Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
RIMVYDAS NORKUS
16 päivänä huhtikuuta 2026 (1)
Asia C‑205/25
Joachim Lindenberg
vastaan
Bayerisches Landesamt für Datenschutzaufsicht
(Ennakkoratkaisupyyntö – Bayerisches Verwaltungsgericht Ansbach (Ansbachin hallintotuomioistuin, Baijerin osavaltio, Saksa))
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 15 artikla – Rekisteröidyn pyyntö saada tutustua häntä koskeviin henkilötietoihin – 77 artikla – Kantelumenettelyssä toimivan valvontaviranomaisen asiakirja-aineistoon sisältyvät tiedot – 4 artiklan 7 alakohta – Rekisterinpitäjän käsite – 23 artikla – Tiedonsaantioikeutta koskevat
rajoitukset – Kansallinen lainsäädäntö, jolla suljetaan kokonaan pois pääsy asiakirja-aineistoon
I       Johdanto
1.        Tämä Bayerisches Verwaltungsgericht Ansbachin (Ansbachin hallintotuomioistuin, Baijerin osavaltio, Saksa) SEUT 267 artiklan nojalla esittämä ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus)(2)4 artiklan 7 ja 21 alakohdan ja 15, 23 ja 7 artiklan tulkintaa.
2.        Ennakkoratkaisupyyntö on esitetty asiassa, jossa vastakkain ovat Joachim Lindenberg, joka on tietosuojakysymyksiin erikoistunut toimittaja, ja Bayerisches Landesamt für Datenschutzaufsicht (Baijerin osavaltion tietosuojaviranomainen, Saksa; jäljempänä Landesamt) ja joka koskee tämän viranomaisen päätöstä hylätä Lindenbergin pyyntö saada tutustua yleisen tietosuoja-asetuksen 15 artiklan perusteella koko häntä koskevaan asiakirja-aineistoon menettelyssä, jonka hän oli pannut vireille kolmannesta osapuolesta tekemällään kantelulla. Landesamt perusteli tätä kieltäytymistä Baijerin osavaltion säännöksellä, jossa suljetaan pois yleisön oikeus tutustua valvontaviranomaisten asiakirja-aineistoihin. Lindenberg nosti asiassa kanteen, minkä jälkeen kyseinen viranomainen lopulta suostui asettamaan asiakirja-aineiston saataville sähköisesti muttei kuitenkaan myöntänyt tehneensä oikeudellista virhettä, kun taas kantaja vaatii edelleen alkuperäisen hylkäämispäätöksen toteamista lainvastaiseksi. Koska ennakkoratkaisua pyytänyt tuomioistuin katsoo, että asian ratkaiseminen edellyttää yleisen tietosuoja-asetuksen asiassa merkityksellisten säännösten tulkintaa ja sen selvittämistä, onko Baijerin osavaltion lainsäädäntö unionin oikeuden mukainen, se on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle kaksi ennakkoratkaisukysymystä.
3.        Unionin tuomioistuinta pyydetään lausumaan siitä, voidaanko henkilötietojen suojaa valvovaa viranomaista, joka toimii yleisen tietosuoja-asetuksen 77 artiklan mukaisesti vireille pannussa kantelumenettelyssä, pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä ja missä määrin se on velvollinen noudattamaan yleisen tietosuoja-asetuksen 15 artiklassa säädettyjä
tiedonantovelvoitteita. Unionin tuomioistuinta
pyydetään erityisesti tutkimaan, onko unionin oikeus esteenä sellaiselle kansalliselle säännöstölle, jolla suljetaan kokonaan pois rekisteröityjen oikeus tutustua asiakirja-aineistoon. Tätä arvioitaessa on otettava huomioon yleisen tietosuoja-asetuksen 23 artikla, jossa sallitaan kyseisessä asetuksessa säädettyjen tiedonantovelvoitteiden rajoittaminen tietyistä yleisen edun mukaisista syistä, ja Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 2 kohta, jossa taataan jokaisen oikeus tutustua niihin tietoihin, joita hänestä on kerätty. Tässä yhteydessä unionin tuomioistuimen on verrattava yhtäältä hallintotoiminnan avoimuuden vaatimusta ja toisaalta tarvetta taata tietosuojaa koskevien tutkintojen tehokkuus.
II     Asiaa koskevat oikeussäännöt
A       Unionin oikeus
4.        Käsiteltävässä asiassa merkityksellisiä ovat perusoikeuskirjan 8 ja 52 artikla, SEUT 16 artikla sekä yleisen tietosuoja-asetuksen 4 artiklan 1, 2, 7 ja 9 alakohta ja 5, 15, 23, 51, 57, 58 ja 77 artikla.
B       Saksan oikeus
5.        Baijerin osavaltion tietosuojalain (Bayerisches Datenschutzgesetz, jäljempänä BayDSG) 18 §:n mukaan Landesamt toimii valvontaviranomaisena muiden kuin julkisten elinten osalta.
6.        BayDSG:n 20 §:ssä säädetään seuraavaa:
”(1) Jokainen voi kääntyä valvontaviranomaisten puoleen ja vedota siihen, että hänen henkilötietojensa käsittelyssä on loukattu hänen oikeuksiaan. Asian saattamisesta valvontaviranomaisten käsiteltäväksi ei saa aiheutua haittaa rekisteröidylle.
(2)      Oikeutta saada tietoja tai tutustua niihin ei ole valvontaviranomaisten asiakirjojen ja tiedostojen osalta.”
7.        BayDSG:n 20 §:n 2 momenttia koskevista perusteluista ilmenee, että kyseistä säännöstä
sovelletaan ja että sillä suljetaan yleisen tietosuoja-asetuksen 15 artiklan mukainen tiedonsaantioikeus pois silloin, kun
kyseiseen oikeuteen vedotaan Landesamtiin nähden tämän asiakirjojen ja tietojen osalta.
III  Pääasian tosiseikat, pääasian menettely ja ennakkoratkaisukysymykset
8.        Lindenberg on toimittaja ja pitää blogia, jossa käsitellään
erityisesti tietosuojaa. Hän on tehnyt vuodesta 2021 lähtien
useita kanteluja Landesamtille.
9.        Lindenbergin 13.5.2022 tekemän tietosuojaa koskevan kantelun jälkeen Landesamt aloitti valvontamenettelyn kolmatta osapuolta vastaan. Landesamt ilmoitti Lindenbergille 11.10.2022 lähettämällään sähköpostiviestillä, että se oli todennut kantelun kohteena olevan syyllistyneen tietosuojaloukkauksiin. Se täsmensi, että loukkausten korjaamiselle asetetun määräajan päätyttyä kantelun kohteena olevalle määrätään kirjallinen varoitus, jos tämä syyllistyy uusiin loukkauksiin. Samana päivänä lähettämässään sähköpostiviestissä kantaja vaati toimittamaan tarkempia yksityiskohtia
Landesamtin toteuttamista toimenpiteistä. Kun Landesamt ei suostunut tähän, kantaja vaati 11.10.2022 lähettämässään sähköpostiviestissä saada täysimääräiset tiedot yleisen tietosuoja-asetuksen 15 artiklan 1 ja 3 kohdan mukaisesti.
10.      Landesamt totesi 20.10.2022 päivätyssä sähköpostiviestissä ja samana päivänä tehdyssä päätöksessä, että yleisen tietosuoja-asetuksen 15 artiklan 1 ja 3 kohdan mukainen tiedonsaantipyyntö hylätään. Se perusteli hylkäämistä sillä, että BayDSG:n 20 §:n 2 momenttiin sisältyvän nimenomaisen säännöksen mukaan oikeutta saada tietoja tai tutustua niihin ei ole valvontaviranomaisten asiakirjojen ja tietojen osalta.
11.      Lindenberg nosti kyseisestä päätöksestä kanteen Bayerisches Verwaltungsgericht Ansbachissa ja vaati, että Landesamt velvoitetaan toimittamaan hänelle jäljennös kaikista 13.5.2022 aloitetun kantelumenettelyn asiakirja-aineistoon sisältyvistä tiedoista.
12.      Landesamt myönsi 23.2.2024 – joskin tunnustamatta vastaavaa oikeudellista velvoitetta – Lindenbergille oikeuden tutustua sähköisesti hänen kantelulla vireille
panemansa
valvontamenettelyn asiakirja-aineistoon.
13.      Lindenberg vaatii nyt yksinomaan sen toteamista, että 20.10.2022 tehty päätös, jolla Landesamt hylkäsi hänen tiedonsaantipyyntönsä, on lainvastainen.
14.      Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että jos Lindenbergin kaltainen kantelija
panee vireille yleisen tietosuoja-asetuksen 77 artiklan mukaisesti Landesamtin kaltaisessa henkilötietojen suojaa valvovassa viranomaisessa kantelumenettelyn, kyseinen viranomainen toimii kantelumenettelyssä kantelun tekijään nähden yleisen tietosuoja-asetuksen 4 artiklan 21 alakohdassa tarkoitettuna valvontaviranomaisena. Jotkin osapuolet, kuten Landesamt, katsovat, että tämän vuoksi on poissuljettua, että henkilötietojen suojaa valvova viranomainen on kantelun tekijään nähden yleisen tietosuoja-asetuksen 15 artiklassa, luettuna yhdessä 4 artiklan 7 alakohdan kanssa, tarkoitettu rekisterinpitäjä,
ja ettei kantelun tekijällä ole tämän seurauksena alun pitäenkään henkilötietojen suojaa valvovaan viranomaiseen nähden oikeutta saada tietoja, jotka liittyvät kantelumenettelyssä saatuihin henkilötietoihin.
15.      Ennakkoratkaisua pyytänyt tuomioistuin sitä vastoin lähtee siitä, että henkilötietojen suojaa valvova viranomainen voi samanaikaisesti olla yleisen tietosuoja-asetuksen 4 artiklan 21 alakohdassa tarkoitettu valvontaviranomainen ja yleisen tietosuoja-asetuksen 15 artiklassa, luettuna yhdessä 4 artiklan 7 alakohdan kanssa, tarkoitettu rekisterinpitäjä ja vastapuoli.
16.      Ennakkoratkaisua pyytänyt tuomioistuin katsoo, että jos näin on, nousee esiin kysymys siitä, täyttääkö BayDSG:n 20 §:n 2 momentissa säädetyn kaltainen, yleisen tietosuoja-asetuksen 15 artiklan mukaisen tiedonsaantioikeuden näin täydellinen poissulkeminen, joka koskee valvontaviranomaisen asiakirjoja ja tietoja, yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa annetun rajoitusten säätämistä koskevan oikeuden käyttämiselle asetetut edellytykset.
17.      Tässä tilanteessa Bayerisches Verwaltungsgericht Ansbach on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1.      Onko [yleisen tietosuoja-asetuksen] 15 artiklaa, luettuna yhdessä 4 artiklan 7 alakohdan kanssa, tulkittava siten, että kyseisen asetuksen 4 artiklan 21 alakohdassa tarkoitettu valvontaviranomainen, joka toimii rekisteröidyn kyseisen asetuksen 77 artiklan mukaisesti vireillepaneman kantelumenettelyn yhteydessä, on samanaikaisesti kyseisen asetuksen 15 artiklassa, luettuna yhdessä 4 artiklan 7 alakohdan kanssa, tarkoitettu ’rekisterinpitäjä’ ja siten kyseisen asetuksen 15 artiklan perusteella velvollinen antamaan tietoja rekisteröidylle?
2.      Jos ensimmäiseen kysymykseen vastataan myöntävästi: Onko unionin oikeutta, erityisesti [yleisen tietosuoja-asetuksen] 23 artiklaa tulkittava siten, että se on esteenä kansalliselle säännökselle – kuten pääasian oikeudenkäynnissä riidanalaiselle [BayDSG:n] 20 §:n 2 momentille –, jonka mukaan oikeutta saada tietoja tai tutustua niihin ei ole [yleisen tietosuoja-asetuksen] 4 artiklan 21 alakohdassa tarkoitettujen valvontaviranomaisten asiakirjojen ja tietojen osalta?”
IV     Asian käsittely unionin tuomioistuimessa
18.      Ennakkoratkaisupyyntö, joka on päivätty 19.2.2025, saapui unionin tuomioistuimen kirjaamoon 17.3.2025.
19.      Landesamt, Bulgarian ja Latvian hallitukset sekä Euroopan komissio ovat esittäneet kirjallisia huomautuksia unionin tuomioistuimen työjärjestyksen 23 artiklassa asetetussa määräajassa.
20.      Lindenbergin, Landesamtin, Bulgarian hallituksen sekä komission edustajat esittivät suullisia huomautuksia 22.1.2026 pidetyssä istunnossa.
V       Asian tarkastelu
A       Alustavat huomautukset
21.      Käsiteltävässä asiassa tuodaan esiin periaatekysymys valvontaviranomaisten oikeusasemasta yleisessä tietosuoja-asetuksessa tunnustettuihin oikeuksiin ja erityisesti sen 15 artiklassa taattuun tiedonsaantioikeuteen nähden. Tarkoituksena on selvittää, voidaanko valvontaviranomaista
silloin, kun se tutkii yleisen tietosuoja-asetuksen 77 artiklan nojalla tehtyä kantelua, luonnehtia kyseisen asetuksen 4 artiklan 7 alakohdassa tarkoitetuksi rekisterinpitäjäksi
sen tässä yhteydessä käsittelemien tietojen osalta. Tämä luonnehdinta on ratkaiseva, sillä
se on tiedonantovelvoitteiden, joihin voidaan vedota rekisterinpitäjää vastaan, soveltamisen edellytyksenä, ja sen tekemiseksi on pohdittava laajemmin yksittäisten oikeuksien suojaamisen ja valvontatehtävien hoitamisen, jolle ovat ominaisia päätöksenteon riippumattomuus, tutkinnan luottamuksellisuus ja tutkintavaltuuksien tehokkuus, tasapainoa.
22.      Siinä tapauksessa, että unionin tuomioistuin katsoo, että valvontaviranomainen voidaan lähtökohtaisesti velvoittaa noudattamaan yleisen tietosuoja-asetuksen 15 artiklaa, nousee esiin toinen, luonteeltaan normatiivinen kysymys, joka koskee hallinnollisiin asiakirja-aineistoihin tutustumista koskevan oikeuden yleisen ja ehdottoman poissulkemisen yhteensopivuutta unionin oikeussääntöjen kanssa. Tällaista kansallista
säännöstöä on arvioitava yleisen tietosuoja-asetuksen 23 artiklassa säädettyjen vaatimusten kannalta, ja kyseisessä artiklassa rajataan tarkasti rajoitukset, joita kyseisessä asetuksessa taattuihin oikeuksiin voidaan tehdä, asettamalla näiden rajoitusten edellytykseksi se, että ne täyttävät oikeusperustaa, välttämättömyyttä, oikeasuhteisuutta ja unionin tunnustamien yleisen edun
mukaisten tavoitteiden turvaamista koskevat kumulatiiviset edellytykset. Tätä tarkasteltaessa on otettava huomioon myös primaarioikeudessa annetut takeet ja etenkin ne, jotka liittyvät perusoikeuksien kunnioittamiseen ja oikeussuojakeinojen tehokkuuteen.
23.      Oikeudellinen arviointi esitetään näin ollen kahdessa vaiheessa. Yhtäältä on määritettävä, voidaanko valvontaviranomainen rinnastaa kantelumenettelyssä
rekisterinpitäjään niin, että se on velvollinen noudattamaan
yleisessä tietosuoja-asetuksessa asetettuja
tiedonantovelvoitteita, ja jos voidaan, niin missä määrin.(3) Toisaalta ja vain, jos tähän vastataan myöntävästi, on arvioitava, onko se, että oikeus tutustua valvontaviranomaisen asiakirja-aineistoon on yleisesti, erotuksetta ja ennakolta
suljettu pois,
yhteensopivaa yleisen tietosuoja-asetuksen yhdenmukaistetun järjestelmän kanssa, kun otetaan huomioon hallinnon avoimuuden, tietosuojan, institutionaalisen riippumattomuuden ja valvontajärjestelmien tehokkuuden
pakottavat vaatimukset, joita on punnittava ilman, että yksikään näistä vaatimuksista menettää sisältönsä.(4)
B       Ensimmäinen ennakkoratkaisukysymys
1.     Valvontaviranomaisen luonnehtiminen yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetuksi rekisterinpitäjäksi
24.      Siltä osin kuin on kyse valvontaviranomainen mahdollisesta
luonnehtimisesta rekisterinpitäjäksi, mistä ensimmäisessä ennakkoratkaisukysymyksessä on kyse, on aluksi palautettava mieleen
rekisterinpitäjän käsitteen oikeudellinen määritelmä, sellaisena kuin se esitetään yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa. Kyseisen säännöksen mukaan ”rekisterinpitäjänä” pidetään ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot”. Tässä yhteydessä on muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan kyseistä käsitettä on tulkittava laajasti.(5)
25.      Ensinnäkin on todettava, että kyseisessä oikeudellisessa määritelmässä viitataan nimenomaisesti ”viranomaisiin”. Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan sanamuoto ei siis mitenkään sulje pois mahdollisuutta pitää valvontaviranomaista rekisterinpitäjänä. Unionin lainsäätäjä on tarkoituksellisesti
jättänyt tekemättä eron yksityisten ja julkisten yksiköiden välillä, minkä osoittavat useat johdanto-osan perustelukappaleet, joissa viitataan nimenomaisesti viranomaisten tekemään henkilötietojen käsittelyyn. Myöskään sen, että valvontaviranomainen määritellään yleisen tietosuoja-asetuksen 4 artiklan 21 alakohdassa jäsenvaltion 51 artiklan nojalla perustamaksi riippumattomaksi viranomaiseksi, ei voida, kun otetaan huomioon kyseisessä asetuksessa rekisterinpitäjän käsitteelle annettu laaja ja toiminnallinen ulottuvuus,(6) tulkita olevan esteenä viranomaisen mahdolliselle pitämiselle rekisterinpitäjänä.
26.      Toiseksi on todettava, että silloin, kun valvontaviranomainen hoitaa sille yleisen tietosuoja-asetuksen 77 artiklassa annettuja tehtäviä –kuten tutkii mahdollista tietosuojasääntöjen rikkomista koskevia kanteluja –, se joutuu itse käsittelemään henkilötietoja. Viranomainen ei ainoastaan vastaanota näitä tietoja; se jäsentää, analysoi, säilyttää ja käyttää niitä käyttäessään itsenäisesti sille kyseisessä asetuksessa annettuja tutkinta- ja täytäntöönpanovaltuuksia. Nähdäkseni tällaiset toimenpiteet kuuluvat yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdan
soveltamisalaan; kyseisessä alakohdassa käsittelyn käsite ymmärretään laajassa merkityksessä liittämättä sitä mihinkään tiettyyn asiayhteyteen, joten se kattaa kaikenlaiset tietoihin kohdistuvat toimenpiteet.
27.      Tarkasteluni tueksi esitän jäljempänä yhtäältä yleisen tietosuoja-asetuksen 77 artiklassa säädetyn kantelumenettelyn keskeiset ominaispiirteet ja toisaalta ne henkilötietoryhmät, joita valvontaviranomaiset joutuvat tässä yhteydessä
säännöllisesti ja konkreettisesti käsittelemään. Tämä auttaa ymmärtämään paremmin
valvontaviranomaisten tehtävien luonnetta ja laajuutta
tilanteessa, jossa ne toimivat tällaisessa menettelyssä.
a)     Yleisen tietosuoja-asetuksen 77 artiklassa säädetyn kantelumenettelyn keskeiset ominaispiirteet
28.      Yleisen tietosuoja-asetuksen 77 artiklassa käyttöön otettu kantelumenettely(7) on keskeinen mekanismi unionin järjestelmässä, jolla pyritään varmistamaan luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä. Se on osa sen perusoikeuskirjan 8 artiklan 3 kohdassa taatun periaatteen operatiivista toteuttamista, jonka mukaan riippumattoman viranomaisen on valvottava tietosuojasääntöjen noudattamista. Unionin tuomioistuin on toistuvasti korostanut, ettei tämä valvontamekanismi ole pelkästään muodollinen, vaan sillä on tarkoitus varmistaa perusoikeuksien tehokas ja tosiasiallinen suoja.(8)
29.      Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä kantelu, jolle ei aseteta mitään erityisiä muodollisia vaatimuksia ja josta ei aiheudu kustannuksia,
muun muassa valvontaviranomaiselle siinä jäsenvaltiossa, jossa rekisteröidyn vakinainen asuinpaikka tai työpaikka on taikka jossa väitetty rikkominen on tapahtunut. Koska tämä oikeus on olennainen osa asetuksella käyttöön otettua suojajärjestelmää, sitä ei voida tulkita eikä soveltaa tavalla, joka tekisi tämän oikeuden käyttämisen käytännössä mahdottomaksi tai erittäin vaikeaksi.(9)
30.      On korostettava, ettei kantelun tekeminen avaa valvontaviranomaiselle pelkkää yleistä tutkintamahdollisuutta vaan asettaa sille konkreettisen velvoitteen tutkia asia perusteellisesti, huolellisesti ja puolueettomasti. Unionin tuomioistuimen oikeuskäytännöstä nimittäin ilmenee, että yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan mukaan jokaisen valvontaviranomaisen on käsiteltävä alueellaan tehdyt kantelut, tutkittava kantelun luonnetta siinä määrin kuin se on asianmukaista ja käsiteltävä tällainen kantelu kaikkea asianmukaista huolellisuutta noudattaen.(10)
31.      Tästä seuraa, ettei valvontaviranomainen voi jättää käsittelemättä kantelua vain hallinnon taloudellisuuteen tai tarkoituksenmukaisuuteen liittyvistä syistä. Sen toiminta ei myöskään saa olla pelkkää epävirallista sovittelua eikä se saa asettua ainoastaan edesauttajan rooliin. Valvontaviranomainen on päinvastoin velvollinen tutkimaan väitetyn
loukkauksen tosiseikkojen ja oikeudellisten seikkojen
perusteella ja tapauksen mukaan käyttämään tehokkaasti sille unionin oikeudessa annettuja korjaavia toimivaltuuksia.(11)
32.      Yleisen tietosuoja-asetuksen 58 artiklassa lueteltuja valtuuksia tulkittaessa on oikeuskäytännön mukaan otettava huomioon niiden tarkoitus, joka on varmistaa asetuksen täysi tehokkuus. Unionin tuomioistuin on korostanut valvontaviranomaisten velvollisuutta toteuttaa ”asianmukaiset ja tarpeelliset” korjaavat toimenpiteet, jos ne toteavat tietoturvaloukkauksen tapahtuneen, ja käyttää tässä kaikkia käytettävissään olevia keinoja. Tähän vaatimukseen sisältyy myös seuraamusten määrääminen, koska toimimatta jättäminen on omiaan vaarantamaan asetuksen tehokkaan vaikutuksen.(12)
33.      Yleisen tietosuoja-asetuksen 77 artiklan 2 kohdassa velvoitetaan valvontaviranomainen myös
ilmoittamaan kantelun tekijälle menettelyn etenemisestä ja ratkaisusta. Tämä velvollisuus täyttyy vain, jos annetusta ratkaisusta selviää, että kantelu on tosiallisesti tutkittu sekä tosiseikkojen että oikeudellisten seikkojen perusteella, ja jos se sisältää tehokkaaseen tuomioistuinvalvontaan tarvittavat tiedot. Menettelyssä ei siis voida tyytyä pelkkään muodolliseen päätökseen, vaan sen on johdettava yksityiskohtaiseen arvioon, joka on perusteltu asianmukaisesti ja joka voidaan tutkia siinä tuomioistuimessa, jonka käsiteltäväksi asia saatetaan yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla. Kaikki valvontaviranomaisen tekemät kantelua koskevat päätökset ovat nimittäin täysimääräisen tuomioistuinvalvonnan kohteena.(13)
34.      Kokonaisuutena arvioiden yleisen tietosuoja-asetuksen 77 artiklassa säädetty menettely ei ole pelkkä hallintotoimi, vaan unionin oikeudessa perustettu
itsenäinen oikeussuojakeino, jolla sekä suojataan yksittäiset oikeudet että turvataan objektiivisesti oikeusjärjestys tietosuoja-alalla. Unionin tuomioistuin on tunnustanut valvontaviranomaisten aseman perusoikeuksien rakenteellista suojelua koskevan järjestelmän institutionaalisena takaajana, jonka tehtävä ei rajoitu kantelujen passiiviseen vastaanottamiseen vaan edellyttää tietosuojasääntöjen aktiivista soveltamista.
b)     Valvontaviranomaisen kantelumenettelyn yhteydessä tekemä henkilötietojen ”käsittely”
35.      Kun nyt on palautettu mieliin kantelumenettelyn keskeiset ominaispiirteet, on tarkasteltava, missä määrin valvontaviranomaisen toiminta on yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua ”käsittelyä”. Tällä käsitteellä tarkoitetaan ”toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista”.
36.      Tältä osin on korostettava, että yleisen tietosuoja-asetuksen 77 artiklaan perustuvassa menettelyssä valvontaviranomainen ei pelkästään vastaanota tietoja. Se päinvastoin toteuttaa useita itsenäisiä ja jäsenneltyjä toimenpiteitä lakisääteisen tarkastelu-, tutkinta-- ja valvontatehtävänsä hoitamiseksi. Käsittely nimittäin
alkaa jo siitä, kun kantelu jätetään, sillä kantelussa on sen tekijää ja tapauksen mukaan kyseessä olevaa rekisterinpitäjää tai tunnistettavissa olevia kolmansia osapuolia koskevia tietoja. Nämä tiedot – jotka kuuluvat yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitetun henkilötietojen käsitteen alaan – tallennetaan ja liitetään asiakirja-aineistoon ja niitä säilytetään valvontaviranomaisen sisäisissä järjestelmissä, mikä jo edellyttää
sellaisia
aineellisia ja organisatorisia toimenpiteitä, joita voidaan pitää käsittelynä.(14)
37.      Nämä toimenpiteet kuuluvat yleisen tietosuoja-asetuksen 57 artiklan 1 kohdassa valvontaviranomaisille annettuihin tehtäviin, sellaisina kuin ne on esitetty tässä ratkaisuehdotuksessa. Näiden tehtävien joukossa mainitaan erityisesti kantelujen tutkiminen (f alakohta) ja tutkimus- ja päätöksentekovaltuuksien käyttäminen (h alakohta). Näitä tehtäviä hoitaessaan viranomaisilla on unionin oikeudessa taattu itsenäinen toiminta- ja päätöksentekovalta, joka ilmenee konkreettisesti siinä, miten kanteluja käsitellään ja miten unionin oikeudesta johtuvia valvontavaltuuksia käytetään.
38.      Menettelyn aikana valvontaviranomainen tutkii sille esitetyt tiedot tosiseikkojen ja oikeudellisten seikkojen osalta. Se kerää, järjestää, analysoi ja arvioi tiedot sovellettavien oikeussääntöjen mukaisesti. Tässä yhteydessä voidaan toteuttaa
myös muita käsittelytoimia, jos valvontaviranomainen pyytää lisätietoja rekisterinpitäjältä – jota kantelu koskee ja johon tutkinta kohdistuu –, tai jos se tutustuu
muihin asiakirjoihin, jotka voivat itsessään
sisältää henkilötietoja. Valvontaviranomainen vastaanottaa, tallentaa ja analysoi nämä tiedot ja säilyttää niitä. Myös näiden tietojen yhdistelyä mahdollisiin jo olemassa oleviin
asiakirja-aineistoihin tai tietoihin voidaan pitää käsittelytoimena.
39.      Näin käsiteltyjä tietoja käytetään
valvontaviranomaisen itsenäisen tutkinta- ja päätöksentekovallan harjoittamiseen.(15) Niitä tarvitaan tosiseikkojen selvittämiseen, niiden oikeudelliseen luonnehdintaan ja mahdollisten korjaavien toimenpiteiden arviointiin sekä tapauksen mukaan velvoittavien päätösten tai määräysten antamiseen. Tietoja käytetään myös ilmoitettaessa osapuolille menettelyyn liittyviä tietoja, kuten ilmoitettaessa kantelun tekijälle tai rekisterinpitäjälle menettelyn lopputuloksesta.
40.      Kaikesta edellä esitetystä seuraa, ettei valvontaviranomaista voida pitää pelkkänä yleisen tietosuoja-asetuksen 4 artiklan 9 alakohdassa tarkoitettuna tietojen ”vastaanottajana”. Koska se päättää itsenäisesti, miten nämä tiedot kerätään, analysoidaan ja järjestetään ja miten niitä käytetään sille laillisesti annettujen tehtävien hoitamiseen, se toimii toimijana, joka toteuttaa yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua ”käsittelyä” sanan täydessä merkityksessä. Tätä seikkaa tarkastellaan lähemmin seuraavassa osassa.
2.     Valvontaviranomaisen oikeus ”määritellä käsittelyn tarkoitukset ja keinot”
41.      Jotta valvontaviranomaista voitaisiin pitää yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä, sillä pitäisi olla myös toimivalta määritellä henkilötietojen käsittelyn tarkoitukset ja keinot.
42.      Kuten edellä jo todettiin, valvontaviranomaisen tehtävä yleisen tietosuoja-asetuksen 77 artiklaan perustuvassa kantelumenettelyssä ei rajoitu vain passiiviseen tietojen vastaanottamiseen. Tosiasiallisesti valvontaviranomainen määrittelee käsittelyn tarkoituksen, koska se päättää tietojen käyttämisestä mahdollisen
tietosuojasääntöjen rikkomisen tutkintaan, tosiseikkojen selvittämiseen ja tapauksen mukaan valvontatoimenpiteiden valmisteluun ja toteuttamiseen. Paitsi että tästä tarkoituksen määrittelystä on säädetty ennalta
lailla, se edellyttää myös, että viranomainen määrittää kussakin tapauksessa itsenäisesti
muun muassa valvonnan laajuuden, tutkinnan täsmällisestä kohteen ja esitettyjen väitteiden oikeudellisen luonnehdinnan.(16)
43.      Valvontaviranomainen päättää olennaisilta osin itsenäisesti myös käsittelyn keinoista. Se määrittää, mitä henkilötietoja kerätään ja missä muodossa ne tallennetaan, jäsennetään ja säilytetään, millä perusteilla asiakirja-aineistot koostetaan, digitaaliset arkistot
järjestetään tai todisteet luetteloidaan ja mitä teknisiä ja organisatorisia menettelyjä tietojen analyysissa, myöhemmässä käsittelyssä ja sisäiseen käyttöön asettamisessa käytetään. Se myös päättää, onko kantelun vastapuolelle syytä esittää tietopyyntöjä, mitä lisätietoja on pyydettävä, millä tavoin tietoja yhdistellään ja miten kauan niitä säilytetään. Tämä valinta- ja järjestelyvalta menee selvästi pelkkää liitännäisen tai avustavan tehtävän hoitamista pidemmälle.
44.      Tosiasiallisesti toteutetut käsittelytoimet vahvistavat tämän itsenäisen päätöksentekovallan. Viranomainen tallentaa kantelun, perustaa omat asiakirja-aineistonsa, säilyttää ja järjestää vastaanottamansa ja keräämänsä tiedot, arvioi ne tosiseikkojen ja oikeudellisten seikkojen kannalta, pyytää lisäasiakirjoja, laatii tutkintapöytäkirjoja ja tekee oman analyysinsa perusteella menettelyllisiä ja aineellisia päätöksiä. Käsittely ei siis ainoastaan palvele hallinnollisen asiakirja-aineiston teknistä hallintaa, vaan se muodostaa samalla perustan itsenäiselle tutkinta-, arviointi- ja päätöksentekotoiminnalle, joka on unionin oikeudessa annettu yksin valvontaviranomaisen tehtäväksi.
45.      Se, että tämä toiminta kuuluu lakisääteisen tehtävän hoitamiseen, ei tarkoita, että kyseessä ei enää ole rekisterinpitäjä. Unionin tuomioistuin on useaan otteeseen muistuttanut, että viranomaisia voidaan pitää rekisterinpitäjinä, jos heillä on laaja harkintavalta päättäessään käsittelyn konkreettisista toteuttamistavoista.(17) Tältä osin on todettava Landesamtin itse myöntäneen istunnossa, että sillä on harkintavaltaa tehtäviensä määrittämisessä, myös kantelujen käsittelyn yhteydessä,(18) ja tämä harkintavalta ilmentää sen itsenäisyyttä.
46.      Luonnehdinta henkilötietojen käsittelijäksi on sekin hylättävä, koska tarkoitusten ja keinojen määrittelemiseen ei liity minkäänlaista hierarkkista alisteisuussuhdetta, sillä
valvontaviranomainen ei tässä osallistu kolmannen osapuolen suorittamaan tutkintaan vaan toimii itse
omiia toimivaltuuksiaan käyttämällä. Valvontaviranomainen ei etenkään toimi kantelun kohteena olevan rekisterinpitäjän nimissä vaan käyttää julkista valtaa, joka sille on annettu unionin oikeuden noudattamisen varmistamiseksi.
47.      Vaikka kyseessä oleva käsittely perustuu pääsääntöisesti yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaan, luettuna yhdessä 57 artiklan 1 kohdan f ja h alakohdan kanssa, oikeusperustan olemassaolo ainoastaan takaa käsittelyn lainmukaisuuden sulkematta kuitenkaan pois sitä, että kyse on rekisterinpitäjästä. Se, että laissa annetaan valvontatehtävien hoitaminen viranomaisen tehtäväksi, päinvastoin vahvistaa, että viranomainen käsittelee tietoja täyttääkseen omat lakisääteiset velvoitteensa ja itse määrittelemiensä menettelytapojen mukaisesti. Rekisterinpitäjänä viranomaisen on siis lähtökohtaisesti noudatettava yleisen tietosuoja-asetuksen yleisiä velvollisuuksia ja erityisesti kyseisen asetuksen 5 artiklassa mainittuja periaatteita ja III luvussa
lueteltuja rekisteröityjen oikeuksia edellyttäen, että niitä ei ole pätevästi rajoitettu riittävän selvällä ja oikeasuhteisella oikeussäännöllä yleisen tietosuoja-asetuksen 23 artiklan mukaisesti.
48.      Valvontaviranomaisten riippumattomuus, joka taataan yleisen tietosuoja-asetuksen 52 artiklassa ja vahvistetaan sen johdanto-osan 117 perustelukappaleessa, edellyttää, että valvontaviranomaiset luokitellaan rekisterinpitäjiksi henkilötietoihin liittyvissä toimenpiteissä, joita ne toteuttavat hoitaessaan lakisääteisiä tehtäviään. Ainoastaan asianomaisten käsittelyjen tarkoitusten ja keinojen itsenäinen määrittely ja siitä seuraava vastuu mahdollistavat sen, että valvontaviranomaiset voivat käyttää valvontavaltuuksiaan ja säännöstenmukaiseksi saattamista koskevia valtuuksiaan riippumattomasti valvomiinsa yksiköihin nähden. Se, että valvontaviranomaista pidettäisiin kantelujen käsittelyssä pelkkänä kolmansien osapuolten määrittelemien tarkoitusten toimeenpanijana, vaarantaisi niiden institutionaalisen itsemääräämisoikeuden, asettaisi ne riippuvuussuhteeseen tutkittaviin rekisterinpitäjiin nähden ja tekisi tyhjäksi unionin oikeudessa säädetyn vastuuvaatimuksen sisällön. Valvontaviranomaisen on siis kannettava oma vastuunsa kantelumenettelyssä tapahtuvasta henkilötietojen käsittelystä, koska yleisessä tietosuoja-asetuksessa säädetyt rekisteröityjen oikeudet pätevät siihen nähden täysimääräisesti.(19)
49.      Jos valvontaviranomaista ei pidettäisi rekisterinpitäjänä kantelujen käsittelyn yhteydessä, rekisteröity jäisi pitkälti vaille suojaa olennaiselta osalta henkilötietojensa käsittelyä. Yleisen tietosuoja-asetuksen 12–22 artiklassa säädettyjä rekisteröityjen oikeuksia ja erityisesti 15 artiklassa tarkoitettua tiedonsaantioikeutta voidaan nimittäin käyttää ainoastaan rekisterinpitäjään nähden. Ilman rekisterinpitäjäksi luonnehtimista rekisteröity ei voisi saada selville, mitä tietoja viranomainen kerää ja käsittelee kantelun yhteydessä, eikä vaatia tietojen oikaisua, poistoa tai käsittelyn rajoitusta. Viranomaisen tekemässä tietojenkäsittelyssä vältettäisiin näin kaikenlaiset avoimuus- ja vastuuvaatimukset, vaikka viranomaisen vastuulla on nimenomaan varmistaa rekisteröityjen oikeuksien suojelu. Jos viranomaista ei pidettäisi rekisterinpitäjänä, suojaan luotaisiin tällöin rakenteellinen aukko
epäämällä rekisteröidyltä yleisessä tietosuoja-asetuksessa säädetyt perustakeet hänen suhteessaan valvontaviranomaiseen.(20)
50.      Tästä seuraa, että käsitellessään yleisen tietosuoja-asetuksen 77 artiklan nojalla tehtyjä kanteluja valvontaviranomainen päättää käsittelyn tarkoituksista ja keinoista eikä tyydy ainoastaan
vastaanottamaan tai hallinnoimaan kolmansien osapuolten määrittelemiä tietoja. Se on
itsenäinen toimija, joka kerää, järjestää, analysoi ja käyttää henkilötietoja julkisen vallan käyttöä merkitsevien päätösten perustana. Sitä on näin ollen pidettävä rekisterinpitäjänä yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa säädetyssä laajassa määritelmässä tarkoitetussa merkityksessä.(21)
51.      Selvyyden vuoksi on todettava, että se, ettei unionin lainsäätäjä ole nimenomaisesti säätänyt tilanteesta, jossa valvontaviranomainen toimii samanaikaisesti yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä
kantelumenettelyssä,
ei ole merkityksellinen argumentti, jolla tällainen
luonnehdinta voitaisiin kiistää. Sitä vastoin ratkaisevaa on se, täyttääkö viranomainen kyseisessä säännöksessä asetetut aineelliset edellytykset. Kuten edellä esitetystä tarkastelusta ilmenee, käsiteltävässä tapauksessa asia on selvästikin näin.
52.      Tässä tilanteessa ei voi menestyä
myöskään
Landesamtin väite, jonka mukaan tietyt yleisen tietosuoja-asetuksen säännökset edellyttävät väistämättä tiukan eron tekemistä yhtäältä valvontaviranomaisen ja toisaalta rekisterinpitäjän välillä. Kyseiset säännökset liittyvät yksinomaan unionin lainsäätäjän tarkoittamaan periaatteelliseen tilanteeseen, jossa näitä kahta tehtävää ei pidä sekoittaa toisiinsa. Kyseisissä säännöksissä ei kuitenkaan suljeta pois sitä, että valvontaviranomainen voi tietyissä –
pääasiassa kyseessä olevan kaltaisissa – olosuhteissa täyttää samanaikaisesti rekisterinpitäjäksi luonnehtimisen edellytykset.
53.      Siltä osin kuin tietyissä yleisen tietosuoja-asetuksen säännöksissä ja erityisesti sen 31 ja 36 artiklassa säädetään rekisterinpitäjän ja valvontaviranomaisen välisestä ”yhteistyöstä” tai ”kuulemisesta”, näiden tehtävien päällekkäisyydestä mahdollisesti aiheutuva ristiriita voidaan ratkaista kyseisen asetuksen teleologisella tulkinnalla. Tällainen tulkinta edellyttää, että valvontaviranomaisen sisäiset prosessit järjestetään ja sovitetaan yhteen niin, että voidaan varmistaa, että kyseisillä säännöksillä tavoitellut päämäärät saavutetaan tehokkaasti.
3.     Kantelun tekijän yleisen tietosuoja-asetuksen 15 artiklaan perustuva tiedonsaantioikeus
54.      Kuten edellä tässä ratkaisuehdotuksessa jo mainittiin, valvontaviranomaisen pitäminen rekisterinpitäjänä tarkoittaa, että se on velvollinen varmistamaan, että yleisen tietosuoja-asetuksen III luvussa tunnustettuja rekisteröityjen oikeuksia kunnioitetaan. Näihin oikeuksiin kuuluu erityisesti kyseisen asetuksen 15 artiklassa tarkoitettu tiedonsaantioikeus.
55.      Yleisen tietosuoja-asetuksen 77 artiklassa käyttöön otetussa menettelyssä kantelun tekijällä on lähtökohtaisesti myös kyseisessä asetuksessa tarkoitettu rekisteröidyn asema. Kantelun tekijä voi tässä asemassa vaatia valvontaviranomaista vahvistamaan hänelle, käsitelläänkö häntä koskevia henkilötietoja. Jos tähän vastataan myöntävästi, tiedonsaantioikeus kattaa myös kaikki yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa tyhjentävästi luetellut tiedot, joihin kuuluvat erityisesti käsittelyn tarkoitukset, kyseessä olevat henkilötietoryhmät, vastaanottajat tai vastaanottajaryhmät, säilytysaika sekä tiedot rekisteröidyllä olevista oikeuksista.
a)     Oikeus saada ”jäljennös” yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan nojalla
56.      Oikeuteen saada tutustua tietoihin sisältyy muun muassa rekisteröidyn oikeus saada jäljennös tiedoista yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan nojalla. Kyseisessä säännöksessä velvoitetaan rekisterinpitäjä toimittamaan rekisteröidylle jäljennös hänen henkilötiedoistaan ymmärrettävässä muodossa niin, että
voidaan hahmottaa, miten laajasti ja millä tavoin tietoja tarkkaan ottaen käsitellään. Tämän oikeuden tarkoituksena on varmistaa, että rekisteröity pystyy tarkistamaan, mitä tietoja hänestä käsitellään, yksilöimään, mistä ne ovat peräisin, ymmärtämään, mihin tarkoituksiin niitä käsitellään, ja tietämään, ketkä ovat niiden mahdolliset vastaanottajat.(22)
57.      Unionin tuomioistuin on katsonut, että jäljennös on toimitettava edellytyksin, joilla voidaan tosiasiallisesti varmistaa käsittelyn lainmukaisuus ja käyttää tehokkaasti yleisessä tietosuoja-asetuksessa taattuja muita oikeuksia.(23) Ilmaisu ”jäljennös” ei liity asiakirjaan itseensä vaan sen sisältämiin henkilötietoihin; olennaista on, että nämä tiedot toimitetaan kattavasti, selvästi ja niin, että niiden merkitys voidaan päätellä.
Tämän oikeuden tehokkuuden varmistamiseksi asiakirjojen otteiden tai kokonaisten asiakirjojen tai tietokantojen otteiden, jotka sisältävät muun muassa käsiteltäviä henkilötietoja, toisintaminen voi osoittautua välttämättömäksi.(24)
58.      Tämän oikeuden soveltamisala on kuitenkin rajattu tiukasti sen tarkoituksen mukaan. Se ulottuu ainoastaan rekisteröidyn henkilötietoihin ja kattaa kaikki tunnistettuun tai tunnistettavissa olevaan rekisteröityyn liittyvät tiedot yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitetussa merkityksessä. Jos asiayhteys, jossa tiedot esiintyvät, on välttämätön niiden täydelliseksi ymmärtämiseksi, jäljennöksen toimittamisvelvollisuus voi edellyttää asianmukaisen otteen lähettämistä tai tietojen selittämistä oikeassa asiayhteydessään siltä osin kuin se on tarpeen avoimuusvaatimusten täyttämiseksi. Oikeus saada jäljennös on siten olennainen osa yleisessä tietosuoja-asetuksessa käyttöön otettua järjestelmää, jolla varmistetaan itsemääräämisoikeus henkilötietojen käsittelyssä, sillä se takaa rekisteröidylle
huomattavan vallan määrätä omien tietojensa käsittelystä ja tarkistaa, että se on unionin oikeuden vaatimusten mukaista.
b)     Yleisen tietosuoja-asetuksen 15 artiklassa ei säädetä yleisestä oikeudesta tutustua hallinnolliseen asiakirja-aineistoon
59.      Tätä yleisen tietosuoja-asetuksen 15 artiklassa säädettyä,
henkilötietojen suojaa koskevalle järjestelmälle ominaista tiedonsaantioikeutta ei voida rinnastaa yleiseen oikeuteen tutustua hallinnolliseen asiakirja-aineistoon eikä mihinkään yleisesti sovellettavaan hallinnon avoimuuden vaatimukseen. Kyseisellä säännöksellä pyritään ainoastaan takaamaan käsittelyjen läpinäkyvyys, jotta rekisteröity voi varmistaa
niiden lainmukaisuuden ja käyttää tehokkaasti siitä johtuvia oikeuksiaan ja erityisesti oikeuttaan oikaista ja poistaa tietoja (”oikeus tulla unohdetuksi”) sekä rajoittaa tai vastustaa käsittelyä.(25) Sitä vastoin siinä ei vahvisteta mitään yleistä oikeutta saada hallintoviranomaisen hallussa olevia tietoja, oikeutta tutustua sisäisiin asiakirjoihin eikä etenkään oikeutta viranomaisen sisäiseen harkinta- tai päätöksentekoprosessiin kuuluvien seikkojen
ilmaisemiseen. Tämä käy ilmeiseksi, kun yleisen tietosuoja-asetuksen 15 artiklassa säädettyä tiedonsaantioikeutta verrataan muihin unionin oikeudessa ja kansallisissa oikeuksissa taattuihin tiedonsaantioikeuksiin.
60.      Ensinnäkin yleisen tietosuoja-asetuksen 15 artiklalla ja 77 artiklan 2 kohdalla on eri tarkoitus ja ne on sen vuoksi erotettava tiukasti toisistaan. Sen 77 artiklan 2 kohdassa vahvistetaan menettelyllinen oikeus saada tieto kantelun käsittelyn etenemisestä ja ratkaisusta, mutta siinä ei anneta tietosuojalainsäädäntöön perustuvaa oikeutta tutustua tietoihin tai asiakirjoihin. Sen 15 artiklalla pyritään varmistamaan, että yksilö voi määrätä omien henkilötietojensa käytöstä, kun taas 77 artiklan 2 kohta liittyy vaatimukseen menettelyn avoimuudesta kantelujen hallinnollisessa käsittelyssä. Näitä säännöksiä, joilla kummallakin on oma itsenäinen kohteensa ja ulottuvuutensa, ei pidä sekoittaa toisiinsa, eivätkä ne voi korvata toisiaan. Kyse on kahdesta itsenäisestä oikeudellisesta järjestelmästä, joilla on erilainen normatiivinen logiikka, joissa oikeuksien käyttämiselle asetetut edellytykset ovat erilaiset ja joita ei ole tarkoitettu päällekkäisiksi eikä korvaamaan toisiaan.
61.      Toiseksi yleisen tietosuoja-asetuksen 15 artiklassa otetaan käyttöön yksinomaan oikeus saada tutustua henkilötietoihin, eikä siinä taata minkäänlaista oikeutta tutustua hallinnolliseen asiakirja-aineistoon eikä oikeutta saada tietoa viranomaisen hallussa olevista asiakirjoista.(26) Sen aineellinen soveltamisala rajoittuu tiedon antamiseen siitä, mitä henkilötietoja käsitellään, eikä se koske hallinnon avoimuutta eikä tietojen saamista sisäisistä päätöksentekoprosesseista. Oikeus tutustua asiakirja-aineistoon kuuluu siis edelleen – unionin oikeuden alakohtaisia säännöksiä lukuun ottamatta – jäsenvaltioiden lainsäädäntövaltaan, ja siitä säädetään tavallisesti jäsenvaltioiden yleistä hallintomenettelyä koskevassa lainsäädännössä, erityisissä menettelysäännöissä, tiedonvälityksen vapautta tai avoimuutta koskevissa laeissa taikka ammatillisissa tai alakohtaisissa erityissäännöissä.(27)
62.      Tästä seuraa, ettei yleisen tietosuoja-asetuksen 15 artiklassa perusteta mitään oikeutta saada tietoja hallinnollisesta asiakirja-aineistosta itsestään tai tutustua siihen. Tiedonsaantioikeuden soveltamisala ei ulotu etenkään sisäisiin oikeudellisiin arviointeihin, lausuntoihin, merkintöihin, muistioihin ja valmisteluasiakirjoihin eikä yleensäkään hallinnollisten päätösten sisäiseen valmistelu- tai perusteluprosessiin
kuuluviin seikkoihin. Jos viranomaisen hallussa oleva asiakirja sisältää kantelun tekijää koskevia henkilötietoja, tiedonantovelvoite rajoittuu näiden tietojen itsensä luovuttamiseen eikä nämä tiedot sisältävän asiakirja-alustan tai sen jäljennöksen toimittamiseen
kokonaisuudessaan. Tiedot, joissa
ei ole mitään, mistä rekisteröity voitaisiin tunnistaa
suoraan tai epäsuorasti, jäävät luonnostaan yleisen tietosuoja-asetuksen 15 artiklan aineellisen soveltamisalan ulkopuolelle.
63.      Lisäksi on muistutettava, että yleisen tietosuoja-asetuksen 15 artiklassa säädetylle tiedonsaantioikeudelle voidaan asettaa tiettyjä rajoituksia saman asetuksen 23 artiklan 1 kohdan nojalla, kunhan siinä mainitut edellytykset täyttyvät. Toinen ennakkoratkaisukysymys, jota käsittelen seuraavassa osassa, koskee juuri tätä.
4.     Välipäätelmä
64.      Edellä esitetyn perusteella katson, että ensimmäiseen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklaa, luettuna yhdessä 4 artiklan 7 alakohdan kanssa, on tulkittava siten, että kyseisen asetuksen 4 artiklan 21 alakohdassa tarkoitettu valvontaviranomainen on silloin, kun se toimii kyseisen asetuksen 77 artiklaan perustuvan kantelumenettelyn yhteydessä, myös kyseisessä asetuksessa tarkoitettu ”rekisterinpitäjä”, ja sen on näin ollen taattava rekisteröidylle yleisen tietosuoja-asetuksen 15 artiklassa säädetty tiedonsaantioikeus.
C       Toinen ennakkoratkaisukysymys
1.     Yleisen tietosuoja-asetuksen 23 artiklassa säädetyt rajoitukset oikeuteen saada tutustua henkilötietoihin
65.      Toisessa kysymyksessään ennakkoratkaisua pyytänyt tuomioistuin pyytää unionin tuomioistuinta selventämään yleisen tietosuoja-asetuksen 23 artiklan ja BayDSG:n 20 §:n 2 momentin kaltaisen kansallisen säännöksen, jossa suljetaan yleisesti pois oikeus saada tietosuojaa valvovan viranomaisen tietoja tai tutustua niihin, välistä suhdetta. Vastaus tähän kysymykseen edellyttää yleisen tietosuoja-asetuksen systematiikan, sellaisena kuin se ilmenee sen sanamuodosta, tarkoituksesta ja asian kannalta merkityksellisistä johdanto-osan perustelukappaleista,
perusteellista tarkastelua ja niiden unionin tuomioistuimen vahvistamien periaatteiden soveltamista, jotka koskevat rajoituksia, joita rekisteröityjen oikeuksiin voidaan tehdä.
66.      Yleisen tietosuoja-asetuksen 23 artiklassa säädetään, että rekisterinpitäjään sovellettavalla unionin tai jäsenvaltion lainsäädäntötoimenpiteellä voidaan rajoittaa
muun muassa mainitun asetuksen 15 artiklassa taattua tiedonsaantioikeutta, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja
‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jolla on tarkoitus varmistaa jonkin kyseisen säännöksen a–j alakohdassa mainitun oikeutetun tavoitteen toteutuminen. Yleisen tietosuoja-asetuksen 23 artiklan 1 kohtaa ei kuitenkaan voida tulkita siten, että siinä valtuutetaan kansallinen lainsäätäjä aivan vapaasti korvaamaan tämän asetuksen 12–22 artiklan säännökset oman järjestelmänsä säännöksillä. Mainitussa säännöksessä esitetään päinvastoin avointen lausekkeiden rajoittava
luettelo, jonka nojalla kansallinen lainsäätäjä voi siinä täsmällisesti luetelluilla perusteilla säätää rajoituksia rekisteröityjen oikeuksiin ja rekisterinpitäjälle näiden artiklojen mukaan kuuluviin velvollisuuksiin.(28)
67.      Yleisen tietosuoja-asetuksen 23 artiklassa otetaan näin ollen käyttöön poikkeusjärjestelmä, jota sovelletaan siinä mainituilla aloilla, joita ovat lähinnä julkisten tehtävien hoitaminen ja sellaisten yleisen edun mukaisten pakottavien
päämäärien tavoitteleminen, jotka voivat oikeuttaa rekisteröityjen oikeuksien kaventamisen muihin toiminta-aloihin verrattuna. Tältä osin on otettava huomioon yleisen tietosuoja-asetuksen johdanto-osan neljännen perustelukappaleen ensimmäinen ja toinen virke, joiden mukaan olisi varmistettava, että kyseessä olevat perusoikeudet ovat oikeassa suhteessa toisiinsa ja että suunnitellut rajoitukset ovat perusteltuja, välttämättömiä ja oikeasuhteisia vastakkaisiin oikeuksiin ja etuihin nähden.
68.      Ennakkoratkaisupyynnöstä ilmenee, että vaikka baijerilaisen lain perusteluissa yleisen tietosuoja-asetuksen 23 artikla mainitaan nimenomaisesti
BayDSG:n 20 §:n 2 momentin oikeusperustana, niissä ei viitata mihinkään kyseisessä artiklassa luetelluista tavoitteista. Niissä ainoastaan mainitaan, että kyseinen säännös ilmentää tietosuojan valvontatoiminnassa saatuja tietoja koskevaa käyttötarkoitussidonnaisuuden erityisvaatimusta. Ennakkoratkaisua pyytänyt tuomioistuin kuitenkin toteaa, että Landesamtin pääasian menettelyssä esittämistä huomautuksista ilmenee, että kyseisellä säännöksellä on todellisuudessa kaksi päätavoitetta: yhtäältä kolmansien osapuolten henkilötietojen luottamuksellisuuden suojaaminen ja toisaalta valvontaviranomaisen toiminnan moitteettoman sujumisen ja riippumattomuuden takaaminen.
69.      SEUT 267 artiklalla käyttöön otettua Euroopan unionin tuomioistuimen ja kansallisten tuomioistuinten välistä yhteistyömekanismia koskevien periaatteiden – joiden mukaan kansallisen oikeuden tulkinta kuuluu yksinomaan ennakkoratkaisua pyytävän tuomioistuimen toimivaltaan(29) ja unionin tuomioistuimen on pitäydyttävä niihin tietoihin, joita kansallinen tuomioistuin esittää kansallisen oikeutensa sisällöstä ja ulottuvuudesta(30) – mukaisesti otan tarkasteluni lähtökohdaksi nämä seikat.
2.     Yleisen tietosuoja-asetuksen 23 artiklan yhteensopivuus kyseisen asetuksen 15 artiklassa säädetyn tiedonsaantioikeuden yleisen poissulkemisen kanssa
70.      Jäljempänä tässä ratkaisuehdotuksessa selvitän, voiko yleisen tietosuoja-asetuksen 15 artiklassa säädetyn tiedonsaantioikeuden yleinen poissulkeminen olla oikeutettua edellä mainittujen
lainsäädäntötavoitteiden valossa. Tarkastelen myös, täyttääkö tällainen
säännöstö yleisen tietosuoja-asetuksen 23 artiklassa kyseisen oikeuden rajoituksille asetetut lisävaatimukset.
a)     Oikeutetun tavoitteen olemassaolo
1)     Kolmansien osapuolten henkilötietojen luottamuksellisuuden suojelu
71.      Kolmansien osapuolten henkilötietojen luottamuksellisuuden suojelu on yleisessä tietosuoja-asetuksessa tarkoitettu oikeutettu tavoite, joka on lähtökohtaisesti omiaan oikeuttamaan rekisteröidyille annettujen oikeuksien rajoitukset. Tältä osin on todettava, että
yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleessa todetaan sen 15 artiklan mukaisesta
tiedonsaantioikeudesta, että ”tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin”. Näin ollen on otettava huomioon, kuten mainitun asetuksen johdanto-osan neljännestä perustelukappaleesta ilmenee, että oikeus henkilötietojen suojaan ei ole ehdoton, vaan se on suhteutettava
siihen tehtävään, joka sillä on yhteiskunnassa, ja sen on oltava oikeassa suhteessa muihin perusoikeuksiin.(31)
72.      Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdassa viitataan nimenomaisesti ”muille kuuluvien oikeuksien ja vapauksien” suojeluun, kuten kyseisen asetuksen johdanto-osan 73 perustelukappaleessa vahvistetaan. Näin ollen silloin, kun kyse on hallinnon työntekijöiden tai yksityishenkilöiden henkilötiedoista, kansallinen lainsäätäjä voi pätevästi nojautua siihen, että tietojen ilmaisemisella loukattaisiin henkilöoikeuksia ja että on olemassa suojan tarve, jonka on oltava oikeassa suhteessa kantelun tekijän oikeuteen saada tutustua tietoihin.
2)     Valvontaviranomaisten toiminnan moitteettoman sujumisen ja riippumattomuuden suojeleminen
73.      Myös valvontaviranomaisten toiminnan moitteettoman sujumisen ja riippumattomuuden suojeleminen on yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan mukainen oikeutettu tavoite. Unionin lainsäätäjä on nimittäin antanut valvontaviranomaisille
ratkaisevan aseman Euroopan tietosuojajärjestelmässä, kuten yhtäältä kyseisen asetuksen 52 artikla, jossa taataan niiden täysi riippumattomuus, ja toisaalta sen 57 ja 58 artiklassa säädettyjen tutkintavaltuuksien ja korjaavien toimivaltuuksien laajuus osoittavat.(32) Tältä osin unionin tuomioistuimen oikeuskäytännössä on korostettu, että on varmistettava valvontaviranomaisten toiminnan moitteeton sujuminen siten, ettei sitä vaikeuteta yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetuilla ilmeisen perusteettomilla tai kohtuuttomilla kanteluilla.(33)
74.      Näin ollen – ja kun otetaan huomioon yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan h alakohta, jonka mukaan rajoituksia voidaan säätää, jos ne ovat tarpeen julkisen vallan käyttöön liittyvien ”valvontaa” ja ”tarkastusta” koskevien tehtävien hoitamiseksi –
tiedonsaantioikeuden rajoittaminen voi lähtökohtaisesti olla perusteltua. Olemassa olevien yhtäläisyyksien vuoksi on myös otettava huomioon yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan f alakohdassa mainittu tavoite, sellaisena kuin se on täsmennettynä johdanto-osan 73 perustelukappaleessa, eli tuomiovallan riippumattomuuden ja oikeudellisten menettelyjen kulun suojelu. Valvontaviranomaiset eivät toki kuulu tuomioistuinjärjestelmään; lain soveltamisesta vastaavien valtionelinten tapaan niillä on kuitenkin olennainen tehtävä henkilötietojen suojaa koskevien
oikeudenloukkausten havaitsemisessa ja niistä rankaisemisessa. Tästä seuraa, että kyseisen säännöksen analoginen soveltaminen voi joka tapauksessa tulla kyseeseen.
3)     Yleisen turvallisuuden suojelu
75.      Tyhjentävyyden vuoksi on mainittava, että ennakkoratkaisupyynnössä viitataan yhtenä mahdollisena oikeuttamisperusteena myös yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan c alakohdassa tarkoitettuun yleisen turvallisuuden suojelemiseen mutta ei kuitenkaan esitetä tästä tarkempia tietoja. Mielestäni on kuitenkin syytä yhtyä ennakkoratkaisua pyytäneen tuomioistuimen ja komission näkemykseen, jonka mukaan tällainen vetoaminen ei ole perusteltua. Kun nimittäin otetaan huomioon pääasian tosiseikat, sellaisina kuin ennakkoratkaisua pyytänyt tuomioistuin on ne selostanut, tällaisella rajoituksella ei selvästikään näytä olevan merkitystä. Kyseinen oikeuttamisperuste jätetään näin ollen jäljempänä tehdyn tarkastelun ulkopuolelle.
b)     Yleisen tietosuoja-asetuksen sääntelykehyksen asettamat vaatimukset
76.      Yhtäältä on todettava, että BayDSG:n 20 §:n 2 momentin kaltaisessa kansallisessa säännöstössä kolmansien osapuolten henkilötietojen luottamuksellisuuteen liittyvä intressi
on otettu asianmukaisesti huomioon,
koska siinä kielletään ehdottomasti luovuttamasta tällaisia tietoja. Ei myöskään voida sulkea pois sitä, että se, etteivät valvontaviranomaiset toimi yhteistyössä tiedonsaantipyyntöjen käsittelyssä,
voisi johtaa henkilöstöresurssien ja aineellisten resurssien
uudelleenkohdentamiseen muille toiminta-aloille, jollon tällä kohdentamisella voidaan tapauksen mukaan saada tiettyjä tehokkuusetuja.
77.      Toisaalta tällaisissa olosuhteissa herää epäilyksiä siitä, ovatko ne unionin lainsäätäjän yleistä tietosuoja-asetusta annettaessa vahvistaman sääntelykehyksen ja erityisesti kyseisen asetuksen yleisen systematiikan mukaisia, sillä
tämä systematiikka perustuu useiden eri intressien, kuten tietojenkäsittelyn avoimuuden ja –tarpeen mukaan – luottamuksellisuuden suojan ja valvontaviranomaisten näihin intresseihin kohdistaman valvonnan tehokkuuden, vertailuun. Sellainen kansallinen säännöstö, joka ei heijasta asianmukaisesti tällaista intressivertailua, ei näin ollen voi täyttää yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan vaatimuksia. Sama pätee silloin, kun on ilmeistä, että kyseeseen voivat tulla perusoikeuksia vähemmän rajoittavat
toimenpiteet, joilla tavoitellut päämäärät voitaisiin saavuttaa yhtä tehokkaasti.(34)
78.      Tältä osin on muistutettava, että yleisessä tietosuoja-asetuksessa pidetään sen 15 artiklassa säädettyä tiedonsaantioikeutta olennaisena osana
avoimuusperiaatetta. Tämä luonnehdinta ilmenee selvästi kyseisen asetuksen johdanto-osan 63 perustelukappaleesta, jonka mukaan rekisteröidyn on voitava ”olla perillä käsittelystä”, jotta taataan kyseisessä asetuksessa hänelle annettujen oikeuksien tehokkuus. Unionin tuomioistuin on useaan otteeseen vahvistanut tämän näkemyksen toteamalla, että tiedonsaantioikeudella on keskeinen asema yleisellä tietosuoja-asetuksella käyttöön otetun järjestelmän yleisessä systematiikassa. Kansallisella säännöksellä, jolla yleisesti ja erotuksetta evätään rekisteröidyltä tämä oikeus, rikotaan siten unionin lainsäätäjän käyttöön ottaman suojelujärjestelmän ydintä.
79.      Vaikka pitää paikkansa, että yleisen tietosuoja-asetuksen 23 artiklassa sallitaan rekisteröidyn oikeuksien, myös tiedonsaantioikeuden, rajoittaminen yleistä etua koskevista syistä, siinä kuitenkin edellytetään, että tällaisilla rajoituksilla on riittävän täsmällinen oikeusperusta. Tässä oikeusperustassa on määriteltävä selvästi näiden rajoitusten luonne, ulottuvuus ja rajat sekä tarvittavat suojatoimet väärinkäytön riskien estämiseksi. Yleisen tietosuoja-asetuksen johdanto-osan 41 perustelukappaleessa täsmennetään vastaavasti, että kaikkien asetuksessa taattujen oikeuksien rajoitusten on oltava ”selkeitä ja täsmällisiä” ja rekisteröidyn ”ennakoitavissa” ja että rekisteröidyn on pystyttävä selvittämään, miten laajoja hänen oikeuksiinsa kohdistuvat rajoitukset voivat olla.(35) Kansallinen säännös, jossa säädetään tiedonsaantioikeuden ehdottomasta poissulkemisesta määrittämättä tämän poissulkemisen aineellista tai henkilöllistä soveltamisalaa ja säätämättä suojatoimista, ei voi täyttää näin asetettuja vaatimuksia.
80.      Lisäksi yleisen tietosuoja-asetuksen johdanto-osan 60 perustelukappaleessa muistutetaan, että avoimuus on yksi henkilötietojen käsittelyn perusperiaatteista, jota sovelletaan myös viranomaisten toimintaan. Vaikka tiettyjen tietojen luovuttamisesta voidaan tilapäisesti pidättäytyä kantelumenettelyn yhteydessä etenkin, jottei vaaranneta rikkomusten ennaltaehkäisyä, havaitsemista tai tutkintaa,(36) tällaisen varauman on oltava ehdottoman välttämätön ja oikeasuhteinen, eikä sillä saada tehdä täysin tyhjäksi avoimuutta rekisteröityä kohtaan. Kansallisessa säännöksessä, jolla suljetaan pois kaikki
tiedonsaantioikeudet tekemättä mitään eroa henkilötietojen ja sisäisten asiakirjojen välillä, sivuutetaan näin ollen yleisen tietosuoja-asetuksen systematiikka.
81.      Unionin tuomioistuin on myös todennut perusoikeuskirjan 52 artiklan 1 kohdasta, että rajoitusten, joita perusoikeuksiin voidaan tehdä, on oltava paitsi laillisuus- ja suhteellisuusperiaatteiden myös sen periaatteen mukaisia, jossa edellytetään kyseisten oikeuksien ”keskeisen sisällön” kunnioittamista.(37) Yleisen tietosuoja-asetuksen johdanto-osan neljännessä perustelukappaleessa vahvistetaan, että henkilötietojen suoja on perusoikeuskirjan 8 artiklassa taattu perusoikeus, jota voidaan rajoittaa ainoastaan noudattaen suhteellisuusperiaatetta. Tiedonsaantioikeuden täydellinen poissulkeminen johtaa kuitenkin siihen, että rekisteröidyltä evätään tämän oikeuden keskeinen sisältö, koska häntä estetään määräämästä vähimmässäkään määrin omien henkilötietojensa käsittelystä.
82.      Yleisen tietosuoja-asetuksen johdanto-osan 75 perustelukappaleessa vielä
korostetaan, että läpinäkyvyyden puuttuminen tai riittämättömyys on jo itsessään riski, joka voi vaikuttaa vakavasti rekisteröityjen oikeuksiin ja vapauksiin. Säännöstöllä, jolla rekisteröidyltä evätään täysin mahdollisuus saada selville, miten hänen
henkilötietojaan on käsitelty, luodaan nimenomaan sellainen riskitilanne, jonka lainsäätäjä on pyrkinyt estämään.
83.      On syytä lisätä, että yleisen tietosuoja-asetuksen johdanto-osan 129 perustelukappaleessa määritellään valvontaviranomaiset riippumattomiksi elimiksi, joiden tehtävänä on valvoa asetuksen täytäntöönpanoa ja suojata rekisteröityjen oikeuksia. Tämä tehtävä ja valvontaviranomaisilla yleisellä tietosuoja-asetuksella käyttöön otetussa valvontajärjestelmässä oleva asema eivät kuitenkaan tarkoita, että kyseiset viranomaiset olisi vapautettu kaikista siitä johtuvista velvoitteista. Yleisessä tietosuoja-asetuksessa päinvastoin luodaan johdonmukainen oikeudellinen kehys, jossa valvontaviranomaisten on
toimivaltuuksiaan käyttäessään edelleen noudatettava kaikkia asetuksessa vahvistettuja sääntöjä ja erityisesti niitä, jotka koskevat rekisteröityjen oikeuksia. Kansallisella säännöksellä, jossa suljetaan täysin pois kaikenlainen rekisteröityä koskevien tietojen luovuttaminen, horjutetaan tätä tasapainoa ja loukataan valvontaviranomaisille kuuluvaa vastuuta koskevaa vaatimusta.
84.      Tiedonsaantioikeuden ehdoton poissulkeminen on lisäksi vastoin yleisen tietosuoja-asetuksen tavoitetta taata luonnollisten henkilöiden henkilötietojen korkeatasoinen suoja, kuten asetuksen johdanto-osan kymmenennessä perustelukappaleessa muistutetaan.(38) Näin tavoiteltu suojan taso perustuu olennaisesti avoimuuteen ja rekisteröidyn mahdollisuuteen hallita itseään koskevia käsittelytoimia. Kyseisen asetuksen 15 artiklassa säädetty tiedonsaantioikeus on tältä kannalta välttämätön, sillä se on kaikkien muiden rekisteröidyn oikeuksien tehokkaan käyttämisen perusta.(39) Jos tämä oikeus suljettaisiin yleisesti pois, tietyt käsittelyt jäisivät täysin yksilön hallintakyvyn ulkopuolelle, ja unionin lainsäätäjän tavoitteleman korkeatasoisen suojelun tehokkuus vaarantuisi.
85.      Kolmansien osapuolten oikeuksien ja vapauksien suojaamista koskevasta tavoitteesta, johon tiedonsaantioikeuden rajoituksen oikeuttamiseksi
on vedottu,
on muistutettava unionin tuomioistuimen todenneen, että jos tiedonsaantioikeuden ja muiden henkilöiden oikeuksien ja vapauksien välillä on jännite, viranomaisten kuuluu vertailla kyseessä olevia intressejä. Yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleesta ilmenee nimenomaisesti, että tämä vertailu ei missään tapauksessa voi oikeuttaa tiedonsaantioikeuden täydellistä epäämistä.(40) On olemassa tiettyjä mukautettuja menettelytapoja, kuten tietojen osittainen luovuttaminen, tietojen peittäminen tai anonymisointi, väärinkäytöksistä ilmoittaneiden henkilöiden henkilöllisyyden suojaaminen, asiakirjaluokittain eriytetty käsittely tai rakenteisen yksilöimättömän tiedon luovuttaminen, joiden avulla kyseessä olevat intressit voidaan sovittaa yhteen tarvitsematta kokonaan evätä tiedonsaantioikeutta.
86.      Siltä osin kuin on kyse esiin tuodusta tarpeesta taata valvontaviranomaisten tehtävien riippumaton ja tehokas hoitaminen, ei ole ilmeistä, miten yleisen tietosuoja-asetuksen 15 artiklassa säädetyn tiedonsaantioikeuden käyttäminen voisi vaarantaa tämän tavoitteen. Ennakkoratkaisua pyytänyt tuomioistuin on oikeassa siinä, että valvontaviranomaisten riippumattomuus ei suinkaan tarkoita, ettei rekisteröityjen voida antaa tarkistaa, onko kyseisten viranomaisten tekemä henkilötietojen käsittely lainmukaista. Mahdollisen ”vaikuttamisen” riski, jota tiedonsaantioikeus
saattaisi lisätä, kuten Landesamt väittää, on näin ollen suljettava pois.
87.      Lisäksi on todettava, kuten edellä tässä ratkaisuehdotuksessa esitettiin, että yleisen tietosuoja-asetuksen 15 artiklassa ei säädetä mistään yleisestä oikeudesta tutustua asiakirja-aineistoon,(41) joten siitä aiheutuvan hallinnollisen rasitteen pitäisi pysyä vähäisenä. Tästä riippumatta on todettava, että asetuksen 12 artiklan 5 kohdassa asetetaan valvontaviranomaisten käyttöön
asianmukainen väline perusteettomien tai kohtuuttomien pyyntöjen käsittelyyn.(42) Valvontaviranomaisilla on myös valtuudet toteuttaa erilaisia hallintatoimia, kuten pidättäytyä tilapäisesti tietojen luovuttamisesta menettelyn aikana, olla kokonaan luovuttamatta tiettyjä sisäisiä asiakirjoja, tehdä ero erityyppisten menettelyjen välillä, luovuttaa ainoastaan tietoja, jotka liittyvät jo päättyneisiin menettelyvaiheisiin, tai ottaa käyttöön organisatorisia järjestelyjä, joilla taataan, etteivät tiedonsaantipyynnöt häiritse sisäisiä prosesseja. Tällaisilla toimilla voidaan varmistaa valvontaviranomaisten toiminnan moitteeton sujuminen sulkematta kuitenkaan täysin pois yleisen tietosuoja-asetuksen 15 artiklassa säädettyä tiedonsaantioikeutta.
88.      On myös muistutettava, että valvontaviranomaisten toiminnan tehokkuus riippuu
olennaisesti siitä, onko niiden käyttöön osoitettu tarvittavat keinot eli henkilöstöön liittyvät, tekniset ja taloudelliset resurssit, tilat ja infrastruktuuri, jotka ovat tarpeen niiden tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti.(43) Yleisen tietosuoja-asetuksen 52 artiklan 4 kohdassa jäsenvaltiot velvoitetaan nimenomaisesti varmistamaan, että viranomaisille osoitetaan nämä resurssit. Tältä kannalta kysymys valvontaviranomaisten toimivuudesta
ei voi rajoittua pelkkään yleisen tietosuoja-asetuksen 15 artiklaan perustuvien tiedonsaantipyyntöjen lukumäärään. Kyseisille viranomaisille osoitettujen resurssien riittämättömyys ei missään tapauksessa saa johtaa siihen, että henkilötietojen suojan taso heikkenee.
89.      Ennakkoratkaisupyynnöstä ilmenee, että BayDSG:n 20 §:n 2 momentti
on erikoistapaus Saksan oikeusjärjestyksessä, sillä missään muussa Saksan osavaltiossa ei säädetä vastaavasta tiedonsaantioikeuden poissulkemisesta. Tällainen normatiivinen eristyneisyys on vakavasti otettava viite siitä, ettei näin laajaa rajoitusta voida pitää välttämättömänä eikä oikeasuhteisena yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitetussa merkityksessä. Koska kaikki muut valvontaviranomaiset kykenevät hoitamaan tehtäviään tarvitsematta turvautua rekisteröityjen oikeuksien yleiseen epäämiseen, on vaikea väittää, että tällainen toimenpide olisi välttämätön viranomaisen toiminnan moitteettoman sujumisen tai kolmansien osapuolten oikeuksien suojelun kannalta. Yhden ainoan osavaltion oma lainsäädäntö, jolla rajoitetaan yleisessä tietosuoja-asetuksessa taattuja oikeuksia huomattavasti laajemmin kuin muissa jäsenvaltion osissa annetuissa lainsäädännöissä, ei täytä unionin oikeudesta johtuvia johdonmukaisuuden, välttämättömyyden ja oikeasuhteisuuden vaatimuksia.
90.      Näin ollen on todettava, että
nyt kyseessä olevien kahden päämäärän – kolmansien osapuolten oikeuksien suojelun ja valvontaviranomaisten tehtävien moitteettoman hoitamisen varmistamisen – tapauksessa toivottuihin tuloksiin voidaan hyvin päästä vähemmän rajoittavilla, eriytetyillä ja unionin oikeuden mukaisilla toimenpiteillä
loukkaamatta tiedonsaantioikeuden olennaista sisältöä, luopumatta rekisteröityihin nähden edellytetystä avoimuudesta ja rajoittamatta mahdollisuutta valvoa käsittelyjen lainmukaisuutta.
91.      Toinen ratkaiseva näkökohta on se, että
BayDSG:n 20 §:n 2 momentista ei
pystytä yksilöimään kansallisen lainsäätäjän tavoittelemaa päämäärää. Kuten ennakkoratkaisua pyytäneen tuomioistuimen toimittamista tiedoista ilmenee, lainvalmisteluasiakirjoissa ainoastaan mainitaan yleisen tietosuoja-asetuksen 23 artikla sen oikeusperustana muttei viitata mihinkään kyseisessä säännöksessä luetelluista tavoitteista. Mainitussa
23 artiklassa kuitenkin edellytetään, että rajoituksen tarkoitus ilmenee selvästi säännöksestä itsestään, ja tämä on välttämättömyyden ja oikeasuhteisuuden periaatteiden noudattamisen tehokkaan valvonnan välttämätön edellytys.
92.      Tämän selkeyden vaatimuksen täyttämättä jättämistä ei voida korjata SEUT 267 artiklan mukaisen ennakkoratkaisumenettelyn osapuolen ex post esittämillä oikeuttamisperusteilla, etenkään
kun tämä osapuoli on se, joka hyötyy kyseisestä rajoituksesta. Tällaisen mahdollisuuden hyväksyminen merkitsisi demokraattisesti vastuussa olevan lainsäätäjän tahdon syrjäyttämistä oikeusriidan käsittelyssä tehdyllä argumentoivalla tulkinnalla, mikä olisi ristiriidassa yleisen tietosuoja-asetuksen 23 artiklan 1 ja 2 kohdasta ilmenevien ennakoitavuuden, normatiivisen avoimuuden ja oikeusvarmuuden vaatimusten kanssa.
93.      Tässä tilanteessa on todettava, että BayDSG:n 20 §:n 2 momentissa säädetyn kaltainen tiedonsaantioikeuden yleinen ja erottamaton poissulkeminen
ei täytä yleisen tietosuoja-asetuksen 23 artiklan vaatimuksia, koska se ei sisällä yhtäkään kyseisen artiklan 2 kohdassa nimenomaisesti vaadituista elementeistä ja koska se ei vastaa asetuksen systematiikkaa ja tarkoitusta, sellaisina kuin ne ilmenevät asian kannalta merkityksellisistä johdanto-osan perustelukappaleista. Tällainen säännös on suhteeton, liian epämääräinen ja omiaan tekemään tyhjäksi tiedonsaantioikeuden keskeisen sisällön.
3.     Välipäätelmä
94.      Edellä esitetyistä syistä katson, että yleisen tietosuoja-asetuksen 23 artiklaa on tulkittava siten, että se on esteenä BayDSG:n 20 §:n 2 momentin kaltaiselle kansalliselle säännöstölle siltä osin kuin siinä sellaisenaan suljetaan
pois kyseisen asetuksen 15 artiklaan perustuva tiedonsaantioikeus valvontaviranomaiseen nähden.
VI     Ratkaisuehdotus
95.      Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Bayerisches Verwaltungsgericht Ansbachin esittämiin ennakkoratkaisukysymyksiin seuraavasti:
1)      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 15 artiklaa, luettuna yhdessä 4 artiklan 7 alakohdan kanssa,
on tulkittava siten, että
kyseisen asetuksen 4 artiklan 21 alakohdassa tarkoitettu valvontaviranomainen on silloin, kun se toimii kyseisen asetuksen 77 artiklaan perustuvassa kantelumenettelyssä, myös kyseisessä asetuksessa tarkoitettu rekisterinpitäjä,
ja se on näin ollen velvollinen takaamaan rekisteröidylle kyseisen asetuksen 15 artiklassa säädetyn tiedonsaantioikeuden.
2)      Asetuksen 2016/679 23 artiklaa
on tulkittava siten, että
se on esteenä Baijerin osavaltion tietosuojalain 20 §:n 2 momentin kaltaiselle kansalliselle säännökselle, jossa sellaisenaan suljetaan pois kyseisen asetuksen 15 artiklaan perustuva tiedonsaantioikeus
Baijerin osavaltion tietosuojaviranomaiseen nähden.
1      Alkuperäinen kieli: ranska.
2      EUVL 2016, L 119, s. 1.
3      Ks. tämän ratkaisuehdotuksen 24 kohta ja sitä seuraavat kohdat.
4      Ks. tämän ratkaisuehdotuksen 65 kohta ja sitä seuraavat kohdat.
5      Ks. tuomio 29.7.2019, Fashion ID (C‑40/17, EU:C:2019:629, 65 ja 66 kohta).
6      Unionin tuomioistuin on jopa katsonut, että luonnollista henkilöä tai oikeushenkilöä, joka vaikuttaa omia tarkoituksiaan varten henkilötietojen käsittelyyn ja osallistuu täten kyseisen käsittelyn tarkoituksen ja keinojen määrittämiseen, voidaan pitää
rekisterinpitäjänä (ks. tuomio 10.7.2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, 68 kohta ja tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 68 kohta).
7      Yleisessä tietosuoja-asetuksessa ei nimenomaisesti määritellä, mitä ”kantelulla” tarkoitetaan, mutta 77 artiklan sanamuoto antaa siitä alustavan käsityksen. Euroopan tietosuojaneuvoston suuntaviivojen mukaan kantelu on tunnistetun luonnollisen henkilön, joka katsoo, että hänen henkilötietojensa
käsittelyssä on rikottu yleistä tietosuoja-asetusta, tai 80 artiklan edellytykset täyttävän elimen valvontaviranomaiselle tekemä valitus. Tietosuojaneuvosto täsmentää, ettei kyseinen käsite rajoitu ainoastaan yleisen tietosuoja-asetuksen III luvussa mainittujen oikeuksien loukkauksiin, vaan se kattaa laajemmin kaikenlaiset kyseisen asetuksen sellaiset rikkomiset, jotka johtuvat kantelun tekijän henkilötietojen käsittelystä (CEPD, Internal Document 6/2020 on preliminary steps to handle a complaint:
admissibility and vetting of complaints, 15.12.2020, s. 3).
8      Ks. tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958, 58 kohta); tuomio 26.9.2024, Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 35 kohta) ja tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt) (C‑416/23, EU:C:2025:3, 39 kohta).
9      Ks. EFTAn tuomioistuimen tuomio 10.12.2020, Adpublisher AG v. J & K (E-11/19 ja E-12/19, 45 kohta).
10      Ks. tuomio 6.10.2015, Schrems (C‑362/14, EU:C:2015:650, 63 kohta); tuomio 16.7.2020, Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, 107 kohta); tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958, 56 kohta) ja tuomio 26.9.2024, Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 32 kohta).
11      Tässä yhteydessä on muistutettava julkisasiamies Pikamäen ratkaisuehdotukseta SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:222, 42 kohta), jossa hän korosti, että unionin lainsäätäjän tarkoituksena ei ole ollut tehdä kantelumenettelystä mekanismia, joka olisi rinnastettavissa pelkkään ”vetoomukseen”. Tavoitteena näyttää päinvastoin olleen säätää mekanismista, jolla voidaan tehokkaasti turvata kantelun tekijöiden oikeudet ja intressit. Erityisesti yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdassa mainitut velvoitteet, joita valvontaviranomaisen on noudatettava käsitellessään kanteluja ja jotka kuuluvat hyvän hallinnon periaatteeseen, ovat osoitus unionin lainsäätäjän tahdosta tehdä tästä menettelystä ”todellinen hallinnollinen oikeussuojakeino”.
12      Ks. tuomio 26.9.2024, Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 42 kohta).
13      Ks. tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958, 70 kohta) ja tuomio 26.9.2024, Land Hessen Land Hessen (Tietosuojaviranomaisen velvollisuus ryhtyä toimenpiteisiin) (C‑768/21, EU:C:2024:785, 49 kohta).
14      Unionin oikeudessa ei ole yhtenäisiä sääntöjä siitä, miten kanteluja konkreettisesti käsitellään valvontaviranomaisessa. Hallintokäytännöissä on näin ollen tiettyjä eroja jäsenvaltioiden välillä. Euroopan tietosuojaneuvosto on kuitenkin pyrkinyt suuntaviivoja antamalla ja hyviä käytäntöjä laatimalla varmistamaan valvontatoiminnan ja menettelysääntöjen tietynasteisen yhtenäisyyden etenkin siltä osin kuin on kyse kantelujen tutkittavaksi ottamisesta tai arkistoinnista, sovintoratkaisujen toteamisesta jne. (ks. tältä osin CEPD, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, 15.12.2020).
15      Kuten EFTAn tuomioistuin totesi 10.12.2020 antamassaan tuomiossa Adpublisher AG v. J & K (E-11/19 ja E-12/19, 60 kohta), valvontaviranomaisella on yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan h alakohdan nojalla toimivalta aloittaa tutkintoja viran puolesta. Näin ollen se voi kantelua tutkiessaan lausua myös muista väitteistä tai riidan kohteista kuin niistä, joihin kantelun tekijä on vedonnut. Kantelumenettelyn tehokkuus edellyttää, että valvontaviranomaisen tutkintavaltuuksien käyttämistä ei rajoita se, miten kantelun tekijä on muotoillut asian kannalta merkitykselliset oikeuskysymykset kantelussaan.
16      Valvontaviranomaiset näyttävät käsittelevän kanteluja joko kansallisen oikeuden säännösten tai oman harkintavaltansa perusteella.
Kantelujen käsittelyssä vaikuttaa olevan eroja myös käytännöllisistä syistä tai yksinkertaistetun menettelyn johdosta (ks. tältä osin González Fuster, G. ym., ”The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022, s. 30).
17      Ks. tuomio 11.1.2024, Belgian valtio (Virallisessa julkaisussa käsitellyt tiedot) (C‑231/22, EU:C:2024:7, 39 kohta) ja tuomio 27.2.2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, 49 kohta).
18      Landesamt toimitti unionin tuomioistuimen pyynnöstä selvityksen kantelujen käsittelyyn liittyvistä hallintokäytännöistään. Se täsmensi tältä osin, että kantelujen tekijät voivat esittää Landesamtin toimivaltaisille työntekijöille vaatimuksia myös sähköisesti ja pyytää saada tutustua asiakirja-aineistoon. Selvityksestä ilmenee selvästi, että Landesamtin kantelujen käsittelyssä ja erityisesti tietojen keruussa, organisatoristen toimien toteuttamisessa ja tutkinnan tekemisessä noudattamat menettelytavat
kuuluvat sille yleisessä tietosuoja-asetuksessa
tehtäviäen hoidon alalla annettuun itsenäisyyteen.
19      Möhle, J.-S., Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht, Die Öffentliche Verwaltung, 2023, nro 3, s. 108, selittää, että tietosuojalainsäädännöstä johtuvat velvoitteet (kuten tiedonanto-, vastuu- tai yhteistyövelvoitteet) voivat sitoa ainoastaan henkilöä, joka tosiasiallisesti kykenee käyttämään vaikutusvaltaa eli estämään tulevat tietosuojasääntöjen rikkomiset. Mielestäni on täysin selvää, että kantelumenettelyssä valvontaviranomainen on ainoa, joka täyttää tämän määritelmän.
20      Kuten unionin tuomioistuin on todennut, rekisterinpitäjän käsitteen laajan määritelmän tavoitteena on nimenomaan varmistaa rekisteröityjen tehokas ja kattava suojelu
(ks. tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 34 kohta; tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 66 kohta ja tuomio 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, 28 kohta).
21      Ks. vastaavasti Kunert, J., ”Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG”, GRUR-Prax, 2025, nro 9, s. 324.
22      Ks. tuomio 22.6.2023, Pankki S (C‑579/21, EU:C:2023:501, 50 kohta).
23      Ks. tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, 33 ja 34 kohta).
24      Ks. tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, 41 kohta).
25      Ks. tuomio 20.12.2017, Nowak (C‑434/16, EU:C:2017:994, 57 kohta); tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot) (C‑154/21, EU:C:2023:3, 38 kohta) ja tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, 35 kohta).
26      Zanfir-Fortuna, G., ”Article 15. Right of access by the data subject”, teoksessa
Kuner, C., Bygrave, L. A.
ja
Docksey, C. (toim.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, s. 452, korostaa, että yleisen tietosuoja-asetuksen 15 artiklassa taattu oikeus tutustua omiin henkilötietoihinsa on tärkeää erottaa oikeudesta tutustua julkisiin tietoihin. Näillä kahdella oikeudella
on erilainen
normatiivinen tarkoitus: ensin mainitulla pyritään takaamaan avoimuus siihen henkilöön nähden, jonka tietoja rekisterinpitäjä kerää
ja käsittelee (avoimuus inter partes), kun taas jälkimmäisellä on tarkoitus varmistaa sellaisten tietojen, joilla on julkista arvoa tai merkitystä, avoimuus yleisöön nähden (avoimuus
erga omnes).
27      Gumzej, N., ”DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, osa 13, nro 2 (2023), s. 210, viittaa voimassa oleviin tiedonvälityksen vapautta koskeviin lakeihin.
28      Schemmer, F., ”Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen”, Zeitschrift für das gesamte Informationsrecht, 2024, nro 5, s. 210.
29      Ks. tuomio 6.3.2007, Placanica ym. (C‑338/04, C‑359/04 ja C‑360/04, EU:C:2007:133, 34 kohta) ja tuomio 21.6.2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, 240 kohta).
30      Ks. tuomio 25.10.2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, 10 kohta) ja tuomio 14.11.2024, S. (Ratkaisukokoonpanon muuttaminen) (C‑197/23, EU:C:2024:956, 43 kohta).
31      Ks. tuomio 16.7.2020, Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, 172 kohta); tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot) (C‑154/21, EU:C:2023:3, 47 kohta) ja tuomio 21.3.2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, 75 kohta).
32      Giurgiu, A. ja Larsen, T., ”Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?”, European Data Protection Law Review, nro 3 (2016), s. 352, katsovat, että valvontaviranomaiset ovat yksilön oikeuksien merkittävimpiä takaajia, koska ne ovat keskeisessä asemassa yleisessä tietosuoja-asetuksessa annettujen tietosuojasääntöjen valvonnassa ja soveltamisessa. Kirjoittajat korostavat, miten tärkeää on tarjota näille viranomaisille riittävät resurssit niin henkilöstön kuin varojenkin puolesta, jotta ne voivat hoitaa tehtävänsä tehokkaasti.
33      Ks. tuomio 9.1.2025, Österreichische Datenschutzbehörde (Kohtuuttomat pyynnöt) (C‑416/23, EU:C:2025:3, 40 kohta).
34      Ks. tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, 85 kohta).
35      Ks. tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten) (C‑175/20, EU:C:2022:124, 56 kohta).
36      Ks. tältä osin CEPD, Guidelines 10/2020 on restrictions under Article 23 GDPR (versio 2.1), 13.10.2021, 65–67 ja 82 kohta, joissa suositellaan rajoittamaan tilapäisesti tiettyjen rekisteröidyn oikeuksien käyttämistä, jottei hallinnollinen tutkinta vaarannu.
37      Ks. tuomio 8.4.2014, Digital Rights Ireland ym. (C‑293/12 ja C‑594/12, EU:C:2014:238, 38 kohta); tuomio 6.10.2015, Schrems (C‑362/14, EU:C:2015:650, 94 kohta); tuomio 16.7.2020, Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, 174 kohta) ja tuomio 6.10.2020, La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 121 kohta).
38      Unionin tuomioistuimen vakiintuneessa oikeuskäytännössä on muistutettu tästä tavoitteesta ja korostettu, että henkilötietojen suoja taataan sekä SEUT 16 artiklassa että perusoikeuskirjan 8 artiklassa, eli tämä oikeus vahvistetaan kahdessa unionin primaarioikeuden määräyksessä (ks. tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 43 kohta).
39      Ks. tuomio 22.6.2023, Pankki S (C‑579/21, EU:C:2023:501, 53 kohta ja sitä seuraavat kohdat).
40      Ks. tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, 44 kohta).
41      Ks. tämän ratkaisuehdotuksen 59 kohta ja sitä seuraavat kohdat.
42      Ks. tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot) (C‑154/21, EU:C:2023:3, 49 kohta). Kuten unionin tuomioistuin korosti, rekisterinpitäjän asiana on osoittaa tiedonsaantipyynnön ilmeinen perusteettomuus tai kohtuuttomuus yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa tarkoitetussa merkityksessä.
43      Ks. tältä osin Euroopan unionin perusoikeusvirasto (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxembourg, 11.6.2024, s. 21, jossa kuvataan vuosien mittaan valvontaviranomaisten
käyttöön asetettuja resursseja ”yleisesti riittämättömiksi”. Komission annettua ensimmäisen kertomuksensa yleisen tietosuoja-asetuksen soveltamisesta
Euroopan parlamentti hyväksyi päätöslauselman,
jossa jäsenvaltioita kehotettiin noudattamaan yleisen tietosuoja-asetuksen 52 artiklan 4 kohdassa säädettyä velvollisuutta osoittaa valvontaviranomaisilleen riittävät resurssit,
jotta nämä voisivat hoitaa tehtävänsä mahdollisimman hyvin ja taata
yhdenvertaiset edellytykset yleistä tietosuoja-asetusta
unionin tasolla sovellettaessa.