62021CC0768
KOHTUJURISTI ETTEPANEK
PRIIT PIKAMÄE
esitatud 11. aprillil 2024 (
1
)
Kohtuasi C‑768/21
TR
versus
Land Hessen
(eelotsusetaotlus, mille on esitanud Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus, Saksamaa))
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 57 lõike 1 punktid a ja f – Järelevalveasutuse ülesanded – Artikli 58 lõige 2 – Järelevalveasutuse volitused – Artikli 77 lõige 1 – Kaebuse esitamise õigus – Isikuandmetega seotud rikkumine – Järelevalveasutuse kohustus võtta meetmeid
I. Sissejuhatus
1.
Käsitletavas eelotsusetaotluses, mille on esitanud Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus, Saksamaa) ELTL artikli 267 alusel, palutakse tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (
2
) (edaspidi „isikuandmete kaitse üldmäärus“) artikli 57 lõike 1 punkte a ja f, artikli 58 lõiget 2 ning artikli 77 lõiget 1.
2.
See eelotsusetaotlus on esitatud vaidluse raames, mille pooled on TR ja Land Hessen (Hesseni liidumaa, Saksamaa), keda esindab Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hesseni liidumaa andmekaitse- ja infovabaduse volinik; edaspidi „HBDI“), ning mis puudutab viimase keeldumist võtta meetmeid hoiukassa (Sparkasse) suhtes isikuandmetega seotud rikkumise tõttu. Eelotsusetaotluse esitanud kohtul on tekkinud küsimus, kas järelevalveasutus on juhul, kui ta tuvastab isikuandmete töötlemise, millega rikutakse andmesubjekti õigusi, igal juhul kohustatud võtma meetmeid volituste raames, mis on talle antud isikuandmete kaitse üldmääruse artikli 58 lõikega 2, või võib ta konkreetsel juhul rikkumisest hoolimata meetmed võtmata jätta.
3.
Käesolev kohtuasi tõstatab mitu õiguslikku küsimust, mida ei ole varem käsitletud ja mis vajavad põhjalikku järelemõtlemist. Euroopa Kohus peab sisuliselt seisukoha võtma rolli kohta, mis on seaduslikkuse ja oportuniteedi põhimõtetel järelevalveasutuste halduspraktikas ning konkreetselt siis, kui need asutused täidavad oma ülesannet kontrollida isikuandmete kaitse üldmääruse kohaldamist ja tagada selle järgimine. Euroopa Kohtu praktikast tulenevad tõlgendamissuunised avaldavad sellele halduspraktikale mõju, aidates nii kaasa isikuandmete kaitse üldmääruse ühetaolisele kohaldamisele liidus.
II. Õiguslik raamistik
4.
Isikuandmete kaitse üldmääruse põhjendused 129, 141, 148 ja 150 on sõnastatud järgmiselt:
„(129)
Selleks et tagada kogu liidus ühtlane järelevalve käesoleva määruse üle ja selle ühtlane täitmine, peaksid järelevalveasutustel olema kõikides liikmesriikides samad ülesanded ja tõhusad volitused, sealhulgas uurimis‑, parandus‑ ja karistuste kehtestamise volitused ning loaandmis‑ ja nõuandvad volitused, eelkõige füüsiliste isikute esitatud kaebuste puhul, ning ilma et see piiraks süüdistuse ettevalmistamise eest vastutava asutuse liikmesriigi õiguse kohaseid volitusi, õigus juhtida õigusasutuste tähelepanu käesoleva määruse rikkumistele ja volitused osaleda kohtumenetlustes. Need volitused peaksid hõlmama ka õigust kehtestada ajutine või alaline töötlemispiirang, sealhulgas töötlemiskeeld. Liikmesriigid võivad kindlaks määrata muud käesoleva määruse kohased isikuandmete kaitsega seotud ülesanded. Järelevalveasutuste volitusi tuleks kasutada kooskõlas liidu ja liikmesriikide õiguses sätestatud asjakohaste menetluslike kaitsemeetmetega ning erapooletult, õiglaselt ja mõistliku aja jooksul. Eelkõige peaks meede olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid; austama isiku õigust ärakuulamisele, enne kui teda kahjustada võiv meede vastu võetakse, ning vältima liigseid kulusid ja liigseid ebamugavusi asjaomastele isikutele. […]
[…]
(141)
Igal andmesubjektil peaks olema õigus esitada kaebus ühele järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, ja õigus tõhusale õiguskaitsevahendile kooskõlas [Euroopa Liidu põhiõiguste harta, edaspidi „harta“] artikliga 47, kui andmesubjekt on seisukohal, et tema käesoleva määruse kohaseid õigusi on rikutud või kui järelevalveasutus ei reageeri kaebusele, lükkab kaebuse osaliselt või täielikult tagasi või ei võta meetmeid juhul, kui need on vajalikud andmesubjekti õiguste kaitsmiseks. Kaebuse esitamisele järgnev uurimine peaks toimuma ulatuses, mis on konkreetse juhtumi puhul vajalik, ning selle tulemust peaks olema võimalik kohtulikult kontrollida. Järelevalveasutus peaks teavitama andmesubjekti kaebuse menetlemise käigust ja tulemusest mõistliku aja jooksul. […]
[…]
(148)
Käesoleva määruse eeskirjade täitmise tagamiseks tuleks käesoleva määruse igasuguse rikkumise eest määrata karistusi, sealhulgas trahve lisaks käesoleva määruse kohaselt järelevalveasutuse poolt kehtestatud asjakohastele meetmetele või nende asemel. Väiksema õigusrikkumise puhul või kui tõenäoliselt määratav trahv kujutaks endast füüsilise isiku jaoks ebaproportsionaalset koormust, võib trahvi asemel teha noomituse. Asjakohast tähelepanu tuleks aga pöörata rikkumise laadile, raskusele ja kestusele, rikkumise tahtlikkusele, tekitatud kahju leevendamiseks võetud meetmetele, vastutusastmele või asjakohastele eelnevatele rikkumistele, viisile, kuidas rikkumine sai järelevalveasutusele teatavaks, kooskõlale vastutava töötleja või volitatud töötleja suhtes võetud meetmetega, toimimisjuhendi järgimisele ning muudele raskendavatele või kergendavatele teguritele. […]
[…]
(150)
Selleks et tugevdada ja ühtlustada väärteokaristusi käesoleva määruse rikkumise korral, peaksid igal järelevalveasutusel olema volitused määrata trahve. Käesolevas määruses tuleks loetleda rikkumised, sätestada asjaomaste trahvide ülemmäär ja nende määramise kriteeriumid, mille üle peaks iga juhtumi puhul eraldi otsustama pädev järelevalveasutus, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades eelkõige silmas rikkumise laadi, raskusastet, ajalist kestvust ja tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. […]“
5.
Selle määruse artikli 33 lõikes 1 on sätestatud:
„Isikuandmetega seotud rikkumise korral teatab vastutav töötleja isikuandmetega seotud rikkumisest artikli 55 kohasele pädevale järelevalveasutusele põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. […]“
6.
Selle määruse artikli 34 lõikes 1 on nähtud ette:
„Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest.“
7.
Selle määruse artikli 57 lõikes 1 on sätestatud:
„Ilma et see piiraks muude käesoleva määrusega sätestatud ülesannete täitmist, teeb järelevalveasutus oma territooriumil järgmist:
a)
jälgib käesoleva määruse kohaldamist ja tagab selle kohaldamise;
[…]
f)
käsitleb andmesubjekti, asutuse, organisatsiooni või ühenduse poolt artikli 80 kohaselt esitatud kaebusi, uurib asjakohasel määral kaebuste sisu ning teavitab kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest, eelkõige juhul, kui on vajalik täiendav uurimine või kooskõlastamine teise järelevalveasutusega;
[…]“.
8.
Isikuandmete kaitse üldmääruse artiklis 58 on nähtud ette:
„1.   Järelevalveasutusel on järgmised uurimisvolitused:
a)
anda korraldus, et vastutav töötleja või volitatud töötleja või vajaduse korral vastutava töötleja või volitatud töötleja esindaja annab teavet, mis on vajalik tema ülesannete täitmiseks;
[…]
2.   Järelevalveasutusel on järgmised parandusvolitused:
a)
hoiatada vastutavat töötlejat või volitatud töötlejat, et kavandatavad isikuandmete töötlemise toimingud rikuvad tõenäoliselt käesoleva määruse sätteid;
b)
teha vastutavale töötlejale või volitatud töötlejale noomitusi, kui isikuandmete töötlemise toimingud on rikkunud käesoleva määruse sätteid;
c)
anda korraldus, et vastutav töötleja või volitatud töötleja rahuldaks andmesubjekti taotlused seoses tema käesoleva määruse kohaste õiguste kasutamisega;
d)
anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse käesoleva määruse sätetega;
e)
anda korraldus, et vastutav töötleja teavitaks andmesubjekti tema isikuandmetega seotud rikkumisest;
f)
kehtestada ajutine või alaline isikuandmete töötlemise piirang, sealhulgas töötlemiskeeld;
[…]
i)
määrata artikli 83 kohaselt trahve lisaks käesolevas lõikes osutatud meetmetele või nende asemel, sõltuvalt konkreetse juhtumi asjaoludest;
[…]“.
9.
Selle määruse artiklis 77 on sätestatud:
„1.   Ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada kaebus järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, töökoht või väidetava rikkumise toimumiskoht, kui andmesubjekt on seisukohal, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.
2.   Järelevalveasutus, kellele kaebus esitatakse, teavitab kaebuse esitajat kaebuse menetlemise käigust ja tulemusest, sealhulgas artikli 78 kohasest õiguskaitsevahendi kasutamise võimalusest.“
10.
Selle määruse artikli 78 lõigetes 1 ja 2 on nähtud ette:
„1.   Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal füüsilisel või juriidilisel isikul õigus kasutada tõhusat õiguskaitsevahendit järelevalveasutuse õiguslikult siduva otsuse vastu, mis teda puudutab.
2.   Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui artiklite 55 ja 56 kohaselt pädev järelevalveasutus ei käsitle kaebust või ei teavita andmesubjekti kolme kuu jooksul artikli 77 kohaselt esitatud kaebuse menetlemise käigust või tulemustest.“
11.
Isikuandmete kaitse üldmääruse artikli 83 lõigetes 1 ja 2 on sätestatud:
„1.   Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.
2.   Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:
a)
rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust;
b)
kas rikkumine pandi toime tahtlikult või hooletusest;
c)
vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks;
d)
vastutava töötleja või volitatud töötleja vastutuse aste, võttes arvesse nende poolt artiklite 25 ja 32 kohaselt võetud tehnilisi ja korralduslikke meetmeid;
e)
vastutava töötleja või volitatud töötleja eelnevad asjakohased rikkumised;
f)
järelevalveasutusega tehtava koostöö määr rikkumise heastamiseks ja rikkumise võimaliku kahjuliku mõju leevendamiseks;
g)
rikkumisest mõjutatud isikuandmete liigid;
h)
millisel viisil sai järelevalveasutus rikkumisest teada, eelkõige kas vastutav töötleja või volitatud töötleja teatas rikkumisest ja millisel määral ta seda tegi;
i)
kui asjaomase vastutava töötleja või volitatud töötleja suhtes on samas küsimuses varem võetud artikli 58 lõikes 2 osutatud meetmeid, siis nende meetmete järgimine;
j)
artikli 40 kohaste heakskiidetud toimimisjuhendite või artikli 42 kohaste heakskiidetud sertifitseerimismehhanismide järgimine, ning
k)
juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju.“
III. Põhikohtuasja asjaolud, põhikohtuasi ja eelotsuse küsimus
12.
Hoiukassa (Sparkasse) on avalik-õiguslik munitsipaalasutus, kes teeb muu hulgas panga- ja krediiditehinguid. 15. novembril 2019 teatas ta isikuandmete kaitse üldmääruse artikli 33 kohaselt HBDI‑le isikuandmetega seotud rikkumisest, sest üks tema töötajaid oli korduvalt ilma sellekohase volituseta tutvunud ühe tema kliendi, TRi isikuandmetega. Hoiukassa, kes leidis, et tegemist ei ole isikuandmetega seotud rikkumisega, mis kujutaks endast tõenäoliselt TRile suurt ohtu, loobus siiski sellest ka TRile määruse artikli 34 kohaselt teatamast.
13.
Kui TR sai sellest juhtumist teada, pöördus ta HBDI poole 27. juuli 2020. aasta kirja teel, milles ta väitis, et oli rikutud isikuandmete kaitse üldmääruse artiklit 34, ning kritiseeris seda, et hoiukassa ligipääsuprotokollide säilitamise aeg on kõigest kolm kuud ja et igal töötajal on ulatuslikud ligipääsuõigused.
14.
HBDIs toimunud menetluses märkis hoiukassa, et tema andmekaitseametnik oli leidnud, et ei ole ohtu TRile, sest asjaomase töötaja suhtes olid võetud distsiplinaarmeetmed ning viimane oli kirjalikult kinnitanud, et andmeid, millega ta tutvus, ei ole ta kopeerinud, säilitanud ega edastanud kolmandatele isikutele ega tee seda ka edaspidi. Lisaks oli kavas andmete säilitamise aeg uuesti läbi vaadata.
15.
HBDI teatas 3. septembri 2020. aasta otsusega TRile, et temaga seotud asjas ei ole hoiukassa isikuandmete kaitse üldmääruse artiklit 34 rikkunud. Nimetatud asutuse hinnangul on selle sätte kohaselt tehtav otsus prognoosiv otsus. Andmekaitsega seotud järelevalvet reguleerivaid õigusnorme arvestades tuli kontrollida, kas see otsus oli ilmselgelt vale. Hoiukassa oli aga märkinud, et andmetega küll tutvuti, kuid ei ole alust eeldada, et asjaomane töötaja oleks andmed kolmandatele isikutele edastanud või kasutanud neid TRi kahjustaval viisil. Seda arvestades ei esine tõenäoliselt suurt ohtu. Lisaks paluti hoiukassal edaspidi oma juurdepääsuprotokolle säilitada kauem. Iga tutvumistoimingu põhimõtteline kontroll ei olnud HBDI arvates vajalik, sest põhimõtteliselt võib anda ulatuslikke ligipääsuõigusi, kui on tagatud, et igale kasutajale selgitatakse, millistel tingimustel ta võib milliste andmetega tutvuda.
16.
TR esitas 3. septembri 2020. aasta otsuse peale kaebuse Verwaltungsgericht Wiesbadenile (Wiesbadeni halduskohus), kes on eelotsusetaotluse esitanud kohus, paludes viimasel teha HBDI‑le ettekirjutus võtta hoiukassa suhtes meetmeid.
17.
TR põhjendab oma kaebust väitega, et HBDI ei vaadanud tema kaebust läbi kooskõlas isikuandmete kaitse üldmäärusest tulenevate nõuetega. TR kinnitab, et tal on õigus sellele, et kaebust menetletakse ja et teda tulemustest teavitatakse. HBDI oli TRi sõnul kohustatud tegema kindlaks faktilised asjaolud, mille põhjal hoiukassa riski hindab; ta ei pea piirduma selliste meetmetega, mida on sõnaselgelt taotletud, ning ta oleks pidanud määrama hoiukassale trahvi. TRi sõnul ei kehti tuvastatud rikkumise korral oportuniteedi põhimõte, mistõttu ei olnud HBDI‑l õigust kaaluda, kas meetmeid võtta või võtmata jätta, äärmisel juhul oli tal õigus kaaluda, milliseid meetmeid võtta.
18.
Eelotsusetaotluse esitanud kohus täpsustab, et käsitletaval juhul järeldas HBDI kui järelevalveasutus, et kuigi tegemist on andmekaitsealaste õigusnormide rikkumisega, ei olnud isikuandmete kaitse üldmääruse artikli 58 lõikes 2 nimetatud meetmeid sellegipoolest vaja võtta. Selline tegevus on õiguspärane aga ainult siis, kui järelevalveasutus ei olnud kohustatud sekkuma isegi siis, kui andmekaitse rikkumine oli tuvastatud. Kui nõustuda TRi seisukohaga, et järelevalveasutusel ei ole mingit kaalutlusõigust, siis tooks see tagajärjena kaasa, et tuvastatud rikkumise puhul on olemas õigus nõuda sekkumist ja parandusmeetmete võtmist ning et järelevalveasutus peab igal juhul meetme võtma. Keeldumise korral peaks kohus kohustama järelevalveasutust võtma konkreetse meetme või teatava hulga meetmeid.
19.
Eelotsusetaotluse esitanud kohus märgib, et niisugused argumendid, mis on esitatud ka ühes osas õigusteooriast, põhinevad asjaolul, et isikuandmete kaitse üldmääruse artikli 58 lõike 2 kohased parandusvolitused on ette nähtud õiguspärase olukorra taastamiseks, kui kodanike õigusi on isikuandmete töötlemisega rikutud. Seda sätet tuleb ka käsitada kohustava normina, millel rajaneb kodaniku õigus nõuda ametivõimudelt sekkumist, kui ettevõtja või asutus töötles ebaseaduslikult kodaniku isikuandmeid või rikkus tema õigusi muul viisil. Isikuandmetega seotud, tuvastatud rikkumise korral on järelevalveasutus kohustatud võtma parandusmeetmeid; ainus kaalutlusõigus, mis talle jääb, on õigus valida, milliseid sätestatud meetmetest ta võtab.
20.
Eelotsusetaotluse esitanud kohtul on siiski selle tõlgenduse suhtes kahtlusi ja tema hinnangul on see tõlgendus liiga lai. Ta leiab pigem, et tuleb tunnustada järelevalveasutuse kaalutlusruumi, mis võimaldab tal mitte kohaldada sanktsiooni ka tuvastatud rikkumiste korral. Isikuandmete kaitse üldmääruse artikli 57 lõike 1 punkt f näeb nimelt ette ainult seda, et järelevalveasutus, kellele kaebused esitatakse, hindab asjakohasel määral kaebuse eset ja annab kaebajale menetlemise käigust ja tulemusest mõistliku aja jooksul teada. Siit tuleneb järelevalveasutusele hoolika sisulise hindamise kohustus, kuid ei tulene seda, et nimetatud asutus oleks tuvastatud rikkumise korral alati ja eranditult kohustatud sekkuma.
21.
Neil asjaoludel otsustas Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmise eelotsuse küsimuse:
„Kas [isikuandmete kaitse üldmääruse] artikli 57 lõike 1 punkte a ja f ning artikli 58 lõike 2 punkte a–j koosmõjus [isikuandmete kaitse üldmääruse] artikli 77 lõikega 1 tuleb tõlgendada nii, et kui järelevalveasutus tuvastab, et isikuandmete töötlemisega on rikutud andmesubjekti õigusi, on järelevalveasutus alati kohustatud [selle määruse] artikli 58 lõike 2 kohaselt sekkuma?“
IV. Menetlus Euroopa Kohtus
22.
Eelotsusetaotlus, mis kannab 10. detsembri 2021. aasta kuupäeva, saabus Euroopa Kohtu kantseleisse 14. detsembril 2021.
23.
Põhikohtuasja pooled, Austria, Portugali, Rumeenia ja Norra valitsus ning Euroopa Komisjon esitasid Euroopa Liidu Kohtu põhikirja artiklis 23 kindlaks määratud tähtaja jooksul kirjalikke seisukohti.
24.
16. jaanuari 2024. aasta üldkoosolekul otsustas Euroopa Kohus asjas mitte korraldada kohtuistungit suuliste seisukohtade ärakuulamiseks.
V. Õiguslik analüüs
A.
Sissejuhatavad märkused
25.
Alates isikuandmete kaitse üldmääruse jõustumisest on paljud asutused pidanud välja töötama terve hulga meetmeid, et viia oma tegevus uue isikuandmete töötlemise regulatsiooniga kooskõlla. Kui asutused neid meetmeid ei järgi, ähvardavad neid sanktsioonid, mis on olenevalt rikkumise raskusastmest leebemad või karmimad. Isikuandmete kaitse üldmäärusega kehtestatud rakenduskorra keskmes on trahvid. Need on tõhus osa meetmetest, mis on järelevalveasutuste käsutuses, et tagada õigusnormide järgimine, ja seda paralleelselt muude selle määruse artikli 58 lõikes 2 ette nähtud parandusvolitustega. Et see määrus võimaldab järelevalveasutustel määrata trahve, mis mõnikord võivad olla vägagi kõrged, on tarvis täpsustada õiguskindluse huvides, missugused asjaolud õigustavad selle parandusmeetme võtmist. Käesolevat ettepanekut tuleb seega mõista nii, et see annab oma panuse nimetatud eesmärgi saavutamisse.
26.
Käesolevas kohtuasjas esitatud ettepanekus on, kui nii võib öelda, edasi mindud sealt, kus jäi pooleli minu ettepanek liidetud kohtuasjades C‑26/22 ja C‑64/22 (SCHUFA Holding) (edaspidi „kohtuasjad SCHUFA“) (
3
). Kui nendes kohtuasjades selgitasin, missugused kohustused on järelevalveasutusel isikuandmete kaitse üldmääruse artikli 77 alusel esitatud kaebuse läbivaatamise raames, siis käesolevas kohtuasjas käsitlen tema kohustusi isikuandmetega seotud rikkumise avastamise korral ja tema parandusvolitusi, eelkõige trahvide määramist. Seejärel analüüsin küsimust, kas isikuandmete kaitse üldmääruses on nähtud ette järelevalveasutuse kohustus määrata niisugune trahv kõikidel juhtudel või vähemalt siis, kui kaebuse esitaja seda sõnaselgelt nõuab. Oma analüüsi kokkuvõtte põhjal vastan eelotsusetaotluse esitanud kohtu küsimusele, mis puudutab järelevalveasutuse võimalust parandusmeetmete võtmisest loobuda.
B.
Eelotsusetaotluse vastuvõetavus
27.
Enne kõigi nende aspektide analüüsimist tuleb siiski käsitleda TRi väidet, et eelotsusetaotlus on vastuvõetamatu. Konkreetsemalt kinnitab TR, et vastus esitatud küsimusele ei ole põhikohtuasjas arutatava vaidluse lahendamiseks vajalik. Tema kaebuse eesmärk on tema sõnul ainult see, et eelotsusetaotluse esitanud kohus kohustaks HBDId tegema otsust talle esitatud kaebuses sisalduvate väidete suhtes, mitte see, et HBDId kohustataks kasutama talle isikuandmete kaitse üldmääruse artikli 58 lõikega 2 antud volitusi.
28.
Selles küsimuses tuleb märkida, et ELTL artiklis 267 sätestatud Euroopa Kohtu ja liikmesriigi kohtute koostöö raames on ainult liikmesriigi kohtul, kelle lahendada on vaidlus ja kes peab asjas otsuse tegema, pädevus kohtuasja erisusi arvestades hinnata nii eelotsuse vajalikkust oma otsuse tegemiseks kui ka Euroopa Kohtule esitatavate küsimuste asjakohasust. Seega, kui esitatud küsimused puudutavad liidu õiguse tõlgendamist, on Euroopa Kohus üldjuhul kohustatud otsuse tegema. (
4
)
29.
Sellest tuleneb, et eeldatakse, et sellised liidu õiguse tõlgendamise küsimused, mis liikmesriigi kohus on esitanud sellises õiguslikus ja faktilises raamistikus, mille ta on määratlenud omal vastutusel ja mille paikapidavust Euroopa Kohus ei pea kontrollima, on asjakohased. Euroopa Kohus võib jätta liikmesriigi kohtu esitatud taotluse läbi vaatamata ainult siis, kui on ilmne, et liidu õigusnormi tõlgendamisel, mida liikmesriigi kohus palub, ei ole vähimatki seost põhikohtuasja faktiliste asjaolude või esemega, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada faktilised või õiguslikud asjaolud, mis on vajalikud, et anda talle esitatud küsimustele tarvilik vastus. (
5
)
30.
Käsitletaval juhul täpsustas eelotsusetaotluse esitanud kohus –, esitades samas selgelt põhjused, miks ta küsib, kuidas tõlgendada eelotsuse küsimuses viidatud liidu õigusnorme, –, et vastus sellele on põhikohtuasjas pooleli oleva vaidluse lahendamisel määrava tähtsusega, sest TR on palunud HBDI‑l võtta meetmeid hoiukassa suhtes. Nagu ilmneb eelotsusetaotluse põhjendustest, oli TR tuginenud „õigusele“ niisugust meetmete võtmist nõuda. Konkreetselt „oleks HBDI“ TRi sõnul „pidanud määrama hoiukassale trahvi“. Niisuguses kontekstis viitabki eelotsusetaotluse esitanud kohus arvutustele, mille TR tegi määrata tulevate trahvide summa kindlaksmääramiseks.
31.
Kogu see teave, mille eelotsusetaotluse esitanud kohus on ise andnud, kõneleb selgelt vastu TRi väidetele, et eelotsusetaotlus on vastuvõetamatu. Neid asjaolusid arvestades ei ole minu arvates mingit kahtlust, et vastus eelotsusetaotluse esitanud kohtu küsimusele on vaidluse lahendamiseks vajalik. On nimelt väga oluline kindlaks teha järelevalveasutuste volituste ulatus ja tema kohustused kaebuse esitaja ees. Tuleb seega järeldada, et eelotsusetaotlus on vastuvõetav.
C.
Eelotsuse küsimuse analüüs
32.
Mis puudutab kohtuasja sisu, siis on eelotsuse küsimuse eesmärk sisuliselt kindlaks teha, missugused kohustused on järelevalveasutusel, kui on avastatud isikuandmetega seotud rikkumine. Niisugune olukord eeldab tavaliselt, et asjaomane rikkumine tuvastati kaebuse tulemusena algatatud uurimises.
33.
Eelotsusetaotluse esitanud kohtu antud teave toob esile mõned ebatäpsused kohustuste osas, mis on isikuandmete kaitse üldmäärusega järelevalveasutusele kaebuse läbivaatamisel seatud – see on minu meelest seletatav asjaoluga, et eelotsusetaotlus esitati enne, kui tehti kohtuotsus kohtuasjades SCHUFA (
6
), milles Euroopa Kohus määras kindlaks teatava hulga olulisi põhimõtteid, mis kaebemenetlust reguleerivad. Seepärast võib mõistlikult eeldada, et kohtul ei olnud võimalust selle kohtupraktikaga tutvuda.
34.
Et ma soovin isikuandmete kaitse üldmäärusega kehtestatud järelevalve õiguslikku raamistikku tutvustada võimalikult täielikult ning et anda eelotsusetaotlusega esitatud kohtule tarvilik vastus, tundub mulle hädavajalik tuletada kõigepealt meelde, missuguseid põhimõtteid kaebemenetluse suhtes kohaldatakse, ja selgitada (
7
) seejärel, kuidas peaks järelevalveasutus toimima, kui ta on tuvastanud isikuandmetega seotud rikkumise. (
8
)
1. Järelevalveasutuse kohustused kaebuse läbivaatamisel
35.
Nagu Euroopa Kohus märkis kohtuotsuses SCHUFA, on harta artikli 8 lõike 3 ning isikuandmete kaitse üldmääruse artikli 51 lõike 1 ja artikli 57 lõike 1 punkti a kohaselt liikmesriikide järelevalveasutuste ülesanne kontrollida nende liidu õigusnormide järgimist, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel. (
9
)
36.
Konkreetselt peab iga järelevalveasutus isikuandmete kaitse üldmääruse artikli 57 lõike 1 punkti f järgi oma territooriumil käsitlema kaebusi, mida igal andmesubjektil on selle määruse artikli 77 lõike 1 alusel õigus esitada, kui ta leiab, et teda puudutavate isikuandmete töötlemine rikub viidatud määrust, ning uurima asjakohasel määral kaebuste sisu. (
10
)
37.
Järelevalveasutus peab sellist kaebust nõutava hoolsusega käsitlema. Euroopa Kohus on ka märkinud, et esitatud kaebuste käsitlemiseks on isikuandmete kaitse üldmääruse artikli 58 lõikega 1 antud igale järelevalveasutustele ulatuslikud uurimisvolitused. (
11
)
38.
Niisuguses kontekstis tuleb juhtida tähelepanu, et Euroopa Kohus on esitanud tõlgenduse, mida mina pooldasin kohtuasjades SCHUFA esitatud ettepanekus ning mille kohaselt on kaebemenetlus – erinevalt petitsiooni esitamise menetlusest – kavandatud mehhanismina, mis suudab tõhusalt kaitsta andmesubjektide õigusi ja huve. (
12
)
39.
Lisaks tuleb juhtida tähelepanu, et Euroopa Kohus on ka nõustunud sellega, kuidas ma tõlgendasin isikuandmete kaitse üldmääruse artikli 78 lõiget 1, asudes seisukohale, et kaebuse kohta tehtud järelevalveasutuse otsust kontrollib kohus täies ulatuses. (
13
)
2. Järelevalveasutuse kohustused isikuandmetega seotud rikkumise tuvastamisel
40.
Kui järelevalveasutus tuvastab kaebuse läbivaatamisel isikuandmetega seotud rikkumise, tekib küsimus, kuidas ta peab toimima. Nagu ma tagapool selgitan, tekitab selle tuvastamine kõigepealt järelevalveasutuse kohustuse võtta meetmeid seaduslikkuse põhimõtte huvides. Üldiselt on tarvis teha kindlaks
rikkumise tagajärgede parandamiseks asjakohaseim parandusmeede või asjakohaseimad parandusmeetmed. (
14
) Niisugune tõlgendus tundub mulle mõistlik, arvestades asjaolu, et isikuandmete kaitse üldmääruse artikli 57 lõike 1 punktiga a on sellele asutusele usaldatud ülesanne „jälgida määruse kohaldamist“ ja „tagada selle kohaldamine“. Nimetatud ülesandega oleks vastuolus see, kui järelevalveasutus võiks tuvastatud rikkumise lihtsalt tähelepanuta jätta. (
15
)
41.
Pealegi ei oleks uurimisvolitustel, mis järelevalveasutusel isikuandmete kaitse üldmääruse artikli 58 lõike 1 järgi on, suurt mõtet, kui järelevalveasutus oleks sunnitud piirduma ainult uurimisega hoolimata sellest, et tuvastab isikuandmetega seotud õiguste rikkumise. Liidu õiguse järgmine isikuandmete kaitse valdkonnas kujutab endast nimelt ELTL artikli 16 lõikes 2 ja harta artikli 8 lõikes 3 kasutatud mõiste „kontroll“ põhielementi. (
16
) Niisuguses kontekstis ei tohi unustada, et järelevalveasutus tegutseb ka selle isiku või üksuse huvides, kelle õigusi on rikutud. Selle kohta tuleb märkida, et isikuandmete kaitse üldmääruse artikli 57 lõike 1 punkti f ja artikli 77 lõikega 2 on kehtestatud teatavad kohustused kaebuse esitaja suhtes, nimelt kohustused „teavitada uurimise/menetlemise käigust ja tulemusest“.
42.
Viimane lause eeldab, et järelevalveasutus peab ka andma aru meetmetest, mis on võetud seoses rikkumisega, mille ta tuvastas. On ilmne, et kaebemenetlusest ei oleks mingit kasu, kui järelevalveasutus võiks jääda passiivseks õigusliku olukorra puhul, mis on liidu õigusega vastuolus. Sel põhjusel ongi isikuandmete kaitse üldmääruse artikli 58 lõikes 2, eesmärgiga anda järelevalveasutusele tõhus vahend seda liiki rikkumistega võitlemisel, ette nähtud teatav hulk parandusmeetmeid, mis on gradueeritud vastavalt meetme intensiivsusele. Kohustus võtta meetmeid kõikidel juhtudel, ükskõik kui raske rikkumisega on tegemist, tähendab seda, et järelevalveasutus peab kasutama mõnda nendest parandusmeetmetest, et taastada olukord, mis on liidu õigusega kooskõlas. (
17
)
3. Järelevalveasutuse pädevus võtta parandusmeetmeid
43.
Järgmiseks tuleb täpsustada, et küsimust, kas järelevalveasutus peab isikuandmetega seotud rikkumise korral meetmeid võtma, tuleb selgelt eristada küsimusest, kuidas ta peab konkreetselt toimima. Viimati nimetatud küsimuses võimaldavad mitu aspekti järeldada, et järelevalveasutusel on kaalutlusruum, mida tuleb siiski kasutada kooskõlas isikuandmete kaitse üldmääruse eesmärkidega ja selles kindlaks määratud piirides. Kuigi mõned argumendid niisuguse tõlgenduse kinnituseks esitasin juba kohtuasjades SCHUFA (
18
), on seda küsimust ikkagi vaja käesolevas ettepanekus põhjalikult käsitleda.
44.
Kohe alguses tuleb märkida, et isikuandmete kaitse üldmääruse artikli 58 lõike 2 kohaselt „on“ järelevalveasutusel kõik selles õigusnormis loetletud „parandusvolitused“, mis tähendab, et tal on pädevus, nagu õigesti märgib eelotsusetaotluse esitanud kohus. Muide, selle tähendusvarjundi võib leida kõikidest keeleversioonidest, mida ma oma analüüsi raames analüüsisin. (
19
)
45.
Isikuandmete kaitse üldmääruse artikli 58 lõiget 2 tuleb tõlgendada, lähtudes selle määruse põhjendusest 129, millest ilmneb, et „meede [peaks] olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid“ (kohtujuristi kursiiv). Teiste sõnadega sõltub järelevalveasutusele antud „volitus“ kasutada mõnda selles sättes loetletud parandusmeetmetest teatavast hulgast tingimustest, eelkõige sellest, kas järelevalveasutuse võetav meede on „asjakohane“. Tõlgendan seda määramatut õigusmõistet – mis annab järelevalveasutusele kaalutlusruumi – nii, et valitud meede peab oma omaduste ja toimimisviisi poolest võimaldama taastada olukorra, mis on liidu õigusega kooskõlas. (
20
)
46.
Niisugune tõlgendus ühtib Euroopa Kohtu praktikaga, sest viimane on otsustanud, et kui järelevalveasutus tuvastab, et isikuandmete töötlemine kujutas endast isikuandmete kaitse üldmääruse rikkumist, „peab ta tuvastatud puuduse kõrvaldamiseks asjakohaselt reageerima“. (
21
) Nagu märgib komisjon, puudutab järelevalveasutuse kohustus seega ennekõike tulemust, mis tuleb saavutada ja milleks on tuvastatud rikkumise tagajärgede parandamine selleks „asjakohase“ meetme abil. Lisaks tuleb juhtida tähelepanu asjaolule, et otsus, missugune meede võtta, sõltub iga üksikjuhtumi konkreetsetest asjaoludest, nagu ilmneb selgelt isikuandmete kaitse üldmääruse eespool viidatud põhjendusest 129. Järelikult võivad otsused, mille järelevalveasutus oma halduspraktikas teeb, eri juhtudel olla märkimisväärselt erinevad, olenedes olukorrast.
47.
Et isikuandmete kaitse üldmääruse artikli 58 lõikes 2 on ainult sätestatud, et järelevalveasutusel „on“ kõik selles õigusnormis loetletud „parandusvolitused“, on järelevalveasutusel kaalutlusruum, sest ta võib tuvastatud rikkumise tagajärgede parandamiseks põhimõtteliselt vabalt valida mõne meetme nende parandusmeetmete hulgast. Nagu Euroopa Kohus rõhutas kohtuasjas C‑311/18 (Facebook Ireland ja Schrems) tehtud kohtuotsuses, „kuulub sobiva ja vajaliku meetme valimine […] järelevalveasutuse pädevusse“, kes peab selle valiku tegemisel arvesse võtma konkreetse juhtumi kõiki asjaolusid. (
22
)
48.
Kaalutlusõiguse tunnustamine tähendab minu arvates ka õigust mitte võtta ühtegi isikuandmete kaitse üldmääruse artikli 58 lõikes 2 silmas peetud parandusmeetmetest, kui niisugust lähenemist õigustavad juhtumi konkreetsed asjaolud. Et mõne parandusmeetme kasutamine sõltub ka tingimusest, et asjaomane meede on selle määruse järgimise tagamiseks „vajalik“, ei saa nimelt välistada, et järelevalveasutuse konkreetne meede ei vasta sellele tingimusele, näiteks juhul, kui probleem on vahepeal lahendatud või ületatud ja rikkumine on lakanud. On ilmne, et järelevalveasutuse meetmel ei ole niisuguses olukorras mõtet.
49.
Nagu õigesti märgib Portugali valitsus, võib ka juhtuda, et parandusmeetmete kasutamine ei ole enam õigustatud, kui vastutava töötleja või volitatud töötleja käitumise taunitavuse aste on ilmselgelt madal või kui asja asjaolud on ise süüd kergendavad, eelkõige seetõttu, et vastutus jaguneb teataval määral kaebuse esitajaga ära. See eeldab aga, et järelevalveasutusel on võimalus kindlaks määrata alampiir, kuni milleni ei loeta meedet „vajalikuks“ isikuandmete kaitse üldmääruse tähenduses.
50.
Selles kontekstis juhin tähelepanu isikuandmete kaitse üldmääruse põhjendusele 141, milles on sõnaselgelt mainitud võimalust, et järelevalveasutus otsustab mitte võtta meetmeid juhtudel, kui ta leiab, et meetmed ei ole andmesubjekti õiguste kaitsmiseks „vajalikud“ („ei võta meetmeid juhul, kui need on vajalikud“) (kohtujuristi kursiiv). Selles põhjenduses on täpsustatud, et järelevalveasutuse otsust saab kohtulikult kontrollida ka juhul, kui kaebuse esitaja ei peaks nõustuma järelevalveasutuse hinnanguga küsimuses, kas meetmete võtmine on „vajalik“, lisaks muudele selles loetletud juhtudele, st kui talle sellest määrusest tulenevaid õigusi on rikutud või kui järelevalveasutus ei reageeri kaebusele, jätab kaebuse osaliselt või täielikult rahuldamata või lükkab selle osaliselt või täielikult tagasi.
51.
Kaalutlusõigus, mis on järelevalveasutusele isikuandmete kaitse üldmääruse artikli 58 lõikega 2 antud, tähendab, et väiksemate õigusrikkumiste tagajärgi on võimalik parandada ka muude meetmetega, mille võtab vastutav töötleja ise. Nagu käsitletava juhtumi asjaolud näitavad, võivad parandusmeetmed, mille vastutavad ettevõtjad peavad võtma „iseseisvalt“, seisneda distsiplinaarmeetmete võtmises töötajate suhtes, kes on toime pannud rikkumisi. Olukorras, kus vastutust rikkumise eest on tunnistatud ning on kinnitatud, et uut andmetega seotud rikkumist ei toimu, võib see, kui järelevalveasutus võtab täiendavaid parandusmeetmeid, tunduda ebavajalik.
52.
Teatavatel asjaoludel võib vastutava töötleja suhtes parandusmeetmete võtmise volituse kasutamine isegi kahjulikuks osutuda, kui see ei ole ei sobiv ega vajalik. Kui järelevalveasutus oleks kohustatud kasutama isikuandmete kaitse üldmääruse artikli 58 lõikes 2 ette nähtud parandusmeetmete võtmise volitusi iga rikkumise korral, kaasneks sellega see, et vähenevad vahendid, mida saab kasutada teiste juhtumite ja ülesannete järelevalve tarvis, mis väärivad andmekaitse seisukohast enam tähelepanu. Seepärast leian, et see, kui kasutatakse „iseseisvaid“ meetmeid, mille võtab vastutav töötleja ise, võimaldaks järelevalveasutusel keskenduda tõsistele juhtumitele, mis peaksid olema prioriteetsed, tagades samas pideva, kuid detsentraliseeritud võitlemise isikuandmetega seotud rikkumiste vastu, st ülesannete osalise delegeerimise teel.
53.
Kui järelevalveasutus otsustab loobuda isikuandmete kaitse üldmääruse artikli 58 lõikes 2 silmas peetud parandusmeetmete võtmisest, eelistades vastutava töötleja „iseseisvaid“ meetmeid, tundub mulle siiski hädavajalik, et järgitakse teatavaid õiguslikke nõudeid. Kõigepealt peaks järelevalveasutus andma niisuguseks meetmeks oma sõnaselge nõusoleku, et vältida igasugust kõrvalehoidmist isikuandmete kaitse üldmäärusega kehtestatud järelevalveregulatsioonist. Teiseks peaks sellele nõusolekule eelnema olukorra hoolikas analüüs isikuandmete kaitse üldmääruse põhjenduses 129 nimetatud tingimustest lähtudes, et mitte võtta järelevalveasutuselt kohustust tagada selle määruse järgimine. Kolmandaks peaks kokkulepe üksusega, kes peab „iseseisva“ meetme täitma, ette nägema järelevalveasutuse õiguse võtta meetmeid, kui tema juhiseid ei järgitud. Kui Euroopa Kohus peaks järgima seda tõlgendust ja leidma, et niisugused „iseseisvad“ meetmed on põhimõtteliselt isikuandmete kaitse üldmäärusega kooskõlas, olen seisukohal, et Euroopa Kohus peaks ka rõhutama vajadust järgida eespool nimetatud nõudeid järelevalvesüsteemi ühtluse huvides.
54.
Et isikuandmete kaitse üldmääruse artikli 58 lõikes 2 on tunnustatud järelevalveasutuse kaalutlusõigust konkreetsel juhul „asjakohase“ parandusmeetme valikul, on loogiline välistada kaebuse esitaja igasugune õigus nõuda konkreetse meetme võtmist. Kuigi kaebuse esitajal on selles menetluses teatavad õigused järelevalveasutuse suhtes, eelkõige õigus saada mõistliku aja jooksul teavet uurimise käigust ja tulemusest, ei hõlma need õigused nimelt sellegipoolest õigust nõuda konkreetse meetme võtmist.
55.
Niisugust õigust ei saa tuletada ka asjaolust, et kaebuse esitajal on isikuandmete kaitse üldmääruse artikli 78 kohaselt õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu, sest peamine kohustus, mis sellel asutusel kaebemenetluses kaebaja ees lasub, on põhjendada oma otsust – võtta konkreetsel juhul meetmeid või need võtmata jätta – piisavalt täpselt ja üksikasjalikult, võttes arvesse selle asutuse uurimises tuvastatut.
56.
Lisaks tuleb märkida, et isikuandmete kaitse üldmääruse artikli 78 lõike 2 kohaselt võib õiguskaitsevahendit kasutada sel põhjusel, et järelevalveasutus ei käsitle kaebust või ei teavita andmesubjekti kolme kuu jooksul määruse artikli 77 kohaselt esitatud kaebuse menetlemise käigust või tulemustest. Tuleb aga tõdeda, et üheski mainitud põhjenduses ei ole märgitud, et andmesubjektil oleks mingi subjektiivne õigus nõuda õiguskaitsevahendi kasutamise raames konkreetse meetme võtmist.
57.
Nii on see ka isikuandmete kaitse üldmääruse põhjenduses 141 mainitud võimalusega seada õiguskaitsevahendi kasutamisega kahtluse alla järelevalveasutuse hinnang „vajadusele“ võtta andmesubjekti õiguste kaitseks meetmeid. Isegi kui pädev kohus peaks lõpuks tuvastama meetmete võtmise „vajaduse“ konkreetsel juhul, ei tähenda see tingimata, et järelevalveasutus peaks võtma konkreetse meetme. Ta on pigem kohustatud kasutama oma kaalutlusõigust, vajaduse korral selle kohtu hinnangut arvesse võttes.
58.
Järgmiseks tuleb täpsustada, et on ka mõeldav, et järelevalveasutus kui haldusasutus on sunnitud võtma konkreetse meetme juhtumi konkreetsete asjaolude tõttu, eelkõige juhul, kui on suur andmesubjekti põhiõiguste rikkumise oht. Seda stsenaariumi mainisin just kohtuasjades SCHUFA esitatud ettepanekus. (
23
) See eelotsusetaotlus siin annab seega võimaluse teemat edasi arendada.
59.
Kõigepealt tuleb viidata kohtuotsusele kohtuasjas C‑311/18 (Facebook Ireland ja Schrems), milles Euroopa Kohus andis mõista, et niisugune juhtum võib tõesti eksisteerida. Konkreetsemalt otsustas Euroopa Kohus, et järelevalveasutus on kohustatud vastaval juhul võtma teatavad isikuandmete kaitse üldmääruse artikli 58 lõikes 2 loetletud meetmed ja seda eelkõige juhul, kui ta leiab, et kaitset, mis on liidu õiguse kohaselt nõutav, ei ole võimalik tagada muude meetmete abil. Järelikult on järelevalveasutuse kaalutlusõigus niisugusel määral piiratud teatavate selles sättes silmas peetud meetmetega või vastaval juhul ühega nendest. (
24
)
60.
Nagu Austria valitsus õigesti märgib, võib eksisteerida suur hulk samasuguseid juhtumeid, mis eeldavad konkreetse parandusmeetme võtmist, näiteks juhtum, mil järelevalveasutus tuvastab kaebemenetluses, et eksisteerib kustutamiskohustus ja et vastutav töötleja ei ole veel andmeid kustutanud. Kirjeldatud olukorras on järelevalveasutus kohustatud igal juhul andma isikuandmete kaitse üldmääruse artikli 58 lõike 2 punkti g kohaselt kustutamise korralduse.
61.
Eelmistes punktides mainitud näited näitavad, et ei saa välistada, et olenevalt juhtumi konkreetsetest asjaoludest saab olukorra, mis on liidu õigusega kooskõlas, taastada ainult konkreetse parandusmeetme võtmisega. Täpsemalt näib mulle, et olukorras, kus muidu valitseks andmesubjekti õiguste tõsise rikkumise oht, võib järelevalveasutuse kaalutlusõigus olla piiratud ainult asjakohase meetme võtmisega, et kaitsta selle isiku õigusi.
62.
Igasugune muu tõlgendus oleks minu meelest vastuolus kohustusega tagada, et austatakse hartas sätestatud põhiõigusi, millega liikmesriikide asutused on liidu õiguse kohaldamisel seotud, nagu tuleneb harta artikli 51 lõikest 1. See kohustus on ka järelevalveasutustel, nagu tuleneb isikuandmete kaitse üldmääruse artikli 58 lõikest 4. (
25
) Sellest vaatevinklist on mõistlik nõustuda seisukohaga, et liidu õigusega on antud andmesubjektile subjektiivne õigus nõuda, et järelevalveasutus võtaks asjaomase meetme. Pean siiski vajalikuks rõhutada, et ma ei näe käsitletaval juhul mingit kaudset tõendit sellest, et järelevalveasutuse kaalutlusõiguse niisuguse piiramise tingimused oleksid täidetud.
63.
Kokkuvõttes tuleb asuda seisukohale, et järelevalveasutus, kellele on esitatud kaebus isikuandmete kaitse üldmääruse artikli 77 alusel, on andmesubjekti õiguste rikkumise tuvastamise korral kohustatud reageerima asjakohaselt, et parandada tuvastatud püsivad puudused ja tagada andmesubjekti õiguste kaitse. Kui järelevalveasutus võtab selleks meetmeid, on ta kohustatud valima määruse artikli 58 lõikes 2 nimetatud volituste hulgast sobiva, vajaliku ja proportsionaalse meetme. Seda kaalutlusõigust vahendite valikul on seega piiratud juhul, kui nõutava kaitse saab tagada ainult konkreetsete meetmete võtmisega.
4. Järelevalveasutusel puuduv kohustus kõikidel juhtudel trahve määrata
64.
Pärast niisugust üldist ülevaadet järelevalveasutusel oleva parandusmeetmete võtmise pädevuse kohta tuleb analüüsida küsimust, kas järelevalveasutus on kohustatud määrama trahvid kõikidel juhtudel. Ehkki selle küsimuse mõnda aspekti on võimalik selgitada eelnevate kaalutluste põhjal, tuleb minu meelest anda mõned täiendavad selgitused. Kuigi liidu seadusandja on nimelt lisanud trahvid isikuandmete kaitse üldmääruse artikli 58 lõikes 2 nimetatud „parandusmeetmete“ hulka, on neil siiski mõned eriomadused võrreldes muude meetmetega. Sel põhjusel ongi analüüsi selles osas keskendutud määruse artikli 58 lõike 2 punktis i ja artiklis 83 silmas peetud eriregulatsioonidele.
65.
Nagu Euroopa Kohus hiljuti märkis, asetub trahv isikuandmete kaitse üldmäärusega kehtestatud karistuste ja sanktsioonide süsteemi, ajendades vastutavaid töötlejaid ja volitatud töötlejaid seda määrust järgima. Trahvid aitavad oma heidutava mõjuga kaasa füüsiliste isikute paremale kaitsele isikuandmete töötlemisel ja neil on seega otsustav tähtsus nende isikute õiguste austamise kindlustamisel vastavalt selle määruse eesmärgile tagada selliste isikute kõrgetasemeline kaitse isikuandmete töötlemisel. (
26
)
66.
Isikuandmete kaitse üldmääruse artiklis 83 on nähtud ette kahetasandiline süsteem, mis näitab selgelt, et teatavad rikkumised on raskemad kui teised. Esimene tasand hõlmab eri isikute (vastutav töötleja, volitatud töötleja, sertifitseerimisasutused jt) vastutust reguleerivate artiklite rikkumist. Teine tasand hõlmab selle määrusega kaitstud individuaalsete õiguste rikkumisi, kusjuures nendeks õigusteks on näiteks põhiõigused, töötlemise aluspõhimõtted, andmesubjektide õigused teabele, edastamisreeglid jms. Kahel tasandil on vaja läbi viia kaks hindamist: esiteks otsustamaks, kas tuleb määrata trahv, ja teiseks otsustamaks, missugune peab olema trahvi summa. Mõlemas hindamises peavad ametiasutused arvesse võtma selle määruse artikli 83 lõikes 2 loetletud kõiki individuaalseid tegureid. Esimeses etapis tehtud järeldusi saab siiski kasutada teises etapis, mis puudutab trahvi summat, et teist hindamist ei peaks läbi viima samade kriteeriumide põhjal. (
27
)
67.
Pärast neid sissejuhatavaid selgitusi analüüsin tagapool küsimust, kas võib eksisteerida kohustus määrata trahvid kõikidel juhtudel. Selle kohta tuleb kohe märkida, et isikuandmete kaitse üldmääruse artikli 58 lõike 2 punktis i on sätestatud, et järelevalveasutus võib trahvi määrata „sõltuvalt konkreetse juhtumi asjaoludest“. Seda õigusnormi tuleb tõlgendada koostoimes määruse artikli 83 lõikega 2, milles ei ole ette nähtud mitte ainult niisuguse parandusmeetme kohaldamise sama piirang, vaid on viidatud ka sellele, et järelevalveasutus võib ka jätta selle tegemata („otsustades igal konkreetsel juhul trahvi määramise […] üle“) (kohtujuristi kursiiv), kui asjaolud niisugust lähenemist õigustavad. Selle sõnastuse võib leida – enam-vähem samasugusena – teistestki keeleversioonidest. (
28
) Kokkuvõttes näitab määruse artikli 83 lõike 2 sõnastus juba ise, et trahvi määramine ei ole kõikidel juhtudel kohustuslik.
68.
Pealegi tuleb märkida, et see säte kohustab järelevalveasutust igal üksikul juhtumil arvesse võtma tervet hulka asjaolusid, et otsustada, kas tuleb määrata trahv. Tegemist on sisuliselt – süüd raskendavate ja kergendavate – asjaoludega, mis järelevalveasutuse otsust mõjutavad, näiteks rikkumise laad, raskus ja kestus, aga ka muude, vastutava töötleja käitumisega seotud asjaoludega, näiteks asjaolu, kas rikkumine pandi toime tahtlikult või hooletusest. (
29
)
69.
Niisuguses kontekstis näib mulle, et isikuandmete kaitse üldmääruse artikli 83 lõike 2 tõlgendamisel on asjakohased määruse põhjenduse 148 teine ja kolmas lause, sest need annavad teavet omaduste kohta, mida tuleb otsuse tegemisel arvesse võtta. See põhjendus toob sisse mõiste „väiksem õigusrikkumine“, tuues kaasa olulisi tagajärgi järelevalveasutuse halduspraktikale. (
30
) Sellest võib muu hulgas lugeda, et „[v]äiksema õigusrikkumise puhul või kui tõenäoliselt määratav trahv kujutaks endast füüsilise isiku jaoks ebaproportsionaalset koormust, võib trahvi asemel teha noomituse“ (kohtujuristi kursiiv).
70.
Minu arvates võimaldab see juhis järeldada, et liidu seadusandja oli teadlik, et trahv on eriti karm parandusmeede, mida ei tohi kasutada kõikidel juhtudel – vastasel korral väheneb selle tõhusus –, vaid ainult siis, kui konkreetse juhtumi asjaolud seda nõuavad. Isikuandmete kaitse üldmääruse põhjenduses 148 on nimelt mainitud proportsionaalsuse põhimõtet, mida järelevalveasutused peavad järgima, kui nad kohaldavad seda määrust sanktsioonide, sh trahvide spetsiifilises kontekstis. Nagu ma oma analüüsis juba märkisin, peegeldab seda põhimõtet määruse põhjendus 129, mis käsitleb parandusmeetmete võtmist üldiselt. (
31
) Sanktsioonide süsteem, mille seadusandja soovis ette näha, on seega paindlik ja diferentseeritud. (
32
)
71.
Viidatud artikli 83 lõike 2 tõlgendusest koostoimes isikuandmete kaitse üldmääruse põhjendusega 148 tuleneb, et isegi rikkumise tuvastamise korral võib hindamine selles õigusnormis sätestatud kriteeriumide põhjal viia järelevalveasutuse järelduseni, et konkreetse juhtumi asjaoludel ei tekita rikkumine näiteks suurt ohtu andmesubjektide õigustele ega mõjuta kõnesoleva kohustuse olemust. Niisugustel juhtudel asendatakse trahv mõnikord – kuid mitte alati – noomitusega. (
33
)
72.
Tuleb siiski täpsustada, et nimetatud põhjendus 148 ei kohusta järelevalveasutust asendama trahvi väiksema õigusrikkumise korral omal algatusel noomitusega, vaid jätab talle võimaluse seda teha pärast juhtumi kõikide asjaolude konkreetset hindamist. Viimaseks ilmneb sellest põhjendusest 148, et järelevalveasutus võib jätta trahvi määramata isegi siis, kui niisuguse parandusmeetme kasutamine oleks tema antud hinnangu põhjal a priori vajalik, ning seda juhul, kui see trahv kujutab endast füüsilisele isikule ebaproportsionaalset koormust. (
34
)
73.
Seega määravad selle, kas tuleb määrata trahv, ning kui tuleb määrata, siis trahvi summa, lõpuks ära isikuandmete kaitse üldmääruse artikli 83 lõikes 2 silmas peetud iga üksiku juhtumi asjaolud. Kõik need aspektid kinnitavad minu seisukohta, et see
otsus on kokkuvõttes järelevalveasutuse diskretsiooniline otsus. (
35
) Tema kohus on kasutada hoolikalt ja kooskõlas isikuandmete kaitse üldmäärusest tulenevate nõuetega talle antud kaalutlusõigust. Selle kaalutlusõiguse piirid tulenevad liidu ja liikmesriikide õiguse üldpõhimõtetest, eelkõige võrdse kohtlemise põhimõttest. Nendest tuleneb vajadus arendada trahvide määramise halduspraktikat, milles on sarnaseid juhtumeid koheldud sarnaselt.
74.
Sooviksin ka märkida, et kui kumulatiivselt määratakse karistusõiguslikud rahalised karistused, on isegi olemas oht rikkuda põhimõtet ne bis in idem niisugusena, nagu Euroopa Kohus on seda tõlgendanud, nagu ilmneb isikuandmete kaitse üldmääruse põhjendusest 149. See põhimõte kujutab endast aga harta artikliga 50 kaitstud põhiõigust ja seda tohib piirata ainult harta artiklis 52 käsitletud rangetel tingimustel. Teiste sõnadega võivad trahvide määramist takistada ka õiguslikku laadi takistused.
5. Järelevalveasutusel trahvide määramise kohustuse puudumine, kui kaebuse esitaja nõuab sõnaselgelt trahvi määramist
75.
Viimane analüüsitav aspekt puudutab küsimust, kas järelevalveasutus on kohustatud määrama trahvid, kui kaebuse esitaja seda sõnaselgelt nõuab. Nagu ma eelotsusetaotluse vastuvõetavuse analüüsimisel märkisin, ilmneb toimikust, et TR palus HBDI‑l võtta meetmeid hoiukassa suhtes ja määrata talle trahvi. Oma taotluse põhjendamiseks tegi TR arvutused, et teha kindlaks määratavate trahvide summa. (
36
) See nõue näib põhinevat seisukohal, et kaebuse esitajal on järelevalveasutuse suhtes subjektiivne õigus nõuda konkreetse meetme võtmist. Nagu ma aga tagapool selgitan, arvan ma siiski, et niisugusel seisukohal puudub igasugune õiguslik alus.
76.
Esiteks näitas minu analüüs, et järelevalveasutusel on kaalutlusõigus, et valida igal üksikul juhtumil asjakohane meede. Kui jätta kõrvale eriasjaolud, mis võivad viia selle kaalutlusõiguse piiramiseni, näiteks isikuandmetega seotud rikkumise raskusaste või püsiv mõju – mida ei näi esinevat käsitletaval juhul –, jääb see kaalutlusõigus järelevalveasutusele alati alles. Võttes arvesse asjaolu, et trahvid kuuluvad parandusmeetmete hulka, mille järelevalveasutus võib isikuandmete kaitse üldmääruse artikli 58 lõike 2 alusel võtta, on loogiline järeldada, et see kaalutlusõigus laieneb ka neile. Sellest järeldub, et järelevalveasutusel ei ole mingit kohustust tegutseda kaebuse esitaja huvides nii, et ta võtab konkreetse parandusmeetme.
77.
Teiseks isegi juhul, kui juhtumi asjaolud on niivõrd erinevad, et õigustavad konkreetse parandusmeetme võtmist, näib mulle, et ei saa põhjendatult väita, et trahvi määramine on vajalik. Leian, nagu ka Austria valitsus, et arvesse tuleb võtta isikuandmete kaitse üldmääruse artikli 58 lõikes 2 loetletud eri parandusmeetmete, nende hulgas trahvi eesmärke. Konkreetsemalt tundub mulle, et selle õiguslik laad ei võimalda tunnustada andmesubjekti niisugust subjektiivset õigust, sest selle meetme üks eesmärk on karistada käitumise eest, mis leitakse olevat vastuolus liidu õigusega. Leian, et trahv võib – tal vähemalt teatavates olukordades olla võiva karistusliku eesmärgi tõttu (
37
) ning tema suurt karistuslikku kaalu arvestades – olla karistusõiguslikku laadi. (
38
) Tuleb aga meelde tuletada, et õigus karistada (ius puniendi) on ainult riigil ja selle organitel.
78.
Selles kontekstis võib täheldada, et isikuandmete kaitse üldmääruse artikli 83 lõikes 1 on muu hulgas nõutud, et trahvide määramine oleks igal üksikul juhul „tõhus, proportsionaalne ja heidutav“. Küsimust, kas kavandatav trahv vastab konkreetsel juhul nendele tingimustele, hindab järelevalveasutus, kes tegutseb omaenese vastutusel. Ta peab otsustama, kas konkreetsel juhul tuleb kasutada trahvi instrumenti. Selleks on liidu seadusandja andnud talle üksikasjaliku õigusliku raamistiku. Isikuandmete kaitse üldmääruse artiklis 83 on kehtestatud niisuguste trahvide määramise üldtingimused, mida on täiendatud isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunistega, mille on välja töötanud Euroopa andmekaitseinspektor kooskõlas määruse artikli 70 lõike 1 punktiga k. Selle kohta tuleb märkida, et ükski nendest õigusnormidest ega suunistest ei võimalda järeldada, et kaebuse esitajal, kelle õigusi on rikutud, oleks õiguslik eristaatus, mis võimaldab tal nõuda järelevalveasutuselt trahvi määramist rikkujale.
79.
Mõned isikuandmete kaitse üldmääruse artikli 83 lõikes 2 sätestatud kriteeriumid – näiteks kantud kahju tase – viitavad muidugi sellele, et järelevalveasutus peab otsuse tegemisel arvesse võtma ka andmesubjekti olukorda. Need kriteeriumid üksi ei kujuta endast siiski piisavat kaudset tõendit, mis võimaldaks tuvastada, et eksisteerib subjektiivne õigus nõuda trahvi määramist. Nagu tuleneb selle sätte tõlgendusest, kui seda tõlgendada koostoimes selle määruse põhjendusega 75, on nende kriteeriumide eesmärk anda järelevalveasutusele vajalikku teavet, mis võimaldab tal hinnata rikkumise laadi, raskusastet ja kestust ning valida asjakohase parandusmeetme. (
39
) Järelikult võib järelevalveasutus olenevalt igast üksikust juhtumist võimalikuks pidada eri parandusmeetmeid – mitte ainult trahvi –, ilma et asjaomane isik võiks nõuda konkreetse meetme võtmist. Üksnes järelevalveasutus ise otsustab, kas tuleb võtta meede eesmärgiga taastada õigusnormide järgimine või karistada õigusvastase käitumise eest.
80.
Kolmandaks ei saa teistsugust järeldust teha ka asjaolu põhjal, et liidu seadusandja on järelevalveasutuse rolli isikuandmete kaitse üldmäärusega loodud trahvide süsteemis määranud kindlaks, ammutades inspiratsiooni volitustest, mis on komisjonil konkurentsiõiguse valdkonnas. (
40
) Selle kohta tuleb tõdeda, et nimetatud institutsiooni pädevus määrata trahve ettevõtjatele, kes tahtlikult või hooletusest on pannud toime ELTL artiklite 101 ja 102 rikkumise, on üks komisjonile antud vahenditest talle liidu õigusega pandud järelevalveülesande täitmiseks. (
41
) Tuleb siiski märkida, et komisjonil on kaalutlusõigus, mille kasutamist piirab ainult liidu õiguse üldpõhimõtete, sh proportsionaalsuse ja võrdse kohtlemise põhimõtte järgimine. (
42
) Lisaks on tarvis juhtida tähelepanu, et konkurentsieeskirjade kohaldamist käsitlevas määruses (EÜ) nr 1/2003 (
43
)ei ole nähtud ette mingit õigust nõuda trahvide kohaldamist selle määruse artikli 23 alusel kaebajatele või kolmandatele isikutele, kelle huve otsus võib komisjoni algatatud haldusmenetluses kahjustada, (
44
) kuivõrd komisjon on enne sanktsiooni määramist lihtsalt kohustatud vastavalt selle määruse artiklile 27 rahuldama võimalikud ärakuulamistaotlused, mille nad on esitanud.
81.
Eelnevalt esitatud kaalutluste alusel leian, et liidu õiguse arengu praeguses seisus ei ole võimalik järeldada, et kaebuse esitajal, kelle õigusi on rikutud, on subjektiivne õigus nõuda trahvi määramist. See ei piira võimalust teha ettepanek kasutada niisugust parandusmeedet, esitades oma seisukohta põhjendavad argumendid ja tõendid. Lõpliku otsuse tegemine kuulub siiski järelevalveasutuse kaalutlusõiguse alla.
D.
Eelotsuse küsimuse analüüsi kokkuvõte
82.
Eelnevast analüüsist tuleneb, et järelevalveasutus on kohustatud võtma meetmeid, kui ta tuvastab kaebuse läbivaatamise raames isikuandmetega seotud rikkumise. Konkreetselt on ta kohustatud määrama parandusmeetme(d), mis on rikkumise tagajärgede parandamisel ning andmesubjekti õiguste austamise tagamisel asjakohaseim(ad). Sellega seoses on isikuandmete kaitse üldmääruses nõutud – jättes samas järelevalveasutusele teatava kaalutlusõiguse –, et need meetmed oleksid sobivad, vajalikud ja proportsionaalsed. Teatavatel tingimustel võib järelevalveasutus loobuda selle määruse artikli 58 lõikes 2 silmas peetud meetmete võtmisest „iseseisvate“ meetmete kasuks, mille võtab vastutav töötleja ise. Igal juhul ei ole andmesubjektil õigust nõuda, et võetaks konkreetne meede. Neid põhimõtteid kohaldatakse ka trahvide regulatsiooni suhtes.
VI. Ettepanek
83.
Eelnevate kaalutluste põhjal teen Euroopa Kohtule ettepaneku vastata Verwaltungsgericht Wiesbadeni (Wiesbadeni halduskohus, Saksamaa) eelotsuse küsimusele järgmiselt:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 57 lõike 1 punkte a ja f, artikli 58 lõike 2 punkte a–j ning artikli 77 lõiget 1
tuleb tõlgendada nii, et
kui järelevalveasutus tuvastab andmetöötluse, millega rikutakse andmesubjekti õigusi, on ta kohustatud võtma määruse 2016/679 artikli 58 lõike 2 alusel meetmeid niivõrd, kuivõrd see on vajalik määruse täieliku järgimise tagamiseks. Ta on kohustatud valima iga juhtumi konkreetseid asjaolusid arvesse võttes meetme, mis on sobiv, vajalik ja proportsionaalne, eelkõige rikkumise tagajärgede parandamiseks ja andmesubjekti õiguste austamise tagamiseks.
(
1
)	Algkeel: prantsuse.
(
2
)	ELT 2016, L 119, lk 1.
(
3
)	Ettepanek liidetud kohtuasjades SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22, EU:C:2023:222).
(
4
)	Vt 10. detsembri 2020. aasta kohtuotsus J & S Service (C‑620/19, EU:C:2020:1011, punkt 31 ja seal viidatud kohtupraktika).
(
5
)	Vt 14. juuli 2022. aasta kohtuotsus Sense Visuele Communicatie en Handel vof (C‑36/21, EU:C:2022:556, punkt 22 ja seal viidatud kohtupraktika).
(
6
)	7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22; edaspidi „kohtuotsus SCHUFAEU:C:2023:958).
(
7
)	Vt käesoleva ettepaneku punktid 35–39.
(
8
)	Vt käesoleva ettepaneku punkt 40 jj.
(
9
)	Kohtuotsus SCHUFA (punkt 55).
(
10
)	Kohtuotsus SCHUFA (punkt 56).
(
11
)	Kohtuotsus SCHUFA (punktid 56 ja 57).
(
12
)	Kohtuotsus SCHUFA (punkt 58).
(
13
)	Kohtuotsus SCHUFA (punkt 70).
(
14
)	Vt artikli 29 alusel asutatud andmekaitse töörühma „[Isikuandmete kaitse üldmääruse] alusel trahvide kohaldamise ja määramise suunised“, vastu võetud 3. oktoobril 2017 (edaspidi „isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunised“), lk 5. Hiljem asendati see töörühm Euroopa Andmekaitsenõukoguga. Need suunised jäävad siiski kehtima.
(
15
)	Vt selle kohta Chamberlain, J., Reichel, J., „The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation“, Mississippi Law Journal, 2020, vol. 89(4), lk 686; selles on lähtutud eespool viidatud suunistest.
(
16
)	Hijmans, H., „Article 57. Tasks“, Kuner, C., Bygrave, L. A., Docksey, C., (toim), The EU General Data Protection Regulation (GDPR), Oxford, 2020, lk 934.
(
17
)	Vt selle kohta Härting, N., Flisek, C., Thiess, L., „DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers“, Computer und Recht, 5/2018, lk 299.
(
18
)	Vt minu ettepanek kohtuasjades SCHUFA, punkt 41 jj.
(
19
)	Vt hispaaniakeelne („dispondrá de […] los […] poderes correctivos“), taanikeelne („har […] korrigerende beføjelser“), saksakeelne („verfügt über […] Abhilfebefugnisse, die es ihr gestatten“), eestikeelne („on […] parandusvolitused“), ingliskeelne („shall have […] corrective powers“), itaaliakeelne („ha […] i poteri correttivi“), hollandikeelne („heeft […] bevoegdheden tot het nemen van corrigerende maatregelen“), poolakeelne („przysługują […] uprawnienia naprawcze“), portugalikeelne („dispõe dos […] poderes de correção“) ja rootsikeelne versioon („ska ha […] korrigerande befogenheter“).
(
20
)	Vt selle kohta Härting, N., Flisek, C., Thiess, L., „DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers“, Computer und Recht, 5/2018, lk 299.
(
21
)	Vt kohtuotsus SCHUFA (punkt 57) ja 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punkt 111). Kohtujuristi kursiiv.
(
22
)	16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punkt 112). Kohtujuristi ettepanek.
(
23
)	Vt selle ettepaneku punkt 42.
(
24
)	16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punkt 113). Euroopa Kohus otsustas, et järelevalveasutus on isikuandmete kaitse üldmääruse artikli 58 lõike 2 punktide f ja j kohaselt kohustatud isikuandmete edastamise kolmandasse riiki peatama või keelama, kui ta kõiki edastamise asjaolusid arvestades leiab, et selles kolmandas riigis andmekaitse tüüptingimusi ei järgita või ei saa järgida ning et edastatavate andmete piisavat kaitset, mis on liidu õiguse kohaselt nõutav, ei ole võimalik tagada muude meetmete abil ning liidus asuv vastutav töötleja või tema volitatud töötleja ei ole ise andmete edastamist peatanud või lõpetanud.
(
25
)	Vt selle kohta Georgieva, L., Schmidl, M., „Article 58. Powers“, Kuner, C., Bygrave, L. A., Docksey, C., (toim), The EU General Data Protection Regulation (GDPR), Oxford, 2020, lk 945.
(
26
)	Vt 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punkt 78).
(
27
)	Vt isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunised, lk 9.
(
28
)	Vt hispaaniakeelne („Al decidir la imposición“), taanikeelne („Når der træffes afgørelse om, hvorvidt der skal pålægges“), saksakeelne („Bei der Entscheidung über die Verhängung“), eestikeelne („Otsustades igal konkreetsel juhul“), ingliskeelne („When deciding whether to impose“), itaaliakeelne („Al momento di decidere se infliggere“), hollandikeelne („Bij het besluit over de vraag of […] wordt opgelegd“), poolakeelne („Decydując, czy nałożyć“), portugalikeelne („Ao decidir sobre a aplicação“) ja rootsikeelne versioon („Vid beslut om huruvida […] ska påföras“).
(
29
)	Vt selle kohta 5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen (C‑807/21, EU:C:2023:950, punkt 61 jj).
(
30
)	5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punkt 76).
(
31
)	Vt käesoleva ettepaneku punkt 45.
(
32
)	Vt kohtujurist Emiliou ettepanek kohtuasjas Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:376, punkt 78), milles ta selgitab, et isikuandmete kaitse üldmääruse andmisel ei soovinud liidu seadusandja näha trahvi ette iga rikkumise eest isikuandmete kaitse valdkonnas.
(
33
)	Vt isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunised, lk 9.
(
34
)	Vt isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunised, lk 9.
(
35
)	Holländer, C._Beck’scher Online-Kommentar Datenschutzrecht (Wolff/Brink/Ungern-Sternberg), 46. väljaanne, München 2017, isikuandmete kaitse üldmääruse artikkel 83, punkt 22; Frenzel, E., Datenschutz-Grundverordnung Kommentar (Paal/Pauly/Frenzel), 3. väljaanne, München 2021, isikuandmete kaitse üldmääruse artikkel 83, punktid 8–12, milles on selgitatud, et järelevalveasutusel on kaalutlusõigus ja et seega ei ole ta kohustatud määrama trahvi kõikidel juhtudel.
(
36
)	Vt käesoleva ettepaneku punkt 30.
(
37
)	Isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunised, lk 6; seal on märgitud, et trahvid on „parandusmeetmed“, mille eesmärk võib olla „kas eeskirjade järgimise taastamine või õigusvastase käitumise karistamine (või mõlemad)“. Kohtujuristi kursiiv.
(
38
)	Tuletan meelde, et selle hindamisel, kas karistused on karistusõiguslikud, on asjakohased kolm kriteeriumi: esimene on rikkumise õiguslik kvalifikatsioon riigisiseses õiguses, teine puudutab rikkumise laadi ning kolmas selle sanktsiooni raskust, mis võidakse isikule määrata (vt 5. juuni 2012. aasta kohtuotsus Bonda (C‑489/10, EU:C:2012:319, punkt 37) ja 2. veebruari 2021. aasta kohtuotsus Consob (C‑481/19, EU:C:2021:84, punkt 42)); vt ka EIK 8. juuni 1976. aasta otsus Engel jt vs. Madalmaad, CE:ECHR:1976:0608JUD000510071, punkt 82). Kõik kriteeriumid ei pea olema täidetud selleks, et trahvi võiks pidada karistusõiguslikuks (vt selle kohta kohtujurist Boti ettepanek kohtuasjas ThyssenKrupp Nirosta vs. komisjon (C‑352/09 P, EU:C:2010:635, punkt 50 ja seal viidatud kohtupraktika).
(
39
)	Vt isikuandmete kaitse üldmääruse alusel trahvide kohaldamise ja määramise suunised, lk 12; sellest ilmneb esiteks, et kahju taset tuleb „parandusmeetme valikul“ arvesse võtta, mis ei välista muude parandusmeetmete võtmist peale trahvi. Teiseks võib sellest lugeda, et „trahvi määramine ei sõltu järelevalveasutuse suutlikkusest tõendada põhjus-tagajärje seost rikkumise ja varalise kahju vahel“. Sellest järeldub, et otsus määrata trahv sõltub igast üksikjuhtumist, mitte kahju olemasolust.
(
40
)	Vt selle kohta kohtujurist Emiliou ettepanek kohtuasjas Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:376, punkt 84), milles on juhitud tähelepanu nende kahe süsteemi sarnasusele. Vt ka 5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen (C‑807/21, EU:C:2023:950, punkt 55 jj).
(
41
)	Vt selle kohta 11. juuni 2009. aasta kohtuotsus X (C‑429/07, EU:C:2009:359, punkt 35 ja seal viidatud kohtupraktika).
(
42
)	Kohtujurist Kokott’i ettepanek liidetud kohtuasjades Alliance One International ja Standard Commercial Tobacco vs. komisjon ja komisjon vs. Alliance One International jt (C‑628/10 P ja C‑14/11 P, EU:C:2012:11, punkt 48 ja seal viidatud kohtupraktika).
(
43
)	Nõukogu 16. detsembri 2002. aasta määrus asutamislepingu artiklites 81 ja 82 sätestatud konkurentsieeskirjade rakendamise kohta (EÜT 2003, L 1, lk 1; ELT eriväljaanne 08/02, lk 205).
(
44
)	Vt selle kohta Wils, W., „Procedural rights and obligations of third parties in antitrust investigation and proceedings by the European Commission“, Concurrences, no 2‑2022, lk 50.