Laikina versija
GENERALINIO ADVOKATO
RIMVYDO NORKAUS IŠVADA,
pateikta 2026 m. balandžio 16 d.(1)
Byla C‑205/25
Joachim Lindenberg
prieš
Bayerisches Landesamt für Datenschutzaufsicht
(Bayerisches Verwaltungsgericht Ansbach (Bavarijos Ansbacho administracinis teismas, Vokietija) pateiktas prašymas priimti prejudicinį sprendimą)
„ Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 15 straipsnis – Duomenų subjekto prašymas leisti susipažinti su jo asmens duomenimis – 77 straipsnis – Priežiūros institucijos bylos medžiagoje, susijusioje su skundo nagrinėjimo procedūra, esantys duomenys – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – 23 straipsnis – Teisės susipažinti su duomenimis apribojimai – Nacionalinės teisės aktai, pagal kuriuos apskritai nesuteikiama teisės susipažinti su dokumentais “
I.      Įvadas
1.        Šis Bayerisches Verwaltungsgericht Ansbach (Bavarijos Ansbacho administracinis teismas, Vokietija) pagal SESV 267 straipsnį pateiktas prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas; toliau – BDAR)(2) 4 straipsnio 7 ir 21 punktų, 15, 23 ir 77 straipsnių išaiškinimo.
2.        Šis prašymas priimti prejudicinį sprendimą pateiktas nagrinėjant žurnalisto Joachim Lindenberg, kurio specializacija – duomenų apsauga, ir Bayerisches Landesamt für Datenschutzaufsicht (Bavarijos duomenų apsaugos priežiūros institucija, Vokietija; toliau – Landesamt) ginčą dėl šios institucijos atsisakymo, remiantis BDAR 15 straipsniu, suteikti jam teisę susipažinti su visa jo bylos medžiaga vykstant procedūrai, pradėtai gavus J. Lindenberg pateiktą skundą dėl trečiojo asmens. Landesamt tokį atsisakymą motyvavo Bavarijos teisės nuostata, pagal kurią visuomenei neleidžiama susipažinti su priežiūros institucijų dokumentais. Kai J. Lindenberg apskundė tokį atsisakymą teismui, minėta institucija galiausiai suteikė elektroninę prieigą prie bylos medžiagos, tačiau nepripažino teisės klaidos, o pareiškėjas ir toliau prašo pripažinti, kad pirminis atsisakymas buvo neteisėtas. Manydamas, kad norint išspręsti ginčą reikia išaiškinti bylai reikšmingas BDAR nuostatas ir išnagrinėti Bavarijos teisės aktų atitiktį Sąjungos teisei, prašymą priimti prejudicinį sprendimą pateikęs teismas nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui du prejudicinius klausimus.
3.        Teisingumo Teismo prašoma priimti sprendimą dėl to, ar duomenų apsaugos priežiūros institucija, vykstant pagal BDAR 77 straipsnį pateikto skundo nagrinėjimo procedūrai, gali būti laikoma „duomenų valdytoja“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą, ir kiek ji privalo laikytis BDAR 15 straipsnyje nustatytų susipažinimo su duomenimis įpareigojimų. Teisingumo Teismo, be kita ko, prašoma išnagrinėti, ar pagal Sąjungos teisę draudžiami nacionalinės teisės aktai, pagal kuriuos duomenų subjektams apskritai nesuteikiama teisė susipažinti su dokumentais. Šis vertinimas turės būti atliekamas atsižvelgiant į BDAR 23 straipsnį, pagal kurį dėl tam tikrų bendrojo intereso priežasčių leidžiama apriboti šiame reglamente numatytus susipažinimo su duomenimis įpareigojimus, ir į Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 2 dalį, pagal kurią kiekvienam asmeniui užtikrinama teisė susipažinti su surinktais jo asmens duomenimis. Šiuo tikslu Teisingumo Teismas turės pasverti, viena vertus, administracinių veiksmų skaidrumo reikalavimą ir, kita vertus, būtinybę užtikrinti su duomenų apsauga susijusių tyrimų veiksmingumą.
II.    Teisinis pagrindas
A.      Sąjungos teisė
4.        Šioje byloje reikšmingi Chartijos 8 ir 52 straipsniai, SESV 16 straipsnis, taip pat BDAR 4 straipsnio 1, 2, 7 ir 9 punktai bei 5, 15, 23, 51, 57, 58 ir 77 straipsniai.
B.      Vokietijos teisė
5.        Pagal Bayerisches Datenschutzgesetz (Bavarijos duomenų apsaugos įstatymas; toliau – BayDSG) 18 straipsnį Landesamt yra neviešųjų subjektų priežiūros institucija.
6.        BayDSG 20 straipsnyje numatyta:
„1. Kiekvienas asmuo gali kreiptis į priežiūros institucijas dėl to, kad tvarkant asmens duomenis buvo pažeistos jo teisės. Kreipimasis į priežiūros institucijas neturi pakenkti duomenų subjektui.
2. Teisė gauti prieigą prie priežiūros institucijų dokumentų ir rinkmenų arba susipažinti su šiais dokumentais ir rinkmenomis nesuteikiama.“
7.        BayDSG aiškinamajame rašte dėl jo 20 straipsnio 2 dalies nurodyta, kad ši nuostata taikoma ir pagal ją nesuteikiama teisės susipažinti su duomenimis pagal BDAR 15 straipsnį, jei tokia teise remiamasi prieš Landesamt, kiek tai susiję su jos dokumentais ir rinkmenomis.
III. Pagrindinės bylos faktinės aplinkybės, procesas pagrindinėje byloje ir prejudiciniai klausimai
8.        J. Lindenberg yra žurnalistas ir veda, be kita ko, duomenų apsaugai skirtą tinklaraštį. Nuo 2021 m. jis inicijavo kelias skundų nagrinėjimo procedūras Landesamt.
9.        Kadangi 2022 m. gegužės 13 d. J. Lindenberg pateikė skundą Landesamt dėl duomenų apsaugos, ji pradėjo skundo nagrinėjimo procedūrą dėl trečiojo asmens. 2022 m. spalio 11 d. elektroniniu laišku Landesamt informavo J. Lindenberg, kad konstatavo asmens, dėl kurio pateiktas skundas, padarytus duomenų apsaugos pažeidimus. Landesamt pridūrė, kad jeigu pasibaigus tokiems pažeidimams ištaisyti nustatytam terminui asmuo padarys naujų pažeidimų, jam bus pareikštas įspėjimas ir paskirta bauda. Tos pačios dienos elektroniniu laišku J. Lindenberg paprašė pateikti papildomos informacijos apie Landesamt taikytas priemones. Kadangi ji neatsakė į šį prašymą, J. Lindenberg 2022 m. spalio 11 d. elektroniniu laišku paprašė išsamios informacijos pagal BDAR 15 straipsnio 1 ir 3 dalis.
10.      2022 m. spalio 20 d. elektroniniu laišku ir sprendimu Landesamt atmetė prašymą leisti susipažinti su duomenimis pagal BDAR 15 straipsnio 1 ir 3 dalis. Šį atmetimą ji motyvavo tuo, kad pagal aiškią BayDSG 20 straipsnio 2 dalies nuostatą teisė gauti prieigą prie priežiūros institucijų dokumentų ir rinkmenų ir teisė su jais susipažinti nesuteikiamos.
11.      J. Lindenberg apskundė tokį sprendimą Bayerisches Verwaltungsgericht Ansbach (Bavarijos Ansbacho administracinis teismas, Vokietija), prašydamas įpareigoti Landesamt pateikti jam visų 2022 m. gegužės 13 d. pradėtos skundo nagrinėjimo procedūros dokumentų kopijas.
12.      2024 m. vasario 23 d.
Landesamt suteikė elektroninę prieigą prie J. Lindenberg skundo nagrinėjimo procedūros dokumentų, tačiau nepripažino su tuo susijusios teisinės pareigos.
13.      Dabar J. Lindenberg prašo tik pripažinti, kad 2022 m. spalio 20 d.
Landesamt sprendimas atmesti jo prašymą leisti susipažinti su duomenimis yra neteisėtas.
14.      Prašymą priimti prejudicinį sprendimą pateikęs teismas pažymi, kad, kai skundo pateikėjas, kaip antai J. Lindenberg, pateikia skundą duomenų apsaugos priežiūros institucijai, šiuo atveju – Landesamt, pagal BDAR 77 straipsnį ši institucija jo atžvilgiu veikia kaip priežiūros institucija, kaip tai suprantama pagal BDAR 4 straipsnio 21 punktą. Kai kurios iš tokių institucijų, įskaitant Landesamt, mano, kad dėl to duomenų apsaugos priežiūros institucija skundo pateikėjo atžvilgiu negali būti „duomenų valdytoja“, kaip tai suprantama pagal BDAR 15 straipsnį, siejamą su 4 straipsnio 7 punktu, ir kad dėl to skundo pateikėjui iš pat pradžių negali būti suteikta teisės reikalauti, kad duomenų apsaugos priežiūros institucija leistų susipažinti su asmens duomenimis, gautais per skundo nagrinėjimo procedūrą.
15.      Vis dėlto prašymą priimti prejudicinį sprendimą pateikęs teismas remiasi principu, kad duomenų apsaugos priežiūros institucija gali būti ir priežiūros institucija, kaip tai suprantama pagal BDAR 4 straipsnio 21 punktą, ir duomenų valdytojas, ir asmuo, dėl kurio pateiktas skundas, kaip tai suprantama pagal BDAR 15 straipsnį, siejamą su 4 straipsnio 7 punktu.
16.      Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad jei taip yra, kyla klausimas, ar visiškas teisės susipažinti su priežiūros institucijos dokumentais ir rinkmenomis nesuteikimas, kaip antai numatytas BayDSG 20 straipsnio 2 dalyje, atitinka BDAR 23 straipsnio 1 dalyje suteiktos teisės numatyti apribojimus įgyvendinimo sąlygas.
17.      Šiomis aplinkybėmis Bayerisches Verwaltungsgericht Ansbach (Bavarijos Ansbacho administracinis teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1.      Ar [BDAR] 15 straipsnis, siejamas su jo 4 straipsnio 7 punktu, turi būti aiškinamas taip, kad priežiūros institucija, kaip ji suprantama pagal šio reglamento 4 straipsnio 21 punktą, vykstant duomenų subjekto inicijuotai skundo nagrinėjimo procedūrai pagal šio reglamento 77 straipsnį, tuo pat metu yra „duomenų valdytoja“, kaip tai suprantama pagal to reglamento 15 straipsnį, siejamą su jo 4 straipsnio 7 punktu, taigi pagal [BDAR] 15 straipsnį privalo leisti duomenų subjektui susipažinti su jo duomenimis ir informacija?
2.      Jei į pirmąjį klausimą būtų atsakyta teigiamai: ar Sąjungos teisė, visų pirma [BDAR] 23 straipsnis, turi būti aiškinama taip, kad su ja yra nesuderinama tokia nacionalinės teisės norma, kaip pagrindinėje byloje ginčijama [BayDSG] 20 straipsnio 2 dalis, pagal kurią apskritai nesuteikiama teisės gauti prieigą prie priežiūros institucijų, kaip jos suprantamos pagal [BDAR] 4 straipsnio 21 punktą, dokumentų ir duomenų rinkmenų ir teisės susipažinti su šiais dokumentais ir rinkmenomis?“
IV.    Procesas Teisingumo Teisme
18.      2025 m. vasario 19 d. nutartį dėl prašymo priimti prejudicinį sprendimą Teisingumo Teismo kanceliarija gavo 2025 m. kovo 17 d.
19.      Landesamt, Bulgarijos ir Latvijos vyriausybės, taip pat Europos Komisija per Europos Sąjungos Teisingumo Teismo statuto 23 straipsnyje nustatytą terminą pateikė rašytines pastabas.
20.      Per 2026 m. sausio 22 d. posėdį pastabas pateikė J. Lindenberg, Landesamt, Bulgarijos vyriausybės ir Komisijos atstovai ad litem.
V.      Teisinė analizė
A.      Įvadinės pastabos
21.      Šioje byloje kyla principinis klausimas dėl priežiūros institucijų teisinio statuso atsižvelgiant į BDAR pripažįstamas teises, visų pirma į jo 15 straipsnyje garantuojamą teisę susipažinti su duomenimis. Reikia nustatyti, ar nagrinėdama pagal BDAR 77 straipsnį pateiktą skundą priežiūros institucija šiuo tikslu gali būti laikoma tvarkomų duomenų „duomenų valdytoja“, kaip tai suprantama pagal to paties reglamento 4 straipsnio 7 punktą. Šis kvalifikavimas yra lemiamas, nes nuo jo priklauso pareigų leisti susipažinti su duomenimis, kuriomis galima remtis prieš duomenų valdytoją, taikytinumas ir apskritai kyla klausimas dėl pusiausvyros tarp asmens teisių apsaugos ir priežiūros užduočių vykdymo ypatumų, grindžiamų sprendimų priėmimo nepriklausomumu, tyrimo konfidencialumu ir tyrimo įgaliojimų veiksmingumu.
22.      Jeigu Teisingumo Teismas nuspręstų, kad priežiūros institucija iš esmės gali būti įpareigota laikytis BDAR 15 straipsnio, kiltų antrasis norminio pobūdžio klausimas, kiek bendras ir absoliutus teisės susipažinti su administraciniais dokumentais nesuteikimas
suderinamas su Sąjungos teisės aktais. Tokios nacionalinės teisės nuostatos turi būti nagrinėjamos atsižvelgiant į reikalavimus, numatytus BDAR 23 straipsnyje, kuriame griežtai apibrėžti galimi jame garantuojamų teisių apribojimai, reikalaujant, kad jie atitiktų kumuliacines sąlygas, susijusias su teisiniu pagrindu, būtinumu, proporcingumu ir Sąjungos pripažintų bendrojo intereso tikslų apsauga. Atliekant šią analizę taip pat reikia įtraukti iš pirminės teisės kylančias garantijas, visų pirma susijusias su pagrindinių teisių paisymu ir teisių gynimo priemonių veiksmingumu.
23.      Taigi teisinė analizė apims du vienas po kito einančius etapus. Pirmiausia reikės nustatyti, ar ir kiek priežiūros institucija gali būti prilyginta „duomenų valdytojui“ per skundo nagrinėjimo procedūrą, kad jai būtų taikomi BDAR nustatyti įpareigojimai dėl susipažinimo su duomenimis(3). Tada, ir tik tuo atveju, jei į šį klausimą būtų atsakyta teigiamai, reikės įvertinti, ar bendras, nediferencijuotas ir prevencinis teisės susipažinti su priežiūros institucijų dokumentais nesuteikimas yra suderinamas su BDAR nustatyta tvarka, atsižvelgiant į administracinio skaidrumo, duomenų apsaugos, institucinio nepriklausomumo ir veiksmingumo reikalavimus, kurie turi būti pasverti taip, kad nė vienas iš šių reikalavimų neprarastų prasmės(4).
B.      Dėl pirmojo klausimo
1.      Dėl priežiūros institucijos pripažinimo „duomenų valdytoja“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą
24.      Dėl galimo priežiūros institucijos pripažinimo „duomenų valdytoja“, dėl kurio pateiktas pirmasis prejudicinis klausimas, pirmiausia reikėtų priminti šios sąvokos teisinę apibrėžtį, įtvirtintą BDAR 4 straipsnio 7 punkte. Pagal šią nuostatą „duomenų valdytojas“ yra „fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones“. Šiuo klausimu reikėtų priminti, kad pagal Teisingumo Teismo suformuotą jurisprudenciją ši sąvoka turi būti aiškinama plačiai(5).
25.      Pirma, reikėtų konstatuoti, kad ši teisinė apibrėžtis aiškiai apima „valdžios institucijas“. Taigi pačiame BDAR 4 straipsnio 7 punkto tekste visiškai neatmetama galimybė priežiūros instituciją laikyti „duomenų valdytoja“. Sąjungos teisės aktų leidėjas sąmoningai atsisakė atskirti privačius ir viešuosius subjektus, kaip matyti iš daugelio konstatuojamųjų dalių, kuriose aiškiai kalbama apie valdžios institucijų atliekamą asmens duomenų tvarkymą. Be to, aplinkybės, kad priežiūros institucija BDAR 4 straipsnio 21 punkte apibrėžta kaip valstybės narės pagal 51 straipsnį įsteigta nepriklausoma valdžios institucija, atsižvelgiant į plačią ir funkcinę taikymo sritį, kuri pagal reglamentą suteikiama sąvokai „duomenų valdytojas“(6), negalima aiškinti kaip užkertančios kelią jos galimam kvalifikavimui kaip duomenų valdytojos.
26.      Antra, svarbu pažymėti, kad, kai tokia priežiūros institucija vykdo pagal BDAR 77 straipsnį jai pavestas užduotis, visų pirma nagrinėja skundus dėl galimų duomenų apsaugos taisyklių pažeidimų, ji pati turi tvarkyti asmens duomenis. Ši institucija ne tik gauna šiuos duomenis; ji juos struktūrina, analizuoja, saugo ir naudoja, kai savarankiškai vykdo pagal šį reglamentą jai suteiktus tyrimo ir vykdymo užtikrinimo įgaliojimus. Manau, kad tokios operacijos patenka į BDAR 4 straipsnio 2 punkto, kuriame sąvoka „duomenų tvarkymas“ suprantama plačiai ir atsietai nuo bet kokio konkretaus konteksto, kaip apimanti visas su duomenimis atliekamas operacijas, taikymo sritį.
27.      Siekdamas pagrįsti šią analizę, toliau nurodysiu, pirma, BDAR 77 straipsnyje numatytos skundų nagrinėjimo procedūros esminius bruožus ir, antra, asmens duomenų, kuriuos priežiūros institucijos turi įprastai ir konkrečiai tvarkyti šiomis aplinkybėmis, kategorijas. Tai leis geriau suprasti priežiūros institucijų atliekamų užduočių pobūdį ir apimtį per tokią procedūrą.
a)      BDAR 7 straipsnyje numatytos „skundo pateikimo procedūros“ esminiai bruožai
28.      BDAR 77 straipsnyje nustatyta skundo pateikimo procedūra(7) yra pagrindinis Sąjungos sistemos, skirtos užtikrinti fizinių asmenų apsaugai tvarkant jų asmens duomenis, mechanizmas. Ji padeda praktiškai įgyvendinti Chartijos 8 straipsnio 3 dalyje įtvirtintą principą, pagal kurį duomenų apsaugos taisyklių laikymąsi turi kontroliuoti nepriklausoma institucija. Teisingumo Teismas yra ne kartą pabrėžęs, kad šis kontrolės mechanizmas nėra vien formalus, juo siekiama užtikrinti veiksmingą ir realią pagrindinių teisių apsaugą(8).
29.      BDAR 77 straipsnio 1 dalyje kiekvienam duomenų subjektui suteikiama teisė be jokio konkretaus formalaus reikalavimo ir be grėsmės patirti išlaidų pateikti skundą, be kita ko, valstybės narės, kurioje yra jo nuolatinė gyvenamoji vieta, darbo vieta arba įtariamo pažeidimo padarymo vieta, priežiūros institucijai. Kadangi ši teisė yra esminė reglamente nustatytos apsaugos sistemos dalis, ji negali būti aiškinama ir taikoma taip, kad naudojimasis ja taptų praktiškai neįmanomas arba pernelyg sudėtingas(9).
30.      Svarbu pabrėžti, kad skundo pateikimas nesuteikia priežiūros institucijai tiesiog bendros nagrinėjimo teisės, bet nustato jai konkrečią pareigą išsamiai, kruopščiai ir nešališkai ištirti bylos medžiagą. Iš Teisingumo Teismo jurisprudencijos matyti, kad pagal BDAR 57 straipsnio 1 dalies f punktą kiekviena priežiūros institucija savo teritorijoje privalo nagrinėti skundus, kiek reikia, patikrinti šių skundų pobūdį ir juos nagrinėti ypač kruopščiai, kaip to reikalaujama(10).
31.      Tai reiškia, kad priežiūros institucija negali atsisakyti nagrinėti skundo dėl priežasčių, susijusių tik su administraciniu taupymu ar tikslingumo sumetimais. Be to, jai draudžiama apsiriboti tik neformalia
mediacija arba tarpininkės vaidmeniu. Atvirkščiai, ji privalo išnagrinėti galimą pažeidimą faktiškai ir teisiškai ir prireikus veiksmingai įgyvendinti jai pagal Sąjungos teisę suteiktus įgaliojimus ištaisyti padėtį(11).
32.      Remiantis jurisprudencija, BDAR 58 straipsnyje išvardyti įgaliojimai turi būti aiškinami atsižvelgiant į jų tikslą, t. y. užtikrinti visišką šio reglamento veiksmingumą. Teisingumo Teismas primygtinai reikalauja, kad nustačiusios pažeidimą priežiūros institucijos imtųsi „tinkamų ir būtinų“ taisomųjų veiksmų ir naudotųsi visomis turimomis priemonėmis. Šis reikalavimas apima vykdymo užtikrinimo veiksmus, nes neveikimas gali pakenkti minėto reglamento veiksmingumui(12).
33.      BDAR 77 straipsnio 2 dalyje taip pat reikalaujama informuoti skundo pateikėją apie skundo nagrinėjimo eigą ir rezultatus. Šios pareigos laikomasi tik tuo atveju, jei pateiktas atsakymas leidžia nustatyti, kad skundas iš tikrųjų buvo išnagrinėtas ir faktiškai, ir teisiškai, ir kad jame yra informacija, būtina veiksmingai teisminei kontrolei vykdyti. Taigi ši procedūra negali apsiriboti vien formaliu sprendimu, o turi baigtis išsamiu, tinkamai motyvuotu vertinimu, jį turi galėti patikrinti teismas, į kurį būtų kreiptasi pagal BDAR 78 straipsnio 1 dalį. Kiekvienam priežiūros institucijos dėl skundo priimtam sprendimui taikoma visapusiška teisminė kontrolė(13).
34.      Vertinant visą BDAR 77 straipsnyje numatytą procedūrą, pažymėtina, kad ji yra ne paprastas administracinis aktas, o savarankiška teisių gynimo priemonė, nustatyta Sąjungos teisėje ir padedanti apsaugoti asmenų teises ir objektyviai apsaugoti duomenų apsaugos teisės sistemą. Teisingumo Teismas priežiūros institucijoms pripažįsta institucinio pagrindinių teisių struktūrinės apsaugos sistemos garanto, kuriam pavesta ne tik pasyviai priimti skundus, bet ir aktyviai taikyti duomenų apsaugos taisykles, statusą.
b)      Asmens duomenų „tvarkymas“, kurį priežiūros institucija atlieka vykstant skundų nagrinėjimo procedūrai
35.      Apžvelgus esminius skundų nagrinėjimo procedūros bruožus, dabar reikėtų išanalizuoti, kiek priežiūros institucijos veikla yra „duomenų tvarkymas“, kaip tai suprantama pagal BDAR 4 straipsnio 2 punktą. Ši sąvoka apibrėžiama kaip „bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas“.
36.      Šiuo klausimu reikėtų pažymėti, kad vykstant BDAR 77 straipsniu grindžiamai procedūrai priežiūros institucija ne tik gauna duomenis. Priešingai, ji atlieka visumą savarankiškų ir struktūruotų operacijų, įgyvendinamų jai vykdant teisės aktais nustatytą patikros, tyrimo ir priežiūros funkciją. Duomenų tvarkymas pradedamas nuo to momento, kai pateikiamas skundas, kuriame yra duomenų apie skundo pateikėją ir, atsižvelgiant į konkretų atvejį, apie nurodytą duomenų valdytoją arba trečiuosius asmenis, kurių tapatybė gali būti nustatyta. Ši informacija (ją
apima sąvoka „asmens duomenys“, kaip ji suprantama pagal BDAR 4 straipsnio 1 punktą) registruojama, įtraukiama į bylos medžiagą ir saugoma priežiūros institucijos vidaus sistemose, o tai jau reiškia tikras ir organizuotas „duomenų tvarkymo“ operacijas(14).
37.      Šios operacijos yra viena iš šioje išvadoje nurodytų priežiūros institucijoms pagal BDAR 57 straipsnio 1 dalį pavestų užduočių. Šios užduotys, be kita ko, apima skundų nagrinėjimą (f punktas) ir naudojimąsi tyrimo bei sprendimų priėmimo įgaliojimais (h punktas). Vykdydamos šias užduotis priežiūros institucijos veikia pagal Sąjungos teisėje garantuojamą funkcinę ir sprendimų priėmimo autonomiją, kuri konkrečiai išreiškiama tuo, kaip nagrinėjami skundai ir įgyvendinami iš to kylantys priežiūros įgaliojimai.
38.      Vykstant procedūrai priežiūros institucija atlieka jai pateiktų įrodymų faktinį ir teisinį nagrinėjimą. Ji renka, organizuoja, analizuoja ir vertina duomenis pagal taikytinus teisės aktus. Kitos duomenų tvarkymo operacijos taip pat atliekamos, kai ji prašo duomenų valdytojo, dėl kurio pateiktas skundas ir kuris yra tiriamas, pateikti papildomos informacijos arba susipažįsta su papildomais dokumentais, kuriuose pačiuose gali būti asmens duomenų. Vėliau šią informaciją priežiūros institucija gauna, registruoja, analizuoja ir saugo. Be to, šių duomenų susiejimas su galimai anksčiau turėtais dokumentais ar informacija gali būti laikomas „duomenų tvarkymo“ operacija.
39.      Taip tvarkomi duomenys naudojami tam, kad priežiūros institucija savarankiškai įgyvendintų tyrimo ir sprendimų priėmimo įgaliojimus(15). Jie skirti faktinėms aplinkybėms nustatyti, joms teisiškai kvalifikuoti, galimoms taisomosioms priemonėms įvertinti ir prireikus privalomiems sprendimams ar įpareigojimams priimti. Jie taip pat naudojami šalims siunčiant procedūrinius pranešimus, visų pirma informuojant skundo pateikėją arba duomenų valdytoją apie procedūros rezultatus.
40.      Iš viso to, kas išdėstyta, matyti, kad priežiūros institucija negali būti laikoma vien duomenų „gavėja“, kaip tai suprantama pagal BDAR 4 straipsnio 9 punktą. Kadangi ji savarankiškai sprendžia dėl šių duomenų rinkimo, analizės, organizavimo ir naudojimo tvarkos, kad įvykdytų jai teisiškai pavestas užduotis, ji veikia kaip subjektas, atliekantis „duomenų tvarkymą“, kaip tai suprantama pagal BDAR 4 straipsnio 2 punktą. Šį aspektą reikėtų išsamiau išnagrinėti tolesnėje šios išvados dalyje.
2.      Dėl priežiūros institucijos teisės „nustatyti duomenų tvarkymo tikslus ir priemones“
41.      Tam, kad priežiūros institucija galėtų būti laikoma „duomenų valdytoja“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą, dar reikia, kad jai būtų suteikti įgaliojimai nustatyti asmens duomenų tvarkymo tikslus ir priemones.
42.      Kaip jau minėta, priežiūros institucijos vaidmuo per BDAR 77 straipsniu grindžiamą skundų nagrinėjimo procedūrą neapsiriboja vien pasyviu informacijos gavimu. Iš tikrųjų ji nustato duomenų tvarkymo tikslą, nes nusprendžia, kad duomenys bus naudojami nagrinėjant galimą duomenų apsaugos taisyklių pažeidimą, nustatant faktines aplinkybes ir prireikus rengiant ir tvirtinant kontrolės priemones. Šis tikslo nustatymas ne tik iš anksto apibrėžtas įstatyme, bet ir reikalauja, kad institucija kiekvienu konkrečiu atveju savarankiškai patikslintų, be kita ko, kontrolės apimtį, tikslų tyrimo dalyką ir pateiktų priekaištų teisinį kvalifikavimą(16).
43.      Priežiūros institucija taip pat savarankiškai sprendžia dėl duomenų tvarkymo priemonių esminių aspektų. Ji nustato, kokie asmens duomenys turi būti renkami, kokia forma jie turi būti registruojami, struktūrinami ir saugomi, pagal kokius kriterijus turi būti kaupiama bylos medžiaga, organizuojami skaitmeniniai archyvai ar registruojami įrodymai, taip pat, kokie techniniai ar organizaciniai procesai turi būti pasitelkiami duomenims analizuoti, toliau tvarkyti arba padaryti juos prieinamus institucijos viduje. Ji taip pat sprendžia, ar prašyti asmens, dėl kurio atliekamas tyrimas, pateikti informaciją, kokios papildomos informacijos prašyti, kokiais metodais ji bus tarpusavyje susieta ir kiek laiko bus saugoma. Šie atrankos ir organizavimo įgaliojimai akivaizdžiai peržengia paprasto pagalbinių ar pavaldumo užduočių vykdymo ribas.
44.      Faktiškai atliekamos duomenų tvarkymo operacijos patvirtina šią sprendimų priėmimo autonomiją. Institucija užregistruoja skundą, užveda savo bylas, saugo ir organizuoja gautus ir renkamus duomenis, atlieka jų faktinį ir teisinį vertinimą, prašo papildomų dokumentų, registruoja tyrimo veiksmus ir, remdamasi savo analize, priima procedūrinius sprendimus ir sprendimus dėl esmės. Taigi duomenų tvarkymas skirtas ne tik techniškai tvarkyti administracinę bylą, bet taip pat yra ir savarankiškos tyrimo, vertinimo ir sprendimų priėmimo veiklos, kuri pagal Sąjungos teisę patikėta išimtinai priežiūros institucijai, pagrindas.
45.      Tai, kad ši veikla vykdoma įgyvendinant teisės aktuose numatytą užduotį, nereiškia, kad išnyksta „duomenų valdytojo“ statusas. Teisingumo Teismas yra ne kartą pažymėjęs, kad viešosios valdžios institucijos gali būti laikomos „duomenų valdytojomis“, kai turi diskreciją priimti sprendimus dėl konkrečių tvarkymo taisyklių(17). Šiuo klausimu reikėtų pažymėti, kad pati Landesamt per teismo posėdį pripažino turinti diskreciją priimti sprendimus dėl savo užduočių, taip pat skundų nagrinėjimo srityje(18), ši diskrecija išreiškia jos savarankiškumą.
46.      Pripažinimas „duomenų tvarkytoju“ taip pat nėra galimas, kai nėra jokio pavaldumo nustatant tikslus ir priemones, nes institucija veikia ne pagal trečiojo asmens nurodymus, o įgyvendindama savo pačios įgaliojimus. Konkrečiai kalbant, priežiūros institucija veikia ne duomenų valdytojo, dėl kurio pateiktas skundas, vardu, o vykdo jai suteiktus viešosios valdžios įgaliojimus, siekdama užtikrinti Sąjungos teisės laikymąsi.
47.      Nors nagrinėjamas duomenų tvarkymas apskritai grindžiamas BDAR 6 straipsnio 1 dalies e punktu, siejamu su šio reglamento 57 straipsnio 1 dalies f ir h punktais, teisinio pagrindo buvimas užtikrina tik duomenų tvarkymo teisėtumą, neatmetant duomenų „valdytojo“ statuso. Priešingai, tai, kad pagal įstatymą institucijai pavedama vykdyti priežiūros užduotis, patvirtina, kad ji tvarko duomenis vykdydama savo teisines pareigas ir laikydamasi savo pačios nustatytų taisyklių. Taigi jai, kaip „duomenų valdytojai“, iš esmės taikomos BDAR nustatytos bendros pareigos, visų pirma 5 straipsnyje nustatyti principai ir šio reglamento III skyriuje išvardytos asmenų teisės, jeigu jos nebuvo pagrįstai apribotos pakankamai aiškia ir proporcinga teisės akto nuostata pagal BDAR 23 straipsnį.
48.      BDAR 52 straipsnyje įtvirtintas priežiūros institucijų nepriklausomumas, papildomai patvirtintas jo 117 konstatuojamojoje dalyje, reiškia, kad jos turi būti laikomos „duomenų valdytojomis“, kai vykdo su asmens duomenimis susijusias operacijas, atlikdamos joms teisės aktais pavestas užduotis. Tik savarankiškas atitinkamų duomenų tvarkymo tikslų ir priemonių nustatymas kartu su iš to kylančia atsakomybe leidžia joms visiškai nepriklausomai vykdyti priežiūros ir atitikties užtikrinimo įgaliojimus jų prižiūrimų subjektų atžvilgiu. Jei nagrinėdamos skundus jos būtų laikomos paprastomis trečiųjų asmenų apibrėžtų tikslų vykdytojomis, būtų pakenkta jų instituciniam savarankiškumui, jos taptų priklausomos nuo nagrinėjamų atsakingų asmenų ir Sąjungos teisėje numatytas atsakomybės reikalavimas netektų prasmės. Taigi priežiūros institucija turi pati prisiimti atsakomybę už asmens duomenų tvarkymą, atliekamą vykstant skundų nagrinėjimo procedūrai, nes jos atžvilgiu
visapusiškai taikomos BDAR numatytos duomenų subjektų teisės(19).
49.      Galiausiai, jei priežiūros institucija, nagrinėdama skundus, nebūtų laikoma „duomenų valdytoja“, duomenų subjektas iš esmės netektų apsaugos pagrindinio jo duomenų tvarkymo elemento atžvilgiu. BDAR 12–22 straipsniuose numatytomis duomenų subjektų teisėmis, visų pirma jo 15 straipsnyje numatyta teise susipažinti su duomenimis, galima naudotis tik prieš duomenų valdytoją. Nesant tokio kvalifikavimo, duomenų subjektas negalėtų žinoti, kokius duomenis institucija renka ir tvarko nagrinėdama skundą, taip pat negalėtų prašyti juos ištaisyti, ištrinti ar apriboti jų tvarkymą. Taigi institucijos atliekamam duomenų tvarkymui nebūtų taikoma jokių skaidrumo ir atskaitomybės reikalavimų, nors ši institucija ir yra atsakinga už duomenų subjektų teisių apsaugos užtikrinimą. Taigi, nepripažinus jos „duomenų valdytoja“, atsirastų struktūrinė apsaugos spraga, dėl kurios duomenų subjektas santykiuose su priežiūros institucija netektų BDAR numatytų pagrindinių apsaugos priemonių(20).
50.      Darytina išvada, kad nagrinėdama skundus, pateiktus pagal BDAR 77 straipsnį, priežiūros institucija sprendžia dėl duomenų tvarkymo tikslų ir priemonių ir neapsiriboja tik trečiojo asmens nustatytų duomenų gavimu ar administravimu. Ji veikia kaip savarankiškas subjektas, kuris renka, organizuoja, analizuoja ir naudoja asmens duomenis kaip pagrindą priimti sprendimus, susijusius su viešosios valdžios funkcijų vykdymu. Todėl ji turi būti laikoma „duomenų valdytoja“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punkte pateiktą plačią apibrėžtį(21).
51.      Išsamumo sumetimais reikėtų pažymėti, kad tai, jog Sąjungos teisės aktų leidėjas aiškiai nenumatė, kad
priežiūros institucija per skundo nagrinėjimo procedūrą tuo pat metu veikia kaip „duomenų valdytoja“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą, nėra reikšmingas argumentas, galintis paneigti tokį kvalifikavimą. Priešingai, lemiamas veiksnys yra tai, ar ši institucija atitinka minėtoje nuostatoje numatytas materialines sąlygas. Kaip matyti iš pateiktos analizės, taip akivaizdžiai yra nagrinėjamu atveju.
52.      Šiomis aplinkybėmis negalima pritarti Landesamt argumentui, kad kai kurios BDAR nuostatos neišvengiamai suponuoja griežtą priežiūros institucijos ir „duomenų valdytojo“ atskyrimą. Šios nuostatos susijusios tik su Sąjungos teisės aktų leidėjo numatyta principine situacija, kai šie du vaidmenys nesutampa. Vis dėlto pagal jas neatmetama galimybė, kad priežiūros institucija tam tikromis aplinkybėmis, kaip antai nagrinėjamomis pagrindinėje byloje, tuo pat metu gali atitikti sąlygas, kad būtų laikoma „duomenų valdytoja“.
53.      Kadangi tam tikrose BDAR nuostatose, be kita ko, jo 31 ir 36 straipsniuose, numatytas „duomenų valdytojo“ ir priežiūros institucijos „bendradarbiavimas“ arba „konsultavimasis“,
dėl šių funkcijų dubliavimosi galintis kilti prieštaravimas gali būti išspręstas pasitelkus teleologinį šio reglamento aiškinimą. Toks aiškinimas reiškia, kad priežiūros institucijos vidaus procedūros turi būti organizuojamos ir koordinuojamos taip, kad būtų užtikrintas veiksmingas atitinkamomis nuostatomis siekiamų tikslų įgyvendinimas.
3.      Dėl BDAR 15 straipsniu grindžiamos skundo pateikėjo teisės susipažinti su duomenimis buvimo
54.      Kaip jau buvo nurodyta šioje išvadoje, priežiūros institucijos pripažinimas „duomenų valdytoja“ reiškia jos pareigą užtikrinti, kad būtų paisoma duomenų subjektams pagal BDAR III skyrių pripažintų teisių. Tarp šių teisių visų pirma yra šio reglamento 15 straipsnyje įtvirtinta teisė susipažinti su duomenimis.
55.      Vykstant pagal BDAR 77 straipsnį pradėtai procedūrai, skundo pateikėjas iš esmės yra ir „duomenų subjektas“, kaip tai suprantama pagal šį reglamentą. Šiuo tikslu skundo pateikėjas gali reikalauti, kad priežiūros institucija patvirtintų, ar tvarkomi su juo susiję asmens duomenys. Jeigu į šį klausimą būtų atsakyta teigiamai, teisė susipažinti su duomenimis apimtų ir visą BDAR 15 straipsnio 1 dalies a–h punktuose išsamiai išvardytą informaciją, įskaitant, be kita ko, duomenų tvarkymo tikslus, duomenų kategorijas, duomenų gavėjus ar gavėjų kategorijas, saugojimo laikotarpį ir informaciją apie duomenų subjekto turimas teises.
a)      Teisė gauti „kopiją“ pagal BDAR 15 straipsnio 3 dalį
56.      Teisė susipažinti su duomenimis, be kita ko, apima duomenų subjekto teisę gauti duomenų kopiją pagal BDAR 15 straipsnio 3 dalį. Pagal šią nuostatą duomenų valdytojas įpareigojamas pateikti suinteresuotajam asmeniui jo asmens duomenų kopiją suprantama forma, kuri leistų tiksliai suprasti jų tvarkymo apimtį ir būdus. Šios teisės tikslas – suteikti duomenų subjektui galimybę patikrinti, kokie su juo susiję duomenys yra tvarkomi, nustatyti jų šaltinį, suprasti šių duomenų tvarkymo tikslus ir žinoti galimus jų gavėjus(22).
57.      Teisingumo Teismas yra nusprendęs, kad kopija turi būti pateikta tokiomis sąlygomis, kad būtų galima veiksmingai patikrinti duomenų tvarkymo teisėtumą ir naudingai įgyvendinti kitas BDAR įtvirtintas teises(23). Sąvoka „kopija“ susijusi ne su pačiu dokumentu, o su jame esančiais asmens duomenimis; svarbu tai, kad šie duomenys būtų pateikti išsamiai, aiškiai ir suprantamai. Siekiant užtikrinti šios teisės veiksmingumą, gali būti būtina atgaminti dokumentų ištraukas ar net ištisus dokumentus arba išrašus iš duomenų bazių, kuriuose, be kita ko, yra tvarkomų asmens duomenų(24).
58.      Vis dėlto šios teisės taikymo sritį griežtai apibrėžia jos funkcija. Ji apima tik duomenų subjekto „asmens duomenis“ ir bet kokią su juo susijusią informaciją arba informaciją, leidžiančią nustatyti jo tapatybę, kaip tai suprantama pagal BDAR 4 straipsnio 1 punktą. Kai šių duomenų kontekstas yra būtinas, kad juos būtų galima visapusiškai suprasti, pareiga juos pateikti gali reikšti, kad turi būti pateikta atitinkama ištrauka arba su jais susijęs kontekstas, tiek, kiek to reikia skaidrumo reikalavimams įvykdyti. Taigi teisė gauti kopiją yra pagrindinis BDAR nustatyto informacinio apsisprendimo mechanizmo elementas, nes juo duomenų subjektui užtikrinama esminė jo duomenų tvarkymo kontrolė ir jam leidžiama patikrinti, ar toks duomenų tvarkymas atitinka Sąjungos teisės reikalavimus.
b)      BDAR 15 straipsnyje nenumatyta „bendra teisė susipažinti su administracine byla“
59.      Vis dėlto ši BDAR 15 straipsnyje numatyta teisė susipažinti su duomenimis, būdinga asmens duomenų apsaugos sistemai, negali būti prilyginta nei bendrai teisei susipažinti su administracine byla, nei visuotinai taikomam administracinio skaidrumo reikalavimui. Šia nuostata siekiama tik užtikrinti duomenų tvarkymo skaidrumą, kad duomenų subjektas galėtų patikrinti duomenų tvarkymo teisėtumą ir naudingai įgyvendinti iš to kylančias teises, be kita ko, teisę į tai, kad jo asmens duomenys būtų ištaisyti, ištrinti („teisė būti pamirštam“), kad jo duomenų tvarkymas būtų apribotas, taip pat prieštarauti duomenų tvarkymui(25). Jame neįtvirtinta nei bendra teisė susipažinti su administracijos turima informacija, nei teisė susipažinti su vidaus dokumentais ar juo labiau teisė į tai, kad būtų atskleista informacija, susijusi su viešosios valdžios institucijos vidaus svarstymų ar sprendimų priėmimo procesu. Tai tampa akivaizdu pasvėrus BDAR 15 straipsnyje numatytą teisę susipažinti su duomenimis ir kitas Sąjungos ir nacionalinėje teisėje įtvirtintas teises susipažinti su duomenimis.
60.      Pirma, BDAR 15 straipsniu ir 77 straipsnio 2 dalimi siekiama skirtingų tikslų, todėl šios nuostatos turi būti griežtai atskirtos. 77 straipsnio 2 dalyje nustatyta procedūrinė teisė būti informuotam apie skundo nagrinėjimo eigą ir rezultatus, tačiau ja nesuteikiama teisės susipažinti su duomenimis ar dokumentais, grindžiamos duomenų apsaugos taisyklėmis. Taigi, nors BDAR 15 straipsniu siekiama užtikrinti, kad asmuo kontroliuotų savo asmens duomenis, 77 straipsnio 2 dalis susijusi su procedūrinio skaidrumo reikalavimu nagrinėjant skundus. Šios nuostatos, kurių dalykas ir taikymo sritis yra savarankiškos, negali būti painiojamos ir tarpusavyje pakeičiamos. Jose numatytas atskiras teisinis reglamentavimas, grindžiamas skirtinga normine logika, joms taikomos savarankiškos įgyvendinimo sąlygos ir jos nėra skirtos dubliuotis ar pakeisti viena kitą.
61.      Antra, BDAR 15 straipsnyje nustatyta tik teisė susipažinti su asmens duomenimis ir neįtvirtinta nei teisė susipažinti su administracine byla, nei teisė susipažinti su institucijos turimais dokumentais(26). Jo materialinė taikymo sritis apsiriboja tvarkomų asmens duomenų pateikimu ir nėra susijusi nei su administraciniu skaidrumu, nei su galimybe susipažinti su vidaus sprendimų priėmimo procesais. Taigi teisė susipažinti su byla, išskyrus konkrečiam sektoriui taikomus Sąjungos teisės aktus, priklauso valstybių narių reglamentavimo kompetencijai, nes ji paprastai reglamentuojama teisės aktais, susijusiais su bendruoju administraciniu procesu, specialiosiomis procesinėmis nuostatomis, informacijos laisvę ir skaidrumą reglamentuojančiais teisės aktais arba konkrečiomis profesinėmis ar atskiriems sektoriams skirtomis taisyklėmis(27).
62.      Vadinasi, BDAR 15 straipsnis nesuteikia jokio pagrindo pačiai teisei gauti administracinės bylos medžiagą ar susipažinti su ja. Konkrečiai kalbant, teisės susipažinti su duomenimis sritis neapima vidaus teisinių analizių, nuomonių, pastabų, tarnybinių raštų, parengiamųjų dokumentų ir apskritai informacijos, susijusios su administracinio sprendimo rengimo ar vidinio motyvavimo procesu. Kai institucijos turimame dokumente yra su skundo pateikėju susijusių asmens duomenų, pareiga leisti susipažinti apima tik
pačių šių duomenų atskleidimą, o ne visos dokumentų laikmenos, kurioje yra šie duomenys, pateikimą ar atgaminimą. Galiausiai informacija, neturinti ryšio su tiesioginiu ar netiesioginiu duomenų subjekto tapatybės nustatymu, dėl savo pobūdžio nepatenka į BDAR 15 straipsnio materialinę taikymo sritį.
63.      Be to, reikėtų priminti, kad BDAR 15 straipsnyje numatytai teisei susipažinti su duomenimis pagal to paties reglamento 23 straipsnio 1 dalį gali būti taikomi tam tikri apribojimai, jeigu tenkinamos joje nustatytos sąlygos. Šis aspektas yra antrojo prejudicinio klausimo, kurį nagrinėsiu kitoje šios išvados dalyje, dalykas.
4.      Tarpinė išvada
64.      Atsižvelgdamas į tai, kas išdėstyta, manau, kad į pirmąjį klausimą reikia atsakyti: BDAR 15 straipsnis, siejamas su jo 4 straipsnio 7 punktu, turi būti aiškinamas taip, kad priežiūros institucija, kaip ji suprantama pagal šio reglamento 4 straipsnio 21 punktą, kai ji veikia vykstant minėto reglamento 77 straipsniu grindžiamai skundų nagrinėjimo procedūrai, taip pat turi „duomenų valdytojo“ statusą, kaip tai suprantama pagal šį reglamentą, todėl privalo užtikrinti duomenų subjektui BDAR 15 straipsnyje numatytą teisę susipažinti su duomenimis.
C.      Dėl antrojo klausimo
1.      BDAR 23 straipsnyje išvardyti teisės susipažinti su asmens duomenimis apribojimai
65.      Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas prašo išaiškinti BDAR 23 straipsnio santykį su
nacionaline nuostata, pagal kurią, kaip ir pagal BayDSG 20 straipsnio 2 dalį, apskritai nesuteikiama teisės gauti priežiūros institucijos turimus duomenis arba su jais susipažinti. Norint atsakyti į šį klausimą, reikia išsamiai išanalizuoti BDAR sistemą, kuri matyti iš jo teksto, tikslo ir atitinkamų konstatuojamųjų dalių, taip pat taikyti Teisingumo Teismo nustatytus principus dėl galimų duomenų subjektų teisių apribojimų.
66.      BDAR 23 straipsnyje numatyta, kad Sąjungos ar valstybių narių teisėkūros priemonėmis, kurios taikomos duomenų valdytojui, gali būti ribojama, be kita ko, šio reglamento 15 straipsnyje užtikrinama teisė susipažinti su duomenimis, jeigu tokiu apribojimu paisoma pagrindinių teisių ir laisvių esmės ir demokratinėje visuomenėje jis yra būtina ir proporcinga priemonė, kuria siekiama vieno iš šios nuostatos a–j punktuose išvardytų teisėtų tikslų. Vis dėlto BDAR 23 straipsnio 1 dalis negali būti aiškinama kaip suteikianti nacionalinės teisės aktų leidėjui teisę laisvai pakeisti minėto reglamento 12–22 straipsnių nuostatas savo tvarka. Priešingai, toje nuostatoje įtvirtintas baigtinis sąrašas „leidžiančiųjų“ sąlygų, pagal kurias nacionalinės teisės aktų leidėjui leidžiama dėl tiksliai išvardytų priežasčių numatyti duomenų subjektų teisių ir pagal tuos pačius straipsnius duomenų valdytojui tenkančių pareigų apribojimus(28).
67.      Taigi BDAR 23 straipsnyje nustatyta nukrypti leidžianti tvarka jame nurodytose srityse, kurios iš esmės susijusios su viešųjų užduočių vykdymu ir bendrojo intereso reikalavimų, galinčių pateisinti duomenų subjektų teisių susilpninimą, įgyvendinimu, palyginti su kitais veiklos sektoriais. Šiuo klausimu reikia atsižvelgti į BDAR 4 konstatuojamosios dalies pirmą ir antrą sakinius, pagal kuriuos reikalaujama pasverti atitinkamas pagrindines teises ir užtikrinti, kad numatomi apribojimai būtų pagrįsti, būtini ir proporcingi konkuruojančioms teisėms ir interesams.
68.      Iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad, nors Bavarijos įstatymo aiškinamajame rašte BDAR 23 straipsnis aiškiai nurodytas kaip BayDSG 20 straipsnio 2 dalies teisinis pagrindas, jame nenurodytas nė vienas iš toje nuostatoje išvardytų tikslų. Jame tik nurodyta, kad ši norma atspindi konkretų tikslo reikalavimą, susijusį su informacija, gauta vykdant duomenų apsaugos priežiūros veiklą. Vis dėlto prašymą priimti prejudicinį sprendimą pateikęs teismas pažymi, kad, kaip pagrindinėje byloje pateiktose pastabose nurodė Landesamt, iš tikrųjų šia nuostata siekiama dviejų pagrindinių tikslų: pirma, išlaikyti trečiųjų asmenų asmens duomenų konfidencialumą ir, antra, užtikrinti tinkamą priežiūros institucijos veikimą ir nepriklausomumą.
69.      Vadovaudamasis principais, kuriais reglamentuojamas SESV 267 straipsnyje nustatytas Sąjungos teismo ir nacionalinių teismų bendradarbiavimo mechanizmas ir pagal kuriuos nacionalinės teisės aiškinimas priklauso išimtinei prašymą priimti prejudicinį sprendimą pateikusių teismų kompetencijai(29), o Teisingumo Teismas privalo pasitikėti jų pateiktais paaiškinimais dėl šios teisės turinio ir apimties(30), savo analizei pagrįsti remsiuosi šiomis aplinkybėmis.
2.      Bendrosios išimties dėl BDAR 15 straipsnyje numatytos teisės susipažinti su duomenimis suderinamumas su BDAR 23 straipsniu
70.      Toliau šioje išvadoje išnagrinėsiu, ar bendroji BDAR 15 straipsnyje numatytos teisės susipažinti su duomenimis išimtis gali būti pateisinama atsižvelgiant į minėtus teisėkūros tikslus. Taip pat analizuosiu, ar tokie teisės aktai atitinka papildomus reikalavimus, kurie pagal BDAR 23 straipsnį taikomi visiems šios teisės apribojimams.
a)      Dėl teisėto tikslo buvimo
1)      Trečiųjų asmenų asmens duomenų konfidencialumo apsauga
71.      Trečiųjų asmenų asmens duomenų konfidencialumo apsauga yra teisėtas tikslas, kaip tai suprantama pagal BDAR, kuriuo iš esmės galima pateisinti duomenų subjektams suteiktų teisių apribojimus. Šiuo klausimu reikia priminti, kad, kiek tai susiję su BDAR 15 straipsnyje numatyta teise susipažinti su duomenimis, šio reglamento 63 konstatuojamojoje dalyje nurodyta, kad „[t]a teisė neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms“. Taigi reikia atsižvelgti į tai, kad, kaip matyti iš BDAR 4 konstatuojamosios dalies, teisė į asmens duomenų apsaugą nėra absoliuti, nes turi būti vertinama atsižvelgiant į jos paskirtį visuomenėje ir derėti su kitomis pagrindinėmis teisėmis(31).
72.      BDAR 23 straipsnio 1 dalies i punkte aiškiai nurodyta „kitų asmenų teisių ir laisvių“ apsauga, kaip tai patvirtina šio reglamento 73 konstatuojamoji dalis. Taigi, kai kalbama apie administracijos tarnautojų ar privačių asmenų asmens duomenis, nacionalinės teisės aktų leidėjas gali pagrįstai remtis tuo, kad jų atskleidimas pažeistų asmenines teises ir kad esama apsaugos poreikio, kurį reikia pasverti atsižvelgiant į skundo pateikėjo teisę susipažinti su duomenimis.
2)      Priežiūros institucijų tinkamo veikimo ir nepriklausomumo apsauga
73.      Tinkamo priežiūros institucijų veikimo ir sprendimų priėmimo nepriklausomumo išsaugojimas taip pat yra teisėtas tikslas, kaip tai suprantama pagal BDAR 23 straipsnio 1 dalį. Iš tikrųjų Sąjungos teisės aktų leidėjas suteikia joms esminį vaidmenį Europos duomenų apsaugos sistemoje, kaip tai rodo, pirma, šio reglamento 52 straipsnis, kuriuo užtikrinamas visiškas jų nepriklausomumas ir, antra, minėto reglamento 57 ir 58 straipsniuose numatytų tyrimo įgaliojimų ir įgaliojimų imtis taisomųjų priemonių apimtis(32). Šiuo klausimu Teisingumo Teismas savo jurisprudencijoje pažymėjo, kad tinkamas šių institucijų veikimas turi būti garantuotas, be kita ko, užtikrinant, kad joms nebūtų trukdoma veikti paduodant akivaizdžiai nepagrįstus ar neproporcingus skundus, kaip tai suprantama pagal BDAR 57 straipsnio 4 dalį(33).
74.      Taigi, taip pat atsižvelgiant į BDAR 23 straipsnio 1 dalies h punktą, pagal kurį leidžiama nustatyti apribojimus, kai jie būtini su viešosios valdžios funkcijų vykdymu susijusioms „stebėsenos“ ir „tikrinimo“ užduotims vykdyti, teisės susipažinti su duomenimis apribojimas iš esmės gali būti pateisinamas. Be to, turint omenyje esamus panašumus, taip pat reikia atsižvelgti į BDAR 23 straipsnio 1 dalies f punkte nurodytą ir šio reglamento 73 konstatuojamojoje dalyje sukonkretintą tikslą užtikrinti teismų nepriklausomumą ir teismo proceso apsaugą. Žinoma, priežiūros institucijos nepriklauso teismų sistemai; vis dėlto, kaip ir valstybės institucijos, atsakingos už teisės taikymą, jos atlieka labai svarbų vaidmenį atskleidžiant asmens duomenų apsaugos teisės pažeidimus ir baudžiant už juos. Vadinasi, bet kuriuo atveju šią nuostatą galima taikyti pagal analogiją.
3)      Visuomenės saugumo užtikrinimas
75.      Išsamumo sumetimais reikėtų pažymėti, kad nutartyje dėl prašymo priimti prejudicinį sprendimą kaip galimas pateisinimo pagrindas taip pat nurodytas visuomenės saugumo užtikrinimas, kaip tai suprantama pagal BDAR 23 straipsnio 1 dalies c punktą, tačiau nepateikiama tikslesnės informacijos. Vis dėlto reikėtų pritarti prašymą priimti prejudicinį sprendimą pateikusio teismo ir Komisijos vertinimui, kad tokiu pagrindu nepagrįsta remtis. Atsižvelgiant į prašymą priimti prejudicinį sprendimą pateikusio teismo nurodytas pagrindinės bylos faktines aplinkybes, toks apribojimas akivaizdžiai neatrodo reikšmingas. Taigi toliau pateikta analizė neapims šio pateisinimo pagrindo.
b)      BDAR reglamentavimo sistemos reikalavimai
76.      Viena vertus, reikia konstatuoti, kad į interesą, susijusį su trečiųjų asmenų asmens duomenų konfidencialumu, tinkamai atsižvelgiama nacionalinės teisės aktuose, kaip antai BayDSG 20 straipsnio 2 dalyje, nes jais kategoriškai draudžiamas tokių duomenų atskleidimas. Be to, negalima atmesti galimybės, kad priežiūros institucijų nebendradarbiavimas nagrinėjant prašymus leisti susipažinti su duomenimis gali lemti žmogiškųjų ir materialinių išteklių perskirstymą į kitas veiklos sritis ir dėl to atitinkamais atvejais gali kažkiek padidėti veiksmingumas.
77.      Kita vertus, esant tokioms aplinkybėms, kyla abejonių dėl jų suderinamumo su Sąjungos teisės aktų leidėjo priimant BDAR nustatyta normine sistema, visų pirma su bendra šio reglamento sistema, grindžiama kelių interesų pusiausvyra: duomenų tvarkymo skaidrumo, konfidencialumo išsaugojimo, kai tai būtina, ir priežiūros institucijų užtikrinamos veiksmingos šių interesų apsaugos. Taigi nacionalinės teisės aktai, kuriuose tinkamai neatspindėtas šių interesų pasvėrimas, negali atitikti BDAR 23 straipsnio 1 dalies reikalavimų. Tas pats pasakytina ir tuo atveju, kai atrodo, kad gali būti numatytos priemonės, mažiau ribojančios pagrindines teises, tačiau vienodai veiksmingos užsibrėžtiems tikslams pasiekti(34).
78.      Šiuo klausimu
reikėtų pažymėti, kad BDAR 15 straipsnyje numatyta teisė susipažinti su duomenimis buvo įtvirtinta kaip esminė skaidrumo principo sudedamoji dalis. Šis kvalifikavimas aiškiai matyti iš šio reglamento 63 konstatuojamosios dalies, pagal kurią duomenų subjektas turi turėti galimybę „žinot[i] apie duomenų tvarkymą“, kad būtų užtikrintas pagal minėtą reglamentą jam suteiktų teisių veiksmingumas. Teisingumo Teismas ne kartą patvirtino šią sampratą, pažymėjęs, kad tuo pačiu reglamentu nustatytoje bendroje sistemoje teisė susipažinti su duomenimis užima pagrindinę vietą. Taigi nacionalinės teisės nuostata, pagal kurią iš duomenų subjekto bendrai ir nediferencijuotai atimama ši teisė, pažeidžia pačią Sąjungos teisės aktų leidėjo nustatytos apsaugos sistemos esmę.
79.      Nors BDAR 23 straipsnyje išties leidžiama dėl viešojo intereso priežasčių apriboti duomenų subjektų teises, įskaitant teisę susipažinti su duomenimis, jame kartu reikalaujama, kad tokie apribojimai būtų pagrįsti pakankamai tiksliu teisiniu pagrindu. Šiame pagrinde turi būti aiškiai apibrėžtas apribojimo pobūdis, taikymo sritis ir ribos, taip pat būtinos apsaugos priemonės, kad būtų išvengta piktnaudžiavimo rizikos. Šiuo klausimu šio reglamento 41 konstatuojamojoje dalyje nurodyta, kad bet koks šiuo reglamentu užtikrinamos teisės apribojimas turi būti „aiškus ir tikslus“ ir jo taikymas turi būti „numatomas“ duomenų subjektui, kuris turi galėti nustatyti galimų jo teisių apibojimų mastą(35). Nacionalinė nuostata, kurioje numatyta visiškai nesuteikti teisės susipažinti su duomenimis, nenustačius jos taikymo srities ratione materiae ar ratione personae ir nenumačius apsaugos priemonių, negali atitikti tokių reikalavimų.
80.      Be to, BDAR 60 konstatuojamojoje dalyje primenama, kad skaidrumas yra pagrindinis asmens duomenų tvarkymo principas, taikomas ir valdžios institucijų veiksmams. Nors tam tikra informacija gali būti laikinai neteikiama vykstant skundų nagrinėjimo procedūrai, visų pirma siekiant nepakenkti pažeidimų prevencijai, atskleidimui ar tyrimui(36), tokia išlyga turi išlikti griežtai būtina ir proporcinga ir dėl jos negali būti visiškai panaikintas skaidrumas duomenų subjekto atžvilgiu. Taigi BDAR sistemą pažeidžia nacionalinės teisės nuostata, pagal kurią nėra leidžiamas joks susipažinimas su duomenimis, neišskiriant asmens duomenų ir vidaus dokumentų.
81.      Teisingumo Teismas dėl Chartijos 52 straipsnio 1 dalies taip pat yra nusprendęs, kad galimi pagrindinės teisės apribojimai turi atitikti ne tik teisėtumo ir proporcingumo principus, bet ir principą, pagal kurį įpareigojama nekeisti aptariamos teisės „esmės“(37). BDAR 4 konstatuojamojoje dalyje pakartotinai patvirtinama, kad asmens duomenų apsauga yra pagrindinė teisė, įtvirtinta Chartijos 8 straipsnyje, ir ji gali būti ribojama tik laikantis proporcingumo principo. Vis dėlto visiškas teisės susipažinti su duomenimis nesuteikimas reiškia, kad pakeičiama pati šios duomenų subjekto teisės esmė ir jam užkertamas kelias net minimaliai kontroliuoti su juo susijusį duomenų tvarkymą.
82.      BDAR 75 konstatuojamojoje dalyje papildomai pabrėžiama, kad skaidrumo nebuvimas ar nepakankamas skaidrumas savaime kelia pavojų, galintį smarkiai paveikti duomenų subjektų teises ir laisves. Teisės aktai, kuriais iš duomenų subjekto visiškai atimama galimybė žinoti apie dėl jo atliekamą duomenų tvarkymą, būtent ir sukuria pavojingą situaciją, kuriai teisės aktų leidėjas siekė užkirsti kelią.
83.      Reikėtų pridurti, kad BDAR 129 konstatuojamojoje dalyje priežiūros institucijos apibrėžiamos kaip nepriklausomos įstaigos, atsakingos už reglamento vykdymo užtikrinimą ir duomenų subjektų teisių apsaugą. Vis dėlto ši užduotis, kaip ir šių institucijų vieta BDAR nustatytame kontrolės mechanizme, nereiškia, kad jos atleidžiamos nuo visų iš jo kylančių pareigų. Atvirkščiai, BDAR sukuriama nuosekli teisinė sistema, pagal kurią priežiūros institucijoms, nors jos naudojasi savo įgaliojimais, ir toliau visapusiškai taikomos jame nustatytos taisyklės, be kita ko, susijusios su duomenų subjektų teisėmis. Nacionalinė nuostata, pagal kurią visiškai neleidžiama atskleisti su duomenų subjektu susijusių duomenų, kelia pavojų tokiai pusiausvyrai ir pažeidžia priežiūros institucijoms tenkantį atsakomybės reikalavimą.
84.      Be to, absoliutus teisės susipažinti su duomenimis nesuteikimas atrodo nesuderinamas su BDAR siekiamu tikslu užtikrinti aukštą fizinių asmenų duomenų apsaugos lygį, kaip tai pažymėta šio reglamento 10 konstatuojamojoje dalyje(38). Šis apsaugos lygis iš esmės grindžiamas skaidrumu ir duomenų subjekto galimybe kontroliuoti su juo susijusias duomenų tvarkymo operacijas. Minėto reglamento 15 straipsnyje numatyta teisė susipažinti su duomenimis šiuo tikslu yra būtinas elementas, nes ja grindžiamas veiksmingas visų kitų duomenų subjektų teisių įgyvendinimas(39). Bendrai nesuteikus šios teisės, tam tikram duomenų tvarkymui išvis nebūtų taikoma individuali kontrolė ir taip būtų pakenkta aukšto apsaugos lygio, kurio norėjo Sąjungos teisės aktų leidėjas, veiksmingumui.
85.      Kalbant apie tikslą apsaugoti trečiųjų asmenų teises ir laisves, kuriuo remiamasi siekiant pateisinti teisės susipažinti su duomenimis apribojimą, reikėtų priminti, kad Teisingumo Teismas yra nusprendęs, jog, kilus prieštaravimui tarp teisės susipažinti su duomenimis ir kitų asmenų teisių ar laisvių, valdžios institucijos turi pasverti esamus interesus. Iš BDAR 63 konstatuojamosios dalies aiškiai matyti, kad toks teisių pasvėrimas jokiu būdu negali pateisinti visiško prieigos atėmimo(40). Specialiai pritaikytos taisyklės, pavyzdžiui, dalinis atskleidimas, duomenų užtušavimas arba nuasmeninimas, pranešėjų tapatybės apsauga, skirtingas duomenų tvarkymas pagal dokumentų kategorijas arba neindividualizuotos struktūrinės informacijos atskleidimas, leidžia suderinti atitinkamus interesus, visiškai nepanaikinant teisės susipažinti su duomenimis.
86.      Kiek tai susiję su nurodyta būtinybe užtikrinti nepriklausomą ir veiksmingą priežiūros institucijų užduočių vykdymą, neatrodo, kad BDAR 15 straipsnyje numatytos teisės susipažinti su duomenimis įgyvendinimas galėtų pakenkti šiam tikslui. Reikėtų pritarti prašymą priimti prejudicinį sprendimą pateikusio teismo vertinimui, pagal kurį priežiūros institucijų nepriklausomumas visiškai nereiškia, kad jų atliekamo asmens duomenų tvarkymo teisėtumui neturi būti taikoma duomenų subjekto kontrolė. Taigi reikia atmesti Landesamt nurodytą galimos „įtakos“, kurią gali paskatinti susipažinimas su informacija, grėsmę.
87.      Be to, kaip nurodyta šioje išvadoje, BDAR 15 straipsnyje nenustatyta bendra teisė susipažinti su bylos medžiaga(41), vadinasi, dėl to atsirandanti administracinė našta turėtų išlikti nedidelė. Nepaisant to, reikia pažymėti, kad šio reglamento 12 straipsnio 5 dalyje priežiūros institucijoms numatyta tinkama priemonė, kad jos galėtų reaguoti į piktnaudžiaujamojo pobūdžio ar neproporcingus prašymus(42). Jos taip pat turi teisę imtis įvairių valdymo priemonių, pavyzdžiui, laikinai neteikti informacijos vykstant procesui, neatskleisti tam tikrų vidaus dokumentų, atskirti įvairių rūšių procedūras, perduoti tik informaciją apie jau užbaigtus etapus arba nustatyti organizacinius mechanizmus, kuriais užtikrinama, kad prašymai susipažinti su duomenimis netrikdytų vidaus procesų. Tokios priemonės leidžia užtikrinti tinkamą priežiūros institucijų veikimą, kartu visiškai neatmetant BDAR 15 straipsnyje numatytos teisės susipažinti su duomenimis.
88.      Taip pat svarbu priminti, kad priežiūros institucijų veiksmingumas iš esmės priklauso nuo to, ar joms suteikiamos būtinos priemonės, t. y. žmogiškieji, techniniai ir finansiniai ištekliai, patalpos ir infrastruktūra, būtini siekiant veiksmingai vykdyti jų užduotis ir įgaliojimus(43). BDAR 52 straipsnio 4 dalyje aiškiai reikalaujama, kad valstybės narės užtikrintų tokį finansavimą. Atsižvelgiant į tai, priežiūros institucijų funkcionalumo klausimo negalima susiaurinti iki BDAR 15 straipsniu grindžiamų prašymų leisti susipažinti su duomenimis skaičiaus. Dėl nepakankamo institucijų finansavimo jokiu būdu neturėtų sumažėti asmens duomenų apsaugos lygis.
89.      Iš nutarties dėl prašymo priimti prejudicinį sprendimą matyti, kad BayDSG 20 straipsnio 2 dalis Vokietijos teisės sistemoje yra išskirtinė, nes nė vienoje kitoje federalinėje žemėje nenumatyta panašios teisės susipažinti su dokumentais išimties. Toks išskyrimas norminiu lygmeniu yra svarbus požymis, kad tokio masto apribojimas negali būti laikomas būtinu ar proporcingu, kaip tai suprantama pagal BDAR 23 straipsnio 1 dalį. Kadangi visos kitos priežiūros institucijos vykdo savo užduotis nesiimdamos bendrai panaikinti duomenų subjektų teisių, sunku teigti, kad tokia priemonė būtų būtina tinkamam institucijos veikimui arba trečiųjų asmenų teisių apsaugai. Neatrodo, kad vos vienos federalinės žemės teisės aktai, kuriais BDAR užtikrinamos teisės yra apribotos daug labiau nei kitose šalies teritorijos dalyse, atitinka iš Sąjungos teisės kylančius nuoseklumo, būtinumo ir proporcingumo reikalavimus.
90.      Taigi reikia konstatuoti, kad, kiek tai susiję su dviem nurodytais tikslais – trečiųjų asmenų teisių apsaugos ir tinkamo priežiūros institucijų užduočių vykdymo užtikrinimo – mažiau ribojančios, diferencijuotos ir Sąjungos teisę atitinkančios priemonės leidžia pasiekti norimus rezultatus, nepakeičiant teisės susipažinti su duomenimis esmės, nepanaikinant reikalaujamo skaidrumo duomenų subjekto atžvilgiu ir neribojant galimybės patikrinti atlikto duomenų tvarkymo teisėtumą.
91.      Kitas esminis aspektas yra tas, kad BayDSG 20 straipsnio 2 dalis neleidžia nustatyti nacionalinės teisės aktų leidėjo siekiamo tikslo. Kaip matyti iš prašymą priimti prejudicinį sprendimą pateikusio teismo pateiktos informacijos, parengiamuosiuose dokumentuose kaip teisinis pagrindas nurodomas tik BDAR 23 straipsnis, tačiau nenurodytas nė vienas iš šioje nuostatoje išvardytų tikslų. BDAR 23 straipsnyje reikalaujama, kad apribojimo tikslas būtų aiškiai matomas iš pačios nuostatos, o tai yra būtina veiksmingos būtinumo ir proporcingumo principų laikymosi kontrolės sąlyga.
92.      Šio aiškumo reikalavimo negalima patenkinti, kai pagal SESV 267 straipsnį vykdomos prejudicinio sprendimo procedūros šalis ex post pateikia pateisinimus, ypač kai ši šalis yra ta, kuriai nagrinėjamas apribojimas yra naudingas. Jei tokia galimybė būtų pripažinta, demokratiškai atsakingo teisės aktų leidėjo valia būtų pakeista per teismo procesą išplėtotais argumentais, o tai būtų nesuderinama su nuspėjamumo, teisės aktų skaidrumo ir teisinio saugumo reikalavimais, kylančiais iš BDAR 23 straipsnio 1 ir 2 dalių.
93.      Šiomis aplinkybėmis darytina išvada, kad bendras ir nediferencijuotas teisės susipažinti su duomenimis nesuteikimas, kaip antai numatytas BayDSG 20 straipsnio 2 dalyje, neatitinka BDAR 23 straipsnio reikalavimų, nes nėra nė vieno iš elementų, kurių aiškiai reikalaujama pagal jo 2 dalį, ir juo nepaisoma nei šio reglamento sistemos, nei tikslo, kurie matyti iš bylai reikšmingų konstatuojamųjų dalių. Tokia nuostata atrodo neproporcinga, nepakankamai apibrėžta ir dėl jos teisė susipažinti su duomenimis netektų savo esmės.
3.      Tarpinė išvada
94.      Dėl pirma nurodytų priežasčių manau, kad BDAR 23 straipsnis turi būti aiškinamas taip, kad pagal jį draudžiamos nacionalinės teisės nuostatos, kaip antai
BayDSG 20 straipsnio 2 dalis, nes pagal ją nesuteikiama pačios šio reglamento 15 straipsniu grindžiamos teisės susipažinti su duomenimis, kuria būtų galima remtis prieš priežiūros instituciją.
VI.    Išvada
95.      Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į Bayerisches Verwaltungsgericht Ansbach (Bavarijos Ansbacho administracinis teismas, Vokietija) pateiktus prejudicinius klausimus:
1.      2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 15 straipsnis, siejamas su jo 4 straipsnio 7 punktu,
turi būti aiškinamas taip:
priežiūros institucija, kaip ji suprantama pagal šio reglamento 4 straipsnio 21 punktą, kai ji veikia vykstant
minėto reglamento 77 straipsniu grindžiamai skundų nagrinėjimo procedūrai, taip pat turi „duomenų valdytojo“ statusą, kaip tai suprantama pagal šį reglamentą, todėl privalo užtikrinti duomenų subjektui Reglamento 2016/679 15 straipsnyje numatytą teisę susipažinti su duomenimis.
2.      Reglamento 2016/679 23 straipsnis
turi būti aiškinamas taip:
pagal jį draudžiama nacionalinės teisės nuostata, kaip antai numatyta Bavarijos duomenų apsaugos įstatymo 20 straipsnio 2 dalyje, pagal kurią nesuteikiama pačios šio reglamento 15 straipsniu grindžiamos teisės susipažinti su duomenimis, kuria būtų galima remtis prieš Bavarijos duomenų apsaugos instituciją.
1      Originalo kalba – prancūzų.
2      OL L 119, 2016, p. 1.
3      Žr. šios išvados 24 ir paskesnius punktus.
4      Žr. šios išvados 65 ir paskesnius punktus.
5      Žr. 2019 m. liepos 29 d. Sprendimą Fashion ID (C‑40/17, EU:C:2019:629, 65 ir 66 punktai).
6      Teisingumo Teismas netgi yra nusprendęs, kad fizinis ar juridinis asmuo, kuris siekdamas savo tikslų daro įtaką asmens duomenų tvarkymui ir dėl to dalyvauja nustatant tokio tvarkymo tikslus ir priemones, gali būti laikomas „duomenų valdytoju“ (žr. 2018 m. liepos 10 d. Sprendimo Jehovan todistajat, C‑25/17, EU:C:2018:551, 68 punktą ir 2019 m. liepos 29 d. Sprendimo Fashion ID, C‑40/17, EU:C:2019:629, 68 punktą).
7      BDAR aiškiai neapibrėžta, kas yra „skundas“, tačiau pirmoji informacija apie tai pateikiama 77 straipsnio tekste. Pagal Europos duomenų apsaugos valdybos (EDAV) gaires skundas – tai fizinio asmens, kurio tapatybė nustatyta, arba 80 straipsnio reikalavimus atitinkančios įstaigos priežiūros institucijai pateiktas skundas, kuriame manoma, kad tvarkant šio asmens duomenis pažeidžiamas BDAR. EDAV patikslina, kad ši sąvoka apima ne tik III skyriuje numatytų teisių pažeidimus, bet ir apskritai kiekvieną reglamento pažeidimą, padarytą dėl skundo pateikėjo asmens duomenų tvarkymo (EDAV, Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, 2020 m. gruodžio 15 d., p. 3).
8      Žr. 2023 m. gruodžio 7 d. Sprendimą SCHUFA Holding (Atleidimas nuo likusių skolų) (C‑26/22 ir C‑64/22, EU:C:2023:958, 58 punktas) ir 2024 m. rugsėjo 26 d. Sprendimą Land Hessen (Duomenų apsaugos institucijos pareiga imtis veiksmų) (C‑768/21, EU:C:2024:785, 35 punktas), taip pat 2025 m. sausio 9 d. Sprendimą Österreichische Datenschutzbehörde (Pertekliniai prašymai) (C‑416/23, EU:C:2025:3, 39 punktas).
9      Žr. 2020 m. gruodžio 10 d. ELPA teismo sprendimą Adpublisher AG /
J & K (sujungtos bylos E‑11/19 ir E‑12/19, 45 punktas).
10      Žr. 2015 m. spalio 6 d. Sprendimą Schrems (C‑362/14, EU:C:2015:650, 63 punktas); 2020 m. liepos 16 d. Sprendimą Facebook Ireland ir Schrems (C‑311/18, EU:C:2020:559, 107 punktas), 2023 m. gruodžio 7 d. Sprendimą SCHUFA Holding (Atleidimas nuo likusių skolų) (C‑26/22 ir C‑64/22, EU:C:2023:958, 56 punktas) ir 2024 m. rugsėjo 26 d. Sprendimą Land Hessen (Duomenų apsaugos institucijos pareiga imtis veiksmų) (C‑768/21, EU:C:2024:785, 32 punktas).
11      Šiomis aplinkybėmis reikėtų priminti generalinio advokato P. Pikamäe išvadą sujungtose bylose SCHUFA Holding (Atleidimas nuo likusių skolų) (C‑26/22 ir C‑64/22, EU:C:2023:222, 42 punktas); joje jis pabrėžė, kad Sąjungos teisės aktų leidėjas neketino skundų nagrinėjimo procedūros paversti tiesiog peticijos nagrinėjimo procedūra. Atvirkščiai, atrodo, kad teisės aktų leidėjo tikslas buvo sukurti mechanizmą, galintį veiksmingai apsaugoti skundų pateikėjų teises ir interesus. Konkrečiai kalbant, BDAR 57 straipsnio 1 dalies f punkte nustatytos pareigos, kurios priežiūros institucijai tenka nagrinėjant šiuos skundus ir kurioms taikomas „gero administravimo“ principas, patvirtina teisės aktų leidėjo norą, kad tai būtų „tikra administracinė teisių gynimo priemonė“.
12      Žr. 2024 m. rugsėjo 26 d. Sprendimą Land Hessen (Duomenų apsaugos institucijos pareiga imtis veiksmų) (C‑768/21, EU:C:2024:785, 42 punktas).
13      Žr. 2023 m. gruodžio 7 d. Sprendimą SCHUFA Holding (Atleidimas nuo likusių skolų) (C‑26/22 ir C‑64/22, EU:C:2023:958, 70 punktas) ir 2024 m. rugsėjo 26 d. Sprendimą Land Hessen (Duomenų apsaugos institucijos pareiga imtis veiksmų) (C‑768/21, EU:C:2024:785, 49 punktas).
14      Sąjungos teisėje nėra vienodų nuostatų, susijusių su konkrečiu priežiūros institucijų atliekamu skundų nagrinėjimu. Todėl valstybių narių administracinė praktika šiek tiek skiriasi. Vis dėlto EDAV, rengdama gaires ir kaupdama „gerosios praktikos“ pavyzdžius, siekia užtikrinti priežiūros veiklos ir procedūrinių taisyklių tam tikro lygio suderinimą, visų pirma kiek tai susiję su skundų priėmimu ar archyvavimu, draugiškų susitarimų sudarymu ir pan. (šiuo klausimu žr. EDAV Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, priimtas 2020 m. gruodžio 15 d.)
15      Kaip ELPA teismas pažymėjo savo 2020 m. gruodžio 10 d. Sprendime Adpublisher AG /
J & K (sujungtos bylos E‑11/19 ir E‑12/19, 60 punktas), priežiūros institucija pagal BDAR 57 straipsnio 1 dalies h punktą yra įgaliota pradėti tyrimus savo iniciatyva. Todėl nagrinėdama skundą ji gali priimti sprendimą dėl kitų reikalavimų ar ginčo dalyko nei tie, kuriuos nurodė skundo pateikėjas. Tam, kad skundų nagrinėjimo procedūra būtų veiksminga, priežiūros institucija, naudodamasi savo tyrimo įgaliojimais, neturi apsiriboti tuo, kaip skundo pateikėjas savo skunde suformulavo atitinkamus teisės klausimus.
16      Atrodo, kad priežiūros institucijos nagrinėja skundus remdamosi nacionalinės teisės nuostatomis arba pagal savo diskreciją. Be to, atrodo, kad yra skirtumų, susijusių su skundų nagrinėjimu pagal pragmatinius kriterijus ir taikant supaprastintą procedūrą (šiuo klausimu žr. González Fuster, G. ir kt., „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR“, Access Now, Open Universiteit, 2022, p. 30).
17      Žr. 2024 m. sausio 11 d. Sprendimą État belge (Oficialiojo leidinio tvarkomi duomenys) (C‑231/22, EU:C:2024:7, 39 punktas) ir 2025 m. vasario 27 d. Sprendimą Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, 49 punktas).
18      Teisingumo Teismo prašymu Landesamt apibūdino savo administracinę skundų nagrinėjimo praktiką. Šiuo klausimu ji patikslino, kad skundų pateikėjai gali teikti prašymus, įskaitant elektroninius, kompetentingiems Landesamt tarnautojams ir prašyti leisti susipažinti su bylos medžiaga. Iš šio paaiškinimo aiškiai matyti, kad taisyklės, pagal kurias Landesamt nagrinėja skundus, be kita ko, kiek tai susiję su renkamais duomenimis, taikomomis organizacinėmis priemonėmis ir atliekamais tyrimais, siejamos su jai pagal BDAR suteikta autonomija vykdant savo užduotis.
19      Möhle, J.-P., „Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht, Die Öffentliche Verwaltung“, 2023, Nr. 3, p. 108, paaiškina, kad tik asmuo, faktiškai galintis daryti įtaką, gali būti įpareigotas vykdyti iš duomenų apsaugos teisės kylančias pareigas (pavyzdžiui, informavimo, atsakomybės ar bendradarbiavimo pareigas), t. y. tokią, kuri gali užkirsti kelią būsimiems duomenų apsaugos taisyklių pažeidimams. Mano nuomone, nekyla jokių abejonių, kad per skundų nagrinėjimo procedūrą tokią apibrėžtį gali atitikti tik priežiūros institucija.
20      Kaip yra nusprendęs Teisingumo Teismas, tikslas, kurio siekiama plačiai apibrėžiant sąvoką „duomenų valdytojas“, yra būtent užtikrinti veiksmingą ir visapusišką duomenų subjektų apsaugą (žr. 2014 m. gegužės 13 d. Sprendimo Google Spain ir Google, C‑131/12 [EU:C:2014:317, 34 punktą; 2019 m. liepos 29 d. Sprendimo Fashion ID, C‑40/17, EU:C:2019:629, 66 punktą; 2018 m. birželio 5 d. Sprendimo Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, 28 punktą).
21      Šiuo klausimu žr. Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG“, GRUR-Prax, 2025, Nr. 9, p. 324.
22      Žr. 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501, 50 punktas).
23      Žr. 2023 m. gegužės 4 d. Sprendimą
Österreichische Datenschutzbehörde ir CRIF (C‑487/21, EU:C:2023:369, 33 ir 34 punktai).
24      Žr. 2023 m. gegužės 4 d. Sprendimą Österreichische Datenschutzbehörde ir CRIF (C‑487/21, EU:C:2023:369, 41 punktas).
25      Žr. 2017 m. gruodžio 20 d. Sprendimą Nowak (C‑434/16, EU:C:2017:994, 57 punktas); 2023 m. sausio 12 d. Sprendimą Österreichische Post (Informacija apie asmens duomenų gavėjus) (C‑154/21, EU:C:2023:3, 38 punktas) ir 2023 m. gegužės 4 d. Sprendimą Österreichische Datenschutzbehörde ir CRIF (C‑487/21, EU:C:2023:369, 35 punktas).
26      Zanfir-Fortuna, G., „Article 15. Right of access by the data subject“, Kuner, C., Bygrave, L. A. &
Docksey, C. (red.), „The EU General Data Protection Regulation (GDPR): A Commentary“, Oxford 2020, p. 452, pažymi, kad teisę susipažinti su savo asmens duomenimis, įtvirtintą BDAR 15 straipsnyje, svarbu atskirti nuo teisės susipažinti su vieša informacija. Šios dvi teisės grindžiamos skirtingais reglamentavimo tikslais: pirmuoju atveju siekiama užtikrinti skaidrumą asmens, kurio duomenis renka ir tvarko duomenų valdytojas, atžvilgiu (skaidrumas inter partes), o antruoju atveju siekiama užtikrinti skaidrumą visuomenei, susijusį su visuomenei reikšminga ar svarbia informacija (skaidrumas erga omnes).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia“, Juridical Tribune – Review of Comparative and International Law, vol. 13, Nr. 2 (2023), p. 210, kuris nurodo galiojančius įstatymus dėl laisvės susipažinti su informacija.
28      Schemmer, F., „Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen“, Zeitschrift für das gesamte Informationsrecht, 2024, Nr. 5, p. 210.
29      Žr. 2007 m. kovo 6 d. Sprendimą Placanica ir kt. (C‑338/04, C‑359/04 ir C‑360/04, EU:C:2007:133, 34 punktas) ir 2022 m. birželio 21 d. Sprendimą Ligue des droits humains (C‑817/19, EU:C:2022:491, 240 punktas).
30      Žr. 2001 m. spalio 25 d. Sprendimą Ambulanz Glöckner (C‑475/99, EU:C:2001:577, 10 punktas) ir 2024 m. lapkričio 14 d. Sprendimą S. (Teismo sudėties keitimas) (C‑197/23, EU:C:2024:956, 43 punktas).
31      Žr. 2020 m. liepos 16 d. Sprendimą Facebook Ireland ir Schrems (C‑311/18, EU:C:2020:559, 172 punktas), 2023 m. sausio 12 d. Sprendimą Österreichische Post (Informacija apie asmens duomenų gavėjus) (C‑154/21, EU:C:2023:3, 47 punktas) ir 2024 m. kovo 21 d. Sprendimą Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, 75 punktas).
32      Giurgiu, A. ir Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More „European“
DPAs as Guardians of Consistency?“, European Data Protection Law Review, Nr. 3 (2016), p. 352; šie autoriai mano, kad priežiūros institucijos dėl savo centrinio vaidmens prižiūrint ir taikant BDAR numatytas duomenų apsaugos taisykles yra pagrindiniai asmenų teises užtikrinantys subjektai. Jie pabrėžia, kad šioms institucijoms svarbu suteikti pakankamų tiek personalo, tiek finansinių išteklių, kad jos galėtų veiksmingai vykdyti savo užduotis.
33      Žr. 2025 m. sausio 9 d. Sprendimą Österreichische Datenschutzbehörde (Pertekliniai prašymai) (C‑416/23, EU:C:2025:3, 40 punktas).
34      Žr. 2022 m. rugpjūčio 1 d. Sprendimą Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, 85 punktas).
35      Žr. 2022 m. vasario 24 d. Sprendimą Valsts ieņēmumu dienests (Asmens duomenų tvarkymas mokesčių tikslais) (C‑175/20, EU:C:2022:124, 56 punktas).
36      Šiuo klausimu žr. EDAV 2021 m. spalio 13 d. priimtų „Guidelines 10/2020 on restrictions under Article 23 GDPR“ (2.1 versija) 65–67 ir 82 punktus, kuriuose rekomenduojami laikini tam tikrų duomenų subjektams priklausančių teisių įgyvendinimo apribojimai, kad nebūtų pakenkta administraciniams tyrimams.
37      Žr. 2014 m. balandžio 8 d. Sprendimą Digital Rights Ireland ir kt. (C‑293/12 ir C‑594/12, EU:C:2014:238, 38 punktas), 2015 m. spalio 6 d. Sprendimą Schrems (C‑362/14, EU:C:2015:650, 94 punktas), 2020 m. liepos 16 d. Sprendimą Facebook Ireland ir Schrems (C‑311/18, EU:C:2020:559, 174 punktas) ir 2020 m. spalio 6 d. Sprendimą La Quadrature du Net ir kt. (C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 121 punktas).
38      Teisingumo Teismas savo suformuotoje jurisprudencijoje priminė šį tikslą ir pabrėžė, kad asmens duomenų apsauga užtikrinama tiek SESV 16 straipsniu, tiek Chartijos 8 straipsniu, ir taip įtvirtino šią teisę dviejose Sąjungos pirminės teisės nuostatose (žr. 2023 m. sausio 12 d. Sprendimo Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 43 punktą).
39      Žr. 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501, 53 ir paskesni punktai).
40      Žr. 2023 m. gegužės 4 d. Sprendimą Österreichische Datenschutzbehörde ir CRIF (C‑487/21, EU:C:2023:369, 44 punktas).
41      Žr. šios išvados 59 ir paskesnius punktus.
42      Žr. 2023 m. sausio 12 d. Sprendimą Österreichische Post(Informacija apie asmens duomenų gavėjus) (C‑154/21, EU:C:2023:3, 49 punktas). Kaip pažymėjo Teisingumo Teismas, duomenų valdytojas turi įrodyti, kad prašymas leisti susipažinti su duomenimis yra akivaizdžiai nepagrįstas ar neproporcingas, kaip tai suprantama pagal BDAR 12 straipsnio 5 dalį.
43      Šiuo klausimu žr. Europos Sąjungos pagrindinių teisių agentūros (FRA) dokumentą „GDPR in practice – Experiences of Data Protection Authorities“, Liuksemburgas, 2024 m. birželio 11 d., p. 21; jame rašoma, kad pastaraisiais metais priežiūros institucijoms „apskritai nepakanka“ išteklių. Komisijai atlikus pirmąjį BDAR taikymo vertinimą, Europos Parlamentas priėmė rezoliuciją, kurioje valstybės narės raginamos laikytis BDAR 52 straipsnio 4 dalyje nustatytos pareigos aprūpinti savo priežiūros institucijas pakankamais ištekliais, kad jos galėtų kuo geriau vykdyti savo užduotis ir užtikrinti vienodas BDAR taikymo Europos lygmeniu sąlygas.