62023CC0169
KOHTUJURISTI ETTEPANEK
LAILA MEDINA
esitatud 6. juunil 2024 (
1
)
Kohtuasi C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
versus
UC
(eelotsusetaotlus, mille on esitanud Kúria (Ungari kõrgeim kohus))
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Isikuandmete töötlemine COVID‑19 tõendi väljastamiseks – Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt – Artikli 14 lõige 1 – Erandid teavitamiskohustusest – Liidu või liikmesriigi õiguses sõnaselgelt ette nähtud saamine või avaldamine – Asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks – Artikli 14 lõike 5 punkt c – Õigus esitada kaebus järelevalveasutusele – Artikkel 77
I. Sissejuhatus
1.
Üks isikuandmete vastutava töötleja olulisemaid kohustusi on anda andmesubjektile teavet. Kohtuasjas Bara esitatud ettepanekus märkis kohtujurist Cruz Villalón selle kohta tabavalt, et kohustus teavitada andmesubjekti on „igasuguse töötlemise läbipaistvust tagav nõue“. (
2
) Teavitamiskohustus vastab andmesubjekti olulisele õigusele saada teavet oma andmete töötlemise kohta. Õiguskirjanduses on märgitud, (
3
) et õigus teabele on näide läbipaistvuse põhimõtte avaldumisest ja on kõikide teiste õiguste seisukohast keskne aspekt. Nimelt võimaldavad ulatuslikud teavitamisnõuded andmesubjektil teostada teisi olulisi õigusi, mida on tunnustatud määruses (EL) 2016/679. (
4
)
2.
Käesolev kohtuasi on tekkinud seoses COVID‑19 tõendite väljastamisega. Selles palutakse Euroopa Kohtul esimest korda tõlgendada üldmääruse artikli 14 lõike 5 punktis c sätestatud olulist erandit vastutava töötleja kohustusest anda teavet. Asjaomast erandit analüüsitakse seoses järelevalveasutuse volitustega andmesubjekti esitatud kaebuse kontekstis.
II. Õiguslik taust
A.
Euroopa Liidu õigus
3.
Üldmääruse artikli 14 „Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt“ lõigetes 1, 2 ja 5 on sätestatud:
„1.   Kui isikuandmed ei ole saadud andmesubjektilt, teeb vastutav töötleja andmesubjektile teatavaks järgmise teabe:
a)
vastutava töötleja ning asjakohasel juhul vastutava töötleja esindaja nimi ja kontaktandmed;
b)
asjakohasel juhul andmekaitseametniku kontaktandmed;
c)
isikuandmete töötlemise eesmärk ja õiguslik alus;
d)
asjaomaste isikuandmete liigid;
e)
asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta;
f)
asjakohasel juhul teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandas riigis asuvale vastuvõtjale või rahvusvahelisele organisatsioonile, ning teave kaitse piisavust käsitleva [Euroopa K]omisjoni otsuse olemasolu või puudumise kohta […]
2.   Peale lõikes 1 osutatud teabe esitab vastutav töötleja andmesubjektile järgmise teabe, mis on vajalik andmesubjekti suhtes õiglase ja läbipaistva töötlemise tagamiseks:
a)
isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid;
b)
kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil f, siis teave vastutava töötleja või kolmanda isiku õigustatud huvide kohta;
c)
teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist ning esitada vastuväide selliste isikuandmete töötlemisele, samuti teave isikuandmete ülekandmise õiguse kohta;
d)
kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil a või artikli 9 lõike 2 punktil a, siis teave õiguse kohta nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud isikuandmete töötlemise seaduslikkust;
e)
teave õiguse kohta esitada kaebus järelevalveasutusele;
f)
teave isikuandmete päritoluallika ning asjakohasel juhul selle kohta, kas need pärinevad avalikult kättesaadavatest allikatest,
g)
teave artikli 22 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.
[…]
5.   Lõikeid 1–4 ei kohaldata, kui ja sel määral mil
[…]
c)
isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks,
[…]“.
4.
Üldmääruse artikli 32 „Töötlemise turvalisus“ lõikes 1 on sätestatud:
„Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid […]
[…]“.
5.
Üldmääruse artikli 77 „Õigus esitada järelevalveasutusele kaebus“ lõikes 1 on sätestatud:
„Ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada kaebus järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, töökoht või väidetava rikkumise toimumiskoht, kui andmesubjekt on seisukohal, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.“
B.
Ungari õigus
6.
Valitsuse 12. veebruari määruse 60/2021 koroonaviiruse immuunsustõendi kohta (a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet; edaspidi „määrus 60/2021“) § 2 lõike 1 punktide a–g põhikohtuasjas lahendatavale vaidlusele kohaldatavas redaktsioonis on sätestatud:
„Immuunsustõend sisaldab järgmist:
a)
andmesubjekti nimi;
b)
andmesubjekti passi number, kui talle on väljastatud pass;
c)
andmesubjekti alalise isikut tõendava dokumendi number ja tuvastusandmed, kui talle on väljastatud nimetatud dokument;
d)
immuunsustõendi seerianumber;
e)
vaktsineerimise kuupäev, kui esitatakse vaktsineerimistõend;
f)
tõendi kehtivusaeg, kui esitatakse nakkusest taastumise tõend;
g)
andmete salvestamise kood, mis on arvutusseadmega optiliselt loetav ja genereeritakse punktides a–f osutatud andmete põhjal;
[…]“.
7.
Määruse 60/2021 § 2 lõigete 6 ja 7 kohaselt pidi immuunsustõendi väljastama Budapest Főváros Kormányhivatala (Budapesti pealinnavalitsus, Ungari; edaspidi „pealinnavalitsus“) omal algatusel või taotluse põhjal füüsilisele isikule, kellel on õigus seda saada.
8.
Määruse 60/2021 § 3 lõikes 3 on sätestatud:
„Artikli 2 § 6 punktides c ja d osutatud juhtudel kogub [pealinnavalitsus] automaatse teabeedastuse teel – vajaduse korral összerendelési nyilvántartási [(isikuandmete elektrooniline register, Ungari] asjaomaste teenuste kaudu –,
a)
operaatorilt EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér (elektrooniliste tervishoiuteenuste pakkuja))] järgmised andmed: andmesubjekti sotsiaalkindlustusnumber, § 2 lõike 1 punktides e ja g osutatud andmed ning lõikes 1 osutatud andmed;
b)
isikuandmete ja aadresside registri eest vastutavalt asutuselt järgmised andmed: nimi, passi ja alalise isikut tõendava dokumendi tuvastusandmed ning andmesubjekti aadress.“
III. Vaidlus põhikohtuasjas ja eelotsuse küsimused
9.
UC, kes on füüsiline isik, sai pealinnavalitsuselt immuunsustõendi, mis tõendas, et ta on vaktsineeritud COVID‑19 vastu.
10.
UC esitas 30. aprillil 2021 Nemzeti Adatvédelmi és Információszabadság Hatóságile (riiklik andmekaitse- ja teabevabadusamet, Ungari; edaspidi „Ungari järelevalveasutus“) üldmääruse artikli 77 lõike 1 alusel kaebuse. UC palus nimetatud asutusel kohustada pealinnavalitsust kooskõlastama oma andmetöötlustoimingud üldmääruse sätetega. Kaebuses väitis UC muu hulgas, et pealinnavalitsus ei ole koostanud ega avaldanud immuunsustõendite väljastamisega seotud andmete töötlemise kohta teabelehte ning et puudub piisav teave andmete töötlemise eesmärgi ja õigusliku aluse kohta ning selle kohta, millised õigused on andmesubjektel ja kuidas neid saab kasutada.
11.
Esitatud kaebuse tulemusel algatatud menetluses väitis pealinnavalitsus, et ta täitis oma kohustusi seoses immuunsustõendite väljastamisega vastavalt määruse 60/2021 §‑le 2 ning et töötlemise õiguslik alus oli üldmääruse artikli 6 lõike 1 punkt e ja isikuandmete eriliikide töötlemise osas selle määruse artikli 9 lõike 2 punkt i.
12.
Pealinnavalitsus märkis samuti, et ta on kogunud kõnealused andmed kooskõlas määruse 60/2021 § 3 lõigetega 2 ja 3 automaatse teabeedastuse kaudu elektrooniliste tervishoiuteenuste pakkujalt ning isikuandmete ja aadresside registri eest vastutavalt asutuselt. Ta märkis, et ta ei olnud isikuandmete kaitse üldmääruse artikli 14 lõike 5 punktist c tulenevalt kohustatud andma teavet andmete töötlemise kohta. Sellegipoolest oli ta koostanud asjasse puutuvate andmete töötlemise kohta teabelehe ja avaldanud selle oma veebisaidil.
13.
Ungari järelevalveasutus jättis 15. novembri 2021. aasta otsusega kaebuse rahuldamata põhjendusel, et pealinnavalitsus ei ole kohustatud andma teavet, kuna kõnealuse andmete töötlemise suhtes on kohaldatav üldmääruse artikli 14 lõike 5 punktis c sätestatud erand. Konkreetsemalt väljendas see järelevalveasutus seisukohta, et kõnealuse andmete töötlemise alus oli määrus 60/2021 ja et pealinnavalitsus ei saanud andmeid andmesubjektidelt endilt. Samuti märkis ta, et määruse 60/2021 § 3 lõikes 1 oli pealinnavalitsuse antud sõnaselge korraldus neid andmeid koguda. Seda, et pealinnavalitsus avaldas oma veebisaidil teavet selle andmete töötlemise kohta, ehkki seadus ei kohustanud teda seda tegema, peeti heaks tavaks.
14.
Ungari järelevalveasutus analüüsis omal algatusel üldmääruse artikli 14 lõike 5 punkti c teises lõigus osutatud andmesubjekti õigustatud huvide kaitsmiseks mõeldud asjakohaste meetmete küsimust ja sedastas, et määruse 60/2021 §‑d 2 ja 3 ning 5–7 tuleb sellisteks meetmeteks lugeda.
15.
UC vaidlustas Ungari järelevalveasutuse otsuse Fővárosi Törvényszékis (Pealinna Budapesti kohus, Ungari). Nimetatud kohus rahuldas kaebuse, tühistas Ungari järelevalveasutuse otsuse ja kohustas ta uut menetlust läbi viima.
16.
Fővárosi Törvényszék (Pealinna Budapesti kohus) märkis oma kohtuotsuse põhjenduses, et üldmääruse artikli 14 lõike 5 punktis c sätestatud erand ei ole kohaldatav, sest mõningaid andmeid seoses immuunsustõendiga ei kogutud teiselt asutuselt, vaid need tekitas vastutav töötleja. Nende andmete hulka kuuluvad immuunsustõendi seerianumber, tõendi kehtivusaeg, tõendisse inkorporeeritud QR‑kood, triipkood ja muud tähtnumbrilised koodid, mis vastutav töötleja oma menetluse käigus tekitab.
17.
Ungari järelevalveasutus esitas selle Fővárosi Törvényszéki (Pealinna Budapesti kohus) lõpliku otsuse peale erakorralist õiguskaitsevahendit kasutades kassatsioonkaebuse Kúriale (Ungari kõrgeim kohus).
18.
Eelotsusetaotluse esitanud kohus on seoses üldmääruse artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisega seisukohal, et seda võib kohaldada igat liiki andmete töötlemise suhtes, mis ei puuduta üldmääruse artikli 13 tähenduses andmesubjektilt kogutud andmeid, sealhulgas vastutava töötleja tekitatud andmete suhtes.
19.
Kui järgida seda üldmääruse artikli 14 lõike 5 punkti c tõlgendust, on eelotsusetaotluse esitanud kohtul kahtlusi selles, millise ulatusega on riiklike järelevalveasutuste parandusvolitused üldmääruse artikli 77 lõike 1 alusel esitatud kaebuse kontekstis. Täpsemalt on eelotsusetaotluse esitanud kohtul kahtlusi, kas järelevalveasutus on niisuguse kaebuse kontekstis pädev analüüsima liikmesriigi õiguses ette nähtud asjakohaste meetmete küsimust, millele on viidatud üldmääruse artikli 14 lõike 5 punktis c.
20.
Kui peaks otsustatama, et järelevalveasutus on pädev seda tegema, ei ole eelotsusetaotluse esitanud kohus kindel, mida täpselt tähendab mõiste „asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks“. Sellega seoses märgib ta, et võib asuda seisukohale, et „asjakohaste meetmetega“ kaasneb ühest küljest üldmääruse artikli 14 lõike 1 punktide a–f ülevõtmine riigisisesesse õigusesse. Teisest küljest võib nende meetmetega kaasneda õigus taotleda, et analüüsitaks andmete töötlemise turvalisust, mida reguleerib üldmääruse artikkel 32. See mõiste „asjakohased meetmed“ käsitus aga kujutaks endast ohtu, et õigusaktid koormatakse tehniliste sätetega, mis läheks vastuollu nõudega, et seadusandlikud aktid peavad olema arusaadavad ja selged. Piisav tagatis võiks olla ka see, kui andmete turvalisusega seotud meetmeid järgitakse ka siis, kui neid ei ole konkreetselt üle võetud.
21.
Sellega seoses otsustas Kúria (Ungari kõrgeim kohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.
Kas [üldmääruse] artikli 14 lõike 5 punkti c koostoimes artikli 14 lõike 1 ja põhjendusega 62 tuleb tõlgendada nii, et artikli 14 lõike 5 punktis c ette nähtud erandit ei kohaldata andmetele, mis tekivad vastutava töötleja tegevuse käigus, vaid ainult andmetele, mille vastutav töötleja on saanud selgelt mõnelt muult isikult?
2.
Juhul, kui [üldmääruse] artikli 14 lõike 5 punkti c tuleb kohaldada ka andmetele, mis tekivad vastutava töötleja tegevuse käigus, siis kas õigust esitada kaebus järelevalveasutusele, mis on sätestatud isikuandmete kaitse üldmääruse artikli 77 lõikes 1, tuleb tõlgendada nii, et füüsiline isik, kes väidab, et teabe esitamise kohustust ei ole täidetud, võib paluda oma kaebuse esitamise õigust kasutades, et uuritaks, kas vastavalt [üldmääruse] artikli 14 lõike 5 punktile c on liikmesriigi õiguses sätestatud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks?
3.
Juhul, kui vastus teisele küsimusele on jaatav, siis kas [üldmääruse] artikli 14 lõike 5 punktil c saab tõlgendada nii, et nimetatud sättes osutatud „asjakohased meetmed“ tähendavad, et liikmesriigi seadusandja peab [üldmääruse] artiklis 32 sätestatud töötlemise turvalisust käsitlevad sätted (õigusnormiga) üle võtma?“
22.
UC, Ungari järelevalveasutus, Ungari valitsus ja komisjon on esitanud kirjalikud seisukohad. Euroopa Kohus saatis menetlusosalistele ja huvitatud isikutele Euroopa Liidu Kohtu põhikirja artikli 23 alusel kirjalikult vastatavaid küsimusi, millele vastasid UC, Tšehhi valitsus, Ungari valitsus ja komisjon.
IV. Hinnang
A.
Sissejuhatavad märkused üldmääruse artikli 14 lõike 5 punktis c sätestatud teavitamiskohustuse ja erandi kohta
23.
Andmesubjektide teavitamine on üks üldmääruse artikli 5 lõike 1 punktis a sätestatud läbipaistvuse põhimõtte keskseid aspekte. Läbipaistvus annab „andmesubjektidel[e] õigus[e] pidada vastutavaid ja volitatud töötlejaid vastutavaks“, kuna see tugevdab nende võimalusi rakendada oma andmete suhtes kontrolli. (
5
) Nimelt, nagu on märgitud kohtuotsuses Bara jt, „nende isikute, kelle isikuandmeid töödeldakse, teavitamise nõue on seda tähtsam, et see on vajalik tingimus, et asjasse puutuvad isikud saaksid kasutada oma […] õigust töödeldud andmetega tutvuda ja neid parandada“. (
6
) Peamised sellekohased sätted on üldmääruse artiklid 12, 13 ja 14.
24.
Üldmääruse artikli 12 lõike 1 kohaselt peab vastutav töötleja võtma asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave „kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt“. Harilikult antakse see teave andmekaitsetingimustes, isikuandmete kaitse teates või isikuandmete kaitse avalduses. (
7
)
25.
Teavitamiskohustuse sisu ja ulatus on ette nähtud üldmääruse artiklites 13 ja 14. Artikkel 13 reguleerib teavet, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt (otsene andmete kogumine), artikkel 14 aga teavet, mis tuleb anda juhul, kui isikuandmed ei ole saadud andmesubjektilt (kaudne andmete kogumine). (
8
) Nende kahe artikli kohaselt antav teave kattub olulisel määral. (
9
)
26.
Selles osas, mis puudutab kaudset andmete kogumist, hõlmab üldmääruse artikli 14 lõige 1 „standardsesse infokataloogi“ (
10
) teabe seoses vastutava töötleja isiku, töötlemise eesmärkide, andmete vastuvõtjate ning võimaliku andmete edastamisega kolmandas riigis asuvale vastuvõtjale. Õiglase ja läbipaistva töötlemise tagamiseks vajaliku lisateabe hulgas on üldmääruse artikli 14 lõikes 2 sõnaselgelt viidatud isikuandmete säilitamise ajavahemikule, vastutava töötleja õigustatud huvidele (
11
) ning teabele õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu isikuandmetele ning nende parandamist või kustutamist.
27.
Seoses vastutava töötleja teavitamiskohustusega üldmääruse artikli 14 kohase kaudse andmete kogumise korral kehtib neli erandit, mis on sätestatud selle artikli lõikes 5. Põhimenetluses puutub asjasse artikli 14 lõike 5 punktis c sätestatud erand, mis sisaldab „kaitseklauslit“. (
12
) Vastutav töötleja on teavitamiskohustusest vabastatud juhul ja niivõrd, kui „isikuandmete saamine või avaldamine on sõnaselgelt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks“.
28.
Üldmääruse artikli 14 lõike 5 punkti c ingliskeelses versioonis, nagu ka teistes keeleversioonides, (
13
) ei ole sõnaselgelt viidatud „saamise või avaldamise“ kui teo esemele. Mitmes muus keeleversioonis on viidatud sõnaselgelt „andmete“ saamisele või avaldamisele. (
14
) Näib, et ainult prantsuskeelses versioonis on viidatud „teabe“ saamisele või avaldamisele. (
15
)
29.
Ent kuna liidu õigusakti kõiki keeleversioone tuleb põhimõtteliselt tunnustada kui samaväärseid, tuleb nendevaheliste erinevuste korral asjaomast sätet tõlgendada lähtuvalt selle reeglistiku üldisest süsteemist ja eesmärkidest, millesse see säte kuulub. (
16
)
30.
Selles aspektis nähtub selle reeglistiku üldisest süsteemist, millesse üldmääruse artikli 14 lõike 5 punkt c kuulub, et kõnealune saamine või avaldamine puudutab isikuandmeid (erinevalt teabest). Juba artikli 14 pealkirjast nähtub, et teavet „esitatakse“, samas kui saamine puudub „isikuandmeid“. Seda tõlgendust kinnitavad põhjendus 61, milles on viidatud muust allikast hangitavatele „andmetele“, ja põhjendus 62, milles on viidatud „isikuandmete“ dokumenteerimisele või avaldamisele. Samuti, kui võtta arvesse üldmääruse artikli 4 punktis 2 määratletud mõiste „isikuandmete töötlemine“ laia täiendust, s.o isikuandmete või nende kogumitega tehtav toiming või toimingute kogum, (
17
) tuleb „saamine või avaldamine“ kvalifitseerida isikuandmetega tehtavaks töötlemistoiminguks.
31.
Mis puudutab selle reeglistiku eesmärki, millesse artikli 14 lõike 5 punkt c kuulub, siis asjaomane erand näib põhinevat eeldusel, et liidu või liikmesriigi õigus asendab vastutaval töötlejal harilikult lasuva kohustuse anda teavet andmete saamise või avaldamise kohta. (
18
) Asjaomasest seadusest tulenevalt on andmesubjektidel andmete saamise või avaldamise kohta juba piisavad teadmised. (
19
) Selline seadus, mis vastutava töötleja suhtes kehtib, peab sõnaselgelt puudutama andmete saamist või avaldamist ning see andmete saamine või avaldamine peaks olema vastutava töötleja jaoks kohustuslik. (
20
)
32.
Seega järeldub eelnevast selgelt, et saamise või avaldamisega seotud erandi ese puudutab isikuandmeid.
33.
Neid tähelepanekuid arvesse võttes uurin täpsemalt üldmääruse artikli 14 lõike 5 punktis c sätestatud erandit eelotsuse küsimuste analüüsi kontekstis.
B.
Esimene küsimus
34.
Sisuliselt soovib eelotsusetaotluse esitanud kohus oma esimese küsimusega teada, kas üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et erand vastutava töötleja kohustusest anda andmesubjektile teavet on kohaldatav vaid niisuguste andmete suhtes, mida vastutav töötleja on selgelt saanud muult isikult, ja nende hulka ei kuulu andmed, mida vastutav töötleja on tekitanud omaenda menetluse käigus.
35.
Küsimus tuleneb sellest, et põhimenetluses ei saadud teatavaid COVID-19 tõendites näidatud andmeid teiselt organisatsioonilt, vaid need tekitati pealinnavalitsuses. (
21
)
36.
Seepärast tuleb kindlaks määrata, kas üldmääruse artikli 14 lõike 5 punktis c kasutatud mõiste „saamine“ ei hõlma vastutava töötleja tekitatud andmeid.
37.
Sellele küsimusele vastamiseks tuleb kõigepealt meeles pidada, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult normi sõnastust, vaid ka selle konteksti ning selle õigusaktiga taotletavaid eesmärke, mille osa norm on. (
22
)
38.
Mis puudutab üldmääruse artikli 14 lõike 5 punkti c sõnastust, ei ole selles sättes ette nähtud piirangut seoses konkreetse töötlemisviisi või täpse meetodiga, mille abil vastutav töötleja andmed saab. Andmeid võib saada tehniliste toimingute abil, nagu andmete tekitamine vastutava töötleja poolt.
39.
Mõiste „saamine“ laia käsitust kinnitab üldmääruse põhjendus 62. Selles põhjenduses on kasutatud mõistet andmete „dokumenteerimine“, toiming, mis, nagu eelotsusetaotluse esitanud kohus on osutanud, viitab laiemale töötlustoimingute kogumile, mida vastutav töötleja võib teha. Seetõttu ei saa artikli 14 lõike 5 punkti c tõlgendada nii, et see on kohaldatav vaid teiselt isikult saadud andmetele, mitte aga vastutava töötleja tekitatud andmetele.
40.
Seda üldmääruse artikli 14 lõike 5 punkti c tõlgendust toetab ka selle sätte kontekst ning eesmärgid ja otstarve.
41.
Sellega seoses tuleb osutada, et artikli 14 lõikes 5 sätestatud erandid on seotud sama artikli lõigetega 1–4. Artikli 14 (mille osa asjakohane erand on) esemeline kohaldamisala on määratletud negatiivselt, võrreldes artikliga 13. Artikkel 13 reguleerib teavet, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt, artikkel 14 aga reguleerib teabe andmist juhul, kui isikuandmed ei ole saadud andmesubjektilt. Sellest dihhotoomiast otsese ja kaudse andmete kogumise vahel järeldub, et kõik juhud, mil andmed ei ole saadud andmesubjektilt, kuuluvad artikli 14 kohaldamisalasse. Eeldusel, et andmed ei ole saadud andmesubjektilt, ei ole oluline, kas need on vastutava töötleja tekitatud või mitte. Artikli 14 laia kohaldamisala kinnitab ka põhjendus 61, milles on viidatud andmetele, mida „hangitakse muust allikast“, s.o allikast, mis ei ole andmesubjekt.
42.
Peale selle, nagu komisjon ja Ungari järelevalveasutus sisuliselt märkisid, kujutavad üldmääruse artiklites 13 ja 14 sätestatud õigusnormid endast terviklikku süsteemi, mis reguleerib andmesubjekti teavitamist kõikides võimalikes olukordades. Kui tõlgendada üldmääruse artikli 14 lõike 5 punktis c kasutatud mõistet „saamine“ nii, et see ei hõlma vastutava töötleja tekitatud andmeid, oleks sellel sättel kitsam kohaldamisala kui artiklil 14, mille osa see säte on.
43.
Selles osas, mis puudutab asjaomase erandi konkreetset eesmärki, põhineb vastutava töötleja vabastamine teavitamiskohustusest, nagu on märgitud käesoleva ettepaneku sissejuhatavates märkustes, eeldusel, et seadus asendab vastutavale töötlejale harilikult pandud teavitamiskohustuse. (
23
) Artikli 14 lõike 5 punktis c sätestatud erand annab liikmesriikidele kaalutlusõiguse näha ette teistsugune viis andmesubjekti teavitamiseks ning isikuandmete õiglase ja läbipaistva töötlemise tagamiseks, võrreldes teabega, mida vastutav töötleja annab individuaalselt. See teistsugune õiguslik viis peab siiski andma sama tulemuse. Vastutavatele töötlejatele pandud teavitamiskohustust asendav seadus peab andma andmesubjektile niisuguse positsiooni, et tema andmed on tema kontrolli all ja ta saab teostada üldmäärusest tulenevaid õigusi. (
24
)
44.
Kui tõlgendada artikli 14 lõike 5 punkti c nii, et selle kohaldamisala ei hõlma andmete tekitamist vastutava töötleja poolt, piiraks see liikmesriikidele jäetud kaalutlusruumi põhjendusel, mis ei näi andmesubjekti õigustatud huvide kaitse seisukohast asjakohane.
45.
Teistsugune tõlgendus – millega seataks sisse erand artikli 14 lõike 5 punktis c sätestatud erandist juhul, kui andmed on tekitanud vastutav töötleja – võib pealegi muuta asja andmesubjekti jaoks veel keerulisemaks. Andmesubjekt peab teadma, millisest allikast saab ta teavet oma andmete töötlemise kohta, kui neid andmeid ei koguta andmesubjektilt endalt. Asjaomane seadus peab muutma isikuandmete töötlemise andmesubjekti jaoks kõikides niisugustes olukordades ettearvatavaks. (
25
)
46.
Eelnevast järelduvalt tuleb üldmääruse artikli 14 lõike 5 punkti c tõlgendada nii, et kõnealune erand vastutava töötleja kohustusest andmesubjekti teavitada on kohaldatav kõikidele andmetele, mida vastutav töötleja ei ole saanud andmesubjektilt. Seejuures ei ole oluline, kas andmed on selgelt saadud teiselt isikult või kas vastutav töötleja on tekitanud andmed omaenda menetluse käigus.
C.
Teine küsimus
47.
Sisuliselt soovib eelotsusetaotluse esitanud kohus oma teise küsimusega teada, kas üldmääruse artikli 77 lõiget 1 tuleb sama määruse artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisel tõlgendada nii, et järelevalveasutus on kaebemenetluses pädev kontrollima, kas liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
48.
Sellega seoses tuleb meenutada, et esiteks on igal andmesubjektil üldmääruse artikli 77 lõike 1 kohaselt õigus esitada järelevalveasutusele kaebus, kui ta leiab, et teda puudutavate isikuandmete töötlemine rikub seda määrust. (
26
)
49.
Teiseks on iga järelevalveasutus sama määruse artikli 55 lõike 1 kohaselt oma liikmesriigi territooriumil pädev täitma ülesandeid ja kasutama volitusi, mis on talle kooskõlas selle määrusega antud. (
27
) Samuti vastutavad riiklikud järelevalveasutused üldmääruse artikli 57 lõike 1 punkti a kohaselt üldmääruse kohaldamise jälgimise ja tagamise eest.
50.
Kahes eelmises punktis viidatud sätetega ei ole arvatud riiklike järelevalveasutuste pädevusest välja üldmääruse artikli 14 lõike 5 punktis c sätestatud erandi kohaldamise tingimusi.
51.
Seega, nagu Ungari valitsus ja komisjon sisuliselt väitsid, on järelevalveasutused üldmääruse artikli 77 lõike 1 alusel esitatud kaebuse kontekstis pädevad kontrollima, kas kõik artikli 14 lõike 5 punktis c sätestatud tingimused on täidetud. Nagu nähtub artikli 14 lõike 5 esimesest lausest, kohaldatakse kõiki selles sätestatud erandeid „kui ja sel määral mil“ selles sätestatud tingimused on täidetud.
52.
Sellega seoses peab järelevalveasutustel olema pädevus uurida konkreetsemalt esiteks seda, kas seaduses on vastutavat töötlejat otseselt käsitletud ning kas isikuandmete saamine või avaldamine on vastutavale töötlejale kohustuslik. (
28
) Teiseks peavad järelevalveasutused saama uurida, kas seaduses, millele vastutav töötleja tugineb, on ette nähtud „asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks“ ning kas vastutav töötleja on võimeline tõendama, et isikuandmete saamisel või avaldamisel järgitakse neid meetmeid. (
29
)
53.
Ungari järelevalveasutus märgib, et selle kontrollimine, kas riigisiseses õiguses on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks, ulatuks kaugemale tema ülesannetest ja volitustest, mis tulenevad vastavalt üldmääruse artiklitest 57 ja 58. Nimetatud asutus on seisukohal, et need sätted ei anna riigisisesele õigusele parandusvolitusi ja et niisuguseid volitusi ei ole võimalik kasutada vastutava töötleja suhtes, kes kõigest järgis riigisisest õigust.
54.
Sellega seoses tuleb osutada, et kui riiklik järelevalveasutus uurib küsimust, kas kõik artikli 14 lõike 5 punktis c sätestatud erandki kohaldamiseks vajalikud nõuded on täidetud, ei tähenda see, nagu komisjon õigesti märkis, riigisisese õiguse õiguspärasuse kontrolli. Järelevalveasutus uurib vaid seda, kas vastutaval töötlejal on õigus tugineda konkreetses olukorras konkreetse andmesubjekti suhtes sellele erandile.
55.
Seetõttu lasub riiklikul järelevalveasutusel kohustus uurida andmesubjekti väidet, et vastutav töötleja ei tohiks olla teavitamiskohustusest vabastatud põhjendusel, et asjakohases seaduses ei ole ette nähtud asjakohaseid meetmeid andmesubjekti õigustatud huvide kaitsmiseks.
56.
Kui riiklik järelevalveasutus jõuab järeldusele, et väide ei ole põhjendatud, peab selle väite esitanud isikul, kes selle järelduse vaidlustab, olema, nagu nähtub üldmääruse artiklist 78, võimalus kasutada õiguskaitsevahendeid, mis võimaldavad tal selle otsuse riigisisestes kohtutes vaidlustada.
57.
Kui riiklik järelevalveasutus on seisukohal, et väide on põhjendatud ja et erandi tingimused ei ole täidetud, on ta pädev – nagu Ungari valitsus ja komisjon on sisuliselt väitnud – kohustama vastutavat töötlejat andmesubjekti taotluse täitma. Selles olukorras peab vastutav töötleja andma kõnealuse teabe vastavalt artikli 14 lõigetele 1–4.
58.
Vastuseks Euroopa Kohtu kirjalikele küsimustele märkis Tšehhi valitsus, et andmesubjekti õigustatud huvide kaitsmiseks võetud meetmete sobivust ei ole võimalik kontrollida, kui riigisiseses õiguses on konkreetse olukorra osas sihipäraselt ette nähtud erand teavitamiskohustusest. Tuginedes kohtuotsusele Schrems, (
30
) märgib nimetatud valitsus sisuliselt, et selle kontroll, kas üks õigusallikas on kooskõlas teise õigusallikaga, on üksnes kohtute, mitte haldusasutuse ülesanne.
59.
Sellega seoses tuleb meenutada, et üks kohtuasjas Schrems käsitletud põhiküsimusi puudutas riiklike järelevalveasutuste pädevust vaadata läbi isiku avaldus, mis puudutab tema õiguste ja vabaduste kaitset seoses komisjoni otsusega, mille kohaselt kolmas riik tagab piisaval tasemel kaitse. (
31
) Euroopa Kohus otsustas sisuliselt, et kui liikmesriigi järelevalveasutus vaatab läbi niisugust avaldust, ei ole tal õigust ise sellist otsust kehtetuks tunnistada. (
32
) Kui järelevalveasutus peab tema poole pöördunud isiku väiteid põhjendatuks, peab sellel asutusel olema võimalik osaleda kohtumenetluses. (
33
)
60.
Kohtuotsus Schrems ei näi siiski olevat otseselt asjakohane küsimuses, mis puudutab järelevalveasutuste volitusi üldmääruse artikli 14 lõike 5 punktis c ette nähtud erandi kontrollimisel. Kõigepealt tuleb osutada, et selle kontrolli kontekstis ei sekku järelevalveasutus vastutavale töötlejale seadusega pandud kohustusse saada või avaldada isikuandmeid. Teisisõnu ei kohusta järelevalveasutus vastutavat töötlejat hoiduma kohaldamast seaduses ette nähtud saamise või avaldamise nõuet, mis jääb vastutavale töötlejale siduvaks. Nagu komisjon ja Ungari valitsus sisuliselt väitsid, seisneb riikliku järelevalveasutuse pädevus selles, et vastutavat töötlejat kohustatakse andma vajalik teave andmekaitsetingimustes, (
34
) kui asjaomase erandi tingimused ei ole täidetud. Niisugune korraldus, nagu eespool märgitud, ei puutu vastutava töötleja suhtes kehtiva õigusliku meetme õiguspärasusse.
61.
Järelevalveasutuse pädevus kohustada vastutavat töötlejat andma teavet ei piira selle asutuse riigisiseses õiguses vastavalt üldmääruse artikli 58 lõikele 5 ette nähtud õigust osaleda kohtumenetlustes, kui ta on seisukohal, et kõnealune õiguslik meede on kehtetu.
62.
Lõpuks on järelevalveasutusel süsteemsemal tasandil, nagu märkisid kõik huvitatud isikud, pädevus anda seadusandjale või täitevvõimule nõu muuta asjakohast õiguslikku meedet, kui ta on seisukohal, et selles ei ole ette nähtud asjakohaseid meetmeid andmesubjekti õigustatud huvide kaitsmiseks. Sellega seoses tuleb meenutada, et üldmääruse artikli 57 lõike 1 punkti c kohaselt on järelevalveasutuste ülesanne nõustada riigi parlamenti, valitsust ning teisi institutsioone ja organeid. Samuti on neil üldmääruse artikli 58 lõike 3 punktis b ette nähtud nõuandepädevus.
63.
Eelnevast järelduvalt tuleb üldmääruse artikli 77 lõiget 1 tõlgendada nii, et järelevalveasutus on kaebemenetluses pädev kontrollima, kas kõik selle määruse artikli 14 lõike 5 punktis c sätestatud nõuded on täidetud. Täpsemalt on ta pädev kontrollima, kas vastutava töötleja suhtes kohaldatavates liikmesriigi õigusnormides on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
D.
Kolmas küsimus
64.
Sisuliselt soovib eelotsusetaotluse esitanud kohus oma kolmanda küsimusega teada, kas üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et selles sättes viidatud „asjakohased meetmed“ tähendavad, et liikmesriigi seadusandja peab võtma üle andmete töötlemise turvalisust käsitlevad meetmed, mis on ette nähtud selle määruse artikliga 32.
65.
Sellega seoses tuleb meenutada, et ühest küljest oleneb teavitamiskohustuse suhtes üldmääruse artikli 14 lõike 5 punktis c sätestatud erandi kohaldatavus sellest, kas andmesubjekti õigustatud huvide kaitsmiseks on ette nähtud „asjakohased meetmed“. Teisest küljest tuleneb üldmääruse artiklist 32, et vastutav töötleja ja volitatud töötleja peavad rakendama „asjakohaseid tehnilisi ja korralduslikke meetmeid“, et tagada andmete töötlemise turvalisus.
66.
Ent nagu komisjon märgib, on artiklitel 14 ja 32 erinevad kohaldamisalad. Mõiste „asjakohased meetmed“ ulatust tuleb analüüsida üldmääruse artikli 14 kontekstis. Seetõttu ei ole võimalik määrata ühte artikli 14 lõike 5 punktis c sätestatud erandi kohaldamise tingimust kindlaks sel teel, et võetakse üle teises sättes kasutatud mõiste „asjakohased tehnilised ja korralduslikud meetmed“. Samuti ei näi üldmääruse artikli 32 kontekstis asjakohane, kas teavet annab vastutav töötleja või kas saamine või avaldamine on seadusega ette nähtud. Sellele vastavalt peab järelevalveasutuse tehtava kontrolli ese olema piiritletud artikli 14 kohaldamisalaga.
67.
Mõiste „asjakohased meetmed“ täpset sisu ei ole üldmääruse artikli 14 lõike 5 punktis c määratletud. See mõiste on piisavalt lai, et hõlmata iga meedet, mida seadusandja peab vajalikuks ja asjakohaseks. Sisuliselt tuleb mõistet „asjakohased meetmed“ tõlgendades, nagu komisjon märkis, võtta arvesse läbipaistvuse põhimõtet, mis on sätestatud üldmääruse artikli 5 lõike 1 punktis a. Selles suhtes on oluline arvesse võtta, et asjaomane seadus, nagu on osutatud käesoleva ettepaneku sissejuhatavates märkustes, (
35
)„asendab“ vastutaval töötlejal harilikult lasuvat teavitamiskohustust. Seadusandja ülesanne on määrata kindlaks asjakohased meetmed olenevalt näiteks saadavate andmete kategooriast ja andmete töötlemise kontekstist.
68.
Tšehhi valitsus märkis Euroopa Kohtu küsimusele vastates, et asjakohaste meetmete ulatus on üldmääruse artikli 14 lõigetes 1, 2 ja 4 sätestatud teabe loetelust laiem.
69.
Olen nõus, et meetmete asjakohasuse hindamiseks ei saa kasutada üksnes „mehaanilist“ võrdlust vastutava töötleja teavitamiskohustustega, mis on üldmäärusega ühtlustatud. Näib olevat mõttetu sätestada artikli 14 lõike 5 punktis c „kaitseklausel“, (
36
) kui kehtestatakse täpselt samad kohustused, jätmata seadusandjale kaalutlusruumi. Samas peab asjakohane seadus tagama nõuetekohaselt õiglase ja läbipaistva töötlemise, mis on samaväärne artikli 14 lõigetes 1–4 tagatuga. (
37
) Selleks et andmesubjekt saaks hinnata võimalikku ohtu, mis on seotud andmete saamise ja töötlemisega, (
38
) peab lihtsalt asjakohast õigussätet lugedes olema selge, kes, miks ja kuidas neid andmeid töötleb. (
39
) Nagu eespool (
40
) osutasin, tuleb teistsugust õiguslikku teed minnes saavutada sama tulemus, mis seisneb andmesubjekti panekus sellisesse olukorda, kus tema andmed on tema kontrolli all ja kus ta saab teostada üldmäärusest tulenevaid õigusi.
70.
Andmete töötlemise konkreetne õiguslik alus mõjutab ka „asjakohaste meetmete“ kindlaksmääramist konkreetsete töötlemise asjaolude suhtes. Sellega seoses tuleb meenutada, et üldmääruse artikli 6 lõike 1 punktidest c ja e tulenevalt on andmete töötlemine seaduslik vaid juhul ja niivõrd, kui see töötlemine on vajalik vastutava töötleja juriidilise kohustuse täitmiseks ning kui see töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks. Seoses sellise töötlemisega võivad liikmesriigid artikli 6 lõike 2 kohaselt säilitada või kehtestada konkreetsemad sätted, et kohandada üldmääruse sätete kohaldamist seoses isikuandmete töötlemisega, määrates üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine. (
41
) Üldmääruse artikli 9 lõike 2 punkti i kohaselt, kui töötlemine on vajalik rahvatervise valdkonna avalikes huvides, tuleb liikmesriigi (või liidu) õiguses ette näha sobivad ja konkreetsed meetmed andmesubjekti õiguste ja vabaduste kaitseks.
71.
Põhikohtuasjas käsitletaval juhul oli andmete hankimine ette nähtud määrusega 60/2021, mis, nagu kohtutoimikust nähtub, võeti vastu üldmääruse artikli 6 lõike 1 punktide c ja e ning artikli 9 lõike 2 punkti i alusel. Ungari valitsuse väitel olid määrusega 60/2021 ette nähtud lisatagatised lisaks üldistele kaitsemeetmetele, mis on kohaldatavad töötlemise seaduslikkuse tagamiseks vastu võetud õigusraamistikust tulenevalt. Sellega seoses märkis nimetatud valitsus, et üks neist tagatistest seisnes selles, et selles määruses nimetatud allhankijad on riigi omandis ja peavad järgima andmeturbealaseid seaduslikke raame, mis on kohaldatavad riigiorganitele ja kohalikele omavalitsustele. Eelotsusetaotluse esitanud kohtu ülesanne on neid avaldusi eespool kirjeldatud kaalutlusi arvesse võttes analüüsida ja hinnata, kas liikmesriigi õiguses on ette nähtud sobivad meetmed.
72.
Eelnevat arvesse võttes asun seisukohale, et üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et selles sättes viidatud „asjakohased meetmed“ ei tähenda, et liikmesriigi seadusandja peab võtma üle andmete töötlemise turvalisust käsitlevad meetmed, mis on ette nähtud selle määruse artikliga 32.
V. Ettepanek
73.
Kõikidel nendel kaalutlustel teen Euroopa Kohtule ettepaneku vastata Kúria (Ungari kõrgeim kohus) eelotsuse küsimustele järgmiselt:
1.
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 14 lõike 5 punkti c
tuleb tõlgendada nii, et erand vastutava töötleja kohustusest andmesubjekti teavitada on kohaldatav kõikidele andmetele, mida vastutav töötleja ei ole saanud andmesubjektilt. Seejuures ei ole oluline, kas andmed on selgelt saadud teiselt isikult või kas vastutav töötleja on tekitanud andmed omaenda menetluse käigus.
2.
Määruse 2016/679 artikli 77 lõiget 1
tuleb tõlgendada nii, et järelevalveasutus on kaebemenetluses pädev kontrollima, kas kõik selle määruse artikli 14 lõike 5 punktis c sätestatud nõuded on täidetud. Täpsemalt on ta pädev kontrollima, kas vastutava töötleja suhtes kohaldatavates liikmesriigi õigusnormides on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.
3.
Määruse 2016/679 artikli 14 lõike 5 punkti c
tuleb tõlgendada nii, et selles sättes viidatud „asjakohased meetmed“ ei tähenda, et liikmesriigi seadusandja peab võtma üle andmete töötlemise turvalisust käsitlevad meetmed, mis on ette nähtud selle määruse artikliga 32.
(
1
)	Algkeel: inglise.
(
i
)	Käesoleval kohtuasjal on väljamõeldud nimi. See ei vasta ühegi menetlusosalise tegelikule nimele.
(
2
)	Kohtujurist Cruz Villalóni ettepanek kohtuasjas Bara jt (C‑201/14, EU:C:2015:461, punkt 74) (kohtujuristi kursiiv).
(
3
)	Vrabec, U.H., Data Subject Rights under the GDPR, Oxford University Press_Oxford, 2021, lk 64.
(
4
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „üldmäärus“).
(
5
)	Vt artikli 29 alusel asutatud andmekaitse töörühma „Suunised määruse 2016/679 kohase läbipaistvuse kohta“, vastu võetud 29. novembril 2017, 17/ET WP 260 rev. 01 (edaspidi „läbipaistvussuunised“), punkt 4. Seejärel asendati see töörühm Euroopa Andmekaitsenõukoguga. Läbipaistvussuunised aga jäid kehtima. Vt samuti Euroopa Andmekaitsenõukogu „Suunised 03/2020 terviseandmete töötlemise kohta teadusuuringute eesmärgil seoses COVID‑19 puhanguga“, vastu võetud 21. aprillil 2020, punkt 5.1.2.4.
(
6
)	1. oktoobri 2015. aasta kohtuotsus Bara jt (C‑201/14, EU:C:2015:638, punkt 33), milles on viidatud kohtujurist Cruz Villalóni ettepanekule samas kohtuasjas.
(
7
)	Läbipaistvussuunised, punkt 24. Vt samuti käesoleva ettepaneku 3. joonealuses märkuses viidatud Vrabec, H., Data Subject Rights under the GDPR, lk 84.
(
8
)	Vt Zanfir‑Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject“ – Kuner, C., Bygrave, L.A. ja Docksey, C. (toim), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, lk 435–448, vt lk 436.
(
9
)	Ibid., lk 444.
(
10
)	Käesoleva ettepaneku 3. joonealuses märkuses viidatud Vrabec, H., Data Subject Rights under the GDPR, lk 68.
(
11
)	Kui isikuandmete töötlemine põhineb üldmääruse artikli 6 lõike 1 punktil f.
(
12
)	Kaitseklauslit sisaldava sättena võimaldab see liikmesriikidel ette näha täiendavaid, rangemaid või eranditloovaid riigisiseseid eeskirju ning jätab liikmesriikidele kaalutlusruumi asjakohase sätte rakendamisel (vt selle kohta 30. märtsi 2023. aasta kohtuotsus Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51). Vt Knyrim, R., „IV. Ausnahme von der Informationspflicht“ – Ehmann, E., ja Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2. väljaanne, 2018, artikkel 14, punktid 42–48, vt punkt 47.
(
13
)	Nimelt bulgaaria, taani, saksa, kreeka, hispaania, itaalia, läti, poola, slovaki ja rootsi keeles.
(
14
)	Iseäranis on see nii eesti keeles („isikuandmed“), leedu keeles („duomenų“), ungari keeles („adat“), hollandi keeles („gegevens“), portugali keeles („dados“), rumeenia keeles („datelor“) ja soome keeles („tietojen“).
(
15
)	Prantsuskeelses õiguskirjanduses on märgitud, et prantsuskeelses versioonis oleks pidanud olema „andmed“, mitte „teave“, nagu see oli üldmääruse artikli 14 lõike 5 punktile c ajaliselt eelnenud sättes, nimelt Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikli 11 lõikes 2 (vt de Terwangne, C., ja Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant“ – Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Brüssel, 1. väljaanne, 2018, lk 409–432, 132. joonealune märkus).
(
16
)	Vt selle kohta 21. märtsi 2024. aasta kohtuotsus Cobult (C‑76/23, EU:C:2024:253, punkt 25 ja seal viidatud kohtupraktika).
(
17
)	Vt selle kohta 5. oktoobri 2023. aasta kohtuotsus Ministerstvo zdravotnictví (mobiilirakendus COVID‑19) (C‑659/22, EU:C:2023:745, punkt 27).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht“, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden‑Baden, 2022, lk 272–298, vt lk 280. Samuti märgib see autor (leheküljel 281), et vastutava töötleja vabastamine teabe andmise kohustusest artikli 14 lõike 5 punktis c silmas peetud olukorras on vahend „teabeväsimuse“ või „teabeülekoormuse“ ohu ärahoidmiseks; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)“ – Simitis, S., Hornung, G., ja Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, punktid 27–28, vt punkt 27, milles on viidatud asjakohasele seadusele kui niisugusele, mis „piisavalt asendab“ („hinreichendes Surrogat“) nõutavat teavet, mida annab vastutav töötleja.
(
19
)	Eespool 18. joonealuses märkuses viidatud Dix, A.
(
20
)	Läbipaistvussuunised, punkt 66. Sellele vastavalt peavad vastutavad töötlejad olema võimelised tõendama, kuidas on kõnealused õigusnormid nende suhtes kohaldatavad, ja kohustavad neid kas saama või avaldama kõnealuseid isikuandmeid.
(
21
)	Vt käesoleva ettepaneku punkt 16.
(
22
)	7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 48 ja seal viidatud kohtupraktika).
(
23
)	Vt eespool punkt 31.
(
24
)	Vt eespool punkt 23.
(
25
)	Dix, A. – Simitis, S., Hornung, G., ja Spiecker, I., op. cit. käesoleva ettepaneku 18. joonealuses märkuses, ning Ebner, K., op. cit. käesoleva ettepaneku 18. joonealuses märkuses, lk 281.
(
26
)	26. jaanuari 2024. aasta kohtuotsus Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, punkt 61).
(
27
)	Ibid.
(
28
)	Vt läbipaistvussuunised, punkt 66.
(
29
)	Ibid.
(
30
)	6. oktoobri 2015. aasta kohtuotsus Schrems (C‑362/14, EU:C:2015:650, punkt 65).
(
31
)	Vastu võetud vastavalt direktiivi 95/46 artikli 25 lõikele 6.
(
32
)	Vt selle kohta 6. oktoobri 2015. aasta kohtuotsus Schrems (C‑362/14, EU:C:2015:650, punkt 62).
(
33
)	Ibid, punkt 65.
(
34
)	See ei mõjuta üldmääruse artiklis 23 sätestatud tingimustele vastavaid liidu või liikmesriigi õigusega seatud piiranguid õigusele saada teavet.
(
35
)	Käesoleva ettepaneku punkt 31.
(
36
)	Vt käesoleva ettepaneku punkt 27.
(
37
)	Vt selle kohta eespool 18. joonealuses märkuses viidatud Ebner, K., „6. Ausschluss der Informationspflicht“, lk 281, kus ta viitab võrreldavale kaitse tasemele („vergleichbares Schutzniveau“); Mester, B.‑A., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)“ – Taeger, J., ja Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, punkt 26; Paal, B., ja Hennemann, M., „DS‑GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)“ – Paal, B., ja Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, punkt 42.
(
38
)	Käesoleva ettepaneku 37. joonealuses märkuses viidatud Mester, B.‑A., – Taeger, J., ja Gabel, D.
(
39
)	Käesoleva ettepaneku 18. joonealuses märkuses viidatud Ebner, K., „6. Ausschluss der Informationspflicht“, lk 281.
(
40
)	Käesoleva ettepaneku punkt 43.
(
41
)	Need konkreetsed sätted võivad sisaldada üldmääruse artikli 6 lõikes 3 ette nähtud küsimusi, sealhulgas: üldtingimusi, mis reguleerivad vastutava töötleja poolt isikuandmete töötlemise seaduslikkust; üksusi, kellele võib isikuandmeid avaldada, ja avaldamise põhjusi; eesmärgi piirangut; säilitamise aega ning isikuandmete töötlemise toiminguid ja -menetlusi, sealhulgas meetmeid seadusliku ja õiglase töötlemise tagamiseks, näiteks meetmed teiste andmetöötluse eriolukordade jaoks, nagu need on sätestatud üldmääruse IX peatükis.