62023TJ0070_RES
Sujungtos bylos T‑70/23, T‑84/23 ir T‑111/23
(Ištraukų skelbimas)
Data Protection Commission
prieš
Europos duomenų apsaugos valdybą
2025 m. sausio 29 d. Bendrojo Teismo sprendimas
„Asmens duomenų apsauga – Reglamento (ES) 2016/679 65 straipsnio 1 dalies a punktas – Privalomas sprendimas, kuriuo vadovaujančiai priežiūros institucijai nurodoma išplėsti tyrimo apimtį ir parengti papildomo sprendimo projektą – Europos duomenų apsaugos valdybos kompetencija“
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Europos duomenų apsaugos valdybos (EDAV) kompetencija – Apimtis – Privalomas sprendimas, kuriuo vadovaujančiai priežiūros institucijai nurodoma išplėsti tyrimo apimtį ir parengti papildomo sprendimo projektą – Įtraukimas
(ESS 39 straipsnis; SESV 16 straipsnio 1 ir 2 dalys, 101 ir 102 straipsniai; Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 ir 3 dalys; Europos Parlamento ir Tarybos reglamento 2016/679 126, 136 ir 141 konstatuojamosios dalys, 4 straipsnio 24 punktas, 57 straipsnio 1 dalies a ir f punktai, 58 straipsnio 2 dalis, 60 straipsnis, 65 straipsnio 1 dalies a punktas, 2, 3 ir 6 dalys ir 66 straipsnis)
(žr. 35, 36, 38–40, 43–45, 49–54, 56–59, 62, 63, 68–75, 77–82 punktus)
Santrauka
Bendrasis Teismas (išplėstinė kolegija) atmetė Data Protection Commission, Airijos asmens duomenų apsaugos priežiūros institucijos, ieškinius dėl Europos duomenų apsaugos valdybos (EDAV) privalomų sprendimų panaikinimo iš dalies. Savo sprendime jis pirmą kartą priėmė sprendimą dėl EDAV kompetencijos įpareigoti nacionalinę priežiūros instituciją išplėsti konkretaus atvejo analizę ir prireikus tyrimą.
Pasikeitusi informacija su kitomis susijusiomis priežiūros institucijomis Data Protection Commission, kaip vadovaujanti priežiūros institucija, konstatavo, kad nesusitarta dėl prieštaravimų, pareikštų dėl jos sprendimų dėl tarpvalstybinio duomenų tvarkymo projektų, susijusių su socialinio tinklo Facebook, socialinio tinklo Instagram ir pranešimų siuntimo programėlės WhatsApp naudojimu. Todėl ji kreipėsi į EDAV pagal nuoseklumo užtikrinimo mechanizmą (
1
).
Išnagrinėjusi tris bylas EDAV, manydama, kad dauguma prieštaravimų dėl sprendimų projektų yra tinkami ir pagrįsti, nusprendė pareikšti savo poziciją dėl juose keliamų klausimų.
2022 m. gruodžio 5 d. ji priėmė privalomus sprendimus, kuriais Data Protection Commission buvo įpareigota atlikti naujus duomenų tvarkymo tyrimus, susijusius su trimis minėtomis programėlėmis, ir tuo remiantis parengti papildomų sprendimų projektus.
Data Protection Commission užginčijo EDAV kompetenciją privalomais sprendimais nustatyti jai tokias priemones.
Bendrojo Teismo vertinimas
Pirma, Bendrasis Teismas patikslino EDAV kompetencijos (
2
) apimtį, remdamasis BDAR pažodine, kontekstine ir teleologine analize.
Šiomis aplinkybėmis jis visų pirma pažymėjo, kad, remiantis pažodiniu reikšmingų BDAR nuostatų (
3
) aiškinimu, EDAV yra kompetentinga priimti tokias nuostatas, kokios yra ginčijamos, kuriomis vadovaujančiai priežiūros institucijai nurodoma atlikti naują tyrimą dėl tam tikrų atitinkamų bylų aspektų ir vėliau priimti naujus sprendimų projektus. Kadangi privalomas EDAV sprendimas turi būti susijęs su visais klausimais, dėl kurių pareikšti tinkami ir pagrįsti prieštaravimai, pagal atitinkamas BDAR nuostatas nedraudžiama, kad tuo atveju, kai EDAV patvirtina tinkamą ir pagrįstą prieštaravimą, susijusį su aspekto, dėl kurio negalima nustatyti, ar buvo pažeistas šis reglamentas, ar ne, analizės trūkumu arba nepakankamumu sprendimo projekte, šiame sprendime vadovaujančiai priežiūros institucijai būtų nustatytas įpareigojimas ištaisyti šį analizės trūkumą ir, jei tai atrodo būtina atsižvelgiant į EDAV turimą bylos medžiagą, šiuo tikslu pagilinti ar išplėsti iki tol atliktą tyrimą. Jei paaiškėja, kad bylos medžiagos nepakanka, kad būtų galima atlikti visą reikiamą analizę, EDAV turėtų galėti įpareigoti vadovaujančią priežiūros instituciją atlikti papildomą tyrimą.
Be to, Bendrasis Teismas, remdamasis reikšmingų BDAR nuostatų kontekstiniu aiškinimu, nusprendė, kad bendras su konkrečiu atveju susijusių priežiūros institucijų bendradarbiavimo pareigos kontekstas, įtvirtintas BDAR, patvirtina EDAV kompetenciją priimti ginčijamas nuostatas.
Šiuo klausimu jis nurodė, kad su byla susijusių priežiūros institucijų bendradarbiavimo procedūra (
4
), galinti apimti EDAV užtikrinamo nuoseklumo užtikrinimo mechanizmo pradėjimą, nėra „vienpusė“ procedūra, per kurią etapai visada eina vienas po kito juos numatančių nuostatų tvarka, be galimybės grįžti į ankstesnį etapą ar laikinai likti tame pačiame etape.
Be to, jis pažymėjo, kad sąlygų, kuriomis atliekamas asmens duomenų tvarkymas, ir to tvarkymo atitikties BDAR analizė neturi apsiriboti tik tuo, kas nurodoma skundą pateikusio asmens skunde. Visų pirma visapusis BDAR numatytų užduočių vykdymas, atitikties reglamentui užtikrinimas ir skundų nagrinėjimas tiek, kiek reikia (
5
), reiškia, kad būtina pasirinkti tinkamą bylos analizės apimtį, atsižvelgiant ne tik į dėl jos pateiktą skundą, bet ir į kitus elementus, kurie gali jį papildyti. Tačiau remiantis apibrėžtimi tinkamas ir pagrįstas prieštaravimas apima aspektus, kurių analizė iš tiesų susijusi su dviem minėtomis užduotimis. Todėl tai, kad tinkamas ir pagrįstas prieštaravimas yra susijęs su analizės apimtimi ir prireikus – su tyrimo apimtimi ir kad EDAV dėl to imasi veiksmų, visiškai neprieštarauja šioms užduotims.
Galiausiai Bendrasis Teismas pabrėžė, kad BDAR tikslų nagrinėjimas taip pat patvirtina pažodinį reikšmingų BDAR nuostatų aiškinimą.
Šiuo klausimu jis, be kita ko, priminė, kad su konkrečiu atveju susijusių priežiūros institucijų bendradarbiavimo mechanizmas ribojamas tuomet, kai šioms institucijoms nepavyksta rasti konsensuso. Būtent esant tokiai situacijai vadovaujanti priežiūros institucija pateikia nesuderintą klausimą spręsti pagal nuoseklumo užtikrinimo mechanizmą, kurį pritaikius EDAV priima privalomą sprendimą. Atnaujinus tyrimą, kompetentinga institucija turi priimti galutinį sprendimą dėl esminių aspektų, išnagrinėtų ir išspręstų po to, kai EDAV priėmė privalomą sprendimą per BDAR numatytą terminą. Tai netrukdo atlikti papildomo tyrimo ir analizuoti dar neišnagrinėtų konkretaus atvejo aspektų.
Antra, Bendrasis Teismas nusprendė, kad kompetencijos suteikimo Sąjungos įstaigai sąlygos neprieštarauja pateiktam aiškinimui, pagal kurį EDAV turi įgaliojimus įpareigoti vadovaujančią priežiūros instituciją išplėsti analizę ir prireikus – tyrimą. Iš tiesų naudojimasis tokiais įgaliojimais ribojamas įvairiais kriterijais ir sąlygomis, kurie riboja jos veiksmų laisvę. Taigi šie įgaliojimai, pirma, įgyvendinami tuo atveju, kai vadovaujančios priežiūros institucijos analizės trūkumai nagrinėjant konkretų atvejį yra aiškiai nustatyti ir kai tie trūkumai gali turėti reikšmingų pasekmių, kaip matyti iš tinkamo ir pagrįsto prieštaravimo apibrėžties, ir, antra, kyla iš bendro EDAV sudarančių priežiūros institucijų vertinimo.
Be to, Bendrasis Teismas pažymėjo, kad naudojimuisi šiais įgaliojimais taikoma teisminė kontrolė. Konkrečiau kalbant, kiek tai susiję su jame nurodytais pagrindais, Sąjungos teismas, atsižvelgdamas į bylos aplinkybes, gali patikrinti ginčijamų nuostatų teisėtumą iš esmės. Be kita ko, pirma, jis gali patikrinti, ar priimdama tokio pobūdžio nuostatas EDAV iš tiesų veikė atsižvelgdama į tinkamą ir pagrįstą priežiūros institucijos prieštaravimą. Antra, jis gali patikrinti tokių nuostatų, pagal kurias duodami nurodymai priežiūros institucijoms, turinio teisėtumą.
Šiomis aplinkybėmis Bendrasis Teismas pridūrė, kad privalomas EDAV sprendimas, kuriuo vadovaujanti priežiūros institucija įpareigojama išplėsti analizę ir tyrimą, nekelia abejonių dėl EDAV gebėjimo nustatyti įvairių savo, kaip nepriklausomos institucijos, užduočių atlikimo prioritetus, o tai turėtų tikrinti tik nacionalinis teismas. Apskritai ji taip pat nekelia abejonių dėl savo nepriklausomumo (
6
).
(
1
)	Pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 60 straipsnio 4 dalį.
(
2
)	Pagal BDAR 65 straipsnio 1 dalies a punktą.
(
3
)	BDAR 65 straipsnio 1 dalies a punktas, siejamas su šio reglamento 4 straipsnio 24 punktu, 65 straipsnio 6 dalimi ir 126, 136 konstatuojamosiomis dalimis.
(
4
)	Numatyta BDAR 60 straipsnyje.
(
5
)	BDAR 57 straipsnio 1 dalies a ir f punktai.
(
6
)	Įtvirtinta ESS 39 straipsnyje, SESV 16 straipsnio 2 dalyje ir Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 3 dalyje.