62023CJ0169
EUROOPA KOHTU OTSUS (kolmas koda)
28. november 2024 (
*1
)
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel ja selliste andmete vaba liikumine – Määrus (EL) 2016/679 – Isikuandmete töötlemine COVID‑19 tõendi väljastamisel – Andmed, mis ei ole saadud andmesubjektilt – Teave, mis tuleb esitada – Erand teavitamiskohustusest – Artikli 14 lõike 5 punkt c – Andmed, mille vastutav töötleja tekitab omaenda tegevuse käigus – Õigus esitada kaebus – Järelevalveasutuse pädevus – Artikli 77 lõige 1 – Liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks – Meetmed andmete töötlemise turvalisuse tagamiseks – Artikkel 32
Kohtuasjas C‑169/23 [Másdi] (
i
),
mille ese on ELTL artikli 267 alusel Kúria (Ungari kõrgeim kohus) 8. veebruari 2023. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 17. märtsil 2023, menetluses
Nemzeti Adatvédelmi és Információszabadság Hatóság
versus
UC,
EUROOPA KOHUS (kolmas koda),
koosseisus: teise koja president K. Jürimäe kolmanda koja presidendi ülesannetes, kohtu president K. Lenaerts kolmanda koja kohtuniku ülesannetes ning kohtunikud N. Jääskinen, M. Gavalec (ettekandja) ja N. Piçarra,
kohtujurist: L. Medina,
kohtusekretär: A. Calot Escobar,
arvestades kirjalikku menetlust,
arvestades seisukohti, mille esitasid:
–
Nemzeti Adatvédelmi és Információszabadság Hatóság, esindaja: ügyvéd G. J. Dudás,
–
UC, esindajad: ügyvédek D. Karsai ja V. Łuszcz,
–
Ungari valitsus, esindajad: Zs. Biró-Tóth ja M. Z. Fehér,
–
Tšehhi valitsus, esindajad: L. Březinová, M. Smolek ja J. Vláčil,
–
Euroopa Komisjon, esindajad: A. Bouchagiar, C. Kovács ja H. Kranenborg,
olles 6. juuni 2024. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
kohtuotsuse
1
Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „üldmäärus“) artikli 14 lõiget 1 ja lõike 5 punkti c, artiklit 32 ning artikli 77 lõiget 1.
2
Taotlus on esitatud Nemzeti Adatvédelmi és Információszabadság Hatósági (riiklik andmekaitse- ja teabevabadusamet, Ungari) (edaspidi „riiklik amet“) ja UC vahelises kohtuvaidluses selle üle, kas Budapest Főváros Kormányhivatalal (Budapesti pealinnavalitsus, Ungari) (edaspidi „väljastav asutus“), kelle ülesanne on väljastada COVID‑19 vastu vaktsineeritud või haiguse läbipõdenud isikutele immuunsustõendeid, on seoses isikuandmete töötlemisega teavitamiskohustus.
Õiguslik raamistik
Liidu õigus
Üldmäärus
3
Üldmääruse põhjendustes 1, 10 ja 61–63 on märgitud:
„(1)
Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta […] artikli 8 lõikes 1 ja [ELTL] artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele.
[…]
(10)
Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel [Euroopa L]iidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. Seoses isikuandmete töötlemisega juriidilise kohustuse täitmiseks, avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks peaks liikmesriikidel olema lubatud säilitada või kehtestada õigusnormid käesoleva määruse eeskirjade kohaldamise täpsustamiseks. […]
[…]
(61)
Andmesubjekti isikuandmete töötlemist käsitlev teave tuleks anda talle juhtumi asjaoludest olenevalt kas andmesubjektilt andmete kogumise ajal või mõistliku ajavahemiku jooksul, juhul kui andmeid hangitakse muust allikast. Kui isikuandmeid võib õiguspäraselt avaldada muule vastuvõtjale, tuleks andmesubjekti sellest teavitada andmete esmakordsel avaldamisel. Kui vastutav töötleja kavatseb isikuandmeid töödelda muul eesmärgil kui see, milleks neid koguti, peaks vastutav töötleja esitama andmesubjektile enne andmete edasist töötlemist teabe kõnealuse muu eesmärgi kohta ja muu vajaliku teabe. Kui andmesubjektile ei saa esitada isikuandmete päritolu, sest kasutatud on mitut allikat, tuleks esitada üldteave.
(62)
Teabe esitamise kohustust ei ole siiski vaja kehtestada juhul, kui andmesubjektil on see teave juba olemas, juhul, kui isikuandmete dokumenteerimine või avaldamine on õigusnormides selgelt sätestatud või kui andmesubjekti teavitamine osutub võimatuks või nõuaks ebaproportsionaalselt suurt jõupingutust. […]
(63)
Selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. […]“.
4
Määruse artikli 1 „Reguleerimisese ja eesmärgid“ lõikes 2 on sätestatud:
„Käesoleva määrusega kaitstakse füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust isikuandmete kaitsele.“
5
Määruse artiklis 4 „Mõisted“ on sätestatud:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
1)
„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; […]
2)
„isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;
[…]
7)
„vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; […]
[…]“.
6
Üldmääruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõikes 1 on ette nähtud:
„Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:
[…]
c)
isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;
[…]
e)
isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;
[…]“.
7
Määruse artikli 9 „Isikuandmete eriliikide töötlemine“ lõigetes 1 ja 2 on sätestatud:
„1.   Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.
2.   Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:
[…]
i)
töötlemine on vajalik rahvatervise valdkonna avalikes huvides, nagu kaitse suure piiriülese terviseohu korral või kõrgete kvaliteedi- ja ohutusnõuete tagamine tervishoiu ning ravimite või meditsiiniseadmete puhul, tuginedes liidu või liikmesriigi õigusele, millega nähakse ette sobivad ja konkreetsed meetmed andmesubjekti õiguste ja vabaduste kaitseks, eelkõige ametisaladuse hoidmine,
[…]“.
8
Üldmääruse III peatükk „Andmesubjekti õigused“ sisaldab mitut jagu, sealhulgas 2. jagu „Teave ja juurdepääs isikuandmetele“.
9
Üldmääruse 2. jaos sisalduvad artikkel 13 „Teave, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt“, artikkel 14 „Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt“ ja artikkel 15 „Andmesubjekti õigus tutvuda andmetega“.
10
Määruse artikkel 14 on sõnastatud järgmiselt:
„1.   Kui isikuandmed ei ole saadud andmesubjektilt, teeb vastutav töötleja andmesubjektile teatavaks järgmise teabe:
a)
vastutava töötleja ning asjakohasel juhul vastutava töötleja esindaja nimi ja kontaktandmed;
b)
asjakohasel juhul andmekaitseametniku kontaktandmed;
c)
isikuandmete töötlemise eesmärk ja õiguslik alus;
d)
asjaomaste isikuandmete liigid;
e)
asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta;
f)
asjakohasel juhul teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandas riigis asuvale vastuvõtjale või rahvusvahelisele organisatsioonile, […].
2.   Peale lõikes 1 osutatud teabe esitab vastutav töötleja andmesubjektile järgmise teabe, mis on vajalik andmesubjekti suhtes õiglase ja läbipaistva töötlemise tagamiseks:
a)
isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid;
b)
kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil f, siis teave vastutava töötleja või kolmanda isiku õigustatud huvide kohta;
c)
teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist ning esitada vastuväide selliste isikuandmete töötlemisele, samuti teave isikuandmete ülekandmise õiguse kohta;
d)
kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil a või artikli 9 lõike 2 punktil a, siis teave õiguse kohta nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud isikuandmete töötlemise seaduslikkust;
e)
teave õiguse kohta esitada kaebus järelevalveasutusele;
f)
teave isikuandmete päritoluallika ning asjakohasel juhul selle kohta, kas need pärinevad avalikult kättesaadavatest allikatest;
g)
teave […] automatiseeritud otsuste […] kohta […]
[…]
4.   Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne edasist isikuandmete töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe.
5.   Lõikeid 1–4 ei kohaldata, kui ja sel määral mil
a)
andmesubjektil on see teave juba olemas;
b)
selle teabe esitamine osutub võimatuks või eeldaks ebaproportsionaalseid jõupingutusi, eelkõige kui isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil, eeldusel, et artikli 89 lõikes 1 osutatud tingimused on täidetud ja kaitsemeetmed kehtestatud, või sel määral mil käesoleva artikli lõikes 1 osutatud kohustus tõenäoliselt muudab sellise isikuandmete töötlemise eesmärgi saavutamise võimatuks või häirib seda suurel määral. Sellistel juhtudel võtab vastutav töötleja asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks, sealhulgas teeb teabe avalikult kättesaadavaks;
c)
isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks, või
d)
isikuandmed peavad jääma salajaseks liidu või liikmesriigi õigusega reguleeritava ametisaladuse hoidmise kohustuse, sealhulgas põhikirjajärgse saladuse hoidmise kohustuse tõttu.“
11
Määruse artikkel 32 „Töötlemise turvalisus“ on sõnastatud järgmiselt:
„1.   Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist:
a)
isikuandmete pseudonümiseerimine ja krüpteerimine;
b)
võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus;
c)
võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral;
d)
tehniliste ja korralduslike meetmete tõhususe korrapärase testimise ja hindamise kord isikuandmete töötlemise turvalisuse tagamiseks.
2.   Vajaliku turvalisuse taseme hindamisel võetakse eelkõige arvesse isikuandmete töötlemisest tulenevaid ohte, eelkõige edastatavate, salvestatavate või muul viisil töödeldavate isikuandmete juhuslikku või ebaseaduslikku hävitamist, kaotsiminekut, muutmist ja loata avalikustamist või neile juurdepääsu.
3.   Käesoleva artikli lõikes 1 osutatud nõuete järgimise tõendamise elemendina võib kasutada artiklis 40 osutatud heakskiidetud toimimisjuhendite või artiklis 42 osutatud heakskiidetud sertifitseerimismehhanismi järgimist.
4.   Vastutav töötleja ja volitatud töötleja võtavad meetmeid selleks, et tagada, et vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, töötlevad isikuandmeid ainult vastutava töötleja juhiste alusel, välja arvatud juhul, kui liidu või liikmesriigi õigus neid selleks kohustab.“
12
Määruse artikli 55 „Pädevus“ lõikes 1 on sätestatud:
„Järelevalveasutus on oma liikmesriigi territooriumil pädev täitma ülesandeid ja kasutama volitusi, mis on talle kooskõlas käesoleva määrusega antud.“
13
Üldmääruse artikli 57 „Ülesanded“ lõikes 1 on ette nähtud:
„Ilma et see piiraks muude käesoleva määrusega sätestatud ülesannete täitmist, teeb järelevalveasutus oma territooriumil järgmist:
a)
jälgib käesoleva määruse kohaldamist ja tagab selle kohaldamise;
[…]
c)
nõustab kooskõlas liikmesriigi õigusega riigi parlamenti, valitsust ning teisi institutsioone ja organeid õigus- ja haldusmeetmete osas seoses füüsiliste isikute õiguste ja vabaduste kaitsega isikuandmete töötlemisel;
[…]“.
14
Määruse artikli 58 „Volitused“ lõikes 3 on sätestatud:
„Järelevalveasutusel on järgmised lubavad ja nõuandvad volitused:
[…]
b)
esitada omal algatusel või taotluse alusel isikuandmete kaitsega seotud küsimustes arvamusi riigi parlamendile, liikmesriigi valitsusele või, kooskõlas liikmesriigi õigusega, muudele institutsioonidele ja asutustele ning samuti avalikkusele;
[…]“.
15
Määruse artikli 77 „Õigus esitada järelevalveasutusele kaebus“ lõikes 1 on ette nähtud:
„Ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada kaebus järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, töökoht või väidetava rikkumise toimumiskoht, kui andmesubjekt on seisukohal, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.“
16
Üldmääruse artikkel 78 „Õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu“ on sõnastatud järgmiselt:
„1.   Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal füüsilisel või juriidilisel isikul õigus kasutada tõhusat õiguskaitsevahendit järelevalveasutuse õiguslikult siduva otsuse vastu, mis teda puudutab.
2.   Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui artiklite 55 ja 56 kohaselt pädev järelevalveasutus ei käsitle kaebust või ei teavita andmesubjekti kolme kuu jooksul artikli 77 kohaselt esitatud kaebuse menetlemise käigust või tulemustest.
3.   Järelevalveasutuse vastu algatatakse menetlus selle liikmesriigi kohtus, kus järelevalveasutus asub.
4.   Kui menetlus algatatakse järelevalveasutuse otsuse vastu, millele eelnes järjepidevuse mehhanismi kohane andmekaitsenõukogu arvamus või otsus, edastab järelevalveasutus selle arvamuse või otsuse kohtule.“
Määrus (EL) 2021/953
17
Euroopa Parlamendi ja nõukogu 14. juuni 2021. aasta määruse (EL) 2021/953, millega kehtestatakse koostalitlusvõimeliste COVID‑19 vaktsineerimis-, testimis- ja läbipõdemistõendite (ELi digitaalne COVID‑tõend) väljaandmise, kontrollimise ja aktsepteerimise raamistik, et hõlbustada vaba liikumist COVID‑19 pandeemia ajal (ELT 2021, L 211, lk 1), artikli 10 „Isikuandmete kaitse“ lõikes 1 oli ette nähtud:
„Käesoleva määruse rakendamisel toimuva isikuandmete töötlemise suhtes kohaldatakse [üldmäärust].“
Ungari õigus
18
Valitsuse 12. veebruari 2021. aasta määruse nr 60/2021 (II.12.) koroonaviiruse immuunsustõendi kohta (a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet) põhikohtuasjas kohaldatavas redaktsioonis (edaspidi „määrus nr 60/2021“) on § 2 lõikes 1 sätestatud:
„Immuunsustõend sisaldab järgmist:
a)
andmesubjekti nimi;
b)
andmesubjekti passi number, kui talle on väljastatud pass;
c)
andmesubjekti alalise isikut tõendava dokumendi number, kui talle on väljastatud nimetatud dokument;
d)
immuunsustõendi seerianumber;
e)
vaktsineerimise kuupäev, kui esitatakse vaktsineerimistõend;
f)
tõendi kehtivusaeg, kui esitatakse nakkusest taastumise tõend;
g)
andmete salvestamise kood, mis on arvutusseadmega optiliselt loetav ja genereeritakse punktides a–f osutatud andmete põhjal;
h)
järgmised märked:
ha)
„kaart kehtib koos isikut tõendava dokumendi või passiga“;
hb)
„dokument ei ole üleantav“;
hc)
„tõendiga seotud õigustega on võimalik tutvuda veebisaidil koronavirus.gov.hu“.“
19
Määruse nr 60/2021 § 2 lõigete 6 ja 7 kohaselt väljastab immuunsustõendi väljastav asutus omal algatusel või taotluse põhjal füüsilisele isikule, kellel on õigus seda saada.
20
Määruse nr 60/2021 § 3 lõikes 3 on sätestatud:
„Artikli 2 § 6 punktides c ja d osutatud juhtudel kogub väljastav asutus automaatse teabeedastuse teel – vajaduse korral isikuandmete elektroonilise registri asjaomaste teenuste kaudu –
a)
operaatorilt EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér (elektrooniliste tervishoiuteenuste pakkuja))] järgmised andmed: andmesubjekti sotsiaalkindlustusnumber, § 2 lõike 1 punktides e ja g osutatud andmed ning lõikes 1 osutatud andmed;
b)
isikuandmete ja aadresside registri eest vastutavalt asutuselt järgmised andmed: nimi, passi ja alalise isikut tõendava dokumendi tuvastusandmed ning andmesubjekti aadress.“
Põhikohtuasi ja eelotsuse küsimused
21
UC, kes on füüsiline isik, sai väljastavalt asutuselt immuunsustõendi, mis tõendas, et ta on vaktsineeritud COVID‑19 vastu vastavalt määrusele nr 60/2021.
22
UC algatas 30. aprillil 2021 teda puudutavate isikuandmete töötlemise haldusmenetluse, esitades riiklikule ametile üldmääruse artikli 77 lõike 1 alusel kaebuse, et väljastavat asutust kohustataks kooskõlastama oma andmetöötlustoimingud üldmääruse sätetega. Ta heitis oma kaebuses muu hulgas ette, et väljastav asutus ei ole koostanud immuunsustõendite väljastamisega seotud isikuandmete töötlemise kohta teabelehte ega seda avaldanud ning et puudub piisav teave andmete töötlemise eesmärgi ja õigusliku aluse kohta ning selle kohta, millised õigused on andmesubjektil ja kuidas neid saab kasutada.
23
Esitatud kaebuse tulemusel algatatud menetluses kinnitas väljastav asutus, et ta täitis oma kohustusi seoses immuunsustõendite väljastamisega vastavalt määruse nr 60/2021 §‑le 2 ning et töötlemise õiguslik alus oli üldmääruse artikli 6 lõike 1 punkt e ja isikuandmete eriliikide töötlemise osas üldmääruse artikli 9 lõike 2 punkt i.
24
Väljastav asutus märkis samuti, et ta on kogunud isikuandmed, mida ta töötleb, kooskõlas määruse nr 60/2021 sätetega muult organilt. Ta märkis selle põhjal, et ta ei olnud üldmääruse artikli 14 lõike 5 punktist c tulenevalt kohustatud andma teavet nende andmete töötlemise kohta. Sellegipoolest oli ta koostanud asjasse puutuvate andmete töötlemise kohta teabelehe ja avaldanud selle oma veebisaidil.
25
Riiklik amet jättis 15. novembri 2021. aasta otsusega UC kaebuse rahuldamata ja tegi järelduse, et väljastav asutus ei ole kohustatud andma teavet, kuna kõnealuse isikuandmete töötlemise suhtes on kohaldatav üldmääruse artikli 14 lõike 5 punktis c sätestatud erand.
26
Konkreetselt väljendas see amet seisukohta, et töötlemise õiguslik alus oli määrus nr 60/2021 ja et sellega oli väljastavale asutusele antud sõnaselge korraldus neid andmeid koguda. Riiklik amet leidis, et see, et väljastav asutus avaldas oma veebisaidil teavet isikuandmete töötlemise kohta, kujutab endast head tava, mitte seadusest tulenevat kohustust.
27
Lisaks analüüsis riiklik amet omal algatusel, kas on olemas andmesubjekti õigustatud huvide kaitsmiseks mõeldud asjakohased meetmed üldmääruse artikli 14 lõike 5 punkti c teise lauseosa tähenduses, ja sedastas, et määruse nr 60/2021 §‑de 2 ja 3 ning 5–7 sätted tuleb lugeda sellisteks meetmeteks.
28
UC esitas selle otsuse peale kaebuse Fővárosi Törvényszékile (Pealinna Budapesti kohus, Ungari), kes tühistas otsuse ja kohustas riiklikku ametit uut menetlust läbi viima.
29
Nimetatud kohus märkis oma kohtuotsuses, et üldmääruse artikli 14 lõike 5 punktis c sätestatud erand ei ole kohaldatav, sest mõningaid immuunsustõendiga seotud isikuandmeid ei kogunud vastutav töötleja muult organilt, vaid vastutav töötleja tekitas need oma ülesannete täitmise käigus. Sellised andmed on nimetatud kohtu hinnangul immuunsustõendi seerianumber, tõendi kehtivusaeg haiguse läbipõdemise korral, kaardi QR‑kood, triipkood ja muud tähtnumbrilised koodid, mis on kättetoimetamise tõendil, ning kõik isikuandmed, mis tekivad seoses juhtumite menetlemisega vastutava töötleja tegevuse käigus. Sama kohtu hinnangul võis üldmääruse artikli 14 lõike 5 punktis c ette nähtud erand hõlmata üksnes muult organilt saadud isikuandmeid.
30
Riiklik amet esitas selle kohtuotsuse peale erakorralist õiguskaitsevahendit kasutades kassatsioonkaebuse Kúriale (Ungari kõrgeim kohus).
31
Eelotsusetaotluse esitanud kohus soovib selles kontekstis kõigepealt teada, kas üldmääruse artikli 14 lõike 5 punktis c ette nähtud erandit saab kohaldada igasuguse isikuandmete töötlemise suhtes, välja arvatud andmesubjektilt saadud isikuandmete töötlemise suhtes.
32
Jaatava vastuse korral soovib eelotsusetaotluse esitanud kohus teada, kas üldmääruse artikli 77 lõike 1 alusel toimuva kaebemenetluse raames on järelevalveasutus pädev selle erandi kohaldatavuse üle otsustamiseks kontrollima, kas vastutava töötleja riigisiseses õiguses on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
33
Kui see on nii, siis soovib eelotsusetaotluse esitanud kohus lõpuks teada, kas see kontroll hõlmab ka nende meetmete asjakohasust, mida vastutav töötleja peab isikuandmete töötlemise turvalisuse tagamiseks rakendama vastavalt üldmääruse artiklile 32.
34
Neil asjaoludel otsustas Kúria (kõrgeim kohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.
Kas [üldmääruse] artikli 14 lõike 5 punkti c – arvestades artikli 14 lõiget 1 ja põhjendust 62 – tuleb tõlgendada nii, et artikli 14 lõike 5 punktis c ette nähtud erandit ei kohaldata andmetele, mille vastutav töötleja tekitab omaenda tegevuse käigus, vaid ainult andmetele, mille vastutav töötleja on konkreetselt saanud mõnelt muult isikult?
2.
Juhul, kui [üldmääruse] artikli 14 lõike 5 punkti c tuleb kohaldada ka andmetele, mille vastutav töötleja tekitab omaenda tegevuse käigus, siis kas õigust esitada kaebus järelevalveasutusele, mis on sätestatud üldmääruse artikli 77 lõikes 1, tuleb tõlgendada nii, et füüsiline isik, kes väidab, et teabe esitamise kohustust ei ole täidetud, võib samuti paluda oma kaebuse esitamise õigust kasutades, et uuritaks, kas vastavalt [üldmääruse] artikli 14 lõike 5 punktile c on liikmesriigi õiguses sätestatud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks?
3.
Juhul, kui vastus teisele küsimusele on jaatav, siis kas [üldmääruse] artikli 14 lõike 5 punkti c saab tõlgendada nii, et nimetatud sättes osutatud „asjakohased meetmed“ tähendavad, et liikmesriigi seadusandja peab [üldmääruse] artiklis 32 sätestatud töötlemise turvalisust käsitlevad sätted (õigusnormiga) üle võtma?“
35
Euroopa Kohus palus 16. jaanuaril 2024 Euroopa Liidu Kohtu põhikirja artiklis 23 nimetatud pooltel ja huvitatud isikutel Euroopa Kohtu kodukorra artikli 61 alusel vastata kirjalikult teatavatele küsimustele. Põhikohtuasja kassaator ja vastustaja, Ungari ja Tšehhi valitsus ning Euroopa Komisjon vastasid nendele küsimustele.
Eelotsuse küsimuste analüüs
Esimene küsimus
36
Esimese küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et selles sättes ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti puudutab üksnes isikuandmeid, mille vastutav töötleja on kogunud muult isikult kui andmesubjekt, või puudutab see ka isikuandmeid, mille vastutav töötleja on tekitanud oma ülesannete täitmise käigus.
37
Üldmääruse artikli 14 lõigetes 1, 2 ja 4 on kindlaks määratud teave, mille vastutav töötleja on kohustatud andmesubjektile sama määruse artikli 4 punkti 1 tähenduses esitama, kui isikuandmed ei ole saadud andmesubjektilt.
38
Sama määruse artikli 14 lõikes 5 on ette nähtud erandid sellest kohustusest. Nende erandite hulgas on lõike 5 punktis c ette nähtud, et kohustust ei kohaldata, kui ja sel määral, mil isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
39
Selleks, et teha kindlaks, kas see erand hõlmab isikuandmeid, mille vastutav töötleja on ise oma ülesannete täitmise käigus tekitanud andmete põhjal, mis ta on saanud muult isikult kui andmesubjektilt, on Euroopa Kohtu praktikas välja kujunenud, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult selle sõnastust, vaid ka konteksti ja selle õigusaktiga taotletavaid eesmärke, mille osa see säte on (vt selle kohta 12. jaanuari 2023. aasta kohtuotsus Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 32 ja seal viidatud kohtupraktika).
40
Esimesena tuleb üldmääruse artikli 14 lõike 5 punkti c sõnastust arvestades kindlaks määrata selles sättes viidatud „saamise või avaldamise“ ese.
41
Nimelt on esiteks selle sätte erinevate keeleversioonide vahel lahknevusi. Sama sätte prantsuskeelses versioonis on viidatud „teabe“ saamisele või avaldamisele, samas kui kõigepealt ungari- (adat), eesti- (isikuandmed), horvaadi- (podataka), leedu- (duomenų), hollandi- (gegevens), portugali- (dados), rumeenia- (datelor) ja rootsikeelses (uppgifter) versioonis on viidatud „andmete“ saamisele või avaldamisele, seejärel sisaldab soomekeelne versioon sõna (tietojen), mis võib hõlmata nii „andmeid“ kui ka „teavet“, ning lõpuks ei ole bulgaaria-, hispaania-, tšehhi-, taani-, saksa-, kreeka-, inglis-, itaalia-, läti-, malta-, poola-, slovaki- ja sloveenikeelses versioonis mainitud saamise või avaldamise eset.
42
Vastavalt samuti väljakujunenud kohtupraktikale ei saa aga liidu õiguse sätte ühes keeleversioonis kasutatud sõnastus olla selle sätte tõlgendamise ainus alus ja sellele keeleversioonile ei saa tõlgendamisel anda muude keeleversioonide ees eelist. Nimelt tuleb liidu õigusnorme tõlgendada ja kohaldada ühetaoliselt, arvestades liidu kõigis keeltes kehtivaid versioone. Kui liidu õigusakti keeleversioonide vahel on erinevusi, tuleb asjaomast sätet tõlgendada lähtuvalt selle õigusakti üldisest ülesehitusest ja eesmärkidest, mille osa see säte on (21. märtsi 2024. aasta kohtuotsus Cobult, C‑76/23, EU:C:2024:253, punkt 25 ja seal viidatud kohtupraktika).
43
Mis puudutab üldmääruse üldist ülesehitust, siis tuleb selle määruse artikli 14 lõiget 5 tõlgendada lähtuvalt selle põhjendustest 61 ja 62, milles on viidatud ühelt poolt „andmete han[kimisele] ja isikuandmete avalda[misele]“ ning juhule, kui „isikuandmete dokumenteerimine või avaldamine on õigusnormides selgelt sätestatud“, ning teiselt poolt „an[tud] [teabele]“ või „teabele, mis tuleb anda“. Tõlgendust, mille kohaselt „saamise või avaldamisega“ üldmääruse artikli 14 lõike 5 punkti c tähenduses peetakse silmas isikuandmeid, kinnitab ka üldmääruse artikli 4 punkti 2 tähenduses mõiste „töötlemine“ lai ulatus, mis hõlmab kõiki isikuandmetega tehtavaid toiminguid (vt selle kohta 5. oktoobri 2023. aasta kohtuotsus Ministerstvo Zdravotnictví (mobiilirakendus COVID‑19), C‑659/22, EU:C:2023:745, punkt 27 ja seal viidatud kohtupraktika).
44
Mis puudutab selle reeglistiku eesmärki, millesse üldmääruse artikli 14 lõike 5 punkt c kuulub, siis piisab selle märkimisest, mida tegi kohtujurist oma ettepaneku punktis 31, et asjaomase erandi ratio legis on asjaolu, et selle määruse artikli 14 lõigetes 1, 2 ja 4 andmesubjektile kehtestatud teavitamiskohustus ei ole põhjendatud, kui mõni muu liidu või liikmesriigi õiguse norm kohustab vastutavat töötlejat piisavalt täielikult ja siduvalt andma sellele isikule teavet isikuandmete saamise või avaldamise kohta. Artikli 14 lõike 5 punkti c kohaldamisalasse kuuluval juhul peavad andmesubjektidel olema piisavad teadmised nende andmete saamise või avaldamise viisist ja eesmärkidest.
45
Järelikult tuleb üldmääruse artikli 14 lõike 5 punkti c sõnastust kõigis selle keeleversioonides arvesse võttes asuda seisukohale, et kõnealust sätet tuleb mõista nii, et see viitab isikuandmete saamisele või avaldamisele.
46
Teiseks tuleb tõdeda, et üldmääruse artikli 14 lõike 5 punkti c sõnastus ei piira selles ette nähtud erandit üksnes isikuandmetega, mille vastutav töötleja on saanud muult isikult kui andmesubjekt, ega välista ka andmeid, mille vastutav töötleja on ise oma ülesannete täitmise käigus selliste andmete põhjal tekitanud.
47
Sellest järeldub, et isikuandmed, mille vastutav töötleja on nimetatud sätte tähenduses „saanud“, on kõik isikuandmed, mida vastutav töötleja on saanud muult isikult kui andmesubjekt, ja isikuandmed, mida vastutav töötleja ise on oma ülesannete täitmise käigus tekitanud muult isikult kui andmesubjekt saadud andmete põhjal.
48
Teisena tuleb märkida, et üldmääruse artikli 14 esemeline kohaldamisala on võrreldes selle määruse artikliga 13 määratletud negatiivselt. Nagu nähtub nende sätete pealkirjadest endist, reguleerib artikkel 13 teavet, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt, samas kui artikkel 14 puudutab teabe andmist juhul, kui isikuandmed ei ole saadud andmesubjektilt. Seda dihhotoomiat arvesse võttes kuuluvad kõik juhud, mil andmed ei ole saadud andmesubjektilt, artikli 14 materiaalsesse kohaldamisalasse.
49
Seega tuleneb üldmääruse artikli 13 ja 14 tõlgendamisest koostoimes, et nii isikuandmed, mille vastutav töötleja on saanud muult isikult kui andmesubjekt, kui ka andmed, mille vastutav töötleja on ise tekitanud ja mis olemuse poolest ei ole samuti saadud andmesubjektilt, kuuluvad selle artikli 14 kohaldamisalasse. Sellest tuleneb, et artikli 14 lõike 5 punktis c sätestatud erand hõlmab neid kahte liiki andmeid.
50
Kolmandana tuleb tõlgendada üldmääruse artikli 14 lõike 5 punkti c kooskõlas selle määrusega taotletud eesmärgiga, milleks eelkõige on – nagu nähtub artiklist 1 lähtuvalt selle põhjendustest 1 ja 10 – tagada füüsiliste isikute põhiõiguste ja -vabaduste, eelkõige nende õiguse eraelu puutumatusele kõrgetasemeline kaitse, kui töödeldakse isikuandmeid, mis on tagatud harta artikli 8 lõikega 1 ja ELTL artikli 16 lõikega 1 (vt selle kohta 7. märtsi 2024. aasta kohtuotsus IAB Europe, C‑604/22, EU:C:2024:214, punkt 53 ja seal viidatud kohtupraktika).
51
Sellega seoses nähtub üldmääruse põhjendusest 63, et liidu seadusandja soovis, et selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, on andmesubjektil selle määruse tähenduses õigus tutvuda isikuandmetega, mis on tema kohta kogutud.
52
Seega võib vastutava töötleja vabastada teavitamiskohustusest, mis tal tavaliselt andmesubjekti suhtes on, tingimusel et andmesubjekt saab teostada kontrolli oma isikuandmete üle ja kasutada talle üldmäärusega antud õigusi.
53
Vastavalt selle määruse eesmärgile nõuab üldmääruse artikli 14 lõike 5 punktis c ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti ühelt poolt seda, et vastutava töötleja poolt isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses. Teiselt poolt peavad selles õiguses olema ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
54
Sellest tuleneb, et selleks, et üldmääruse artikli 14 lõike 5 punkti c kohaldamine oleks määrusega taotletava eesmärgiga täielikult kooskõlas, peab selle kohaldamisel olema rangelt järgitud nimetatud sättes ette nähtud tingimusi, see tähendab eelkõige seda, et andmesubjekti kaitse tase peab olema vähemalt samaväärne määruse artikli 14 lõigetes 1–4 tagatud tasemega.
55
Eeltoodud kaalutlusi arvestades tuleb esimesele küsimusele vastata, et üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et selles sättes ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti puudutab ühtemoodi kõiki isikuandmeid, mida vastutav töötleja ei ole saanud otse andmesubjektilt, olenemata sellest, kas vastutav töötleja on need andmed saanud muult isikult kui andmesubjekt või on need andmed tekitanud vastutav töötleja ise oma ülesannete täitmise käigus.
Teine ja kolmas küsimus
56
Teise ja kolmanda küsimusega, mida tuleb analüüsida koos, soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas üldmääruse artikli 14 lõike 5 punkti c ja artikli 77 lõiget 1 tuleb tõlgendada nii, et artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisel on järelevalveasutus kaebemenetluses pädev kontrollima, kas liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks, ning juhul, kui vastus on jaatav, siis kas see kontroll puudutab samuti nende meetmete asjakohasust, mida vastutav töötleja peab rakendama määruse artikli 32 alusel, et tagada isikuandmete töötlemise turvalisus.
57
Esimesena tuleb meenutada, et ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil üldmääruse artikli 77 lõike 1 kohaselt õigus esitada kaebus järelevalveasutusele, kui ta on seisukohal, et teda puudutavate isikuandmete töötlemine rikub seda määrust.
58
Mis puudutab järelevalveasutuse pädevust, siis määruse artikli 55 lõikes 1 on ette nähtud, et järelevalveasutus on oma liikmesriigi territooriumil pädev täitma ülesandeid ja kasutama volitusi, mis on talle kooskõlas sama määrusega antud.
59
Nende ülesannetega seoses on üldmääruse artikli 57 lõike 1 punktis a sätestatud, et järelevalveasutus jälgib oma territooriumil määruse kohaldamist ja tagab selle kohaldamise.
60
Üldmäärus ei sisalda ühtegi sätet, mis välistaks selle määruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise teatud aspektid nende järelevalveasutuste pädevusest.
61
Selle sätte kohaselt on vastutav töötleja vabastatud kohustusest esitada andmesubjektile isikuandmete kaitse üldmääruse artikli 14 lõigetes 1, 2 ja 4 osutatud teavet, kui ja sel määral, mil ühelt poolt on isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses ning teiselt poolt on selles õiguses ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
62
Seega võib üldmääruse artikli 77 lõike 1 alusel esitatud kaebus põhineda sellel, et vastutav töötleja on rikkunud teavitamiskohustust, kuna ta ei ole täitnud määruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise tingimusi.
63
Mis puudutab esimest tingimust, mida on meenutatud käesoleva kohtuotsuse punktis 61, siis võib sellist kaebust menetleval järelevalveasutusel olla vaja kontrollida, kas liidu või liikmesriigi õiguses on ette nähtud, et vastutav töötleja peab isikuandmeid saama või avaldama.
64
Teise tingimuse kohta tuleb sarnaselt kohtujuristi ettepaneku punktides 67 ja 69 tõdetuga järeldada, et väljendi „asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks“ ulatust ei ole üldmääruses täpsustatud. Sellegipoolest peavad liidu või liikmesriigi õiguse sätted, milles on niisugused meetmed ette nähtud ja mis on kohaldatavad vastutava töötleja suhtes, tagama – nagu on märgitud käesoleva kohtuotsuse punktis 54 – andmesubjekti isikuandmete töötlemisel kaitse taseme, mis on vähemalt samaväärne selle määruse artikli 14 lõigetes 1–4 ette nähtud tasemega. Seega peavad need sätted võimaldama andmesubjektil teostada kontrolli oma isikuandmete üle ja kasutada talle üldmäärusega antud õigusi.
65
Selleks on eelkõige oluline, et nendes liikmesriigi või liidu sätetes oleks selgelt ja ettenähtavalt märgitud allikas, kust andmesubjekt saab teavet teda puudutavate isikuandmete töötlemise kohta.
66
Seoses isikuandmete edastamisega liikmesriigi asutuste vahel ja selliste andmete tekitamisega vastutava töötleja poolt muult isikult kui andmesubjektilt saadud andmete põhjal tuleb märkida, et kui andmesubjekt esitab kaebuse, peab järelevalveasutus muu hulgas kontrollima, kas asjaomane riigisisene või liidu õigus määratleb piisava täpsusega eri liiki isikuandmed, mida tuleb saada või avaldada, ning isikuandmed, mida tal tuleb tekitada oma ülesannete täitmise käigus, ning kas selles õiguses on ette nähtud, mil viisil on andmesubjektil tegelik juurdepääs üldmääruse artikli 14 lõigetes 1, 2 ja 4 osutatud teabele.
67
Nagu komisjon oma kirjalikes seisukohtades rõhutab, ei tähenda see, et järelevalveasutus kontrollib, kas kõik üldmääruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise tingimused on täidetud, siiski asjasse puutuvate riigisiseste õigusnormide kehtivuse hindamist. See asutus võtab seisukoha üksnes küsimuses, kas vastutaval töötlejal on konkreetsel juhul õigus tugineda selles sättes ette nähtud erandile andmesubjekti suhtes.
68
Mis puudutab sellise kontrolli tulemust, siis tuleb meenutada, et määruse artiklis 78 on sätestatud, et kui järelevalveasutus otsustab konkreetsel juhul, et andmesubjekti kaebus ei ole põhjendatud, peab andmesubjektil olema oma liikmesriigis õigus tõhusale õiguskaitsevahendile selle rahuldamata jätmise otsuse vastu.
69
Seevastu juhul, kui see asutus leiab, et kaebus on põhjendatud ja määruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise tingimused ei ole täidetud, kohustab ta vastutavat töötlejat esitama andmesubjektile teabe vastavalt sama määruse artikli 14 lõigetele 1, 2 ja 4.
70
Mis teisena puudutab küsimust, kas see kontroll peab käsitlema ka seda, kas üldmääruse artikli 32 seisukohast on meetmed, mida vastutav töötleja peab võtma, asjakohased, et tagada töötlemise turvalisus, siis tuleb rõhutada, et määruse artikli 14 lõike 5 punktis c on sätestatud erand üksnes määruse artikli 14 lõigetes 1, 2 ja 4 ette nähtud teavitamiskohustusest, ilma et oleks ette nähtud erandit sama määruse teistes sätetes, sealhulgas artiklis 32, sätestatud kohustustest.
71
Artikli 32 kohaselt peavad vastutav töötleja ja volitatud töötleja rakendama töötlemisega seotud ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. Nende meetmete asjakohasust tuleb hinnata konkreetselt, võttes arvesse asjaomase töötlemisega seotud ohtusid ja hinnates, kas meetmete laad, sisu ja rakendamine on nende ohtudega vastavuses (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punktid 42, 46 ja 47, ning 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn, C‑687/21, EU:C:2024:72, punktid 37 ja 38).
72
Nende kahe sätte sõnastust arvestades tuleb märkida, et üldmääruse artiklis 32 sätestatud kohustused, mida tuleb järgida igal juhul ja sõltumata sellest, kas esineb selle määruse artiklis 14 sätestatud teavitamiskohustus või mitte, on oma laadilt ja ulatuselt erinevad artiklis 14 ette nähtud teavitamiskohustusest.
73
Seega, kui üldmääruse artikli 77 lõike 1 alusel esitatakse kaebus põhjusel, et vastutav töötleja tugines ekslikult selle määruse artikli 14 lõike 5 punktis c ette nähtud erandile, on järelevalveasutuse läbiviidavate kontrollide ese piiratud üksnes määruse artikli 14 kohaldamisalaga, kuna määruse artikli 32 järgimine ei kuulu nende kontrollide hulka.
74
Eeltoodud põhjendusi arvestades tuleb teisele ja kolmandale küsimusele vastata, et üldmääruse artikli 14 lõike 5 punkti c ja artikli 77 lõiget 1 tuleb tõlgendada nii, et nimetatud artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisel on järelevalveasutus kaebemenetluses pädev kontrollima, kas liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks. Siiski ei puuduta see kontroll nende meetmete asjakohasust, mida vastutav töötleja peab rakendama määruse artikli 32 alusel, et tagada isikuandmete töötlemise turvalisus.
Kohtukulud
75
Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
Esitatud põhjendustest lähtudes Euroopa Kohus (kolmas koda) otsustab:
1.
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 14 lõike 5 punkti c
tuleb tõlgendada nii, et
selles sättes ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti puudutab ühtemoodi kõiki isikuandmeid, mida vastutav töötleja ei ole saanud otse andmesubjektilt, olenemata sellest, kas vastutav töötleja on need andmed saanud muult isikult kui andmesubjekt või on need andmed tekitanud vastutav töötleja ise oma ülesannete täitmise käigus.
2.
Määruse 2016/679 artikli 14 lõike 5 punkti c ja artikli 77 lõiget 1
tuleb tõlgendada nii, et
nimetatud artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisel on järelevalveasutus kaebemenetluses pädev kontrollima, kas liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks. Siiski ei puuduta see kontroll nende meetmete asjakohasust, mida vastutav töötleja peab rakendama määruse artikli 32 alusel, et tagada isikuandmete töötlemise turvalisus.
Allkirjad
(
*1
)	Kohtumenetluse keel: ungari.
(
i
)	Käesoleval kohtuasjal on väljamõeldud nimi. See ei vasta ühegi menetlusosalise tegelikule nimele.