Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
JEAN RICHARD DE LA TOUR
4 päivänä syyskuuta 2025(1)
Asia C‑414/24
Datenschutzbehörde,
G S
jossa asian käsittelyyn osallistuvat
Bundesministerin für Justiz,
D GmbH
(Ennakkoratkaisupyyntö – Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta))
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 77 ja 79 artikla – Oikeussuojakeinot – Oikeussuojakeinojen rinnakkainen käyttö – Hallintokantelun ja tuomioistuimessa käytettävän oikeussuojakeinon
yhteennivoutuminen – Jäsenvaltioiden menettelyllinen itsemääräämisoikeus – Tehokkuusperiaate
I       Johdanto
1.        Nyt käsiteltävä ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus)(2) 77 artiklan 1 kohdan ja 79 artiklan 1 kohdan tulkintaa.
2.        Tämä pyyntö on esitetty oikeusriidassa, jossa ovat vastakkain tohtori GS (jäljempänä GS) ja Österreichische Datenschutzbehörde (tietosuojaviranomainen, Itävalta) (jäljempänä DSB) ja joka koskee sitä, että DSB hylkäsi GS:n sille tekemän kantelun sillä perusteella, että tämä oli aiemmin saattanut saman asian käsiteltäväksi tuomioistuimessa.
3.        Tämä ennakkoratkaisupyyntö on jatkoa 12.1.2023 annetulle tuomiolle Nemzeti Adatvédelmi és Információszabadság Hatóság,[(3)] jossa unionin tuomioistuin totesi, että yhtäältä yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta tämän asetuksen 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja voidaan käyttää samanaikaisesti ja itsenäisesti. Tämä 77 artiklan 1 kohta liittyy oikeuteen tehdä kantelu valvontaviranomaiselle(4) ja 78 artiklan 1 kohta koskee oikeutta oikeussuojakeinoihin tuomioistuimessa tämän viranomaisen päätöstä vastaan. Sitä vastoin 79 artiklan 1 kohta koskee oikeutta oikeussuojakeinoihin tuomioistuimessa rekisterinpitäjää tai henkilötietojen käsittelijää vastaan.
4.        Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta), joka on ennakkoratkaisua pyytänyt tuomioistuin, pyytää unionin tuomioistuimelta täsmennyksiä näiden oikeussuojakeinojen yhteennivoutumisesta ja tarkemmin sanoen siitä, voiko valvontaviranomainen hylätä kantelun, jos tuomioistuimessa on aikaisemmin nostettu kanne, jolla on sama kohde, vaikka tämä oikeudenkäynti on vielä vireillä tai siinä yhteydessä annettu ratkaisu ei ole vielä lainvoimainen.
5.        Tämän kysymyksen tarjoama haaste on merkittävä, kun otetaan huomioon unionin lainsäätäjän tahto yhtäältä asettaa valvontaviranomaiselle erityinen huolellisuusvelvollisuus ja toisaalta vahvistaa Euroopan unionin perusoikeuskirjan(5) 47 artiklassa määrättyä oikeutta tehokkaaseen oikeussuojaan tuomioistuimessa.
6.        Ehdotan tässä ratkaisuehdotuksessa, että unionin tuomioistuin toteaisi, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa on tulkittava siten, että ne ovat esteenä sille, että valvontaviranomainen, jolle on tehty 77 artiklan 1 kohdan mukainen kantelu, voisi hylätä sen sillä perusteella, että tuomioistuimessa on aikaisemmin nostettu tämän 79 artiklan 1 kohdan mukaisesti kanne, jolla on sama kohde, mutta tästä kanteesta annettu ratkaisu
ei ole vielä lainvoimainen.
7.        Aloitan tarkasteluni muistuttamalla siitä, että yhtäältä yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta tämän asetuksen 79 artiklan 1 kohdassa säädetyt oikeussuojakeinot ovat keskenään samanaikaisia ja itsenäisiä. Muistutan myös jäsenvaltioiden velvollisuudesta yhteensovittaa nämä oikeussuojakeinot, jotta vältetään keskenään ristiriitaisten ratkaisujen antaminen. Osoitan, että tämä yhteensovittamisvelvollisuus ei voi vaarantaa yleisen tietosuoja-asetuksen tarjoamien oikeussuojakeinojen samanaikaisuutta ja itsenäisyyttä siten, että valvontaviranomaisen sallittaisiin hylkäävän käsiteltävänään olevan kantelun sen sijaan että sen käsittely keskeytettäisiin siksi aikaa kun yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan nojalla aloitettua oikeudenkäyntiä ei ole vielä saatettu lopullisesti päätökseen.
II     Asiaa koskeva lainsäädäntö
A       Unionin oikeus
8.        Yleisen tietosuoja-asetuksen 17 artiklan otsikkona on ”Oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”)”, ja sen 1 kohdan d alakohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:
– –
d)      henkilötietoja on käsitelty lainvastaisesti.”
9.        Yleisen tietosuoja-asetuksen VI luvun otsikkona on ”Riippumattomat valvontaviranomaiset”, ja siinä on 1 jakso, jonka otsikkona on ”Riippumaton asema” ja joka sisältää 51–54 artiklan. Yleisen tietosuoja-asetuksen 51 artiklan 1 kohdan sanamuoto on seuraava:
”Kunkin jäsenvaltion on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta luonnollisten henkilöiden perusoikeuksien ja
‑vapauksien suojaamiseksi käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi unionissa – –.”
10.      Yleisen tietosuoja-asetuksen 52 artiklan 1 kohdan sanamuoto on seuraava:
”Kukin valvontaviranomainen toimii täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään valtuuksiaan tämän asetuksen mukaisesti.”
11.      Yleisen tietosuoja-asetuksen VI luvun 2 jaksossa, jonka otsikkona on ”Toimivalta, tehtävät ja valtuudet” ja
joka sisältää 55–59 artiklan, säädetään 57 artiklan 1 kohdan a ja f alakohdassa seuraavaa:
”Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan
a)      valvottava tämän asetuksen soveltamista ja täytäntöönpanoa;
– –
f)      käsiteltävä rekisteröidyn tai 80 artiklan mukaisen elimen, järjestön tai yhdistyksen tekemiä valituksia ja tutkittava siinä määrin kuin se on asianmukaista valituksen kohdetta ja ilmoitettava valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa”.
12.      Yleisen tietosuoja-asetuksen 58 artiklan 4 kohdassa säädetään seuraavaa:
”Valvontaviranomaiselle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, joista säädetään unionin oikeudessa ja jäsenvaltion lainsäädännössä perusoikeuskirjan mukaisesti.”
13.      Tietosuoja-asetuksen 77 artiklan otsikkona on ”Oikeus tehdä kantelu valvontaviranomaiselle”, ja sen sanamuoto on seuraava:
”1.      Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.
2.      Valvontaviranomaisen, jolle kantelu on tehty, on ilmoitettava kantelun tekijälle sen etenemisestä ja ratkaisusta, mukaan lukien 78 artiklan mukaisten oikeussuojakeinojen mahdollisuudesta.”
14.      Yleisen tietosuoja-asetuksen 78 artiklan otsikkona on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, ja sen 1 kohdassa säädetään seuraavaa:
”Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.”
15.      Tietosuoja-asetuksen 79 artiklan otsikkona on ”Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää varten”, ja sen 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle.”
16.      Yleisen tietosuoja-asetuksen 81 artiklan otsikkona on ”Menettelyn keskeyttäminen”, ja sen 2 ja 3 kohdassa säädetään seuraavaa:
”2.      Jos saman rekisterinpitäjän tai henkilötietojen käsittelijän käsittelytoimintoihin liittyvä samaa asiaa koskeva menettely on vireillä jonkin toisen jäsenvaltion tuomioistuimessa, muut toimivaltaiset tuomioistuimet kuin se, jossa menettely on ensin pantu vireille, voivat keskeyttää menettelynsä.
3.      Jos menettely on vireillä ensimmäisessä oikeusasteessa, muut tuomioistuimet kuin se, jossa menettely on pantu ensin vireille, voivat jonkin asianosaisen pyynnöstä myös jättää asian tutkimatta, jos tuomioistuin, jossa menettely on ensin pantu vireille, on toimivaltainen käsittelemään kyseessä olevat asiat, ja jos niiden yhdistäminen on tämän tuomioistuimen lain mukaan sallittua.”
B       Itävallan oikeus
17.      Liittovaltion valtiosäännön (Bundes-Verfassungsgesetz) 94 §:n 1 momentin sanamuoto on seuraava:
”Lainkäyttö on kaikissa oikeusasteissa hallinnosta riippumatonta.”
18.      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyn yhteydessä 17.8.1999 annetun liittovaltion lain (Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten)(6) 24 §:n, siinä muodossa kuin sitä sovelletaan pääasian oikeudenkäynnissä, otsikkona on ”Kantelut tietosuojaviranomaiselle”, ja sen 1 ja 4 kohdassa säädetään seuraavaa:
”(1)      Jokaisella rekisteröidyllä on oikeus tehdä kantelu tietosuojaviranomaiselle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan yleistä tietosuoja-asetusta – –
– –
(4)      Oikeus kantelun käsittelemiseen sammuu, jos rekisteröity ei tee kantelua vuoden kuluessa siitä, kun hän on saanut tiedon hänelle vastaisesta tapahtumasta, kuitenkin viimeistään kolmen vuoden kuluessa siitä, kun väitetty rikkominen on tapahtunut. Myöhässä tehdyt kantelut hylätään.”
III  Pääasian tosiseikat ja ennakkoratkaisukysymykset
19.      GS vaati 3.7.2017 ennen yleisen tietosuoja-asetuksen voimaantuloa(7) D GmbH:tä, joka on ylläpitäjä lääkäreiden hakukonealustalla, joka antaa kolmansille henkilöille mahdollisuuden esittää arviointeja ja kertoa kokemuksiaan lääkäreistä, poistamaan henkilötietoja. Tämä tietojen poistamista koskeva pyyntö hylättiin 10.7.2017 päivätyllä kirjeellä.
20.      GS nosti marraskuussa 2017 D:tä vastaan siviilioikeudellisen kanteen, jossa hän vetosi muun muassa tietosuojaa koskevan oikeuden loukkaamiseen ja vaati D:n hänestä julkaisemien henkilötietojen poistamista sekä määräystä, jonka mukaan tämän on pidätyttävä kokonaan näiden tietojen uudelleenkäsittelystä.
21.      Yleisen tietosuoja-asetuksen voimaantulon jälkeen GS vaati 22.6.2018 uudelleen D:tä poistamaan häntä koskevat henkilötiedot alustaltaan, mikä niin ikään hylättiin 6.7.2018 päivätyllä kirjeellä.
22.      Näin ollen GS teki 26.7.2018 DSB:lle yleisen tietosuoja-asetuksen 77 artiklan nojalla kantelun, jossa hän nojautui muun muassa kyseisen asetuksen 17 artiklaan, jossa vahvistetaan oikeus tietojen poistamiseen. GS vaati tässä kantelussa DSB:tä toteamaan oikeuksiaan loukatun sekä velvoittamaan D:n poistamaan kaikki tiedot alustaltaan sekä pidättymään kokonaan näiden tietojen uudelleenkäsittelystä.
23.      DSB hylkäsi tämän kantelun 4.1.2019 tekemällään päätöksellä sillä perusteella, että kantelulla ja marraskuussa 2017 nostetulla siviilikanteella oli sama kohde eli GS:n
henkilötietojen poistaminen D:n alustalta. Se, että valvontaviranomaiselle tehtäisiin kantelu ja samasta kysymyksestä nostettaisiin kanne tuomioistuimessa samaan aikaan tai sen jälkeen, olisi systemaattisesta näkökulmasta ristiriidassa yleisen tietosuoja-asetuksen oikeussuojamekanismin kanssa.
24.      Bundesverwaltungsgericht (liittovaltion hallintotuomioistuin, Itävalta) hylkäsi tästä päätöksestä tehdyn valituksen 4.12.2020 antamallaan tuomiolla. GS:n siviilituomioistuimessa marraskuussa 2017 nostama kanne oli hylätty aikaisemmin 23.7.2020 annetulla tuomiolla. Tämä tuomio ei ollut 4.12.2020 vielä tullut lainvoimaiseksi.
25.      Bundesverwaltungsgericht (liittovaltion hallintotuomioistuin) totesi tuomiossaan, että yleisessä tietosuoja-asetuksessa on otettu tarkoituksellisesti käyttöön oikeussuojan kaksikanavaisuus ja että oli näin ollen
vahvistettava, että DSB on lähtökohtaisesti toimivaltainen ratkaisemaan kantelun. Kyseinen tuomioistuin sitä vastoin katsoi, että tietosuojalain 24 §:n 4 momentissa säädetty preklusiivinen määräaika oli päättynyt. Koska GS oli tietoinen siitä, että D oli julkaissut hänen henkilötietonsa 3.7.2017 ja koska menettelyssä ei myöhemmin ollut vedottu olennaisiin lisätietoihin, oikeus siihen, että hänen yleisen tietosuoja-asetuksen 77 artiklan nojalla esittämänsä kantelu käsitellään, oli jo sammunut 26.7.2018, kun GS teki kantelun. Oikeustilan muutos eli yleisen tietosuoja-asetuksen voimaantulo ei katkaissut vanhentumisajan kulumista. Koska myös yleisen tietosuoja-asetuksen 77 artiklan nojalla myöhässä tehty kantelu
johtaa hylkäykseen, GS:n kantelu on Bundesverwaltungsgerichtin mukaan kaiken kaikkiaan hylätty perustellusti.
26.      Sekä GS että DSB valittivat tästä tuomiosta Verwaltungsgerichtshofiin (ylin hallintotuomioistuin).
27.      Kyseinen tuomioistuin ei yhdy Bundesverwaltungsgerichtin
näkemykseen, jonka mukaan GS:n kantelu olisi vanhentunut. Koska GS on näet käyttänyt yleisen tietosuoja-asetuksen 17 artiklan 1 kohdassa tarkoitettua poistamisoikeutta ensi kertaa tämän asetuksen voimaantulon 22.6.2018 jälkeen, tietosuoja-asetuksen 24 §:n 4 momentin mukainen määräaika alkoi kulua vasta ajankohdasta, jona GS sai tiedon D:n 6.7.2018 päivätystä sähköpostiviestistä, jolla ilmoitettiin, että hänen poistamispyyntönsä oli hylätty. Verwaltungsgerichtshof katsoo siis, että Bundesverwaltungsgerichtin
omaksumat perustelut eivät käy perusteluiksi sille, että DSB on hylännyt GS:n yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisesti tekemän kantelun.
28.      Verwaltungsgerichtshof tutkii kuitenkin, perustuiko tämän kantelun hylkääminen laillisesti muihin seikkoihin. Muistutettuaan unionin tuomioistuimen tuomiossa Nemzeti Adatvédelmi és Információszabadság Hatóság
ja 7.12.2023 antamassaan tuomiossa
SCHUFA Holding (Jäännösveloista vapauttaminenLibération)(8) esittämistä toteamuksista ennakkoratkaisua pyytänyt tuomioistuin pohtii erityisesti DSB:n esittämää perustelua, joka liittyy samaa asiaa koskevan vireillä olevan oikeudenkäynnin olemassaoloa. Liittovaltion valtiosäännön 94 §:n 1 momentissa näet säädetään, että lainkäyttö on kaikissa oikeusasteissa hallinnosta riippumatonta. Kuten ennakkoratkaisua pyytänyt tuomioistuin selittää, tässä pykälässä taataan lainkäytön ja hallinnon erillisyyden periaate, joka edellyttää, että asia annetaan kokonaisuudessaan ratkaistavaksi joko tuomioistuimille tai hallintoviranomaisille. Kyseinen pykälä on siis esteenä sille, että tuomioistuimet ja hallintoviranomaiset antavat samanaikaisesti tai peräkkäin ratkaisuja samassa asiassa.(9)
29.      Ensinnäkin
ennakkoratkaisua pyytänyt tuomioistuin pohtii, voidaanko valvontaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan nojalla esitetty kantelu hylätä sillä perusteella, että tuomioistuimessa on jo aikaisemmin turvauduttu
yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan nojalla
tehokkaaseen oikeussuojakeinoon samassa asiassa ja että siihen liittyvä menettely on edelleen vireillä asiaa käsittelevässä tuomioistuimessa.
30.      Ennakkoratkaisua pyytänyt tuomioistuin muistuttaa, että unionin tuomioiostuin totesi tuomiossaan Nemzeti Adatvédelmi és Információszabadság Hatóság, että yleisen tietosuoja-asetuksen 77–79 artikla      n mukaan yhtäältä  77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja voidaan käyttää samanaikaisesti ja itsenäisesti ja että jäsenvaltioiden asiana on menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti antaa säännöt siitä, miten nämä oikeussuojakeinot nivoutuvat yhteen, jotta varmistetaan kyseisellä asetuksella taattujen oikeuksien suojan tehokkuus, tämän asetuksen säännösten johdonmukainen ja yhtenäinen soveltaminen sekä perusoikeuskirjan 47 artiklassa tarkoitettu oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa.
31.      Tämä tuomioistuin katsoo, että jotta estettäisiin keskenään ristiriitaiset päätökset, joilla vaarannettaisiin tavoite ”varmistaa luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa”,(10) olisi mahdollista hyväksyä yleisen tietosuoja-asetuksen 81 artiklan 2 ja 3 kohdan mukaisen mallin perusteella se, että kun sama oikeusriita tulee vireille siviilituomioistuimissa ja hallintoviranomaisissa, se elin, jossa asia on tullut esiin myöhemmin, hylkää sen.
32.      Kyseinen tuomioistuin katsoo, että vaikka nyt käsiteltävässä asiassa merkityksellinen kansallinen sääntö ei ole soveltamisalaltaan täysin sama kuin yleisessä tietosuoja-asetuksessa useiden jäsenvaltioiden välisten suhteiden osalta säädettyjen mekanismien, sen tavoitteen perusteella vaikuttaa järkevältä pitää sitä sallittuna.
33.      Ennakkoratkaisua pyytänyt tuomioistuin lisää, että vaikka unionin tuomioistuimen perusteluissaan esittämä tehokkaan oikeussuojan periaate tarkoittaa ensisijaisesti tilannetta, jossa oikeussuojakeinoa käyttää henkilö, jota tietojenkäsittely koskee, myös vastaajana olevalle rekisterinpitäjälle on myönnettävä oikeus tehokkaaseen menettelyyn, mitä oikeutta saattaa heikentää se, että kahdessa rinnakkain käytävässä menettelyssä aiheutuvat kustannukset, erityisesti niissä käytettävän oikeusavustajan osalta, voivat muodostaa huomattavan rasitteen.
34.      Siten jo pelkästään se, että asia, joka on vireillä tuomioistuimessa yleisen tietosuoja-asetuksen 79 artiklan nojalla, olisi esteenä sille, että valvontaviranomainen voisi käsitellä tätä asiaa pätevästi tämän asetuksen 77 artiklan nojalla, jos sillä on käsiteltävänä kantelu, joka on tehty sen jälkeen kun on haettu oikeussuojaa tuomioistuimessa.
35.      Tämä tuomioistuin huomauttaa kuitenkin, että mikäli yleisen tietosuoja-asetuksen 77 artiklan nojalla tehty kantelu hylätään pelkästään sillä perusteella, että kanne on vireillä tuomioistuimessa, hylkäämisen ajankohtana ei ole vielä olemassa väitettyä henkilötietojen tietoturvaloukkausta koskevaa asiaratkaisua, mistä syystä ei ole myöskään vielä vaaraa keskenään ristiriidassa olevista ratkaisuista.
36.      Toiseksi, mikäli ennakkoratkaisua pyytäneen tuomioistuimen ensimmäiseen kysymykseen vastattaisiin kieltävästi, se haluaa tietää, voidaanko valvontaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan perusteella tehty kantelu hylätä sillä perusteella, että yleisen tietosuoja-asetuksen 79 artiklan nojalla vireille pannussa menettelyssä on jo annettu tuomioistuimen ratkaisu asiakysymyksessä.
37.      Tämän tuomioistuimen mielestä siinä, että aikaprioriteetin periaatteen perusteella hylätään kantelu, joka on osoitettu valvontaviranomaiselle ajankohtana, jona asiakysymystä koskeva ratkaisu oli jo annettu oikeudenkäynnissä, otetaan huomioon tavoite välttää keskenään ristiriitaiset tuomiot. Olisi kuitenkin mahdollista katsoa, että se, että viitataan ratkaisuun, joka ei ole vielä lainvoimainen, ei vielä anna rekisteröidylle varmuutta tämän tuomion pysyvyydestä.
38.      Näissä olosuhteissa Verwaltungsgerichtshof (ylin hallintotuomioistuin) on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)      Onko [yleisen tietosuoja-asetuksen]
77 ja 79 artiklaa tulkittava unionin tuomioistuimen [tuomiossa
Nemzeti Adatvédelmi és Információszabadság Hatóság] ja [tuomiossa SCHUFA Holding] esittämien toteamusten valossa siten,
että kansallisessa oikeudessa säädetty mahdollisuus hylätä yleisen tietosuoja-asetuksen 77 artiklan nojalla tehty kantelu valvontaviranomaisessa sillä perusteella, että aikaisemmin on jo haettu oikeussuojaa tuomioistuimessa yleisen tietosuoja-asetuksen 79 artiklan nojalla samassa asiassa ja että tämä asia on vireillä tuomioistuimessa, on (edellä mainitussa unionin tuomioistuimen oikeuskäytännössä tarkoitettu) sallittu keino säätää näiden oikeussuojakeinojen yhteennivoutumisesta?
2)      Mikäli ensimmäiseen kysymykseen vastataan kieltävästi, onko [yleisen tietosuoja-asetuksen] 77 ja 79 artiklaa tulkittava unionin tuomioistuimen [tuomiossa Nemzeti Adatvédelmi és Információszabadság Hatóság] ja [tuomiossa SCHUFA Holding] esittämien toteamusten valossa siten, että kansallisessa oikeudessa säädetty mahdollisuus hylätä yleisen tietosuoja-asetuksen 77 artiklan nojalla tehty kantelu valvontaviranomaisessa sillä perusteella, että samassa asiassa vireille pannussa menettelyssä, joka koskee yleisen tietosuoja-asetuksen 79 artiklan nojalla tuomioistuimessa haettua oikeussuojaa, on jo annettu asiakysymystä koskeva ratkaisu (vaikka se ei ole vielä lainvoimainen), on (edellä mainitussa unionin tuomioistuimen oikeuskäytännössä tarkoitettu) sallittu keino säätää näiden oikeussuojakeinojen yhteennivoutumisesta?”
39.      GS, D, DSB, Itävallan, Italian ja Unkarin hallitukset sekä Euroopan komissio ovat esittäneet kirjallisia huomautuksia.
IV     Oikeudellinen arviointi
40.      Kyetäkseen antamaan ratkaisun käsiteltävänään olevasta kanteesta ennakkoratkaisua pyytänyt tuomioistuin pyytää unionin tuomioistuimelta täsmennyksiä yhtäältä valvontaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehdyn kantelun ja toisaalta tämän asetuksen 79 artiklan 1 kohdan nojalla tuomioistuimessa käytettävän oikeussuojakeinon yhteennivoutumiseen.
41.      Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee siis kysymyksillään, jotka ehdotan käsiteltäväksi yhdessä, unionin tuomioistuimelta ratkaisua lähinnä siihen, voiko valvontaviranomainen, jolle on tehty tietosuoja-asetuksen 77 artiklan 1 kohdan mukainen kantelu, hylätä sen sillä perusteella, että tämän asetuksen 79 artiklan 1 kohdan mukaisesti tuomioistuimessa vireille pantu kanne, jolla on sama kohde, on nostettu aikaisemmin (ensimmäinen kysymys), vaikka tämän kanteen yhteydessä annettu ratkaisu ei ole vielä lainvoimainen (toinen kysymys).
42.      Näihin kahteen kysymykseen pitäisi mielestäni vastata kieltävästi. Huomautan lisäksi, että vaikka DSB on hylännyt GS:n kantelun, sekä Itävallan hallitus että tämä valvontaviranomainen yhtyvät tähän näkemykseen.
43.      Aluksi on muistutettava, että yleisen tietosuoja-asetuksen VIII luvussa säännellään muun muassa oikeussuojakeinoja rekisteröidyn oikeuksien suojaamiseksi silloin, kun häntä koskevia henkilötietoja on käsitelty väitetysti kyseisen asetuksen säännösten vastaisesti. Näiden oikeuksien suojaa voi siten vaatia joko suoraan rekisteröity kyseisen asetuksen 77–79 artiklan nojalla tai tietosuoja-asetuksen 80 artiklan nojalla oikeutettu yksikkö joko valtuutuksen perusteella tai ilman sitä.(11)
44.      Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle annettaisiin selvennystä siihen, kuuluuko se, että valvontaviranomainen on hylännyt kantelun, joka on tehty sille yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan perusteella, sen vuoksi, että tuomioistuimessa on aikaisemmin nostettu tämän asetuksen 79 artiklan 1 kohdan mukaisesti kanne, jolla on sama kohde, vaikka tästä kanteesta annettu ratkaisu ei ole vielä lainvoimainen, tässä asetuksessa säädettyjen oikeussuojakeinojen yhteennivoutumisen sallitulla tavalla, on tärkeää muistaa, että unionin oikeuden säännöksen tai määräyksen tulkitsemiseksi on otettava huomioon sen sanamuodon lisäksi sen asiayhteys sekä sillä säännöstöllä tavoitellut päämäärät, jonka osa se on.(12)
45.      Yleisen tietosuoja-asetuksen merkityksellisten säännösten sanamuodosta on muistutettava aluksi, että tämän asetuksen 77 artiklan 1 kohdassa täsmennetään, että jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, ”
sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja”. Kyseisen asetuksen 78 artiklan 1 kohdassa puolestaan säädetään, että jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, ”sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja”. Lopuksi vielä saman asetuksen 79 artiklan 1 kohdassa taataan jokaiselle rekisteröidylle oikeus tehokkaisiin oikeussuojakeinoihin, ”sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle”.
46.      Unionin tuomioistuimen mukaan näissä yleisen tietosuoja-asetuksen säännöksissä annetaan erilaisia oikeussuojakeinoja henkilöille, jotka vetoavat kyseisen asetuksen rikkomiseen, siten, että kutakin näistä oikeussuojakeinoista on voitava käyttää sen ”rajoittamatta” muiden oikeussuojakeinojen käyttöä.(13) Siten yleisessä tietosuoja-asetuksessa
ei säädetä ensisijaisesta tai yksinomaisesta toimivallasta eikä mistään sellaisesta säännöstä, joka koskee kyseisen viranomaisen tai tuomioistuimen siitä tekemän arvioinnin ensisijaisuutta, onko tällä asetuksella myönnettyjä oikeuksia loukattu.(14) Unionin lainsäätäjä on toisin sanoen halunnut asettaa rekisteröityjen saataville täydellisen oikeussuojakeinojen järjestelmän, jossa oikeus oikeussuojakeinoihin tuomioistuimessa ja mahdollisuus käyttää hallinnollista muutoksenhakukeinoa ja tuomioistuimen ulkopuolista oikeussuojakeinoa ovat olemassa samaan aikaan itsenäisesti, ilman että yksi olisi toissijainen toiseen nähden.
47.      Yleisen tietosuoja-asetuksen 78 artiklan 1 kohdassa säädettyä oikeussuojakeinoa, jonka kohteena on valvontaviranomaisen kyseisen asetuksen 77 artiklan nojalla tekemän päätöksen lainmukaisuuden tutkinta, ja saman asetuksen 79 artiklan 1 kohdassa säädettyä oikeussuojakeinoa voidaan siis käyttää samanaikaisesti ja itsenäisesti.(15) Sama pätee kanteluihin, joita tehdään valvontaviranomaisille yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisesti.
48.      Tämä toteamus saa vahvistuksen asiayhteydestä, johon kyseessä olevat yleisen tietosuoja-asetuksen säännökset kuuluvat,(16) ja tämän asetuksen tavoitteista. Tässä yhteydessä erityisesti sen johdanto-osan 10 perustelukappaleesta ilmenee, että asetuksella pyritään varmistamaan unionissa korkeatasoinen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä. Asetuksen johdanto‑osan 11 perustelukappaleessa todetaan lisäksi, että henkilötietojen suojaaminen tehokkaasti edellyttää rekisteröityjen oikeuksien vahvistamista. Unionin lainsäätäjän päätös antaa rekisteröidyille mahdollisuus käyttää samanaikaisesti ja itsenäisesti yhtäältä yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta kyseisen asetuksen 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja on mainitun asetuksen tavoitteen mukaista.(17) Unionin tuomioistuin on niin ikään korostanut, että useiden oikeussuojakeinojen käyttöön antaminen vahvistaa yleisen tietosuoja-asetuksen johdanto‑osan 141 perustelukappaleessa todettua tavoitetta taata jokaiselle rekisteröidylle, joka katsoo, että hänen kyseiseen asetukseen perustuvia oikeuksiaan on loukattu, oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa perusoikeuskirjan 47 artiklan mukaisesti.(18) Lisättäköön, että tällaisen tulkinnan vahvistaa myös yleisen tietosuoja-asetuksen antamiseen johtanut lainsäädäntömenettely. Itävallan tasavalta selitti näet Euroopan unionin neuvostossa kieltäytymisensä äänestämästä tämän sanamuodon puolesta muun muassa tässä asetuksessa säädettyjen oikeussuojakeinojen rinnakkaisuudella.(19) Tällainen oikeussuojakeinojen rinnakkaisuus on kuitenkin säilytetty kyseisen asetuksen lopullisessa versiossa.
49.      Kun otetaan huomioon, mitä unionin tuomioistuin on siis todennut tuomiossaan Nemzeti Adatvédelmi és Információszabadság Hatóság, mielestäni se, että hyväksyttyisiin se, että valvontaviranomainen, jonka käsiteltävänä kantelu on yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisesti, voisi hylätä sen sillä perusteella, että tuomioistuimessa on jo aikaisemmin nostettu tämän asetuksen 79 artiklan 1 mukaisesti kanne, jolla on sama kohde, vaikka kyseisestä kanteesta annettu ratkaisu ei ole vielä lainvoimainen, heikentäisi yleisessä tietosuoja-asetuksessa rekisteröidyille annettua mahdollisuutta ottaa käyttöön rinnakkaisia oikeussuojakeinoja saman henkilötietojen käsittelyn yhteydessä.
50.      Minulla on tosin ollut tilaisuus korostaa ratkaisuehdotuksessa, jonka annoin asiassa Nemzeti Adatvédelmi és Információszabadság Hatóság, että tämä mahdollisuus voi aiheuttaa haittaa eli oikeudellista epävarmuutta, jos jäsenvaltiossa annetaan keskenään ristiriitaisia ratkaisuja. Vaikka unionin lainsäätäjä on ottanut asetuksessa huomioon vaaran siitä, että eri jäsenvaltioiden valvontaviranomaiset tai tuomioistuimet antaisivat keskenään ristiriitaisia ratkaisuja, unionin lainsäätäjä ei ole säätänyt asetuksessa mitään siltä varalta, että tällaisia ratkaisuja annettaisiin samassa jäsenvaltiossa. Tässä tilanteessa on kunkin jäsenvaltion tehtävänä säätää tai määrätä menettelyllisistä ratkaisuista, joilla vältetään mahdollisuuksien mukaan se, että jäsenvaltiossa annettaisiin keskenään ristiriitaisia ratkaisuja samasta henkilötietojen käsittelystä.(20)
51.      Asiassa Nemzeti Adatvédelmi és Információszabadság Hatóság
unionin tuomioistuimen käsiteltävänä oli tapaus, jossa tuomioistuin, jossa oli vireillä yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla nostettu kanne, olisi saattanut antaa ratkaisun, joka olisi ollut ristiriidassa sellaisen lainvoimaiseksi tulleen ratkaisun kanssa, jonka oli aikaisemmin antanut tuomioistuin, jossa kanne oli nostettu tämän asetuksen 79 artiklan 1 kohdan nojalla.(21)
52.      Unionin tuomioistuin korosti kyseisessä tapauksessa yhtäältä, että kahden keskenään ristiriitaisen ratkaisun olemassaolo kyseenalaistaisi kyseisen asetuksen johdanto‑osan 10 perustelukappaleessa esitetyn tavoitteen varmistaa luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa.(22) Unionin tuomioistuin näet katsoi, että suoja, joka myönnetään ratkaisulla, joka perustuu kyseisen asetuksen 79 artiklan 1 kohdan mukaiseen oikeussuojakeinoon ja jossa todetaan kyseisen asetuksen säännösten rikkominen, ei näet olisi johdonmukainen sellaisen toisen tuomioistuinratkaisun kanssa, joka perustuu saman asetuksen 78 artiklan 1 kohdassa tarkoitettuun oikeussuojakeinoon ja jonka lopputulos on päinvastainen.(23) Tämä johtaisi toisaalta luonnollisten henkilöiden heitä koskevien henkilötietojen käsittelyssä saaman suojan heikkenemiseen, koska tällainen epäjohdonmukaisuus aiheuttaisi oikeudellista epävarmuutta.(24)
53.      On siis tärkeää, että jäsenvaltiot toimivat siten, että rekisteröityjen mahdollisuudella käyttää oikeussuojakeinoja rinnakkain ei heikennetä yleisessä tietosuoja-asetuksessa heille annettujen oikeuksien suojan tehokkuutta. On jäsenvaltioiden tehtävänä valita, mitkä prosessuaaliset mekanismit vaikuttavat niistä parhaiten soveltuvilta, jotta mahdollistetaan tämän asetuksen 77–79 artiklassa säädettyjen oikeussuojakeinojen sopusointuinen yhteennivoutuminen.
54.      Unionin tuomioistuin on todennut tässä yhteydessä, että jos unioni ei ole antanut asiaa koskevia säännöksiä, kunkin jäsenvaltion asiana on jäsenvaltioiden menettelyllistä itsemääräämisoikeutta koskevan periaatteen nojalla antaa hallinnollista menettelyä ja tuomioistuinmenettelyä koskevan säännöt, joilla pyritään turvaamaan unionin oikeuteen perustuvien yksityisten oikeuksien korkeatasoinen suoja.(25) Näiden samanaikaisten ja itsenäisten oikeussuojakeinojen soveltamista koskevien sääntöjen ei pitäisi kuitenkaan kyseenalaistaa kyseisellä asetuksella taattujen oikeuksien tehokasta vaikutusta ja tosiasiallista suojaa.(26) Nämä säännöt eivät näet saa olla epäedullisempia kuin ne, jotka koskevat samankaltaisia oikeussuojakeinoja jäsenvaltion sisäiseen oikeusjärjestykseen perustuvien oikeuksien suojaamiseksi (vastaavuusperiaate), eivätkä ne saa olla sellaisia, että unionin oikeusjärjestyksessä tunnustettujen oikeuksien käyttäminen on käytännössä mahdotonta tai suhteettoman vaikeaa (tehokkuusperiaate).(27) Unionin tuomioistuin on niin ikään korostanut, että jäsenvaltioiden on varmistettava, että kyseisen asetuksen 77 artiklan 1 kohdassa, 78 artiklan 1 kohdassa ja 79 artiklan 1 kohdassa säädettyjen oikeussuojakeinojen käyttöä koskevat konkreettiset säännöt vastaavat tosiasiallisesti perusoikeuskirjan 47 artiklassa vahvistetusta oikeudesta tehokkaisiin oikeussuojakeinoihin johtuvia vaatimuksia.(28)
55.      Totesin ratkaisuehdotuksessani Nemzeti Adatvédelmi és Információszabadság Hatóság(29) muun muassa, että jäsenvaltiot voisivat säätää, että silloin, kun yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukainen kantelu tai kyseisen asetuksen 78 artiklan 1 kohdan mukainen oikeussuojakeino tuomioistuimessa on vireillä, tuomioistuimella, jonka käsiteltävänä on kyseisen asetuksen 79 artiklan 1 kohdan mukainen kanne, on mahdollisuus tai velvollisuus keskeyttää siinä vireillä oleva oikeudenkäynti ja lykätä asian ratkaisua, kunnes jommassakummassa mainituista menettelyistä on annettu ratkaisu.(30) Totesin myös, että menettelyn keskeyttäminen voi tältä osin olla ratkaisu sellaisten ristiriitaisten ratkaisujen antamisen välttämiseksi, joilla voidaan vaarantaa oikeusvarmuus.(31)
56.      Tämä ratkaisu vaikuttaa mielestäni erityisen asianmukaiselta nyt käsiteltävän asian yhteydessä. Siten valvontaviranomaiselle, jolle on tehty yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukainen kantelu, pitäisi antaa lupa keskeyttää sen tutkinta, jos tämän asetuksen 79 artiklan 1 kohdan mukaisesti nostettu kanne, jolla on sama kohde, on nostettu aikaisemmin, ja vaikka tästä kanteesta annettu ratkaisu ei ole vielä lainvoimainen.
57.      Kantelun hylkääminen tällaisessa asiayhteydessä olisi sitä vastoin mielestäni tehokkuusperiaatteen vastaista, koska tämä oikeussuojakeinojen yhteennivoutumista koskeva yksityiskohta on omiaan heikentämään yleisessä tietosuoja-asetuksessa taattujen oikeuksien tehokasta suojaa. Tällainen hylkääminen olisi näet mielestäni vastoin oikeussuojakeinojen, joita voidaan käyttää samanaikaisesti ja itsenäisesti, muodostaman täydellisen järjestelmän lähtökohdankin vastainen. Kantelun hylkääminen ei ole myöskään välttämättä asianmukainen toimenpide keskenään ristiriitaisten ratkaisujen antamisen välttämiseksi.
58.      Tässä yhteydessä on tärkeää korostaa, että kun valvontaviranomainen hylkää kantelun sillä perusteella, että yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan mukaisesti tuomioistuimessa nostettu kanne on vielä vireillä, se ei voi olla vielä varma siitä, että asiakysymyksestä annetaan ratkaisu tämän kanteen yhteydessä. Se voidaan hylätä esimerkiksi prosessuaalisin perustein, kuten siksi, että tutkittavaksi ottamisen edellytykset eivät täyty, asiakysymystä ratkaisematta.
59.      Lisäksi silloinkin, kun kyseisen kanteen perusteella on annettu asiakysymystä koskeva ratkaisu, kuten tässä tapauksessa, se saatetaan kyseenalaistaa kansallisten oikeussuojakeinojen vaikutuksesta. Tästä syystä, toisin kuin komissio näyttää ajattelevan huomautuksissaan,(32) sillä, onko tuomioistuimen ratkaisu lainvoimainen vai ei, on mielestäni merkitystä. Valvontaviranomainen ei mielestäni voi hylätä kantelua välittömästi sillä perusteella, että tuomioistuimessa yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan nojalla nostetusta kanteesta on annettu ratkaisu, niin kauan kuin siitä ei ole tullut lainvoimainen ja se siis voidaan vielä riitauttaa.
60.      Kaiken kaikkiaan niin kauan kuin ristiriita päätöksen, jonka on antanut valvontaviranomainen yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan perusteella, ja ratkaisun, joka ei ole vielä lainvoimainen ja jonka on antanut tuomioistuin, jonka käsiteltäväksi asia on saatettu tämän asetuksen 79 artiklan nojalla, on pelkästään hypoteettinen, tämä viranomainen ei voi hylätä sille tehtyä kantelua nojautumalla tähän ristiriidan riskiin.
61.      Tämän tulkinnan tueksi on korostettava, miten tärkeä on yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa vahvistettu oikeus tehdä kantelu valvontaviranomaiselle, jotta varmistetaan tällä asetuksella taattujen oikeuksien tehokas suoja. Tämä suoja perustuu erityisesti laajoihin valtuuksiin, jotka kyseisellä asetuksella annetaan valvontaviranomaiselle, jotta tämä arvioi
sitä, onko rekisteröidyn henkilötietoja käsitelty lainvastaisesti, ja toteuttaa asianmukaiset toimenpiteet tilanteen korjaamiseksi.
62.      Korostan tässä yhteydessä, että yleisen tietosuoja-asetuksen 51 artiklan 1 kohdan mukaan jäsenvaltioiden on säädettävä yhdestä tai useammasta riippumattomasta viranomaisesta, jotka ovat vastuussa tämän asetuksen soveltamisen valvonnasta. Tällaisten viranomaisten perustaminen, josta määrätään myös unionin primaarioikeudessa eli perusoikeuskirjan 8 artiklan 3 kohdassa ja SEUT 16 artiklan 2 kohdassa, on keskeinen tekijä yksilöiden suojelussa henkilötietojen käsittelyssä.(33) Yleisen tietosuoja-asetuksen 51 artiklan 1 ja 2 kohdan sekä 57 artiklan 1 kohdan a ja g alakohdan mukaan valvontaviranomaisen pääasiallisena tehtävänä on valvoa kyseisen asetuksen soveltamista ja täytäntöönpanoa myötävaikuttaen sen johdonmukaiseen soveltamiseen unionissa, ja tämä tehdään luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi heidän henkilötietojensa käsittelyssä ja tällaisten tietojen vapaan liikkuvuuden helpottamiseksi unionissa.(34)
63.      Erityisesti yleisen tietosuoja‑asetuksen 57 artiklan 1 kohdan f alakohdan nojalla jokaisen valvontaviranomaisen on alueellaan käsiteltävä kantelut, joita kyseisen asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä, jos hän katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan kyseistä asetusta, ja tutkittava siinä määrin kuin se on asianmukaista kantelun kohde. Valvontaviranomaisen asiana on tutkia tällainen kantelu kaikkea asianmukaista huolellisuutta noudattaen.(35) Unionin tuomioistuin on siten korostanut, että vaikka asianmukaisen ja tarpeellisen keinon valinta on valvontaviranomaisen tehtävä ja vaikka sen on tehtävä tämä valinta kyseessä olevan henkilötietojen siirron kaikki olosuhteet huomioon ottaen, tämän viranomaisen on kuitenkin suoritettava kaikkea vaadittavaa huolellisuutta noudattaen tehtävänsä, joka on valvoa sitä, että tietosuoja-asetusta noudatetaan kaikilta osin.(36)
64.      Kyseisen asetuksen soveltamisen valvomiseksi ja sen noudattamisen seuraamiseksi valvontaviranomaisilla on erilaisia valtuuksia, joita niille annetaan kyseisen asetuksen 58 artiklalla.
Yleisen tietosuoja-asetuksen 58 artiklan 1 kohdassa annetaan näille valvontaviranomaisille merkittävät tutkintavaltuudet. Jos tällainen viranomainen tutkintansa päätteeksi toteaa, että kyseisen asetuksen säännöksiä on rikottu, sen on reagoitava asianmukaisesti todetun puutteellisuuden korjaamiseksi. Tätä varten asetuksen 58 artiklan 2 kohdassa luetellaan korjaavat toimenpiteet, joita valvontaviranomainen voi käyttää.(37)
65.      Unionin tuomioistuin on päätellyt tästä, että kantelumenettely, joka ei ole vetoomusmenettely, on tarkoitettu mekanismiksi, jolla voidaan suojella tehokkaasti rekisteröityjen oikeuksia ja etuja.(38) Tästä syystä valvontaviranomaisen on puututtava asiaan, kun yhden tai useamman yleisen tietosuoja‑asetuksen 58 artiklan 2 kohdassa säädetyn korjaavan toimenpiteen toteuttaminen on, kun otetaan huomioon kaikki konkreettisen tapauksen olosuhteet, asianmukaista, tarpeellista ja oikeasuhteista todetun puutteen korjaamiseksi ja kyseisen asetuksen täysimääräisen noudattamisen varmistamiseksi.(39)
66.      Olisi mielestäni tämän tavoitteen ja valvontaviranomaiselle kuuluvan huolellisuusvelvollisuuden vastaista viedä heti rekisteröidyltä mahdollisuus käyttää tällaista mekanismia sallimalla se, että tämä viranomainen hylkää hänen kantelunsa sillä perusteella, että tuomioistuimessa on aikaisemmin nostettu tämän asetuksen 79 artiklan 1 kohdan mukaisesti kanne, jolla on sama kohde, vaikka tästä kanteesta annetusta ratkaisusta ei ole vielä tullut lainvoimainen. Sitä vastoin se, että tämän kantelun käsittely keskeytetään, kunnes tuomioistuimen ratkaisusta on tullut lainvoimainen, vastaa mielestäni sekä yleisessä tietosuoja-asetuksessa taattujen oikeuksien tehokkaan suojan varmistamisen vaatimuksia että tarvetta välttää keskenään ristiriitaiset ratkaisut samassa jäsenvaltiossa.
67.      Pitää tosin paikkansa, että se, että tällaisella perusteella hylätään kantelu, joka on tehty valvontaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisesti, ei välttämättä estä sitä, että rekisteröity voisi tehdä uuden kantelun tälle viranomaiselle sen jälkeen kun oikeudenkäynti on lopullisesti päätetty prosessuaalisista syistä tai jos henkilö on luopunut kanteestaan.
68.      Uuden kantelun tekeminen saattaa kuitenkin osoittautua mahdottomaksi, jos kansallisessa oikeudessa, kuten Itävallan tapauksessa, asetetaan tutkittavaksi ottamisen edellytykseksi määräajan noudattaminen ja se on ylittynyt. Tällaisessa tapauksessa rekisteröidyltä saatettaisiin evätä kokonaan tehokas suoja, jos hänen tuomioistuimessa nostamansa kanne hylättäisiin prosessuaalisesta syystä asiakysymystä ratkaisematta tai jos hän haluaisi luopua oikeudenkäynnistä.
69.      Lisäksi yleisemmin tällainen ratkaisu, jolla asetettaisiin rekisteröidyn vastuulle kääntyä uudelleen valvontaviranomaisen puoleen sen jälkeen kun hänen kantelunsa on alun perin hylätty, vaikuttaisi olevan ristiriidassa tällä viranomaisella olevan huolellisuusvelvoitteen kanssa. Tämä velvoite näet edellyttää, kuten olen edellä todennut, että kyseinen viranomainen käsittelee sille tehdyn kantelun kaikella tarvittavalla huolellisuudella. Kyseinen velvollisuus edellyttää erityisesti sitä, että jos valvontaviranomainen käsittelee kantelua ja sille ilmoitetaan yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan mukaisesti aloitetusta oikeudenkäynnistä, joka koskee samoja tosiseikkoja, tämä viranomainen seuraa tämän kantelun tutkimisen yhteydessä tarkasti ratkaisua, jolla tämä oikeudenkäynti lopullisesti päätetään. Tämä tutkimus pitäisi keskeyttää siksi aikaa.
V       Ratkaisuehdotus
70.      Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Verwaltungsgerichtshofin (ylin hallintotuomioistuin, Itävalta) ennakkoratkaisukysymyksiin seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 77 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa
on tulkittava siten, että
ne ovat esteenä sille, että valvontaviranomainen, jolle on tehty 77 artiklan 1 kohdan mukainen kantelu, voisi hylätä sen sillä perusteella, että tuomioistuimessa on aikaisemmin nostettu 79 artiklan 1 kohdan mukaisesti kanne, jolla on sama kohde, vaikka tästä kanteesta annetturatkaisu ei ole vielä lainvoimainen.
1      Alkuperäinen kieli: ranska.
2      EUVL 2016, L 119, s. 1;
jäljempänä
yleinen tietosuoja-asetus.
3      C‑132/21, jäljempänä tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság, EU:C:2023:2.
4      Yleisen tietosuoja-asetuksen 4 artiklan 21 kohdan mukaan valvontaviranomaisella tarkoitetaan ”jäsenvaltion [tämän asetuksen] 51 artiklan nojalla perustamaa riippumatonta viranomaista”.
5      Jäljempänä
perusoikeuskirja.
6      BGBl. I, 165/1999, jäljempänä tietosuojalaki.
7      Tämä vaatimus perustui yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettuun Euroopan parlamentin ja neuvoston direktiiviin 95/46/EY (EYVL 1995, L 281, s. 31).
8      C‑26/22 ja C‑64/22,
jäljempänä tuomio SCHUFA Holding, EU:C:2023:958.
9      Ennakkoratkaisua pyytänyt tuomioistuin viittaa Verfassungsgerichtshofin (perustuslakituomioistuin) 14.10.1970 antamaan tuomioon G 20/70.
10      Ennakkoratkaisua pyytänyt tuomioistuin siteeraa tuomiota Nemzeti Adatvédelmi és Információszabadság Hatóság (54 kohta).
11      Ks. esim. tuomio 4.10.2024, Lindenapotheke (C‑21/23, EU:C:2024:846, 47 kohta oikeuskäytäntöviittauksineen).
12      Ks. esim. tuomio 4.10.2024, Lindenapotheke (C‑21/23, EU:C:2024:846, 52 kohta oikeuskäytäntöviittauksineen).
13      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (34 kohta). Ks. myös yrityksen kilpailijan mahdollisuudesta nostaa kanne siviilituomioistuimissa tätä yritystä vastaan sopimattomien kaupallisten menettelyjen kiellon perusteella sen vuoksi, että tämän yrityksen väitetään rikkoneen yleisessä tietosuoja-asetuksessa säädettyjä velvoitteita, tuomio
4.10.2024, Lindenapotheke (C‑21/23, EU:C:2024:846, 53 kohta).
14      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (35 kohta).
15      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (35 kohta ja tuomiolauselma), tuomio
SCHUFA Holding (66 kohta) sekä tuomio 30.4.2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 ja
C‑332/23, EU:C:2025:303, 128 kohta).
16      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság
(36–41 kohta).
17      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (42 kohta).
18      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (44 kohta) ja tuomio SCHUFA Holding
(66 kohta). Unionin tuomioistuin päätteli tästä viimeksi mainitussa tuomiossa, että yleisen tietosuoja-asetuksen 79 artiklan 1 kohdassa säädetyllä oikeudella tehokkaisiin oikeussuojakeinoihin tuomioistuimessa rekisterinpitäjää ja henkilötietojen käsittelijää vastaan ei näin ollen ole vaikutusta harjoitettavan tuomioistuinvalvonnan laajuuteen haettaessa oikeussuojaa valvontaviranomaisen tekemää kantelua koskevaa päätöstä vastaan tämän asetuksen 78 artiklan 1 kohdan nojalla (kyseisen tuomion 67 kohta).
19      Ks. yleisen tietosuoja-asetuksen hyväksymistä koskevan äänestyksen tulos 14.4.2016 päivätyssä neuvoston asiakirjassa 7920/16, saatavilla seuraavilla verkkosivuilla: https://data.consilium.europa.eu/doc/document/ST‑7920-2016-INIT/fr/pdf (s. 7). Tähän tulkintaan yhtyy Oberster Gerichtshof (ylin tuomioistuin Itävalta), minkä osoittaa sen 23.5.2019 antama tuomio, 6Ob91/19d (4.5. kohta).
20      Ks. ratkaisuehdotukseni Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, 57 kohta).
21      Ks. ratkaisuehdotukseni Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, 58 kohta).
22      Ks. tuomio
Nemzeti Adatvédelmi és Információszabadság Hatóság (54 kohta).
23      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (55 kohta).
24      Ks. tuomio
Nemzeti Adatvédelmi és Információszabadság Hatóság (56 kohta).
25      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (45 kohta).
26      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (47 kohta).
27      Ks. tuomio Nemzeti Adatvédelmi és Információszabadság Hatóság (48 kohta).
28      Ks. esim. tuomio 30.4.2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 ja
C‑332/23, EU:C:2025:303, 136 kohta oikeuskäytäntöviittauksineen).
29      C‑132/21, EU:C:2022:661.
30      Ks. ratkaisuehdotukseni Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, 69 kohta).
31      Ks. ratkaisuehdotukseni Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, 70 kohta).
32      Ks. komission huomautukset (49 kohta).
33      Ks. esim. tuomio 30.4.2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 ja
C‑332/23, EU:C:2025:303, 119 kohta oikeuskäytäntöviittauksineen).
34      Ks. esim. tuomio 30.4.2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 ja
C‑332/23, EU:C:2025:303, 120 kohta oikeuskäytäntöviittauksineen).
35      Ks. esim. tuomio SCHUFA Holding (56 kohta oikeuskäytäntöviittauksineen) sekä tuomio 26.9. 2024, Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 32 kohta).
36      Ks. tuomio
16.7.2020, Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, 112 kohta) ja tuomio 26.9.2024, Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 37 kohta). Unionin tuomioistuin totesi tässä viimeksi mainitussa tuomiossa niin ikään, että valvontaviranomaisen harkintavaltaa rajoittaa tarve varmistaa henkilötietojen suojelun yhdenmukainen ja korkea taso sääntöjen tiukalla soveltamisella, kuten yleisen tietosuoja‑asetuksen johdanto‑osan 7 ja 10 perustelukappaleesta ilmenee (38 kohta).
37      Ks. esim. tuomio SCHUFA Holding (57 kohta oikeuskäytäntöviittauksineen).
38      Ks. tuomio SCHUFA Holding (58 kohta).
39      Ks. tuomio 26.9.2024, Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 42 kohta) ja tuomio 30.4.2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 ja
C‑332/23, EU:C:2025:303, 132 kohta).