m. birželio 15 d. posėdyje pateikta generalinės advokatės išvada,
priima šį
Sprendimą
1
Prašymas priimti prejudicinį sprendimą pateiktas, pirma, dėl Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 3 dalies ir 47 straipsnio išaiškinimo ir, antra, dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, ir kur[ia] panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L 119, 2016, p. 89), 17 straipsnio galiojimo, atsižvelgiant į minėtas Chartijos nuostatas.
2
Šis prašymas pateiktas nagrinėjant Ligue des droits humains
ASBL (Žmogaus teisių lyga) ir BA ginčą su Organe de contrôle de l’information policière (OCIP) (Policijos informacijos peržiūros tarnyba, Belgija) dėl BA teisių, susijusių su Belgijos policijos tarnybų tvarkomais jo asmens duomenimis, kuriais remdamasi Autorité nationale de sécurité (Nacionalinė saugumo tarnyba, Belgija) atmetė šio asmens pateiktą prašymą išduoti saugos leidimą, įgyvendinimo per šią instituciją.
Teisinis pagrindas
Sąjungos teisė
3
Direktyvos 2016/680 7, 10, 43, 46, 48, 75, 82, 85 ir 86 konstatuojamosiose dalyse nustatyta:
„(7)
siekiant užtikrinti veiksmingą teisminį bendradarbiavimą baudžiamosiose bylose ir policijos bendradarbiavimą, labai svarbu užtikrinti nuoseklią fizinių asmenų asmens duomenų aukšto lygio apsaugą ir palengvinti valstybių narių kompetentingų institucijų keitimąsi asmens duomenimis. Tuo tikslu visose valstybėse narėse turėtų būti užtikrinta lygiavertė fizinių asmenų teisių ir laisvių apsauga kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo, baudžiamojo persekiojimo arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais. Siekiant veiksmingos asmens duomenų apsaugos visoje Sąjungoje, reikia stiprinti duomenų subjektų teises ir asmens duomenis tvarkančiųjų pareigas, taip pat atitinkamus stebėsenos, kaip laikomasi asmens duomenų apsaugos taisyklių, bei tokių taisyklių laikymosi užtikrinimo įgaliojimus valstybėse narėse;
<…>
(10)
deklaracijoje Nr. 21 dėl asmens duomenų apsaugos teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse, pridėtoje prie Tarpvyriausybinės konferencijos, kurioje priimta Lisabonos sutartis, baigiamojo akto, konferencija pripažino, kad dėl teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo sričių ypatingo pobūdžio tose srityse gali reikėti [SESV] 16 straipsniu grindžiamų specialių taisyklių dėl asmens duomenų apsaugos ir laisvo asmens duomenų judėjimo;
<…>
(43)
fizinis asmuo turėtų turėti teisę susipažinti su apie jį surinktais duomenimis ir galimybę šia teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. <…>
<…>
(46)
bet kokie duomenų subjekto teisių apribojimai turi atitikti Chartiją ir [1950 m. lapkričio 4 d. Romoje pasirašytą Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvenciją], kaip išaiškinta atitinkamai pagal Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką, ir visų pirma tokiais apribojimais negalima pažeisti tų teisių ir laisvių esmės.
<…>
(48)
jei duomenų valdytojas nesuteikia duomenų subjektui teisės gauti informaciją, susipažinti su duomenimis arba teisės reikalauti duomenis ištaisyti ar ištrinti arba apriboti jų tvarkymą, duomenų subjektas turėtų turėti teisę prašyti, kad nacionalinė priežiūros institucija patikrintų duomenų tvarkymo teisėtumą. <…>
<…>
(75)
visiškai nepriklausomai savo funkcijas galinčių vykdyti priežiūros institucijų įsteigimas valstybėse narėse yra esminė fizinių asmenų apsaugos tvarkant jų asmens duomenis dalis. Priežiūros institucijos turėtų stebėti, kaip taikomos pagal šią direktyvą priimtos nuostatos, ir turėtų padėti jas nuosekliai taikyti visoje Sąjungoje, kad būtų apsaugoti fiziniai asmenys tvarkant jų asmens duomenis. <…>
<…>
(82)
siekiant užtikrinti veiksmingą, patikimą ir nuoseklią šios direktyvos laikymosi stebėseną ir jos vykdymą visoje Sąjungoje pagal SESV, kaip išaiškinta Teisingumo Teismo, kiekvienoje valstybėje narėje priežiūros institucijos turėtų vykdyti tas pačias užduotis ir naudotis tais pačiais veiksmingais įgaliojimais, įskaitant tyrimo įgaliojimus, įgaliojimus imtis taisomųjų veiksmų ir patariamuosius įgaliojimus – šie įgaliojimai yra būtinos priemonės jų užduotims atlikti. <…>
<…>
(85)
kiekvienas duomenų subjektas turėtų turėti teisę pateikti skundą vienai priežiūros institucijai ir teisę į veiksmingą teisminę teisių gynimo priemonę pagal Chartijos 47 straipsnį, jeigu duomenų subjektas mano, kad jo teisės remiantis pagal šią direktyvą priimtomis nuostatomis yra pažeistos, arba jeigu priežiūros institucija nesiima veiksmų dėl skundo, iš dalies arba visiškai atmeta skundą arba jo nepriima, arba nesiima veiksmų, kai tokie veiksmai yra būtini duomenų subjekto teisėms apsaugoti. <…>
(86)
kiekvienas fizinis ar juridinis asmuo turėtų turėti teisę kompetentingame nacionaliniame teisme imtis veiksmingų teisminių teisių gynimo priemonių priežiūros institucijos sprendimo, turinčio tam asmeniui teisinių padarinių, atžvilgiu. Toks sprendimas yra susijęs visų pirma su priežiūros institucijos naudojimusi tyrimo įgaliojimais, įgaliojimais imtis taisomųjų veiksmų ir leidimų išdavimo įgaliojimais arba skundų nepriėmimu ar atmetimu. Tačiau ta teisė neapima kitų priežiūros institucijų priemonių, kurios nėra teisiškai privalomos, pavyzdžiui, priežiūros institucijos pateiktų nuomonių ar patarimų. Procesas prieš priežiūros instituciją turėtų būti pradedamas valstybės narės, kurioje priežiūros institucija yra įsteigta, teismuose ir turėtų vykti laikantis valstybės narės teisės. Tie teismai turėtų turėti visapusišką jurisdikciją, kuri turėtų apimti jurisdikciją nagrinėti visus faktinius ir teisinius klausimus, susijusius su ginču, dėl kurio į juos kreiptasi.“
4
Šios direktyvos 1 straipsnio „Dalykas ir tikslai“ 1 ir 2 dalyse nustatyta:
„1.   Šioje direktyvoje nustatytos taisyklės, susijusios su fizinių asmenų apsauga kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais.
2.   Remdamosi šia direktyva, valstybės narės:
a)
saugo fizinių asmenų pagrindines teises ir laisves, visų pirma jų teisę į asmens duomenų apsaugą, ir
b)
užtikrina, kad kompetentingų institucijų keitimasis asmens duomenimis Sąjungoje, kai tokio keitimosi reikalaujama pagal Sąjungos arba valstybės narės teisę, nebūtų ribojamas ar draudžiamas dėl su fizinių asmenų apsauga tvarkant asmens duomenis susijusių priežasčių.“
5
Minėtoje direktyvoje yra III skyrius „Duomenų subjekto teisės“, jame, be kita ko, įtvirtinti 13–17 straipsniai. 13 straipsnio „Informacija, kuri padaroma prieinama duomenų subjektui arba kuri turi būti pateikta duomenų subjektui“ 1 dalyje nustatyta valstybių narių pareiga numatyti, kad duomenų valdytojas duomenų subjektui padarytų prieinamą tam tikrą būtiniausią informaciją, pavyzdžiui, duomenų valdytojo tapatybę ir kontaktinius duomenis. Be to, šio straipsnio 2 dalyje išvardyta papildoma informacija, kurią pateikti duomenų subjektui valstybės narės pagal teisės aktus turi įpareigoti duomenų valdytoją, kad duomenų subjektas galėtų pasinaudoti savo teisėmis. Šio straipsnio 3 ir 4 dalyse nustatyta:
„3.   Valstybės narės gali priimti teisėkūros priemones, kuriomis informacijos teikimas duomenų subjektui pagal 2 dalį būtų atidėtas, apribotas arba kuriomis jo būtų nepaisoma tiek, kiek ir tol, kol tokia priemonė, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra būtina ir proporcinga demokratinės visuomenės priemonė, siekiant:
a)
netrukdyti atlikti oficialius arba teis[m]inius nagrinėjimus, tyrimus ar procedūras;
b)
nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;
c)
užtikrinti visuomenės saugumą;
d)
užtikrinti nacionalinį saugumą;
e)
apsaugoti kitų asmenų teises ir laisves.
4.   Valstybės narės gali priimti teisėkūros priemones, kuriomis būtų nustatyta, kokioms duomenų tvarkymo kategorijoms gali būti visiškai arba iš dalies taikomas bet kuris iš 3 dalies punktų.“
6
Tos pačios direktyvos 14 straipsnyje „Duomenų subjekto teisė susipažinti su asmens duomenimis“ nurodyta:
„Atsižvelgiant į 15 straipsnį, valstybės narės numato, kad duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei jie yra tvarkomi, kad jis turi teisę susipažinti su asmens duomenimis ir toliau nurodyta informacija <…>“
7
Direktyvos 2016/680 15 straipsnis „Teisės susipažinti su asmens duomenimis apribojimai“ suformuluotas taip:
„1.   Valstybės narės gali priimti teisėkūros priemones, kuriomis visiškai arba iš dalies būtų apribota duomenų subjekto teisė susipažinti su duomenimis tiek, kiek ir kol toks dalinis arba visiškas apribojimas, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra būtina ir proporcinga demokratinės visuomenės priemonė, siekiant:
a)
netrukdyti atlikti oficialius arba teis[m]inius nagrinėjimus, tyrimus ar procedūras;
b)
nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;
c)
užtikrinti visuomenės saugumą;
d)
užtikrinti nacionalinį saugumą;
e)
apsaugoti kitų asmenų teises ir laisves.
2.   Valstybės narės gali priimti teisėkūros priemones, kuriomis būtų nustatyta, kokioms duomenų tvarkymo kategorijoms gali būti visiškai arba iš dalies taikomi 1 dalies a–e punktai.
3.   1 ir 2 dalyse nurodytais atvejais valstybės narės numato, kad duomenų valdytojas nepagrįstai nedelsdamas turi raštu informuoti duomenų subjektą apie bet kokį atsisakymą suteikti teisę susipažinti su duomenimis arba tokios teisės apribojimą ir tokio atsisakymo ar apribojimo priežastis. Tokia informacija gali būti nesuteikta, jeigu jos pateikimas pakenktų tikslui, kurio siekiama 1 dalimi. Valstybės narės numato, kad duomenų valdytojas turi informuoti duomenų subjektą apie galimybę pateikti skundą priežiūros institucijai arba siekti teisminės teisių gynimo priemonės.
4.   Valstybės narės numato, kad duomenų valdytojas turi dokumentuoti faktines arba teisines priežastis, kuriomis pagrįstas sprendimas. Ta informacija pateikiama priežiūros institucijoms.“
8
Minėtos direktyvos 16 straipsnio „Teisė reikalauti ištaisyti ar ištrinti asmens duomenis ir apriboti jų tvarkymą“ 2 dalyje nustatyta:
„1.   Valstybės narės numato duomenų subjekto teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištaisytų netikslius jo asmens duomenis. Atsižvelgiant į duomenų tvarkymo tikslus, valstybės narės numato, kad duomenų subjektas turi teisę reikalauti, kad būtų papildyti neišsamūs asmens duomenys <…>.
2.   Valstybės narės įpareigoja duomenų valdytoją nepagrįstai nedelsiant ištrinti asmens duomenis ir nustato duomenų subjekto teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištrintų jo asmens duomenis, jeigu duomenų tvarkymu pažeidžiamos pagal 4, 8 ar 10 straipsnį priimtos nuostatos arba jeigu asmens duomenys turi būti ištrinti vykdant teisinę prievolę, kuri taikoma duomenų valdytojui.
3.   Duomenų valdytojas apriboja duomenų tvarkymą jų neištrindamas, jeigu:
a)
duomenų subjektas ginčija asmens duomenų tikslumą, o jų tikslumo arba netikslumo patvirtinti neįmanoma, arba
b)
asmens duomenys turi būti išsaugoti įrodymų tikslais.
<…>
4.   Valstybės narės numato, kad duomenų valdytojas turi raštu informuoti duomenų subjektą apie bet kokį atsisakymą ištaisyti ar ištrinti asmens duomenis arba apriboti jų tvarkymą bei apie tokio atsisakymo priežastis. Valstybės narės gali priimti teisėkūros priemones, kuriomis visiškai arba iš dalies būtų apribota prievolė pateikti tokią informaciją tiek, kiek toks apribojimas, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra būtina ir proporcinga demokratinės visuomenės priemonė, siekiant:
a)
netrukdyti atlikti oficialius arba teis[m]inius nagrinėjimus, tyrimus ar procedūras;
b)
nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;
c)
užtikrinti visuomenės saugumą;
d)
užtikrinti nacionalinį saugumą;
e)
apsaugoti kitų asmenų teises ir laisves.
Valstybės narės numato, kad duomenų valdytojas turi informuoti duomenų subjektą apie galimybę pateikti skundą priežiūros institucijai arba siekti teisminės teisių gynimo priemonės.
<…>“
9
Minėtos direktyvos 17 straipsnyje „Duomenų subjekto naudojimasis teisėmis ir priežiūros institucijos atliekamas patikrinimas“ nurodyta:
„1.   13 straipsnio 3 dalyje, 15 straipsnio 3 dalyje ir 16 straipsnio 4 dalyje nurodytais atvejais valstybės narės priima priemones, kuriomis būtų nustatyta, kad duomenų subjekto teisėmis taip pat gali būti naudojamasi per kompetentingą priežiūros instituciją.
2.   Valstybės narės numato, kad duomenų valdytojas turi informuoti duomenų subjektą apie galimybę naudotis jo teisėmis per priežiūros instituciją pagal 1 dalį.
3.   Jei naudojamasi 1 dalyje nurodyta teise, priežiūros institucija informuoja duomenų subjektą bent apie tai, kad priežiūros institucija atliko visus būtinus patikrinimus arba peržiūrą. Priežiūros institucija taip pat informuoja duomenų subjektą apie jo teisę siekti teisminės teisių gynimo priemonės.“
10
Tos pačios direktyvos 42 straipsnio „Nepriklausomumas“ 1 dalyje numatyta:
„Kiekviena valstybė narė numato, kad kiekviena priežiūros institucija, vykdydama jai pavestas užduotis ir naudodamasi jai suteiktais įgaliojimais pagal šią direktyvą, veikia visiškai nepriklausomai.“
11
Direktyvos 2016/680 46 straipsnio „Užduotys“ 1 dalyje nustatyta:
„Kiekviena valstybė narė numato, kad jos teritorijoje kiekviena priežiūros institucija:
a)
stebi ir užtikrina šios direktyvos ir jos įgyvendinimo priemonių taikymą;
<…>
f)
nagrinėja skundus, kuriuos <…> pateikė duomenų subjektas <…>, ir tinkamu mastu tiria skundo dalyką, taip pat per pagrįstą laikotarpį informuoja skundo pateikėją apie skundo tyrimo pažangą ir rezultatus <…>
g)
tikrina duomenų tvarkymo teisėtumą pagal 17 straipsnį ir per pagrįstą laikotarpį informuoja duomenų subjektą pagal to straipsnio 3 dalį apie patikrinimo rezultatus arba apie priežastis, dėl kurių patikrinimas nebuvo atliekamas;
<…>“
12
Šios direktyvos 47 straipsnyje „Įgaliojimai“ nustatyta:
„1.   Kiekviena valstybė narė teisės aktuose numato, kad kiekviena priežiūros institucija turi turėti veiksmingus tyrimo įgaliojimus. Tie įgaliojimai apima bent įgaliojimą iš duomenų valdytojo ir duomenų tvarkytojo gauti leidimą susipažinti su visais tvarkomais asmens duomenimis ir visa jos užduotims atlikti būtina informacija.
2.   Kiekviena valstybė narė teisės aktuose numato, kad kiekviena priežiūros institucija turi turėti veiksmingus įgaliojimus imtis taisomųjų veiksmų, pavyzdžiui:
a)
įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų tvarkymo operacijomis gali būti pažeistos pagal šią direktyvą priimtos nuostatos;
b)
nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su pagal šią direktyvą priimtomis nuostatomis, atitinkamais atvejais – nustatytu būdu ir per nustatytą laikotarpį, visų pirma nurodant pagal 16 straipsnį ištaisyti ar ištrinti asmens duomenis arba apriboti duomenų tvarkymą;
c)
laikinai arba galutinai nustatyti duomenų tvarkymo apribojimą, be kita ko, uždrausti tvarkyti duomenis.
<…>
4.   Naudojimuisi pagal šį straipsnį priežiūros institucijai suteiktais įgaliojimais taikomos atitinkamos apsaugos priemonės, įskaitant veiksmingas teismines teisių gynimo priemones ir tinkamą procesą, kaip nustatyta Sąjungos ir valstybės narės teisėje laikantis Chartijos.
<…>“
13
Minėtos direktyvos 52 straipsnio „Teisė pateikti skundą priežiūros institucijai“ 1 dalyje numatyta:
„Nedarant poveikio kitoms administracinėms arba teisminėms teisių gynimo priemonėms, valstybės narės numato kiekvieno duomenų subjekto teisę pateikti skundą vienai priežiūros institucijai, jeigu duomenų subjektas mano, kad su juo susiję asmens duomenys tvarkomi pažeidžiant pagal šią direktyvą priimtas nuostatas.“
14
Tos pačios direktyvos 53 straipsnio „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją“ 1 dalyje nustatyta:
„Nedarant poveikio kitoms administracinėms arba neteisminėms teisių gynimo priemonėms, valstybės narės numato fizinio ar juridinio asmens teisę imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros institucijos dėl jo priimtą teisiškai privalomą sprendimą.“
15
Direktyvos 2016/680 54 straipsnis „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš duomenų valdytoją arba duomenų tvarkytoją“ suformuluotas taip:
„Nedarant poveikio jokioms galimoms administracinėms arba neteisminėms teisių gynimo priemonėms, įskaitant teisę pateikti skundą priežiūros institucijai pagal 52 straipsnį, valstybės narės numato duomenų subjekto teisę imtis veiksmingų teisminių teisių gynimo priemonių, jeigu jis mano, kad jo teisės, nustatytos pagal šią direktyvą priimtose nuostatose, buvo pažeistos dėl jo asmens duomenų tvarkymo nesilaikant tų nuostatų.“
Belgijos teisė
16
2018 m. liepos 30 d.Loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (Įstatymas dėl fizinių asmenų apsaugos tvarkant asmens duomenis) (Moniteur belge, 2018 m. rugsėjo 5 d., p. 68616) (toliau – LPD) 2 antraštine dalimi į nacionalinę teisę perkelta Direktyva 2016/680. Šios direktyvos 13–16 straipsniuose įtvirtintos teisės yra numatytos minėto įstatymo 2 antraštinės dalies III skyriuje, konkrečiai – 37–39 straipsniuose.
17
LPD 42 straipsnyje nustatyta:
„Prašymas pasinaudoti šiame skyriuje nurodytomis teisėmis atsižvelgiant į policijos tarnybas <…> arba Inspection générale de la police fédérale et de la police locale [(Generalinės federalinės ir vietos policijos inspekcija)] teikiamas 71 straipsnyje nurodytai priežiūros institucijai.
37 straipsnio 2 dalyje, 38 straipsnio 2 dalyje, 39 straipsnio 4 dalyje ir <…> nurodytais atvejais 71 straipsnyje nurodyta priežiūros institucija tik informuoja duomenų subjektą, kad buvo atlikti būtini patikrinimai.
Nepaisant šio straipsnio 2 dalies, 71 straipsnyje nurodyta priežiūros institucija gali duomenų subjektui perduoti tam tikrą kontekstinę informaciją.
Karalius, gavęs 71 straipsnyje nurodytos priežiūros institucijos nuomonę, nustato, kokios kategorijos kontekstinę informaciją ši institucija gali perduoti duomenų subjektui.“
18
Cour d’appel de Bruxelles (Briuselio apeliacinis teismas, Belgija) teigimu, nebuvo priimta jokio Karaliaus dekreto, kuriuo būtų įgyvendinta LPD 42 straipsnio ketvirta pastraipa.
19
LPD 71 straipsnio 1 dalyje nurodyta:
„Atstovų Rūmuose įsteigiama nepriklausoma policijos informacijos peržiūros institucija, vadinama Organe de contrôle de l’information policière [(Policijos informacijos peržiūros tarnyba)].
<…>
Jai pavedama:
1° prižiūrėti šios antraštinės dalies taikymą <…>
2° kontroliuoti, kaip tvarkoma 1992 m. rugpjūčio 5 d. Policijos funkcijų įstatymo 44/1–44/11/13 straipsniuose nurodyta informacija ir asmens duomenys, įskaitant tuos, kurie įtraukti į to paties įstatymo 44/2 straipsnyje nurodytas duomenų bazes;
3° atlikti bet kokias kitas užduotis, numatytas kituose teisės aktuose arba remiantis kitais teisės aktais.“
20
LPD 5 antraštinės dalies I skyrius pavadintas „Reikalavimas dėl veiksmų nutraukimo“. Tame skyriuje įtvirtintas 209 straipsnis suformuluotas taip:
„Nedarant poveikio jokioms kitoms teisminėms, administracinėms ar neteisminėms teisių gynimo priemonėms, pirmosios instancijos teismo pirmininkas, kaip laikinąsias apsaugos priemones taikantis teisėjas, nustato, ar tvarkant duomenis buvo pažeistos įstatymų ar kitų teisės aktų nuostatos dėl fizinių asmenų apsaugos tvarkant jų asmens duomenis, ir nurodo nutraukti šį pažeidimą.
Pirmosios instancijos teismo pirmininkas, kaip laikinąsias apsaugos priemones taikantis teisėjas, nagrinėja visus prašymus, susijusius su teisės aktuose arba remiantis teisės aktais suteikta teise susipažinti su asmens duomenimis, ir visus prašymus ištaisyti, ištrinti arba uždrausti naudoti bet kokius asmens duomenis, kurie yra netikslūs arba, atsižvelgiant į duomenų tvarkymo tikslą, neišsamūs ar nesvarbūs, arba kuriuos draudžiama įrašyti, atskleisti ar saugoti, arba kurių tvarkymui duomenų subjektas prieštaravo, arba kurie buvo saugomi ilgiau, nei leistina.“
21
LPD 240 straipsnio 4 dalyje nustatyta, kad:
„[OCIP] [Organe de contrôle de l’information policière]
<…>
4° nagrinėja skundus, tiria skundo dalyką tiek, kiek tai būtina, ir per pagrįstą laikotarpį informuoja skundą pateikusį asmenį apie tyrimo eigą ir rezultatus, visų pirma jei reikia atlikti tolesnį tyrimą arba koordinuoti veiksmus su kita priežiūros institucija. <…>“
Pagrindinė byla ir prejudiciniai klausimai
22
2016 m. BA, ne visą darbo dieną ne pelno siekiančioje asociacijoje dirbantis darbuotojas, kreipėsi į Nacionalinę saugumo tarnybą dėl saugos leidimo tam, kad galėtų dalyvauti sumontuojant ir išmontuojant dešimtą kartą Briuselyje rengiamų „Europos vystymosi dienų“ instaliacijas.
23
2016 m. birželio 22 d. raštu ši institucija atsisakė išduoti BA saugumo leidimą, motyvuodama tuo, kad iš jai pateiktų asmens duomenų matyti, jog 2007–2016 m. šis asmuo dalyvavo dešimtyje demonstracijų ir kad dėl šios informacijos pagal taikytinus teisės aktus, visų pirma valstybės saugumo ir demokratinės konstitucinės santvarkos tęstinumo sumetimais, negalima jam išduoti tokio leidimo. Šis sprendimas nebuvo apskųstas.
24
2020 m. vasario 4 d. BA advokatas kreipėsi į OCIP su prašymu identifikuoti nagrinėjamo asmens duomenų tvarkymo valdytojus ir juos įpareigoti suteikti BA prieigą prie visos su juo susijusios informacijos, kad BA galėtų pasinaudoti savo teisėmis per tinkamą terminą.
25
2020 m. vasario 6 d. elektroniniu laišku OCIP patvirtino, kad gavo šį prašymą. Ji nurodė, kad BA turi tik netiesioginę teisę susipažinti su šiais duomenimis, ir kartu užtikrino, kad pati patikrins bet kokio duomenų tvarkymo visų nacionalinių policijos tarnybų naudojamoje duomenų bazėje, t. y. Banque de données nationale générale (Nacionalinė bendroji duomenų bazė), teisėtumą. Be to, ji patikslino, kad turi įgaliojimus nurodyti policijai prireikus ištrinti arba pakeisti duomenis ir kad patikrinimo pabaigoje informuos BA apie tai, jog buvo atlikti būtini patikrinimai.
26
2020 m. birželio 22 d. elektroniniu laišku OCIP BA advokatui pranešė:
„<…>
Pagal [LPD] 42 straipsnį informuojame, kad [OCIP] atliko būtinus patikrinimus.
Tai reiškia, kad jūsų kliento asmens duomenys buvo patikrinti policijos duomenų bazėse, siekiant užtikrinti bet kokio duomenų tvarkymo teisėtumą.
Prireikus asmens duomenys buvo pakeisti arba ištrinti.
Kaip Jums jau buvo paaiškinta šių metų birželio [2 d.] e. laiške, pagal LPD 42 straipsnį [OCIP] neturi teisės suteikti daugiau informacijos.“
27
2020 m. rugsėjo 2 d.Ligue des droits humains ir BA, remdamiesi LPD 209 straipsnio antra pastraipa, pateikė Tribunal de première instance francophone de Bruxelles (Briuselio pirmosios instancijos teismas, nagrinėjantis bylas prancūzų kalba, Belgija) prašymą taikyti laikinąsias apsaugos priemones.
28
Pirma, ieškovai pagrindinėje byloje prašė minėto teismo pripažinti jų prašymą taikyti laikinąsias apsaugos priemones priimtinu ir, nepatenkinus pirmojo reikalavimo, pateikti Teisingumo Teismui klausimą, kuriuo iš esmės siekė sužinoti, ar pagal Direktyvos 2016/680 47 straipsnio 4 dalį, siejamą su šios direktyvos 85 ir 86 konstatuojamosiomis dalimis, taip pat su Chartijos 8 straipsnio 3 dalimi ir 47 straipsniu, draudžiami LPD 42 ir 71 straipsniai, nes juose nenumatyta jokių teisminių teisių gynimo priemonių dėl OCIP priimtų sprendimų.
29
Antra, iš esmės jie prašė leisti susipažinti su visais BA asmens duomenimis per OCIP ir siekė, kad OCIP identifikuotų duomenų valdytojus ir galimus šių duomenų gavėjus.
30
Tuo atveju, jei teismas, į kurį kreiptasi, manytų, kad pagal LPD 42 straipsnio 2 dalį leidžiama sistemingai riboti prieigą prie policijos tarnybų tvarkomų asmens duomenų, jie papildomai prašė kreiptis į Teisingumo Teismą iš esmės su klausimu, ar Direktyvos 2016/680 14, 15 ir 17 straipsniai, siejami su Chartijos 8 ir 47 straipsniais ir 52 straipsnio 1 dalimi, turi būti aiškinami taip, kad pagal juos draudžiami nacionalinės teisės aktai, pagal kuriuos leidžiama taikyti bendrą ir sisteminę teisės susipažinti su asmens duomenimis išimtį, jeigu, pirma, šia teise naudojamasi per priežiūros instituciją ir, antra, ši institucija gali tik nurodyti duomenų subjektui, kad atliko visus būtinus patikrinimus, neinformavusi jo apie tvarkomus asmens duomenis ir gavėjus ir neatsižvelgusi į siekiamą tikslą.
31
2021 m. gegužės 17 d. nutartimi Tribunal de première instance francophone de Bruxelles konstatavo, kad „neturi jurisdikcijos“ nagrinėti šio prašymo taikyti laikinąsias apsaugos priemones.
32
2021 m. birželio 15 d. ieškovai pagrindinėje byloje Cour d’appel de Bruxelles pateikė apeliacinį skundą dėl šios nutarties. Jie iš esmės pakartojo pirmojoje instancijoje pateiktus reikalavimus.
33
Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas, be kita ko, iš esmės pažymi, kad tuo atveju, kai asmuo neturi teisės asmeniškai naudotis Direktyvoje 2016/680 numatytomis teisėmis, LPD 209 ir paskesniuose straipsniuose nustatytas reikalavimas nutraukti veiksmus negali būti pareikštas. Iš tiesų, pirma, toks reikalavimas gali būti pareikštas duomenų valdytojui, bet ne pačiai priežiūros institucijai. Be to, šis asmuo, šiuo atveju – BA, nebegali juo naudotis prieš duomenų valdytoją, nes jo teisių įgyvendinimas yra patikėtas minėtai priežiūros institucijai. Galiausiai ypač glausta informacija, kurią OCIP pateikė BA, neleidžia nei BA, nei teismui įvertinti, ar ši priežiūros institucija tinkamai įgyvendino minėto asmens teises. Prašymą priimti prejudicinį sprendimą pateikęs teismas priduria, kad nors LPD numatyta, jog šis reikalavimas dėl veiksmų nutraukimo nedaro poveikio jokioms kitoms teisminėms, administracinėms ar neteisminėms teisių gynimo priemonėms, bet kokia kita BA teisių gynimo priemonė susidurtų su tokiais pačiais sunkumais.
34
Šiomis aplinkybėmis Cour d’appel de Bruxelles nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1.
Ar pagal [Chartijos] 47 straipsnį ir 8 straipsnio 3 dalį reikalaujama numatyti teisminę teisių gynimo priemonę, kuria būtų galima pasinaudoti prieš nepriklausomą priežiūros instituciją, pavyzdžiui, [OCIP], kai ji įgyvendina duomenų subjekto teises duomenų valdytojo atžvilgiu?
2.
Ar Direktyvos 2016/680 17 straipsnis atitinka [Chartijos] 47 straipsnį ir 8 straipsnio 3 dalį, kaip šias nuostatas yra išaiškinęs Teisingumo Teismas, nes jame reikalaujama tik tiek, kad priežiūros institucija, kuri įgyvendina duomenų subjekto teises duomenų valdytojo atžvilgiu, informuotų šį duomenų subjektą, „kad ji atliko visus būtinus patikrinimus ar tyrimą“, ir „apie jo teisę kreiptis į teismą“, kai tokia informacija neleidžia a posteriori patikrinti priežiūros institucijos veiksmų ir vertinimo, susijusio su duomenų subjekto duomenimis ir duomenų valdytojui tenkančiomis pareigomis?“
Dėl prejudicinių klausimų
Dėl pirmojo klausimo
35
Pirmiausia iš prašymo priimti prejudicinį sprendimą matyti, kad prašymą priimti prejudicinį sprendimą pateikusio teismo klausimai susiję su tuo, ar pagal Direktyvos 2016/680 53 straipsnio 1 dalį, siejamą su Chartijos 47 straipsniu, valstybės narės privalo numatyti teisę imtis veiksmingos teisminės teisių gynimo priemonės prieš kompetentingą nacionalinę priežiūros instituciją, kai įgyvendinama nacionalinės teisės nuostata, kuria į nacionalinę teisę perkeltas šios direktyvos 17 straipsnis, pagal kurį minėtos direktyvos 13 straipsnio 3 dalyje, 15 straipsnio 3 dalyje ir 16 straipsnio 4 dalyje nurodytais atvejais duomenų subjekto teisės gali būti įgyvendinamos per tokią priežiūros instituciją.
36
Be to, reikia pažymėti, kad atsakymas į šį klausimą priklauso nuo Direktyvos 2016/680 17 straipsnyje numatytų priežiūros institucijos funkcijų ir įgaliojimų įgyvendinant duomenų subjekto teises pobūdžio ir apimties. Jos patikslintos šios direktyvos 46 straipsnio 1 dalies g punkte bei 47 straipsnio 1 ir 2 dalyse ir turi būti analizuojamos atsižvelgiant į Chartijos 8 straipsnio 3 dalį, pagal kurią reikalaujama, kad nepriklausoma institucija tikrintų, ar laikomasi šio 8 straipsnio 1 ir 2 dalyse įtvirtintų asmens duomenų apsaugos taisyklių.
37
Taigi reikia suprasti, kad pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2016/680 17 straipsnis, siejamas su šios direktyvos 46 straipsnio 1 dalies g punktu, 47 straipsnio 1 ir 2 dalimis ir 53 straipsnio 1 dalimi, taip pat su Chartijos 8 straipsnio 3 dalimi ir 47 straipsniu, turi būti aiškinamas taip, kad tuo atveju, kai asmens teisės pagal minėtą 17 straipsnį buvo įgyvendintos per kompetentingą priežiūros instituciją, šis asmuo turi turėti galimybę pasinaudoti veiksminga teismine teisių gynimo priemone prieš minėtą instituciją.
38
Pirmiausia reikia priminti, kad pagal Direktyvos 2016/680 53 straipsnio 1 dalį valstybės narės turi numatyti, jog fizinis ar juridinis asmuo turi teisę į veiksmingą teisminę teisių gynimo priemonę dėl jam skirto teisiškai privalomo priežiūros institucijos sprendimo.
39
Taigi reikia nustatyti, ar priežiūros institucija priima tokį sprendimą, kai pagal šios direktyvos 17 straipsnį šioje direktyvoje nurodytos duomenų subjektų teisės yra įgyvendinamos per šią priežiūros instituciją.
40
Šiuo klausimu reikia pažymėti, kad pagal Direktyvos 2016/680 17 straipsnio 1 dalį šios direktyvos „13 straipsnio 3 dalyje, 15 straipsnio 3 dalyje ir 16 straipsnio 4 dalyje nurodytais atvejais“ valstybės narės privalo priimti priemones, „kuriomis būtų nustatyta, kad duomenų subjekto teisėmis taip pat gali būti naudojamasi per kompetentingą priežiūros instituciją“.
41
Kaip rodo prieveiksmio „taip pat“ vartojimas ir kaip savo išvados 41 ir 42 punktuose iš esmės pažymėjo generalinė advokatė, šioje nuostatoje numatytas netiesioginis duomenų subjekto teisių įgyvendinimas per kompetentingą priežiūros instituciją šiam asmeniui yra papildoma garantija, kad jo asmens duomenys tvarkomi teisėtai, kai pagal nacionalinės teisės nuostatas yra apribojamas tiesioginis naudojimasis Direktyvos 2016/680 13 straipsnio 2 dalyje nustatyta teise gauti papildomą informaciją iš duomenų valdytojo, šios direktyvos 14 straipsnyje įtvirtinta teise susipažinti su šiais asmens duomenimis arba teise reikalauti ištaisyti, ištrinti šiuos asmens duomenis ar apriboti jų tvarkymą, kaip numatyta minėtos direktyvos 16 straipsnio 1–3 dalyse.
42
Atsižvelgiant į tikslų, kurių siekiant atliekamas toje pačioje direktyvoje numatytas duomenų tvarkymas ir kurie, be kita ko, pabrėžiami minėtos direktyvos 10 konstatuojamojoje dalyje, specifinį pobūdį, pagal Direktyvos 2016/680 13 straipsnio 3 dalį ir 15 straipsnio 1 dalį nacionalinės teisės aktų leidėjui leidžiama apriboti tiesioginį naudojimąsi, pirma, teise gauti informaciją ir, antra, teise susipažinti su duomenimis, „tiek, kiek ir tol, kol tokia priemonė, tinkamai paisant <…> fizinio asmens pagrindinių teisių ir teisėtų interesų, yra būtina ir proporcinga demokratinės visuomenės priemonė“, siekiant „netrukdyti atlikti oficialius arba teis[m]inius nagrinėjimus, tyrimus ar procedūras“, „nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui“, „užtikrinti visuomenės saugumą“, „užtikrinti nacionalinį saugumą“ arba „apsaugoti kitų asmenų teises ir laisves“. Be to, šios direktyvos 15 straipsnio 3 dalyje numatyta, kad duomenų valdytojas gali duomenų subjekto neinformuoti apie bet kokį atsisakymą suteikti teisę susipažinti su duomenimis arba bet kokį tokios teisės apribojimą ir tokio atsisakymo ar apribojimo priežastis, jei tokios informacijos pateikimas galėtų pakenkti bet kuriam iš pirma nurodytų viešojo intereso tikslų.
43
Be to, pagal minėtos direktyvos 16 straipsnio 4 dalį nacionalinės teisės aktų leidėjui leidžiama apriboti duomenų valdytojo pareigą „raštu informuoti duomenų subjektą apie bet kokį atsisakymą ištaisyti ar ištrinti asmens duomenis arba apriboti jų tvarkymą bei apie tokio atsisakymo priežastis“, siekiant tų pačių viešojo intereso tikslų, „tiek, kiek toks apribojimas, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra būtina ir proporcinga demokratinės visuomenės priemonė“.
44
Taigi šiomis aplinkybėmis, kaip matyti iš tos pačios direktyvos 48 konstatuojamosios dalies, netiesioginis šio sprendimo 41 punkte nurodytų teisių įgyvendinimas per kompetentingą priežiūros instituciją turi būti laikomas būtinu šioms teisėms apsaugoti, nes jų tiesioginis įgyvendinimas per duomenų valdytoją yra sudėtingas arba net neįmanomas.
45
Šiuo tikslu Direktyvos 2016/680 46 straipsnio 1 dalies g punkte reikalaujama, kad kiekvienai kompetentingai nacionalinei institucijai būtų pavesta tikrinti duomenų tvarkymo teisėtumą pagal šios direktyvos 17 straipsnį, t. y. gavus šia nuostata grindžiamą prašymą.
46
Be to, iš minėtos direktyvos 47 straipsnio 1 ir 2 dalių matyti, kad pagal nacionalinę teisę kiekviena priežiūros institucija turi turėti ne tik „veiksmingus tyrimo įgaliojimus“, bet ir „veiksmingus įgaliojimus imtis taisomųjų veiksmų“.
47
Šios nuostatos turi būti aiškinamos atsižvelgiant į Chartijos 8 straipsnio 3 dalyje įtvirtintą reikalavimą, pagal kurį „nepriklausoma institucija“ privalo „kontroliuoti“, kaip laikomasi šio straipsnio 1 ir 2 dalyse nustatytų taisyklių dėl kiekvieno asmens teisės į asmens duomenų apsaugą, ir, be kita ko, į minėtos 2 dalies antrame sakinyje nustatytą reikalavimą, pagal kurį „kiekvienas turi teisę susipažinti su surinktais jo asmens duomenimis bei [teisę] į tai, kad jie būtų ištaisomi“. Kaip patvirtinta suformuotoje jurisprudencijoje, įsteigiant nepriklausomą priežiūros instituciją siekiama užtikrinti veiksmingą ir patikimą taisyklių, susijusių su fizinių asmenų apsauga tvarkant asmens duomenis, laikymosi kontrolę ir ji turi būti aiškinama atsižvelgiant į šį tikslą (šiuo klausimu žr. 2017 m. liepos 26 d. Nuomonės 1/15(ES ir Kanados susitarimas dėl PNR), EU:C:2017:592, 229 punktą ir nurodytą jurisprudenciją).
48
Taigi, kai tokia priežiūros institucija veikia siekdama užtikrinti duomenų subjekto naudojimąsi savo teisėmis pagal Direktyvos 2016/680 17 straipsnį, jos užduotis visiškai atitinka jos vaidmens apibrėžtį pagal Sąjungos pirminę teisę, nes ši apibrėžtis visų pirma apima duomenų subjekto teisių susipažinti su duomenimis ir juos ištaisyti laikymosi kontrolę. Vadinasi, vykdydama šią konkrečią užduotį, kaip ir bet kurią kitą užduotį, priežiūros institucija turi turėti galimybę naudotis pagal šios direktyvos 47 straipsnį jai suteiktais įgaliojimais veikdama visiškai nepriklausomai, vadovaudamasi Chartija ir kaip nurodyta minėtos direktyvos 75 konstatuojamojoje dalyje.
49
Be to, patikrinusi duomenų tvarkymo teisėtumą kompetentinga priežiūros institucija pagal tos pačios direktyvos 17 straipsnio 3 dalies pirmą sakinį turi informuoti duomenų subjektą „bent“ apie tai, „kad atliko visus būtinus patikrinimus arba peržiūrą“.
50
Kaip savo išvados 65 punkte iš esmės pažymėjo generalinė advokatė, iš visų šių nuostatų darytina išvada, kad kompetentinga priežiūros institucija, kai informuoja duomenų subjektą apie atliktų patikrinimų rezultatus, praneša jam apie dėl jo priimtą sprendimą užbaigti patikrinimo procedūrą, kuris neišvengiamai turi įtakos šio asmens teisinei padėčiai. Taigi šis sprendimas jam yra „teisiškai privalomas sprendimas“, kaip tai suprantama pagal Direktyvos 2016/680 53 straipsnio 1 dalį, neatsižvelgiant į tai, ar ši institucija konstatavo minėto duomenų subjekto duomenų tvarkymo teisėtumą ir ėmėsi taisomųjų veiksmų, ir kiek.
51
Be to, šios direktyvos 86 konstatuojamojoje dalyje nurodyta, kad sąvoka „teisiškai privalomas sprendimas“, kaip ji suprantama pagal šią direktyvą, turi būti suprantama kaip reiškianti sprendimą, sukeliantį teisinių pasekmių duomenų subjektui, visų pirma sprendimą, susijusį su priežiūros institucijos naudojimusi tyrimo įgaliojimais, įgaliojimais imtis taisomųjų veiksmų ir leidimų išdavimo įgaliojimais arba susijusį su skundų nepriėmimu ar atmetimu.
52
Taigi duomenų subjektui turi būti suteikta galimybė prašyti teismine tvarka peržiūrėti tokio sprendimo pagrįstumą pagal Direktyvos 2016/680 53 straipsnio 1 dalį, visų pirma tai, kaip priežiūros institucija įvykdė iš šios direktyvos 17 straipsnio kylančią ir jos 46 straipsnio 1 dalies g punkte nurodytą pareigą „atlikti visus būtinus patikrinimus“ ir prireikus pasinaudoti įgaliojimais imtis taisomųjų veiksmų.
53
Be to, šią išvadą patvirtina Direktyvos 2016/680 85 konstatuojamoji dalis, iš kurios matyti, kad kiekvienas duomenų subjektas turėtų turėti teisę imtis veiksmingos teisminės teisių gynimo priemonės prieš priežiūros instituciją, jeigu ši institucija „nesiima veiksmų, kai tokie veiksmai yra būtini duomenų subjekto teisėms apsaugoti“.
54
Galiausiai toks aiškinimas atitinka Chartijos 47 straipsnį, nes, kaip matyti iš suformuotos jurisprudencijos, ši teisė turi būti pripažinta kiekvienam asmeniui, kuris gali remtis Sąjungos teisės garantuojamomis teisėmis ar laisvėmis dėl jo nenaudai priimto sprendimo, kuris gali pažeisti šias teises ar laisves (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Policijos vykdomas biometrinių ir genetinių duomenų registravimas), C‑205/21, EU:C:2023:49, 87 punktą ir jame nurodytą jurisprudenciją).
55
Atsižvelgiant į visa tai, kas išdėstyta, į pirmąjį klausimą reikia atsakyti: Direktyvos 2016/680 17 straipsnis, siejamas su šios direktyvos 46 straipsnio 1 dalies g punktu, 47 straipsnio 1 ir 2 dalimis ir 53 straipsnio 1 dalimi, taip pat su Chartijos 8 straipsnio 3 dalimi ir 47 straipsniu, turi būti aiškinamas taip, kad tuo atveju, kai asmens teisės pagal minėtą 17 straipsnį buvo įgyvendintos per kompetentingą priežiūros instituciją ir kai ši institucija informavo minėtą asmenį apie atliktų patikrinimų rezultatus, šis asmuo turi turėti galimybę pasinaudoti veiksminga teismine teisių gynimo priemone dėl minėtos institucijos sprendimo užbaigti patikrinimo procedūrą.
Dėl antrojo klausimo
56
Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2016/680 17 straipsnio 3 dalis galioja atsižvelgiant į Chartijos 8 straipsnio 3 dalį ir 47 straipsnį tiek, kiek pagal ją priežiūros institucija įpareigojama tik informuoti duomenų subjektą, pirma, apie tai, kad ji atliko visus būtinus patikrinimus ar tyrimą, ir, antra, apie šio duomenų subjekto teisę kreiptis į teismą, nes dėl tokios informacijos neleidžiama teismine tvarka peržiūrėti priežiūros institucijos veiksmų ir vertinimų, susijusių su tvarkomais duomenimis ir duomenų valdytojo pareigomis.
57
Šiuo klausimu, pirma, reikia priminti, kad pagal bendrąjį aiškinimo principą Sąjungos teisės aktas turi būti aiškinamas kiek įmanoma taip, kad nebūtų paneigtas jo galiojimas, ir laikantis visos pirminės teisės, be kita ko, Chartijos, nuostatų. Taigi, kai teisės aktą galima aiškinti įvairiai, pirmenybę reikia teikti pirminę teisę atitinkančiam aiškinimui, o ne tokiam, dėl kurio reikėtų konstatuoti nesuderinamumą su ja (2022 m. birželio 21 d. Sprendimo Ligue des droits humains, C‑817/19, EU:C:2022:491, 86 punktas ir jame nurodyta jurisprudencija).
58
Antra, Chartijos 47 straipsnyje garantuojama teise į veiksmingą teisminę gynybą iš principo reikalaujama, kad atitinkamas asmuo galėtų sužinoti dėl jo priimto sprendimo motyvus, kad galėtų kuo geresnėmis sąlygomis ginti savo teises ir susipažinęs su visa informacija nuspręsti, ar tikslinga kreiptis į kompetentingą teismą, taip pat tam, kad šis teismas galėtų visapusiškai vykdyti atitinkamo nacionalinio sprendimo teisėtumo kontrolę (šiuo klausimu žr. 2013 m. birželio 4 d. Sprendimo ZZ, C‑300/11, EU:C:2013:363, 53 punktą ir nurodytą jurisprudenciją).
59
Nors ši teisė nėra absoliuti ir pagal Chartijos 52 straipsnio 1 dalį jai gali būti nustatyti apribojimai, tačiau tokie apribojimai turi būti numatyti įstatyme, jie nekeičia šių teisių ir laisvių esmės ir, vadovaujantis proporcingumo principu, yra būtini ir iš tikrųjų atitinka Sąjungos pripažintus bendrojo intereso tikslus arba yra reikalingi kitų asmenų teisėms ir laisvėms apsaugoti (2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti(Policijos vykdomas biometrinių ir genetinių duomenų registravimas), C‑205/21, EU:C:2023:49, 89 punktas ir jame nurodyta jurisprudencija).
60
Nagrinėjamu atveju reikia pažymėti, kad, kiek tai susiję su šio sprendimo 50 punkte nurodytos kompetentingos priežiūros institucijos sprendimu, Direktyvos 2016/680 17 straipsnio 3 dalyje šiai priežiūros institucijai nustatyta minimali pareiga informuoti, nes toje dalyje numatyta, kad priežiūros institucija informuoja duomenų subjektą „bent“ apie tai, „kad <…> atliko visus būtinus patikrinimus arba peržiūrą“, ir apie „jo teisę siekti teisminės teisių gynimo priemonės“.
61
Taigi, kadangi pagal šią nuostatą nedraudžiama, kad tam tikrais atvejais (išsamiau nenurodant) pagal nacionalinės teisės aktų leidėjo šiai nuostatai įgyvendinti priimtas taisykles priežiūros institucija gali ar net privalo apsiriboti pirmesniame punkte nurodyta minimalia informacija, ypač kai šiomis taisyklėmis siekiama išvengti grėsmės minėtos direktyvos 13 straipsnio 3 dalyje, 15 straipsnio 1 dalyje ir 16 straipsnio 4 dalyje – kaip nurodyta šio sprendimo 42 ir 43 punktuose – numatytiems viešojo intereso tikslams, dėl minėtos nuostatos gali būti apribota Chartijos 47 straipsnyje garantuojama teisė į veiksmingą teisminę gynybą.
62
Atsižvelgiant į tai, pirma, reikia konstatuoti, kad toks apribojimas yra aiškiai numatytas Direktyvoje 2016/680, todėl jis atitinka Chartijos 52 straipsnio 1 dalyje nustatytą sąlygą, pagal kurią bet koks naudojimosi pagrindine teise apribojimas turi būti „numatytas įstatymo“.
63
Antra, tai, kad pagal Direktyvos 2016/680 17 straipsnio 3 dalį valstybėms narėms leidžiama tam tikrais atvejais šio sprendimo motyvuose pateikti tik šioje nuostatoje nurodytą minimalią informaciją, nereiškia, kad, kaip savo išvados 89 punkte iš esmės nurodė generalinė advokatė, bet kokiomis aplinkybėmis duomenų subjektui teiktiną informaciją galima susiaurinti iki šios minimalios informacijos.
64
Iš tiesų šią nuostatą reikia aiškinti atsižvelgiant į Chartijos 52 straipsnio 1 dalį taip, kad būtų tenkinami kiti joje nurodyti kriterijai, o tai reiškia, jog pagal ją reikalaujama, kad valstybės narės užtikrintų, kad, pirma, nacionalinės teisės normomis, kuriomis ta nuostata įgyvendinama, nebūtų pakeista duomenų subjekto teisės į veiksmingą teisminę gynybą esmė ir, antra, jos būtų grindžiamos viešųjų interesų tikslų, pateisinančių šios informacijos apribojimą, ir šio duomenų subjekto pagrindinių teisių bei teisėtų interesų pusiausvyra, laikantis būtinumo ir proporcingumo principų, t. y. pusiausvyra, kurią turi užtikrinti nacionalinės teisės aktų leidėjas, įgyvendindamas minėtos direktyvos 13 straipsnio 3 dalyje, 15 straipsnio 3 dalyje ir 16 straipsnio 4 dalyje numatytus apribojimus.
65
Konkrečiai kalbant, kai, pirma, to reikalaujama siekiant apsaugoti duomenų subjekto teisę į veiksmingą teisminę teisių gynimo priemonę dėl sprendimo užbaigti patikrinimo procedūrą ir, antra, to nedraudžia Direktyvos 2016/680 13 straipsnio 3 dalyje, 15 straipsnio 3 dalyje ir 16 straipsnio 4 dalyje nurodyti viešojo intereso tikslai, valstybės narės turi numatyti, kad duomenų subjektui teikiama informacija gali būti platesnė, nei šios direktyvos 17 straipsnio 3 dalyje numatyta minimali informacija, tam, kad jis galėtų ginti savo teises ir žinodamas visas faktines aplinkybes nuspręsti, ar tikslinga kreiptis į kompetentingą teismą.
66
Be to, nacionalinės priemonės, kuriomis įgyvendinama minėta nuostata, turi, kiek įmanoma, suteikti kompetentingai priežiūros institucijai, atsižvelgiant į jai būdingą nepriklausomumą pagal Chartijos 8 straipsnio 3 dalį, tam tikrą diskreciją nustatyti, ar pagal šio sprendimo 65 punkte nurodytus reikalavimus nacionalinės teisės aktuose apibrėžta sistema nedraudžia, kad minėta priežiūros institucija glaustai praneštų šiam duomenų subjektui bent apie savo patikrinimų rezultatus ir prireikus apie taisomuosius veiksmus, kurių ėmėsi. Šiuo klausimu, kaip savo išvados 73 ir 74 punktuose iš esmės nurodė generalinė advokatė, ši institucija, laikydamasi šių nacionalinės teisės aktų, turi pradėti konfidencialų dialogą su duomenų valdytoju ir jo pabaigoje nuspręsti, kokią informaciją, būtiną duomenų subjektui pasinaudoti teise į veiksmingą teisminę teisių gynimo priemonę, galima jam perduoti nepažeidžiant šio sprendimo 65 punkte nurodytų viešojo intereso tikslų.
67
Be to, tais atvejais, kai pagal minėtą sistemą reikalaujama, kad priežiūros institucijos pateikta informacija būtų apribota tuo, kas numatyta Direktyvos 2016/68017 straipsnio 3 dalyje, vis dėlto valstybės narės, naudodamosi procesine autonomija, turi įgyvendinti būtinas priemones, kad pagal šios direktyvos 53 straipsnio 1 dalį būtų užtikrinta veiksminga tiek motyvų, pateisinančių šios informacijos apribojimą, buvimo ir pagrįstumo, tiek to, ar priežiūros institucija teisingai vykdo savo užduotį tikrinti duomenų tvarkymo teisėtumą, teisminė kontrolė. Šiuo klausimu pastarojoje nuostatoje nurodyta sąvoka „veiksmingos teisminės teisių gynimo priemonės“ turi būti aiškinama atsižvelgiant į minėtos direktyvos 86 konstatuojamąją dalį, pagal kurią teismai, kuriuose buvo iškeltos bylos priežiūros institucijai, „turėtų turėti visapusišką jurisdikciją, kuri [be kita ko] turėtų apimti jurisdikciją nagrinėti visus faktinius ir teisinius klausimus, susijusius su ginču, dėl kurio į juos kreiptasi“.
68
Konkrečiai kalbant, valstybės narės turi užtikrinti, kad kompetentingas teismas turėtų ir taikytų procesinės teisės metodus ir normas, leidžiančias suderinti, pirma, teisėtus pagrindus, susijusius su Direktyvos 2016/680 13 straipsnio 3 dalyje, 15 straipsnio 3 dalyje ir 16 straipsnio 4 dalyje nurodytais viešojo intereso tikslais, nes į šiuos tikslus buvo atsižvelgta nacionalinės teisės aktuose siekiant apriboti duomenų subjektui teiktiną informaciją, ir, antra, būtinybę pakankamai užtikrinti teisės subjektui procesinių teisių, kaip antai teisės būti išklausytam ir rungimosi principo, laikymąsi (šiuo klausimu žr. 2013 m. birželio 4 d. Sprendimo ZZ, C-300/11, EU:C:2013:363, 57 punktą ir jame nurodytą jurisprudenciją).
69
Vykdant priežiūros institucijos atliekamo tinkamo šios direktyvos 17 straipsnio taikymo teisminę kontrolę, valstybės narės turi numatyti taisykles, leidžiančias kompetentingam teismui susipažinti tiek su visais motyvais, tiek su jais susijusiais įrodymais, kuriais ši institucija grindė nagrinėjamo duomenų tvarkymo teisėtumo patikrinimą, tiek su jos padarytomis išvadomis (šiuo klausimu žr. 2013 m. birželio 4 d. Sprendimo ZZ, C‑300/11, EU:C:2013:363, 59 punktą ir jame nurodytą jurisprudenciją).
70
Šiuo klausimu, kaip savo pastabose pažymėjo Europos Parlamentas, Direktyvos 2016/680 15 straipsnio 4 dalyje numatyta, kad duomenų valdytojas turi nurodyti faktines arba teisines priežastis, kuriomis grindžiamas sprendimas iš dalies ar visiškai apriboti duomenų subjekto teises susipažinti su duomenimis, ir kad ši informacija pateikiama priežiūros institucijoms. Kaip siūlė Europos Parlamentas, ši nuostata, siejama su šios direktyvos 17 ir 53 straipsniais ir aiškinama atsižvelgiant į Chartijos 47 straipsnį, kaip jis išaiškintas šio sprendimo 68 ir 69 punktuose primintoje jurisprudencijoje, reiškia, kad ši informacija taip pat turi būti pateikta skundą dėl priežiūros institucijos nagrinėjančiam teismui, siekiančiam patikrinti, ar teisingai taikomas minėtas 17 straipsnis.
71
Taigi iš šio sprendimo 63–70 punktų matyti, kad Direktyvos 2016/680 17 straipsnyje numatytu apribojimu paisoma duomenų subjekto teisės į veiksmingą teisminę teisių gynimo priemonę dėl priežiūros institucijos sprendimo užbaigti šioje nuostatoje numatytą procedūrą turinio ir Chartijos 52 straipsnio 1 dalyje nurodytų būtinumo bei proporcingumo principų.
72
Atsižvelgiant į tai, kas išdėstyta, reikia konstatuoti, kad išnagrinėjus antrąjį klausimą nepaaiškėjo nieko, kas galėtų turėti įtakos Direktyvos 2016/680 17 straipsnio 3 dalies galiojimui.
Dėl bylinėjimosi išlaidų
73
Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.
Remdamasis šiais motyvais, Teisingumo Teismas (penktoji kolegija) nusprendžia:
1.
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, ir [kuria] panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR, 17 straipsnis, taikomas kartu su šios direktyvos 46 straipsnio 1 dalies g punktu, 47 straipsnio 1 ir 2 dalimis ir 53 straipsnio 1 dalimi ir atsižvelgiant į Europos Sąjungos pagrindinių teisių chartijos 47 straipsnį ir 8 straipsnio 3 dalį,
turi būti aiškinamas taip:
tuo atveju, kai asmens teisės pagal minėtą 17 straipsnį buvo įgyvendintos per kompetentingą priežiūros instituciją ir kai ši institucija informavo minėtą asmenį apie atliktų patikrinimų rezultatus, šis asmuo turi turėti galimybę pasinaudoti veiksminga teismine teisių gynimo priemone dėl minėtos institucijos sprendimo užbaigti patikrinimo procedūrą.
2.
Išnagrinėjus antrąjį klausimą nepaaiškėjo nieko, kas galėtų turėti įtakos Direktyvos 2016/680 17 straipsnio 3 dalies galiojimui.
Parašai.
(
*1
)	Proceso kalba: prancūzų.